Nationale Cookie-Regelungen im neuen TTDSG

Der Bundestag hat am 20.05.2021 den Entwurf des Gesetzes zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG) verabschiedet. Der Bundesrat hat dem verabschiedeten Gesetz in seiner 1005. Sitzung am 28.05.2021 zugestimmt. Das TTDSG enthält Regelungen zum Schutz der Privatsphäre in der digitalen Welt und normiert in § 25 TTDSG-E die Voraussetzungen für das Auslesen und Setzen von Cookies.

1. Hintergrund

Das Nebeneinander von Telemediengesetz (TMG) und Telekommunikationsgesetz (TKG) auf nationaler Ebene und der Datenschutz-Grundverordnung (DSGVO) sowie der RL 2002/58/EG (ePrivacy-Richtline) in der Fassung der RL 2009/136/EG (Cookie-Richtlinie) auf unionsrechtlicher Ebene haben in der Vergangenheit bei Nutzern und Anbietern zu Rechtsunsicherheiten geführt. Zudem bedarf es einer Harmonisierung des TKG und des TMG mit dem Telekommunikationsmoderniserungsgesetzes (TKModG). Letztlich hat sich die Bundesregierung dazu entschieden die Anpassungen in einem neuen Stammgesetz vorzunehmen – dem TTDSG. Die Bundesregierung hat einen Gesetzesentwurf vorgelegt, welcher die Bestimmungen zum Schutz des Fernmeldegeheimnisses und des Datenschutzes des TKG sowie die Regelungen aus dem TMG zusammenführt. Die Bestimmungen des TTDSG wurden dabei an die europäische DSGVO angepasst. Aus § 2 Abs. 1 TTDSG-E geht hervor, dass zur Vereinheitlichung der Gesetze, Verordnungen und Richtlinien, auf die bereits bestehenden Begriffsbestimmungen aus dem TKG, dem TMG der DSGVO sowie der ePrivacy- und Cookie-Richtlinie zurückgegriffen wird.

2. Cookie-Regelungen

Das TTDSG enthält unter Kapitel 2 „Endeinrichtungen“ Bestimmungen zum Schutz der Privatsphäre bei Endeinrichtungen (§ 25 TTDSG-E) sowie eine Regelung zu anerkannten Diensten zur Einwilligungsverwaltung und Endnutzereinstellungen (§ 26 TTDSG-E). Der Begriff „Endeinrichtung“ ist in § 2 Abs. 2 Nr. 6 TTDSG-E als jede direkte oder indirekte an die Schnittstelle eines öffentlichen Telekommunikationsnetzes angeschlossene Einrichtung zum Aussenden, Verbreiten oder Empfangen von Nachrichten legal definiert. § 2 Abs. 2 Nr. 6 TTDSG umfasst demnach sämtliche Geräte mit einer Internetverbindung.

Mit der Einführung von § 25 TTDSG-E wird Art. 5 Abs. 3 Cookie-Richtlinie, welcher Nutzer vor jedem Eingriff in seine Privatsphäre schützen soll, in das deutsche Recht integriert. So heißt es in § 25 Abs. 1 TTDSG-E:

Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Die Information des Endnutzers und die Einwilligung haben gemäß der Verordnung (EU) 2016/679 [DSGVO] zu erfolgen.

Für das Setzen und Auslesen von Cookies bedarf es grundsätzlich der Einwilligung des Nutzers, mit Ausnahme von technisch erforderlichen Cookies. Durch den Verweis auf die DSGVO wird dem Rechtsanwender klar vermittelt, dass die Einwilligung freiwillig und aufgrund klarer und hinreichender Informationen erfolgen und auch jederzeit frei widerruflich sein muss. Spätestens seit dem EuGH-Urteil „Planet 49“ vom 01.10.2019 (Rechtssache C 673/17) ist es unzweifelhaft, dass die Einwilligung ein freiwilliges aktives Handeln darstellt und voreingestellte Ankreuzkästchen diese Voraussetzung nicht erfüllen.

Die in § 25 Abs. 2 TTDSG-E normierten Ausnahmetatbestände wurden aus Art. 5 Abs. 3 ePrivacy-Richtline in der Fassung der Cookie-Richtlinie übernommen.

Gemäß den Bußgeldvorschriften aus § 28 TTDSG-E muss künftig mit einer Geldbuße von bis zu 300.000 € gerechnet werden, wenn ohne Einwilligung des Nutzers vorsätzlich oder fahrlässig eine Information gespeichert oder auf eine Information zugegriffen wird. Sofern dabei personenbezogene Daten verarbeitet oder weiterverarbeitet werden, sind zudem auch die Vorgaben der DSGVO und der dortige Bußgeldrahmen nicht außer Acht zu lassen.

 3. Bewertung und Ausblick

Insgesamt ist eine nationale Regelung über das Setzen und Auslesen von Cookies zu begrüßen. Die Einführung des TTDSG führt zur Auflösung der komplexen und mitunter für den Rechtsanwender undurchsichtigen Verhältnis zwischen europäischen Recht (DSGVO und ePrivacy-/Cookie-Richtlinie) und nationalen Vorschriften (TKG und TMG).

Mit der Regelung des § 25 TTDSG-E entfällt zukünftig auch der Weg des BGH in seiner „Cookie-Einwilligung II“-Entscheidung vom 28.05.2020 (Az.: I ZR 7/16) § 15 Abs. 3 S. 1 TMG europarechtskonform auslegen zu müssen. Nach Ansicht des BGH ist ebenfalls nach § 15 Abs. 3 S. 1 TMG eine aktive Einwilligung des Nutzers in die Speicherung von Informationen mittels Cookies erforderlich. Eine freiwillige Einwilligung liegt nicht vor, wenn der Nutzer die Zustimmung zur Speicherung abwählen muss. Die europarechtskonforme Interpretation von § 15 Abs. 3 S. 1 TMG wurde in der Literatur mitunter als „waghalsige[s] rechtsmethodische[s] Manöver“ bezeichnet (Spindler in NJW 2020, 2512 (2517)). Die Anpassung von nationalen an europarechtliche Vorschriften führt zu einer erhöhten Rechtssicherheit und Rechtsklarheit.

Der breit gefasste Anwendungsbereich von „Endeinrichtungen“ entspricht dem Stand der Technik und wird dem ständigen Wandel und stetigen technischen Neuerungen in der digitalen Welt gerecht.

Das in § 25 Abs. 1 TTDSG-E etablierte Einwilligungserfordernis und die Wahrung der Informationspflichten gemäß der DSGVO stellen jedoch im Grunde für die Anbieter von Websites, Apps o.ä. im Hinblick auf die vergangenen Rechtsprechungen des BGH und des EuGH keine wesentlichen Änderungen für die praktische Umsetzung dar.

Zukünftig soll die nähere Ausgestaltung der neuen Strukturen im Wege einer Regierungsverordnung erfolgen.

Das TTDSG wird am 01.12.2021 zusammen mit dem novellierten Telekommunikationsgesetz (TKModG) in Kraft treten.