EU-Cookie-Richt­li­nie in Deutsch­land: Alle Re­ge­lun­gen im Überblick

Das Speichern nut­zer­re­le­van­ter Daten ist dank der Cookie-Richt­li­nie der EU nur erlaubt, wenn die User darin ein­wil­li­gen. Das so­ge­nann­te Opt-in-Verfahren ist demnach – zumindest bei Tracking-Cookies – ob­li­ga­to­risch. Wie sieht der aktuelle Stand der Recht­spre­chung aus?

Was besagt die Cookie-Richt­li­nie der EU?

In der Eu­ro­päi­schen Union soll die Richt­li­nie 2009/136/EG den Schutz per­so­nen­be­zo­ge­ner Daten ge­währ­leis­ten und stärken. Die Cookie-Richt­li­nie sieht im We­sent­li­chen vor, dass die Besucher und Be­su­che­rin­nen einer Website über den Einsatz von Cookies in einer leicht ver­ständ­li­chen Form in­for­miert werden und der Spei­che­rung zustimmen müssen.

Cookies dürfen laut der Richt­li­nie nur dann ungefragt gesetzt werden, wenn sie technisch notwendig sind – also z. B. um einen durch den User er­wünsch­ten Dienst um­zu­set­zen. Hierzu zählen etwa Session-Cookies zur Spei­che­rung der Sprach­ein­stel­lung, der Login-Daten und des Wa­ren­korbs oder Flash-Cookies zur Wie­der­ga­be von Me­di­en­in­hal­ten.

Für die Anwendung der meisten Cookies benötigen Website-Be­trei­ben­de jedoch die Zu­stim­mung der Be­su­che­rin­nen und Besucher. Das betrifft alle Cookies, die technisch nicht notwendig für das Funk­tio­nie­ren des In­ter­net­an­ge­bots sind. Vor allem Werbe-Cookies, die für das Re­tar­ge­ting genutzt werden, aber auch Analyse- und Social-Media-Cookies gehören hierzu.

Inhalte der aktuellen EU-Cookie-Richt­li­nie

Die Eu­ro­päi­sche Union schützt mit der Cookie-Richt­li­nie die per­so­nen­be­zo­ge­nen Daten der In­ter­net­nut­ze­rin­nen und -nutzer. Grund­sätz­lich wird hierbei zwischen technisch not­wen­di­gen und nicht not­wen­di­gen Cookies un­ter­schie­den:

1. Technisch not­wen­di­ge Cookies: Zur not­wen­di­gen Da­ten­spei­che­rung gehören Cookies, die für die Funk­tio­nen einer Website zwingend er­for­der­lich sind. Das meint etwa das Speichern von Login-Daten, des Wa­ren­korbs oder der Sprach­aus­wahl durch so­ge­nann­te Session-Cookies (die beim Schließen des Browsers gelöscht werden).
2. Technisch nicht not­wen­di­ge Cookies: Als nicht not­wen­di­ge Cookies werden dagegen Text­da­tei­en angesehen, die nicht allein der Funk­ti­ons­fä­hig­keit der Website dienen, sondern auch andere Daten erheben. Dazu zählen folgende:

• Tracking-Cookies, die Daten wie z. B. den Standort von In­ter­net­nut­ze­rin­nen und -nutzern sammeln
• Targeting-Cookies, die Wer­be­an­zei­gen an den In­ter­net­nut­zer anpassen
• Analyse-Cookies, die über das Verhalten von In­ter­net­nut­zern auf einer Website aufklären
• Social-Media-Cookies, die eine Website mit Platt­for­men wie Facebook, Twitter und Co. ver­knüp­fen

Not­wen­di­ge Cookies dürfen laut EU-Cookie-Richt­li­nie von Anfang an gesetzt werden, also auch ohne vorherige Zu­stim­mung durch den User. Dem­ge­gen­über müssen Website-Be­su­chen­de ein­wil­li­gen, bevor die Cookies nicht not­wen­di­ge Daten speichern. Somit verlangt die EU-Cookie-Richt­li­nie nach all­ge­mei­nem Ver­ständ­nis eine so­ge­nann­te Opt-in-Lösung für nicht not­wen­di­ge Cookies. Cookies werden in diesem Fall nicht von Beginn an gesetzt, sondern erst, wenn der User der Da­ten­spei­che­rung zustimmt.

Wie Deutsch­land mit den Vorgaben der EU-Cookie-Richt­li­nie umgeht

In Deutsch­land wurde das EU-Cookie-Gesetz bislang nicht eigens mit einem neuen Gesetz umgesetzt. Der Grund: Die Bun­des­re­gie­rung sieht die Richt­li­nie mit dem Te­le­kom­mu­ni­ka­ti­ons-Te­le­me­di­en-Da­ten­schutz-Gesetz (TTDSG) als aus­rei­chend umgesetzt an. Das Gesetz bündelt alle da­ten­schutz­re­le­van­ten Vorgaben aus dem Te­le­me­di­en­ge­setz und dem Te­le­kom­mu­ni­ka­ti­ons­ge­setz und setzt gleich­zei­tig die e-Privacy-Richtline (2002/58/EG) in na­tio­na­les Recht um.

Das TTDSG schreibt vor, dass das Sichern und der Zugriff auf Daten von In­ter­net­nut­ze­rin­nen und -nutzern erst gestattet sind, wenn diese DSGVO-konform zu­ge­stimmt haben. Ausnahmen gelten in Si­tua­tio­nen, in denen die Über­tra­gung einer Nachricht über ein öf­fent­li­ches Te­le­kom­mu­ni­ka­ti­ons­netz oder die Ein­rich­tung eines erbetenen Te­le­me­di­en­diens­tes vor­ge­nom­men wird.

Was sind Cookies und welche Daten sammeln sie?

Cookies sind Text­da­tei­en, die der Browser beim Aufrufen einer Webseite auf dem Computer des Nutzers ablegt. Sie speichern Daten zum Besuch von Websites und erhöhen damit deren Be­nut­zer­freund­lich­keit: Zum Beispiel merkt sich Ihr Browser Login-Daten und Sprach­ein­stel­lun­gen, die Sie dann nicht ständig aufs Neue eingeben müssen. Dem nütz­li­chen Aspekt gegenüber steht die Kritik, dass Cookies mit dem Da­ten­schutz oft nicht vereinbar sind. So werden viele Cookies ein­ge­setzt, um bestimmte Aspekte des Surf­ver­hal­tens auf­zu­zeich­nen, durch die z. B. per­so­na­li­sier­te Werbung im Browser möglich wird. Vor allem Tracking- und Targeting-Cookies sind Da­ten­schüt­zern häufig ein Dorn im Auge.

Ein Cookie enthält nor­ma­ler­wei­se eine Angabe über die Le­bens­dau­er der Textdatei sowie eine zufällig ge­ne­rier­te Nummer, über die Ihr Computer wie­der­erkannt wird. In der Regel erfolgt die Da­ten­spei­che­rung von Cookies an­ony­mi­siert. Per­so­nen­be­zo­ge­ne Daten können nur dann gesammelt werden, wenn die ent­spre­chen­de Seite ein Login erfordert.

Wie Sie ge­spei­cher­te Cookies in Ihrem Browser löschen können, zeigen wir Ihnen in diesem Video:

Zur Anzeige dieses Videos sind Cookies von Dritt­an­bie­tern er­for­der­lich. Ihre Cookie-Ein­stel­lun­gen können Sie hier aufrufen und ändern.

Cookies und Da­ten­schutz: Was bringt die Zukunft?

Seit Jahren versucht die EU mit der ePrivacy-Ver­ord­nung ein­heit­li­che Regeln zu schaffen, die somit auch für Website-Be­trei­ben­de in Deutsch­land relevant wären. Ob die Ver­ord­nung, die ei­gent­lich gemeinsam mit der neuen DSGVO ver­ab­schie­det werden sollte, tat­säch­lich umgesetzt wird, steht jedoch in den Sternen.

Solange die ePrivacy-Ver­ord­nung nur ein Ge­dan­ken­kon­strukt ist, fallen Cookies aber zumindest unter den Ein­fluss­be­reich der in Kapitel 1 der DSGVO de­fi­nier­ten per­so­nen­be­zo­ge­nen Daten – sofern sie Daten erfassen, die einen User auf ir­gend­ei­ne Weise (Kenn­num­mer, User­pro­fil etc.) iden­ti­fi­zier­bar machen.

Bitte beachten Sie den recht­li­chen Hinweis zu diesem Artikel.