Den rechtlichen Umgang regelt in der EU die so genannte „Cookie-Richtlinie“. Diese EU Cookie-Richtlinie, die eine ausdrückliche Einwilligung des Nutzers in solchen Fällen vorsieht, wurde von Deutschland aber gar nicht umgesetzt. Zur Erklärung: EU-Richtlinien sind nicht automatisch „Gesetz“, sondern müssen von den EU-Ländern umgesetzt werden. Das ist in Deutschland nicht geschehen , also gilt die Richtlinie bei uns eigentlich gar nicht.

Dafür gibt es den § 15 Abs.3 Telemediengesetz (TMG). Der besagt dass es ausreicht, den Nutzer zu unterrichten und auf ein Widerspruchsrecht hinzuweisen. Das kann in einem Cookie-Hinweis in einem Banner mit Link auf die Datenschutzerklärung erfolgen.

Das deutsche Recht kennt aktuell trotz der EU Cookie Richtline keine direkte Pflicht, die Nutzer in die Verwendung von Cookies einwilligen zu lassen.  

Um die Sache noch komplizierter zu machen: Die EU-Kommission hat erklärt, dass die Cookie Richtlinie in Deutschland eigentlich gar nicht umgesetzt werden muss, da die heutigen Regelungen in Deutschland die Vorgaben der Cookie-Richtlinie bereits erfüllen. Das klingt komisch, da die deutschen Regeln gerade keine Einwilligung (Klick auf „Ja, ich stimme zu“), sondern nur einen Hinweis auf das Widerspruchsrecht vorsehen. Es bleibt ein gewisses Risiko, wenn Sie keinen Cookie Hinweis auf Ihrer Webseite anbieten.

Die DSGVO

Seit Mai 2018 gilt allerdings die DSGVO. Alle Webseitenbetreiber, die Cookies nutzen, müssen seit 2018 Ihre Datenschutzeklärung neu formulieren. Die DSGVO verlangt, dass in der Datenschutzerklärung die Rechtsgrundlagen für das Verwenden von Cookies genannt werden.

Die DSGVO regelt das Problem "Cookies" nicht ausdrücklich. Das sollte die ePrivacy-Verordnung tun, diese ist aber weiterhin nicht in Kraft. Webseitenbetreiber können sich aktuell also nur an dem orientieren, was der EuGH dazu aktuell entschieden hat und was die einzelnen Datenschutzbehörden und die Datenschutzkonferenz vorgeben.