St\u00e4ndig m\u00fcssen Einwilligungen gegeben und Banner weggeklickt werden \u2013 Cookies treiben viele Internet-Nutzer zur Verzweiflung oder f\u00fchren dazu, dass wir resigniert auf \u201eAlles akzeptieren\u201c klicken und unsere Daten verschenken.<\/p>\n
Und jetzt verrate ich Ihnen mal was: Cookie-Banner sind nicht zwangsl\u00e4ufig Pflicht!<\/strong> Ein Missverst\u00e4ndnis der DSGVO bez\u00fcglich Cookies f\u00fchrt dazu, dass so einige Webseiten die Cookie-Box v\u00f6llig \u00fcberfl\u00fcssig verwenden \u2013 oder falsch.<\/p>\n Deshalb widmet sich dieser Beitrag einmal ganz ausf\u00fchrlich dem Thema DSGVO und Cookies. Fangen wir an!<\/p>\n Wenn wir uns mit datenschutzrelevanten Fragen besch\u00e4ftigen, hilft immer erst einmal ein Blick in den zugeh\u00f6rigen Rechtstext. Artikel 6<\/a>, Absatz 1 der DSGVO erkl\u00e4rt Datenverarbeitung als rechtm\u00e4\u00dfig, wenn eine der folgenden Bedingungen erf\u00fcllt ist:<\/p>\n a) Einwilligung:<\/strong> Der User ist mit dem Erheben seiner Daten einverstanden.<\/p>\n b) Vertrag:<\/strong> Das Erheben der Daten ist notwendig, um (vor)vertragliche Ma\u00dfnahmen durchzuf\u00fchren.<\/p>\n c) Rechtliche Pflichten:<\/strong> Daten d\u00fcrfen gesammelt werden, wenn der Verantwortliche damit rechtlichen Pflichten nachkommt \u2013 ein aktuelles Beispiel ist hier zum Beispiel das Ausf\u00fcllen der Zettelchen zur Kontaktverfolgung.<\/p>\n d) Interessen:<\/strong> Die Daten werden ben\u00f6tigt, wenn damit lebenswichtige Interessen der betroffenen Person gesch\u00fctzt werden sollen.<\/p>\n e) \u00d6ffentliche Aufgaben:<\/strong> Um ihre Aufgaben zu erf\u00fcllen, d\u00fcrfen Beh\u00f6rden Daten nat\u00fcrlich erheben und verarbeiten.<\/p>\n f) Berechtigtes Interesse:<\/strong> Daten d\u00fcrfen au\u00dferdem erhoben werden, wenn damit ein berechtigtes Interesse des Verantwortlichen verfolgt werden kann \u2013 zum Beispiel, um die Sicherheit einer Webseite oder deren Performance zu steigern.<\/p>\n \u00dcberlegen Sie jetzt kurz: Welche dieser sechs Punkte sind f\u00fcr Webseitenbetreiber eigentlich relevant? Richtig \u2013 solange kein Online-Shop verkn\u00fcpft ist, d\u00fcrfte es mit a und f getan sein. Laut DSGVO sind Hinweise auf Cookies (oder Consent Banner, wie es tats\u00e4chlich hei\u00dft) damit nicht immer notwendig. Warum? Das erfahren Sie gleich. Zun\u00e4chst kl\u00e4ren wir jedoch, woher dieses Missverst\u00e4ndnis \u00fcberhaupt kommt, man brauche immer die Einwilligungsbox.<\/p>\n Grund daf\u00fcr ist das sogenannte \u201eCookie-Urteil\u201c des Europ\u00e4ischen Gerichtshofs vom Oktober 2019. Darin hatte der EuGH entschieden, dass dem Einsatz von Cookies<\/a> zugestimmt werden muss \u2013 wenn sie einer Einwilligung bed\u00fcrfen. Und genau da liegt der Hase im Pfeffer.<\/p>\n Das Urteil (und auch das darauffolgende Urteil des Bundesgerichtshofs) bezieht sich n\u00e4mlich nur auf Cookies, die gem\u00e4\u00df DSGVO einer Einwilligung nach Buchstabe<\/strong> a<\/strong> bed\u00fcrfen. Somit fallen alle Dienste raus, die allein durch berechtigtes Interesse gerechtfertigt werden. Zum besseren Verst\u00e4ndnis:<\/p>\n Oft hilft es also, sich einmal n\u00e4her zu informieren, anstatt sicherheitshalber alle Ma\u00dfnahmen zu fahren. Umgekehrt sehe ich h\u00e4ufig, dass auf Webseiten in den Datenschutzhinweisen f\u00fcr einen Dienst die Rechtsgrundlage 6-f genannt ist, aber \u00fcber das Consent-Banner die Einwilligung nach 6-a eingeholt wird. Aus meiner Sicht ein Versto\u00df gegen den Grundsatz einer transparenten Verarbeitung nach Treu und Glauben. Sie k\u00f6nnen als Grund Einwilligung oder<\/em> berechtigtes Interesse nennen \u2013 nicht jedoch beides!<\/p>\n Im Dezember 2021 ist das Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG)<\/a> in Kraft getreten. Das TTDSG ist eine Erweiterung der DSGVO. Sie finden hier nichts Neues zum datenschutzkonformen Cookie-Einsatz. Stattdessen regelt es die Rechtslage etwas klarer. \u00a7 25 Abs. 1 TTDSG<\/a> schreibt vor:<\/p>\n \u201eDie Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zul\u00e4ssig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Die Information des Endnutzers und die Einwilligung haben gem\u00e4\u00df der Verordnung (EU) 2016\/679 zu erfolgen.\u201c <\/em><\/p>\n Auf Deutsch hei\u00dft das: Mit versteckten Optionen zum Ablehnen oder Phrasen wie \u201eMit der weiteren Nutzung stimmen Sie der Nutzung von Cookies zu\u201c ist jetzt endg\u00fcltig Schluss. Wenn Sie Cookies auf Ihrer Webseite nutzen, d\u00fcrfen Sie die erst aktivieren, wenn der Nutzer aktiv und informiert zustimmt. Umgekehrt m\u00fcssen Nutzer Ihre Webseite auch besuchen d\u00fcrfen, wenn sie optionale Cookies ablehnen. Eine Ausnahme bilden auch hier \u2013 \u00e4hnlich wie bei der DSGVO \u2013 unbedingt erforderliche Cookies.<\/p>\n Das TTDSG sagt ziemlich rigoros, dass s\u00e4mtliche Cookies nur mit Einwilligung arbeiten d\u00fcrfen. Davon ausgenommen sind die unbedingt erforderlichen (notwendigen) Cookies. Diese Vorgabe gilt selbst dann, wenn gar keine personenbezogenen Daten verarbeitet werden. Das berechtigte Interesse ist dann lediglich noch die Rechtsgrundlage der DSGVO, den Consent (die Einwilligung) ben\u00f6tigen Sie aber aufgrund des eben beschriebenen \u00a725 TTDSG.<\/p>\n F\u00fcr Ihre Webseite hei\u00dft das also: Ein Cookie-Banner bzw. Consent-Manager ist nur dann nicht verpflichtend, wenn Sie<\/p>\n Sie wollen jetzt nachsehen, ob Ihre Hinweise auf Cookies der DSGVO entsprechen? Dann empfehle ich Ihnen diese Schritte f\u00fcr eine datenschutzkonforme Webseite:<\/p>\n Wenn Sie nun festgestellt haben, dass Sie um ein Consent Banner nicht herumkommen, habe ich einige Tipps f\u00fcr Sie.<\/p>\n Achten Sie bitte darauf, dass die Box einwandfrei funktioniert. Einwilligungspflichtige Dienste d\u00fcrfen laut DSGVO wirklich nur dann aktiviert werden, wenn Nutzer aktiv das H\u00e4kchen gesetzt haben. Ein vorab von Ihnen angekreuztes K\u00e4stchen, welches lediglich best\u00e4tigt werden muss, reicht nicht aus. Pr\u00fcfen Sie, ob die Texte Ihres Consent Banners rechtskonform sind und ob Nutzer die M\u00f6glichkeit haben, ihre Einwilligung jederzeit zur\u00fcckzuziehen.<\/p>\n Haben Sie das alles abgehakt, sind Sie in Sachen Cookies auf der richtigen Spur!<\/p>\n Ich hoffe, mit diesem Beitrag sind Sie nun etwas gefestigter im Umgang mit Cookies. Sicher, die DSGVO enth\u00e4lt eine Menge neuer Regelungen, die viele Unternehmen vor eine echte H\u00fcrde stellen. Oft lohnt es sich jedoch, einmal etwas genauer nachzuforschen und dann zu erkennen, was wirklich z\u00e4hlt. Auf meinen Datenschutz-Blog finden Sie noch zahlreiche weitere aufschlussreiche Beitr\u00e4ge zur DSGVO-konformen Webseite<\/a>.<\/p>\nGrundlagen verstehen: Das sagt die DSGVO zur Datenerhebung durch Cookies<\/h2>\n
Das \u201eCookie-Urteil\u201c hat so einige Webseiten-Betreiber gr\u00fcndlich verwirrt<\/h2>\n
\n
Auch das neue TTDSG sagt: Der Cookie-Hinweis ist nicht immer notwendig<\/h2>\n
Wann ist kein Cookie-Banner notwendig?<\/h2>\n
\n
Diese Schritte sollten Sie jetzt gehen, um Ihre Webseite zu pr\u00fcfen<\/h2>\n
\n
Cookies und DSGVO: Nicht so kompliziert, wie es scheint<\/h2>\n