„Schrems II“: Der Europäische Gerichtshof kippt das „Privacy Shield“-Abkommen – sind damit bald sämtliche Datentransfers in die USA tabu?

Geschrieben am

Am vergangenen Donnerstag entschied der Europäische Gerichtshof, dass das „Privacy Shield“-Abkommen zwischen der Europäischen Union und den USA nicht weiter zur Privilegierung von Datentransfers in die USA herangezogen werden darf. Wir möchten die kurz- und mittelfristigen Folgen für Unternehmen in der EU und in den USA kurz zusammenfassen und auch einen Blick auf Datentransfers in andere Nicht-EU-Staaten werfen.

Internationale Datentransfers nach der DSGVO

Zunächst allgemein zu den Voraussetzungen des internationalen Datentransfers: Wann immer Daten aus der EU an einen Empfänger in einem Drittland versendet werden sollen, hängt die Rechtmäßigkeit dieses Transfers von zwei Fragen ab (auch „Zwei-Stufen-Modell“ genannt).

  • Auf der ersten Stufe bedarf die Übertragung an einen Dritten als Datenverarbeitungsvorgang natürlich immer einer Rechtsgrundlage nach Art. 6 DSGVO. (Dies wird häufig beim Drittlandstransfer übersehen, wenn man nur auf die zweite Stufe schaut.)
  • Auf der zweiten Stufe stellt sich die Frage, ob eine „Datenübermittlung in ein Drittland“ nach Art. 44 S. 1 DSGVO vorliegt und wenn ja, ob diese nach den Vorschriften des 5. Kapitels der DSGVO gerechtfertigt ist. Der Gedanke dabei ist, dass das Schutzniveau der Daten durch den Transfer ins Drittland nicht gegenüber dem Schutzniveau in der EU absinken darf. Um dies sicherzustellen, sieht das 5. Kapitel der DSGVO im Wesentlichen drei Mechanismen vor, wie eine solche Absicherung erfolgen kann: Entweder durch einen Angemessenheitsbeschlusses der EU-Kommission nach Art. 45 DSGVO, durch geeignete Garantien gem. Art. 46 DSGVO oder aufgrund einer Ausnahme nach Art. 49 DSGVO.

Das EU-US Privacy Shield

Beim Privacy Shield handelt es sich um eine Vereinbarung zwischen den USA und der EU, die verschiedene Zusicherungen der USA für EU-Bürger beinhaltet. Aufgrund dieser Absprache fasste die EU-Kommission einen Angemessenheitsbeschluss (2016/1250) nach Art. 45 DSGVO in Bezug auf diejenigen Unternehmen, die unter dem Privacy Shield zertifiziert waren.

Mit seiner heutigen Entscheidung im Vorabentscheidungsverfahren hat der EuGH festgestellt, dass dieser konkrete Angemessenheitsbeschluss ungültig ist. Das hat unmittelbar zur Folge, das Datentransfers in die USA auf der zweiten Stufe nicht mehr auf das Privacy Shield gestützt werden können.

Als Argument führt der EuGH an, dass in diesem Beschluss (ebenso wie schon in der Entscheidung zum Vorgängerprogramm „Safe Harbour“) den Erfordernissen der nationalen Sicherheit, des öffentlichen Interesses und der Einhaltung des amerikanischen Rechts Vorrang eingeräumt wird, was zu nicht gerechtfertigten Grundrechtseingriffen für EU-Bürger führt. Insbesondere da die amerikanischen Rechtsvorschriften staatliche Überwachung in einem aus EU-Sicht unverhältnismäßigen Ausmaß erlauben, haben die USA auch unter Berücksichtigung des Privacy Shield kein der EU vergleichbares Datenschutzniveau. Darüber hinaus stellt auch die Einrichtung einer Datenschutzombudsperson keine Maßnahme dar, mit der EU-Bürgern ein effektiver Rechtsschutz gegenüber US-Behörden und -Gerichten gewährt wird.

Zukunft der Standarddatenschutzklauseln

Jetzt wo das Privacy Shield als Absicherungsmechanismus ausscheidet, stellt sich natürlich die Frage, wie ein Datentransfer in die USA stattdessen abgesichert werden kann. Der erste Blick geht dann auf das wichtigste Werkzeug für den internationalen Datentransfer, die Standarddatenschutzklauseln (SCC, auch „model clauses“) nach Art. 46 Abs. 2 lit. c DSGVO. Der EuGH hat sich in seiner heutigen Entscheidung auch mit den SCC auseinandergesetzt und (glücklicherweise) festgestellt, dass diese zumindest für sich genommen mit der Charta der Grundrechte der EU vereinbar sind und weiterhin gültig bleiben.

Allerdings hat der EuGH auch deutlich gemacht, dass mit den SCC nicht jeder Transfer in ein beliebiges Drittland abgesichert werden kann. Vielmehr können die SCC nur dann eingesetzt werden, wenn der Datenexporteur und der Empfänger im Drittland gewährleisten, dass die Regelungen der SCC in diesem Drittland auch eingehalten werden können. Können die SCC dagegen nicht eingehalten werden, müssen die beteiligten Parteien den Datentransfer beenden. Letztlich läuft es also auf die Frage hinaus, ob es im Drittland rechtliche Möglichkeiten für (staatliche) Institutionen gibt, einen umfangreichen Zugriff auf die Daten zu erhalten, der die Datenschutzgrundsätze der EU untergräbt.

Für die USA hat der EuGH mit dieser Entscheidung im Grunde schon vorgegeben, dass die rechtlichen Rahmenbedingungen dort das Einhalten der SCC aufgrund der Überwachungsgesetze eigentlich unmöglich machen. Damit im Zusammenhang steht der Auftrag an die Aufsichtsbehörden in den Rz. 106-121 der Entscheidung, dass diese den Datentransfer aufgrund von SCC zu unterbinden haben, wenn sich herausstellt, dass die Klauseln im Empfängerland nicht eingehalten werden können.

Fazit

Nach der EuGH-Entscheidung kann ein Datentransfer in die USA nicht mehr auf Basis des Privacy Shields erfolgen. Stattdessen werden viele jetzt wohl auf die SCC zurückgreifen (wenn nicht ohnehin schon SCC vereinbart wurden), da diese verhältnismäßig schnell neu abgeschlossen werden können. Allerdings ist absehbar, dass ein Transfer auf Basis der SCC im Grunde auch nicht haltbar ist und von den europäischen Datenschutzbehörden höchstwahrscheinlich bald untersagt werden wird, da die Einhaltung der damit vertraglich zugesicherten Datenschutzstandards in den USA nicht möglich ist. Der deutsche Bundesdatenschutzbeauftragte lässt in einer ersten Pressemitteilung schon erkennen, dass die Behörden hier offenbar schnell handeln wollen, ebenso verstehen wir die Pressemitteilung der Berliner Datenschutzbeauftragten.

Für Unternehmen beiderseits des Atlantiks bedeutet dies selbstverständlich eine wenig zufriedenstellende Situation. Als letzter Ausweg weist der EuGH in Rz. 202 der Entscheidung darauf hin, dass ein „rechtliches Vakuum“ durch die Anwendung der Ausnahmetatbestände in Art. 49 DSGVO verhindert werden könnte. In Art. 49 DSGVO sind Ausnahmen für den Fall geregelt, dass ein Datentransfer nicht auf einen Angemessenheitsbeschluss nach Art. 45 oder geeignete Garantien nach Art. 46 DSGVO gestützt werden kann. Grundsätzlich werden diese Ausnahmeregelungen jedoch restriktiv ausgelegt – sie sollen gerade nicht massenhaft zur Umgehung des europäischen Datenschutzniveaus eingesetzt werden. Es handelt sich um Lösungen für sehr spezifische Einzelfälle, immer wieder genannt wird zum Beispiel die Buchung einer Reise bei einem ausländischen Reiseveranstalter. Wir empfehlen daher folgendes Vorgehen: Bis auf Weiteres sollten als erste Maßnahme bei allen internationalen Datentransfers in die USA, die derzeit allein vom Privacy Shield gesichert werden, stattdessen die Standardvertragsklauseln eingesetzt werden, um zumindest einen gesetzlich vorgesehenen Sicherungsmechanismus implementiert zu haben. Parallel dazu sollte geprüft werden, ob der jeweilige Datentransfer auf eine Ausnahme nach Art. 49 DSGVO gestützt werden kann oder ob die Datenverarbeitung insgesamt nach Europa verlagert wird, sofern möglich. Derzeit gehen wir nämlich davon aus, dass mit denselben Argumenten wie im heute verkündeten Urteil auch Datentransfers in die USA (und auch in andere Staaten wie zum Beispiel China) auf der Grundlage der Standarddatenschutzklauseln gekippt werden könnten.

„Voice Branding“ – Product Placement via Sprachassistent?

Sprachassistenten – sei es in Form von intelligenten Lautsprechern wie „Google Home“ oder „Amazon Echo“ im Wohnzimmer, „Siri“ auf dem Smartphone oder „Cortana“ auf dem PC – sind immer weiter verbreitet. Auch die Werbung hat diesen neuen Kanal längst für sich entdeckt und experimentiert mit neuen Formen für intelligente Markenbotschaften. Dabei stellt sich natürlich die Frage, wie diese rechtlich zu bewerten sind.

Ein Amazon Echo Spot (Foto: Zebonaut, CC BY-SA 4.0)

Neuer Kanal, alte Fragen

Aus juristischer Sicht stellen sich im neuen Kanal der Sprachassistenten die altbekannten Fragen des Werberechts:

  • Wie sind die Informationspflichten aus dem Verbraucherschutz umzusetzen?
  • Wie kennzeichnet man Werbung korrekt und im Einklang mit den geltenden Vorgaben des Medienrechts?
  • Und was ist mit den Nutzerdaten, die es DSGVO-konform zu erheben und zu nutzen gilt?

Formen des Voice Branding

Relativ verbreitet sind insbesondere im Bereich intelligenter Lautsprecher so genannte „Branded Skills“: Der Nutzer kann hier wie eine Handy-App zum Beispiel eine Funktionalität seines Lieblings-Radiosenders installieren oder die Inhalte einer Content-Plattform leichter zugänglich machen. Dadurch reagiert der Sprachassistent auf bestimmte Befehle nicht mehr neutral, sondern „branded“, antwortet also mit der Stimme des Skill-Anbieters. Rechtlich besonders spannend sind andere Formen des „Voice Branding“, die darüber hinausgehen und sich in den Bereich der echten Produktplatzierung bewegen.

Das Thema wird bereits seit 2017 diskutiert, als ein Test des intelligenten Lautsprechers „Google Home“ mit nicht gekennzeichneter Werbung für die Neuverfilmung von „Die Schöne und das Biest“ die Runde machte. Dort spielte das Gerät unverhofft einen kurzen Werbeclip zum Kinostart ab, wenn der Nutzer das Gerät nach den Neuigkeiten des Tages fragte:

Rechtliche Grenzen des Voice Branding

Im Bereich des Wettbewerbsrechts sind insbesondere die Kennzeichnungspflichten ein Problem: Wie kann man ohne visuelle Hilfen wie „Sternchenangaben“ und „Kleingedrucktes“ die gesetzlich vorgegebenen Mindestangaben machen und redaktionelle Inhalte (also normale Suchergebnisse und objektive Empfehlungen) von „sponsored content“ trennen?

Medienrechtlich waren Sprachassistenten selbst bislang nicht als Presse und auch nicht als Rundfunk einzuordnen – der neue Medienstaatsvertrag möchte jedoch diese Grenze verschieben und die Vorgaben des bisherigen Rundfunkstaatsvertrags auch auf Sprachassistenten als „Benutzeroberflächen“ anwendbar machen. Die Regeln des Telemedienrechts gelten daneben sowieso.

Insbesondere muss Werbung medienrechtlich auch per Sprachassistenten erkennbar sein. Aufgrund der Neuartigkeit des Mediums ist davon auszugehen, dass die Aufsichtsbehörden und auch die Gerichte hier zunächst eher streng herangehen werden. Insbesondere das oben erwähnte Beispiel des Disney-Spots hätte auf jeden Fall recht deutlich gekennzeichnet werden müssen.

Die umfassenden verbraucherschutzrechtlichen Informationspflichten müssen ebenfalls eingehalten werden, auch wenn das im neuen Medium der Sprachassistenten insbesondere beim Abschluss von Verträgen sehr schwierig ist. Das kann unter Umständen dazu führen, dass der Sprachassistent eine ganze Menge an Informationen „abspulen“ muss, so wie man es zum Beispiel aus der Radiowerbung für Pharmazeutika kennt.

Datenschutzrechtlich stellt sich die Frage nach der Rechtsgrundlage für die Verarbeitung von Nutzerprofilen zu Werbezwecken. Hier ist zu beachten, dass die derzeit viel diskutierte „Planet49“-Rechtsprechung nicht greift, da keine Cookies gespeichert werden, sondern das Tracking auf der Grundlage einer Geräte-ID erfolgt. Das bedeutet, dass die Frage allein nach der Datenschutzgrundverordnung zu entscheiden ist und eine Verarbeitung auf der Grundlage berechtigter Interessen des Werbetreibenden (Art. 6 Abs. 1 lit. f DSGVO) in Frage kommt.

Wettbewerbsrechtich müssen die Anbieter von Sprachassistenten schließlich allen Werbetreibenden einen neutralen Zugang zu ihrer Plattform gewähren.

Fazit

Die rechtlichen Probleme sind hinlänglich bekannt – wie sie jedoch praktisch umgesetzt werden können, ohne den Nutzer nicht zu vergraulen, ist bislang offen. Abzwarten ist auch die weitere Entwicklung hinsichtlich des Medienstaatsvertrags, der immer noch nicht ratifiziert ist, und der weiterhin nur als Entwurf vorliegenden ePrivacy-Verordnung. Auch in technischer Hinsicht wird sich hier sicher noch viel verändern und zusätzlich zu den hier diskutierten Möglichkeiten sind sicherlich weitere neue Werbeformen denkbar.

Die „Planet49“-Entscheidung des Bundesgerichtshofs – warum die Frage nach den Cookies immer noch nicht geklärt ist

Mit dem heutigen Urteil des Bundesgerichtshofs ging das Verfahren zwischen dem Bundesverband der Verbraucherzentralen und der Planet49 GmbH, einer Anbieterin von Online-Gewinnspielen, zu Ende. Der Prozess hatte insbesondere die Frage nach der rechtlichen Wirksamkeit der Einwilligung von Website-Besuchern in die Speicherung von Marketing-Cookies zum Gegenstand. Diese Frage wurde dadurch aufgeworfen, dass die Beklagte im Jahre 2013 ein Gewinnspiel auf ihrer Website veranstaltet hatte. Hierfür gelangte der Nutzer auf eine Seite mit einem Webformular, auf dem er Namen und Anschrift angeben musste, wobei sich unter den Eingabefeldern für die Anschrift zwei Einverständniserklärungen mit Ankreuzfeldern befanden. Das erste Ankreuzfeld war nicht mit einem voreingestellten Häkchen versehen. Das hier zu erteilende Einverständnis bezog sich auf Werbung durch Sponsoren und Kooperationspartner der Beklagten per Post, Telefon, E-Mail oder SMS. Die Nutzer konnten die Sponsoren und Kooperationspartner selbst auswählen und ihr Einverständnis jederzeit widerrufen.

Das weitere Ankreuzfeld war bereits mit einem voreingestellten Häkchen versehen. Dieser voreingestellte Haken konnte zwar entfernt werden, eine Teilnahme am Gewinnspiel war allerdings nur möglich, wenn der Nutzer mindestens eines der beiden Felder mit einem Haken versah. Der Nutzer sollte im Rahmen dieser Erklärung dahin gehend einwilligen, dass ein mit einer Tracking-ID versehenes Cookie auf dem Endgerät gespeichert werden sollte:

„Ich bin einverstanden, dass der Webanalysedienst Remintrex bei mir eingesetzt wird. Das hat zur Folge, dass der Gewinnspielveranstalter, die [Beklagte], nach Registrierung für das Gewinnspiel Cookies setzt, welches [die Beklagte] eine Auswertung meines Surf- und Nutzungsverhaltens auf Websites von Werbepartnern und damit interessengerichtete Werbung durch Remintrex ermöglicht. Die Cookies kann ich jederzeit wieder löschen. Lesen Sie Näheres hier [Link zur Datenschutzerklärung].“

Der Nutzer wurde ferner darauf hingewiesen, dass mittels der gespeicherten ID jeder Besuch auf den Websites eines für Remintrex registrierten Werbepartners festgehalten würde und darüber hinaus erfasst würde, für welche Produkte sich der Nutzer interessiert und welche er kauft.

Während das Landgericht Frankfurt am Main die Beklagte zur Unterlassung beider Einverständniserklärungen verurteilte, erzielte der Kläger im Rahmen der Berufung lediglich mit dem Antrag bezüglich der Nutzung von Cookies bei voreingestellten Einwilligungserklärungen Erfolg. Nachdem das OLG Frankfurt die Revision zum Bundesgerichtshof zuließ, strengte der BGH ein Vorabentscheidungsverfahren vor dem Europäischen Gerichtshof an, um insbesondere die Frage nach der Wirksamkeit von Einwilligungen in die Setzung von Cookies unionsrechtlich klären zu lassen. Im rechtlichen Fokus standen hierbei Auslegungsfragen zu Art. 5 Abs. 3 und Art. 2 lit. f der ePrivacy-Richtlinie 2002/58/EG (in Deutschland umgesetzt in § 15 Abs. 3 Telemediengesetz) in Verbindung mit Art. 2 lit. h der Datenschutz-Richtlinie 95/46/EG sowie Art. 6 Abs. 1 lit. a der Datenschutzgrundverordnung 2016/679. Am 1. Oktober 2019 verkündete der EuGH das so genannte Planet49-Urteil und stellte fest, dass für eine wirksame Einwilligung eine aktive Handlung des Einwilligenden zu verlangen ist wofür vorausgewählte Checkboxen nicht ausreichen (siehe unseren Beitrag im Blog). Der EuGH begründete dies damit, dass eine voraktivierte Checkbox keine Aktivität des Nutzers darstelle. Vielmehr bestünde die Handlung des Nutzers bei voreingestellten Kästchen lediglich darin, die Voreinstellung abzuwählen.

Der BGH übernahm mit seinem heutigen Urteil diese Rechtsauslegung des EuGH und brachte das Gerichtsverfahren zum Abschluss. Bislang ist lediglich die Pressemitteilung öffentlich, die ausführlichen Entscheidungsgründe werden erst in den nächsten Tagen veröffentlicht. Der wichtigste Satz in der Pressemitteilung lautet wie folgt:

„§ 15 Abs. 3 Satz 1 TMG ist mit Blick auf Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/EG geänderten Fassung dahin richtlinienkonform auszulegen, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist.“

Die ersten Reaktionen auf das Urteil und insbesondere auf diesen Kernsatz sind sehr unterschiedlich – und der Teufel liegt im Detail. Korrekt formuliert es aus unserer Sicht zum Beispiel der ARD-Rechtsexperte Frank Bräutigam:

Die Betonung liegt hier auf dem Wort Wenn. Denn die grundsätzliche Frage, Ob eine Einwilligung für das Setzen von Marketing-Cookies erforderlich ist, hatte der BGH (ebensowenig wie der EuGH im Vorabentscheidungsverfahren) nicht zu entscheiden. Anders ausgedrückt: Die eigentlich spannende, in der Onlinemarketing-Branche seit Jahren diskutierte Frage, ob man sich für die Verarbeitung pseudonymer Nutzerdaten zu Werbezwecken statt einer Einwilligung auch auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen kann (wie es der Erwägungsgrund 47 der DSGVO auch ausdrücklich erwähnt), dazu findet sich – zumindest in der Pressemitteilung – keine Silbe. Der BGH stellt lediglich fest, dass das Inkrafttreten der DSGVO die deutsche Umsetzung der ePrivacy-Richtlinie im Telemediengesetz unberührt lasse. Die derzeitige parallele Regelung in DSGVO und TMG wird also nicht aufgelöst.

Dennoch verstehen viele die vom Bundesgerichtshof jetzt vorgegebene richtlinienkonforme Auslegung des § 15 Abs. 3 TMG als klare Marschroute, dass Online-Publisher für das Setzen von Marketing-Cookies zukünftig eine ausdrückliche Einwilligung ihrer Nutzer einholen müssen. (Damit widerspricht das Urteil übrigens der im März 2019 veröffentlichten Auffassung der deutschen Datenschutzaufsichtsbehörden, die deutsche Vorschrift sei als europarechtswidrig anzusehen und daher überhaupt nicht mehr anwendbar.) Bereits in den letzten Wochen war zu beobachten, dass große Online-Medien wie Spiegel Online auf Einwilligungsmodelle umstiegen.

Dabei bringt die Einwilligung als Rechtsgrundlage für das Onlinemarketing einen Strauß neuer Probleme mit sich: Wie können Online-Publisher Einwilligungen wirksam einholen, auf die sich alle am Onlinemarketing beteiligten Unternehmen stützen können, ohne ihren Nutzern völlig überfrachtete Popups anzeigen zu müssen? Wie kann die nach der DSGVO jederzeitige Widerrufbarkeit der Einwilligung in dieser Kette praktisch umgesetzt werden? Was geschieht, wenn Nutzer die Einwilligung massenhaft verweigern und so das Geschäftsmodell werbefinanzierter Online-Angebote unterlaufen? Viele Branchenmitglieder setzen ihre Hoffnungen derzeit in das Transparency and Consent Framework 2.0 des Branchenverbands IAB, dass die Verarbeitung von Nutzerdaten auf der Grundlage von Einwilligungen standardisieren soll.

Eigentlich liegt das Problem aber ganz woanders: Denn der europäische Gesetzgeber hatte ursprünglich beabsichtigt, die Frage des Onlinemarketings in der geplanten ePrivacy-Verordnung – als Nachfolgerin der alten ePrivacy-Richtlinie und Schwestergesetz zur Datenschutzgrundverordnung – neu zu regeln. Weil jedoch im Europäischen Rat keine Einigkeit über die Frage erzielt werden konnte, wie der Schutz der Privatsphäre der betroffenen Nutzer mit dem bestehenden Geschäftsmodell werbefinanzierter Onlineangebote zu vereinbaren ist, liegt der Plan seit Jahren auf Eis. Vielleicht gibt das heutige Urteil des Bundesgerichtshof der deutschen Ratspräsidentschaft in der zweiten Jahreshälfte 2020 jetzt den entscheidenden Impuls. Zumindest auf nationaler Ebene hat die deutsche Bundesregierung bereits eine Anpassung des Telemediengesetzes angekündigt.

Einwilligung gegen Gewinnchance? Aktuelles zum Kopplungsverbot

Eine Frage, die im eCommerce häufiger auftaucht: Darf man die Anmeldung zu einem Werbe-Newsletter nach der Datenschutzgrundverordnung (DSGVO) zur Teilnahmevoraussetzung für ein ansonsten kostenloses Gewinnspiel machen?

Die Antwort findet sich in Artikel 7 Absatz 4 DSGVO, der das so genannte Kopplungsverbot EU-weit einheitlich regelt. Diese Vorschrift hat den folgenden Wortlaut:

„Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind“.

Der Anknüpfungspunkt für das Verbot der „Kopplung “ von Einwilligung (in unserem Beispiel die Anmeldung für den Newsletter) und Vertragsschluss (hier die Teilnahme am Gewinnspiel) ist also die „Freiwilligkeit“ der Einwilligung, die eine der gesetzlichen Voraussetzungen für die Wirksamkeit der Einwilligung ist. Freiwilligkeit ist dabei gleichzusetzen mit „ohne Zwang“.

Wann das Kopplungsverbot genau greift und wann nicht, ist nach wie vor rechtlich ungeklärt. Um ein wenig Licht in dieses Dunkel zu bringen, haben wir die aktuell verfügbare Rechtsprechung zum Kopplungsverbot aus drei EU-Mitgliedstaaten einmal zusammengestellt.

Österreich: Werbe-Einwilligung in kostenpflichtigem Vertrag unzulässig

Bezüglich eines möglichen Kopplungsverbots hatte der Oberste Gerichtshof in Österreich bereits 2018 unter Verweis auf Erwägungsgrund 43 der DSGVO entschieden (Az.  6Ob140/18h):

„Die Einwilligung gilt nicht als freiwillig erteilt, wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.“

An die Beurteilung der „Freiwilligkeit“ der Einwilligung seien hohe Anforderungen zu stellen. Daher ist bei einer Kopplung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten mit einem Vertragsschluss grundsätzlich davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolgt, wenn nicht im Einzelfall besondere Umstände für eine Freiwilligkeit der datenschutzrechtlichen Einwilligung sprechen.

Im konkreten Fall entschied das Gericht, dass ein Pay-TV-Anbieter den Vertragsschluss nicht mit einer Einwilligung in den Erhalt von Werbung von Partnerunternehmen verknüpfen durfte. Hierbei ist jedoch zu beachten, dass es hier um einen kostenpflichtigen Vertrag ging, dessen Erfüllung in keinem Zusammenhang mit der Werbeeinwilligung stand.

Deutschland: Newsletter-Anmeldung darf Teilnahmevoraussetzung für Gewinnspiel sein

Das Oberlandesgericht (OLG) Frankfurt am Main hat in einer Entscheidung aus dem Juni 2019 (Az. 6 U 6/19) festgestellt, dass eine Einwilligung auch dann als freiwillig anzusehen ist, wenn die Einwilligungserklärung Voraussetzung für die Teilnahme an einem Gewinnspiel ist. Nach Ansicht des Gerichts kann und muss der Verbraucher selbst entscheiden, ob ihm die Teilnahme die Preisgabe seiner Daten „wert“ ist.

Auch wenn sich das OLG Frankfurt in seiner Entscheidung nicht explizit auf das Kopplungsverbot aus Art. 7 Abs. 4 DSGVO bezieht, so ergibt sich aus der Entscheidung, dass es eine Kopplung von Einwilligung an Dienstleistung dann für zulässig hält, wenn die Einwilligung sozusagen als „Gegenleistung“ für die Teilnahme an einem an sonsten kostenlosen Gewinnspiel gesehen werden kann.

Das bloße „Anlocken“ von Newsletter-Empfängern durch das Versprechen einer Vergünstigung, wie hier die Teilnahme an einem Gewinnspiel, reicht also nicht aus, um die Wirksamkeit der Einwilligung auszuschließen.

Die übrigen Voraussetzungen für eine wirksame Einwilligung gelten natürlich ebenso, insbesondere der so genannte „Double Opt-in“. Eine weitere Voraussetzung ist nach Art. 4 Nr. 11 DSGVO, dass die Einwilligung „für einen bestimmten Fall“ erteilt werden muss. Diese Bedingung ist nach einer Entscheidung des Bundesgerichtshofs aus dem Jahr 2012 nur dann erfüllt, wenn sich aus der Einwilligungserklärung ergibt, welche einzelnen Werbemaßnahmen welcher Unternehmen davon erfasst werden, also von wem genau der Betroffene auf welche Weise Werbung erhalten wird. Andernfalls ist die Einwilligung ebenfalls unwirksam.

Italien: Werbe-Einwilligung als zulässige Gegenleistung für ansonsten kostenlose Dienstleistung

Der italienische Kassationsgerichtshof hatte bereits 2018 über einen ähnlich gelagerten Fall zu entscheiden, in dem ein Newsletter zu Finanz- und Steuerthemen nur abonniert werden konnte, wenn der Empfänger in die Verarbeitung personenbezogener Daten zu Werbezwecken einwilligte (Az. 17278).

Nach der Entscheidung des Gerichts ist für die Beurteilung der Freiwilligkeit entscheidend, wie „unersetzlich“ oder „unverzichtbar“ der angebotene Dienst für die Betroffenen ist. Sind die Nutzer nicht auf den konkreten Dienst angewiesen, sondern können sie die angebotene Leistung auch auf anderem Weg erlangen, soll eine Kopplung von Einwilligung und Nutzung des Dienstes erlaubt sein. DIe Nutzer können in einem solchen Fall auf den Dienst verzichten, ohne ein „ernsthaftes Opfer“ erbringen zu müssen.

Ähnlich wie das OLG Frankfurt führt der Kassationsgerichtshof aus, dass dabei jedoch eine informierte Einwilligung erforderlich ist, damit diese als wirksam angesehen werden kann. So muss aus der Einwilligung hervorgehen, für welche Produkte oder Dienstleistungen der Betroffene Werbung erhalten wird.

Fazit

Das Kopplungsverbot ist im Marketing von großer Bedeutung. Seine Kontur muss wegen der komplexen Regelung in Art. 7 Abs. 4 DSGVO erst noch durch die Gerichte weiter ausgeformt werden.

Bereits jetzt ist jedoch zu sagen, dass es in erster Linie darauf ankommt, dass der Betroffene seine Einwilligung „freiwillig“ abgibt. Er muss sich also in einer Lage befinden, in der er eine Wahlmöglichkeit zwischen Preisgabe und Einbehaltung seiner personenbezogenen Daten hat. Das bedeutet insbesondere, dass bei der Entscheidungsfindgung keine „Drucksituation“ bestehen darf. Zumindest in Fällen von ansonsten kostenlosen Angeboten kann die freiwillige Einwilligung als „Gegenleistung“ angesehen werden.

Die ePrivacyVO durch die Hintertür: Tracking nur noch mit Einwilligung?

ePrivacy-Verordnung: weiterhin keine Einigung in Sicht

Auch am Ende des ersten Quartals 2019 ist auf europäischer Ebene keine Einigung bezüglich der ePrivacy-Verordnung in Sicht: Auf der Suche nach einem Kompromiss hat der Europäische Rat lediglich neue Diskussionspapiere vorgelegt. Mittlerweile ist von einem Inkrafttreten nicht vor 2020 und einer Umsetzungsfrist von weiteren zwei Jahren auszugehen. Somit wird sich die ursprünglich als „Schwestergesetz“ zur DSGVO geplante ePrivacy-Verordnung um mindestens dreieinhalb Jahre verzögern.

Damit bleibt die Frage weiterhin offen, ob die ePrivacy-Verordnung für Cookies und andere zu Werbezwecken genutzte Tracking-Mechanismen eine Einwilligung (also ein echtes Opt-in) der Nutzer erfordern wird.

Der letzte Beitrag widmete sich bereits der Frage, welche Position die deutschen Aufsichtsbehörden derweil auf der Grundlage des bestehenden Rechts (also der DSGVO und des deutschen Telemediengesetzes) in Fällen des Trackings zu Werbezwecken einnehmen. Jetzt verdichten sich die Zeichen für eine „vorauseilende Umsetzung“ der ePrivacy-Verordnung durch die (deutschen) Aufsichtsbehörden mit den Mitteln der DSGVO.

Das Positionspapier der DSK

Die deutsche Datenschutzkonferenz (DSK), die sich aus den Datenschutzbehörden des Bundes und der Länder zusammensetzt, hat im April 2018 in einem Positionspapier verlauten lassen, dass nach ihrer Auffassung als Rechtsgrundlage für den Einsatz von Tracking-Mechanismen zu Werbezwecken kein berechtigtes Interesse des Werbetreibenden, sondern lediglich die Einwilligung (Opt-in) der Nutzer in Frage kommt.

Natürlich handelt es sich bei so einem Positionspapier lediglich um eine Behörden-„Meinung“. Von ihr gehen keine echten Rechtswirkungen wie etwa von einem Gerichtsurteil oder einem Gesetz aus. Trotzdem verdeutlicht sie den Standpunkt der Datenschutzbehörden in Bezug auf die Interpretation des bestehenden Rechts. Ein für Ende 2018 angekündigtes Folgepapier lässt jedoch weiterhin auf sich warten.

Das BayLDA kündigt jetzt „Konsequenzen“ an

Anfang Februar kündigte jetzt das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) an, tatsächlich auf der Grundlage der DSGVO gegen Tracking zu Werbezwecken vorgehen zu wollen, sofern es ohne Einwilligung der Nutzer geschieht.

Anlässlich des „Safer Internet Day“ veröffentlichte das BayLDA das Ergebnis einer Untersuchung von 40 „bayerischen“ Websites auf ihre DSGVO-Konformität. Dabei ging das BayLDA ohne weitere Erläuterung von der Prämisse aus, dass die Verwendung von Tracking-Tools nicht nur eine Information in einer Datenschutzerklärung, sondern auch eine Einwilligung der Besucher erfordere:

BayLDA1

Abbildung 1: Nach Ansicht des BayLDA benötigt man für das Tracking zu Werbezwecken eine Einwilligung der User – und offenbar hält sich niemand an diese angebliche Regel (Quelle: BayLDA).

In einem weiteren Schritt verdeutlichte das BayLDA, dass die geforderte Einwilligung nicht in Form eines heute bereits vielfach verwendeten informatorischen „Cookie-Banners“ (nach ursprünglich britischem Vorbild), sondern in Form eines „Einwilligungs-Popups“ erfolgen muss, der eine echte Einwilligung im Sinne von Art. 7 DSGVO abfragt. (Ähnlich sehen das übrigens offenbar die Aufsichtsbehörden in Österreich und in den Niederlanden.)

BayLDA2

Abbildung 2: Nach Ansicht des BayLDA sind die bisher häufig verwendeten „Cookie-Banner“ für die angeblich erforderliche Einwilligung nicht ausreichend (Quelle: BayLDA).

Das BayLDA kündigte an, die Verhängung von Bußgeldern wegen Verletzung dieses angenommenen DSGVO-Verstoßes zu „prüfen“. Von der niedersächsischen Datenschutzbehörde ist Ähnliches zu hören; aus Hessen dagegen wird verlautbart, dass erst eine einheitliche Position gefunden werden müsse. Diesbezügliche Entscheidungen liegen bislang nicht vor.

Unsere Einschätzung

Wie bereits angedeutet ist diese unerwartet deutliche Position der bayerischen Aufsichtsbehörde nach wie vor verwunderlich, wo doch erstens die DSGVO in Erwägungsgrund 47 a.E. berechtigte Interessen als Rechtsgrundlage für das Online-Marketing ausdrücklich anerkennt und zweitens die Diskussion um eine Änderung dieses rechtlichen Zustands durch die ePrivacy-Verordnung wie dargestellt weiterhin andauert. Wir empfehlen daher, sich weiterhin auf die „herkömmliche“ Lösung mit einem einfachen Opt-out-Hinweis in der Datenschutzerklärung zu verlassen.

In Bezug auf die Position des BayLDA, das empört feststellt, dass 40 von 40 geprüften Websites die angeblichen Vorgaben der DSGVO zum Tracking nicht einhalten, sei der bekannte Witz vom Geisterfahrer auf der Autobahn erwähnt, der im Radio hört, wie vor ihm gewarnt wird und sich mit Blick auf die ihm entgegenkommenden Autos fragt: „Ein Geisterfahrer? Hunderte!“ Es bleibt insofern zu hoffen, dass sich das BayLDA an die eigene Stirn fasst und die eigene Position noch einmal überdenkt, bis für die ePrivacy-Verordnung eine Einigung gefunden ist.

Zur Verdeutlichung des aufgeworfenen Problems sei der aktuelle Stand der Diskussion noch einmal in einer Übersicht  zusammengefasst:

verwendete
Cookie-Lösung

Opt-out-Hinweis
in der Datenschutz-
erklärung

„Cookie-Banner“
(reiner Hinweis)

„Einwilligungs-
Popup“

User wird über das Tracking zu Werbe­zwecken informiert

User kann ein Opt-out erklären oder die Ein­willigung widerrufen

Cookie wird erst nach dem Einwilligungs-Klick gesetzt

X

X

User muss die Web­site auch ohne Einwilligungs-Klick verwenden können

*

aktuell
TMG-konform?

aktuell
DSGVO-konform?
unsere Ansicht:
Ansicht BayLDA: X
unsere Ansicht:
Ansicht BayLDA: X
unsere Ansicht:
Ansicht BayLDA:
zukünftig
ePrivacy-konform?

?

?

?

* Nach Ansicht der österreichischen Datenschutzbehörde sei es auch zulässig, für die Nutzung der Website ohne Tracking von den Usern eine Gebühr zu verlangen. Anderer Ansicht ist möglicherweise die niederländische Aufsichtsbehörde.