Was sind Cookies?
Cookies sind kleine Textdateien, die den Browserverlauf und das Userverhalten auf einer Webseite speichern. Das heißt: Jedes Mal, wenn User eine Webseite aufrufen, merken sich die Cookies, was diese auf der Seite machen. Die gesammelten Daten landen dann beim Webseitenbetreiber. Dabei unterscheidet man in zwei Arten von Cookies. Session-Cookies löschen sich automatisch selbst, wenn User den Browser schließen. Dauerhafte Cookies dagegen bleiben bestehen, bis User sie selbst löschen.
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellenWie funktionieren Cookies?
In der Praxis nutzen Cookies sowohl Webseitenbetreibern als auch Usern. Webseitenbetreiber erhalten durch Cookies genaue Informationen darüber, wie und wie lange Nutzer ihre Webseiten verwenden. Daraus können sie Schlüsse ziehen, wie sie ihre Seite optimieren können.
User profitieren von Cookies, da sie so die Einstellungen auf Webseiten wiederfinden, die sie bei vorherigen Besuchen vorgenommen haben. Das bedeutet: Sie müssen beispielsweise in Onlineshops nicht immer wieder ihre Kundendaten eingeben oder die Seitensprache einstellen. Darüber hinaus erhalten Nutzer durch Cookies Produktvorschläge, die auf ihrem bisherigen Surf- und Kaufverhalten basieren. Das macht die Internetnutzung einfacher.
Warum sind Cookies datenschutzrechtlich relevant?
Cookies erstellen ein anonymes Besucherprofil, das Informationen zum Userverhalten – u.a. zu Browser und IP-Adresse – sammelt. Bei vieler dieser Informationen handelt es sich um personenbezogene Daten. Das heißt: Webseitenbetreiber können diese Daten einer bestimmten Person zuordnen. Dafür müssen sie datenschutzrechtliche Pflichten aus der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) beachten.
Cookies datenschutzkonform nutzen
Grundsätzlich benötigen Unternehmen eine Einwilligung der User, wenn sie Cookies verwenden möchten. Ausnahmen bilden hier lediglich
- Cookies, die ausschließlich der Übertragung von Nachrichten über ein öffentliches Telekommunikationsnetz dienen.
In der Praxis benötigen Seitenbetreiber daher vor allem eine Erlaubnis für Tracking Cookies und Werbe-Cookies von Drittanbietern. Wie können sie diese rechtssicher einholen?
Einwilligung über Cookie Banner einholen
Unternehmen können einen Hinweis in ihren Cookies Banner einbinden, der über die Verwendung von Cookies aufklärt. Nutzer müssen den Cookies Banner und damit den Hinweis dann ausdrücklich bestätigen, indem sie aktiv ein entsprechendes Kästchen ankreuzen. Ein vorangekreuztes Kästchen reicht nicht aus.
Vollkommen rechtssicher können Unternehmen die Einwilligung in Cookies über ein Cookie Consent Tool einholen. Bei diesem können sie selbst festlegen, welche Nutzerdaten gespeichert und verarbeitet werden sollen. Und: Sie können Nutzern die Möglichkeit geben, die Einwilligung in Cookies abzulehnen, zu widerrufen oder zu verwalten.
Inhaltlich müssen Seitenbetreiber im Cookie Banner konkret erklären, um welche Daten es geht, wie sie diese nutzen wollen und an wen sie die Daten unter Umständen weitergeben. In unserem Beitrag zu Cookie Consent Tools zeigen wir, welche Tools besonders gängig sind.
Datenschutzerklärung aktualisieren
Unternehmen müssen in ihrer Datenschutzerklärung informieren, dass sie Cookies verwenden. Dabei sollten sie konkret aufführen, welche Cookies sie einsetzen, was diese tun und welche Daten davon gegebenenfalls an Dritte weitergeleitet werden.
Rechtsprechung zu Cookies
Zu Cookies liegt diese Rechtsprechung vor:
Europäischer Gerichtshof zur Verwendung von Cookies
Der Europäische Gerichtshof (EuGH) kam am 01.10.2019 zu dem Ergebnis: Seitenbetreiber benötigen für den Einsatz von Cookies eine aktive Einwilligung von Usern. Dabei darf das Kästchen für die Einwilligung nicht vorangekreuzt sein (Az. C-673/17).
Bundesgerichtshof zur Verwendung von Cookies
Der Bundesgerichtshof (BGH) hat die Entscheidung des EuGH in seinem Urteil bestätigt: Seitenbetreiber dürfen Tracking Cookies und Werbe-Cookies nur nutzen, wenn sie über eine aktive Einwilligung von Nutzern verfügen. Das Kästchen zur Einwilligung darf dabei nicht vorangekreuzt sein (Urteil vom 28.05.2020, I ZR 7/16).
Aktuelles zu Cookies
Die belgische Datenschutzbehörde APD entschied jetzt: Das Transparency & Consent Framework – die wichtigste Schnittstelle für personalisierte Werbung im Web – verstößt gegen die Datenschutz-Grundverordnung (DSGVO). Die Entscheidung wurde im sogenannten One-Stop-Verfahren getroffen. Das heißt: Sie gilt für die ganze EU. Betroffen sind rund 1.200 Marketing-Firmen, die im europäischen Marketing-Verband IAB Europe zusammengeschlossen sind.
Die Datenschutzbehörde kam zu dem Ergebnis: Die Informationen in den Cookie-Bannern sind zu allgemein. Nutzer können nicht verstehen, auf welche Art und in welchem Umfang ihre Daten verarbeitet werden. Die Behörde verhängte daher eine Strafe von 250.000 Euro für IAB Europe. Der Verband hat jetzt zwei Monate Zeit, einen Aktionsplan vorzulegen, der die Mängel behebt.
