die Nutzung von Cookies nur dann, wenn der Nutzer nach einer umfassenden Information hinsichtlich der Zwecke der Verarbeitung seine Einwilligung gegeben hat. Insofern sieht Art. 5 Abs. 3 ePrivacy-RL eine „Opt-In-Regelung“ vor.[333] Daher stellt § 15 Abs. 3 TMG keine Umsetzung der ePrivacy-RL dar. Schließlich scheidet auch eine unmittelbare Anwendung des Art. 5 Abs. 3 der ePrivacy-RL aus, da eine Richtlinie keine Verpflichtungen für Private begründen kann (keine horizontale unmittelbare Drittwirkung).[334] Die Kollisionsregelung des Art. 95 DS-GVO kommt daher, unabhängig von ihrem konkreten Regelungsgehalt,[335] gar nicht erst zur Anwendung.[336] Insofern gilt für das Setzen von Cookies seit deren Inkrafttreten allein die DS-GVO.[337]
174
Cookies können somit, der Systematik der DS-GVO entsprechend, sowohl über die Einwilligung nach Art. 6 Abs. 1 lit. a als auch über eine Interessenabwägung nach Art. 6 Abs. 1 lit. f gerechtfertigt werden. Insbesondere für die Zulässigkeit der Verwendung von Cookies im Rahmen von bereits voreingestellten Häkchen, die die Voraussetzungen einer Einwilligung nicht erfüllen,[338] kommt es daher auf eine für den Verantwortlichen günstige Interessenabwägung an. Werden Cookies zur Erstellung von Nutzungsprofilen für Werbezwecke eingesetzt, fällt diese jedoch häufig zugunsten des Betroffenen aus.[339] Insofern bedarf es für deren Zulässigkeit einer Einwilligung nach Art. 6 Abs. 1 lit. a, das Einräumen einer Widerspruchsmöglichkeit reicht hierfür regelmäßig nicht aus.
(2) Sichtweise des BGH
175
Auch der BGH kommt in seinem Urteil in Sachen Planet49 (Cookie-Einwilligung II) zu dem Ergebnis, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist. Er stützt dieses Ergebnis jedoch nicht auf die DS-GVO sondern auf eine richtlinienkonforme Auslegung des § 15 Abs. 3 TMG, hält diesen insofern für gegenüber der DS-GVO vorrangig anwendbar.[340] Der BGH geht wohl davon aus, dass nationale Gesetze trotz ausdrücklich entgegenstehendem Regelungsgehalts kraft richtlinienkonformer Auslegung als Umsetzungsakt klassifizierbar sind, auch wenn der Gesetzgeber diese nicht als solche bezeichnet („§ 15 Abs. 3 Satz 1 TMG als den Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG umsetzende nationale Regelung“[341]) und wendet § 15 Abs. 3 TMG daher als Umsetzung der RL 2002/58/EG an. Eine Legitimation des Setzens von Cookies zu Werbezwecken über eine Interessenabwägung, die nur die DS-GVO, nicht jedoch das TMG kennt, kommt somit nicht in Betracht.
176
Nicht geäußert hat sich der BGH zu der Frage, ob die §§ 11 ff. TMG insgesamt (richtlinienkonform) anwendbar sind. Auch zum allgemeinen Verhältnis des § 15 Abs. 3 TMG zur DS-GVO hat er nicht ausdrücklich Stellung bezogen. Offen geblieben ist insofern die Frage, ob die Anwendung des § 15 Abs. 3 TMG beim Setzen von Cookies zu Werbezwecken eine Interessenabwägung nach Art. 6 Abs. 1 lit. f für das Setzen von Cookies prinzipiell, etwa auch zur Auswertung des Nutzungsverhaltens (sog. Analyse-Cookies), sprich zur bedarfsgerechten Gestaltung der Telemedien, sperrt.[342]
(3) Bedeutung für die Praxis
177
Im Ergebnis dürfte es im Bereich der weitgreifenden Profilbildung sowie beim Einsatz technisch notwendiger Cookies keine Rolle spielen, ob diese künftig basierend auf den Regelungen der DS-GVO oder doch über eine richtlinienkonforme Auslegung der Regelungen im TMG gesetzt werden dürfen. Eine generelle Verarbeitung personenbezogener Daten unter Hinzuziehung von Drittinformationen bzw. Werbenetzwerken ist ohne Einwilligung nicht vertretbar; für das Setzen von technisch notwenigen Cookies bedarf es einer solchen hingegen nicht. Das Setzen von Cookies zur Diensterbringung wäre sowohl über eine Interessenabwägung nach Art. 6 Abs. 1 lit. f stets zulässig, als auch im Wege einer richtlinienkonformen Auslegung des § 15 Abs. 3 TMG mit Blick auf Art. 5 Abs. 3 S. 2 der DSRL zur elektronischen Kommunikation zu legitimieren.
178
Unterschiede zwischen der Aufsichtsposition und der Ansicht des BGH ergeben sich vor allem im Bereich der kontextbezogenen Werbung. Hier lässt die Aufsicht über die Interessenabwägung den Einsatz von Cookies je nach Lage im Einzelfall zu, auch wenn dem Nutzer lediglich eine Widerspruchlösung eingeräumt wurde. Der BGH verlangt hingegen beim Setzen von Cookies zu Werbezwecken stets eine Einwilligung (§ 15 Abs. 3 TMG). Zu den übrigen Bereichen, wie etwa zum Einsatz von Analyse-Cookies, hat sich der BGH bisher nicht ausdrücklich geäußert.[343]
179
Zu beachten ist zudem, dass sich, insofern man für die Beurteilung der Rechtmäßigkeit des Setzens von Cookies nicht die DS-GVO sondern § 15 Abs. 3 TMG anwendet, die Frage stellt, ob die Sanktionierung eines den Anforderungen des § 15 Abs. 3 TMG zuwiderlaufenden und insofern rechtswidrigen Datenverarbeitungsprozesses dennoch über Art. 83 Abs. 5 lit. a erfolgen kann oder § 16 TMG vorrangig anzuwenden ist.[344] Im letztgenannten Falle müsste sorgsam geprüft werden, welche Behörde für eine auf diesen gestützte Sanktionierung zuständig wäre.[345]
180
In der Praxis kann und sollte man sich grundsätzlich an der Perspektive der Aufsicht orientieren. Die Aufsichtspositionen können daher auch der Gestaltung von Datenverarbeitungsprozessen im Zusammenhang mit Websites nach wie vor zugrunde gelegt werden. Mit Blick auf die Rechtsprechung in Sachen Cookies sollte jedoch aufmerksam verfolgt werden, ob die Behörde ihre Sichtweise zukünftig hieran bzw. an eine ggf. erfolgenden Weiterentwicklung der Position des BGH anpasst. Zudem besteht durch das Urteil des BGH ein nicht unerhebliches Risiko, dass vermeintliche Datenschutzverstöße wegen des Setzens von Cookies basierend auf der Rechtsgrundlage des Art. 6 Abs. 1 lit. f entgegen des Einwilligungserfordernisses nach § 15 Abs. 1, 3 TMG durch Verbraucherschutzverbände abgemahnt werden können.
181
Die Zulässigkeit der Online-Datenverarbeitung nach Art. 6 Abs. 1 lit. f, die in vielen Bereichen des Online-Marketings und der Online-Werbung insbesondere durch das Setzen von Cookies erfolgt, hängt daher im Ergebnis maßgeblich an deren Funktion bzw. Zweck. Kommt eine Rechtfertigung über Art. 6 Abs. 1 lit. f nicht in Betracht, bedarf es einer Einwilligung des Betroffenen. Hinzu treten Verarbeitungssituationen im Online-Bereich, für die die speziellen Zulässigkeitstatbestände des Art. 6 Abs. 1 lit. b–e greifen. Hieraus ergibt sich für die Zulässigkeit von Datenverarbeitungsprozessen im Zusammenhang mit Websites folgendes Grundmodell, an welchem sich in der Praxis orientiert werden kann:
182
| Art der Verarbeitung[346] | Unternehmen | Behörden |
|---|---|---|
| Diensterbringung |
Aufsicht:
| |
