Webtracking nach der DS-GVO: Datenschützer korrigieren ihre Stellungnahme (Teil 2)

Im ersten Teil unseres Blogbeitrags zur neuen Stellungnahme der Datenschutzkonferenz (DSK) zur Zulässigkeit von Web-Tracking (wir berichteten) haben wir erklärt, wie sich die DSK zur Einwilligung in das Web-Tracking positioniert. Die Einwilligung einzuholen, ist technisch nicht leicht umzusetzen und kann Nutzer möglicherweise sogar von einem weiteren Besuch der Seiten abschrecken. Daher ist besonders interessant, unter welchen Umständen die DSK in ihrer neuen Stellungnahme die Einholung einer solchen Einwilligung für entbehrlich hält. Dies ist zum Beispiel dann der Fall, wenn das Webtracking nach Art. 6 Abs. 1 Lit.. f) DS-GVO auf ein „berechtigtes Interesse“ gestützt werden kann. Darum soll es in diesem zweiten Teil dieses Beitrags zum Webtracking gehen.

Soll die Verarbeitung auf ein berechtigtes Interesse gestützt werden, ist eine Interessenabwägung erforderlich. Hierzu empfiehlt die DSK ein dreistufiges Vorgehen: Zunächst ist zu prüfen, ob ein berechtigtes Interesse des Verantwortlichen bzw. Dritten vorliegt. Zweiter Schritt ist die Prüfung, ob die Datenverarbeitung zur Wahrung dieser Interessen erforderlich ist. Kern der Prüfung ist schließlich die Abwägung der Interessen des Verantwortlichen bzw. Dritten mit den Interessen, Grundrechten und Grundfreiheiten der betroffenen Person im konkreten Einzelfall.

Im Hinblick auf Webtracking erkennt die DSK grundsätzlich ein berechtigtes Interesse des Verantwortlichen an: Erkenntnisse aus dem Tracking können dazu dienen, das eigene Online-Angebot nutzerfreundlicher zu gestalten, Betrug zu verhindern und die Integrität und Sicherheit der Website zu gewährleisten. Darüber hinaus stehen Reichweitenmessung und statistische Analysen sowie die Optimierung des jeweiligen Webangebots und Personalisierung des Angebots für die Nutzer nachvollziehbarerweise im Fokus des Websitebetreibers.

Damit ist die Datenverarbeitung zu diesen Zwecken aber noch nicht zulässig. Es komme auch auf die Erforderlichkeit und möglicherweise entgegenstehende Interessen der betroffenen Nutzer an. An dieser Stelle ist eine generelle Betrachtung schwierig: Viel hängt von den Umständen des Einzelfalls ab.

Ins Auge sticht der Hinweis der DSK zur Reichweitenmessung. An dieser habe zwar der Websitebetreiber ein berechtigtes Interesse, um Rückschlüsse auf sein Webangebot ziehen zu können. Es sei aber – so die DSK – nicht erforderlich, hierzu externe Analysedienste einzusetzen und also Daten an Dritte weiterzugeben. Die Reichweitenmessung könne durch ein milderes Mittel erreicht werden, ohne dass Daten an Dritte übermittelt würden, etwa über eine lokale Implementierung einer Analysesoftware.

Inwieweit dies bedeuten soll, dass man weit verbreitete Analysetools wie Google Analytics bzw. deren Funktionalitäten nicht mehr ohne Einwilligung des Nutzers verwenden darf, ist offen. Jedenfalls vertritt der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg diese Ansicht in den jüngst veröffentlichten FAQ zu Cookies und Tracking. Websitebetreiber sind entsprechend aufgefordert, die Funktionalitäten der von ihnen eingesetzten Analysetools zu überprüfen, wenn diese Daten an die Betreiber oder sonstige Dritte übertragen.

Schließlich enthält die Orientierungshilfe eine Vielzahl von Kriterien, die eine ausgewogene Interessenabwägung ermöglichen sollen. Dazu gehören: die vernünftige Erwartung der betroffenen Personen und Vorhersehbarkeit sowie Transparenz, Interventionsmöglichkeiten der betroffenen Personen, die Verkettung von Daten, die beteiligten Akteure, die Dauer der Beobachtung, der Kreis der Betroffenen (bspw. besonders schutzbedürftige Personen, wie z.B. Kinder), die betroffenen Datenkategorien und der Umfang der Datenverarbeitung. So lägen etwa Techniken außerhalb der Erwartungshaltung des Nutzers, die das Verhalten von Websitenutzern exakt nachvollziehen und dokumentieren können, wie z.B. bei der Erfassung der Tastatur-, Maus- und Wischbewegungen auf Touchscreens. Der Einsatz solcher Tools erfordert nach Auffassung der DSK also die vorangehende Einwilligung des Nutzers.

Als Fazit kann festgehalten werden: Mit ihrer aktuellen Orientierungshilfe kehrt die DSK erfreulicherweise von ihrer früheren Position zum Einsatz von Tracking-Mechanismen ab, wonach dieser nur mit Einwilligung der Betroffenen zulässig sei. Zugleich wird aber deutlich, dass die Aufsichtsbehörden hohe Erwartungen an die Interessenabwägung stellen, wenn ein Diensteanbieter auf die aufwändige Einholung einer Einwilligung verzichten will. Dabei geht die DSK im Zweifel zu weit, wenn Sie so verstanden werden will, dass der Einsatz von Tracking-Mechanismen unter Einsatz eines Dritten stets eine Einwilligung voraussetzt. Die Datenanalyse eines weisungsgebundenen Dienstleisters ohne weitergehende, eigenständige Datenverarbeitung für einen Aufraggeber darf im Ergebnis kein generelles Ausschlusskriterium für Tracking auf Grundlage eines berechtigten Interesses sein. Auch wird es auf die konkreten Einstellungen des eingesetzten Tools ankommen. Die aktuelle Orientierungshilfe der DSK schafft zusammen genommen mehr Klarheit, aber – auch aufgrund ihres ohnehin rechtlich nicht verbindlichen Charakters –  keine abschließende Rechtssicherheit für Websitebetreiber.

Ansprechpartner: Dr. Jost Eder/Nils Langeloh/Alexander Bartsch/Thomas Schmeding