Cookies

Cookies sind kleine Textdateien, die beim Besuch einer Website auf dem Endgerät eines Nutzers gespeichert werden können. Sie ermöglichen es beispielsweise, Einstellungen zu speichern, Nutzer während einer Sitzung wiederzuerkennen oder das Nutzungsverhalten zu analysieren. Je nach Verwendungszweck können Cookies personenbezogene Daten betreffen. Für ihren Einsatz gelten insbesondere das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und gegebenenfalls die Datenschutz-Grundverordnung (DS-GVO).

Wie funktionieren Cookies?

Beim Aufrufen einer Website können kleine Datenpakete im Browser des Nutzers gespeichert werden. Diese enthalten beispielsweise eine Kennung, mit der die Website einen Browser bei weiteren Anfragen wiedererkennen kann. Besucht der Nutzer die Website erneut, können die gespeicherten Informationen ausgelesen werden.

Dadurch lassen sich beispielsweise folgende Funktionen ermöglichen:

• Sitzungsverwaltung: Nutzer bleiben während ihres Websitebesuchs angemeldet.
• Speicherung von Einstellungen: Ausgewählte Sprach- oder Darstellungsoptionen bleiben erhalten.
• Warenkorbfunktionen: Ausgewählte Produkte können während des Einkaufsvorgangs gespeichert bleiben.
• Nutzungsanalyse: Websitebetreiber können Informationen über die Nutzung ihrer Website gewinnen.
• Personalisierte Werbung: Das Nutzungsverhalten kann zur Auswahl zielgerichteter Werbeinhalte verwendet werden.

Cookies können somit sowohl für grundlegende Funktionen einer Website als auch für Analyse- und Marketingzwecke eingesetzt werden. Welche datenschutzrechtlichen Anforderungen gelten, hängt insbesondere vom jeweiligen Verwendungszweck und der konkreten Datenverarbeitung ab.

Welche Arten von Cookies gibt es?

Cookies lassen sich insbesondere nach ihrer Speicherdauer, ihrer Herkunft und ihrem Verwendungszweck unterscheiden.

Nach ihrer Speicherdauer:

• Session-Cookies: Diese Cookies werden für eine Sitzung gespeichert und üblicherweise nach dem Schließen des Browsers gelöscht. Sie ermöglichen beispielsweise die Zuordnung mehrerer Seitenaufrufe zu einer Sitzung.
• Permanente Cookies: Diese Cookies bleiben über eine Sitzung hinaus gespeichert. Sie können beispielsweise dazu dienen, Spracheinstellungen für spätere Besuche zu speichern.

Nach ihrer Herkunft:

• First-Party-Cookies: Sie werden der Domain zugeordnet, die der Nutzer gerade besucht.
• Third-Party-Cookies: Sie werden einer anderen Domain zugeordnet und können beispielsweise durch eingebundene Analyse- oder Werbedienste eingesetzt werden.

Nach ihrem Verwendungszweck:

• Technisch erforderliche Cookies: Sie unterstützen Funktionen, die für die Bereitstellung eines ausdrücklich gewünschten digitalen Dienstes unbedingt notwendig sind.
• Analyse-Cookies: Sie dienen dazu, die Nutzung einer Website statistisch auszuwerten.
• Marketing-Cookies: Sie können eingesetzt werden, um Nutzerverhalten zu erfassen und Werbung gezielter auszuspielen.
• Personalisierungs-Cookies: Sie ermöglichen es, Inhalte oder Einstellungen an bestimmte Nutzerpräferenzen anzupassen.

Diese Kategorien können sich überschneiden. Ein permanenter Cookie kann beispielsweise gleichzeitig ein First-Party-Cookie sein und für Analysezwecke verwendet werden. Für die rechtliche Bewertung ist daher nicht allein die Bezeichnung eines Cookies entscheidend, sondern insbesondere seine tatsächliche Funktion.

Wann dürfen Cookies ohne Einwilligung eingesetzt werden?

Die rechtlichen Anforderungen an das Speichern von Informationen auf Endgeräten und den Zugriff auf bereits gespeicherte Informationen ergeben sich insbesondere aus § 25 TDDDG. Nach § 25 Abs. 1 TDDDG ist hierfür grundsätzlich eine Einwilligung erforderlich.

§ 25 Abs. 2 TDDDG sieht jedoch gesetzliche Ausnahmen vor. Eine Einwilligung ist insbesondere dann nicht erforderlich, wenn die Speicherung oder der Zugriff unbedingt notwendig ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Dies kann beispielsweise für Cookies gelten, die erforderlich sind, um einen Warenkorb während eines Online-Einkaufs aufrechtzuerhalten. Dagegen sind Cookies für Werbe- und Trackingzwecke regelmäßig nicht unbedingt erforderlich, um den ausdrücklich gewünschten Dienst bereitzustellen. Für ihren Einsatz ist daher grundsätzlich eine vorherige Einwilligung notwendig.

Wichtig ist die Unterscheidung zwischen dem TDDDG und der DS-GVO:

• TDDDG: Regelt insbesondere, unter welchen Voraussetzungen Informationen auf Endgeräten gespeichert oder ausgelesen werden dürfen.
• DS-GVO: Regelt die Verarbeitung personenbezogener Daten, die im Zusammenhang mit dem Cookie-Einsatz stattfinden kann.

Ist für einen Cookie nach § 25 Abs. 2 TDDDG keine Einwilligung erforderlich, bedeutet dies deshalb nicht automatisch, dass jede damit verbundene Verarbeitung personenbezogener Daten zulässig ist. Für diese Verarbeitung muss gegebenenfalls eine geeignete Rechtsgrundlage nach Art. 6 DS-GVO vorliegen.

Welche Datenschutzpflichten gelten beim Einsatz von Cookies?

Websitebetreiber müssen prüfen, welche Cookies und vergleichbaren Technologien sie einsetzen und welche rechtlichen Anforderungen damit verbunden sind. Soweit eine Einwilligung erforderlich ist, muss diese vor dem entsprechenden Einsatz eingeholt werden.

Eine wirksame datenschutzrechtliche Einwilligung muss nach Art. 4 Nr. 11 und Art. 7 DS-GVO insbesondere freiwillig, informiert, für den bestimmten Fall und unmissverständlich erfolgen. Vorangekreuzte Auswahlfelder oder die bloße Weiternutzung einer Website stellen keine wirksame Einwilligung dar.

Darüber hinaus sind insbesondere folgende Punkte zu beachten:

• Transparenz: Nutzer müssen verständlich über die eingesetzten Technologien und die damit verbundene Datenverarbeitung informiert werden.
• Rechtsgrundlage: Soweit personenbezogene Daten verarbeitet werden, muss eine geeignete Rechtsgrundlage nach Art. 6 DS-GVO vorliegen.
• Einwilligungsverwaltung: Erforderliche Einwilligungen müssen eingeholt, berücksichtigt und bei einer datenschutzrechtlichen Einwilligung nachweisbar dokumentiert werden.
• Widerruf: Erteilte datenschutzrechtliche Einwilligungen müssen jederzeit mit Wirkung für die Zukunft widerrufen werden können.
• Datensicherheit: Personenbezogene Daten müssen durch geeignete technische und organisatorische Maßnahmen geschützt werden.

Unternehmen können zur Verwaltung von Cookie-Einwilligungen eine Consent-Management-Plattform einsetzen. Diese kann beispielsweise über ein Cookie-Banner Auswahlmöglichkeiten bereitstellen und verhindern, dass einwilligungspflichtige Technologien ohne Zustimmung aktiviert werden.

Die bloße Anzeige eines Cookie-Banners genügt jedoch nicht. Entscheidend ist, dass die rechtlichen Anforderungen auch technisch eingehalten werden.

Praxisbeispiel: Cookies in einem Online-Shop

Ein Unternehmen betreibt einen Online-Shop und verwendet verschiedene Cookies. Ein Cookie speichert die ausgewählten Produkte im Warenkorb, damit diese beim Wechsel zwischen den einzelnen Shopseiten erhalten bleiben.

Da diese Funktion für den vom Kunden ausdrücklich gewünschten Einkaufsvorgang unbedingt notwendig ist, kann der Cookie unter die Ausnahme des § 25 Abs. 2 TDDDG fallen.

Zusätzlich möchte das Unternehmen Analyse-Cookies einsetzen, um das Verhalten der Websitebesucher auszuwerten und sein Werbeangebot zu verbessern. Für diese nicht unbedingt erforderlichen Cookies benötigt das Unternehmen grundsätzlich eine vorherige Einwilligung.

Beim Besuch des Online-Shops erhält der Nutzer deshalb die Möglichkeit, den Analyse-Cookies zuzustimmen oder sie abzulehnen. Er entscheidet sich gegen die Analyse-Cookies.

Der Online-Shop muss diese Entscheidung berücksichtigen und darf die einwilligungspflichtigen Analyse-Cookies nicht aktivieren. Die für den Einkauf unbedingt erforderlichen Funktionen können dagegen weiterhin bereitgestellt werden.

legal data Einschätzung: Unternehmen sollten Cookies nicht pauschal als technisch notwendig oder einwilligungspflichtig einstufen. Maßgeblich sind die konkrete Funktion und die gesetzlichen Voraussetzungen des jeweiligen Einsatzes. Besonders wichtig ist die Unterscheidung zwischen unbedingt erforderlichen Cookies und Technologien für Analyse- oder Marketingzwecke. Websitebetreiber sollten ihre eingesetzten Cookies regelmäßig überprüfen, transparent darüber informieren und sicherstellen, dass einwilligungspflichtige Technologien erst nach wirksamer Zustimmung eingesetzt werden.

Rechtsgrundlagen

§ 25 TDDDG

sowie bei der Verarbeitung personenbezogener Daten:

Art. 4 Nr. 11 DS-GVO

Art. 5 DS-GVO

Art. 6 DS-GVO

Art. 7 DS-GVO

Art. 12 DS-GVO

Art. 13 DS-GVO

Art. 32 DS-GVO