David Klein - DS-GVO/BDSG

176

Nicht geäußert hat sich der BGH zu der Frage, ob die §§ 11 ff. TMG insgesamt (richtlinienkonform) anwendbar sind. Auch zum allgemeinen Verhältnis des § 15 Abs. 3 TMG zur DS-GVO hat er nicht ausdrücklich Stellung bezogen. Offen geblieben ist insofern die Frage, ob die Anwendung des § 15 Abs. 3 TMG beim Setzen von Cookies zu Werbezwecken eine Interessenabwägung nach Art. 6 Abs. 1 lit. ffür das Setzen von Cookies prinzipiell, etwa auch zur Auswertung des Nutzungsverhaltens (sog. Analyse-Cookies), sprich zur bedarfsgerechten Gestaltung der Telemedien, sperrt.[342]

177

Im Ergebnis dürfte es im Bereich der weitgreifenden Profilbildungsowie beim Einsatz technisch notwendiger Cookieskeine Rolle spielen, ob diese künftig basierend auf den Regelungen der DS-GVO oder doch über eine richtlinienkonforme Auslegung der Regelungen im TMG gesetzt werden dürfen. Eine generelle Verarbeitung personenbezogener Daten unter Hinzuziehung von Drittinformationen bzw. Werbenetzwerken ist ohne Einwilligung nicht vertretbar; für das Setzen von technisch notwenigen Cookies bedarf es einer solchen hingegen nicht. Das Setzen von Cookies zur Diensterbringung wäre sowohl über eine Interessenabwägung nach Art. 6 Abs. 1 lit. fstets zulässig, als auch im Wege einer richtlinienkonformen Auslegung des § 15 Abs. 3 TMG mit Blick auf Art. 5 Abs. 3 S. 2 der DSRL zur elektronischen Kommunikation zu legitimieren.

178

Unterschiede zwischen der Aufsichtsposition und der Ansicht des BGH ergeben sich vor allem im Bereich der kontextbezogenen Werbung. Hier lässt die Aufsicht über die Interessenabwägung den Einsatz von Cookies je nach Lage im Einzelfall zu, auch wenn dem Nutzer lediglich eine Widerspruchlösung eingeräumt wurde. Der BGH verlangt hingegen beim Setzen von Cookies zu Werbezwecken stets eine Einwilligung (§ 15 Abs. 3 TMG). Zu den übrigen Bereichen, wie etwa zum Einsatz von Analyse-Cookies, hat sich der BGH bisher nicht ausdrücklich geäußert.[343]

179

Zu beachten ist zudem, dass sich, insofern man für die Beurteilung der Rechtmäßigkeit des Setzens von Cookies nicht die DS-GVO sondern § 15 Abs. 3 TMG anwendet, die Frage stellt, ob die Sanktionierung eines den Anforderungen des § 15 Abs. 3 TMG zuwiderlaufenden und insofern rechtswidrigen Datenverarbeitungsprozesses dennoch über Art. 83 Abs. 5 lit. a erfolgen kann oder § 16 TMG vorrangig anzuwenden ist.[344] Im letztgenannten Falle müsste sorgsam geprüft werden, welche Behörde für eine auf diesen gestützte Sanktionierung zuständig wäre.[345]

180

In der Praxis kann und sollte man sich grundsätzlich an der Perspektive der Aufsicht orientieren. Die Aufsichtspositionen können daher auch der Gestaltung von Datenverarbeitungsprozessen im Zusammenhang mit Websites nach wie vor zugrunde gelegt werden. Mit Blick auf die Rechtsprechung in Sachen Cookies sollte jedoch aufmerksam verfolgt werden, ob die Behörde ihre Sichtweise zukünftig hieran bzw. an eine ggf. erfolgenden Weiterentwicklung der Position des BGH anpasst. Zudem besteht durch das Urteil des BGH ein nicht unerhebliches Risiko, dass vermeintliche Datenschutzverstöße wegen des Setzens von Cookies basierend auf der Rechtsgrundlage des Art. 6 Abs. 1 lit. fentgegen des Einwilligungserfordernisses nach § 15 Abs. 1, 3 TMG durch Verbraucherschutzverbände abgemahnt werden können.

181

Die Zulässigkeit der Online-Datenverarbeitung nach Art. 6 Abs. 1 lit. f, die in vielen Bereichen des Online-Marketings und der Online-Werbung insbesondere durch das Setzen von Cookies erfolgt, hängt daher im Ergebnis maßgeblich an deren Funktionbzw. Zweck. Kommt eine Rechtfertigung über Art. 6 Abs. 1 lit. fnicht in Betracht, bedarf es einer Einwilligung des Betroffenen. Hinzu treten Verarbeitungssituationen im Online-Bereich, für die die speziellen Zulässigkeitstatbestände des Art. 6 Abs. 1 lit. b–egreifen. Hieraus ergibt sich für die Zulässigkeit von Datenverarbeitungsprozessen im Zusammenhang mit Websites folgendes Grundmodell, an welchem sich in der Praxis orientiert werden kann:

182

183

Parallel stockt die Verabschiedung der ePrivacy-VO als Ersatz der RL 2002/58/EG immer wieder. Im November 2019 wurde der bis dahin ausgearbeitete Textentwurf der Verordnung durch den Ausschuss der ständigen Vertreter der EU-Mitgliedstaaten abgelehnt. Ende 2019 kündigte Digitalkommissar Thierry Breton eine Neuausrichtung des Verordnungstextes an, ohne dass konkrete Vorschläge hierzu bekannt wären. Mittlerweile gehen die Beteiligten davon aus, dass die Verordnung nicht vor 2023 in Kraft treten wird.[348]

184

Im ErwG 48 ist ausdrücklich als möglicher Anwendungsbereich des Erlaubnistatbestandes des Art. 6 Abs. 1 lit. fdie konzerninterne Übermittlung von personenbezogenen Daten genannt.