Wie geht es weiter mit der ePrivacy-Verordnung? – Teil 2
Mag. Alexander Koukal, LL.M. erläutert in dieser 3-teiligen Newsletter-Reihe den aktuellen Rechtsstand zur ePrivacy-Verordnung. Was gilt es bezüglich der Browsereinstellungen zu beachten und bleibt bei technisch notwendigen Cookies alles beim Alten?
Im ersten Teil des Beitrags – hier nachzulesen – sind wir auf den jüngsten Lösungsansatz für Cookies im Entwurf für die ePrivacy-Verordnung vom 10.02.2021 (hier abrufbar) eingegangen: Es bleibt grundsätzlich dabei, dass für marketingrelevante Cookies eine Einwilligung der Endnutzer nötig ist. Nur in abschließend aufgezählten Fällen darf der Websitebetreiber (selbst oder über seine Dienstleister) Cookies ohne eine solche Einwilligung setzen, etwa für die Messung des Webpublikums oder aus Gründen der Dienstesicherheit. Sehr vorsichtig formuliert stellt Erwägungsgrund 21aa zum Verordnungsentwurf in den Raum, dass journalistische Angebote auch ohne Einwilligung Cookies setzen dürfen, wenn sie sich ganz oder überwiegend aus Werbung finanzieren. Auch dafür ist aber eine klare Information der Nutzer gefordert. Eine praxistaugliche Antwort, welche Angebote sich unter welchen Bedingungen auf diese Ausnahme von der Einwilligungspflicht stützen könnten, bleibt der Entwurf aber schuldig.
Bleibt es bei einem derartigen Verordnungstext, dürfte sich die Zahl der Cookie-Banner nicht merklich verringern. Nur die (anonymisierte) Messung des Webpublikums würde definitiv keine Einwilligung der Endnutzer erfordern. Hinsichtlich werbefinanzierter Webangebote müssten Musterverfahren geführt werden.
Nach der jüngsten Fassung der Verordnung ist eine informierte Einwilligung der Nutzer selbst dann nötig, wenn für Marketingzwecke gar nicht exakt festgestellt wird, welche Person eine Website besucht. Diese Feststellung ist ohnehin nicht für alle Arten der Onlinewerbung und des Targeting erforderlich. Es reicht vielfach aus, a) Interessensgebiete auf Basis der bisher von einem Nutzer besuchten Webangebote zu erfassen und diesem Nutzer beim Besuch weiterer Websites darauf abgestimmte Werbung auszuspielen und b) nochmals für die bereits in der Vergangenheit betrachteten Angebote zu werben. Hat eine Nutzerin zum Beispiel Websites mit Reiseangeboten in Island besucht, können ihr auf anderen Websites Werbebanner mit Mietwagenangeboten in Island gezeigt werden. Dazu muss die Nutzerin nicht namentlich bekannt sein; es reicht, diese Interessensdaten einer eindeutigen, aber anonymen Kennung zuzuordnen.
Für rein oder überwiegend werbefinanzierte Internetangebote schwebt dem Entwurf wie schon in der Vorversion die Einführung einer „Cookie-Wall“ vor. Der User soll nach Erhalt einer klaren, präzisen und nutzerfreundlich erteilten Information über Cookies und Trackingmaßnahmen zwischen verschiedenen Angeboten wählen können: einem werbefinanzierten Angebot, das mit dem Setzen von marketingrelevanten Cookies und Trackingmechanismen verbunden sein kann, und einem kostenpflichtigen Angebot desselben Anbieters ohne Marketingcookies und Tracking. Dadurch, dass der Nutzer eine solche echte Auswahlmöglichkeit erhält, liegt kein Zwang zu Cookies vor – Nutzer, die Cookies ablehnen, werden vom Angebot nicht ausgesperrt.
Sowohl Cookie-Banner als auch Cookie-Walls werden die Nutzer nach dem vorliegenden Entwurf also weiterhin mit einer Fülle von Informationen und Fragen nach einer Einwilligung begleiten. Das Risiko einer Überinformation der User und einer Ermüdung beim „Wegklicken“ von Cookiebannern sieht auch der Verordnungsgeber: Die Nutzer werden mittlerweile schon so oft aufgefordert, der Speicherung von Cookies in ihren Endgeräten zuzustimmen, dass sie die Informationen darüber in ihrer Überforderung möglicherweise gar nicht mehr lesen. Damit sei aber der Schutz durch die Informations- und Einwilligungspflicht unterwandert.
Browsereinstellungen
Dem Verordnungsgeber schwebt als Alternative zu Cookie-Bannern vor, dass die Endnutzer die in den übrigen Fällen nötige Einwilligung zu Cookies über transparente und benutzerfreundliche Einstellungen in der Software (etwa dem Internetbrowser) erteilen können; und zwar beispielsweise für einen oder mehrere Anbieter und einen oder mehrere Zwecke. Dies könnte etwa durch eine „Whitelist“ geschehen, in die der Endnutzer einträgt, von welchen Anbietern er welche Cookies akzeptieren möchte.
Schon heute verfügen alle verbreiteten Internetbrowser über vergleichbare Möglichkeiten. Die wahre Hürde liegt in der Frage, wie die Browser bei der Installation voreingestellt sind. Müssen die Internetbrowser im „Auslieferungszustand“ alle bis auf die technisch erforderlichen Cookies ablehnen?
Betrachtet man die Regelungen der DSGVO, die Vorentwürfe der ePrivacy-Verordnung und die EuGH-Entscheidung C-673/17 – Planet49, liegt das nahe. Die Endnutzer müssten also von der Werbewirtschaft erst dazu gebracht werden, diese Voreinstellungen aktiv zu ändern und auch Marketingcookies zuzulassen. Das dürfte ähnlich schwierig sein wie die User zu einem Klick auf „Ja“ zu Marketingcookies zu motivieren.
Technisch notwendige Cookies – alles beim Alten
Wie schon bisher wird über die technisch notwendigen Cookies und über jene, die für einen vom Endnutzer gewünschten Service erforderlich sind, zu informieren sein. Eine Einwilligung der Nutzer ist für technisch notwendige Cookies nicht nötig.
Gedacht ist dabei an Session Cookies, die etwa eine Wiedererkennung des Users bei Formulareingaben auf hintereinander eingeblendeten Seiten ermöglichen, Cookies, die der Authentifizierung des Users dienen (also die Anmeldung des Nutzers speichern, bis er/sie sich ausloggt) und Warenkorbcookies.
Werden wir also in Zukunft noch mehr oder wieder weniger Cookie-Banner sehen?
Bis das letzte Wort gesprochen ist, könnte noch einige Zeit vergehen. Mittlerweile wird in der Onlinewerbebranche schon über Alternativen zu Third Party Cookies diskutiert, zumal mehr und mehr Internetbrowser solche Cookies nicht mehr akzeptieren werden. Google will die Verwendung von Drittanbieter-Cookies in dem weit verbreiteten Browser Chrome noch vor 2022 stoppen. Damit ergibt sich für Websitebetreiber die Notwendigkeit, alternative Technologien für das Tracking von Besucherinteraktionen einzuführen. Wir halten Sie in unseren Newsbeiträgen auf dem Laufenden.
Autor
Mag. Alexander Koukal LL.M. ist Rechtsanwalt und Partner von Höhne, In der Maur & Partner, Wien. Nach dem Studium der Rechtswissenschaften in Wien (Mag. iur. 2001) absolvierte er den Universitätslehrgang für Informationsrecht und Rechtsinformation an der Universität Wien (LL.M. 2003). Seine Arbeitsschwerpunkte umfassen Medienrecht, IT-Recht und E-Commerce, Datenschutz, Urheber-, Marken- und Wettbewerbsrecht, Rundfunkrecht und Vereinsrecht.
Zum Beitrag
Produkt-Empfehlungen
