Vorherige oder nachträgliche Zustimmung des Nutzers bei Einsatz von Cookies nach österreichischem Recht

Österreichische Onlinehändler, die eine Website betreiben, sind seit zwar seit Ende 2011 verpflichtet, die Nutzer der Website über den Einsatz von Cookies zu informieren und deren Zustimmung einzuholen. Österreich hat hier wie andere EU-Staaten auch die Richtlinie 2009/136/EG (Cookie-Richtlinie) umgesetzt. Unklar ist aber, ob ein Besucher der Website gleich beim Aufruf dieser Website in die Verwendung von Cookies einwilligen muss (sogenannte „Opt in“ Option) oder ob es ausreicht, wenn er nachträglich widersprechen kann (sogenannte „Opt out“ Option). Gängige Praxis bei vielen österreichischen Onlinehändlern ist die Verwendung der „Opt-out“ Option. Fraglich ist allerdings, ob diese Praxis rechtskonform ist. Lesen Sie hierzu den folgenden Beitrag.

1. Rechtsgrundlage

Die Verwendung von Cookies ist in § 96 Abs. 3 österreichisches Telekommunikationsgesetz geregelt. Damit wird die sogenannte Cookie-Richtlinie 2009/136/EG in österreichisches Gesetz umgesetzt.

§ 96 Abs. 3 TKG

(3) Betreiber öffentlicher Kommunikationsdienste und Anbieter eines Dienstes der Informationsgesellschaft im Sinne des § 3 Z 1 E-Commerce-Gesetz, BGBl. I Nr. 152/2001, sind verpflichtet, den Teilnehmer oder Benutzer darüber zu informieren, welche personenbezogenen Daten er ermitteln, verarbeiten und übermitteln wird, auf welcher Rechtsgrundlage und für welche Zwecke dies erfolgt und für wie lange die Daten gespeichert werden. Eine Ermittlung dieser Daten ist nur zulässig, wenn der Teilnehmer oder Nutzer seine Einwilligung dazu erteilt hat. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein Kommunikationsnetz ist oder, wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Benutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann. Der Teilnehmer ist auch über die Nutzungsmöglichkeiten auf Grund der in elektronischen Fassungen der Verzeichnisse eingebetteten Suchfunktionen zu informieren. Diese Information hat in geeigneter Form, insbesondere im Rahmen Allgemeiner Geschäftsbedingungen und spätestens bei Beginn der Rechtsbeziehungen zu erfolgen. Das Auskunftsrecht nach dem Datenschutzgesetz bleibt unberührt.

2. Regelung der Zustimmung zur Verwendung von Cookies gem. § 96 Abs. 3 TKG unklar

Unklar ist allerdings, ob es gem. § 96 Abs. 3 TKG ausreicht, ob ein Besucher gleich beim Aufruf einer Website in die Verwendung von Cookies einwilligen muss (Opt in) oder ob es ausreicht, wenn er nachträglich widersprechen kann (Opt out) wie es im deutschen § 15 Abs. 3 Telemediengesetz geregelt ist. § 96 Abs. 3 TKG regelt diese Frage nicht eindeutig.

Opt-in Option nach Auffassung der Artikel 29 Datenschutzgruppe zwingend

Das Beratungsgremiums der EU-Kommission (die sog. Artikel 29 Datenschutzgruppe) ist der Auffassung (unterstützt von einigen österreichischen Kommentatoren), dass die vorherige Zustimmung des Nutzers bei Aufruf der Website erforderlich ist. Diese ergebe sich aus der Cookie-Richtlinie 2009/135/EG. Es heißt dort in der Stellungnahme der Art 29 Datenschutzgruppe:

As a minimum, this means that to meet the requirements of Directive 95/46/EC, data subjects cannot be deemed to have consented simply because they acquired/used a browser or other application which by default enables the collection and processing of their information. In order for browsers or any other application to be able to deliver valid and effective consent, they must require the data subject to engage in an affirmative action to accept both the setting of and continued transmission of information contained in cookies by specific web sites. To that end, one might envisage that specific software applications (browser plug-ins or extensions) could be developed by ad networks and downloaded and installed by users to enable changing the status of browser settings with regard to advertising-related cookies by means of application programming interfaces (API) or other tools made available by browser manufacturers.
Users should receive the relevant information on data processing as a preliminary step to installing the specific “advertising” plug-in. One might argue that a prerequisite for this opt-in mechanism to work appropriately consists in ensuring that third-party cookies are not accepted by default in browser settings.

Opt-out Option durch amtliche erläuternde Bemerkungen zu § 96 Abs.3 TKG unterstützt

Die amtlichen erläuternden Bemerkungen zu § 96 Abs. 3 TKG stützen die Auffassung, dass wie in Deutschland eine nachträgliche Zustimmung des Nutzers zur Verwendung von Cookies zulässig ist.

In der Neuformulierung (des Gesetzes) wird nun eine Zustimmung bzw. eine Einwilligung des Teilnehmers gefordert, die auf der Grundlage von klaren und umfassenden Informationen getroffen werden muss. Damit wird im Wesentlichen sichergestellt, dass die allgemeinen Bestimmungen des Datenschutzgesetzes durch das Telekommunikationsgesetz 2003 nicht abgeschwächt werden. Der Informationspflicht kann für Dienste der Informationsgesellschaft etwa durch Aufnahme einer Datenschutzerklärung im verpflichtenden Impressum nachgekommen werden. Wenn dies technisch durchführbar ist, kann die Einwilligung des Nutzers zur Verarbeitung über die Handhabung der entsprechenden Einstellungen eines Browsers oder einer anderen Anwendung ausgedrückt werden.

Die Browsereinstellungen sollen ausreichend sein, diese Zustimmung darzustellen; es wird jedoch notwendig sein, dass die Benutzer ausreichend und früh (dh an prominenter Stelle auf der Website) über die Aufzeichnung bzw. Speicherung der personenbezogenen Daten zumindest zu informieren, um dem Nutzer die Möglichkeit zu geben, die Browsereinstellung zu geben.

Einschätzung der IT-Recht Kanzlei

Nach Auffassung der IT-Recht Kanzlei vermag die Pflicht zur vorherigen Zustimmung bei Verwendung von Cookies abgeleitet aus der Intention der Cookie-Richtlinie nicht zu überzeugen. Nach der deutschen Vorschrift des § 15 Abs. 3 TMG (welche allerdings nie die Cookie-Richtlinie in deutsches Rechts umgesetzt hatte) darf der Diensteanbieter für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Es ist daher nach Auffassung der IT-Recht Kanzlei bei der Frage der Zustimmung ausschließlich vom österreichischen Umsetzungsgesetz (TKG) auszugehen. Wenn die amtlichen erläuternden Bemerkungen die Option einer nachträglichen Zustimmung des Nutzers bei Verwendung von Cookies unterstützen, dann ist das für den österreichischen Onlinehändler eine wichtige Richtschnur, wie er sich bei Einsatz von Cookies verhalten soll. Selbstverständlich kann diese Interpretation des § 96 Abs. 3 TKG, die sich auf die amtlichen erläuternden Bemerkungen beruft, durch Urteile von österreichischen Gerichten aufgehoben werden. Zurzeit liegt jedoch keine bekannte Rechtsprechung österreichischer Gesetze zu § 96 Abs. 3 TKG vor. Falls sich eine gegenteilige Rechtsprechung zu § 96 Abs. 3 TKG ergeben sollte, kann sich der österreichische Onlinehändler bei der Verwendung von Cookies dann auf eine solche Rechtsprechung einrichten.

Der Streit um die vorherige oder nachträgliche Zustimmung des Nutzers zur Verwendung von Cookies auf der Grundlage des § 96 Abs. 3 TKG wird sich im Übrigen mit Inkrafttreten der künftigen EU-Datenschutzverordnung erledigen, die europaweit einheitliches Datenschutzrecht setzen wird.

Der österreichische Onlinehändler kann daher vorerst nach Auffassung der IT-Recht Kanzlei bei der Praxis der nachträglichen Zustimmung zur Verwendung von Cookies bleiben.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.