Deutsche Datenschutzbehörden machen Ernst: Bundesweite Kontrolle von Online-Trackingdiensten steht bevor

In jüngster Zeit haben die Datenschutzbehörden der Länder ihre Überwachungskompetenzen im Internet bereits deutlich intensiviert und so den rechtskonformen Einsatz von Tracking-Technologien (insbesondere Google Analytics) auf zahlreichen Webseiten geprüft. Wurden unrechtmäßige Verwendungen festgestellt, wurde ein Anhörungsverfahren eingeleitet. Nunmehr aber gehen deutsche Datenschutzbehörden zu einem bundesweit organisierten Suchlauf über und planen die flächendeckende Kontrolle von Tracking-Dienste auf Webseiten im großen Stil. Mehr zur geplanten „Tracking-Razzia“ und dem notwendigen Maßnahmenplan für Seitenbetreiber lesen Sie hier.

I. Bundesweite Datenschutzkontrollen für Tracking-Dienste auf Webseiten stehen bevor

In den vergangenen Monaten haben diverse Landesdatenschutzbehörden bereits mit zunehmender Tendenz von Ihren Online-Überwachungskompetenzen Gebrauch gemacht und zunächst punktuell die datenschutzkonforme Einbindung von Tracking- und Analysetools (insbesondere in Bezug auf „Google Analytics“) auf Webseiten überprüft.

Nicht zuletzt durch die aktuellen Entwicklungen der Rechtsprechung zu Cookies bestärkt, wird und wurde der Einsatz von cookie-basierten Tracking-Diensten ohne entsprechende Nutzereinwilligungen verfolgt. Zur Setzung von technisch nicht notwendigen Cookies (also insbesondere auch Tracking- und Analysecookies) hatte am 01.10.2019 (Az. C-673/13) der EuGH, dann am 28.05.2020 (Az. I ZR 7/16) auch der BGH die Notwendigkeit einer vorab eingeholten ausdrücklichen Einwilligung bestätigt.

Die nur stichprobenartige Prüfung scheint den Datenschutzbehörden der Länder aber nicht genug. Die Behörden planen derzeit eine bundesweit abgestimmte Großkampagne zur flächendeckenden Kontrolle der rechtskonformen Verwendung von Tracking-Technologien auf Webseiten.

Ziel des Online-„Großeinsatzes“ soll es sein, für die homogene Einhaltung der rechtlichen Zulässigkeitsvoraussetzungen für Tracking-Dienste im gesamten Bundesgebiet zu sorgen und so die bestmögliche Durchsetzung des geltenden Datenschutzniveaus für die Bevölkerung zu gewährleisten.

Laut einer Pressemitteilung des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg wird die Kampagne zunächst die „Big Player“ wie Zeitungsverlage und Medienunternehmen unter die Lupe nehmen. Sodann soll der Suchlauf aber flächendeckend auf möglichst alle Internetpräsenzen ausgeweitet werden:

Der Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) Baden-Württemberg wird daher zeitgleich mit anderen deutschen Aufsichtsbehörden in einem groß angelegten Verfahren Online-Angebote auf eine rechtskonforme Einbindung von Tracking-Technologien prüfen. Die Prüfung wurde länderübergreifend vorbereitet. Sie wird in enger Zusammenarbeit der beteiligten Landesdatenschutzbehörden innerhalb des jeweiligen Zuständigkeitsbereiches in völliger Unabhängigkeit durchgeführt.

Gegenstand dieser Prüfung werden in einem ersten Schritt die Internetpräsenzen von Medienunternehmen sein. Diese setzen Tracking-Dienste häufig in besonders großem Umfang auf ihren Websites ein. Wollen Medienunternehmen Tracking-Technologien nutzen, können diese nur erlaubt sein, wenn die/der Nutzer*in hierin wirksam einwilligt – d.h. informiert, freiwillig, vorab, separat und in Kenntnis einer zumutbaren Möglichkeit, die Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen.

II. Was droht bei aufgedeckten Verstößen?

Stellen die Behörden im Rahmen Ihrer Zuständigkeit fest, dass Tracking- und Analysedienste ohne die notwendige und hinlängliche ausdrückliche Einwilligung betrieben werden, wird im ersten Schritt regelmäßig ein Anhörungsverfahren eingeleitet.

Hierfür geht dem Verantwortlichen zunächst ein Anhörungsschreiben mit der Bitte um Stellungnahme zu.

Kann mit der Stellungnahme der Vorwurf, Tracking-Technologien bei Nutzern anfänglich ohne deren ausdrückliche Einwilligung eingesetzt zu haben, nicht ausgeräumt werden, sind die Behörden zur Einleitung eines Bußgeldverfahrens befugt.

III. Behördliches Einschreiten vermeiden: Rechtskonforme Einwilligung per Cookie-Consent-Tool

Nach mittlerweile gefestigter Rechtsprechung dürfen Tracking-Dienste auf einer Website nur verwendet werden, wenn der Nutzer hierzu seine ausdrückliche Einwilligung erteilt hat.

Hintergrund ist, dass diese Dienste ansonsten unaufgefordert diverse Cookies setzen.

Um die Einwilligung korrekt einzuholen, empfiehlt sich der Einsatz eines rechtskonformen Cookie-Consent-Tools.

Dieses legt sich als Overlay bei Seitenaufruf über die Website und fragt Cookie-Einwilligungen ab.

Um rechtskonform zu sein, muss das Tool sicherstellen, dass

• das Setzen von technisch nicht notwendigen Cookies solange blockiert wird, wie der Nutzer die Cookie-Einwilligungen nicht erteilt,
• Einwilligungen für jeden einzelnen relevanten Dienst (also auch für Google Analytics) individuell abgefragt werden und
• Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen werden können, ein gesetztes Opt-In für einen Dienst also wieder entfernt werden kann und die Cookie-Setzung daraufhin automatisch blockiert wird.

Der Einsatz eines ordnungsgemäßen Cookie-Consent-Tools für die Verwendung von cookie-basierten Tracking- und Analysediensten ist essentiell.

Ist kein Consent-Tool eingebunden oder ist ein Tool falsch oder unzureichend konfiguriert (vor allem, weil der jeweilige Dienst als Einwilligungsoption nicht auswählbar ist), wird gegen geltendes Datenschutzrecht verstoßen.

Dies ruft die Datenschutzbehörden erst auf den Plan.

IV. Fazit

Die aktuell für Tracking- und Analysedienste noch stichprobenartig durchgeführten Website-Kontrollen der Landesdatenschutzbehörden werden in unmittelbarer Zukunft einer großangelegten Suchkampagne weichen, mit der die rechtskonforme Verwendung von Tracking-Technologien bundesweit flächendeckend überprüft werden soll.

Zwar werden in einem ersten Schritt zunächst große Verlage und Medienunternehmen ins Visier genommen. Im Anschluss soll die Suche aber kriterienunabhängig ausgeweitet werden.

Seitenbetreiber sind mehr denn je dazu aufgefordert, den rechtskonformen Einsatz von Trackingdiensten durch die vorherige Einholung ausdrücklicher Nutzereinwilligungen sicherzustellen, und hierfür idealerweise auf rechtskonforme Cookie-Consent-Lösungen zurückzugreifen.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.