Definition

Die Cookie-Richtlinie ist die umgangssprachliche Bezeichnung für die Richtlinie 2009/136/EG, die im Dezember 2009 in Kraft trat und deren Cookie-Regelung als Richtlinie zunächst nicht direkt für Webseitenbetreiber gilt.

Auf einen Blick

In Deutschland regelt § 25 TDDDG das Speichern von Informationen im Endgerät und den Zugriff auf dort gespeicherte Informationen; nach Absatz 2 ist die Einwilligung in bestimmten Fällen nicht erforderlich.

Information und Einwilligung haben nach § 25 Abs. 1 Satz 2 TDDDG gemäß der Verordnung (EU) 2016/679 zu erfolgen.

Dient ein Cookie mehreren Zwecken, kann er nach Auffassung der DSK nur dann von der Einwilligungspflicht ausgenommen werden, wenn für jeden einzelnen Zweck die Voraussetzungen der Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG vorliegen.

Was ist die Cookie-Richtlinie?

Die umgangssprachlich Cookie-Richtlinie genannte Regelung umfasst auch andere Tracking-Techniken wie Browser-Fingerprinting. Als Richtlinie gilt die Cookie-Regelung zunächst nicht direkt: Adressat sind nicht die Webseitenbetreiber, sondern die EU-Mitgliedsstaaten. Nach Auffassung der DSK gelten die spezifischen Bestimmungen des § 25 TDDDG vorrangig vor den Bestimmungen der DS-GVO, soweit beim Speichern und Auslesen von Informationen in Endeinrichtungen personenbezogene Daten verarbeitet werden.

Holt ein Versicherer per Banner die Einwilligung für Analyse-Cookies ein, gilt dafür § 25 TDDDG: Das TDDDG dient der Umsetzung der Richtlinie 2002/58/EG, und § 25 erlaubt das Speichern im Endgerät und den Zugriff darauf nur mit Einwilligung, soweit keine Ausnahme nach Absatz 2 greift. Nach § 25 Abs. 2 Nr. 1 TDDDG ist die Einwilligung nicht erforderlich, wenn der alleinige Zweck der Speicherung oder des Zugriffs die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist. Nach § 25 Abs. 2 Nr. 2 TDDDG ist die Einwilligung ebenfalls nicht erforderlich, wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.

Ein Banner ist eine Möglichkeit, Nutzende auf einer Webseite um die Einwilligung in den Einsatz von Cookies zu bitten. Nach dem EDPB ist die Speicherung eines Cookies oder der Zugang zu einem bereits gespeicherten Cookie im Endgerät nur zulässig, wenn der Nutzer angemessen informiert wurde, unter anderem über die Zwecke der Verarbeitung, und seine Einwilligung erteilt hat; ausgenommen sind nach dem EDPB technisch notwendige Cookies, in Deutschland regelt § 25 Abs. 2 TDDDG die Ausnahmen. Nach Erwägungsgrund 32 der DSGVO sollten Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person keine Einwilligung darstellen.

Nach Auffassung der DSK wohnt dem Scrollen oder Weitersurfen, typischen Handlungen bei der Nutzung des Internets, grundsätzlich kein rechtlicher Erklärungsgehalt inne. Nach Auffassung des EDPB muss die nachfolgende Verarbeitung personenbezogener Daten, die durch Cookies erhoben wurden, außerdem eine Rechtsgrundlage nach Artikel 6 der DSGVO haben, um rechtmäßig zu sein.

Kriterium Cookie-Richtlinie Cookie-Banner und Cookie-Hinweis der Website
Art Eine Richtlinie der EU, deren Cookie-Regelung zunächst nicht direkt gilt. Ein Element einer Webseite, mit dem Nutzende z. B. mittels eines Banners um eine Einwilligung in den Einsatz von Cookies gebeten werden.
Adressat Die EU-Mitgliedsstaaten, nicht die Webseitenbetreiber. Die Nutzenden der Webseite, die um eine Einwilligung gebeten werden.
Wann die Einwilligung nötig ist In Deutschland verlangt § 25 Abs. 1 TDDDG für das Speichern von Informationen im Endgerät oder den Zugriff darauf eine Einwilligung, soweit keine Ausnahme nach Absatz 2 greift. Wird um Einwilligung gebeten, haben Information und Einwilligung nach § 25 Abs. 1 Satz 2 TDDDG gemäß der Verordnung (EU) 2016/679 zu erfolgen; in den Fällen des § 25 Abs. 2 TDDDG ist die Einwilligung nicht erforderlich.
Situation Was das bedeutet
Speichern oder Zugriff im Endgerät Nach § 25 Abs. 1 Satz 1 TDDDG ist die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf dort bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat; Ausnahmen regelt Absatz 2.
Form von Information und Einwilligung § 25 Abs. 1 Satz 2 TDDDG: Die Information des Endnutzers und die Einwilligung haben gemäß der Verordnung (EU) 2016/679 zu erfolgen.
Ausnahme: Übertragung einer Nachricht § 25 Abs. 2 Nr. 1 TDDDG: Die Einwilligung ist nicht erforderlich, wenn der alleinige Zweck der Speicherung oder des Zugriffs die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist.
Ausnahme: ausdrücklich gewünschter Dienst § 25 Abs. 2 Nr. 2 TDDDG: Die Einwilligung ist nicht erforderlich, wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.
Cookie mit mehreren Zwecken Nach Auffassung der DSK kann ein solcher Mehrzweck-Cookie nur dann von der Einwilligungspflicht ausgenommen werden, wenn für jeden einzelnen Zweck die Voraussetzungen der Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG vorliegen.

Schutz im Ernstfall

Vorbeugen

  • Vor dem Speichern von Informationen im Endgerät oder dem Zugriff auf dort gespeicherte Informationen die Einwilligung des Endnutzers auf der Grundlage von klaren und umfassenden Informationen einholen, soweit keine Ausnahme nach § 25 Abs. 2 TDDDG greift (§ 25 Abs. 1 Satz 1 TDDDG).
  • Information und Einwilligung gemäß der Verordnung (EU) 2016/679 gestalten (§ 25 Abs. 1 Satz 2 TDDDG).
  • Bei einem Cookie mit mehreren Zwecken prüfen, ob für jeden einzelnen Zweck die Voraussetzungen der Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG vorliegen; nur dann kann er nach Auffassung der DSK von der Einwilligungspflicht ausgenommen werden.

Beispiele aus der Praxis

  • Eine Webseite bittet Nutzende per Banner um die Einwilligung in den Einsatz von Cookies; Scrollen oder Weitersurfen hat nach Auffassung der DSK grundsätzlich keinen rechtlichen Erklärungsgehalt.
  • Ein digitaler Dienst, den der Nutzer ausdrücklich gewünscht hat, speichert Informationen im Endgerät oder greift auf dort gespeicherte Informationen zu, soweit dies unbedingt erforderlich ist, damit der Anbieter den Dienst zur Verfügung stellen kann; die Einwilligung ist nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich.
  • Ein Versicherer bittet Nutzende per Banner um die Einwilligung für Analyse-Cookies: Nach § 25 Abs. 1 TDDDG sind die Speicherung von Informationen in der Endeinrichtung und der Zugriff darauf nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat, soweit keine Ausnahme nach Absatz 2 greift.