Am 1. Dezember 2021 trat in Deutschland das TTDSG in Kraft. Es setzt die ePrivacy Richtlinie in innerstaatliches Recht um und vereint die Datenschutzbestimmungen aus dem Telemediengesetz (TMG) und dem Telekommunikationsgesetz (TKG).
Beim Inkrafttreten des TTDSG sollten Organisationen zwei zentrale Bereiche beachten. Das TTDSG ist zwar ein deutsches Bundesgesetz, kann aber auch für ausländische Unternehmen gelten, die einen Anknüpfungspunkt mit Deutschland aufweisen.
Das TTDSG beinhaltet enge Ausnahmen von der Einwilligungspflicht. Und zwar bedarf es dann keiner Einwilligung in die Speicherung von Informationen (zB Informationen in Cookies) in der Endeinrichtung des Endnutzers oder den Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, wenn dies unbedingt erforderlich ist. Der Begriff „unbedingt erforderlich“ ist allerdings nicht ausdrücklich definiert. Wenn für Cookies eine Einwilligung notwendig ist, muss diese den DSGVO-Anforderungen entsprechen – sie muss freiwillig, spezifisch, informativ, unmissverständlich und ausdrücklich sein und kann jederzeit widerrufen werden.
Zusammenfassung:
„Unbedingt erforderlich“: Was heißt das?
Das TTDSG definiert zwar nicht eindeutig den Anwendungsbereich der unbedingt erforderlichen Cookies, allerdings schafft nach Meinungen in der Lehre die Auffassung der Artikel-29-Datenschutzgruppe zu den Ausnahmen der Cookie-Zustimmung hier etwas Klarheit (vgl WP 194 Art-29-Datenschutzgruppe).
Die Artikel-29-Datenschutzgruppe erläutert in ihrer Stellungnahme, dass ein Cookie nur unter folgenden Bedingungen als „unbedingt erforderlich“ angesehen werden kann:
-
Authentifizierung des Users / Login
-
Speicherung der Inhalte des Warenkorbs
-
Zwischenspeicherung von Formulardaten
-
Missbrauchsprävention (zB bei vielen fehlgeschlagenen Anmeldeversuchen)
-
Speicherung von Präferenzen (zB Qualitäten von Videos, Sprache, Design)
-
Wiedergabe von Multimedia-Inhalten
Cookies gelten nach überwiegender Meinung beispielsweise als unbedingt erforderlich, wenn sie sich den Inhalt eines Warenkorbs oder den Log-in-Status merken sowie dem Schutz der Nutzerdaten dienen. Tools, die Nutzerprofile für Werbe- und Marketingzwecke anlegen (z. B. Facebook Pixel) und Conversions messen (z. B. Google Analytics, wenn es mit einem Werbekonto verknüpft ist), werden nicht als unbedingt erforderlich erachtet. Diese benötigen daher vorab eine Einwilligung.
TTDSG: Was sind die Voraussetzungen?
-
Einfache Ablehnung: Das Ablehnen von nicht erforderlichen Cookies sollte durch eine Ablehnfunktion möglich sein. Funktionen und die verwendeten Cookies sollten bereits auf der ersten Seite der Consent Notice erklärt werden.
-
Wie sich bereits aus der Planet49 Entscheidung des Europäischen Gerichtshofes ergibt ist auch beim TTDSG eine aktive Zustimmung nötig: Ein reiner Hinweis wie „Durch die Nutzung unserer Website stimmen Sie der Verwendung von Cookies zu“ reicht nicht aus. Die Nutzer müssen aktiv auf eine Schaltfläche „Alle Cookies akzeptieren“ klicken.
-
Hinweis auf die Einstellungs-/Widerrufungsoption: Die User müssen darüber informiert werden, wo sie die Einstellungen ändern können (in der Datenschutzrichtlinie und in der Fußzeile der Webseiten). Diese Informationen müssen auf der ersten Seite des Cookie-Banners klar angegeben werden.
-
Verweis auf die Datenschutzbestimmungen: Weisen Sie die User auf die weiteren Informationen in den Datenschutzbestimmungen hin. Die Links zum Impressum, zur Datenschutzerklärung und ggf. zu den AGB sollten nicht irgendwo versteckt liegen. Es ist wichtig, dass Links zu den Pflichtangaben einfach auffindbar sind.
-
Detaillierte Informationen: Aus der Consent Notice müssen sich die Informationen über die Zwecke der Datenverarbeitung und die eingesetzten Drittanbieter klar ergeben.
10 Schritte zur TTDSG-Konformität
Damit Sie die Vorschriften einfacher einhalten können, hat Didomi eine Checkliste mit 10 erforderlichen Schritten erstellt. Wenn Sie Fragen haben, können Sie uns einfach kontaktieren. Unsere TTDSG-Experten helfen Ihnen gerne weiter.
Schritt 1: Machen Sie sich mit den TTDSG-Anforderungen vertraut
- Informieren Sie sich
- Prüfen Sie, ob Ihr Unternehmen TTDSG-konform ist. Wenn nein, dann ist es Zeit für den nächsten Schritt in Richtung Konformität.
Schritt 2: Stimmen Sie sich mit Ihren Teams und Drittanbietern ab
-
Teilen Sie Ihren Teams die Änderungen mit.
-
Stellen Sie eine Taskforce zusammen (Recht,Datenschutz, Marketing, IT).
-
Sprechen Sie mit Ihren Hauptanbietern über den Umstellungstermin, damit auch diese die TTDSG-Konformität sicherstellen.
Schritt 3: Überprüfen Sie Ihre Seiten und Apps
- Listen Sie Ihren gesamten Bestand auf.
- Identifizieren Sie alle externen Parteien, die auf Ihre Daten zugreifen können.
Schritt 4: Führen Sie eine rechtliche Prüfung durch
-
Ermitteln Sie die Zwecke, für die Sie eine konforme CMP benötigen.
-
Identifizieren Sie die für Ihre Anforderungen geeignete CMP.
Schritt 5: Wählen Sie die richtige Consent Management Platform (CMP) aus
-
Wählen Sie eine CMP, die eine einfache Erfassung der Consent Präferenzen ermöglicht.
-
Wählen Sie eine CMP, mit der Sie Zustimmungen über alle Kanäle hinweg optimieren können (Web, Mobil, App etc.).
Schritt 6: Erstellen und personalisieren Sie Ihre Benutzeroberfläche
-
Gestalten Sie das User Interface auf der ersten Ebene des Consent Banners klar und bieten Sie dem Nutzer mehrere Optionen an. Erfahrungsgemäß hat ein Pop In Banner mit einem Logo, einen klaren Titel und Schaltflächen mit unterschiedlichen Farben die beste Opt In Rate.
-
Entwerfen Sie die zweite Ebene so, dass die Nutzer ihre Präferenzen einfach auswählen und ändern können. Optimalerweise können Sie die Verarbeitungszwecke in Gruppen einteilen, so wird es für den User übersichtlicher und leichter bedienbar
Schritt 7: Richten Sie Ihre CMP ein und sorgen Sie für TTDSG-Konformität
-
Stellen Sie auf Ihrem Banner klare Informationen darüber bereit, wie die Daten gesammelt und verarbeitet werden.
-
Bitten Sie die User mit einem klaren und verständlichen Titel auf dem ersten Layer des Cookie Banners um ihre Zustimmung.
-
Stellen Sie sicher, dass das Banner einen Link zur Datenschutzrichtlinie enthält.
-
Listen Sie alle Verarbeitungszwecke der einzelnen Datenverarbeitungen sowie die Drittanbieter auf.
-
Verwenden Sie eine einfache und verständliche Sprache.
Schritt 8: Personalisieren Sie das Aussehen (Look & Feel) Ihres Banners
- Gestalten Sie das Banner gemäß Ihrer Corporate Identity (Logo, Schriftfarbe, Font).
- Überprüfen Sie anhand von A/B-Tests, welches Banner besser zu Ihrer Webseite/App passt (Farbe, Format, Größe usw.).
Schritt 9: Testen Sie Ihre CMP vor der Einführung
- Testen Sie alle Ihre Kanäle gemeinsam mit unseren Experten, damit garantiert alles einwandfrei funktioniert.
- Überprüfen Sie das Ganze abschließend mit Ihrer Rechtsabteilung.
Schritt 10: Setzen Sie Ihre CMP ein
Gratulation! Ihre konforme CMP ist nun auf Ihrer Webseite und Ihren Anwendungen aktiv. Didomi kann dafür sorgen, die Leistung Ihrer CMP langfristig mit Advanced Analytics und A/B Testing Funktionen steigern.
Die Didomi CMP lässt sich einfach und schnell implementieren, ist vollständig an Ihre Präferenzen anpassbar und TTDSG-/DSGVO-konform. Interesse geweckt? Sie wollen selbst eine CMP implementieren? Kontaktieren Sie uns!
