Verordnung zu „PIMS“: Kommt jetzt das Ende der Cookie-Banner?

Wirklich glücklich sind viele Betroffene, gleich ob Anbieter oder Nutzer, mit den sogenannten Cookie-Bannern nicht, die gefühlt sehr häufig beim Besuch einer Website aufploppen und nach Einstellungen und Einwilligungen verlangen. Dabei sieht das TTDSG neben der Regelung zur Einwilligung in die Nutzung von Cookies und ähnlichen Technologien eine Möglichkeit vor, die eine gesonderte Einwilligung für jede Website entfallen lassen kann – die sogenannten Personal Information Management Services, kurz PIMS. Nutzer können hier dem Prinzip nach zentral ihre Einwilligungen managen. 

Nähere Details zu dieser Möglichkeit, Einwilligungen einzuholen, soll eine Verordnung regeln. Für diese gibt es jetzt einen ersten Entwurf. 

Was sind „PIMS“?

PIMS können eine Alternative zu der gewohnten Form der Consent Tools darstellen. Die „anerkannten Dienste zur Einwilligungsverwaltung“ sollen vor allem für eine anwenderfreundlichere Praxis sorgen. Und wie sehen diese PIMS aus? 

Hier lässt sich grundsätzlich so viel sagen: Während durch Consent Tools, wie sie jetzt genutzt werden, Einwilligungsbanner beim individuellen Besuch an das Endgerät des Nutzers ausgespielt werden, handelt es sich bei PIMS um eine Softwarelösung, mit welcher der Nutzer seine Präferenzen quasi vorab für eine Vielzahl von Telemedien allgemein festlegt. Denkbar ist beispielsweise, dass ein Nutzer dem Einsatz bestimmter „Werbe-Cookies“ insgesamt zustimmt, oder auch nur „Werbe-Cookies von Anbietern aus der EU“. Besucht er dann eine Website, liest diese die Einstellung aus und würde etwa kein gesondertes Einwilligungs-Banner mehr ausspielen. Möglich wäre zudem die unterschiedliche Einwilligung je nach Telemedienangebot, etwa für „Digitalangebote von Zeitungen“.

Was ist das Ziel der Einwilligungsverwaltungs-Verordnung? 

Im TTDSG selbst sind die Dienste zur Verwaltung von Einwilligungen nur knapp geregelt. Nutzerfreundlich soll das Verfahren sein und auch wettbewerbskonform. Anbieter entsprechender Lösungen dürfen kein wirtschaftliches Eigeninteresse an der Erteilung von Einwilligungen und den verwalteten Daten haben. Zudem müssen sie durch eine unabhängige Stelle anerkannt werden. Viele Details lässt das TTDSG offen und verweist dafür auf eine Verordnung, die die Bundesregierung erlassen muss. 

Hier gibt es nun einen ersten Referentenentwurf aus dem Bundesministerium für Digitales und Verkehr. Der Entwurf der Einwilligungsverwaltungs-Verordnung (EinwVO) enthält die Anforderungen, unter deren Einhaltung die Einholung der Einwilligung in der besagten nutzerfreundlichen und wettbewerbskonformen Weise möglich ist. Wiederholte Aufforderungen zur Einwilligung und die damit verbundenen Belastungen sollen so vermieden werden. Anbieter von Telemedien, wie eben etwa Website-Betreiber, sollen über die PIMS wiederum wirksame und nachweisbare Einwilligungen erhalten können und nicht diskriminiert werden. Das sagt der Entwurf zur vorgeschlagenen Lösung. 

Das könnten PIMS für Website-Betreiber bedeuten

Neben Details zur Ausgestaltung der PIMS und Anforderungen an deren Anbieter enthält der Verordnungsentwurf einige Regelungen mit Bedeutung für Anbieter von Telemedien, also etwa Website- oder Onlineshop-Betreiber. Hier einige Eckpunkte: 

• Es muss automatisiert geprüft werden, ob der Nutzer auf dem betreffenden Endgerät, bspw. seinem Laptop, Einwilligungseinstellungen per PIMS vorgenommen hat. Nutzt der Nutzer kein PIMS oder hat keine entsprechenden Einstellungen vorgenommen, kann ein Website-Betreiber natürlich dennoch an die Einwilligung kommen, indem er einfach ein Einwilligungsbanner ausspielt. 
• Hat ein Nutzer Einstellungen zur Einwilligung über ein PIMS getroffen, ist das verbindlich. Der Website-Betreiber o.ä. darf keine weitere Aufforderung zur Einwilligung an die Endeinrichtung des Nutzers senden. Hat also ein Nutzer bspw. die Einwilligung über das PIMS verweigert, darf der Website-Betreiber nicht nochmal ein Einwilligungs-Banner ausspielen, um eventuell doch noch an eine Einwilligung zu kommen. 
• Eine Ausnahme soll dem Entwurf zufolge aber für Telemedien bestehen, die sich ganz oder teilweise durch Werbung finanzieren. Im Ergebnis dürfte das die sogenannten Cookie-Walls betreffen, die man etwa von den Internetangeboten großer Tageszeitungen kennt: Hier muss entweder die nötige Einwilligung gegeben oder ein kostenpflichtiges Alternativangebot gewählt werden, um auf die Seite zugreifen zu können. Hat also ein Nutzer per PIMS die Einwilligung abgelehnt, dürfte eine entsprechende Website ihn auf eine kostenpflichtige, aber einwilligungsfreie Variante verweisen oder zur Änderung der Voreinstellungen auffordern, um Zutritt zur Website zu erhalten. Das soll dem Umstand Rechnung tragen, dass viele Dienste im Internet kostenlos für Nutzer angeboten werden, bei denen eine Refinanzierung über Werbung erfolgt. 

Einwilligungsverwaltung: Wie gehts es weiter?

Noch steht die Verordnung ganz am Anfang ihrer Karriere, und es ist wahrscheinlich, dass noch diverse Änderungen zur Sprache kommen werden. PIMS werden zwar in verschiedenen Ländern bereits genutzt, doch hierzulande muss die Verordnung erst einmal stehen, um PIMS möglich zu machen. Schließlich müssen etwaige Anbieter dieser Systeme die rechtlichen Vorgaben berücksichtigen, um überhaupt anerkannt werden zu können. 

Wann und wie PIMS praktisch bedeutend werden, hängt dann nicht nur vom Inkrafttreten der Verordnung und der Bereitstellung entsprechender Lösungen durch den Markt ab, sondern auch von der anschließenden Verbreitung und Akzeptanz unter den Internetnutzern. 

Basics: Einwilligung für Cookies & Co. per Consent Tool

Betreiber von Websites und Anbieter anderer Telemedien müssen die Einwilligungen der Nutzer einholen, wenn sie „Informationen in der Endeinrichtung des Nutzers speichern oder auf bereits gespeicherte Informationen zugreifen“ – wie beispielsweise bei der Nutzung von Cookies. Ausnahmen davon gibt es wenige; eine davon ist jene im Bereich der unbedingten Erforderlichkeit. Soweit das zumeist bekannte Grundprinzip. 

Viele Website-Betreiber jedenfalls möchten Cookies außerhalb dieser Ausnahme nutzen, beispielsweise aus Marketing-Gründen. Hier führt dann nichts daran vorbei, sich die Einwilligung des Besuchers einzuholen, bevor die Technik zum Einsatz kommt. Dafür wird zurzeit auf Consent Tools zurückgegriffen. In Form von Pop-ups oder kleinen Bannern tun sich beim Besuch der Website dann Informationstexte auf, begleitet von verschiedenen Einstellungsmöglichkeiten zur Einwilligung.