Geht es nur um klassische Cookies?
Nein. Die gesetzliche Regelung betrifft nicht lediglich kleine Textdateien mit der Bezeichnung Cookie. Auch andere Verfahren zum Speichern oder Auslesen von Informationen auf Endgeräten können darunter fallen. Maßgeblich ist das tatsächliche technische Verhalten. Ob eine Information personenbezogen ist, entscheidet nicht allein über die Anwendung des Endgeräteschutzes. Für Betreiber bedeutet dies, eingesetzte Dienste technisch zu erfassen. Ein Banner, das nur bekannte Cookie-Namen aufzählt, kann unvollständig sein, wenn weitere Speicher- oder Zugriffstechniken genutzt werden.
Wann ist keine Einwilligung erforderlich?
§ 25 TDDDG enthält Ausnahmen, insbesondere für die alleinige Durchführung einer Nachrichtenübertragung und für unbedingt erforderliche Vorgänge zur Bereitstellung eines ausdrücklich gewünschten digitalen Dienstes. Die Ausnahme ist kein allgemeiner Freibrief für alles wirtschaftlich Nützliche. Ein technisch benötigter Warenkorb kann anders zu bewerten sein als ein zusätzliches Werbeprofil. Analyse und Marketing sind nicht schon deshalb erforderlich, weil der Betreiber daran ein berechtigtes Geschäftsinteresse hat. Zweck, Funktionsweise und vom Nutzer konkret gewünschter Dienst müssen sorgfältig zusammen betrachtet werden.
EuGH-Urteil zu Planet49
Der Europäische Gerichtshof entschied am 1. Oktober 2019, C‑673/17, dass eine vorangekreuzte Auswahl keine wirksame Cookie-Einwilligung darstellt. Erforderlich ist eine aktive Entscheidung. Die einschlägigen Vorgaben zum Endgeräteschutz gelten unabhängig davon, ob die betroffenen Informationen personenbezogene Daten sind. Zu den erforderlichen Informationen gehören auch die Funktionsdauer der Cookies und die Frage, ob Dritte Zugriff erhalten können. Das Urteil betraf die unionsrechtlichen Grundlagen; die heutige deutsche Prüfung erfolgt insbesondere anhand des TDDDG und gegebenenfalls zusätzlich der DSGVO.
Wie muss die Auswahl funktionieren?
Eine Einwilligung muss informiert, freiwillig und hinreichend bestimmt sein. Nutzer müssen erkennen können, wozu die erfassten Technologien eingesetzt werden. Zustimmungen dürfen nicht allein aus dem Weiterbenutzen der Seite abgeleitet werden. Eine Ablehnung darf nicht durch irreführende Gestaltung praktisch entwertet werden. Auch der Widerruf muss einfach möglich sein. Entscheidend ist außerdem die technische Umsetzung: Ein einwilligungsbedürftiger Dienst darf nicht bereits vor einer wirksamen Entscheidung starten. Die bloße Anzeige eines Banners heilt einen vorherigen unzulässigen Zugriff nicht nachträglich.
Welche Informationen und Nachweise werden benötigt?
Beschreibungen sollten Zwecke, eingesetzte Technologien, Laufzeiten und beteiligte Empfänger passend zu den tatsächlichen Diensten erläutern. Bei personenbezogener Verarbeitung kommen die Informationspflichten der DSGVO hinzu. Betreiber müssen eine behauptete Einwilligung nachweisen können, ohne dafür unnötige zusätzliche Daten zu sammeln. Änderungen an Diensten oder Zwecken können eine erneute Bewertung und gegebenenfalls eine neue Einwilligung erforderlich machen. Ein einmal eingerichtetes System sollte deshalb nach technischen Erweiterungen überprüft werden. Datenschutzerklärung, Auswahloberfläche und tatsächliche Datenflüsse müssen übereinstimmen.
Wie lässt sich eine Website sinnvoll prüfen?
Hilfreich ist ein Vergleich des Verhaltens vor der Auswahl, nach Ablehnung und nach Zustimmung. Dabei sollten auch eingebettete Videos, Karten, Schriftarten und externe Inhalte berücksichtigt werden. Nicht jede Einbindung ist rechtlich identisch zu behandeln. Für Nutzer ist bedeutsam, ob ihre Auswahl gespeichert und später geändert werden kann. Bei Streit sollten Zeitpunkt, Bildschirmansichten und der konkrete Dienst dokumentiert werden. Eine belastbare Beurteilung verbindet die sichtbare Gestaltung mit der technischen Prüfung der tatsächlich erfolgenden Speicherungen und Zugriffe. Eine rein optische Kontrolle des Banners reicht für diese Bewertung deshalb regelmäßig nicht aus.