Was das neue Gesetz für Cookie-Tracking bedeutet

Eine Vielzahl von Webseiten, die heutzutage besucht werden, fragen bei Aufruf zuerst die Einwilligung zu den verschiedenen Tracking-Tools ab. Meist stellt sich dies so dar, dass der „Allen Cookies zustimmen“-Button im Vordergrund dargestellt wird und dazu verleitet, grundsätzlich allen Analyse-Werkzeugen des Websitebetreibers zuzustimmen. Wer eine genaue Auswahl treffen will, hat es schwer: die Einstellungen zu den Cookies lassen sich nur schwerlich finden, meist sind sie gut versteckt. Im Ergebnis klicken die meisten Nutzer die Cookie-Banner schnell weg, um auf die gewünschte Website zu gelangen. Eine wirkliche Entscheidung treffen sie daher nicht. „Wir wollen ein Ende der Cookie-Banner“, so äußerte sich daher die CDU/CSU-Bundestagsfraktion in einer Pressemitteilung im März 2021. Am 20. Mai 2021 sollte diese Äußerung zur Realität werden: der Bundestag nahm das neue TTDSG angenommen, der Bundesrat stimmte dem Entwurf am 28. Mai 2021 zu. Bedeutet das nun tatsächlich das Ende der Cookie-Banner?

Kaum Neues bei Cookie-Einwilligungen

Der Entwurf des TTDSG hält kaum Neues bereit. § 25 TTDSG enthält die „neuen“ Regelungen zum „Schutz der Privatsphäre bei Endeinrichtungen“ – also auch für den Einsatz von Cookies auf Endgeräten. Grundsätzlich gilt demnach, dass Cookies nur dann gesetzt werden dürfen, wenn der Endnutzer aufgrund von „klarer und umfassender Information“ eingewilligt hat. Diese Information hat datenschutzkonform im Sinne der DSGVO zu erfolgen. Eine Einwilligung ist nur dann unnötig, wenn Cookies, die für die Übertragung einer Nachricht erforderlich sind bzw. wenn ein Cookie „unbedingt erforderlich ist“, um dem Nutzer einen gewünschten Telemediendienst zur Verfügung stellen zu können. Das Gesetz regelt jedoch nicht, wann Cookies und andere Technologien „unbedingt erforderlich“ sind. In der Praxis wird diese Frage  daher auch weiterhin umstritten bleiben. Die einzig klare Regelung in § 25 TTDSG ist die eindeutige Umsetzung der ePrivacy-Richtlinie 2002/58/EG in der Fassung der Rcihtlinie 2009/12/EG sowie der Rechtsprechung des EuGH (EuGH, Urteil vom 01.10.2019 – C-673/17; Urteil vom 28.05.2020 – I ZR 7/16). Zuvor war erst eine Entscheidung des Bundesgerichtshofes (BGH) im Jahre 2020 nötig, welche zu einer richtlinienkonformen Auslegung des Telemediengesetzes geführt hatte. Die Umsetzung der europäischen Richtlinie bewirkt, dass der Einwilligungsvorbehalt für deutsche Unternehmen nun unmittelbares Recht wird.

Idee: zentrales Einwilligungsmanagement

Der Entwurf zum TTDSG bewirkt auch Auswirkungen auf das Tracking, die teilweise sehr positiv aufgenommen wurden. Das Gesetz sieht vor, dass Unternehmen auch Alternativen zu den bisher genutzten Bannern einführen dürfen. Ziel ist es, den Nutzern mehr Kontrolle über ihre personenbezogenen Daten zu ermöglichen. Als Alternative zum traditionellen Cookie-Tracking kommen sogenannte „Personal Information Management Services“ (PIMS) oder Single-Sign-on-Lösungen in Betracht. Nutzer können so ihre Einwilligung oder Ablehnung von Cookies setzen. Die Präferenzen werden dann auch für andere Websites gespeichert und weitergegeben. Das bedeutet in der Praxis, dass nicht bei jedem Besuch auf einer Website ein Consent-Banner erscheinen muss: Nutzer müssen nicht mehr auf jeder Website eine Auswahl treffen, sondern können Tracking-Tools zu Marketingzwecken insgesamt ablehnen oder nur einzelne Ausnahmen vorsehen. Unternehmen werden jedoch nicht verpflichtet, PIMS zu nutzen, sondern können auch weiterhin auf Cookie-Banner zurückgreifen.

Ab sofort nutzerfreundlicheres Internet?

Auch wenn durch die Einführung von PIMS nervige Cookie-Banner in Zukunft der Vergangenheit angehören könnten, so heißt das nicht, dass das Surfen im Internet nun nutzerfreundlicher gestaltet ist. Das Gesetz sieht in § 26 TTDSG vor, dass sich Anbieter von PIMS-Diensten akkreditieren lassen müssen und kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung haben dürfen. Das Einwilligungsmanagement muss daher über einen dritten Anbieter eingerichtet werden, um den Anforderungen des Gesetzes gerecht zu werden. Es bleibt abzuwarten, ob sich solche Technologien am Markt etablieren können und von Usern angenommen werden. Weiterhin enthält das Gesetz keine Regelungen zum Thema Cookie-Banner-Design. Andere Länder – wie etwa Frankreich – haben entsprechende Verordnungen bereits erlassen. Auf den meisten Webseiten sorgt das Design der Banner für eine Art Lenkung der Nutzer: die Farbgebung des Buttons führt oft dazu, dass User eher auf „Alle akzeptieren“ klicken. Die Datenschutzbehörden bemängeln eine solche Farbgebung schon seit längerer Zeit. Der Gesetzgeber hat sich jedoch dagegen entschieden, gegenüber Unternehmen in dieser Hinsicht Vorgaben einzuführen.

Einschränkungen für Unternehmen

Aktuell profitiert die Werbewirtschaft von der Cookie-Banner-Lösung. Die meisten Nutzer akzeptieren alle Cookies, um sich nicht müßig durch die Auswahl klicken zu müssen. Die Zustimmungsrate wird bei dem Einsatz von PIMS wohl sinken – zur Freude der Datenschutzaufsichtsbehörden. Diese bemängeln die Gestaltung der Einwilligung zur Verarbeitung der Daten von Nutzern durch den Einsatz von Cookies schon seit längerem. Durch den automatisieren Einsatz von PIMS werden Unternehmen individuelle Gestaltungsmöglichkeiten verlieren, da Cookie-Banner dann dem Nutzer nicht mehr angezeigt werden

Ausblick für die Praxis

Die Neuregelungen im TTDSG passen das deutsche Recht an die europäischen Vorgaben an und sorgen damit teilweise für Rechtssicherheit: eine Einwilligung der Nutzer ist immer dann nötig, wenn keine Ausnahme greift. Weiterhin problematisch ist, wann ein Cookie „unbedingt erforderlich“ ist. In der Praxis wird dieses Problem auch in Zukunft hoch umstritten bleiben. Unklar bleibt, ob die neuen Vorgaben tatsächlich dazu führen, dass Technologien wie PIMS tatsächlich genutzt werden. Bisher wird diese Technologie im Markt noch nicht bereitgestellt und fraglich ist auch, ob Nutzer solche überhaupt einsetzen werden. Es bleibt abzuwarten, wie die anerkannten Dienste zur Einwilligungsverwaltung genau aussehen werden. Consent-Banner bleiben in jedem Fall noch eine Weile erhalten.

WBS berät Sie gerne!

Haben Sie datenschutzrechtliche Fragen oder benötigen Sie Prozesse, mit denen sie Datenschutzverstöße vermeiden können? Wir beraten Sie gerne umfassend zu allen Fragestellungen rund um das Datenschutzrecht und stehen Ihnen mit Rat und Tat zur Seite. Kontaktieren Sie und bei Beratungsbedarf jederzeit unter [hotline].