TTDSG Inkrafttreten am 1. Dezember

Worum geht's?

Der 1.12.2021 war der Tag des Inkrafttretens des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG). Das Gesetz enthält einige Neuerungen und Klarstellungen für Unternehmen, Websitebetreiber und Agenturen. Die wichtigste: Fast alle Cookies und Tracking-Dienste brauchen eine echte Einwilligung. Doch was müssen Sie seit dem 1.12.2021 noch wissen? Und was ist jetzt konkret zu tun? Wir erklären es.

1. TTDSG, Cookies und Co.: Was sind die wichtigsten Inhalte des neuen TTDSG?

Cookies und Trackingdienste

Festgezurrt ist mit dem Telekommunikation-Telemedien-Datenschutz-Gesetz (kurz: TTDSG) insbesondere, dass Sie als Websitebetreiber für Trackingdienste und -Cookies eine echte und ausdrückliche Einwilligung brauchen. Das war zwar schon nach der höchstrichterlichen BGH- und EuGH-Rechtsprechung klar (vgl. dazu zum Beispiel das Urteil des Bundesgerichtshofs vom 28. Mai 2020, Aktenzeichen I ZR 7/16). Gesetzlich festgeschrieben wird dies aber nun erstmals mit dem TTDSG. Besonders wichtig ist § 25 TTDSG.

Absatz 1 des § 25 TTDSG besagt: 

„Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.“

Und in Absatz 2 des § 25 TTDSG heißt es dann:

„Die Einwilligung nach Absatz 1 ist nicht erforderlich,

1. wenn der alleinige Zweck der Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der alleinige Zweck des Zugriffs auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder
2. wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann."

Zusammengefasst bedeutet das:

Sie brauchen eine Erteilung der Einwilligung, wenn Sie Informationen in der Endeinrichtung des Endnutzers speichern oder darauf zugreifen wollen.

Von diesem Grundsatz gibt es zwei Ausnahmen:

• technisch zwingend notwendige Cookies und Informationen, d.h. solche, die für den Betrieb der Seite unbedingt erforderlich sind;
• Cookies und Informationen, die ausschließlich der Übertragung von Nachrichten über ein öffentliches Telekommunikationsnetz dienen.

Was sind technisch notwendige Cookies?

Eine wichtige Ausnahme: für technisch notwendige Cookies ist keine Einwilligung notwendig.

Technisch notwendige Cookies sind alle Cookies, ohne die eine Webseite an sich nicht funktionieren würde. Das sind zum Beispiel Session Cookies (für Warenkorbinhalte oder Sprachversionen einer Webseite), Cookies die ausschließlich für Zahlungsprozesse notwendig sind oder Cookies, die zum Erteilen oder zum Widerruf einer Einwilligung genutzt werden.

Mehr zu diesem Thema lesen Sie auch in unserem Artikel "Nutzer-Einwilligung auf Webseiten: Quatsch oder Pflicht?".

Personal Information Management Systems und Single Sign On Lösungen

Eine weitere Neuerung (§ 26 TTDSG): Künftig sollen Dienste anerkannt werden, über die Websitebesucher einmalig angeben können, ob, wo und unter welchen Voraussetzungen sie ihre Einwilligung oder Ablehnung zum Setzen von Cookies geben möchten. Diese Informationen leitet der Anbieter solcher "Personal Information Management Services" (PIMS) automatisch an alle Websites weiter. Damit sollen Nutzer generell mehr Kontrolle über personenbezogene Daten und den Zugriff Dritter auf Informationen erhalten. Folge könnte sein: Cookie Banner werden entbehrlich. Dieses „Ende von Cookie Bannern durch das TTDSG“ wird im Moment auf vielen Seiten heiß diskutiert.

Wir können Sie erst einmal beruhigen: Cookie Banner werden nicht von heute auf morgen entbehrlich werden. Denn dass PIMS und Co. Cookie Banner ersetzen, ist noch weit entfernte Zukunftsmusik. Schließlich müssen diese Dienste laut § 26 TTDSG ausdrücklich anerkannt werden und dafür müssen bestimmte Voraussetzungen vorliegen (z.B.: kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung auf Seiten der Anbieter, Sicherheitskonzept des Anbieters).

Ein Beispiel für einen solchen Dienst wird in einer der Gesetzesbegründungen zum TTDSG genannt: Mehrere zusammengeschlossene Unternehmen organisieren eine Einrichtung. Diese bietet für die Unternehmen sogenannte Single-Sign-On-Lösungen an,  über die Nutzer ihre Einwilligung organisieren können. Definition: Wer sich auf dem über einen Single-Sign-On-Dienst auf seinem Rechner anmeldet, kann sich gleichzeitig bei mehreren Diensten und Anwendungen einloggen, ohne separat für jeden einzelnen Dienst seine Zugangsdaten angeben zu müssen.

Das Verfahren zur Anerkennung der Dienste muss die Bundesregierung noch in Form einer Rechtsverordnung festlegen. Das wird höchstwahrscheinlich noch Jahre dauern. Bis dahin gilt – nunmehr gesetzlich festgeschrieben: Cookie Banner zur Umsetzung von Cookie Einwilligungen sind Pflicht!

Anwendungsbereich erweitert: Endeinrichtung des Endnutzers

Es gibt eine weitere wichtige Änderung im TTDSG. Wir erinnern uns an § 25 TTDSG: „Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.“ Wir sehen hier: Der Anwendungsbereich der Regelungen wird in zweierlei Hinsicht erweitert:

1. Die Regelungen des TTDSG beziehen sich auf die "Endeinrichtung des Endnutzers": Damit sind auch alle mit dem Internet verbundenen Geräte umfasst und brauchen eventuell eine Cookie Einwilligung, also zum Beispiel Smarthome-Anwendungen, E-Mail- und Messenger-Dienste.
   Beispiele:
   • WhatsApp oder Threema
   • Smarthome Anwendungen wie Küchengeräte, Heizkörperthermostate, Alarmsysteme
   Das heißt: Auch wenn Sie solche Dienste anbieten, brauchen Sie künftig eine echte Einwilligung (und damit Cookie-Banner), sofern Sie Cookies setzten und anderen Tracking-Dienste verwenden.
2. Zudem bezieht sich das TTDSG sich auf sämtliche Informationen, die Nutzer von Telemedien und Telekommunikationsdiensten preisgeben und die somit erhoben werden können. Dazu gehören auch nicht personenbezogene Daten. Somit geht es nicht mehr nur um die  Cookie Nutzung, sondern um alle Techniken, für die Sie Informationen in der Endeinrichtung auslesen oder speichern.
   Beispiel: Browser Fingerprinting

Weitere Änderungen

Das TTDSG regelt einige weitere Punkte, die für Sie als Websitebetreiber wichtig sein können:

• Sie müssen als Anbieter von Telemediendiensten unter Umständen auf Verlangen öffentlichen Stellen Auskunft über Bestands- und Nutzerdaten geben.
• Bußgelder drohen nicht nur nach der DSGVO, sondern auch nach dem TTDSG. Wenn Sie eine Einwilligung nicht einholen, drohen Ihnen Bußgelder bis zu 300.000 Euro
• Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat die umfassende Aufsicht über den Umgang mit personenbezogenen Daten. Sie kümmert sich auch um die Verhängung von Bußgeldern und ist eine unabhängige Datenschutz-Aufsichtsbehörde im Bereich der Telekommunikation.
• Die Bundesnetzagentur ist zuständig für Vorschriften, die nicht die Verarbeitung von personenbezogene Daten betreffen.

Darüber hinaus weisen wir der Vollständigkeit halber noch auf folgende Änderungen hin:

• Das Fernmeldegeheimnis soll Erben eines Endnutzers nicht daran hindern, Rechte gegenüber einem Anbieter von Telekommunikationsdiensten geltend zu machen.
• Weitere Änderungen zur Rufnummernunterdrückung und zum Fernmeldegeheimnis.

2. TTDSG und Cookies: Was müssen Sie als Websitebetreiber jetzt tun?

Wenn Sie sich noch immer nicht um Cookie Consent Banner für Ihre Website gekümmert haben, weil Sie sich noch irgendwie drumherum gewunden haben, ist spätestens jetzt klar und gesetzlich festgeschrieben: Sie brauchen für Tracking-Cookies, Third-Party-Cookies, sonstige Marketing Cookies und Co. eine echte Einwilligung, sofern sie für den Betrieb der Seite technisch nicht unbedingt erforderlich sind. Damit steht im Grunde auch fest: Ein Cookie Consent Tool ist Pflicht.

Warum das so ist? Zwar steht im TTDSG nicht, wie Sie die Einwilligung einholen müssen. Dort steht aber: Sie müssen die Einwilligung einholen und zwar auf Grundlage einer klaren und umfassenden Informationen. Und sicher und einfach umsetzbar ist das nur mit Cookie Management über ein Cookie Consent Tool. Welche Tools es hier gibt und was Sie dabei beachten müssen, lesen Sie in unserem Beitrag "Die 6 gängigsten Cookie Consent Tools".

3. TTDSG und Cookies: Wie muss ein Cookie Banner aussehen?

TTDSG und Cookies – wie muss der Banner genau aussehen? Zu dieser Frage bietet das TTDSG leider keine hilfreiche Antwort. Allerdings gibt es zu den Anforderungen an ein Cookie Banner verschiedene Stellungnahmen und Abmahnungen von Datenschutzbehörden und Verbraucherzentralen, sowie Vorgaben des “European Data Protection Board”. Hiernach sollten Sie Cookie Banner verwenden, die folgende Punkte sicherstellen:

1. Bis Ihr Besucher seine Einwilligung erteilt, müssen Sie Cookies auch tatsächlich technisch deaktivieren.
2. Ihr Nutzer muss die Einwilligung aktiv setzen. Eine Checkbox darf nicht vorausgewählt sein.
3. Es muss einen „Annehmen“ und einen „Ablehnen“-Button geben. Diese müssen gleichwertig sein, also es darf nicht etwas eine extra Seite auf einer tieferen Ebene geben, über die der Nutzer die Cookies erst ablehnen kann.
4. Kein “Nudging”: Der Zustimmen-Button darf nicht hervorgehoben sein, z.B. durch eine grellere Farbe.
5. Es dürfen keine komplizierten Links für die Ablehnung der Cookies verwendet werden.
6. Sie müssen den Nutzer umfassend informieren. Dazu gehören:
   • Zwecke der einzelnen Tools
   • Anzahl der Anbieter und Tools
   • Sitz des Anbieters, falls dieser außerhalb der EU liegt.

Übrigens: Nach der "Orientierungshilfe der Aufsichtsbehören (DSK) für Anbieter von Telemedien" vom 20.12.2021 ist es möglich, den Einwilligungsbanner mehrschichtig zu gestalten. Demnach dürfen Sie detaillierte Informationen auch erst auf einer zweiten Ebene des Banners mitteilen. 

Die gute Nachricht: Die 6 gängigsten Cookie Consent Tools setzten diese Anforderungen um. Dazu sollten Sie allerdings einige Einstellungen vornehmen. Wie das geht, lesen Sie hier: https://www.e-recht24.de/artikel/datenschutz/12495-cookie-consent-tools.html

Was passiert, wenn das Cookie-Banner nicht rechtskonform umgesetzt wird, können Sie am neuesten Fall vom internationalen Marktführer Microsoft sehen. Weil Microsofts bing.com Unregelmäßigkeiten in seinem Cookie-Consent Banner hat, verhängte die französische Datenschutzbehörde vor Kurzem eine Strafe von 60 Millionen Euro gegen den Microsoft Konzern. Sie sehen: selbst globale Marktführer wie Microsoft werden hier zur Rechenschaft gezogen 

4. Warum gibt es das TTDSG?

Das "Telekommunikations-Telemedien-Datenschutzgesetz" (TTDSG) – Langform: Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien - ist am 1. Dezember 2021 in Kraft getreten. Lange Zeit gab es nur eine einen TTDSG Entwurf, doch jetzt steht dem Inkrafttreten des TTDSG nichts mehr im Weg: Der Bundestag hat das Gesetz im Mai 2021 endlich beschlossen. Sinn und Zweck des Gesetzes: Zum einen soll ein Kompromiss zwischen dem Schutz der Privatsphäre in der digitalen Welt und den digitalen Geschäftsmodellen erzielt werden. Im Kern geht es aber vor allem um folgendes: Die Unklarheiten und das Nebeneinander von verschiedene Regelungen zum Thema Datenschutz in der Telekommunikation und bei Telemedien zu beseitigen. Schließlich gibt es das Telemediengesetz (hier insbesondere relevant: § 15 Absatz 3 TMG), das Telekommunikationsgesetz (TKG), die ePrivacy-Richtline und die Datenschutz-Grundverordnung (DSGVO). Wann welches dieser Gesetze gilt, ist eine Wissenschaft für sich. Hinzukommt, dass die ePrivacy-Verordnung, die den Umgang mit Cookies deutlich regeln sollte, bis heute nicht erlassen wurde. Deshalb hat der Gesetzgeber die Datenschutzbestimmungen aus dem TMG und dem TKG aus diesen Gesetzen herausgelöst, sie an die DSGVO und die ePrivacy-Richtlinie angepasst und das Ganze ins TTDSG gegossen. Damit wurden auch die Vorgaben der ePrivacy-Richtline in weiten Teilen umgesetzt.

5. Was passiert mir, wenn ich beim Inkrafttreten des TTDSG kein Cookie Consent Banner habe?

Im schlimmsten Fall drohen Ihnen gleich mehrere Bußgelder, wenn Sie nach Inkrafttreten des TTDSG keine ordnungsgemäße Einwilligung einholen.

• Zum einen können Sie einen Bußgeldbescheid wegen Verstoßes gegen die DSGVO erhalten. In diesem Fall drohen Ihnen Bußgelder in Höhe von bis zu 20 Millionen Euro oder bis zu vier Prozent Ihres Umsatzes.
• Zum anderen kann wegen Verstoßes gegen das TTDSG ein Bußgeld von bis zu 300.000 Euro gegen Sie festgesetzt werden. Es kann also richtig teuer für Sie werden.
• Zudem droht Ihnen eine Abmahnung, wenn Sie keinen ordnungsgemäßen Cookie Consent Banner haben. Lesen Sie in dem Artikel "So muss ein Cookie Consent Banner aussehen, um nicht abgemahnt zu werden", wie Sie dies vermeiden können.

Wir haben eine Lösung für Sie: Wenn Sie sich für eRecht24 Premium entscheiden, ist das Consent-Tool  von Usercentrics kostenlos enthalten. Entscheiden Sie sich daher am besten noch heute für eRecht24-Premium, um für das TTDSG bestens gewappnet zu sein.

Sören SiebertRechtsanwalt