E-Privacy: Einwilligung bei Werbe-Cookies und bei Tracking jetzt Pflicht

Neues Gesetz zum Datenschutz

Der Bundestag hat am 20.05.2021 ein neues Gesetz im Bereich Datenschutz verabschiedet: Das Telekommunikations-Telemedien-Datenschutz-Gesetz (TDDDG). Was genau ändert das jetzt? Ein Überblick:

Cookies und Tracking      

Durch das neue Gesetz sollen endlich die Lücken bezüglich Cookies im deutschen Recht geschlossen werden. So zumindest die Zielsetzung.

Der Gesetzgeber hat in dem neuen Gesetz die Vorgaben zu Cookies und Tracking aus der EU-Privacy-Richtlinie in nationales Recht umgesetzt. Dies soll mehr Klarheit schaffen und besser an die DSGVO angepasst sein. Mit Cookies werden schließlich personenbezogene Daten gespeichert. Nach Bundesrecht soll dies nun auch (wie im Vorbild: der DSGVO) nur zulässig sein, wenn die betroffene Person „auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat“.

Nicht erforderlich soll dies weiterhin bei rein funktionellen Cookies sein. Funktionell sind dabei solche Cookies, die für die Nutzung des Dienstes unbedingt erforderlich sind.

Die Umsetzung von Cookie-Bannern empfindet der Gesetzgeber dagegen wenig zufriedenstellend. Die Cookie-Banner seien zu oft viel zu undurchsichtig und der Verbraucher empfände sie nur noch als nervige Meldung, die es schnell durch Einwilligung wegzuklicken gelte. Dies würde nicht die Anforderungen an eine Einwilligung erfüllen.

Personal Information Management Services

Ein Entwurf, in dem Browser-Hersteller im Cookie Management mit Ihren bereits implementierten „Do Not Track“-Verfahren gestärkt werden, um den Verbraucher zu schützen, wurde nicht umgesetzt.

Stattdessen sollen Cookie-Manager und Opt-In Verfahren gefördert werden. Nötig ist das Schaffen eines Rechtsrahmens, der dazu führt, dass „Personal Information Management Services“ (PIMS) oder Single-Sign-on-Lösungen anerkannt werden. So würde das nötige Vertrauen des Verbrauchers geschaffen werden.

Gefördert wird dann aber nur, wer kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung hat und auch unabhängig von Unternehmen ist, die ein solches Interesse haben könnten (§ 26 TDDDG). Außerdem muss natürlich ein Sicherheitskonzept bestehen.

Missbrauch von Telekommunikationsanlagen

Zugleich soll der Missbrauch von Telekommunikationsanlagen härter bestraft werden. Der Gesetzgeber denkt hier vor allem an das unbemerkte Abhören oder Aufnehmen von Bildern, insbesondere, wenn dies vom Nutzer nicht eindeutig erkennbar ist, da Geräte verwendet werden, bei denen dies nicht der bestimmungsgemäße Gebrauch ist. Es komme gerade bei Alltagsprodukten immer häufiger vor, dass diese zum Abhören missbraucht werden.

Genauso steigt das Bußgeld für die Unterdrückung der Rufnummer oder unzulässige Werbeanrufen.

Kritik

Kritiker merken an, dass das neue Gesetz nur viel Wind um nichts sei.

So sei die Regelung zu Cookies eine rein formale Übernahme aus der DSGVO beziehungsweise der Richtlinie, auf die der Bundesgerichtshof und der Europäische Gerichtshof schon lange gedrängt hatten. Wann bezüglich Cookies nach einer Einwilligung gefragt werden muss, wurde schon in der europäischen Richtlinie von 2009 geregelt.

Hilfssysteme, die Einwilligungen setzen oder verhindern seien zudem kein Schutz, da von Betreibern, die es auf das Abgreifen von Daten ansetzen, längst auf andere Technologien als Cookies gesetzt werde.

Auf Befugnisse für Datenschutzbeauftragte gegenüber öffentlichen Stellen habe das Gesetz keine Auswirkungen, was in der Praxis aber schon lange gefordert wird.

Außerdem sei es den Betreibern von online-Diensten weiterhin möglich, bei der Ablehnung einer Einwilligung in die Datenverarbeitung die Nutzung des Dienstes zu verwehren, obwohl er auch ohne Einwilligung und Datenverarbeitung möglich wäre.

Insgesamt bleibt also die Forderung nach Veränderung und vor allem Verbesserung bestehen. Das neue Gesetz sei nur ein Schritt auf der Stelle.

Auswirkungen des TDDDG auf die Praxis

Mit dem Inkrafttreten des TDDDG am 1. Dezember 2021 wurde die rechtliche Lage für Cookies und Tracking in Deutschland klarer geregelt. Das Gesetz schreibt in § 25 TDDDG vor, dass die Speicherung von Informationen auf dem Endgerät des Nutzers oder der Zugriff auf bereits gespeicherte Informationen grundsätzlich nur mit Einwilligung des Nutzers zulässig ist. Ausnahmen gelten lediglich für technisch notwendige Cookies.

In der Praxis bedeutet dies für Webseitenbetreiber, dass sie vor dem Setzen von Werbe-Cookies, Tracking-Cookies oder Analytics-Cookies eine wirksame Einwilligung einholen müssen. Diese Einwilligung muss den Anforderungen der DSGVO entsprechen, also freiwillig, informiert, unmissverständlich und widerruflich sein.

Gestaltung rechtskonformer Cookie-Banner

Die korrekte Gestaltung von Cookie-Bannern ist nach wie vor eine der häufigsten Herausforderungen im Online-Datenschutz. Viele Webseitenbetreiber setzen auf sogenannte „Dark Patterns“, um Nutzer zur Einwilligung zu bewegen. Solche Praktiken sind nicht nur ethisch fragwürdig, sondern können auch rechtlich problematisch sein:

• Gleichwertige Optionen: Die Möglichkeit, Cookies abzulehnen, muss genauso einfach und prominent gestaltet sein wie die Möglichkeit, sie zu akzeptieren. Ein großer, farbiger „Alle akzeptieren“-Button neben einem kleinen, unauffälligen Link zur Ablehnung genügt den Anforderungen nicht.
• Keine vorausgewählten Häkchen: Der EuGH hat in der Planet49-Entscheidung klargestellt, dass vorangekreuzte Checkboxen keine wirksame Einwilligung darstellen. Die Einwilligung erfordert eine aktive, bejahende Handlung des Nutzers.
• Transparente Information: Nutzer müssen klar und verständlich darüber informiert werden, welche Cookies zu welchem Zweck gesetzt werden, wie lange sie gespeichert werden und ob Daten an Dritte weitergegeben werden.
• Granulare Auswahlmöglichkeiten: Nutzer sollten die Möglichkeit haben, einzelne Cookie-Kategorien gezielt zu akzeptieren oder abzulehnen, anstatt nur pauschal allen Cookies zuzustimmen oder alle abzulehnen.

Aktuelle Entwicklungen und Bußgelder

Die europäischen Datenschutzbehörden haben in den letzten Jahren zahlreiche Bußgelder wegen rechtswidriger Cookie-Praktiken verhängt. Die französische Datenschutzbehörde CNIL hat beispielsweise Google und Facebook zu Bußgeldern in Höhe von 150 bzw. 60 Millionen Euro verurteilt, weil es auf deren Webseiten nicht genauso einfach war, Cookies abzulehnen, wie sie zu akzeptieren.

Auch die deutschen Aufsichtsbehörden gehen verstärkt gegen rechtswidrige Cookie-Banner vor. Die Datenschutzkonferenz (DSK) hat eine Orientierungshilfe für Telemedienanbieter veröffentlicht, die konkrete Hinweise zur rechtskonformen Gestaltung von Einwilligungsabfragen enthält.

Die Zukunft: ePrivacy-Verordnung

Langfristig soll die ePrivacy-Verordnung der EU die bestehende ePrivacy-Richtlinie von 2002 ersetzen und EU-weit einheitliche Regelungen für Cookies und Tracking schaffen. Die Verhandlungen über diese Verordnung dauern bereits seit 2017 an und sind von erheblichen Meinungsverschiedenheiten geprägt.

Bis zum Inkrafttreten der ePrivacy-Verordnung müssen Unternehmen die bestehenden Regelungen aus DSGVO und TDDDG beachten. Eine regelmäßige Überprüfung der eigenen Cookie-Implementierung ist dabei wichtig, da sich die Rechtslage und die Anforderungen der Aufsichtsbehörden kontinuierlich weiterentwickeln.

Praktische Empfehlungen für Webseitenbetreiber

Um rechtliche Risiken zu minimieren, sollten Webseitenbetreiber folgende Maßnahmen ergreifen:

• Implementieren Sie ein DSGVO-konformes Consent-Management-System, das den Nutzern echte Wahlfreiheit bietet.
• Dokumentieren Sie alle erteilten und widerrufenen Einwilligungen, um Ihrer Nachweispflicht nachkommen zu können.
• Führen Sie regelmäßige Cookie-Audits durch, um sicherzustellen, dass keine Cookies ohne gültige Einwilligung gesetzt werden.
• Erstellen und pflegen Sie ein vollständiges Verarbeitungsverzeichnis, das auch alle Cookie-basierten Verarbeitungstätigkeiten umfasst.
• Konsultieren Sie Ihren Datenschutzbeauftragten, um die rechtliche Konformität Ihrer Cookie-Implementierung sicherzustellen.

Server-Side Tracking als Alternative

Als Reaktion auf die zunehmenden Einschränkungen bei clientseitigen Cookies und Tracking-Technologien setzen immer mehr Unternehmen auf Server-Side Tracking. Dabei werden die Tracking-Daten nicht mehr direkt im Browser des Nutzers erfasst, sondern über einen eigenen Server des Webseitenbetreibers an die Analyse- und Werbeplattformen weitergeleitet.

Aus technischer Sicht bietet Server-Side Tracking einige Vorteile: Es ist weniger anfällig für Ad-Blocker, ermöglicht eine bessere Kontrolle über die weitergeleiteten Daten und kann die Ladezeit der Webseite verbessern. Aus datenschutzrechtlicher Sicht ändert Server-Side Tracking jedoch nichts an der grundsätzlichen Einwilligungspflicht. Wenn personenbezogene Daten erhoben und an Dritte übermittelt werden, ist weiterhin eine wirksame Einwilligung erforderlich.

Der Europäische Datenschutzausschuss (EDSA) hat in mehreren Stellungnahmen klargestellt, dass die Art der technischen Implementierung keinen Einfluss auf die datenschutzrechtliche Bewertung hat. Entscheidend ist nicht, wie die Daten erfasst werden, sondern ob eine gültige Rechtsgrundlage für die Verarbeitung vorliegt.

Datenschutzfreundliche Analyse-Alternativen

Neben dem klassischen Tracking mit Tools wie Google Analytics gibt es zunehmend datenschutzfreundliche Alternativen, die ohne die Erhebung personenbezogener Daten auskommen oder diese nur minimal verarbeiten. Tools wie Matomo (bei selbst gehostetem Betrieb), Plausible Analytics oder Fathom bieten Webseitenbetreibern aussagekräftige Analysedaten, ohne Cookies zu setzen oder personenbezogene Daten an Dritte zu übermitteln.

Diese Alternativen gewinnen an Bedeutung, da mehrere europäische Datenschutzbehörden die Nutzung von Google Analytics in seiner Standardkonfiguration als nicht DSGVO-konform eingestuft haben. Unternehmen, die auf datenschutzfreundliche Analyse-Tools umsteigen, reduzieren nicht nur ihr rechtliches Risiko, sondern signalisieren ihren Nutzern auch, dass ihnen der Schutz personenbezogener Daten am Herzen liegt.