Source: https://www.troeber.de/news/datenschutzrecht/tracking-tools-wie-google-analytics-nur-mit-einwilligung-zulassig/
Timestamp: 2018-07-21 17:14:19
Document Index: 33050614

Matched Legal Cases: ['§ 15', '§ 11', '§ 15', 'Art. 6', 'Art. 6', '§ 15', 'Art. 6']

Tracking-Tools wie Google Analytics nur mit Einwilligung …
07.05.2018 – von Rebecca Sumfleth, Wirtschaftsjuristin (LL.M.) u. RA Jörn Tröber, Fachanwalt für IT-Recht
Das Gesetzgebungsverfahren zur ePrivacy-Verordnung (VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG, kurz: "Verordnung über Privatsphäre und elektronische Kommunikation", besser bekannt als"ePrivacy-Verordnung", Stand Mai 2018) verzögert sich erheblich und wird nicht - wie ursprünglich geplant - gemeinsam mit der EU-Datenschutz-Grundverordnung (DSGVO) in Kraft treten. Damit stellt sich ab dem 25. Mai 2018 die Frage nach der Anwendbarkeit datenschutzrechtlicher Vorschriften des Telemediengesetzes (TMG) neben der DSGVO. Die Antwort auf die Frage hat erheblichen Einfluss auf die Rechtmäßigkeit des Einsatzes von Tracking-Tools wie Google Analytics.
Rechtslage bis zum 25. Mai 2018
Tracking-Tools zur Ermittlung von Nutzerdaten wie Google-Analytics sind beliebt. Mit Ihnen können Angebote der Nutzer aufgrund des analysierten Surf-Verhaltens zurechtgeschnitten werden, um so z. B. das eigene Angebot zu optimieren oder auch passgenaue Angebote auf den Nutzer zuzuschneiden, um dann später an geeigneter Stelle als Angebotsempfehlung zu erscheinen. Dies ist bislang unter engen Voraussetzungen gem. § 15 Abs. 3 TMG auch ohne Einwilligung der Nutzer zulässig. Kernvoraussetzungen sind die Pseudonymisierung der Nutzerdaten, die Information des Nutzers über den Einsatz von Tracking-Tools in der Datenschutzerklärung sowie die Einräumung eines Widerspruchsrechts.
Rechtslage ab dem 25. Mai 2018 (mit Verbindlichwerden der DSGVO)
Die ePrivacy-Verordnung hätte ab dem 25. Mai 2018 die Zulässigkeit der Verarbeitung nutzerbezogener Daten, zum Beispiel beim Einsatz von Tracking-Tools, regeln sollen. Sie wird nicht rechtzeitig fertig sein. Damit entsteht zumindest für eine Übergangszeit eine Regelungslücke. Denn datenschutzrechtliche Vorschriften im Telemediengesetz (TMG) sind dann neben der DSGVO nicht mehr anwendbar. Es gilt ausschließlich die DSGVO. Damit stellt sich die Frage, ob der Einsatz vonTracking-Tools wie Google Analytics ohne Einwilligung des Nutzers auf eine Rechtsgrundlage der DSGVO gestützt werden kann oder nicht.
Position der DSK: Tracking-Tools sind nur mit Einwilligung zulässig
Zu dieser Thematik hat sich die Datenschutzkonferenz (DSK) in einer Positionsbestimmung am 26. April 2018 geäußert und kommt darin zu dem Ergebnis, dass die betreffenden §§ 11 ff. TMG durch die DSGVO verdrängt werden und ab dem 25. Mai 2018 nicht mehr anwendbar sind. Diese Ansicht wird in der Literatur überwiegend geteilt.
Geht man von der Verdrängung der datenschutzrechtlichen Vorschriften im TMG aus, hat dies insofern Einfluss auf die Rechtmäßigkeit der Reichweitenmessung und den Einsatz von Tracking-Mechanismen (z. B. Google Analytics), weil die Verarbeitung personenbezogener Daten in diesem Zusammenhang nur noch auf eine Rechtsgrundlage in der DSGVO und nicht mehr auf § 15 Abs. 3 TMG gestützt werden kann.
Als Rechtsgrundlage in der DSGVO kommt insbesondere Art. 6 Abs. 1 S. 1 Buchst. a) (Einwilligung) sowie Art. 6 Abs. 1 S.1 Buchst. f) (berechtigte Interessen) in Betracht.
Nach Ansicht der DSK jedenfalls bedarf es jedenfalls einer Einwilligung beim Einsatz von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen:
Positionsbestimmung der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder – Düsseldorf, 26. April 2018, Rn. 9:
Rn. 9: "Es bedarf jedenfalls einer vorherigen Einwilligung beim Einsatz von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen. Das bedeutet,
dass eine informierte Einwilligung i. S. d. DSGVO, in Form einer Erklärung oder sonstigen eindeutig bestätigenden Handlung vor der Datenverarbeitung eingeholt werden muss, d. h. z.B. bevor Cookies platziert werden bzw. auf dem Endgerät des Nutzers gespeicherte Informationen gesammelt werden."
Damit scheint nach Ansicht der DSK das Tracking von Nutzern nur noch durch eine Einwilligung legitimiert werden zu können, auch wenn es in pseudonymisierter Form erfolgt. Nach bisheriger Rechtslage war ein solches Tracking nach § 15 Abs. 3 TMG nach dem Opt-Out-Prinzip (Widerspruchsrecht) möglich.
Kurz vor „Toresschluss“ äußert sich die DSK in ihrer Positionsbestimmung damit zu einer Frage von erheblicher praktischer Bedeutung für Unternehmen, die Tracking-Tools wie Google-Analytics einsetzen.
Gegensansicht: Tracking ist auch ohne ausdrückliche Einwilligung zulässig
In der Literatur bestehen – unserer Ansicht nach berechtigt - Bedenken an der Auslegung der DSGVO durch die DSK. Das Tracking ließe sich nämlich ebenso gut auf Art. 6 Abs. 1 S. 1 Buchst. f) DSGVO stützen, weil man – jedenfalls bei Pseudonymisierung – mit guten Gründen die Ansicht vertreten kann, dass dem berechtigten Interesse des verarbeitenden Verantwortlichen keine überwiegenden Rechte und Interessen des betroffenen Nutzers entgegenstehen. Denn zum einen verhindert eine Pseudonymisierung einen unmittelbaren Rückschluss auf die Person, die das entsprechende Endgerät (PC, Tablet, Smartphone) nutzt. Zum anderen wird vielfach ausgeblendet, dass Tracking-Tools auch für den Nutzer von Vorteil sein können, weil diesem das Auffinden passender Inhalte nicht selten erleichtert wird. Datenschutzrechtliche Vorschriften sollten nicht zur Blockade der Vorteile im eCommerce führen. Mit der Pseudonymisierung der Nutzerdaten und dem Widerspruchsrecht dürften Internetnutzer hinreichend geschützt sein. Ein weiteres Anklick-Häkchen zur Einwilligung in die Nutzung von Tracking-Tools erscheint übertriebener Formalismus zulasten des eCommerce.
Die unterschiedlichen Rechtsansichten führen zwangsläufig zu einer Rechtsunsicherheit. Unternehmen sollten bedenken, dass beim Einsatz von Tracking-Tools wie Google Analytics ohne Einwilligung des Nutzers ein Restrisiko für eine Abmahnung besteht. Soll dieses Restrisiko vermieden werden, werden Unternehmen nicht umhinkommen, die Nutzung von Tracking-Tools von einer "informierten" Einwilligung der Webseitenbesucher abhängig zu machen. Das bedeutet, dass die Nutzer zu Beginn des Webseitenbesuchs zu einer Einwilligung aufgefordert werden müssen. Zugleich müssen sie auch in der Datenschutzerklärung über den Zweck des Trackings informiert und auf die Möglichkeit des jederzeitigen Widerrufs der Einwilligung hingewiesen werden. Komfortabel ist diese Lösung sicherlich nicht. Für andere mag auch der vorläufige Verzicht auf Tracking-Tools bis zur Klärung durch den Verordnungsgeber oder die Rechtssprechung eine Option sein. So oder so bleibt zu hoffen, dass die ePrivacy-Verordnung bald Klarheit schafft.
Die neue … Facebook verstößt gegen …