Zulässigkeit des Tracking nach der Datenschutz-Grundverordnung – die GDD bezieht Stellung zur Position der Datenschutzkonferenz

Am 26. April 2018 hat die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) ihre Position zur Anwendbarkeit des Telemediengesetzes (TMG) als nationales Gesetz neben der Datenschutz-Grundverordnung (DS-GVO) veröffentlicht. Nach Auffassung der DSK stellt der 4. Abschnitt des TMG keine Umsetzung der ePrivacy-Richtlinie dar und genießt deswegen keinen Anwendungsvorrang als spezialgesetzliche Regelung für die Verarbeitung in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste auf Grundlage des Art. 95 DS-GVO. Die GDD stimmt mit der DSK überein, dass für die Beurteilung der Rechtmäßigkeit der Reichweitenmessung und des Einsatzes von Tracking-Mechanismen ab dem 25.05.2018 ausschließlich die DS-GVO einschlägig ist. Folglich kommen als Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch Diensteanbieter von Telemedien Art. 6 Abs. 1, insbesondere lit. a, b und f DS-GVO in Betracht.

Technisch notwendige Verarbeitungen für die Bereitstellung eines Dienstes sind unstrittig nach Art. 6 Abs. 1 lit. b oder f DS-GVO zulässig. Divergenz besteht hingegen hinsichtlich der Rechtsgrundlage beim Einsatz von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen. Der Auffassung der DSK nach ist das Tracking von Nutzern wie z.B. durch Analysetools wie Google Analytics oder durch Werbetracker nur noch durch eine explizite Einwilligung des Nutzers legitimiert, auch wenn es lediglich in pseudonymisierter Form erfolgt. Werbung stellt jedoch nach der DS-GVO grundsätzlich ein berechtigtes Interesse im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DS-GVO dar, das dem Regelungsverständnis der DS-GVO nach jedenfalls grundsätzlich nicht von einer Einwilligung abhängig ist. Wenn nach ErwG. 47 DS-GVO die Direktwerbung ein berechtigtes Interesse des werbenden Unternehmens sein kann, muss in der Konsequenz auch das Tracking von Nutzerverhalten als weniger stark in das Persönlichkeitsrecht eingreifende Maßnahme grundsätzlich zulässig sein. Danach dürften Cookies im Rahmen der Werbung, die keine sensiblen Daten betreffen und nicht auf Personenbezug schließen lassen (wie sie derzeit nach § 15 Abs. 3 TMG gestattet sind), ein berechtigtes Interesse der datenverarbeitenden Unternehmen darstellen. Die Anzeige etwaiger zielgerichteter Werbung ist in der Regel transparent für die betroffene Person. Insofern bestehen gerade bei pseudonymer Nutzung der personenbezogenen Daten der betroffenen Person für die Zwecke des Online-Marketings und der Online-Werbung keine Bedenken, im Rahmen des Art. 6 Abs. 1 lit. f DS-GVO die Abwägung zu Gunsten des Verantwortlichen zuzulassen. Entscheidend für die Zulässigkeit nach Art. 6 Abs. 1 lit. f DS-GVO ist, welche Ziele bei der Datenverarbeitung verfolgt werden. Sofern Daten in Verbindung mit Personendaten von Nutzern gebracht werden oder Daten über ein umfassendes Werbenetzwerk hinweg erhoben werden, lässt sich die Beeinträchtigung des Betroffenen als erheblich qualifizieren. Die beim Online-Tracking webseiten- und sogar geräteübergreifend erstellten Nutzungsprofile sind nicht derart schwerwiegend, dass sie „die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen“. Durch die Pseudonymisierung wird den schutzwürdigen Interessen der Nutzer Rechnung getragen.

Die Kommentierung dieser Thematik von Schwartmann/Klein finden Sie im Heidelberger Kommentar der DS-GVO/BDSG ab Rn. 138 ff. frei abrufbar unter: https://mediendb.cfmueller.de/cfmueller/texte/leseprobe/9783811447127_leseprobe_02.pdf#page=3.

Quelle: Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V.