BGH-Urteil vom 28. Mai 2020: Ist eine Einwilligung in das Setzen von Cookies durch voreingestellte Ankreuzfelder zulässig und welche Anforderungen sind an eine Einwilligung in telefonische Werbung zu stellen?

Ausgangspunkt des Urteils ist ein Rechtsstreit zwischen dem Bundesverband der Verbraucherzentralen und der Planet49 GmbH, einem Anbieter von Online-Gewinnspielen. Wollte ein Nutzer an einem Gewinnspiel der Planet49 GmbH teilnehmen, gelangte er auf eine Website, auf der sich zwei mit Ankreuzfeldern versehene Einverständniserklärungen befanden:

• Mit der ersten Einverständniserklärung, deren Ankreuzfeld nicht mit einem voreingestellten Häkchen versehen war, sollte das Einverständnis mit einer Werbung durch Sponsoren und Kooperationspartner der Planet49 GmbH per Post, Telefon, E-Mail oder SMS erklärt werden. Dabei bestand die Möglichkeit, die werbenden Sponsoren und Kooperationspartner aus einer verlinkten Liste von 57 Unternehmen selbst auszuwählen. Andernfalls sollte Planet49 GmbH die Auswahl treffen.
• Mit der zweiten Einverständniserklärung sollte das Einverständnis zum Setzen eines Cookies erklärt werden. Mit dem Cookie sollte die Auswertung des Surf- und Nutzungsverhaltens des Nutzers auf Websites von Werbepartnern und damit „interessengerichtete Werbung“ durch den Webanalysedienst Remintrex ermöglicht werden. Das Ankreuzfeld dieser Einverständniserklärung war mit einem voreingestellten Häkchen versehen. Das Häkchen konnte entfernt werden. Eine Teilnahme am Gewinnspiel war aber nur möglich, wenn mindestens eines der Ankreuzfelder mit einem Häkchen versehen war.

Hinsichtlich der Werbung mittels Post, Telefon, E-Mail und SMS kam der BGH zu dem Ergebnis, dass die konkrete Einwilligungserklärung unwirksam ist und die Planet 49 GmbH sie nicht mehr verwenden darf. Zur Begründung führte der BGH zum konkreten Fall aus, dass es sich bei der Einwilligung um eine allgemeine Geschäftsbedingung handelt, durch die der Nutzer unangemessen benachteiligt wird (§ 307 Abs. 1 S. 2 und Abs. 2 Nr. 1 BGB). § 7 Abs. 2 Nr. 2 UWG besagt, dass für telefonische Werbung gegenüber einem Verbraucher eine ausdrückliche Einwilligung vorliegen muss. Bis zum 25. Mai 2018 wurde unter einer ausdrücklichen Einwilligung aufgrund einer europarechtskonformen Auslegung verstanden, dass sie „für den konkreten Fall und in Kenntnis der Sachlage“ zu erfolgen hat (Art. 2 lit. h Richtlinie 95/46/EG – „Datenschutzrichtlinie“). Seit der Wirksamkeit der DSGVO ist unter der ausdrücklichen Einwilligung im Wege der europarechtskonformen Auslegung zu verstehen , dass eine Einwilligung „für den bestimmten Fall“ zu erfolgen hat (Art. 4 Nr. 11 DSGVO). Die Formulierungsänderung führt nach Auffassung des BGH zu keiner Änderung der inhaltlichen Anforderungen.

Im konkreten Fall beanstandete der BGH, dass die Einwilligungserklärung darauf angelegt gewesen sei, den Nutzer mit einem aufwendigen Verfahren zur Auswahl der Partnerunternehmen zu konfrontieren. Damit sollte – so der BGH weiter – der Nutzer veranlasst werden, von dieser Auswahl abzusehen und stattdessen der Planet49 GmbH die Wahl der Werbepartner zu überlassen. Fehlt dem Nutzer jedoch die Kenntnis vom Inhalt der Liste und ist ihm deshalb unbekannt, welche Produkte oder Dienstleistungen welcher Unternehmer von der Einwilligung erfasst sind, liegt keine wirksame ausdrückliche Einwilligung i.S.v. § 7 Abs. 2 Nr. 2 UWG vor, da sich die Einwilligung nicht auf einen konkreten bzw. auf einen bestimmten Fall bezieht.

Aufgrund des Urteils des EuGHs vom 1. Oktober 2019 im Vorabentscheidungsverfahren ist es im Ergebnis wenig überraschend, dass der BGH in einem voreingestellten Ankreuzfeld keine wirksame Einwilligung in das Setzen von der Werbung oder Marktforschung dienenden Cookies sieht. Eine auf diesem Wege erteilte Einwilligung ist unwirksam.

Auf den ersten Blick überraschend ist aber die rechtliche Begründung des BGH, die auf § 15 Abs. 3 S. 1 TMG als einschlägige deutsche Regelung rekurriert. Nachvollziehbarer wird die Begründung erst, wenn man sich die Entwicklung der nationalen Rechtslage vor Augen führt und (i) die Rechtslage vor der Einführung europarechtlicher Regelungen zum Datenschutz, (ii) die Rechtslage im zeitlichen Anwendungsbereich der Richtlinie 95/46/EG („Datenschutzrichtlinie“) und der Richtlinie 2002/58/EG („ePrivacy-Richtlinie“ bzw. nach umfassender Änderungen im Jahr 2009 „Cookie-Richtlinie“) sowie schließlich (iii) die Rechtslage unter Geltung der DSGVO vergleicht.

§ 15 Abs. 3 S. 1 TMG sieht nach seinem Wortlaut Folgendes vor:

„Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht.“

Vor der Einführung der europarechtlichen Regelungen zum Datenschutz wurde die Formulierung „nicht widerspricht“ so ausgelegt, dass die Voraussetzungen von § 15 Abs. 3 TMG erfüllt sind, wenn eine Möglichkeit zum Widerspruch besteht. Voreingestellte Ankreuzfelder mit „Opt-Out“-Möglichkeit für das Setzen von Cookies waren nach dem damaligen Verständnis also zulässig.

In der Folge wurden die Richtlinie 95/46/EG („Datenschutzrichtlinie“) und die Richtlinie 2002/58/EG eingeführt und es kam vermehrt die Frage auf, ob die nationale Regelung in § 15 Abs. 3 TMG mit den Vorgaben der europäischen Richtlinien in Einklang gebracht werden kann. Hinterfragt wurde dies vor allem, da die Datenschutzrichtlinie, die ePrivacy-Richtlinie und auch die Cookie-Richtlinie eine „freiwillige Einwilligung“ verlangten. Der deutsche Gesetzgeber sah sich aber letztlich weder durch die Einführung der Datenschutzrichtlinie noch durch die Einführung der ePrivacy-Richtlinie und der Cookie-Richtlinie dazu veranlasst, an § 15 Abs. 3 S. 1 TMG eine Änderung vorzunehmen. Aus diesem Vorgehen wurde die Intention des deutschen Gesetzgebers abgeleitet, dass die Voraussetzungen einer „Einwilligung“ im Sinne des europäischen Rechts auch erfüllt sein sollen, wenn trotz Möglichkeit zum Widerspruch kein Widerspruch erfolgt.

Spätestens jedoch seit der Einführung der DSGVO, nach der die Möglichkeit zum Widerspruch nicht die Voraussetzungen einer Einwilligung erfüllt, wurden erhebliche Bedenken erhoben, ob § 15 Abs. 3 TMG überhaupt europarechtskonform ist und jemals war. Verstärkt wurde die Diskussion auch durch Art. 95 DSGVO. Dieser sieht vor, dass solche nationalen Regelungen der DGSVO vorgehen, die die Richtlinie 2002/58/EG („ePrivacy-Richtlinie“ bzw. „Cookie-Richtlinie“) umsetzen. Der Streit drehte sich also auch darum, ob § 15 Abs. 3 TMG eine solche nationale Regelung darstellt.

Der BGH hatte den EuGH im Vorabentscheidungsverfahren aber nicht direkt dazu befragt, ob § 15 Abs. 3 TMG eine Umsetzung der Richtlinie 2002/58/EG darstellt. Der BGH hatte den EuGH vielmehr lediglich danach gefragt, ob nach den Richtlinien 95/46/EG („Datenschutzrichtlinie“) und 2002/58/EG die „Einwilligung“ mittels voreingestelltem Ankreuzfeld wirksam ist und ob es hierbei einen Unterschied macht, ob personenbezogene Daten betroffen sind. Der EuGH hatte beide Fragen in seinem Urteil vom 1. Oktober 2019 verneint.

Etwas überraschend hat der BGH das Verdikt des EuGHs vom 1. Oktober 2019 in seinem Urteil vom 28. Mai 2020 aber nicht zum Anlass genommen, § 15 Abs. 3 S. 1 TMG die Vereinbarkeit mit dem europäischen Recht abzusprechen. Vielmehr meinte der BGH, dass § 15 Abs. 3 S. 1 TMG noch richtlinienkonform ausgelegt werden kann und danach eine „Opt-Out“-Möglichkeit nicht ausreichend ist, damit der Nutzer „nicht widerspricht“. Vielmehr fehlt es an dem Widerspruch nur, wenn eine „Opt-In“-Möglichkeit besteht – also eine aktive Einwilligung vorliegt.

Im Vergleich zum bisherigen Verständnis lässt der BGH § 15 Abs. 3 TMG demnach nun ein gänzlich anderes Verständnis zukommen. Der BGH meint, dass diese richtlinienkonforme Auslegung mit dem Wortlaut von § 15 Abs. 3 S. 1 TMG „noch vereinbar“ sei. Da § 15 Abs. 3 S. 1 TMG eine Umsetzung der Richtlinie 2002/58/EG darstelle und somit gemäß Art. 95 DSGVO der DSGVO vorgehe, habe sich die Rechtslage seit Einführung der DSGVO nicht geändert. § 15 Abs. 3 S. 1 TMG gelte in seiner richtlinienkonformen Auslegung weiterhin.

Jedenfalls in Bezug auf Cookies, die der Werbung, der Marktforschung oder der bedarfsgerechten Gestaltung der Website dienen (vgl. § 15 Abs. 3 S. 1 TMG), reichen voreingestellte Ankreuzfelder damit nicht aus. In der vom BGH zum Urteil vom 28. Mai 2020 bisher veröffentlichten Pressemitteilung findet sich zwar kein Hinweis darauf, ob der BGH diese Rechtsprechung auch auf weitere – konkret: technisch notwendige – Cookies zu erstrecken gedenkt. Unter Berücksichtigung des Umstands, dass sich auch das Urteil des EuGHs vom 1. Oktober 2019 lediglich zu technisch nicht notwendigen Cookies verhielt, wäre diese Erweiterung jedoch eher fernliegend.

Wie bereits weitläufig bekannt ist, sind voreingestellte Ankreuzfelder bei technisch nicht notwendigen Cookies datenschutzrechtlich nicht ausreichend. Es fehlt bei der „Opt-Out“-Möglichkeit an einer wirksamen Einwilligung. Nach dem Urteil des BGH vom 28. Mai 2020 ist bei der Ausgestaltung von Einverständniserklärungen für telefonische Werbung zudem besonders darauf zu achten, dass die Einwilligung einen konkreten und bestimmten Bezug hat. Ob der BGH in seinem Urteil vom 28. Mai 2020 zudem zu berücksichtigen hatte, dass eine Teilnahme an dem Gewinnspiel der Planet49 GmbH nur möglich war, wenn mindestens eines der Ankreuzfelder mit einem Häkchen versehen war, ist der bisher veröffentlichten Pressemitteilung nicht zu entnehmen. Im EU-Gesetzgebungsverfahren zur ePrivacy-Verordnung wird aber diskutiert, ob eine Verknüpfung von einem Angebot und der Einholung einer (datenschutzrechtlichen) Einwilligung zulässig sein soll.