Die Datenschutzkonferenz (DSK) hat in einem aktuellen Positionspapier zu der heiß umstrittenen Frage Stellung genommen, inwieweit nach Inkraftreten der Datenschutzgrundverordnung (DSGVO) der Einsatz von Tracking-Technologien im Internet noch möglich ist.
Das Dokument stammt vom 26.04.2018 und kann hier heruntergeladen werden.
Die DSK ist die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder. Die Stellungnahmen haben keinen verbindlichen Rechtscharakter, offenbaren aber, in welche Richtung die Behörden die DSGVO auslegen werden. Ob die Interpretation dann richtig oder falsch ist, werden die Gerichte entscheiden.
Die derzeitige Rechtslage erlaubt nach § 15 Abs.3 TMG die Erstellung von Pseudonymen, siehe dazu die beiden Aufsätze von RA Dr. Bahr "Online-Benutzerprofile: Wann sind diese datenschutzrechtlich erlaubt?" und "Online-Benutzerprofile: Wann ist die Zusammenführung der einzelnen Daten erlaubt?".
Nach Ansicht der DSK sind diese Regelungen mit Wirksamwerden der DSGVO nicht mehr anzuwenden, sodass nur noch die Bestimmungen der DSGVO gelten.
Wörtlich heißt es in dem Papier:
"6. Als Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch Diensteanbieter von Telemedien kommt folglich nur Artikel 6 Absatz 1, insbesondere Buchstaben a), b) und f) DSGVO in Betracht. Darüber hinaus sind die allgemeinen Grundsätze aus Artikel 5 Absatz 1 DSGVO, sowie die besonderen Vorgaben z. B. aus Artikel 25 Absatz 2 DSGVO einzuhalten.
7. Verarbeitungen, die unbedingt erforderlich sind, damit der Anbieter den von den betroffenen Personen angefragten Dienst zur Verfügung stellen kann, können ggf. auf Art. 6 Absatz 1 Buchstabe b) oder Buchstabe f) DSGVO gestützt werden.7
8. Ob und inwieweit weitere Verarbeitungstätigkeiten rechtmäßig sind, muss durch eine Interessenabwägung im Einzelfall auf Grundlage des Artikel 6 Absatz 1 Buchstabe f) DSGVO geprüft werden."
Der wichtigste Abschnitt kommt danach. Dort heißt es dann:
"9. Es bedarf jedenfalls einer vorherigen Einwilligung beim Einsatz von Tracking- Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen.
Das bedeutet, dass eine informierte Einwilligung i. S. d. DSGVO, in Form einer Erklärung oder sonstigen eindeutig bestätigenden Handlung vor der Datenverarbeitung eingeholt werden muss, d. h. z. B. bevor Cookies platziert werden bzw. auf dem Endgerät des Nutzers gespeicherte Informationen gesammelt werden."
Zur Begründung führen die Behördenvertreter an:
"Diese Auffassung steht im Einklang mit dem europäischen Rechtsverständnis zu Artikel 5 Absatz 3 der ePrivacy-Richtlinie.9 Im überwiegenden Teil der EU-Mitgliedsstaaten wurde die ePrivacy-Richtlinie vollständig in nationales Recht umgesetzt10 oder die Aufsichtsbehörden fordern schon heute ein „Opt-in“ entsprechend Artikel 5 Absatz 3 der Richtlinie.
Da die Verweise in der ePrivacy-Richtlinie auf die Datenschutzrichtlinie gemäß Artikel 94 Absatz 2 DSGVO als Verweise auf die DSGVO gelten, muss eine Einwilligung i. S. d. ePrivacy- Richtlinie europaweit ab dem 25.05.2018 den Anforderungen an eine Einwilligung nach der DSGVO genügen. Um in Zukunft einen einheitlichen Vollzug europäischen Datenschutzrechts zu gewährleisten, muss sichergestellt werden, dass auch Verantwortliche in Deutschland diese datenschutzrechtlichen Anforderungen umsetzen.
Dieses Papier wird unter Berücksichtigung der Entwicklungen auf europäischer Ebene fortgeschrieben."
Bedeutet im Klartext: Der Einsatz von Tracking-Tools wie z.B. Google Analytics kann aus Sicht der DSK durch berechtigte Interessen (Art. 6 Abs.1 f) DSGVO) gerechtfertigt sein. Jedes über die eigene Webseite hinausgehendes Tracking, zum Beispiel beim klassischen webseitenübergreifenden Retargeting, soll nach dieser Ansicht einer vorherigen, ausdrücklichen Einwilligung bedürfen. Das Berufen auf berechtigte Interesse soll in einem solchen Fall nicht möglich sein.
Anmerkung von RA Dr. Bahr:
Nun ist es passiert, und das bereits vor Wirksamwerden der DSGVO-Regelungen am 25.05.2018.
Es war zu befürchten, dass die Aufsichtsbehörden sich auf diese Art und Weise positonieren würden. Es verwundert aber, in welcher Eindeutigkeit sie Stellung beziehen und dabei zahlreiche fundierte Standpunkte aus der Politik und Rechtswissenschaft unberücksichtigt lassen. So soll nur die informierte Einwilligung (Art. 6 Ab.1 a) DSGVO) webseitenübergreifendes Tracking erlauben, alles andere hingegen, insbesondere die berechtigten Interessen (Art. 6 Abs.1 f) DSGVO), sollen untauglich sein.
Diese Rechtsansicht würde nichts anderes als das faktische Ende aller Retargeting-Maßnahmen im Online-Bereich bedeuten, denn die Anforderungen an eine ausreichende Einwilligung sind in der Praxis so gut wie nicht zu erfüllen. Durch die Hintertür würden die Regelungen eingeführt, gegen die die Online-Werbewirtschaft im Rahmen der E-Privacy-Verordnung seit langem Sturm läuft.
Es ist daher umso wichtiger noch einmal ausdrücklich darauf hinzuweisen, dass dieses Positionspapier der DSK keinen rechtsverbindliche Wirkung hat. Vielmehr werden die im Zweifelfall angerufenen Gerichte das letzte Wort haben. Der Ausgang eines solchen Gerichtsverfahrens ist vollkommen offen. Denn es sprechen zahlreiche und gute Argumente für die Anwendbarkeit des TMG auch nach dem 25.05.2018 und vor allem für die Anwendbarkeit der berechtigten Interessen auch auf Retargeting-Mechanismen.