\t\t\t\t\t\tIn der medialen und politischen Landschaft, genauso wie bei vielen Internetnutzern im beruflichen oder privaten Umfeld werden die ber\u00fchmt-ber\u00fcchtigten „Cookie-Banner“ zunehmend genervt diskutiert. Der Sinn dieser Banner kann mit guten Gr\u00fcnden in Zweifel gezogen werden. Eine juristische Einordnung.<\/p>\n
\t\t\t\t\tVon Till Gerhardt, Senior Associate bei Osborne Clarke<\/p>\n
Kaum ein Internetnutzer nimmt sich wirklich die Zeit, die Datenverarbeitungen hinter einem \u201cCookie-Banner\u201d nachzuvollziehen und auf diese Weise eine wirklich autonome und informierte Entscheidung im Hinblick auf seine W\u00fcnsche zu treffen. Hinzu kommt, dass viele \u201cCookie-Banner\u201d schlecht gestaltet sind und den Nutzer \u2013 ob beabsichtigt oder nicht \u2013 durch unklare Formulierungen und versteckte Ablehnungsm\u00f6glichkeiten (\u201cNudging\u201d) zu einer bestimmten Entscheidung dr\u00e4ngen. Symptomatisch sind in diesem Zusammenhang auch die (oft automatisiert generierten und dadurch besonders fehleranf\u00e4lligen) \u201cCookie-Walls\u201d, in denen Nutzer lange Eintr\u00e4ge mit unverst\u00e4ndlichen Cookie-Beschreibungen herunterscrollen k\u00f6nnen. Der datenschutzrechtliche Nutzen dieses Vorgehens erscheint sehr fragw\u00fcrdig.<\/p>\n
Neues Gesetz der Bundesregierung tritt 2021 in Kraft<\/p>\n
Der deutsche Gesetzgeber hat nun ein neues Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsph\u00e4re in der Telekommunikation und bei Telemedien (\u201cTTDSG\u201d) geschaffen, das voraussichtlich im Dezember 2021 in Kraft treten wird und Teile des bestehenden Telemediengesetzes (\u201cTMG\u201d) abl\u00f6sen wird. Als Kern der k\u00fcnftigen \u201cCookie-Regelung\u201d wird die bislang ohnehin schon bestehende Rechtslage in Gesetzestext gegossen.<\/p>\n
Grob zusammengefasst d\u00fcrfen Cookies, die nicht lediglich \u201ctechnisch notwendig\u201d sind, um den jeweiligen Dienst auszuf\u00fchren (also beispielsweise die aufgerufene Webseite anzuzeigen), nur noch mit einer Einwilligung des Nutzers gesetzt und ausgelesen werden. Dies betrifft insbesondere \u2013 aber bei weitem nicht nur \u2013 \u201cMarketing-Cookies\u201d, die im Rahmen von Werbe-Netzwerken eingesetzt werden und mit denen Nutzer \u00fcber verschiedene Websites und Ger\u00e4te re-identifiziert werden, um personalisierte Werbung auszuspielen.<\/p>\n
Datenschutz-Aufseher gew\u00e4hren bisher einigen Spielraum<\/p>\n
Eine der interessantesten Fragen in diesem Zusammenhang betrifft die Einordnung von Cookies als \u201ctechnisch notwendig\u201d. Hierzu \u00e4u\u00dfern sich Datenschutz-Aufsichtsbeh\u00f6rden teilweise erstaunlich liberal, was einigen Spielraum f\u00fcr den Einsatz von Cookies auch ohne eine Einwilligung offenh\u00e4lt.<\/p>\n
Diese Regel besteht im \u00dcbrigen bereits schon. Das TTDSG schreibt lediglich eine sehr weitgehende und unter Juristen teilweise kritisierte Rechtsprechung des Bundesgerichtshofs (BGH) fest. Der BGH hatte die Cookie-Regelung im deutschen TMG \u201cgerettet\u201d, indem er den eigentlich europarechtswidrigen Wortlaut des Gesetzes (der eine \u201cOpt-Out\u201d-L\u00f6sung zulie\u00df) so interpretierte, dass er der Vorgabe der europ\u00e4ischen \u201cePrivacy-Richtlinie\u201d doch noch entsprach und nunmehr als \u201cOpt-In\u201d-Erfordernis umgedeutet wurde. Damit das Gesetz jedoch auch f\u00fcr den Rechtsanwender klar und deutlich den Anordnungen des Europarechts und des BGH entspricht, hat der deutsche Gesetzgeber nunmehr den Wortlaut des Gesetzes \u201cnachgezogen\u201d. Hierdurch wird schlicht Rechtssicherheit geschaffen, was zu begr\u00fc\u00dfen ist.<\/p>\n
Gesetz gilt auch f\u00fcr neue Cookie-Alternativen<\/p>\n
Die Neuregelung hat teilweise von politischer Seite Kritik erfahren, sie ziele lediglich auf Cookies und damit auf eine l\u00e4ngst veraltete Technik aus den 80er und 90er Jahren. Tats\u00e4chlich regelt das Gesetz nicht nur den Einsatz von Cookies, sondern technologieneutral \u201cdie Speicherung von Informationen in der Endeinrichtung des Endnutzers oder den Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind\u201d. Unter diese Regelung fallen also auch alternative Technologien wie beispielsweise \u201cLocal Storage\u201d. Die Verengung der Diskussion auf Cookies r\u00fchrt daher, dass die Technologie zwar nicht neu, aber nach wie vor deutlich weiter verbreitet ist als ihre Alternativen.<\/p>\n
Diskutieren l\u00e4sst sich in diesem Zusammenhang allenfalls, ob das \u201cDevice-\u201d bzw. \u201cBrowser-Fingerprinting\u201c unter das Einwilligungserfordernis f\u00e4llt. Hierbei werden stark vereinfacht ausgedr\u00fcckt Informationen, die ohnehin zur Anzeige der angefragten Webseite erhoben werden, analysiert, um einen Nutzer auf anderen Webseiten wieder zu identifizieren, auf diese Weise Profile zu bilden und wiederum personalisierte Werbung auszuspielen. Durch die Kombination verschiedener Merkmale (etwa bestimmte Hardware oder Software-Versionen, Spracheinstellungen etc.) wird dabei ein nahezu einzigartiger \u201cdigitaler Fingerabdruck\u201d generiert, ohne dass Daten auf dem Endger\u00e4t abgelegt oder gesondert Informationen aus dem Ger\u00e4t ausgelesen werden m\u00fcssen.<\/p>\n
Datenschutzeinstellungen zentral verwalten<\/p>\n
Recht kurzfristig in das Gesetz geschafft hat es dann doch noch eine wirkliche Neuregelung: Der Gesetzgeber f\u00fchrt ein Verfahren zur Anerkennung sogenannter \u201cDienste zur Einwilligungsverwaltung\u201d ein (im internationalen Kontext diskutiert unter dem Namen \u201cPersonal Information Management Systems\u201d, \u201cPIMS\u201d). Diese Dienste gehen auf eine Empfehlung der von der Bundesregierung eingesetzten Datenethikkommission zur\u00fcck. Nutzer sollen dabei an zentraler Stelle die M\u00f6glichkeit erhalten, ihre Datenschutzeinstellungen zu verwalten, ohne dies f\u00fcr jeden digitalen Dienst und jede Webseite einzeln festlegen zu m\u00fcssen.<\/p>\n
Kritisiert wird hieran teilweise, dass damit die Anbieter dieser Dienste in die unmittelbare Nutzerbeziehung eingreifen und gleichsam zwischengeschaltet werden. Letztlich ist anzunehmen, dass die praktische Bedeutung dieser PIMS jedenfalls zun\u00e4chst eher gering sein wird. Nach Inkrafttreten des TTDSG soll die Bundesregierung zun\u00e4chst eine Rechtsverordnung erlassen, mit der die Anforderungen an PIMS spezifiziert werden. In einem weiteren Schritt muss dann das Anerkennungsverfahren durchlaufen werden \u2013 unter anderem m\u00fcssen die Anbieter unabh\u00e4ngig sein und die Anforderungen an die Datensicherheit gew\u00e4hrleisten; au\u00dferdem d\u00fcrfen sie die erhobenen Daten nicht f\u00fcr eigene Zwecke weiterverwenden \u2013, bevor die Dienste dann tats\u00e4chlich fl\u00e4chendeckend zum Einsatz kommen und durch Betreiber digitaler Dienste ber\u00fccksichtigt werden m\u00fcssen.<\/p>\n
Eigene Cookie-Banner auf Compliance \u00fcberpr\u00fcfen<\/p>\n
Auf europ\u00e4ischer Ebene l\u00e4uft zudem parallel das Gesetzgebungsverfahren zur sogenannten \u201cePrivacy-Verordnung\u201d, welche die bestehende ePrivacy-Richtlinie ersetzen soll. Sobald diese Verordnung in Kraft tritt, ist davon auszugehen, dass das TTDSG obsolet wird und insofern lediglich als \u00dcbergangsgesetz in Erinnerung bleiben wird. Da sich der Gesetzgebungsprozess auf europ\u00e4ischer Ebene jedoch bereits seit einigen Jahren hinzieht, ist eine seri\u00f6se Prognose insoweit aktuell kaum m\u00f6glich.<\/p>\n
F\u00fcr Webseitenbetreiber und Anbieter anderer digitaler Dienste ergibt sich aus der gesetzlichen Neuregelung jedenfalls zun\u00e4chst einmal kein akuter zus\u00e4tzlicher Handlungsbedarf. Gut vorstellbar ist jedoch, dass Datenschutz-Aufsichtsbeh\u00f6rden angesichts der nunmehr auch von ihrem Wortlaut eindeutigen Regelung zum Einsatz von Cookies k\u00fcnftig weniger \u201cKulanz\u201d walten lassen und Webseiten und andere digitale Dienste kritischer pr\u00fcfen werden. Vor diesem Hintergrund ist es sinnvoll, sich beispielsweise das eigene Cookie-Banner einmal genauer anzusehen und auf seine Compliance \u00fcberpr\u00fcfen zu lassen.<\/p>\n
Bei automatisiert generierten \u201cCookie-Einordnungen\u201d kommt es zudem h\u00e4ufig zu nicht zuordenbaren Cookies. Ein solcher Zustand sollte besonders z\u00fcgig beendet werden, entweder durch Zuordnung oder Abschalten des Cookies. Sinnvoll kann es sein, die eingesetzten Cookies zudem darauf zu \u00fcberpr\u00fcfen, ob sie teilweise als \u201ctechnisch notwendig\u201d eingeordnet werden k\u00f6nnen und eine Einwilligung damit nicht erl\u00e4sslich wird.<\/p>\n
Till Gerhardt ist Senior Associate bei Osborne Clarke. (Foto: privat)<\/p>\n
Vita: Dr. Till Gerhardt ist Anwalt f\u00fcr Datenschutzrecht bei der Kanzlei Osborne Clarke in Hamburg. Zu den Arbeitsschwerpunkten des 37-J\u00e4hrigen z\u00e4hlt alles rund um Datenschutz-Compliance, mit besonderem Fokus an der Gestaltung von Hinweisgeber-Systemen, komplexen Datenanalysen und Online-Tracking.<\/p>\n
absatzwirtschaft+<\/p>\n
Sie wollen t\u00e4gliche Insights f\u00fcr Ihre Arbeit im Marketing? Dann\u00a0abonnieren Sie jetzt hier\u00a0unseren kostenfreien Newsletter.<\/p>\n