Müssen Onlinehändler bei Einsatz von Cookies die vorherige Genehmigung des Kunden in Frankreich einholen?

Deutsche Onlinehändler, die vom deutschen Datenschutzrecht ausgehen, sehen sich bei Vertrieb von Waren oder Dienstleistungen in Frankreich mit der Frage auseinandersetzen, wie sie mit den strengeren französischen Vorschriften zum Einsatz von Cookies umgehen. Frankreich hat nämlich im Unterschied zu Deutschland die sog. Cookie-Richtlinie umgesetzt, die den Einsatz von Cookies, die personenbezogene Dateien verarbeiten, von der Zustimmung des betroffenen Nutzers abhängig machen. Dabei hat Frankreich den Weg gewählt, den Einsatz von Cookies von der vorherigen Einwilligung des Nutzers der Webseite einzuholen (opt-in).

Wie müssen sich nun deutsche Onlinehändler verhalten, für die oft Frankreich nur ein Zielland ist? Müssen sie die strengen französischen Vorschriften zum Einsatz von Cookies beachten, was nicht nur andere Datenschutzerklärungen sondern auch einen entsprechenden Umbau ihrer Webseiten erfordert?

Wenn Sie dazu mehr wissen wollen, dann lesen Sie den folgenden Beitrag.

1. Keine Anwendung der französischen Cookie-Regeln für den deutschen Onlinehändler, der keine Niederlassung in Frankreich hat.

Die Frage der Einwilligung zum Einsatz von Cookies ist in dem durch Dekret neugefassten Artikels 37 II des französischen Gesetzes zur Datenverarbeitung und Dateien „loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et au code pénal“ geregelt. Die französische Datenschutzbehörde CNIL hat zur Geltung dieses Gesetzes für Onlinehändler in anderen EU-Staaten ausgeführt, dass dieses Gesetz nur auf Onlinehändler mit einer Niederlassung in Frankreich Anwendung findet. Deutsche Onlinehändler mit Sitz in Deutschland, die Waren oder Dienstleistungen in Frankreich direkt vertreiben, unterliegen nicht diesem Gesetz und damit auch nicht den französischen Regeln zum Einsatz von Cookies.

« Vous êtes établi uniquement dans un autre Etat membre de l’Union européenne (UE)

La loi française n’est pas applicable. Si vous êtes établi uniquement dans un autre Etat membre de l’Union européenne, c’est la loi nationale de ce pays qui s’applique aux traitements de données, même si ces données sont collectées en France.

Exemple : pour un site marchand édité par une société allemande, qui livre des produits dans l'ensemble de l'UE sans avoir de filiales dans ces pays, c'est la loi allemande qui s'applique. »

2. Einholung der Einwilligung des Nutzers zum Einsatz von Cookies nach französischem Recht

Die französische Datenschutzbehörde CNIL hat in ihren Merkblättern folgendes klar geregelt:

• Die Einwilligung des Nutzers muss vor Einsatz von Cookies erfolgen. Der Einsatz bestimmter Cookies ist von dieser Einwilligungspflicht ausgenommen.
• Die Einwilligung ist nur maximal 13 Monate gültig und muss dann neu eingeholt werden

2.1 Bei welchen Cookies muss die vorherige Einwilligung des Nutzers erfolgen

Die CNIL nennt hier beispielsweise Cookies für zielgruppengerichtete Werbung, bestimmte Cookies zu Analyseverfahren bei Werbebotschaften Messung der Aufnahme von Werbebotschaften, etc.

Parmi les cookies nécessitant une information préalable et une demande de consentement, on peut notamment citer :
les cookies liés aux opérations relatives à la publicité ciblée ;
certains cookies de mesure d'audience (voir les exemptions ci-dessous) ;
les cookies des réseaux sociaux générés notamment par leurs boutons de partage lorsqu'ils collectent des données personnelles sans consentement des personnes concernées.
Cette liste n'est pas exhaustive.

2.2 Ausnahmen von der vorherigen Einwilligungspflicht

a. Die CNIL nennt hier bestimmte Cookies zur Feststellung der Besucherzahl, stellt aber den Einsatz solcher Cookies unter strenge Vorbedingungen wie

• Der Kunde muss die Möglichkeit haben, einen solchen Einsatz abzulehnen
• Die gesammelten Daten dürfen nicht mit anderen Daten vermischt werden
• Es dürfen nur anonymisierte Statistiken erstellt werden

Die CNIL geht davon aus, dass nur wenige Software-Lösungen zurzeit diese Vorbedingungen erfüllen und darum der Einsatz der meisten Cookies zur Messung von Besucherzahlen der vorherigen Einwilligung des Nutzers bedarf.

b. Ebenfalls von der vorherigen Einwilligung ausgenommen ist der Einsatz von Cookies, die für die Durchführung einer vom Kunden gewünschten Dienstleistung unentbehrlich sind.

Hierzu zählen zum Beispiel:

• Cookies für den Gebrauch des Online-Warenkorbes
• Cookies, die nur für den Besuchszeitraum der Webseite gelten
• Cookies zur Identifizierung des Kunden

Sont exemptés du recueil du consentement les traceurs strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur. Ainsi, par exemple, les traceurs suivants ne requièrent pas de consentement :

• les cookies de " panier d'achat " pour un site marchand ;
• les cookies " identifiants de session ", pour la durée d'une session, ou les cookies persistants limités à quelques heures dans certains cas ;
• les cookies d'authentification ;
• les cookies de session créés par un lecteur multimédia ;
• les cookies de session d'équilibrage de charge (" load balancing ") ;
• certaines solutions d'analyse de mesure d'audience (analytics) ;
• les cookies persistants de personnalisation de l'interface utilisateur.

2.3 Gültigkeit der Einwilligung auf 13 Monate beschränkt.

Die CNIL führt dazu aus, dass eingesetzte Cookies nur eine Lebensdauer von 13 Monaten haben dürfen und dann eine neue Einwilligung des Nutzers eingeholt werden muss

2.4 Konkrete Anweisungen der CNIL zur rechtssicheren Einholung der Einwilligung des Nutzers bei Einsatz von Cookies

Die CNIL statuiert nicht nur die gesetzlichen Regeln zur Einwilligungspflicht sondern sie schreibt dem Onlinehändler sehr konkret vor, wie er dieser Pflicht nachkommen soll und gibt hier konkrete Mustervorschläge, die im Einzelnen hier konsultiert werden können.

3. Einschätzung der IT-Recht Kanzlei zum rechtssicheren Einsatz von Cookies nach französischem Recht.

Onlinehändler mit einer Niederlassung in Frankreich sind gut beraten, sich in Fragen des rechtssicheren Einsatzes von Cookies durch französische Spezialisten beraten zu lassen. Es geht hier nicht nur um die Formulierung von Datenschutzerklärungen nach französischem Recht. Es geht insbesondere auch darum, wie die Vorgaben der CNIL durch den Einsatz von geeigneter Software zur Ausgestaltung der Webseite rechtssicher umgesetzt werden können. Es darf in diesem Zusammenhang darauf verwiesen werden, dass nach französischem Recht die Webseite unbedingt auch in einer französischen Sprachversion vorliegen muss.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.