cookie-hinweispflicht-von-googleDiese Nachricht kam wohl für die meisten Kunden von Google recht überraschend. Der nicht gerade für Datenschutz bekannte Konzern, fordert seine Kunden zu mehr Transparenz beim Einsatz von Cookies auf. Wer das Werbenetzwerk Adsense von Google nutzt, muss Endnutzer in der EU künftig über die Verarbeitung persönlicher Daten und den Einsatz von Cookies informieren. Die Umsetzungsfrist wurde von Google auf den 30.09.2015 festgelegt. Auch wenn die von Google zitierte Cookie-Richtlinie bisher in Deutschland nicht umgesetzt wurde, gilt die Vorgabe des Suchmaschinen-Konzerns auch für deutsche Kunden. Kaum ein Thema wurde in den letzten Wochen so häufig durch unsere Kanzlei beraten, weshalb ich hier die Gelegenheit nutze, meine Empfehlung und die zugrunde liegenden Rechtsvorschriften zu erläutern.

 

 

Was fordert Google von seinen Kunden?

Google will, dass alle Kunden (auch Publisher genannt) von AdSense, DoubleClick for Publishers und DoubleClick Ad Exchange ihre Nutzer explizit auf den Einsatz der eingesetzten Cookies hinweisen. Google schlägt hierzu ein Cookie-Banner vor und gibt auf einer eigens erstellten Website (cookiechoices.org) eine Anleitung für seine Kunden. Der Hinweis soll zum einen die Nutzer auf die Cookies hinweisen, darüber hinaus aber auch die in der EU-Datenschutzrichtlinie geforderte Einwilligung in Cookies erfüllen. In seiner Anleitung verweist Google dabei auch auf Drittanbieter, die entsprechende Lösungen für Websitebetreiber offerieren.

Viele Publisher stellen sich derzeit die Frage, ob auch diejenigen von der Hinweispflicht betroffen sind, die „nur“ Analytics oder Adwords von Google nutzen. Hier sind die Aussagen von Google leider etwas verwirrend, da nicht auf den ersten Blick erkennbar ist, dass auch hier die Hinweispflicht greifen kann. Auf der Hinweissite cookiechoices.org gibt es hierzu von Google nur folgende Aussage: „Wenn Sie Google Analytics-Werbefunktionen verwenden, müssen Sie die Richtlinienanforderungen für Google Analytics-Werbefunktionen beachten.“ In der Google-Richtlinie steht sodann geschrieben, dass bei Verwendung der Google Analytics Werbefunktion (einer Erweiterung in Google Analytics) zusätzlich die von Google erstellte Richtlinie zur EU-Nutzereinwilligung zu beachten ist, was bedeutet, dass in diesem Fall die Cookie Hinweispflicht mit Einwilligung ebenfalls gilt.

Fazit: Die Hinweispflicht für Cookies betrifft all diejenigen Kunden, die Google professionell für Werbekampagnen nutzen. Websitebetreiber, die Google Analytics in der Basisversion nutzen, sind (vorerst) von der Pflicht befreit. Im Übrigen gilt die Hinweispflicht auch für mobile Angebote (also auch Apps), wenn die entsprechenden Dienste dort genutzt werden.

 

Worauf bezieht sich Google?

Nach der E-Privacy-Richtlinie 2009/136/EG (auch Cookie-Richtlinie genannt) aus dem Jahre 2009, dürfen insbesondere Tracking- und Targeting-Cookies nur gesetzt werden, wenn der Nutzer sein Einverständnis erteilt hat (Opt-In). Der europäische Gesetzgeber wollte dadurch sicherstellen, dass Website-Cookies, die für die Funktionalität einer Website nicht zwingend erforderlich sind, nur nach entsprechender Einwilligung der Endnutzer zum Einsatz kommen.

Da eine Richtlinie nicht unmittelbar in den Mitgliedsstaaten wirkt, mussten die Vorgaben zunächst von jedem Mitgliedsstaat in nationales Recht umgesetzt werden. Das von der EU gewünschte Opt-In wurde dabei nicht von allen Mitgliedsstaaten im Sinne der EU-Vorgabe umgesetzt (siehe Übersicht bei der Zeitschrift Computerwoche). Deutschland hat die Richtlinie trotz Ablauf der Umsetzungsfrist im Jahre 2011 ebenfalls nicht wörtlich in deutsches Recht implementiert. Seitdem kursieren hier unterschiedlichste Meinungen des Bundeswirtschaftsministeriums (umgesetzt) und deutscher Datenschutzbehörden (nicht umgesetzt), ob die Richtlinie bereits durch vorherige gesetzliche Regelungen in Deutschland erfüllt wird. Die europäische Kommission hält die Umsetzung in Deutschland, laut einer kürzlich veröffentlichten Studie, für nicht gegeben.

Fazit: Google berücksichtigt nicht die einzelnen nationalen Vorgaben, sondern stützt seine Hinweispflicht auf die generellen Vorgaben der EU-Cookie-Richtlinie.

 

Wie ist die Rechtslage in Deutschland?

Nach hiesigem Recht ist eine explizite Einwilligung in die Verwendung der Cookies grundsätzlich nicht erforderlich. Nach § 15 Absatz 3 Telemediengesetz (TMG) muss in Deutschland lediglich auf den Einsatz von Tracking- und Targeting-Cookies und diesbezügliche Widerspruchsrechte in einer Datenschutzerklärung hingewiesen werden. Getreu dem Motto: wir tracken, bis Du widersprichst. Das TMG schreibt also nur ein Opt-Out vor und das ist natürlich etwas anderes als eine vorherige Zustimmung der User.

Fazit: Nach deutschem Recht ist lediglich eine Opt-Out-Lösung mit zusätzlichen Hinweisen gesetzlich vorgeschrieben. Dies widerspricht der Hinweispflicht von Google, die eine Einwilligung der Nutzer (Opt-In) fordert.

 

Was sollten Publisher tun?

Auch wenn die rechtliche Basis für einen Cookie-Banner in Deutschland fehlt, sollten Kunden die Aufforderung von Google nicht auf die leichte Schulter nehmen. Google legt in seiner Richtlinie verbindlich fest, dass alle betroffenen Kunden die Zustimmung ihrer Nutzer beim Einsatz der entsprechenden Cookies einholen müssen. Diese vertragliche Pflicht scheint nach meiner Auffassung auch für deutsche Kunden verbindlich. Folgt man als Publisher dieser Aufforderung nicht, riskiert man daher eine Kündigung und einen damit verbundenen Ausschluss aus dem Werbenetzwerk.

Fazit: Publisher sind gut beraten, sich an die Vorgaben der neuen Google Richtlinie zu halten. Auch wenn es in Deutschland kein gesetzliches Erfordernis gibt, könnte Google die Aufforderung wohl auch vertraglich durchsetzen. Darüber hinaus haben sich die meisten Nutzer bereits an die Hinweise auf Websites gewöhnt und werden diese nicht als übermäßig störend empfinden. Zudem dient ein transparenter Datenschutz auch als Trust-Point in der Kommunikation mit dem Kunden.

Wenn Sie fragen zur Erstellung eines Cookie-Hinweises und der dazugehörigen Cookie-Erklärung benötigen, sprechen Sie uns gerne an. Wir liefern Ihnen eine schnelle und kostengünstige Lösung für Ihre Website.

UPDATE 2017: Die EU-Kommission hat ihren Entwurf der neuen ePrivacy-Verordnung veröffentlicht. Ab Mai 2018 soll diese zusätzlich zur Datenschutz-Grundverordnung gelten. Wir haben HIER in einer Kurzanalyse dargestellt, welche Änderungen dies für den Einsatz von Cookies bedeutet.


David OberbeckÜber den Autor:
David Oberbeck ist Rechtsanwalt und Partner der Datenschutzkanzlei. Seine Beratungsschwerpunkte liegen im Datenschutz-, Wettbewerbs- und IT-Recht. Zudem ist er als externer Datenschutzbeauftragter für verschiedene Unternehmen tätig.