Kein Recht auf Cookies – das BGH-Urteil über Häkchen in Checkboxen

Ende Mai war es da: Das BGH-Urteil klärt die Rechtslage zur Cookie-Einwilligung. Fest steht: Eine voreingestellte Checkbox taugt für eine wirksame Einwilligung nicht mehr.

Cookies, die kleinen auf Endgeräten wie etwa Computern gespeicherten Textdateien, sorgen dieser Tage wieder für großes Aufsehen: Der Bundesgerichtshof hat am 28. Mai sein Urteil bezüglich der Einwilligung in jene Art von Cookies gefällt, mit denen Nutzer:innenprofile etwa zu Werbezwecken erstellt werden.

Bei dem Verfahren ging es insbesondere um die praktische Frage, inwiefern es ausreichend ist, das Einverständnis der Nutzer:innen mit Hilfe einer Checkbox einzuholen, in der das obligatorische Häkchen nicht erst gesetzt werden muss, sondern bereits automatisch an seinem Platz ist – praktisch also gar nicht mehr viel zu tun ist. Dem vorausgegangen war das Urteil des EuGH im Oktober 2019, das ebenfalls für viel Wirbel sorgte. Wie steht es nun also um das Häkchen?

Ursprung des Verfahrens war ein im Jahr 2013 durchgeführtes Online-Gewinnspiel. Im Teilnahmeformular waren unter anderem zwei Checkboxen vorgesehen – in einer konnte das Häkchen gesetzt werden, um Telefonwerbung zu erhalten, in der anderen war das Häkchen bereits voreingestellt und sollte für das Einverständnis in das Setzen von Werbe-Cookies verschiedener Anbieter sorgen. Wollten Nutzer:innen am Gewinnspiel teilnehmen, aber keine entsprechenden Cookies verwendet wissen, hätten sie die Auswahl also entfernen müssen (Opt-out). Eines der beiden Häkchen musste zur Teilnahme aber gesetzt werden. Besonders an dem voreingestellten Häkchen störte sich der Verbraucherzentrale Bundesverband e.V., der auch Kläger in dieser Rechtsstreitigkeit ist.

Mit der Rechtslage in Deutschland zu dieser Frage war es bisher so: Nach dem deutschen Telemediengesetz darf der Diensteanbieter „für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht“, besagt § 15 Abs. 3 TMG. Kurz gesagt könnte das also heißen: Diese Werbe-Cookies können rechtlich verwendet werden, außer der Betroffene sagt, dass er das nicht will – da wäre also das Opt-out.

Nun allerdings haben die BGH-Richter die Kolleg:innen vom EuGH vor dem jetzt erfolgten Urteil nicht ohne Grund um die Auslegung von EU-Recht gebeten, auch auf dieser Ebene gibt es dazu Regeln – insbesondere in der E-Privacy-Richtlinie. Mit diesen EU-Richtlinien ist es wiederum so, dass diese von den einzelnen Mitgliedstaaten in eigenes, nationales Recht umgesetzt werden müssen und zwischen Bürger:innen direkt selbst nicht anwendbar sind.

Im Oktober 2019 bestätigte der EuGH, dass eine Einwilligung in einem solchen Fall aktiv geschehen müsse. Das Häkchen müsse also vom Nutzer für die Einwilligung gesetzt werden (Opt-in) – er muss aktiv zustimmen. Ein Opt-out, wo die Einwilligung quasi ohne Zutun geschieht, erfülle die Anforderungen nicht. Dabei mache es auch keinen Unterschied, ob personenbezogene Daten verarbeitet würden oder nicht, die Anforderungen an eine wirksame Einwilligung seien einheitlich auszulegen. Das Unionsrecht solle einen Schutz vor jedweden Eingriffen in die Privatsphäre und das unerlaubte Eindringen in die Endgeräte gewährleisten, wo Cookies und andere von der Richtlinie betroffene Tracking-Werkzeuge gespeichert werden.

Der EuGH hatte also Stellung bezogen zur Rechtslage auf EU-Ebene, von der sich die Situation in Deutschland nicht großartig hätte unterscheiden dürfen. Eine Umsetzung, wie oben angesprochen, hatte es in Deutschland auf gesetzlicher Ebene allerdings nicht gegeben. Der Gesetzgeber war schlicht davon ausgegangen, die europäischen Regelungen auch mit der bestehenden Regelung zu erfüllen – eine streitbare Äußerung, wenn sich mit dem Wortlaut des deutschen TMG doch offenbar auch die genau der europäischen Rechtslage entgegenstehende Lösung per Opt-out vertreten lasse.

Der BGH, der die Aussage des EuGH bei seiner nun erfolgten Entscheidung des konkretes Falls zwingend berücksichtigen musste, sprang also auf den Zug auf und entschied, dass die Einwilligung auch nach deutscher Rechtslage aktiv erfolgen müsse – und legte dabei die Norm im TMG schlichtweg richtlinienkonform aus, was mit dem Wortlaut gerade noch so vereinbar sei, wie es in der Pressemitteilung des Gerichts heißt.

Seit Inkrafttreten der DSGVO habe sich auch nichts an der Rechtslage geändert, heißt es außerdem. Auch jetzt ist – soll für Werbe-Cookies eine Einwilligung eingeholt werden – also auf ein Opt-In zu setzen, das Häkchen dürfte also nicht voreingestellt sein.

So viel lässt sich jedenfalls aus der bislang erschienenen und recht ausführlichen Pressemitteilung des Bundesgerichtshofs ziehen. Die Urteilsgründe selbst wurden noch nicht veröffentlicht, sodass auch abzuwarten ist, welche Aussagen sich hieraus ergeben. Eine Klärung jeglicher offener Fragen im Bereich des Cookie-Einsatzes wird man sich wohl leider nicht erhoffen können. So gibt es zur Zeit eine gewisse Rechtsunsicherheit, welche konkreten Arten von Cookies insgesamt etwa (technisch) notwendig sind und damit nicht auf eine aktive Einwilligung angewiesen. Auch im Hinblick auf die konkreten Rahmenbedingungen für die Gestaltung von Cookie-Bannern fehlen derzeit mitunter praxistaugliche und auch verbindliche Regeln.

Derzeit wird am Telemediengesetz gearbeitet, sodass es hier künftig womöglich zu Änderungen kommt. Und auch die E-Privacy-Verordnung könnte einiges klären. Die allerdings steckt, obwohl sie quasi zeitgleich mit der DSGVO in Kraft treten und die vorherige E-Privacy-Richtlinie ablösen sollte, noch immer in den Kinderschuhen des Gesetzgebungsverfahrens.