Am 1. Dezember ist das Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG) in Kraft getreten, das die ePrivacy-Richtlinie in nationales Recht umsetzt. Das Gesetz enthält u.a. Regelungen für Webseitenbetreiber, die Cookies oder ähnliche Technologien einsetzen möchten.
Schutz der Privatsphäre bei Endeinrichtungen
Die zentrale Regelung, die Betreiber von Webseiten beachten müssen, ist § 25 TTDSG.
Nach § 25 Absatz 1 Satz 1 TTDSG ist „die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, (…) nur zulässig, wenn der Endnutzer (…) eingewilligt hat.“
Das Gesetz stellt – im Einklang mit der höchstrichterlichen Rechtsprechung – klar, dass das Gesetz bereits dann zur Anwendung kommt, wenn Informationen in der Endeinrichtung (z. B. Laptop, Smartphone oder Tablet) gespeichert oder ausgelesen werden. Das bedeutet, dass Cookies oder sonstige Technologien auch dann von der Regelung erfasst werden, wenn keine personenbezogenen Daten verarbeitet werden, also Informationen, die keine Rückschlüsse auf die Identität des Webseitenbesuchers zulassen. Damit geht die Regelung über die DSGVO hinaus. Denn Zweck der Norm ist nicht nur der Schutz von personenbezogenen Daten, sondern der Schutz vor Fremdzugriffen.
Werden die Information auf einer Endeinrichtung gespeichert oder ausgelesen, so ist nach § 25 Absatz 1 Satz 1 TTDSG die Einwilligung des Besuchers der Website notwendig. Zu beachten ist, dass es nicht nur um die Speicherung/Auslesung von Cookies geht, auch wenn dies der häufigste Anwendungsfall ist, sondern auch um andere Technologien wie:
- Web Storage: Wie ein Cookie, aber mit größerer Kapazität.
- Web-Beacons, auch Zählpixel genannt, sind kleine 1×1-Pixel-große Grafiken. Beim Zugriff auf diese Internetinhalte wird der Pixel vom Server geladen und dokumentiert den Abruf der Website.
- Browser-Fingerprinting: Beim Browser-Fingerprinting wird der Besucher anhand von Informationen wie Bildschirmauflösung, Betriebssystemversion oder installierte Schrift wiedererkannt.
Abgrenzung zur DSGVO
Beim Speichern und Auslesen von personenbezogenen Daten konkurriert das TTDSG mit der DSGVO.
Werden Cookies oder andere Technologien, die keine personenbezogenen Daten erfassen, eingesetzt, so ist § 25 TTDSG anwendbar. Möglich ist jedoch auch die Speicherung bzw. der Zugriff auf Cookies mit personenbezogenen Daten. In dem Fall ist das TTDSG vorrangig (vgl. Artikel 95 DSGVO), da es das speziellere Gesetz darstellt.
Die weitere Verarbeitung, z. B. die Bildung von Nutzerprofilen, wird vom § 25 TTDSG nicht erfasst, weshalb die Erlaubnisnormen der DSGVO zu beachten sind. In diesem Zusammenhang ist darauf hinzuweisen, dass die Verwendung von Pseudonymen z. B. in Form einer eindeutigen Identifizierungsnummer nicht dazu führt, dass kein Personenbezug vorliegt, da IDs oder Kennungen dazu genutzt werden können die einzelnen Besucher zu unterscheiden und zu adressieren.
Kommt sowohl das TTDSG als auch die DSGVO zur Anwendung, sind keine separaten Einwilligungen erforderlich. Die Besucher müssen jedoch ausreichend über die Verarbeitungen informiert werden.
Ausnahme
Nach § 25 Absatz 2 Nr. 2 TTDSG ist die Einholung einer Einwilligung entbehrlich, wenn der Dienst unbedingt erforderlich ist, um einen Dienst zur Verfügung zu stellen, den der Besucher der Website ausdrücklich wünscht. Das sind z. B. Warenkorb-Cookies oder Systeme zur Betrugsprävention. Was jedoch unter dem Begriff unbedingt erforderlich zu verstehen ist, erfahren Sie in Teil 2 unserer Reihe.
Max Macht
Volljurist