Cookie-Einstellungen
Cookie-Einwilligungen auf Webseiten bayerischer öffentlicher Stellen
1. Was sind und wie funktionieren Cookies?
Wird eine Webseite besucht, kann sie beispielsweise diese Information im jeweils genutzten Browser in einer Zeichenkette (Cookie) speichern.
Beim erneuten Besuch sendet der Browser den gespeicherten Inhalt zurück an die Webseite. Wurde beim ersten Besuch etwa eine eindeutige Nummer zugewiesen und in einem Cookie gespeichert, können Nutzerinnen und Nutzer mit Hilfe dieses Cookies wiedererkannt werden. Cookies können von der Betreiberin oder dem Betreiber der besuchten Webseite
(sogenannte First-Party-Cookies) oder von Dritten (sogenannte Third-Party-Cookies) gesetzt werden.
Sie können zu einer nutzerfreundlichen Bedienung der Webseite beitragen, indem sie beispielsweise Einstellungen der Nutzerinnen und Nutzer - wie die gewünschte Sprache oder sonstige Präferenzen - speichern. So muss die Nutzerin oder der Nutzer die Webseite nicht bei jedem Besuch erneut individuell anpassen. Zugleich ermöglichen Cookies etwa die Erstellung von Statistiken: Nutzungsprofile können angelegt und das Nutzungsverhalten kann ausgewertet werden.
Grundsätzlich unterscheidet man zwischen (technisch) notwendigen und optionalen (nicht notwendigen) Cookies.
Zu den notwendigen Cookies gehören solche, die eine Webseite erst nutzbar machen oder ausschließlich der IT-Sicherheit dienen. Dies ist bei den sogenannten Session-Cookies in der Regel der Fall.
Nicht notwendige Cookies sind vor allem solche, die das Verhalten von Nutzerinnen und Nutzern im Internet zu Marketingzwecken (dauerhaft) verfolgen (sog. Tracking-Cookies).
Gesetzliche Ausgangslage
Anbieter von Telemediendiensten (wie Webseitenbetreiber, Anbieter von Smartphone-Apps) haben beim Einsatz von Cookies nicht nur die Vorgaben des Telekommunikations- und Telemedienrechts zu beachten. Bei der Verarbeitung personenbezogener Daten sind sie als Verantwortliche im Sinne von Art. 4 Nr. 7 Datenschutz-Grundverordnung (DSGVO) auch an deren Bestimmungen gebunden.
Bereits das erstmalige Speichern von Daten mittels Cookies auf einem Endgerät bedarf nach der Rechtsprechung des Bundesgerichtshofs grundsätzlich einer Einwilligung der Nutzerin oder des Nutzers. Diese Vorgabe erfolgt aus Art. 5 Abs. 3 Richtlinie 2002/58/EG in der Fassung der Richtlinie 2009/136/EG (ePrivacy-Richtlinie).
Danach ist auch der Zugriff auf Informationen einwilligungsbedürftig, die bereits im Endgerät der Nutzerin oder des Nutzers gespeichert sind. Von diesem Erfordernis sind nach Art. 5 Abs. 3 Satz 2 ePrivacy-Richtlinie (technisch) notwendige Cookies ausgenommen. Art. 5 Abs. 3 ePrivacy-Richtlinie schützt primär die Integrität des Geräts und ist auch dann anwendbar, wenn keine personenbezogenen Daten verarbeitet werden.
Gesetzliche Neuregelung: Am 1. Dezember 2021 tritt das Telekommunikation-TelemedienDatenschutz-Gesetz (TTDSG) in Kraft. Mit § 25 TTDSG setzt der Gesetzgeber die Vorgaben von Art. 5 Abs. 3 ePrivacy-Richtlinie um und schreibt nun ausdrücklich auf nationaler Ebene die grundsätzliche Einwilligungsbedürftigkeit des Einsatzes von Cookies vor. Die derzeitige richtlinienkonforme Auslegung von § 15 Abs. 3 Telemediengesetz (TMG) wird damit bestätigt. Die Zahl der in der Praxis einzuholenden Einwilligungen dürfte sich daher nicht signifikant verändern.
Erhebt eine Webseitenbetreiberin oder ein Webseitenbetreiber Nutzungsdaten mittels Einsatzes von Cookies und übermittelt sie oder er diese gegebenenfalls an Dritte (etwa zu Trackingzwecken), bedürfen diese Verarbeitungen personenbezogener Daten jeweils einer gesonderten datenschutzrechtlichen Erlaubnis, die nicht zwingend in einer Einwilligung bestehen muss.
In der Regel stützen sich öffentliche Stellen als Webseitenbetreiberinnen und -betreiber aber auf Einwilligungen der Nutzerinnen und Nutzer (aus Datenschutzsicht: der betroffenen Personen). Die Einwilligung ist gemäß Art. 6 Abs. 1 UAbs. 1 Buchst. a DSGVO eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten.
Notwendigkeit der "Einwilligungsbanner"
Die Einwilligungsbedürftigkeit solcher Datenverarbeitungen, sei es nach der ePrivacyRichtlinie, sei es aufgrund der Datenschutz-Grundverordnung, macht nach derzeitiger Gesetzeslage den Einsatz einer Vielzahl von sog. "Einwilligungsbannern" erforderlich.
Gesetzliche Neuregelung: Das Telekommunikation-Telemedien-Datenschutz-Gesetz soll die Position der Nutzerinnen und Nutzer bei der Kontrolle über die erteilten Einwilligungen, mithin über die Verarbeitung der eigenen personenbezogenen Daten stärken. § 26 Abs. 2 TTDSG schafft hierzu eine Verordnungsermächtigung für Regelungen zur Einführung zentraler
Dienste des Einwilligungsmanagements. Gegenstand sollen Verfahren und technische
Anwendungen zur Einholung und Verwaltung der Einwilligungen sein. Ob sich solche Lösungen durchsetzen und als Mehrwert für die Nutzerinnen und Nutzer erweisen werden, bleibt abzuwarten.
Die einfachste Lösung, auf Einwilligungsbanner verzichten zu können, liegt darin, keine Cookies zu verwenden. Bereits bei der Neugestaltung von Webseiten sollte kritisch geprüft werden, wie viele und welche Cookies tatsächlich notwendig sind. Das entspricht auch dem Grundsatz der Datenminimierung (vgl. Art. 5 Abs. 1 Buchst. c DSGVO).
Anforderungen an eine Einwilligung
Eine Einwilligung muss insbesondere freiwillig (Art. 4 Nr. 11 DSGVO), informiert (Art. 4 Nr. 11 DSGVO), auf einen bestimmten Zweck (Art. 6 Abs. 1 UAbs. 1 Buchst. a DSGVO) und auf eine bestimmte Verarbeitung bezogen (Art. 4 Nr. 11 DSGVO) sowie unmissverständlich (Art. 4 Nr. 11 DSGVO) sein. Sie wirkt grundsätzlich bis zu ihrem Widerruf (Art. 7 Abs. 3 Satz 1 und 2, Abs.
4 DSGVO). Für den Einsatz der "Einwilligungsbanner" bedeutet dies insbesondere, dass o ein aktives Tun der Nutzerin oder des Nutzers, etwa durch Ankreuzen oder Anklicken eines Kästchens, vorausgesetzt wird;
keine Daten erhoben und weitergegeben werden dürfen, bevor eine Einwilligung durch die Nutzerin oder den Nutzer erteilt wurde (sog. Opt-In-Lösung);
klar und deutlich anzugeben ist, welche Daten erhoben werden, an wen (namentlich) sie gegebenenfalls weitergegeben werden und zu welchem Zweck dies geschieht;
die Ausübung des Widerrufsrechts jederzeit gewährleistet sein muss und ein Widerruf genauso einfach durchzuführen sein muss wie die Einwilligungserklärung selbst. Wird die Einwilligung widerrufen, berührt dies die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung (beispielsweise einer Datenübermittlung an Dritte) jedoch nicht, Art. 7 Abs. 3 Satz 2 DSGVO.
Schutz vor ungewolltem Cookie-Einsatz
Nähere Informationen erhalten Sie auf der Homepage des BayLfD unter https://www.datenschutzbayern.de/datenschutzreform2018/aki36.html.
Regen, den 26.10.2021 Gemeinsame Datenschutzbeauftragte
Anna Egginger