Einwilligung bei Social Plugins? Die Fashion ID-Entscheidung des EuGH

Der Betreiber einer Website, die den „Gefällt mir“-Button von Facebook enthält, kann für das Erheben und die Übermittlung der personenbezogenen Daten der Besucher seiner Website gemeinsam mit Facebook verantwortlich sein. Dagegen ist er grundsätzlich nicht verantwortlich für die spätere Verarbeitung dieser Daten durch Facebook. Zu diesem Ergebnis gelangt der Europäische Gerichtshof in seiner kürzlich veröffentlichen Entscheidung („Fashion ID“, Urteil in der Rechtssache C-40/17, Fashion ID GmbH & Co. KG/Verbraucherzentrale NRW eV).

In dem zugrundeliegenden Sachverhalt ging es darum, dass der Betreiber der „Fashion ID“-Website einen herkömmlichen „Gefällt mir“-Button von Facebook nutzte. Dagegen klagte die Verbraucherzentrale NRW mit der Begründung, die Einbindung des „Gefällt mir“-Buttons von Facebook setze eine Einwilligung der Website-Besucher voraus. Diese würde Fashion ID aber nicht einholen. Der EuGH bestätigte nunmehr diese Auffassung im wesentlichen, verwies den Rechtsstreit aber zurück an das zuständige Gericht.

Im Wesentlichen kam der EuGH zu folgendem Ergebnis:

Facebook und Websitebetreiber sind zum Teil gemeinsam verantwortlich

Der Betreiber einer Website, der in diese Website ein Social Plugin (zum Beispiel den „Gefällt mir“-Button von Facebook) einbindet, das den Browser des Besuchers dieser Website veranlasst, Inhalte des Anbieters dieses Plugins anzufordern und hierzu personenbezogene Daten des Besuchers an diesen Anbieter zu übermitteln, ist als „Verantwortlicher“ im datenschutzrechtlichen Sinne anzusehen. Diese Verantwortlichkeit ist jedoch auf die Vorgänge beschränkt, für die er tatsächlich über die Zwecke und Mittel entscheidet, das heißt

  • das Erheben der in Rede stehenden Daten und
  • deren Weitergabe durch Übermittlung an Facebook (beziehungsweise jeden anderen Anbieter eines Social Plugins).

Das „berechtigte Interesse“ muss bei Facebook und beim Website-Betreiber vorliegen

In einer Situation, in der der Betreiber einer Website in diese ein Social Plugin einbindet, ist es erforderlich, dass der Betreiber und der Anbieter (zum Beispiel Facebook) mit diesen Verarbeitungsvorgängen jeweils ein berechtigtes Interesse (Art. 7 Buchst. f der Richtlinie 95/46) wahrnehmen, damit diese Vorgänge für jeden von ihnen gerechtfertigt sind. Dies gilt freilich nur dann, wenn es überhaupt auf ein solches berechtigtes Interesse ankommt.

Einwilligung nur beim Einsatz von Cookies erforderlich, dann aber vor Erhebung der Daten?

in einer Situation wie der des Fashion ID-Verfahrens, in der der Betreiber einer Website in diese Website ein Social Plugin einbindet, ist eine Einwilligung durch den Betreiber einzuholen, allerdings nur in Bezug auf den Vorgang, für den bzw. für die dieser Betreiber tatsächlich über die Zwecke und Mittel entscheidet. Und nur unter der Voraussetzung, dass Cookies eingesetzt werden.

Was die Einwilligung selbst betrifft, so muss diese vor dem Erheben der Daten der betroffenen Personen und deren Übermittlung erklärt werden. Daher obliegt es dem Betreiber der Website und nicht dem Anbieter des Social Plugins, diese Einwilligung einzuholen, da der Verarbeitungsprozess der personenbezogenen Daten schon dadurch ausgelöst wird, dass ein Besucher diese Website aufruft.

Die Einwilligung, die dem Betreiber gegenüber zu erklären ist, betrifft jedoch nur den Vorgang oder die Verarbeitungsvorgänge, für die er tatsächlich über die Zwecke und Mittel entscheidet.

Auch Informationspflichten sind vom Website-Betreiber zu erfüllen

Auch die gesetzlichen Informationspflichten betreffen den Betreiber der Website, wobei dieser die betroffenen Personen jedoch wieder nur in Bezug auf die Verarbeitungsvorgänge informieren muss, für die der Betreiber tatsächlich über die Zwecke und Mittel entscheidet.

Praktische Konsequenzen für die Onlinebranche

Das Urteil enthält für eingeweihte Branchenteilnehmer nichts wirklich Neues. Zunächst ist allerdings darauf hinzuweisen, dass die Klage sowie das Urteil auf Basis der alten EU-Datenschutzrichtlinie von 1995 erfolgten, die mit Wirkung vom 25. Mai 2018 durch die Datenschutzgrundverordnung ersetzt wurde. Vermutlich dürfte der EuGH aber auch auf der Basis der heutigen DSGVO ähnlich entscheiden. Dennoch enthält das Urteil einige Besonderheiten:

Der EuGH hatte bereits im Juni 2018 entscheiden, dass Fanpagebetreiber für die Verarbeitung der Daten ihrer Besucher mitverantwortlich sind (Rechtssache C-210/16 „Wirtschaftsakademie“). Nun hat der EuGH entschieden, dass dieses weite Verständnis gemeinsamer Verantwortlichkeit auch für die „Gefällt mir“-Buttons von Socialmedia-Plattformen gilt. Neu ist allerdings, dass die Verantwortlichkeit dort endet, wo die Daten den Facebook-Konzern erreicht haben.

Der EuGH lässt jedoch erstaunlicherweise eine der wichtigsten Fragen der Onlinebranche offen, nämlich ob die Websitebetreiber immer eine Einwilligung für die Einbindung von Social Plugins, wie zum Beispiel Facebooks Like-Button benötigen oder ob ein „berechtigtes Interesse“ (Im Sinne von Art. 7 Buchst. f der alten Richtline beziehungsweise heute Art. 6 Abs. 1 Buchst. f DSGVO) für den Betreiber als Rechtfertigungsgrund ausreichen kann. Zwar betont der EuGH indirekt (Randziffern 89, 91), dass das Setzen eines Cookies nach der Datenschutzrichtlinie immer eine Einwilligung voraussetze. Ob dies aber auch dann gilt, wenn, wie zum Teil auch bei einem Like-Button, kein Cookie gesetzt wird, lässt der EuGH offenbar bewusst offen. Er lässt auch offen, wie genau eine Einwilligung im Fall eines Cookies auszusehen habe und damit auch die umstrittene Frage, ob auch eine stillschweigende Einwilligung ausreichend sein könnte. Der EuGH gelangt nur zu dem Ergebnis, dass, sollte ein berechtigtes Interesse ausreichen, dieses sowohl bei Facebook als auch bei dem Betreiber der Website vorliegen müsse.

Die Frage, ob das berechtigte Interesse jedoch generell als Rechtsgrundlage ausreichend sein kann oder nicht, war nämlich nicht Gegenstand der Entscheidung. Diese Frage ist jedoch für die Onlinebranche von kaum zu überschätzender praktischer Bedeutung. Folgt man der Auffassung der deutschen Aufsichtsbehörden, ist die Einwilligung – nicht nur für Social-Media-Buttons, sondern bei sämtlichen Tracking-Maßnahmen – immer einzuholen. Das gilt auch für die Auffassung der Aufsichtsbehörden anderer EU-Länder wie zum Beispiel die französische CNIL oder das britische ICO.

Folgt man dagegen der Ansicht vieler betroffener Unternehmen und Branchenverbände, so lassen sich viele Datenverarbeitungen auch durch Art. 6 Abs. 1 Buchst. f DSGVO rechtfertigen und damit durch das „berechtigte Interesse“ des Verantwortlichen. Der entscheidende Unterschied: Eine Einwilligung würde dann für die Einbindung des Like-Buttons nicht benötigt.

Wer jedoch auf Nummer sicher gehen will, sollte zukünftig eine Einwilligung seiner Nutzer einholen, und zwar vor der eigentlichen Erhebung der Daten. Wie das am besten zu geschehen hat, lassen auch die Aufsichtsbehörden trotz der kürzlich veröffentlichen „Orientierungshilfe zu Telemedien“ (gemeint sind unter anderem Websites) offen. Eine technische Lösung, die diesen Anforderungen gerecht wird ist, allerdings nur für Social Plugins, schon heute die so genannte 2-Klick-Lösung. Dabei wird der Like-Button zunächst nur als Bild ohne Funktion eingebunden. Klickt der Nutzer dann auf das Icon, wird die Einwilligung eingeholt, mit der dann der richtige Like Button nachgeladen wird. Wie aber im Übrigen, insbesondere beim Einsatz von Cookies, die Einwilligung einzuholen ist, bleibt auch nach dem Urteil des EuGH unklar. Es wird zukünftig sicherlich sinnvoll sein, hier mit so genannten Consent Management-Plattformen (CMPs) zu arbeiten oder noch besser das so genannte Transparency and Consent Framework (TCF) des Interactive Advertising Bureau zu nutzen.

Eines ist jedoch klar: In beiden Fällen (Einwilligung oder berechtigtes Interesse) haben die Betreiber Informationspflichten gegenüber ihren Besuchern zu erfüllen, allerdings nur für die die Daten, für die der Betreiber mitverantwortlich ist. Der Website-Betreiber muss dagegen keine Information darüber geben, wie Facebook diese Daten weiterverarbeitet. Diese Informationen muss Facebook selbst erteilen. Das ist jedenfalls eine gewisse Erleichterung.

Ferner führt die vom EuGH angenomme gemeinsame Verantwortlichkeit nach der DSGVO zu der  Verpflichtung für den Websitebetreiber, die datenschutzrechtlichen Pflichten in einer Vereinbarung gemäß Art. 26 DSGVO (ein Muster wird von den Aufsichtsbehörden zu Verfügung gestellt)  zu regeln. Eine solche Vereinbarung werden die Anbieter von Social Plugins vermutlich zukünftig bereitstellen.

Fazit: Was ist also zu tun bei Social Pugins?

  • mindestens 2- Klick Lösung anwenden
  • Entscheidung über generelle Einwilligungslösung fällen
  • beim Anbieter auf Vereinbarung nach Art. 26 DSGVO drängen
  • in der Datenschutzerklärung transparent auf Einbindung von Social Plugin hinweisen

Bei weiteren Fragen wenden Sie sich gerne an uns (eickmeier@unverzagt.law).

Französische Aufsichtsbehörde CNIL veröffentlicht Aktionsplan für zielgerichtete Online-Werbung

Am 28. Juni 2019 veröffentlichte die französische Datenschutzbehörde (die „CNIL“) ihren Aktionsplan für 2019-2020, um die Regeln für zielgerichtete Online-Werbung festzulegen und die Unternehmen bei ihren Compliance-Bemühungen zu unterstützen.

Hintergrund

Die CNIL hat beschlossen, die gezielte Online-Werbung für 2019 zu einer Priorität zu machen, und zwar aus folgenden Gründen:

Die CNIL hatte zahlreiche Beschwerden von Einzelpersonen und gemeinnützigen Einrichtungen, Organisationen und Verbänden über die Online-Marketing-Praktiken erhalten. Im Jahr 2018 bezogen sich 21% der Beschwerden auf diese Themen.

Gleichzeitig erhielt die CNIL viele Fragen von Branchenexperten, die bestrebt waren, ihre Verpflichtungen aus der EU-Generaldatenschutzverordnung („GDPR“) besser zu verstehen. Diese Fragen bezogen sich auf zwei Hauptthemen:

Vor diesem Hintergrund beschloss die CNIL, einen Aktionsplan zur Aktualisierung ihrer bestehenden Leitlinien im Lichte der GDPR-Zustimmungserfordernisse anzunehmen und nicht länger auf die Umsetzung der ePrivacy-Verordnung zu warten, mit der die EU-Vorschriften für Direktmarketing und die Verwendung von Cookies harmonisiert werden sollen.

Der Aktionsplan der CNIL für 2019-2020 besteht aus zwei Hauptschritten:

Schritt 1: Veröffentlichung neuer Cookie-Richtlinien im Juli 2019

Die CNIL – die französische Datenschutzaufsichtsbehörde – kündigte soeben an, dass sie im Juli 2019 ihre alten Empfehlungen für Cookies aus 2013 aufheben und neue Leitlinien veröffentlichen wird,  die auf einer EU-weiten einheitlichen Auslegung des EU Rechts basieren werden.

Die CNIL wird  für die französischen Unternehmen eine Übergangsfrist von 12 Monaten vorsehen, um den neuen Cookie-Richtlinien zu entsprechen. Während dieser Übergangszeit wird die CNIL weiterhin akzeptieren, dass auch konkludente Einwilligungen, wie etwa das weitere Durchsuchen einer Website, als stillschweigende Zustimmung zur Verwendung von Cookies auf der Website bedeuten können.

Während der Übergangszeit wird die CNIL jedoch verlangen, dass Cookies erst nach Einholung der Zustimmung gesetzt werden. Dies verlangen übrigens die deutschen Aufsichtsbehörden, die DSK, ebenfalls. Näheres hatten sie in der Orientierungshilfe Telemedien dargestellt. https://www.datenschutzkonferenz-online.de/media/oh/20190405_oh_tmg.pdf

Schritt 2:

In einem 2. Schritt wird eine Konsultation aller relevanten Interessengruppen zur Entwicklung von weiteren Empfehlungen bis Dezember 2019 – Anfang 2020 erfolgen. Die CNIL kündigte auch an, dass Arbeitsgruppen, die sich aus CNIL-Beamten und Interessengruppen des adtech-Ökosystems zusammensetzen (d.h. Web-Publisher, Werbetreibende, Dienstleister und Vermittler des Marketingökosystems und Vertreter der Zivilgesellschaft), in der zweiten Jahreshälfte 2019 zusammentreffen werden, um praktische Ansätze zur Erlangung der Zustimmung zu erarbeiten. Auf der Grundlage dieser Diskussionen wird die CNIL ihre Empfehlungen  Ende 2019 oder spätestens Anfang 2020 veröffentlichen. Diese Empfehlungsentwürfe werden der öffentlichen Konsultation zugänglich sein. Die CNIL wird die endgültige Fassung der Empfehlungen nach einem Zeitraum von sechs Monaten durchsetzen.

Kommt die ePrivacy-Verordnung – oder kommt sie nicht?

Erfreulicherweise hat sich die Bundesregierung am 29. März im Rahmen einer sogenannten kleinen Anfrage zum aktuellen Verfahrensstand der ePrivacy-VO geäußert. Kurz gefasst: Es wird noch lange Zeit dauern, bis die e Privacy-Verordnung wirklich kommt, jedenfalls geschieht das nicht mehr in diesem Jahr 2019.

Die ePrivacy-Verordnung, so die Bundesregierung, wurde unter der österreichischen Ratspräsidentschaft im 2. Halbjahr 2018 auf der Ebene der Ratsarbeitsgruppe weiter beraten. Österreich hat für den Ministerrat (Telekommunikation) am 4. Dezember 2018 einen Fortschrittsbericht vorgelegt und eine Aussprache durchgeführt.

Nachdem die derzeit amtierende rumänische Ratspräsidentschaft angekündigt hatte, die Themenfelder rund um den digitalen Binnenmarkt voranzutreiben, ist nun beabsichtigt, auch die Verhandlungen zur ePrivacy-Verordnung in diesem Halbjahr so weit wie möglich voranzubringen, gegebenenfalls auch bis hin zu einer Einigung im Rat. Derzeit wird der Vorschlag auf der Grundlage aktueller Präsidentschaftstexte weiterhin auf der Ebene der Ratsarbeitsgruppe diskutiert (die aktuellen Vorschläge der rumänischen Präsidentschaft sind online abrufbar). Ein genauer Zeitplan der Ratspräsidentschaft liegt jedoch nicht vor.

Ein Abschluss der Verhandlungen, so die Bundesregierung, vor den Europawahlen ist nach gegenwärtigem Sachstand eher unwahrscheinlich. Die Dauer der Beratungen sei dem Bemühen geschuldet, die unterschiedlichen Interessen aller beteiligten Kreise angemessen zum Ausgleich zu bringen. Käme es zu einer Einigung auf einen Ratstext, wäre dieser erst einmal Grundlage für weitere Verhandlungen mit dem Europäischen Parlament.

Was wird aus dem für die Werbewirtschaft so bedeutsame Kopplungsverbot bei der Einwilligung?

Auch dazu hat sich die Bundesregierung noch einmal geäußert: Die Bundesregierung hat im Zuge der Beratungen auf Ratsebene vorgeschlagen, dass werbefinanzierte Onlinedienste die Möglichkeit haben sollten, ihre Nutzung von der Einwilligung in Cookies für Werbezwecke abhängig zu machen. In diesem Zusammenhang hat die Bundesregierung weiterhin eine Regelung in der ePrivacy-Verordnung vorgeschlagen, dass Endnutzer im Browser selbst wirksame Einstellungen zum Schutz ihrer Privatsphäre vornehmen können. Dadurch sollen Anreize im Markt für verschiedene Optionen gesetzt werden, so auch für eine Bezahlvariante ohne Tracking.

Die Bundesregierung verweist insoweit auf die weiterhin laufenden Verhandlungen. Ziel ist vor allem, ein hohes Schutzniveau für die Vertraulichkeit von Kommunikationsdaten und zugleich den Spielraum für Innovation und digitale Geschäftsmodelle zu erhalten und die Datensouveränität zu stärken. Eine abschließende Meinungsbildung dazu steht noch aus.

Immerhin stellt sich die Bundesregierung mit dieser Aussage auf die Seite der Onlinewerbewirtschaft – die dringend auf eine Klärung dieser Frage angewiesen ist.

Die ePrivacyVO durch die Hintertür: Tracking nur noch mit Einwilligung?

ePrivacy-Verordnung: weiterhin keine Einigung in Sicht

Auch am Ende des ersten Quartals 2019 ist auf europäischer Ebene keine Einigung bezüglich der ePrivacy-Verordnung in Sicht: Auf der Suche nach einem Kompromiss hat der Europäische Rat lediglich neue Diskussionspapiere vorgelegt. Mittlerweile ist von einem Inkrafttreten nicht vor 2020 und einer Umsetzungsfrist von weiteren zwei Jahren auszugehen. Somit wird sich die ursprünglich als „Schwestergesetz“ zur DSGVO geplante ePrivacy-Verordnung um mindestens dreieinhalb Jahre verzögern.

Damit bleibt die Frage weiterhin offen, ob die ePrivacy-Verordnung für Cookies und andere zu Werbezwecken genutzte Tracking-Mechanismen eine Einwilligung (also ein echtes Opt-in) der Nutzer erfordern wird.

Der letzte Beitrag widmete sich bereits der Frage, welche Position die deutschen Aufsichtsbehörden derweil auf der Grundlage des bestehenden Rechts (also der DSGVO und des deutschen Telemediengesetzes) in Fällen des Trackings zu Werbezwecken einnehmen. Jetzt verdichten sich die Zeichen für eine „vorauseilende Umsetzung“ der ePrivacy-Verordnung durch die (deutschen) Aufsichtsbehörden mit den Mitteln der DSGVO.

Das Positionspapier der DSK

Die deutsche Datenschutzkonferenz (DSK), die sich aus den Datenschutzbehörden des Bundes und der Länder zusammensetzt, hat im April 2018 in einem Positionspapier verlauten lassen, dass nach ihrer Auffassung als Rechtsgrundlage für den Einsatz von Tracking-Mechanismen zu Werbezwecken kein berechtigtes Interesse des Werbetreibenden, sondern lediglich die Einwilligung (Opt-in) der Nutzer in Frage kommt.

Natürlich handelt es sich bei so einem Positionspapier lediglich um eine Behörden-„Meinung“. Von ihr gehen keine echten Rechtswirkungen wie etwa von einem Gerichtsurteil oder einem Gesetz aus. Trotzdem verdeutlicht sie den Standpunkt der Datenschutzbehörden in Bezug auf die Interpretation des bestehenden Rechts. Ein für Ende 2018 angekündigtes Folgepapier lässt jedoch weiterhin auf sich warten.

Das BayLDA kündigt jetzt „Konsequenzen“ an

Anfang Februar kündigte jetzt das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) an, tatsächlich auf der Grundlage der DSGVO gegen Tracking zu Werbezwecken vorgehen zu wollen, sofern es ohne Einwilligung der Nutzer geschieht.

Anlässlich des „Safer Internet Day“ veröffentlichte das BayLDA das Ergebnis einer Untersuchung von 40 „bayerischen“ Websites auf ihre DSGVO-Konformität. Dabei ging das BayLDA ohne weitere Erläuterung von der Prämisse aus, dass die Verwendung von Tracking-Tools nicht nur eine Information in einer Datenschutzerklärung, sondern auch eine Einwilligung der Besucher erfordere:

BayLDA1

Abbildung 1: Nach Ansicht des BayLDA benötigt man für das Tracking zu Werbezwecken eine Einwilligung der User – und offenbar hält sich niemand an diese angebliche Regel (Quelle: BayLDA).

In einem weiteren Schritt verdeutlichte das BayLDA, dass die geforderte Einwilligung nicht in Form eines heute bereits vielfach verwendeten informatorischen „Cookie-Banners“ (nach ursprünglich britischem Vorbild), sondern in Form eines „Einwilligungs-Popups“ erfolgen muss, der eine echte Einwilligung im Sinne von Art. 7 DSGVO abfragt. (Ähnlich sehen das übrigens offenbar die Aufsichtsbehörden in Österreich und in den Niederlanden.)

BayLDA2

Abbildung 2: Nach Ansicht des BayLDA sind die bisher häufig verwendeten „Cookie-Banner“ für die angeblich erforderliche Einwilligung nicht ausreichend (Quelle: BayLDA).

Das BayLDA kündigte an, die Verhängung von Bußgeldern wegen Verletzung dieses angenommenen DSGVO-Verstoßes zu „prüfen“. Von der niedersächsischen Datenschutzbehörde ist Ähnliches zu hören; aus Hessen dagegen wird verlautbart, dass erst eine einheitliche Position gefunden werden müsse. Diesbezügliche Entscheidungen liegen bislang nicht vor.

Unsere Einschätzung

Wie bereits angedeutet ist diese unerwartet deutliche Position der bayerischen Aufsichtsbehörde nach wie vor verwunderlich, wo doch erstens die DSGVO in Erwägungsgrund 47 a.E. berechtigte Interessen als Rechtsgrundlage für das Online-Marketing ausdrücklich anerkennt und zweitens die Diskussion um eine Änderung dieses rechtlichen Zustands durch die ePrivacy-Verordnung wie dargestellt weiterhin andauert. Wir empfehlen daher, sich weiterhin auf die „herkömmliche“ Lösung mit einem einfachen Opt-out-Hinweis in der Datenschutzerklärung zu verlassen.

In Bezug auf die Position des BayLDA, das empört feststellt, dass 40 von 40 geprüften Websites die angeblichen Vorgaben der DSGVO zum Tracking nicht einhalten, sei der bekannte Witz vom Geisterfahrer auf der Autobahn erwähnt, der im Radio hört, wie vor ihm gewarnt wird und sich mit Blick auf die ihm entgegenkommenden Autos fragt: „Ein Geisterfahrer? Hunderte!“ Es bleibt insofern zu hoffen, dass sich das BayLDA an die eigene Stirn fasst und die eigene Position noch einmal überdenkt, bis für die ePrivacy-Verordnung eine Einigung gefunden ist.

Zur Verdeutlichung des aufgeworfenen Problems sei der aktuelle Stand der Diskussion noch einmal in einer Übersicht  zusammengefasst:

verwendete
Cookie-Lösung

Opt-out-Hinweis
in der Datenschutz-
erklärung

„Cookie-Banner“
(reiner Hinweis)

„Einwilligungs-
Popup“

User wird über das Tracking zu Werbe­zwecken informiert

User kann ein Opt-out erklären oder die Ein­willigung widerrufen

Cookie wird erst nach dem Einwilligungs-Klick gesetzt

X

X

User muss die Web­site auch ohne Einwilligungs-Klick verwenden können

*

aktuell
TMG-konform?

aktuell
DSGVO-konform?
unsere Ansicht:
Ansicht BayLDA: X
unsere Ansicht:
Ansicht BayLDA: X
unsere Ansicht:
Ansicht BayLDA:
zukünftig
ePrivacy-konform?

?

?

?

* Nach Ansicht der österreichischen Datenschutzbehörde sei es auch zulässig, für die Nutzung der Website ohne Tracking von den Usern eine Gebühr zu verlangen. Anderer Ansicht ist möglicherweise die niederländische Aufsichtsbehörde.

Neues von der ePrivacy-Verordnung

Während fünf Monate nach Inkrafttreten der Datenschutzgrundverordnung zumindest vorerst wieder etwas Ruhe in der Onlinemarketing-Branche einkehrt, dauern die Verhandlungen zur ePrivacy-Verordnung im Europäischen Rat an. Nach dem ursprünglichen Plan der Europäischen Kommission hätte die ePrivacy-VO als „Schwestergesetz“ der DSGVO bereits im Mai in Kraft treten sollen – nach Druck insbesondere der deutschen Branchenverbände waren die Regierungen aber erst einmal wieder in die Beratungen eingetreten. Währenddessen machte sich Ungewissheit breit, insbesondere zu der wichtigen Frage, ob für das Online-Tracking zukünftig tatsächlich eine (vorherige und freiwillige) Einwilligung der betroffenen Nutzer eingeholt werden muss.

Seit vergangenen Freitag liegt nun ein neuer Entwurf der österreichischen Ratspräsidentschaft für die ePrivacy-Verordnung vor – wir haben uns aus diesem Anlass die Frage gestellt: Was ist eigentlich der Stand der Verhandlungen?

  • Der aktuelle Zeitplan: Eine Entscheidung zum weiteren Vorgehen – also eine Verabschiedung der Verordnung noch 2018 oder eine Vertagung bis nach der Europawahl im Mai 2019 – fällt in der zuständigen Arbeitsgruppe des Rats schon in den nächsten Tagen. Wir gehen derzeit eher vom zweiten Szenario aus. Zu bemerken ist dabei auch, dass der aktuell vorliegende Entwurf der österreichischen Ratspräsidentschaft eine zweijährige Übergangsfrist vorsieht, was die deutsche Bundesregierung auch unterstützt.
  • Der Stand der Verhandlungen: Bei einem Teil der Verhandlungspunkte wurde im Europäischen Rat bereits Einigung erzielt, viele Punkte sind jedoch nach wie vor offen. Insbesondere stellt sich die Frage, bei wie vielen Themen noch gar keine echte Diskussion stattgefunden hat und wo sich hier noch unsicheres Terrain auftun könnte.
  • Der geplante Regelungsansatz: Die Grundregel der ePrivacy-Verordnung ist nach wie vor, dass die dort geregelten Verarbeitungstatbestände der Einwilligung des Betroffenen bedürfen (es gibt also nicht sechs Rechtsgrundlagen wie in Art. 6 Abs. 1 DSGVO) – die Musik spielt dann aber im gesetzlichen Ausnahmekatalog.
  • Standortdaten: Aus unserer Sicht relevant ist zunächst, dass das Thema „Standortdaten“ und deren Nutzung noch vollkommen offen ist. Die deutsche Bundesregierung setzt sich dafür ein, eine – wie auch immer geartete – „pseudonymisierte“ Nutzung zu erlauben.
  • Cookies und Tracking: Vollkommen offen ist auch noch das Thema „Cookies“ (mit diesem Sammelbegriff meinen wir an dieser Stelle auch alle anderen Identifikations- und Trackingmechanismen) in Artikel 8 des ursprünglichen Entwurfs der Europäischen Kommission. Die deutsche Bundesregierung fordert, dass das Kopplungsverbot im Kommissionsentwurf dahingehend abgeschwächt werden soll, dass also werbefinanzierte Dienste nicht ohne Einwilligung nutzbar sein müssen. Spannend ist insbesondere vor diesem Hintergrund, dass der am vergangenen Freitag veröffentlichte neue Diskussionsentwurf der österreichischen Ratspräsidentschaft dazu vorsieht, Tracking in werbefinanzierten Diensten unter die Definition der Ausnahme „zur Erbringung eines Dienstes erforderlich“ zu fassen. Das wäre ein großer Erfolg für die Onlinemarketing-Branche, da dann die ePrivacy-Verordnung das bestehende Tracking im Wesentlichen nicht tangieren würde.
  • Browser-Lösung: Vollkommen offen ist der Vorschlag zur so genannten Browser-Lösung, dem Nutzer die Entscheidung über Tracking zu Marketing-Zwecken über seine Browser-Einstellungen zu überlassen (Artikel 10 des Kommissionsentwurfs). Die Bundesregierung und auch die französische Regierung unterstützen diese Idee, sie ist aber nach wie vor umstritten.
  • Keine Ausnahmen für KMU: Nicht geplant sind Ausnahmen für kleine und mittelständische Unternehmen. Das heißt, dass das Gesetz für alle Unternehmen gleichermaßen gelten wird. Im Wesentlichen werden aber von den neuen Regeln ohnehin nur spezialisierte Dienstleister unmittelbar betroffen sein.
  • Die Position der Aufsichtsbehörden: Bis zum Inkrafttreten der ePrivacy-Verordung stellt sich die Frage, inwieweit die Aufsichtsbehörden auf der Grundlage der DSGVO gegen das Tracking zu Werbezwecken vorgehen wollen, sofern es ohne Einwilligung der Nutzer geschieht. Aus unserer Sicht wäre das eine „vorauseilende Umsetzung“ der ePrivacy-Verordnung mit den Mitteln der DSGVO. Die deutschen Aufsichtsbehörden haben in einer gemeinsamen Positionsbestimmung Anfang des Jahres verlautbart, dass sie an ihrer Auffassung festhalten, dass das deutsche Telemediengesetz (genauer: § 15 Abs. 3) die ePrivacy-Richtlinie unvollständig (das heißt falsch) umsetzt. Für November ist offenbar eine Entscheidung über das weitere Vorgehen der Aufsichtsbehörden geplant. Dies hängt möglicherweise im Wesentlichen davon ab, wie der weitere Zeitplan zur ePrivacy-Verordnung aussieht. Völlig ignoriert wird dabei aus unserer Sicht nach wie vor die Existenz des Artikel 6 Abs. 1 lit. f DSGVO (Verarbeitung personenbezogener Daten auf der Grundlagen berechtigter Interessen) und des Erwägungsgrunds 47 a.E. („Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.“).
  • Unser Fazit: Die derzeitigen Entwicklungen im europäischen Rat sind aus Sicht der Onlinemarketing-Branche äußerst positiv zu bewerten. Es wird also keine Rückkehr zum reinen contextual advertising geben, wie ursprünglich zu befürchten war. Zu diskutieren bleibt, ob werbefinanzierte Inhalte das Modell der Zukunft bleiben, oder ob der Trend nicht doch hin zu registrierungsbasierten Diensten geht.