Beschluss der Datenschutzkonferenz – das Ende des Trackings im Internet?

Datenschutzgrundverordnung vs. Cookies

Ein Beitrag von Rechtsanwalt Thomas Repka

Nur noch wenige Tage und die Datenschutzgrundverordnung tritt in Kraft. Viele Unternehmer und Websiten-Betreiber sind verunsichert, wie sie mit den neuen Regeln umgehen sollen. Eines der heiß diskutierten Themen ist die datenschutzrechtliche Zulässigkeit von Cookies und Tracking-Maßnahmen wie Google Analytics. Nun hat sich die Datenschutzkonferenz zu diesem Thema – überraschend deutlich – geäußert.

Stellungnahme der Datenschutzbehörden – Tracking nur noch mit Einwilligung

In einer Positionsbestimmung der Datenschutzkonferenz (DSK) vom 26. April 2018 äußern sich die Datenschutzbehörden zum Thema Cookies und Tracking klar: Der Einsatz von Tracking-Mechanismen sei danach nur mit einer informierten Einwilligung des Nutzers erlaubt, wenn durch das Tracking das Nutzerverhalten nachvollziehbar gemacht oder Nutzerprofile erstellt werden. Nur Datenverarbeitungen, die unbedingt erforderlich sind, um die Website technisch zur Verfügung stellen zu können, seien auch ohne Einwilligung der betroffenen Nutzer möglich.

Die Datenschutzkonferenz ist die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder und besteht aus dem Bundes- und den Landesdatenschutzbeauftragten der Bundesländer. Sie geben gemeinsame Stellungnahmen und Positionen, die dann eine Auslegungshilfe für Behörden und Nutzer bilden.

Was bedeutet der Beschluss?

Nimmt man den Beschluss ernst, dürften Cookies die das Nutzerverhalten aufzeichnen oder Nutzungsprofile erstellen erst dann gesetzt und mit dem Tracking begonnen werden, wenn der Nutzer eine Einwilligung nach den Maßgaben der Datenschutzgrundverordnung erteilt hat. Dies bedeutet vor allem umfangreiche Informationspflichten. In der Praxis ist dies wohl kaum praktikabel.

§ 15 Abs. 3 TMG, der Tracking in Form von pseudonymisierten Nutzerprofilen zuließ, wird ab dem 25. Mai 2018 nicht mehr anwendbar sein. Von da an gelten nur die Regeln der Datenschutzgrundverordnung und des neuen Bundesdatenschutzgesetzes, die jedoch für Tracking keine speziellen Normen vorsehen.

Bedeutet dies also nun das Ende von Tracking?

Rechtslage nach der Datenschutzgrundverordnung

Die Datenschutzgrundverordnung kennt mehrere Rechtfertigungstatbestände. So nennt Art. 6 DSGVO unter anderem die Einwilligung oder die erlaubte Datenverarbeitung in einem Vertragsverhältnis. Außerdem ist die Datenverarbeitung auch dann erlaubt, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.

Entscheidend ist also eine Interessenabwägung. Der europäische Gesetzgeber nennt in den Erwägungsgründen zur Datenschutzgrundverordnung ausdrücklich auch Werbung und Direktmarketing als mögliche „berechtigte Interessen“ für Unternehmen. Gleiches muss dann auch für Tracking gelten, da der Eingriff in die Datenhoheit beim Tracking weniger schwerwiegend ist als bei der Direktwerbung.

Es stellt sich daher nur die Frage, ob Interessen der Betroffenen dem entgegenstehen und überwiegen. In dieser Interessenabwägung spielen insbesondere die Nutzererwartungen eine Rolle. In der heutigen digitalen Welt darf man wohl davon ausgehen, dass Nutzer mit Tracking und nutzerbezogener Werbung rechnen. Zudem können die Nutzererwartung auch über Informationen in einem Cookie-Banner oder in der Datenschutzerklärung beeinflusst werden.

Eine Rechtfertigung der Datenverarbeitung durch Tracking lässt sich daher auch über den Begriff der berechtigten Interessen in Art. 6 Abs. 1 S. 1 lit. f DSGVO herstellen. Der Beschluss der Datenschutzkonferenz greift an dieser Stelle zu kurz.

Beschluss der DSK ist nicht bindend – aber die Rechtsunsicherheit bleibt

So schockierend der Beschluss für viele Betreiber von Online-Shops oder Internetseiten zunächst klingt – er ist nicht bindend, sondern stellt nur die Position der Behörden dar. Ob Tracking tatsächlich so streng zu bewerten ist, werden wohl erst Gerichte entscheiden. Trotzdem soll das Risiko für Websitenbetreiber aufgrund des Haftungsrisikos nicht verschwiegen werden. Es besteht die Gefahr, auf Grundlage des Wettbewerbsrechts von Konkurrenten abgemahnt oder von einer Aufsichtsbehörde mit einem Bußgeld belegt zu werden, wenn Trackingmaßnahmen oder Cookies ohne Einwilligung des Nutzers verwendet werden.

Gefordert ist jetzt in erster Linie der Gesetzgeber. Er sollte für Klarheit sorgen. Leider steckt die geplante ePrivacy-Verordnung, die genau diese Themen regeln sollte, immer noch im Gesetzgebungsprozess. Interessant ist, dass der Entwurf der EU-Kommission zur ePrivacy-Verordnung für Tracking gerade keine Einwilligung vorsieht. So bleibt es bei einer erheblichen Rechtsunsicherheit – wohl noch weit bis ins Jahr 2019 hinein.