News
Datenschutzbehörde Baden-Württemberg veröffentlicht umfassende FAQ zum Einsatz von Cookies und ähnlichen Technologien
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI BaWü) hat am 4. März 2022 eine FAQ zu Cookies und Tracking durch Betreiber von Websites und Hersteller von Smartphone-Apps veröffentlicht. Die FAQ soll die im Dezember 2021 von der Datenschutzkonferenz (DSK) veröffentlichte Orientierungshilfe der Aufsichtsbehörden für die Anbieter:innen von Telemedien (OH Telemedien 2021) „praxisorientiert ergänzen.“ Anders als die OH Telemedien 2021 scheint der Fokus des FAQ tatsächlich nicht auf der juristischen Herleitung von datenschutzrechtlichen Anforderungen zu liegen, sondern darauf, diese Anforderungen möglichst konkret zu benennen. Die FAQ enthält zu diesem Zweck u.a. eine 16-seitige (!) Auflistung von Negativbeispielen, die auf eine sehr strenge Auslegung der Anforderungen des TTDSG und der DSGVO durch den LfDI BaWü hindeutet. Zugleich zeigt der LfDI BaWü unter welchen Bedingungen Reichweitenmessung oder Server-seitiges Tracking ohne Einholung einer Einwilligung möglich sein kann.
Wir haben uns das Dokument im Detail angesehen und im Folgenden versucht, die wichtigsten Aussagen möglichst knapp zusammenzufassen:
1. Vom Anwendungsbereich des TTDSG erfasste Technologien (Seite 7)
Die FAQ stellt eingangs klar, dass die Vorgaben des TTDSG neben dem Einsatz von Cookies auch für Technologien wie „LocalStorage, Web Storage, das Auslesen von Werbe- und Geräte-IDs, Seriennummern, aber auch der Einsatz von ETags oder TLS-Session-IDs zum Zwecke des Trackings, Fingerprinting (z.B. durch das Auslesen von installierten Schriften oder Anwendungen)“ gelten sollen. Wenn im Folgenden von Cookies die Rede ist, sind daher die genannten Technologien mitgemeint, auch wenn es sich nicht um Cookies handelt.
2. Anwendungsbeispiele für erforderliche Cookies (Seite 7 – 9)
Anders als die OH Telemedien nennt das FAQ einige Beispielsfälle, in denen in der Regel keine Einwilligung für den Einsatz von Cookies eingeholt werden muss. Genannt werden z.B. Cookies zur Sitzungsverwaltung (Login- oder Warenkorb-Cookies) und Speicherung von Spracheinstellungen. Bemerkenswert ist hier, dass der Einsatz von Cookies zu Sicherheitszwecken nur in Ausnahmefällen gestattet sein soll und nur „bei gesonderten Nutzer_innen-Interaktionen“ (z.B. bei Durchführung von Abstimmungen). Ferner soll auch die Speicherung des Einwilligungsstatus nur mit der Angabe des Einwilligungsstatus / der konkreten Konfiguration (ja/nein) und ohne Festlegung einer eindeutigen ID ohne Einwilligung zulässig sein.
Der LfDI BaWü weist ferner darauf hin, dass für erforderliche Cookies auch keine Einwilligung eingeholt werden darf. Wenn eine Einwilligung eingeholt wird, soll dies sogar einen Verstoß gegen die DSGVO-Grundsätze von Treu und Glauben sowie der Transparenz darstellen.
3. Einbindung von externen (Medien-) Inhalten (Seite 9 – 13)
Die Einbindung von externen Inhalten ist nach Ansicht des LfDI ohne Einholung einer Einwilligung in der Regel nur dann möglich, wenn besondere Maßnahmen getroffen wurden, die einen Zugriff auf Daten durch Dritte verhindern. Hintergrund dessen ist, dass durch die (direkte) Einbindung der externen Elemente unmittelbar und automatisch Daten an Drittanbieter übermittelt werden. Entsprechend zielen die vom LfDI BaWü vorgeschlagenen Maßnahmen auch darauf ab, dass eine solche Datenübermittlung (im besten Fall) vollständig unterbleibt und Inhalte möglichst lokal eingebunden werden (z.B. Bereitstellung von Google Fonts über den eigenen Webserver).
Die FAQ bietet hier eine gute Zusammenfassung dazu, wie Kartendienste, Videoinhalte, Socia-Media-Buttons und Inhalte aus sozialen Netzwerken datenschutzkonform eingebunden werden können. Die von der Behörde vorgeschlagenen Lösungen scheinen, zumindest auf den ersten Blick, praktisch und mit überschaubarem Aufwand umsetzbar zu sein.
4. Reichweitenanalyse (Seite 13 – 16)
Bereits in der OH Telemedien war davon die Rede, dass § 25 TTDSG nicht für zwangsläufig übermittelte Daten gelten soll. Nach dem LfDI BaWü können zwangsläufig übermittelte Daten, wie die IP-Adresse oder Informationen zum verwendeten Browser, auch nach Vorgaben der DSGVO ohne Einwilligung zur Durchführung von Reichweitenanalysen verwendet werden. Mit Reichweitenanalyse soll dabei die Verarbeitung der erhobenen Daten für die Erstellung von nicht-personenbeziehbaren Statistiken gemeint sein. Die Verarbeitung soll ohne Einholung einer Einwilligung bei Vorliegen der folgenden Voraussetzungen unter Berufung auf berechtigte Interessen nach Art. 6 Abs. 1 f) DSGVO zulässig sein:
- Die Verarbeitung beschränkt sich auf automatisiert übermittelte Daten;
- die Reichweitenanalyse erfolgt mittels lokaler Logfile-Analyse;
- es wird auf Dienste externer Dritter verzichtet;
- es werden möglichst wenig personenbezogene Daten verarbeitet;
- es erfolgt kein Zusammenführen von Nutzungsdaten, z.B. mit Daten von anderen Anbietern oder über mehrere Geräte hinaus;
- die Daten werden nicht zur Wiedererkennung der Nutzer für andere Zwecke verwendet.
Eine ähnliche Ansicht vertritt auch bislang die französische Aufsichtsbehörde (CNIL) in ihren Empfehlungen.
5. Serverseitiges Tracking – Seite 16 – 17
Auch ein serverseitiges Tracking kann nach Ansicht des LfDI BaWü unter Umständen ohne Einholung einer Einwilligung erfolgen.
6. Anforderungen an Einwilligungs-Banner - Seite 18 - 21
Hinsichtlich der allgemeinen Anforderungen an den Einwilligungs-Banner bezieht sich der LfDI BaWü in weiten Teilen auf die OH Telemedien, deren Anforderungen wir bereits hier im Blog zusammengefasst hatten.
Besonders wichtig scheint der Aufsichtsbehörde zu sein, dass bei Einholung der Einwilligung die Verarbeitungszwecke transparent beschrieben werden. Es soll vor allem nicht ausreichen, nur das Ergebnis der Verarbeitung zu nennen. Vielmehr müsse der Inhalt der eigentlichen Datenverarbeitung wiedergegeben werden. Demnach reiche es nicht aus, allein von der „Anzeige von Werbung“ als Zweck zu sprechen. Stattdessen müsse auch der Inhalt der Verarbeitung klarwerden, also z.B. die Nachverfolgung und Überwachung der Internet-Nutzung. Zudem sei der Verantwortliche in der Pflicht im Banner auch über die Verarbeitung seiner Partnerunternehmen zu informieren. Aus den Negativbeispielen geht hervor (S. 24, Negativbeispiel 1.3.3.2.), dass es nicht ausreicht, dazu lediglich auf die Datenschutzerklärung eines Partnerunternehmens zu verlinken. Die Information im Banner soll vor allem die folgenden Fragen beantworten können:
- Welche personenbezogenen Daten sind betroffen?
- Was passiert mit ihnen?
- Wer erhält Zugriff auf die Daten?
- Werden die personenbezogenen Daten mit weiteren Daten verknüpft?
- Welchen Zwecken dient das?
7. Kein pauschaler Verweis auf das TCF – Seite 22
Das FAQ bezieht sich hinsichtlich einer möglichen Rechtswidrigkeit des Transparency Consent Framework (TCF) ausdrücklich auf die Entscheidung der belgischen Aufsichtsbehörde (mehr dazu hier). Zudem betont der LfDI BaWü, dass es auch bei Verwendung von Datenschutzstandards wie dem TCF darauf ankomme, ob diese Standards rechtskonform implementiert wurden.
8. Negativbeispiele – Seite 23 - 39
Wie bereits erwähnt, wurde von der Aufsichtsbehörde eine beeindruckende Liste von Negativbeispielen zusammengestellt, die wohl einen Großteil der Banner erfassen sollte, die aktuell eingesetzt werden. Mögliche Fehler werden zunächst aufgezählt und anschließend potenzielle Verstöße mit Hilfe von acht fehlerhaften Einwilligungsabfragen illustriert.
Zwar wurde auf ein Positivbeispiel verzichtet, die im Kontext der Negativbeispiele formulierten Anforderungen sind aber so konkret formuliert, dass hinreichend deutlich wird, welche konkreten Anforderungen an den Einsatz von Cookies und die Einholung der Einwilligung bestehen sollen.
So kann man aus Negativbeispielen unter anderem ableiten, dass der Websitebetreiber über alle verwendeten Techniken (Ziffer 1.3.5.6.) informieren muss und dass es für die Rechtfertigung der Drittlandsübermittlung nicht ausreicht, eine Einwilligung einzuholen (Ziffer 5.1.1.3, Beispiel 7).
Handlungsempfehlung und Zusammenfassung
Websitebetreibern innerhalb der Zuständigkeit des LfDI BaWü empfehlen wir daher auch dringend, den eigenen Banner bzw. das eigene CMP mit der Negativliste abzugleichen. Ein Großteil der derzeit im Einsatz befindlichen Einwilligungsbanner wird aller Voraussicht nach nicht den (strengen) Vorgaben der Behörde entsprechen.
Keineswegs sichergestellt ist allerdings, ob sich andere Behörden den Ansichten des LfDI BaWü anschließen werden. Ebenfalls nicht sicher ist, ob der LfDI BaWü dem FAQ auch Maßnahmen folgen lässt. Bislang haben sich die deutschen Aufsichtsbehörden noch zurückgehalten, was den Erlass von Anordnungen und Bußgeldern aufgrund des rechtswidrigen Einsatzes von Cookies betrifft. Zumindest einer der Gründe dafür könnte sein, dass den Behörden im Hinblick auf mögliche Verstöße gegen das TTDSG die Zuständigkeit gefehlt hat.
News
NIS-2-Richtlinie konkretisiert: Was die Durchführungsverordnung 2024/2690 für Cloud-Computing-Dienste und Managed Service Provider bedeutet
Die NIS-2-Richtlinie und das diese umsetzende deutsche BSIG gelten seit dem 16. Januar 2023 sowie seit dem 6. Dezember 2025. Für betroffene Stellen stellt sich in der Praxis eher abstrakt gehaltener Pflichten oft die Frage, wie eine Umsetzung konkret erfolgen muss.
Die NIS-2-Richtlinie sieht in Kapitel VIII die Möglichkeit zum Erlass delegierter Rechtsakte und Durchführungsrechtsakte vor.
Delegierte Rechtsakte (Art. 290 AEUV) ändern oder ergänzen nicht-wesentliche Teile von EU-Normen, während Durchführungsrechtsakte (Art. 291 AEUV) einheitliche Bedingungen für die Anwendung von Rechtsakten schaffen.
Auskunftsansprüche von Beschäftigten nach Kündigung: Welche Ausnahmen greifen?
Erhält ein Arbeitnehmer die Kündigung, folgt häufig ein Auskunftsersuchen nach Art. 15 DSGVO. Wird der Anspruch nicht auf bestimmte Datenverarbeitungen oder Zeiträume beschränkt, sind grundsätzlich sämtliche betreffenden personenbezogenen Daten zu beauskunften – darunter E-Mails, Gesprächsnotizen, Beurteilungen und sonstige auf die Person bezogene Unterlagen. In der Praxis handelt es sich dabei selten um eine datenschutzrechtliche Routineanfrage. Häufig ist das Ersuchen taktisch motiviert: Es dient der Informationsgewinnung für einen anschließenden Kündigungsschutzprozess, dem Aufbau von Verhandlungsdruck oder der Überprüfung interner Untersuchungsmaßnahmen.
OLG Frankfurt: Schmerzensgeld bei Cookie-Einsatz ohne Einwilligung – auch für Drittanbieter
Nach § 25 Abs. 1 TDDDG müssen Websitebetreiber grundsätzlich eine Einwilligung vom Nutzer einholen, wenn sie eigene oder Cookies von Drittanbietern einsetzen. Die Einwilligung wird über Cookie-Banner eingeholt, in denen Nutzer über den Einsatz der Cookies umfassend informiert werden müssen. Die konkrete Ausgestaltung der Banner und ob die Informationen ausreichend sind, um eine wirksame Einwilligung in das Speichern und die anschließende Verarbeitung personenbezogener Daten einzuholen, waren bereits Gegenstand zahlreicher Gerichtsentscheidungen. Nun hat sich das OLG Frankfurt (Urteil vom 11.12.2025 – Az. 6 U 81/23) in einem Fall mit der Haftung für eine nicht eingeholte Einwilligung beschäftigt und den Drittanbieter zu einem Unterlassen und Zahlung von Schadensersatz i.H.v. 100 EUR gegenüber dem Nutzer verurteilt.
Umsetzung von Risikomanagementmaßnahmen im Zusammenhang mit der NIS-2-Richtlinie und Rückgriff auf Maßnahmen nach Art. 32 DSGVO
Die Umsetzung der Risikomanagementmaßnahmen nach der NIS-2-Richtlinie und dem BSIG als Umsetzungsgesetz scheint für viele betroffene Organisationen im ersten Moment herausfordernd. Dies liegt häufig daran, dass die eher abstrakt wirkenden Vorgaben wie z.B. „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen“ Organisationen abschrecken, da nicht auf Anhieb erkennbar ist, was konkret zu tun ist.
NIS-2: Pflicht zur Benennung eines Vertreters für Einrichtungen im Drittland
Im Anwendungsbereich der NIS-2-Richtlinie (NIS-2-RL) kann es zu Situationen kommen, in denen Anbieter bestimmter NIS-2-relevanter Dienste, wie etwa ein Managed Service Provider, seinen Sitz ausschließlich in einem Drittland hat, jedoch Dienste innerhalb der EU anbietet. Der territoriale Anwendungsbereich ist nach Art. 2 Abs. 1 NIS-2-RL eröffnet, sobald ein Unternehmen einen Dienst in der EU erbringt oder dort Tätigkeiten ausübt. Art. 26 NIS-2-RL konkretisiert diesen Anwendungsbereich dahingehend, dass grundsätzlich der Mitgliedstaat und damit dessen jeweiliges Umsetzungsgesetz für eine Einrichtung anwendbar ist, in dem die Einrichtung niedergelassen ist. Hierzu haben wir bereits einen Beitrag verfasst.
Territorialer Anwendungsbereich von NIS-2 – Wann gilt das BSIG für Managed Service Provider (MSP) aus Drittländern?
In einem früheren Beitrag haben wir uns mit der Frage auseinandergesetzt, wer nach dem geänderten Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz - BSIG) als Managed Service Provider (MSP) oder Managed Security Service Provider (MSSP) einzuordnen ist. Ist also ein Unternehmen eines Unternehmensverbundes zentral für den Betrieb der IT des Verbundes zuständig, kann es als MSP und damit als wichtige oder besonders wichtige Einrichtung i. S. v. § 28 Abs. 1 Nr. 4 und / oder § 28 Abs. 2 Nr. 3 BSIG einzuordnen sein – sofern es in den Anwendungsbereich des BSIG fällt.