Pflichten für Webseiten-Betreiber und App-Anbieter nach dem TTDSG im Hinblick auf Cookies und Cookie-Banner

 

Was haben Webseiten-Betreiber und App-Anbieter seit dem 1.12.2021 bezogen auf Cookies und Cookie-Banner zu beachten?

Pflichten für Webseiten-Betreiber und App-Anbieter nach dem Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG) im Hinblick auf Cookies und Cookie-Banner

 

Am 1.12.2021 ist das sog. Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG) in Kraft getreten. Das TTDSG dient der Umsetzung der Vorgaben der europäischen ePrivacy-Richtlinie, die dem Schutz der Privatsphäre in der digitalen Welt dienen soll. Das TTDSG erfasst technologieneutral alle Techniken und Verfahren aus dem Bereich des Speicherns und Auslesens von Informationen im Zusammenhang mit Telekommunikations- und Telemediendiensten. Die Regelungen des TTDSG gelten sowohl für Daten mit, als auch für Daten ohne Personenbezug. Geregelt werden im TTDSG daher insbesondere die Anforderungen beim Einsatz von Cookies und Trackingtools sowie das diesbezügliche sog. Einwilligungsmanagement auf Webseiten. Betroffen sind von den neuen Regelungen alle Diensteanbieter d.h. insbesondere Webseitenbetreiber, Onlineshops, Anbieter von E-Mail- und Messengerdiensten, Smarthome-Anwendungen und sonstige Apps.

 

Was bedeutet das für Webseiten-Betreiber, Onlineshops und App-Anbieter? Welche Anforderungen werden bei der Nutzung von Cookies und sonstigen Tracking-Diensten an den Webseitenbetreiber gestellt? Wie sollte nach neuer Rechtslage das Cookie-Banner (auch Cookie-Hinweis genannt) ausgestaltet sein?

 

 

Das Wichtigste vorab in Kürze

 

Webseitenbetreiben bedürfen künftig regelmäßig eines Einwilligungsbanners. Wer im Internet seit dem 1.12.2021 kein Cookie-Banner einsetzt, das die neue Rechtslage berücksichtigt und eine informierte ausdrückliche Einwilligung des Nutzers ermöglicht, verstößt in der Regel gegen das TTDSG.

 

 

Bisherige Rechtslage und Anforderungen an Cookie-Banner

 

Nach bisheriger Rechtslage waren Webseiten-Betreiber bei der Nutzung von Cookies und sog. Trackingdiensten nach den datenschutzrechtlichen Regeln verpflichtet, ggf. eine Einwilligung einzuholen. Hierbei waren sowohl die sich aus der DSGVO und dem BDSG, als auch die sich aus Sondergesetzen (z.B. §§ 12, 15 Abs. 3 TMG a.F.) ergebenden Regelungen zu beachten. Dies insbesondere dann, wenn es sich um nicht notwendige Cookies handelte und bei deren Einsatz personenbezogene Daten erhoben, gespeichert oder verarbeitet wurden und die Erhebung bzw. Verarbeitung nicht auf einen der sonstigen Erlaubnistatbestände des Art. 6 DSGVO (z.B. ein berechtigtes Interesse) gestützt werden konnte. Die Regelung des § 15 Abs. 3 TMG (in der bis zum 30.11.2021 geltenden Fassung) statuierte eine Verpflichtung des Diensteanbieters dahingehend, dass für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen nur erstellt werden dürfen, sofern der Nutzer dem nicht widerspricht (vgl. LG Frankfurt, Urt. v. 19.10.2021, 3-06 O 24/21). Der Einsatz von Cookies setzte nach bisheriger Rechtslage, insbesondere nach der Rechtsprechung des EuGH (Urteil v. 1.10.2019, C-673/17 – Planet49) und des BGH (Urteil v. 28.5.2020, I ZR 7/16) also dann eine ausdrückliche Einwilligung des Nutzers voraus, wenn durch den Einsatz von Cookies personenbezogene Daten wie z.B. IP-Adressen beispielsweise zur Erstellung von Nutzungsprofilen für Zwecke der Werbung oder Marktforschung erhoben oder verarbeitet wurden.

 

Die erforderliche (datenschutzrechtliche) Einwilligung kann durch Einsatz eines datenschutzkonformen Cookie-Banners (auch Consent Banner genannt) beim Aufruf der jeweiligen Webseite eingeholt werden. Gleichwohl haben viele Webseiten- und Shopbetreiber Cookie-Banner nur unzureichend eingesetzt. Häufig fehlt es an einer eindeutigen Information, worauf sich die Einwilligung bezieht oder auch an der falschen Voreinstellung.

 

 

Was regelt das TTDSG zu Cookies und wer ist davon betroffen?

 

Das TTDSG führt die datenschutzrechtlichen Regelungen zu Cookies in einem einheitlichen Gesetz zusammen und erweitert die Pflicht zur Einholung einer Einwilligung und damit die Pflicht und den Umfang in Bezug auf den Einsatz von Cookie-Bannern. Der Anwendungsbereich erstreckt sich nach dem TTDSG künftig auf jede Form der „Speicherung von Informationen in der Endeinrichtung des Endnutzers“ sowie des „Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind“ (vgl. § 25 Abs. 1 TTDSG). Daher sind seit dem 1.12.2021 nicht nur Webseitenbetreiber, sondern nahezu alle internetbasierten Dienste und Apps vom Erfordernis der Einholung einer ausdrücklichen Einwilligung bei der Nutzung von Cookies und Tracking-Diensten (u.a. Browser Fingerprinting etc.) betroffen. Umfasst werden nunmehr insbesondere auch App-Betreiber, mit der Folge, dass auch Smartphone-Anwendungen wie Alarmsysteme oder auch Messenger-Dienste wie WhatsApp und Threema in der Regel eines Cookie-Banners mit entsprechender Einwilligung des Nutzers bedürfen.  Unerheblich ist für das neue Einwilligungserfordernis nach dem TTDSG, ob es sich bei den Informationen, die auf dem Endgerät des Nutzers gespeichert werden oder auf die zugegriffen wird, um personenbezogene Daten handelt oder nicht.

 

Vom Diensteanbieter (Betreiber der Webseite, Onlineshop-Betreiber, App-Anbieter etc.) muss seit dem 1.12.2021 also grundsätzlich eine ausdrückliche Einwilligung des Nutzers eingeholt werden. Zu beachten ist dabei, dass eine explizite Einwilligung freiwillig erfolgen muss, nachweisbar dokumentiert werden muss und vom Nutzer nur auf der Grundlage klarer und umfassender Informationen getroffen werden kann. Dies ist bei der Gestaltung des Cookie– bzw. Consent-Banners unbedingt zu beachten.

 

 

Ausnahmen vom Einwilligungserfordernis

 

Die Ausnahmen vom Erfordernis der Einwilligungseinholung sind in § 25 Abs. 2 TTDSG normiert:

Insoweit ist eine vorherige Einwilligung für die Informationserfassung und -nutzung nicht erforderlich, wenn der alleinige Zweck der Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der alleinige Zweck des Zugriffs auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen in der Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz liegt (vgl. § 25 Abs. 2 Nr. 1 TTDSG).

Des Weiteren bedarf es für technisch notwendige Speicherungen von Informationen in der Endeinrichtung des Endnutzers und für den Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen keiner vorherigen Einwilligung, wenn dies für die Zurverfügungstellung des vom Nutzer ausdrücklich gewünschten Telemediendienstes (z.B. für das Funktionieren einer Webseite) unbedingt erforderlich ist, also technisch zwingend notwendige Cookies wie beispielsweise Cookies, ohne die eine Webseite nicht funktionieren würde und sog. Session-Cookies beim Bestellprozess bzw. Bezahlvorgang („Warenkorbfunktion“) in einem Onlineshop (vgl. § 25 Abs. 2 Nr. 2 TTDSG).

 

 

Ausgestaltung des Cookie-Banners

 

Ein Cookie-Banner (auch Cookie-Hinweis genannt) dient dazu, den Nutzer über die Verwendung von Cookies beim Besuch einer Webseite oder bei der Nutzung einer App zu informieren und etwaige Cookies, Tracking etc. erst nach der Einwilligung des Nutzers zu aktivieren. Das Cookie-Banner sollte unter anderem folgende Voraussetzungen erfüllen:

• Da eine ausdrückliche Einwilligung nur auf der Grundlage klarer und umfassender Informationen getroffen werden kann, sollte das verwendete Cookie-Banner u.a. Informationen darüber enthalten, welche Informationen in der Endeinrichtung des Endnutzers gespeichert und auf welche bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen zugegriffen wird oder zumindest darauf verlinken.
• Die Einwilligung muss derart ausgestaltet sein, dass die Auswahl bzw. die Einwilligung freiwillig erfolgt. Insoweit bedarf es jeweils eines eindeutigen Buttons für die Annahme und für die Ablehnung der Einwilligung.
• Der “Annehmen-Button“ darf optisch bzw. grafisch nicht besonders hervorgehoben werden und auch nicht vorausgewählt sein, um dem Nutzer eine freie und unbeeinflusste Entscheidung zu ermöglichen.
• Cookies und Tracking-Dienste müssen bis zu Einwilligung bzw. im Falle der Ablehnung deaktiviert bleiben.
• Des Weiteren muss die Option bestehen, eine erteilte Einwilligung jederzeit zu ändern bzw. zu widerrufen.

 

Viele Details in diesem Zusammenhang sind noch nicht abschließend geklärt. Ausführliche Informationen bietet die Orientierungshilfe der Datenschutz-Aufsichtsbehörden.

 

Was droht bei einer Nichtumsetzung?

 

Die Regelungen gelten bereits seit dem 1.12.2021. Eine Übergangsfrist zur Umsetzung ist nicht vorgesehen. Es bedarf also – sofern noch nicht geschehen – der sofortigen Umsetzung. Bei Nichtbeachtung der Vorgaben aus dem TTDSG drohen Bußgelder bis zu EUR 300.000,00 und ggf. weitere Sanktionen (vgl. § 28 TTDSG). Lassen Sie sich dazu anwaltlich beraten und vermeiden Sie Bußgelder und Sanktionen durch die Datenschutzbehörden.

 

 

Unsere Empfehlung

 

Wir empfehlen allen Anbietern von Telemedien dringend den Einsatz eines datenschutzkonformen und zugleich den Anforderungen an das TTDSG genügenden Cookie-Banners. Der bloße Verweis der Nutzer auf eine Datenschutzerklärung bzw. auf Datenschutzhinweise ist – jedenfalls beim Einsatz von Cookies zu technisch nicht unbedingt erforderlichen Zwecken, also beispielsweise im Rahmen von Marketing- und Trackingtools zwingend erforderlich. Sofern noch nicht geschehen sollten vorhandene Cookie-Banner zeitnahe an die neuen Anforderungen aus dem TTDSG angepasst werden.

 

 

⇒ Zur rechtlichen Beurteilung, ob Sie von der Pflicht zur Einholung einer vorherigen Einwilligung des Nutzers betroffen sind bzw. ob etwaige von Ihnen bereits verwendete Cookie-Banner den Anforderungen des TTDSG entsprechen, beraten wir Sie gerne. Rufen Sie uns an oder schreiben Sie uns. Der telefonische Erstkontakt ist kostenlos.

 

 

Informationen zur Rechtsberatung im Datenschutzrecht finden Sie hier!

 

Ein FAQ zur Datenschutz-Compliance und zur DSGVO finden Sie hier!

 

Tipps zur Umsetzung der Datenschutzgrundverordnung finden Sie hier!

 

 

© 2022 Rechtsanwalt Christian Weber und Ref. iur. Jasmina Zahirovic, WeSaveYourCopyrights Rechtsanwaltsgesellschaft mbH, Frankfurt am Main

 

 

verwandte Suchbegriffe: Cookie-Einwilligung, Cookies und Einwilligung, Datenschutz und Cookies, Datenschutz und Einwilligung beim Einsatz von Google Analytics, Einwilligung und Google Analytics, Einwilligung beim Einsatz von Analysetools, Einwilligung beim Einsatz von Tracking, Datenschutz und Trackingtools, Datenschutz und Analysetools, cookie-banner, consent banner, cookie banner, ttdsg, Telekommunikations-Telemedien-Datenschutzgesetz, cookies und Datenschutz, § 15 TMG