Cookies ohne Einwilligung

Kaum ein Seitenbetreiber setzt keine Cookies mehr ein. Mittels verschiedener Tools können so Nutzeraktivitäten zur „Verbesserung des Internetauftritts und der einfachen Bedienbarkeit“ ausgewertet werden. In der jüngeren Vergangenheit sollen die Besucher auf zunehmend mehr Internetseiten bestätigen, ob ein solcher Cookie auf dem Gerät abgelegt werden darf. Ein oft an die UIMC gestellte Frage ist jedoch: Ist dies zwingend erforderlich?
Cookies sind Textdateien, die auf dem Computer gespeichert werden und eine Analyse der Benutzung der Internetpräsenz ermöglichen. Da hierdurch eine Verarbeitung personenbezogener Daten ermöglicht wird, hat das Europäische Parlament die sogenannte „Cookie-Richtlinie“ verabschiedet. Die E-Privacy-Richtlinie 2009/136/EG ist in den EU-Staaten aufgrund der einzelstaatlichen Rechtslage unterschiedlich geregelt. Viele Internetseiten-Betreiber, auch in Deutschland und Österreich, holen sich aktuell die Zustimmung des Besuchers ein. Dies ist nach deutschem Recht nicht zwingend erforderlich. Vielmehr wird mehrheitlich die Rechtsauffassung vertreten, dass durch die Browser-Einstellung („Cookies zulassen“) bereits eine Zustimmung des Betroffenen angenommen werden kann. Beim Einsatz von Tracking-Diensten sollte grundsätzlich zumindest ein Opt-Out in der Datenschutzerklärung angeboten werden. Solche Funktionen bieten beispielsweise PIWIK oder etracker, aber auch Google Analytics an. Eine Information über die Cookies sollte aber auf jeden Fall in der Datenschutzerklärung gegeben werden.
In Österreich ist die Rechtslage ungewisser: Gemäß den erläuternden Bemerkungen zu § 96 III TKG gilt zwar das Gleiche wie in Deutschland, jedoch sollte der Nutzer früh (also an prominenter Stelle auf der Website) über die Speicherung informiert werden. Ferner gibt es auch die Rechtsauffassung, dass dies nicht ausreichend ist und vielmehr eine aktive Zustimmung erforderlich ist. Wenngleich noch keine Rechtsprechung hierzu vorliegt, sollte zumindest dann die sog. Pop-Up- oder Click-Through-Vereinbarung („Opt-In“) gewählt werden, wenn über die Basis-Funktionen hinaus Daten mittels Cookies verarbeitet werden. In allen anderen Ländern des EU-Raumes ist eine jeweilige Zustimmung erforderlich, die je nach einzelstaatlicher Auffassung in einem unterschiedlich geregelten Opt-In realisiert werden muss. In der Regel ist das einzelstaatliche Recht der verantwortlichen Stelle, die im Impressum aufgeführt ist, anzuwenden. Die Haftung deutscher und österreichischer Unternehmen nach ausländischen Rechtsordnungen wird dennoch unterschiedlich beurteilt und bleibt eine Frage des Einzelfalls. Es kommt stets darauf an, ob das Unternehmen

• eine Niederlassung in dem jeweiligen Land hat oder
• mit einer eigenen Webseite gezielt Besucher in anderen Ländern ansprechen möchte (hierfür reicht es z. T. schon aus, die Internetseite in der entsprechenden Sprache anzubieten).

In diesem Falle müsste sich der Seitenbetreiber dem Recht des entsprechenden Landes unterwerfen. So ist die „deutsche Lösung“ (Information über die Cookies und Hinweis auf Browsereinstellung in der Datenschutzerklärung) nicht immer ausreichend:

• Spanien: Einwilligung durch den Nutzer
• Frankreich: Einwilligung durch den Nutzer, jedoch mit Ausnahmen z. B. für den virtuellen Einkaufskorb oder Cookies, die die gewünschte Sicherheit ermöglichen oder die die Sprache des Nutzers registrieren
• Italien: Vereinfachtes Verfahren für die freie und informierte Zustimmung
• Schweden: Einwilligungserklärung für solche Cookies nötig, die für andere Zwecke genutzt werden als den Abgleich von Einstellungen auf einer Seite oder den erneuten Aufruf vorangegangener beziehungsweise ähnlicher Anfragen des Nutzers

Daher ist zu empfehlen, dass jene Unternehmen mit einer fremdsprachigen Darstellung stets prüfen, ob auch anderes Recht anzuwenden ist. Im Übrigen ist dies nicht nur im Hinblick auf Cookies oder den Datenschutz empfehlenswert.