Einwilligung im Online-Kontext - BGH-Urteile in den Verfahren Planet49 (I ZR 7/16) und Facebook (I ZR 186/17)

Einwilligungen dominieren den Online-Alltag. Die Ausgestaltung dieser Einwilligungen variiert jedoch stark. Einige Webseiten arbeiten mit elaborierten Cookie-Bannern. In anderen Fällen werden lediglich rudimentäre Informationen bereitgestellt und eine Einwilligung eher fingiert, als tatsächlich eingeholt.

Der Bundesgerichtshof (BGH) hat heute in zwei bedeutenden Fällen Entscheidungen erlassen, welche die Einwilligung, die Verwendung von Cookies und die Durchsetzung von Anforderungen nach der DSGVO durch Dritte betreffen (siehe hier und hier).

Planet 49 („Cookie-Einwilligung II“-Entscheidung)

Mit seiner ersten Entscheidung, die auf dem Urteil des Europäischen Gerichtshofs (EuGH) in der Sache Planet49 beruht (weitere Einzelheiten finden Sie in unserer Zusammenfassung dieser Entscheidung), hat der BGH Voraussetzungen für eine wirksame Einwilligung in die Verwendung von Cookies aufgestellt. Danach gilt Folgendes:

• § 15 Absatz 3 TMG, der eine gesetzliche Grundlage für die Verwendung von Cookies enthält, muss im Einklang mit der ePrivacy-Richtlinie ausgelegt werden.
• Daher erfordert die Verwendung von Cookies für Zwecke der Werbung oder Marktforschung grundsätzlich eine Einwilligung.
• Dies gilt unabhängig davon, ob die Cookies personenbezogene Daten erheben.
• Die Einwilligung muss durch eine aktive Bestätigungshandlung erklärt werden. Vorangekreuzte Kontrollkästchen sind hierfür weder nach dem Telemediengesetz noch nach der DSGVO ausreichend.
• Um das Erfordernis einer informierten Einwilligung zu erfüllen, bedarf es detaillierter Informationen; diese dürfen jedoch nicht ausufernd sein, da eine überwältigende Menge an Informationen verhindert, dass der Nutzer die Informationen tatsächlich zur Kenntnis nimmt.

Facebook

Das Verfahren im Fall Facebook wurde heute ausgesetzt, da der BGH den Fall an den EuGH verwiesen hat. Der BGH ersucht den EuGH um Klärung, ob das Unionsrecht nationalen Regelungen entgegensteht, die es Wettbewerbern und Verbänden ermöglichen, zivilrechtliche Ansprüche aufgrund von DSGVO-Verletzungen geltend zu machen.

„Aktive Betätigungshandlung“ - Entscheidung im Planet49-Verfahren

Das beklagte Unternehmen Planet49 hatte unter seiner Internetadresse ein Gewinnspiel veranstaltet. Im Zuge der Anmeldung für das Gewinnspiel wurden die Teilnehmer gebeten, (1) der Verwendung von Cookies und (2) dem Erhalt von Werbeanrufen, E-Mails und Postsendungen zuzustimmen. In beiden Fällen nutzte Planet49 Kontrollkästchen zum Erhalt der Einwilligung. Während das Kästchen für die Einwilligung in die Verwendung von Cookies vorangekreuzt war, war dies bei der Einwilligung in die Werbemitteilungen nicht der Fall. Die Nutzer konnten jedoch nur dann an der Verlosung teilnehmen, wenn mindestens eines der Kästchen angekreuzt war.

Dem Verfahren gegen Planet49 liegt eine Klage des Bundesverbandes der Verbraucherzentralen zu Grunde. Sie richtet sich gegen diese beiden Formen des Einholens der Einwilligung. Die BGH setzte das Verfahren zunächst aus und konsultierte den EuGH zur Auslegung der Unionsrechts.

In seinem Urteil vom 1. Oktober 2019 (C-673/17 - Planet49) stellte der EuGH unter anderem klar, dass die Einwilligung in die Verwendung von Cookies nicht wirksam durch vorangekreuzte Kästchen eingeholt werden kann. Dies entspreche nicht den Anforderungen der ePrivacy-Richtlinie. Das sei bereits unter der Datenschutzrichtlinie, der „Vorgängerin“ der DSGVO, der Fall gewesen und unter der DSGVO erst recht der Fall.

Erwartungsgemäß hat der BGH mit seinem heutigen Urteil bestätigt, dass voreingestellte Häkchen, die entfernt werden müssen, auch nach deutschem Recht nicht geeignet sind, eine wirksame Einwilligung in die Nutzung von Cookies zu begründen. In diesem Zuge hat er ausgeführt, dass § 15 Absatz 3 TMG, der die deutsche Rechtsgrundlage für die Nutzung von Cookies bei Verwendung von Pseudonymen bildet, im Einklang mit Artikel 5 Absatz 3 Satz 1 ePrivacy-Richtlinie ausgelegt werden muss. Demnach erfordert die Verwendung von Cookies für Zwecke der Werbung oder Marktforschung grundsätzlich die Einwilligung des Nutzers.

Der BGH hat zudem klargestellt, dass eine Einwilligung unabhängig von der Frage erforderlich ist, ob es sich bei den durch die Cookies erhobenen Daten um personenbezogene Daten handelt.

Während die Entscheidung zu den Anforderungen an eine Einwilligung ausführlich Stellung nimmt, hat der BGH – jedenfalls gemäß der bisher nur veröffentlichten Presseerklärung - nicht entschieden, ob und wann die Verwendung von Cookies eine Einwilligung erfordert, wenn diese nicht zu Werbe- und Marktforschungszwecken gesetzt werden.Hier dürfte weiterhin gelten, dass Anbieter von Webseiten Cookies ohne Einwilligung verwenden dürfen, wenn dies aufgrund gesetzlicher Bestimmung zulässig ist, z.B. bei Vorliegen eines berechtigten Interesses. Zumindest funktionale und technisch notwendige Cookies (z.B. zur Authentifizierung von Nutzern oder zur Bereitstellung einer Warenkorbfunktion) sollten auch weiterhin auf Basis eines berechtigten Interesses des Webseitenanbieters verwendet werden dürfen.

Informierte Einwilligung” – Entscheidung im Planet49-Verfahren

Mit der Entscheidung im „Cookie-Einwilligung II“-Verfahren hat der BGH die Anforderungen weiter präzisiert, die für eine wirksame Einwilligung erfüllt sein müssen. Planet49 hatte versucht, eine wirksame Einwilligung der Teilnehmer in den Erhalt von Werbung seiner Sponsoren und Kooperationspartner per Telefon, SMS, Post oder E-Mail einzuholen. Hierfür verwendete es keine vorangekreuzten Kästchen. Vielmehr verlinkte der generische Einwilligungstext auf eine Liste von insgesamt 57 Unternehmen und bat die Teilnehmer, diejenigen Unternehmen auszuwählen, von denen sie Werbung erhalten wollten. Sofern keine Auswahl erfolgte, wollte Planet49 die Unternehmen anstelle der Teilnehmer auswählen.

Der BGH hat entschieden, dass dieses Vorgehen die Anforderungen an eine informierte Einwilligung nicht erfüllte, da eine solche voraussetze, dass (1) die Teilnehmer wussten, worin sie einwilligen, und (2) ihnen bekannt war, welche Produkte und Dienstleistungen von ihrer Einwilligung erfasst sind. Diese Anforderungen können nach Ansicht des Gerichts nicht dadurch erfüllt werden, dass den Nutzern exzessive Auswahlmöglichkeiten gegeben werden. Exzessive Auswahlmöglichkeiten würden sie nur dazu veranlassen, die ihnen vorgelegten Informationen nicht zu Kenntnis zu nehmen und keine Entscheidung zu treffen. Wenn ein Nutzer in einer solchen Situation keine Auswahl getroffen hat, könne sich Planet49 nicht auf eine wirksame Einwilligung berufen. Eine Einwilligung,so das Gericht, sei in diesen Fällen weder informiert noch aktiv getroffen worden.

Inanspruchnahme durch Mitbewerber und Verbraucherschutzverbände - Entscheidung im Facebook-Verfahren

Die zweite Entscheidung des Bundesgerichtshofs vom heutigen Tag ist von erheblicher Bedeutung für die Durchsetzung der Anforderungen der DSGVO. Gegenstand der Entscheidung sind die Anforderungen an die informierte Einwilligung im Zusammenhang mit Online-Spielen, die Facebook seinen Nutzern über das App-Center zur Verfügung stellt.

Der Bundesgerichtshof hat jedoch in der Sache noch nicht entschieden, sondern das Verfahren ausgesetzt und dem EuGH im Wege der Vorabentscheidung die Frage gestellt, ob die DSGVO mitgliedstaatlichen Gesetzen entgegensteht, die Mitbewerbern und Verbänden eine Klagebefugnis in zivilrechtlichen Verfahren gegen Unternehmen zugestehen, welche die DSGVO verletzen.

Diese Frage ist sowohl bei deutschen Gerichten als auch in der juristischen Literatur höchst umstritten. Die Klagebefugnis der Mitbewerber und Verbände wird teilweise unter Hinweis darauf abgelehnt, dass die DSGVO die Klagebefugnis abschließend regele. Soweit die Voraussetzungen der DSGVO nicht erfüllt seien, bestünde keine Klagebefugnis. Die gegenteilige Ansicht argumentiert hingegen, dass die DSGVO gerade nicht beabsichtige, die Klagebefugnis abschließend zu regeln, und dass Mitbewerber und Verbände daher weiterhin klagebefugt seien. Bereits im Jahr 2019 hatte der EuGH mit Blick auf die Datenschutzrichtlinie entschieden, dass Mitbewerber und Verbände klagebefugt seien. Ob das auch unter der DSGVO gilt, blieb jedoch offen und muss nun geklärt werden.