Source: http://www.rechtzweinull.de/archives/2553-ist-tracking-nach-25-mai-2018-nur-noch-mit-einwilligung-bewertung-der-stellungnahme-der-datenschutzbehoerden-zu-tracking-targeting-co.html
Timestamp: 2020-06-07 00:02:45
Document Index: 36119047

Matched Legal Cases: ['Art.29', 'EuG', 'Art. 6', 'Art. 83', 'Art.5', 'EuG']

Ist Tracking nach 25.Mai 2018 nur noch mit Einwilligung erlaubt ?! Bewertung der Stellungnahme der Datenschutzbehörden zu Tracking, Targeting & Co unter der DSGVO - Internet, Social Media & Recht
So wird dort unter anderem Folgendes mitteilt:
Und am gravierendsten:
Mit der letzten Feststellung lässt die Datenschutzkonferenz knapp einen Monat vor Wirksamwerden der DSGVO eine „Bombe platzen“, die für fast jeden Webseitenbetreiber erhebliche Auswirkungen hätte und folgende Fragen aufwerfen:
Müssen Webseitenbetreiber zum 25.Mai 2018 jetzt alle Trackingmaßnahmen abschalten, um Bußgelder zu vermeiden ?
Was fällt eigentlich alles unter Tracking ? Ist die übliche Webanalyse der Besucher auch Tracking ?
Wie soll/muss eine wirksame Einwilligung eingeholt werden ?
Welche Rechtsfolgen drohen ?
Zur Einordnung dieser Stellungnahme muss man sagen, dass es sich derzeit „nur“ um das Verständnis der deutschen Datenschutzbehörden handelt. Es spricht aus meiner Sicht einiges dafür, dass die Aussage zum Tracking in dieser Pauschalität nicht richtig ist. Insofern halte ich es für überwiegend wahrscheinlich, dass zukünftige Stellungnahmen der die EU beratenden Art.29 Datenschutzgruppe bzw. auch zukünftige Gerichtsurteile (z.B. des EuGH) diesbezüglich zu einem anderen Ergebnis kommen werden.
Bis zu entsprechenden Korrekturen birgt die Stellungnahme aber ein nicht unerhebliches Konflikt- und Risikopotenzial für alle Webseitenbetreiber die Tracking (z.B. Webanalyse) oder Targeting (z.B. Retargeting oder Online Behavioural Advertising) einsetzen.
Entgegen einiger wilder Spekulationen in zahlreichen Internetforen reicht es für die Annahme eines Personenbezuges grundsätzlich schon aus, wenn die Person durch die jeweiligen Daten bestimmbar ist, weil die Information in Verbindung mit anderen Informationen eine Unterscheidung bzw. Identifizierbarkeit ermöglicht. Die Identifizierung einer Person setzt damit nicht die Kenntnis eines Namens voraus. So genügt es vielmehr schon, wenn eine Onlinekennung (z.B. eine Cookie-ID) einen Webseitenbesucher als „unique user“ identifizieren kann, der bestimmte Seiten angeschaut hat, ohne dass auch nur irgendeine tatsächlich Identifikation des Namens möglich ist. Der Anwendungsbereich ist also bewusst weit gewählt, weshalb ich meinen Mandanten zwischenzeitlich davon abrate, durch zweifelhafte Konstruktionen den Personenbezug vermeiden zu wollen.
bei Tracking und Targetingmaßnahmen Kriterien sind, die im Zusammenwirken eher dafür sprechen, dass diese Datenverarbeitung über berechtigte Interessen legitimiert werden kann, dürften Verarbeitungsvorgänge
nicht mehr über berechtigte Interessen im Sinne des Art. 6 Abs.1 lit.f DSGVO legitimiert werden können. Wer entsprechende Maßnahmen einsetzen will, die der Nutzer vernünftigerweise nicht erwarten muss, sollte sich tatsächlich vorher eine Einwilligung (Opt-In) von den Betroffenen einholen.
Betreiber von Webseiten sollten sämtliche verwendeten Tracking und Targetingwerkzeuge nach den oben stehenden Maßstäben (neu) bewerten.
Webseitenbetreiber sollten sich auf der Grundlage einer Risikoabwägung entscheiden, welche Werkzeuge eingesetzt werden sollen und welche nicht. Während das Risiko bei einigen Werkzeugen (z.B. pseudonyme Webanalyse) eher überschaubar ist, verbleibt bei einigen anderen ein größere Rechtsunsicherheit.
Ein mögliches Risiko ist die Verhängung von Bußgeldern durch die Datenschutzbehörde. Entgegen der weit verbreiteten Befürchtung, dass es für Webseitenbetreiber nun haufenweise Millionenbußgelder geben könnte, sei darauf hingewiesen, dass Bußgelder zwar abschreckend wirken sollen, nach Art. 83 DSGVO aber auch im Verhältnis zur Schwere des Verstoßes und den weiteren Umständen stehen müssen. Danach wird sich jeweilige Bußgeld wohl auch von der Größe eines Unternehmens orientieren.
Auch kommt es darauf an, ob der Verstoß vorsätzlich oder fahrlässig begangen worden ist. Dabei wird es wohl auch eine Rolle spiele (müssen), ob ein Verstoß eindeutig oder (wie oben ausgeführt) durchaus diskutiert werden kann.
Wer sich also hier vorbereitet und mit vertretbarer Argumentation zur Zulässigkeit eines Targeting- oder Trackingmechanismus kommt, der braucht auch keine unverhältnismäßigen Bußgelder zu fürchten.
Als weiteres potentielles Risiko werden häufig Abmahnungen genannt. Tatsächlich werten einige Gerichte Datenschutzverstöße (auch) als Wettbewerbsverstöße, mit der Folge dass die eigenen Wettbewerber gegen das Unternehmen vorgehen könnten, das eine Webseite betreibt. Da die meisten Unternehmen zwischenzeitlich entsprechende Tracking- und Targetingmaßnahmen einsetzen, erscheint das Risiko (außer systematischen Massenabmahnern) eher unwahrscheinlich. Zudem „riskiert“ der Abmahner eine gerichtliche Klärung, die aufgrund der oben stehender Argumentation bei sachkundigem Vortrag bei Gericht, auch gegen Abmahner ausgehen kann. Spannend wird auch die Frage, welche Datenschutzverstöße tatsächlich auch aus wettbewerbsrechtlicher Sicht spürbar sind. Ansonsten scheitern nämlich die wettbewerbsrechtlichen Ansprüche.
Bis dahin bleibt es eine Frage der konkreten Argumentation und einer Risikoabwägung, welche Werkzeuge eingesetzt werden. Ob man also nur die einsetzt, die relativ eindeutig zulässig sind oder ob man auch andere Tracking- und Targetingmaßnahmen einsetzt. Im letzteren Fall sollte man die der eigenen Argumentation zugrundeliegende Interessenabwägung, die zur Zulässigkeit über berechtigte Interessen führt, der Rechenschaftspflicht des Art.5 Abs.2 DSGVO entsprechend schriftlich dokumentieren.
Wie sieht es mit AdSense aus…hier herrscht derzeit ein großes Durcheinander und keiner versteht, wie man nach dem 25. Mai seine Webseite noch monetarisieren kann.
Für manche sind die Einnahmen aus AdSense der Lebensunterhalt
Google Analytics, Google AdSense, Google Funding Choices - Ist alles DS-GVO gerecht? - Selbstständig im Netz sagt:
16. Mai 2018 um 07:10
[…] Mehr Informationen dazu gibt es z.B. auf rechtzweinull.de. […]
Datenschutzbehörden nehmen Stellung zum Fanpage Urteil des EuGH und erweitern Anforderungen an Facebookseiten ganz erheblich - Internet, Social Media & Recht sagt:
7. Juni 2018 um 07:43
[…] nicht auch eine Legitimation über berechtigte Interessen ausreicht (siehe hierzu ausführlich der Beitrag “Ist Tracking und Targeting nach dem 25.05.2018 nur noch mit Einwilligung erlaubt ?&#8…). Wenn die hier geäüßerte, aber eben umsrittene Rechtsauffassung der Datenschutzkonferenz […]
DSGVO - Leitfaden zur Umsetzung für Blogger, Vereine und Freiberufler | Zeilenabstand.net - Blog für Kultur, Reisen und Digitales sagt:
5. Oktober 2018 um 09:09
[…] Dr. Martin Schirmbacher RA Dr. Carsten Ulbricht RA Stephan Hansen-Oest RA Jan Lennart […]
Opt-In oder Opt-Out ? Datenschutzbehörden veröffentlichen wichtigen Leitfaden zum Einsatz von Cookies und Drittanbieterwerkzeugen auf Webseiten - Internet, Social Media & Recht sagt:
[…] jedoch hatte die frühere Stellungnahme der Datenschutzkonferenz vom 26.04.2018 kurz vor dem Wirksamwerden der DSGVO ein Erdbeben ausgelöst. In dieser Mitteilung hatte die DSK […]