[IITR – 22.6.20] Der BGH hatte in seiner Entscheidung vom 28.5.2020 (Az. I ZR 7/16) die Linie des EuGHs bestätigt, wonach Webseiten-Tracking zur Profilbildung von Webseiten-Besuchern der vorherigen Einwilligung der Webseiten-Besucher bedarf. Aufgrund einer besonderen rechtlichen Ausgestaltung in Deutschland in Zusammenspiel von Datenschutzgrundverordnung und Telemediengesetz entzieht der BGH allerdings damit im Ergebnis den Datenschutz-Aufsichtsbehörden sowohl die Zuständigkeit über pseudonymes Tracking als auch die generelle Grundlage, hierfür Bußgelder zu verhängen.
Was ist pseudonymes Tracking?
Das „pseudonyme Tracking“ auf Webseiten basiert auf der Bildung von so genannten Pseudonymen. Hierfür werden personenbeziehbare Daten von Webseiten-Besucher in einen Wert (so genanntes Pseudonym) umgewandelt, der für sich selbst ohne Verbindung mit anderen Daten zwar keine Zuordnung zu einem konkreten Nutzer zulässt, einen Nutzer bei Mehrfahr-Besuchen aber eindeutig identifizierbar macht.
Mit dieser Technik können wiederkehrende Besucher auf Webseiten erkannt und gezielt angesprochen werden. Auch können Webseiten-Besucher über erneute Ansprachen (so genanntes „Re-Targeting“) auf anderen Webseiten durchs Internet begleitet und auf anderen Webseiten werblich mit gezielten Werbe-Angeboten angesprochen werden.
15 Absatz 3 Satz 1 TMG
In dem vor der Datenschutzgrundverordnung geschaffenen § 15 Abs. 3 S. 1 TMG wurde diese Art des pseudonymen Trackings explizit geregelt. Derartiges Tracking war (nach alter Lesart) danach ohne Einwilligung des Nutzers zulässig, soweit eine Austragungs-Möglichkeit („Opt-Out“) angeboten wurde.
Der exakte Wortlaut besagt:
„Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht.“
Datenschutz-Aufsichtsbehörden im April 2018: TMG durch DSGVO verdrängt
Im April 2018 – kurz vor Geltung der Datenschutzgrundverordnung am 25. Mai 2018 – veröffentlichten die Datenschutz-Aufsichtsbehörden ein Positionspapier, in welchem Sie ihre Rechtsauffassung darlegten, dass nach der Datenschutzgrundverordnung auch für pseudonymes Tracking die explizite Einwilligung der Nutzer erforderlich sei. Nach Ansicht der Datenschutz-Aufsichtsbehörden sei § 15 Abs. 3 S. 1 TMG aufgrund seines entgegenstehenden Wortlauts mit der Datenschutzgrundverordnung als höherrangigem Recht nicht mehr anwendbar.
Zitat aus dem Positionspapier von April 2018:
„Im Verhältnis zum nationalen Recht kommt ab dem 25. Mai 2018 die DSGVO für sämtliche automatisierte Verarbeitungen personenbezogener Daten vorrangig zur Anwendung, es sei denn nationale Vorschriften sind aufgrund einer Kollisionsregel, eines Umsetzungsauftrages oder einer Öffnungsklausel der DSGVO vorrangig anwendbar.“
EuGH: „Planet49“-Entscheidung: pseudonymes Tracking bedarf der vorherigen Zustimmung der Nutzer
Auch der EuGH teilte in seinem Urteil vom 1.10.2019 (Az. C-673/17) die Rechtsauffassung in Bezug speziell auf Cookies, dass zu einer werbenden Profilbildung gesetzte Cookies (wie z.B. beim pseudonymen Tracking üblich) der vorherigen Zustimmung der Nutzer bedürfen.
BGH „dreht“ Wortlaut des § 15 Abs. 3 S. 1 TMG
Das in der Folge beim BGH zur Beurteilung anstehende Verfahren vom 28.5.2020 (Az. I ZR 7/16) (bislang ist die Entscheidung noch nicht im Volltext veröffentlicht, begleitende Pressemitteilung) hatte nun die Frage zu behandeln, inwieweit der Wortlaut von § 15 Abs. 3 S. 1 TMG hiermit in Einklang gebracht werden könne. Nach Ansicht des BGH kann die Rechtsauffassung des EuGH noch unter den Wortlaut des § 15 Abs. 3 S. 1 TMG gefasst werden. Der BGH legt die Vorschrift dazu künftig in der Form aus, dass die Nicht-Einholung einer expliziten Einwilligung in Webseiten-Tracking zugleich als Widerspruch gegen das pseudonyme Tracking nach § 15 Abs. 3 S. 1 TMG zu verstehen ist.
Aus der Pressemitteilung der BGH-Entscheidung:
„§ 15 Abs. 3 Satz 1 TMG ist mit Blick auf Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG in der durch Art. 2 Nr. 5 der Richtlinie 2009/136/EG geänderten Fassung dahin richtlinienkonform auszulegen, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung die Einwilligung des Nutzers erforderlich ist.“
Rechtsfolge der BGH-Entscheidung: Zuständigkeit liegt nicht mehr bei Datenschutz-Aufsichtsbehörden
Mit der künftigen Anwendbarkeit von § 15 Abs. 3 S. 1 TMG auf pseudonymes Tracking entzieht der BGH damit im Ergebnis den Datenschutz-Aufsichtsbehörden insoweit ihre Zuständigkeit (hierauf hingewiesen hat u.a. auch Dr. Carlo Piltz). Denn § 16 TMG öffnet insoweit die Zuständigkeit von – je nach Bundesland unterschiedlich geregelten – Zuständigkeiten (vor allem) im Medienbereich. Im Detail sind dies derzeit (Übersicht aus Wikipedia):
- Baden-Württemberg: Landesanstalt für Kommunikation
- Bayern: Regierung von Mittelfranken
- Berlin: Bezirke von Berlin
- Brandenburg: Ministerium für Wirtschaft, Arbeit und Energie
- Bremen: Bremische Landesmedienanstalt
- Hamburg: Medienanstalt Hamburg/Schleswig-Holstein
- Hessen: Hessische Landesanstalt für privaten Rundfunk und neue Medien
- Mecklenburg-Vorpommern: Medienanstalt Mecklenburg-Vorpommern
- Niedersachsen: Niedersächsisches Landesamt für Verbraucherschutz und Lebensmittelsicherheit
- Nordrhein-Westfalen: Landesanstalt für Medien Nordrhein-Westfalen
- Rheinland-Pfalz: Aufsichts- und Dienstleistungsdirektion
- Sachsen: Landesdirektion Sachsen
- Sachsen-Anhalt: Medienanstalt Sachsen-Anhalt
- Saarland: Landesmedienanstalt Saarland
- Schleswig-Holstein: Medienanstalt Hamburg/Schleswig-Holstein
- Thüringen: Thüringer Landesmedienanstalt
Dies wirft auch europarechtliche Fragen der im Datenschutz-Bereich geforderten größtmöglichen Unabhängigkeit dieser Behörden auf.
Pseudonymes Tracking nach TMG ohne Bußgeld-Androhung
Das TMG beinhaltet in den Bußgeld-Vorgaben zudem keine Bußgeldbewehrung bei Verstößen nach § 15 Abs. 3 S. 1 TMG (vgl. auch zur Frage des Zeitpunkts ab dem allein die DSGVO wieder greift den Client-Alert von Latham&Watkins). Dies bedeutet, dass pseudonymes Tracking ohne Einwilligung der Webseiten-Besucher nach dem TMG zwar (von den jeweils zuständigen oben aufgelisteten Behörden) untersagt, jedoch von diesen kein Bußgeld verhängt werden kann.
Auch dieses Ergebnis stößt auf europarechtliche Fragezeichen. Nach meiner Ansicht beinhaltet die DSGVO keine Öffnungs- bzw. Spezifizierungsklausel, die es dem deutschen Gesetzgeber insoweit gestatten würde, das pseudonyme Tracking bußgeldfrei zu stellen.
Abmahnfähigkeit von TMG-Verstößen
Ebenfalls Bewegung bringt die BGH-Entscheidung hinsichtlich der Abmahnfähigkeit durch Wettbewerber. Ob und inwieweit Verstöße gegen die DSGVO abgemahnt werden können ist derzeit noch nicht abschließend geklärt. Hinsichtlich eines Verstoßes gegen § 15 Abs. 3 S. 1 TMG hingegen besteht die herrschende Meinung, dass diese durch Wettbewerber abgemahnt werden können. Wer also ohne Einwilligung von Nutzern pseudonymes Tracking betreibt, kann durch den Wettbewerb hierfür rechtlich zur Verantwortung gezogen werden.
Fazit: es ist kompliziert
Als Ergebnis lässt sich zusammenfassen:
- Pseudonymes Webseiten-Tracking bedarf der Einwilligung der Webseiten-Besucher
- Die Aufsicht hierüber ist den Datenschutz-Aufsichtsbehörden entzogen; anstelle dessen zuständig sind in der Regel die Landesmedien-Anstalten der Länder (dies allerdings in der Tendenz europarechtswidrig da die erforderliche größtmögliche Unabhängigkeit der Behörden in Frage steht)
- Die nach TMG zuständigen Aufsichtsbehörden können das pseudonyme Tracking ohne Einwilligung zwar untersagen, aber hierfür kein Bußgeld verhängen (auch hier mit Zweifeln hinsichtlich der Europarechtskonformität dieser Bußgeld-Freiheit)
- Pseudonymes Webseiten-Tracking ohne Einwilligung der Besucher kann durch den Wettbewerb abgemahnt werden
Bereits in der Vergangenheit war mehrfach die Forderung erhoben worden, das Telemediengesetz zu novellieren und an die europarechtlichen Rahmenbedingungen anzupassen.
Kontakt:
Rechtsanwalt Dr. Sebastian Kraska, externer DatenschutzbeauftragterTelefon: 089-1891 7360
E-Mail-Kontaktformular
E-Mail: email@iitr.de
Information bei neuen Entwicklungen im Datenschutz
Tragen Sie sich einfach in unseren Newsletter ein und wir informieren Sie über aktuelle Entwicklungen im Datenschutzrecht.