BGH-Urteil zu Cookies: Im Web nichts Neues
29.05.2020 | 12:00 Uhr
Das, was der Bundesgerichtshof (BGH) gestern in Sachen Zustimmungspflicht zur Webanalyse per Cookies entschieden hat, wirkte auf den ersten Blick wie eine große Neuigkeit. Viele Medien berichteten ausführliche über diese Grundsatzentscheidung. Doch juristisch etwas Neues gab es nicht. Denn der Europäische Gerichtshof hatte ja bereits im vergangenen Herbst im gleichen Verfahren die Vorgaben in Sachen Cookies klar definiert: Ohne Zustimmung darf ein Tracking per Cookie nicht erfolgen. Der BGH hat diese Rechtssprechung nun lediglich im konkreten Fall übernommen.
Der BGH hatte über eine Angelegenheit aus dem Jahr 2016 zu entscheiden. Es ging dabei um eine Einverständniserklärung, die ein Website-Betreiber von den Besuchern eingeholt hat:
«Das [...] Ankreuzfeld war mit einem voreingestellten Häkchen versehen und wies folgenden Text auf: Ich bin einverstanden, dass der Webanalysedienst [...].»
Nach Auffassung des BGH ist diese Vorauswahl unzulässig. Dies war aber eben keine Überraschung.
Ankreuzen ist Pflicht
Bei der E-Mail-Werbung gab es früher übrigens schon eine ähnliche Entscheidung des BGH. Für die korrekte Anmeldung beispielsweise zu einem Newsletter hat der Benutzer ausdrücklich eine Einwilligung nach der E-Privacy-Richtliche zu erteilen. Dazu muss er ein Kästchen aktiv ankreuzen, um beispielsweise der Speicherung der Adresse zuzustimmen. Nicht wirksam sind Versionen, bei denen der Benutzer ein bereits gesetztes Häkchen wegklicken muss, um seine Einwilligung zu verweigern. Gleiches hat der BGH nun ausdrücklich auch für die Zustimmung zum Tracking per Cookies definiert.
Keks-Wand | Cookie-Wall
Auf diversen Websites finden sich noch heute Cookie-Banner, die gar keine Auswahl anbieten und ggf. sogar den Zugriff auf die Seite ohne Zustimmung verweigern. Auch diese sogenannten Cookie-Walls sind ebenso nicht zulässig. Der Europäischer Datenschutzausschuss (https://edpb.europa.eu) hat Anfang Mai eine Leitlinie für die Anwendung der EU-DSGVO veröffentlich. Demnach dürfen Website-Betreiber den Zugriff auf Inhalte ihrer Website eben nicht davon abhängig machen, ob ein Besucher zustimmt, dass man seine Daten verarbeiten darf. Der Ausschuss formuliert dies als Beispiel so:
«Ein Website-Betreiber setzt ein Skript ein, das die Sichtbarkeit von Inhalten blockiert, außer für eine Anfrage zur Annahme von Cookies und die Information, welche Cookies gesetzt werden und wofür. Es gibt keine Möglichkeit, auf den Inhalt zuzugreifen, ohne auf die Schaltfläche Cookies akzeptieren zu klicken. Da die betroffene Person keine echte Wahlmöglichkeit hat, ist ihre Zustimmung nicht frei gegeben.»
Da keine wirkliche Auswahl stattfinden kann, stellt ein Klick auf den Buttom zum Akzeptieren keine gültige Zustimmung dar.
Technische Notwendige Cookies
Für das Speichern eines Warenkorbs, einer Sprachauswahl oder einer Einstellung beim Videochat, bei der ein berechtigtes Interesse des Seitensbetreibers existiert, dürfen aber weiterhin Cookies ohne Zustimmung gesetzt werden. Hierbei handelt es sich um technisch notwendige Daten, die auf dem Gerät des Benutzers gespeichert werden. Ohne die Speicherung funktioniert der Dienst nicht. Solche Cookies benötigen daher auch keine Zustimmung durch den Benutzer. Dies hat sich mit dem Urteil des BGH nicht geändert.
Cookies mit berechtigtem Interesse!?
Der BGH hatte darüber zu entscheiden, was Website-Betreiber machen müssen, wenn Sie Tracking-Cookies aufgrund einer Einwilligung nutzen wollen. Diese notwendige Einwilligung ergibt sich aus der E-Privacy-Richtlinie aus 2002, die 2009 überarbeitet wurde und als sogenannte Cookie-Richtlinie bekannt ist. Sie wurde durch Telemediengesetz (TMG) und Telekommunikationsgesetz (TKG) in Deutschland mehr oder weniger umgesetzt. Doch was ist mit Tracking aufgrund eines berechtigten Interesses? Denn zwischenzeitlich wurde das Datenschutzrecht in Europa neu geregelt. Und die entsprechende neue Europäische Datenschutzgrundverordnung (EU-DSGVO) erlaubt die Datenerfassung aus einem berechtigten Interesse. Damit könnte man möglicherweise auch Tracking-Cookies ganz ohne Einwilligung setzen und müsste sich um Ankreuzformulare gar keine Gedanken machen.
Auf Basis der aktuell geltenden EU-DSGVO sollte eine einheitliche E-Privacy-Verordnung die alte Richtlinie ablösen und für Klarheit sorgen. Doch diese Verordnung ist bis heute nicht beschlossen. Somit gilt neben der alten Richtlinie und den deutschen Gesetzen eben auch die EU-DSGVO. Und in Sachen Cookies ist diese sonst strenge Verordnung damit sogar liberaler als die Richtlinie. Die Datenschutzbeauftragten der Länder gehen derzeit aber davon aus, dass diese strengere Richtlinie hier über der DSGVO steht. Von daher sollte man auch weiterhin kein Tracking-Cookie setzen bevor der Benutzer diesem zugestimmt hat.
Made in Germany | powered by