Update zum Thema "Tracking-Cookies" nach Datenschutzkonferenz

Vor einigen Tagen haben wir beim Landesbeauftragten für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen eine Anfrage zum Positionspapier der Datenschutzkonferenz gestellt. Darin haben wir nach seiner Einschätzung zum Thema Tracking-Cookies gefragt. Gestern haben wir die entsprechende Stellungnahme erhalten, die wir hier gerne sinngemäß zitieren, um etwas mehr Klarheit in die aktuelle Diskussion zu bringen.

1) Session-Cookies, die zum technischen Betrieb einer Webseite oder eines Onlineshops notwendig sind (z. B. beim Speichern von Bestellungen im Warenkorb), können auch zukünftig bedenkenlos weiterverwendet werden. Wie auch in unserem Wissenspaket beschrieben, sind dies Daten, die Sie zwingend zur Vertragserfüllung benötigen, da ohne diese Cookies eine Identifizierung des angemeldeten Benutzers und der Erfassung seiner Bestellung nicht möglich ist.

2) Die Verwendung von Piwik/Matomo (selbiges trifft auch auf Webalizer oder AWStats zu) ist hingegen nicht zwingend notwendig, um eine Website oder einen Onlineshop zu betreiben. Die zu Auswertungszwecken erfassten IP-Adressen sind allerdings nützlich, um das eigene Angebot zu verbessern. Bei gleichzeitiger Anwendung von Maßnahmen zur Anonymisierung oder Pseudonymisierung ist die Nutzung der genannten Tools jedoch in Ordnung. Positiv bewertet wird, dass die Daten lokal auf dem Server des Websitebetreibers bleiben und nicht an Dritte weitergeleitet werden. Das berechtigte Interesse an der Verarbeitung der Daten greift hier also zu Gunsten des Websitebetreibers. Eine Opt-Out-Möglichkeit inkl. der Aufklärung des Besuchers sollte jedoch auf jeden Fall erfolgen.

3) Bei der Nutzung von Google Analytics oder anderen externen Analysetools funktioniert diese Argumentation leider nicht. In diesem Fall werden die Daten sehr wohl an Dritte übermittelt, die zudem in der Lage sind, die auf der Website erfassten Daten mit eigenen Benutzerprofilen abzugleichen und so komplexe Online-Bewegungsprofile zu erstellen. Sprich, Google macht deutlich mehr mit den erfassten Daten, als nur das Besucherverhalten der eigenen Website auszuwerten. Der Landesdatenschutzbeauftragte sieht bei der Nutzung von Google Analytics und Co. daher das Grundrecht der betroffenen Person als höherwertig an. Eine Nutzung ist daher nur nach ausführlicher Aufklärung und nach einem vorherigen Opt-In-Verfahren zulässig.

Diese Information dürfte für alle Betreiber von Websites und Onlineshops sowie für Agenturen und freiberufliche Webentwickler interessant sein. Auf der von uns bereitgestellten und bereits genannten Website werden wir daher auch weiterhin Opt-In-Lösungen für verschiedene CMS und Shopsysteme vorstellen.

Ein Hinweis noch in eigener Sache an alle Agenturen und Freelancer unter euch, die noch keine AV-Verträge mit ihren Endkunden geschlossen haben: mit unserem AV-Wizard ist dies in kurzer Zeit und mit nur wenigen Klicks erledigt. Zukünftig müssen diese Vereinbarungen mit allen Kunden, Dienstleistern und Partnern geschlossen werden, mit denen personenbezogene Daten verarbeitet werden.

Auch zwei Wochen nach Veröffentlichung eines Positionspapiers der Datenschutzkonferenz von Bund und Ländern gibt es noch keine konkreten Anhaltspunkte, wie sich die Datenschutzbehörden in den kommenden Wochen speziell zum Thema Tracking-Cookies verhalten werden. Wir spüren jedoch, dass sich immer mehr Agenturen und Websitebetreiber auf eine baldige Opt-In-Pflicht vorbereiten.

Sogar Bundeskanzlerin Angela Merkel hat sich aufgrund des medialen Echos inzwischen zum Thema DSGVO geäußert. Entgegen einer ersten Ankündigung werden durch die Bundesregierung keine kurzfristigen Änderungen oder Erleichterungen beschlossen. Man wolle aber „wirklich genau hinsehen“, wie alle Beteiligten mit der neuen Datenschutzgrundverordnung zurechtkommen und dann ggf. reagieren. Wie eine solche Reaktion aussehen könnte, wurde jedoch noch nicht genauer benannt.

Auch Bitkom-Präsident Achim Berg hat in einem aktuellen Interview Kritik an der DSGVO-Einführung zum Ausdruck gebracht.

In unserer Übersicht aktuell verfügbarer Cookie-Lösungen inkl. Opt-In-Funktion haben wir inzwischen zu allen CMS (WordPress, TYPO3, Joomla!, Contao, Neos) geeignete Erweiterungen oder Plugins gefunden und vorgestellt. Einzig für die Shop-Systeme Shopware und Magento haben wir bislang keine sinnvollen Lösungen ermitteln können. Falls ihr mehr wisst, freuen wir uns unter dsgvomittwald.de über sachdienliche Hinweise.

Bisher galt unter Datenschützern die weit verbreitete Annahme, dass man im Rahmen einer Interessensabwägung gem. Art. 6 Abs. 1 lit. f DSGVO Tracking-Cookies für werbliche Zwecke nutzen kann, ohne eine formale Einwilligung von den Besuchern einer Website einholen zu müssen. In der vergangenen Woche (26.04.18) wurde allerdings ein Positionspapier über die weitere Anwendbarkeit des Telemediengesetzes durch die „Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz)“ veröffentlicht, das bei vielen Agenturen und Websitebetreibern für Unklarheit sorgt – schließlich bietet die getroffene Empfehlung einen idealen Nährboden für die deutsche Abmahnwirtschaft. 

In diesem Papier wird nämlich erstmals von einer zwingenden Einwilligung für die Nutzung von Tracking-Cookies und Bildung von Nutzerprofilen in Telemedien – damit sind Internetseiten, aber auch Apps gemeint – gesprochen. Nur die Nutzung von technisch notwendigen Session-Cookies soll ohne die aktive Einwilligung erfolgen können. 

Das Positionspapier sowie die darin ausgesprochene Empfehlung stellen zwar keine höchstrichterliche Rechtsprechung dar, es liegt jedoch die Vermutung nahe, dass sich die Datenschutzbehörden von Bund und Ländern bei möglichen Abmahnungen an dieser Empfehlung orientieren werden. Auch Gerichte könnten der Argumentationen der Datenschutzkonferenz folgen. Alle Websitebetreiber, die sich bereits auf die DSGVO vorbereitet haben und sich in diesem Zuge auf eine Opt-out-Lösung festgelegt haben, müssen nun eventuell noch einmal umdenken.  

Aktuell fällt es uns schwer, eine klare Empfehlung für die eine oder andere Option auszusprechen. Zu viele Rahmenbedingungen sind durch das neue Positionspapier verändert worden. Wer auf Nummer sicher gehen möchte, macht nach unserem Verständnis mit einer Opt-in-Lösung für das Web-Tracking per Google Analytics oder Matomo nichts falsch. Ob der Aufwand für eine solche Implementierung jedoch rechtlich notwendig und damit gerechtfertigt ist, lässt sich derzeit nicht klar beantworten. 

Wir behalten die aktuelle Entwicklung zum Thema daher fest im Blick und tauschen uns regelmäßig mit unseren Fachanwälten und Datenschutzexperten aus. Sobald neue Informationen vorliegen, halten wir euch an dieser Stelle auf dem Laufenden.

Hinweis: Dieser Beitrag spiegelt lediglich unsere Meinung zum aktuellen Geschehen wider. Er stellt also weder eine Rechtsberatung dar, noch ersetzt er eben diese. Bitte wendet euch im Zweifel an einen Datenschutzbeauftragten oder an einen Rechtsanwalt.