COOKIE-ANWENDUNGEN IM RAHMEN VON WEBSITE-AKTIVITÄTEN
Was ist ein Cookie?
Cookies werden im „Leitfaden über Cookie-Anwendungen“, der von der türkischen Datenschutzbehörde (KVKK) veröffentlicht wurde, wie folgt definiert: „Ein Textdateityp (Software), der von den Betreibern von Website-Operationen auf dem Gerät des Nutzers platziert und als Teil einer HTTP(S)-Anfrage übertragen wird. Einfach ausgedrückt: Cookies sind kleine, reich formatierte Textformate, die es ermöglichen, bestimmte Informationen über Nutzer auf deren Endgeräten zu speichern, wenn eine Webseite besucht wird.“
In diesem Artikel werden die Arten von Cookies, die zur Verarbeitung personenbezogener Daten verwendet werden und sowohl im Fokus des Datenschutzausschusses (KVK Kurulu) im Rahmen des Gesetzes Nr. 6698 über den Schutz personenbezogener Daten (KVKK) als auch des Werberates im Rahmen von Werbeanwendungen stehen, sowie deren Speicherdauer und die notwendigen Voraussetzungen zur Gewährleistung der Rechtskonformität behandelt.
Cookie-Arten
Cookie-Arten können in drei Klassen unterteilt werden: nach ihrer Dauer, ihrem Verwendungszweck und ihren Parteien.
1. Cookies nach ihrer Dauer
Session-Cookies (Sitzungs-Cookies): Diese dienen der Kontinuität der besuchten Website/Sitzung. Sie ermöglichen das Erinnern an zuvor besuchte Seiten und werden beim Schließen der Sitzung automatisch gelöscht.
Permanente Cookies: Diese werden beim Schließen des Browsers nicht gelöscht, sondern zu einem bestimmten Datum oder nach einer bestimmten Zeit automatisch entfernt. Sie werden auch als Tracking-Cookies bezeichnet und können Informationen über Internetgewohnheiten über einen langen Zeitraum speichern, um beispielsweise die Anmeldung auf einer bereits besuchten Website zu erleichtern.
2. Cookies nach ihrem Verwendungszweck
Unbedingt erforderliche Cookies: Diese sind für das Funktionieren der Website notwendig. Ohne sie könnten Teile oder die gesamte Website nicht funktionieren. Da sie für die ordnungsgemäße Funktion zwingend erforderlich sind, ist keine ausdrückliche Einwilligung des Besuchers erforderlich. Beispiel: Produkte im Warenkorb eines E-Commerce-Shops, die beim Übergang zur Zahlung angezeigt werden.
Funktionale Cookies: Diese ermöglichen die Personalisierung auf Websites oder in Anwendungen und speichern die Präferenzen der Nutzer. Da sie nicht zwingend erforderlich sind, ist ihre Verwendung von einer ausdrücklichen Einwilligung abhängig. Beispiel: Die Wahl zwischen Dark Mode oder Light Mode durch den Nutzer.
Performance- und Analyse-Cookies: Diese analysieren das Nutzerverhalten und ermöglichen statistische Messungen. Sie dienen der Verbesserung der Website sowie der Messung der Werbewirkung. Für die Nutzung dieser Cookies (z. B. tägliche Besucherzahlen, relevante Keywords) ist eine ausdrückliche Einwilligung erforderlich.
Werbe-/Marketing-Cookies: Diese analysieren Online-Bewegungen, identifizieren Interessen und ermöglichen die Anzeige spezifischer Werbung. Sie dienen dem Profiling. Auch hierfür ist eine ausdrückliche Einwilligung zwingend erforderlich.
3. Cookies nach ihren Parteien
Cookies werden je nach der Domäne, die sie platziert, als First-Party- oder Third-Party-Cookies bezeichnet. First-Party-Cookies werden direkt von der besuchten Website platziert, während Third-Party-Cookies von einem Dritten außerhalb der Website gesetzt werden.
Speicherdauer von Cookies
Session-Cookies: Werden mit dem Schließen des Browsers gelöscht.
Permanente Cookies: Werden gespeichert, bis sie vom Nutzer manuell gelöscht werden oder das Ablaufdatum erreicht ist. Gemäß Art. 5 des Gesetzes Nr. 5651 sind Hosting-Anbieter verpflichtet, Verkehrsdaten für mindestens ein und höchstens zwei Jahre zu speichern. Es wird angenommen, dass dies indirekt auch Cookies umfasst, obwohl es im türkischen Recht keine explizite Regelung zur Speicherdauer von Cookies gibt. Im Rahmen der DSGVO (GDPR) gilt, dass Cookies nur „so lange wie nötig“ gespeichert werden dürfen. Die französische Datenschutzbehörde (CNIL) empfiehlt für technisch notwendige Cookies eine Speicherdauer von bis zu sechs Monaten.
Performance- und Analyse-Cookies: Hier orientiert man sich an Best Practices. Google Analytics beispielsweise setzt eine Standarddauer von 14 Monaten fest, die bis auf 24 Monate erhöht werden kann.
Elemente der ausdrücklichen Einwilligung
Damit eine Einwilligung zur Cookie-Verarbeitung gültig ist, muss sie:
Sich auf ein bestimmtes Thema beziehen.
Auf einer informierten Basis erfolgen (Bereitstellung eines Cookie-Informationstextes).
Auf freiem Willen beruhen, durch eine aktive Handlung (Opt-In) erfolgen und jederzeit widerrufbar sein.
Standardmäßige Einwilligungen (z. B. vorab angekreuzte Kästchen) sind ungültig. Cookie-Banner sollten idealerweise Optionen wie „Akzeptieren“, „Ablehnen“ und „Präferenzen/Einstellungen verwalten“ in gleicher Größe und Farbe anbieten.
Dark Patterns (Dunkle Designmuster)
Dark Patterns sind Design-Tricks, die darauf abzielen, die Entscheidungsfreiheit der Nutzer zu manipulieren, um Entscheidungen zugunsten des Anbieters zu erzwingen.
Beispiele: Vorausgewählte Opt-Out-Schalter, farbliche Hervorhebung von „Akzeptieren“ (grün) gegenüber „Ablehnen“ (unauffällig), oder „Cookie-Walls“, die den Zugriff auf die Seite ohne Zustimmung blockieren.
Der türkische Werberat und das Handelsministerium stufen solche Praktiken als irreführende Geschäftspraktiken ein. Die KVKK-Behörde hat in mehreren Entscheidungen (z. B. Entscheidung 2022/1358) Bußgelder verhängt (z. B. 300.000 TL), wenn nicht notwendige Cookies ohne aktive Einwilligung (Opt-In) gesetzt wurden.
GRC LEGAL Kommentar
Bei Website-Anwendungen muss jede Website individuell nach ihrem Tätigkeitsbereich und Zweck bewertet werden. Die Datenverarbeitung muss stets zweckgebunden, begrenzt und verhältnismäßig sein. Es ist von entscheidender Bedeutung, die Art der Cookies technisch zu identifizieren, rechtskonforme Cookie-Richtlinien zu erstellen und rechtssichere Cookie-Banner zu implementieren. Wir empfehlen Unternehmen, diese Prozesse unter juristischer und technischer Beratung zu gestalten, um Sanktionen der Aufsichtsbehörden zu vermeiden und Risiken zu minimieren.
