Die Sache mit dem Häkchen und seine Folgen

Am 28. Mai war es endlich soweit: Der Bundesgerichtshof (BGH) hat im Verfahren zu „Planet49“ ein wegweisendes Urteil über den Einsatz von Cookies gefällt – und damit einen Schlussstrich unter eine seit Jahren geführte Debatte gezogen: Nutzer von Websites müssen technisch nicht erforderlichen Cookies aktiv zustimmen. Was das nun genau bedeutet und was trotzdem unklar bleibt. Eine Bestandsaufnahme.

Das Urteil: Was war eigentlich geschehen?

Die Verbraucherzentrale Bundesverband (vzbv) klagte bereits 2013 gegen den Gewinnspieleanbieter „Planet49“. Das Unternehmen sammelte im Rahmen von Gewinnspielen Daten für Werbezwecke. Bevor Nutzer an einem Spiel teilnehmen konnten, wurde ihnen ein vorausgefülltes Kästchen präsentiert, über das sie sich mit dem Einsatz von Cookies und dem Ausspielen von Werbung einverstanden erklärten. Die vzbv war der Ansicht, dass ein bereits gesetztes Häkchen für diese Art von Cookies nicht zulässig ist und bekam im Oktober 2019 vor dem Europäischen Gerichtshof (EuGH) und in letzter Instanz nun auch vor dem BGH recht.

Hierzu Thomas Koch, Vorsitzender des I. Zivilsenats, bei der Urteilsverkündung:
„Es ist keine wirksame Einwilligung, wenn hier ein voreingestelltes Ankreuzkästchen vorgesehen ist, das von dem Nutzer dann abgewählt werden muss.

Gut zu wissen:

Bei rechtlichen Urteilen oder Verboten zu Cookies dreht es sich immer um Cookies, die für den technischen Betrieb einer Website NICHT unbedingt erforderlich sind. Man spricht auch von NICHT notwendigen oder NICHT essenziellen Cookies. Unbedingt erforderliche und damit einwilligungsfreie Cookies sind davon nicht betroffen. Diese Verkürzung wird gerade von Juristen immer wieder kritisiert. Dennoch ist es gängige Sprachpraxis, „die Erforderlichkeit“ nicht explizit zu benennen.

Ein Großteil der heutigen Websites verwendet Cookies. Es ist unbestreitbar, dass sie das Surfen im Web deutlich komfortabler gestalten und viele Funktionen einer Webseite überhaupt erst ermöglichen. Grundsätzlich sind Cookies einfach praktisch und dienen dem Nutzerkomfort, indem sie den Webseitenbesucher sozusagen „wiedererkennen“.

Mit dem abschließenden Urteil des BGH steht für Webseitenbetreiber nun allerdings rechtsverbindlich fest: Cookies, die für den Betrieb einer Website nicht unbedingt erforderlich sind, dürfen nur nach expliziter Einwilligung des Nutzers gesetzt werden. Eine „Einwilligung“ ist wiederum nur dann wirksam, wenn sie eindeutig und aktiv vom Nutzer ausgeht, wie zum Beispiel der Klick auf einen Button, eine Schaltfläche oder sonstige Checkbox.

Mit dieser jetzt geltenden sogenannten Opt-in-Pflicht ist der bisherige deutsche Sonderweg endgültig passé: Mit einfachen Hinweisen wie „Wir verwenden auf dieser Seite Cookies“ Nutzer mit einem Klick auf „Ich stimme zu“ oder „Verstanden und fortfahren“ weitersurfen zu lassen, ist nicht mehr zulässig. Auch eine schon vorher ausgewählte Checkbox im Cookie-Banner genügt nicht mehr. Zudem müssen Webseitenbetreiber auch noch nachvollziehbar darstellen, welche Daten erhoben und ob diese etwa an Drittanbieter wie Werbetreibende weitergegeben werden. Sollten auf einer Website hingegen keine oder nur technisch notwendige und damit einwilligungsfreie Cookies gesetzt sein, genügt eine Erwähnung in der Datenschutzerklärung.

Die Bedeutung für die Praxis: Unklarheiten bleiben

Trotz des wegweisenden Urteils bleiben wichtige praxisrelevante Fragen offen. So ist nach wie vor unklar, für welche Art von Cookies eine explizite Einwilligungspflicht gilt und für welche nicht. Es existiert derzeit kein verbindlicher Katalog, an dem sich Webseitenbetreiber orientieren können.

Wie bereits erwähnt, sind nach derzeitigem Stand Cookies einwilligungsfrei, die technisch für den reibungslosen Betrieb einer Website erforderlich sind. Die Ansichten, welche Cookies damit genau gemeint sind, gehen aber weit auseinander. Juristen können in diesem Zusammenhang höchstens notwendige Cookies benennen, die als „hinreichend sicher“ erachtet werden. Damit bleibt die Lage weiter undurchsichtig. Doch gerade Betreiber von Webseiten benötigen dringend Rechtssicherheit, um keine Datenschutzverstöße und damit teure Abmahnungen zu riskieren. Obendrein soll die deutsche Rechtslage zu Cookies zwischenzeitlich erneut angepasst werden. Das bedeutet im Zweifelsfall, dass Cookie-Banner und die dazugehörige Datenschutzerklärungen mehrfach angepasst werden müssen – was nicht zuletzt auch eine finanzielle Belastung darstellt.

Lassen Sie sich individuell beraten!

Jede Webseite ist anders und bringt eigene Anforderungen mit sich. Bevor Sie sich also auf den Weg machen und ihre Cookie-Hinweise blindlings anpassen, ist es sinnvoll, sich von einem fachkundigen Dienstleister beraten zu lassen: Welche Cookies kommen auf Ihrer Website überhaupt zum Einsatz, wozu sind sie gut und was haben Sie selbst und auch Ihre Webseitenbesucher davon? Und welche Art von Cookie-Hinweis in Verbindung mit einer vollständigen Datenschutzerklärung ist damit schlussendlich für Sie geeignet?

Um sich auch eine ständige Beschäftigung mit dieser Thematik zu ersparen, sind insbesondere Tools für Cookie-Banner von Anbietern sinnvoll, die sich nach Änderungen der Rechtslage automatisch aktualisieren und natürlich eine rechtskonforme Ausgestaltung garantieren.

Derzeit liegt lediglich die Pressemitteilung des BGH vor. Die konkreten Entscheidungsgründe der Karlsruher Richter werden weiterhin erwartet. Ob sich zusätzliche Ergänzungen zum Urteil ergeben, inwieweit Cookies Ermessenssache werden und wie es dann für Marketer und Webseitenbetreiber weitergeht, bleibt abzuwarten.