Das Wichtigste
- Zuerst die Einwilligung: Nichts, was nicht unbedingt erforderlich ist, darf vor der Zustimmung des Besuchers gespeichert oder ausgelesen werden.
- Es geht nicht nur um Cookies: Auch Local Storage, Pixel und Fingerprinting sind erfasst.
- Vorab angekreuzte Kästchen und Banner, bei denen die Ablehnung schwerer ist als die Zustimmung, führen zu keiner wirksamen Einwilligung.
Die Regel
§ 25 Abs. 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024: TTDSG) verlangt die Einwilligung des Endnutzers, bevor Informationen in seiner Endeinrichtung gespeichert oder bereits dort gespeicherte Informationen ausgelesen werden. Die Vorschrift setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie um. Die Einwilligung muss dem Maßstab der DSGVO genügen: freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich.
Was erfasst ist
Cookies, aber nicht nur: Local Storage, Pixel, die Geräteinformationen auslesen, und Fingerprinting-Techniken unterliegen derselben Regel, unabhängig davon, ob personenbezogene Daten betroffen sind. Der Europäische Datenschutzausschuss (EDSA) hat diesen technischen Anwendungsbereich in seinen Leitlinien 2/2023 beschrieben.
Die Ausnahmen
§ 25 Abs. 2 nimmt Speicherungen oder Zugriffe aus, die zur Übertragung einer Nachricht erforderlich oder für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind: ein Warenkorb, eine Login-Sitzung, eine Sicherheitsfunktion. Reichweitenmessung, Werbung und die meisten eingebetteten Inhalte von Drittanbietern fallen nach Auffassung der Aufsichtsbehörden nicht unter diese Ausnahmen.
Was keine wirksame Einwilligung ist
- Ein vorab angekreuztes Kästchen (EuGH, Planet49, C-673/17, 2019; BGH, Cookie-Einwilligung II, I ZR 7/16, 2020).
- Cookies, die gesetzt werden, bevor der Besucher auf das Banner reagiert hat.
- Ein Banner, bei dem die Ablehnung mehr Aufwand erfordert als die Zustimmung, was die Datenschutzkonferenz (DSK) und der EDSA als Hindernis für eine freiwillige Einwilligung werten.
So prüfen Sie eine Website
Laden Sie die Seite als Erstbesucher, ohne das Banner zu berühren, und sehen Sie nach, was gesetzt und was aufgerufen wurde. Alles, was über das unbedingt Erforderliche hinausgeht, ist ein Befund. Lehnen Sie dann ab, laden Sie neu und prüfen Sie, dass nichts Nicht-Notwendiges erscheint.
Checkliste
- Jede wichtige Seite (Startseite, Checkout, Kontakt) laden, ohne auf das Banner zu reagieren: nur unbedingt erforderliche Cookies und Anfragen.
- Ablehnen, neu laden: weiterhin nichts Nicht-Notwendiges, und die Entscheidung wird gespeichert.
- Prüfen, dass die Ablehnung auf der ersten Ebene ebenso einfach und sichtbar ist wie die Zustimmung.
- Keine vorab angekreuzten Kategorien in der Einstellungsebene.
- Jeder Zweck und jeder Anbieter im Banner und in der Cookie-Richtlinie benannt.
Quellen
- § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), vormals TTDSG.
- Art. 5 Abs. 3 der Richtlinie 2002/58/EG (ePrivacy-Richtlinie).
- EuGH, Urteil vom 1. Oktober 2019, Planet49, C-673/17.
- BGH, Urteil vom 28. Mai 2020, Cookie-Einwilligung II, I ZR 7/16.
- EDSA, Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 der ePrivacy-Richtlinie.
- EDSA, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679.
Allgemeine Informationen, keine Rechtsberatung. Lassen Sie Ihre konkrete Situation von Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung prüfen.