Am 14.11.2019 haben die Aufsichtsbehörden von Berlin, Brandenburg, Hamburg, Hessen, Niedersachsen, NRW, Rheinland-Pfalz, Saarland, Sachsen, Schleswig-Holstein, Thüringen, Bayern und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit inhaltlich übereinstimmende Pressemitteilungen verfasst, wonach Websitebetreiber für eingebundene Dritt-Dienste eine Einwilligung der Nutzer einholen müssen.
Was ist der Hintergrund?
Bereits am 01.10.2019 hat der EuGH in einem Vorabentscheidungsverfahren entschieden, dass ein Websitebetreiber für die Speicherung von Informationen oder der Zugriff auf Informationen die Einwilligung des Nutzers benötigt.
Unmittelbare Auswirkungen hatte und hat das Urteil des EuGH zunächst nur für die Prozessbeteiligten. Es war aber seitdem zu erwarten, dass die nationalen Aufsichtsbehörden dieses Urteil zum Anlass nehmen, die eigene Prüfungspraxis daran auszurichten. Dies ist jetzt geschehen.
Wie haben sich die Aufsichtsbehörden positioniert?
Die Aufsichtsbehörden teilen mit, dass in Websites eingebunden Dritt-Dienste, nur dann rechtlich zulässig auch für eigene Zwecke betrieben werden können, wenn eine Einwilligung der Nutzer eingeholt wird. Zu solchen Diensten gehört beispielsweise Google Analytics.
Websitebetreiber sollen ihre Website daher auf Dritt-Inhalte und Tracking-Mechanismen überprüfen. Der Tenor der Aufsichtsbehörden ist so deutlich wie drastisch:
Wer Funktionen nutzt, die eine Einwilligung erfordern, muss entweder die Einwilligung einholen oder die Funktion entfernen. Die Einwilligung ist nur wirksam, wenn die Nutzer eindeutig und informiert zustimmen.
Die Aufsichtsbehörden gehen noch weiter: Viele Websitebetreiber teilen durch häufig eingesetzten „Cookie-Banner“ mit, dass reines Weitersurfen auf der Website eine Einwilligung durch schlüssiges Verhalten bedeuten soll. „Cookie-Banner“ dieser Art sind nach Auffassung der Aufsichtsbehörden datenschutzrechtlich unzulässig! Unzulässig sind schließlich auch voraktivierte Kästchen bei Einwilligungserklärungen. Letztere waren unter anderem Gegenstand der Entscheidung der EuGH vom 01.10.2019.
Wozu haben sich die Aufsichtsbehörden nicht positioniert?
Aus Sicht der Websitebetreiber misslich, haben sich die Aufsichtsbehörden zum Thema Einwilligungsbedürftigkeit von technisch notwendigen Cookies leider nicht positioniert. Nach dem Wortlaut der Entscheidung der EuGH vom 01.10.2019 sind auch technisch notwendige Cookies einwilligungsbedürftig.
Nach der Orientierungshilfe für Anbieter von Telemedien von der Konferenz der unabhängigen Datenschutzaufsichtsbehörden aus März 2019 ist die Nutzung von Cookies hingegen nicht per se einwilligungsbedürftig (S. 9 der Orientierungshilfe). Eine Positionierung der Aufsichtsbehörden zum Thema technisch notwendigen Cookies wäre daher wünschenswert und auch notwendig.
Bieten die Behörden auch Lösungen an?
Mit der Orientierungshilfe für Anbieter von Telemedien von der Konferenz der unabhängigen Datenschutzaufsichtsbehörden aus März 2019 (Download) können sich Websitebetreiber informieren, unter welchen Bedingungen ein Tracking von Website-Besucherinnen und -Besuchern zulässig ist.
Die Aufsichtsbehörden betonen jedoch ausdrücklich, dass ältere Veröffentlichungen der Aufsichtsbehörden, beispielsweise zum Thema Google Analytics, nicht mehr gelten, da sich die Rechtslage und die Verarbeitungsprozesse stark verändert haben.
Quelle:
https://www.bfdi.bund.de/DE/Infothek/Pressemitteilungen/2019/26_WebtrackingEinwilligung.html
GoldbergUllrich Rechtsanwälte 2019
Julius Oberste-Dommes LL.M. (Informationsrecht)
Rechtsanwalt und Fachanwalt für Informationstechnologierecht
