DSK Positionspapier: Tracking-Mechanismen erfordern vorherige Einwilligung
Ursprünglich sollte die ePrivacy-Verordnung entsprechend dem Kommissionsentwurf zusammen mit der DSGVO in Kraft treten und Geltung erlangen. Die Verordnung sollte zusätzlich zur DS-GVO die Vorgaben zur elektronischen Kommunikation ergänzen. Da sich das Gesetzgebungsverfahren jedoch erheblich verzögert, wird die Verordnung wohl nicht mehr im Jahr 2018 in Kraft treten.
Somit ergeben sich Probleme im Hinblick auf die Anwendbarkeit des nationalen Rechts gegenüber der DSGVO. Zur Klarstellung der Anwendbarkeit des Telemediengesetzes (TMG), welches bisher nicht an die DSGVO angepasst wurde, für nicht-öffentliche Stellen hat die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder nun ein Positionspapier herausgegeben (https://www.ldi.nrw.de/mainmenu_Datenschutz/submenu_Technik/Inhalt/TechnikundOrganisation/Inhalt/Zur-Anwendbarkeit-des-TMG-fuer-nicht-oeffentliche-Stellen-ab-dem-25_-Mai-2018/Positionsbestimmung-TMG.pdf).Wie äußert sich das Positionspapier zur Anwendbarkeit des TMG?
Grundsätzlich gilt, dass die DSGVO Anwendungsvorrang vor den Bestimmungen des TMG hat. Daher stellt sich für Rechtsanwender die Frage, inwiefern die datenschutzrechtlichen Regelungen des TMG weiterhin anwendbar sind.
Dem dritten Punkt des Positionspapiers entsprechend findet die Kollisionsregel des Artikels 95 DSGVO keine Anwendung auf die datenschutzrechtlichen Regelungen des Abschnitts 4 des TMG, da diese Vorschiften eine Umsetzung der Datenschutzrichtlinie waren, die durch die DSGVO abgelöst wird. Somit gilt der Anwendungsvorrang der DSGVO auch für Abschnitt 4 des TMG.
Welche Folgen hat der Anwendungsvorrang der DSGVO für die Verwendung von Tracking-Tools?
Aus Ziffer 6 des Positionspapiers ergibt sich, dass die Verarbeitung personenbezogener Daten durch Diensteanbieter von Telemedien nur noch nach den Rechtsgrundlagen des Art. 6 Abs. 1, insbesondere die Buchstaben a), b) und f) DSGVO erfolgen darf.
Somit wird in Ziffer 9 deutlich, dass Tracking-Mechanismen jedenfalls einer informierten Einwilligung in Form einer Erklärung oder sonstigen bestätigenden Handlung bedürfen, um die Datenverarbeitung zu ermöglichen.
Das bedeutet, dass zukünftig jegliche Tracking-Maßnahmen (z. Bsp. Cookies oder Google Analytics) einer vorherigen Zustimmung bedürfen. Nutzt man Cookies oder Google Analytics, muss der Nutzer dem mittels eines Opt-In oder anderer bestätigender Handlung zustimmen. Stimmt der Nutzer dem nicht zu, können die Tracking-Tools nicht verwendet werden. Der Webseitenbesuch kann dann ohne Zustimmung entweder nicht erfolgen oder es werden keine Tracking-Tools genutzt.
Jeder, der Tracking-Tools nutzt, hat also dementsprechend seinen Internetauftritt zu gestalten. Dies kann, wie bereits erwähnt, mit einem Opt-In, verbunden mit einer Datenschutzinformation zum genutzten Tool erfolgen. Damit wäre eine informierte Zustimmung gewährleistet. Eine entsprechende Anpassung der Webseiten sollte also bis zum Inkrafttreten der DSGVO durchgeführt werden.
Zu kritisieren ist sicherlich auch hier wieder der Zeitpunkt einer solchen Klarstellung mit so einschneidenden Folgen kurz vor Inkrafttreten der DSGVO. Letztlich bleibt zu hoffen, dass dieses Vorgehen nur im Zeitraum zwischen Inkrafttreten der DSGVO und der ePrivacy-Verordnung Bestand haben wird. Denn mit der ePrivacy-Verordnung besteht die Chance, dass die Regelungen zu Tracking-Mechanismen präzisiert und ergänzt werden.