Bußgeldfalle Online-Tracking?

Viele Unternehmen setzen auf ihren Webseiten sog. Tracking-Tools ein, um das Verhalten der Webseitennutzer zu analysieren und gegebenenfalls Werbeaktivitäten anhand der mit den Tracking-Tools erstellten Nutzerprofile durchzuführen. Diese Tracking-Tools verwenden dafür zumeist Cookies, also kleine Dateien, die einen Nutzer einer Webseite identifizieren können, die auf den Rechner des jeweiligen Nutzers abgelegt werden.

Bereits in der Vergangenheit war der Einsatz solcher Cookies und Tracking-Tools Gegenstand vieler Diskussionen, da Deutschland die sog. Cookie- oder E-Privacy-Richtlinie (Richtlinie 2002/58/EG) nach vielerlei Auffassung nicht vollständig richtlinienkonform umgesetzt hat. Webseitenanbieter stellten sich daher z.B. häufig die Frage, ob es in Deutschland bisher notwendig war, eine Einwilligung (Opt-In) der Nutzer einzuholen oder ob es vielmehr ausreichte, eine Information in Form eines sog. Cookie-Banner bei der Nutzung einer Webseite einzublenden, in der der Nutzer auf die Möglichkeit des Widerspruchs gegen das Tracking (Opt-Out) hingewiesen wurde.

Die Ungenauigkeit des deutschen Gesetzgebers führt für viele Unternehmen in Anwendbarkeit der Datenschutzgrundverordnung („DSGVO“) am 25.05.2018 nun zu zusätzlichen Unsicherheiten: Da der europäische Gesetzgeber es nicht geschafft hat, die E-Privacy-Richtlinie rechtzeitig mit Wirkung zum 25.05.2018 durch die E-Privacy-Verordnung abzulösen, bestehen erhebliche Unsicherheiten, ob die bisher für die Nutzung von Tracking-Tools zur Anwendung gekommenen §§ 12, 13 und 15 Telemediengesetz („TMG“) durch die DSGVO verdrängt werden oder nicht. Werden sie verdrängt, ist die Rechtmäßigkeit des Einsatzes von Tracking-Mechanismen allein an den Maßstäben der DSGVO zu messen. Folge kann – muss aber nicht, das ist jeweils eine Frage des Einzelfalls – sein, dass Unternehmen eine ausdrückliche Einwilligung für die Verwendung solcher Cookies benötigen, die nicht erforderlich sind, um den eigentlichen Dienst den Nutzern der Webseite anzubieten.

Die Auffassung, dass eine solche ausdrückliche Einwilligung, die den Maßstäben von Art. 7 DSGVO genügen muss, für das Tracking erforderlich ist, vertreten nun die deutschen Aufsichtsbehörden in einer Positionsbestimmung der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder („DSK“) vom 26.04.2018. Konkret geht die DSK davon aus, dass die bisherigen Vorschriften des TMG von den Vorgaben der DSGVO verdrängt werden. Im Hinblick auf die Rechtmäßig der Verarbeitung personenbezogener Daten im Online-Bereich ist somit Art. 6 Abs. 1 DSGVO maßgeblich. Für den Einsatz von Tracking-Mechanismen, die das Verhalten von Nutzern im Internet nachvollziehbar machen und Nutzerprofile erstellen, kommt nach Ansicht der DSK wiederum nur eine Einwilligung als Rechtsgrundlage in Betracht.

Für Unternehmen bedeutet dies, dass sie den Einsatz von Tracking-Tools auf ihren Webseiten sorgfältig prüfen müssen. Wenn das Tracking nicht anonymisiert erfolgen kann, was typischerweise dann nicht der Fall ist, wenn das Tracking der Planung von Werbemaßnahmen dienen soll, müssen die Unternehmen die konkrete Form des Trackings genau prüfen. Zwar erscheint es grundsätzlich wenig überzeugend, dass wie von der DSK gefordert, jede Form des Trackings pauschal einer Einwilligung bedarf. So ist es durchaus auch denkbar, dass je nach Art und Umfang des Trackings auch andere Erlaubnistatbestände der DSGVO in Betracht kommen. Dennoch ist zu beachten, dass die Aufsichtsbehörden den Einsatz der Tracking-Tools entsprechend ihrer Positionsbestimmung beanstanden und dementsprechend gegebenenfalls Bußgelder verhängen können, wenn keine Einwilligung eingeholt wird. Auch wenn die Frage der richtlinienkonformen Umsetzung der Richtlinie 2002/58/EG in Deutschland alles andere als abschließend geklärt ist, bedeuten die erheblichen Bußgelder, die unter der DSGVO möglich sind, dass die Unternehmen sehr genau abwägen müssen, ob sie einen Disput mit den deutschen Aufsichtsbehörden in Kauf nehmen möchten.

Es bleibt zu hoffen, dass der europäische Gesetzgeber bald die Verhandlungen zur E-Privacy-Verordnung abschließt, damit diese Rechtsunsicherheit beseitigt wird.