Mit seinem bereits als Cookie-II bezeichneten Urteil vom 28.05.2020 hat der BGH eine folgenschwere Entscheidung getroffen: Cookies sollen grundsätzlich nur noch mit Zustimmung der Nutzer*innen eingesetzte werden dürfen. Hiervon ausgenommen sollen lediglich notwendige Cookies sein.
Damit urteilt der BGH strenger als die bislang auch nicht grad als zimperlich bekannten Datenschutzaufsichtsbehörden. Denn diese sahen immerhin solche Cookies, die keine Daten an Dritte weiterreichen, als zulässig an. Der Werbewirtschaft war selbst dieses bereits zu eng, da Google & Co danach nicht ohne Zustimmung eingesetzt werden durften. Manch einer rettete sich mit dem sog. berechtigten Interesse bei der anonymisierten Version der Google-Datenverarbeitung um die Zustimmung. Bei allen Arten des Trackings, Remarketings und weiteren Online-Marketingtools kam man um die Zustimmung nicht herum. Und so berichteten viele Unternehmen von einem Einbruch der Aktivitäten, da ein Großteil der Nutzer*innen die Zustimmung für solche Cookies nicht erteilte. Zum EInsatz kamen ersatzweise Tools, die die notwendigen Daten nicht an Drittanbieter weitergeben (z.B. Matomo). Allerdigns speicherten auch diese mittels Cookies oder vergleichbarer Funktionen (z.B. Fingerprints) Informationen auf dem Endgerät der Nutzer*innen.
Damit soll nun nach Auffassung des BGH ebenfalls Schluss sein. Mit einer sehr “kreativen” Lösung hat der BGH die datenschutzrechtlichen Regelungen des Telemediengesetz (TMG), insbes. die §§ 12, 15 Abs. 1 und 15 Abs. 3 TMG wieder ins Leben gerufen. BIslang war einhellige Meinung, dass diese datenschutzrechtlichen Vorschriften des Telemediengesetzes (TMG) unter der Geltung der DSGVO nicht mehr anwendbar seien und eine Umsetzung des Art. 5 Abs. 3 der ePrivacy-Richtlinie in Deutschland nicht erfolgt sei. Das hatte so auch der Generalanwalt in seinen Schlussanträgen in dem Vorlageverfahren (Planet49 (Az.: C-673/17) zu dem jetzigen Urteil des BGH klargestellt. Das hatte dann der EuGH in seinem Urteil übernommen und die Zustimmungspflicht für den Einsatz von Cookies als allein nach der DSGVO zu beurteilend angesehen. Damit schien festzustehen, dass notwendige und gerechtfertigte Cookies, auch wenn sie personenbezogene Daten speichern und an den Websitebetreiber weitergeben, zustimmungsfrei sein sollten.
§ 15 Abs. 3 TMG lautet wie folgt:
Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht.
Der BGH hat nun in seinem Urteil wider Erwarten § 15 Abs. 3 TMG als Umsetzung der Vorgaben der sog. ePrivacy RIchtlinie (RL 2002/58/EG) angesehen. Dieses gelingt ihm allein mit der folgenden eigenwilligen Neuinterpretation:
“§ 15 Abs. 3 Satz 1 TMG ist mit Blick auf Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/EG geänderten Fassung dahin richtlinienkonform auszulegen, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist.”
Er begründet dies im weiteren Verlauf damit, dass § 15 Abs. 3 dahingehend interpretiert werden könne, dass in dem Fehlen der (wirksamen) Zustimmung der in § 15 Abs. 3 TMG vorgesehene Widerspruch zu sehen sei.
Folge dessen ist nun, dass § 15 Abs. 3 TMG – entgegen der Ansicht des EuGH – direkt zur Anwendung kommt und gem. Art. 95 DSGVO Vorrang vor den Regelungen des Art. 6 Abs. 1 S. 1 DSGVO hat. Damit kommt es schon nicht darauf an, ob überhaupt personenbezogene Daten verarbeitet werden. Entscheidend ist allein, dass ein nicht technisch notwendiges Cookie (o.ä.) für Zwecke der Werbung ,der Marktforschung und/oder zur bedarfsgerechten Gestaltung der Website unter Bildung von pseudonymisierten Nutzungsprofilen eingesetzt wird. Das ist letztlich bei allen technisch nicht notwendigen Cookies zu bejahen. Damit ist auch der Einsatz von Cookies, der allein der Webseitenoptimierung dient, ohne Zustimmung unzulässig.
Die Interpretation des BGH ist als recht forsch und vorschnell anzusehen. Sie verkennt vor allem, dass damit ein Rundumschlag erfolgt, der weder dem Verständnis des EuGH noch den strengen datenschutzrechlichen Vorgaben der DSGVO.
Auch hält sie sich nicht an die von dem zu beurteilenden Sachverhalt vorgegebenen Grenzen. In dem zu beurteilenden Fall stand allein der Einsatz von Cookies zum Zwecke der (aktiven) Werbung zur Entscheidung. Keinesfalls war zugleich der (im Sinne von Art. 6 Abs. 1 S. 1 lit. f DSGVO) berechtigte Einsatz von Cookies, insbes. zur Auswertung von Präferenzen zum Zecke der Websiteoptimierung betroffen. Es hätte erwartet werden können, dass der BGH seine Entscheidung allein auf die in Rede stehende Verwendung von Cookies ausrichtet, zumal die allgemeinen Zustimmungserfordernisse für Cookies durch die – längst fällige – Novelle der ePrivacy-Richtlinie einheitlich geregelt werden sollen.
Websitebetreiber*innen bleibt nach diesem Urteil vorerst nur die Möglichkeit einer bloßen Reichweitenmessung ohne Erstellung von anonymen oder pseudonimierten Nutzerprofilen. Die Reichweitenmessung wird man als notwendig für den Betrieb einer Website ansehen können. Auf die Zustimmung bei der Verwendung von Drittanbietercookies sollte auf gar keinen Fall verzichtet werden. HIer kann – wie ein Streifzug durch das Internet zeigt – allerdings durch die optische Gestaltung des sog. Cookie-Banners dem Willen der Nutzer zur Erteilung der Zustimmung Vorschub geleistet werden.
Wieweit beim Affiliate-Marketing eine Einwilligung vom User einzuholen ist, richtet sich danach, ob allein zur Provisionierung ein Cookie o.ä. auf dem Endgerät des Users gesetzt wird. Ist das der Fall wird man – auch nach der aktuellen Entscheidung des BGH – wohl die Notwendigkeit einer Einwilligung verneinen können. Werden jedoch mittels ein und desselben Cookies (Fingerprints o.ä.) weitere Informationen über den USer generiert, muss eine Einwilligung eingeholt werden. Es empfiehlt sich daher der Einsatz gesonderter Cookies.