Opt-Out-Lösungen grds. unwirksam
BGH, Urteil vom 28.05.2020, Az.: I ZR 7/16
Der erste Senat des Bundesgerichtshofs hat sich nunmehr final zur Frage geäußert, ob die Einwilligung für ein Analyse-Cookie, welches die Auswertung des Surfverhaltens ermöglicht, im Wege des Opt-Out (das digitale Häkchen ist bereits gesetzt, kann aber widerrufen werden) eingeholt werden kann.
Kläger war der Bundesverband der Verbraucherzentralen. Die Beklagte hatte auf ihrer Webseite ein Gewinnspiel veranstaltet. Im Anmeldeformular war ein Häkchen bereits eingetragen, wonach der Webanalysedienst Remintrex mit Anmeldung ein Tracking-Cookie einsetzen durfte. Die gesammelten Daten wollte die Beklagte zur Auswertung des Surf- und Nutzungsverhaltens auf ihrer Webseite einsetzen. Wie bei Analysecookies allgemein üblich, bekamen die Besucher eine Tracking-ID zugewiesen. Wurden später andere Webseiten mit Remintrex-Tracking besucht, konnte die Nutzer wiedererkannt werden. Im Laufe der Zeit ergab sich so u.a. ein Bild des Surfverhaltens.
Cookies zum Zwecke des Webtrackings werden gemeinhin als sog. „nicht-notwendige Cookies“ bezeichnet also solche, die für die Bereitstellung der Inhalte einer Internetseite nicht zwingend erforderlich sind. Anders ist dies bspw. bei sogenannten Session-Cookies wie sie in Onlineshops eingesetzt werden, um die Warenkorbfunktion zu ermöglichen.
Mit der Rechtsfrage, ob eine Opt-In-Pflicht für nicht-notwendige Cookies besteht, hatte sich der BGH zuvor bereits an den Europäischen Gerichtshof gewandt (EuGH, Urteil vom 01.10.2019, C-673/17 „planet49“). Dort wurde die Frage bejaht, daran musste sich der BGH nun halten.
Neu ist nun vor allem die Feststellung, dass § 15 Abs. 3 TMG als Rechtsgrundlage nicht ausreicht. Dieser lautet:
„Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. “
Weil die Regelung mit der ePrivacy-Richtlinie und den Vorgaben der DSGVO im Widerspruch steht, ist sie laut PM des BGH nun richtlinienkonform auszulegen:
Bei der im Streitfall in den Cookies gespeicherten zufallsgenerierten Nummer (ID), die den Registrierungsdaten des Nutzers zugeordnet ist, handelt es sich um ein Pseudonym im Sinne dieser Vorschrift. § 15 Abs. 3 Satz 1 TMG ist mit Blick auf Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/EG geänderten Fassung dahin richtlinienkonform auszulegen, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist.
„Einwilligung“ setzt hier voraus, dass Nutzer sich aktiv für Webtracking entscheiden, dieses also ersteinmal nicht voreingestellt ist.
Wir empfehlen unseren Kunden zu prüfen, wie aktuell Webtracking auf ihren Webseiten eingesetzt wird.
Gerne helfen wir bei der rechtssicheren Umsetzung!
Das könnte Sie auch interessieren:
- EuGH: Keine Cookies und Like-Button ohne Einwilligung, Verstöße abmahnbar
- Wearables und Datenschutz – Wie Sie Ihre Datenkrake im Blick behalten und worauf Sie jetzt achten sollten!
- Plötzlich Videokonferenzen – Und nun? Welche datenschutzrechtlichen Grundlagen Sie jetzt beachten sollten.