Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Cookies

  • TTDSG ab 1. Dezember 2021: Was sich bei Cookies ändert

    Am 1. Dezember 2021 tritt das Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Telemedien (Telekommunikation-Telemedien-Datenschutz-Gesetz, TTDSG) in Kraft. Es bündelt die bislang im Telemediengesetz (TMG) und im Telekommunikationsgesetz (TKG) verstreuten Datenschutzvorschriften und setzt die sogenannte Cookie-Regel der ePrivacy-Richtlinie erstmals ausdrücklich in deutsches Recht um. Für Website- und App-Betreiber ist vor allem § 25 TTDSG relevant.

    § 25 TTDSG: Die neue Cookie-Regel

    Nach § 25 Abs. 1 TTDSG ist die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat. Für Information und Einwilligung gelten die Maßstäbe der DSGVO. Die Regel ist technikneutral: Sie gilt nicht nur für Cookies, sondern auch für Local Storage, Fingerprinting-Techniken, Pixel und vergleichbare Verfahren, soweit auf das Endgerät zugegriffen wird.

    Die Ausnahmen

    Eine Einwilligung ist nach § 25 Abs. 2 TTDSG nicht erforderlich,

    • wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder
    • wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann.

    Darunter fallen etwa Warenkorb-, Login- und Sicherheits-Cookies sowie das Cookie, das die Einwilligungsentscheidung speichert. Reichweitenmessung, Marketing und Retargeting sind in aller Regel nicht „unbedingt erforderlich“ und bleiben einwilligungspflichtig.

    Was ändert sich in der Praxis?

    Inhaltlich bestätigt das TTDSG im Wesentlichen das, was der BGH bereits in seinem Urteil „Cookie-Einwilligung II“ aus dem bisherigen TMG abgeleitet hatte. Neu ist die klare gesetzliche Grundlage, die Aufsichtsbehörden und Gerichten mehr Rechtssicherheit gibt. Das TTDSG regelt allerdings nur den Zugriff auf das Endgerät. Für die anschließende Verarbeitung der gewonnenen personenbezogenen Daten bleibt die DSGVO maßgeblich. Es braucht also häufig zwei Prüfungen: § 25 TTDSG für den Zugriff und Art. 6 DSGVO für die weitere Verarbeitung.

    Dienste zur Einwilligungsverwaltung

    § 26 TTDSG sieht zudem „anerkannte Dienste zur Einwilligungsverwaltung“ vor, die Nutzern helfen sollen, ihre Einwilligungen zentral zu verwalten. Die Einzelheiten soll eine Rechtsverordnung regeln, die noch aussteht. Kurzfristig ändert sich dadurch für Website-Betreiber nichts.

    Checkliste zum Inkrafttreten

    1. Alle Cookies, Skripte und eingebundenen Dienste erfassen.
    2. Für jeden Dienst prüfen: Ist er unbedingt erforderlich im Sinne von § 25 Abs. 2 TTDSG?
    3. Alle übrigen Dienste erst nach Einwilligung laden, gesteuert über einen rechtssicher gestalteten Cookie-Banner.
    4. Datenschutzerklärung aktualisieren: Verweise auf das TMG durch das TTDSG ersetzen.
    5. Drittlandübermittlungen der eingebundenen Dienste prüfen.

    Wer seinen Banner schon nach den Vorgaben des BGH ausgerichtet hat, muss vor allem Formalien anpassen; alle anderen sollten die Website jetzt gründlich prüfen. Cookie-Einsatz, Banner und Datenschutzerklärung sehen wir uns gern für Sie an. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Cookie-Banner rechtssicher gestalten: Die wichtigsten Regeln

    Seit dem Urteil „Cookie-Einwilligung II“ des Bundesgerichtshofs steht fest: Für Werbe- und Tracking-Cookies ist eine aktive Einwilligung erforderlich. Seitdem haben nahezu alle Websites einen Cookie-Banner. Viele davon erfüllen die rechtlichen Anforderungen aber nicht, weil sie Nutzer durch Gestaltungstricks zur Zustimmung drängen. Für einen rechtssicheren Banner kommt es auf folgende Punkte an.

    Was muss eine wirksame Einwilligung leisten?

    Eine Einwilligung muss nach Art. 4 Nr. 11 und Art. 7 DSGVO freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich durch eine eindeutige bestätigende Handlung abgegeben werden. Für Cookies bedeutet das: Der Nutzer muss wissen, welche Dienste zu welchem Zweck eingesetzt werden, und er muss eine echte Wahl haben.

    Die sieben wichtigsten Gestaltungsregeln

    1. Nicht notwendige Cookies und Skripte dürfen erst nach der Einwilligung geladen werden. Ein Banner, der lediglich informiert, während im Hintergrund bereits Tracking läuft, ist wertlos.
    2. Kästchen für optionale Kategorien dürfen nicht vorausgewählt sein.
    3. Ablehnen sollte ebenso einfach möglich sein wie Zustimmen, idealerweise auf der ersten Ebene des Banners mit einer gleichwertig gestalteten Schaltfläche.
    4. Eine farbliche Hervorhebung nur der Zustimmung, versteckte Links oder verwirrende Formulierungen („Weiter“) gefährden die Wirksamkeit.
    5. Zwecke, Anbieter, Speicherdauer und eventuelle Übermittlungen in Drittländer sind verständlich zu benennen.
    6. Der Banner darf Impressum und Datenschutzerklärung nicht verdecken.
    7. Nutzer müssen ihre Auswahl jederzeit ändern können, etwa über einen dauerhaft sichtbaren Link im Footer.

    Was ist „technisch notwendig“?

    Ohne Einwilligung dürfen nur Cookies eingesetzt werden, die für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind, etwa für den Warenkorb, den Login oder die Speicherung der Cookie-Auswahl. Reichweitenmessung und Marketing gehören nach überwiegender Auffassung nicht dazu. Bei jedem Dienst sollte daher kritisch geprüft werden, ob er wirklich unverzichtbar ist.

    Drittanbieter und US-Dienste

    Viele Cookies stammen von Anbietern mit Sitz in den USA. Neben der Einwilligung in das Setzen der Cookies stellt sich hier die Frage nach der Zulässigkeit der Datenübermittlung. Seit dem Schrems-II-Urteil ist das Privacy Shield keine taugliche Grundlage mehr. Website-Betreiber sollten daher prüfen, ob es datenschutzfreundlichere Alternativen gibt, etwa Analyse-Tools mit Datenverarbeitung in der EU oder ohne Cookies.

    Gesetzliche Neuregelung in Sicht

    Die Bundesregierung hat Anfang 2021 einen Entwurf für ein Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) beschlossen, das die Regeln für das Speichern von und den Zugriff auf Informationen in Endgeräten künftig ausdrücklich regeln soll. Inhaltlich zeichnet sich ab, dass die Einwilligungspflicht für nicht notwendige Cookies gesetzlich festgeschrieben wird. Wer seinen Banner bereits jetzt sauber gestaltet, ist auf die Neuregelung gut vorbereitet.

    Prüfen Sie Ihren Banner nach jeder Änderung an der Website erneut. Auf Wunsch übernehmen wir die Prüfung von Website, Banner und Datenschutzerklärung. Schreiben Sie uns oder vereinbaren Sie einen Termin.

  • BGH Cookie-Einwilligung II: Vorangekreuzte Kästchen sind unwirksam

    Lange herrschte in Deutschland Unsicherheit darüber, ob Website-Betreiber für Cookies eine Einwilligung benötigen. Mit seinem Urteil vom 28. Mai 2020 (Az. I ZR 7/16 – „Cookie-Einwilligung II“) hat der Bundesgerichtshof nun für Klarheit gesorgt. Die Entscheidung schließt an das Planet49-Urteil des EuGH vom 1. Oktober 2019 (C-673/17) an und hat unmittelbare Auswirkungen auf nahezu jede Unternehmenswebsite.

    Der Fall: Gewinnspiel mit voreingestelltem Häkchen

    Der Bundesverband der Verbraucherzentralen hatte gegen den Gewinnspielanbieter Planet49 geklagt. Bei der Teilnahme an einem Online-Gewinnspiel fanden Nutzer zwei Ankreuzkästchen: Eines betraf die Einwilligung in Telefonwerbung durch Partnerunternehmen, das andere die Einwilligung in das Setzen von Cookies, mit denen das Surf- und Nutzungsverhalten zu Werbezwecken ausgewertet werden sollte. Dieses zweite Kästchen war bereits vorangekreuzt.

    Die Entscheidung des BGH

    Der BGH hielt beide Gestaltungen für unzulässig. Zur Cookie-Frage legte er § 15 Abs. 3 Satz 1 TMG im Lichte der ePrivacy-Richtlinie aus: Für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung ist eine Einwilligung des Nutzers erforderlich. Ein voreingestelltes Ankreuzkästchen, das der Nutzer abwählen muss, genügt dafür nicht. Eine wirksame Einwilligung setzt ein aktives Handeln voraus. Auch die Einwilligung in die Telefonwerbung scheiterte, weil sie nicht hinreichend für den konkreten Fall und in Kenntnis der Sachlage erteilt wurde.

    Was bedeutet das für Website-Betreiber?

    Die Entscheidung bestätigt, was viele Aufsichtsbehörden bereits vertreten: Cookies und vergleichbare Technologien, die nicht für den Betrieb der Website erforderlich sind, dürfen erst nach einer aktiven, informierten Einwilligung gesetzt werden. Das betrifft insbesondere

    • Werbe- und Retargeting-Cookies,
    • Tracking- und Analysetools, die Nutzerprofile bilden,
    • eingebundene Dienste Dritter, die Cookies setzen, etwa Social-Media-Plugins.

    Technisch notwendige Cookies, etwa für den Warenkorb oder die Speicherung der Cookie-Auswahl selbst, bleiben ohne Einwilligung zulässig.

    Handlungsempfehlungen

    1. Erfassen Sie, welche Cookies und Dienste Ihre Website einsetzt. Ein Scan der Seite gibt einen ersten Überblick.
    2. Setzen Sie ein Consent-Tool ein, das nicht notwendige Cookies erst nach aktiver Zustimmung lädt, ohne vorausgewählte Häkchen.
    3. Nutzer müssen erkennen können, wofür sie einwilligen, wie lange Cookies aktiv sind und ob Dritte Zugriff erhalten.
    4. Die Einwilligung muss so einfach widerrufen werden können, wie sie erteilt wurde.
    5. Beschreiben Sie die eingesetzten Dienste in der Datenschutzerklärung.

    Auch Einwilligungen in Werbung prüfen

    Der Fall zeigt zugleich: Pauschale Einwilligungen in Werbung durch eine Vielzahl von Partnerunternehmen sind riskant. Bereits in der Vergangenheit hatten Gerichte entschieden, dass Einwilligungserklärungen unwirksam sind, wenn sie sich auf zahlreiche Unternehmen beziehen und unklar bleibt, für welche Produkte geworben werden soll. Wer Einwilligungen einholt, sollte sie konkret, verständlich und getrennt von anderen Erklärungen gestalten.

    Viele der in Consent-Tools eingebundenen Dienste stammen von Anbietern außerhalb der EU. Welche Fragen sich bei der Auswahl solcher Dienstleister stellen, haben wir am Beispiel von Videokonferenzen in unserem Beitrag „Videokonferenz-Tools datenschutzkonform nutzen“ beschrieben.

    Ein bloßer Cookie-Hinweis genügt nach dieser Entscheidung nicht mehr. Wir prüfen, ob Ihre Website ohne Einwilligung Tracking- oder Werbecookies setzt, und sehen uns Cookie-Banner und Datenschutzerklärung an. Sprechen Sie uns an oder buchen Sie direkt einen Termin.