eR 11/21

RECHT: TTDSG Wo wird das

RECHT: TTDSG Wo wird das TTDSG nun für Unternehmen interessant? Zum einen bewahrheitet sich der Grundsatz, das private Surfen und Mailen von Mitarbeitern auf betrieblich genutzter IT grundsätzlich zu verbieten. Dann fällt man als Unternehmer möglicherweise auch gar nicht unter das TKG. Die Hürden sind wesentlich geringer als bei der DSGVO. Der österreichische Datenschutzaktivist Schrems hat bereits seit Längerem Sammelklagen gegen intransparente Cookie Consent Layer am Laufen. Die TTDSG würde hier durch die Festlegung der formalen Kriterien ab dem 01.12.21 ganz schnell kurzen Prozess machen. Was muss ich nun bei der Internetseite tun? Praktische Anwendung findet das TTDSG aber bei allen Onlineaktivitäten der Unternehmen, insbesondere bei der Einwilligungspflicht in Cookies und vergleichbare Techniken. Und hier findet im Vergleich zur bisherigen gesetzlichen Grundlage aus § 15 Abs. 3 TMG der neue § 25 TTDSG Anwendung: „Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.“ Das wirklich Spannende und Neue hierbei ist der Begriff: Endeinrichtung. Damit ist nun eben nicht mehr nur der Browser gemeint, sondern technologieneutral alles, was an Technik für Onlineaktivitäten seitens eines Endanwenders genutzt werden kann. Also auch: Smartphone, Kfz, SmartTV, SmartHome, SmartMeter, IoT, Fitnesstracker et cetera. Und die Einwilligung greift auf Art. 7 DSGVO und ErwgGr. 32 zurück, was der Form und der Gültigkeit der Einwilligung einen Rahmen setzt. Das TTDSG setzt allerdings der DSGVO noch einen drauf: Es geht nicht nur um personenbezogene Daten, sondern auch alle möglichen weiteren durch den Nutzer generierten Daten, also beispielsweise Messwerte, Fingerprinting-Daten et cetera. Zudem gibt es in § 28 einen eigenen Bußgeldkatalog nach TTDSG. Der ist zwar mit maximal 300.000 Euro erheblich geringer als bei der DSGVO, wird aber bei Verstoß gegen die Verarbeitung personenbezogener Daten zusätzlich zum Bußgeld nach DSGVO herangezogen. Das senkt die Hürde für Bußgelder bei fehlerhaften Cookie Consent Layern erheblich, da nicht unbedingt mehr der Datenschutzverstoß maßgeblich ist. Da sehr leicht von extern zu kontrollieren ist, ob die Cookie-Einwilligung korrekt nach TTDSG umgesetzt ist, droht es hier sehr leicht, Opfer eines Abmahnverfahrens zu werden. Das große To-do in Bezug auf das TTDSG für Unternehmen heißt: Cookie Consent Layer. Der bisherige Einsatz ist nun unbedingt bis zum 01.12.2021 zu prüfen, da keine Übergangsfrist besteht. Das TTDSG hat auf alle Fälle wesentlich mehr Abmahnpotenzial als die DSGVO! Wie muss der Cookie Consent Layer nun korrekt aussehen? 1. Es ist eine formal korrekte Einwilligung nach Art. 7 DSGVO einzuholen (hier also insbesondere die Infor- mationspflichten und die aktive Einwilligung beachten). 2. Die technische Umsetzung ist korrekt vorzunehmen (also Einbetten von Scripts, Tracking- und Marketing-Tools, Speichern personenbezogener Daten oder session übergreifender Informationen in Cookies, Informationen für Werbenetzwerke et cetera erst NACH der erfolgten Einwilligung). 3. Prüfen auf technische Notwendigkeit: Für Cookies, die technisch unbedingt notwendig zum Betrieb des Telemedienangebotes sind, benötigt es keine Einwilligung. Dies ist jedoch im Einzelfall genau zu prüfen, typische Ausnahmen wären Session-Cookies und Warenkorb- Cookies. 4. Transparenz bei der Gestaltung: Zum Einen muss es ebenso leicht abzuwählen wie anzuwählen sein. Optisch verstecktes Opt-out wird nicht funktionieren und farblich hervorgehobene „Zustimmen“-Buttons wären unzulässig. Auch ist strittig, ob das Deaktivieren von „25“ (vielen) einzelnen Tools zur Transparenz beiträgt. Idealerweise umfasst der Cookie Consent Layer also nur die drei Optionen „Technisch notwendig“, „Analyse- und TrackingTools“, „Marketing- und Werbetools“, die dann sum- mierend alle Dienste aktivieren oder deaktivieren. Genannt werden müssen alle Dienste aber selbstverständlich, damit sich der Nutzer informieren kann. Also kurz gesagt: Prüfen Sie nochmals die Implementierung Ihres Cookie Consent Layers und ob das ein oder andere Tool auch wirklich 6 11-21 | expertenReport

Stephan Michaelis Rechtsanwalt Kanzlei Michaelis Rechtsanwälte Harald Müller-Delius MBA, Dipl.-Ing. (FH) Datenschutzbeauftragter (IHK) »Eine Website-Statistik kann man sich mit gängigen Tools auch per anonymisierten Server- Logfiles einholen, und das ganz ohne Cookie Consent Layer und Datenschutzverrenkung.« notwendig ist. Kleine Idee aus der Technikkiste von Herrn Müller-Delius: Eine Website-Statistik kann man sich mit gängigen Tools auch per anonymisierten Server-Logfiles einholen, und das ganz ohne Cookie Consent Layer und Datenschutzverrenkung. Sollten Sie eines der gängigen Tools für den Cookie Layer einsetzen, sollte die Umsetzung aber auch schon an das TTDSG angepasst sein. Und sonst noch? Anbei bemerkt sei noch, dass das TTDSG auch noch weitere Sachverhalte regelt. Als Beispiel sei genannt, dass das Fernmeldegeheimnis nun auch das Erbe eines Onlinenachlasses regelt und neue Regelungen zur Rufnummerunterdrückung stattfinden. Interessant womöglich für alle Callcenter- und Akquisetätigkeiten. Der Ausblick Das TTDSG ist ganz klar nur eine juristische Zwischenlösung als Reaktion auf die BGH-Urteile, bis die ePrivacy-Verordnung in Kraft tritt. Da aber der Gesetzgeber nun auf die Schnelle eine nationale Zwischenlösung geschaffen hat, gilt es erst einmal, das Geflecht aus TMG, TKG, TTDSG und DSGVO zu entschlüsseln. Insbesondere die Definition der Begrifflichkeiten ist juristisches Abenteuer genug. Und was dann passieren soll, wenn perspektivisch die ePrivacy-Verordnung als europäische Gesamtlösung in Kraft tritt und damit noch mehr vernetzte Regelungen über die bestehenden Gesetze ausgeschüttet werden, bleibt abzuwarten. Aber vor 2023 wird das nicht der Fall sein und bis dahin mag ja eine spannende, einheitliche, verständliche Lösung gefunden sein? Fazit Leiten Sie diese Nachricht einfach an den Systemadministrator Ihrer Internetseite weiter. Fragen Sie ihn konkret, ob die vorhandenen Einstellungen des Cookie Consent Layers den neuen künftigen gesetzlichen Rahmenregelungen entsprechen. Lassen Sie sich dies am besten auch bestätigen. Sollten Sie sich nicht sicher sein, dann sollten Sie entsprechende Dienste oder Techniken auf Ihrer Website vorerst abschalten und damit würden die Voraussetzungen für den Cookie Consent Layer entfallen. Jedenfalls können Sie so eine plötzliche, unerwünschte Abmahnung vermeiden. Nach erfolgter Anpassung Ihres Cookie Consent Layers gemäß den vier vorangegangenen Tipps sollten Sie aber auch die neuen rechtlichen Rahmenbedingungen des TTDSG erfüllen. Kanzlei Michaelis Rechtsanwälte info@kanzlei-michaelis.de www.kanzlei-michaelis.de expertenReport | 11-21 7