DSK-Aussagen zur DSGVO: Tracking nur noch bei Einwilligung zulässig?!

Kurz vor Geltung der Datenschutz-Grundverordnung am 25.05.2018 meldet sich die DSK zu Wort. In einer Positionsbestimmung nimmt die DSK zur Frage Stellung, unter welchen Voraussetzungen Tracking-Maßnahmen und Nutzerprofile im Internet zukünftig zulässig sein sollen. Die Aussage der DSK ist so eindeutig wie ernüchternd: Tracking-Maßnahmen sollen hiernach nur noch bei einer eingeholten Einwilligung zulässig sein. Was sind die Hintergründe und Konsequenzen dieses Positionspapiers der DSK, lesen Sie mehr in unserem Beitrag:

Was ist die DSK?

Die Datenschutzkonferenz (DSK) ist die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder, also ein informeller Kreis der deutschen Datenschutzaufsichtsbehörden. Die DSK veröffentlicht seit Juli 2017 Auslegungshilfen zur Datenschutz-Grundverordnung (DSGVO). Diese Positionsbestimmungen der DSK sollen als Auslegungshilfe fungieren und stellen Interpretationshilfen zu den Gesetzesnormen dar. Die ausführenden Datenschutzaufsichtsbehörden teilen mit diesen Positionsbestimmungen ihren Standpunkt in Bezug auf gewisse Rechtsfragen mit.

Wo kann die DSK-Positionsbestimmung eingesehen werden?

Die aktuelle Positionsbestimmung der DSK vom 26.04.2018 kann hier abgerufen werden.

Was gilt unter § 15 Abs. 3 TMG?

Nach der derzeit noch geltenden Rechtslage ist es gemäß § 15 Abs. 3 TMG möglich, pseudonymisierte Nutzungsprofile zu erstellen, sofern der Betroffene unterrichtet wird und die Möglichkeit zum Widerspruch erhält. Hiernach reicht also die Aufklärung des Betroffenen und die sog. Opt-Out-Möglichkeit aus.

Welche Rechtsauffassung vertritt die DSK zur DSGVO?

Die DSK vertritt in seinem Positionspapier die Auffassung, dass die Norm des § 15 Abs. 3 TMG nach der DSGVO keine Anwendung mehr findet, dies begründet die DSK wie folgt:

"6. Als Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch Diensteanbieter von Telemedien kommt folglich nur Artikel 6 Absatz 1, insbesondere Buchstaben a), b) und f) DSGVO in Betracht. Darüber hinaus sind die allgemeinen Grundsätze aus Artikel 5 Absatz 1 DSGVO, sowie die besonderen Vorgaben z. B. aus Artikel 25 Absatz 2 DSGVO einzuhalten.

7. Verarbeitungen, die unbedingt erforderlich sind, damit der Anbieter den von den betroffenen Personen angefragten Dienst zur Verfügung stellen kann, können ggf. auf Art. 6 Absatz 1 Buchstabe b) oder Buchstabe f) DSGVO gestützt werden.

8. Ob und inwieweit weitere Verarbeitungstätigkeiten rechtmäßig sind, muss durch eine Interessenabwägung im Einzelfall auf Grundlage des Artikel 6 Absatz 1 Buchstabe f) DSGVO geprüft werden."

Bereits diese Rechtsauffassung der DSK ist alles andere als unstreitig. Es existieren zahlreiche juristische Stimmen, die von einer weiteren Anwendbarkeit des § 15 Abs. TMG ausgehen.

Für Furore sorgt aber nun Ziffer 9 des DSK-Positionspapiers: Hier teilt die DSK mit, unter welchen Voraussetzungen ein Tracking unter Geltung der DSGVO zulässig sein soll:

"9. Es bedarf jedenfalls einer vorherigen Einwilligung beim Einsatz von Tracking- Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen. Das bedeutet, dass eine informierte Einwilligung i. S. d. DSGVO, in Form einer Erklärung oder sonstigen eindeutig bestätigenden Handlung vor der Datenverarbeitung eingeholt werden muss, d. h. z. B. bevor Cookies platziert werden bzw. auf dem Endgerät des Nutzers gespeicherte Informationen gesammelt werden."

Zur Begründung dieser Rechtsansicht führt die DSK an:

"Diese Auffassung steht im Einklang mit dem europäischen Rechtsverständnis zu Artikel 5 Absatz 3 der ePrivacy-Richtlinie. Im überwiegenden Teil der EU-Mitgliedsstaaten wurde die ePrivacy-Richtlinie vollständig in nationales Recht umgesetzt oder die Aufsichtsbehörden fordern schon heute ein „Opt-in“ entsprechend Artikel 5 Absatz 3 der Richtlinie.

Da die Verweise in der ePrivacy-Richtlinie auf die Datenschutzrichtlinie gemäß Artikel 94 Absatz 2 DSGVO als Verweise auf die DSGVO gelten, muss eine Einwilligung i. S. d. ePrivacy- Richtlinie europaweit ab dem 25.05.2018 den Anforderungen an eine Einwilligung nach der DSGVO genügen. Um in Zukunft einen einheitlichen Vollzug europäischen Datenschutzrechts zu gewährleisten, muss sichergestellt werden, dass auch Verantwortliche in Deutschland diese datenschutzrechtlichen Anforderungen umsetzen.

Dieses Papier wird unter Berücksichtigung der Entwicklungen auf europäischer Ebene fortgeschrieben."

Was sind die Konsequenzen dieser DSK-Ansicht für das Tracking?

Die Konsequenz aus dieser Auffassung der DSK wäre, dass Tracking-Maßnahmen wie z.B. von Google Analytics, Matomo, Retargeting, etc. nur noch dann angewendet werden könnten, wenn der betroffene Seitenbesucher hierzu eine Einwilligung erteilt.

Hierbei dürfte es für den Seitenbetreiber (allen voran Online-Händler) allerdings schwer bis kaum möglich sein, für alle Trackingmaßnahmen eine informierte Einwilligung des betroffenen Seitenbesuchers einzuholen, denn: Art. 7 DSGVO stellt hohe Anforderungen an das Kriterium der Informiertheit im Rahmen einer wirksamen Einwilligung.

Zudem müsste beachtet werden, dass eine Einwilligung freiwillig erteilt werden muss. Von einer Freiwilligkeit ist dann nicht auszugehen, wenn die Einwilligung gegen das sog. Kopplungsverbot verstoßen würde.

Ferner dürften entsprechende Cookies für Tracking-Maßnahmen nicht automatisch beim Seitenbesuch geladen werden, sondern dürften erst nach Erteilung der Einwilligung des Betroffenen dynamisch nachgeladen werden. Dies würde viele Internetseitenbetreiber zudem vor erhebliche technische Probleme stellen.

Kritik an der Rechtsauffassung der DSK:

Folgende Argumentationspunkte sprechen gegen die Rechtsauffassung der DSK und gegen die Notwendigkeit der Einholung einer Einwilligung für Tracking-Maßnahmen:

• In Erwägungsgrund 47 zur DSGVO ist niedergelegt, dass das Direktmarketing mit berechtigten Interessen gerechtfertigt werden kann. Wenn aber das Direktmarketing über die berechtigten Interessen gerechtfertigt werden kann, dann muss dies erst recht für Tracking-Maßnahmen als bloße Vorstufe zur Direktwerbung gelten;
• Der aktuelle Entwurf der EU-Kommission zur E-Privacy-Verordnung sieht gerade eine Privilegierung für die Messung von Websitebesuchern vor (Art. 8 Abs. 1 lit. d E-Privacy-Verordnungsentwurf), eine Einwilligung wird hier gerade nicht zur Voraussetzung gemacht;
• Auch hatte die Artikel 29-Datenschutzgruppe in der Vergangenheit ein Tracking nach § 15 Abs. 3 TMG nicht als riskant eingestuft und keinerlei Ausführungen in Richtung Einwilligung getätigt (Stellungnahme 04/2012);

Fazit:

Ungünstiger hätte der Zeitpunkt für die DSK-Positionsbestimmung nicht sein können. Kurz vor der Geltung der Datenschutz-Grundverordnung wird die jahrelange Praxis des Trackings in ihren Grundfesten erschüttert, indem die DSK eine Einwilligung für Tracking-Maßnahmen fordert. Hierbei ist zu beachten, dass die Anforderungen an eine wirksame und informierte Einwilligung nach der DSGVO besonders hoch sind und in der Praxis nur schwer zu erfüllen sein dürften.

Allerdings stellt die DSK-Positionsbestimmung nicht mehr und nicht weniger dar, als die rechtliche Auffassung der Exekutive. Diese Rechtsauffassung hat keine faktische Bindungswirkung. Das letzte Wort in dieser Sache ist daher noch nicht gesprochen, sondern wird erst durch die Judikative, also die deutsche und europäische Gerichtsbarkeit, gesprochen werden.

Bis dahin gilt: Wer den sichersten Weg beschreiten möchte, sollte entsprechende Einwilligungen der Seitenbesucher einholen. Wer bereit ist ein gewisses Risiko einzugehen, beruft sich beim Tracking auf die Rechtsgrundlage der berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO.

Wichtig: Wir werden die weitere rechtliche Entwicklung beobachten und gerade unsere Mandanten frühzeitig über entsprechende Maßnahmen informieren.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .