Ende April haben die unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) ein Positionspapier zum Thema Tracking Opt-in herausgebracht. Es handelt sich um keinen Beschluss, sondern um eine „Position“, dass zukünftig ein Opt-in für Cookies benötigt wird. Ein Monat vor dem Inkrafttreten der DSGVO kam das Positionspapier ziemlich überraschend. Denn das TMG §15.3 ist ein weiter bestehendes Gesetz, wonach nach deutschem Recht pseudonyme Nutzerprofile ohne Opt-in erlaubt sind, wenn ein Opt-out angeboten wird.
Aus der Sicht von ePrivacy ist diese Position rechtlich anders zu bewerten. ePrivacy hält weiter daran fest, dass in Deutschland rechtlich ein Opt-out-Modell für Cookies so wie in der Vergangenheit genutzt werden kann.
So sehen das auch die Autoren der folgenden Beiträge inkl. BVDW:
- http://www.bvdw-datenschutz.de/allgemein/dsk-sieht-einwilligungserfordernis-bei-reichweitenmessung-und-targeting
- https://www.datenschutzbeauftragter-info.de/tracking-nur-noch-mit-opt-in-kritische-anmerkungen-zum-dsk-papier/
- https://www.datenschutz-guru.de/aufsichtsbehorden-als-wegbereiter-fur-abmahner-von-internetseiten/
Abgesehen von der rechtlichen Situation entwickelt sich die Praxis separat. Beispielsweise verlangt Google für einige Geschäftsmodelle ein Opt-in für Cookies von seinen Partnern. Das IAB EU mit dem IAB Transparency & Consent Network entwickelte einen technischen Standard sowohl für das Cookie Opt-in als auch für das Tracking nach dem berechtigten Interesse („legitimate interest“).
In der Praxis scheinen mehr und mehr Unternehmen auf ein Cookie Opt-in zumindest in Ergänzung zum Opt-out-Modell zu setzen, auch wenn es rechtlich nach Ansicht vieler Experten, wie auch ePrivacy, nicht erforderlich ist. In Großbritannien und Frankreich ist die rechtliche Interpretation anders. Tendenziell ist ein Opt-in für Cookies dort erforderlich, was allerdings in der Vergangenheit als implied consent über ein cookie-banner implementiert wurde. Ob dieser „implied consent“, d.h. die Zustimmung durch eine konkludente Handlung (=wenn eine Webseite mindestens zweimal besucht wird, gilt dies als Zustimmung), allerdings weiterhin rechtlich in UK und Frankreich haltbar ist, wird zur Zeit intensiv diskutiert. Viele Experten sind auch hier der Meinung, dass Unternehmen ein berechtigtes Interesse („Legitimate interest“) haben, ein Werbetracking ohne Consent durchzuführen.
Gerne beraten wir Sie zu allen Themen rund um die DSGVO. Melden Sie sich bei uns!