Die in der Datenschutzkonferenz (DSK) versammelten Aufsichtsbehörden des Bundes und der Länder haben am 26. April 2018 eine „Positionsbestimmung zur Anwendbarkeit des TMG für nicht öffentliche Stellen ab dem 25. Mai 2018“ veröffentlicht. Das Ergebnis ist ernüchternd. Die DSK verfolgt für Tracking-Maßnahmen im Ergebnis ein Einwilligungskonzept und möchte berechtigte Interessen gemäß Art. 6 Abs. 1 Satz 1 lit. f DS-GVO insoweit nicht gelten lassen.
Die Themen Tracking und Online-Werbung sind mangels Verabschiedung der ePrivacy-VO, die eigentlich parallel zur DS-GVO am 25.05.2018 verbindlich in Kraft treten sollte, in besonderem Maße von rechtlichen Unsicherheiten geprägt. Mangels spezialgesetzlicher und konkreter Regelungen „dürfen“ sich Website-Betreiber und die Werbewirtschaft zunächst an den insoweit vagen Vorgaben der DS-GVO orientieren und müssen die Entscheidung über Einsatz und Rechtmäßigkeit von Tracking-Tools, insbesondere solchen zur Generierung individueller Werbung, an den höchst auslegungsintensiven Tatbeständen der DS-GVO eigenverantwortlich orientieren.
Während bislang die wohl überwiegende Bewertung dahin ging, dass der Einsatz von Tracking-Tools, jedenfalls solchen, die sich im Rahmen des „Erwartbaren“ halten (kritisch wurde insoweit etwa Cross-Device-Tracking bewertet), über eine Interessenabwägung gemäß Art. 6 Abs. 1 Satz 1 lit. f DS-GVO zu rechtfertigen sein sollte, kommt nunmehr denkbar knapp vor Inkrafttreten der DS-GVO Gegenwind aus Richtung der DSK. Dies DSK stellt sich im Ergebnis auf den Standpunkt, dass der Einsatz von Tracking-Technologien bzw. der für Einsatz von Cookies nur einwilligungslos darstellbar sein soll, wenn der Einsatz für die Erbringung eines Online-Dienstes erforderlich sein soll. Das mag für Cookies zur Realisierung einer Warenkorb-Funktion in einem Online-Shop sicherlich der Fall sein, nicht jedoch für Tracking-Cookies bzw. sonstige Tracking-Technologien, mit welchen ein Online-Anbieter regelmäßig sein Angebot optimieren und eine zielgerichtete Werbeansprache realisieren möchte.
Die Verlautbarungen der DSK sind vergleichsweise weitgehend und restriktiv, leider jedoch kaum begründet. Erhebliche Sprengkraft birgt insbesondere Ziff. 7 des DSK-Papiers:
„Es bedarf jedenfalls einer vorherigen Einwilligung beim Einsatz von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen. Das bedeutet, dass eine informierte Einwilligung i. S. d. DSGVO, in Form einer Erklärung oder sonstigen eindeutig bestätigenden Handlung vor der Datenverarbeitung eingeholt werden muss, d. h. z.B. bevor Cookies platziert werden bzw. auf dem Endgerät des
Nutzers gespeicherte Informationen gesammelt werden.“
Wenn man die DSK-Positionierung eng auslegt und ein „echtes“ Opt-in verlangen wollte, wäre ein Tracking im Sinne des bislang Zulässigen (klare Information in der Datenschutzerklärung, eindeutige Widerspruchsmöglichkeit) nicht mehr möglich, vielmehr dürften Cookies erst nach einer Einwilligung überhaupt gesetzt werden. Ein Opt-out wäre also nicht mehr ausreichend. Die Realisierung eines echten „Opt-in“, z.B. via Pop-up oder als vorgeschaltete Einstiegsseite, ist naturgemäß kaum darstellbar und in hohem Maße abschreckend. Dass Website-Betreiber nunmehr aber auf Tracking-Modelle verzichten werden, erscheint gleichwohl unwahrscheinlich, insbesondere da die DSK erheblichen Widerspruch geerntet hat, vor allem und wenig überraschend von Seiten der Werbewirtschaft. Das gut ausgearbeitete und mit fundierter Kritik versehene Papier des Zentralverbandes der Deutschen Werbewirtschaft (WAW) sei zur Lektüre dringend empfohlen.
Ob das Positionspapier der DSK den schon von einigen Seiten prognostizierten Untergang von Tracking und Werbewirtschaft ebnen wird, erscheint zweifelhaft. Dabei ist vor allem zu beachten, dass die DSK nicht verbindlich entscheidet und ein abweichendes Verständnis zum Thema Tracking und Cookie-Einsatz sehr gut vertretbar ist. Einen vollständigen Verzicht dürfte das Papier jedenfalls nicht rechtfertigen, zumal selbst die DSK mit Hinweis auf „eindeutig bestätigende Handlungen“ für Zwecke einer Einwilligung die Hürden offenbar dann doch nicht ganz so hoch halten möchte. Es steht jedenfalls zu vermuten, dass den Web-Nutzern die eher störenden Cookie-Banner, wie diese insbesondere im Ausland anlässlich der Cookie-Richtlinie Verbreitung gefunden haben, auch unter der DS-GVO erhalten bleiben, um formal „eindeutig bestätigende Handlungen“ für den Einsatz von Cookies bzw. Tracking-Technologien zu generieren. Über Sinn und Zweck darf man sicherlich streiten, wobei die ePrivacy-VO – wenn sie denn verabschiedet wird – hier hoffentlich einen sinnvollen Lösungsansatz beschreiben wird. Ob sich diese Hoffnung erfüllen wird, darf mit Blick auf die bisherigen Entwürfe der ePrivacy-VO allerdings eher als fraglich bewertet werden.
