Definition, Funktionsweise und rechtliche Beurteilung von Cookies

Von: Referat 32, Bayerisches Staatsministerium für Umwelt und Verbraucherschutz

Definition

Cookies (= engl. Kekse; elektronischer Krümel) sind Datensätze, die von einem Webserver auf dem Computer des Nutzers abgelegt werden. Sie werden bei einer erneuten Verbindung an den Cookie-setzenden Webserver mit dem Ziel zurückgesendet, den Nutzer und seine Einstellungen wiederzuerkennen. Es handelt sich um eine auf dem Computer des Nutzers lokal angelegte Datei, die dem Nutzer eine bestimmte Identität – bestehend aus Ziffern und Buchstaben – zuweist.

Das Beispiel eines Cookies der Suchmaschine google.de zeigt die folgende (leicht verfremdete) Abbildung. Die bei „Inhalt“ ersichtliche Ziffern-Buchstaben-Kombination ist dem Computer von google.de zugewiesen. Jedem PC wird eine eigene Kombination zugewiesen, die durch den Cookie auf dem PC so gespeichert wird, dass google.de den Nutzer wiedererkennt. Wann immer der Nutzer die Homepage von google.de besucht, erkennt ihn google.de aufgrund dieser Ziffern-Buchstaben-Kombination.

Datenschutzrechtliche Beurteilung

Die Einordnung von Cookies als personenbezogene Daten ist von der technischen Ausgestaltung der Cookies abhängig.

1. Rein zufallsgenerierte Cookies

Wird durch ein Cookie lediglich eine zufallsgenerierte Ziffer-Buchstaben-Kombination auf dem Computer des Internetnutzers gespeichert, so ist der Nutzer selbst nicht bestimmbar. Eine Zuordnung ist nur durch das Zusatzwissen möglich, auf welchem Computer welche Kombination gespeichert wurde. Über dieses Zusatzwissen verfügen die Betreiber von Internetseiten bei der alleinigen Verwendung von Cookies mit ausschließlich zufälligen Elementen nicht.

2. Cookies mit personenbezogenen Informationen

Wenn der Betreiber im Cookie den Namen des Nutzers oder seine E-Mail-Adresse einbaut, hat der Nutzer entsprechende Angaben regelmäßig dem Betreiber mitgeteilt und somit seine Identität selbst preisgegeben, beispielsweise bei der Anlegung eines Kunden-/ Nutzerprofils, im Rahmen einer Bestellung auf der Internetseite des Unternehmens, bei Verwendung eines E-Mail-Postfaches desselben Betreibers, bei Teilnahme an Umfragen auf der Internetseite und ähnlichem. Das System des Verwenders kann so programmiert sein, dass diese zusätzlich gewonnenen Informationen mit in die Identifikationskombination des Cookies einfließen. Wird der Name oder die E-Mail-Adresse des Nutzers in den Cookie „integriert“, so wird der Nutzer bestimmbar, der Cookie ist als personenbezogenes Datum einzuordnen.

3. Kombination von Cookies und IP-Adressen

In dieser Konstellation speichert der Betreiber der besuchten Homepage IP-Adressen* und bezieht sie sogleich auf die vergebenen Cookies, d.h. er speichert in einer Datenbank zu welcher IP-Adresse welcher Cookie vergeben wurde. Die Bestimmbarkeit des Nutzers setzt voraus, dass der Betreiber der Internetseite die IP-Adresse ohne unverhältnismäßig großen Aufwand an Zeit, Kosten und Personal einem konkreten Nutzer zuordnen kann. Diese dahinterstehende Frage, ob IP-Adressen selbst personenbezogene Daten sind, wird in der deutschen Rechtsprechung unterschiedlich beantwortet**. Es ist die weitere Entwicklung zu verfolgen.

Tab.: Übersicht über datenschutzrechtliche Beurteilung von Cookies abhängig von ihrer technischen Ausgestaltung

Alternative	Erläuterung	Personenbezogene Daten
Zufallsgenerierte Cookies	Zufällige Ziffer-Buchstaben-Kombination wird auf dem Computer des Nutzers gespeichert	Nein
Cookies mit personenbezogenen Informationen	Kombination von zufallsbezogenen Informationen und Informationen, die der Nutzer selbst preisgegeben hat	Ja
Kombination von Cookies und IP-Adressen	Cookies und IP-Adressen werden vom Betreiber in einer Datenbank gespeichert und aufeinander bezogen	Abhängig von der Einordnung der IP-Adressen (strittig)

Zur Speicherung von dynamischen IP-Adressen ist der Betreiber gemäß § 15 Abs.1 TMG ermächtigt, denn diese Angabe ist zur Bearbeitung der Anfrage nötig (an welche IP-Adresse der Server welche Information auszugeben hat). Statische IP-Adressen sind nach herrschender Meinung Bestandsdaten, die nach § 14 TMG nur für die Begründung, inhaltliche Ausgestaltung oder Änderung eines Vertragsverhältnisses gespeichert oder verwendet werden dürfen.

Berlin 5 C 314/06, LG Berlin 23 S 3/07: generell personenbezogene Daten; AG München 133 C 5677/08: IP-Adressen sind keine personenbezogenen Daten. Für die Ansicht des Amtsgerichts München spricht, dass der Internetseitenbetreiber selbst nicht weiß, welche Person und welcher Computer sich hinter einer IP-Adresse – einer 32-stelligen Binärzahl – verbirgt. Eine Ermittlung ist jedoch objektiv möglich, diese Zuordnung erfordert aber erhebliches Zusatzwissen, denn die IP-Adresse gibt mittels im Internet verfügbaren Daten über den Ort des Einwahlknotens oder über die verwendete Zugangstechnik Auskunft, für weitere Informationen sind Kenntnisse nötig, die lediglich der Acess-Provider hat und aufgrund des Fernmeldegeheimnisses nicht herausgeben darf. Der Betreiber selbst kann auf legalem Weg von einer dynamischen IP-Adresse nicht auf den Nutzer schließen.

Der Freistaat Bayern stellt Ihnen auf dieser Website unabhängige, wissenschaftsbasierte Informationen zum Verbraucherschutz zur Verfügung.
Einzelfallbezogene Rechtsauskünfte und persönliche Beratung können wir leider nicht anbieten. Auch dürfen wir Firmen, die sich wettbewerbswidrig verhalten, nicht selbst abmahnen.
Sollten noch Fragen zu Ihrem konkreten Sachverhalt verbleiben, wenden Sie sich bitte an die unter Service genannten Anlaufstellen.