Wer sich durch die Rechtstexte auf Cookie-Bannern liest, findet fast immer zwei Gesetze nebeneinander genannt: die ePrivacy-Richtlinie (bzw. ihre nationale Umsetzung) und die Datenschutz-Grundverordnung, kurz DSGVO. Das ist kein Versehen und keine doppelte Absicherung aus Vorsicht — beide Gesetze regeln tatsächlich unterschiedliche, aber eng verzahnte Fragen.
Die DSGVO, offiziell Verordnung (EU) 2016/679, wurde am 27. April 2016 verabschiedet und trat nach einer zweijährigen Übergangsfrist am 25. Mai 2018 unionsweit unmittelbar in Kraft — als Verordnung, anders als eine Richtlinie, ohne dass es einer nationalen Umsetzung bedurft hätte. Sie regelt ganz allgemein, wie mit personenbezogenen Daten umgegangen werden darf: welche Rechtsgrundlage eine Verarbeitung braucht, welche Rechte Betroffene haben, welche Pflichten Verantwortliche treffen.
Die ePrivacy-Richtlinie dagegen ist spezieller: Sie regelt ausschließlich den Zugriff auf und die Speicherung von Informationen auf Endgeräten — unabhängig davon, ob dabei überhaupt personenbezogene Daten im Sinne der DSGVO entstehen. Genau deshalb reicht für einen Cookie schon der bloße Zugriff auf das Gerät, um die Einwilligungspflicht auszulösen, selbst wenn die gespeicherte Information für sich genommen niemanden identifiziert.
Das Zusammenspiel funktioniert so: Die ePrivacy-Richtlinie sagt, DASS für nicht notwendige Cookies eine Einwilligung nötig ist. Sie sagt aber nicht im Detail, WAS eine gültige Einwilligung eigentlich ausmacht — diese Definition liefert die DSGVO. Nach Artikel 4 Nummer 11 DSGVO ist eine Einwilligung nur dann gültig, wenn sie freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben wird — durch eine Erklärung oder eine eindeutige bestätigende Handlung. Ein vorangehaktes Kästchen erfüllt dieses letzte Kriterium nicht, weil darin keine aktive Handlung des Nutzers liegt (dazu mehr im Beitrag zum Planet49-Urteil).
Aus der DSGVO stammen außerdem weitere Anforderungen, die heute selbstverständlich zu einem Cookie-Banner gehören: Der Widerruf muss genauso leicht möglich sein wie die ursprüngliche Zustimmung (Artikel 7 Absatz 3), und wer eine Einwilligung einholt, muss im Streitfall nachweisen können, dass sie tatsächlich erteilt wurde (Artikel 5 Absatz 2, das sogenannte Rechenschaftsprinzip). Diese Nachweispflicht ist einer der Gründe, warum ein reines "Der Nutzer hat wohl geklickt" nicht ausreicht — ohne ein Protokoll, das Zeitpunkt, Umfang und die genaue Fassung des Banners festhält, lässt sich im Zweifel nichts beweisen.
Für Websitebetreiber bedeutet das in der Praxis: Ein Cookie-Banner muss zwei Gesetze gleichzeitig erfüllen, nicht nur eines. Die ePrivacy-Richtlinie verlangt die Einwilligung als solche, die DSGVO definiert ihre Qualität und die Pflichten, die daran hängen — Widerrufbarkeit, Nachweisbarkeit, Informiertheit. Ein Banner, der zwar eine Zustimmung einholt, sie aber nicht nachvollziehbar dokumentiert, erfüllt formal vielleicht die ePrivacy-Anforderung, verletzt aber die DSGVO.
Diese doppelte Grundlage erklärt auch, warum sich an der Cookie-Einwilligung durch die DSGVO nichts grundlegend geändert hat, obwohl sie oft fälschlich als der Ursprung der Cookie-Banner gilt — sie kam erst 16 Jahre nach der ursprünglichen ePrivacy-Richtlinie und hat lediglich den Maßstab geschärft, an dem eine bereits bestehende Pflicht gemessen wird. Wie diese beiden EU-Gesetze in Deutschland konkret in nationales Recht übersetzt wurden, behandelt der nächste Beitrag dieser Reihe.