Data protection
Digital Omnibus und § 25 TDDDG: Die Auswirkungen auf Reichweitenmessung
by Redaktion
Die Europäische Kommission hat sich ein ehrgeiziges Ziel gesetzt: Digitale Regulierung soll einfacher, verständlicher und innovationsfreundlicher werden. Mit dem sogenannten „Digital Omnibus“, zu dem wir bereits im Mai berichtet haben, sollen deshalb verschiedene Vorschriften des europäischen Digital- und Datenschutzrechts überarbeitet werden.
Dazu gehören auch die Vorschriften der DSGVO und des Art. 5 Abs. 3 der Richtlinie 2002/58/EG (Datenschutzrichtlinie für elektronische Kommunikation, auch e-privacy Richtlinie genannt), der in § 25 TDDDG (Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten) umgesetzt ist.
Die Norm regelt, dass es grundsätzlich einer Einwilligung bedarf, bevor Informationen auf dem Endgerät von Nutzenden gespeichert oder ausgelesen werden. Die gesetzlichen Ausnahmen sind bislang eng gefasst. Ein Zugriff ohne Einwilligung ist grundsätzlich nur zulässig, wenn er technisch erforderlich ist, um einen vom Nutzenden gewünschten Dienst bereitzustellen.
In der Folge verfügt fast jede Website über Consent-Banner. Wie auch die Europäische Kommission im Omnibus-Dokument zurecht bemerkt, führt das zu einer gewissen „Einwilligungsmüdigkeit“. Nutzende klicken reflexartig auf „Akzeptieren“ oder „Ablehnen“, ohne sich tatsächlich mit den Informationen auseinanderzusetzen. Besondere Relevanz hat die Einwilligungspflicht für das Tracking von Nutzenden. Website-Betreibende messen bspw. die Reichweite, um zu verstehen, wie ihre Website genutzt wird und wo Optimierungspotenziale bestehen. Die gewonnenen Erkenntnisse helfen dabei, Inhalte, Nutzendenfreundlichkeit und technische Leistung der Website zu verbessern.
In den vergangenen Jahren haben zahlreiche Dienstleister:innen, wie bspw. Matomo, sogenannte cookieless Tracking-Lösungen entwickelt. Cookieless Tracking verzichtet auf das Setzen von Cookies, stattdessen kommen – je nach Dienst - Verfahren wie serverseitiges Tracking, First-Party-Daten, kontextuelle Analysen oder Geräte-Fingerprinting zum Einsatz. Dahinter steht die (oft unberechtigte) Erwartung, dass der Verzicht auf Cookies auch die Einwilligungspflicht entfallen ließe und Banner damit vermieden werden können.
Zwar hat die französische Datenschutzbehörde CNIL (Commission nationale de l’informatique et des libertés) unter Heranziehung der Ausnahmeregelung des Art. 5 Abs. 3 der Richtlinie 2002/58/EG bereits früh Leitlinien veröffentlicht, nach denen bestimmte datenschutzfreundlich ausgestaltete Reichweitenmessungen ohne Einwilligung zulässig sein können. Die CNIL verargumentiert die Zulässigkeit im Sinne der Ausnahme des Art. 5 Abs. 3 der Richtlinie, soweit die Nutzungsanalyse rein statistisch ist und kein Eingriff in die Privatsphäre durch bspw. Profiling oder Datenübermittlung an Dritte vorliegt. Das Tracking könne dann als erforderlich bewertet werden.
Der deutsche Bundesbeauftragte für den Datenschutz und die Informationsfreiheit legte in seiner Stellungnahme allerdings einen deutlich strengeren Maßstab an. Wegen der restriktiven Auslegung der Ausnahme erfordere auch cookieless-Tracking nach wie vor eine Einwilligung, weil eine Website grundsätzlich auch ohne Nutzungsanalyse – egal wie eingeschränkt – funktioniere.
Diese unterschiedlichen Sichtweisen führen dazu, dass Unternehmen ihre Analysekonzepte innerhalb Europas teilweise unterschiedlich ausgestaltet haben.
Der Reformvorschlag der Kommission setzt hier an. Statt die Regeln zum Zugriff auf Endgeräte weiterhin ausschließlich im ePrivacy-Regime zu verorten, sollen wesentliche Vorgaben künftig unmittelbar in der DSGVO geregelt werden.
Besonders relevant sind dabei die vorgesehenen neuen Artikel 88a und 88b DSGVO.
Der neue Artikel 88a soll bestimmte Konstellationen definieren, in denen ein Zugriff auf Endgeräte auch ohne Einwilligung zulässig sein kann. Neben der bereits bekannten technischen Erforderlichkeit betrifft dies insbesondere Sicherheitszwecke sowie – nun ausdrücklich - bestimmte Formen der Reichweitenmessung. So soll es zukünftig in § 88a Abs. 3 Nr. c DSGVO heißen: „Die Speicherung personenbezogener Daten oder der Zugriff auf bereits gespeicherte personenbezogene Daten in der Endeinrichtung einer natürlichen Person ohne Einwilligung und die anschließende Verarbeitung sind rechtmäßig, soweit sie für einen der folgenden Zwecke erforderlich sind: Erstellung aggregierter Informationen über die Nutzung eines Online-Dienstes zur Messung der Zielgruppe eines solchen Dienstes, wenn sie von dem für diesen Online-Dienst Verantwortlichen ausschließlich für seine eigene Nutzung durchgeführt wird“. Damit würde die privatsphärefreundliche Reichweitenmessung ausdrücklich Regelungsgegenstand.
Der Gesetzgeber erkennt damit grundsätzlich an, dass Betreibende ein legitimes Interesse daran haben, die Nutzung ihrer eigenen Angebote zu analysieren. Die Messung von Besuchendenzahlen, Seitenaufrufen oder Nutzungspfaden soll daher unter den Voraussetzungen des § 88a Abs. 3 Nr. c DSGVO nicht mehr von einer vorherigen Einwilligung abhängig sein.
Sollte dieser Ansatz im weiteren Gesetzgebungsverfahren Bestand haben, wäre dies insbesondere für Unternehmen interessant, die auf datensparsame First-Party-Analytics setzen und auf Consent-Banner verzichten wollen. Die rechtliche Attraktivität von datenschutzfreundlichen Lösungen, die auf Aggregierung und eine ausschließliche Nutzung für eigene Analysezwecke setzen, dürfte steigen. Zur Umsetzung datenschutzfreundlicher Lösungen und Auswahl entsprechender Dienste berät lexICT Sie gern.
Wer hingegen auf personalisierte Werbung, Cross-Site-Tracking oder umfangreiche Marketingprofile angewiesen ist, sollte nicht davon ausgehen, dass Einwilligungen künftig entbehrlich werden. Für diese Geschäftsmodelle dürfte sich rechtlich wenig ändern.
Fazit
Die Reform schafft die Chance auf eine europaweit einheitlichere Behandlung datensparsamer Webanalyse. Gerade Unternehmen, die ihre digitalen Angebote verstehen und verbessern möchten, ohne umfangreiche Nutzendenprofile zu erstellen, könnten so auf die Einwilligungspflicht und damit einhergehende Consent-Banner verzichten.
Ob der Omnibus dieses Ziel tatsächlich erreicht, wird sich im weiteren Gesetzgebungsverfahren zeigen. Es zeichnet sich ab, dass die Diskussion weniger von der Frage „Cookie oder kein Cookie?“ geprägt sein wird, sondern entscheidend sein dürfte, welchem Zweck das Tracking dient und wie datensparsam es ausgestaltet ist.