Ende November 2024 hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, kurz: Datenschutzkonferenz (DSK), eine Orientierungshilfe für Anbieter:innen von digitalen Diensten veröffentlicht. Tatsächlich handelt es sich hierbei – mit geringfügig geänderten Namen – lediglich um die Aktualisierung einer bereits im Jahr 2021 veröffentlichten Orientierungshilfe. Was es hiermit auf sich hat und welche wesentlichen Änderungen sich aus der Orientierungshilfe ergeben, erfahren Sie im nachfolgenden Beitrag.

Telemedien werden zu digitalen Diensten

Vor etwas mehr als drei Jahren – am 20. Dezember 2021 – veröffentlichte die Datenschutzkonferenz die „Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von Telemedien ab dem 1. Dezember 2021“ (wir berichteten). Hintergrund hierfür war insbesondere die geänderte Rechtslage durch das Inkrafttreten des Telekommunikation-Telemedien-Datenschutzgesetzes (TTDSG) sowie durch Änderungen des Telekommunikationsgesetzes (TKG) und des Telemediengesetzes (TMG). Wesentliche Auswirkungen hatte dies zum damaligen Zeitpunkt insbesondere auf den Einsatz von Cookies und vergleichbaren Technologien. Die Orientierungshilfe thematisierte den rechtskonformen Einsatz, den Grundsatz der Einwilligungsbedürftigkeit sowie die diversen Anforderungen an Einwilligungen und die Gestaltung sogenannter Cookie-Banner.

Zwischenzeitlich ergaben sich aufgrund des europäischen Digital Services Act (DSA) im Mai 2024 wiederum Änderungen am TTDSG sowie am TMG – die bisher als Telemediendienste bezeichneten Dienste werden nunmehr unter dem Begriff der digitalen Dienste beschrieben. Aus dem bisherigen Telemediengesetz wurde so das Digitale-Dienste-Gesetz (DDG) und aus dem Telekommunikation-Telemedien-Datenschutzgesetz das Telekommunikation-Digitale-Dienste-Datenschutzgesetz (TDDDG). Insofern überrascht es nicht, dass auch die Datenschutzkonferenz die Notwendigkeit sah, die bisherige Orientierungshilfe an die neuen Begrifflichkeiten anzupassen. Doch bei einer rein sprachlichen Anpassung blieb es nicht…

Weitere Anpassungen an die aktuelle Rechtslage

Auch weitere Entwicklungen der Rechtslage fanden in die jüngst überarbeitete Orientierungshilfe Eingang: So wird das seit Juli 2023 bestehende EU-U.S. Data Privacy Framework für Übermittlungen personenbezogener Daten in die USA nun zumindest in einer Fußnote berücksichtigt.

Weiterhin wurden die Ausführungen der Orientierungshilfe an die Guidelines 2/2023 des Europäischen Datenschutzausschusses (EDSA) zum technischen Anwendungsbereich von Art. 5 Abs. 3 der ePrivacy-Richtlinie angelehnt. Änderungen ergeben sich hierdurch hauptsächlich im strengeren Verständnis des Begriffs Zugriff auf Endeinrichtungen. So liegt demnach ein Zugriff bereits dann vor, wenn bei der Nutzung eines digitalen Dienstes Informationen übermittelt werden, die Aufschluss über technische Konfigurationen liefern, sogenanntes Browser-Fingerprinting: „Auch ist es als Zugriff von Informationen auf Endeinrichtungen der Endnutzer:innen zu werten, wenn aktiv – beispielsweise mittels JavaScript-Code – Eigenschaften eines Endgerätes ausgelesen und für die Erstellung eines Fingerprints an einen Server übermittelt werden.“

Einige inhaltliche Ergänzungen

Ergänzungen sieht die überarbeitete Orientierungshilfe hinsichtlich der Gestaltung von Einwilligungsbannern („Cookie-Bannern“) vor. So heißt es beispielsweise nun: „Eine Ablehnfunktion auf erster Ebene ist aus Sicht der Aufsichtsbehörden nicht generell erforderlich, sondern nur dann, wenn Nutzer:innen mit dem Einwilligungsbanner interagieren müssen, um den Besuch der Webseite fortzusetzen.“

Auch zum Nudging führt die Datenschutzkonferenz nun differenzierter aus: „Eine Verhaltenssteuerung durch die Gestaltung, die allgemein als Nudging bezeichnet wird, ist daher nicht generell unzulässig. […] Zur Erfüllung des Merkmals der Freiwilligkeit ist es erforderlich, dass eine Wahlmöglichkeit deutlich erkennbar und auch tatsächlich möglich ist. Allein eine unterschiedliche Farbwahl muss nicht zwangsläufig dazu führen, dass die Freiwilligkeit abzulehnen ist.“ Jedoch: „Die Möglichkeit keine Einwilligung zu erteilen, muss eindeutig als gleichwertige Alternative zur Option „Einwilligung erteilen“ dargestellt werden. Dies ist anzunehmen, wenn sich z. B. neben einem Button „Einwilligung erteilen“ ein insbesondere in Größe, Farbe, Kontrast und Schriftbild vergleichbarer Button „Weiter ohne Einwilligung“ finden lässt.“

Weiterhin führt die Orientierungshilfe nun ergänzend zu Informationspflichten und einigen Betroffenenrechten aus. In Bezug auf das Auskunftsrecht stellt die Datenschutzkonferenz beispielsweise dar, dass es Betreibern von Internetseiten oftmals nicht möglich ist, den Namen eines Betroffenen weiteren Daten zuzuordnen. In diesen Fällen sei es mit Verweis auf Art. 11 Abs. 2 Satz 2 DS-GVO möglich, weitere Identifikationsmerkmale anzufordern. Diese Vorschrift berechtige jedoch ausdrücklich nicht zu einer routinemäßigen Identitätsprüfung. Hinsichtlich des Rechts auf Löschung weist die Datenschutzkonferenz darauf hin, dass Cookies standardmäßig mit Laufzeiten zu versehen sind, die sich am Grundsatz der Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. e) DS-GVO zu orientieren haben. Eine automatisierte Löschung von Cookies muss demnach in jedem Fall gegeben sein.

Über die umrissenen Ergänzungen hinaus, blieben die wesentlichen Aussagen der bisherigen Orientierungshilfe jedoch von Änderungen verschont.

Fazit

Betreiber von digitalen Diensten sollten die überarbeiteten Ausführungen der Datenschutzkonferenz unbedingt bei der Ausgestaltung von Einwilligungsbannern und dem Einsatz von Cookies berücksichtigen, hilft diese doch rechtliche Unsicherheiten zu minimieren. Nichtsdestotrotz macht die Orientierungshilfe an einigen Stellen deutlich, dass es stets einer fundierten Einzelfallbetrachtung bedarf. Hierbei kann der Datenschutzbeauftragte eine entscheidende Rolle spielen – wir unterstützen Sie gern!

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

In seinem Urteil vom 29. November 2022 hat das Landgericht München I (Az.: 33 O 14776/19) festgestellt, dass das Cookie-Banner der Internetseite von focus.de nicht den rechtlichen Anforderungen entspricht und die weitere Nutzung untersagt. Geklagt hatte der Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (vzbv). Was das Urteil für Betreiber von Internetseiten konkret bedeutet, lesen Sie im nachfolgenden Beitrag.

Zum Sachverhalt

Zur Verwaltung der Nutzerpräferenzen hinsichtlich datenschutzrechtlicher Einwilligungen, setzt der Betreiber der Internetseite focus.de ein sogenanntes Consent-Management-System (Cookie-Banner) nach Branchenstandard („Transparency & Consent Framework (TCF) 2.0“ des Interactive Advertising Bureau (IBA)) ein. Über dieses haben die Nutzenden der Internetseite die Möglichkeit, ihre Einwilligung hinsichtlich verschiedenster Drittanbieter, beispielsweise Publishern, Werbungstreibenden, Vermarktern, Agenturen und den jeweiligen Technologiepartnern, zu verwalten. Auf der ersten Ebene war es den Nutzenden jedoch ausschließlich möglich, die optionalen Datenverarbeitungen vollumfänglich zu akzeptieren oder diese im Rahmen der weiteren Einstellungsmöglichkeiten einzeln ab- bzw. zuzuwählen.

Die Vornahme der Einstellungsmöglichkeiten verteilte sich vorliegend auf insgesamt 500 Einzelansichten, wobei für mehr als ein Dutzend Anbieter die jeweilige Einwilligung bereits vorausgewählt gewesen sei, so der vzbv. Zwar war es den Nutzenden auf der zweiten Ebene möglich alle optionalen Datenverarbeitungen abzulehnen, jedoch trat diese Schaltfläche aufgrund der grafischen Gestaltung gegenüber den weiteren Schaltflächen deutlich in den Hintergrund. Bemängelt wurde weiterhin die fehlende Transparenz der Datenverarbeitung entsprechend der Regelungen des Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG) sowie der Datenschutz-Grundverordnung (DS-GVO).

Zweifel an der Freiwilligkeit

Das Gericht setzte sich im Rahmen der Entscheidung mit verschiedenen Aspekten hinsichtlich des Cookie-Banners auseinander. Dabei kam es unter anderem zu dem Ergebnis, dass das vorliegende Cookie-Banner keine wirksame Einwilligung der Nutzenden gewährleisten könne.

Die Einwilligung könne insbesondere bereits nicht als freiwillig angesehen werden, da den Nutzenden erst auf der zweiten Ebene die Möglichkeit zur Verfügung steht, sämtliche optionalen Datenverarbeitungen abzulehnen. Insofern würde den Nutzenden im Gegensatz zur allumfassenden Einwilligung hiermit ein Mehraufwand entstehen, welcher insbesondere aufgrund der im Internet üblichen Schnelligkeit und geringen Aufmerksamkeit der Nutzenden als nicht unerheblich anzusehen sei. Weiterhin wäre es den Nutzenden erst durch genaue Betrachtung des Fließtextes ersichtlich, dass überhaupt ein umfassendes Ablehnen sämtlicher optionaler Datenverarbeitungen möglich ist.

Die aufgeführte Darstellung des Gerichts ist aus Fairnessgründen zu begrüßen, wobei die hervorgebrachte Begründung juristisch jedoch zu überraschen vermag: Eine Einwilligung nach TTDSG ist an den Anforderungen der DS-GVO auszurichten. Vorliegend ergeben sich die Bedingungen an eine wirksame Einwilligung aus Art. 7 DS-GVO sowie den hierzu einschlägigen Erwägungsgründen. Hieraus lassen sich sich zunächst keine konkreten Vorgaben dahingehend ableiten, dass die Verweigerung einer Einwilligung mit dem gleichen Aufwand wie die Erteilung einer Einwilligung verbunden sein muss –  auch wenn dies seitens der hiesigen Aufsichtsbehörden gern in dieser Form vertreten wird. Auch erscheint es fraglich, wie das Gericht vorliegend die kognitiven Fähigkeiten von Nutzenden des Internets darstellt.

Verantwortliche sind unter den genannten Gesichtspunkten auf der sicheren Seite, wenn das Consent-Management-System bereits auf der ersten Seite eine echte Wahl zwischen Zustimmung und Ablehnung bereithält und die Schaltflächen hinsichtlich Form und Farbe gleichberechtigt dargestellt werden.

Ausführungen zur technischen Erforderlichkeit

Ferner stellt das Gericht deckungsgleich zu den Auffassungen der Aufsichtsbehörden dar, dass das Vorliegen einer technischen Erforderlichkeit, an der von den Nutzenden ausdrücklich gewünschten Funktionen eines Telemediendienstes auszurichten ist. Dementsprechend liege nach Auffassung des Gerichts einer solcher Wunsche hinsichtlich Cookies zu Analyse- und Marketingzwecken bei dem Besuch eines Nachrichtenportals nicht vor. Auch wenn der Betreiber der Internetseite hiermit eine Finanzierung des Angebots verfolgt, handele es sich damit ausschließlich um subjektive Interessen, auf die er sich vorliegend nicht stützen könne.

Fazit

Zunächst ist darauf hinzuweisen, dass die Entscheidung noch nicht rechtskräftig ist und der Betreiber der Internetseite gegen die Entscheidung des Gerichts Rechtsmittel eingelegt hat. Mit Spannung kann demnach einerseits die Entscheidung, aber insbesondere auch die Begründung der nächsten Instanz erwartet werden. Für Betreiber von Internetseiten zeigt sich aber bereits jetzt: Eine detaillierte Auseinandersetzung mit den unterschiedlichen rechtlichen Anforderungen aus dem TTDSG und der DS-GVO ist in jedem Fall erforderlich. Ein Verweis auf geltende Branchenstandards stellt nicht in jedem Fall eine rechtssichere Umsetzung dar.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

WAS SOLLTEN SIE JETZT TUN?

(1) Machen Sie eine Bestandsaufnahme aller Cookies und sonstigen Scripte. Eine vollständige Auflistung der Datenverarbeitungen auf Ihrer Internetseite kann in der Regel nur in Zusammenarbeit mit dem jeweiligen Ersteller der Internetseite erfolgen. Sie können im ersten Schritt hierzu jedoch auch folgende kostenfreie Internetseiten und Anwendungen nutzen:
– Webbkoll
– BuiltWith
– Überprüfung der Google-Analytics-Konfiguration
– Ghostery & uBlock Origin (Browsererweiterung für verschiedene gängige Browser)
– Überprüfung der eingesetzten Cookies über den Browser, z.B. über „Web-Speicher“ bei Firefox

(2) Überlegen Sie, zu welchem Zweck die eingesetzten Cookies und Scripte, bzw. die sich dahinter verbergenden Tools verwendet werden. Vor allem: Prüfen Sie, ob die Tools überhaupt aktiv genutzt werden und ob es vielleicht datenschutzfreundliche Alternativen gibt.

(3) Überprüfen Sie, ob die Elemente für das technische Funktionieren der Webseite zwingend nötig sind. Für alle anderen Cookies und Scripte wird eine Einwilligung des Nutzers benötigt. Einwilligungsbedürftig sind bspw. Cookies oder Dienste im Zusammenhang mit statistischer Analyse und Reichweitenmessung, verhaltens- oder standortbezogene Werbung, sozialen Netzwerken, Streaming-Inhalte, die bei Dritten gehostet werden, sonstigen Inhalten Dritter.

(4) Werden einwilligungsbedürftige Cookies oder Dienste eingesetzt, setzen Sie die Einwilligung nutzerfreundlich und rechtskonform um. Eine praktikable Lösung ist die Verwendung sogenannter „Cookie-Banner“ oder „Consent Management“-Dienste, die für alle gängigen Content Management Systeme als Plugins angeboten werden. Die Grundanforderungen an ein solches Banner sind, dass es sofort und gut sichtbar bei Besuch der Internetseite ist und die gesetzliche Pflichtinformationen (z.B. Impressum, AGB, Datenschutzerklärung) nicht überdeckt. Einwilligungsbedürftige Datenverarbeitungen dürfen erst nach aktiver Zustimmung des Nutzers vorgenommen werden. In der Regel muss ein Besuch der Internetseite auch dann möglich sein, wenn der Nutzer keine Einwilligung erteilt. Ausnahmen können sich im Zusammenhang mit kostenpflichtigen Alternativen ergeben; sie müssen im Einzelfall geprüft werden.

Der Hinweistext soll in klarer und verständlicher Sprache zur Art der Daten, der Verarbeitung, Übermittlung und Speicherdauer informieren. Verwenden Sie idealerweise für die Gestaltung drei gleichartige Auswahl-Schaltflächen, ohne vorausgewählte Optionen:
(a) alle Anbieter akzeptieren, (b) alle Anbieter ablehnen, (c) erweiterte Einstellungen.

Mit der Schaltfläche „erweiterte Einstellungen“ sollten Sie detaillierte Informationen zur Verfügung stellen. Das sind die Beschreibung sämtlicher Verarbeitungszwecke und die Nennung aller Drittanbieter als Datenempfänger mit Unternehmensbezeichnung und Anschrift (die Nennung des Namens oder der Cookie-Domain reicht nicht aus) sowie die Angabe der Speicherdauer der Cookies. Wichtig ist auch, dort Einwilligungen für verschiedene Zwecke oder unterschiedliche Drittanbieter gesondert abgeben zu können. Sie müssen auch die Möglichkeit des jederzeitigen Widerrufs, z.B. mittels eines Buttons „Alle deaktivieren“, anbieten.

(5) In einem letzten Schritt kann es notwendig sein, die Datenschutzinformationen Ihrer Internetseite anzupassen.

Das Dresdner Institut für Datenschutz oder Ihr Datenschutzbeauftragter unterstützt Sie gern, auch in Zusammenarbeit mit Ihrer Internet-Agentur.

Über den Autor: Das DID Dresdner Institut für Datenschutz unterstützt Unternehmen und Behörden bei allen Fragen rund um die Themen Datenschutz und Informationssicherheit. Regelmäßig erscheinen an dieser Stelle Beiträge zu praxisrelevanten Themen und Entwicklungen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie das DID Dresdner Institut für Datenschutz gern per E-Mail kontaktieren.