BGH-Urteil zur „Cookie-Einwilligung“ auf Websites

Jeder kennt die im Internet aufpoppenden Cookie-Banner, die auf das Setzen von Cookies hinweisen und akzeptiert werden wollen. Als der Europäische Gerichtshof (EuGH) im Oktober 2019 sein Urteil zur Notwendigkeit einer Einwilligung in die Speicherung von Cookies auf dem Endgerät der Nutzer verkündete, sorgte dies für Klarheit. Der EuGH entschied, dass

• Cookie-Banner, die voreingestellte Häkchen für jede Art von Tracking vorsehen oder reine Hinweis-Banner, die überhaupt keine Auswahlmöglichkeit anbieten, nicht den Anforderungen an eine Einwilligung entsprechen. Eine vorangekreuzte Einwilligung zu widerrufen (opt-out) könne nicht als aktive Willenserklärung gesehen werden. Die DSGVO fordert, dass eine Einwilligung aktiv und ohne jeden Zweifel erteilt werden muss.
• die Anforderungen an die Einwilligungserfordernis unabhängig davon gelten, ob die Daten personenbezogen sind.
• Informationen zur Speicherdauer der Cookies und zum Zugriff durch Dritte gegeben werden müssen. Welche Infos dem Nutzer zu erteilen sind, ergibt sich aus Art. 13 DSGVO.
• diese Auslegung der ePrivacy-Richtlinie sowohl vor dem früheren Hintergrund der Datenschutz-Richtlinie als auch vor dem der DSGVO gilt.
• Der Bundesgerichtshof (BGH) hatte zu entscheiden, wie das Urteil des EuGH im deutschen Recht zu bewerten ist und bestätigte die Entscheidungen am 28. Mai 2020:
  • Wer zu Werbezwecken und zur Profilbildung umfangreich tracken möchte, benötigt eine Einwilligung durch opt-in. Das gilt für Analyse-Tools und Social-Media-Plugins von Drittanbietern ebenso wie für externe Kartendienste und andere Elemente Dritter.
  • Für unbedingt zur Erbringung der Dienste erforderliche Cookies muss keine Einwilligung eingeholt werden. Dies sind nach Ansicht der Aufsichtsbehörden auf jeden Fall Authentifizierungscookies, nutzerorientierte Sicherheitscookies, Warenkorb-Cookies, Cookies zur Anpassung der Benutzeroberfläche … Bisher gibt es keine verbindliche Liste.
  • § 15 Abs. 3 TMG gilt weiterhin und wird nicht von der DSGVO verdrängt. Entscheidend hierfür ist Art. 95 DSGVO, der das Zusammenspiel der DSGVO und des § 15 Abs. 3 TMG regelt.

Zu beachten ist, dass das Urteil auch für andere trackende Web-Technologien, zum Beispiel Fingerprinting, Tags oder auch Web-Beacons, gilt.

Maßnahmen

Noch ist das Online-Marketing nicht untergegangen, doch erschwert die Entscheidung die Tätigkeit für Websitebetreiber, die versuchen, ihre Inhalte durch Werbung zu refinanzieren. Als Betreiber einer Unternehmenswebsite sollten Sie kontrollieren, ob die nachstehenden Empfehlungen umgesetzt sind:

1. Prüfen Sie, ob Cookies und, wenn ja, welche Cookies für welchen Zweck beim Aufruf Ihrer Website im Browser gesetzt werden.
2. Differenzieren Sie zwischen Session und Persistent Cookies (Cookies mit einer gewissen Laufzeit).
3. Klären Sie, ob die Session Cookies notwendig sind. Viele Session Cookies, z. B. zu Spracheinstellungen sind altbacken und nicht mehr erforderlich. Löschen Sie, was nicht benötigt wird. Cookies zur Warenkorbsteuerung gelten als erforderlich, für die keine Einwilligung benötigt werden.
4. Persistent Cookies: Hier ist die Rechtslage noch unklar, deshalb: Wenn Ihre Website dem Nutzer ohne das Cookie fehlerfrei an-gezeigt wird, ist das ein Indiz, dass das Cookie nicht unbedingt erforderlich ist. Holen Sie eine Einwilligung mit Cookie-Banner aktiv ein.
5. Ist als Rechtsgrundlage für Retargeting-Techniken eine Einwilligung erforderlich, muss der Nutzer vorab informiert werden zu: Zweck, Empfänger von Daten, Speicherdauer, Verantwortlicher für die Verarbeitung. Das Cookie darf erst gesetzt werden, nach-dem der Nutzer seine Einwilligung erteilt hat.
6. Wenn Dritte, z. B. ein Werbeunternehmen/-netzwerk, auf Ihrer Website Anzeigen platzieren dürfen, sind Sie mit diesem gemeinsam für das Setzen von Cookies verantwortlich. Hier ist es empfehlenswert, ein sogenanntes „Joint-Control-Agreement“ nach Art. 26 DSGVO abzuschließen.
7. Sofern noch nicht geschehen, aktualisieren Sie Ihre Datenschutzerklärung so, dass sie den Vorgaben von Art. 13 DSGVO entspricht. Jeder verwendete Web-Trackingdienst sollte genannt und verständlich erklärt werden.
8. Konfigurieren Sie Ihr Webtrackingverfahren so, dass vom Browser des Nutzers übermittelte „Do Not Track Header“ akzeptiert werden.