BGH verhandelt zur Cookie-Einwilligung: Große Ent­schei­dung, kleine Wir­kung

Seitenfüllende Cookie-Banner machen die  Internetnutzung besonders auf dem Smartphone zum Geduldsspiel. Genervt klickt man auf alles, was nach "Einwilligung" aussieht, so als spielte man noch einmal "Space Invaders" - leider ohne den pixeligen Zauber aus der Zeit der ersten Computerspiele. Dass der Bundesgerichtshof (BGH) daran etwas ändern kann, ist unwahrscheinlich. Aber eins nach dem anderen.

Am Donnerstag findet die mündliche Verhandlung im Verfahren "Planet 49" vor dem BGH statt. Der Bundesverband Verbraucherzentralen verklagt die Veranstalterin eines Gewinnspiels wegen der Verwendung unzulässiger Allgemeiner Geschäftsbedingungen (AGB). Die Veranstalterin holte von den Teilnehmern nämlich eine Einwilligungserklärung dafür ein, dass sie Cookies im Browser des Endgerätes setzen durfte. Cookies sind kleine Dateien, die es Webseiten ermöglichen, einen Browser auf einem bestimmten Endgerät wiederzuerkennen. Die Cookies erlauben es – wie in diesem Fall – zum Beispiel den Werbepartnern der Veranstalterin, das Verhalten der Nutzer im Internet auszuwerten und interessengerechte Werbung an diese Nutzer auszuspielen. Zur Einwilligung sollte ein Häkchen in einem Kästchen gesetzt und dann mit einem Mausklick bestätigt werden. Das Kästchen war dabei schon vorangekreuzt.

Das, meint der BGH, könnte gegen den Grundgedanken der E-Privacy-Richtlinie (RL 2002/58) in der Fassung der sogenannten Cookie-Richtlinie von 2009 verstoßen. Vor allem dann, wenn man die Anforderungen der Datenschutzrichtlinie und der Datenschutzgrundverordnung (DSGVO) noch hinzudenkt. In Sachen E-Mail-Werbung hat der BGH schon lange entschieden, dass die Einwilligung nach der E-Privacy-RL ausdrücklich erteilt werden muss. Nutzer müssen dazu ein Kästchen aktiv ankreuzen und dann bestätigen. Nicht wirksam sind Varianten, bei denen Nutzer ein bereits gesetztes Häkchen wegklicken oder gar erst – unter umgekehrten Vorzeichen – neu anklicken müssen, um ihre Einwilligung zu verweigern.

Doch wie sieht das nun aus, wenn es um Cookies geht?

Deutscher Gesetzgeber zu langsam, BGH legte EuGH vor

Der deutsche Gesetzgeber hat die Anforderungen der E-Privacy-RL an Cookies allerdings nie richtig umgesetzt. Nach § 15 des Telemediengesetzes (TMG) soll es ausreichen, dass Nutzer widersprechen können, selbst wenn ein Webseitenanbieter Nutzerprofile für die zielgerichtete Werbung erstellt. Daran änderte der Gesetzgeber auch nach der Richtlinienänderung im Jahr 2009 nichts.

Der BGH hatte dem Europäischen Gerichtshof (EuGH) deshalb im Rahmen des "Planet 49"-Verfahrens drei Fragen zur Gestaltung der Einwilligung vorgelegt: Wie muss die Einwilligung nach der E-Privacy-Richtlinie aussehen, wenn Informationen auf einem Endgerät gespeichert oder von dort gelesen werden sollen? Gelten für personenbezogene Daten Besonderheiten? Und welche Anforderungen stellt die DSGVO an eine solche Einwilligung? Zusätzlich fragte der BGH auch nach den Informationen, die Cookie-Verwender den Nutzern bei der Einwilligung geben müssen.

Geschützt sind alle Informationen auf dem Endgerät

Diese Fragen hat der EuGH im Oktober vergangenen Jahres beantwortet: Um die Speicherung von Informationen oder den Zugriff auf Informationen auf dem Endgerät des Nutzers mittels Cookies zu erlauben, reicht ein voreingestelltes Ankreuzkästchen nicht aus. Das ergebe sich aus der E-Privacy-Richtline, so die Luxemburger Richter.

Bei der Speicherung solcher Cookies handelt es sich um personenbezogene Daten. Das macht aber letztlich keinen Unterschied. Entscheidend ist nur, dass es sich um Informationen auf dem Endgerät handelt. Damit spielen auch Anforderungen nach der DSGVO hier keine Rolle. Ohnehin verlangt die DSGVO bei der Einwilligung, dass sie informiert und aktiv erfolgt. Zu den verpflichtenden Informationen gehören in jedem Fall Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können.

Welchen Raum hat der BGH also noch für seine Entscheidung, die erst in einigen Wochen erwartet wird? Er hat sich nämlich in seiner Vorlage zum EuGH festgelegt, dass die Einwilligungserklärung dann eine unwirksame AGB ist, wenn sie gegen die Grundgedanken der E-Privacy-Richtlinie verstößt. Und weiter, dass das Telemediengesetz so auszulegen ist, dass es den Anforderungen der E-Privacy-Richtlinie entspricht. Auf den gänzlich anderen Wortlaut des deutschen Gesetzes käme es dann nicht an. Insgesamt spricht damit viel dafür, dass der BGH die Entscheidung der Vorinstanz aufheben und im Sinne der Verbraucherzentralen entscheiden wird.

Wirklich etwas gewonnen wäre damit aber nicht.

E-Privacy-RL steht dem Datenschutzrecht gegenüber

Entschieden wäre damit nämlich nur, was Anbieter tun müssen, wenn sie Tracking-Cookies aufgrund einer Einwilligung einsetzen wollen. Unklar wird wohl das Verhältnis zum Datenschutzrecht bleiben, das möglicherweise auch andere Grundlagen für Tracking-Cookies akzeptiert, etwa das Merkmal des "berechtigten Interesses".

Im Gegensatz dazu lässt die E-Privacy-RL Cookies auf anderer Grundlage als der Einwilligung nur dann zu, wenn sie unbedingt erforderlich sind, um einen Dienst der Informationsgesellschaft zu erbringen. Den muss der Nutzer zudem ausdrücklich gewünscht haben. Diese Ausnahme mag auf Warenkorb-Cookies und Lesezeichen in Foren zutreffen – aber kaum auf Tracking-Cookies. So sehen es wohl die deutschen Aufsichtsbehörden.

Und nun? Gilt dann am Ende von zwei anwendbaren Regelungen immer die strengere? Oder folgt ausgerechnet aus dem Datenschutz ein liberaleres Regime für Tracking-Cookies? Davon scheinen jedenfalls die Aufsichtsbehörden auszugehen. Offen geblieben ist schließlich auch, ob der Anbieter Nutzern, die keine Einwilligung erteilen wollen, die Teilnahme am Gewinnspiel verweigern dürfte. Würde das gegen die Regel der DSGVO verstoßen, wonach eine Einwilligung nur gilt, wenn der Nutzer sie "ohne Zwang" erteilt?

Das alles sind Fragen, die mit dem anstehenden BGH-Urteil wohl unbeantwortet bleiben werden.

Gesucht: Klare Regeln statt individueller Nutzerentscheidung

Vom EU-Gesetzgeber ist kaum baldige Abhilfe zu erwarten. Die ursprünglich mit der DSGVO geplante Novelle der E-Privacy Richtlinie verzögert sich immer weiter. Während es Anfang Dezember 2019 noch hieß, es werde einen ganz neuen Vorschlag geben, will die Kommission nun offenbar doch zu ihrem Entwurf von 2017 zurückkehren. Eine Einigung dürfte damit in weiter Ferne liegen, wie die vielfältigen Kompromissversuche zuletzt unter der finnischen Ratspräsidentschaft gezeigt haben.

Kaum betroffen von all diesen Erwägungen sind übrigens die Anbieter (sozialer) Netzwerke, bei denen sich die Nutzer freiwillig registrieren, anmelden und dabei Einwilligungen erteilen.  Verlage und andere Unternehmen, die auf Tracking-Cookies für ihre zielgerichtete Werbung setzen (müssen), werden die Nutzer hingegen weiter mit eingeblendeten Einwilligungsbannern und Consent-Management-Tools nerven – oder ihre Werbung weniger zielgerichtet gestalten. Das dürfte sie allerdings Werbeinnahmen kosten und auch nicht immer im Sinne der Nutzer sein.

Für den gemeinen Nutzer ist es auch viel zu aufwendig, sich selbst zum Tracking-Experten zu machen, bloß um einen Online-Artikel lesen zu können. Besser wäre, der EU-Gesetzgeber könnte sich durchringen, klar zu regeln, was beim Tracking und Profilanlegen erlaubt sein soll und was zu weit geht. Zum Beispiel, ob Webseiten bei jedem Besuch Dutzende von Drittanbieter-Cookies setzen dürfen, die allesamt dazu dienen, dass jede Menge Werbeanbieter das Nutzerverhalten im Internet ständig beobachten. Alle diese Fragen auf jeden einzelnen Nutzer abzuwälzen ist ineffizient. Dass aber gerade der BGH dem Gesetzgeber diese schwierige Grenzziehung abnehmen kann, ist nicht zu erwarten.

Der Autor Fabian Seip, LL.M. ist Rechtsanwalt in der international tätigen Kanzlei Hengeler Mueller und vertritt und berät Mandanten zu Fragen im Zusammenhang mit Technologie, Medien, Telekommunikation und Informationstechnik.