Kurz vor der unmittelbaren Geltung der EU-Datenschutz-Grundverordnung (DS-GVO) überrascht die Datenschutzkonferenz (= Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder) mit einer Positionsbestimmung zur Anwendbarkeit des Telemediengesetzes ab dem 25. Mai 2018.

Gemäß der darin geäußerten Auffassung der Datenschutzkonferenz findet der 4. Abschnitt des TMG unter der DS-GVO keine Anwendung mehr. Die Vorschriften in diesem Abschnitt basieren zum großen Teil auf der Datenschutzrichtlinie, welche durch die DS-GVO aufgehoben wird. Damit kann eine Datenverarbeitung ab dem 25. Mai 2018 nicht mehr auf die §§ 12, 13, 15 TMG gestützt werden. Für die Reichweitenmessung und den Einsatz von Tracking-Tools müssen somit Rechtmäßigkeitsgründe direkt in der DS-GVO gefunden werden. Dies ist auch das Ergebnis der Überlegungen der Datenschutzkonferenz in der Positionsbestimmung, welches allgemein mitgetragen wird.

Die Schlussfolgerung in Ziffer 9 der Positionsbestimmung der Datenschutzkonferenz, dass ab 25. Mai 2018 das Setzen oder Auslesen von Cookies (Webtracking) nur noch mit einer informierten Einwilligung der betroffenen Person möglich sei, wird jedoch heftig kritisiert (z.B. Gemeinsame Pressemeldung des Zentralverbands der deutschen Werbewirtschaft). Zur Begründung dieser Schlussfolgerung bezieht sich die Datenschutzkonferenz allerdings auf Artikel 5 Abs. 3 der ePrivacy-Richtlinie, welche schon heute ein Opt-in fordern würde. Aufgrund von Verweisen in dieser Richtlinie findet ab 25. Mai 2018 die DS-GVO Anwendung, so dass die Anforderungen der DS-GVO bei der Einwilligung beachtet werden müssten.

Insofern findet sich in der Positionsbestimmung selbst bereits ein Widerspruch. In Ziffer 7 der Positionsbestimmung wird ausgeführt, dass „Verarbeitungen, die unbedingt erforderlich sind, damit der Anbieter den von den betroffenen Personen angefragten Dienst zur Verfügung stellen kann, […] ggf. auf Art. 6 Absatz 1 Buchstabe b) oder Buchstabe f) DSGVO gestützt werden“ können. Ist das Setzen und Auslesen von Cookies somit erforderlich, um eine vertragliche Leistung zu erbringen, kann dies auf das bestehende Vertragsverhältnis gestützt werden. Hierunter können insbesondere Cookies verstanden werden, die im Rahmen einer Session des Nutzers gesetzt und ausgelesen werden, etwa um eine sinnvolle Warenkorbfunktion in einem Online-Shop anbieten zu können.

Ferner wird in Ziffer 8 der Positionsbestimmung darauf verwiesen, dass „ob und inwieweit weitere Verarbeitungstätigkeiten rechtmäßig sind, [...] durch eine Interessenabwägung im Einzelfall auf Grundlage des Artikel 6 Absatz 1 Buchstabe f DS-GVO geprüft werden“ muss. Im Ergebnis kann das Tracking oder die Reichweitenmessung damit auch auf ein Abwägungsergebnis gestützt werden. Es ist keinesfalls klar ersichtlich, dass grundsätzlich die Interessen der betroffenen Person überwiegen. Nach Erwägungsgrund 47 DS-GVO kann die Direktwerbung als eine „einem berechtigten Interesse dienende Verarbeitung betrachtet werden“. Zudem erfolgt das Webtracking / die Reichweitenmessung in der Regel auf pseudonymer oder anonymer Basis, so dass insoweit in der Regel nicht zwingend ein überwiegendes, schutzbedürftiges Interesse der betroffenen Person angenommen werden kann.

Schließlich darf nach Erwägungsgrund 47 DS-GVO der Internetseitenanbieter bei der von ihm vorzunehmenden Interessenabwägung die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen ebenfalls berücksichtigen. Im Zeitalter des Internets weiß jeder Nutzer, dass in der Regel Messverfahren zur Webanalyse bei Internetseiten zum Einsatz kommen. Das darf und kann der Seitenbetreiber daher berücksichtigen. Anhaltspunkte dafür, dass hier das Interesse der Betroffenen am Unterbleiben eines Trackings überwiegen, sind somit nicht zwingend gegeben.

Insofern erscheint die deutliche Schlussfolgerung der Datenschutzkonferenz – Bedarf einer Einwilligung – etwas übereilt. Unternehmen müssen diese Positionierung jedoch kennen und bei dem Einsatz von Cookies berücksichtigen.

Praxistipp:

Die Positionsbestimmung der Datenschutzkonferenz sorgt für Wirbel und Webseitenbetreiber müssen sich entsprechend positionieren. Die Stellungnahme der Datenschutzkonferenz ist nicht unwidersprochen geblieben. Solange der EuGH nicht eindeutig entschieden hat, bleiben alle Interpretationsmöglichkeiten offen. Die Entwicklung der Rechtsprechung in diesem Bereich ist eng zu beobachten.

Sofern Unternehmen ganz sicher gehen möchten, muss für alle nicht streng notwendigen Tracking- und Targeting-Maßnahmen und auch Cookies ein Opt-in vorgesehen werden. Das entsprechende Cookie-Banner sollte dann eine echte Wahlmöglichkeit zulassen. Dies bedeutet, dass Cookies erst gesetzt werden dürften, wenn der Webseitennutzer explizit „Ja“ geklickt hat.

Unbedingt erforderlich erscheint dies jedoch nicht. Tracking- und Targeting-Maßnahmen können auch auf das berechtigte Interesse des Unternehmens gestützt werden. Die Interessenabwägung sollte umfassend dokumentiert und der Nutzer der Webseite muss über den Einsatz von Tracking- und Targeting-Maßnahmen in den Datenschutzhinweisen informiert werden. Eine Einwilligung muss insofern nur eingeholt werden, sofern der Einsatz nicht auf das berechtigte Interesse gestützt werden kann (z.B. weder Pseudonymisierung noch Anonymisierung). Mit Blick auf die ePrivacy-Richtlinie (und auch die vernünftigen Nutzererwartungen) kann zusätzliche Sicherheit gewonnen werden, wenn auch auf andere Cookies in einem Cookie-Banner hingewiesen wird.