UPDATE 28.05.2020

BGH-Urteil: Cookie-Speicherung bedarf aktiver Zustimmung

Der Bundesgerichtshof (BGH) hat in seinem Urteil vom 28.05.20 über die Anforderungen an die Einwilligung in die Speicherung von Cookies auf dem Endgerät des Nutzers entschieden. Für Werbetreibende bei Google Ads und die Webanalyse über Google Analytics ergibt sich daraus oftmals Handlungsbedarf.

Was wurde entschieden?

Im Wesentlichen hat der BGH das Urteil des Europäischen Gerichtshofes von 2019 bestätigt. Dort wurde entschieden, dass ein vom Nutzer abzuwählendes, voreingestelltes Ankreuzkästchen im Cookie-Banner keine wirksame Einwilligung darstellt.

Die Karlsruher Richter urteilten nun, dass “für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist”. Mit dieser Entscheidung widersprach der BGH einem Urteil des Frankfurter Oberlandesgerichts, das in der Cookie-Voreinstellung keinen Rechtsverstoß gesehen hatte.

Um werbliche Cookies zu speichern, muss in Zukunft also ausdrücklich ein aktives Opt-In erfolgen. Für Websitebetreiber ist dies ist bei der Umsetzung und technischen Einrichtung des Cookie-Banners zu berücksichtigen.

Das Urteil im Detail

Was sind die Auswirkungen für Google Ads?

Für Werbetreibende bei Google Ads sind Cookies vor allem zum Schalten personalisierter Werbung und für das Remarketing wichtig. Auch das Conversion Tracking ist davon betroffen. Dazu ist die Speicherung von Third-Party-Cookies notwendig, die nun einer aktiven Einwilligung bedarf.

Allgemein kann man die Faustregel formulieren: Ist die Leistung des Accounts stark abhängig von Kampagnen mit personalisierter Werbung oder Remarketing, sollte die Performance nun genau beobachtet werden. Eine Anpassung der Werbestrategie könnte nötig sein. Ist die Schaltung der Anzeigen weniger von Remarketing- oder Zielgruppenlisten abhängig, so können lediglich bei der Conversion-Messung Verluste auftreten.

Eher auf Google Ads Seite stellt sich nach dem Urteil die Frage, ob Smart Bidding Strategien und Attributionsmodelle in Europa weiterhin genauso effektiv eingesetzt werden können. Für den Teil der Nutzer, die nicht mit dem eigenen Google-Profil eingeloggt sind, könnte es nun weniger zusammenhängende Sitzungsdaten geben. Conversion-Pfade werden somit kürzer und ungenauer.

Was sind die Auswirkungen für Google Analytics?

Die Nutzer- und Sitzungsdaten in Google Analytics basieren bei der Einbindung über aktuelle Tracking Codes (gtag.js, analytics.js) auf Cookies. Dafür wird nun aktive Einwilligung des Nutzers benötigt, das entsprechende Kästchen im Cookie-Banner darf zumindest nicht voraktiviert sein. Mit Umsetzung der E-Privacy-Richtlinie ist davon auszugehen, dass auch andere Methoden der Einrichtung von Google Analytics darunter fallen, auch wenn dafür keine Cookies notwendig sind.

Schon vor dem Urteil des BGH liefen in Google Analytics nicht die Daten ausnahmslos aller Nutzer bei Google Analytics ein. Aktives Löschen von Cookies, Opt-Out Plugins oder Datenschutzeinstellungen in bestimmten Browsern sorgten für einen Anteil an Nutzern, die nicht erfasst wurden. Dieser Anteil wird sich mit der rechtssicheren Umsetzung des Cookie Opt-In vergrößern. Die in Google Analytics auswertbaren Daten stellen dann eine Stichprobe dar. Deren Größe in Bezug auf die Gesamtheit der Websitenutzung kann man im Backend der Cookie-Banner entnehmen.

Was ist für Werbetreibende zu tun?

Zunächst sollte geprüft werden, ob die eigene Website den Anforderungen der beiden Urteile genügt. Voreingestellte Häkchen zur Cookie-Speicherung sollten entfernt werden.

Für Werbetreibende, deren Umsätze stark an wirkungsvolle Zielgruppenwerbung und Remarketing-Kampagnen gebunden sind, sollte das Thema Consent Optimierung Pflicht sein. Ziel ist das Anbieten eines Cookie-Banners, das den Datenschutzanforderungen genügt aber einen Opt-In zugleich nicht unnötig erschwert.

Wie wird die Zukunft aussehen?

Dass Third-Party-Cookies ein Auslaufmodell sind, stand bereits vor dem neuerlichen Urteil fest. Mozillas Firefox und Apples Safari Browser blockieren bereits standardmäßig Third Party Cookies. Apple ist zudem noch einen Schritt weiter gegangen und löscht alle First Party Cookies nicht nach den branchenüblichen sieben Tagen, sondern bereits nach 24 Stunden. Auch Google wird ab 2022 Third Party Cookies blockieren.
Statt dem Cookie Tracking möchte Google die sogenannte „Privacy Sandbox“ optimieren. Damit sollen sowohl User als auch Publisher zufriedengestellt und die Einbußen in der Web-Analyse minimiert werden.

Durch die Sandbox setzt Google einen neuen Standard für Werbetreibende und Agenturen und stellt sicher, dass diese nicht auf Tracking verzichten müssen. Marketing-Experten werden sich somit zwangsweise mit Googles „Privacy Sandbox“ auseinandersetzen oder auf alternative Targeting-Methoden, wie das semantische Targeting, zurückgreifen.

Der I. Zivilsenat des Bundesgerichtshofs hatte über die Frage zu entscheiden, welche Anforderungen an die Einwilligung in die Speicherung von Cookies auf dem Endgerät des Nutzers zu stellen sind

In Cookies, die dazu dienen, das Nutzerverhalten im Internet zu tracken, muss man einwilligen. Die Entscheidung hat große Bedeutung für die Onlinebranche haben, aber auch für die Nutzer. Worum geht es?

Was sind Cookies?

Cookies per se sind, trotz häufiger Vermutung, nichts Negatives. Sie ermöglichen eine leichtere und schnellere Nutzung von Webseiten, weil sie Informationen über User sichern. So können nutzer einer Website wiedererkannt und bestimmte Einstellungen, wie beispielsweise die Sprache der Seite oder Login-Informationen, gespeichert werden.

Auf Basis von Web-Analysen, welche ebenfalls durch den Einsatz von Cookies möglich gemacht werden, können Webseiten nutzerfreundlicher gestaltet werden. Cookies, die eigentlich kleine Code-Schnipsel sind, werden auf dem jeweiligen Gerät des Nutzers gespeichert und können in den Browser-Einstellungen auch wieder gelöscht werden.

First vs. Third Party Cookies

Grundsätzlich wird zwischen den sogenannten First Party Cookies und Third Party Cookies unterschieden. First Party bedeutet, dass das Cookie von der besuchten Webseite, auf welcher der User sich gerade befindet, selbst gesetzt wurde. Third Party Cookies hingegen stammen von Drittanbietern, die beispielsweise Werbung auf der besuchten Seite schalten.

Die Third Party Cookies markieren den Nutzer der Webseite. Sollte der Benutzer anschließend nochmals eine Seite des Drittanbieters, oder eine Seite, auf welcher der Drittanbieter Werbung geschaltet hat, besuchen, so wird er durch das gesetzte Cookie wiedererkannt und es wird im z.B. entsprechend spezifische Werbung angezeigt. Man verfolgt damit das Verhalten des Users und kann so unter anderem gezielte Angaben über die Verweildauer auf unterschiedlichen Seiten, die Navigation von Links und die Häufigkeit von Seitenaufrufen machen. Dadurch können Interessens- und Nutzerprofile erstellt und auf den User zugeschnittene Werbenanzeigen ausgespielt werden. Auch Conversions können von Third Party Cookies erfasst werden.

Third Party-Cookies können also an weitere Webseitenbetreiber übermittelt werden. Somit kann der Weg eines Nutzers durch das gesamte Internet nachvollzogen werden.

An diesen Eigenschaften der Third-Party-Cookies stören sich die Datenschützer, aber dazu gleich mehr.

First Party Cookies stammen von der Webseite, welche vom Nutzer gerade besucht wird. Der User kann durch diese Cookies nur auf der Seite wiedererkannt werden, auf welcher das Cookie ursprünglich gesetzt wurde, jedoch nicht auf anderen Webseiten, wie es bei Third Party Cookies der Fall ist. Die Analyse des Nutzungsverhaltens kann somit auch nur der Webseitenbetreiber selbst einsehen. Die meisten First Party Cookies stellen in erster Linie die Funktionstüchtigkeit einer Seite sicher, z.B. dass der Warenkorb nicht vergisst, dass bereits Sachen hineingelegt worden sind.

Third Party Cookies und der Datenschutz

Datenschützer bemängeln schon seit Langem den Einsatz von Cookies durch Drittanbieter. Ihrer Meinung nach ist diese Art des Trackings nicht anonym genug. Auch der Europäische Gerichtshof hat den Einsatz von Third Party Cookies bereits reguliert. Laut EuGH müssen User den Cookies von Drittanbietern beziehungsweise Cookies für Werbezwecke explizit durch die sogenannte Opt-In-Funktion zustimmen.

Jedes Cookie für den Nutzer muss laut neuester Rechtssprechung einzeln aus- beziehungsweise abwählbar sein. Dem Third-Party-Cookie-Einsatz kann also bereits jetzt ausdrücklich widersprochen werden.

Wieso sollen Third Party Cookies dauerhaft blockiert werden?

Grund Nummer eins, weshalb Third Party Cookies blockiert werden sollen, ist der Datenschutz von Verbrauchern. So ging aus einem Urteil des EuGH im Oktober 2019 hervor, dass voreingestellte Zustimmungs-Banner unzulässig sind. Nutzer müssen Cookies also immer aktiv und vor allem freiwillig zustimmen, erst danach dürfen die erhobenen Daten für Marketing-, Analyse- und Tracking-Zwecke verwendet werden. First Party Cookies, beispielsweise für Warenkörbe, Login-Informationen oder Spracheinstellungen sind davon natürlich ausgeschlossen.

Auch neue Tracking-Methoden wie Fingerprints sind nach dem EuGh Urteil ohne Zustimmung rechtswidrig.

Welche Auswirkungen hat das Verbot auf die Online-Marketing-Branche?

Ein De Facto Verbot der Cookies durch den BGH hatte gravierende Auswirkungen. Verlage und andere Unternehmen, die auf Tracking-Cookies für ihre zielgerichtete Werbung setzen (müssen), werden die Nutzer weiter mit eingeblendeten Einwilligungsbannern und Consent-Management-Tools nerven – oder ihre Werbung weniger zielgerichtet gestalten.

Beide Varianten werden sie allerdings erhebliche Werbeinnahmen kosten und auch nicht immer im Sinne der Nutzer sein.

Kaum betroffen von all diesen Erwägungen sind übrigens die Anbieter (sozialer) Netzwerke, bei denen sich die Nutzer freiwillig registrieren, anmelden und dabei die entsprechenden Einwilligungen erteilen.

Third-Party-Cookies sind ein Auslaufmodell

Mozillas Firefox und Apples Safari Browser blockieren bereits standardmäßig Third Party Cookies. Apple ist zudem noch einen Schritt weiter gegangen und löscht alle First Party Cookies nicht nach den branchenüblichen sieben Tagen, sondern bereits nach 24 Stunden.

Mozilla hat ebenfalls in einem Update seinen Browser gegen Third Party Cookies gewappnet. So werden in Firefox nun knapp 80 Prozent aller Cookies von Werbetreibenden blockiert. Das führt zu nicht personalisierter Werbung für den Nutzer und damit zu mehr Streuverlust und höheren Kosten für Werbetreibende.

Auch Google wird ab 2022 Third Party Cookies blockieren. Das hat insbesondere enorme Auswirkungen auf den Tech-Giganten selbst, da er diese Art von Cookies zur Auswertung seiner Google Ads Conversions benötigt. Statt dem Cookie Tracking möchte Google innerhalb der kommenden zwei Jahre die sogenannte „Privacy Sandbox“ optimieren. Damit sollen sowohl User als auch Publisher zufriedengestellt und die Einbußen in der Web-Analyse minimiert werden.

Webseiten könnten dann, statt auf Cookies, auf ein „Privacy Budget“ zurückgreifen, mit dessen Hilfe Anfragen an APIs gesendet werden. Diese sammeln ebenfalls Nutzungsdaten, jedoch bleibt der User anonym, da er als Individuum immer nur einen kleinen Bestandteil einer übergeordneten Zielgruppe darstellt. Nutzer werden somit nicht namentlich identifizierbar, können aber trotzdem personalisierte Werbung ausgespielt bekommen. Google setzt bei der „Privacy Sandbox“ auf seine Sonderstellung als Tech-Riese und will bewirken, dass eine komplette Industrie auf die Sandbox umsteigt. Durch die Sandbox setzt Google einen neuen Standard für Werbetreibende und Agenturen und stellt sicher, dass diese nicht auf das essentielle Tracking verzichten müssen.

Marketing-Experten werden sich somit zwangsweise mit Googles „Privacy Sandbox“ auseinandersetzen oder rein auf alternative Targeting-Methoden, wie das semantische Tracking, zurückgreifen müssen.

Urteil vom 28. Mai 2020 – I ZR 7/16 – Cookie-Einwilligung II

Der unter anderem für Ansprüche nach dem Unterlassungsklagengesetz zuständige I. Zivilsenat des Bundesgerichtshofs hat über die Frage entschieden, welche Anforderungen an die Einwilligung in telefonische Werbung und die Speicherung von Cookies auf dem Endgerät des Nutzers zu stellen sind.

Sachverhalt:

Der Kläger ist der Bundesverband der Verbraucherzentralen. Die Beklagte veranstaltete im September 2013 unter ihrer Internetadresse ein Gewinnspiel. Nach Eingabe der Postleitzahl gelangte der Nutzer auf eine Seite, auf der Name und Anschrift des Nutzers einzutragen waren. Unter den Eingabefeldern für die Adresse befanden sich zwei mit Ankreuzfeldern versehene Einverständniserklärungen.

Mit Bestätigen des ersten Textes, dessen Ankreuzfeld nicht mit einem voreingestellten Häkchen versehen war, sollte das Einverständnis mit einer Werbung durch Sponsoren und Kooperationspartner der Beklagten per Post, Telefon, E-Mail oder SMS erklärt werden. Dabei bestand die Möglichkeit, die werbenden Sponsoren und Kooperationspartner aus einer verlinkten Liste von 57 Unternehmen selbst auszuwählen. Andernfalls sollte die Beklagte diese Auswahl treffen.

Das zweite Ankreuzfeld war mit einem voreingestellten Häkchen versehen und wies folgenden Text auf:

“Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die [Beklagte], nach Registrierung für das Gewinnspiel Cookies setzt, welches [der Beklagten] eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.”

In der mit dem Wort “hier” verlinkten Erläuterung wurde darauf hingewiesen, dass die Cookies eine bestimmte, zufallsgenerierte Nummer (ID) erhalten würden, die den Registrierungsdaten des Nutzers zugeordnet seien, der sich mit Namen und Adresse in das bereitgestellte Webformular eingetragen habe. Falls der Nutzer mit der gespeicherten ID die Webseite eines für Remintrex registrierten Werbepartners besuchen würde, sollte sowohl dieser Besuch erfasst werden als auch, für welches Produkt sich der Nutzer interessiert und ob es zu einem Vertragsschluss kommt.

Der voreingestellte Haken konnte entfernt werden. Eine Teilnahme am Gewinnspiel war aber nur möglich, wenn mindestens eines der beiden Felder mit einem Haken versehen war.

Soweit im Revisionsverfahren relevant, hat der Kläger verlangt, der Beklagten zu verbieten, entsprechende Einverständniserklärungen in Gewinnspielvereinbarungen mit Verbrauchern einzubeziehen oder sich darauf zu berufen. Der Kläger hat außerdem Ersatz der Abmahnkosten verlangt.

Bisheriger Prozessverlauf:

Das Landgericht hat die Beklagte hinsichtlich beider Einverständniserklärungen zur Unterlassung sowie zur Zahlung von Abmahnkosten verurteilt. Die Berufung der Beklagten hatte hinsichtlich des Antrags auf Unterlassung der Verwendung der mit einem voreingestellten Ankreuzfeld versehenen Einwilligungserklärung in die Nutzung von Cookies Erfolg. Beide Parteien haben die vom Oberlandesgericht zugelassene Revision eingelegt.

Der Bundesgerichtshof hat das Verfahren mit Beschluss vom 5. Oktober 2017 ausgesetzt und dem Gerichtshof der Europäischen Union verschiedene Fragen zur Auslegung der Richtlinie 2002/58/EG (Datenschutzrichtlinie für elektronische Kommunikation), der Richtlinie 95/46/EG (Datenschutzrichtlinie) sowie der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) hinsichtlich der Wirksamkeit einer Einwilligung in das Setzen von Cookies durch ein voreingestelltes Ankreuzkästchen vorgelegt. Diese Fragen hat der Gerichtshof der Europäischen Union mit Urteil vom 1. Oktober 2019 beantwortet.

Entscheidung des Bundesgerichtshofs:

Nunmehr hat der Bundesgerichtshof die Revision der Beklagten zurückgewiesen und auf die Revision des Klägers das Berufungsurteil hinsichtlich der Cookie-Einwilligung aufgehoben und die erstinstanzliche Verurteilung der Beklagten wiederhergestellt.

Hinsichtlich der Einwilligung in telefonische Werbung ist die Beklagte gemäß §§ 1, 3 Abs. 1 Nr. 1 UKlaG in Verbindung mit § 307 Abs. 1 Satz 1 und Abs. 2 Nr. 1 BGB und § 7 Abs. 2 Nr. 2 Fall 1 UWG zur Unterlassung und zum Ersatz von Abmahnkosten verpflichtet, weil es sowohl nach der im Zeitpunkt der beanstandeten Handlung geltenden Rechtslage als auch nach der Rechtslage im Entscheidungszeitpunkt an einer wirksamen Einwilligung in telefonische Werbung fehlt. § 7 Abs. 2 Nr. 2 UWG dient der Umsetzung des Art. 13 Abs. 3 und 5 Satz 1 der Richtlinie 2002/58/EG, deren Art. 2 Satz 2 Buchst. f für die Definition der Einwilligung auf Art. 2 Buchst. h der Richtlinie 95/46/EG verweist, so dass der Begriff der “Einwilligung” richtlinienkonform zu bestimmen ist. Für die Zeit ab dem 25. Mai 2018 ist auf die in Art. 4 Nr. 11 der Verordnung (EU) 2016/679 vorgesehene Definition abzustellen, weil seither gemäß Art. 94 Abs. 1 und 2 Satz 1 dieser Verordnung Verweise auf die aufgehobene Richtlinie 95/46/EG als Verweise auf diese Verordnung gelten.

Eine Einwilligung wird “in Kenntnis der Sachlage” im Sinne des Art. 2 Buchst. h der Richtlinie 95/46/EG erteilt, wenn der Verbraucher weiß, dass seine Erklärung ein Einverständnis darstellt und worauf sie sich bezieht. Die Einwilligung erfolgt im Sinne dieser Vorschrift “für den konkreten Fall”, wenn klar wird, die Produkte oder Dienstleistungen welcher Unternehmen sie konkret erfasst. Daran fehlt es im Streitfall, weil die beanstandete Gestaltung der Einwilligungserklärung darauf angelegt ist, den Verbraucher mit einem aufwendigen Verfahren der Auswahl von in der Liste aufgeführten Partnerunternehmen zu konfrontieren, um ihn zu veranlassen, von dieser Auswahl abzusehen und stattdessen der Beklagten die Wahl der Werbepartner zu überlassen. Weiß der Verbraucher mangels Kenntnisnahme vom Inhalt der Liste und ohne Ausübung des Wahlrechts nicht, die Produkte oder Dienstleistungen welcher Unternehmer die Einwilligung erfasst, liegt keine Einwilligung für den konkreten Fall vor. Aus diesen Gründen fehlt es auch an einer Einwilligung “für den bestimmten Fall” im Sinne des Art. 4 Nr. 11 der Verordnung (EU) 2016/679, die insoweit keine Rechtsänderung herbeigeführt hat.

Hinsichtlich der Einwilligung in die Speicherung von Cookies steht dem Kläger gleichfalls ein Unterlassungsanspruch gemäß § 1 UKlaG in Verbindung mit § 307 Abs. 1 Satz 1 und Abs. 2 Nr. 1 BGB zu. Die von der Beklagten in Form einer Allgemeinen Geschäftsbedingung vorgesehene Einwilligung des Nutzers, die den Abruf von auf seinem Endgerät gespeicherten Informationen mithilfe von Cookies im Wege eines voreingestellten Ankreuzkästchens gestattet, stellt sowohl nach dem im Zeitpunkt der beanstandeten Handlung geltenden Recht als auch nach dem im Entscheidungszeitpunkt geltenden Recht eine unangemessene Benachteiligung des Nutzers dar.

Die Einholung der Einwilligung mittels eines voreingestellten Ankreuzkästchens war nach der bis zum 24. Mai 2018 geltenden Rechtslage – also vor Geltung der Verordnung (EU) 2016/679 – im Sinne von § 307 Abs. 2 Nr. 1 BGB mit wesentlichen Grundgedanken des § 15 Abs. 3 Satz 1 TMG unvereinbar. Der beanstandete Einsatz von Cookies durch die Beklagte als Diensteanbieter dient, wie von § 15 Abs. 3 Satz 1 TMG vorausgesetzt, der Erstellung von Nutzerprofilen zum Zwecke der Werbung, indem das Verhalten des Nutzers im Internet erfasst und zur Zusendung darauf abgestimmter Werbung verwendet werden soll. Bei der im Streitfall in den Cookies gespeicherten zufallsgenerierten Nummer (ID), die den Registrierungsdaten des Nutzers zugeordnet ist, handelt es sich um ein Pseudonym im Sinne dieser Vorschrift. § 15 Abs. 3 Satz 1 TMG ist mit Blick auf Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/EG geänderten Fassung dahin richtlinienkonform auszulegen, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist. Der Gerichtshof der Europäischen Union hat auf Vorlage durch den Senat entschieden, dass Art. 2 Buchst. f und Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG dahin auszulegen sind, dass keine wirksame Einwilligung im Sinne dieser Bestimmungen vorliegt, wenn die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers einer Website gespeichert sind, mittels Cookies durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss. Auf die Frage, ob es sich bei den Informationen um personenbezogene Daten handelt, kommt es nach der Entscheidung des Gerichtshofs in diesem Zusammenhang nicht an. Der richtlinienkonformen Auslegung des § 15 Abs. 3 Satz 1 TMG steht nicht entgegen, dass der deutsche Gesetzgeber bisher keinen Umsetzungsakt vorgenommen hat. Denn es ist anzunehmen, dass der Gesetzgeber die bestehende Rechtslage in Deutschland für richtlinienkonform erachtete. Mit dem Wortlaut des § 15 Abs. 3 Satz 1 TMG ist eine entsprechende richtlinienkonforme Auslegung noch vereinbar. Im Fehlen einer (wirksamen) Einwilligung kann im Blick darauf, dass der Gesetzgeber mit § 15 Abs. 3 Satz 1 TMG das unionsrechtliche Einwilligungserfordernis umgesetzt sah, der nach dieser Vorschrift der Zulässigkeit der Erstellung von Nutzungsprofilen entgegenstehende Widerspruch gesehen werden.

An dieser Rechtslage hat sich seit dem 25. Mai 2018, dem ersten Geltungstag der Verordnung (EU) 2016/679, nichts geändert, weil diese Verordnung nach ihrem Art. 95 die Fortgeltung des § 15 Abs. 3 Satz 1 TMG als den Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG umsetzende nationale Regelung unberührt lässt. Soweit für die Definition der Einwilligung nicht mehr auf Art. 2 Buchst. h der aufgehobenen Richtlinie 95/46/EG abgestellt werden kann, sondern Art. 4 Nr. 11 der Verordnung (EU) 2016/679 heranzuziehen ist, führt dies zum selben Ergebnis. Der Gerichtshof der Europäischen Union hat auf Vorlage durch den Senat auch mit Blick auf Art. 4 Nr. 11 der Verordnung (EU) 2016/679 entschieden, dass ein vom Nutzer abzuwählendes, voreingestelltes Ankreuzkästchen keine wirksame Einwilligung darstellt.

Vorinstanzen:

LG Frankfurt am Main – Urteil vom 10. Dezember 2014 – 2/6 O 30/14

OLG Frankfurt am Main – Urteil vom 17. Dezember 2015 – 6 U 30/15

BGH, Beschluss vom 5. Oktober 2017 – I ZR 7/16, Cookie-Einwilligung I

EuGH, Urteil vom 1. Oktober 2019, C-673/17, PLANET49

Die maßgeblichen Vorschriften lauten:

§ 1 UKlaG:

Wer in Allgemeinen Geschäftsbedingungen Bestimmungen, die nach den §§ 307 bis 309 des Bürgerlichen Gesetzbuchs unwirksam sind, verwendet oder für den rechtsgeschäftlichen Verkehr empfiehlt, kann auf Unterlassung und im Fall des Empfehlens auch auf Widerruf in Anspruch genommen werden.

§ 307 Abs. 1 Satz 1 und Abs. 2 Nr. 1 BGB:

(1) Bestimmungen in Allgemeinen Geschäftsbedingungen sind unwirksam, wenn sie den Vertragspartner des Verwenders entgegen den Geboten von Treu und Glauben benachteiligen. …

(2) Eine unangemessene Benachteiligung ist im Zweifel anzunehmen, wenn eine Bestimmung

1. mit wesentlichen Grundgedanken der gesetzlichen Regelung, von der abgewichen wird, nicht zu vereinbaren ist

§ 7 Abs. 1 Satz 1 und Abs. 2 Nr. 2 UWG:

(1) Eine geschäftliche Handlung, durch die ein Marktteilnehmer in unzumutbarer Weise belästigt wird, ist unzulässig. …

(2) Eine unzumutbare Belästigung ist stets anzunehmen

2. bei Werbung mit einem Telefonanruf gegenüber einem Verbraucher ohne dessen vorherige ausdrückliche Einwilligung oder gegenüber einem sonstigen Marktteilnehmer ohne dessen zumindest mutmaßliche Einwilligung.

§ 15 Abs. 3 Satz 1 TMG:

Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht.

Art. 2 Satz 2 Buchst. f der Richtlinie 2002/58/EG:

Weiterhin bezeichnet im Sinne dieser Richtlinie der Ausdruck “Einwilligung” eines Nutzers oder Teilnehmers die Einwilligung der betroffenen Person im Sinne von Richtlinie 95/46/EG;

Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG:

Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u.a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat.

Art. 2 Buchst. h der Richtlinie 95/46/EG:

Im Sinne dieser Richtlinie bezeichnet der Ausdruck “Einwilligung der betroffenen Person” jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden.

Art. 4 Nr. 11 der Verordnung (EU) 2016/679:

Im Sinne dieser Verordnung bezeichnet der Ausdruck “Einwilligung” der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Art. 94 Abs. 1 und 2 Satz 1 der Verordnung (EU) 2016/679:

(1) Die Richtlinie 95/46/EG wird mit Wirkung vom 25. Mai 2018 aufgehoben.

(2) Verweise auf die aufgehobene Richtlinie gelten als Verweise auf die vorliegende Verordnung. …

Art. 95 der Verordnung (EU) 2016/679:

Diese Verordnung erlegt natürlichen oder juristischen Personen in Bezug auf die Verarbeitung in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in öffentlichen Kommunikationsnetzen in der Union keine zusätzlichen Pflichten auf, soweit sie besonderen in der Richtlinie 2002/58/EG festgelegten Pflichten unterliegen, die dasselbe Ziel verfolgen.