Stand der Umsetzung der "Cookie-Richtlinie"

12.10.2011 | Datenschutz und IT-Sicherheit | Internet und E-Commerce | Datenschutz | von Dr. Thomas Stögmüller

Die "Cookie-Richtlinie" der EU sieht vor, dass Computernutzer vor dem Einsatz von Cookies hierrüber umfassend informiert werden und hierzu ihre Einwilligung geben müssen. Dies ist eine wesentliche Änderung der bisherigen Rechtslage, nach der der Nutzer lediglich auf das Recht hingewiesen werden muss, diese Verarbeitung zu verweigern. Die Umsetzungsfrist für die Cookie-Richtlinie ist bereits am 25. Mai 2011 verstrichen, eine Umsetzung in das deutsche Recht ist bislang nicht erfolgt. Nachfolgend wird ein Überblick über die bisherige Entwicklung gegeben.
 
Im November 2009 hatten das Parlament und der Rat der EU zur Änderung der Richtlinien 2002/58/EG (Richtlinie über den Universaldienst und Nutzerrechte bei elektronischen Kommunikationsnetzen und -diensten) und 2002/22/EG (Richtlinie über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphärein der elektronischen Kommunikation) sowie der Verordnung (EG) Nr. 2006/2004 (Verordnung über die Zusammenarbeit im Verbraucherschutz) die Richtlinie 2009/136/EG ("Cookie-Richtlinie") erlassen. Sie dient dem Verbraucherschutz durch Schaffung von mehr Sicherheit und Transparenz. Zielsetzung ist unter anderem der Schutz der Privatsphäre der Internetnutzer, die insbesondere beim Einsatz sog. "Cookies" gefährdet sein kann.
 
Die EU hat in der Cookie-Richtlinie folgende Neufassung des Art. 5 Abs. 3 der Richtlinie 2002/58/EG, der die datenschutzrechtlichen Anforderungen an Cookies beinhaltet, aufgenommen:

"(3) Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann."

In den Erwägungsgründen zur Cookie-Richtlinie wird ausgeführt, dass es von größter Wichtigkeit sei, den Nutzern eine klare und verständliche Information bereitzustellen, wenn sie irgendeine Tätigkeit ausführen, die zu einer Speicherung von Informationen auf ihrem Computer oder zu einem Zugriff auf solche Informationen führt. Die Methoden der Information und die Einräumung des Rechts, diese abzulehnen, sollten so benutzerfreundlich wie möglich gestaltet werden. Ausnahmen von der Informationspflicht und der Einräumung des Rechts auf Ablehnung sollten auf jene Situationen beschränkt sein, in denen die technische Speicherung oder der Zugriff unverzichtbar sind, um die Nutzung eines vom Teilnehmer oder Nutzer ausdrücklich angeforderten Dienstes zu ermöglichen. Wenn es technisch durchführbar und wirksam ist, kann die Einwilligung des Nutzers zur Verarbeitung im Einklang mit den entsprechenden Bestimmungen der Datenschutz-Richtlinie 95/46/EG über die Handhabung der entsprechenden Einstellungen eines Browsers oder einer anderen Anwendung ausgedrückt werden.
 
Bis zum 25. Mai 2011 hatten die Mitgliedstaaten der EU Zeit, die Cookie-Richtlinie in ihr jeweiliges nationales Recht umzusetzen. Viele von ihnen - darunter auch Deutschland - haben dies nicht getan. Wie es scheint, hat sich die deutsche Regierung bewusst gegen eine Umsetzung innerhalb der Frist entschieden, denn so heißt es in dem Entwurf der Bundesregierung zur Änderung telekommunikationsrechtlicher Regelungen aus März 2011 (BR-Drucksache 129/11 vom 4. März 2011, Seite 69):

"Die zunehmende Verwendung so genannter "Cookies" und vergleichbarer technischer Gestaltungen werfen Bedenken im Hinblick auf den Schutz der Grundrechte auf informationelle Selbstbestimmung und Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme auf. Dies gilt insbesondere im Hinblick auf die Gefahr einer Profilbildung durch die Verknüpfung einer Vielzahl von - z. B. unter Einsatz von "Cookies" gewonnener - Informationen und Daten, ohne dass der Nutzer hiervon Kenntnis oder Einfluss hierauf hat. Einzelfragen der Umsetzung der Änderung von Art. 5 Abs. 3 der Richtlinie 2002/58/EG sind derzeit Gegenstand umfangreicher Konsultationen auf europäischer Ebene, die auch Selbstregulierungsansätze der betroffenen Werbewirtschaft umfassen. Das Ergebnis dieses Prozesses wird vor einer Entscheidung über weitergehenden gesetzgeberischen Handlungsbedarf zunächst abgewartet."

Die Bundesregierung hat die datenschutzrechtlichen Probleme bei der Verwendung von Cookies zwar erkannt, will die Regelungen der Cookie-Richtlinie dazu aber jedenfalls nicht in die geplanten Änderungen telekommunikationsrechtlicher Regelungen einfließen lassen.

Mit Beschluss des Bundesrates vom 17. Juni 2011 hat dieser einen Gesetzentwurf  zur Änderung des Telemediengesetzes (BR-Drucksache 156/11 vom 17. Juni 2011) beim Bundestag eingebracht. Dessen § 13 Abs. 8 TMG-E deckt sich inhaltlich weitestgehend mit dem Wortlaut des neuen Art. 5 Abs. 3 der Cookie-Richtlinie. Die nur kurze Begründung zu § 13 Abs. 8 TMG-E lautet:

"Mit der Regelung werden Nutzer davor geschützt, dass ohne ihre Einwilligung Daten auf ihrem Endgerät gespeichert werden oder auf dort gespeicherte Daten zugegriffen wird."

Ob die Cookie-Richtlinie durch eine Neuregelung des § 13 Abs. 8 TMG-E oder in anderer Form umgesetzt wird, bleibt abzuwarten.

Melanie Schwarzhof / Dr. Thomas Stögmüller