Bundesgerichtshof, EuGH-Vorlage vom 05.10.2017, Az. I ZR 7/16

[X.] Der Kläger ist der in die Liste qualifizierter Einrichtungen nach § 4 [X.] eingetragene [X.]. Die Beklagte bietet die Teilnahme an Gewinnspielen im [X.] an.

Am 24. September 2013 veranstaltete die Beklagte unter der [X.]adresse "www.      .de" ein Gewinnspiel. Nach Eingabe der [X.] gelangte der Nutzer hierbei auf eine Seite, auf der Name und Anschrift des [X.] einzutragen waren. Unter den Eingabefeldern für die Adresse befanden sich zwei mit [X.]ern versehene Hinweistexte. Der erste Hinweistext, dessen [X.] nicht mit einem voreingestellten Häkchen versehen war, lautete:

Der zweite Hinweistext, der mit einem voreingestellten Häkchen versehen war, lautete:

Eine Teilnahme am Gewinnspiel war nur möglich, wenn mindestens das Häkchen vor dem ersten Hinweistext gesetzt wurde.

Der im ersten Hinweistext den Worten "Sponsoren und Kooperationspartner" und "hier" unterlegte elektronische Verweis führte zu einer Liste, die 57 Unternehmen, ihre Adresse, den zu bewerbenden Geschäftsbereich und die für die Werbung genutzte Kommunikationsart (E-Mail, Post oder Telefon) sowie nach jedem Unternehmen das unterstrichene Wort "Abmelden" enthielt. Der Liste vorangestellt war folgender Hinweis:

Bei Betätigung des im zweiten Hinweistext dem Wort "hier" unterlegten elektronischen Verweises wurde folgende Information angezeigt:

Der Kläger hat geltend gemacht, die von der [X.] verlangten Einverständniserklärungen genügten nicht den Anforderungen des § 307 BGB in Verbindung mit § 7 Abs. 2 Nr. 2 UWG und §§ 12 ff. [X.]. Eine vorgerichtliche Abmahnung ist ohne Erfolg geblieben.

Der Kläger hat zuletzt beantragt,

Das [X.] hat den Klageanträgen zu [X.], [X.] und II stattgegeben und die Klage im Übrigen abgewiesen. Auf die Berufung der [X.] hat das Berufungsgericht den Klageantrag zu [X.] abgewiesen und die Berufung im Übrigen mit der Maßgabe zurückgewiesen, dass der verbleibende Unterlassungstenor um den Zusatz ergänzt wird "wenn diese Bestimmung verwendet wird in Verbindung mit einer Liste wie in Anlage [X.] zur Antragsschrift wiedergegeben". Mit der vom Berufungsgericht zugelassenen Revision verfolgt der Kläger seinen Klageantrag zu [X.] und die Beklagte ihren Antrag auf Klageabweisung weiter. Die Parteien beantragen jeweils, das Rechtsmittel der Gegenseite zurückzuweisen.

I[X.] Der Erfolg der Revision des [X.] hängt von der Auslegung des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58/[X.] in Verbindung mit Art. 2 Buchst. h der [X.]/[X.] sowie des Art. 6 Abs. 1 Buchst. a der Verordnung ([X.]) 2016/679 ab. Vor einer Entscheidung über das Rechtsmittel ist deshalb das Verfahren auszusetzen und gemäß Art. 267 Abs. 1 Buchst. b und Abs. 3 A[X.]V eine Vorabentscheidung des Gerichtshofs der [X.] einzuholen.

1. Das Berufungsgericht hat den Klageantrag [X.] für nicht begründet erachtet. Hierzu hat es ausgeführt, die Einwilligungserklärung zur Nutzung von Cookies sei weder angesichts der Voreinstellung eines Häkchens noch in inhaltlicher Hinsicht zu beanstanden. Der Nutzer erkenne, dass er das voreingestellte Häkchen entfernen könne. Die Einwilligungserklärung sei drucktechnisch hinreichend deutlich gestaltet. Sie informiere inhaltlich klar und deutlich über die Art und Weise der Nutzung von Cookies. Die Identität Dritter, die auf die mittels der Cookies erhobenen Informationen zugreifen könnten, müsse nicht offenbart werden.

2. Die Begründetheit des Klageantrags [X.] kann sich aus § 1 [X.] in Verbindung mit § 307 Abs. 1 BGB ergeben. Nach § 307 Abs. 1 Satz 1 BGB sind Bestimmungen in Allgemeinen Geschäftsbedingungen unwirksam, wenn sie den Vertragspartner des Verwenders entgegen den Geboten von Treu und Glauben unangemessen benachteiligen. § 307 Abs. 2 Nr. 1 BGB bestimmt, dass eine unangemessene Benachteiligung im Zweifel anzunehmen ist, wenn eine Bestimmung mit wesentlichen Grundgedanken der gesetzlichen Regelung, von der abgewichen wird, nicht zu vereinbaren ist. Im Streitfall kommt in Betracht, dass die von der [X.] vorgesehene elektronisch zu erklärende Einwilligung des [X.], die den Abruf von auf seinem Endgerät gespeicherten Informationen mithilfe von Cookies im Wege eines voreingestellten Ankreuzkästchens gestattet, mit wesentlichen Grundgedanken von Art. 5 Abs. 3 und Art. 2 Buchst. f der Richtlinie 2002/58/[X.] in Verbindung mit Art. 2 Buchst. h der [X.]/[X.] und des Art. 6 Abs. 1 Buchst. a der Verordnung ([X.]) 2016/679 nicht vereinbar ist. Hierzu verhalten sich die Vorlagefragen 1 a) bis c).

a) Nach § 15 Abs. 3 [X.] darf der Diensteanbieter für Zwecke der Werbung, Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer nach einer Unterrichtung über sein Widerspruchsrecht dem nicht widerspricht. Diese Vorschrift ist mit Blick auf Art. 5 Abs. 3 der Richtlinie 2002/58/[X.] in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/[X.] geänderten Fassung richtlinienkonform auszulegen. Zur Klärung dieser Auslegung ergeht Vorlagefrage 1 a).

aa) Nach der Ursprungsfassung des Art. 5 Abs. 3 der Richtlinie 2002/58/[X.] hatte der Diensteanbieter im Falle der Speicherung von Informationen auf dem Endgerät des [X.] oder des Zugriffs auf dort gespeicherte Informationen den Nutzer nicht nur klar und umfassend insbesondere über den Zweck der Verarbeitung zu informieren, sondern ihn auch auf das Recht hinzuweisen, die Verarbeitung zu verweigern. Nach der Neufassung des Art. 5 Abs. 3 der Richtlinie 2002/58/[X.] durch die Richtlinie 2009/136/[X.] stellen die Mitgliedstaaten sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät des [X.] gespeichert sind, nur gestattet ist, wenn der betreffende Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der [X.]/[X.] u.a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Das [X.] steht der Speicherung oder dem Zugang nach Art. 5 Abs. 3 Satz 2 der Richtlinie 2002/58/[X.] nicht entgegen, wenn der alleinige Zweck die Durchführung der Nachrichtenübertragung über ein elektronisches Kommunikationsnetz ist oder wenn Speicherung oder Zugang erforderlich sind, um dem Nutzer den von ihm ausdrücklich gewünschten Dienst der Informationsgesellschaft zur Verfügung zu stellen.

Die in Art. 5 Abs. 3 der Richtlinie 2002/58/[X.] behandelten Maßnahmen der Speicherung oder des Abrufs von auf dem Endgerät des [X.] gespeicherten Informationen werden typischerweise mithilfe von Cookies vorgenommen. Cookies sind Textdateien, die der Anbieter einer [X.]seite auf dem Computer des Benutzers speichert und beim erneuten Aufrufen der Webseite wieder abrufen kann, um die Navigation im [X.] oder Transaktionen zu erleichtern oder Informationen über das Nutzerverhalten abzurufen (vgl. [X.] in [X.][X.]/[X.], Multimedia-Recht, 44. EL Januar 2017, Teil 11 Rn. 100). Im Streitfall sind Speicherung oder Abruf der Informationen nicht im Sinne des Art. 5 Abs. 3 Satz 2 der Richtlinie 2002/58/[X.] technisch notwendig, sondern sie dienen der Werbung, so dass die Ausnahme vom [X.] nicht vorliegt.

bb) Die Richtlinie 2009/136/[X.] war nach ihrem Art. 4 Abs. 1 bis zum 25. Mai 2011 durch die Mitgliedstaaten umzusetzen. Der [X.] Gesetzgeber hat keine Umsetzungsakte vorgenommen, insbesondere die in § 15 Abs. 3 [X.] vorgesehene Widerspruchslösung nicht geändert (vgl. [X.], [X.], 635 f.; [X.]/[X.], [X.], 423, 424; [X.]/[X.], [X.], 86, 89). Die Revisionserwiderung macht geltend, zahlreiche Mitgliedstaaten hätten Art. 5 Abs. 3 der Richtlinie 2002/59/[X.] in der durch die Richtlinie 2009/136/[X.] geänderten Fassung dahingehend umgesetzt, dass die Nutzung mittels Cookies erhobener Daten einer "Opt-out"-Regelung unterliege, die den Widerspruch des [X.] erfordere. Die Revision des [X.] verweist darauf, dass andere Mitgliedstaaten dazu "Opt-In"-Regime geschaffen hätten, die eine vorherige Einwilligung erforderten.

cc) Art. 2 Satz 2 Buchst. f der Richtlinie 2002/58/[X.] verweist für die Definition der Einwilligung auf Art. 2 Buchst. h der [X.]/[X.]. Danach erfordert die Einwilligung eine "Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt".

Erwägungsgrund 17 der Richtlinie 2002/58/[X.] lautet:

Erwägungsgrund 66 der Richtlinie 2009/136/[X.] lautet:

Nach der Rechtsprechung des [X.] zur Anwendung des auf Art. 13 der Richtlinie 2002/58/[X.] zurückgehenden § 7 Abs. 2 Nr. 3 UWG, der ohne Einwilligung des Adressaten vorgenommene Werbung unter Verwendung einer automatischen Anrufmaschine, eines Faxgerätes oder elektronischer Post als unzumutbare Belästigung verbietet, ist die erforderliche Einwilligung vorhergehend und ausdrücklich zu erteilen. Danach ist der in Erwägungsgrund 17 der Richtlinie 2002/58/[X.] verwendete Begriff "spezifische Angabe" mit Blick auf den in ihren Erwägungsgründen 5 und 6 zum Ausdruck kommenden Schutzzweck, die Privatsphäre des Betroffenen vor neuen Risiken durch öffentliche Kommunikationsnetze zu schützen, dahingehend auszulegen, dass eine gesonderte, nur auf die jeweilige Einwilligung bezogene Zustimmungserklärung des Betroffenen erforderlich ist. [X.], die so gestaltet sind, dass der Kunde tätig werden und ein Kästchen ankreuzen muss, wenn er seine Einwilligung nicht erteilen will ("Opt-out"-Erklärung), entsprechen danach nicht dem Begriff der Einwilligung im Sinne der Richtlinie 2002/58/[X.] ([X.], 253 Rn. 27; vgl. auch [X.], Beschluss vom 14. April 2011 - [X.], [X.], 458 Rn. 8; Urteil vom 25. Oktober 2012 - [X.], [X.], 531 Rn. 21 = [X.], 767 - Einwilligung in Werbeanrufe II).

b) Der Klärung bedarf weiter die Frage, ob es bei der Anwendung des Art. 5 Abs. 3 und des Art. 2 Buchst. f der Richtlinie 2002/58/[X.] in Verbindung mit Art. 2 Buchst. h der [X.]/[X.] einen Unterschied macht, wenn es sich bei den gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt. Hierzu ergeht Vorlagefrage 1 b).

aa) Nach § 12 Abs. 1 [X.] darf der Diensteanbieter personenbezogene Daten zur Bereitstellung von Telemedien nur erheben und verwenden, soweit das [X.] oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat. Diese Vorschrift setzt das in Art. 7 Buchst. a der [X.]/[X.] vorgesehene Verbot mit Erlaubnisvorbehalt für die Verarbeitung personenbezogener Daten um (vgl. [X.] in [X.][X.]/[X.], Multimedia-Recht, 44. EL Januar 2017, Teil 16.2 Rn. 29). § 4a Abs. 1 Satz 1 BDSG bestimmt, dass die Einwilligung nur wirksam ist, wenn sie auf der freien Entscheidung des Betroffenen beruht. Satz 4 der Vorschrift sieht vor, dass die Einwilligung, soll sie zusammen mit anderen Erklärungen schriftlich erteilt werden, besonders hervorzuheben ist. § 4a Abs. 1 BDSG setzt Art. 2 Buchst. h der [X.]/[X.] um (vgl. [X.], Urteil vom 16. Juli 2008 - [X.], [X.], 253 Rn. 21).

bb) Personenbezogene Daten sind nach der Definition in § 3 Abs. 1 des Bundesdatenschutzgesetzes, das gemäß § 12 Abs. 3 [X.] zur Bestimmung der im [X.] verwendeten, aber nicht definierten Begriffe anzuwenden ist (vgl. [X.] in [X.], BDSG, 8. Aufl., § 1 Rn. 170), Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). Nach der Begriffsbestimmung in § 3 Abs. 3 BDSG ist Erheben das Beschaffen von Daten über den Betroffenen. Das Verwenden im Sinne des § 12 Abs. 1 [X.] ist weit zu verstehen und umfasst sowohl das Nutzen als auch das Verarbeiten von personenbezogenen Daten ([X.]/[X.], Recht der elektronischen Medien, 3. Aufl., § 12 [X.] Rn. 2). Der Abruf von Daten, bei denen ein Personenbezug vorhanden ist, mithilfe von Cookies, die auf dem Endgerät des [X.] gesetzt worden sind, stellt eine Erhebung von Daten im Sinne des § 12 Abs. 1 [X.] dar (vgl. [X.] in [X.]/[X.], [X.], 33. EL Februar 2017, Teil 14 Rn. 20; [X.]/[X.], [X.], 423, 424).

cc) Der Abruf von Daten aus den von der [X.] verwendeten Cookies unterliegt danach dem [X.] des § 12 Abs. 1 [X.], weil es sich hierbei um personenbezogene Daten handelt. Die Cookies enthalten nach dem Inhalt der im Streitfall von der [X.] erteilten Information eine Nummer (ID), die den Registrierungsdaten des [X.] zugeordnet wird, der sich mit Namen und Adresse in das bereitgestellte Webformular einzutragen hat. Durch die Verknüpfung der Nummer (ID) mit den vom Nutzer eingegebenen Registrierungsdaten entsteht ein Personenbezug der durch die Cookies gespeicherten Daten über die [X.]nutzung (vgl. [X.] in [X.], BDSG, 8. Aufl., § 3 Rn. 65).

dd) In der Rechtsprechung des [X.] ist es für die Wirksamkeit der Einwilligung nach § 4a Abs. 1 BDSG bisher nicht als erforderlich angesehen worden, dass der Betroffene sie gesondert (im Sinne eines "Opt-in") erklärt, indem er eine zusätzliche Unterschrift leistet oder ein dafür vorgesehenes Kästchen zur positiven Abgabe der Einwilligungserklärung ankreuzt ([X.], Urteil vom 16. Juli 2008 - [X.], [X.], 253 Rn. 21; Urteil vom 11. November 2009 - [X.], [X.], 864 Rn. 20 ff.). Deshalb sind Gestaltungen als mit § 4a Abs. 1 BDSG vereinbar angesehen worden, in welchen das Verweigern der Einwilligung durch Ankreuzen eines Kästchens (vgl. [X.], 253 Rn. 5) oder Streichung des Einwilligungstexts (vgl. [X.], [X.], 864 Rn. 2) zum Ausdruck gebracht werden muss.

c) Es stellt sich weiter die Frage, ob die Gestaltung der Einwilligung nach den Umständen des Streitfalls eine wirksame Einwilligung im Sinne des Art. 6 Abs. 1 Buchst. a der Verordnung ([X.]) 2016/679 darstellt. Hierzu ergeht Vorlagefrage 1 c).

aa) Nach ihrem Art. 99 Abs. 2 gilt die Verordnung ([X.]) 2016/679 ab dem 25. Mai 2018, so dass sie im Zeitpunkt der Entscheidung des Streitfalls voraussichtlich zu berücksichtigen sein wird.

bb) Nach Art. 6 Abs. 1 Buchst. a der ab dem 25. Mai 2018 geltenden Verordnung ([X.]) 2016/679 ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn die betroffene Person ihre Einwilligung für einen oder mehrere bestimmte Zwecke gegeben hat. Art. 4 Nr. 11 der Verordnung ([X.]) 2016/679 definiert als "Einwilligung" der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Im Streitfall handelt es sich um die Verarbeitung personenbezogener Daten im Sinne des Art. 4 Nr. 1 und 2 der Verordnung ([X.]) 2016/679 (vgl. vorstehend Rn. 23 [II 2 b bb]).

cc) Erwägungsgrund 32 der Verordnung ([X.]) 2016/679 spricht dafür, dass der Gesetzgeber der [X.] Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit nicht als hinreichende Einwilligung der betroffenen Person in die Verarbeitung ihrer personenbezogenen Daten ansieht. Erwägungsgrund 32 lautet:

3. Der Klageantrag [X.] ist ferner dann gemäß § 1 [X.] in Verbindung mit § 307 Abs. 1 BGB begründet, wenn die von der [X.] gegebene Information über die Erhebung und Verwendung personenbezogener Daten den Anforderungen des Art. 5 Abs. 3 der Richtlinie 2002/58/[X.] nicht entspricht. Hierzu ergeht Vorlagefrage 2.

a) Nach § 13 Abs. 1 Satz 1 [X.] hat der Diensteanbieter den Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten in allgemein verständlicher Form zu unterrichten, sofern eine solche Unterrichtung nicht bereits erfolgt ist. Nach Satz 2 der Vorschrift ist der Nutzer bei einem automatisierten Verfahren, das eine spätere Identifizierung des [X.] ermöglicht und eine Erhebung oder Verwendung personenbezogener Daten vorbereitet, zu Beginn dieses Verfahrens zu unterrichten. Ein solches automatisiertes Verfahren ist das Setzen von Cookies auf dem Endgerät des [X.] (vgl. [X.] in [X.][X.]/[X.], Multimedia-Recht, 44. EL Januar 2017, Teil 16.2 Rn. 170; [X.]/[X.] in [X.]/[X.], Recht der elektronischen Medien, 3. Aufl., § 13 [X.] Rn. 5). § 13 Abs. 1 Satz 1 und 2 [X.] ist mit Blick auf Art. 5 Abs. 3 der Richtlinie 2002/58/[X.] richtlinienkonform auszulegen, der bestimmt, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder [X.] gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der [X.]/[X.] u.a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat.

b) Der Umfang der Informationspflicht nach Art. 5 Abs. 3 der Richtlinie 2002/58/[X.] ist klärungsbedürftig.

aa) Art. 5 Abs. 3 der Richtlinie 2002/58/[X.] verweist auf Informationen, die der Nutzer gemäß der [X.]/[X.] u.a. über den Zweck der Datenverarbeitung erhält. Art. 10 Buchst. b und c der [X.]/[X.] regelt eine Informationspflicht des für die Verarbeitung personenbezogener Daten Verantwortlichen über die Zweckbestimmung der Datenverarbeitung sowie über weitere Informationen, beispielsweise betreffend die Empfänger oder Kategorien der Empfänger der Daten. Art. 5 Abs. 3 der Richtlinie 2002/58/[X.] verwendet allerdings nicht den Begriff der personenbezogenen Daten, sondern spricht von Informationen. Es stellt sich daher die Frage, welche Informationen der Diensteanbieter im Rahmen der nach Art. 5 Abs. 3 der Richtlinie 2002/58/[X.] vorzunehmenden klaren und umfassenden Information dem Nutzer zu erteilen hat.

bb) Die Beklagte hat über einen mit der Einwilligungserklärung verbundenen elektronischen Verweis darauf hingewiesen, worum es sich bei Cookies handelt, dass die ID-Nummer der Cookies den Registrierungsdaten des [X.] zugeordnet wird, dass die nachfolgende Nutzung von [X.]seiten der für [X.]    registrierten Werbepartner erfasst wird und die durch die Cookies übermittelten Informationen ausschließlich für Werbung der Werbepartner verwendet, keine [X.] erstellt werden, dass die Werbepartner keine personenbezogenen Daten erhalten, dass der Nutzer die Cookies jederzeit löschen kann und sein Einverständnis jederzeit widerrufen kann.

Die Beklagte hat hingegen nicht darüber informiert, ob auch Dritte auf die auf dem Endgerät des [X.] gespeicherten Cookies Zugriff haben und für welche Dauer die Cookies aktiv sind, ob sie sich also nur während der aktuellen Sitzung (sog. Session-Cookies) oder darüber hinaus und ggf. für welche Zeitdauer in Funktion befinden. Hierbei handelt es sich ebenfalls um für die Aufklärung des [X.] wichtige Umstände (vgl. [X.] der Article 29 Data Protection Working Party vom 2. Oktober 2013, 1676/13/EN, [X.]; [X.] in [X.][X.]/[X.], Multimedia-Recht, 44. EL Januar 2017, Teil 16.2 Rn. 183).