Neues Urteil zu Cookie-Nutzung in Deutschland - und die Bedeutung für Tracking in Österreich

✨ AI Kontextualisierung

Eines der wesentlichen rechtlichen Problemstellungen im Zusammenhang mit Online-Werbung ist die personalisierte – wenn auch nicht unbedingt personenbezogene – Ausspielung von Werbung insbesondere über Online-Werbe-Netzwerke, also das Re-Targeting über die Grenzen der eigenen Website hinaus. Zentraler rechtlicher Angelpunkt sind dabei Techniken für den Zugriff auf Informationen, die im Endgerät des Nutzers gespeichert sind: Art 5 der sogenannten „europäischen CookieRL“ normiert, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er (gemäß der damaligen DatenschutzRL) u.a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat; dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann.

Österreichische Abmahnungen und deutsches Urteil

Ein Rechtsanwalt aus dem schönen Salzburg hat Mitte 2019 damit begonnen, Werbekunden von Online-Werbe-Netzwerken abzumahnen und Schadenersatz in der Höhe von EUR 1.000,- je (angeblich rechtswidrigem) Cookie zu verlangen. Inzwischen sind von seiner Mandantin einige Verfahren vor der DSB anhängig gemacht worden.

+++Corona-Maskenpflicht entfällt großteils ab 15. Juni+++

Der deutsche Bundesverband der Verbraucherzentralen klagte hingegen schon vor einigen Jahren Planet49, eine deutsche Gesellschaft, welche im September 2013 unter ihrer Internetadresse ein Gewinnspiel veranstaltet hatte. Zwar hat der deutsche Bundesgerichtshof (BGH) in seinem heutigen Urteil vom 28. Mai 2020 (I ZR 7/16 – Cookie-Einwilligung II [in der Folge „BGH-Planet49-E“]) primär nach deutscher Rechtsordnung (also zum deutschen Telemediengesetz – TMG) abgesprochen, doch ist dieses Urteil über die deutschen Grenzen hinaus – insbesondere auch für Österreich – relevant, auch wenn der Gesetzeswortlaut nach dem österreichischen Telekommunikationsgesetz – TKG deutlich abweicht.

Der Sachverhalt zum aktuellen Cookie-Urteil

Dem BGH-Planet49-E lag folgender Sachverhalt zugrunde: Nach Eingabe der Postleitzahl gelangte der Nutzer auf eine Seite, auf der Name und Anschrift des Nutzers einzutragen waren. Unter den Eingabefeldern für die Adresse befand sich ua folgende Einverständniserklärung: Das Ankreuzfeld war mit einem voreingestellten Häkchen versehen und wies folgenden Text auf: „Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die [Planet49], nach Registrierung für das Gewinnspiel Cookies setzt, welches [Planet49] eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier.“

In der mit dem Wort „hier“ verlinkten Erläuterung wurde darauf hingewiesen, dass die Cookies eine bestimmte, zufallsgenerierte Nummer (ID) erhalten würden, die den Registrierungsdaten des Nutzers zugeordnet seien, der sich mit Namen und Adresse in das bereitgestellte Webformular eingetragen habe. Falls der Nutzer mit der gespeicherten ID die Webseite eines für Remintrex registrierten Werbepartners besuchen würde, sollte sowohl dieser Besuch erfasst werden als auch, für welches Produkt sich der Nutzer interessiert und ob es zu einem Vertragsschluss kommt. Der voreingestellte Haken konnte entfernt werden. Eine Teilnahme am Gewinnspiel war aber nur möglich, wenn mindestens eines der beiden Felder mit einem Haken versehen war.

Bundesverband der Verbraucherzentralen bekam vor BGH Recht

Der Bundesverband der Verbraucherzentralen verlangte, Planet49 zu verbieten, entsprechende Einverständniserklärungen in Gewinnspielvereinbarungen mit Verbrauchern einzubeziehen oder sich darauf zu berufen; weiters forderte der Bundesverband den Ersatz der Abmahnkosten.

Nunmehr hat der BGH mit folgenden Argumenten dem Bundesverband Recht gegeben:

Die von Planet49 in Form einer „Allgemeinen Geschäftsbedingung“ vorgesehene Einwilligung des Nutzers, die den Abruf von auf seinem Endgerät gespeicherten Informationen mithilfe von Cookies im Wege eines voreingestellten Ankreuzkästchens gestattet, stellt sowohl nach dem im Zeitpunkt der beanstandeten Handlung geltenden Recht als auch nach dem im Entscheidungszeitpunkt geltenden Recht eine unangemessene Benachteiligung des Nutzers dar.
Die Einholung der Einwilligung mittels eines voreingestellten Ankreuzkästchens war auch schon vor der Datenschutz-Grundverordnung (DSGVO) unzulässig: Der beanstandete Einsatz von Cookies durch Planet49 als Diensteanbieter dient der Erstellung von Nutzerprofilen zum Zwecke der Werbung, indem das Verhalten des Nutzers im Internet erfasst und zur Zusendung darauf abgestimmter Werbung verwendet werden soll. Bei der im Streitfall in den Cookies gespeicherten zufallsgenerierten Nummer (ID), die den Registrierungsdaten des Nutzers zugeordnet ist, handelt es sich um ein Pseudonym im Sinne dieser Vorschrift. Die deutsche TMG-Vorschrift ist nach dem BGH dahin richtlinienkonform auszulegen, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist.
Auf die Frage, ob es sich bei den Informationen um personenbezogene Daten handelt, kommt es nach dem EuGH und nunmehr BGH nicht an. Aus österreichischer Sicht ist schon an dieser Stelle darauf hinzuweisen, dass das TMG diesbezüglich aber ohnedies keinen Unterschied gemacht hat und ausschließlich auf die „Speicherung von Informationen oder der Zugriff auf Informationen“ – also anders als das österreichische TKG unabhängig vom Personenbezug (siehe gleich unten) – abstellt.
Der richtlinienkonformen Auslegung der deutschen Vorschrift steht nicht entgegen, dass der deutsche Gesetzgeber bisher keinen Umsetzungsakt vorgenommen hat. Denn es ist anzunehmen, dass der Gesetzgeber die bestehende Rechtslage in Deutschland für richtlinienkonform erachtete. Mit dem Wortlaut des TMG ist eine entsprechende richtlinienkonforme Auslegung noch vereinbar. Im Fehlen einer (wirksamen) Einwilligung kann im Blick darauf, dass der deutsche Gesetzgeber mit dem TMG das unionsrechtliche Einwilligungserfordernis umgesetzt sah, der nach dieser Vorschrift der Zulässigkeit der Erstellung von Nutzungsprofilen entgegenstehende Widerspruch gesehen werden.

Österreichische „Cookie-Lösung“ und Bedeutung der EuGH- und BGH-Urteile

Der österreichische Gesetzgeber hat mit § 96 Abs. 3 des österreichischen Telekommunikationsgesetzes 2003 (öTKG) – insbesondere mit dessen am 01.12.2018 wirksam gewordenen Novelle, um die Regelung an das DSGVO-Wording anzupassen – „versucht“, die CookieRL umzusetzen: Anbieter eines Dienstes der Informationsgesellschaft sind verpflichtet, den Benutzer darüber zu informieren, welche personenbezogenen Daten er verarbeiten wird, auf welcher Rechtsgrundlage und für welche Zwecke dies erfolgt und für wie lange die Daten gespeichert werden. Eine Ermittlung dieser Daten ist nur zulässig, wenn der Nutzer seine Einwilligung dazu erteilt hat. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Benutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann.

Daher stellt das österreichische TKG als Umsetzung der CookieRL – anders als nach Ansicht des BGH das deutsche TMG – ausdrücklich ausschließlich auf personenbezogene Cookies ab. Schon aus dem EuGH-Urteil vom 01.10.2019 zu Planet49 ist klar abzuleiten, dass die österreichische Regelung somit europarechtswidrig ist, was der BGH nunmehr – indirekt – bestätigt hat. Daher müsste die, die CookieRL umsetzende Regelung des § 96 Abs 3 TKG ebenfalls nicht nur für personenbezogene sondern auch für nicht-personenbezogene Daten gelten. Das ist aber nach dem eindeutigen Wortlaut der Bestimmung nicht der Fall.

Eine Erweiterung der Verwaltungsstrafbestimmung des TKG auf nicht-personenbezogene Daten durch „richtlinienkonforme Interpretation“ kommt aber in Österreich – anders als nach dem deutschen TMG – unseres Erachtens verfassungsrechtlich nicht in Betracht (Grundsatz: „Keine Strafe ohne Gesetz“) und eine unmittelbare Anwendbarkeit kommt erstens aufgrund der in Österreich ja „versuchten“ Umsetzung und zweitens jedenfalls zu Lasten des Normunterworfenen nicht in Betracht. Es bleibt daher in Österreich (derzeit) beim „geregelten Bereich“ der personenbezogenen Daten und dem „ungeregelten Bereich“ der nicht-personenbezogenen Daten bei Cookies bzw Tracking-Tools iSd CookieRL.

Praktisch bedeutsames nicht-personenbezogenes Tracking?

Ist obige Unterscheidung aber nicht ohnedies bloße „theoretische Paragrafen-Reiterei“, weil die breite Definition der „personenbezogenen Daten“ ohnedies stets dazu führt, dass im Zusammenhang mit Online-Tracking-Tools personenbezogene Daten verarbeitet werden? Unseres Erachtens ist die Abgrenzung personenbezogener Daten von anonymen Daten, für welche das Datenschutzrecht ja nicht anwendbar ist, eines der zentralen Fragen des Datenschutzrechts schlechthin. Die Antwort darauf ist für zahlreiche Businessmodelle – ja ganze Industriezweige – faktisch überlebenswichtig. Leider wird aber oft „reflexartig“ gar nicht in Zweifel gezogen, ob „personenbezogene Daten“ vorliegen.

Gestützt auf die österreichische Spruchpraxis sind wir der Ansicht, dass nach österreichischem Verständnis zentrales Abgrenzungsmerkmal der im Lichte des allgemeinen Ermessens erwartbare unverhältnismäßige Aufwand der Herstellung eines direkten Personenbezugs ist. Unseres Erachtens kann – unter Heranziehung der Kriterien des Art. 32 DSGVO zur Datensicherheit – dieses zentrale Abgrenzungsmerkmal in einer datenschutzrechtlichen ex ante-Betrachtung durch folgende Elemente iSe „beweglichen Beurteilung-Systems“ weiter konkretisiert werden:

Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, um Personenbezug herzustellen und dabei:
- Art, Umfang, Umstände und Zwecke der Verarbeitung;
- Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der Betroffenen;
- Kosten der Identifizierung; und
- erforderlicher Zeitaufwand,
- wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind.
Soweit man dabei zum Schluss kommt, dass ohne unverhältnismäßigen Aufwand eine Wiederherstellung des Personenbezugs nicht erwartbar ist, liegen anonyme Daten vor.

Umgelegt auf das Online-Tracking – insbesondere unter Nutzung von Cookies – führt dies zwar zur beliebten juristischen Antwort, nämlich „es kommt auf den Einzelfall an“, doch ist im Zusammenhang mit Online-Werbe-Netzwerken und dem Re-Targeting mittels Werbeanzeigen in den meisten Fällen davon auszugehen, dass es den Werbe-Netzwerken und insbesondere den Werbetreibenden nicht darauf ankommt und sie daher keinen Aufwand treiben, einen „echten“ Personenbezug herzustellen. Es kommt den Beteiligten ausschließlich darauf an, dass auf den Endgeräten, über welche „Interesse“ an einem gewissen Angebot – insb durch Besuch der entsprechenden Website – „bekundet“ wurde, regelmäßig Werbung für dieses Angebot ausgespielt wird, um die Nutzer – und zwar gänzlich unabhängig von deren tatsächlicher Identität – an das Angebot zu erinnern. Soweit daher – etwa durch Verknüpfung mit Login-Daten – keine direkten personenbezogenen Daten verarbeitet werden, ist davon auszugehen, dass anonyme Daten im Sinne der obigen Abgrenzung vorliegen und daher die DSGVO nicht Anwendung findet.

Auch wenn nach der CookieRL auch hinsichtlich dieser anonymen Cookies Information- und Einwilligungspflichten bestünden, sind diese im TKG nicht umgesetzt. Daher bestehen solche Pflichten nach der österreichischen Gesetzeslage auch (derzeit) nicht.

Vorausschauend: einzige Lösung auch in Österreich ist eine entsprechend rechtlich geprüfte technische Lösung

Es ist nach den EuGH- und BGH-Urteilen zu erwarten, dass auch der österreichische Gesetzgeber – insbesondere im Lichte des weiterhin schleppenden Gesetzgebungsverfahrens für eine ePrivacyVO – zeitnah die Cookie-Regelung des Telekommunikationsgesetzes gemäß den Vorgaben der CookieRL im Lichte der Auslegung des EuGHs anpassen wird. Damit wird es nach österreichischer Rechtslage wohl endgültig notwendig werden, dass der Einsatz von (auch anonymen) Cookies, die zur Erbringung des vom Nutzer angeforderten Dienst nicht notwendig sind, der informierten und jederzeit widerruflichen Einwilligung des Nutzers bedürfen.

Die strengen Vorgaben an detaillierte Information, Einwilligung und insbesondere der jederzeitigen Widerruflichkeit sind wohl praktisch nur durch technische Unterstützung mittels „Cookie-Tools“ oder technischen Alternativen dazu erfüllbar.

Kreative Lösungen in diesem Zusammenhang zu finden, welche für alle Beteiligten eine rechtssichere Win-Win-Situation bringen, ist aus unserer Sicht daher für das Überleben des Multi-Millionen-Euro-Schweren online-werbe-Marktes unumgänglich. Dafür wird es notwendig sein, dass Techniker, Business (insbesondere Marketing) und Juristen eng zusammenarbeiten; also ein Team-Building stattfindet, das wir schon aus der DSGVO-Implementierung bestens kennen.

Über den Autor

Max W. Mosing ist Partner und CIS-Datenschutzbeauftragter bei GEISTWERT Rechtsanwälte Lawyers Avvocati.

Redaktionstipps

EU-Datenschutzverordnung: Das müssen Startups beachten

27.11.2017

Was das richtige Impressum auf der Website enthalten muss

24.02.2016

„Ein System, das sich permanent verändern kann“

Der Reiz der IT:U liege darin, dass sie als öffentliche Hochschule komplett neu errichtet werde, ohne verkrustete Legacy-Probleme. Ziel sei es, zu beweisen, dass man eine moderne Universität von Anfang an richtig konzipieren könne. Das bedeute vor allem auch Wandlungsfähigkeit: „Auf die Frage, wie die IT:U in 15 oder 20 Jahren aussehen wird, antworte ich: ‚Ich weiß es nicht, aber ich weiß, dass sie auf jeden Fall nicht so aussieht wie heute.‘ Ich glaube, das ist auch der Kern dieses ganzen Projekts: diese Fähigkeit, sich an die Realität der Welt anzupassen.“ IT-Fakultäten an etablierten Universitäten könnten diese Agilität in der vorhandenen Struktur nicht erreichen. „Und wenn wir jetzt kein System bauen, das sich permanent verändern kann, ist die IT:U in zehn Jahren auch veraltet“, so Cracau.

Dieses Umfeld ziehe auch „Rebels“ an, die Dinge neu denken wollen – sowohl bei den Lehrenden als auch bei den Studierenden. „Masterstudierende, die sich trauen, in ein Studium einzusteigen, das keine Referenz hat, haben dieses Pionier-Gen“, ist Cracau überzeugt. Und das brauche man auch für Spinoffs. Auch dass Englisch die offizielle Sprache an der IT:U ist, ziehe eine tendenziell gründungsaffine Zielgruppe an: „Die Ausgründungsrate bei internationalen Studierenden ist bis zu fünfmal höher“, so Cracau.

Gelernt wird an der IT:U projektbasiert in Kleingruppen direkt an Technologien wie Robotik und KI. Das Ziel sei die Verschmelzung von technischer Expertise und Future Skills. Dabei müsse man einem Problem erst interdisziplinär auf den Grund gehen, bevor man es lösen könne. Cracau: „Gründerinnen und Gründer suchen sich ihre Probleme, gehen mit offenen Augen durch die Welt und beißen sich dann an etwas fest, das sie wirklich interessiert.“ Dennoch dürfe man sich beim Thema Ausgründungen keinen Illusionen hingeben: „Die Vorstellung, dass man jede beliebige Forschende oder jeden beliebigen Forscher zu Gründerinnen und Gründern ausbilden kann, ist romantisch.“

Und aktuell befinde sich die IT:U auch noch in einer Bringschuld, die einen zentralen Punkt in der öffentlichen Spinoff-Debatte betrifft: „Wir arbeiten noch an unserer IP-Policy. Die wollen wir Schritt für Schritt aufbauen“, sagt Cracau. Das Ziel sei dabei klar: Sie soll „maximal gründungsfreundlich“ werden. Und er spricht auch das zweite Großthema rund um universitäre Ausgründungen an: den Zugang von Universitäten zu Unternehmensanteilen. „Wenn die Universität früh mit einem hohen Anteil – sagen wir: zehn Prozent – und Mitspracherecht reingeht, killt das die Erfolgschancen des Spinoffs“, warnt Cracau. Internationale Vorbilder wie die ETH Zürich und die TU München mit UnternehmerTUM würden zeigen, dass flache Beteiligungsstrukturen besser funktionieren. „Der Mehrwert kommt langfristig über erfolgreiche Alumni zurück, die das Ökosystem unterstützen“, so Cracau.

Kooperationen im Zentrum

Um angehende Gründer:innen ganz konkret zu fördern, setzt die IT:U auf Begleitung ab Tag eins bereits in der „Welcome Week“. Ausgründen sei „nicht nur eine Möglichkeit, sondern es wird proaktiv gefördert“. Neben dem Aufbau einer eigenen finanziellen Anschubförderung soll im nächsten Jahr ein „Startup Partner“ als erster Ansprechpartner an Bord kommen. „Diese Person muss echte Gründungserfahrung mitbringen, um ein authentischer und kompetenter Begleiter zu sein“, betont Cracau. Den entscheidenden Hebel sieht er letztlich in der Praxisnähe: „Der absolut größte Breaking Point ist Go-to-Market. Durch das projektbasierte Arbeiten an realen Industrieaufgaben ist die Basis für den Marktstart von vornherein viel besser.“ Diese Industriekooperation passiert etwa in einem kürzlich eröffneten gemeinsamen Labor mit Infineon Austria.

Als Vision skizziert Cracau ein noch größeres Ziel: „Letztlich soll der Mehrwert der IT:U darin bestehen, nicht nur Graduates hervorzubringen, die direkt in die Wirtschaft gehen, sondern auch als Anker im Ökosystem für eine Gründungswelle zu stehen und diese institutionell zu begleiten.“ Das könne aber nur mit einem breiten Schulterschluss gelingen – nicht nur mit anderen Unis, wie es etwa mit der „Schwester-Uni“ JKU bereits der Fall sei, sondern auch mit Wirtschaft und Industrie: „Wir müssen alle an einem Strang ziehen. Denn am Ende ist ganz Österreich nur ein kleines Ökosystem.“

Die Hochlauf- und Entwicklungskurve bleibe jedenfalls steil und anspruchsvoll. Als entscheidender Meilenstein für den weiteren Erfolg der IT:U gilt die anstehende Wahl der Universitätsführung Mitte 2027.

Neues Urteil zu Cookie-Nutzung in Deutschland – und die Bedeutung für Tracking in Österreich