Was das BGH-Urteil zu Cookies in der Praxis bedeutet

Von David Klein, Fachanwalt für Informationsrecht bei der Wirtschaftskanzlei Taylor Wessing

Der Bundesgerichtshof (BGH) hat entschieden, dass Cookies für Analytics, Werbung und Marktforschung künftig nicht mehr ohne Einwilligung gesetzt werden dürfen. Ein einfaches "Opt-Out" ist damit, ebenso wie Einwilligungen durch das "Weitersurfen", unzulässig.

Ganz ohne Einwilligung dürfen damit nur noch Cookies verwendet werden, die für die Nutzung der Webseite technisch notwendig sind, also etwa die Funktionalität eines Warenkorbs sicherstellen oder Opt-Ins speichern. Cookies, die für Analytics genutzt werden, gehören in den meisten Fällen nicht zu solchen technisch notwendigen Cookies.

Tatsächlicher Handlungsbedarf dürfte bei vielen Webseitenbetreibern derzeit nicht bestehen, da der Europäische Gerichtshof (EuGH) in der gleichen Sache auf Vorlage des BGH bereits viele Weichen für das nun ergangene Urteil des BGH gestellt hat. Viele Betreiber haben in diesem Zuge zumindest begonnen, ihre Cookie-Banner und dahinterliegenden Consent Management Plattformen anzupassen. Hier sollte nur überprüft werden, ob der Einsatz von Google Analytics korrekt widergespiegelt ist.

Wer allerdings die Übergangszeit seit dem EuGH-Urteil nicht genutzt hat, für den besteht nun ein nicht unerhebliches Risiko. Ein Verstoss gegen Datenschutzverstösse kann nach Auffassung einiger Gerichte im Wege einer Abmahnung etwa durch Wettbewerber verfolgt werden. Durch das Urteil des BGH können sich Dritte motiviert sehen, solche Abmahnungen auszusprechen.

In der Vergangenheit mussten Datenschutzbehörden bei der Bemessung ihrer Sanktionen den Wortlaut des Paragraf 15 Abs. 3 Telemediengesetz zu Gunsten der Webseitenbetreiber berücksichtigen. In diesem Pagrafen heisst es konkret: "Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Der Diensteanbieter hat den Nutzer auf sein Widerspruchsrecht im Rahmen der Unterrichtung nach § 13 Abs. 1 hinzuweisen. Diese Nutzungsprofile dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden."

Die Bewertung des Paragraf 15 Abs. 1 durch die Datenschutzbehörden dürfte sich nach dem heutigen Urteil perspektivisch ändern.