RA Fabian Seip, LL.M.

Der BGH hat seine Entscheidung in der Sache Planet49 verkündet. Die Entscheidungsgründe sind noch nicht veröffentlicht, aber eine Pressemitteilung (Nr. 067/2020) und eine Video-Aufzeichnung der Erläuterungen bei der Urteilsverkündung sorgen bereits für eine lebhafte Diskussion darüber. In der Sache handelt es sich um einen besonderen Fall der Verwendung unzulässiger Allgemeiner Geschäftsbedingungen (AGB). Der Bundesverband der Verbraucherzentralen hatte auf Grundlage von § 1 UKlaG die Veranstalterin eines Gewinnspiels abgemahnt, weil sie ohne ausreichende Einwilligung der Teilnehmer Cookies im Browser von Endgeräten setzte. In dem entschiedenen Fall hatten die Teilnehmer des Glücksspiels die Möglichkeit, den Cookies durch Abwahl eines vorangekreuzten Kästchens zu widersprechen.

Der BGH hatte nun zu entscheiden, ob die AGB gegen Grundgedanken der Richtlinie des Art. 5 Abs. 3 Satz 1 der e-Privacy-RL (RL 2002/58/EG, geändert durch Art. 2 Nr. 5 der RL 2009/136/EG, die sog. Cookie-Richtlinie) bzw. gegen § 15 Abs. 3 Satz 1 Telemediengesetz (TMG) verstößt. Davon hing die Unwirksamkeit der zugrunde liegenden AGB und damit die Berechtigung der Abmahnung ab. Der BGH hat dem EuGH drei Fragen vorgelegt: Wie muss eine Einwilligung aussehen, wenn technisch nicht notwendige Daten auf einem Endgerät gespeichert oder von dem Endgerät ausgelesen werden sollen? Gelten für personenbezogene Daten Besonderheiten? Welche Anforderungen stellt die DSGVO an eine solche Einwilligung und wie umfangreich müssen Nutzer informiert werden?

Der EuGH hat entschieden, dass eine Einwilligung in das Setzen von technisch nicht notwendigen Cookies aktiv erfolgen muss. Eine voreingestellte Zustimmung, die der Nutzer abwählen muss, um eine Einwilligung zu vermeiden, ist nicht zulässig (EuGH vom 01.10.2019 – Rs. C-673/17, Planet 49, DB 2019 S. 2344). Dies gilt unabhängig davon, ob es sich um personenbezogene Daten handelt – geschützt wird damit schlicht die Integrität des Endgerätes. Die Verordnung (EU) 2016/679 (DSGVO) hat an der Rechtslage nichts geändert, sie stellt im Anwendungsbereich der e-PrivacyVO keine zusätzlichen Anforderungen (Art. 95 DSGVO; vgl. EDSA, Stellungnahme 5/2019 Rn. 28). Allerdings gelten für die Einwilligung nach Art. 5 Abs. 3 e-PrivacyRL die Anforderungen nach der DSGVO, die insoweit an die Stelle der alten DatenschutzRL tritt (Art. 94 Abs. 1 und 2 Satz 1 DSGVO).

Nach der Entscheidung des EuGH stellte sich nur noch die Frage, wie der BGH diese Vorgaben des EuGH umsetzen und dem Anwendungsvorrang des Europarechts in methodisch zulässiger Weise Rechnung tragen würde.

Der EuGH hat Art. 5 Abs. 3 Satz 1 der ePrivacy-RL ausgelegt. Die Norm verpflichtet die Mitgliedstaaten sicherzustellen, dass die Speicherung von Informationen oder der Zugriff auf Daten, die im Endgerät eines Nutzers gespeichert sind, nur gestattet ist, wenn der Nutzer auf der Grundlage von klaren und umfassenden Informationen seine Einwilligung gegeben hat.

Umgesetzt wurde diese Vorgabe in Deutschland (wenn überhaupt) mit stark abweichendem Wortlaut. § 15 Abs. 3 Satz 1 TMG sieht vor, dass der Diensteanbieter für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen darf, sofern der Nutzer dem nicht widerspricht. Es fehlt hier schon die Anwendbarkeit beim bloßen Speichern oder Auslesen von Daten. Vor allem aber soll die Möglichkeit des Nutzers, zu widersprechen, für die Rechtmäßigkeit der Profilerstellung ausreichen. Eine Einwilligung muss nicht eingeholt werden. Wer seine Website nach diesen Vorgaben des TMG gestaltete, musste davon ausgehen, dass nicht nur vorangekreuzte Kästchen, sondern auch Widerspruchsmöglichkeiten an anderer Stelle (etwa ein Link auf einem Cookie-Banner) ausreichen, um zu Werbezwecken Cookies rechtmäßig setzen zu dürfen.

Nach Auffassung des BGH muss im Fehlen einer (wirksamen) Einwilligung nach der ePrivacy-RL nun ein Widerspruch nach § 15 Abs. 3 TMG gesehen werden. Eine entsprechende richtlinienkonforme Auslegung sei – so die aufgezeichnete Erläuterung – nicht ganz unproblematisch, aber mit dem Wortlaut „noch vereinbar“. Der Wortlaut des TMG verlangt jedoch nur, dass ein Widerspruch möglich sein muss und nicht erteilt wurde. Wie kann es methodisch richtig sein, dort hineinzulesen, es müsse eine aktive Einwilligung eingeholt werden, und eine mangelnde Einwilligung als (durch Schweigen?) erklärten Widerspruch ansehen?

Der BGH deutet sein wichtigstes Argument dafür bereits an: Der Gesetzgeber war von einer ausreichenden Umsetzung der ePrivacyRL ausgegangen, was die EU-Kommission sogar zwischenzeitlich bestätigt hatte (vgl. zur Vorgeschichte Schneider, Telemedicus vom 05.02.2014). Spätere Überlegungen, die Vorgabe doch noch wörtlich umzusetzen, blieben ohne Ergebnis, wohl auch im Hinblick auf die langwierigen und bislang erfolglosen Bemühungen um eine Reform der e-PrivacyRL. Es zeigt sich nun erneut eine Tendenz der deutschen Obergerichte, im Wege der richtlinienkonformen Auslegung dem Anwendungsvorrang des Europarechts Geltung zu verschaffen, auch wenn das zulasten der Anwenderfreundlichkeit des geschriebenen nationalen Rechts geht. Die Rechtsprechung der deutschen Obergerichte kann man in dieser Hinsicht als ausgesprochen europarechtsfreundlich bezeichnen, aber auch als nachsichtig gegenüber einem säumigen Gesetzgeber, denn sie verhindert zugleich im Ergebnis ein mögliches Vertragsverletzungsverfahren.

Ständige Rechtsprechung des EuGH ist allerdings, dass die unionsrechtskonforme Auslegung nationaler Gesetze nicht entgegen dem Wortlaut des nationalen Rechts erfolgen darf (EuGH vom 16.06.2005 – Rs. C-105/03, Pupino, Rn. 47 ff.). Rechtsprechung, auch gefestigte, muss hingegen geändert werden, wenn die Auslegung nationalen Rechts nicht mit den Zielen einer Richtlinie vereinbar ist (EuGH vom 11.09.2019 – Rs. C-143/18, Romano/DSL-Bank, Rn. 38, m.w.N.). Ähnlich das BVerfG: Die Auslegung des nationalen Rechts dürfe nicht dazu führen, dass einer Norm, die nach Wortlaut und Sinn eindeutig ist, ein entgegengesetzter Sinn gegeben wird (BVerfG vom 26.09.2011 – 2 BvR 2216/06, 469/07, WM 2012 S. 1179 [1181]). Ebenso der BGH: Das, was nach innerstaatlicher Rechtstradition methodisch erlaubt ist, bestimmt die Grenze der unionsrechtskonformen Auslegung (BGH vom 31.03.2020 – XI ZR 198/19, WM 2020 S. 838 [840], Rn. 13).

Allerdings soll eine richtlinienkonforme Auslegung insbesondere dann erfolgen, wenn ein Mitgliedstaat davon ausgeht, dass das nationale Recht bereits den Vorgaben einer Richtlinie genügt (EuGH vom 16.12.1993 – Rs. C-334/92, Wagner Miret/Fondo de garantia salarial, NJW 1994 S. 921, Rn. 21). In der Sache ist auch der BGH von der Zulässigkeit einer recht weitgehenden richtlinienkonform einschränkenden Auslegung ausgegangen (BGH vom 26.11.2008 – VIII ZR 200/05, BGHZ 179 S. 27, Rn. 21). Die richtlinienkonforme Auslegung umfasse auch die Rechtsfortbildung und verlange mehr als eine Auslegung im engeren Sinne (BGH vom 07.05.2014 – IV ZR 76/11, BGHZ 201 S. 101, Rn. 20). Das BVerfG hat eine solche Rechtsfortbildung gebilligt (vgl. BVerfG vom 26.09.2011, a.a.O., BGHZ 150 S. 248, im Anschluss an EuGH vom 13.12.2001 – Rs. C-481/99, Heininger, DB 2001 S. 2710). Bekannt ist der Vorrang des Gemeinschaftsrechts (bei entgegenstehendem Wortlaut einer nationalen Norm) auch schon lange im Bereich der Rückforderung von Beihilfen (vgl. BVerfG vom 17.02.2000 – 2 BvR 1210/98, NJW 2000 S. 2015 ff.).

Wenig Neues dürfte das Urteil für die Nutzung von Cookiebannern in der Praxis bringen, etwa hinsichtlich der Frage, ob besonders viele Auswahlmöglichkeiten eine rechtmäßige Einwilligung eher gewährleisten, ob Techniken des „Nudging“ zulässig sind oder ob das bloße informierte Weitersurfen für eine Einwilligung ausreicht. Hierfür könnte eine weitere Aussage des BGH im selben Urteil eine Tendenz zeigen, auch wenn sie die Einwilligung in Werbeanrufe (§ 7 Abs. 1 Satz 1 und Abs. 2 Nr. 2 UWG) betrifft. Diese muss, wie die Einwilligung in Cookies auch, für den „konkreten Fall“ erfolgen (Art. 2 Satz 2 Buchst. f der RL 2002/58/EG Art. 2, Buchst. h der RL 95/46/EG). Es ist nach Ansicht des BGH dabei nicht hinzunehmen, wenn die Gestaltung der Einwilligungserklärung darauf angelegt ist, den Verbraucher mit einer aufwendigen Auswahl von Partnerunternehmen zu konfrontieren, um ihn zu veranlassen, von dieser Auswahl abzusehen und stattdessen der Beklagten die Wahl der Werbepartner zu überlassen.

Wie der BGH zu Recht feststellt, hat sich durch die DSGVO an den Anforderungen für eine wirksame Einwilligung in Cookies nichts geändert. Jedoch entwickelt sich die gemeinsame Praxis der Regulierungsbehörden fort und wird immer anspruchsvoller (vgl. EDSA, Guidelines 05/2020 on consent under Regulation 2016/679 vom 05.05.2020, Rn. 39 f.). Eine gerichtliche Überprüfung dieser weit gehenden behördlichen Forderungen wäre daher wünschenswert. Entscheidend wird aber sein, ob und mit welchem Ergebnis sich die Mitgliedstaaten auf eine Reform der ePrivacy-RL einigen können.