Internet-Law

Onlinerecht und Bürgerrechte 2.0

16.4.19

Die Datenschutzkonferenz zum Tracking

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat eine Orientierungshilfe für Anbieter von Telemedien veröffentlicht, die sich primär mit der Zulässigkeit des sog. Tracking befasst.

Das Papier erläutert zunächst, dass die datenschutzrechtlichen Vorschriften des TMG keine Anwendung mehr finden und auch die ePrivacy-Richtlinie die Dienstanbieter nicht unmittelbar verpflichtet, weshalb mit Blick auf die Datenverarbeitung von Diensteanbietern allein auf die Regelungen der Datenschutz-Grundverordnung (DSGVO) abzustellen ist.

Die DSK stellt das „Tracking“ in den Mittelpunkt ihrer Betrachtung, worunter sie die Datenverarbeitungen zu einer in der Regel websiteübergreifenden Nachverfolgung des individuellen Nutzerverhaltens versteht.

Die DSK stellt dar, dass die Datenverarbeitung in Fällen des Tracking aufgrund von drei Erlaubnistatbestände in Betracht kommt. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), Vertrag (Art. 6 Abs. 1 lit. b) und Interessenabwägung (Art. 6 Abs. 1 lit. f).

Zum Thema Einwilligung wird erläutert, dass durch eine vorgeschaltete Abfrage beim ersten Aufruf einer Website oder einer App eine wirksame Einwilligung für einwilligungsbedürftige Datenverarbeitungen eingeholt werden kann, wobei betont wird, dass Cookies nicht per se einer Einwilligung bedürfen. Die Einwilligung erfordert in jedem Fall ein Opt-In.

Interessant sind aus meiner Sicht die Erläuterungen der Behörden zu Art. 6 Abs. 1 lit. f) DSGVO. Ganz allgemein wird dazu ausgeführt:

Ob die Voraussetzungen des Art. 6 Abs. 1 lit. f) DSGVO erfüllt sind, ist anhand einer dreistufigen Prüfung zu ermitteln:

1.Stufe: Vorliegen eines berechtigten Interesses des Verantwortlichen oder eines Dritten

2.Stufe: Erforderlichkeit der Datenverarbeitung zur Wahrung dieser Interessen

3.Stufe: Abwägung mit den Interessen, Grundrechten und Grundfreiheiten der betroffenen Person im konkreten Einzelfall.

Hier stellt sich mir die Frage, wie diese Vorgaben beim Einsatz automatisierter Tracking-Tools, die ja jeden Besucher der Website in gleicher Weise tracken, umgesetzt werden können, wenn doch eine Interessenabwägung im konkreten Einzelfall erfolgen muss. Die Software kann nicht abwägen. Insbesondere die 3. Stufe kann also beim Einsatz von Tracking-Tools jedenfalls nicht für den konkreten Einzelfall umgesetzt werden. An dieser Stelle sind wir bei einem generellen Problem des Datenschutzes bei Internetsachverhalten angelangt. Bei Massenphänomenen wie dem Tracking, ist eine Abwägung mit den Interessen der konkret betroffenen Person im Einzelfall gar nicht möglich. Gleichwohl tut man so, als würde man dennoch eine solche Abwägung vornehmen.

An diesem Punkt wird überdeutlich, dass die DSGVO nicht internettauglich ist und auch nicht in der Lage ist, typische Online-Datenverarbeitungsvorgänge zu erfassen. Das Kriterium der Abwägung im Einzelfall kann beim Tracking nicht zielführend sein. Vielmehr müssten allgemeingültige Kriterien definiert werden, die gerade unabhängig vom Einzelfall, den man von Ausnahmen abgesehen, in aller Regel gar nicht kennt, gelten. Ob die geplante ePrivacy-Verordnung diese Lücke sachgerecht schließen kann, bleibt abzuwarten.

Da in Fällen des Tracking eine Abwägung der Interessen des konkret betroffenen Nutzers, vor der Datenerhebung, letztlich nicht möglich ist, müsste dies konsequenterweise bedeuten, dass sich das Tracking nie auf den Gestattungstatbestand von Art. 6 Abs. 1 lit. f) stützen ließe. Diese Schlussfolgerung zieht das Papier allerdings nicht. Denn sonst wäre die Prüfung beendet und die Schlussfolgerung müsste lauten, dass das derzeit geltende Recht über keine geeignete Regelung verfügt und Tracking regelmäßig unzulässig ist.

Dass die DSK viele Fälle des Trackings gleichwohl als kritisch einstuft, zeigen die im Papier erläuterten Beispielsfälle.

posted by Thomas Stadler at 06:51  

Ein Kommentar

  1. Zitat: „Denn sonst wäre die Prüfung beendet und die Schlussfolgerung müsste lauten, dass das derzeit geltende Recht über keine geeignete Regelung verfügt und Tracking regelmäßig unzulässig ist.“
    Warum Konjunktiv? Nach der SGVO ist Tracking ohne Einwilligung oder Vertrag unzulässig. Vielleicht wäre es mal an der Zeit, dass sich die Anbieter einfach an das geltende Recht halten. Oder die Nutzer ide Anbieter massenweise abmahnen.

    Comment by mw — 22.04, 2019 @ 13:28

RSS feed for comments on this post.

Sorry, the comment form is closed at this time.