Einwilligungsmanagement: Kommt jetzt die „Cookie-Reform“?

Vor knapp einem Jahr tauchte bereits ein Entwurf für eine Verordnung zu sogenannten PIMS auf, den Personal Information Management Services. Dabei geht es um Dienste, die den auf vielen Websites auftauchenden Cookie-Bannern den Gar ausmachen könnten. Nachdem der Entwurf geleakt wurde, war es um das Thema allerdings ruhig geworden.

Jetzt hat das Bundesministerium für Digitales und Verkehr erneut einen Referentenentwurf vorgelegt.

Einwilligung für Cookies & Co. – Worum geht es überhaupt?

Die richtigen Spracheinstellungen, das Speichern von Warenkörben oder die Messung von Reichweite und individualisierte Werbung, das sind nur einige Beispiele für Situationen, in denen Website-Betreiber Cookies einsetzen. Die kleinen Textdateien werden auf dem Endgerät eines Nutzers gespeichert und können dort auch wieder abgerufen werden. Das macht die Wiedererkennung eines Besuchers möglich und kann so etwa dafür sorgen, dass er im Warenkorb eines Shops die Produkte wiederfindet, die er bei seinem letzten Besuch dort hineingelegt hat. 

Vollkommen unabhängig davon, ob bei diesen Vorgängen personenbezogene Daten verarbeitet werden, braucht es allerdings grundsätzlich die Einwilligung des jeweiligen Nutzers. Eine Ausnahme gibt es hierbei praktisch nur im Bereich der „unbedingten Erforderlichkeit“. Man kann also dann auf die Einwilligung verzichten, wenn die Nutzung des Cookies für den Anbieter unbedingt erforderlich ist, damit dieser den „vom Nutzer ausdrücklich gewünschten Telemediendienst“ zur Verfügung stellen kann. Auf Tracking- und Werbe-Cookies von Drittanbietern trifft das allerdings in aller Regel nicht zu, da sie für die eigentliche Funktion der Website nicht notwendig sind. 

Da viele Website-Betreiber aus unterschiedlichen Gründen dennoch auch zu solchen, nicht unbedingt notwendigen Diensten greifen, finden sich auf etlichen Websites die sogenannten Cookie-Banner bzw. Consent Tools wieder – die allzu oft als nervig empfunden werden, weil sie sich über die Website schieben, eine Menge Informationen beinhalten und Reaktionen einfordern. Aber auch die Verwender sind häufig nicht besonders glücklich damit. 

Einwilligungsverwaltungsverordnung: Alles anders mit „PIMS“?

PIMS, oder einfach Dienste zur Einwilligungsverwaltung, könnten dieses Phänomen verschwinden lassen. Der Gedanke ist folgender: Statt auf jeder Website einzeln immer wieder anzugeben, ob und welche Einwilligungen man erteilt, nutzt ein Website-Besucher hier einfach eine entsprechende Software-Lösung, die seine Einwilligungseinstellungen verwaltet. Beim Besuch der Website werden sie dann automatisch übermittelt. Ein Cookie-Banner muss so dann nicht mehr ausgespielt werden. 

Die Möglichkeit für solche Lösungen ist im TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) vorgesehen. Dort sind allerdings nur die groben Rahmenbedingungen geregelt. Genauer ausgestaltet werden müsste das Prozedere durch eine Rechtsverordnung. Bei dem Entwurf der „Einwilligungsverwaltungsverordnung“ (EinwV) geht es nun genau darum. 

Anerkannte Dienste: nutzerfreundlich und wettbewerbskonform

Für Website-Besucher soll das Thema Cookies damit nutzerfreundlicher werden, aber auch für Website-Betreiber kann es Vorteile geben. Einwilligungen können wirksam und nachweisbar erhalten werden, potenzielle Kunden kommen nicht schon latent angenervt zur eigentlichen Website und auch der technische bzw. organisatorische Aufwand könnte sich theoretisch in Grenzen halten. Noch dazu können sich Anbieter von Telemedien, also etwa Website-Betreiber, laut dem aktuellen Entwurf auch dagegen entscheiden, Einwilligungen mittels solcher anerkannter Dienste einzuholen und stattdessen weiter ihre Cookie-Banner ausspielen. 

Im letzten Entwurf war die Lage noch eine andere: Hat ein Nutzer Einstellungen zur Einwilligung vorgenommen, sollte das für Website-Betreiber verbindlich sein. Auch eine erneute Aufforderung zur Einwilligung hätte es erstmal nicht geben dürfen – ein Website-Betreiber hätte ein „Nein“ also respektieren müssen. 

Für Website-Betreiber freiwillig?

Der aktuelle Entwurf zeigt sich hier anscheinend wirtschaftsfreundlicher: Hat ein Nutzer noch keine Einwilligungseinstellungen getroffen oder sie in der Vergangenheit abgelehnt, soll ein Website-Betreiber grundsätzlich trotzdem nochmal nach der Einwilligung fragen dürfen, also etwa dennoch das Cookie-Banner ausspielen können. Vorgesehen ist hier, dass der Nutzer dann aber auf die Möglichkeit hingewiesen wird, seine Einstellung auch im Einwilligungsverwaltungsdienst ändern zu können (vgl. § 15 Abs. 3 EinwV-Entwurf). Lediglich in der Begründung zum Entwurf heißt es „Kann der Anbieter von Telemedien erkennen, dass der Endnutzer die Einwilligungsabfrage in der Vergangenheit ausdrücklich abgelehnt hat, soll diese Entscheidung berücksichtigt werden“. Verbindlich ist die Aussage der Begründung insofern allerdings nicht unmittelbar.

Gesetzt, dem ist alles tatsächlich so, könnten Website-Betreiber damit trotz einer gespeicherten Ablehnung im Einwilligungsdienst doch noch an eine Einwilligung kommen. Besonders zuträglich wäre das der Nutzerfreundlichkeit dann allerdings wohl weniger. 

Ohnehin handelt es sich bislang aber ausschließlich um einen Referentenentwurf, der auch noch nicht von der Bundesregierung beschlossen worden ist. Zunächst holt das Bundesministerium noch bis zum 14. Juli 2023 Meinungen von Ländern, Fachkreisen und Verbänden ein.