Neue Cookie-Regelung im TTDSG
Die neue Regelung zur Verwendung von Cookies ist in § 24 TTDSG zu finden. In Absatz 1 der Norm heißt es, dass die Speicherung von Informationen, also die (persönlichen) Daten von Nutzern, nur zulässig ist, soweit die Betroffenen in die Speicherung ihrer Daten eingewilligt haben. Grundlage dieser Entscheidung müssen klare und umfassende Informationen über die Speicherung sein, die der jeweilige Verwender der Cookie-Technologie im Vorfeld zur Verfügung stellen muss. Der § 24 Abs. 1 TTDSG verweißt in diesem Zusammenhang auf die Vorgaben der Datenschutz-Grundverordnung (DSGVO), die bei der Information und der Einwilligung der Nutzer umgesetzt werden müssen. Gemäß der DSGVO müssen die Nutzer freiwillig und auf Grundlage von klaren Informationen einwilligen. Die Einwilligung muss zudem jederzeit widerruflich sein. In Absatz 2 der Cookie-Norm sind Ausnahmen festgelegt, wann eine solche Einwilligung nach Absatz 1 nicht erforderlich ist, um Daten speichern zu dürfen. So ist keine Einwilligung der Nutzer erforderlich, wenn die gespeicherten Informationen ausschließlich dazu verwendet werden, eine Nachricht über ein öffentliches Telekommunikationsnetz zu versenden. Zudem müssen die Anbieter von Telemediendiensten keine Einwilligung ihrer Nutzer erfragen, wenn die gespeicherten Informationen essenziell sind, um dem Nutzer den gewünschten Telemediendienst überhaupt zur Verfügung stellen zu können.
Was ist neu an § 24 TTDSG?
Aber was ist nun tatsächlich neu an der Cookie-Norm nach § 24 TTDSG? Cookie-Banner mit einer Abfragemaske zur Einwilligung in die Speicherung von Nutzerdaten (Cookie-Consent-Banner) waren auch vor dem Beschluss des TTDSG auf nahezu jeder Internetseite zu sehen. Tatsächlich setzt die Regelung den Artikel 5 Abs. 3 S. 2 der EU-ePrivacy-Richtlinie nahezu Wort für Wort um. Diese Richtlinie wurde zuletzt 2009 von der EU geändert und deren Vorgaben sollten von den EU-Mitgliedstaaten bis 2011 in Form von nationalen Gesetzen umgesetzt werden. In seinem "Cookie-II-Urteil" vom 28.05.2020 hat der Bundesgerichtshof (BGH) erklärt, dass dieser europarechtlich vorgegebene Einwilligungsvorbehalt aus § 15 Abs. 3 des Telemedien-Gesetzes (TMG) abzuleiten sei (Az. I ZR 7/16) und damit unmittelbar sowie direkt von deutschen Unternehmen bei der Verwendung von Cookies zu beachten sei. Zum Hintergrund der BGH-Entscheidung muss das vorangegangene Urteil des Europäischen Gerichtshofs (EuGH) vom 01.10.2019 erwähnt werden (Az. C 673/17). Wie der EuGH in einem Rechtsstreit zwischen dem Bundesverband der Verbraucherzentrale (vzbv) und dem Unternehmen Planet 49 entschied, muss der Betreiber einer Internetseite bei der Verwendung von Cookies die Einwilligung seiner Nutzer abfragen.
Die neue Regelung des TTDGS normiert demnach die bereits bestehende Rechtslage, sorgt in dieser Hinsicht aber durch seine konkrete Ausgestaltung für mehr Rechtssicherheit. Zudem wurden die Ausnahmetatbestände in § 24 Abs. 2 TTDSG neu in den Gesetzestext aufgenommen. Dies war bislang in § 15 Abs. 3 TMG nicht der Fall. Neu ist auch, dass nunmehr jedes internetfähige Gerät vom Anwendungsbereich des § 24 TTDSG umfasst sein soll, also neben Smartphones, Laptops und PCs, sind nunmehr auch Smarthome-Devices und dergleichen mit inbegriffen.
EU diskutiert E-Privacy-Verordnung
Gleichzeitig mit dem TTDSG soll das Telekommunikationsmodernisierungsgesetz (TKModG) in Kraft treten. Ein Entwurf zum TKModG liegt dem Bundestag bereits vor. Auf EU-Ebene wird parallel einer E-Privacy-Verordnung diskutiert. Sollte die Verordnung auf europäischer Ebene verabschiedet werden, entfalten diese Regelungen unmittelbare Geltung in den EU-Mitgliedstaaten, auch in Deutschland. Die neuen Regelungen im TTDSG würden dann verdrängt. Mit einem Inkrafttreten der E-Privacy-Verordnung ist allerdings frühestens 2023 zu rechnen.
Zusammenfassend ändert sich in Bezug auf den Einsatz von Cookie-Technologien nur der erweiterte Anwendungsbereich von § 24 TTDSG, also auch auf Smarthome-Devices. Zur Speicherung von Informationen, die durch Cookies erfasst wurden, ist die Einwilligung der Nutzer nach Vorgaben der DSGVO erforderlich - freiwillig und jederzeit widerrufbar.
