Die DS-GVO als Niedergang der Tracking-Mechanismen?
Am 25. Mai 2018 beginnt eine neue Ära für das Datenschutzrecht. Ab diesem Tag gilt die europäische Datenschutzgrundverordnung (DS-GVO). Grundsätzlich regelt die DS-GVO die Verarbeitung personenbezogener Daten und begründet als Verordnung im Sinne des Art. 288 Abs. 2 AEUV unmittelbar eine Fülle an neuen Rechten und Pflichten für die datenverarbeitenden Stellen in Europa. Ziel der Verordnung ist es, ein einheitliches Datenschutzniveau in den europäischen Mitgliedsstaaten zu etablieren und das Recht der informationellen Selbstbestimmung zu stärken. Angesichts der massiven Änderungen, werden die Beteiligten allerdings vor enorme Herausforderungen gestellt.
Die Verarbeitung personenbezogener Daten nach Art. 4 Nr. 1, 2 DS-GVO umfasst unter anderem das sogenannte „Online-Tracking“. Im Fachjargon versteht man unter dem Begriff das Verfolgen von Nutzerspuren im Internet. Indem man die websiteübergreifenden Verhaltensmuster von Internetnutzern analysiert, protokolliert und auswertet, haben Tracking-Dienste, wie beispielsweise Google Analytics, die Möglichkeit detaillierte Persönlichkeitsprofile der betroffenen Personen zu entwickeln und gewinnbringend zu kommerzialisieren. Die aufbereiteten Daten können sodann von Betreibern sozialer Netzwerke oder sonstigen Internetapplikationen zu Werbe- oder Informationszwecken verwendet werden.
Bisher unterfiel das Tracking dem deutschen Telemediengesetz (TMG). Sofern die Daten in pseudonymisierter Form verarbeitet wurden und der Betroffene nicht aktiv widersprochen hatte, waren Tracking-Anbieter demnach ermächtigt zu Zwecken der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Verhaltensmuster und Nutzerprofile zu erstellen. Mithin konnte das Nutzerverhalten im Sinne des „Opt-out“-Prinzips ohne ausdrückliche Einwilligung des Betroffenen verfolgt und aufgezeichnet werden.
Ab dem 25. Mai 2018 gelten nunmehr aber die strengeren Vorschriften der DS-GVO. Die datenschutzrechtlichen Bestimmungen des bisherigen TMG treten dahingegen hinter die europäischen Vorgaben zurück und werden jedenfalls im Hinblick auf das „Online-Tracking“ redundant. Nach Art. 6 Abs. 1 S. 1 lit. a DS-GVO setzt die Verarbeitung personenbezogener Daten insbesondere eine ausdrückliche und informierte Einwilligung des Betroffenen voraus. Demnach bedarf es für die Zulässigkeit von „Online-Tracking“ nunmehr im Sinne des „Opt-in“-Prinzips einer zustimmenden „Erklärung oder einer sonstigen eindeutig bestätigenden Handlung“ (vgl.: Positionsbestimmung der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz) vom 26. April 2018 zur Anwendbarkeit des TMG für nicht-öffentliche Stellen ab dem 25. Mai 2018, S. 3) des Betroffenen. Abgesehen von der notwendigen Einwilligung, ist die freie Verarbeitung von personenbezogenen Daten mittels Tracking-Mechanismen nach dem Positionspapier der Datenschutzkonferenz (DSK) fortan nur zulässig, sofern die Verarbeitung zur Bereitstellung der vom Betroffenen angefragten Online-Dienstleistung unbedingt erforderlich ist. Für eine über das erforderliche Maß hinausgehende Datenverarbeitung bedarf es zukünftig einer einzelfallbezogenen Interessenabwägung im Sinne des Art. 6 Abs. 1 S. 1 lit. f DS-GVO.
Wann erforderlichenfalls ein berechtigtes Interesse der verarbeitenden Stelle vorliegt, ist allerdings umstritten. Im Widerspruch zur Stellungnahme der DSK ist die Gesellschaft für Datenschutz und Datensicherheit (GDD) der Auffassung, dass die Verarbeitung personenbezogener Daten zu Werbe- oder Marketingzwecken ein berechtigtes Interesse für das verantwortliche Unternehmen darstellt. Gestützt auf Erwägungsgrund 47 müssen demzufolge auch Tracking-Mechanismen, die im Vergleich zur Direktwerbung einen nicht so schwerwiegender Eingriff in das Recht informationeller Selbstbestimmung darstellen, ungeachtet einer erforderlichen Einwilligung grundsätzlich zulässig sein.
Welche Ansicht sich schlussendlich durchsetzt und von den Aufsichtsbehörden übernommen wird, bleibt indes abzuwarten. Folgt man allerdings der Position der DSK, sei erwähnt, dass die DS-GVO das faktische Ende aller Tracking-Mechanismen im Online-Bereich darstellen würde. In der Praxis wird es nämlich nahezu unmöglich sein, eine ausreichende Einwilligung vom Betroffenen einzuholen. Das Positionspapier, mitunter die geäußerte Ansicht der DSK, ist allerdings in keiner Weise rechtsverbindlich. Mithin liegt es fortan in den Händen der Gerichte, eine geeignete Lösung dieser Problematik zu finden und ein zufriedenstellendes Ergebnis zu entwickeln.
Weiterführende Quellen:
- Kleinz, „Europa lädt das Update hoch“ vom 08.05.2018, abrufbar unter: https://www.zeit.de/digital/datenschutz/2018-05/dsgvo-datenschutz-eu-aenderungen, zuletzt abgerufen am 09.05.2018.
- Moorstedt, „Das Geschäft mit den Webseiten-Besucher“ vom 15.10.2012, abrufbar unter: http://www.sueddeutsche.de/digital/online-tracking-das-geschaeft-mit-dem-webseiten-besucher-1.1496095, zuletzt abgerufen am 09.05.2018.
- Krempl, „DSGVO und Telemedien: Cookies und Tracking nur noch mit expliziter Einwilligung?“ vom 09.05.2018, abrufbar unter: https://www.heise.de/newsticker/meldung/DSGVO-und-Telemedien-Cookies-und-Tracking-nur-noch-mit-expliziter-Einwilligung-4045908.html, zuletzt abgerufen am 09.05.2018.
- Kaiser, „Zulässigkeit des Tracking nach der Datenschutz-Grundverordnung – Die GDD bezieht Stellung zur Position der Datenschutzkonferenz“, abrufbar unter: https://www.projekt29.de/zulaessigkeit-des-tracking-nach-der-datenschutz-grundverordnung-die-gdd-bezieht-stellung-zur-position-der-datenschutzkonferenz-2/, zuletzt abgerufen am 09.05.2018.
- „Positionsbestimmung der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder zur Anwendbarkeit des TMG für nicht-öffentliche Stellen ab dem 25. Mai 2018“, abrufbar unter: https://www.ldi.nrw.de/mainmenu_Datenschutz/submenu_Technik/Inhalt/TechnikundOrganisation/Inhalt/Zur-Anwendbarkeit-des-TMG-fuer-nicht-oeffentliche-Stellen-ab-dem-25_-Mai-2018/Positionsbestimmung-TMG.pdf, zuletzt abgerufen am 09.05.2018.
- „Zulässigkeit des Tracking nach der DS-GVO“ vom 08.05.2018, abrufbar unter: https://www.gdd.de/aktuelles/startseite/zulaessigkeit-des-tracking-nach-der-ds-gvo, zuletzt abgerufen am 09.05.2018.
- Bahr, „DSK zur DSGVO: Tracking-Mechanismen und Nutzerprofile nur noch mit Einwilligung, Pseudonyme nach § 15 TMG nicht mehr anwendbar“, abrufbar unter: https://www.dr-bahr.com/news/dsk-zur-dsgvo-tracking-mechanismen-und-nutzerprofile-nur-noch-mit-einwilligung-pseudonyme-nach-1.html, zuletzt abgerufen am 09.05.2018.