Bundeswirtschaftsministerium: Cookie-Richtlinie längst in Deutschland umgesetzt

Die Meldung ist nicht neu. Bereits am 26. Januar 2012 hat dies der CDU-Abgeordnete Andreas Lämmel dies in seiner Rede vor dem Bundestag berichtet.

Auch ist die Behauptung, die Cookie-Bestimmung sei bereits im TMG umgesetzt, gar nicht so abwegig, wie es auf den ersten Blick erscheinen mag. Dazu muss man sich zwei Dinge vor Augen halten. Erstens: Cookies sind keineswegs mit Nutzungsprofilen gleichzusetzen. Nutzungsprofile befinden sich auf den Servern von Website-Anbietern oder von Dritten wir Google oder Facebook. Cookies dagegen sind auf den Endgeräten der Nutzer gespeichert und ihr Inhalt, Identifikatoren, werden bei jedem URL-Abruf zum Server übertragen. § 15 Abs. 3 TMG regelt Nutzungsprofile, keine Cookies. Die Cookie-Bestimmung, Art. 5 Abs. 3 der ePrivacy-Richtlinie, dagegen regelt alle Vorgänge, die Informationen vom Endgerät des Nutzers nach außen übertragen oder von außen auf dem Endgerät speichern. Dazu gehören auch Cookies, aber keine Nutzungsprofile. § 15 Abs. 3 TMG so zu verschärfen, dass für die Erstellung von Nutzungsprofilen eine Einwilligung verlangt wird, wäre also keine Umsetzung der Cookie-Bestimmung.

Die Cookie-Bestimmung kann auf zwei verschiedene Arten ausgelegt werden. Die enge Auslegung nach dem Wortlaut geht aus von den Begriffsbestimmungen Verarbeitung, Einwilligung und Unterrichtung, die in der EU-Datenschutz-Richtlinie im Kontext der Verarbeitung personenbezogener Daten definiert sind. Nach dieser Interpretation verlangt die Cookie-Bestimmung nur dann eine Einwilligung, wenn ein personenbezogenes Datum übertragen wird. Wird ein personenbezogener Identifikator im Cookie übertragen, entsteht auf dem Server ein personenbezogenes Nutzungsprofil, das nicht mehr von der Erlaubnis von § 15 Abs. 3 TMG, Nutzungsprofile unter Pseudonym zu erstellen, abgedeckt ist. Dafür ist bereits nach geltendem Recht eine Einwilligung erforderlich. Die Bundesregierung kann daher mit Recht behaupten, hinsichtlich der Umsetzung der Cookie-Bestimmung bestehe nach dem TMG kein Handlungsbedarf.

Die Absicht des EU-Gesetzgebers war es dagegen, alle Informationen zu erfassen, die vom Endgerät des Nutzers nach außen übertragen oder von außen auf dem Endgerät gespeichert wird, unabhängig davon, ob es sich dabei um personenbezogene Daten oder anonyme Daten handelt oder um Daten, die überhaupt keine Information über eine natürliche Person enthalten. Folgt man dieser weiten Auslegung, so besteht tatsächlich Umsetzungsbedarf in Deutschland. Für die Verarbeitung von nicht personenbezogenen Daten aber Unterrichtung und Einwilligung zur Verarbeitung von personenbezogenen Daten zu verlangen, ist absurd. Die deutsche Regierung hat klug gehandelt und uns – bisher jedenfalls – diesen Unsinn erspart.

Details siehe den Aufsatz: Stefan Schleipfer: Die sog. Cookie-Bestimmungen in der ePrivacy-Richtlinie und ihre Umsetzung in deutsches Recht. RDV 4/2011 S. 170–177