Suche

Orientierungshilfe: Wie Webseiten Nutzer tracken dürfen - und wie nicht

Für viele Anbieter dürfte es schwierig werden, ihre Nutzer wie bisher zu tracken. In monatelangen Beratungen haben die deutschen Datenschützer eine 25-seitige Orientierungshilfe zum DSGVO-konformen Tracking ausgearbeitet.

Ein Bericht von Christiane Schulzki-Haddouti veröffentlicht am
Anbieter sollen die Spuren von Nutzern nicht mehr ohne deren Einwilligung verfolgen dürfen. (Bild: Pixabay)

Längst ist es nicht mehr nur das einsame Cookie, das ein Website-Anbieter im Browser des Nutzers ablegt. Es sind Dutzende von Cookies und Trackern, die das Nutzerverhalten auswerten, um die gesammelten Informationen zu werbetauglichen Profilen zusammenzustellen. Für viele Anbieter dürfte es künftig schwieriger werden, solche Tools wie bisher auf ihrer Website einzusetzen und Nutzer mit Do-Not-Track-Einstellungen auszuschließen. Nach Ansicht der deutschen Aufsichtsbehörden ist die bisherige Praxis nicht mit der EU-Datenschutz-Grundverordnung (DSGVO) vereinbar. Eine 25-seitige "Orientierungshilfe" (PDF) soll den Anbietern von Telemedien nun die Einschätzung erleichtern.

Anzeige

Derzeit befassen sich die französischen und britischen Datenschutzbehörden mit der Frage, ob und wie Werbenetzwerke etwa von Google oder Vectaury legal betrieben werden können und haben teilweise auch schon bestimmte Anforderungen deutlich gemacht. Die deutschen Aufsichtsbehörden hielten sich bis jetzt mit Blick auf die E-Privacy-Verordnung zurück. Doch weil die Verabschiedung der Verordnung wohl kaum noch vor der Europawahl stattfinden und sie unter einem neuen Parlament neu verhandelt werden wird, ist von europäischer Seite erstmal keine Orientierung zu erwarten. Daher hat die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz, DSK) sich doch noch zur Veröffentlichung einer Orientierungshilfe entschieden.

Opt-out-Regelung nicht mehr möglich

Die zentrale Feststellung lautet, dass die datenschutzrechtlichen Vorschriften des Telemediengesetzes (TMG) nicht anwendbar sind. Das hatte die DSK bereits in einem Positionspapier vom April 2018 festgehalten. Eine Opt-out-Regelung ist also nicht mehr möglich. Der deutsche Gesetzgeber hatte es versäumt, das TMG an die immer noch geltende E-Privacy-Richtlinie anzupassen. Die Richtlinie ist aber nicht mehr das Maß der Dinge, da inzwischen die Regelungen der Datenschutz-Grundverordnung (DSGVO) einen Anwendungsvorrang genießen.

Das TMG hat bislang die Erlaubnis, personenbezogene Daten zu verarbeiten, zu weit gefasst: So war die Datenverarbeitung ohne Einwilligung des Nutzers über den Nutzungsvorgang hinaus erlaubt, wenn die Daten die "generelle Funktionsfähigkeit der Dienste" gewährleisteten. Die bisher praktizierte Opt-out-Lösung ist mit Verweis auf Artikel 7 der DSGVO aber jetzt vom Tisch.

Anzeige

Nach der DSGVO ist eine Verarbeitung nur rechtmäßig, wenn sie sich entweder auf eine Einwilligung, einen Vertrag oder eine Interessenabwägung stützen kann. Die Website-Betreiber müssen demnach dokumentieren, auf welchen Erlaubnistatbestand sie sich stützen. Wobei die Nutzer darüber in jeden Fall für sämtliche Verarbeitungen ihrer personenbezogenen Daten informiert werden müssen.

Einfacher Okay-Button genügt nicht

Die Aufsichtsbehörden stellen klar, dass die bei vielen Cookie-Bannern gepflegte Praxis nicht reicht, das Setzen von Cookies mit einem Okay-Button zu verbinden und sich damit eine Einwilligung des Nutzers zu holen. Wenn die Nutzer keine Möglichkeiten erhalten, das Setzen von Cookies abzulehnen, gilt die mit dem Button eingeholte Einwilligung nicht. Der Nutzer muss nämlich die freie und echte Wahl haben, was bedeutet, dass er die Einwilligung auch verweigern kann, ohne dadurch Nachteile zu erleiden. Das heißt, der Besuch der Website muss auch dann möglich sein, wenn der Nutzer keine Einwilligung erteilt.

Tracking ist demnach nur dann möglich, wenn der Nutzer ausreichend informiert wurde und explizit seine Einwilligung in die geplanten Datenverarbeitungen gegeben hat. Überdies dürfen durch datenschutzfreundliche Voreinstellungen nur die Daten verarbeitet werden, die für einen bestimmten, klar benannten Verarbeitungszweck erforderlich sind.

  1. Interessenabwägungen
  1. 1
  2. 2
  3. 3