David Klein - DS-GVO/BDSG

169

Die zuvor aufgeführten Überlegungen etwa zum Direktmarketing und zur Profilbildung lassen sich nicht ohne Weiteres auf den Online-Bereich sprich Online-Marketing und Online-Werbung übertragen.[316] Insbesondere beim Einsatz von Cookies und weiteren Tracking-Technologien muss behutsam geprüft werden, ob die erforderliche Datenverarbeitung noch auf das berechtigte Interesse des Verantwortlichen gestützt werden kann, es insofern für deren Zulässigkeit ausreicht, dem Nutzer eine Widerspruchslösung einzuräumen oder eine Einwilligung erforderlich ist.[317] Zu den Grenzen einer wirksamen Datenverarbeitung zu Werbezwecken und einem Verstoß gegen das Koppelungsverbot i.S.d. neuen Rechtsprechung des BGH vgl. Art. 7 Rn. 48.

170

Eine besondere Rolle spielt im Rahmen der Interessenabwägung die vernünftige Erwartungder betroffenen Person. Der durchschnittliche Nutzer von Online-Diensten muss nach Ansicht der DSK etwa grundsätzlich davon ausgehen, dass seine personenbezogenen Datenbei der Nutzung von Webseiten und Online-Diensten zur Finanzierung dieser zumeist kostenlosen Angebote auch werblich, gerade im Bereich des Online-Marketings, genutzt werden.[318] Die Anzeige etwaiger zielgerichteter Werbung ist insofern in der Regel transparent für die betroffene Person. Daher bestehen gerade bei pseudonymer Nutzung der personenbezogenen Daten der betroffenen Person für die Zwecke des Online-Marketings und der Online-Werbung keine Bedenken, im Rahmen der Abwägung des Art. 6 Abs. 1 lit. fdiese zu Gunsten des Verantwortlichen ausfallen zu lassen.[319] Auch weist ErwG 47 S. 7eine Verarbeitung personenbezogener Daten zum Zwecke der Werbung ausdrücklich als berechtigtes Interesse aus. Solange die Daten nichtzur weitergreifenden Profilbildung mittels großer Werbenetzwerkeeingesetzt werden,[320] ist der Nutzer bzw. die betroffene Person insofern durch die Möglichkeiten zur Einschränkung der Verarbeitung ausreichend geschützt.[321] Wesentlich ist aber, dass im Gegensatz zur heute üblichen Praxis die gesamte Verarbeitungstätigkeit einschließlich der Übermittlung an Dritte im Rahmen der Informationspflichten transparentdarzustellen ist (eine detaillierte Übersicht findet sich in Rn. 182).

171

Auch Daten, die durch für die Nutzung der Website notwendige Cookieserhoben werden, sind stets über Art. 6 Abs. 1 lit. fzu rechtfertigen.[322] Insbesondere Session- und Warenkorbcookies sind daher vom Einwilligungserfordernis per se ausgenommen.[323]

172

Wie mit deren Anwendbarkeit zuvor gilt jedoch, dass die DSRL für elektronische KommunikationEinschränkungen vorsehen kann, wie etwa das Einwilligungserfordernis für das Setzen von Cookies im Art. 5 Abs. 3, die der DS-GVO nach der Kollisionsregel des Art. 95prinzipiell vorgehen.[324] Bei der DS-GVO und der DSRL für elektronische Kommunikation handelt es sich allerdings um Normen unterschiedlicher Wirkung. Richtlinien müssen anders als Verordnungen gem. Art. 288 AEUV durch die Mitgliedsstaaten in nationales Recht umgesetzt werden. Eine unmittelbare Wirkung kommt nur in Ausnahmefällen in Betracht.[325] Um Art. 95 DS-GVOanzuwenden, bedarf es daher einer Betrachtung der Umsetzungsakte im deutschen Recht.[326] Schwierigkeiten ergeben sich an dieser Stelle, da sich die Ansicht der Aufsichtsbehörden nicht mit der Sichtweise des BGH deckt, welche der BGH seiner Entscheidung in Sachen Planet49 (Cookie-Einwilligung II)[327] zugrunde gelegt hat. Der EuGH hat in einem diesbezüglich angestrengten Vorabentscheidungsverfahren zu der Frage, ob Cookies in Deutschland auch nach Art. 6 Abs. 1 S. 1 lit. f DS-GVO zulässig sein können, keine Stellung bezogen.[328]

173

Nach Ansicht der DSK[329] sowie der herrschenden Meinung in der Literatur[330] hat jedenfalls das Einwilligungserfordernis für Cookies aus Art. 5 Abs. 3 der DSRL für elektronische Kommunikation keine Umsetzung ins nationale Recht erfahren. Auch die EU-Kommission stellte im Jahr 2015 klar, dass sie Art. 5 Abs. 3 der ePrivacy-RL als im deutschen Recht für nicht umgesetzt ansieht.[331] Hierfür spricht zunächst die Entstehungsgeschichte des TMG. Die datenschutzrechtlichen Vorschriften des 4. Abschnittes des TMG entsprechen im Wesentlichen den Regelungen des TDDSG. Dieses ist bereits 1998 und damit zeitlich vorder ePrivacy-RL in Kraft getreten. Zudem verfolgen § 15 Abs. 3 TMG und Art. 5 Abs. 3 ePrivacy-RL unterschiedliche Schutzziele. Während § 15 Abs. 3 TMG lediglich den Schutz personenbezogener Daten zum Ziel hat, dient Art. 5 Abs. 3 ePrivacy-RL auch dem Schutz der Vertraulichkeit elektronischer Kommunikation.[332] Gegen die Annahme eines Umsetzungsaktes spricht schließlich auch die Tatsache, dass die Normen konträre inhaltliche Entscheidungen enthalten. Denn nach § 15 Abs. 3 TMG darf der Diensteanbieter Cookies einsetzen, solange der Nutzer nach einer Unterrichtung über sein Widerspruchsrecht dem nicht widerspricht („Opt-Out-Regelung“). Art. 5 Abs. 3 ePrivacy-RL gestattet hingegen die Nutzung von Cookies nur dann, wenn der Nutzer nach einer umfassenden Information hinsichtlich der Zwecke der Verarbeitung seine Einwilligung gegeben hat. Insofern sieht Art. 5 Abs. 3 ePrivacy-RL eine „Opt-In-Regelung“ vor.[333] Daher stellt § 15 Abs. 3 TMG keine Umsetzung der ePrivacy-RLdar. Schließlich scheidet auch eine unmittelbare Anwendung des Art. 5 Abs. 3 der ePrivacy-RL aus, da eine Richtlinie keine Verpflichtungen für Private begründen kann (keine horizontale unmittelbare Drittwirkung).[334] Die Kollisionsregelung des Art. 95 DS-GVOkommt daher, unabhängig von ihrem konkreten Regelungsgehalt,[335] gar nicht erst zur Anwendung.[336] Insofern gilt für das Setzen von Cookies seit deren Inkrafttreten allein die DS-GVO.[337]

174

Cookies können somit, der Systematik der DS-GVO entsprechend, sowohl über die Einwilligung nach Art. 6 Abs. 1 lit. aals auch über eine Interessenabwägung nach Art. 6 Abs. 1 lit. fgerechtfertigt werden. Insbesondere für die Zulässigkeit der Verwendung von Cookies im Rahmen von bereits voreingestellten Häkchen, die die Voraussetzungen einer Einwilligung nicht erfüllen,[338] kommt es daher auf eine für den Verantwortlichen günstige Interessenabwägung an. Werden Cookies zur Erstellung von Nutzungsprofilen für Werbezwecke eingesetzt, fällt diese jedoch häufig zugunsten des Betroffenen aus.[339] Insofern bedarf es für deren Zulässigkeit einer Einwilligung nach Art. 6 Abs. 1 lit. a, das Einräumen einer Widerspruchsmöglichkeit reicht hierfür regelmäßig nicht aus.

175

Auch der BGHkommt in seinem Urteil in Sachen Planet49 (Cookie-Einwilligung II) zu dem Ergebnis, dass für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbungoder Marktforschung die Einwilligung des Nutzers erforderlich ist. Er stützt dieses Ergebnis jedoch nicht auf die DS-GVO sondern auf eine richtlinienkonforme Auslegung des § 15 Abs. 3 TMG, hält diesen insofern für gegenüber der DS-GVO vorrangig anwendbar.[340] Der BGH geht wohl davon aus, dass nationale Gesetze trotz ausdrücklich entgegenstehendem Regelungsgehalts kraft richtlinienkonformer Auslegung als Umsetzungsakt klassifizierbar sind, auch wenn der Gesetzgeber diese nicht als solche bezeichnet („§ 15 Abs. 3 Satz 1 TMG als den Art. 5 Abs. 3 Satz 1 der Richtlinie 2002/58/EG umsetzende nationale Regelung“[341]) und wendet § 15 Abs. 3 TMG daher als Umsetzung der RL 2002/58/EG an. Eine Legitimation des Setzens von Cookies zu Werbezwecken über eine Interessenabwägung, die nur die DS-GVO, nicht jedoch das TMG kennt, kommt somit nicht in Betracht.