Das Ende von personalisierter Werbung, Google Analytics & Co auf Webseiten?
Der europäischen Gerichtshof (EuGH) hat in der Rechtsache C-673/17 entschieden, dass vor dem Einsatz von Cookies, die für den Betreib der Webseite technisch nicht erforderlich sind, eine Einwilligung vom Nutzer eingeholt werden muss. Zu solchen Cookies zählen etwa solche von Analysediensten oder zur Schaltung von personalisierter Werbung. Geklagt hatte der Bundesverband der Verbraucherzentralen gegen die Planet49 GmbH, da diese im Rahmen der Teilnahme an Online-Gewinnspielen Werbe-Cookies verwendete, deren Einsatz vom Nutzer aktiv widersprochen werden musste. Aufgrund des Urteils wird erwartet, dass der vorlegende Bundesgerichtshof (BGH) den lange bestehenden Streit um die mangelnde Umsetzung der sogenannten Cookie-Richtlinie (2002/58/EG) im deutschen Recht beendet und der Gesetzgeber das Telemediengesetz (TMG) reformieren wird.
Cookies sind Textdateien, die der Anbieter einer Webseite auf dem Computer des Nutzers der Webseite speichert und bei ihrem erneuten Aufruf durch den Nutzer wieder abrufen kann, um die Navigation im Internet oder Transaktionen zu erleichtern oder Informationen über das Nutzerverhalten zu erlangen. Daher können Cookies auch dazu eingesetzt werden, um Vorlieben des Nutzers webseitenübergreifend zu verfolgen und dem Nutzer personalisierte Werbung anzeigen zu können. Diese Nachverfolgung der Handlungen des Nutzers wird allgemein als „Tracking“ bezeichnet.
Tatsächlich ist die Cookie-Richtlinie bislang nicht vollständig in das deutsche Recht umgesetzt worden, da § 15 Abs. 3 TMG lediglich vorsieht, dass Cookies zur Werbung, Marktforschung oder bedarfsgerechten Gestaltung von Webseiten eingesetzt werden können, sofern der Nutzer dem nicht aktiv widerspricht. Bei einer derartigen Widerspruchslösung wird im Fachjargon von einem sogenannten „Opt-Out“ gesprochen, während bei einem sogenannten „Opt-In“ – das wiederum die Cookie-Richtlinie vorsieht – eine aktive Einwilligung vom Nutzer eingeholt werden muss. Daher besteht derzeit für deutsche Webseitenbetreiber keine gesetzliche Pflicht zur Einholung einer Einwilligung bei der Nutzung von Cookies. Diese Rechtslage wird sich durch das Urteil des EuGH nun grundlegend ändern. Dieser stellt in seiner Entscheidung klar, dass lediglich für Cookies, die für den Betrieb der Webseite technisch notwendig sind – also etwa zur Darstellung oder für die Nutzung der Warenkorbfunktion einer Webseite – keine Einwilligung des Nutzers notwendig ist.
Für alle darüber hinausgehenden Verwendungszwecke, insbesondere zu Trackingzwecken, zu denen Cookies genutzt werden, z. B. zur Erfassung des Nutzerverhaltens für Werbung oder für umfangreiche Analysedienste wie Google Analytics, ist nun eine Einwilligung des Nutzers erforderlich. Trotz des Urteils ist aus unserer Sicht jedoch noch nicht abschließend geklärt, ob die Erforderlichkeit einer Einwilligung auch für Cookies gilt, die – unter Ausschluss der Weitergabe von Informationen über den Nutzer an Dritte – lokalen, also auf dem eigenen Server eingebundenen, Statistikdiensten wie z. B. Matomo dienen. Da der Einsatz nach dem Datenschutzrecht ggf. über ein berechtigtes Interesse gerechtfertigt werden könnte, würde das Telemedienrecht insofern sogar strenger als das Datenschutzrecht sein, obwohl die CookieRichtlinie gerade Letzteres fördern möchte.
Das Ende von personalisierter Werbung, Google Analytics & Co auf Webseiten? Fazit:
Cookies zu Diensten, die technisch für den Betrieb der Internetseite nicht notwendig sind – wie z. B. Google Analytics oder Google Remarketing – sind erst nach Einholung einer Einwilligung zu aktivieren. Praktisch gelingt dies über einen entsprechend dem Grundsatz der datenschutzfreundlichen Voreinstellungen gestalteten sogenannten Cookie-Banner auf der Startseite. Gerne unterstützen wir Sie im Rahmen einer datenschutzrechtskonformen Formulierung und Gestaltung des Cookie-Banners.
Opt-In bei Tracking-Cookies – Schlussanträge vor dem EuGH
Im Vorabentscheidungsverfahren vor dem Europäischen Gerichtshof (EuGH – C-673/17) zu den Lücken bei der Umsetzung der sogenannten e-Privacy-Richtlinie im Telemediengesetz (TMG) hat der Generalanwalt am 21. März 2019 seine Schlussanträge gestellt. Es wird erwartet, dass das Urteil antragsgemäß ausfällt, aber nicht vor Ende des Jahres erfolgt.
Brisanz entfaltet das scheinbar harmlose Verfahren aufgrund seines Bezugs zum Einwilligungserfordernis (nachfolgend kurz: Opt-In) bei der Nutzung von Tracking-Cookies. Denn bislang ist in § 15 Abs. 3 Telemediengesetz (TMG) lediglich ein Widerspruchsrecht (Opt-Out) und kein ausdrückliches Opt-In im Falle von Werbe-, Marktforschungs-und Analyse-Cookies vorgesehen. Derartige Cookies ermöglichen es dem Betreiber der Webseite, den Nutzer auch nach langen Zeiträumen wiederzuerkennen, und können daher genutzt werden, um ein umfassendes Persönlichkeitsprofil über den Nutzer anzulegen. Dies ist für Webseitenbetreiber vor allem interessant, um dem jeweiligen Nutzer entsprechend seiner nachvollziehbaren Interessen beim Surfen entsprechend individualisierte Werbung anzuzeigen. Daher ist zu erwarten, dass eine antragsgemäße Entscheidung erhebliche Auswirkungen auf die derzeit noch strittige Zulässigkeit der einwilligungslosen Verwendung von Analysetools wie Google Analytics, aber auch von Werbe-Tools wie Google AdWords oder Google Remarketing haben wird.
Praktisch hätte das Opt-In bei Tracking-Cookies zur Folge, dass ein Einwilligungsdialog auf der Webseite zu implementieren wäre, bevor sie überhaupt vollständig geladen wird. Das Tracking dürfte erst dann erfolgen, wenn die Einwilligung des Betroffenen erteilt worden ist. Insofern müsste der eigentlichen Webseite ein entsprechender Einwilligungsdialog vorgeschaltet werden und die eigentliche Seitennutzung erst nach Beantwortung des Dialogs erfolgen. Hierin wird eine erhebliche Einschränkung im Komfort der Nutzung der Webseite gesehen. Eine besondere Herausforderung stellt zudem die Gestaltung der Einwilligung dar, da diese die strengen Anforderungen des Art. 7 DSGVO bzw. die kirchlichen Regelungen in § 8 KDG/KDR-OG bzw. § 11 DSG-EKD zu erfüllen hat.
Bildquelle: Adobe Stock/Michael Traitov
Diese Entwicklung ist indes nicht neu: Die deutschen Aufsichtsbehörden (Datenschutzkonferenz – DSK) begrüßen ein Opt-In bei Tracking-Cookies ausdrücklich. Bereits in ihrer Positionsbestimmung vom 26. April 2018 sowie in der Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien vom 3. April 2019 wurden erhebliche Zweifel an der Zulässigkeit der einwilligungslosen Nutzung von automati-schen Tracking-Mechanismen auf Webseiten geäußert. Die alternative Heranziehung der Interessenabwägung als Rechtfertigung der Datenverarbeitung sei zwar per se nicht unzulässig, aber die Interessenabwägung dürfte aufgrund der Datenweitergabe an Dritte und der Erstellung von umfangreichen Nutzerprofilen eher zugunsten des Nutzers ausfallen.
Es wird erwartet, dass das Opt-In auch Gegenstand der lange angekündigten e-Privacy-Verordnung sein wird. Eine europäische Verordnung muss nicht wie die Richtlinie zunächst in deutsches Recht umgesetzt werden, sondern gilt wie etwa die Datenschutz-Grundverordnung unmittelbar. Daher wurde das vorgenannte Verfahren lange als obsolet angesehen. Da sich die e-Privacy-Verordnung jedoch – vielleicht sogar aus diesem Grunde – verzögert, könnte die Entscheidung des EuGH noch dieses Jahr Auswirkungen auf den Online-Datenschutz entfalten.
Die Risiken der unterlassenen Einwilligung können einerseits Bußgelder der jeweiligen Aufsichtsbehörde, andererseits aber auch Abmahnungen durch Wettbewerber oder Verbraucher-schutzvereine sein. In Hinblick auf mögliche Bußgelder ist festzuhalten, dass die vorgenannte Auffassung der DSK lediglich eine unverbindliche Positionsbestimmung darstellt, aber durch eine Entscheidung des EuGH fruchtbaren Nährboden erhält. Wettbewerbsrechtliche Abmahnungen dürften durch eine antragsgemäße Entscheidung des EuGH bzw. der anschließenden Entscheidung des BGH ebenfalls wahrscheinlicher werden.
Opt-In bei Tracking-Cookies – Schlussanträge vor dem EuGH: Fazit
Rechtssicher wäre es demnach, ab Veröffentlichung des Urteils Trackingtools wie Google Analytics, Google Ad-Words oder Google Remarketing entweder gar nicht mehr einzusetzen oder aber eine Einwilligung vom Nutzer einzuholen. Für Betreiber, die insbesondere auf Statistiktools wie Google Analytics nicht verzichten möchten, stehen auch Tools zur Verfügung, die keine personenbezogenen Daten an Dritte weitergeben und eine lokale Installation auf eigenen Servern ermöglichen. Eine solche Datenverarbeitung wäre im Rahmen einer Interessenabwägung möglich. Gerne stehen wir Ihnen im Rahmen der Empfehlung von entsprechenden Tools und grundsätzlich bei der Erstellung von Datenschutzerklärungen zur Verfügung.
