BGH-„Cookie“-Urteil – Nutzende müssen aktiv zustimmen

Fast alle Webseitenbesuchenden kennen sie, bewusst gelesen werden sie wahrscheinlich von den wenigsten. Dennoch herrschte bis zu dem Urteil des BGH am 28.05.2020 in der Sache Bundesverband der Verbraucherzentralen/Planet49, Az. I ZR 7/16, Unsicherheit, welche Anforderungen an die Einholung einer Einwilligung zum Setzen von Cookies zu stellen sind und welche Folgen sich diesbezüglich für die Ausgestaltung der Cookie-Banner ergeben. Auch nach dem Urteil sind nicht alle Fragen geklärt, bisher ist aber auch nur die Pressemitteilung veröffentlicht.

Hintergrund

Grundsätzlich gibt es heutzutage kaum noch eine Webseite, die nicht auf den Einsatz von Cookies, z. B. zu Marketingzwecken, mithilfe von Cookie-Bannern hinweist. Die Webseitenbesuchenden sollen dadurch transparenter über den Einsatz von Cookies und die diesbezügliche Speicherung ihrer Daten aufgeklärt werden und, wenn möglich/nötig, eine Einwilligung zum Setzen der Cookies erteilen.

In der Praxis war/ist die Aufmachung und inhaltliche Ausgestaltung der Cookie-Banner sehr unterschiedlich. Geschuldet war dies auch der unsicheren Rechtslage bis zum „Cookie“-Urteil des BGH. Unklar war insbesondere, ob bei dem Einsatz von Cookies zu Werbe-/Marktforschungszwecken bereits ein vorausgefülltes Kästchen, aber mit abzuwählendem Häkchen, ausreichend ist (sog. „Opt-Out“) oder ob die Webseitenbesuchenden aktiv dem Einsatz dieser Cookies zustimmen müssen, indem sie selbst ein Häkchen setzen (sog. „Opt-In“).

Der BGH hat nun in seinem Urteil vom 28.05.2020, Az. I ZR 7/16, entschieden, dass vor dem Einsatz von Cookies zu Werbe-/Marktforschungszwecken eine aktive Einwilligung der Webseitenbesuchenden erforderlich ist, indem sie selbst das Häkchen setzen („Opt-In“). Die Möglichkeit zum Entfernen des Häkchens impliziert keine Einwilligung. Übertragen auf Cookie-Banner bedeutet dies, dass Banner wie „Mit der Nutzung unserer Webseite erklären Sie sich mit der Verwendung von Cookies einverstanden.“ der Vergangenheit angehören sollten. Denn die bloße Weiternutzung einer Webseite kann nach dem Urteil des BGH keine wirksame, zweifelsfreie Einwilligung mehr darstellen. Insbesondere Webseitenbetreibende, die bisher diese Art von Cookie-Bannern eingesetzt haben, sollten ihre Banner anpassen. Dies kann aber auch für den Einsatz von Cookie-Bannern gelten, in welchen die Einstellungen zu den Cookies „einen Klick entfernt“ sind und somit unter Umständen für die Webseitenbesuchenden nicht transparent genug erscheinen. Ansonsten riskieren Webseitenbetreibende insbesondere eine Untersagungsverfügung oder Bußgelder durch die Aufsichtsbehörden.

Ausgestaltung Cookie-Banner

Wie sollten Cookie-Banner in Anlehnung an das BGH-„Cookie“-Urteil nun ausgestaltet werden?

1. Auflistung der Cookies (Art und Funktionen/notwendige – nicht notwendige Cookies)

Grundsätzlich sollten Webseitenbesuchende über die Arten und Funktionen der Cookies informiert werden, Auswahlmöglichkeiten geboten werden und eine Einwilligung, wenn nötig, eingeholt werden. Eine Einwilligung ist auch nach dem Urteil des BGH grundsätzlich „nur“ für nicht notwendige Cookies einzuholen. Welche Cookies notwendig sind und welche nicht, wird in der Praxis nicht einheitlich beurteilt und ist auch nicht der Pressemitteilung des BGH zu entnehmen. Zu den notwendigen Cookies können generell folgende Cookies gezählt werden: Login-Status, Warenkorb und Spracheinstellungen. Unter nicht notwendige Cookies fallen zumindest nach dem Urteil des BGH Cookies zu Werbe-/Marketingzwecken. Dienste wie Google Analytics müssen wohl aufgrund der Ansichten der Aufsichtsbehörden auch in die Kategorie „nicht notwendige Cookies“ eingeordnet werden, obwohl die Einstellungen und damit der Umfang der Speicherung der Daten individuell von den Webseitenbetreibenden eingestellt werden können. Ob die Cookies in Gruppen aufgeführt werden sollen/können, ist auch nach dem BGH-Urteil unklar. Gruppen können z. B. sein: Notwendig, Marketing, Statistik und Präferenzen. Möglich wäre es auch, die Tools, wie z. B. Google Analytics, einzeln zu benennen.

2. Transparenz

Der Hinweis auf den Einsatz von Cookies und deren Arten/Funktionen soll transparent für die Webseitenbesuchenden erfolgen. Transparenz ist nur gewährleistet, wenn neben den Auswahlmöglichkeiten auch die Hinweise leicht verständlich formuliert sind. Sonst laufen auch die Cookie-Banner ihrem Zweck zuwider.

Für Transparenz gilt daher: 

• Einfache, leicht verständliche Sprache. 

• Auswahlmöglichkeit der verschiedenen Cookies (unterteilt in Gruppen oder einzelne Auflistung der Tools) in Kombination mit Feldern wie z. B. „alle Cookies akzeptieren“ und „Auswahl speichern“ auf einen Blick. 

• Beschreibung der Funktionen der Cookies und der eingesetzten Dienstleistungsunternehmen, die die Daten unter Umständen verarbeiten. 

• Verzicht auf Felder wie „alle Cookies akzeptieren“, „OK“/„alle Cookies ablehnen“, wenn nicht auch zeitgleich die Möglichkeit besteht, die Cookies einzeln auszuwählen. 

• Felder wie „alle Cookies ablehnen“ sind unter Umständen wenig transparent, da dadurch suggeriert werden könnte, dass auch keine notwendigen Cookies eingesetzt werden und die verschiedenen Arten von Cookies nicht auf einen Blick ersichtlich und auswählbar sind. Mangelnde Transparenz kann auch bei den Feldern „alle Cookies akzeptieren“ gegeben sein, wenn nicht auch zeitgleich alle auszuwählenden Cookies angezeigt werden und die Auswahlmöglichkeit unter Umständen erst durch einen weiteren Klick ermöglicht wird.

3. Einwilligung

Die Einwilligung der Webseitenbesuchenden zum Einsatz von nicht notwendigen Cookies muss ausdrücklich vor dem Setzen dieser Cookies erfolgen, z. B. über das Ankreuzen in entsprechenden Checkboxen. Diese Checkboxen dürfen nicht vorangekreuzt sein. Lediglich die Checkbox für notwendige Cookies darf vorangekreuzt sein.

4. Speicherdauer

Im Cookie-Banner sollte auf die Speicherdauer hingewiesen werden. Bei Tools wie z. B. Google Analytics lässt sich die Speicherdauer für die Daten der Webseitenbesuchenden individuell einstellen. Es sollte jeweils die geringste auszuwählende Speicherdauer aus Datenschutzgründen ausgewählt werden.

5. Widerrufsmöglichkeit

Webseitenbesuchende müssen über die Widerrufsmöglichkeit ihrer Einwilligung im Cookie-Banner informiert werden und darüber hinaus, dass die Cookie-Einstellungen jederzeit geändert werden können.

6. Datenschutzerklärung/Impressum

Ein Hinweis auf die Datenschutzerklärung und das Impressum darf auch nicht fehlen. Die Datenschutzerklärung erübrigt sich nicht durch den Einsatz von Cookie-Bannern, denn in der Datenschutzerklärung finden sich auch die Informationen zum Verantwortlichen und den Betroffenenrechten.

7. Einsatz von Tools

Cookie-Banner können selbst erstellt werden. Es können aber auch Tools eingesetzt werden, die den datenschutzrechtlichen Anforderungen entsprechen.

8. Risikoabschätzung

Ob die beschriebenen Tipps befolgt werden möchten, ist eine Entscheidung der Unternehmensleitung und auch eine Frage der eigenen Firmenpolitik. Grundsätzlich müssen die Risiken (u. a. Bußgelder durch die Aufsichtsbehörden) individuell beurteilt werden. Durch den rechtskonformen Einsatz von Cookies/Cookie-Bannern kann die Marketingabteilung in ihrer Arbeit dahingehend beeinträchtigt sein, als dass Daten zur Schaltung von personalisierter Werbung oder Auswertung der Zielgruppen fehlen. Auf der anderen Seite steht die transparente Aufklärung der Webseitenbesuchenden, welche insbesondere (nur) durch eine Übersicht der verschiedenen Cookies, nicht irreführenden Anklickfeldern und leicht verständlicher Sprache gewährleistet werden kann. Unabhängig davon stellt sich vielleicht auch die Frage, ob die Webseitenbesuchenden diese Transparenz zu schätzen wissen. Mitunter werden Cookie-Banner schnell weggeklickt oder selten umfassend aus den verschiedensten Gründen gelesen. Unübersichtlichkeit und schwer verständliche Sprache können dies begünstigen. Letztlich geht es auch darum, wie Firmenpolitik nach innen und außen gelebt wird. Einer Sensibilisierung der Beschäftigten in Bezug auf den Datenschutz kann es zuwiderlaufen, wenn der Datenschutz nicht auch nach außen, z. B. durch Cookie-Banner, gelebt wird.