(Europäischer Rat – Änderungen zur DSGVO – Hinweise der DSK zum Tracking)
Der Europäische Rat hat in letzter Minute vor Inkrafttreten am 25.05.2018 die Datenschutzgrundverordnung (DSGVO) nochmals geändert. Auf 386 Seiten wurden im Wesentlichen redaktionelle Berichtigungen vorgenommen, jedoch auch das Wort „grundsätzlich“ in Art. 25 Abs. 2 S. 1 DSGVO gestrichen, sodass dieser nunmehr ohne Ausnahme anordnet, dass der Anbieter „geeignete technische und organisatorische Maßnahmen“ trifft, die „sicherstellen, dass durch Voreinstellung nur personenbezogene Daten (…) verarbeitet werden“. In der Konsequenz dürfen Anbieter keine Voreinstellungen mehr treffen, durch welche – soweit der Nutzer nicht einschreitet – weitere Daten abgefordert und verwendet werden. Ausnahmen gibt es nicht mehr.
Wichtig ist daher, dass bei auszufüllenden Formularen für den Nutzer offenkundig ist, bei welchen Feldern es sich um freiwillige Angaben und bei welchen es sich um Pflichtangaben handelt. Dies betrifft nicht nur Bereiche wie den Newsletter, sondern beispielsweise auch Kontaktformulare, Bestellformulare, Widerrufs- und Rückgabeformulare, die Abwicklung von Retouren, Gewährleistung und Garantie.
Bisher war es möglich, durch Tracking pseudonymisierte Nutzungsprofile zu erstellen, sofern der Nutzer aufgeklärt wird und die Möglichkeit zum Widerspruch („Opt-Out“) erhält. Die Datenschutzkonferenz (DSK), die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder, vertritt aktuell die Auffassung, dass die Norm des § 15 Abs. 3 TMG nach der DSGVO keine Anwendung mehr findet.
Dies würde bedeuten, dass vor jeglichem Tracking der Nutzer eine wirksame Zustimmung erteilen muss. Wegen des Kopplungsverbotes dürften Sie zudem die Nutzung Ihrer Webseite nicht von der Zustimmung zum Tracking abhängig machen. Das ist kaum einzuhalten, zumal das Tracking derzeit normalerweise bereits beim Seitenbesuch beginnt und eine Umprogrammierung notwendig wäre. Die Auffassung der DSK wird zu Recht massiv kritisiert. Gerichtliche Entscheidungen hierzu gibt es derzeit noch nicht. Es bleibt abzuwarten, welche Auffassung sich durchsetzt. Wer derzeit rechtlich den sichersten Weg wählen will, darf Tracking in seinem Internetauftritt erst nach Zustimmung durch den Nutzer einschalten.