Lange herrschte in Deutschland Unsicherheit darüber, ob Website-Betreiber für Cookies eine Einwilligung benötigen. Mit seinem Urteil vom 28. Mai 2020 (Az. I ZR 7/16 – „Cookie-Einwilligung II“) hat der Bundesgerichtshof nun für Klarheit gesorgt. Die Entscheidung schließt an das Planet49-Urteil des EuGH vom 1. Oktober 2019 (C-673/17) an und hat unmittelbare Auswirkungen auf nahezu jede Unternehmenswebsite.
Der Fall: Gewinnspiel mit voreingestelltem Häkchen
Der Bundesverband der Verbraucherzentralen hatte gegen den Gewinnspielanbieter Planet49 geklagt. Bei der Teilnahme an einem Online-Gewinnspiel fanden Nutzer zwei Ankreuzkästchen: Eines betraf die Einwilligung in Telefonwerbung durch Partnerunternehmen, das andere die Einwilligung in das Setzen von Cookies, mit denen das Surf- und Nutzungsverhalten zu Werbezwecken ausgewertet werden sollte. Dieses zweite Kästchen war bereits vorangekreuzt.
Die Entscheidung des BGH
Der BGH hielt beide Gestaltungen für unzulässig. Zur Cookie-Frage legte er § 15 Abs. 3 Satz 1 TMG im Lichte der ePrivacy-Richtlinie aus: Für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung ist eine Einwilligung des Nutzers erforderlich. Ein voreingestelltes Ankreuzkästchen, das der Nutzer abwählen muss, genügt dafür nicht. Eine wirksame Einwilligung setzt ein aktives Handeln voraus. Auch die Einwilligung in die Telefonwerbung scheiterte, weil sie nicht hinreichend für den konkreten Fall und in Kenntnis der Sachlage erteilt wurde.
Was bedeutet das für Website-Betreiber?
Die Entscheidung bestätigt, was viele Aufsichtsbehörden bereits vertreten: Cookies und vergleichbare Technologien, die nicht für den Betrieb der Website erforderlich sind, dürfen erst nach einer aktiven, informierten Einwilligung gesetzt werden. Das betrifft insbesondere
- Werbe- und Retargeting-Cookies,
- Tracking- und Analysetools, die Nutzerprofile bilden,
- eingebundene Dienste Dritter, die Cookies setzen, etwa Social-Media-Plugins.
Technisch notwendige Cookies, etwa für den Warenkorb oder die Speicherung der Cookie-Auswahl selbst, bleiben ohne Einwilligung zulässig.
Handlungsempfehlungen
- Erfassen Sie, welche Cookies und Dienste Ihre Website einsetzt. Ein Scan der Seite gibt einen ersten Überblick.
- Setzen Sie ein Consent-Tool ein, das nicht notwendige Cookies erst nach aktiver Zustimmung lädt, ohne vorausgewählte Häkchen.
- Nutzer müssen erkennen können, wofür sie einwilligen, wie lange Cookies aktiv sind und ob Dritte Zugriff erhalten.
- Die Einwilligung muss so einfach widerrufen werden können, wie sie erteilt wurde.
- Beschreiben Sie die eingesetzten Dienste in der Datenschutzerklärung.
Auch Einwilligungen in Werbung prüfen
Der Fall zeigt zugleich: Pauschale Einwilligungen in Werbung durch eine Vielzahl von Partnerunternehmen sind riskant. Bereits in der Vergangenheit hatten Gerichte entschieden, dass Einwilligungserklärungen unwirksam sind, wenn sie sich auf zahlreiche Unternehmen beziehen und unklar bleibt, für welche Produkte geworben werden soll. Wer Einwilligungen einholt, sollte sie konkret, verständlich und getrennt von anderen Erklärungen gestalten.
Viele der in Consent-Tools eingebundenen Dienste stammen von Anbietern außerhalb der EU. Welche Fragen sich bei der Auswahl solcher Dienstleister stellen, haben wir am Beispiel von Videokonferenzen in unserem Beitrag „Videokonferenz-Tools datenschutzkonform nutzen“ beschrieben.
Ein bloßer Cookie-Hinweis genügt nach dieser Entscheidung nicht mehr. Wir prüfen, ob Ihre Website ohne Einwilligung Tracking- oder Werbecookies setzt, und sehen uns Cookie-Banner und Datenschutzerklärung an. Sprechen Sie uns an oder buchen Sie direkt einen Termin.
Share this content:
Schreibe einen Kommentar