LG Rostock: Opt-Out Cookie-Banner ist unzulässig!

Sowohl der EuGH als auch der BGH haben entschieden, dass für das Setzen von Cookies zu Tracking- und Marketing-Zwecken eine Einwilligung des Seitenbesuchers erforderlich ist. Das LG Rostock musste nunmehr darüber befinden, ob es rechtlich zulässig ist, eine positive Vorauswahl für Tracking-Cookies im Cookie-Banner vorzuhalten.

Was ist geschehen?

Der Dachverband der 16 Verbraucherzentralen in Deutschland ging gegen den Betreiber einer Internetplattform vor, über die Rechtssuchende an beratende Rechtsanwälte vermittelt werden. Es ging um Unterlassungsansprüche im Zusammenhang mit behaupteten Verstößen gegen datenschutzrechtliche Vorschriften auf ihrer Internetplattform.

Bei Aufruf der Internetseite wurde ein Cookie-Banner angezeigt. Im unteren Teil des Banners befanden sich die vier Cookie-Ankreuzkästchen für „Notwendig“, „Präferenzen“, „Statistiken“ und „Marketing“. Diese waren alle standardmäßig vorausgewählt. Durch die Betätigung des „Cookies zulassen“-Button sollten die Nutzer der Verwendung der Cookies zustimmen.

Über „Details zeigen“ bestand die Möglichkeit, eine Liste der verwendeten Cookies und u.a. deren Zuordnung zu den einzelnen Kategorien „Notwendig“, „Präferenzen“, „Statistiken“ und „Marketing“ einzusehen. Eine gesonderte Aus- oder Abwahlmöglichkeit bestand an dieser Stelle nicht. Der Betreiber der Internetplattform verwendete auf der Seite u.a. Tracking- und Analysetools, wie z.B. Google Analytics.

Der Dachverband forderte den Plattform-Betreiber zur Unterlassung auf, was Letzterer jedoch zurückwies. Der Verband trug vor, dass durch die Nutzung des Cookie-Banners und die daraus resultierende Verarbeitung personenbezogener Daten nicht rechtmäßig erfolge. So liege auch unter Berücksichtigung des Cookie-Banners keine wirksame Einwilligung der Verbraucher vor.

Zum einen fehle es angesichts der vorausgefüllten Ankreuzkästchen an einer wirksamen Willensbekundung. Darüber hinaus fehle es an der Möglichkeit, das Setzen von Drittanbieter-Cookies abzulehnen oder einzelne Anbieter aus- bzw. abzuwählen. Zudem enthalte das Cookie-Banner nicht die notwendigen Informationen für eine informierte Einwilligung gemäß Art. 4 Nr. 11 DSGVO.

Rechtsprechung des EuGH und BGH zu technisch nicht notwendigen Cookies

Der EuGH hatte sich bereits 2019 der Problematik rund um technisch nicht notwendige Cookies angenommen und eine Grundsatzentscheidung gefällt: Der Einsatz eines jeden Cookies, das zum Betrieb einer Website nicht zwingend erforderlich ist, erfordert laut dieser Grundsatzentscheidung eine ausdrückliche Nutzereinwilligung. Dies gilt unabhängig davon, ob über das jeweilige Cookie personenbezogene Daten verarbeitet werden oder nicht.

Damit eine Cookie-Einwilligung wirksam ist, muss diese nicht nur ausdrücklich (etwa durch das aktive Setzen eines Häkchens) erteilt werden, sondern auch unter Bereitstellung umfangreicher Informationen hinsichtlich Funktionsweise des Cookies erfolgen. Dazu zählt neben der Funktionsdauer auch die Angabe der Empfänger der durch das Cookie verarbeiteten Daten.

Auf Basis dieser Grundsatzentscheidung des EuGH positionierte sich auch der BGH hinsichtlich der einzuholenden Cookie-Einwilligungen. Grundsätzlich ergibt sich die Notwendigkeit der Einwilligung aus § 15 Abs. 3 TMG, der angesichts der Regelung in Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG (E-Privacy-Richtlinie) dahin richtlinienkonform auszulegen ist, dass der Diensteanbieter Cookies zur Erstellung von Nutzungsprofilen für Zwecke der Werbung oder Marktforschung nur mit Einwilligung des Nutzers einsetzen darf. Der Begriff der Einwilligung ist in diesem Zusammenhang im Einklang mit Art. 4 Nr. 11 DSGVO auszulegen.

„Einwilligung“ der betroffenen Person ist gemäß Art. 4 Nr. 11 DSGVO jede freiwillig für den bestimmten Fall in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Dies führte dazu, dass Opt-Out-Lösungen für technisch nicht notwendige Cookies im Rahmen des Cookie-Banners als unzulässig und damit rechtswidrig angesehen werden. Unzulässig sind damit bloße Cookie-Banner, die über das Setzen von Cookies informieren und sich mit einem bloßen Klick auf „Ok“ wegklicken lassen.

Urteil des LG Rostock

Vor diesem Hintergrund bestätigte das LG Rostock (Urt. v. 15.09.2020, Az. 3 O 762/19) in dem eingangs beschriebenem Fall die Rechtsauffassung des Dachverbands und stellte fest, dass der Plattformbetreiber ohne wirksame Einwilligung der Nutzer Daten durch Übermittlung an Dritte unberechtigt verarbeitet hat.

Das Gericht stellte fest, dass eine wirksame Einwilligung in Datenverarbeitung durch das vorgehaltene Cookie-Banner aufgrund der Vorauswahl aller Cookie-Ankreuzkästchen nicht erteilt werden konnte. Dieser Opt-Out-Lösung hinsichtlich der technisch nicht notwendigen Cookies schoben die Richter somit vor dem Hintergrund der Rechtsprechung des EuGH/BGH einen Riegel vor. Die Voraussetzungen des Art. 4 Nr. 11 DSGVO wurden in dem beanstandeten Cookie-Consent-Banner nicht entsprechend umgesetzt.

Zwar habe der Verbraucher die Möglichkeit gehabt, sich die Details anzeigen zu lassen und einzelne Cookies abzuwählen. Tatsächlich scheue der Verbraucher jedoch regelmäßig den Aufwand eines solchen Vorgehens und betätige deshalb den Button ohne vorherige Information über die Details, wie die Richter ausführten. Damit wisse der Verbraucher aber gerade nicht, welche Tragweite seine Erklärung habe – ein Verstoß gegen das Erfordernis der Informiertheit hinsichtlich der Einwilligung.

Auch die bereitgestellte Funktion „Nur notwendige Cookies verwenden" änderte an der Beurteilung nichts. Im Ausgangsfall war dieser Button gar nicht als anklickbare Schaltfläche zu erkennen. Zudem trat er auch neben dem grün unterlegten und damit als vorbelegt erscheinenden „Cookie zulassen"-Button in den Hintergrund, wie das Gericht feststellte. Diese Möglichkeit werde von einer Vielzahl der Verbraucher deshalb regelmäßig gar nicht als gleichwertige Einwilligungsmöglichkeit wahrgenommen. Auch ein Einleitungstext, wie ihn der Plattformbetreiber verwendete, ändere daran nichts, da dieser Text bereits nicht darüber aufkläre, welche Cookies wie vorbelegt sind und damit durch welchen Button, welche Cookies „aktiviert“ werden.

Fazit

Vor dem Hintergrund der Rechtsprechung rund um Cookie-Einwilligungen ist die Einholung einer rechtssicheren Cookie-Einwilligung für Betreiber von Internetseiten absolute Pflicht. Nach der Entscheidung des LG Rostock ist davon auszugehen, dass es keine wirksame Einwilligung darstellt, wenn im Cookie-Banner die Einwilligungs-Check-Boxen für technisch nicht notwendige Cookies vorangekreutzt sind. In diesem Zusammenhang erteilt das LG Rostock der sog. Opt-out-Variante eine klare Absage.

Die IT-Recht Kanzlei bietet ihren Mandanten kostenlose wie auch stark vergünstigte Cookie-Consent-Lösungen, um die Einwilligungen von Internetseitenbesuchern wirksam einzuholen: Eine entsprechende Übersicht findet sich hier.

Noch kein Mandant und Interesse an unseren sicheren Rechtstexten für den Verkauf Ihrer Waren im Online-Handel? Gerne, buchen Sie einfach eines der Schutzpakete der IT-Recht Kanzlei (bereits ab mtl. nur 5,90 € erhältlich).

Tipp: Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .