Neues Cookie- und Datenschutzgesetz kommt am 1. Dezember

„Wir wollen ein Ende der Cookie-Banner”, heißt es in einer Pressemitteilung der CDU/CSU-Bundestagsfraktion vom März 2021. Hintergrund waren die Beratungen im Bundestag über ein neues Gesetz mit dem eingängigen Namen Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG). Am 20. Mai hat der Bundestag dieses neue Gesetz angenommen, die Zustimmung des Bundesrates wird am 28. Mai erwartet und ab 1. Dezember 2021 wird es in Kraft treten. 

Ist das Ende der Cookie-Banner ab Dezember in Sicht, wofür sich die konservative Regierungsfraktion anscheinend so eingesetzt hat? Wahrscheinlich nicht. Denn im Grunde schreibt das neue Gesetz nur fest, was aktuell sowieso schon Praxis ist. Doch es gibt eine wichtige Neuerung: Künftig sollen Nutzer ihre Einwilligung für das Setzen von Cookies auch über Personal Information Management Systems (PIMS) und Browservoreinstellungen geben können. 

Über 10 Jahre zu spät setzt Deutschland EU-Recht richtig um

Nachdem es in den vergangenen Jahren zu einigen Gerichtsverhandlungen vor dem Bundesgerichtshof (BGH) und dem Europäischen Gerichtshof (EuGH) kam, wurde klar, dass Deutschland Artikel 5 Absatz 3 der europäischen E-Privacy-Richtlinie nie richtig umgesetzt hat. Diese Regel besagt, dass eine aktive Einwilligung der Nutzer zum Setzen von Cookies notwendigerweise eingeholt werden muss. 

In Deutschland war das bisher nicht eindeutig in einem Gesetz festgeschrieben, obwohl die EU-Richtlinie aus dem Jahr 2009 stammt. Nach den Urteilen von BGH und EuGH wurde eine unmissverständliche Umsetzung in nationales Recht aber unausweichlich. Um dem Datenschutz eine gesammelte Anlaufstelle zu schaffen, werden im neuen TTDSG die bisherigen Datenschutzvorschriften aus dem Telemedien- und dem Telekommunikationsgesetz zusammengeführt und um weitere, neue Regelungen ergänzt. 

Die neuen Regelungen zur Cookie-Einwilligung sind nicht neu

Und so stehen in § 24 TTDSG die „neuen” Regelungen zum „Schutz der Privatsphäre bei Endeinrichtungen” – also beim Setzen von Cookies auf Endgeräten. Hier wird klargestellt, was in der Praxis schon seit mehr als zwei Jahren gemacht wird: Cookies dürfen nur gesetzt werden, „wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat”. Die Information muss nach den Vorgaben der DSGVO erfolgen. Ausnahmen gibt es nur für Cookies, die für die Übertragung einer Nachricht unerlässlich sind oder wenn ein Cookie „unbedingt erforderlich ist”, um einen „vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung” zu stellen. 

Neu ist an diesem Paragraphen also nur, dass er jetzt keinen Anlass mehr zur Diskussion über die Richtlinienumsetzung bietet. Aber an dem Status Quo und der unendlichen Flut an Cookie-Bannern ändert sich hierdurch nichts. Durch diese Regelung alleine wird das von der CDU/CSU-Fraktion beschworene Ende der Cookie-Banner also sicherlich nicht zur Realität. 

Der Lichtblick für alle Genervten: PIMS

Nach einigem Hin und Her wird im TTDSG der Weg für Personal Information Management Systems – kurz PIMS – frei gemacht. Bereits im allerersten Referentenentwurf des BMWi waren solche Dienste, mit denen man persönliche Informationen verwalten kann, vorgesehen. Sie wurden im Regierungsentwurf dann zwar gestrichen, aber haben es am Ende doch in das Gesetz geschafft.

Darauf bezieht sich auch die CDU/CSU-Fraktion in ihrer Pressemitteilung zum Ende der Cookie-Banner. Die Idee hinter den PIMS ist nämlich, dass Nutzer in einem Programm angeben können, ob, wo und unter welchen Voraussetzungen sie ihre Einwilligung oder Ablehnung zum Setzen von Cookies geben. Das PIMS kann diese Anweisung der Nutzer dann automatisch und im Hintergrund auf den Webseiten weitergeben und die richtigen Häkchen setzen – Cookie-Banner wären dann obsolet. Browser sollen diese Einstellungen dann auch berücksichtigen. Noch gibt es die PIMS-Dienste aber nicht. 

Die Bundesregierung wird im TTDSG (§ 26 Abs. 2) dazu ermächtigt, in einer Verordnung die Anforderungen für solche Dienste festzulegen. Sie sollen von Datenschutzbehörden geprüft und zugelassen werden und außerdem keine wirtschaftlichen Eigeninteressen von einer Einwilligung in Cookies verfolgen. Bis eine solche Rechtsverordnung der Regierung Realität wird, könnte es aber noch Monate bis Jahre dauern. Kurz- und mittelfristig werden also doch die Cookie-Banner das Mittel der Wahl bleiben. 

Was wird sonst noch im TTDSG geregelt? 

Das TTDSG regelt alle möglichen Datenschutzvorgaben in der Kommunikation. Neu hinzugefügt werden Regelungen, die etwa das unbemerkte Abhören oder unbemerkte Aufnehmen von Bildaufnahmen verbieten. So sollen versteckte Mikrofone und Kameras in Produkten verhindert werden. Auch die Nutzung von Standortdaten durch Telekommunikationsdienste und andere wird eingeschränkt und soll nur noch möglich sein, wenn die Daten anonymisiert und zur Bereitstellung eines Dienstes notwendig sind. Unzulässige Werbetelefonie und das unerlaubte Unterdrücken einer Rufnummer bei Werbeanrufen werden ebenfalls verboten. 

Bußgelder bis zu 300.000 Euro

Bei Verstößen gegen die Regelungen des TTDSG, auch im Bereich der Cookies, handelt es sich um Ordnungswidrigkeiten, die mit Bußgeldern bis zu 300.000 Euro geahndet werden können. Auch wenn die Hoffnungen groß waren und manche schon das Ende der Cookie-Banner vor Augen hatten, ist das korrekte Einholen einer Einwilligung zur Cookie-Nutzung also weiterhin unerlässlich. Und derzeit (und solange es keinen nennenswerten Fortschritt bei der europäischen E-Privacy-Verordnung gibt) geht das nur über ein korrektes Cookie-Management-Tool.