Wirksamkeit der Einwilligung in die Nutzung von Drittanbieter-Cookies

Die 3. Zivilkammer des Landgerichts Rostock befasste sich in einem Urteil vom 11.08.2020 (Az. 3 O 762/19) mit der Frage der Wirksamkeit einer Einwilligung in die Nutzung von Drittanbieter-Cookies. Die Entscheidung konkretisiert die durch den EuGH (Urteil vom 01.10.2019 – C-673/17 – „Planet 49“) und den BGH (28.05.2020 – I ZR 7/16 – Cookie Einwilligung II) festgelegten Grundsätze. Spätestens mit den beiden genannten Urteilen war klar, dass nahezu jede Internetseite ein so genanntes Cookie-Banner benötigen wird. Unklar gelassen haben die Gerichte jedoch bislang die konkrete Ausgestaltung.

Insbesondere das so genannte „Nudging“ – also das konkrete Lenken des Nutzers zur Einwilligung – ist umstritten. Zu unterscheiden ist grob zwischen einem so genannten „harten Nudging“, bei dem der Nutzer lediglich die Wahl zwischen „Cookie-Einstellungen“ und „Alle akzeptieren“ gelassen wird und dem „soften Nudging“, bei dem der Nutzer auf der ersten Ebene allen Cookies zustimmen oder diese ablehnen kann.

Worum ging es in dem vom LG Rostock verhandelten Fall?

Das beklagte Unternehmen verwendete zur Einholung der Einwilligung einen Cookie-Banner. Bei den eingeholten Einwilligungen ging es unter anderem auch um die Einwilligung in so genannte „Drittanbieter-Cookies“. Diese waren unstreitig einwilligungsbedürftig, da die eingesetzten Cookies das Nutzerverhalten gezielt analysieren um personalisierte Werbung einspielen zu können (z.B. durch Google Analytics).

Das Cookie-Banner war in einer ersten Version so ausgestaltet, dass sämtliche Check-Boxen vorausgewählt gewesen sind und der Nutzer nur die Möglichkeit hatte auf „OK“ zu drücken. Wollte er seine Einwilligung verweigern, musste er aktiv alle gesetzten Cookies abwählen.

Bereits vor dem Gerichtsverfahren änderte das beklagte Unternehmen den Cookie-Banner aufgrund einer Abmahnung durch die Klägerin ab. Bei der Neugestaltung des Cookie-Banners hatten die Nutzer die Möglichkeit, nur notwendige Cookies zuzulassen. Der Button „Nur notwendige Cookies verwenden“ wurde, ebenso wie der Button „Details anzeigen“, optisch grau in den Hintergrund gerückt, während der Button „Cookies zulassen“ auffällig grün unterlegt wurde. Auch hier waren sämtliche Check-Boxen vorausgewählt.

Wie hat das Gericht entschieden?

Hinsichtlich des ersten Cookie-Banners vertritt das LG Rostock die Ansicht, dass Webseitenbetreiber ohne Einwilligung keine Cookies für Analyse- und Marketingzwecke einsetzen dürfen, die personenbezogene Daten an Dritte übermitteln und die Nachverfolgung des Surf- und Nutzungsverhaltens ermöglichen. Eine voreingestellte Einwilligung, die nur über einen "OK"-Button bestätigt werden soll, reicht nicht aus, um eine informierte und freiwillige Einwilligung gem. § 15 Abs. 3 S. 1 TMG rechtskonform einzuholen. Die vom Webseitenbetreiber gewählte Vorbelegung aller Cookies ist somit rechtswidrig (sog. Opt-Out-Lösung).

Das Einwilligungserfordernis für Cookies ist nach Ansicht des Gerichts anhand § 15 Abs. 3 S. 1 TMG in richtlinienkonformer Auslegung nach der Datenschutzrichtlinie für elektronische Kommunikation (Art. 5 Abs. 3 ePrivacy-Richtlinie) und gerade nicht nach der DSGVO zu beurteilen. Allerdings verweist die Datenschutzrichtlinie wiederum auf die Vorgaben der DSVGO, sodass die Anforderungen an eine rechtskonforme Einwilligung nach den Art. 4 Nr. 11, Art. 6 Abs. 1 S. 1 lit. a, Art. 7 DSGVO in entsprechender Weise heranzuziehen sind. Diese Argumentation ist Deckungsgleich mit den Ansichten des BGH.

Bezüglich des zweiten Cookie-Banners monierten die Richter, dass der entsprechende Button optisch deutlich in den Hintergrund trete.  Somit ist dieser für die betroffenen Personen nicht als anklickbare Schaltfläche erkennbar. Die Einwilligung durch Anklicken des grün unterlegten Buttons "Cookies zulassen" kann nicht wirksam erteilt werden.

Zwar habe der Nutzer die Möglichkeit sich die Details anzeigen zu lassen und einzelne Cookies abzuwählen. Nach Ansicht des Gerichts scheut der Nutzer jedoch regelmäßig den Aufwand eines solchen Vorgehens.   Weshalb er den Button ohne vorherige Information über die Details bestätigt. Der Nutzer nimmt die Gestaltung nicht als „gleichwertige Einwilligungsmöglichkeit“ wahr.

Damit waren im Ergebnis beide Cookie-Banner nicht rechtskonform gestaltet, sodass keine wirksamen Einwilligungserklärungen der betroffenen Personen eingeholt wurden.

Weitere Themenschwerpunkte der Entscheidung

Das Landgericht Rostock betont zudem, dass in der Datenschutzerklärung die Rechtfertigung für die Übermittlung personenbezogener Daten in ein Drittland (Art. 44 ff. DSGVO) präzise benannt werden muss. Dies bedeutet, dass die jeweilige einschlägige Norm konkret zu bezeichnen sei. Weiterhin sei es ausreichend, dass der Hinweis auf den Widerruf der Einwilligung nach Art. 7 Abs. 3 S. 3 DSGVO nur in der Datenschutzerklärung erfolgt. Ein Hinweis bereits im Cookie-Banner sei nicht erforderlich.

Das Gericht entschied ebenfalls, dass durch die Verwendung von "Google Analytics"-Cookies eine gemeinsame Verantwortlichkeit i.S.d. Art. 26 DSGVO mit Google vorliegt. Somit müsse den betroffenen Personen die wesentlichen Punkte der Vereinbarung mit Google nach Art. 26 Abs. 2 S. 2 DSGVO zur Verfügung gestellt werden. Eine Auftragsverarbeitung i.S.d. Art. 28 DSGVO liege nicht vor. Dies sei zumindest immer dann der Fall, wenn sich der Anbieter eines Online-Tracking-Tools auch eine Verarbeitung zu eigenen Zwecken vorbehalte. Damit schließt sich das Gericht ausdrücklich der Ansicht der Deutschen Datenschutzkonferenz (DSK) an (DSK, Hinweise zum Einsatz von Google Analytics im nicht-öffentlichen Bereich, Stand: 12.05.2020, S. 3, https://www.datenschutzkonferenz-online.de/media/dskb/20200526_beschluss_hinweise_zum_einsatz_von_google_analytics.pdf).

Fazit

Die Einholung einer rechtskonformen Einwilligung über einen sog. Cookie-Banner stellt die Wirtschaft vor große Herausforderungen. Das LG Rostock stellt noch einmal klar, dass sog. Opt-Out-Lösungen für eine wirksame Einwilligungserklärung nicht ausreichend sind.

Bei aus technischer Sicht nicht notwendigen Cookies sind die Nutzereinwilligungen mittels einer informierten und freiwilligen Einwilligung einzuholen. Dem Nutzer muss bewusst sein, welche konkreten Cookies beim Klicken auf den jeweiligen Button zum Einsatz kommen.

Neu an dieser Entscheidung ist, dass das aktuell sehr verbreitete Nudging stärker in den Fokus rückt. Nach Ansicht des LG Rostock reicht das bloße Vorhandensein entsprechender Schaltflächen nicht aus. Vielmehr müssen diese vom Nutzer als „gleichwertig“ erkannt werden. Ein „ausgrauen“ der Ablehnen Buttons sieht das Gericht als unzulässig an.
Der Einsatz von Cookies zu Werbe- und Analysezwecken bleibt somit in Deutschland weiterhin umstritten. Vor allem bei der Ausgestaltung des Cookie-Banners bleibt die Frage weiter offen, in wie weit Nudging zulässig ist.
Die Berufung beim Oberlandesgericht Rostock (Az. 2 U 16/20) ist anhängig.

Co-Autor: Dipl. jur. Kevin Leibold

Bildquelle: Bild von StockSnap auf Pixabay