Der Bundesgerichtshof (BGH) hat sich in seiner Entscheidung vom 28.05.2020 (Az.: I ZR 7/16) mit der Frage beschäftigt, wie bei der Verwendung von Cookies, die für Werbung und andere Zwecke genutzt werden, vom Webseitenbetreiber zu verfahren ist. Dabei geht es nicht um die technisch notwendigen Cookies, sondern z.B. um Tracking-Cookies. Für die Verwendung dieser Cookies ist eine Einwilligung erforderlich, unabhängig, ob mit Tracking-Cookies personenbezogene Daten verarbeitet werden. Eine voreingestellte Zustimmung ist keine Einwilligung (z.B. ein gesetztes Häkchen im Einwilligungskästchen).

Vorausgegangen war eine Entscheidung des Europäischen Gerichtshofs (EuGH), wonach das Setzen von Cookies, die nicht unbedingt erforderlich sind, der aktiven Einwilligung des Internetnutzers bedürfen. Dies gelte unabhängig davon, ob es sich bei den abgerufenen Informationen um personenbezogene Daten handelt oder nicht.

Gegenstand der Entscheidung war die Frage, unter welchen Voraussetzungen Internetanbieter Cookies auf den Endgeräten ihrer Nutzer platzieren können. In diesem Zusammenhang stellte der EuGH fest, dass eine wirksame datenschutzrechtliche Einwilligung in diesem Kontext auch im Internet ein aktives Verhalten des Betroffenen voraussetzt. Dieses müsse sich zudem konkret auf die Einwilligung beziehen. Nicht ausreichend sei hingegen die Bestätigung eines vorausgewählten Ankreuzkästchens durch Anklicken einer anderweitigen Schaltfläche, etwa zur Teilnahme an einem Gewinnspiel.

Zudem hat der EuGH klargestellt, dass der Websitenbetreiber dem Nutzer klare und umfassende Informationen bereitstellen muss, damit die Einwilligung wirksam erteilt werden kann. Hierzu gehören auch die Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können.

Der BGH musste nun entscheiden, wie das Ganze im deutschen Recht zu bewerten ist. Deutschland hätte die seit 2009 geltende E-Privacy-Richtlinie, auch bekannt als Cookie-Richtlinie, umsetzen müssen. Die Richtlinie sah prinzipiell ein sog. Opt-In-Verfahren vor, bei dem Nutzer für den Einsatz von Cookies ihre Einwilligung geben müssen. Die Bundesregierung war aber der Auffassung, dass die Cookie-Informationspflichten durch das Telemediengesetz (TMG) bereits EU-rechtskonform umgesetzt seien. Problematisch war allerdings, dass § 15 Abs. 3 TMG im Gegensatz zur Forderung der EU-Cookie-Richtlinie eine Opt-Out-Lösung ausreichen ließ.

Am 28.05.2020 hat nun der BGH sein Urteil verkündet und letztendlich den EuGH bestätigt. Auf die Pressemitteilung des BGH darf verwiesen werden (https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2020/2020067.html)

Werden mehrere Tracking-Cookies verwendet, muss das in einer Liste deutlich gemacht werden und dem Nutzer die Wahlmöglichkeit eröffnet werden.

Danach benötigen Websitebetreiber eine aktive Einwilligung der Besucher, wenn sie Cookies setzen wollen, die technisch nicht unbedingt erforderlich sind. Vorab angekreuzte Auswahlkästchen sind hingegen nicht zulässig. Dies begründet der BGH mit einer richtlinienkonformen Auslegung des § 15 Abs. 3 TMG mit Blick auf § 5 Abs. 3 Satz 1 der E-Privacy-Richtlinie, so dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist. An dieser Rechtslage hat sich auch mit Inkrafttreten der DSGVO nichts geändert. Erfreulich ist nun, dass dieses Urteil zur Rechtssicherheit beiträgt. Der Rechtsstreit über die Auslegung  bzw. der Anwendung des § 15 Abs. 3 TMG hat sich damit nun erledigt.