TTDSG – eine schöne Abkürzung und wichtig bei der Webseitengestaltung 

Am 1. Dezember 2021 ist das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) in Kraft getreten, welches besondere Vorschriften zum Schutz der Privatsphäre bei der Nutzung von Telekommunikations-und Telemediendiensten enthält. Das TTDSG richtet sich u.a. an alle Anbieter von Webseiten, Apps oder Smarthome-Anwendungen. In diesem Beitrag soll die Frage erörtert werden, ob sich Änderungsbedarf bei der Gestaltung Ihrer Websites ergibt.

Zentrale Vorschrift zu diesem Thema ist § 25 TTDSG, wo die Zulässigkeit zum Setzen- und Auslesen von Cookies geregelt ist. Danach ist bei der Speicherung und beim Zugriff auf Informationen, die auf einem Endgerät gespeichert sind, stets die Einwilligung des Nutzers erforderlich. Von der Regelung umfasst sind alle Geräte, die über einen Internetanschluss verfügen, d.h. Computer und Smartphones aber auch Gegenstände aus dem Bereich des Internet der Dinge (sog. IoT - Internet of Things), d.h. auch Smarthome-Anwendungen wie Küchengeräte, Heizkörperthermostate oder Alarmsysteme.

In der Orientierungshilfe der Datenschutzkonferenz zum TTDSG (OH Telemedien 2021) wurden die Anforderungen an eine wirksame Einwilligung zur Verwendung von Cookies gegenüber der bisherigen Rechtsprechung des BGH (Urteil vom 28.05.2020 - I ZR 7/16) konkretisiert. Hieraus ergeben sich u.a. Konsequenzen für die Gestaltung von Cookies-Bannern, Einwilligungserklärungen und für die Datenschutzerklärung auf der Webseite von Unternehmen.

Die neuen Anforderungen versteht man am besten, wenn man sich ein Grundverständnis über das Verhältnis zwischen TTDSG und DSGVO verschafft: Das TTDSG betrifft jegliche Informationen auf die mittels Technologie auf Endgeräten zugegriffen werden kann. Die DSGVO betrifft demgegenüber (nur) die Verarbeitung von personenbezogenen Daten. Rechtlich ergeben sich damit in der Regel zwei separat zu prüfende Lebenssachverhalte, nämlich der vorgelagerte technische Prozess, bei denen auf Endeinrichtungen zugegriffen wird, d.h. insbesondere das Setzen und Auslesen von Cookies (hier gilt das TTDSG) und der nachgelagerte Verarbeitungsprozess von personenbezogenen Daten, der mit dem Einsatz von Cookies bezweckt wird, d.h. beispielsweise die Verarbeitung von IP-Adressen zu Trackingzwecken (hierfür gilt die DSGVO).

In der Orientierungshilfe der DSK wird klargestellt, dass stets über alle Zwecke der Verarbeitung informiert werden muss, damit vom Nutzer wirksame Einwilligungen erteilt werden können. Bei der Formulierung der durch Anklicken zu bestätigenden Einwilligungserklärung auf der Webseite ist damit sowohl der Einsatz von Cookies als auch die damit bezweckte Folgeverarbeitung anzugeben. Nur dann liegt mit dem Anklicken des Einwilligungs-Buttons, eine wirksame Einwilligung nach § 25 TTDSG und Art. 6 Abs.1 lit a DSGVO vor. Wenn im Wortlaut der Einwilligungserklärung die beabsichtigten Folgeverarbeitungen nicht angesprochen werden, dann liegt demgegenüber nur eine Einwilligung nach § 25 TTDSG vor und eine Folgedatenverarbeitung würde ohne entsprechende Rechtsgrundlage erfolgen (!).

Wenn bei der Benutzung der Webseite Prozesse stattfinden, die sowohl unter das TTDSG als auch unter die DSGVO fallen, ist außerdem in der Datenschutzerklärung über beide Rechtgrundlagen (§ 25 TTDSG und Art. 6 Abs. 1 lit. a DSGVO) separat zu informieren. Bei den Informationen, die nach TTDSG erforderlich sind, handelt es sich im Wesentlichen um dieselben Informationen, die für Datenverarbeitungsprozesse nach den Artt. 13, 14 DSGVO zu erteilen sind. Außerdem ist nach der Orientierungshilfe der DSK eine Information darüber erforderlich, ob und ggf. inwieweit der Zugriff auf Informationen nach TTDSG weiteren Datenverarbeitungsprozessen dient, die den Anforderungen der DSGVO unterfallen. Ferner muss verdeutlicht werden, dass ein späterer Widerruf sich gemäß Art. 7 Abs. 3 S. 3 DSGVO nicht mehr auf den bis zum Widerrufs erfolgten Zugriff/die Speicherung auswirkt.

Die wichtigsten Dinge, die bei der Gestaltung von Cookies-Banner und/oder Datenschutzerklärung nach DSK noch zu beachten sind, sind Folgende:

Der Cookies-Banner ist so zu gestalten, dass stets klar ist, mit welcher Schaltfläche welcher Effekt erzielt werden kann und wie eine Ablehnung von einwilligungsbedürftigen Prozessen möglich ist. Regelmäßig unzulässig sein soll eine Gestaltung, nach der vom Nutzer zunächst eine im Einwilligungsbanner integrierte Detailansicht zu öffnen ist, um darüber zu sehen, welche Voreinstellungen im Falle eines Klicks auf „Akzeptieren“ gesetzt sind.

Nach der Orientierungshilfe der DSK liegt eine wirksame Einwilligung auch dann nicht vor, wenn Nutzenden nur zwei Handlungsmöglichkeiten zur Auswahl gestellt werden, die nicht gleich schnell zum Ziel führen, um die auf der Webseite angebotenen Inhalte nutzen zu können. Es müssen dem Nutzer gleichwertige Handlungsmöglichkeiten (z.B. zwei separate Buttons) angeboten werden, um die Einwilligung zu erteilen oder sie abzulehnen.

Nach Auffassung der DSK muss außerdem die Möglichkeit zum Widerruf der Einwilligung auf demselben Weg möglich sein, wie die Einwilligung. Insoweit ist ein sichtbarer Direktlink oder ein Icon auf der Webseite bereitzustellen.

Die Einwilligung muss schließlich bezogen auf einen konkreten Fall erteilt werden. Hierzu sagt die Orientierungshilfe der DSK, dass allgemeine Angaben wie „Verbesserung der Erfahrung des Nutzers“ oder „Werbezwecke“ nicht ausreichend sind. Dem Nutzer müssen vielmehr konkrete Informationen über alle Zwecke der zum Einsatz kommenden Tools erteilt werden.

TIPP! 

Überprüfen Sie Ihren Internetauftritt im Hinblick auf die Datenschutzerklärung der Webseite, den Cookies-Banner und die vom Nutzer zu bestätigenden Einwilligungserklärungen! 

Wenn Sie konkrete Fragen haben, beraten wir Sie gern!