DSGVO: Die rechtliche Grundlage der Cookie-Banner
Thomas Henz
Cookie-Banner haben eine recht einfache Existenzbegründung. Denn auch wenn wir vom vielen Bestätigen und Ablehnen der Cookies regelrecht genervt sind, so schützen sie in erster Linie unsere Privatsphäre und unsere persönlichen Daten. Und ohne Banner bzw. ohne Cookies könnten wir das Internet nicht so kostenfrei nutzen, wie wir es seit Jahrzehnten tun. “Werbung statt bezahlen” könnte es einfach zusammengefasst heißen. Doch auf welchen rechtlichen Grundlagen beruhen Cookies und ihre Banner?
Rechtliche Grundlage der Cookie-Banner
Nachdem im Oktober 1969 zum ersten Mal zwei Computer über eine Telefonleitung miteinander verbunden wurden, kamen bereits 1975 erste Forderungen zur Vorbereitung einer Richtlinie zum Schutz von Daten im öffentlichen und privaten Sektor auf. Erst 20 Jahre später, im Jahr 1995, wurde eine entsprechende Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr erlassen.
Durch diese Richtlinie wurden Mindeststandards zum Datenschutz in allen Mitgliedsstaaten der EU festgelegt, die durch eigene nationale Gesetze in den jeweiligen Staaten selbst umgesetzt werden sollten. In Deutschland wurde die europäische Datenschutzrichtlinie erst im Mai 2001 im Bundesdatenschutzgesetz (BDSG) mit aufgenommen.
15 Jahre später, im April 2016, folgte eine neue Verordnung 2016/679 der Europäischen Union. Mit einer Übergangszeit von 2 Jahren war die Datenschutz-Grundverordnung (DSGVO) im Mai 2018 anzuwenden und wurde zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG beschlossen.
Die DSGVO verlangt, dass in jeder Datenschutzerklärung einer Webseite die Rechtsgrundlagen für die Verwendung von Cookies genannt werden. Zeitgleich zur DSGVO sollte auch die ePrivacy-Verordnung in Kraft treten, die die Vertraulichkeit der Kommunikation, die Verarbeitung von Kommunikationsdaten sowie das Speichern und Auslesen von Informationen auf Endgeräten (Cookies) regeln soll.
Im Januar 2017 wurde ein entsprechender Entwurf der e-Privacy-Verordnung von der EU-Kommission vorgelegt. Allerdings kommen seither Verhandlungen im EU-Rat nicht voran, sodass bis dato keine ePrivacy-Verordnung beschlossen wurde.
Neben den Verordnungen und Richtlinien wurden in Deutschland auch zwei weitere Gesetze erlassen. Das vom Juli 1996 stammende Telekommunikationsgesetz (TKG) und das im März 2007 verabschiedete Telemediengesetz (TMG). Unter der Telekommunikation wird der gesamte Austausch von Informationen und Daten über eine räumliche Distanz verstanden, wobei die Telemedien die Informations- sowie Kommunikationsdienste (z. B.: Social Media und Blogs) zusammenfasst.
Das Telekommunikationsgesetz (TKG) von 1996
Durch das TKG wird der Wettbewerb in der Telekommunikation für Unternehmen geregelt. Außerdem wird die Infrastruktur für die Telekommunikation gefördert und ein flächendeckendendes Angebot von Telekommunikationsdienstleistungen gewährleistet. Die Zusammenarbeit von Unternehmen im Bereich Telekommunikation wird dabei von der Bundesnetzagentur überwacht. Dadurch soll gewährleistet werden, dass Wettbewerber Zugang auf dem Markt erhalten und die Regulierungen zum Entgelt eingehalten werden.
Das Telemediengesetz (TMG) von 2007
Das TMG ist eine der zentralen Vorschriften des Internetrechts. Das Internetrecht befasst sich mit den rechtlichen Problemen, die mit der Verwendung des Internets einhergehen. Durch das TMG werden die rechtlichen Rahmenbedingungen für die Telemedien in Deutschland geregelt. Dazu zählen unter anderem das Impressum, Vorschriften zur Bekämpfung von Spam und bis Dezember 2021 auch der Datenschutz bei der Betreibung von Telemediendiensten. Sowohl das TMG als auch das TKG wurden 2021 überarbeitet und mündeten im Telekommunikations-Telemedien-Datenschutz-Gesetz (TDDSG).
Das Telekommunikations-Telemedien-Datenschutz-Gesetz von 2021
Um den Wirrwarr aus Gesetzen, Richtlinien und Verordnungen zu entwirren, wurde im Juli 2021 das sperrig klingende Telekommunikations-Telemedien-Datenschutz-Gesetz erlassen und trat noch im Dezember desselben Jahres in Kraft. Das Gesetz ersetzt damit die bisherigen Datenschutzregelungen des TKG und TMG und passt sie an die Cookie-Regelungen der ePrivacy-Richtlinie an. Mit dem Gesetz sollen demnach der Datenschutz und der Schutz der Privatsphäre in der Telekommunikation und auf allen Telemedien abgesichert werden.
Der Gesetzestext des TTDSG zur Speicherung von Cookies und Einwilligungen der Nutzer:innen ist unter §25 Absatz 1 geregelt. Es besagt, dass Informationen auf einem Endgerät nur gespeichert und abgerufen werden dürfen, wenn der/die Nutzer:in umfassend informiert wurde und einwilligt.
Sind Cookie-Hinweise Pflicht?
Ja, Cookie-Hinweise sind Pflicht, sofern entsprechende Cookies genutzt werden. Jeder Webseitenbetreibende hat sich die Einwilligung der Nutzenden einzuholen. Der Einwilligungstext oder auch Cookie-Banner sollte beim ersten Aufruf der Seite eingeblendet werden und konkret erklären, welche Daten wofür verwendet werden. Solange keine Zustimmung erfolgt ist, dürfen keine Daten aufgezeichnet und übertragen werden.
Quellen:
eRecht24, Nutzer-Einwilligung auf Webseiten: Quatsch oder Pflicht?, https://www.e-recht24.de/artikel/datenschutz/8451-hinweispflicht-fuer-cookies.html, (aufgerufen am 29.04.2022).
BfDI, E-Privacy-Verordnung, https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Telefon-Internet/Positionen/ePrivacy_Verordnung.html, (aufgerufen am 29.04.2022).
Security Insider, Was ist das Telekommunikationsgesetz (TKG)?, https://www.security-insider.de/was-ist-das-telekommunikationsgesetz-tkg-a-983995/, (aufgerufen am 29.04.2022).
Security Insider, Was ist das Telemediengesetz (TMG)?, https://www.security-insider.de/was-ist-das-telemediengesetz-tmg-a-983996/, (aufgerufen am 29.04.2022).
PSW Group Consulting - Blog, TTDSG kommt: Welche Änderungen bringt das neue Gesetz?, https://www.psw-consulting.de/blog/2021/07/27/ttdsg-kommt-welc, (aufgerufen am 29.04.2022).
Intersoft Consulting, §25 TTDSG Schutz der Privatsphäre bei Endeinrichtungen, https://dsgvo-gesetz.de/ttdsg/25-ttdsg/, (aufgerufen am 29.04.2022).
