Webtracking nach der DS-GVO: Datenschützer korrigieren ihre Stellungnahme (Teil 1)

Im April letzten Jahres hatte die Datenschutzkonferenz (DSK), also das Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder mit einem Positionspapier für eine Menge Wirbel gesorgt: Es ging um die Anwendbarkeit des Telemediengesetzes (TMG) nach Inkrafttreten der Datenschutz-Grundverordnung (DS-GVO) ab dem 25.5.2018 (wir berichteten) und das Einwilligungserfordernis beim Einsatz von Tracking-Mechanismen. Das Papier verunsicherte viele, und die DSK wurde dafür vielfach kritisiert. Nun hat sich die DSK erneut geäußert.

Erfreulicherweise nimmt die DSK Abstand von ihrer früheren Position, wonach der Einsatz von Tracking-Mechanismen, die das Verhalten von Betroffenen im Internet nachvollziehbar machen, und die Erstellung von Nutzerprofilen stets eine Einwilligung der Betroffenen voraussetzen. Die DSK stellt in ihrer 24-seitigen Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien nunmehr fest, dass sämtliche Erlaubnistatbestände der DS-GVO gleichrangig und gleichwertig zu betrachten seien, um die Rechtmäßigkeit der Verarbeitung zu beurteilen. Dazu gehören für die DSK anstelle der Einwilligung, auch die Erfüllung eines Vertrages und das überwiegende berechtigte Interesse (Art. 6 Abs. 1 Lit. b), f) DS-GVO).

Die Orientierungshilfe liefert insofern zwar viele hilfreiche Informationen, lässt an anderen Stellen aber wiederum Interpretationsspielraum zu. In diesem ersten Teil unseres Blogbeitrags zur DSK-Stellungnahme wollen wir die Aussagen zur Einholung einer Einwilligung beleuchten.

Die DSK gibt detaillierte Hinweise zur Ausgestaltung von Cookie-Bannern. Dazu gehört die klare Absage an die bisher vielfach genutzten „OK-Buttons“. Diese Buttons erfüllen nach Auffassung der DSK nicht die Voraussetzungen an eine wirksame Einwilligung. Es fehle an Auswahlmöglichkeit des Nutzers. Künftig sollen Nutzer also „ablehnen“ oder „bestätigen“ können. Erst nach der aktiven Handlung des Nutzers (Aktivieren einer Checkbox etc.) darf dann das Tracking starten. Voraussetzung ist aber ferner, dass der Betroffene „die Information über die geplante Datenverarbeitung inhaltlich erfasst haben muss“. Insbesondere der Zugriff auf Impressum und Datenschutzerklärung darf durch das Cookie-Banner nicht verhindert werden.

Außerdem müsse – so die DSK – ermöglicht werden, die Einwilligung zu widerrufen. Entsprechend den gesetzlichen Vorgaben (Art. 7 Abs. 3 S. 4 DS-GVO) muss der Widerruf dabei ebenso einfach möglich sein wie die Erteilung der Einwilligung selbst. Der Nutzer ist sowohl darüber zu informieren, dass er seine Einwilligung widerrufen kann, als auch darüber, wie der Widerruf erfolgen kann. Konkrete Hinweise, wie diese Anforderungen umzusetzen sind, enthält die Orientierungshilfe nicht.

Festzuhalten ist: Die Anforderungen an die Einholung der Einwilligung sind hoch und sowohl technisch als auch rechtlich komplex. Im zweiten Teil dieses Beitrags wird es darum gehen, unter welchen Umständen nach Ansicht der DSK auf eine Einwilligung in das Webtracking verzichtet werden kann.

Ansprechpartner: Dr. Jost Eder/Nils Langeloh/Alexander Bartsch/Thomas Schmeding