IT-Recht Kanzlei
Fragen oder Anregungen?

Kontaktieren Sie uns:
IT-Recht Kanzlei
Kanzlei Keller-Stoltenhoff, Keller
Alter Messeplatz 2
Tel.: +49 (0)89 / 130 1433-0
Fax: +49 (0)89 / 130 1433-60
E-Mail: info@it-recht-kanzlei.de

DSK-Aussagen zur DSGVO: Tracking nur noch bei Einwilligung zulässig?!

04.05.2018, 08:17 Uhr | Lesezeit: 6 min
DSK-Aussagen zur DSGVO: Tracking nur noch bei Einwilligung zulässig?!

Kurz vor Geltung der Datenschutz-Grundverordnung am 25.05.2018 meldet sich die DSK zu Wort. In einer Positionsbestimmung nimmt die DSK zur Frage Stellung, unter welchen Voraussetzungen Tracking-Maßnahmen und Nutzerprofile im Internet zukünftig zulässig sein sollen. Die Aussage der DSK ist so eindeutig wie ernüchternd: Tracking-Maßnahmen sollen hiernach nur noch bei einer eingeholten Einwilligung zulässig sein. Was sind die Hintergründe und Konsequenzen dieses Positionspapiers der DSK, lesen Sie mehr in unserem Beitrag:

Was ist die DSK?

Die Datenschutzkonferenz (DSK) ist die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder, also ein informeller Kreis der deutschen Datenschutzaufsichtsbehörden. Die DSK veröffentlicht seit Juli 2017 Auslegungshilfen zur Datenschutz-Grundverordnung (DSGVO). Diese Positionsbestimmungen der DSK sollen als Auslegungshilfe fungieren und stellen Interpretationshilfen zu den Gesetzesnormen dar. Die ausführenden Datenschutzaufsichtsbehörden teilen mit diesen Positionsbestimmungen ihren Standpunkt in Bezug auf gewisse Rechtsfragen mit.

Wo kann die DSK-Positionsbestimmung eingesehen werden?

Die aktuelle Positionsbestimmung der DSK vom 26.04.2018 kann hier abgerufen werden.

Banner Premium Paket

Was gilt unter § 15 Abs. 3 TMG?

Nach der derzeit noch geltenden Rechtslage ist es gemäß § 15 Abs. 3 TMG möglich, pseudonymisierte Nutzungsprofile zu erstellen, sofern der Betroffene unterrichtet wird und die Möglichkeit zum Widerspruch erhält. Hiernach reicht also die Aufklärung des Betroffenen und die sog. Opt-Out-Möglichkeit aus.

Welche Rechtsauffassung vertritt die DSK zur DSGVO?

Die DSK vertritt in seinem Positionspapier die Auffassung, dass die Norm des § 15 Abs. 3 TMG nach der DSGVO keine Anwendung mehr findet, dies begründet die DSK wie folgt:

"6. Als Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch Diensteanbieter von Telemedien kommt folglich nur Artikel 6 Absatz 1, insbesondere Buchstaben a), b) und f) DSGVO in Betracht. Darüber hinaus sind die allgemeinen Grundsätze aus Artikel 5 Absatz 1 DSGVO, sowie die besonderen Vorgaben z. B. aus Artikel 25 Absatz 2 DSGVO einzuhalten.

7. Verarbeitungen, die unbedingt erforderlich sind, damit der Anbieter den von den betroffenen Personen angefragten Dienst zur Verfügung stellen kann, können ggf. auf Art. 6 Absatz 1 Buchstabe b) oder Buchstabe f) DSGVO gestützt werden.

8. Ob und inwieweit weitere Verarbeitungstätigkeiten rechtmäßig sind, muss durch eine Interessenabwägung im Einzelfall auf Grundlage des Artikel 6 Absatz 1 Buchstabe f) DSGVO geprüft werden."

Bereits diese Rechtsauffassung der DSK ist alles andere als unstreitig. Es existieren zahlreiche juristische Stimmen, die von einer weiteren Anwendbarkeit des § 15 Abs. TMG ausgehen.

Für Furore sorgt aber nun Ziffer 9 des DSK-Positionspapiers: Hier teilt die DSK mit, unter welchen Voraussetzungen ein Tracking unter Geltung der DSGVO zulässig sein soll:

"9. Es bedarf jedenfalls einer vorherigen Einwilligung beim Einsatz von Tracking- Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen. Das bedeutet, dass eine informierte Einwilligung i. S. d. DSGVO, in Form einer Erklärung oder sonstigen eindeutig bestätigenden Handlung vor der Datenverarbeitung eingeholt werden muss, d. h. z. B. bevor Cookies platziert werden bzw. auf dem Endgerät des Nutzers gespeicherte Informationen gesammelt werden."

Zur Begründung dieser Rechtsansicht führt die DSK an:

"Diese Auffassung steht im Einklang mit dem europäischen Rechtsverständnis zu Artikel 5 Absatz 3 der ePrivacy-Richtlinie. Im überwiegenden Teil der EU-Mitgliedsstaaten wurde die ePrivacy-Richtlinie vollständig in nationales Recht umgesetzt oder die Aufsichtsbehörden fordern schon heute ein „Opt-in“ entsprechend Artikel 5 Absatz 3 der Richtlinie.

Da die Verweise in der ePrivacy-Richtlinie auf die Datenschutzrichtlinie gemäß Artikel 94 Absatz 2 DSGVO als Verweise auf die DSGVO gelten, muss eine Einwilligung i. S. d. ePrivacy- Richtlinie europaweit ab dem 25.05.2018 den Anforderungen an eine Einwilligung nach der DSGVO genügen. Um in Zukunft einen einheitlichen Vollzug europäischen Datenschutzrechts zu gewährleisten, muss sichergestellt werden, dass auch Verantwortliche in Deutschland diese datenschutzrechtlichen Anforderungen umsetzen.

Dieses Papier wird unter Berücksichtigung der Entwicklungen auf europäischer Ebene fortgeschrieben."

Was sind die Konsequenzen dieser DSK-Ansicht für das Tracking?

Die Konsequenz aus dieser Auffassung der DSK wäre, dass Tracking-Maßnahmen wie z.B. von Google Analytics, Matomo, Retargeting, etc. nur noch dann angewendet werden könnten, wenn der betroffene Seitenbesucher hierzu eine Einwilligung erteilt.

Hierbei dürfte es für den Seitenbetreiber (allen voran Online-Händler) allerdings schwer bis kaum möglich sein, für alle Trackingmaßnahmen eine informierte Einwilligung des betroffenen Seitenbesuchers einzuholen, denn: Art. 7 DSGVO stellt hohe Anforderungen an das Kriterium der Informiertheit im Rahmen einer wirksamen Einwilligung.

Zudem müsste beachtet werden, dass eine Einwilligung freiwillig erteilt werden muss. Von einer Freiwilligkeit ist dann nicht auszugehen, wenn die Einwilligung gegen das sog. Kopplungsverbot verstoßen würde.

Ferner dürften entsprechende Cookies für Tracking-Maßnahmen nicht automatisch beim Seitenbesuch geladen werden, sondern dürften erst nach Erteilung der Einwilligung des Betroffenen dynamisch nachgeladen werden. Dies würde viele Internetseitenbetreiber zudem vor erhebliche technische Probleme stellen.

Kritik an der Rechtsauffassung der DSK:

Folgende Argumentationspunkte sprechen gegen die Rechtsauffassung der DSK und gegen die Notwendigkeit der Einholung einer Einwilligung für Tracking-Maßnahmen:

  • In Erwägungsgrund 47 zur DSGVO ist niedergelegt, dass das Direktmarketing mit berechtigten Interessen gerechtfertigt werden kann. Wenn aber das Direktmarketing über die berechtigten Interessen gerechtfertigt werden kann, dann muss dies erst recht für Tracking-Maßnahmen als bloße Vorstufe zur Direktwerbung gelten;
  • Der aktuelle Entwurf der EU-Kommission zur E-Privacy-Verordnung sieht gerade eine Privilegierung für die Messung von Websitebesuchern vor (Art. 8 Abs. 1 lit. d E-Privacy-Verordnungsentwurf), eine Einwilligung wird hier gerade nicht zur Voraussetzung gemacht;
  • Auch hatte die Artikel 29-Datenschutzgruppe in der Vergangenheit ein Tracking nach § 15 Abs. 3 TMG nicht als riskant eingestuft und keinerlei Ausführungen in Richtung Einwilligung getätigt (Stellungnahme 04/2012);

Fazit:

Ungünstiger hätte der Zeitpunkt für die DSK-Positionsbestimmung nicht sein können. Kurz vor der Geltung der Datenschutz-Grundverordnung wird die jahrelange Praxis des Trackings in ihren Grundfesten erschüttert, indem die DSK eine Einwilligung für Tracking-Maßnahmen fordert. Hierbei ist zu beachten, dass die Anforderungen an eine wirksame und informierte Einwilligung nach der DSGVO besonders hoch sind und in der Praxis nur schwer zu erfüllen sein dürften.

Allerdings stellt die DSK-Positionsbestimmung nicht mehr und nicht weniger dar, als die rechtliche Auffassung der Exekutive. Diese Rechtsauffassung hat keine faktische Bindungswirkung. Das letzte Wort in dieser Sache ist daher noch nicht gesprochen, sondern wird erst durch die Judikative, also die deutsche und europäische Gerichtsbarkeit, gesprochen werden.

Bis dahin gilt: Wer den sichersten Weg beschreiten möchte, sollte entsprechende Einwilligungen der Seitenbesucher einholen. Wer bereit ist ein gewisses Risiko einzugehen, beruft sich beim Tracking auf die Rechtsgrundlage der berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO.

Wichtig: Wir werden die weitere rechtliche Entwicklung beobachten und gerade unsere Mandanten frühzeitig über entsprechende Maßnahmen informieren.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.

Bildquelle:
© krissikunterbunt - Fotolia.com

Link kopieren

Als PDF exportieren

Drucken

|

Per E-Mail verschicken

Zum Facebook-Account der Kanzlei

Zum Instagram-Account der Kanzlei

4 Kommentare

C
Chris M 17.08.2018, 15:40 Uhr
Man kann auch wegargumentieren, was einem nicht gefällt...
Datenschutz hat vor allem zum Ziel, dass Personen selbst über den Umgang mit ihren persönlichen Daten entscheiden können. Dazu gehört auch, dass eine Person das Recht hat, zu entscheiden, ob jemand Daten erheben soll oder nicht.

Beim Tracking ohne Einwilligung geschieht aber genau das - die Rechte einer Person werden übergangen, mit Füßen getreten. Alle die jetzt jammern, wollen ja nichts anderes, als dass sie sich weiter über die Rechte von Personen hinwegsetzen dürfen - und dass am besten noch unbemerkt...

Das sich viele Geschäftsmodelle, die moralisch schon immer fragwürdig waren, jetzt endlich auch juristisch fragwürdig oder illegal sind, sollte doch Hoffnung machen...

...leider reißen die Versuche Datenschutz wegzuargumentieren, nur um alte Praktiken beibehalten zu können, nicht ab....wie auch in diesem Artikel unter "Kritik":

1. Auch wenn Direktmarketing ein berechtigtes Interesse ist, heißt das ja nicht das Tracking ohne Einwilligung zu diesem Zweck gerechtfertigt ist. Schließlich muss Direktmarketing ja nicht auf Trackingdaten beruhen.

2. Die "Messung von Websitebesuchern" ist laut Artikel 8 nur dem Betreiber des gewünschten Dienstes erlaubt, also explizit nicht Dritt-Anbietern. Außerdem halte ich es für äußerst fragwürdig, ob "Messung von Websitebesuchern" mit Tracking zu Marketingzwecken gleichzusetzen ist. Es verfolgt ja doch immer ein ganz anderes Ziel...
T
Thomas 12.05.2018, 16:49 Uhr
Einwilligung pro einzelnem Tool?
Ich habe gehört, dass man laut der DSK scheinbar JE Trackingtool eine EIGENE explizite Einwilligung benötigt. Stimmt das?

Also dann bspw. bei Nutzung von FB-Pixel und Analytics, beides als einzelne Punkte zum Akzeptieren aufgefürt.
L
Leser 06.05.2018, 12:19 Uhr
Was darf man denn nun eigentlich noch ...
ohne an irgendeinen Abmahnverein abdrücken zu müssen?

Darf man mit den Datenschutzerklärungen der ITR noch Google Analytics und Google Adwords - gefahrlos - nutzen?

Es gibt Nutzer, die klicken bei dem Verarbeitungsverzeichnis einfach alles an, wo man keine Anschrift eines Dritten hinterlegen muss - einfach, weil keiner weiß, welcher Dienst wie was und wo verarbeitet.

Ich denke mal, dass nur wenige Nutzer überhaupt wissen, wann, wer, wie und wo Tracking einsetzt und an wenn da was geschickt und wo, wer, wie, was verarbeitet wird.

Das wird ein teures Vergnügen für den Onlinehandel. Die Abmahnmafia hat schon feuchte Augen und reibt sich die Hände.
M
Marco Quirino 04.05.2018, 21:04 Uhr
Websitebetreiber
Ich zitiere:
......"Ferner dürften entsprechende Cookies für Tracking-Maßnahmen nicht automatisch beim Seitenbesuch geladen werden, sondern dürften erst nach Erteilung der Einwilligung des Betroffenen dynamisch nachgeladen werden. Dies würde viele Internetseitenbetreiber zudem vor erhebliche technische Probleme stellen......."


Nicht nur das- wer um Himmels Willen möchte denn dann noch auf der Website surfen und kaufen, wenn ständig nervende Einwilligungs-Pop-Ups o.ä. dem Besucher um die Ohren gehauen werden, die er dann auch noch bestätigen muss?
Ich hoffe, die Judikative ist gescheit genug diese Forderung zu unterbinden- es ist wirtschaftlich unökonomisch und umsatzbremsend für jeden Shopbetreiber unf verursacht einen großen Programmieraufwand.
Beste Grüsse, M. Quirino-www.bastelweltcreativ.de

weitere News

OVG Niedersachsen: Pauschale Abfrage des Geburtsdatums in Online-Shops unzulässig
(28.03.2024, 12:24 Uhr)
OVG Niedersachsen: Pauschale Abfrage des Geburtsdatums in Online-Shops unzulässig
FAQ: Schadensersatzpflicht von Händlern bei Datenschutzverstößen
(15.03.2024, 08:17 Uhr)
FAQ: Schadensersatzpflicht von Händlern bei Datenschutzverstößen
EuGH: Fehlendes Verarbeitungsverzeichnis führt nicht automatisch zu einer unzulässigen Datenverarbeitung
(16.02.2024, 10:48 Uhr)
EuGH: Fehlendes Verarbeitungsverzeichnis führt nicht automatisch zu einer unzulässigen Datenverarbeitung
Auch weiterhin gilt: Die Weitergabe von E-Mail-Adressen an Paketdienstleister zu Paketankündigungszwecken bedarf einer Einwilligung
(05.01.2024, 13:23 Uhr)
Auch weiterhin gilt: Die Weitergabe von E-Mail-Adressen an Paketdienstleister zu Paketankündigungszwecken bedarf einer Einwilligung
EuGH: Keine Spürbarkeitsschwelle für immateriellen Schadensersatz nach DSGVO
(02.01.2024, 09:42 Uhr)
EuGH: Keine Spürbarkeitsschwelle für immateriellen Schadensersatz nach DSGVO
Hamburger Datenschutzbeauftragter: Gemeinsame Verantwortlichkeit nach DSGVO bei geteilter Kundendatenbank im Unternehmensverbund
(04.12.2023, 08:13 Uhr)
Hamburger Datenschutzbeauftragter: Gemeinsame Verantwortlichkeit nach DSGVO bei geteilter Kundendatenbank im Unternehmensverbund
Kommentar
verfassen
Ihre Meinung zu unserem Beitrag.
* mit Sternchen gekennzeichnete Felder sind Pflichtfelder
speichern

Vielen Dank für Ihren Kommentar

Wir werden diesen nach einer kurzen Prüfung
so schnell wie möglich freigeben.
Ihre IT-Recht Kanzlei
Vielen Dank!

Ihr Kommentar konnte nicht gespeichert werden!

Bitte versuchen Sie es zu einem späteren Zeitpunkt noch einmal.
Ihre IT-Recht Kanzlei
Vielen Dank!

Kontakt:

IT-Recht Kanzlei

Alter Messeplatz 2
80339 München

Tel.: +49 (0)89 / 130 1433 - 0
Fax: +49 (0)89 / 130 1433 - 60

E-Mail: info@it-recht-kanzlei.de

© 2004-2024 · IT-Recht Kanzlei