Die Nutzung von Cookies, Tracking-Pixeln und vergleichbaren Technologien gehört inzwischen zum Standard vieler digitaler Dienste. Gleichzeitig stehen Unternehmen seit Jahren vor der Herausforderung, die rechtlichen Anforderungen an diese Technologien korrekt umzusetzen. Vor diesem Hintergrund hat das britische Information Commissioner’s Office (ICO) Ende April 2026 seine finalisierte Guidance zu sogenannten Storage and Access Technologies (SATs) veröffentlicht. Der Leitfaden soll Organisationen dabei unterstützen, die Vorgaben der Privacy and Electronic Communications Regulations (PECR) sowie des Datenschutzgesetz des Verienigten Königreichs Großbritannien (UK GDPR) rechtssicher anzuwenden.
Wer ist die ICO?
Das ICO ist die unabhängige Datenschutz- und Informationsfreiheitsbehörde des Vereinigten Königreichs. Zu ihren Aufgaben gehören die Durchsetzung datenschutzrechtlicher Vorschriften, die Beratung von Unternehmen und öffentlichen Stellen sowie die Veröffentlichung von Leitlinien zur praktischen Anwendung des Datenschutzrechts.
Insbesondere im Bereich des Online-Trackings und der Nutzung von Cookies nimmt die ICO seit Jahren eine prägende Rolle ein. Ihre Veröffentlichungen werden regelmäßig auch außerhalb des Vereinigten Königreichs beachtet, da viele der behandelten Fragestellungen vergleichbare rechtliche und technische Herausforderungen betreffen.
Was sind Storage and Access Technologies?
Unter dem Begriff „Storage and Access Technologies“ fasst die ICO eine Vielzahl technischer Verfahren zusammen, die Informationen auf Endgeräten speichern oder auf dort vorhandene Informationen zugreifen. Dazu gehören insbesondere Cookies, Tracking-Pixel, Device Fingerprinting, Local Storage, Skripte, Tags sowie weitere Tracking– und Analysewerkzeuge.
Die Technologien werden für unterschiedliche Zwecke eingesetzt. Sie können etwa die technische Funktionsfähigkeit einer Website gewährleisten, Nutzereinstellungen speichern, Reichweitenanalysen ermöglichen oder für personalisierte Werbung genutzt werden. Gerade weil viele dieser Verfahren tief in die Privatsphäre von Nutzern eingreifen können, unterliegen sie besonderen regulatorischen Anforderungen.
Warum war eine neue Guidance erforderlich?
Die rechtlichen Anforderungen an Tracking-Technologien haben sich in den vergangenen Jahren kontinuierlich weiterentwickelt. Neben technischen Veränderungen wurden auch gesetzliche Anpassungen vorgenommen. Die nun veröffentlichte Guidance berücksichtigt insbesondere Änderungen durch den Data (Use and Access) Act sowie die Ergebnisse zweier Konsultationsverfahren, die das ICO zuvor durchgeführt hatte.
Ziel der Veröffentlichung ist es, Unternehmen mehr Rechtssicherheit bei der praktischen Umsetzung der Vorgaben zu geben. Gerade bei Themen wie Einwilligungsmechanismen, Analysewerkzeugen oder alternativen Tracking-Verfahren bestehen in der Praxis häufig Unsicherheiten darüber, welche Maßnahmen zulässig sind und welche Anforderungen erfüllt werden müssen.
Welche Inhalte behandelt die Guidance?
Der Leitfaden beschreibt ausführlich, wie die Regelungen der PECR auf unterschiedliche Tracking- und Speichertechnologien anzuwenden sind. Dabei werden unter anderem die Voraussetzungen für wirksame Einwilligungen, Informationspflichten gegenüber Nutzern und die Abgrenzung verschiedener Ausnahmetatbestände erläutert.
Besondere Aufmerksamkeit widmet die Guidance neuen gesetzlichen Ausnahmen von der Einwilligungspflicht. Dazu zählt beispielsweise die Nutzung bestimmter Technologien zu statistischen Zwecken, sofern diese ausschließlich der Verbesserung eines Dienstes dienen. Ebenfalls behandelt werden Konstellationen, in denen Technologien eingesetzt werden, um die Darstellung oder Funktionalität eines Dienstes an Nutzerpräferenzen anzupassen. Gleichzeitig betont die ICO, dass auch bei solchen Ausnahmen weiterhin Transparenzanforderungen bestehen und Betroffenen in bestimmten Fällen Widerspruchsmöglichkeiten eingeräumt werden müssen.
Darüber hinaus enthält die Guidance zahlreiche Praxisbeispiele und Klarstellungen zu häufig auftretenden Fragestellungen. Sie behandelt unter anderem Consent-Management-Plattformen, Cookie-Banner, Device Fingerprinting, Online-Werbung sowie die Verantwortlichkeiten von Websitebetreibern beim Einsatz von Drittanbieterdiensten.
Fazit
Mit der Veröffentlichung der finalen SAT-Guidance schafft die ICO einen umfassenden Orientierungsrahmen für den Einsatz von Tracking- und Speichertechnologien im Vereinigten Königreich. Der Leitfaden bündelt aktuelle regulatorische Anforderungen, berücksichtigt neue gesetzliche Entwicklungen und liefert zahlreiche praktische Hinweise für die Umsetzung. Auch für Unternehmen außerhalb des Vereinigten Königreichs dürfte die Guidance von Interesse sein, da viele der behandelten Fragen den allgemeinen datenschutzrechtlichen Umgang mit Cookies, Analysewerkzeugen und anderen Tracking-Technologien betreffen.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
