ZAP 19/2020, Internetreport / 6 Zur Einbindung von Cookies in eine Website

Im Hinblick auf die Einbindung von Cookies in eine Website hatte der BGH (Beschl. v. 5.10.2017 – I ZR 7/16) dem EuGH folgende Fragestellungen im Wege des Vorabentscheidungsverfahrens vorgelegt:

6.1 Vorlagefragen des BGH

• 1 a): „Handelt es sich um eine wirksame Einwilligung i.S.d. Art. 5 Abs. 3 und Art. 2 lit. f der Richtlinie 2002/58 i.V.m. Art. 2 lit. h der Richtlinie 95/46, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss?” Anders ausgedrückt: Liegt eine wirksame Einwilligung in die Verwendung von Cookies vor, wenn ein voreingestelltes Ankreuzkästchen verwendet wird, das der Nutzer abwählen muss, wenn er keine Einwilligung abgeben will?
• 1 b): „Macht es bei der Anwendung des Art. 5 Abs. 3 und des Art. 2 lit. f der Richtlinie 2002/58 i.V.m. Art. 2 lit. h der Richtlinie 95/46 einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt?” Anders ausgedrückt: Ist es entscheidend, ob es sich um personenbezogene oder um anonymisierte Daten handelt?
• 1 c): „Liegt unter den in Vorlagefrage 1 a genannten Umständen eine wirksame Einigung i.S.d. Art. 6 Abs. 1 lit. a der Verordnung 2016/679 (kurz: EU-DSGVO) vor?”
• 2): „Welche Informationen hat der Diensteanbieter i.R.d. nach Art. 5 Abs. 3 der Richtlinie 2002/58 vorzunehmenden klaren und umfassenden Informationen dem Nutzer zu erteilen? Zählen hierzu auch die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff erhalten?” Anders ausgedrückt: Welche Mindestanforderungen sind an den Inhalt der Hinweise über die Cookies (Cookie-Hinweise) zu stellen?

6.2 Antworten des EuGH

Hierzu hatte der EuGH (Urt. v. 1.10.2019 – C-673/17, ZAP EN-Nr. 646/2019) wie folgt Stellung genommen:

• Zu den Vorlagefragen 1 a) und 1 c): Die europäischen Normvorgaben sind dahingehend auszulegen, dass „keine wirksame Einwilligung vorliege, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss.” Anders ausgedrückt: Im Fall der Verwendung eines voreingestellten Ankreuzkästchens, das der Nutzer abwählen muss, wenn er keine Einwilligung abgeben will, liegt keine wirksame Einwilligung vor. Ein Opt-Out ist damit unzulässig.
• Zu der Vorlagefrage 1 b): Für eine Einwilligung betr. das Setzen von Cookies ist es unbeachtlich, ob es sich um personenbezogene oder um anonymisierte Daten handelt.
• Zu der Vorlagefrage 2): Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff auf die Cookies erhalten können, gehören zu den Informationen, die der Diensteanbieter dem Nutzer einer Website zu geben hat.

6.3 Konsequente Rechtsanwendung

Unter Berücksichtigung dieser EuGH-Vorgaben hat der BGH entschieden (Urt. v. 28.5.2020 – I ZR 7/16):

§ 15 Abs. 3 S. 1 TMG sei mit Blick auf Art. 5 Abs. 3 S. 1 der Richtlinie 2002/58/EG dahin richtlinienkonform auszulegen, dass der Diensteanbieter Cookies zur Erstellung von Nutzungsprofilen für Zwecke der Werbung oder Marktforschung nur mit Einwilligung des Nutzers einsetzen dürfe. Eine elektronisch zu erklärende Einwilligung des Nutzers, die den Abruf von auf seinem Endgerät gespeicherten Informationen mithilfe von Cookies im Wege eines voreingestellten Ankreuzkästchens gestatte, genüge diesem Einwilligungserfordernis nicht. Der BGH stellte insoweit ausdrücklich fest, dass sich durch die Anwendbarkeit der EU-DSGVO seit dem 25.5.2018 keine Rechtsänderung ergeben habe.

Der BGH führte ferner aus, dass die auf den Umfang der Informationen über die Art und Weise des Einsatzes von Cookies bezogene Vorlagefrage 2 nur für den Fall gestellt gewesen sei, dass – nach den Antworten des EuGH auf die Vorlagefragen 1 a bis c – vom Vorliegen einer wirksamen Einwilligung in die Speicherung von oder den Zugriff auf Informationen mittels des Einsatzes von Cookies auszugehen gewesen wäre. Da es an einer wirksamen Einwilligung aber gefehlt habe, bedürfte es hierzu keiner weiteren Ausführungen.