Auswirkungen des Telekommunikations-Telemedien-Datenschutzgesetzes auf die Datenschutzpraxis öffentlicher Stellen

Ein Überblick über die seit 1. Dezember 2021 geltenden Neuregelungen für Cookies & Co.

Mit dem Inkrafttreten des Telekommunikations-Telemedien-Datenschutz-Gesetzes (TTDSG) zum 1. Dezember 2021 verknüpfen sich gleichermaßen hohe Erwartungen wie besorgte Mahnungen: Während Nutzervertreter endlich klare Grenzen für oft als überbordend empfundene Cookie-Speicherung und Tracking erhoffen, sorgen sich gerade Vertreter von Medienanbietern um das Ende von kostenloser Information im Netz und zugleich endgültiger Benachteiligung gegenüber großen Plattformanbietern und ihren weitreichenden Nutzerdatenanalysen. Welche Bedeutung aber hat das neue Recht, das die Datenschutzvorschriften des Telekommunikations- und des Telemediengesetzes zusammenfassen soll, im öffentlichen Bereich? Dessen Webseiten kooperieren viel seltener als private, oft werbefinanzierte Angebote mit Drittanbietern und binden in deutlich geringerem Maße Cookies ein?

Wesentliche Neuregelungen im Überblick

Das TTDSG setzt in § 25 TTDSG erstmal für Deutschland die vielfach diskutierte sog. Cookie-Regelung des Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58 um. Diese Richtlinie gilt neben der DSGVO grundsätzlich fort (Art. 95 DSGVO) und sollte ursprünglich durch eine Nachfolgeregelung in Form einer ePrivacy-Verordnung der EU abgelöst werden, deren Verabschiedung sich aber verzögert.

Das TTDSG trägt damit u.a. aktueller Rechtsprechung des Bundesgerichtshofs Rechnung. Dieser war in einer umstrittenen Entscheidung („Planet 49“, Urteil vom 28. Mai 2020, I ZR 7/16) trotz fehlender gesetzlicher Umsetzung bereits von der unmittelbaren Geltung der Richtlinienregelung ausgegangen, während die Datenschutzaufsichtsbehörden zunächst das Setzen und Auslesen von Cookies umfassend der DSGVO unterstellt hatten.

Zu unterscheiden ist weiterhin zwischen der Rechtsgrundlage für den Einsatz des Cookies, die nun das TTDSG mit dem Grundsatz der Einwilligung und zwei Ausnahmetatbeständen regelt, und der Rechtsgrundlage für die weitere Verarbeitung personenbezogener Daten in und auf Grund von Cookies. Diese weiteren Datenflüsse unterliegen nach wie vor umfassend der DSGVO.

§ 25 TTDSG im Detail – mehr als nur ein Schutz vor Cookies

§ 25 TTDSG dient dem Schutz der Privatsphäre und Vertraulichkeit bei der Nutzung von Endeinrichtungen, wie er durch Art. 7 Grundrechte-Charta gewährleistet wird. Anders als die DSGVO dient die Regelung mithin primär dem Schutz der Integrität der sog. Endeinrichtung, erfasst also auch Fallgestaltungen ohne Bezug zu personenbeziehbaren Informationen.

Der zentrale Begriff der Endeinrichtung wird in § 2 Abs. 2 Nr. 6 TTDSG legaldefiniert als „jede direkt oder indirekt an die Schnittstelle eines öffentlichen Telekommunikationsnetzes angeschlossene Einrichtung zum Aussenden, Verarbeiten oder Empfangen von Nachrichten; sowohl bei direkten als auch bei indirekten Anschlüssen kann die Verbindung über Draht, optische Faser oder elektromagnetisch hergestellt werden; bei einem indirekten Anschluss ist zwischen der Endeinrichtung und der Schnittstelle des öffentlichen Netzes ein Gerät geschaltet.“ Die Gesetzesbegründung (BT-Drucks. 19/27441, S. 38) erläutert, dass dieser weite Anwendungsbereich bewusst gewählt wurde, um nicht nur die Kommunikation via klassischer Telefonie und Internet (Voiceover-IP) zu erfassen, sondern auch die Vielzahl von Gegenständen, die inzwischen – kabelgebunden oder über WLAN-Router – an das öffentliche Kommunikationsnetz angeschlossen sind, etwa Smarthome-Anwendungen, Messgeräte oder Automobile, wenn diese über die entsprechenden Kommunikationsfunktionen verfügen. Seine Grenze findet der Anwendungsbereich, wo technische Einrichtungen nicht mit dem öffentlichen Telekommunikationsnetz verbunden sind, etwa in geschlossenen Firmennetzwerken.

Grundsatz der Einwilligung

Das grundsätzliche Einwilligungserfordernis gilt anders als in der DSGVO nicht umfassend für jede denkbare Form der Informationsverarbeitung, sondern unter der Zielsetzung des Integritätsschutzes nur für die Speicherung von Informationen in der Endeinrichtung sowie für den Zugriff auf Informationen, die in der Endeinrichtung gespeichert sind. Die Nutzung von Informationen, die die Endeinrichtung bestimmungsgemäß aussendet bzw. übermittelt, z.B. von Gerätekennungen im Browser oder Bluetooth-Abstrahlungen, unterliegt deshalb nicht § 25 TTDSG, aber bei Personenbeziehbarkeit weiterhin allgemeinen Bestimmungen der DSGVO.

Die Befugnis zur Einwilligung wird im TTDSG anders als in der DSGVO nicht dem Betroffenen, sondern dem Endnutzer zugewiesen. Dieser Begriff stammt aus dem Telekommunikationsrecht (§ 3 Nr. 13 Telekommunikationsgesetz – TKG -) und diente dort lediglich der Abgrenzung vom Begriff des Anbieters von Telekommunikationsdiensten. Einwilligungsberechtigt sind damit Personen, die objektiv Nutzende der Endeinrichtung sind, unabhängig von Eigentums- oder Vertragsverhältnissen. Damit ist z.B. für die Gestattung des Zugriffs von Daten aus einem mit dem Internet verbundenen Dienstfahrzeug der jeweilige Fahrer, nicht der Dienstherr zuständig.

Ausnahmen vom Einwilligungserfordernis

Von dem Grundsatz der Einwilligungsbedürftigkeit sind in § 25 Abs. 2 TTDSG zwei Ausnahmen vorgesehen. Die erste Ausnahme richtet sich vornehmlich an Anbieter von Telekommunikationsdiensten (§ 3 Nr. 1 TKG). Die zweite Ausnahme adressiert im Unterschied dazu die Anbieter von Telemedien gemäß § 2 Abs. 2 Nr. 1 TTDSG.

a) Durchführung der Übertragung einer Nachricht

Gemäß § 25 Abs. 2 Nr. 1 TTDSG ist eine Einwilligung nicht erforderlich, wenn der alleinige Zweck der Speicherung von Informationen in der Endeinrichtung oder der alleinige Zweck des Zugriffs auf bereits in der Endeinrichtung der Endnutzer gespeicherte Informationen die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist.

b) Zur Verfügung stellen eines Telemediendienstes

§ 25 Abs. 2 Nr. 2 TTDSG fordert keine Einwilligung, wenn die Speicherung von Informationen in der Endeinrichtung oder der Zugriff auf bereits in der Endeinrichtung gespeicherte Informationen unbedingt erforderlich ist, damit Anbieter eines Telemediendienstes einen vom jeweiligen Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen können.

Angesichts der strengen Anforderungen an eine rechtswirksame Einwilligung hat die Anwendung der Ausnahmevorschriften vor allem bei kommerziellen Internetangeboten hohe praktische Bedeutung und gleichzeitig beträchtliches Streitpotential. Für den Rechtsanwender bleibt gerade in der Startphase des neuen Rechts bis zur Ausräumung von Rechtsunsicherheiten durch Datenschutzaufsichtsbehörden und Gerichte bedeutsam, die systematische Stellung der beiden Tatbestände zu beachten: Anders als bei den untereinander grundsätzlich gleichwertigen Tatbeständen des Art. 6 DSGVO, stehen das Einwilligungserfordernis und die gesetzlichen Zulassungstatbestände des § 25 Abs. 2 TTDSG in einem Regel-Ausnahmeverhältnis, d.h. die Ausnahmetatbestände verlangen von vornherein eine strenge, ihrer Stellung entsprechende Anwendung.

Zudem enthalten die Tatbestandsmerkmale des § 25 Abs. 2 TTDSG anders insbesondere als Art. 6 Abs. 1 UAbs. 1 Buchst. f DSGVO zur Datenverarbeitung in Wahrnehmung berechtigter Interessen grundsätzlichen keinen Anknüpfungspunkt für Interessenabwägungen, Risikobetrachtungen oder sonstige Wertungskriterien. Merkmale wie die „unbedingte Erforderlichkeit“ in § 25 Abs. 2 Nr. 2 TTDSG zeigen im Übrigen eine deutliche Abgrenzung und Qualifizierung gegenüber den allgemeinen Maßstäben des Erforderlichkeitsgrundsatzes im allgemeinen Datenschutzrecht.

Ausblick

Für die Datenschutzpraxis öffentlicher Stellen empfiehlt sich, die Auswirkungen des neuen Rechts jedenfalls hinsichtlich des Einsatzes von Cookies bei ihren Internetangeboten genau nach den Maßstäben des TTDSG zu überprüfen.
 
Während Cookies, für die ohnehin bereits DSGVO-konforme Einwilligungserfordernisse eingerichtet sind oder die als unbedingt erforderlich angesehen werden können (z.B. Warenkorbcookies für Broschürenbestellungen oder Session-Cookies für Webseiten mit individuellen Nutzeraccounts) im Einzelfall keinen Anpassungsbedarf auslösen müssen, sollten Cookies für Nutzung- oder Reichweitenanalysen besonders kritisch überprüft werden. Hier ist zu beachten, dass mit dem TTDSG die für diese Messungen häufig herangezogene Rechtsgrundlage in § 15 Abs. 3 Telemediengesetz aufgehoben wurde, die durch die Ausnahmevorschriften des § 25 Abs. 2 TTDSG nicht deckungsgleich ersetzt wird.

Dagegen ist es auf Grund des TTDSG in der Regel nicht erforderlich, allgemeine oder für einzelne Internetangebote bereit gestellte Datenschutzerklärungen zur Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO anzupassen, da diese durch das TTDSG nicht berührt werden. 

Hilfestellungen zur Anwendung des TTDSG sollen u.a. in einer Orientierungshilfe der Datenschutzaufsichtsbehörden des Bundes und der Länder bis Jahresende 2021 bereitgestellt werden.

Stellvertretend für die Autoren von „Datenschutz in Bayern“ wünsche ich unseren Leserinnen und Lesern ungeachtet aller aktuellen Beschwernisse frohe Adventstage, ein gesegnetes Weihnachtsfest und alles erdenklich Gute für den Start ins neue Jahr.

München, im Dezember 2021

Michael Will

Autor für „Datenschutz in Bayern“