Drittinhalte und Tracking auf Webseiten
Auch in diesem Jahr hat die Aufsichtsbehörde die Nachverfolgung von individuellem Verhalten im Internet „auf Trab gehalten“. Neben den bereits laufenden Verfahren im Kontext des Trackings hat sie sich mit neuer Rechtsprechung, neuen Gestaltungsmerkmalen von Einwilligungs-Bannern, weiteren Detailproblemen und dem nächsten Versuch einer europäischen ePrivacy-Verordnung beschäftigt. Auch wenn sie zunehmend kooperativen Verantwortlichen begegnen, bleibt die Thematik eine Gemengelage, deren Überprüfung viel Zeit in Anspruch nimmt.
Seit vielen Jahren stellt es ein wachsendes Problem für die Privatsphäre dar, wenn auf Webseiten Dienste von Drittanbietern sowie Cookies oder ähnliche Tracking-Techniken eingebunden werden, mittels derer personenbezogene Daten von Webseitengästen verarbeitet werden. Insbesondere der Einsatz von Mechanismen, mit denen Webseitengäste und ihre Vorlieben über das einzelne Webangebot hinaus wiedererkannt werden können, führt in der Praxis zur Bildung umfangreicher Verhaltensprofile.
Dauerbaustelle Tracking
Mit mehreren Veröffentlichungen hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) bereits einige Themen rund ums Tracking aufgegriffen und Verantwortliche über die rechtlichen Rahmenbedingungen informiert. Bedingt durch die Vielschichtigkeit der Thematik und infolge neuer Rechtsprechung zu einzelnen Aspekten sind die Anforderungen jedoch laufend zu evaluieren. Nach wie vor ist es z. B. nicht gelungen, die EU-Richtlinie für den Schutz der Privatsphäre in der elektronischen Kommunikation (besser bekannt als ePrivacy-Richtlinie) durch eine europäische Verordnung abzulösen, die im Gegensatz zu einer Richtlinie in jedem EU-Mitgliedstaat unmittelbar gelten würde, ohne dass eine Umsetzung ins nationale Recht erforderlich wäre.
Im Raum steht neben den Vorgaben der Datenschutz-Grundverordnung (DSGVO) daher auch immer noch die bei einer europäischen Richtlinie erforderliche nationale Umsetzung der ePrivacy-Richtlinie. In Deutschland stellt sich in diesem Zusammenhang insbesondere nach wie vor die Frage, ob diese tatsächlich ordnungsgemäß im Telemediengesetz (TMG) erfolgt ist. Nach einer Vorlageentscheidung des Europäischen Gerichtshofs (EuGH) im Verfahren „Planet49“ hat sich nunmehr der Bundesgerichtshof (BGH) zumindest zu einem Absatz eines Paragrafen des TMG geäußert. Gegenstand des Verfahrens war ein Streit, in dem das beklagte Unternehmen personenbezogene Daten über das Nutzungsverhalten von Verbraucher*innen mittels Cookies zu pseudonymisierten Nutzungsprofilen verarbeitete und diese für personalisierte Werbung nutzte. Anders als dies zuvor von der DSK bewertet wurde, geht der BGH in seiner Entscheidung davon aus, dass sich § 15 Abs. 3 Satz 1 TMG europarechtskonform auslegen lässt.
Nach dem Wortlaut des § 15 Abs. 3 Satz 1 TMG wäre die Datenverarbeitung dann zulässig, wenn die betroffenen Personen entsprechend informiert wurden und nicht widersprochen haben (sog. Widerspruchslösung). Der BGH nimmt nun an, dass schon in dem Fehlen einer wirksamen Einwilligung ein solcher Widerspruch gesehen werden könne und deshalb eine aktive Einwilligung erforderlich sei. Unter Zugrundelegung dieser Auslegung wendet er die TMG-Vorschrift neben der DSGVO an. Diese europarechtskonforme Auslegung des TMG ist allerdings rechtsdogmatisch nur schwer nachzuvollziehen.
Allein die Tatsache, dass die nationalen Datenschutzaufsichtsbehörden und das deutsche Zivilgericht der höchsten Instanz bei einer sehr praxisrelevanten Rechtsfrage zwar im Ergebnis darin übereinstimmen, dass eine Verarbeitung, wie sie den Gerichten zur Entscheidung vorlag, einwilligungsbedürftig ist, jedoch bei der Herleitung dieses Ergebnisses voneinander abweichende Auffassungen vertreten, verdeutlicht das Ausmaß der bestehenden Rechtsunklarheit.
Kurz nach der Entscheidung wurde zudem der Referentenentwurf für ein „Gesetz über den Datenschutz und den Schutz der Privatsphäre in der elektronischen Kommunikation und bei Telemedien sowie zur Änderung des Telekommunikationsgesetzes, des Telemediengesetzes und weiterer Gesetze“ (TTDSG) bekannt. Das geplante Gesetz soll in erster Linie der Umsetzung der „EU-Richtlinie über den europäischen Kodex für die elektronische Kommunikation“ dienen – hierdurch werden gleichermaßen aber auch die Regelungen des TMG neu gefasst. Da der bisherige Entwurf ebenfalls hinter einer europarechtskonformen Umsetzung der ePrivacy-Richtlinie sowie den Anforderungen einer Anpassung an die DSGVO zurückbleibt, hat die DSK im November einen deutlichen Appell an den Gesetzgeber veröffentlicht, die ePrivacy-Richtlinie endlich vollständig und im Einklang mit der DSGVO umzusetzen.
Quelle: BInBDI
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks