Tracking-Tools wie Google Analytics nur mit Einwilligung zulässig?

Tracking-Tools zur Ermittlung von Nutzerdaten wie Google-Analytics sind beliebt. Mit Ihnen können Angebote der Nutzer aufgrund des analysierten Surf-Verhaltens zurechtgeschnitten werden, um so z. B. das eigene Angebot zu optimieren oder auch passgenaue Angebote auf den Nutzer zuzuschneiden, um dann später an geeigneter Stelle als Angebotsempfehlung zu erscheinen. Dies ist bislang unter engen Voraussetzungen gem. § 15 Abs. 3 TMG auch ohne Einwilligung der Nutzer zulässig. Kernvoraussetzungen sind die Pseudonymisierung der Nutzerdaten, die Information des Nutzers über den Einsatz von Tracking-Tools in der Datenschutzerklärung sowie die Einräumung eines Widerspruchsrechts.

Die ePrivacy-Verordnung hätte ab dem 25. Mai 2018 die Zulässigkeit der Verarbeitung nutzerbezogener Daten, zum Beispiel beim Einsatz von Tracking-Tools, regeln sollen. Sie wird nicht rechtzeitig fertig sein. Damit entsteht zumindest für eine Übergangszeit eine Regelungslücke. Denn datenschutzrechtliche Vorschriften im Telemediengesetz (TMG) sind dann neben der DSGVO nicht mehr anwendbar. Es gilt ausschließlich die DSGVO. Damit stellt sich die Frage, ob der Einsatz vonTracking-Tools wie Google Analytics ohne Einwilligung des Nutzers auf eine Rechtsgrundlage der DSGVO gestützt werden kann oder nicht.

Zu dieser Thematik hat sich die Datenschutzkonferenz (DSK) in einer Positionsbestimmung am 26. April 2018 geäußert und kommt darin zu dem Ergebnis, dass die betreffenden §§ 11 ff. TMG durch die DSGVO verdrängt werden und ab dem 25. Mai 2018 nicht mehr anwendbar sind. Diese Ansicht wird in der Literatur überwiegend geteilt.

Geht man von der Verdrängung der datenschutzrechtlichen Vorschriften im TMG aus, hat dies insofern Einfluss auf die Rechtmäßigkeit der Reichweitenmessung und den Einsatz von Tracking-Mechanismen (z. B. Google Analytics), weil die Verarbeitung personenbezogener Daten in diesem Zusammenhang nur noch auf eine Rechtsgrundlage in der DSGVO und nicht mehr auf § 15 Abs. 3 TMG gestützt werden kann.

Als Rechtsgrundlage in der DSGVO kommt insbesondere Art. 6 Abs. 1 S. 1 Buchst. a) (Einwilligung) sowie Art. 6 Abs. 1 S.1 Buchst. f) (berechtigte Interessen) in Betracht.

Nach Ansicht der DSK jedenfalls bedarf es jedenfalls einer Einwilligung beim Einsatz von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen:

Positionsbestimmung der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder – Düsseldorf, 26. April 2018, Rn. 9:

Rn. 9: "Es bedarf jedenfalls einer vorherigen Einwilligung beim Einsatz von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen. Das bedeutet,
dass eine informierte Einwilligung i. S. d. DSGVO, in Form einer Erklärung oder sonstigen eindeutig bestätigenden Handlung vor der Datenverarbeitung eingeholt werden muss, d. h. z.B. bevor Cookies platziert werden bzw. auf dem Endgerät des Nutzers gespeicherte Informationen gesammelt werden."

Damit scheint nach Ansicht der DSK das Tracking von Nutzern nur noch durch eine Einwilligung legitimiert werden zu können, auch wenn es in pseudonymisierter Form erfolgt. Nach bisheriger Rechtslage war ein solches Tracking nach § 15 Abs. 3 TMG nach dem Opt-Out-Prinzip (Widerspruchsrecht) möglich.

Kurz vor „Toresschluss“ äußert sich die DSK in ihrer Positionsbestimmung damit zu einer Frage von erheblicher praktischer Bedeutung für Unternehmen, die Tracking-Tools wie Google-Analytics einsetzen.

In der Literatur bestehen – unserer Ansicht nach berechtigt - Bedenken an der Auslegung der DSGVO durch die DSK. Das Tracking ließe sich nämlich ebenso gut auf Art. 6 Abs. 1 S. 1 Buchst. f) DSGVO stützen, weil man – jedenfalls bei Pseudonymisierung – mit guten Gründen die Ansicht vertreten kann, dass dem berechtigten Interesse des verarbeitenden Verantwortlichen keine überwiegenden Rechte und Interessen des betroffenen Nutzers entgegenstehen. Denn zum einen verhindert eine Pseudonymisierung einen unmittelbaren Rückschluss auf die Person, die das entsprechende Endgerät (PC, Tablet, Smartphone) nutzt. Zum anderen wird vielfach ausgeblendet, dass Tracking-Tools auch für den Nutzer von Vorteil sein können, weil diesem das Auffinden passender Inhalte nicht selten erleichtert wird. Datenschutzrechtliche Vorschriften sollten nicht zur Blockade der Vorteile im eCommerce führen. Mit der Pseudonymisierung der Nutzerdaten und dem Widerspruchsrecht dürften Internetnutzer hinreichend geschützt sein. Ein weiteres Anklick-Häkchen zur Einwilligung in die Nutzung von Tracking-Tools erscheint übertriebener Formalismus zulasten des eCommerce.