Hinweis: Das TTDSG wurde im Mai 2024 in „Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz“ (kurz: TDDDG) umbenannt.

Das TDDDG gilt neben der DSGVO; es regelt insbesondere die Verwendung von Cookies. Es dient dabei dem Schutz der Privatsphäre bei der Nutzung von Endeinrichtungen (PC, Laptop, Smartphone, Tablet, etc.).

Was sind Cookies?

Cookies sind kleine Textdateien, die auf dem Endgerät abgelegt werden und die der Browser des Seitenbesuchers speichert. Ein Cookie enthält eine charakteristische Zeichenfolge, die eine eindeutige Identifizierung des Browsers ermöglicht. Ein Cookie ermöglicht es, Informationen über einen Benutzer einer Website während oder nach seinem Besuch zu speichern. Zu den gespeicherten Angaben können Punkte wie die Spracheinstellungen, der Loginstatus, ein Warenkorb oder die Stelle, an der ein Video betrachtet wurde, zählen. Cookies sollen ein Internetangebot nutzerfreundlicher, effektiver und sicherer machen. Cookies können jedoch auch dazu dienen, die Bereitstellung bestimmter Funktionen zu ermöglichen und weitergehende Daten zu erhalten.

Abgrenzung TDDDG und DSGVO

Wenn Sie eine Praxiswebseite betreiben, müssen Sie sowohl die Vorgaben der DSGVO beachten als auch die Regelungen des TDDDG. Die DSGVO gilt ausschließlich für die Verarbeitung von personenbezogenen Daten. Die Vorgaben der DSGVO in Bezug auf die Homepage werden in der Regel in Ihrer Datenschutzerklärung berücksichtigt. Sofern kein anderer Rechtfertigungstatbestand einschlägig ist, bedarf es auch hier einer Einwilligung des Seitenbesuchers in die Datenverarbeitung. Werden durch den Einsatz von Technologien (wie z.B. Cookies) keine personenbezogenen Daten verarbeitet, sind allein die Vorgaben des TDDDG zu beachten.

Oftmals werden Cookies auch eingesetzt, um anschließend die gewonnenen Daten auszuwerten. (z.B. zur Nachverfolgung/Analyse des Verhaltens der Webseitenbesucher). Diese nachfolgende Auswertung ist als Verarbeitung personenbezogener Daten an den Vorgaben der DSGVO zu messen. Deshalb müssen Webseitenbetreiber sowohl die Vorgaben der DSGVO als auch des TDDDG beachten und sämtlichen Vorgaben (Information, Einwilligung etc.) gerecht werden. Nachfolgend geht es ausschließlich um die Frage, ob und wann ein Cookie gesetzt werden darf.

§ 25 TDDDG

Die zentrale Norm des TDDDG in Bezug auf Cookies bildet § 25 (Schutz der Privatsphäre bei Endeinrichtungen). Danach gilt:

(1) Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Die Information des Endnutzers und die Einwilligung haben gemäß der Verordnung (EU) 679/2016 zu erfolgen.

(2) Die Einwilligung nach Absatz 1 ist nicht erforderlich,

1. (…)

2. wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann.

Grundsatz der Einwilligung

Nach § 25 Abs. 1 Satz 1 TDDDG erfordert die Speicherung von Informationen in der Endeinrichtung von Nutzern oder der Zugriff auf solche Informationen, die bereits in der Endeinrichtung gespeichert sind – unabhängig von einem Personenbezug der Informationen – eine Einwilligung des Nutzers. Dieses Einwilligungserfordernis soll Nutzer davor schützen, dass Dritte unbefugt auf ihrer Endeinrichtung Informationen speichern oder auslesen und dadurch ihre Privatsphäre verletzen.

Dieses Einwilligungserfordernis bezieht sich auf das Setzen oder Auslesen des Cookies; die darüberhinausgehende Verarbeitung der durch die Cookies gewonnenen Daten erfordert eine weitere Rechtfertigung bzw. Einwilligung nach den Vorgaben der DSGVO. Die Einwilligungen können zusammen eingeholt werden; allerdings sind die Nutzer umfassend über sämtliche Datenverarbeitungszwecke und Datenverarbeitungsvorgänge aufzuklären.

Das TDDDG verweist hinsichtlich der Anforderungen an eine Einwilligung auf die DSGVO. Eine Einwilligung ist nach Art. 4 Nr. 11 DSGVO jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Anforderungen an eine Einwilligung

Es erweist sich in der Praxis als kompliziert, eine rechtskonforme Einwilligung einzuholen. Denn hierbei sind Kriterien maßgeblich wie: der Zeitpunkt der Einwilligung, die Informiertheit der Einwilligung, eine unmissverständliche und eindeutig bestätigende Handlung des Nutzers, bezogen auf den bestimmten Fall, die Freiwilligkeit der Willensbekundung, die Möglichkeit zum Widerruf der Einwilligung, die ebenso einfach sein muss wie die Erteilung.

Die Einwilligung muss bereits erteilt sein, bevor der einwilligungsbedürftige Zugriff auf die Endeinrichtung (das Setzen des Cookies) erfolgt. Es ist dementsprechend nicht ausreichend, wenn einwilligungsbedürftige Cookies bereits mit dem erstmaligen Aufruf einer Website gesetzt werden und erst danach die Einwilligung eingeholt wird.

Eine ordnungsgemäße Einwilligung setzt voraus, dass der Nutzer zuvor über alle Speicher- und Ausleseaktivitäten transparent und nachvollziehbar informiert wurde. Nutzer müssen darüber unterrichtet werden, wer auf die jeweilige Endeinrichtung zugreift, in welcher Form und zu welchem Zweck, welche Funktionsdauer die Cookies haben und ob Dritte Zugriff darauf erlangen können. Es ist erforderlich, dass bereits beim Zugriff auf die Endeinrichtung darüber informiert wird, ob und ggf. inwieweit der Zugriff mit weiteren Datenverarbeitungsprozessen verbunden ist, die den Anforderungen der DSGVO unterfallen. Hierbei sind die konkreten Zwecke der Folgeverarbeitung präzise zu beschreiben. Die wesentlichen Informationen sollten unmittelbar im „Cookie-Banner“ selbst enthalten sein. Die Informationen dürfen dabei auf verschiedenen Ebenen des Einwilligungsbanners erfolgen. Ergänzende Informationen können in die Datenschutzhinweise ausgelagert werden, sofern der „Cookie-Banner“ auf diese verlinkt.

Um die Konsequenzen der Einwilligung zu verdeutlichen, ist der Nutzer im Cookie-Banner auch darüber zu informieren, dass ein späterer Widerruf sich nicht mehr auf die Rechtmäßigkeit des bis zum Widerruf erfolgten Zugriffs bzw. der bis dahin erfolgten Speicherung auswirkt.

Für eine wirksame Einwilligung ist eine „unmissverständlich abgegebene Willensbekundung in Form einer Erklärung“ oder eine sonstige eindeutige bestätigende Handlung erforderlich, mit welcher der Nutzer zu verstehen gibt, dass er mit dem Zugriff auf und dem Abruf von Informationen ausdrücklich einverstanden ist. Eine Einwilligung setzt deshalb ein aktives Handeln der Nutzer voraus, z.B. durch das Betätigen einer Schaltfläche. Die bloße Weiternutzung der Website reicht für eine Einwilligung ebenso wenig aus, wie das „Wegklicken“ eines bereits angekreuzten Einwilligungsfelds.

Problematisch ist es auch, wenn ein (faktischer) Zwang zur Einwilligung besteht. Umstritten sind deshalb Einwilligungsbanner, die den Inhalt der Webseite verdecken und die nicht einfach geschlossen werden können. Ebenso umstritten sind Banner, bei denen die Ablehnung mehr Klicks/Schritte erfordert als die Einwilligung. Nach Ansicht der Datenschutzbehörden fehlt es an einer freiwilligen Einwilligung, wenn der Nutzer beim Aufruf einer Website eine Einwilligungsabfrage nicht einfach ignorieren kann, weil diese Inhalte des Angebots verdeckt oder wenn die Erteilung der Ablehnung mit einem höheren Aufwand, z. B. an Klicks und Aufmerksamkeit, verbunden ist.

Nach Ansicht der Behörden folgt aus Art. 7 Abs. 3 Satz 4 DS-GVO, dass der Widerruf der Einwilligung ebenso einfach möglich sein muss wie die Erteilung. Wird die Einwilligung unmittelbar bei der Nutzung einer Webseite erteilt, müsse auch deren Widerruf auf diesem Weg möglich sein.

Aufgrund dieser äußerst restriktiven Vorgaben sollten Sie als Heilpraktiker*in sorgfältig abwägen, ob Sie Cookies verwenden, die eine Einwilligung erfordern. Ein Einwilligungsmanagement ist aufwändig. Zwar existieren mittlerweile zahlreiche Anbieter, die passende Softwaretools anbieten, allerdings müssen auch diese Programme korrekt eingerichtet werden. Zudem wird teilweise die Rechtsansicht vertreten, dass auch diese Programme problematisch sind, sofern sie ebenfalls (ohne Einwilligung) Cookies setzen. In jedem Fall verbleibt die rechtliche Verantwortung bei Ihnen als Seitenbetreiber. Eine technische Analyse kommt oft zu dem Schluss, dass einwilligungsbedürftige Cookies für Praxiswebseiten technisch nicht zwingend erforderlich sind.

Ausnahmeregelung für unbedingt erforderliche Cookies

Eine Alternative besteht darin, keine Cookies oder ausschließlich solche Cookies zu verwenden, die § 25 Abs. 2 Nr. 2 TDDDG von dem Erfordernis der Einwilligung ausnimmt. Dies ist der Fall, wenn die Speicherung von Informationen in der Endeinrichtung oder der Zugriff auf bereits in der Endeinrichtung gespeicherte Informationen unbedingt erforderlich ist, damit Anbieter einen vom jeweiligen Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen können. Demnach muss der Cookie unbedingt erforderlich sein und dazu dienen, die vom Nutzer aufgerufene Webseite zur Verfügung zu stellen.

Die Auslegung der Ausnahmeregelung ist noch im Fluss. Allerdings vertreten die Aufsichtsbehörden auch hier eine eher strenge Sichtweise. Demnach ist zwischen Basisdiensten einer Webseite und Zusatzdiensten zu unterscheiden. Den Basisdienst bildet die Webseite mit ihren Kernfunktionen. Auch Tools zur Betrugsprävention und IT-Sicherheit werden dem Basisdienst zugerechnet.

Zusatzfunktionen gehen über den Basisdienst hinaus und sind teilweise von ihm unabhängig. Hierbei handelt es sich um Cookies für Funktionen wie z.B. die Einkaufskorbfunktion bei Online-Shops, Spracheinstellungen, Chatboxen, Kontaktformulare, Kartendienste, Videos, Log-in Bereiche inkl. Authentifizierung, Verwaltung von Einwilligungen mittels Consent-Management-Tools. Diese Zusatztools sind für die Nutzung der Webseite nicht zwingend erforderlich; so berechnet nicht jeder Nutzer seine Anfahrt mit dem eingebundenen Kartendienst oder spielt ein Video ab.

Aus dem Aufruf der Webseite durch den Nutzer kann nur geschlossen werden, dass der Nutzer den Basisdienst wünscht. Aus dem Aufruf der Webseite kann jedoch nicht der Schluss gezogen werden, dass der Nutzer sämtliche Zusatzfunktionen der Webseite wünscht. Dies ist erst dann der Fall, wenn der Nutzer den Zusatzdienst auch tatsächlich nutzt. (Z.B. ein Produkt in einen Warenkorb legt oder ein Video abspielt).

Das Merkmal „unbedingt erforderlich“ wird weder im TDDDG noch in der ePrivacy-RL näher definiert. Die Datenschutzbehörden vertreten die Ansicht, dass es sich hier um eine Erforderlichkeit aus technischer Sicht handeln muss. Als technisch erforderlich sind Cookies dann anzusehen, wenn bei ihrem Entfallen bestimmte Komponenten oder Funktionen des Telemediendienstes nicht ausgeführt werden können. Cookies, die dem Tracking zu Marketingzwecken dienen, sind generell als nicht technisch erforderlich anzusehen. Gleiches gilt in der Regel für Cookies zur Einbindung von Drittinhalten oder Drittdiensten, wie z.B. Google Maps oder YouTube.

Der Zugriff auf die Endeinrichtung durch das Setzen des Cookies ist auf das erforderliche Minimum zu reduzieren. Dies gilt beispielsweise für die Laufzeit der Cookies. Diese ist grundsätzlich auf einen Seitenbesuch (eine „Session“) zu beschränken. Bei anmeldepflichtigen Angeboten kann eine darüberhinausgehende Laufzeit in Frage kommen.

Information

Wie bereits beschrieben, müssen Sie die Nutzer über den Inhalt einwilligungspflichtiger Cookies vor Abgabe der Einwilligung informieren. Umstritten ist hingegen, ob Sie auch über solche Cookies informieren müssen, die unter die zitierte Ausnahmeregelung fallen. Bezüglich technisch erforderlicher Cookies sieht das TDDDG keine Informationspflicht vor. Eine solche Informationspflicht kann sich jedoch aus dem datenschutzrechtlichen Transparenzgebot der DSGVO ergeben. Sofern eine spätere Verarbeitung der Daten aufgrund einer eigenen Rechtsgrundlage der DSGVO erfolgt, ist eine Informationspflicht über die Cookies zu bejahen.

Fazit:

Wenn Sie Cookies verwenden, müssen Sie entweder eine Einwilligung des Seitenbesuchers einholen oder der jeweilige Cookie muss aus technischer Sicht unbedingt erforderlich sein, um die vom Nutzer gewünschte Funktion zu ermöglichen. Anders als bei einer Datenverarbeitung nach der DSGVO reicht eine Interessenabwägung nicht aus. Bei nachfolgenden Datenverarbeitungen, die auf der Speicherung von Informationen in der Endeinrichtung oder auf dem Zugriff auf bereits in der Endeinrichtung gespeicherten Informationen beruhen, sind die Anforderungen der DSGVO zu beachten.