TTDSG in Kraft: Cookies nur noch mit Einwilligung, sagt die DSK

Seit dem 1. Dezember 2021 gilt das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG, BGBl. 2021 I S. 1982). Kern für Websitebetreiber und App-Anbieter ist § 25 TTDSG: Wer Informationen auf dem Endgerät eines Nutzers speichert oder dort ausliest, braucht grundsätzlich dessen Einwilligung. Am 20. Dezember 2021 hat die Datenschutzkonferenz (DSK) ihre Orientierungshilfe für Anbieter von Telemedien veröffentlicht. Sie zeigt, wie die Aufsichtsbehörden die neue Norm lesen.

Was § 25 TTDSG regelt

Die Vorschrift setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie endlich ausdrücklich ins deutsche Recht um. Sie erfasst nicht nur Cookies, sondern jeden Zugriff auf das Endgerät: Local Storage, Fingerprinting-Techniken, Werbe-IDs in Apps oder das Auslesen von Gerätekennungen. Ob dabei personenbezogene Daten im Spiel sind, ist nach Ansicht der DSK unerheblich.

Ohne Einwilligung ist der Zugriff nur erlaubt, wenn er der Übertragung einer Nachricht dient oder wenn er unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann (§ 25 Abs. 2 TTDSG). Die DSK legt diese Ausnahme eng aus und prüft sie für jede Funktion einzeln.

Cookie-Banner: Anforderungen der Aufsichtsbehörden

Aus der Orientierungshilfe ergeben sich klare Vorgaben für die Gestaltung:

• Die Einwilligung muss vor dem ersten Zugriff vorliegen. Cookies dürfen nicht schon beim Laden der Seite gesetzt werden.
• Scrollen, Weitersurfen oder vorausgewählte Kästchen genügen nicht. Opt-out-Lösungen sind ungeeignet.
• Die Ablehnung muss auf der ersten Ebene mit gleichem Aufwand möglich sein wie die Zustimmung. Ein Banner nur mit „OK“ reicht nicht.
• Zwecke, beteiligte Dritte und Speicherdauer sind konkret zu benennen.
• Der Widerruf muss so einfach sein wie die Erteilung.

Die Verantwortung bleibt beim Websitebetreiber, auch wenn er eine Consent-Management-Plattform einsetzt.

TTDSG und DSGVO: zwei Stufen

§ 25 TTDSG betrifft nur den Zugriff auf das Endgerät. Die anschließende Verarbeitung personenbezogener Daten richtet sich weiter nach der DSGVO. Eine Einwilligung nach TTDSG ersetzt nicht automatisch die nach Art. 6 Abs. 1 lit. a DSGVO, beide lassen sich aber in einem Dialog bündeln, wenn alle Zwecke genannt werden. Auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO lässt sich Tracking nach Auffassung der DSK nur in wenigen Fällen stützen.

Hinzu kommt die Drittlandfrage. Seit dem Schrems-II-Urteil des EuGH reichen Standardvertragsklauseln für US-Dienste häufig nicht allein aus. Für dauerhaftes Tracking scheidet Art. 49 DSGVO als Grundlage in der Regel aus.

Reichweitenmessung und Analyse

Eine pauschale Freigabe für Webanalyse enthält die Orientierungshilfe nicht. Entscheidend ist der konkrete Zweck. Wer Analyse ohne Einwilligung betreiben will, muss gut begründen, warum gerade diese Messung für den vom Nutzer gewünschten Dienst unbedingt erforderlich ist. In der Praxis raten wir derzeit zur Einwilligung, sofern keine streng datensparsame, selbst gehostete Lösung eingesetzt wird.

Was Sie jetzt tun sollten

Wir empfehlen eine Bestandsaufnahme aller Skripte, Pixel und SDKs auf Website und App. Für jedes Element ist festzuhalten, ob es unter die Ausnahme fällt oder eine Einwilligung braucht. Danach folgen Banner, Datenschutzerklärung und Dokumentation. Die in § 26 TTDSG vorgesehenen anerkannten Dienste zur Einwilligungsverwaltung gibt es noch nicht; dafür fehlt die Rechtsverordnung.

Fragen dazu? Wir prüfen Ihre Website und Ihre App auf die Anforderungen des TTDSG. Nutzen Sie unsere Onlineberatung. Weiterführend: Datenschutz, Cookies und Tracking und Datentransfer in Drittländer.