Cookie Policy
ANORDNUNG DES DATENSCHUTZBEAUFTRAGTEN: ZUSAMMENFASSUNG DER ANORDNUNG NR. 231 VOM 10. JUNI 2021 "COOKIES: NEUE RICHTLINIEN ZUM SCHUTZ DER BENUTZER"
Mit der Anordnung vom vergangenen Juni hat der Datenschutzbeauftragte beabsichtigt, die gesetzlichen Vorgaben zum Thema Cookies u/o zu anderen Systemen zur Rückverfolgung der Person, welche technologische Geräte für das Navigieren im Internet verwendet, zusammenzufassen und zu aktualisieren.
Zentrales Thema ist die Einhaltung der Grundsätze Accountability, Privacy by Design und Privacy by Default, die sich in der Möglichkeit für den Benutzer konkretisieren, immer verantwortungsbewusster online zu navigieren und seine Entscheidungsbefugnis dabei zu stärken.
Nach Anordnung des Datenschutzbeauftragten hat jeder Webseitenbetreiber 6 Monate Zeit, um sich an die Richtlinien anzupassen.
In der Tabelle unten sind die wichtigsten Fragen und Antworten zusammengestellt, die eine korrekte Verwaltung der Datenschutzpolitik für die auf jeder Webseite verwendeten Cookies erlauben.
1 Was sind Cookies?
Cookies sind kleine Textdateien, die von den Webseiten, die von den Benutzern besucht werden ("Erstanbieter" oder "Publisher"), oder von anderen Webseiten oder Webservern ("Drittanbieter") auf das Endgerät des Benutzers übertragen und gespeichert werden, um dann beim folgenden Besuch der Webseite durch den Benutzer wieder an die Webseite zurückübertragen werden.
2 Welchen Zweck haben Cookies?
Cookies werden zu verschiedenen Zwecken verwendet, wie z.B.:
a) Authentifizierung von Anmeldedaten.
b) Überwachung von Sitzungen.
c) Speichern von spezifischen Konfigurationsdaten der Benutzer, die auf den Server zugreifen.
d) Speichern von Vorlieben oder Speichern von Daten, die die Nutzung der Online-Inhalte erleichtern (z.B. Speichern der Artikel im Einkaufswagen oder der Daten, die in ein Online-Formular eingegeben werden, usw.).
e) Profilieren des Benutzers (d.h. dass "Beobachten" vom Verhalten des Benutzers, das Senden von gezielter Werbung, die Ermittlung der Wirksamkeit von Werbeanzeigen und das Ergreifen entsprechender Verkaufsstrategien). Dafür werden die so genannten Profilierungs-Cookies verwendet.
Das gleiche Ergebnis kann auch mit anderen Tracking-Instrumenten oder -Techniken erzielt werden, wie z.B. dem Fingerprinting.
3 Was sind technische Cookies?
Das sind Cookies, die für die Navigation oder die Erbringung der vom Benutzer angefragten Leistung erforderlich sind. Sie werden zu keinen anderen Zwecken verwendet und werden in der Regel direkt vom Betreiber der Webseite installiert.
Ohne diese Cookies sind einige Vorgänge nicht möglich oder wären komplexer u/o weniger sicher, wie z.B. Vorgänge für das Home Banking (Anzeige vom Kontoauszug, Überweisungen, Bezahlung von Rechnungen, usw.), für welche die Cookies unverzichtbar sind, da sie eine Identifizierung des Benutzers und ein Speichern dieser Identifizierung während der Sitzung ermöglichen.
4 Sind analytische Cookies auch technische Cookies?
Nein.
Der Datenschutzbeauftragte hat festgelegt, dass sie dann zu den technischen Cookies gezählt werden können, wenn sie direkt vom Betreiber der Webseite zur Optimierung der Webseite verwendet werden, wobei der Webseitenbetreiber statistische Daten in aggregierter Form über die Anzahl der Benutzer und die Art und Weise, wie diese die Webseite nutzen, erfassen kann.
Wenn die Verarbeitung dieser statistischen Analysen dagegen durch Drittanbieter erfolgt, müssen die Daten der Benutzer zuvor minimiert werden und dürfen nicht mit anderen Verarbeitungen zusammengeführt oder an weitere Dritte übertragen werden. In diesem Fall gelten im Hinblick auf die Informationspflicht und die Einwilligung die gleichen Regeln wie für die analytischen Cookies.
Eine Ausnahme davon bildet das Erstellen von Statistiken mit Daten von mehreren Domänen, Webseiten oder Apps, die dem gleichen Betreiber oder der gleichen Unternehmensgruppe gehören. Diese Ausnahme gilt sowohl für den Erstanbieter, der dies selbst durchführt, als auch für den Drittanbieter, der im Auftrag des Erstanbieters tätig ist.
5 Ist immer eine Einwilligung erforderlich für das Speichern von Cookies auf dem eigenen Endgerät?
Das hängt von dem Zweck ab, für welchen die Cookies verwendet werden, also davon, ob es sich um "technische Cookies" oder um "Profilierungscookies" handelt.
Für das Speichern der technischen Cookies und der analytischen Cookies ist keine Einwilligung des Benutzers erforderlich, dem Benutzer muss jedoch immer die Erklärung geliefert werden (Art. 13 Verordnung (EU) 2016/679).
Profilierungscookies und andere Tracking-Instrumente dürfen dagegen nur dann verwendet werden, wenn der Benutzer seine ausdrückliche Einwilligung dazu gegeben hat, nachdem er mit einer vereinfachten Erklärung entsprechend informiert worden ist.
6 Vorgehensweise für die Erstellung der vereinfachten Cookie-Erklärung und Einwilligung zu den Profilierungscookies
Wie vom Datenschutzbeauftragten festgelegt, muss die Erklärung auf mehreren Ebenen verfügbar sein und kann auch auf mehreren Kanälen veröffentlicht werden, wobei geeignete Maßnahmen ergriffen werden müssen, damit sie ohne Diskriminierung auch für Menschen mit Behinderung zugänglich ist.
Im Hinblick auf die Accountability (Rechenschaftspflicht) empfiehlt der Datenschutzbeauftragte die Umsetzung eines Verfahrens, das sicherstellt, dass dem Benutzer in dem Augenblick, in dem er eine Webseite aufruft (auf der Startseite oder jeder anderen Seite), umgehend ein Banner angezeigt wird, das eine erste "kurze" Erklärung, die Einwilligung zur Verwendung der Cookies und einen Link enthält, mit dem eine "ausführlichere" Erklärung aufgerufen werden kann.
Auf dieser Seite findet der Benutzer weiterführende Informationen über die Cookies und kann auswählen, für welche spezifischen Cookies er seine Einwilligung gibt.
7 Wie muss das Banner aussehen?
Der Webseitenbetreiber muss garantieren, dass mit den Default-Einstellungen nur die Daten verarbeitet werden, die für die Erfüllung spezifischer Zwecke erforderlich sind, d.h. dass die Datenverarbeitung auf das Minimum beschränkt wird, das erforderlich ist, damit der Benutzer auf der Webseite navigieren kann. Das bedeutet, dass beim ersten Aufrufen der Webseite durch den Benutzer keine Tracking-Cookies oder anderen Tracking-Instrumente verwendet werden dürfen.
Dann kann ein Banner mit einer Größe angezeigt werden, die für die verschiedenen verwendbaren Endgeräte geeignet ist und unter Beibehaltung der Default-Einstellungen allen Benutzer die Möglichkeit zur Einwilligung gibt, sofern sie dies wünschen.
Der Benutzer, der seine Einwilligung nicht geben möchte, beschränkt sich darauf, das Banner mit der Schaltfläche zu schließen, die normalerweise zu diesem Zweck verwendet wird (in der Regel ein Button mit einem X in der rechten oberen Ecke des Banners).
8 Welche Angaben und Schaltflächen muss das Banner enthalten?
Das Banner muss:
- gegebenenfalls angeben, dass die Webseite Profilierungscookies verwendet, eventuell auch von "Drittanbietern", welche die Zusendung bzw. Anzeige von Werbung ermöglichen, die auf die Präferenzen des Benutzers abgestimmt ist.
- einen Link zur ausführlichen Cookie-Erklärung und zu einem anderen Bereich enthalten, in welchem analytisch nur die Funktionen, Cookies und Drittanbieter ausgewählt werden können, für welche die Einwilligung erteilt werden soll.
- eine Schaltfläche enthalten, mit welcher der Benutzer seine Einwilligung zu allen Cookies oder zu anderen Tracking-Instrumenten geben kann.
- die Information enthalten, dass sollte der Benutzer das Banner mit dem X-Button in der rechten oberen Ecke schließen, die Default-Einstellungen erhalten bleiben, welche die Verwendung von Tracking-Cookies oder anderen Tracking-Instrumenten mit Ausnahme der technischen Cookies nicht erlauben.
9 Auf welche Weise kann die Erteilung der Einwilligung dokumentiert werden, die über die Verwendung der Banner erfolgt?
Um die gegebene Einwilligung zu verfolgen, kann der Betreiber der Webseite ein entsprechendes technisches Cookie verwenden. Dieses Verfahren ist nicht besonders invasiv und macht keine weitere Einwilligung erforderlich, ebenso wie die anderen Verfahren, die eine konstante Aktualisierung der Aufzeichnung der Auswahl erlauben, die der Benutzer getroffen hat.
Es bleibt die Möglichkeit für den Benutzer bestehen, jederzeit auf unkomplizierte Weise seine eigenen Entscheidungen zu ändern. Diesbezüglich ist das Ergreifen einer technischen Maßnahme (z.B. ein Symbol oder ein grafisches Zeichen) gute Praxis, welche jederzeit den Status der Einwilligungen anzeigt, die der Benutzer zuvor gegeben hat.
10 Kann das Banner nach dem ersten Aufrufen bei jedem weiteren Aufrufen angezeigt werden?
Nein.
Wenn der Benutzer seine Einwilligung nicht oder nur zur Verwendung einiger Cookies erteilt hat, darf das Banner nicht mehr angezeigt werden, außer in einigen Sonderfällen:
a) wenn eine oder mehrere Bedingungen der Datenverarbeitung sich signifikant ändern, z.B. der Datenverarbeitung durch Drittanbieter;
b) wenn der Provider nicht wissen kann, ob ein technisches Cookie bereits auf dem Endgerät des Benutzers gespeichert worden ist (z.B. wenn die Cookies vom Benutzer selbst gelöscht worden sind);
c) wenn mindestens sechs Monate seit der letzten Anzeige des Banners vergangen sind.
11 Kann die Online-Einwilligung zur Verwendung der Cookies nur mit dem Banner abgefragt werden?
Nein.
Die Betreiber der Webseite haben immer die Möglichkeit, auf andere Verfahren zurückzugreifen als die vom Datenschutzbeauftragten in der oben genannten Anordnung festgelegten, vorausgesetzt die ausgewählten Verfahren erfüllen alle gesetzlichen Anforderungen an die Gültigkeit der Einwilligung.
12 Ist ein Cookie-Banner auch dann erforderlich, wenn nur technische Cookies verwendet werden?
Nein.
In diesem Fall kann der Betreiber der Webseite seine Informationspflicht gegenüber den Benutzern mit den Verfahren erfüllen, die er für am besten geeignet hält, z.B. durch Einfügen der entsprechenden Informationen in die auf der Webseite veröffentliche Datenschutzerklärung.
13 Gilt eine Einwilligung durch Scrollen?
Nein, das Scrollen des Cursors auf der Seite ist nicht geeignet, um die Einwilligung zum Ausdruck zu bringen.
Das Scrollen kann höchstens ein Bestandteil eines komplexeren Prozesses sein, der das Generieren eines IT-Ereignisses erlaubt, das geeignet ist, um eine speicherbare, dokumentierbare und eindeutige Wahl zu treffen.
14 Ist es rechtmäßig, den Zugang zu einer Webseite zu verweigern, wenn der Benutzer seine Einwilligung zur Verwendung von Tracking-Cookies u/o anderen Tracking-Verfahren verweigert?
Nein, vorbehaltlich des Falls, der jeweils zu prüfen ist, in welchem der Betreiber der Webseite unter Beachtung des Grundsatzes der Korrektheit dem Betroffenen die Möglichkeit bietet, einen gleichwertigen Inhalt oder eine gleichwertige Leistung aufzurufen, ohne seine Einwilligung zu geben.
15 Welche Angaben muss die ausführliche Cookie-Erklärung enthalten?
- Alle gesetzlich vorgesehenen Angaben und eine analytische Beschreibung der Eigenschaften und der Zwecke der Cookies, die von der Webseite installiert werden.
- Auflistung aller eventuellen weiteren Personen, an welche die personenbezogenen Daten weitergegeben werden, der Zeiträume, für welche die Daten gespeichert werden, und die Angabe der Möglichkeiten und der Verfahren, mit denen die Benutzer ihre Rechte zum Schutz ihrer personenbezogenen Daten ausüben können.
- Angaben zu den Kriterien für die Klassifizierung der Cookies oder der anderen verwendeten Tracking-Instrumente, um insbesondere die technischen Cookies von den analytischen Cookies und den Profilierungscookies zu unterscheiden.
16 Wer ist verpflichtet, die Informationspflicht zu erfüllen und die Einwilligung zur Verwendung der Cookies einzuholen?
Der Betreiber der Webseite, die die Profilierungscookies installiert.
Für Drittanbieter-Cookies, die über die Webseite installiert werden, liegen die Informationspflicht und die Pflicht zur Einholung der Einwilligung bei den Drittanbietern, aber der Betreiber der Webseite, der als technischer Vermittler zwischen den Drittanbietern und den Benutzern fungiert, ist dazu angehalten, in die "ausführliche" Cookie-Erklärung die aktualisierten Links zu den Cookie-Erklärungen und den Einwilligungsformularen der Drittanbieter einzufügen.
