Читать книгу DS-GVO/BDSG - David Klein - Страница 353

177

Im Ergebnis dürfte es im Bereich der weitgreifenden Profilbildung sowie beim Einsatz technisch notwendiger Cookies keine Rolle spielen, ob diese künftig basierend auf den Regelungen der DS-GVO oder doch über eine richtlinienkonforme Auslegung der Regelungen im TMG gesetzt werden dürfen. Eine generelle Verarbeitung personenbezogener Daten unter Hinzuziehung von Drittinformationen bzw. Werbenetzwerken ist ohne Einwilligung nicht vertretbar; für das Setzen von technisch notwenigen Cookies bedarf es einer solchen hingegen nicht. Das Setzen von Cookies zur Diensterbringung wäre sowohl über eine Interessenabwägung nach Art. 6 Abs. 1 lit. f stets zulässig, als auch im Wege einer richtlinienkonformen Auslegung des § 15 Abs. 3 TMG mit Blick auf Art. 5 Abs. 3 S. 2 der DSRL zur elektronischen Kommunikation zu legitimieren.

178

Unterschiede zwischen der Aufsichtsposition und der Ansicht des BGH ergeben sich vor allem im Bereich der kontextbezogenen Werbung. Hier lässt die Aufsicht über die Interessenabwägung den Einsatz von Cookies je nach Lage im Einzelfall zu, auch wenn dem Nutzer lediglich eine Widerspruchlösung eingeräumt wurde. Der BGH verlangt hingegen beim Setzen von Cookies zu Werbezwecken stets eine Einwilligung (§ 15 Abs. 3 TMG). Zu den übrigen Bereichen, wie etwa zum Einsatz von Analyse-Cookies, hat sich der BGH bisher nicht ausdrücklich geäußert.[343]

179

Zu beachten ist zudem, dass sich, insofern man für die Beurteilung der Rechtmäßigkeit des Setzens von Cookies nicht die DS-GVO sondern § 15 Abs. 3 TMG anwendet, die Frage stellt, ob die Sanktionierung eines den Anforderungen des § 15 Abs. 3 TMG zuwiderlaufenden und insofern rechtswidrigen Datenverarbeitungsprozesses dennoch über Art. 83 Abs. 5 lit. a erfolgen kann oder § 16 TMG vorrangig anzuwenden ist.[344] Im letztgenannten Falle müsste sorgsam geprüft werden, welche Behörde für eine auf diesen gestützte Sanktionierung zuständig wäre.[345]

180

In der Praxis kann und sollte man sich grundsätzlich an der Perspektive der Aufsicht orientieren. Die Aufsichtspositionen können daher auch der Gestaltung von Datenverarbeitungsprozessen im Zusammenhang mit Websites nach wie vor zugrunde gelegt werden. Mit Blick auf die Rechtsprechung in Sachen Cookies sollte jedoch aufmerksam verfolgt werden, ob die Behörde ihre Sichtweise zukünftig hieran bzw. an eine ggf. erfolgenden Weiterentwicklung der Position des BGH anpasst. Zudem besteht durch das Urteil des BGH ein nicht unerhebliches Risiko, dass vermeintliche Datenschutzverstöße wegen des Setzens von Cookies basierend auf der Rechtsgrundlage des Art. 6 Abs. 1 lit. f entgegen des Einwilligungserfordernisses nach § 15 Abs. 1, 3 TMG durch Verbraucherschutzverbände abgemahnt werden können.

181

Die Zulässigkeit der Online-Datenverarbeitung nach Art. 6 Abs. 1 lit. f, die in vielen Bereichen des Online-Marketings und der Online-Werbung insbesondere durch das Setzen von Cookies erfolgt, hängt daher im Ergebnis maßgeblich an deren Funktion bzw. Zweck. Kommt eine Rechtfertigung über Art. 6 Abs. 1 lit. f nicht in Betracht, bedarf es einer Einwilligung des Betroffenen. Hinzu treten Verarbeitungssituationen im Online-Bereich, für die die speziellen Zulässigkeitstatbestände des Art. 6 Abs. 1 lit. b–e greifen. Hieraus ergibt sich für die Zulässigkeit von Datenverarbeitungsprozessen im Zusammenhang mit Websites folgendes Grundmodell, an welchem sich in der Praxis orientiert werden kann:

182

Art der Verarbeitung[346]	Unternehmen	Behörden
Diensterbringung	Aufsicht: „normaler“ Besuch der Website: Art. 6 Abs. 1 lit. f: kein Einwilligungserfordernis	Art. 6 Abs. 1 lit. e
	Login-basierte Dienste, z.B. Webshop, Streamingdienste: Art. 6 Abs. 1 lit. b: kein Einwilligungserfordernis
	auch der nach dem BGH anzuwendende § 15 Abs. 3 TMG sieht nach richtlinienkonformer Auslegung kein Einwilligungserfordernis vor
Sensible Dienste[347]	Aufsicht: Bei Art. 9 Daten Art. 9 Abs. 1, 2 lit. a: Einwilligungserfordernis
	keine Stellungnahme des BGH, das TMG kennt eine Differenzierung zwischen verschiedenen Datenkategorien jedoch nicht
Sicherheit der Homepage	Aufsicht: Art. 6 Abs. 1 lit. c i.V.m. Art. 25, 32	keine Stellungnahme des BGH	Art. 6 Abs. 1 lit. c i.V.m. Art. 25, 32
Betrugsprävention	Aufsicht: Art. 6 Abs. 1 lit. c i.V.m. Art. 25, 32	keine Stellungnahme des BGH	Art. 6 Abs. 1 lit. c i.V.m. Art. 25, 32
Kontextbezogene Werbung/Auswertung des Nutzungsverhaltens auf der eigenen Seite ohne Hinzuziehung/Verknüpfung von Drittinformationen	Aufsicht: Art. 6 Abs. 1 lit. f bzw. Art. 6 Abs. 1 lit. a (abhängig vom Einzelfall)	BGH in Entscheidung „Cookie-Einwilligung II“ (Urt. V. 28.5.2020 – I ZR 7/16): richtlinienkonforme Auslegung des § 15 Abs. 3 TMG: Einwilligungserfordernis
Werbung unter Hinzuziehung von Drittinformationen/Werbenetzwerke, weitgreifende Profilbildung	Aufsicht: Art. 6 Abs. 1 lit. a: Einwilligungserfordernis BGH: § 15 Abs. 3 TMG: Einwilligungserfordernis
Reichweitenmessung/Web-Analyse	Aufsicht: i.d.R. Art. 6 Abs. 1 lit. f: kein Einwilligungserfordernis Vorsicht bei Google Analytics!	keine Stellungnahme des BGH
Öffentlichkeitsarbeit, z.B. Bericht über interne/öffentliche Veranstaltungen	Art. 6 Abs. 1 lit. f i.V.m. den Wertungen der §§ 22, 23 KUG bei Bildnissen	Art. 6 Abs. 1 lit. e; § 3 BDSG/LDSG
E-Recruiting auf der eigenen Webseite	Art. 6 Abs. 1 lit. b bzw. § 24 Abs. 1 BDSG	Art. 6 Abs. 1 lit. e
Datenverarbeitung durch Jobportale	Art. 6 Abs. 1 lit. b, ggf. Art. 6 Abs. 1 lit. a

183

Parallel stockt die Verabschiedung der ePrivacy-VO als Ersatz der RL 2002/58/EG immer wieder. Im November 2019 wurde der bis dahin ausgearbeitete Textentwurf der Verordnung durch den Ausschuss der ständigen Vertreter der EU-Mitgliedstaaten abgelehnt. Ende 2019 kündigte Digitalkommissar Thierry Breton eine Neuausrichtung des Verordnungstextes an, ohne dass konkrete Vorschläge hierzu bekannt wären. Mittlerweile gehen die Beteiligten davon aus, dass die Verordnung nicht vor 2023 in Kraft treten wird.[348]