Das neue Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG)

Am 01. Dezember 2021 tritt das TTDSG, das in Gänze „Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien“ heißt, in Kraft.

Mit dem neuen Gesetz sollen die Datenschutzbestimmungen des Telekommunikationsgesetzes (TKG) und des Telemediengesetzes (TMG, an die Datenschutzgrundverordnung (DSGVO) angepasst sowie gemäß europäischem Kodex für die elektronische Kommunikation (RL (EU) 2018/1972) vereinheitlicht werden.  Außerdem war das Ziel, mit der Neuregelung endlich die ePrivacy-Richtlinie (RL 2002/58/EG in der durch die RL 2009/136/EG geänderten Fassung) ordentlich in deutsches Recht umzusetzen.

Der Begriff „Telemedien“ wird im normalen Sprachgebrauch weniger verwendet, bezeichnet aber letztlich das, was man unter Online-Diensten im Internet versteht. Und damit ist das TTDSG für alle anwendbar, die eine Website, einen Online-Shop oder eine App betreiben.

Was bedeutet das für die Web-Analyse?

Wir haben das Wichtigste zusammengefasst.

Entscheidend für die Web-Analyse ist § 25 TTDSG (Schutz der Privatsphäre bei Endeinrichtungen). Er überträgt die Bestimmungen des Art. 5 Abs. 3 der seit 2009 bestehenden, europäischen ePrivacy-Richtlinie in nationales Recht. Damit wird endgültig Klarheit darüber geschaffen, was sich zuvor bereits aus der Rechtsprechung des BGH ergab, nämlich:

Wenn keine der eng gefassten Ausnahmen (wie z.B. für den Betrieb einer Website technisch erforderliche Cookies) greift, müssen Website-Betreiber von jedem Besucher eine aktive und informierte Einwilligung einholen, sobald sie auf ihrer Webseite Cookies oder vergleichbare Technologien einsetzen. Gleiches gilt für das Auslesen bereits gespeicherter Daten wie beispielsweise der Kontakte auf dem Smartphone. 

Konkret heißt es in § 25 Abs. 1 TTDSG:

„Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.2 Die Information des Endnutzers und die Einwilligung haben gemäß der Verordnung (EU) 2016/679 zu erfolgen.“

Dankenswerter Weise wird damit klargestellt, dass Web-Analyse nicht generell einwilligungspflichtig ist. Denn dies hatten einige Experten aus dem BGH-Urteil Cookie Einwilligung II mit dem Ergebnis abgeleitet, dass vielfach Einwilligungen „sicherheitshalber“ eingeholt werden, obwohl sie nicht erforderlich sind. Es lohnt sich also ggf. eine Neubewertung der Einwilligungspflicht für die eingesetzte Web-Analyse Lösung anzuregen.

TTDSG: Consent-Pflicht gilt nicht pauschal fürs Tracking, sondern nur bei Datenerfassung mittels nicht unbedingt erforderlicher Cookies.

Was fällt unter ‚unbedingt erforderliche‘ Cookies?

Der Gesetzgeber hat leider verpasst, die unbedingt erforderlichen Zwecke konkret in Form von Regelbeispielen zu benennen. Generell bedeutet unbedingte Erforderlichkeit, dass die Bereitstellung des Dienstes ohne diese Cookies gar nicht, nur unter unverhältnismäßig großen Schwierigkeiten oder mit einem unvertretbar höheren Aufwand möglich wäre. In diesem Sinn ist beispielsweise Tag Management kein „Must-have“. Auf Nachfrage erklärte Ulrich Kühn, Referatsleiter Telemedien der Hamburgischen Aufsichtsbehörde, am 14. Oktober 2021 in einer E-Mail:

„Die Aufsichtsbehörden legen das Kriterium der Erforderlichkeit für die Vertragserfüllung regelmäßig eng aus. Entscheidend ist hier nicht, was für erforderlich erachtet wird, sondern was nach objektiven Maßstäben erforderlich ist. […] Um eine Sache herauszugreifen – [wäre] etwa A/B-Testing kein durch den Vertrag abgedeckter Zweck. Dies ist einseitiges, wenn auch legitimes Interesse des Betreibers. Die Verarbeitung personenbezogener Daten in diesem Kontext kann evtl. über Art. 6.1.f begründet werden und kann natürlich auf eine DSGVO-konforme Einwilligung gestützt werden (bei Übermittlungen in Drittländer ohne ausreichendes Datenschutzniveau kommt jedoch auch dies nicht in Betracht, da die Einwilligung nur für Ausnahmefälle vorgesehen ist, Art. 49 DSGVO).
Das TTDSG spricht in diesem Zusammenhang von der „unbedingten Erforderlichkeit“ für die Erbringung des „ausdrücklich gewünschten“ Dienstes als Voraussetzung, um auf die Einwilligung nach TTDSG verzichten zu können. Dies dürfte die Maßstäbe eher noch enger anlegen.“

Im Rahmen der öffentlichen Anhörung zum TTDSG haben Experten auch Cookies zur Web-Analyse (Reichweitenmessung) als unbedingt erforderlich benannt. Jedoch gibt es aktuell noch keine einheitliche Aussage der deutschen Aufsichtsbehörden dazu. Insofern wäre es zum jetzigen Zeitpunkt mit hohen Rechtsrisiken verbunden, Web-Analyse-Cookies ohne Einwilligung einzusetzen.

Von den Aufsichtsbehörden anerkannte unbedingt erforderliche Cookies sind:

  • Authentifizierungs-Cookies bei Anmeldung
  • Nutzer-Eingabe-Cookies zum temporären Speichern von Eingaben in Formularen oder von Warenkörben
  • Load Balancing- und Sicherheits-Cookies, um z.B. wiederholt fehlgeschlagene Anmeldeversuche festzuhalten
  • Cookies zur Speicherung von Nutzer-Präferenzen wie z.B. der Sprache
  • Cookies zur Wiedergabe von nutzerseitig angeforderten Audio- oder Videoinhalten
  • Social Media Cookies zum Teilen und Kommentieren von Inhalten durch eingeloggte Nutzer

Bis auf die Sicherheits-Cookies gilt dies jedoch nur für entsprechende Session Cookies, deren Gültigkeit auf die aktuelle Sitzung beschränkt ist.

TTDSG: Cookies für Web-Analyse, A/B-Testing, Tag Management und Affiliate Marketing dürfen nur nach Einwilligung eingesetzt werden.

PIMS ersetzen Cookie-Banner

§26 TTDSG sieht anerkannte Dienste zur Einwilligungsverwaltung vor, um das ständige „Wegklickenmüssen“ von Cookie-Bannern auf jeder einzelnen Website zu beenden. Ein innovatives Datenmanagement- und Datentreuhandsystem in Form von sogenannten Personal Information Management Services (PIMS) ist jedoch noch Zukunftsmusik und dürfte noch etliche Monate auf sich warten lassen. Dennoch ist klar, wohin die Reise geht: weg von individuellen Cookie-Abfragen und hin zu geringeren Einwilligungsraten für Zwecke ohne direkten Vorteil für den Nutzer.

TTDSG: Nur Consent-freie Web-Analyse ist nachhaltig.

Mehr Strafen

Um schlagkräftiger agieren zu können und dem derzeitigen Vollzugsdefizit zu begegnen, hatte die Datenethikkommission eine Zentralisierung der Datenschutzaufsicht in einer Behörde auf Bundesebene empfohlen. Für Verstöße gegen die Cookie-Regelung ist nunmehr der oder die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig und kann Geldbußen von bis zu 300.000 Euro verhängen. Und zwar ergänzend zu möglichen Strafen aus damit verbundenen Verstößen gegen die Regelungen der DSGVO.

TTDSG: Verstöße werden härter verfolgt.

TTDSG-konform mit etracker Analytics

Im Standard setzt etracker Analytics keine einwilligungspflichtigen Cookies ein und bedarf daher nicht der vorherigen Zustimmung des Nutzers. Nach Einwilligung ist eine Aktivierung von etracker Cookies durch mit dem jeweiligen Consent Management Tool verknüpfte Funktionsaufrufe möglich.

Wir empfehlen, zwei Prüfungen vorzunehmen:

1. Wird das Cookie Blocking korrekt über den Tracking Code und nicht das CMP gesteuert?

Der standardmäßig enthaltene Parameter data-block-cookies=“true“ im Tracking Code unterbindet das Setzen von etracker Cookies. Bitte keine weiteren Änderungen am etracker Code vornehmen und insbesondere den type bei „text/javascript“ belassen, um sicherzustellen, dass ohne Zustimmung die Cookie-lose Tracking-Variante weiterläuft!

Anleitungen für die gängigsten CMP-Lösungen stellen wir hier bereit. Beachte auch, dass die Integration des Tracking Codes in einwilligungspflichtige Tag Management-Lösungen die Consent-Freiheit durchkreuzt und nichtig macht.

2. Ist der Consent-Dialog rechtskonform gestaltet?

Häufigster Fehler aktuell: Nach den Richtlinien der Aufsichtsbehörden muss es auf oberster Ebene des Consent-Dialogs gleichwertig gestaltete Schaltflächen für die Cookie-Einwilligung und für die Cookie-Ablehnung geben.

Dies bekräftigt Ulrich Kühn von der Hamburgischen Aufsichtsbehörde in einer E-Mail vom 19. März 2021:

„Es muss eine visuelle und begriffliche Gleichwertigkeit der Schaltfläche zur Einwilligung und dem Verzicht darauf gegeben sein; dies betrifft sowohl die Auffindbarkeit/Erkennbarkeit beider Varianten als auch den damit verbundenen Aufwand. Dies leiten wir aus dem Rechtsgedanken der Gleichwertigkeit von Einwilligung und Widerruf in Art. 7 Abs. 3 S. 4 DS-GVO her. Die Bewertungskriterien sind bspw. Farbgebung, Schriftart (fett), Schriftgröße, Erkennbarkeit als Schaltfläche oder Anordnung.“

TTDSG: etracker Analytics kann TTDSG-konform mit und ohne Einwilligung eingesetzt werden.

Noch mehr rund um um Web-Analyse und Cookie-Consent findest du hier:

Disclaimer 

Diese Ausführungen stellen keine Rechtsberatung dar und können keine individuelle Rechtsberatung ersetzen. Sie sind eine fachliche Auseinandersetzung und Zusammenfassung des Themas. Im Bedarfsfall stellen wir gerne den Kontakt zu einem Fachanwalt her. 

Scroll to Top