TTDSG ab 1. Dezember 2021: Was sich bei Cookies ändert

Am 1. Dezember 2021 tritt das Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Telemedien (Telekommunikation-Telemedien-Datenschutz-Gesetz, TTDSG) in Kraft. Es bündelt die bislang im Telemediengesetz (TMG) und im Telekommunikationsgesetz (TKG) verstreuten Datenschutzvorschriften und setzt die sogenannte Cookie-Regel der ePrivacy-Richtlinie erstmals ausdrücklich in deutsches Recht um. Für Website- und App-Betreiber ist vor allem § 25 TTDSG relevant.

§ 25 TTDSG: Die neue Cookie-Regel

Nach § 25 Abs. 1 TTDSG ist die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat. Für Information und Einwilligung gelten die Maßstäbe der DSGVO. Die Regel ist technikneutral: Sie gilt nicht nur für Cookies, sondern auch für Local Storage, Fingerprinting-Techniken, Pixel und vergleichbare Verfahren, soweit auf das Endgerät zugegriffen wird.

Die Ausnahmen

Eine Einwilligung ist nach § 25 Abs. 2 TTDSG nicht erforderlich,

• wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder
• wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann.

Darunter fallen etwa Warenkorb-, Login- und Sicherheits-Cookies sowie das Cookie, das die Einwilligungsentscheidung speichert. Reichweitenmessung, Marketing und Retargeting sind in aller Regel nicht „unbedingt erforderlich“ und bleiben einwilligungspflichtig.

Was ändert sich in der Praxis?

Inhaltlich bestätigt das TTDSG im Wesentlichen das, was der BGH bereits in seinem Urteil „Cookie-Einwilligung II“ aus dem bisherigen TMG abgeleitet hatte. Neu ist die klare gesetzliche Grundlage, die Aufsichtsbehörden und Gerichten mehr Rechtssicherheit gibt. Das TTDSG regelt allerdings nur den Zugriff auf das Endgerät. Für die anschließende Verarbeitung der gewonnenen personenbezogenen Daten bleibt die DSGVO maßgeblich. Es braucht also häufig zwei Prüfungen: § 25 TTDSG für den Zugriff und Art. 6 DSGVO für die weitere Verarbeitung.

Dienste zur Einwilligungsverwaltung

§ 26 TTDSG sieht zudem „anerkannte Dienste zur Einwilligungsverwaltung“ vor, die Nutzern helfen sollen, ihre Einwilligungen zentral zu verwalten. Die Einzelheiten soll eine Rechtsverordnung regeln, die noch aussteht. Kurzfristig ändert sich dadurch für Website-Betreiber nichts.

Checkliste zum Inkrafttreten

1. Alle Cookies, Skripte und eingebundenen Dienste erfassen.
2. Für jeden Dienst prüfen: Ist er unbedingt erforderlich im Sinne von § 25 Abs. 2 TTDSG?
3. Alle übrigen Dienste erst nach Einwilligung laden, gesteuert über einen rechtssicher gestalteten Cookie-Banner.
4. Datenschutzerklärung aktualisieren: Verweise auf das TMG durch das TTDSG ersetzen.
5. Drittlandübermittlungen der eingebundenen Dienste prüfen.

Wer seinen Banner schon nach den Vorgaben des BGH ausgerichtet hat, muss vor allem Formalien anpassen; alle anderen sollten die Website jetzt gründlich prüfen. Cookie-Einsatz, Banner und Datenschutzerklärung sehen wir uns gern für Sie an. Kontaktieren Sie uns oder buchen Sie einen Termin.