ECLI:DE:BGH:2017:051017BIZR7.16.0 BUNDESGERICHTSHOF BESCHLUSS I ZR 7/16 Verkündet am: 5. Oktober 2017 Führinger Justizangestellte als Urkundsbeamt in der Geschäftsstelle in dem Rechtsstreit Nachschlagewerk: ja BGHZ: nein BGHR: ja Cookie - Einwilligung Richtlinie 2002/58/EG Art. 5 Abs. 3 u nd Art. 2 Buchst. f; Richtlinie 2009/136/EG Art. 2 Nr. 5; Richtlinie 95/46/EG Art. 2 Buchst. h; Verordnung (EU) 2016/679 Art. 6 Abs. 1 Buchst. a; UKlaG § 1; BGB § 307 Bd; TMG § 12 Abs. 1, § 13 Abs. 1, § 15 Abs. 3 Dem Gerichtshof der Europäischen Union werd en zur Auslegung der Art. 5 Abs. 3 und Art. 2 Buchst. f der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elek t- ronische Kommunikation, ABl. Nr. L 201 vom 31. Juli 2002, S. 37) in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25. November 2009 zur Änderung der Richtlinie 2002/22/EG übe r den Universaldienst und Nutzerrechte bei elektronischen Kommunikationsnetzen und - diensten, der Richtl i- nie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation und der Verordnung (EG ) Nr. 2006/2004 über die Zusammenarbeit im Verbraucherschutz (ABl. Nr. L 337 vom 18. Dezember 2009, S. 11) geänderten Fassung in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schu tz natürlicher Personen bei der Verarbeitung personenbezogener D a- ten und zum freien Datenverkehr (ABl. Nr. L 281 vom 23. November 1995, S. 31) s o- wie des Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 des Europäischen Pa r- laments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz - Grundverordnung, ABl. Nr. L 119/1 vom 4. Mai 2016, S. 1) folgende Fragen zur Vorabentsch eidung vorgelegt: - 2 - 1. a) Handelt es sich um eine wirksame Einwilligung im Sinne des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58/EG in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG, wenn die Speicherung von Informationen oder de r Z u- griff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss? b) Macht es bei der Anwendung des Art. 5 Abs. 3 u nd des Art. 2 Buchst. f der Richtlinie 2002/58/EG in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG einen Unterschied, ob es sich bei den gespeicherten oder abgerufenen Inform a- tionen um personenbezogene Daten handelt? c) Liegt unter den in Vorlage frage 1 a) genannten Umständen eine wirksame Ei n- willigung im Sinne des Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 vor? 2. Welche Informationen hat der Diensteanbieter im Rahmen der nach Art. 5 Abs. 3 der Richtlinie 2002/58/EG vorzunehmenden klare n und umfassenden Information dem Nutzer zu erteilen? Zählen hierzu auch die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff erhalten? BGH, Beschluss vom 5. Oktober 2017 - I ZR 7/16 - OLG Frankfurt am Main LG Frankfurt am Main - 3 - Der I. Zivilsenat des Bundesgerichtshofs hat auf die mündliche Verhan d- lung vom 14. Juni 2017 durch den Vorsitzenden Richter Prof. Dr. Büscher, die Richter Dr. Kirchhoff, Prof. Dr. Koch, Dr. Löffler und Feddersen beschlossen : I. Das Verfahren wird ausg esetzt. II. Dem Gerichtshof der Europäischen Union werden zur Ausl e- gung der Art. 5 Abs. 3 und A rt. 2 Buchst. f der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schut z der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Ko m- munikation, ABl. Nr. L 201 vom 31. Juli 2002, S. 37) in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/EG des Europä i- schen Parlaments und des Rates vom 25. N ovember 2009 zur Änderung der Richtlinie 2002/22/EG über den Universaldienst und Nutzerrechte bei elektronischen Kommunikationsnetzen und - diensten, der Richtlinie 2002/58/EG über die Verarbe i- tung personenbezogener Daten und den Schutz der Pr i- vatsphäre in der elektronischen Kommunikation und der Ve r- ordnung (EG) Nr. 2006/2004 über die Zusammenarbeit im Verbraucherschutz (ABl. Nr. L 337 vom 18. Dezember 2 009, S. 11) geänderten Fassung in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Pers o- nen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. Nr. L 281 vom 23. November 1995, S. 31) sowie des Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016 /679 des E uropäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Ve r- arbeitung personenbezogener Daten, zum freien Datenve r- kehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz - Grundverordnung, ABl. Nr. L 119/1 vom 4. Mai 2016, S. 1) fo l- gende Fragen zur Vorabentscheidung vorgelegt: 1. a) Handelt es sich um eine wirksame Einwilligung im Si n- ne des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtl i- - 4 - nie 2002/58/EG in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/ 46/EG, wenn die Speicherung von Info r- mationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nutzers gespeichert sind, durch ein voreingestelltes Ankreuzkästchen erlaubt wird, das der Nutzer zur Verweigerung seiner Einwilligung abwählen mu ss? b) Macht es bei der Anwendung des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58/EG in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG einen U n- terschied, ob es sich bei den gespeicherten oder abg e- rufenen Informationen um personen bezogene Daten handelt? c) Liegt unter den in Vorlagefrage 1 a) genannten U m- ständen eine wirksame Einwilligung im Sinne des Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 vor? 2 . Welche Informationen hat der Diensteanbieter im Rahmen der nach Art. 5 Abs. 3 der Richtlinie 2002/58/EG vorzune h- menden klaren und umfassenden Information dem Nutzer zu erteilen? Zählen hierzu auch die Funktionsdauer der Cookies und die Frage, ob Dritte auf die Cookies Zugriff e r- halten? Gründe: I. Der Kläger ist der in die Liste qualifizierter Einrichtungen nach § 4 U KlaG eingetragene Bundesverband der Verbraucherzentralen. Die Beklagte bietet die Teilnahme an Gewinnspielen im Internet an. Am 24. September 2013 veranstaltete die Beklagte unter der Interne t- adresse " www. .de " ein Gewinnspiel. Nach Eingabe der Postleit - zahl gelangte der Nutzer hierbei auf eine Seite, auf der Name und Anschrift des 1 2 - 5 - Nutzers einzutragen war en . Unter den Eingabefeldern für die Adresse befanden sich zwei mi t Ankreuzfeldern versehene Hi nweistexte. Der erste Hinweistext, dessen Ankreuzfeld nicht mit einem voreingestellten Häkchen versehen war, lautete: Ich bin einverstanden, dass einige Sponsoren und Kooperationspartner mich postalisch oder telefonisch oder per E - Mail/SMS über Angebote au s ihrem j e- weiligen Geschäftsbereich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalter. Das Einverständnis kann ich jederzeit widerrufen. Weitere Infos dazu hier. Der zweite Hinweistext, der mit einem voreingestellten Häkchen vers e- hen war, lautete: Ich bin einverstanden, dass der Webanalysedienst R . bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die P . GmbH, nach Registrierung für das Gewinnspiel Cookies set zt, welches P . eine Auswertung meines Surf - und Nutzungsverhaltens auf Websites von Werb e- partnern und damit interessengerichtete Werbung durch R . ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier . Eine Teiln ahme am Gewinnspiel war n ur möglich, wenn m indestens das Häkchen vor dem ersten Hinweistext gesetzt w u rd e . Der im ersten Hinweistext den Worten " Sponsoren und Kooperation s- partner " und " hier " unterlegte elektronische Verweis führte zu einer Liste , die 57 Unternehmen, ihre Adresse, den zu bewerbenden Geschäftsbereich und die für die Werbung genutzte Kommunikationsart (E - Mail, Post oder Telefon) sowie nach jedem Unternehmen das unterstrichene Wort " Abmelden " enthielt. Der Liste vorangestellt war folgender Hi nweis: Durch Anklicken auf dem Link " Abmelden " entscheide ich, dass dem genannten Partner/Sponsoren kein Werbeeinverständnis erteilt werden darf. Wenn ich ke i- nen oder nicht ausreichend viele Partner/Sponsoren abgemeldet habe, wählt P . für mich Partne r/Sponsoren nach freiem Ermessen aus (Höchstzahl: 30 Partner/Sponsoren). Bei Betätigung des im zweiten Hinweistext dem Wort " hier " unterlegten elektronischen Verweises wurde folgende Information angezeigt: 3 4 5 6 - 6 - Bei den gesetzten Cookies mit den Namen ceng_ca che, ceng_etag, ceng_png und gcr handelt es sich um kleine Dateien, die auf Ihrer Festplatte von dem von Ihnen verwendeten Browser zugeordnet gespeichert werden und durch welche bestimmte Informationen zufließen, die eine nutzerfreundlichere und effektiver e Werbung ermöglichen. Die Cookies enthalten eine bestimmte zufallsgenerierte Nummer (ID), die gleichzeitig Ihren Registrierungsdaten zugeordnet ist. Bes u- chen Sie anschließend die Webseite eines für R . registrierten Werbe - partners (o b eine Registri erung vorliegt, entnehmen Sie bitte der Datenschutz - erklärung des Werbepartners), wird automatisiert aufgrund eines dort eing e- bundenen iFrames von R . erfasst, dass Sie (d.h. der Nutzer mit der ge - speicherten ID) die Seite besucht haben, für welches Produkt Sie sich intere s- siert haben und ob es zu einem Vertragsschluss gekommen ist. Anschließend kann die P . GmbH aufgrund des bei der Gewinnspielre - gistrierung gegebenen Werbeeinverständnisses Ihnen Werbemails zukommen lassen, die Ihre auf der We bsite des Werbepartners gezeigten Interessen b e- rücksichtigen. Nach einem Widerruf der Werbeerlaubnis erhalten Sie selbstve r- ständlich keine E - Mail - Werbung mehr. Die durch die Cookies übermittelten Informationen werden ausschließlich für Werbung verwendet, i n der Produkte des Werbepartners vorgestellt werden. Die Informationen werden für jeden Werbepartner getrennt erhoben, gespe i- chert und genutzt. Keinesfalls werden Werbepartner - übergreifende Nutzerprof i- le erstellt. Die einzelnen Werbepartner erhalten keine personenbezogenen D a- ten. Sofern Sie kein weiteres Interesse an einer Verwendung der Cookies haben, können Sie diese über Ihren Browser jederzeit löschen. Eine Anleitung finden Sie in der Hilfefunktion Ihres Browsers. Durch die Cookies können keine Programm e ausgeführt oder Viren übertragen werden. Sie haben selbstverständlich die Möglichkeit, dieses Einverständnis jederzeit zu widerrufen. Den Widerruf können Sie schriftlich an die P . GmbH [Ad - resse] richten. Es genügt jedoch auch eine E - Mail an unser en Kundenservice [E - Mail - Adresse]. Der Kläger hat geltend gemacht , die von der Beklagten verlangten Ei n- verständniserklärung en genüg t e n nicht den Anforderungen des § 307 BGB in Verbindung mit § 7 Abs. 2 Nr. 2 UWG und §§ 12 ff. TMG. Eine vorgerichtliche A bmahnung ist ohne Erfolg geblieben. 7 - 7 - Der Kläger hat zuletzt beantragt, I. die Beklagte unter Androhung näher bezeichneter Ordnungsmittel zu veru r- teilen, es zu unterlassen, nachfolgende oder mit diesen inhaltsgleiche Be - stimmungen, deren Akzeptanz für die Teilnahme an einem Gewinnspiel obl i- gatorisch ist, in Gewinnspielvereinbarungen mit Verbrauchern einzubezi e- hen, sowie sich auf die Bestimmungen bei der Abwicklung derartiger Vertr ä- ge, geschlossen nach dem 1. April 1977, zu berufen: 1. Ich bin einverstande n, dass einige Sponsoren und Kooperationspartner mich postalisch oder telefonisch oder per E - Mail/SMS über Angebote aus ihrem jeweiligen Geschäftsbereich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalte r. Das Einverständnis kann ich jederzeit widerrufen. Weitere Infos dazu hier; 2. Ich bin einverstanden, dass einige Sponsoren und Kooperationspartner mich [postalisch oder] telefonisch [ oder per E - Mail/SMS ] über Angebote aus ihrem jeweiligen Geschäftsbere ich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalter. [Das Einverständnis kann ich jederzeit widerrufen. Weitere Infos dazu hier ] ; Hilfsweise zum Antrag I. 2: Ich bin einverstanden, dass einige Sponso ren und Kooperationspartner mich [postalisch oder] telefonisch [oder per E - Mail/SMS] über Angebote aus ihrem jeweiligen Geschäftsbereich informieren. Diese kann ich hier selbst bestimmen, ansonsten erfolgt die Auswahl durch den Veranstalter. [Das Einverstä ndnis kann ich jederzeit widerrufen. Weitere Infos dazu hier], wenn diese Bestimmung verwendet wird in Verbindung mit einer Liste wie in Anlage K 1 zur Klageschrift wiedergegeben; 3. nachfolgende Bestimmung mit voreingestelltem Ankreuzfeld: Ich bin einve rstanden, dass der Webanalysedienst R . bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die P . GmbH, nach Registrierung für das Gewinnspiel Cookies setzt, welches P . eine Auswertung meines Surf - und Nutzung sverhaltens auf Websites von Werbepartnern und damit interessengerichtete We r- bung durch R . ermöglicht (.. . ); II. die Beklagte zu verurteilen, an den Kläger 214 fünf Prozentpunkten über dem jeweiligen Basiszinssatz seit dem 15. März 2014 zu zahlen. 8 - 8 - Das Land gericht hat den Klageanträgen zu I 1, I 3 und II stattgegeben und die Klage im Übrigen abgewiesen . Auf d ie Berufung der Beklagten hat das Berufungsgericht den Klageantrag zu I 3 abgewiesen und die Berufung im Übr i- gen mit der Maßgabe zurückgewiesen , dass der verbleibende Unterlassungst e- nor um den Zusatz ergänzt wird " wenn diese Bestimmung verwendet wird in Verbindung mit einer Liste wie in Anlage K 1 zur Antragsschrift wiedergegeben " . Mit d er vom Berufungsgericht zugelassen en Revision verfolgt de r Kläger seinen Klageantrag zu I 3 und die Beklagte ihren Antrag auf Klageabweisung weiter. Die Parteien beantragen jeweils, das Rechtsmittel der Gegenseite zurückz u- weisen. II. Der Erfolg der Revision des Klägers hängt von der Aus legung de s Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58/EG in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG sowie des Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 ab . Vor einer Entscheidung über das Rechtsmi t- tel ist desha lb das Verfahren auszusetzen und gemäß Art. 267 Abs. 1 Buchst. b und Abs. 3 AEUV eine Vorabentscheidung des Gerichtshofs der Europäischen Union einzuholen. 1. Das Berufungsgericht hat den Klageantrag I 3 für nicht begründet e r- achtet. Hierzu hat es ausge führt, d ie Einwilligungserklärung zur Nutzung von Cookies sei weder angesichts der Voreinstellung eines Häkchens noch in i n- hal t licher Hinsicht zu bean standen. Der Nutzer erkenne, dass er das voreing e- stellte Häkchen entfernen könne. Die Einwilligungserkläru ng sei drucktechnisch hinreichend deutlich gestaltet. Sie informiere inhaltlich klar und deutlich über die Art und Weise der Nutzung von Cookies. Die Identität Dritter, die auf die mittels der Cookies erhobenen Informationen zugreifen könnten, müsse nicht offenbart werden. 2 . D ie Begründetheit des Klageantrag s I 3 kann sich aus § 1 UKlaG in Verbindung mit § 307 Abs. 1 BGB ergeben. Nach § 307 Abs. 1 Satz 1 BGB sind Bestimmungen in Allgemeinen Geschäftsbedingungen unwirksam, wenn sie 9 10 11 12 - 9 - den Vertragspartner de s Verwenders entgegen den Geboten von Treu und Glauben unangemessen benachteiligen. § 307 Abs. 2 Nr. 1 BGB bestimmt, dass eine unangemessene Benachteiligung im Zweifel anzunehmen ist, wenn eine Bestimmung mit wesentlichen Grundgedanken der gesetzlichen Reg elung, von der abgewichen wird, nicht zu vereinbaren ist. Im Streitfall kommt in B e- tracht, dass die von der Beklagten vorgesehene elektronisch zu erkläre nde Einwilligung des Nutzers , die den Abruf von auf seinem Endgerät gespeicherten Informationen mithilf e von Cookies im Wege eines voreingestellten Ankreu z- kästchens gestattet, mit w esentlichen Grundgedanken von Art. 5 Abs. 3 und Art. 2 Buchst. f der Richtlinie 2002/58/EG in Verbindung mit Art. 2 Buchst. h der Richtlinie 95/46/EG und des Art. 6 Abs. 1 Buchst . a der Verordnung (EU) 2016/679 nicht vereinbar ist. Hierzu verhalten sich die Vorlagefrage n 1 a) bis c ) . a) Nach § 15 Abs. 3 TMG darf der Diensteanbieter für Zwecke der We r- bung, Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzun gsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer nach einer Unterrichtung über sein Widerspruchsrecht dem nicht widerspricht. Diese Vorschrift ist mit Blick auf Art. 5 Abs. 3 der Richtlinie 2002/58/EG in der durch Art. 2 Nr. 5 der Rich tlinie 2009/136/EG geänderten Fassung richtlinie n- konform auszulegen. Zur Klärung dieser Auslegung ergeht Vorlagefrage 1 a). aa) Nach der Ursprungsfassung des Art. 5 Abs. 3 der Richtlinie 2002/58/EG hatte der Diensteanbieter im Falle der Speicherung von Informati o- nen auf dem Endgerät des Nutzers oder des Zugriffs auf dort gespeicherte I n- formationen den Nutzer nicht nur klar und umfassend insbesondere über den Zweck der Verarbeitung zu informieren, sondern ihn auch auf das Recht hinz u- weisen, die Verarbeitu ng zu verweigern. Nach der Neufassung des Art. 5 Abs. 3 der Richtlinie 2002/58/EG durch die Richtlinie 2009/136/EG stellen die Mitglie d- staaten sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des Nu tzers gespeichert sind, nur g e- sta t tet ist, wenn der betreffende Nutzer auf der Grundlage von klaren und u m- 13 14 - 10 - fassenden Informationen, die er gemäß der Richtlinie 95/46/EG u.a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Das Einwil l i- gungserfordernis steht der Speicherung oder dem Zugang nach Art. 5 Abs. 3 Satz 2 der Richtlinie 2002/58/EG nicht entgegen, wenn der alleinige Zweck die Durchführung der Nachrichtenübertragung über ein elektronisches Kommunik a- tionsnetz ist oder wenn Speic herung oder Zugang erforderlich sind, um dem Nutzer den von ihm ausdrücklich gewünschten Dienst der Informationsgesel l- schaft zur Verfügung zu stellen. Die in Art. 5 Abs. 3 der Richtlinie 2002/58/EG behandelten Maßnahmen der Speicherung o der des Abruf s v on auf dem Endgerät des Nutzers gespe i- cherten Informationen werden typischerweise mithilfe von Cookies vorgeno m- men. Cookies sind Textdateien, die der Anbieter einer Internetseite auf dem Computer des Benutzers speichert und beim erneuten Aufrufen der Webse ite wieder abrufen kann, um die Navigation im Internet oder Transaktionen zu e r- leichtern oder Informationen über das Nutzerverhalten abzurufen (vgl. Boemke in Hoeren/Sieber/Holznagel, Multimedia - Recht, 44. EL Januar 2017, Teil 11 Rn. 100). Im Streitfall si nd Speicherung oder Abruf der Informationen nicht im Sinne des Art. 5 Abs. 3 Satz 2 der Richtlinie 2002/58/EG technisch notwendig, sondern sie dienen der Werbung, so dass die Ausnahme vom Einwilligungse r- fordernis nicht vorliegt. bb) Die Richtlinie 2009/ 136/EG war nach ihrem Art. 4 Abs. 1 bis zum 25. Mai 2011 durch die Mitgliedstaaten umzusetzen. Der deutsche Gesetzgeber hat keine Umsetzungsakte vorgenommen , insbesondere die in § 15 Abs. 3 TMG vorgesehene Widerspruchslösung nicht geändert (vgl. Moos, K&R 2012, 635 f.; Rauer/Ettig, ZD 2016, 423, 424; Schmidt/Babilon, K&R 2016, 86, 89). Die Revisionserwiderung macht geltend, zahlreiche Mitgliedstaaten hätten Art. 5 Abs. 3 der Richtlinie 2002/59/EG in der durch die Richtlinie 2009/136/EG geänderten Fassung da hingehend umgesetzt, dass die Nutzung mittels Co o- kies erhobener Daten einer " Opt - out " - Regelung unterliege , die den Widerspruch 15 16 - 11 - des Nutzers erfordere . Die Revision des Klägers verweist darauf, dass andere Mitgliedstaaten dazu " Opt - In " - Regime geschaffen hätt en , die eine vorherige Einwilligung erforderten . cc) Art. 2 Satz 2 Buchst. f der Richtlinie 2002/58/EG verweist für die D e- finition der Einwilligung auf Art. 2 Buchst. h der Richtlinie 95/46/EG. Danach erfordert die Einwilligung eine " Willensbekundung, d ie ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt " . Erwägungsgrund 17 der Richtlinie 2002/58/EG lautet: Für die Zwecke dieser Richtlinie sollte die Einwilligung des Nutzers oder Tei l- nehmers unabhängig davon, ob es sich um eine n atürliche oder eine juristische Person handelt, dieselbe Bedeutung haben wie der in der Richtlinie 95/46/EG definierte und dort weiter präzisierte Begriff " Einwilligung der betroffenen Pe r- son " . Die Einwilligung kann in jeder geeigneten Weise gegeben werden , wodurch der Wunsch des Nutzers in einer spezifischen Angabe zum Ausdruck kommt, die sachkundig und in freier Entscheidung erfolgt; hierzu zählt auch das Markieren eines Feldes auf einer Internet - Website. Erwägungsgrund 66 der Richtlinie 2009/136/EG la utet: Es ist denkbar, dass Dritte aus einer Reihe von Gründen Informationen auf der Endeinrichtung eines Nutzers speichern oder auf bereits gespeicherte Inform a- tionen zugreifen wollen, die von legitimen Gründen (wie manchen Arten von Cookies) bis hin zum u nberechtigten Eindringen in die Privatsphäre (z.B. über Spähsoftware oder Viren) reichen. Daher ist es von größter Wichtigkeit, dass den Nutzern eine klare und verständliche Information bereitgestellt wird, wenn sie irgendeine Tätigkeit ausführen, die zu e iner solchen Speicherung oder e i- nem solchen Zugriff führen könnte. Die Methoden der Information und die Ei n- räumung des Rechts, diese abzulehnen, sollten so benutzerfreundlich wie mö g- lich gestaltet werden. Ausnahmen von der Informationspflicht und der Einrä u- mung des Rechts auf Ablehnung sollten auf jene Situationen beschränkt sein, in denen die technische Speicherung oder der Zugriff unverzichtbar sind, um die Nutzung eines vom Teilnehmer oder Nutzer ausdrücklich angeforderten Dien s- tes zu ermöglichen. Wenn e s technisch durchführbar und wirksam ist, kann die Einwilligung des Nutzers zur Verarbeitung im Einklang mit den entsprechenden Bestimmungen der Richtlinie 95/46/EG über die Handhabung der entspreche n- den Einstellungen eines Browsers oder einer anderen Anwe ndung ausgedrückt Nach der Rechtsprechung des Bundesgerichtshofs zur Anwendung des auf Art. 13 der Richtlinie 2002/58/EG zurückgehenden § 7 Abs. 2 Nr. 3 UWG, der ohne Einwilligung des Adressaten vorgenommene Werbung unter Verwe n- 17 18 19 20 - 12 - dung einer au tomatischen Anrufmaschine, eines Faxgerätes oder elektron i- scher Post als unzumutbare Belästigung verbietet, ist die erforderliche Einwill i- gung vorhergehend und ausdrücklich zu erteilen. Danach ist der in Erwägung s- grund 17 der Richtlinie 2002/58/EG verwende te Begriff " spezifische Angabe " mit Blick auf den in ihren Erwägungsgründen 5 und 6 zum Ausdruck komme n- den Schutzzweck, die Privatsphäre des Betroffenen vor neuen Risiken durch öffentliche Kommunikationsnetze zu schützen, dahingehend auszulegen, dass eine gesonderte, nur auf die jeweilige Einwilligung bezogene Zustimmungse r- klärung des Betroffenen erforderlich ist. Einwilligungsklauseln, die so gestaltet sind, dass der Kunde tätig werden und ein Kästchen ankreuzen muss, wenn er seine Einwilligung nicht ertei len will ( " Opt - out " - Erklärung), entsprechen danach nicht dem Begriff der Einwilligung im Sinne der Richtlinie 2002/58/EG (BGHZ 177, 253 Rn. 27; vgl. auch BGH, Beschluss vom 14. April 2011 - I ZR 38/10, MMR 2011, 458 Rn. 8; Urteil vom 25. Oktober 2012 - I Z R 169/10, GRUR 2013, 531 Rn. 21 = WRP 2013, 767 - Einwilligung in Werbeanrufe II). b) Der Klärung bedarf weiter die Frage, ob es bei der Anwendung des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58/EG in Verbindung mit Art. 2 Buchst. h de r Richtlinie 95/46/EG einen Unterschied macht, wenn es sich bei den gespeicherten oder abgerufenen Informationen um personenbez o- gene Daten handelt. Hierzu ergeht Vorlagefrage 1 b). aa) Nach § 12 Abs. 1 TMG darf der Diensteanbieter personenbezogene Daten zur Bereitstellung von Telemedien nur erheben und verwenden, soweit das Telemediengesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat. Diese Vo r- schrift setzt das in Art. 7 Buc hst. a der Richtlinie 95/46/EG vorgesehene Verbot mit Erlaubnisvorbehalt für die Verarbeitung personenbezogener Daten um (vgl. Schmitz in Hoeren/Sieber/Holznagel, Multimedia - Recht, 44. EL Januar 2017, Teil 16.2 Rn. 29) . § 4a Abs. 1 Satz 1 BDSG bestimmt, da ss die Einwilligung nur wirksam ist, wenn sie auf der freien Entscheidung des Betroffenen beruht. 21 22 - 13 - Satz 4 der Vorschrift sieht vor, dass die Einwilligung, soll sie zusammen mit a n- deren Erklärungen schriftlich erteilt werden, besonders hervorzuheben ist. § 4 a Abs. 1 BDSG setzt Art. 2 Buchst. h der Richtlinie 95/46/EG um (vgl. BGH, Urteil vom 16. Juli 2008 - VIII ZR 348/06, BGHZ 177, 253 Rn. 21). bb ) Personenbezogene Daten sind nach der Definition in § 3 Abs. 1 des B undesdatenschutzgesetzes, das gemäß § 12 Abs. 3 TMG zur Bestimmung der im Telemediengesetz verwendeten, aber nicht definierten Begriffe anzuwenden ist (vgl. Dix in Simitis, BDSG, 8. Aufl., § 1 Rn. 170), Einzelangaben über persö n- liche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürl i- chen Person (Betroffener). N ach der Begriffsbestimmung in § 3 Abs. 3 BDSG ist Erheben das Beschaffen von Daten über den Betroffenen. Das Verwenden im Sinne des § 12 Abs. 1 TMG ist weit zu verstehen und umfasst sowohl das Nutzen als auch das Verarbei ten von personenbezogenen Daten (Spindler/ Schuster, Recht der elektronischen Medien, 3. Aufl., § 12 TMG Rn. 2). Der A b- ruf von Daten, bei denen ein Personenbezug vorhanden ist, mithilfe von Co o- kies, die auf dem Endgerät des Nutzers gesetzt worden sind, stellt eine Erh e- bung von Daten im Sinne des § 12 Abs. 1 TMG dar (vgl. Hoeren in Kilian/ Heussen, Computerrechts - Handbuch, 33. EL Februar 2017, Teil 14 Rn. 20; Rauer/Ettig, ZD 2016, 423, 424). cc ) Der Abruf von Daten aus den von der Beklagten verwendeten Co o- kies unterliegt danach dem Einwilligungs erfordernis des § 12 Abs. 1 TMG, weil es sich hierbei um personenbezogene Daten handelt. Die Cookies enthalten nach dem Inhalt der im Streitfall von der Beklagten erteilten Information eine Nummer (ID), die den Registrierungsdaten des Nutzers zugeordnet wi rd, der sich mit Namen und Adresse in das bereitgestellte Webformular einzutragen hat. Durch die Verknüpfung der Nummer (ID) mit den vom Nutzer eingegeb e- nen Registrierungsdaten entsteht ein Personenbezug der durch die Cookies gespeicherten Daten über die I nternetnutzung (vgl. Dammann in Simitis, BDSG, 8. Aufl., § 3 Rn. 65). 23 24 - 14 - dd ) In der Rechtsprechung des Bundesgerichtshofs ist es für die Wir k- samkeit der Einwilligung nach § 4a Abs. 1 BDSG bisher nicht als erforderlich angesehen worden, dass der Betroffene sie gesondert (im Sinne eines " Opt - in " ) erklärt, indem er eine zusätzliche Unterschrift leistet oder ein dafür vorgeseh e- nes Kästchen zur positiven Abgabe der Einwilligungserklärung ankreuzt (BGH, Urteil vom 16. Juli 2008 - VIII ZR 348/06, BGHZ 177, 253 Rn. 21; Urteil vom 11. November 2009 - VIII ZR 12/08, NJW 2010, 864 Rn. 20 ff.). Deshalb sind Gestaltung en als mit § 4a Abs. 1 BDSG vereinbar angesehen worden, in we l- chen das Verweigern der Einwilligung durch Ankreuzen eines Kästchens (vgl. BGHZ 177, 253 Rn. 5) oder Streichung des Einwilligungstexts (vgl. BGH, NJW 2010, 864 Rn. 2) zum Ausdruck gebracht werden muss. c) Es stellt sich weiter die Frage, ob die Gestaltung der Einwilligung nach den Umständen des Streitfalls eine wirksame Einwilligung im Sinne de s Art. 6 Abs. 1 Buchst. a der Verordnung (EU) 2016/679 darstellt. Hierzu ergeht Vorl a- gefrage 1 c). aa) Nach ihrem Art. 99 Abs. 2 gilt die Verordnung (EU) 2016/679 ab dem 25. Mai 2018, so dass sie im Zeitpunkt der Entscheidung des Streitfalls vorau s- sicht lich zu berücksichtigen sein wird. bb) Nach Art. 6 Abs. 1 Buchst. a der ab dem 25. Mai 2018 geltenden Verordnung (EU) 2016/679 ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn die betroffene Person ihre Einwilligung für einen oder mehr e- re bestimmte Zwecke gegeben hat. Art. 4 Nr. 11 der Verordnung (EU) 2016/679 definiert als " Einwilligung " der betroffenen Person jede freiwillig für den b e- stimmten Fall, in informierter Weise und unmissverständlich abgegebene Wi l- lensbekundung in Form einer Erk lärung oder einer sonstigen eindeutigen best ä- tigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einve r- standen ist. 25 26 27 28 - 15 - Im Streitfall handelt es sich um die Verarbeit ung personenbezogener D a- ten im Sinne des Art. 4 Nr. 1 und 2 der Verordnung (EU) 2016/679 (vgl. vorst e- hend Rn. 23 [II 2 b bb]). cc) Erwägungsgrund 32 der Verordnung (EU) 2016/679 spricht dafür, dass der Gesetzgeber der Europäischen Union Stillschweigen, bereits ang e- kreuzte Kästchen oder Untätigkeit nicht als hinreichende Einwilligung der b e- troffenen Person in die Verarbeitung ihrer personenbezogenen Daten ansieht. Erwägungsgrund 32 lautet : Die Einwilligung sollte durch eine eindeutige bestätigende Handlun g erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissve r- ständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form e i- ner schriftli chen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung. Dies könnte etwa durch Anklicken eines Kästchens beim Besuch einer Internetseite, durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft ode r durch eine andere Erklärung oder Verhaltensweise geschehen, mit der die betroffene Person in dem jeweiligen Kontext eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert. Stillschweigen, bereits angek reuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwill i- 3 . Der Klageantrag I 3 ist ferner dann gemäß § 1 UKlaG in Verbindung mit § 307 Abs. 1 BGB begründet, wenn die von der Beklagten gegebene Info r- mation über die Erhebung und Verwendung personenbezogener Daten den Anforderungen des Art. 5 Abs. 3 der Richtlinie 2002/58/EG nicht entspricht. Hierzu ergeht Vorlagefrage 2. a) Nach § 13 Abs. 1 Satz 1 TMG hat der Diensteanbieter den Nutzer zu Beginn des Nutzun gsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten in allgemein verständlicher Form zu unterrichten, sofern eine solche Unterrichtung nicht bereits erfolgt ist. Nach Satz 2 der Vorschrift ist der Nutzer bei einem aut omatisierten Verfahren, das eine spätere Identifizierung des Nutzers ermöglicht und eine Erhebung oder Verwendung personenbezogener Daten vorbereitet, zu Beginn dieses Verfa h- rens zu unterrichten. Ein solches automatisiertes Verfahren ist das Setzen von 29 30 31 32 - 16 - Coo kies auf dem Endg erät des Nutzers (vgl. Schmitz in Hoeren/Sieber/Holz - nagel, Multimedia - Recht, 44. EL Januar 2017, Teil 16.2 Rn. 170; Spindler/Nink in Spindler/ Schuster, Recht der elektronischen Medien, 3. Aufl., § 13 TMG Rn. 5). § 13 Abs. 1 Satz 1 und 2 TMG ist mit Blick auf Art. 5 Abs. 3 der Richtlinie 2002/58/EG richtlinienkonform auszulegen, der bestimmt , dass die Speicherung von Informationen oder der Zugri ff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfa s- senden Informationen, die er gemäß der Richtlinie 95/46/EG u .a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. b ) Der Umfang der Informationspflicht nach Art. 5 Abs. 3 der Richtlinie 2002/58/EG ist klärungsbedürftig. aa) Art. 5 Abs. 3 der Richtlinie 2002/58/EG verweist auf Informati onen, die der Nutzer gemäß der Richtlinie 95/46/EG u.a. über den Zweck der Date n- verarbeitung erhält. Art. 10 Buchst. b und c der Richtlinie 95/46 /EG regelt eine Informationspflicht des für die V erarbeitung personenbezogener Daten Veran t- wortlichen über die Zweckbestimmung der Datenverarbeitung sowie über weit e- re Informationen, beispielsweise betreffend die Empfänger oder Kategorien der Empfänger der Da ten. Art. 5 Abs. 3 der Richtlinie 2002/58/EG verwendet alle r- dings nicht den Begriff der personenbezogenen Da ten, sondern spricht von I n- formationen. Es stellt sich daher die Frage, welche Informationen der Dienst e- anbieter im Rahmen der nach Art. 5 Abs. 3 der Richtlinie 2002/58/EG vorz u- nehmenden klaren und umfassenden Information dem Nutzer zu erteilen hat. bb) Die Beklagte hat über einen mit der Einwilligungserklärung verbu n- denen elektronischen Verweis darauf hingewiesen, worum es sich bei Cookies handelt, dass die ID - Nummer der Cookies den Registrierungsdaten des Nutzers zugeordnet wird, dass die nachfolgende Nutzung von Internetseiten der für R . registrierten Werbepa rtner erfasst wird und die durch die Cookies übermittelten Informationen ausschließlich für Werbung der Werbepartner ve r- 33 34 35 - 17 - wendet, keine Werbepartner - übergreifende Nutzerprofile erstellt werden, dass die Werbepartner keine personenbezogenen Daten erhalten , d as s der Nutzer die Cookies jederzeit löschen kann und sein Einverständnis jederzeit widerrufen kann. Die Beklagte hat hingegen nicht darüber informiert, ob auch Dritte auf die auf dem Endgerät des Nutzers gespeicherten Cookies Zugriff haben und für welc he Dauer die Cookies aktiv sind, ob sie sich also nur während der aktuellen 36 - 18 - Sitzung (sog. Session - Cookies) oder darüber hinaus und ggf. für welche Zei t- dauer in Funktion befinden. Hierbei handelt es sich ebenfalls um für die Aufkl ä- rung des Nutzers wicht ige Umstände (vgl. Working Document 02/2013 der A r- ti c le 29 Data Protection Working Party vom 2. Oktober 2013, 1676/13/EN, S. 3; Schmitz in Hoeren/Sieber/Holznagel, Multimedia - Recht, 44. EL Januar 2017, Teil 16.2 Rn. 183 ). Büscher Kirchhoff Koch Löffler Fe ddersen Vorinstanzen: LG Frankfurt am Main, Entscheidung vom 10.12.2014 - 2/6 O 30/14 - OLG Frankfurt am Main, Entscheidung vom 17.12.2015 - 6 U 30/15 -
Full & Egal Universal Law Academy