Neues zum Datenschutzrecht
21.8.2020
Tracking und Cookie-Banner im Fokus der Datenschutzaufsichtsbehörden
Der BGH hat den Ausgangsfall unter Berücksichtigung eines vorangegangenen Urteils des Europäischen Gerichtshofs (EuGH) entscheiden. Die Vorlageentscheidung des EuGH hatte verschiedene Fragen zur Auslegung der Datenschutzrichtlinie für elektronische Kommunikation (Richtlinie 2002/58/EG; ePirvacy-Richtlinie), der Datenschutzrichtlinie (Richtlinie 95/46/EG) sowie der Datenschutz-Grundverordnung (DSGVO) hinsichtlich der Wirksamkeit einer Einwilligung in das Setzen von Cookies durch ein voreingestelltes Ankreuzkästchen zum Gegenstand.
Der EuGH hat mit Urteil vom 1.10.2019 (C-673/17; Planet49) – auch hier nicht wirklich überraschend – entschieden, dass bei einem Ankreuzfeld, das per Voreinstellung angekreuzt und standardmäßig mit einem Häkchen versehen ist, die Voraussetzungen für eine wirksame Einwilligung nicht vorliegen. Überdies hat der EuGH in seiner Entscheidung deutlich gemacht, dass der Nutzer durch klar verständliche und hinreichend detaillierte Information in die Lage versetzt werden muss, die Konsequenzen seiner Einwilligung leicht zu bestimmen und die Funktionsweise der verwendeten Cookies zu verstehen. Daher sind auch Angaben zu Dritten, die Zugriff auf die Cookies erhalten können, und zur Funktions- bzw. Speicherdauer der Cookies zu machen.
Praxishinweise
Das Erfordernis einer Einwilligung für Cookies und anderen Tracking-Technologien zu Werbezwecken folgt bis zu dem noch nicht absehbaren Inkrafttreten der ePrivacy-Verordnung (dazu s. Datenschutz-News v. 28.2.2020) weiter aus § 15 Abs. 3 TMG, aber in europarechtskonformer Auslegung. Das entspricht zwar nicht der Rechtsauffassung der deutschen Aufsichtsbehörden, die bislang von einer Anwendung der DSGVO ausgingen. Allerdings kamen die Behörden auch bislang schon zu dem Ergebnis, dass es zumindest für Cookies zu Werbezwecken einer Einwilligung bedarf (s. Orientierungshilfe für Anbieter von Telemedien (hrsg. von der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder).
Der LfDI B-W hat zwar angekündigt, dass die Prüfung einer rechtskonformen Einbindung von Tracking-Technologien zunächst nur Online-Angebote von Medienunternehmen mit großer Reichweitenstärke betreffen wird. Es steht jedoch außer Frage, dass früher oder später jede Website in den Fokus der Aufsicht geraten kann. Zudem steigt das Abmahnrisiko durch Verbraucherschutzverbände und Wettbewerber. Daher sollten Website eines Unternehmens keine „offene Flanke“ sein und insbesondere der Einsatz von Cookies und anderen Tracking-Technologien auf deren Rechtskonformität geprüft und gegebenenfalls angepasst werden. Dabei sollte auch auf die Ausgestaltung der Einwilligungserklärungen geachtet werden. Viele der mittlerweile eingesetzten Cookie-Management-Tools sehen ein Design vor, das darauf abzielt, ein Ablehnen von Trackingcookies zu Werbezwecken weniger wahrscheinlich zu machen. Diesem Punkt werden in Zukunft vermutlich auch die Datenschutzaufsichtsbehörden mehr Aufmerksamkeit schenken, da auch der BGH diese unter dem Begriff „Dark Patterns“ diskutieren Aspekte in seinem Urteil vom 28.5.2020 (I ZR 7/16 - Cookie-Einwilligung II) kritisch aufgreift. Allerdings kann der BGH-Entscheidung kein generelles Verbot einer indirekten Einflussnahme auf Entscheidungsprozesse, z.B. durch eine bestimmte Gestaltung von Einwilligungsformularen entnommen werden.
Sollten Sie Fragen zum rechtskonformen Einsatz von Cookies und anderen Tracking-Technologien oder zu sonstigen datenschutzrechtlichen Themen haben oder dabei Unterstützung benötigen, können Sie mich gerne kontaktieren.