Online-Tracking: DSK setzt Website-Betreiber kurz vor DSGVO Start unter Druck

17.05.2018

Datenschutz-Grundverordnung

Das bevorstehende Inkrafttreten der DSGVO sorgt für großen Wirbel. Noch immer sind zahlreiche Unternehmen und auch private Website-Betreiber damit beschäftigt, datenschutzrechtliche Anpassungen an ihren Seiten vorzunehmen. Doch selbst für diejenigen, die sich in Sicherheit wiegen konnten, weil sie die Anforderungen der DSGVO mittlerweile erfüllen, kommt es nun dicke.

Vor rund zwei Wochen sorgte die DSK mit der Veröffentlichung eines Positionspapiers für Schlagzielen. Die Aufsichtsbehörden der einzelnen Länder beziehen darin Position zu verschiedenen Datenschutzthemen. Punkt 9 des Papiers hält für Website-Betreiber eine wenig erfreuliche „Überraschung“ bereit:

„Es bedarf jedenfalls einer vorherigen Einwilligung beim Einsatz von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen. Das bedeutet, dass eine informierte Einwilligung i. S. d. DSGVO, in Form einer Erklärung oder sonstigen eindeutig bestätigenden Handlung vor der Datenverarbeitung eingeholt werden muss, d. h. z.B. bevor Cookies platziert werden bzw. auf dem Endgerät des Nutzers gespeicherte Informationen gesammelt werden.“

Was ist Tracking?

Online-Tracking wird heutzutage von fast allen Website-Betreibern eingesetzt. Wer z.B. Google Analytics verwendet, setzt Tracking-Technologien ein. Tools dieser Art gestatten es, das Nutzerverhalten auf der eigenen Website oder sogar über mehrere Websites hinweg zu erfassen und auszuwerten. Vorrangige Zielsetzung ist es, die eigene Website oder Werbekampagnen zu optimieren.

Wer ist die DSK?

Jedes Bundesland hat eine eigene Datenschutzbehörde, die z.B. bei Datenschutzverstößen ermittelt und Bußgelder festsetzen kann. Damit die Datenschutzbehörden eine einheitliche Linie fahren können, organisieren sie sich zusammen als Datenschutzbehörden des Bundes in der Datenschutzkonferenz (DSK). Sie ist ein Gremium, in welchem sich die angehörigen Behörden u.a. auf gemeinsame Linien festlegen und entsprechende Positionspapiere ausarbeiten.

Welche Konsequenzen hat das DSK Papier?

Punkt 9 des Positionspapiers ist als starker Tobak zu bewerten. Bislang konnten Website-Betreiber beim Thema Tracking auf eine Opt-out Lösung setzen. D.h. es genügte, den Nutzer über das stattfindende Tracking zu informieren und ihm die Möglichkeit einzuräumen, es zu deaktivieren.

Die Datenschutzbehörden vertreten nun jedoch die Auffassung, dass die Notwendigkeit besteht, vom Nutzer zuerst ein Einverständnis einzuholen. Dementsprechend muss das Tracking standardmäßig deaktiviert sein, es darf erst nach Zustimmung des Nutzers aktiviert werden. Damit wird von Seitenbetreibern eine Opt-in Lösung gefordert.

Jeder Seitenbetreiber, der im Sinne der Datenschutzbehörden handeln möchte, ist dazu gezwungen, sein Tracking anzupassen (z.B. anonymisiertes Tracking). Im Hinblick auf die Praxis ist dies jedoch leichter gesagt als getan, da sich viele Tracking-Tools derzeit nicht entsprechend konfigurieren lassen. Es wären sehr aufwändige Anpassungen erforderlich oder das Tracking müsste ganz deaktiviert werden.

Gibt es andere Auffassungen zur Interpretation der DSGVO?

Es gibt Rechtsexperten, die die Entscheidung der DSK kritisieren und u.a. die Meinung vertreten, dass die Datenschutzbehörden als ausführende Organe keine Aufgaben des Gesetzgebers übernehmen dürfen. In diesem Fall ist die DSK sehr weit gegangen, sie interpretiert die DSGVO nicht nur, sondern versucht zugleich eine Regelung für Deutschland zu schaffen.

Diese Ansicht ändert zwar nichts am festgelegten Kurs der Datenschutzbehörden, jedoch zeigt sie eine Schwachstelle auf. Im Streitfall befinden sich die Datenschutzbehörden mit ihrer Ansicht nicht zwangsläufig auf der sicheren Seite. Eine Klärung vor Gericht könnte zu einem anderen Ergebnis führen. Fraglich ist allerdings, ob Unternehmen dazu bereit sind, diesen Weg im Ernstfall einzuschlagen. Unter Umständen ist es doch vernünftiger, einzelne Tracking-Tools anzupassen, zu ersetzen oder auf sie zu verzichten.