TTDSG: Neuordnung der Regelungen zum Einsatz von Cookies

Neu: Erfassung von OTT-Diensten

Aus dem bisher anzuwendenden TMG wurden die meisten Regelungen in das TTDSG übernommen, das sich an alle Telemedienanbieter richtet. Neu ist hingegen die Erweiterung der Begriffe Telekommunikationsanbieter und Telekommunikationsdienste. Zu letzteren gehören nun auch – über den Begriff der „interpersonellen Kommunikationsdienste“ – sog. Over-the-Top-Dienste (OTT-Dienste). Von der gesetzlichen Definition erfasst sind diejenigen OTT-Dienste, die über das Internet angeboten werden, ohne dass der Internetanbieter dabei beteiligt ist. Gemeint sind in erster Linie Apps von E-Mail-Diensten, Instant-Messenger und Internettelefonie-Angebote, aber auch SmartHome-Geräte, wie z.B. Glühbirnen, die über Alexa oder andere Sprachprogramme gesteuert werden.

Einwilligung gem. § 25 TDSSG als wichtigste Vorschrift

Die ausdrückliche Einwilligung für die Nutzung von Cookies und Trackingdiensten ist dabei für Telemedienanbieter weiterhin die wichtigste Vorschrift. Dieses Erfordernis besteht bereits nach der höchstrichterlichen BGH- und EuGH-Rechtsprechung zur europarechtskonformen Auslegung des – bis zum 30.11.2021 gültigen – § 15 Abs. 3 des Telemediengesetzes (vgl. dazu das Urteil des BGH vom 28.5.2020, Az.: I ZR 7/16). Nun wird die Einwilligung in dem TTDSG erstmals ausdrücklich gesetzlich festgeschrieben.

Wie zuvor benötigen die Websitebetreiber die Einwilligung der Nutzer, wenn sie Informationen in der Endeinrichtung des Endnutzers speichern oder darauf zugreifen möchten. Ausgenommen hiervon sind Cookies, die ausschließlich der Übertragung von Nachrichten über ein öffentliches Telekommunikationsnetz dienen oder die technisch zwingend notwendig sind.

Was sind technisch notwendige Cookies?

Technisch notwendige Cookies sind alle Cookies, ohne die eine Webseite nicht funktionieren würde. Nach der entsprechenden EU-Richtlinie (Art. 5 Abs. 3 Satz 2 der RL 2002/58/EG – ePrivacy-Richtlinie) sind z.B. folgende Cookies technisch notwendig:

• Session-Cookies, die bestimmte Einstellungen des Nutzers speichern (z.B. den Warenkorb, Spracheinstellungen oder Log-In-Daten);
• Flash-Cookies zur Wiedergabe von Medieninhalten;
• Cookies, die von eingebundenen Zahlungsdienstanbietern (unabhängig von einer konkreten Zahlung) gesetzt werden, sofern sie kein bestimmtes Nutzungsverhalten analysieren, sondern nur der Vorbereitung eventueller Zahlungen oder der Prüfung einer Zahlungslegitimation dienen.

Personal Information Management System (PIMS) und Single-Sign-On-Lösung

Nach § 26 TTDSG sollen in Zukunft Dienste anerkannt werden, über die Websitebesucher einmalig angeben können, wie und unter welchen Voraussetzungen sie ihre Einwilligung oder Ablehnung zum Setzen von Cookies geben möchten. Diese Informationen leitet der Anbieter solcher „Personal Information Management Services“ (PIMS) automatisch an alle Websites weiter. 

Hinweis: Damit sollen Nutzer generell mehr Kontrolle über personenbezogene Daten und den Zugriff Dritter auf Informationen erhalten.

Eine mögliche Folge wäre dann, dass Cookie-Banner für die Erteilung der Einwilligung entbehrlich wären. Dies wird aber noch einige Zeit in Anspruch nehmen, denn diese Dienste müssten zuvor anerkannt werden. Für die Anerkennung sind bestimmte Voraussetzungen notwendig (z.B.: kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung auf Seiten der Anbieter, Sicherheitskonzept des Anbieters, etc.). Ein Verfahren für die Anerkennung der Dienste muss noch festgelegt werden.

Ein Beispiel für einen solchen Dienst wird in der Gesetzesbegründung zum TTDSG genannt: Mehrere zusammengeschlossene Unternehmen organisieren eine Einrichtung. Diese bietet für die Unternehmen sog. Single-Sign-On-Lösungen an, über die Nutzer ihre Einwilligung organisieren können. Konkret heißt das: Wer sich über einen Single-Sign-On-Dienst auf seinem Rechner anmeldet, kann sich gleichzeitig bei mehreren Diensten und Anwendungen einloggen, ohne separat für jeden einzelnen Dienst seine Zugangsdaten angeben zu müssen.

Weitere Änderungen

Darüber hinaus regelt das TTDSG noch weitere Punkte, wie z.B. in § 3 TTDSG: Dieser enthält eine neue Regelung zum Fernmeldegeheimnis, mit der der Adressatenkreis erweitert wurde. Ferner ist § 4 TTDSG zu nennen, nach dem Erben nun hinsichtlich der Daten des Verstorbenen ausdrücklich zugriffsberechtigt sind.

Fazit

Mit dem TTDSG sind die datenschutzrechtlichen Vorgaben für Telemedien- und Telekommunikationsdienste übersichtlicher geworden. Inhaltlich gesehen enthält das TTDSG nur wenige Änderungen, so dass sich für viele Websitebetreiber nichts ändern dürfte. Die umständliche unionsrechtskonforme Auslegung des § 15 Abs. 3 TMG ist nun nicht mehr nötig, ebenso gehört das Nebeneinander von Regeln in unterschiedlichen Gesetzen der Vergangenheit an.

Empfehlung: Vor dem Hintergrund der nun klaren Gesetzeslage empfehlen wir neben der aktuellen Überprüfung der Einwilligungsvoraussetzungen und der Aktualität der Datenschutzerklärung darüber hinaus, einen laufenden Prozess einzurichten, mit dem sichergestellt wird, dass zukünftig sämtliche technische Änderungen bei der Einwilligung und auch in der Datenschutzerklärung berücksichtigt werden. Zu beachten ist ferner, dass auf EU-Ebene nach wie vor die sog. ePrivacy-Verordnung geplant ist; damit könnte es neue Änderungen geben, die zumindest teilweise auch das TTDSG betreffen werden.