Am 10. Februar 2021 hat das Bundeskabinett den Entwurf zum Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (kurz: Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG)) beschlossen. Durch das TTSDG soll Rechtsklarheit für den Datenschutz und den Schutz der Privatsphäre in der digitalen Welt geschaffen werden.
Das TTDSG vereint Datenschutzbestimmungen aus dem Telekommunikationsgesetz (TKG) und dem Telemediengesetz (TMG) und hat diese Regelungen auch an die europäischen Vorgaben, insbesondere die Datenschutzgrundverordnung (DSGVO) angepasst.
Besonders hervorzuheben ist die enthaltene Regelung zum Einsatz von Cookies. Dies ist zwar schon seit längerer Zeit durch die europäische ePrivacy-Richtlinie geregelt, wurde aber im deutschen Recht bisher nie umgesetzt. So ist im TTDSG vorgeschrieben, dass das Speichern von und der Zugriff auf Cookies nur dann erlaubt ist, wenn der Endnutzer eingewilligt hat. Diese Einwilligung hat nach der Maßgabe der DSGVO zu erfolgen, d.h. sie muss freiwillig, auf Grundlage von klaren und umfassenden Informationen erfolgen und jederzeit widerruflich sein. Eine Einwilligung soll nur dann nicht erforderlich sein, wenn die Speicherung von oder der Zugriff auf die Informationen technisch notwendig sind.
Nun muss der Bundestag dem Gesetzesentwurf noch zustimmen. Wir werden hierzu weiter berichten.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Cookie-Banner sind mittlerweile beim Surfen im Internet unumgänglich. Damit fragen die Webseitenbetreiber die Besucher, ob sie mit einem Cookie Daten auf der Festplatte des Besuchers speichern dürfen. Diese Cookies können anschließend dann unter anderem dazu verwendet werden, um individualisiert Werbung zu platzieren.
Gestern hat der Bundesgerichtshof (BGH) entschieden, dass: "für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist".
Konkret ging es um eine Auseinandersetzung zwischen dem Bundesverband der Verbraucherzentralen und Planet49, einem Anbieter von Online-Gewinnspielen. Der Bundesverband hatte bemängelt, dass bei der Webseite von Planet49 bereits ein Haken im Feld zur Cookie-Einwilligung gesetzt war. Welches der Webseitenbesucher aktiv entfernen musste.
Die Karlsruher Richter urteilten nun, dass diese Art der Cookie-Einwilligung den Webseitenbesucher unangemessen benachteiligt. Damit bestätigen sie die europäischen Vorschriften, gemäß denen Webseitenbesucher dem Setzen von nicht technisch notwendigen Cookies aktiv zustimmen müssen.
Denn bereits der Europäische Gerichtshof (EuGH) hatte im Oktober 2019 ein solches Vorgehen für unzulässig erklärt. Nur die aktive Einwilligung erlaubt das nicht technisch notwendige Tracking auf Webseiten. Dieses Vorgehen entsprach auch unserer Beratungspraxis in den letzten Monaten.
Der BHG habe gestern das deutsche Telemediengesetz nach den Vorgaben der seit zwei Jahren geltenden EU-Datenschutzgrundverordnung ausgelegt, sagte der Vorsitzende Richter Thomas Koch.
Somit herrscht nun endlich Klarheit und Rechtssicherheit beim Umgang mit Cookies und jeder Webseitenbetreiber kann sich klar an den Vorgaben orientieren. An der aktiven Einwilligung bei technisch nicht notwendigen Cookies kommt man spätestens seit dem BGH Urteil vom 28.05.2020 nicht mehr vorbei. Andernfalls riskiert man an dieser Stelle ein empfindliches Bußgeld.
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin
Am 01.10.2019 erging ein entscheidendes Urteil des EuGH zum Einsatz von Cookies. Der EuGH hat Folgendes dabei klargestellt:
- Das Endgerät des Website-Besuchers und die in diesen Geräten gespeicherten Informationen sind Teil seiner Privatsphäre.
- Die Einwilligung in das Platzieren und Abrufen der Cookies muss durch eine aktive Handlung erfolgen, etwa durch Anklicken eines Kästchens. Der Haken darf nicht bereits voreingestellt sein.
- Der Website-Besucher muss vollständig über die verwendeten Cookies und deren Funktionsweise informiert werden.
Aus dem Urteil ergeben sich folgende Aufgaben für Website-Betreiber:
Cookies überprüfen
Auch wenn es im Urteil nicht explizit erwähnt wird, so dürfen für den Betrieb einer Website technisch notwendige Cookies auch weiterhin ohne Einwilligung eingesetzt werden, bspw. Cookies zur Benutzer-Authentifizierung im Log-In-Bereich einer Website. Für alle anderen - und das dürfte der Großteil der verwendeten Cookies sein - muss die Einwilligung eingeholt werden.
HINWEIS: Es ist notwendig, dass der Betreiber die Funktionsweise der Cookies und etwaige Empfänger kennt. Andernfalls kann er die Website-Besucher nicht ausreichend hierüber in der Datenschutzerklärung informieren.
Einwilligung einholen
Über ein Auswahlmenü muss es den Website-Besuchern möglich sein, die jeweiligen Cookies bzw. Cookie-Kategorien auszuwählen und sich hierüber gezielt zu informieren (u.a. zu den Zwecken, Empfängern und zur Speicherdauer), um dann zu entscheiden, ob sie diese aktivieren möchten oder nicht.
Bis zur Erteilung der Einwilligung oder wenn keine Einwilligung erteilt wird, dürfen die Cookies nicht platziert werden.
Widerruf beachten
Da die Website Besucher ihre erteilte Einwilligung auch jederzeit widerrufen können, sollte eine Widerrufslösung technisch implementiert werden.
Vorgaben der Aufsichtsbehörden umsetzen
Der EuGH hat in seinem Urteil die Auffassung der deutschen Aufsichtsbehörden vom 26. April 2018 bestätigt.
HINWEIS: Die Aufsichtsbehörden verlangen aber nicht nur eine Einwilligung für das Setzen von Cookies, sondern für alle Verfahren, bei denen potentiell Daten und Informationen zu den Website-Besuchern gesammelt werden, ohne dass dies für den Betrieb der Website erforderlich ist, bspw. auch für Verfahren zur Verfolgung der Website-Besucher durch Zählpixel oder Browser-Fingerprinting. Auch diese Verfahren sollten daher in die technische Einwilligungslösung einbezogen werden.
S. Kieselmann
Beraterin für Datenschutz
Die Datenschutzgrundverordnung (DSGVO) beschäftigt immer noch sehr viele Unternehmen, nun steht schon die Verordnung über Privatsphäre und elektronische Kommunikation (ePrivacy-Verordnung (ePVO)) vor der Tür. Ursprünglich sollte sie schon mit der DSGVO in Kraft treten, dies wird nun aller Wahrscheinlichkeit nach 2020 der Fall sein.
Die ePVO ist eine EU-Verordnung, die nach ihrem Inkrafttreten sofort innerhalb der EU gilt. Eine Umsetzung durch die Mitgliedsstaaten ist nicht erforderlich. Die ePVO soll personenbezogene Daten in der elektronischen Kommunikation schützen. Sie ist ein Spezialgesetz zur DSGVO und soll diese bezüglich elektronischer Kommunikationsdaten präzisieren und ergänzen.
Sachlicher Anwendungsbereich
Nach Art. 2 Abs. 2 des Entwurfs gilt die Verordnung für
- die Verarbeitung von elektronischen Kommunikationsinhalten und von Metadaten der elektronischen Kommunikation, die im Zusammenhang mit der Bereitstellung und Nutzung von elektronischen Kommunikationsdiensten durchgeführt werden;
- Informationen über die Endgeräte der Endverbraucher
- das Angebot eines öffentlich zugänglichen Verzeichnisses der Endnutzer elektronischer Kommunikationsdienste;
- die Versendung von Direktmarketing-Mitteilungen an die Endverbraucher.
Von der ePVO betroffen sind daher u.a.:
- Messenger-Dienste
- Internettelefonie
- Webbasierte E-Mail-Dienste
- Soziale Medien
- Internetzugang
Wesentliche Inhalte
- Endnutzer sollen in regelmäßigen Abständen von max. 12 Monaten an die Möglichkeit des Widerrufs ihrer Einwilligung zur Verarbeitung elektronischer Kommunikationsdaten erinnert werden, Art. 4a Abs. 3 des Entwurfs.
- Die Möglichkeit der Rufnummerunterdrückung soll den Endnutzern auf einfache Weise und kostenlos zur Verfügung gestellt werden, Art. 12 des Entwurfs.
- Die Endnutzer sollen außerdem kostenlos die Möglichkeit bekommen eingehende Anrufe von bestimmten Rufnummern oder anonymen Quellen zu sperren und eine von einem Dritten veranlasste automatische Anrufweiterschaltung zur Endeinrichtung des Endnutzers abzuschalten, Art. 14 des Entwurfs.
- Die Aufnahme personenbezogener Daten der Endnutzer in öffentlich zugängliche Verzeichnisse (z.B. Telefonbücher) ist nur mit Einwilligung des Endnutzers möglich. Die Mitgliedsstaaten dürfen hier jedoch eine Widerspruchslösung einführen, d.h. dass die Einwilligung des Endnutzers als erteilt gilt, solange er nicht widerspricht, Art. 15 des Entwurfs.
- Direktwerbung ist nach Art. 16 des Entwurfs unerwünschte Kommunikation. Eine Direktwerbung über elektronische Kommunikationsdienste darf nur mit Einwilligung des Endnutzers erfolgen. Wurden die elektronischen Kontaktangaben durch den Verkauf eines Produkts oder einer Dienstleistung erlangt, dürfen diese nur für eigene ähnliche Produkte oder Dienstleistungen verwendet werden und nur dann, wenn dem Kunden ein Widerspruchsrecht eingeräumt wird.
Cookies
Derzeit lassen die meisten Browser Cookies zu, wenn der Nutzer nicht erweiterte Sicherheitseinstellungen aktiviert hat. In Deutschland verlangen die Aufsichtsbehörden aber schon jetzt, dass die Nutzer für das Setzen von Cookies mit einer Opt-In-Lösung ihre ausdrückliche Zustimmung erteilen. Die Aufsichtsbehörden im EU-Ausland sehen dies jedoch anders und verlangen datenschutzrechtlich momentan keine Zustimmung der Nutzer für den Einsatz von Cookies, sondern der Nutzer kann dem mithilfe der auf den meisten Webseiten genutzten Opt-Out-Lösung widersprechen. Diese Opt-Out-Lösung für den Einsatz von Cookies wird aber nach Inkrafttreten der ePVO nicht mehr ausreichend sein. Dadurch entfällt mit Inkrafttreten der ePVO die diesbezüglich herrschende Rechtsunsicherheit, da alle Webseiten in allen Mitgliedsstaaten dann einheitlich auf Grundlage der ePVO behandelt werden und eine solche Opt-In-Lösung implementieren müssen. Auch in Browsern sollen sich die Regel-Einstellungen dahingehend ändern, dass Cookies grundsätzlich gesperrt sind und die Aktivierung explizit durch die Nutzer vorgenommen werden muss.
Bußgelder
Art. 83 DSGVO soll auf die Verhängung von Bußgeldern nach der ePVO entsprechende Anwendung finden. Der Bußgeldrahmen liegt also auch bei Verstößen gegen die ePVO bei bis zu 20 Millionen Euro oder 4% des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist.
Bußgelder kommen nach Art. 23 des Entwurfs insbesondere in Betracht bei
- Verstößen gegen den Grundsatz der Vertraulichkeit und Kommunikation
- unerlaubter Verarbeitung elektronischer Kommunikationsdaten
- Verstößen gegen die Löschfristen der ePVO
- Nichtbefolgung einer Anweisung der Aufsichtsbehörde
Die konsolidierte Entwurfsfassung der ePVO vom 12. Juli 2019 sieht eine Übergangsfrist von zwei Jahren vor. Trotzdem sollte man nicht bis zum letzten Tag warten, sondern sollte sich schon rechtzeitig auf die ePVO vorbereiten und an einer entsprechenden Umsetzung arbeiten. Dabei unterstützen wir Sie gerne, kommen Sie bei Fragen einfach auf uns zu.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Der Europäische Gerichtshof (EuGH) hat am 29.07.2019 über die Konsequenzen einer Einbindung des Facebook-Like-Buttons auf der Website entschieden. Seitenbetreiber müssen die Nutzer in diesem Fall informieren und deren Einwilligung einholen.
Schon lange findet man den Like-Button als Social-Media-Plugin auch auf Webseiten außerhalb von Facebook. Die Seitenbesucher können dadurch ihre Meinung kundtun und Inhalte schnell und unkompliziert auf Facebook teilen.
Das Problem am Like-Button ist, dass die Website, auf der er eingebunden ist, Daten an Facebook überträgt – und zwar mit Öffnen der Website und unabhängig davon, ob der Like-Button betätigt wird oder man überhaupt bei Facebook angemeldet oder registriert ist. Zu diesen Daten gehören z.B. die IP-Adresse und Cookies.
Der EuGH hat sich nun mit der Frage beschäftigt, wer für den Like-Button verantwortlich ist, und hat sich – ähnlich wie bei seiner Entscheidung zu Facebook-Fanpage-Betreibern – für eine gemeinsame Verantwortlichkeit von Facebook und dem Webseitenbetreiber entschieden. Denn der Seitenbetreiber und Facebook entscheiden auch gemeinsam über die Mittel und Zwecke des Datentransfers. Dies gilt allerdings nur für die Erhebung und Übermittlung der Daten an Facebook, nicht jedoch für die spätere Datenverarbeitung durch Facebook.
Konsequenz dieses Urteils ist, dass die Webseitenbetreiber die Seitenbesucher hinsichtlich dieser Datenerhebung und -übermittlung informieren und deren Einwilligung diesbezüglich einholen müssen. Dies kann beispielsweise durch ein Pop-Up geschehen, das auf die Datenschutzerklärung verweist und in dem die Seitenbesucher explizit die Social-Media-Funktionen aktivieren können.
Auch andere Anbeiter, wie z.B. Google, Twitter oder Pinterest, bieten solche Social Plugins an. Aufgrund des EuGH-Urteils sollten auch in diesen Fällen die Seitenbesucher entsprechend informiert und deren Einwilligung eingeholt werden. Andere Plugins, die ähnlich funktionieren, z.B. von Werbeanbietern, dürften davon ebenfalls betroffen sein.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Etwas mehr als ein Jahr ist es her, dass die Datenschutzkonferenz (DSK, Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder) kurz bevor es mit der DSGVO ernst wurde verkündete, dass vor dem Einsatz von Tracking-Tools auf jeden Fall eine Einwilligung benötigt werde (wir berichteten, siehe Blog "Datenschutzkonferenz legt Regelung zur Einwilligung bei Cookies neu aus").
Daher beraten wir unserer Kunden seitdem entsprechend und weisen immer wieder darauf hin, dass eine explizite Einwilligung benötigt wird, und zwar bereits bevor das Tracking aktiv wird.
Das Bayerische Landesamt für Datenschutzaufsicht hat in den Wintermonaten viele Webseiten geprüft und kommt zu einem eindeutigen Ergebnis: Von 40 geprüften Webseiten war keine einzige Einwilligung wirksam.
Nun haben sich erfreulicherweise sowohl die DSK als auch der Landesbeauftrage für den Datenschutz und die Informationssicherheit Baden-Württemberg nochmals zu dem Thema geäußert. Demnach können prinzipiell auch das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO den Einsatz von Tracking-Tools rechtfertigen. Allerdings ist hier bekanntermaßen eine Abwägung zwischen den Interessen des Verantwortlichen und den Interessen der betroffenen Personen vorzunehmen, die tendenziell eher zugunsten der Nutzer ausfallen dürfte, zumindest wenn die Daten an Dritte weitergegeben werden. Der LfDI Baden-Württemberg geht jedoch davon aus, dass z.B. lokal installierten Trackingtools ohne Weitergabe der Daten an Dritte zumindest ohne Einwilligung aufgrund des berechtigten Interesses zulässig wären.
Sie können bestimmte Tracking-Tools also auch ohne vorherige Einwilligung einsetzen!
Dabei ist zwingend folgendes zu beachten:
- Die Tools müssen lokal installiert sein.
- Daten dürfen nicht an Dritte weitergeben werden.
- In der Datenschutzerklärung muss über den Einsatz der Tools informiert werden. Dort darf auch der Hinweis auf das Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO nicht fehlen.
Wenden Sie sich bei Fragen gerne an uns.
C. Lürmann
Rechtsanwältin
Consultant für Datenschutz