Gratis
8. Mai 2018 - Einwilligung nötig oder nicht?

Tracking im Web: Datenschutzkonferenz gibt Einschätzung ab

Drucken

Kurz vor dem Stichtag 25. Mai, ab dem die DSGVO anwendbar ist, melden sich die Datenschutz-Aufsichtsbehörden mit einem neuen Positionspapier zu Wort. Darin geht es um die Frage, unter welchen Voraussetzungen Tracking-Maßnahmen und Nutzerprofile im Internet in Zukunft zulässig sein sollen.

Datenschutzkonferenz äußerst sich zu Google Analytics & Co. Die Datenschutzkonferenz äußerst sich zu Google Analytics & Co. (Bild: iStock.com / TCmake_photo)

Die Datenschutzkonferenz (DSK) ist die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder, also ein informeller Kreis der deutschen Datenschutzaufsichtsbehörden.

Seit Juli 2017 veröffentlicht die DSK Auslegungshilfen zur Datenschutz-Grundverordnung (DSGVO). Diese sollen bei der Interpretation der Gesetzesnormen helfen.

Außerdem teilen die Datenschutz-Aufsichtsbehörden damit ihren gemeinsamen Standpunkt in Bezug auf die behandelten Rechtsfragen mit.

Tracking nur mit vorheriger Zustimmung?

Die aktuelle Positionsbestimmung sorgt nun für Schlagzeilen. Denn nach Auffassung der DSK sollen Tracking-Maßnahmen und Nutzerprofile nur noch zulässig sein, wenn der Webseitenbetreiber eine Einwilligung eingeholt hat.

Derzeit ist es gemäß § 15 Abs. 3 Telemediengesetz (TMG) möglich, pseudonymisierte Nutzungsprofile zu erstellen, sofern der Betroffene unterrichtet wird und er die Möglichkeit erhält, zu widersprechen. Es genügt derzeit also, die betroffene Person aufzuklären und ihr eine sogenannte Opt-out-Option anzubieten.

Die DSK vertritt nun die Auffassung, dass nach der DSGVO die Norm des § 15 Abs. 3 TMG keine Anwendung mehr findet. Dies ist juristisch nicht unumstritten.

Für Furore in den Fachmedien und Online-Marketing-Abteilungen sorgt die Einschätzung der Voraussetzungen für ein Tracking unter der DSGVO.

So führt die DSK aus:

„Es bedarf jedenfalls einer vorherigen Einwilligung beim Einsatz von Tracking- Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen. Das bedeutet, dass eine informierte Einwilligung i. S. d. DSGVO, in Form einer Erklärung oder sonstigen eindeutig bestätigenden Handlung vor der Datenverarbeitung eingeholt werden muss, d. h. z. B. bevor Cookies platziert werden bzw. auf dem Endgerät des Nutzers gespeicherte Informationen gesammelt werden.“

Eventuell weitreichende Folgen gerade für Online-Händler

In der Konsequenz würde dies bedeuten, dass Webseiten-Anbieter alle Tracking-Maßnahmen wie z.B. Google Analytics nur noch dann anwenden dürfen, wenn der betroffene Seiten-Besucher hierzu vorher eine Einwilligung erteilt.

Das dürfte für Seitenbetreiber (z.B. Online-Händler) technisch kaum möglich oder zumindest sehr aufwändig sein.

Cookies für Tracking-Maßnahmen dürften nicht automatisch beim Seitenbesuch geladen werden, sondern erst, nachdem die betroffene Person eingewilligt hat. Auch das würde viele Internetseitenbetreiber vor erhebliche technische Probleme stellen.

Und die ePrivacy-Verordnung?

Unternehmen sollten die weitere Entwicklung unbedingt im Blick behalten, vor allem die ePrivacy-Verordnung. Sie sollte ursprünglich zeitgleich mit der DSGVO in Kraft treten und die Themen, die die DSK in ihrem Papier aufgreift, regeln.

Derzeit ist allerdings nicht vor 2019 mit einer Endfassung der ePrivacy-Verordnung zu rechnen.

Stefan Lamprecht