In einem aktuellen Urteil hat das Verwaltungsgericht Hannover (VG Hannover, Urt. v. 19.3.2025, Az. 10 A 5385/22) konkrete Aussagen zur Ausgestaltung von Lösungen zum Einwilligungsmanagement auf Internetseiten („Cookie-Banner“) sowie zur Einwilligungsbedürftigkeit des Google Tag Manager getroffen. In diesem Blog-Beitrag beleuchten wir die wesentlichen Aussagen des Gerichts und geben wichtige Hinweise für Betreibende von Internetseiten.

Zum Sachverhalt

Gegenstand des Gerichtsverfahrens war die Internetseite der Neuen Osnabrücker Zeitung sowie insbesondere die Ausgestaltung des implementierten Cookie-Banners. Nutzenden wurde beim Besuch der Internetseite zunächst eine Auswahl mit eingeschränkten Entscheidungsoptionen präsentiert – namentlich Schaltflächen mit den Beschriftungen „Alle akzeptieren“ und „Einstellungen“. Erst durch einen weiteren Klick auf die Schaltfläche „Einstellungen“ öffnete sich eine detailliertere Ansicht, in der einzelne Kategorien von Cookies beziehungsweise Datenverarbeitungen auswählbar waren. Gleichzeitig kam ein Dienst zur Verwaltung von Tracking-Skripten – konkret der Google Tag Manager – ohne vorherige Einwilligung der Nutzenden zum Einsatz.

Die zuständige Datenschutz-Aufsichtsbehörde des Landes Niedersachsen äußerte Kritik an der Art und Weise der Einholung von Einwilligungen und beanstandete im Rahmen eines Bescheids insbesondere den Einsatz des Google Tag Managers ohne ausdrückliche Zustimmung. Das betroffene Unternehmen erhob Klage gegen den Bescheid.

Zum Urteil

Zunächst stellte das Gericht klar, dass die niedersächsische Datenschutz-Aufsichtsbehörde auch in Bezug auf die Überwachung und Einhaltung des § 25 TDDDG („Schutz der Privatsphäre bei Endeinrichtungen“) zuständig ist. Bei dieser Regelung hinsichtlich der rechtmäßigen Verarbeitung von Cookies handele es sich um „andere datenschutzrechtliche Bestimmungen“ im Sinne des § 20 Abs. 1 Niedersächsisches Datenschutzgesetz (NDSG).

Weiterhin sah es das Gericht als erwiesen an, dass die Beanstandung durch die Datenschutz-Aufsichtsbehörde zu Recht erfolgte:

„Insbesondere vor dem Hintergrund, dass Nutzer sich des Umfangs der erteilten Einwilligung möglicherweise nicht bewusst sind […] werden sie regelmäßig durch Interaktion mit dem Banner auf erster Ebene versuchen, dieses verschwinden zu lassen und die dahinterliegende Website lesen zu können. Deshalb werden sie eine Auswahl auf erster Ebene treffen, die dies möglich macht – im Rahmen der Bannergestaltung der Klägerin folglich die Erteilung einer umfassenden Einwilligung, da eine Ablehnungsoption auf erster Ebene nicht besteht.“

Und weiter:

„Darüber hinaus findet sich auf erster Ebene des Banners kein Hinweis darauf, dass beim Klick auf “Einstellungen” die Einwilligung verweigert werden kann. Nutzer sind sich deshalb auf erster Ebene nicht im Klaren darüber, dass sie mehrere Wahlmöglichkeiten haben. Lediglich beim Scrollen innerhalb des Banners auf erster Ebene findet sich die Formulierung „es besteht keine Verpflichtung, der Verarbeitung Ihrer Daten zuzustimmen, um dieses Angebot zu nutzen“. Dass eine Ablehnungsoption auf nächster Ebene folgt, ergibt sich jedoch selbst aus diesem Hinweis nicht. Insofern ist die Gestaltung des Einwilligungsbanners irreführend.“

Schließlich würden die Nutzer darüber hinaus durch die Ausgestaltung des Cookie-Banners und dessen Schaltflächen hinsichtlich Gestaltung und Farbe ebenfalls zur Zustimmung gedrängt („Nudging“).

In Bezug auf die Verwendung des Google Tag Manager führte das Gericht aus, dass die Verwendung einer ausdrücklichen Einwilligung der Nutzenden bedürfe, da die Verwendung des Dienstes nicht notwendig und ebenfalls nicht vom berechtigten Interesse der Seitenbetreibenden gedeckt sei. Dies ergebe sich insbesondere aus der mit der Nutzung des Dienstes im Zusammenhang stehende Zugriff auf Endgeräte:

„Anders als von der Klägerin vorgetragen ist der Google Tag Manager auch nicht für die Einholung der Einwilligungen der Nutzer nach § 25 Abs. 1 TTDSG erforderlich. Dafür nutzt die Klägerin ausweislich ihres eigenen Vortrags die CMP von Sourcepoint. Der Google Tag Manager dient lediglich dazu, nach Erteilung der Einwilligung einwilligungspflichtige Tools und Codes zu laden. Auch hierfür ist jedoch der Dienst Google Tag Manager nicht technisch erforderlich. […] Im Internet werden dazu ebenfalls verschiedene Alternativen vorgeschlagen […]. Die Nutzung des bereits existierenden und funktionsfähigen Dienstes Google Tag Manager erweist sich lediglich als einfacher für Betreiber von Websites.“

Fazit

Betreibende von Internetseiten sollten darauf achten, dass ihr Cookie-Banner bereits auf der ersten Ebene eine klare und gleichwertige Auswahl bietet. Gestaltungselemente, die Nutzer zu einer Zustimmung drängen, sind dabei zu vermeiden. Die Informationen zur Datenverarbeitung müssen transparent und verständlich sein, damit Nutzer eine informierte Entscheidung treffen können. Der Einsatz des Google Tag Managers ist ohne vorherige, ausdrückliche Einwilligung unzulässig, da er nicht technisch notwendig ist. Es empfiehlt sich, datenschutzfreundlichere Alternativen zu prüfen. Zudem muss sichergestellt sein, dass keine einwilligungspflichtigen Dienste vor der Zustimmung aktiviert werden. Eine regelmäßige rechtliche und technische Überprüfung des Einwilligungsmanagements ist daher dringend anzuraten.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Im Sommer berichteten wir bereits darüber, dass die Sächsische Datenschutz- und Transparenzbeauftragte (STDB) etwa 30.000 Internetseiten von Unternehmen, Vereinen und öffentlichen Stellen in Sachsen kontrollierte. Gegenstand der Überprüfungen war insbesondere die einwilligungsbasierte Nutzung von Google Analytics. In rund 2.300 Fällen konnten seitens der sächsischen Aufsichtsbehörde Mängel festgestellt werden. Im Rahmen einer kürzlich veröffentlichten Pressemitteilung zieht die sächsische Aufsichtsbehörde Bilanz.

Automatisierte Prüfung durch die Aufsichtsbehörde

Eine solch flächendeckende Prüfung von automatisierten Datenverarbeitungen dürfte in Sachsen zum ersten Mal stattgefunden haben. Schließlich setzt die Überprüfung von Internetseiten in solch einem Umfang eine entsprechende technische Ausstattung voraus. Bereits im Sommer dieses Jahres wies die sächsische Aufsichtsbehörde diesbezüglich auf das neu eingerichtete IT-Labor hin. Mit moderner Hard- und Software sei nun auch eine datenschutzrechtliche Analyse von Internetseiten, Anwendungen und IT-Produkten in größerem Umfang möglich. Wie auch aus der aktuellen Pressemitteilung zu entnehmen ist, stehen für die Zukunft weitere Prüfungen von Internetseiten an. Somit sollten Verantwortliche in Sachsen ab sofort regelmäßig die eigenen Internetangebote, Apps und IT-Produkte auf Datenschutzkonformität kritisch prüfen.

Aufsichtsbehörde zieht positives Fazit

Rückblickend auf die erste Überprüfung zieht Dr. Juliane Hundert ein positives Fazit: „Auf zwei Dritteln der identifizierten Websites wird nunmehr auf den Einsatz von Google Analytics zur Nachverfolgung des Nutzerverhaltens verzichtet, oder es wird vorher um eine eindeutige Einwilligung gebeten. Die Kontrolle bewirkte zudem, dass Verantwortliche auch bei anderen Diensten das Datenschutzniveau verbesserten. Dadurch sank beispielsweise die Anzahl der Cookies auf den geprüften Websites um die Hälfte.“ Für den Datenschutz im Internet sei das eine gute Nachricht. Im Rahmen einer veröffentlichten Statistik stellt die sächsische Aufsichtsbehörde hierzu mit konkreten Zahlen insbesondere den Rückgang von Google Analytics-Einbindungen, Drittanfragen und Drittanbieter-Cookies dar.

Weiterhin wird über die große Resonanz bei den Verantwortlichen berichtet: „Im Zusammenhang mit der Website-Prüfung bearbeitete die SDTB 300 schriftliche Rückmeldungen sowie 250 Anrufe. Vor allem Unternehmen und Vereine benötigten Hilfestellung bei der Umsetzung der rechtlichen Anforderungen. In den Anfragen ging es nicht nur um Google Analytics, sondern beispielsweise auch um die richtige Einbindung von Zahlungsdienstleistern bei Onlineshops und die Einbettung von Videos aus sozialen Netzwerken.“ Dies zeigt einerseits, dass Aufsichtsbehörden grundsätzlich auch eine beratende Funktion übernehmen können, andererseits jedoch auch, dass auf Seiten der Verantwortlichen weiterhin große Unsicherheiten in Bezug auf Datenschutz und Internetseiten bestehen.

Einigen Stellen drohen nun Konsequenzen

Doch bei weitem nicht alle der 2.300 Seitenbetreiber sind auf die Hinweise der Aufsichtsbehörde eingegangen und haben datenschutzrechtliche Nachbesserungen vorgenommen. Diesen könnten nun entsprechende Konsequenzen bevorstehen: „Verantwortliche, die trotz der Aufforderung der SDTB weiterhin rechtswidrig Nutzerdaten mit Google Analytics verarbeiten, müssen nun mit Sanktionen rechnen. Der Aufsichtsbehörde steht ein umfassender Katalog von Untersuchungs- und Abhilfebefugnissen zur Verfügung, um die Einhaltung datenschutzrechtlicher Bestimmungen durchzusetzen.“ Unter Berücksichtigung des Art. 58 DS-GVO wären hierbei beispielsweise Verwarnungen, Bußgelder, Untersagungen der weiteren Datenverarbeitungen, aber auch Löschverpflichtungen denkbar.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Die Vorweihnachtszeit in der Datenschutzwelt war geprägt durch eine Vielzahl von Urteilen des Europäischen Gerichtshofes (EuGH), wie wir im Rahmen unseres Jahresrückblicks teilweise schon dargestellt haben. Hierbei ist ein Urteil aus Deutschland fast übersehen wurden, was diesem aufgrund seiner Bedeutung beziehungsweise der vielfach zugemessenen Bedeutung nicht gerecht würde. Gemeint ist das Urteil des OLG Köln vom 3.11.2023 – Az.: 6 U 58/23. Zum Teil wird aus dem Urteil geschlussfolgert, dass das OLG Köln das Data Privacy Framework für unzulässig erklärt habe, was selbstredend nicht stimmt, wie bereits durch den Kollegen Carlo Piltz zutreffend dargestellt wurde. Worum es in dem Urteil wirklich geht und welche Auswirkungen für die Praxis zu erwarten sind, soll im nachstehenden Beitrag näher dargestellt werden.

Was ist eigentlich Inhalt des Urteils?

Gegenstand des Verfahrens war die Internetpräsenz www.telekom.de der Telekom Deutschland GmbH. Der Seite war ein sogenanntes Cookie-Banner vorgeschalten, mit welchem unter Verweis auf die Datenschutzinformationen die Einwilligung in die Verwendung von Analyse- und Marketing-Cookies eingeholt wurde. Die Klägerin, die Verbraucherzentrale NRW, beanstandete die Einbindung von Google Analytics. In erster Instanz befand das LG Köln mit Urteil vom 23. März 2023 – Az.: 33 O 376/22 die Einbindung als rechtswidrig, da eine unzulässige Datenübermittlung in die USA erfolge und mithin kein ausreichendes Datenschutzniveau gewährleistet werden könne.

Die Telekom Deutschland GmbH übermittelte bei Aufruf der Seite die IP-Adresse, Informationen über den genutzten Browser und das genutzte Endgerät der Nutzer an Server der Google LLC in den USA. Das LG Köln nahm in seinem Urteil unter anderem Bezug auf die Standarddatenschutzklauseln nach Art. 46 Abs. 2 lit. c) DS-GVO.

Zur Erinnerung: Am 10. Juli 2023 hat die Europäische Kommission den Angemessenheitsbeschluss nach dem EU-U.S. Data Privacy Framework angenommen. Das Data Privacy Framework stellt einen Angemessenheitsbeschluss im Sinne des Art. 45 DS-GVO dar. Damit wird den USA ein im Vergleich zur Europäischen Union vergleichbares Datenschutzniveau attestiert. Das EU-U.S. Data Privacy Framework räumt Bürgern der Europäischen Union gegenüber US-amerikanischen Unternehmen neue Rechte ein (z.B. das Recht auf Auskunft, das Recht auf Berichtigung, das Recht auf Löschung unrichtiger oder unrechtmäßig verarbeiteter personenbezogener Daten). Weiterhin bestehen verschiedene Rechtsbehelfe sowie unabhängige Streitbeilegungsmechanismen und ein Schlichtungsgremium. Die US-amerikanischen Unternehmen können ihre Teilnahme am EU-U.S. Data Privacy Framework zertifizieren lassen, indem diese sich verpflichten, verschiedene datenschutzrechtliche Anforderungen (z.B. Zweckbindung, Datenminimierung) einzuhalten.

Das OLG Köln hat sich sodann im Rahmen des Berufungsverfahrens mit der erstinstanzlichen Entscheidung befasst. Das Gericht beanstandet in seiner Entscheidung die Übermittlung personenbezogener Daten an Server der Google LLC sowohl für den Zeitraum vor als auch nach Geltung der des EU-U.S. Data Privacy Framework.

Und was ist nun durch das OLG Köln wirklich entschieden worden?

Das OLG Köln stuft die Datenübermittlungen mangels wirksamer Rechtsgrundlage nach Art. 6 DS-GVO, hier konkret in Ermangelung einer entsprechenden Einwilligung, als unzulässig ein:

„Die Datenübermittlung war auch unzulässig, da sie nicht von einem Erlaubnistatbestand der DSGVO gedeckt war.“ Und weiter heißt es: „Die Datenübertragung an die Google LLC und damit in die USA war vor Geltung des DPF nicht durch Erlaubnistatbestände der DSGVO gedeckt. Denn die Übermittlung war weder nach Art. 46 Abs. 1 DSGVO aufgrund geeigneter Garantien für ein angemessenes Datenschutzniveau in den USA als Drittland […] noch aufgrund einer Einwilligung nach Art. 49 Abs. 1 S. 1 lit. a) DSGVO […] zulässig.“

In Bezug auf die Standarddatenschutzklauseln wird festgehalten: „Insofern reicht es jedoch nicht aus, dass die Beklagte sich auf Standardvertragsklauseln im Verhältnis zwischen Google und Google Ireland Ltd. […] sowie auf zusätzliche Maßnahmen, die von Google in den sogenannten „Google Ads IDTI“ […] ausgeführt werden, stützt. Denn der EuGH hat in seiner Entscheidung „Schrems II“ […] zunächst klargestellt, dass die Verwendung von Standardvertragsklauseln zwar im Verhältnis der Vertragsparteien relevant sei, aber keinen Schutz vor Maßnahmen der Behörden von Drittstaaten biete, weil diese durch die vertragliche Vereinbarung nicht gebunden seien. Deshalb gebe es Situationen, in denen die in den Klauseln enthaltenen Regelungen kein ausreichendes Mittel darstellten, um den effektiven Schutz von in das betreffende Drittland übermittelten personenbezogenen Daten zu gewährleisten […].“

Das nunmehr in Kraft getretene EU-U.S. Data Privacy Framework stellt nach Ansicht des OLG Köln sogar ein entsprechende Übermittlungsgrundlage dar:

„Der unter dem 10.07.2023 gefasste Beschluss der EU-Kommision mit dem Titel „EU US Data Privacy Framework“ […] stellt nunmehr in den USA ein angemessenes Datenschutzniveau fest und entfaltet unmittelbare Wirkung, so dass Datenübermittlungen in das betreffende Land keiner besonderen aufsichtsbehördlichen Genehmigung bedürfen […]. Auf der Grundlage des neuen Angemessenheitsbeschlusses können personenbezogene Daten aus der EU an solche US-Unternehmen übermittelt werden, die an dem DPF teilnehmen […].“

Vielmehr führt das Gericht weiter aus: „Auch bei Vorliegen eines Angemessenheitsbeschlusses müssen die übrigen – allgemeinen – Anforderungen an eine zulässige Datenverarbeitung erfüllt sein, wozu unter anderem das Erfordernis der in Kapitel II der DSGVO geregelten Einwilligung (Art. 6, 7 DSGVO) gehört […] Daran fehlt es im Streitfall […].“ Und dies dürfte der springende Punkt der Entscheidung sein, wie man so schön sagt. Der Entscheidung des OLG Köln ist zu entnehmen, dass die streitgegenständliche Datenübermittlung nicht auf der Stufe der Prüfung einer Rechtsgrundlage zur Übermittlung der Daten an datenschutzrechtliche Drittländer (vgl. Artt. 45 ff. DS-GVO) scheitert, sondern bereits an den Grundsätzen der Datenverarbeitung, insbesondere dem Vorliegen einer belastbaren Rechtsgrundlage gemäß Art. 6 DS-GVO.

Interessant für die Praxis ist, was anschließend folgt: „Denn ebenso wie im Kontext des Art. 49 Abs. 1 S. 1 lit. a) DSGVO ist die eingeholte Einwilligung, die nunmehr Art. 6 Abs. 1 S. 1 lit. a) DSGVO unterfällt, unwirksam. Eine Einwilligung im Sinne der letzteren Vorschrift erfordert, dass der für die Verarbeitung Verantwortliche der betroffenen Person eine Information über alle Umstände im Zusammenhang mit der Verarbeitung der Daten in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zukommen lässt, da dieser Person insbesondere die Art der zu verarbeitenden Daten, die Identität des für die Verarbeitung Verantwortlichen, die Dauer und die Modalitäten dieser Verarbeitung sowie die Zwecke, die damit verfolgt werden, bekannt sein müssen. Solche Informationen müssen diese Person in die Lage versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird […].“

Und weiter: „Gemessen hieran wird im Datenschutzhinweis, wie oben näher ausgeführt, suggeriert, dass die Verwendung von Google Ads grundsätzlich ohne Übermittlung personenbezogener Daten auskommt. Unabhängig davon, ob diese Übermittlung in ein Drittland mit oder ohne Angemessenheitsbeschluss erfolgt, entspricht es nicht dem Erfordernis einer transparenten und leicht verständlichen Unterrichtung des Nutzers, wenn dieser aufgrund einer entsprechenden Aussage von Google, auf die sich die Beklagte beruft, davon ausgeht, es komme erst gar nicht zu einer Verarbeitung seiner personenbezogenen Daten.“

Vorab hatte das OLG Köln bereits ausgeführt: „Gemessen an diesen Grundsätzen teilt der Senat die landgerichtliche Bewertung, wonach die Datenschutzhinweise keine AGB sind. Denn insoweit handelte die Beklagte in Erfüllung der sich aus Art. 13 und 14 DSGVO ergebenden Informationspflichten, die – wovon das Landgericht zutreffend ausgegangen ist – nicht – dispositives Recht darstellen […] Es ist anerkannt, dass die bloße Wiedergabe gesetzlicher Informationspflichten, die nicht auf eine Änderung oder Ausgestaltung bestimmter Regelungen abzielt, keine AGB darstellt.“

Zu unterscheiden sind hiervon Klauseln zu den Themen „Analytische Cookies“ und „Marketing-Cookies“ in den Datenschutzhinweisen, bei diesen sei von kontrollfähigen AGB auszugehen: „Dieses Cookie-Banner dient der Einholung der Einwilligung von Besuchern der Webseite zum Setzen bestimmter Cookies und der Datenverarbeitung […] Indem der Datenschutzhinweis zum Gegenstand dieser Einwilligung gemacht wird, hat er an dem Rechtscharakter der vorformulierten Einwilligungserklärung als AGB teil.“

Fazit

Das EU-U.S. Data Privacy Framework gilt also auch weiter, zumindest so lange bis der EuGH etwas anderes verlauten lässt. Eine Unzulässigkeitserklärung durch das OLG Köln ist jedenfalls nicht erfolgt. Vielmehr konstatiert das Gericht entsprechende Prüffragen, an denen sich verwendete Einwilligungserklärungen wie zum Beispiel in Form von Consent-Management-Plattformen beziehungsweise Cookie-Bannern, insbesondere im Punkto Informiertheit messen lassen müssen. Darüber hinaus setzt das OLG einen Fingerzeig in Richtung AGB-Kontrolle von Datenschutzinformationen und Einwilligungserklärungen.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Als Datenschutzbeauftragter gehört die datenschutzrechtliche Überprüfung von Internetseiten zum kleinen Einmaleins. Dabei ist oftmals festzustellen, dass verantwortliche Stellen kaum einen aktuellen Überblick über die tatsächlichen Datenverarbeitungen der eigenen Internetseite haben und/oder das Bewusstsein für die datenschutzrechtliche Relevanz fehlt. Der folgende Blog-Beitrag zeigt überblicksartig auf, welche datenschutzrechtliche Anforderungen im Zusammenhang mit Internetseiten bestehen und wie in wenigen Schritten eine Überprüfung der eigenen Internetseiten erfolgen kann.

Relevanz des Themas

Nahezu jede verantwortliche Stelle, egal ob Behörde, Unternehmen oder Verein, betreibt eine Internetseite, über die sich interessierte Personen über Neuigkeiten informieren, Produkte kaufen oder Anfragen stellen können. Unabhängig von den konkreten Inhalten der jeweiligen Internetseite, werden bei einem jedem Aufruf personenbezogene Daten, beispielsweise in Form von IP-Adressen, verarbeitet. Datenschutzwidrige Verarbeitungen stellen somit aufgrund der Vielzahl betroffener Personen und der vergleichsweisen leichten Überprüfbarkeit der Datenverarbeitungen ein hohes Risiko für verantwortliche Stellen dar. Weiterhin steht gemäß Art. 77 DS-GVO jeder von einer Datenverarbeitung betroffenen Person das Recht auf Beschwerde bei einer Aufsichtsbehörde zu, sofern die betroffene Person bereits nur der Ansicht ist, dass eine Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DS-GVO verstößt.

Datenschutzrechtliche Anforderungen

Die konkreten Anforderungen an eine datenschutzkonforme Verarbeitung durch eine Internetseite ergibt sich im Wesentlichen aus den Normen der DS-GVO sowie des TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz). Zu benennen sind in diesem Zusammenhang die Rechtsgrundlagen nach Art. 6 Abs. 1 Satz 1 DS-GVO und § 25 TTDSG, die Verpflichtung zur Bereitstellung von Datenschutzinformationen nach Art. 13 DS-GVO, die Notwendigkeit zum Abschluss von Verträgen zur Auftragsverarbeitung mit eingesetzten Dienstleistern (z.B. Hosting-Dienstleistern) nach Art. 28 DS-GVO sowie die besonderen Anforderungen im Zusammenhang  mit der Übermittlung personenbezogener Daten in Drittländer nach Kapitel V der DS-GVO.

Grundsätzlich sollte sichergestellt sein, dass sämtliche Datenverarbeitungen einer Internetseite auf einschlägige Rechtsgrundlagen gestützt werden. Wie im Rahmen unseres Blog-Beitrags Analysen, Karten, Schriftarten & Co. – Datenschutz bei Internetseiten bereits dargestellt, ist zunächst zwischen einwilligungsfreien und einwilligungsbedürftigen Datenverarbeitungen zu unterscheiden. Eine Datenverarbeitung ist grundsätzlich ohne Einwilligung möglich, soweit diese für die Bereitstellung der Internetseite zwingend erforderlich ist – das heißt, ein fehlerfreier Abruf der Internetseite ohne diese Datenverarbeitung gänzlich unmöglich ist. Alle weiteren Datenverarbeitungen, zum Beispiel im Zusammenhang mit einem Nutzer-Tracking oder der Bereitstellung von Medieninhalten, bedürfen in der Regel einer Einwilligung der Nutzenden. Weiterführende Informationen zur Anforderung an Einwilligungen auf Internetseiten, können in dem oben genannten Blog-Beitrag oder in der Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von Telemedien ab dem 1. Dezember 202 nachgelesen werden.

Unabhängig von der Einwilligungsbedürftigkeit von Datenverarbeitungen ist darauf zu achten, dass personenbezogene Daten ausschließlich so lange gespeichert werden dürfen, wie es zur Erfüllung des Verarbeitungszwecks zwingend erforderlich ist. Neben Protokollierungen und Logfiles, deren Speicherdauer in der Regel 30 Tage nicht übersteigen sollte, betrifft dies ebenfalls Cookies und weitere personenbeziehbare Daten, wie beispielsweise Analysen des Nutzungsverhaltens.

Wichtig ist, dass sämtliche Datenverarbeitungen im Rahmen einer Datenschutzinformation (auch „Datenschutzerklärung“ genannt) transparent beschrieben werden. Die konkreten Anforderungen an eine solche Datenschutzinformation ergeben sich im Detail aus den Artikeln 12 bis 14 DS-GVO. Die im Rahmen einer Datenschutzinformation geschilderten Sachverhalte müssen stets zutreffend sein, es dürfen also ausschließlich solche Datenverarbeitungen beschrieben werden, welche tatsächlich auch stattfinden. Auch sollte möglichst auf Phrasen und Begriffsdefinitionen verzichtet werden, welche den Informationstext für die betroffene Person unnötig in die Länge ziehen. In diesem Zusammenhang ist ebenfalls darauf hinzuweisen, dass sogenannte „Generatoren für Datenschutzerklärungen“ ausschließlich mit Vorsicht zu gebrauchen sind. Sie ermöglichen bereits mit wenigen Klicks die Erstellung umfassender Datenschutzinformationen, welche meist jedoch nicht auf die Besonderheiten einer Internetseite angepasst sind. Werden Internetseiten mehrsprachig zur Verfügung gestellt, ist in den gleichen Sprachen ebenfalls die Datenschutzinformation bereitzustellen.

Überprüfung der INternetseite

Da bereits minimale Anpassungen an Internetseiten eine Änderung der jeweiligen Datenverarbeitungen bewirken kann, sollte diese regelmäßig überprüft werden. So kann stets auch eine Aktualität der Datenschutzinformation sichergestellt werden. Im Folgenden sollen einige Werkzeuge und Möglichkeiten dargestellt werden:

Identifizierung des Hosting-Dienstleisters
Zum Teil bestehen Unsicherheiten hinsichtlich des konkreten Hosting-Dienstleisters. Beispielsweise geben Agenturen gelegentlich an, ein Hosting der Internetseite selbst durchzuführen. Eine nähere Betrachtung zeigt oftmals jedoch, dass das Hosting durch einen Subdienstleister realisiert wird. Als Werkzeug bietet sich hierbei als Firefox Browser Add-On „Flagfox“ an. Über eine Länderflagge in der Adresszeile des Browsers wird stets der Standort des jeweiligen Servers angezeigt. Mit einem Klick auf die Länderflagge folgt eine Darstellung weiterführender Informationen, unter anderem auch der Name des Hosting-Dienstleisters.

Identifizierung von Datenübermittlungen und Konfigurationen
Zur Visualisierung der Übermittlungen personenbezogener Daten können verschiedene Werkzeuge genutzt werden. Beispielsweise Webbkoll überprüft bei einer Internetseite durch das Fingieren eines Seitenaufrufs, welche Konfigurationen (z.B. Verschlüsselung, Content Security Policy, Referrer Policy) aktiv sind, welche Anfragen an Drittanbieter übermittelt und ob Informationen auf dem Gerätespeicher abgelegt werden. Hinsichtlich der Anfragen an Drittanbieter erfolgt eine Auflistung der jeweiligen Inhalte und über welche IP-Adressen diese Anfragen bearbeitet werden. So lassen sich beispielsweise auch Übermittlungen personenbezogener Daten in Drittländer identifizieren. Bei der Verwendung von Webbkoll ist zu beachten, dass hierbei nur Datenverarbeitungen angezeigt werden können, welche ohne Reaktion auf etwaig verwendete Cookie-Banner stattfinden.

Für eine technisch detailliertere Darstellung umgesetzter Konfigurationen eignet sich PrivacyScore. In der Übersicht lassen sich neben grundlegenden Informationen zu Drittinhalten auch die Absicherungen gegen typische Angriffsszenarien auf Internetseiten überprüfen.

Aber auch die browsereigenen Mittel ermöglichen eine gute Übersicht über Datenübermittlungen bei einem Aufruf der Internetseite. Bei Firefox ist dies beispielsweise per Rechtsklick auf der Internetseite und einem Klick auf „Untersuchen“ möglich. Über den Reiter „Netzwerkanalyse“ werden bei einem Laden der Internetseite sämtliche Ressourcen und angefragte Hosts aufgelistet.

Identifizierung von Cookies und Nutzung des Gerätespeichers
Ebenfalls über den jeweiligen Browser ist eine Ermittlung der gesetzten Cookies und der Nutzung des Gerätespeichers möglich. Hierzu wird wie zuvor beschrieben der Reiter „Web-Speicher“ aufgerufen. Unter „Cookies“ werden mit Angabe der jeweiligen Speicherdauer die Cookies der jeweiligen Hosts aufgelistet. Über den Abschnitt „Local Storage“ erfolgt eine Darstellung, welche Informationen innerhalb des internen Gerätespeichers abgelegt werden.

Identifizierung von Facebook-Inhalten
Gelegentlich werden auf Internetseiten Facebook-Inhalte verwendet, welche bereits ohne Einwilligung der Nutzenden eine Serververbindung zu Facebook aufbauen. Das Firefox Browser Add-On „Facebook Container“ identifiziert (und blockiert) derartige Inhalte und kennzeichnet diese durch ein farbiges Symbol. Das Add-On eignet sich insbesondere zur Überprüfung, ob Facebook-Inhalte tatsächlich nur mit Einwilligung aktiv sind oder diese erfolgreich von der Internetseite entfernt wurden.

Fazit

Datenschutzwidrige Datenverarbeitungen und unzutreffende Datenschutzinformationen stellen auf Internetseiten ein besonderes Risiko für verantwortliche Stellen dar. Eine regelmäßige Überprüfung der eigenen Internetseite kann helfen, Mängel zu identifizieren und das rechtliche Risiko so zu minimieren. Auch wenn durch die aufgezeigten Hilfsmittel nicht immer alle Datenverarbeitungen zweifelsfrei abgebildet werden, decken diese die „gröbsten Schnitzer“ allemal auf.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

WELCHE AUSWIRKUNGEN HAT DIE CORONA-PANDEMIE AUF DEN DATENSCHUTZ?

Die zweite Welle der Corona-Pandemie rollt derzeit über Deutschland hinweg. In diesem Zuge werden erneut immer wieder kurzfristig Regelungen und neue Maßnahmen zur Bekämpfung des Corona-Virus (SARS-CoV-2) getroffen. Die Verordnung sehen hierbei auch Regelungen zur Verarbeitung personenbezogener Daten vor. Die Grundsätze des Datenschutzes sind bei der Bewältigung der Corona-Pandemie ohne Frage nicht außer Acht zu lassen.

Mittlerweile haben sie die meisten Datenschutz-Aufsichtsbehörden zum Datenschutzrecht in der Corona-Pandemie positioniert. Die Hinweise des Sächsischen Datenschutzbeauftragten sind hier abrufbar. Hilfreich hierzu sind ebenfalls die „FAQs“ des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg sowie die Informationen des Unabhängigen Landeszentraum für den Datenschutz Schleswig-Holstein.

Besondere Bedeutung erlangt in diesem Zusammenhang ebenfalls die Corona-Warn-App (CWA). Nach einer beachtenswerten medienöffentlichen Diskussion ist die Funktionsweise der CWA wohl als datenschutzkonform einzustufen. Selbstverständlich muss die Nutzung der CWA stets auf freiwilliger Basis erfolgen und darf auf keinen Fall zweckentfremdet werden.

WELCHE DATENSCHUTZRECHTLICHEN REGELUNGEN GELTEN IM HOMEOFFICE?

Unternehmen, Behörden und sonstige Organisationen schicken wann auch immer es möglich ist ihre Beschäftigten aktuell wieder ins Homeoffice, sofern diese von dort überhaupt zurückgekehrt sein sollten. Der Arbeitgeber seinerseits bleibt auch bei der Verlagerung des Arbeitsplatzes Verantwortlicher im Sinne des Art. 4 Nr. 7 Datenschutz-Grundverordnung (DS-GVO). Selbstredend müssen Beschäftigte auch bei dem Arbeiten von Zuhause die datenschutzrechtlichen Vorgaben beachten. Aus Sicht des Arbeitgebers ist es daher dringend anzuraten entsprechende, dem Risiko angemessene und wirksame technische und organisatorische Maßnahmen zu treffen, um die Arbeit von zu Hause datenschutzkonform gestalten zu können.

Eine Hilfestellung zum Datenschutz im Homeoffice bietet u.a. die Landesbeauftragte für den Datenschutz Niedersachsen. Hilfreich sind zudem die Informationen aus dem Best-Practice-Ansatz des Bayrischen Landesamtes für Datenschutzaufsicht.  

WAS IST BEIM EINSATZ VON VIDEOKONFERENZSYSTEMEN ZU BEACHTEN?

Und noch ein datenschutzrechtliches Themengebiet, welches im Zusammenhang mit der Corona-Pandemie offen zu Tage getreten ist. Welche grundlegenden Voraussetzungen an einen datenschutzkonformen Einsatz eines Videokonferenzsystems geknüpft sind, haben wir ebenso bereits in einem Beitrag dargestellt wie eine Auseinandersetzung, mit der die zu diesem Thema veröffentlichte Orientierungshilfe der Datenschutzkonferenz.  

ZWEI JAHRE DS-GVO: WO STEHEN WIR?

Die DS-GVO sieht in Art. 97 vor, dass sie zwei Jahre nach dem Wirkungsbeginn 2018 und danach alle vier Jahre einer Evaluierung durch die EU-Kommission unterzogen wird. In ihrem Bericht zieht die Kommission eine vorwiegend positive Bilanz, da die Datenschutz-Grundverordnung insbesondere als zeitgemäß gilt und die Rechte der Bürgerinnen und Bürger stärkt. 

IST DER EINSATZ VON COOKIES NOCH ZULÄSSIG?

Dieser Frage beschäftigte seit dem Urteil des Bundesgerichtshof (BGH) im sog. „Cookie-II-Urteil“ (BGH, Urt. V. 28.05.2020 – I ZR 7/16) die Webseitenbetreiber sowie Marketingverantwortlichen. Dem Grunde nach konnte das Urteil des BGH allerdings aufgrund der vorangegangenen Entscheidung des Europäischen Gerichtshof (EuGH) in der Rechtssache Planet 49 (EuGH, Urt. V. 01.10.2019 – C-673/17) erwartet werden. Die größere Verwunderung führte der BGH mit seinem Weg zur Urteilsfindung und einer sehr abenteuerlichen Auslegung des § 15 Abs. 3 Telemediengesetz (TMG) herbei. Wahrscheinlich auch, um dem Gesetzgeber den Wink zur Notwendigkeit einer gesetzlichen Neuregelung zu geben.

Selbstverständlich bleibt der Einsatz von Cookies bzw. die Einbindung vergleichbarer Drittanbieterdienste (bspw. Analyse-, Marketing-, Tracking-, Karten-, Video-, Push-Nachrichten- und Umfrage-Dienste) zulässig, jedoch nur unter bestimmten Voraussetzungen. In einer Vielzahl von Fällen wird es erforderlich eine datenschutzrechtliche Einwilligung der Nutzerinnen und Nutzer einzuholen. Die Landesbeauftragte für den Datenschutz Niedersachsen hat diesbezüglich eine hilfreiche Handreichung veröffentlicht. 

DATENSCHUTZ-AUFSICHTSBEHÖRDE VS: MICROSOFT: KANN ES EINEN GEWINNER GEBEN?

Aufhänger des öffentlichen Diskurses zwischen der Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBfDI) und Microsoft war die Veröffentlichung einer „Checkliste für die Durchführung von Videokonferenzen während der Kontaktbeschränkungen“ im Mai 2020 durch die BlnBfDI, in welcher vor dem Einsatz verschiedener Videokonferenzsysteme – darunter Microsoft Teams und Skype – warnt (die ursprüngliche Mitteilung ist mittlerweile nicht mehr verfügbar, da Microsoft die BlnBfDI für das Veröffentlichen unrichtiger Informationen abgemahnt hatte). Es folgte eine Pressemitteilung sowie eine Überarbeitung der Checkliste durch die Aufsichtsbehörde. Die Warnung vor dem Einsatz von Microsoft-Produkten wird aber aufrechterhalten.

Nachdem der Europäische Datenschutzbeauftragte in einem Gutachten vom 02. Juli 2020 sich ebenfalls zum Einsatz von Microsoft-Produkten geäußert hatte, konkretisierte die BlnBfDI in einem Schreiben an Microsoft ihre rechtliche Bewertung. Microsoft passte im weiteren Verlauf seine Stellungnahme an.

Mittlerweile hat sich die Datenschutzkonferenz zu Microsoft Office 365 im Allgemeinen geäußert. Das Unternehmen hat seine Online Service Terms (OST) sowie die Datenschutzbestimmungen für Microsoft Onlinedienste (Data Processing Addendum / DPA) mehrfach angepasst und neuerdings eine Ergänzung zu den Standardvertragsklauseln veröffentlicht.

Beendet ist nach alledem die Auseinandersetzung zwischen der BlnBfDI und Microsoft mit Sicherheit noch nicht. Auch die generelle Bewertung der Datenschutzkonformität von Microsoft-Produkten wird uns noch eine Wiele begleiten.

SIND DATENÜBERMITTLUNGEN IN DRITTLÄNDER NOCH MÖGLICH?

Im Juli dieses Jahres ließ der EuGH die nächste datenschutzrechtliche Bombe platzen, obwohl man hier, wenn man ehrlich ist, das Ende auch bereits längere Zeit kommen sehen konnte. Mit Urteil vom 16. Juli 2020 (Az.: C-311/18) – sog. „Schrems II“-Entscheidung erklärte der EuGH den sog. „EU-US-Privacy-Shield“ für unzulässig und stellte somit die Datenübermittlung in die USA auf den Kopf. Gleichzeitig formulierte der Gerichtshof die zukünftig einzuhaltenden Voraussetzungen einer Datenübermittlung in Drittländer. Eine Zusammenfassung zum Urteil haben wir bereits gegeben. Seit dem Urteilsspruch ringen Organisationen mit den Fragen der Legitimierung eines solchen Drittstaatentransfers sowie der Einhaltung der vom EuGH aufgestellten Voraussetzungen. Daher muss die Frage erlaubt sein, ob sich der internationale Datenschutz mit der DS-GVO in der Sackgasse befindet.

WAS ERWARTET UNS 2021?

Auch im kommenden Jahr werden uns Datenschützer wohl allem voran die Probleme im Zusammenhang mit der Übermittlung personenbezogener Daten in Drittländer beschäftigten. Dies gilt umso mehr, als dass das Vereinigte Königreich ab 01.01.2021 ebenfalls als ein solches Drittland zu qualifizieren sein wird.

In diesem Zusammenhang wird mit Sicherheit der weitere Werdegang von Microsoft und anderer US-Dienstleister sowie die künftige datenschutzrechtliche Ausgestaltung vertraglicher, technischer sowie organisatorischer Maßnahmen einiges an Spannungen bereithalten.  

Alle Arbeitgeber und im Homeoffice tätigen Arbeitnehmer sollten insbesondere die weitere Entwicklung des aktuellen Referentenentwurfes eines Gesetzes zur mobilen Arbeit (Mobile Arbeit-Gesetz – MAG) beobachten. 

Ansonsten bleibt abzuwarten, was das Jahr 2021 sonst für uns bereithalten wird. In diesem Sinne wünschen wir unseren Blog-Lesern besinnliche Weihnachtsfeiertage, einen ruhigen Jahresausklang sowie einen gesunden Start in das neue Jahr!

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und IT-Sicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine.

WAS SOLLTEN SIE JETZT TUN?

(1) Machen Sie eine Bestandsaufnahme aller Cookies und sonstigen Scripte. Eine vollständige Auflistung der Datenverarbeitungen auf Ihrer Internetseite kann in der Regel nur in Zusammenarbeit mit dem jeweiligen Ersteller der Internetseite erfolgen. Sie können im ersten Schritt hierzu jedoch auch folgende kostenfreie Internetseiten und Anwendungen nutzen:
– Webbkoll
– BuiltWith
– Überprüfung der Google-Analytics-Konfiguration
– Ghostery & uBlock Origin (Browsererweiterung für verschiedene gängige Browser)
– Überprüfung der eingesetzten Cookies über den Browser, z.B. über „Web-Speicher“ bei Firefox

(2) Überlegen Sie, zu welchem Zweck die eingesetzten Cookies und Scripte, bzw. die sich dahinter verbergenden Tools verwendet werden. Vor allem: Prüfen Sie, ob die Tools überhaupt aktiv genutzt werden und ob es vielleicht datenschutzfreundliche Alternativen gibt.

(3) Überprüfen Sie, ob die Elemente für das technische Funktionieren der Webseite zwingend nötig sind. Für alle anderen Cookies und Scripte wird eine Einwilligung des Nutzers benötigt. Einwilligungsbedürftig sind bspw. Cookies oder Dienste im Zusammenhang mit statistischer Analyse und Reichweitenmessung, verhaltens- oder standortbezogene Werbung, sozialen Netzwerken, Streaming-Inhalte, die bei Dritten gehostet werden, sonstigen Inhalten Dritter.

(4) Werden einwilligungsbedürftige Cookies oder Dienste eingesetzt, setzen Sie die Einwilligung nutzerfreundlich und rechtskonform um. Eine praktikable Lösung ist die Verwendung sogenannter „Cookie-Banner“ oder „Consent Management“-Dienste, die für alle gängigen Content Management Systeme als Plugins angeboten werden. Die Grundanforderungen an ein solches Banner sind, dass es sofort und gut sichtbar bei Besuch der Internetseite ist und die gesetzliche Pflichtinformationen (z.B. Impressum, AGB, Datenschutzerklärung) nicht überdeckt. Einwilligungsbedürftige Datenverarbeitungen dürfen erst nach aktiver Zustimmung des Nutzers vorgenommen werden. In der Regel muss ein Besuch der Internetseite auch dann möglich sein, wenn der Nutzer keine Einwilligung erteilt. Ausnahmen können sich im Zusammenhang mit kostenpflichtigen Alternativen ergeben; sie müssen im Einzelfall geprüft werden.

Der Hinweistext soll in klarer und verständlicher Sprache zur Art der Daten, der Verarbeitung, Übermittlung und Speicherdauer informieren. Verwenden Sie idealerweise für die Gestaltung drei gleichartige Auswahl-Schaltflächen, ohne vorausgewählte Optionen:
(a) alle Anbieter akzeptieren, (b) alle Anbieter ablehnen, (c) erweiterte Einstellungen.

Mit der Schaltfläche „erweiterte Einstellungen“ sollten Sie detaillierte Informationen zur Verfügung stellen. Das sind die Beschreibung sämtlicher Verarbeitungszwecke und die Nennung aller Drittanbieter als Datenempfänger mit Unternehmensbezeichnung und Anschrift (die Nennung des Namens oder der Cookie-Domain reicht nicht aus) sowie die Angabe der Speicherdauer der Cookies. Wichtig ist auch, dort Einwilligungen für verschiedene Zwecke oder unterschiedliche Drittanbieter gesondert abgeben zu können. Sie müssen auch die Möglichkeit des jederzeitigen Widerrufs, z.B. mittels eines Buttons „Alle deaktivieren“, anbieten.

(5) In einem letzten Schritt kann es notwendig sein, die Datenschutzinformationen Ihrer Internetseite anzupassen.

Das Dresdner Institut für Datenschutz oder Ihr Datenschutzbeauftragter unterstützt Sie gern, auch in Zusammenarbeit mit Ihrer Internet-Agentur.

Über den Autor: Das DID Dresdner Institut für Datenschutz unterstützt Unternehmen und Behörden bei allen Fragen rund um die Themen Datenschutz und Informationssicherheit. Regelmäßig erscheinen an dieser Stelle Beiträge zu praxisrelevanten Themen und Entwicklungen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie das DID Dresdner Institut für Datenschutz gern per E-Mail kontaktieren.