Bereits am 25. Mai lief die Frist zur Umsetzung der sogenannten "Cookie-Richtlinie" der EU aus. Die 2009 verabschiedete Richtlinie sieht unter anderem vor, dass Cookies grundsätzlich nur noch mit Zustimmung des Internetnutzers gesetzt werden dürfen. Eine Umsetzung in deutsches Recht ist bislang aber nicht erfolgt.
Was bedeutet der Fristablauf für Online-Händler?
Hintergründe der Richtlinie
Mit der im November 2009 vom EU-Parlament beschlossenen Richtlinie (2009/136/EG) soll in den Mitgliedstaaten unter anderem eine Stärkung des Schutzes der Privatsphäre von Internetnutzern durch mehr Kontrollmöglichkeiten beim Einsatz von Cookies erreicht werden, weshalb die Richtlinie schnell den Beinamen "Cookie-Richtlinie" erhielt.
Während Cookies meist dazu dienen, das Surfen im Internet zu vereinfachen und bestimmte Funktionen auf Webseiten zu ermöglichen, können sie auch dazu eingesetzt werden, einen Internetbrowser über längere Zeiträume wiederzuerkennen.
Diese sogenannten Tracking-Cookies ermöglichen die Erstellung von Bewegungs-, Nutzungs- und Interessenprofilen und werden vor allem zur Webanalyse und von Online-Werbenetzwerken zur zielgerichteten Auslieferung von Werbung eingesetzt. Das Tracking läuft dabei meist im Hintergrund und ohne Wissen des Nutzers ab.
Cookies nur noch mit Einwilligung
Die EU erkannte in dem Tracking von Internetnutzern mit Hilfe von Cookies eine Gefährdung der Privatsphäre und leitete daraus das Erfordernis einer informierten Einwilligung für das Setzen solcher Cookies ab.
Am 25. November 2009 beschloss das Parlament daher:
"Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat."
Über das Ziel hinaus?
Vom Wortlaut dieser Regelung scheinen aber nicht nur Tracking-Cookies erfasst zu sein, sondern sämtliche Cookies, unabhängig von deren Funktion und Inhalt.
Eine Ausnahme vom Einwilligungserfordernis sieht die Richtlinie nur für den Fall vor, dass die Cookie-Speicherung
"(...) unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann."
Neben der Frage, wann ein Cookie "unbedingt erforderlich" ist, stellt sich hier allerdings die Frage, ob man mit einem generellen Einwilligungserfordernis für nicht erforderliche Cookies nicht ein wenig über das Ziel hinausgeschossen ist.
Möglicher Spielraum bei der Auslegung
Andererseits ist hier von einer "Speicherung von Informationen oder der Zugriff auf Informationen" die Rede, wobei der Begriff "Informationen" möglicherweise so ausgelegt werden könnte, dass damit nur personenbezogene Daten gemeint sind.
Die Richtlinie hätte dann in Deutschland im Grunde keine größeren Auswirkungen, da die Speicherung personenbezogener Daten in Cookies bereits nach geltender Gesetzeslage nur mit Einwilligung oder gesetzlichem Erlaubnistatbestand zulässig ist.
Fasst man hingegen unter den Begriff "Informationen" jegliche Art von Daten, unabhängig von einer Personenbeziehbarkeit, dann müsste tatsächlich unabhängig vom Cookie-Inhalt immer eine Einwilligung eingeholt werden.
Ausgestaltung der Einwilligung
Raum für Spekulationen und verschiedene Gestaltungsmöglichkeiten bietet die Richtlinie auch hinsichtlich der Ausgestaltung der Einwilligung. So sehen die Erwägungsgründe zwar die Möglichkeit einer Einwilligung über Browser-Einstellungen ausdrücklich vor und es ist eine benutzerfreundliche Umsetzung der Anforderungen gefordert.
Fraglich bleibt aber, wie der Gesetzgeber dies letztlich umsetzt und ob dann zum Beispiel in jedes Cookie einzeln eingewilligt werden muss oder ob die Einwilligung auch zentral für einen bestimmten Webauftritt oder sogar einmalig und zentral über eine Einstellung des Browsers erteilt werden kann.
Bundesregierung wartet ab
Die Bundesregierung hat mit der Umsetzung der Richtlinie offenbar ganz bewusst abgewartet und scheint noch Lösungsansätze auf anderen Ebenen, insbesondere von den betroffenen Branchen, zu erwarten.
So führte sie noch Anfang des Jahres in einem Gesetzentwurf zur Novellierung des Telekommunikationsgesetzes (TKG), mit dem andere Teile der Richtlinie 2009/136/EG in nationales Recht umgesetzt werden, aus:
"Einzelfragen der Umsetzung der Änderung von Art. 5 Abs. 3 der Richtlinie 2002/58/EG sind derzeit Gegenstand umfangreicher Konsultationen auf europäischer Ebene, die auch Selbstregulierungsansätze der betroffenen Werbewirtschaft umfassen. Das Ergebnis dieses Prozesses wird vor einer Entscheidung über weitergehenden gesetzgeberischen Handlungsbedarf zunächst abgewartet."
An einer Umsetzung der Richtlinie wird jedoch kein Weg vorbei führen. Die EU hat wegen des Fristablaufes bereits mit Klage gedroht.
Folgen des Fristablaufs
Der Fristablauf für die Umsetzung der Richtlinie ist zunächst einmal nur für den Gesetzgeber problematisch.
Eine EU-Richtlinie entfaltet nur dann unmittelbare Wirkung, wenn die Richtlinienbestimmung inhaltlich so genau und konkret gefasst ist, dass sie sich zu einer unmittelbaren Anwendung eignet und wenn sie keine unmittelbare Verpflichtung für einen Einzelnen beinhaltet.
Diese Anforderungen für eine unmittelbare Anwendung werden von der Cookie-Richtlinie jedoch nicht erfüllt.
Was bedeutet das für Online-Händler?
Solange es kein nationales Gesetz zur Umsetzung der Richtlinie gibt, bleibt erst einmal alles beim Alten. Es besteht demnach aktuell noch kein Grund, bereits irgendwelche technischen Lösungen zur Einholung der Cookie-Einwilligung zu entwickeln und in die Webseite einzubauen.
Wie auch schon bisher, sollte aber über den Einsatz von Cookies transparent in der Datenschutzerklärung des Shops informiert werden. Werden Webanalyse-Dienste eingesetzt, durch die mit Hilfe von Cookies pseudonyme Nutzungsprofile erstellt werden, ist hierüber ebenfalls transparent zu informieren und auf die Widerspruchsmöglichkeit gegen die Profilbildung hinzuweisen.
Ansonsten sollte die Berichterstattung zur Umsetzung der Cookie-Richtlinie weiterhin aufmerksam verfolgt werden. Die Bundesregierung wird früher oder später ein Gesetz auf den Weg bringen müssen. Es bleibt abzuwarten, wie dieses aussehen wird.
