bedeckt München 24°

BGH-Urteil zu Cookie-Bannern:Die Sache mit dem Haken

Bundesgerichtshof

Der Bundesgerichtshof (BGH) verkündete ein Urteil zur Zulässigkeit von vorausgefüllten Cookie-Bannern.

(Foto: Uli Deck/dpa)

Der Bundesgerichtshof entscheidet, dass Nutzer ihre Einwilligung zu Cookies aktiv geben müssen. Damit sind viele aktuelle Cookie-Banner in Deutschland unzulässig.

Der Bundesgerichtshof (BGH) hat am Mittwoch ein wichtiges Urteil zu Cookie-Informationspflichten von Webseitenbetreibern gefällt. Die BGH-Richter folgten in ihrer Entscheidung weitgehend der Argumentation eines Urteils des Europäischen Gerichtshofs (EuGH) vom Oktober 2019. Das hatte geurteilt, dass vorausgefüllte Cookie-Banner nicht mit europäischem Recht vereinbar sind. Viele deutsche Internetseiten hatten sich bislang auf das deutsche Telemediengesetz (TMG) berufen, nachdem Nutzer dem Cookie-Tracking aktiv widersprechen mussten.

Der Senat habe mit seinem Urteil das deutsche Telemediengesetz nach den Vorgaben der Datenschutz-Grundverordnung (DSGVO) ausgelegt, sagte der Vorsitzende BGH-Richter Thomas Koch. Nach der seit zwei Jahren in Deutschland geltenden DSGVO ist ein bereits voreingestelltes Häkchen keine wirksame Einwillung. Dem Nutzer muss zudem mitgeteilt werden, ob Drittanbieter beteiligt sind.

Das Urteil bedeutet nun, dass Internetseiten nicht mehr auf die Widerspruchslösung des TMG berufen können, und Nutzer nun stattdessen ihr explizites Einverständnis geben müssen. Außerdem müssen sie genau darüber informiert werden, was mit ihren Daten passiert, etwa ob diese an Werbetreibende weitergegeben werden.

Das Urteil ist relevant für so gut wie jeden Internetnutzer in Deutschland, weil es die Art und Weise betrifft, wie gefühlt 90 Prozent der Cookie-Banner in Deutschland gestaltet sind. Cookies sind kleine Textdateien, die der Internet-Browser beim ersten Besuch vom Seiten speichert, um sich beim nächsten Mal an den Nutzer zu erinnern. Das kann nützlich sein, etwa um sich nicht jedes Mal neu einloggen zu müssen, wird aber auch verwendet, um Nutzer auf ihrem Weg durchs Netz zu verfolgen, oder neudeutsch: zu tracken.

Der Fall geht seit 2013 durch die Instanzen

Der heute entschiedene Fall geht zurück auf eine Klage der Verbraucherzentrale Bundesverband (VZBV) gegen die Gewinnspielfirma Planet49 aus dem Jahr 2013. Planet49 hatte Internetnutzern, die an einem Gewinnspiel teilnehmen wollten, vorausgefüllte Kästchen mit Einverständniserklärungen für E-Mails von Werbepartnern präsentiert. Die Nutzer mussten der Vorauswahl nur noch mit einem Klick zustimmen. Der VZBV klagte auf Unterlassung, Planet49 wehrte sich dagegen. Seitdem ging der Fall seinen Weg durch die Instanzen, das Landgericht (LG) Frankfurt am Main hatte der Klage zunächst weitgehend stattgegeben, das Oberlandesgericht (OLG) Frankfurt am Main sah in der Cookie-Voreinstellung dann allerdings keinen Rechtsverstoß. Zuletzt hatte der BGH die europarechtlich relevanten Aspekte des Falls den EuGH-Richtern in Luxemburg vorgelegt.

In eigener Sache:

Auch die SZ setzt Tracking-Technologie ein. Auf dieser Seite erklären wir, welche Tracker auf unseren Seiten eingesetzt werden und wie sie deaktiviert werden können.

VZBV-Chef Klaus Müller nannte das Urteil des BGH via Twitter ein "starkes Urteil". Für den IT-Anwalt Peter Hense kommt die Entscheidung des BGH alles andere als überraschend. Dass der deutsche Sonderweg bei Cookie-Bannern auf Dauer nicht haltbar sein würde, sei im Grunde seit der europäischen Cookie-Richtlinie aus dem 2009 klar gewesen. Nur Deutschland hatte diese nie in nationales Recht überführt. "Ab heute ist damit Schluss, denn es stimmt niemand tatsächlich zu, wenn er weiß, was diese Tracking-Tools tatsächlich machen", sagt Hense. Ob tatsächlich "ab heute" Schluss ist, darf jedoch bezweifelt werden. Die ohnehin wacklige Rechtsgrundlage für die Praxis mag mit dem Urteil verschwunden sein. Dass deutsche Cookie-Banner von heute auf morgen anders aussehen werden, ist indes nicht zu erwarten.

Die Aufsichtsbehörden haben sich bisher mit Verwarnungen zurückgehalten

Um diese Veränderung zu erreichen, müssen Unternehmen Druck spüren. Den könnten, sagt Hense, jetzt auch einzelne Verbraucher "mit Rückenwind vom BGH" durch Klagen gegen den Nicht-DGSVO-konformen Umgang mit ihren persönlichen Daten erhöhen. Effektiver dürfte allerdings der Weg über die Aufsichtsbehörden sein. Die haben sich bislang zurückgehalten, was Verwarnungen und Anordnungen gegen die Cookie-Praxis deutscher Unternehmen angeht.

Dabei geht die deutsche Datenschutzkonferenz seit mehr als zwei Jahren verbrieft davon aus, dass die Berufung der Unternehmen auf das Telemediengesetz unzulässig ist. Von Datenschützern hört man, es gebe seit über einem Jahr intensive Gespräch mit Branchen, die mit ihren Bannern gegen das Gesetz verstoßen. Bußgelder wurden bislang keine verhängt. Und möglicherweise wird das auch noch eine Weile so bleiben. "Mit Sanktionen würden wir eher gegen schwarze Schafe als gegen Branchen vorgehen", sagt ein Landesdatenschützer. "Und bei Cookies sind ganze Branchen, die man gemeinhin für seriös hält, auf einem schwierigen Trip."

Der Branchenverband Bitkom hält wenig von der Entscheidung des BGH. So sagt dessen Geschäftsführer Bernhard Rohleder, dass das Urteil Webseitenbetreiber schwer treffe und viele Internetnutzer nerve. Neben den hohen Auflagen der DSGVO müssten die Betreiber von Webseiten jetzt zusätzliche Prozesse und Formulare für ihre Web-Angebote einführen, um Cookies auch künftig nutzen zu dürfen.

© SZ/mpu
Tracking Everything Teaserbilder

SZ Plus
Privatsphäre auf dem Smartphone
:Sieben Tipps für die digitale Selbstverteidigung

Schnüffelnde Apps und spionierende Tracker verwandeln Handys in digitale Wanzen. Doch Nutzer können sich wehren. Mit dieser Anleitung holen sie sich ihre Privatsphäre zurück.

Von Simon Hurtz

Lesen Sie mehr zum Thema

Zur SZ-Startseite