Jetzt ist es raus: Deutschland hat ein Cookie-Gesetz. Nur welches?

Fangen wir in aller Kürze noch einmal ganz von vorne an: Im Mai 2011 lief die Umsetzungsfrist für die „berüchtigte“ europäische Cookie-Richtlinie (genau genommen handelt es sich dabei um Art. 5 Abs. 3 der E-Privacy-Richtlinie 2002/58/EG in der Fassung 2009/136/EG) ab, d.h. bis zu diesem Zeitpunkt hätte die Richtlinie von allen Mitgliedsstaaten der EU in nationales Recht umgesetzt werden müssen. Die Cookie-Richtlinie sollte EU-weit einheitliche Rahmenbedingungen für den Einsatz von Cookies schaffen.

Der Streit zwischen EU-Kommission und Bundesregierung

In Deutschland gibt es jedoch bis heute keine formale Umsetzung der Richtlinie. Die Bundesregierung argumentierte wiederholt, dass eine solche Umsetzung nicht erforderlich sei, weil das deutsche Recht (insbesondere das Telemediengesetz) bereits entsprechende Regelungen vorsähe. Diese Ansicht vertrat die Bundesregierung zuletzt insbesondere in einem von der EU-Kommission verschickten und vor wenigen Tagen veröffentlichten Fragebogen. Die EU-Kommission sah das bislang anders und drohte sogar mit einem förmlichen Vertragsverletzungsverfahren gegen Deutschland, also mit einer Bestrafung, weil die Richtlinie bislang nicht in nationales Recht umgesetzt worden sei. Wie vorige Woche bekannt wurde, hat sich die EU-Kommission nun aber – völlig überraschend – der Auffassung der Bundesregierung angeschlossen und geht jetzt ebenfalls davon aus, dass eine Umsetzung der Cookie-Richtlinie in deutsches Recht bereits erfolgt ist.

Ein kritischer Blick auf die Cookie-Richtlinie

Aber wie sieht die deutsche Umsetzung nun aus? Dazu äußerten sich zunächst weder die EU-Kommission noch die Bundesregierung. Es handelte sich also – böse gesagt – um eine Art „Geheimgesetz“. Nun hat die Bundesregierung auf sanften Druck (und als Reaktion auf einen Auskunftsanspruch nach dem Informationsfreiheitsgesetz) das Geheimnis gelüftet: Man geht – nach wie vor – davon aus, dass die Richtlinie durch das geltende Telemediengesetz bereits ausreichend umgesetzt sei; neue gesetzliche Regelungen seien daher nicht mehr erforderlich.

Um dieses Hin und Her zu verstehen, hilft ein Blick in die besagte Cookie-Richtlinie. Diese verlangt Folgendes:

Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat.

Die Richtlinie fordert für das Setzen von (Tracking-)Cookies also kurz gesagt eine „informierte Einwilligung“ der User im Sinne eines „Opt-In“. Die Bundesregierung hat nun ausgeführt, dass sich nach geltendem Recht eine Informationspflicht zum Einsatz von Cookies bereits aus § 13 Abs. 1 Telemediengesetz ergebe. Und eine ausdrückliche Einwilligung in die Verwendung von Cookies („Opt-In“) sei bereits in § 12 Abs. 1 Telemediengesetz vorgesehen, mit der ausnahmsweisen Zulässigkeit eines Opt-Out bei pseudonymen Daten. Damit hätte Deutschland die Cookie-Richtlinie vollständig umgesetzt.

Die Umsetzung steht bislang auf wackeligen Beinen

Wir möchten an dieser Stelle nicht in die juristischen Details abtauchen. Fest steht aber eines: Die sehr pauschalen Aussagen der Bundesregierung sind juristisch extrem wackelig und nicht überzeugend. Es ist alles andere als eindeutig, ob die existierenden deutschen Vorschriften des Telemediengesetzes bereits eine der Cookie-Richtlinie entsprechende Regelung gewährleisten.

Der wichtigste Unterschied – nicht nur für die Werbewirtschaft – ist dabei folgender: Die Cookie-Richtlinie und deren angebliche deutsche „Umsetzung“ weichen bei der Frage, wann für das Setzen von Cookies eine Einwilligung des Users im Sinne eines Opt-In erforderlich ist, stark voneinander ab. Die Cookie-Richtlinie fordert – von wenigen Ausnahmen abgesehen – ein Opt-In der User für die Speicherung und Nutzung von „Informationen“, egal ob es sich dabei um personenbezogene, pseudonyme oder anonyme Daten handelt. Nach der Cookie-Richtlinie muss daher auch für eine „cookiemäßige“ Verarbeitung von Informationen ohne Personenbezug regelmäßig ein Opt-In der User vorliegen. Nach dem geltenden deutschen Recht ist ein Opt-In dagegen nur dann erforderlich, wenn personenbezogene Daten (im Sinne des Bundesdatenschutzgesetzes) verarbeitet werden. Bei pseudonymen Daten genügt dagegen grundsätzlich ein Opt-Out (was in der Praxis insbesondere für pseudonyme Nutzerprofile für das Tracking und Targeting eine wichtige Rolle spielt).

Die derzeitige deutsche Rechtslage geht also an den Anforderungen der Cookie-Richtlinie vorbei. Warum erklärt die Bundesregierung dann aber das Gegenteil? Und viel wichtiger: Welche Auswirkungen hat dies künftig auf die Rechtsauslegung der Gerichte und Aufsichtsbehörden?

Was bedeutet das für die Zukunft von Tracking-Cookies?

Wir meinen, dass sich zumindest mittelfristig nichts ändern wird: Schon bisher waren Cookies nach Ansicht der deutschen Datenschutzbehörden zumindest im „Graubereich“ der personenbezogenen Daten. So vertreten einige Behörden schon länger die Ansicht, dass die „Cookie-ID“ personenbezogen sei – mit der Folge, dass für das Setzen zum Beispiel von Tracking-Cookies ein Opt-In des Users erforderlich wäre. Dieser Auffassung entspricht nun der Tenor der jüngsten Stellungnahme der Bundesregierung: Auch dort geht man recht pauschal davon aus, dass Cookies personenbezogene Daten erheben und verarbeiten. Im Ergebnis ändert sich also an der rechtlichen Situation in Deutschland nichts.

Dennoch könnten die geschilderten Entwicklungen wichtige praktische Auswirkungen haben: In der täglichen Praxis waren die deutschen Datenschutzbehörden im Zusammenhang mit Tracking-Cookies bislang zurückhaltend. Es herrschte eine Art „Waffenstillstand“. Ein Grund dafür war sicherlich die unklare Rechtslage. Wir können nicht ausschließen, dass sich dies nach der Stellungnahme der Bundesregierung nun ändert und zumindest einige Aufsichtsbehörden künftig tatsächlich in bestimmten Fällen ein Opt-In verlangen. Auch die Anforderungen an die Information der Nutzer im Zusammenhang mit Cookies werden möglicherweise steigen (Stichwort: Cookie-Infobanner, wie anderswo in Europa längst üblich).

Eines steht auf jeden Fall fest: Das Thema Cookies ist aus dem juristischen Winterschlaf erwacht.