Seit Dezember 2021 ist eine neue Regelung des Telekommunikation-Telemedien-Datenschutzgesetzes (TTDSG) in Kraft, die auch Cookie-Banner auf Websites umfasst. Rechtlich sind Hoteliers als Website-Betreiber auf der sicheren Seite, wenn sie ein paar Grundsätze befolgen.
Über Cookie-Banner auf Websites erfolgt eine Zustimmungsabfrage, für welche Zwecke und Drittanbieter Daten der Nutzer gespeichert und verarbeitet werden dürfen.
Mit den neuen Regelungen des Telekommunikation-Telemedien-Datenschutzgesetzes (TTDSG), das am 01. Dezember 2021 in Kraft getreten ist, ergibt sich ein erhöhter Aufklärungsbedarf für den richtigen Einsatz von Cookie-Bannern, auch im Bereich der Hotellerie.
Hotels müssen eine Übersicht über alle Zwecke und Empfänger von Cookies bieten, die auf ihrer Website zum Einsatz kommen. Relevant sind insbesondere solche, die von Drittanbietern gesetzt werden. Bei Unsicherheiten können sich Hoteliers bei ihrem Softwareanbieter erkundigen.
Grundsätzlich gilt: Für alle Cookies, die nicht technisch notwendig sind, muss beim ersten Besuch der Website eine informierte Einwilligung der Nutzer eingeholt werden, bevor diese gespeichert werden. Technisch notwendig sind Cookies etwa dann, wenn ohne sie die Website nicht funktioniert oder die Sicherheit eingeschränkt ist.
In einem rechtskonformen Cookie-Banner können Nutzer nachlesen, welche Art von Daten gespeichert werden, wofür die Daten von wem verwendet werden, wie lange die Verarbeitung andauert und wie die erteilte Einwilligung widerrufen werden kann. Außerdem sollte die Funktionsweise erklärt werden. Es empfiehlt sich, dass zusätzlich zum Impressum die allgemeine Datenschutzerklärung durch einen Klick erreichbar ist.
Form der Einwilligung
Es bedarf nach der heutigen Rechtslage einer aktiven Einwilligung. Das bedeutet eine freiwillige unmissverständliche Handlung oder Erklärung, durch die der Nutzer sein Einverständnis zur Datenverarbeitung erteilt. Bereits aktivierte Schaltflächen reichen ebenso wenig dafür aus, wie das bloße Weiternutzen der Website als Einwilligung aufzufassen.
Praktisch bedeutet das: Die erste Schicht des Banners muss eine Auswahlmöglichkeit zur Einwilligung und Ablehnung beinhalten. Es muss zudem möglich sein, nach den einzelnen Verarbeitungszwecken, zum Beispiel Analyse und Werbung, auch Drittanbietern gesondert zuzustimmen. Es sollte auch eine klare Überschrift für die Erklärung verwendet werden, und die Besucher der Website sollten problemlos erkennen können, in welchem Umfang und worin sie einwilligen.
Vorsicht ist auch beim Design des Cookie-Banners geboten: Gestaltungen, die keine echte Wahlmöglichkeit lassen, sind unzulässig. Dazu gehört beispielsweise die bloße Auswahl zwischen "Alles akzeptieren" und "Weitere Einstellungen", da hier erst durch einen zweiten Schritt abgelehnt werden kann. Einen Graubereich bilden die Farbgebung, die Nutzung von Groß- und Kleinschreibung, die Wortwahl und das Hervorheben des Buttons "Alle Cookies akzeptieren", durch die Nutzer in vielen Fällen zur Zustimmung manipuliert werden. Datenschutzbehörden betrachten diese Praxis kritisch und können sie in Einzelfällen beanstanden.
Bei einer Abmahnung können Unterlassungs-, Schadenersatz- sowie Kostenerstattungsansprüche drohen. Diese sollte im Fall des Falles durch einen spezialisierten Rechtsanwalt überprüft werden.
Nutzung von PIMS
Neu ist eine Regelung zu Einwilligungsverwaltungssystemen (Personal Information Management Systems oder kurz: PIMS). Nutzer können mit PIMS-Einstellungen für bestimmte Websites Zustimmungen vorab festlegen. Das liegt jedoch noch in weiter Ferne und muss durch eine Rechtsverordnung weiter konkretisiert werden. Es müssen neutrale, durch ein Zertifizierungssystem anerkannte PIMS bereitgestellt werden, die keine Einstellungen favorisieren.
Zur Autorin
Sabrina Burkert ist Rechtsanwältin in der Kanzlei Spirit Legal in Leipzig. Sie ist Expertin im Bereich E-Commerce und berät Mandanten aus Hotellerie und Gastronomie zu allen Fragen des Wettbewerbs-, Marken-, und Urheberrechts.