Die EU-Cookie Richtlinie

Den rechtlichen Umgang regelt in der EU die so genannte „Cookie-Richtlinie“. Diese EU Cookie-Richtlinie, die eine ausdrückliche Einwilligung des Nutzers in solchen Fällen vorsieht, wurde von Deutschland aber gar nicht umgesetzt. Zur Erklärung: EU-Richtlinien sind nicht automatisch „Gesetz“, sondern müssen von den EU-Ländern umgesetzt werden. Da das in Deutschland nicht geschehen ist, gilt die Richtlinie bei uns eigentlich gar nicht.

Dafür gibt es den § 15 Abs.3 Telemediengesetz (TMG). Der besagt dass es ausreicht, den Nutzer zu unterrichten und auf ein Widerspruchsrecht hinzuweisen. Das kann in einem Cookie-Hinweis in einem Banner mit Link auf die Datenschutzerklärung erfolgen.  

Das deutsche Recht kennt aktuell trotz der EU Cookie Richtline also keine direkte Pflicht, die Nutzer in die Verwendung von Cookies einwilligen zu lassen.  

Um die Sache noch komplizierter zu machen: Die EU-Kommission hat erklärt, dass die Cookie Richtlinie in Deutschland eigentlich gar nicht umgesetzt werden muss, da die heutigen Regelungen in Deutschland die Vorgaben der Cookie-Richtlinie bereits erfüllen. Das klingt komisch, da die deutschen Regeln gerade keine Einwilligung (also den Klick auf „Ja, ich stimme zu“), sondern nur einen Hinweis auf das Widerspruchsrecht vorsehen. Es bleibt also ein gewisses Risiko, wenn Sie keinen Cookie Hinweis auf Ihrer Webseite anbieten.

Die DSGVO

Seit Mai 2018 gilt allerdings die DSGVO. Alle Webseitenbetreiber, die Cookies nutzen, müssen seit 2018 Ihre Datenschutzeklärung neu formulieren. Die DSGVO verlangt nämlich, dass in der Datenschutzerklärung die Rechtsgrundlagen für das Verwenden von Cookies genannt werden.

Die DSGVO regelt aber dasProblem "Cookies" nicht ausdrücklich. Das sollte die ePrivacy-Verordnung tun, diese ist aber weiterhin nicht in Kraft. Webseitenbetreiber können sich aktuell also nur an dem orientieren, was der EuGH dazu aktuell entschieden hat und was die einzelnen Datenschutzbehörden und die Datenschutzkonferenz vorgeben.

Die ePrivacy-VO

Die ePrivacy-Verordnung sollte zeitgleich mit der DSGVO in Kraft treten und die Bereiche "Tracking und Cookies" regeln. Ist sie aber bis heute nicht.  Ab 2019 wird die Cookie Richtlinie dann von der neuen E-Privacy-Verordnung abgelöst, die eigentlich zeitgleich mit der neuen EU DSGVO in Kraft treten sollte.