Kekse aufgekrümelt

Über Cookies lässt sich streiten: Während sie für die einen die Gefahr des "gläsernen Users" in sich bergen, möchten andere auf ihre Vorzüge nicht verzichten. Will man Cookies verwenden, kann man mit dem Datenschutzrecht in Konflikt geraten.
 

Aufbau von Cookies
cookiecentral.com

Cookies sind Datensätze, die zwischen den Rechnern eines Internet-Anbieters (Webserver) und eines Nutzers ausgetauscht werden. Die Daten werden in einer Cookie-Datei auf dem Rechner des Nutzers abgelegt und bei einer erneuten Verbindung an den Cookie-setzenden Webserver zurückgesendet.
 

Inhalt der Cookie-Datei

Wie viele und welche Informationen ein Cookie enthält, hängt von seiner Programmierung ab. Erfasst werden können z.B. der Name oder die eMail-Adresse des Nutzers, Angaben zu Anzahl, Zeit und Dauer der Besuche, der Inhalt von Warenkörben etc. Der Großteil dieser Daten kann dabei ohne Zutun des Nutzers erfasst werden.
 

Vor- und Nachteile

Die Tatsache, dass man nicht bei jedem einzelnen Besuch einer Website ständig dieselben Eingaben tätigen muss, kann durchaus sinnvoll sein. Man denke etwa an den Bereich des e-Commerce oder Online-Banking. Derjenige, der den Online-Counter im Hinterkopf ticken hört, erfreut sich sicherlich an der Zeitersparnis. Den Vorteilen stehen aber gravierende Nachteile gegenüber. So können - vom Nutzer meist unbemerkt - Informationen übertragen werden, die entweder unmittelbare Daten über ihn enthalten oder mittelbar Rückschlüsse auf seine persönlichen Vorlieben und Verhaltensweisen ermöglichen. Der Webserver kann feststellen, wie oft man welche Seite wie lange besucht hat und wann man zum letzten Mal dort war. Anhand dieser Informationen können Benutzerprofile des Betroffenen erstellt und individualisierte Werbung gezielt eingesetzt werden.
 

Die Datenschutzgesetze

Relevant sind das Teledienstedatenschutzgesetz (TDDSG) bzw. der Mediendienstestaatsvertrag (MDStV) sowie ergänzend das Bundesdatenschutzgesetz (BDSG). Diese Gesetze enthalten weitgehend identische Datenschutzregelungen. Bereits das Setzen eines Cookies ist eine Phase der Datenverarbeitung, so dass die datenschutzrechtlichen Regelungen eingreifen können. Zusätzlich müssen jedoch die Daten des Cookies "personenbezogen" sein. Ist dies nicht der Fall, so ist auch die Verwendung von Cookies zulässig.
 

Personenbezogene Daten

Personenbezogene Daten sind "Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person". Bestimmt ist die Person, wenn der Datensatz ihr eindeutig zugeordnet werden kann, bestimmbar, wenn eine Zuordnung mit Zusatzwissen möglich ist. Für die Bestimmbarkeit ist maßgeblich, ob eine Zuordnung ohne unverhältnismäßig großen Aufwand an Zeit, Kosten und Personal möglich ist.
Übertragen auf Cookie-Daten bedeutet dies: Es handelt sich dann um personenbezogene Daten, wenn sie:
-- unmittelbar zur Identifizierung des Nutzers geeignete Daten enthalten. Dies ist etwa dann der Fall, wenn das Cookie den Namen des Nutzers enthält oder seine eMail-Adresse, zumindest bei der weitverbreiteten Praxis, dass diese den vollständigen Namen enthält (diese Angaben müssen aber von Nutzer eingegeben worden sein).
-- das System des Verwenders vorsieht, dass sie mit zusätzlich gewonnenen Informationen so verknüpft werden können, dass Personenbezug entsteht. Dies ist etwa dann der Fall, wenn das Cookie zwar nur eine (dynamische) IP-Adresse oder eine zufallsgenerierte Zahlenfolge enthält, der Nutzer aber ein Bestellformular o.ä. auf der Website ausfüllt und damit seine Identität preisgibt. Eine Verknüpfung wäre aber auch dann möglich, wenn der Webserver gleichzeitig der Internet-Provider des Nutzers ist. Hier wäre ein Zusammenführen von IP und Nutzer ohne größeren Aufwand möglich. Andererseits gilt aber, dass bei dynamischen IP-Adressen oder zufallsgenerierten Zahlenfolgen alleine eine Identifikation des Nutzers kaum möglich ist, so dass diese Cookies in der Regel datenschutzrechtlich irrelevant sind.
-- sie nicht oder nicht nur an den ursprünglichen Absender zurückgesandt, sondern auch an Dritte weitergeleitet werden.
 

Einwilligung und Unterrichtungspflicht

Enthalten Cookies personenbezogene Daten, dann sind die strengen Datenschutzregelungen des TDDSG/MDStV zu beachten. Als Grundsatz gilt: Es ist alles verboten, was nicht ausdrücklich durch Gesetz oder die Einwilligung des Nutzers erlaubt ist. Die Verwendung von Cookies zur Erhebung von personenbezogenen Daten erfordert grundsätzlich die Einwilligung des Nutzers - nach der gesetzlichen Regelung vor dem Setzen des Cookies. Nur mit dieser ist die Datenerhebung zulässig. Der Nutzer muss seine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen können, worauf er auch hinzuweisen ist. Wegen der Widerruflichkeit muss sichergestellt sein, dass das bereits gesetzte Cookie deaktiviert werden kann. Weiterhin enthalten die gesetzlichen Regelungen für die Einwilligung ein bestimmtes Formerfordernis (schriftlich oder auf elektronischem Weg). Es ist zu beachten, dass allein eine Browserkonfiguration ("Cookies akzeptieren") nicht die Voraussetzungen für eine elektronische Einwilligung erfüllen.
Weiterhin ist erforderlich, dass der Webserver den Nutzer vor Beginn des Datenverarbeitungsvorganges über Art, Umfang, Ort und Zweck der Datenverarbeitung unterrichtet. Der Inhalt der Unterrichtung muss für den Nutzer jederzeit abrufbar sein. Die Unterrichtung sowie der mögliche Verzicht darauf sind zu protokollieren.
 

Rechtliche Folgen

Ein Verstoß gegen datenschutzrechtliche Bestimmungen, die nur für die Diensteanbieter in Deutschland gelten, kann zu zivilrechtlichen Unterlassungs- und Schadensersatzansprüchen des Betroffenen führen, evtl. auch zur Strafverfolgung. Daneben kann auch eine Wettbewerbswidrigkeit (§ 1 UWG) vorliegen, was wiederum zu Unterlassungs- oder Schadensersatzansprüchen der Konkurrenten führen kann.
 

Fazit

Stellt der Webserver sicher, dass keine personenbezogenen Daten erfasst werden, ist die Verwendung von Cookies datenschutzrechtlich kein Problem. Bei einigen Anbietern ist dies jedoch nicht möglich, gerade wenn sie mit den Nutzern in Geschäftsbeziehungen treten wollen und damit die Aufdeckung der Identität des Nutzers unvermeidbar ist. Für diesen Fall müssen sie die Anforderungen erfüllen, die das Gesetz hinsichtlich der Einwilligung und der Unterrichtungspflicht stellt. Anzuraten wäre, dass sie - im Interesse einer größeren Transparenz für den Nutzer - die erforderlichen Hinweise und Unterrichtungen explizit bereithalten, z.B. unter einer Rubrik "Datenschutz".
 
Weiterführende Artikel:
-- Rainer Ihde: Cookies - Datenschutz als Rahmenbedingung der Internetökonomie, CR (Computerrecht) 7/2000, S. 413 - 423
-- Johann Bizer: Web-Cookies - datenschutzrechtlich, DuD (Datenschutz und Datensicherheit) 1998, S. 277 - 281

 
nutzTANK   kritikTANK   theorieTANK   dialogTANK
 
      © JavaJim 2000