Die Datenschutzkonferenz (DSK) hat in ihrer Positionsbestimmung vom 26. April 2018 die Ansicht veröffentlicht, dass der Einsatz von Webtracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und die Erstellung von Nutzerprofilen ermöglichen, der ausdrücklichen Einwilligung des Nutzers bedürfen. Was steckt dahinter? Wie ist damit umzugehen?

Die Datenschutzkonferenz
Die DSK ist die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder. Die Stellungnahmen haben keinen verbindlichen Rechtscharakter, offenbaren aber, in welche Richtung die Behörden die DSGVO auslegen werden. Ob die Interpretation dann richtig oder falsch ist, werden die Gerichte entscheiden.

Bewertung des Trackings durch die DSK
Ziel des Datenschutzrechtes ist insbesondere das in der Europäischen Grundrechtecharta verankerte Recht einer jeden Person zu gewährleisten, die sie betreffenden Daten zu schützen und über diese selbst bestimmen zu können. Im Falle des Webtrackings erlangt der Nutzer aufgrund der Standardeinstellungen der gängigen Browser jedoch in der Regel keine Kenntnis von der Übermittlung und Verarbeitung einiger seiner Daten.

Um über die Verarbeitung dieser Daten selbst bestimmen zu können, muss der Nutzer zunächst Kenntnis von der Übermittlung und Verarbeitung erhalten, um dann über diese entscheiden zu können. Bisher wurde ersteres, die Information über die Verarbeitung, durch Regelungen der sogenannten Cookie-Richtlinie und nationalen Regelungen – in Deutschland des Telemediengesetzes (TMG) – gewährleistet. Diese führten zu den bekannten „Cookie-Bannern“ und Datenschutzerklärungen. Die Regelungen des TMG sehen jedoch keine ausdrückliche Einwilligung (Opt-In) in diese Verarbeitung, sondern ein (nachträgliches) Widerspruchsrecht (Opt-Out) vor.

Nach der Ansicht der DSK finden diese Regelungen in Zusammenhang mit der DSGVO keine Anwendung mehr. Es sollen ausschließlich die Bestimmungen der DSGVO gelten, die die DSK derart ausgelegt, dass die Übermittlung und Verarbeitung personenbezogener Daten im Rahmen des Webtracking nicht durch den Erlaubnistatbestand der Interessenabwägung, sondern nur noch durch eine Einwilligung gerechtfertigt sein soll.

Diese Einwilligung muss vor der ersten Übermittlung und Verarbeitung im Rahmen des Webtracking eingeholt werden. Das bedeutet, dass entsprechende Tools nicht aktiv in Webseiten eingebunden sein dürfen, bevor der Nutzer seine Einwilligung erklärt hat. Die Einwilligung muss den Vorgaben der DSGVO gerecht werden.

Schließlich wird die zuvor dargestellte Problematik auch im Zusammenhang mit der Einbindung anderer externer Inhalte in die eigene Webseite diskutiert. Dem Grunde nach bestehen vergleichbare Risiken für die Daten der Nutzer z. B. auch bei der Einbindung von Videos von Drittanbietern wie YouTube oder Vimeo, da auch hier die gleichen Daten an die Betreiber dieser Plattformen übermittelt werden könnten, wie es beim Webtracking der Fall ist.

Was bedeutet das für Ihr Unternehmen? Wie geht man damit um?

Die DSK setzt damit eine nicht unerhebliche Hürde im Bereich des Webtrackings und auch sog. Retargeting-Maßnahmen im Online-Bereich. Denn die Anforderungen an eine ausreichende Einwilligung sind in der Praxis oft nur schwer zu erfüllen, insbesondere wenn das Konzept der Website und/oder des jeweiligen Produkts auf einer komplexen Retargeting-Struktur aufbaut. Durch die Hintertür werden Regelungen eingeführt, gegen die die Online-Werbewirtschaft im Rahmen der E-Privacy-Verordnung seit langem Sturm läuft.

Zur Vermeidung von Auseinandersetzungen mit den Datenschutzbehörden sollte versucht werden, dem Einwilligungserfordernis zu entsprechen. Das heißt der Aktivschaltung der Tracking-Tools sollte eine hinreichende und aktiv zu erteilende Einwilligung vorangestellt werden. Ist dies im Einzelfall nicht oder nicht vollumfänglich möglich, ist abzuwägen: Rechtlich entscheidend ist die konkrete Zuordnung eines Sachverhalts zu einem Erlaubnistatbestand der DSGVO, nicht aber die Eingruppierung unter ein Positionspapier der DSK. Hierbei sind insbesondere

  • die betroffenen Daten,
  • die bei der Verarbeitung eingesetzten Technologien,
  • die getroffenen technisch-organisatorischen Maßnahmen,
  • die verfolgten Zwecke,
  • die zugrundeliegende Nutzungssituation und die Rechtsbeziehungen zwischen den Akteuren sowie
  • die getroffenen Transparenzmaßnahmen

umfassend und risikobezogen zu würdigen. Dies gilt in einem besonderen Maße für den Erlaubnistatbestand der Interessenabwägung. Je nach Ausgang der Abwägung sollte ggf. eine gerichtliche Klärung in Kauf genommen werden. Letzteres dürfte insbesondere dann in Betracht kommen, wenn die betroffenen Tools von erheblicher Relevanz für das Geschäftsmodell sind. Der Ausgang eines solchen Gerichtsverfahrens ist vollkommen offen. Es sprechen zahlreiche und gute Argumente für die Anwendbarkeit des TMG auch nach dem 25.05.2018 und vor allem für die Anwendbarkeit der berechtigten Interessen auch auf Tracking Tools und Retargeting-Mechanismen.

Autor: Yvonne Quad, Armin Ewert

Gern unterstützen wir Sie bei der Ausarbeitung einer für Ihr Unternehmen passenden Lösung.