Am 28.05.2020 hat der Bundesgerichtshof (BGH) erwartungsgemäß ein wichtiges Urteil über Informationspflichten von Webseitenbetreibern bei der Verwendung von Cookies gefällt. Damit ist nun eindeutig entschieden, dass Webseitenbetreiber eine aktive Einwilligung benötigen, um (nicht technische) Cookies zu nutzen, wenn diese beim Besuch einer Webseite nicht zwingend erforderliche sind. Nicht unbedingt erforderlich sind u. a. Cookies, die dabei helfen, das Surfverhalten zu erfassen, auf Nutzer abgestimmte Werbung anzeigen zu lassen oder ein Nutzerprofil zu erstellen.

Diese aktive Zustimmung wird auch als Opt-in-Verfahren bezeichnet. Ein bereits standardmäßig vorausgewählter Haken in einer Checkbox des Cookie-Banners, der vom Webseitenbesucher abgewählt werden könnte (Opt-out), ist damit unzulässig.

Ebenso unrechtmäßig sind Cookie-Banner, die keine Auswahlmöglichkeit-Buttons haben und nur weggeklickt werden können.

Damit folgten die Richter des BGH dem Urteil des Europäischen Gerichtshofs (EuGH) aus dem Oktober 2019, dass vorausgefüllte Cookie-Banner mit europäischem Recht nicht vereinbar sind. Viele Webseitenbetreiber in Deutschland haben sich bisher noch auf das Telemediengesetz (TMG) berufen, laut dem Besucher von Webseiten dem Tracking mit Cookies nur aktiv widersprechen müssten.

Das bedeutet, dass Checkboxen in Cookie-Banner bereits ausgefüllt sein konnten und vom Nutzer abgewählt werden mussten.

Hintergrund und bisherige Rechtslage in Deutschland

Die Entscheidung fiel, nachdem der Bundesverband der Verbraucherzentralen im Jahr 2013 den Anbieter für Online-Gewinnspiele Planet49 abgemahnt hatte. Der Grund dafür war eine bereits angekreuzte Checkbox, durch die der Internetnutzer automatisch dem setzen von Cookies für Werbezwecke zustimmte.

Daraufhin erfolgten diverse Gerichtsverfahren über mehrere Instanzen, bis der Fall vor dem BGH landete. Dieser verwies den Fall, im Rahmen eines Vorabentscheidungsverfahrens, an den EuGH, um die Auslegung einschlägiger Normen des europäischen Rechts klären zu lassen. Nachdem der EuGH im Oktober 2019 das Urteil für die Fragen gefällt und entschieden hatte, dass der Internetnutzer nach europäischem Recht bei bestimmten Cookies aktiv einwilligen muss, lag der Fall zur finalen Klärung wieder beim BGH.

Bisher war die Rechtslage in Deutschland eher uneindeutig und die Auslegung umstritten. Laut dem § 15 Abs. 3 des TMG aus dem Jahr 2007 genügte bisher ein Opt-out, also ein Widerspruch des Nutzers, was jedoch entgegen der ePrivacy-Richtlinie aus dem Jahr 2009 stand, die eine explizite Einwilligung forderte. Diese Richtlinie wurde jedoch in Deutschland bisher nicht vollständig umgesetzt, weil die Regierung die deutsche Rechtslage als ausreichend ansah.

Weitere Klärung sollte die neue ePrivacy-Verordnung herbeiführen, welche ursprünglich 2018, zusammen mit der DSGVO, eingeführt werden sollte, aber aktuell weiterhin in Verhandlung ist und voraussichtlich auch nicht mehr im Jahr 2020 eingeführt werden wird. Mit seiner Entscheidung hat der EuGH jedoch bereits jetzt der bisherigen deutschen Sichtweise eine Absage erteilt.

Was sind unbedingt erforderliche Cookies?

Cookies sind praktisch und werden heutzutage bei fast allen Webseiten genutzt. Sie sind kleine Dateien, die beim Besuch einer Webseite im Browser des Nutzers gespeichert werden und nützliche Informationen enthalten können. Cookies können beispielsweise Log-in-Daten der Nutzer oder Inhalte von Warenkörben speichern und beim nächsten Seitenbesuch automatisch wieder bereitstellen. Sie können aber auch von Tracking-Diensten, wie Google Analytics, zur Wiedererkennung von Besuchern über mehrere Webseiten hinweg verwendet werden, um Werbung, basierend auf deren Interessen, anzeigen zu lassen.

Das aktuelle Urteil des BGH hat nun klargemacht, dass alle nicht unbedingt erforderlichen Cookies eine aktive Einwilligung des Nutzers benötigen. Durch das Urteil wurde jedoch nicht eindeutig geklärt, welche Arten von Cookies unbedingt erforderlich sind. Zudem gibt es auch keine offizielle Übersicht oder Datenbank, die zur Klärung dieser Fragen beitragen würde. So bleibt es den Gerichten und Datenschutzbehörden überlassen, die Klärung für die Zukunft zu übernehmen.

Es spricht vieles dafür, dass sowohl technische Cookies, die für den Betrieb und für grundlegende Funktionen einer Webseite nötig sind, als auch Cookies, die im Nutzerinteresse sind, wie beispielsweise Session-Cookies, als erforderlich anzusehen sein werden. Tracking-Cookies sowie Cookies für Marketing- oder Werbezwecke werden künftig wohl eine aktive Einwilligung benötigen.

Bedeutung für Webseitenbetreiber

Das bedeutet für sehr viele Webseitenbetreiber, dass sie ihre Cookie-Banner jetzt ändern müssen, um auch künftig die Cookie-Verwendung ihren Nutzern gegenüber rechtskonform ausweisen zu können und sich nicht der Gefahr von Abmahnungen auszusetzen. Besonders auch in der aktuellen Corona-Situation nimmt die Bedeutung eines seriösen Internetauftritts stark an Bedeutung zu, da die Webseite für immer mehr Interessenten der bevorzugte Weg einer ersten Informationsgewinnung und Kontaktaufnahme wird.

Durch das BGH-Urteil müssen Webseitenbesucher künftig die Möglichkeit haben, in nicht notwendige Cookies, wie für Tracking, Werbe- oder Marketingzwecke aktiv einwilligen zu können (Opt-in). Ein Cookie-Banner, bei dem die betreffenden Checkboxen bereits angekreuzt sind oder ein Banner mit der Aussage, dass man durch Fortsetzung des Webseitenbesuchs der Cookie-Verwendung zustimmt, ist nicht mehr zulässig. Cookies müssen tatsächlich blockiert werden und bleiben, wenn keine Einwilligung gegeben wird.

Webdienstleister und Internetagenturen können Webseitenbetreiber bei notwendigen Änderungen unterstützen.

Der Fachverband deutscher Webseiten-Betreiber (FdWB) ist ebenfalls hilfreich, kostenfrei vertrauenswürdige und kompetente Dienstleister zu finden.

Darüber hinaus bietet der FdWB kostenlose Beratungsleistungen rund um das Thema gesetzliche Anforderungen an Webseiten an, um offene Fragen zu beantworten oder die notwendigen Anpassungen genauer zu erläutern.

Ein weiterer Service des Fachverbands deutscher Webseiten-Betreiber ist die Zertifizierung nach dem International Website Trust Standard (IWTS). Der IWTS-Standard des FdWB prüft neben der Zulässigkeit und Vollständigkeit des Cookie-Banners zahlreiche weitere wichtige Bereiche einer Webseite hinsichtlich Datenschutz, Inhaberschaft und Ausweisungspflichten sowie Benutzerfreundlichkeit. Somit können Betreiber von Webseiten Ihren Besuchern zeigen, dass ihre Webseite sicher ist.