Cookies rechtskonform setzen: Unwissenheit schützt nicht vor Strafe!

Im Oktober hat Mag. Albin Scheuringer von der Kanzlei Hochleitner Rechtsanwälte einen webtalk rund um das Thema Online-Recht gehalten. Davor durfte ich ihn noch über Cookies und deren rechtskonforme Nutzung interviewen.

Warum reden alle von Cookies?

Im Dezember 2009 ist das sog. „Telekomreformpaket“ der EU in Kraft getreten. Dabei wurde auch die Datenschutzrichtlinie für elektronische Kommunikation (RL 2002/58/EG) durch die Richtlinie 2009/136/EG („Cookie-Richtlinie“) vom 25.11.2009 novelliert. Mit dieser Änderung wurde die Bestimmung des Art. 5 Abs 3 der Datenschutzrichtlinie für elektronische Kommunikation derart verschärft, dass Cookies grundsätzlich nur dann (ein)gesetzt werden dürfen, wenn der jeweilige Nutzer seine Einwilligung dazu erteilt hat. Nach einer Stellungnahme der „Artikel-29-Datenschutzgruppe“ (unabhängiges Beratungsgremium der EU in Datenschutzfragen) vom Oktober 2013 ist die Einwilligung der NutzerInnen vor Beginn, also vor dem Setzen oder Lesen von Cookies einzuholen. Die Website muss die BesucherInnen über Art und Zweckbestimmung der Cookies eindeutig und umfassend informieren, insbesondere dahingehend, wie diese ihre Einwilligung geben oder wieder zurückziehen können.

Wie sieht jetzt die Rechtslage in Österreich aus?

Die vorgenannte Bestimmung der Cookie-Richtlinie hat der österreichische Gesetzgeber in § 96 Abs 3 Telekommunikationsgesetz (kurz TKG) umgesetzt. Die österreichischen WebsitesbetreiberInnen sind daher seit Ende 2011 dazu verpflichtet, die betroffenen UserInnen umfassend über den Einsatz von Cookies zu informieren und deren ausdrückliche Zustimmung bei personenbezogenen Daten einzuholen.

Wird der Informationspflicht nicht nachgekommen, so stellt dies eine Verwaltungsübertretung dar, die mit einer Geldstrafe von bis zu € 37.000,00 sanktioniert ist. Zudem können auch MitbewerberInnen eine auf Unterlassung gerichtete Klage nach dem Bundesgesetz gegen den unlauteren Wettbewerb (kurz UWG) anstrengen.

Wie der einzelne Webseitenbetreiber nun konkret diesen Verpflichtungen rechtskonform nachkommen kann/muss, wird im Gesetz nicht eindeutig geregelt und es bleibt insbesondere die Frage, zu welchem Zeitpunkt die Einwilligung der NutzerInnen über den Einsatz von Cookies eingeholt werden muss, offen. In den Erläuterungen zur Regierungsvorlage wird dazu ausgeführt, dass eine Zustimmung bzw. eine Einwilligung des/der TeilnehmerIn gefordert wird, die auf der Grundlage von klaren und umfassenden Informationen getroffen werden muss. Dazu heißt es weiter, dass die Informationspflicht etwa durch die Aufnahme einer Datenschutzerklärung im verpflichtenden Impressum nachgekommen werde kann. Nach dem österreichischen Gesetzgeber kann – sofern dies technisch durchführbar ist – die Einwilligung der NutzerInnen zum Einsatz von Cookies über die Handhabung der entsprechenden Einstellungen eines Browsers oder einer anderen Anwendung ausgedrückt werden.

Was heißt das nun für WebsitebestreiberInnen?

Die Vorgaben des österreichischen Gesetzgebers können dahingehend verstanden werden, dass eine einseitige Willenserklärung zum Einsatz von Cookies im Impressum sowie Hinweis auf die Möglichkeit der Änderung der Nutzereinstellung im Browser eine ausreichende Zustimmung begründen würde. Diese liberale Sichtweise deckt sich jedoch nicht mit der Intention der Cookie-Richtlinie, sowie der Auffassung der Datenschutzgruppe, die eine echte ausdrückliche Zustimmung der WebsitebesucherInnen vorsehen. Dazu hält die Datenschutzgruppe bekräftigend fest, dass dem Nutzer (ggf. auf der Startseite) eine echte und sinnvolle Möglichkeit eingeräumt werden sollte, sich für oder gegen Cookies zu entscheiden. NutzerInnen könnten daher ihre Einwilligung zum Ausdruck bringen, dass sie eine Schaltfläche oder einen Link in Nähe des „Informationsfeldes“ anklicken etc. und somit durch aktives Verhalten eine Einwilligung zum Einsatz von Cookies erteilen. Wie die österreichische Bestimmung künftig zu verstehen ist, werden die Gerichte im Anlassfall klären müssen. Die Auffassung des österreichischen Gesetzgebers deckt sich jedenfalls nicht mit den gemeinschaftsrechtlichen Vorstellungen und können WebsitesbetreiberInnen vollkommene Rechtssicherheit nur dadurch erlangen, indem sie die Vorgaben der europäischen Datenschutzgruppe (weitgehend) umsetzen.

Über Mag. Albin Scheuringer