Bereits am 25. Mai lief die Frist zur Umsetzung der sogenannten “Cookie-Richtlinie” der EU aus. Eine Umsetzung in deutsches Recht ist bislang aber nicht erfolgt. Aber wie sieht die Situation in Frankreich aus? Welche Regelungen gelten dort? Lässt sich die französische Interpretation auf die in Deutschland geplanten Regelungen übertragen?
Wie kann die Einwilligung zum Setzen von Cookies aussehen?
In zwei Stellungnahmen, jeweils von der Artikel-29-Gruppe (Gruppe der europäischen Datenschutzbeauftragten) am 08.12.2011 und von der Der CNIL - französische Datenschützer- am 26.10.2011, wird klargestellt, wie die Cookie-Richtlinie und die französische Umsetzungsnorm rechtskonform angewendet werden müssen.
In Deutschland läuft gerade das Gesetzgebungsverfahren für die Umsetzung der Cookie Richtlinie. Sie sieht u.a. vor, dass Cookies grundsätzlich nur noch mit Einwilligung des Internetnutzers gesetzt werden dürfen.
Diese vorgesehene Einwilligungspflicht soll aber nicht für alle Cookies gelten, daher stellen sich die folgenden Fragen:
- Welche Cookies sind eigentlich von dieser Einwilligungspflicht betroffen?
- Wer muss die Einwilligung holen?
- Wie kann diese Einwilligung rechtskonform eingeholt werden?
Die Umsetzung der Cookie-Richtlinie in Frankreich
In Frankreich, ist die Cookie-Richtlinie bereits seit dem 24.08.2011 in den nationales Recht umgesetzt worden. Das nationale Gesetzt übernimmt den Wortlaut der Richtlinie, was die Einwilligung angeht.
Die Einwilligung muss von dem Nutzer des Online-Shops nach Erhalt einer klaren und umfassenden Information erteilt werden.
Die Einwilligungspflicht gilt nur für Cookies, die nicht unbedingt erforderlich sind, damit der Nutzer zu dem von ihm gewünschten Service Zugriff haben kann.
Einwilligung durch Browser PlugIn?
Nach Inkrafttreten des nationalen Gesetzes im August blieb unklar, wann ein Cookie unbedingt erforderlich und seine Speicherung damit nicht einwilligungspflichtig ist. Geklärt werden musste auch die Frage der Ausgestaltung der Einwilligung.
Das französische Gesetz sieht zwar dank der Lobbyarbeit des IAB (Interactive Advertising Bureau) vor, dass die Einwilligung durch passende Browser Einstellungen eingeholt werden kann, was die bisherige Praxis kaum ändert.
Auffassung der CNIL
Die französische Datenschutzbehörde CNIL hat aber kurz danach reagiert und mitgeteilt, dass in der Praxis Browser-Einstellungen nicht ausreichend seien, um eine rechtskonforme Einwilligung einzuholen. Einige Wochen später wurde die Stellungnahme von der CNIL veröffentlicht.
Welche Cookies sind betroffen?
Für Online-Shops bewertet die Stellungsnahme der CNIL als unbedingte Cookies, die zum Betrieb der Website erforderlich seien:
- die Warenkorb-Cookies
- Cookies, die der Sicherheit des Einloggens dienen,
- Session-Cookies, die z.B. die einzelnen Schritte während des Bestellprozesses bis zum Abschluss der Bestellung speichern,
- Flash-Cookies für Video- oder Audio-Ausführungen, wenn der Nutzer sich diese gewünscht hat,
- Cookies, die die Eigenschaften des Nutzers speichern, wann diese Eigenschaften erforderlich sind, um die gewünschte Leistung zu erbringen (Sprache, Währung).
Für diese Cookies muss nur eine allgemeine Information über deren Funktionen vorliegen. Eine Einwilligung ist aber nicht erforderlich.
Auf jeden Fall betroffen von der Einwilligungspflicht sind die so genannten Tracking-Cookies sowie die Cookies, die die zuletzt angesehenen Artikel in einem Shop speichern.
Wie soll die Einwilligung eingeholt werden?
Um die Einwilligung zu holen, sollte man nach dem CNIL keine Pop-Ups benutzen, da diese oft von Browsers blockiert werden. Eine rechtskonforme Lösung wäre, eine Information und Opt-In Seite vorzuschalten. Ein statisches Infobanner kann auch eingesetzt werden, um eine rechtskonforme Einwilligung zu holen. Diese Lösung wird als Vorbild von der CNIL eingesetzt.
Dauerhaftes Banner bis Nutzer antwortet
Der Besucher der Seite wird durch ein solches Banner informiert, dass die Website einen Cookie setzen möchte, der dazu dient, zum Beispiel Statistiken zu machen. Eine Opt-in Möglichkeit wird auch bereitgestellt.
Solange der Besucher nicht geantwortet hat, wird kein Cookie gesetzt und der Banner bleibt am Bildschirm. Wenn der Besucher eine Antwort abgegeben hat, wird diese Antwort in einem Cookie gespeichert. Worüber der Nutzer selbstverständlich informiert wird.
Somit muss der Website nicht bei jedem Besuch nachfragen, sondern kann die Wahl der Besucher auch für die Zukunft speichern.
Was bedeutet das für den deutschen Online-Händler?
Solange es kein nationales Gesetz zur Umsetzung der Richtlinie in Deutschland gibt, ändert sich an der Praxis für deutsche Händler nichts.
Das Gesetzgebungsverfahren wurde allerdings bereits eingeleitet. Ähnlich wie in Frankreich sieht der am 17.06.2011 vom Bundesrat vorgelegte Entwurf kaum Abweichungen von der Richtlinie vor. In Frankreich würde nach dem Wortlaut die Richtlinie die Möglichkeit einer Einwilligung durch Browser-Einstellungen umgesetzt.
Diese Möglichkeit ist in den deutschen Gesetzentwurf in Deutschland gar nicht vorgesehen, was die Frage der praktischen Umsetzung noch offen lässt. Wenn sich dieser Text durchsetzt, werden auch Unklarheiten über die praktische Umsetzung verbleiben.
Fazit
Die Interpretation der Richtlinie und des entsprechenden Umsetzungsgesetzes in Frankreich durch die CNIL ist zwar für Deutschland nicht verbindlich. Allerdings hat man damit einen ersten Anhaltspunkt, wie die Cookie-Richtlinie bei einem unserer europäischen Nachbarn verstanden wird. Fest steht jetzt schon, dass das Setzen von Cookies auch in Deutschland zukünftig nicht mehr so einfach möglich sein wird, wie heute. (gm)
