Deutsche DSK-Cookie-Einwilligungsrichtlinien: Wichtige Schritte zur Compliance

Was ist die DSK?

Privatunternehmen in Deutschland unterliegen der Zuständigkeit der staatlichen Datenschutzbehörden (DSBs). Beispiele hierfür sind die Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (Hamburgische Beauftragte für Datenschutz und Informationsfreiheit - HmbBfDI), die Berliner Beauftragte für Datenschutz und Informationsfreiheit (Berliner Beauftragte für Datenschutz und Informationsfreiheit - BlnBDI) und andere. Die DSK (Kurzform für „Datenschutzkonferenz") ist ein Zusammenschluss der deutschen staatlichen Datenschutzbehörden. Die DSK befasst sich mit Datenschutzfragen in Deutschland und nimmt dazu Stellung. Sie fungiert als Koordinierungsgremium und trifft keine verbindlichen Entscheidungen für Organisationen. Learn more about wie BDSG und DSGVO bei deutschen Aufsichtsbehörden zusammenwirken.

Die deutsche DSK veröffentlichte ihre Cookie-Richtlinien im April 2019. Die DSK-Cookie-Einwilligungsrichtlinien wurden entwickelt, um sicherzustellen, dass das deutsche Telemediengesetz (Telemediengesetz, kurz TMG) auf Telemedienaktivitäten angewendet wird. Ein Beispiel für eine solche Aktivität war die Verwendung von Website-Cookies für zielgerichtete Werbung nach Inkrafttreten der DSGVO. Die deutschen DSK-Cookie-Einwilligungsrichtlinien präzisierten und verbesserten insbesondere die im April 2018 herausgegebene frühere Stellungnahme zur Verwendung von Website-Cookies.

Der Bundesgerichtshof entschied im Mai 2020, dass ein Opt-out-Mechanismus für Cookies gemäß dem deutschen Telemediengesetz ungültig ist. Diese Entscheidung stellte unmissverständlich fest, dass die Verwendung aller nicht wesentlichen Cookies eine ausdrückliche Cookie-Einwilligung bzw. ein Opt-in der Website-Nutzer erfordert.

Im Wesentlichen wies der Bundesgerichtshof die DSB an, die DSGVO-Anforderungen in künftige Durchsetzungsmaßnahmen einzubeziehen. Die Weisung des Bundesgerichtshofs erging, nachdem der Gerichtshof der Europäischen Union (EuGH) sein Urteil im Fall Planet 49 gefällt hatte.

Darüber hinaus erweiterte die Entscheidung des Bundesgerichtshofs den Anwendungsbereich der Richtlinien der Deutschen Datenschutzkonferenz (DSK) zur Verwendung von Website-Cookies, die am 5. April 2019 veröffentlicht wurden.

Am 1. Dezember 2021 trat in Deutschland das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) in Kraft, das das deutsche Telemediengesetz und das Telekommunikationsgesetz von 1996 zusammenführt sowie die Cookie-Einwilligungsanforderungen der EU-ePrivacy-Richtlinie umsetzt.

Am 22. Dezember 2021 veröffentlichte die DSK ihre Orientierungshilfe für Anbieter von Telemedien, die sich hauptsächlich mit der „Cookie-Regelung" des neuen deutschen Telekommunikation-Telemedien-Datenschutz-Gesetzes befasste. Die Richtlinien konzentrieren sich auf die Einwilligungsanforderungen und Ausnahmen des TTDSG für die Cookie-Einwilligung.

Weitere Datenschutzbehörden, die Cookie-Richtlinien herausgegeben haben, sind:

Spanische AEPD-Cookie-Richtlinien: Der ultimative Leitfaden

Die belgische Datenschutzbehörde

Französische CNIL-Einwilligungsrichtlinien

Die Cookie-Einwilligungsrichtlinien der niederländischen DSB

Griechische DSB-Cookie-Einwilligungsrichtlinien

Vor diesem Hintergrund sehen wir uns an, was erforderlich ist, um eine DSGVO- und TTDSG-konforme Cookie-Einwilligung für Ihre deutsche Website zu erhalten.

Überblick über die DSGVO-Anforderungen
ePrivacy-Richtlinie und Cookie-Einwilligung
Die ePrivacy-Richtlinie und der Fall Planet 49
TTDSG-Cookie-Einwilligungsanforderungen
Deutsche DSK-Cookie-Einwilligungsrichtlinien
Sanktionen bei Nichteinhaltung der deutschen DSK-Cookie-Einwilligungsrichtlinien
Konformität mit den deutschen DSK-Cookie-Einwilligungsrichtlinien und Secure Privacy

Überblick über die DSGVO-Anforderungen

Die im Mai 2018 verabschiedete Datenschutz-Grundverordnung (DSGVO) der EU hat strenge Vorschriften dafür eingeführt, wie Sie Daten von EU-Bürgern erheben und verarbeiten dürfen.

In diesem Zusammenhang bezieht sich der Begriff „personenbezogene Daten" auf Informationen, die zur Identifizierung einer Person verwendet werden können, beispielsweise:

Name des Nutzers
E-Mail-Adresse
Telefonnummer
Standortdaten
Cookies
IP-Adresse

Auf dieser Grundlage lauten die Grundprinzipien der DSGVO wie folgt:

Beschränken Sie die erhobenen Daten auf das tatsächlich Notwendige

Stellen Sie sicher, dass Sie alle Kategorien personenbezogener Daten kennen, die Sie erheben, um die Erfassung unnötiger Daten zu vermeiden.

Daten nur für den erforderlichen Zeitraum speichern

Sie sollten geeignete Datenspeicherungsmaßnahmen für Ihre Nutzer einführen und diese entfernen, sobald sie nicht mehr benötigt werden.

Vermeiden Sie die Speicherung personenbezogener Daten, ohne eine gültige Cookie-Einwilligung Ihrer Nutzer einzuholen

Holen Sie von Ihren Website-Besuchern eine eindeutige und ausdrückliche Einwilligung ein, bevor Sie Cookies auf ihren Geräten platzieren, um personenbezogene Daten zu erheben.

Üben Sie Transparenz in Bezug auf die von Nutzern erhobenen Daten aus

Sie sollten offenlegen, welche Arten personenbezogener Daten Sie erheben, warum Sie diese erheben und wer die von Ihnen erhobenen personenbezogenen Daten erhält.

Verwenden Sie die erhobenen personenbezogenen Daten ausschließlich für die angegebenen Zwecke
Stellen Sie sicher, dass die personenbezogenen Daten Ihrer Nutzer vor Datenschutzverletzungen geschützt sind
Bieten Sie Ihren Nutzern die Möglichkeit, ihr Konto zu löschen sowie ihre Daten zu ändern oder zu löschen

Lesen Sie diese zusätzlichen Ressourcen, um mehr darüber zu erfahren, was Sie tun müssen, um DSGVO-konform zu sein.

https://gdpr-info.eu/issues/

https://techblog.bozho.net/gdpr-practical-guide-developers/

Vereinfacht ausgedrückt besagt die ePrivacy-Richtlinie, dass Sie zunächst die Einwilligung Ihrer Website-Nutzer einholen müssen, wenn Sie durch das Platzieren von Cookies auf deren Gerät auf deren personenbezogene Daten zugreifen möchten.

Eine Cookie-Einwilligung gilt gemäß der ePrivacy-Richtlinie als wirksam erteilt, wenn sie:

Freiwillig erteilt wurde
Spezifisch ist
Den Willen des Nutzers klar zum Ausdruck bringt

Die einzige Ausnahme von dieser Regel besteht, wenn der Zugang zu solchen Informationen unbedingt erforderlich ist, beispielsweise bei der Bereitstellung eines elektronischen Kommunikationsdienstes (EKD) oder eines Dienstes der Informationsgesellschaft (DIG).

Die größte Schwierigkeit bei der Durchsetzung der Einwilligungsanforderungen des EU-Cookie-Gesetzes besteht darin, dass es von den meisten DSBs in Europa als Richtlinie für das Vorhandensein eines einfachen Einwilligungsbanners auf Ihrer Website ausgelegt wurde.

In ähnlicher Weise setzte die Deutsche Datenschutzkonferenz, der Dachverband der staatlichen DSBs, diesen Abschnitt der ePrivacy-Richtlinie nicht durch.

Dies lag daran, dass die Regulierungsbehörden der Ansicht waren, dass die in dieser Klausel dargelegten Anforderungen bereits im deutschen Telemediengesetz enthalten waren.

All dies änderte sich im Mai 2020 nach einem Urteil des Europäischen Gerichtshofs (EuGH) in dem Fall, der die Verwendung von Werbe-Cookies durch Planet 49 betraf, nachdem der Bundesgerichtshof beim obersten EU-Gericht um Klärung ersucht hatte.

Die ePrivacy-Richtlinie und der Fall Planet 49

Planet 49, ein deutsches Unternehmen, startete 2013 ein Online-Gewinnspiel, bei dem die Teilnehmer zur Teilnahme ihren Namen, ihre Adresse und ihre Postleitzahl angeben mussten.

Darüber hinaus wurden potenzielle Teilnehmer gebeten, zwei wesentlichen Anforderungen zuzustimmen:

Marketingkommunikation per Post oder SMS
Analyse- und Marketing-Cookies

Während das Kontrollkästchen im Cookie-Banner für Marketingkommunikation leer blieb, war das zweite Kästchen für Analyse- und Marketing-Cookies vorangekreuzt.

Aufgrund der Beschwerden von Teilnehmern sah sich der Bundesverband der Verbraucherzentralen veranlasst, Planet 49 zu verklagen.

Der Bundesgerichtshof legte den Fall dem EuGH zur rechtlichen Auslegung und Orientierung vor.

Der EuGH fällte sein Urteil im Mai 2020 und stellte fest, dass die Praktiken von Planet 49 sowohl gegen die Cookie-Einwilligungsanforderungen der DSGVO als auch der ePrivacy-Richtlinie verstießen.

Die ePrivacy-Richtlinie besagt, wie bereits erwähnt, dass eine Einwilligung nur dann gültig ist, wenn sie freiwillig erteilt wird, spezifisch ist und den Willen des Nutzers klar zum Ausdruck bringt.

Es sei auch darauf hingewiesen, dass gemäß dem EU-Cookie-Gesetz ein Kontrollkästchen eine rechtmäßige Methode zur Einholung der Cookie-Einwilligung darstellt.

Die wichtigsten Feststellungen des EuGH in diesem Fall sind folgende:

Das nicht vorangekreuzte Kontrollkästchen war sowohl mit der DSGVO als auch mit der ePrivacy-Richtlinie konform
Das vorangekreuzte Kästchen verstieß gegen die Cookie-Einwilligungsvorschriften
Eine über vorangekreuzte Kästchen eingeholte Einwilligung ist ungültig, da sie nicht den Datenschutzanforderungen entspricht.

Die ePrivacy-Richtlinie wurde in Deutschland nicht vollständig umgesetzt, da einige ihrer Anforderungen als ähnlich dem deutschen Telemediengesetz angesehen wurden.

Das bedeutet, dass die Planet-49-Entscheidung das Recht nicht vollständig verändert hat. Stattdessen hatte sie eine wesentliche Konsequenz:

Das deutsche Datenschutz- und Cookie-Recht wird künftig gemäß der DSGVO und der ePrivacy-Richtlinie ausgelegt.

Der Klarheit halber bedeutet dies:

Die von Ihnen eingeholte Einwilligung gilt nur dann als gültig, wenn sie freiwillig erteilt wurde
Die von Ihnen eingeholte Einwilligung muss den Willen des Nutzers klar zum Ausdruck bringen
Die Einwilligung, die Sie durch vorangekreuzte Kontrollkästchen erhalten, ist sowohl nach der ePrivacy-Richtlinie als auch nach der Datenschutz-Grundverordnung (DSGVO) ungültig.
Sie sollten Ihre Nutzer in Ihrer Cookie-Mitteilung über die auf Ihrer Website verwendeten Cookies informieren, da eine Einwilligung als ungültig gilt, wenn die Betroffenen nicht wissen, womit sie einwilligen.

Unser Blog bietet eine detaillierte Aufschlüsselung des EuGH-Urteils im Fall Planet 49. Lesen Sie es hier: https://secureprivacy.ai/blog/the-planet-49-judgement-key-takeaways

Das TTDSG ist das Ergebnis der Reaktion des Bundesgerichtshofs auf die Frage der Gültigkeit der Einwilligung beim Platzieren von Cookies auf Endnutzergeräten. Das Gesetz übernimmt Artikel 5 Absatz 3 der EU-ePrivacy-Richtlinie nahezu wortgleich in § 25 des TTDSG. Dies war tatsächlich eine der Triebkräfte für die Schaffung des TTDSG.

Gemäß diesem Abschnitt des TTDSG ist die Speicherung von Informationen auf Endnutzergeräten oder der Zugriff auf bereits auf solchen Geräten gespeicherte Informationen nur mit Einwilligung des Endnutzers zulässig. Es gibt einige Ausnahmen, die wie folgt lauten:

Wenn der einzige Zweck der Speicherung von Informationen auf dem Endnutzergerät oder des Zugriffs auf bereits auf dem Endnutzergerät gespeicherte Informationen darin besteht, eine Nachricht über ein öffentliches Telekommunikationsnetz zu übermitteln; oder
Wenn die Speicherung von Informationen auf dem Endnutzergerät oder der Zugriff auf zuvor auf dem Endnutzergerät gespeicherte Informationen „unbedingt erforderlich" ist, um einen „vom Nutzer ausdrücklich gewünschten Dienst" bereitzustellen.

Die DSK veröffentlichte ihre Richtlinien im Dezember 2021, kurz nach Inkrafttreten des TTDSG, und befasste sich darin hauptsächlich mit § 25 des TTDSG, der die Cookie-Einwilligungsanforderungen der EU-ePrivacy-Richtlinie umsetzt.

Um die deutschen DSK-Cookie-Einwilligungsrichtlinien einzuhalten, müssen Sie Folgendes tun:

Setzen Sie Tracking-Cookies nur, wenn Sie die ausdrückliche vorherige Einwilligung Ihrer Website-Besucher haben.

Nicht wesentliche Cookies, wie etwa die von Google Analytics auf Ihrer Website gesetzten, müssen Ihren Nutzern die Möglichkeit bieten, der Nachverfolgung ihrer personenbezogenen Daten zuzustimmen.

Verlangen Sie nicht, dass Nutzer Tracking-Cookies akzeptieren, um auf die Inhalte Ihrer Website zugreifen zu können

Cookie-Banner mit vorangekreuzten Kästchen für Marketing-/Werbecookies und Formulierungen wie „Durch die Nutzung dieser Website stimmen Sie der Verwendung von Cookies zu" stellen gemäß den deutschen DSK-Cookie-Einwilligungsrichtlinien keine gültige Einwilligung mehr dar.

Ermöglichen Sie Nutzern, Tracking-Cookies abzulehnen

Zusätzlich zu den für den ordnungsgemäßen Betrieb Ihrer Website erforderlichen notwendigen Cookies müssen Sie Nutzern gemäß den deutschen DSK-Cookie-Einwilligungsrichtlinien die Möglichkeit geben, Tracking-Cookies abzulehnen.

Sie benötigen keine gültige DSGVO-Cookie-Einwilligung für notwendige Cookies

Die deutschen DSK-Cookie-Einwilligungsrichtlinien besagen, dass Sie keine Nutzereinwilligung einholen müssen, um Cookies zu setzen, die keine personenbezogenen Daten enthalten.

Ebenso sind Sie nicht verpflichtet, Nutzern die Möglichkeit zu geben, dem Einsatz dieser Cookies zu widersprechen.

Wenn Sie ausschließlich notwendige Cookies verwenden, sollten Sie es vermeiden, Cookie-Einwilligungsmechanismen (wie ein Cookie-Banner) zur Einholung der Einwilligung der Endnutzer zu verwenden, da dies den Dienst unnötig beeinträchtigen würde.

Geben Sie in Ihrer Cookie- und Datenschutzrichtlinie alle Arten von Cookies an, die Sie auf Ihrer Website verwenden, sowie den jeweiligen Zweck.

Treffen Sie Vorkehrungen bei eingebetteten Inhalten

Tracking-Cookies werden häufig von Facebook, YouTube und anderen Drittanbieter-Widgets auf Ihrer Website verwendet. Sie müssen entweder deren Fähigkeit deaktivieren, personenbezogene Daten Ihrer Nutzer zu erheben, oder sie vollständig vermeiden.

Legen Sie alle auf Ihrer Website verwendeten Cookies offen und teilen Sie Ihren Nutzern in Ihrer Cookie- und Datenschutzrichtlinie den Zweck jedes Cookies mit.
Verwenden Sie keine vorangekreuzten Einwilligungskästchen

Erfahren Sie hier mehr über Tracking-Cookies und DSGVO-Konformität:

https://techblog.bozho.net/tracking-cookies-gdpr/

https://secureprivacy.ai/blog/gdpr-cookie-consent

Obwohl die Konformität jedes Cookie-Banners im Einzelfall bewertet werden muss, gibt es eine Reihe von Anforderungen, die Cookie-Banner erfüllen müssen, um den deutschen Behörden zu entsprechen. Weitere Informationen finden Sie unter DSGVO-Cookie-Einwilligungsbeispiele und DSGVO-Cookie-Richtlinien.

Dieser Cookie-Banner ist nicht konform, da:

- Er keine Möglichkeit bietet, Cookies abzulehnen

- Er keine Möglichkeit für eine separate Einwilligung für jede Cookie-Kategorie bietet.

- Er keinen Link oder Button zu einer expliziten Cookie-Richtlinie/-Erklärung enthält.

(Quelle: www.fcbayern.com)

Dieser Cookie-Banner ist wahrscheinlich konform, da:

- Er eine Möglichkeit bietet, Cookies abzulehnen

- Er eine Möglichkeit bietet, separaten Cookie-Kategorien zuzustimmen oder diese abzulehnen

- Er einen Link zur Cookie-Richtlinie enthält

- Er einen Link zu den Cookie-Einstellungen enthält, in denen Nutzer detaillierte Informationen zu jeder Cookie-Kategorie erhalten.

Wenn festgestellt wird, dass Sie gegen die deutschen DSK-Cookie-Einwilligungsrichtlinien verstoßen, werden DSGVO- und TTDSG-Durchsetzungsmaßnahmen gegen Sie eingeleitet. Beim Platzieren von Cookies auf Nutzergeräten und beim Zugriff auf Informationen auf Nutzergeräten hat das TTDSG Vorrang vor der DSGVO. Daher zieht die Nichteinhaltung der Cookie-Einwilligungsanforderungen des TTDSG die gesetzlich vorgesehene Strafe nach sich. Die weitere Verarbeitung von durch Cookies gesammelten Informationen hingegen unterliegt der DSGVO und damit den Sanktionen gemäß der DSGVO. Learn more about die aktuelle EU-Prüfaktion zu Transparenzpflichten im Überblick. Learn more about wie sich die Durchsetzung der Cookie-Einwilligung 2026 verschärft hat.

Insbesondere beträgt die Geldstrafe für vorsätzliche und unvorsätzliche Verstöße gegen § 25 TTDSG 10.000 EUR. Dies ist weit weniger schwerwiegend als die in der DSGVO vorgesehenen Verwaltungssanktionen. Jeder Verstoß, der eine anschließende Verarbeitung der durch Cookies erhobenen Daten beinhaltet, unterliegt jedoch DSGVO-Bußgeldern. Learn more about Geldstrafe für vorsätzliche und unvorsätzliche Verstöße.

Um die deutschen DSK-Cookie-Richtlinien einzuhalten, müssen Sie sicherstellen, dass Sie die folgende Checkliste erfüllen:

▢ Einen Cookie-Einwilligungsbanner verwenden, um die Einwilligung der Nutzer zur Verwendung von Cookies einzuholen

▢ Keine Cookies platzieren, bevor die Einwilligung eingeholt wurde, mit Ausnahme notwendiger Cookies

▢ Keine Cookie-Walls verwenden

▢ Ausdrückliche Informationen über die Cookie-Nutzung bereitstellen und die Zwecke kommunizieren; einen Link zu Ihrer Datenschutzrichtlinie und/oder Cookie-Richtlinie einbinden

▢ Keine vorangekreuzten Kästchen verwenden

▢ Nutzern ermöglichen, Cookies abzulehnen; keine Cookies laden, bevor der Nutzer eine Entscheidung zur Cookie-Nutzung getroffen hat

▢ Einwilligung für jede Verarbeitungskategorie einholen

▢ „Akzeptieren"- und „Ablehnen"-Optionen in gleicher Weise und mit gleicher Prominenz anbieten

▢ Sich nicht auf Schweigen oder Untätigkeit, wie das bloße Surfen auf der Website, als Einwilligung verlassen

▢ Die Verwendung von Drittanbieter-Widgets vermeiden oder deren Fähigkeit deaktivieren, personenbezogene Daten Ihrer Nutzer zu erheben

Secure Privacy ist eine leistungsstarke und dennoch benutzerfreundliche Lösung zur Einhaltung der deutschen DSK-Cookie-Einwilligungsrichtlinien.

Mit dem DSGVO-Compliance-Tool von Secure Privacy erhalten Sie:

Einfach anpassbare und stilvolle Cookie-Einwilligungsbanner, die Ihnen helfen, die Einwilligungen Ihrer Nutzer zu verwalten und ihnen zu ermöglichen, gemäß der ePrivacy-Richtlinie und den DSGVO-Anforderungen den verschiedenen Cookie-Typen auf Ihrer Website zuzustimmen oder diese abzulehnen

Einzigartige domänenübergreifende Einwilligungsfunktion, die es Ihren Nutzern ermöglicht, ihre Cookie-Einstellungen über mehrere Domänen hinweg in einem einzigen Schritt zu verwalten

Einen leistungsstarken Cookie-Richtlinien-Generator, mit dem Sie Ihre Cookie-Erklärungen und -Offenlegungen gegenüber Ihren Nutzern automatisch anpassen können

Fortschrittliches monatliches Website-Scanning, um sicherzustellen, dass Sie über alle Cookies auf Ihrer Website, die Art der von ihnen gesammelten personenbezogenen Daten, ihre Herkunft und die Empfänger der erhobenen Daten informiert sind

Vorab-Einwilligungs-Tool, um sicherzustellen, dass Cookies erst eingesetzt werden, nachdem Nutzer der Erhebung und Verarbeitung ihrer Daten zugestimmt haben

Echtzeit-Protokolle und Einwilligungs-Tracking, damit Sie nachvollziehbare Aufzeichnungen über den Einwilligungsstatus Ihrer betroffenen Personen führen können, falls die deutsche DSK diese anfordert

Unterstützung für mehr als 70 Sprachen, die es Ihnen ermöglicht, Ihren Cookie-Einwilligungsbanner in der Sprache Ihrer Zielnutzer einzustellen

Präzise Geolokalisierungsfunktion, mit der Sie Ihren Cookie-Einwilligungsbanner ausschließlich deutschen Nutzern anzeigen können

Eine zukunftssichere Lösung mit unübertroffener Agilität bei der Anpassung an sich entwickelnde regulatorische Änderungen im Bereich Cookie-Einwilligungs-Compliance

Sehen Sie sich unser Video an und erfahren Sie mehr über die 6 wichtigsten Enterprise-Funktionen von Secure Privacy: https://www.youtube.com/watch?v=iULVRao0UcY&list=LL&index=5

Wenn Sie möchten, dass unser Datenschutzexperte einen schnellen „Check-up" Ihrer Website, Ihres Cookie-Einwilligungsbanners oder Ihrer Cookie-Richtlinie durchführt, vereinbaren Sie noch heute einen Termin mit einem unserer Experten.

Gespräch vereinbaren, um mehr zu erfahren