Während in Dänemark, Frankreich, Großbritannien, Litauen, Niederlande, Österreich, Schweden, Spanien, Bulgarien, Finnland, Luxemburg, Tschechien und der Slowakei gesetzliche Regelungen oder zumindest klare Empfehlungen der nationalen Datenschutzbehörden vorliegen, fehlt es in Belgien, Griechenland, Italien, Malta, Polen, Rumänien, Slowenien, Zypern, Irland, Lettland, Portugal, Ungarn an einer Umsetzung in nationales Recht oder zumindest an einer klaren Empfehlung.
Für Deutschland geht die Kommission nach aktuellen Berichten davon aus, dass die Vorgaben der Cookies-Richtlinie bereits hinreichend durch die Vorschriften des Bundesdatenschutzgesetzes und des Telemediengesetzes umgesetzt seien – dass also die Vorgaben aus der Richtlinie zu beachten sind.
Angesichts dieses uneinheitlichen Bildes hat nun die sogenannte Article 29 Working Party, eine aus Vertretern der nationalen Datenschutzbehörden, dem Europäischen Datenschutzbeauftragten und einem Kommissionsvertreter zusammensetzende Arbeitsgruppe in einer Stellungnahme vom 2. Oktober 2013 Anforderungen an eine gemeinschaftsrechtlich zulässige Verwendung von Cookies auf Internetseiten veröffentlicht (Working Document 02/2013).
„Informed Consent“: Einwilligung des vollständig informierten Internetnutzers
Darin fordert die Article 29 Working Party eine Einwilligung des Internetnutzers in Form eines so genannten „Informed Consent“, also ein bewusstes Einverständnis auf Grundlage einer vollständigen Information des Internetnutzers. Hierzu ist erforderlich, dass sich der Besucher einer Internetseite über die Art, Funktionsweise und den Zweck der eingesetzten Cookies informieren kann.
Die Arbeitsgruppe betont dabei, dass diese Einwilligung zwingend eingeholt werden muss, bevor das erste Cookie gesetzt oder ausgelesen wird. Das Einverständnis muss dabei durch eine aktive Handlung des Internetnutzers erklärt werden. Dieser muss also mehr tun, als die Startseite einer Internetpräsenz anzusteuern und dort zu verweilen oder in den Browsereinstellungen Cookies pauschal zuzulassen.
In der Praxis kann diesen Anforderungen dadurch Rechnung getragen werden, dass ein Banner mit dem Zugang zu Informationen über den Einsatz von Cookies auf der Startseite installiert wird (Link) und über eine Schaltfläche (Button) die Möglichkeit gegeben wird, diese Nutzungsbedingungen aktiv zu bestätigen.
Auch das weitere Surfen des Internetnutzers auf den Internetseiten kann eine aktive Handlung im Sinne der Article 29 Working Party darstellen – wenn der Webseitenbetreiber dokumentieren kann, dass der Nutzer den Besuch der Website fortgesetzt hat, nachdem er über den Gebrauch von Cookies informiert wurde.
Allerdings begegnen dem aufmerksamen Internetnutzer auch heute noch viele Webseiten, auf denen gar nicht oder nur versteckt über den Gebrauch von Cookies informiert wird – ein klarer Verstoß gegen datenschutzrechtliche Vorschriften.
Tracking-Tools und Nutzeransprache
Auch der Einsatz von sogenannten „Tracking-Tools“, also von Werkzeugen zur Nachverfolgung von Internetnutzern, etwa zur Profilbildung oder um Aufschlüsse über die eigenen Webseiten zu erhalten („Nutzerverfolgung“), bedarf der datenschutzrechtlichen Regelung.
Seite drei: IP-Adresse als „personenbezogenes Datum“
