Tobias Wegmann
Am 25. Mai 2011 ist es soweit. An diesem Tag tritt die überarbeitete Richtlinie der Europäischen Union für den Datenschutz in der elektronischen Kommunikation in Kraft. Über die Interpretation des Inhalts und die praktische Umsetzung dieser Richtlinie bestand seit der Verabschiedung im Jahr 2009 lange Zeit Verwirrung und Unklarheit. Jetzt beginnen sich die Nebel zu lichten.
Worum geht es? Die Richtlinie postuliert, dass die Betreiber von Onlineangeboten eine explizite Zustimmung des Nutzers einholen müssen, wenn sie ein Cookie auf seinem Rechner ablegen wollen. Ein Cookie ist eine kleine Textdatei, die eine Webseite über den Browser auf dem Rechner eines Users ablegen darf und in der sie Informationen speichern kann, um den User in Zukunft wiederzuerkennen, also zu “tracken”. Das Cookie ist nicht die einzige technische Methode, die ein Tracking ermöglicht, aber sie ist die am weitesten verbreitete und auch über Fachkreise hinaus zumindest dem Namen nach bekannt. Dies dürfte der Grund sein, warum sich die EU-Richtlinie explizit zu Cookies äußert, andere Trackingverfahren aber nicht erwähnt.
Die Gültigkeit der Richtlinie umfasst im Übrigen den gesamten europäischen Internetmarkt und somit theoretisch auch die lokalisierten Angebote der großen nichteuropäischen Internetdienste wie etwa Google und Facebook. Da diese aber sowohl ihren Firmensitz in den USA haben als auch die technische Infrastruktur dort betreiben, sind die Vorschriften für sie wohl in der Praxis ohne Konsequenzen.
Ausgenommen von der “ausdrücklichen Zustimmung des Users” sind so genannte Session-Cookies, das sind Cookies, die beim Schließen des Browsers automatisch gelöscht werden, da ihre voreingestellte Lebenszeit dann abläuft. Darüber hinaus – so die Richtlinie – dürfen Cookies ohne Zustimmung eingesetzt werden, „soweit sie unbedingt erforderlich sind, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann”. Was hierbei unter “unbedingt erforderlich” zu verstehen ist, kann unterschiedlichst interpretiert werden.
Die entscheidende Frage lautet aber: Wie soll die “ausdrückliche Zustimmung” des Users zum Setzen eines Cookies in der Praxis eingeholt werden?
Vorstellbar wäre zum Beispiel, dass ein User bei jedem Aufruf einer Website seine Zustimmung zum Setzen des Cookies durch einen Mouseclick oder das Absenden eines Formulars kundtun muss. Dies würde hinsichtlich der Usability von Angeboten gravierende Folgen haben, die geradezu absurd anmuten. Trotzdem ist das Szenario kein bloßes Hirngespinst. So wie es jetzt aussieht, wird die Richtlinie in Belgien in ähnlicher Form in die Praxis umgesetzt werden. Hier fordert der Gesetzgeber sogar eine schriftliche (!) Zustimmung des Internetusers, bevor das Cookie geschrieben werden darf.
Anders sieht es in den großen europäischen Internetmärkten wie etwa Großbritannien, Deutschland und Frankreich aus. Dort haben sich die Interessenvertreter aller betroffenen Parteien in einem langwierigen Prozess darauf geeinigt, dass eine entsprechende Browsereinstellung durch den User, mit der er alle oder einige Cookies akzeptiert, als generelle Einwilligung verstanden werden kann. Das bedeutet: An der Handhabung der Cookies durch die Webseiten und Angebote ändert sich in der Praxis auch nach dem 25.5.2011 nichts Grundlegendes. Deshalb wird die EU-Richtlinie in Deutschland wohl auch keine Änderungen in der nationalen Gesetzgebung nach sich ziehen.
