DSGVO: Neues BGH-Urteil - Was Du bei der Nutzung von Cookies nun beachten muss

Es herrscht wieder etwas Unruhe im Netz, denn der Bundesgerichtshof hat ein Machtwort gesprochen. Es gibt ein neues Urteil, was die Cookienutzung betrifft.

Was das eigentlich bedeutet, erläutere ich heute in diesem Blogbeitrag :-)

Urteil ist nicht gleich Gesetz

Vorab möchte ich Dir aber eine wichtige Info geben: Eine Rechtssprechung des Bundesgerichtshofs ist nicht gleich ein neues Gesetz. Das verwechseln leider viele und sind dadurch verunsichert.

Das Urteil, um das es hier heute geht, ist kein Gesetz. Trotzdem solltest Du dieser Rechtssprechung Beachtung schenken und einmal prüfen, ob die Cookie Einstellungen in Deinem Shopware Shop korrekt hinterlegt sind und Du nicht vielleicht ein Plugin benötigst, um auf der sicheren Seite zu sein. Warum erkläre ich gleich :-)

-----------------------------------------------------------------------------------------------------------------------------

Exkurs: Der Unterschied zwischen dem Bundesgerichtshof und dem Bundesverfassungsgericht

BGH und BVerfG sind nicht das Gleiche, auch wenn das der eine oder andere denken mag. Wo liegen die Unterschiede genau? 

Der Bundesgerichtshof (kurz BGH) steht an der Spitze der Amts-, Land- und Oberlandgerichte. Diese Gerichte kümmern sich um die Zivil- und Strafrechtspflege. Der Bundesgerichtshof ist aber ein Gericht auf Bundesebene. Er untersteht organisatorisch dem Bundesminister der Justiz und dem Verbraucherschutz.

Das Bundesverfassungsgericht (BVerfG) hat die Aufgabe, über die Einhaltung der Verfassung zu wachen.
Es überprüft im Rahmen von Normenkontrollverfahren die Gesetze auf ihre Vereinbarkeit mit dem Grundgesetz und entscheidet über Meinungsverschiedenheiten zwischen Verfassungsorganen. Das häufigste Verfahren vor dem Bundesverfassungsgericht ist die Verfassungsbeschwerde, die jeder Bürger einreichen kann.

Wie Du siehst, sind die Unterschiede hier eigentlich recht eindeutig und wir wissen: Das Urteil hat nichts mit dem BVerfG zutun :-)

-----------------------------------------------------------------------------------------------------------------------------

Rechtssprechungen beziehen sich zu 95 % auf spezifische Sachverhalte und können oft gar nicht für die "Allgemeinheit" gelten. Bedenkt man, dass jeder Fall doch unterschiedlich ist und sich so gut wie nie einer zu 100 % gleicht.
Auf die Rechtssprechung kann man sich natürlich in einem anderen Verfahren beziehen, sofern dies auf Grund des Sachverhalts möglich ist.

Hinweis: Natürlich gibt es Einzelfälle, in denen Rechtssprechungen neue Gesetzesentwürfe und -verabschiedungen anstoßen oder diese durch höhere Instanzen mit Gesetzen gleichgestellt werden.

Wir sind keine Rechtsberatung und können hier auch nur über das sprechen, was wir wissen. Wenn Du nähere Fragen dazu hast oder Dich genauer informieren möchtest, wende Dich bitte an einen Rechtsanwalt oder eine Rechtsberatung.

Was ist passiert? Das Urteil vom Bundesgerichtshof

So aber nun wieder zurück: Was ist eigentlich passiert?

Dem Urteil ging eine Klage des Verbraucherschutzzentrale Bundesverbands voraus, der gegen das Unternehmen planet49 klagte. Dieses hat im Rahmen von Gewinnspielen Daten für Werbezwecke gesammelt.

Bevor man auf dem "Absende"-Button des Gewinnspiels klickte, waren zwei Kontrollkästchen zu sehen.

Ein nicht vorangekreuztes Kästchen mit einer Einwilligung zur Zusendung von Werbung und ein vorangekreuztes Kästchen mit der Einwilligung, dass man mit dem Einsatz von Cookies verschiedener Anbieter einverstanden ist.

Der Verbraucherschutz fand, dass das vorangekreuzte Kästchen für die Cookie Einwilligung nicht korrekt sei, da viele Nutzer so automatisch zustimmen würden, obwohl sie das vielleicht gar nicht wollen, und der Bundesgerichtshof gab recht.

So hat der Bundesgerichtshof entschieden, dass Cookies einer eindeutigen Einwilligung der Nutzer bedürfen. Mit diesen Cookies sind übrigens stets nur solche gemeint, die nicht notwendig sind. 

Der BGH bestätigte, dass Cookies, die zur

• bedarfsgerechten Gestaltung von Webseiten oder Apps und
• zur Erstellung von Nutzerprofilen (zum Zwecke der Werbung und Marktforschung)

eine Einwilligung durch ein Opt-In erfordern.

Déjá-vu: Hat der Europäische Gerichtshof darüber nicht schon geurteilt?

Ja, hat er. Aber in diesem Fall hat der BGH beim EuGH angefragt, ob für nicht notwendige Cookies eine Opt-In Pflicht besteht. Da dies vom EuGH bejaht wurde, musste sich der BGH an dieses Urteil halten. Warum? Der EuGH steht über dem BGH.
Also bezog sich das Urteil des Bundesgerichtshof auf die Umsetzung der Opt-In-Pflicht in Deutschland.

"Aber war das nicht schon vorher so?", fragst Du Dich jetzt vielleicht. Nein, nicht wirklich.

§ 15 des Telemediengesetzes sagt:

" (3) Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. […] "

Die Richtlinie, die der EuGH für die Einwilligungspflicht bzw. Opt-In-Pflicht für Cookies fordert, wurde in Deutschland also (bisher) gar nicht umgesetzt und steht auch nirgends geschrieben.

Und was sagt nun der BGH?

" Im Fehlen einer (wirksamen) Einwilligung kann im Blick darauf, dass der Gesetzgeber mit § 15 Abs. 3 Satz 1 TMG das unionsrechtliche Einwilligungserfordernis umgesetzt sah, der nach dieser Vorschrift der Zulässigkeit der Erstellung von Nutzungsprofilen entgegenstehende Widerspruch gesehen werden. "

Übersetzt heißt das: Sofern der Nutzer eindeutig einwilligt, dürfen Cookies zum Zwecke zur Erstellung von Nutzerprofilen für Werbung sowie Marktforschung und zum anzeigen von Werbung eingesetzt werden. Aber auch nur dann. 

Wann sind Cookies in Deinem Shopware Shop erforderlich und wann einwilligungsfrei?

Essenzielle (oder auch "notwendige") Cookies brauchen keine Einwilligung vom Nutzer. Aber eine Übersicht notwendiger Cookies gibt es nicht. Leider.

Da gehen die Meinungen einfach auseinander. Von "Cookies sind nie essenziell" bis hin zu "Cookies sind notwendig, um eine Website wirtschaftlich zu betreiben" ist die Palette breit gefächert. Welche Cookies also essenziell sind und welche nicht kann kaum einer beantworten.

Hinreichend sicher können aber Warenkorb-Cookies Deines Shopware Shops, Logins-Status-Cookies einer Community, Sprachauswahl-Cookies Deines Onlineshops, Cookie-Einwilligungs-Cookies (ja, ist ein echtes Wort :D ), die Deine Einwilligung speichern oder Load-Balancing-Cookies sein.

Wenn Du aber auf Nummer sicher gehen möchtest, und das ist bei dieser Uneindeutigkeit zu empfehlen, solltest Du die Cookie-Einwilligung immer beim Nutzer einholen.

Opt-In für Google Analytics und Facebook Pixel?

Google Analytics und Facebook Pixel werden von vielen Shopware Shop Betreibern gerne genutzt. Verständlich, denn beides ist überaus hilfreich! Doch wie sieht es mit den Cookies aus?

Google Analytics - Streng genommen, ist die Nutzung von Google Analytics nicht notwendig. Dein Shop würde theoretisch auch ohne laufen, auch wenn es mit diesem Tool deutlich besser läuft. Das ist der Datenschutzbehörde aber mehr oder weniger egal. Daher solltest Du hier auf jeden Fall ein Opt-In nutzen.

Facebook Pixel - Auch hier ist ein Opt-In notwendig. Wieso? Facebook nutzt die Daten der Nutzer auch zu eigenen Werbezwecken und genau deswegen scheidet die Notwendigkeit vom Facebook Pixel auch hier aus. 

Wie Du eine wirksame Cookie-Einwilligung vom Nutzer bekommst

Um eine wirksame Cookie-Einwilligung von Deinen Kunden zu erhalten, solltest Du einen Cookie-Banner mit Opt-In verwenden. Die offizielle Bezeichnung lautet übrigens "Cookie-Opt-In-Banner".

Diese Einwilligung muss ausdrücklich immer und in allen Fällen per Klick über eine Schaltfläche oder Checkbox erklärt werden. Opt-Out ist laut EuGH nicht zulässig! Da sind nämlich die Cookies schon beim betreten Deines Onlineshops aktiv und können erst im Nachgang deaktiviert werden. Auch ein vorangekreuztes Kontrollkästchen wie bei planet49 ist nicht zulässig.

Was müssen Deine Kunden auf jeden Fall wissen?

Deine Kunden bzw. die Nutzer müssen wissen,

• welche Arten der Daten zu welchen Zwecken verarbeitet werden (Art und Funktionsweise). Diese Erklärung kannst Du in der Datenschutzerklärung platzieren, da das ja schon ein etwas längerer Text werden könnte.
• wie lange die Cookies aktiv sind (Lebensdauer). Die meisten Marketingdienstleister setzen hier 2 Jahre an. Aber das solltest Du einmal prüfen und erfragen, denn es kann auch mal unterschiedlich sein. 
• welche Dienstleister die Cookies verarbeiten (Identität). Soll heißen, Du musst alle Dienstleister benennen, die Du einsetzt. Das kannst Du schon im Cookie-Banner mit Link zur Datenschutzerklärung machen.

Natürlich brauchst Du hier zwingend eine Datenschutzerklärung. Die brauchst Du aber auch unabhängig von der Cookie-Nutzung. Was da rein kommt und was Du beachten musst, kannst Du entweder in unserem Blogbeitrag zum Thema DSGVO oder direkt im Art. 13-14 DSGVO nachlesen.

-----------------------------------------------------------------------------------------------------------------------------

Hinweis: Wenn Du Dich für weitere Blogbeiträge von uns zum Thema DSGVO interessierst, haben wir nochmal hier einen darüber, wie sich die DSGVO in der ersten Zeit entwickelt hat und einen darüber, was Du über Datenschutz und Shopware Dienstleister wissen musst.

-----------------------------------------------------------------------------------------------------------------------------

Die Nutzer müssen übrigens auch die Möglichkeit haben ihre Cookie-Einstellungen im Nachhinein zu ändern und auch Widerspruch einlegen zu können. Daher solltest Du die Info darüber deutlich platzieren. Am Besten direkt im Banner und in der Datenschutzerklärung.

Wie muss der Cookie-Banner aussehen?

Farbvorgaben o. Ä. gibt es nicht. Wichtig ist, dass der Cookie-Banner direkt zu sehen, eindeutig zu verstehen und leicht zu bedienen ist. Das Ablehnen muss genau so einfach sein, wie das zustimmen.

• Die Buttons sollten die eindeutigen Bezeichnungen "ablehnen" und "akzeptieren" tragen, gleich groß sein und nicht durch Farben in die Irre führen.
• Im Cookie Banner sollte auf die o. g. Informationen verwiesen werden, sowie auf die Datenschutzerklärung.

Es gibt auch Cookie-Banner, bei denen das Ablehnen nicht mit einem Klick möglich ist. Man wird auf eine weitere Seite weitergeleitet und muss die Cookies einzeln anklicken und ablehnen. Da könnte man ebenfalls Ärger mit der Aufsichtsbehörde bekommen, daher sollte man das lieber lassen.

Was Du für Möglichkeiten hast und wie was umsetzen kannst, kannst Du übrigens auch einmal in unserem 8mylez Shopware Wiki Beitrag zum Thema Cookies nachlesen.

Was erwartet mich, wenn ich mich nicht daran halte? 

Kurz und knapp: Abmahnungen, Bußgelder oder sogar eine Untersagungsverfügung einer Behörde.

Dadurch, dass aber nach wie vor noch viele Fragen offen sind, muss jeder Einzelfall auch separat betrachtet werden. Du kannst nur nach besten Gewissen und Wissen handeln. Leider gibt es hier keine Musterlösung für die fehlerfreie Nutzung von Cookie Bannern. 

Ich empfehle Dir aber, sei transparent für Nutzer und Kunden. Sofern Du Cookies nutzt, nutze auch einen Opt-In-Cookie-Banner und informiere in Deiner Datenschutzerklärung ausführlich über die Nutzung von Cookies in Deinem Shopware Shop.