Die Pflicht, vor dem Setzen von Cookies eine Einwilligung einzuholen, steht nicht in der DSGVO — sie ist älter und kommt aus einem anderen Gesetz: der ePrivacy-Richtlinie, offiziell Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation. Verabschiedet wurde sie am 12. Juli 2002, zu einer Zeit, in der Cookies vor allem für Login-Sitzungen und einfache Personalisierung genutzt wurden — Tracking über mehrere Websites hinweg war technisch möglich, aber noch kein Massenphänomen.
In ihrer ursprünglichen Fassung verlangte Artikel 5 Absatz 3 der Richtlinie nicht viel mehr, als Nutzer über das Setzen von Cookies zu informieren und ihnen eine Widerspruchsmöglichkeit einzuräumen — ein Opt-out-Modell. Wer nichts tat, hatte implizit zugestimmt. In der Praxis bedeutete das häufig: ein kleiner Hinweis irgendwo auf der Seite, den kaum jemand las, und Cookies, die ohnehin schon gesetzt waren, bevor der Hinweis überhaupt wahrgenommen wurde.
Das änderte sich mit der Richtlinie 2009/136/EG vom 25. November 2009, die Artikel 5 Absatz 3 grundlegend neu fasste — im allgemeinen Sprachgebrauch als „Cookie-Richtlinie" bekannt, obwohl sie formal nur eine Änderung der ursprünglichen ePrivacy-Richtlinie ist. Aus der Widerspruchslösung wurde eine echte Einwilligungspflicht: Cookies, die nicht unbedingt für die Bereitstellung eines ausdrücklich gewünschten Dienstes erforderlich sind, dürfen seither erst gesetzt werden, nachdem ein Nutzer dem informiert zugestimmt hat — nicht danach, nicht stillschweigend.
Der Grund für diese Verschärfung lag in der rasanten Entwicklung des Online-Werbemarkts in den 2000er-Jahren: Tracking-Cookies wurden zur Grundlage ganzer Geschäftsmodelle, Nutzerprofile entstanden aus Daten, die über zehn, zwanzig, hundert verschiedene Websites hinweg zusammenliefen — meist ohne dass die Betroffenen davon auch nur wussten. Der europäische Gesetzgeber reagierte mit der Umkehr der Beweislast: Nicht mehr der Nutzer musste widersprechen, sondern die Website musste zustimmen lassen.
Wichtig zum Verständnis ist, dass es sich bei der ePrivacy-Richtlinie um eine Richtlinie handelt, kein unmittelbar geltendes EU-Recht wie eine Verordnung. Richtlinien setzen ein Ziel, das jeder Mitgliedstaat in nationales Recht umsetzen muss — und genau in dieser Umsetzung lag über Jahre das eigentliche Problem. Die Frist zur Umsetzung endete am 25. Mai 2011, doch viele Mitgliedstaaten — darunter Deutschland — übernahmen die neue Einwilligungspflicht nur zögerlich oder in einer Form, die weiterhin nah am alten Opt-out-Gedanken blieb. Wie Deutschland dieses Problem schließlich löste, behandelt ein eigener Beitrag dieser Reihe.
Bis heute ist die ePrivacy-Richtlinie die eigentliche Rechtsgrundlage für die Cookie-Einwilligung selbst — nicht die DSGVO, die erst 2018 wirksam wurde und ein anderes, wenn auch eng verwandtes Thema regelt: den Umgang mit personenbezogenen Daten im Allgemeinen. Beide Gesetze greifen ineinander, und genau dieses Zusammenspiel ist Thema des nächsten Beitrags.
Ein geplanter Nachfolger, die ePrivacy-Verordnung, sollte die Richtlinie ursprünglich ablösen und als unmittelbar geltendes Recht ohne nationale Umsetzung in Kraft treten. Sie befindet sich seit Jahren in Verhandlung zwischen den EU-Institutionen und ist bislang nicht verabschiedet — bis das passiert, bleibt die Richtlinie von 2002/2009 die maßgebliche Grundlage.
Für Website-Betreiber lohnt sich der Blick auf diese Vorgeschichte, weil sie erklärt, warum die Cookie-Einwilligung nicht als Reaktion auf einen einzelnen Skandal entstand, sondern als schrittweise Antwort auf eine über Jahre gewachsene Praxis. Die Regel von 2009 war keine Überraschung, sondern die konsequente Fortschreibung eines bereits 2002 formulierten Grundgedankens — Zugriff auf ein fremdes Gerät ist kein neutraler technischer Vorgang, sondern ein Eingriff, der eine Rechtfertigung braucht.