Auf Vorlage des Bundesgerichtshofs (BGH) hat der Europäische Gerichtshof (EuGH) bereits im Oktober 2019 in der Planet-49-Entscheidung zu umstrittenen Fragen des Datenschutzes beim Einsatz von Cookies Stellung bezogen (Urteil vom 1.10.2019, Az. C-673/17) Nun folgte die Entscheidung des BGH (Urteil vom 28.5.2020, Az. I ZR 7/16). Das deutsche Gericht hat bestätigt, dass es für die Nutzung von Werbe- und Tracking-Cookies auf Websites nicht ausreicht, wenn Nutzer ihre Einwilligung im Wege eines Opt-out-Verfahrens erklären. Aktive EinwilligungBei diesem Verfahren enthält die Website, in der Regel zu Beginn des Aufrufs im Rahmen eines Cookie-Banners, eine Box, in der bereits ein Haken als Zeichen der Einwilligung gesetzt ist. Wenn der Nutzer das Cookie-Banner wegklickt, gilt seine Einwilligung aufgrund dieser Voreinstellung als erteilt. Er kann sie widerrufen, in dem er den Haken entfernt (Opt-out). Nach der Entscheidung des BGH ist nun bei der Nutzung von Werbe- und Tracking-Cookies eine aktive Einwilligung erforderlich. Das Cookie-Banner enthält dann ein Kästchen, in dem kein Haken gesetzt ist. Will der Nutzer seine Einwilligung erklären, muss er dieses aktiv anklicken (Opt-in). Klickt er das Cookie-Banner einfach weg, gilt die Einwilligung als nicht erteilt.Laut Werbefachleuten hat dieser kleine Unterschied erhebliche Auswirkungen, denn beim Opt-in-Verfahren werden deutlich weniger Einwilligungen erteilt als beim Opt-out-Verfahren. Infolgedessen können Werbebanner seltener individualisiert und das Nutzerverhalten seltener analysiert werden.Vor diesem Hintergrund ist es verständlich, dass Website-Betreiber und Anbieter von Werbe- und Tracking-Technologien die Hoffnung hatten, das Opt-out-Verfahren sei in Deutschland ausreichend. Sie stützten sich dabei auf § 15 Abs. 3 des Telemediengesetzes (TMG), der das Opt-out-Verfahren für die Verwendung von Nutzerdaten zu Werbe- und Trackingzwecken vorsieht. Allerdings gibt es auf europäischer Ebene die umgangssprachlich so genannte Cookie-Richtlinie, die anders als das TMG seit 2009 eine Einwilligung per Opt-in vorschreibt.In diesem Kontext hat der BGH entschieden, dass die zitierte Regelung des TMG in diesem Punkt richtlinienkonform auszulegen sei. Die Cookie-Richtlinie schreibt dies allgemein für Nutzerdaten vor, so dass die Pflicht zur Einwilligung per Opt-in unabhängig davon gilt, ob die über Cookies gesammelten Daten personenbezogen sind oder nicht. Darüber hinaus haben die Betreiber sicherzustellen, dass der Nutzer seine Einwilligung informiert erteilt, d. h., er muss insbesondere über die Speicherdauer und den Zugriff durch Dritte Informationen erhalten.Einfacher ist die Nutzung von Cookies, die für den Betrieb einer Website technisch erforderlich sind. Für diese wird gemäß der Cookie-Richtlinie keine Einwilligung benötigt, so dass die oben beschriebene Anforderung (Opt-in) nicht gilt. Allerdings gibt es keine klaren Vorgaben, welche Cookies in diesem Sinne technisch erforderlich sind. Gemeinhin wird angenommen, dass insbesondere sogenannte Session-Cookies dazu zählen. Diese werden nur für die Dauer des aktuellen Besuches einer Website gesetzt und spätestens beim Schließen des Browsers gelöscht. Session-Cookies werden vor allem genutzt, um vom Nutzer gewählte Einstellungen wie zum Beispiel die Sprache für die Dauer des Besuchs zu speichern. Noch Fragen offenDie Entscheidung des BGH schafft also in verschiedenen Punkten Klarheit. Insbesondere ist nun geklärt, dass nur das informierte Opt-in-Verfahren das zulässige Mittel für die Einwilligung in Werbe- und Tracking-Cookies darstellt. Allerdings bleiben in Bezug auf die Einwilligung auch noch wichtige Fragen offen. So besteht nach wie vor Unsicherheit, ob und gegebenenfalls wie sich die Einwilligung auf die Nutzung mehrerer Werbe- beziehungsweise Tracking-Cookies beziehen kann. Mit Blick auf Stellungnahmen und Entscheidungen europäischer Datenschutzbehörden, spricht vieles dafür, dass der Nutzer von vornherein die Möglichkeit haben muss, in die verwendeten Werbe- und Tracking-Cookies einzeln einzuwilligen. Erhebliche KonsequenzenDie Entscheidung des BGH hat erhebliche Konsequenzen für Website-Betreiber. Noch immer gibt es zahlreiche Websites mit unzureichenden Cookie-Bannern. Da die Websites und auch die Cookie-Banner im World Wide Web öffentlich zugänglich sind, ist es ein Leichtes, diese Verstöße festzustellen. Schon in der Vergangenheit haben deutsche Datenschutzbehörden die Einhaltung datenschutzrechtlicher Bestimmungen auf Websites überprüft. So hat zum Beispiel das Bayerische Landesamt für Datenschutzaufsicht 2012 Tausende Seiten im World Wide Web in Bezug auf den Einsatz von Tracking-Cookies überprüft, die Konsequenzen für Verstöße waren seinerzeit, soweit sie öffentlich kommuniziert wurden, moderat.Vor diesem Hintergrund wäre es nicht überraschend, wenn Datenschutzbehörden auch nach diesem wegweisenden Urteil aktiv werden und Websites überprüfen. Seitdem die Datenschutzgrundverordnung verbindlich geworden ist, sind auch die von den Behörden bei Verstößen verhängten Bußgelder deutlich in die Höhe gegangen. Unternehmen sollten daher ihre Websites mit Blick auf diese Entscheidung zeitnah überprüfen und an die Anforderungen der Gerichte anpassen. Moritz Hüsch, Partner von Covington & Burling in Frankfurt