“Zum ande­ren wird auch die ver­nünf­ti­ge Erwar­tungs­hal­tung des Nut­zers an die Ana­ly­se regel­mä­ßig gegen einen rechts­kon­for­men Ein­satz der Reich­wei­ten­mes­sung spre­chen, da er in der Regel nicht mit ein­ge­bun­de­nen Diens­ten Drit­ter rech­net.” – Eileen Binder

Das Tele­me­di­en­ge­setz (= TMG) regelt u.a. den Umgang mit per­so­nen­be­zo­ge­nen Daten von Nut­zern von Tele­me­di­en (wie dem „Inter­net“). Mit Wir­kung der Datenschutz-Grundverordnung (DSGVO) steht unstrei­tig fest, dass das TMG vom Daten­schutz über­la­gert wird und kei­ne Anwen­dung mehr fin­det. Die Zuläs­sig­keit der Daten­ver­ar­bei­tung durch Coo­kies rich­tet sich somit allein nach der DSGVO. Mög­li­che Erlaub­nis­tat­be­stän­de für den Ein­satz von Coo­kies sind damit die Ein­wil­li­gung (Art. 6 Abs. 1 S. 1 lit. a DSGVO) und das berech­tig­te Inter­es­se des ver­ant­wort­li­chen Tele­me­di­en­an­bie­ters (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

Bis­her hat die DSK die Auf­fas­sung ver­tre­ten, Nut­zer­ana­ly­se – unab­hän­gig davon, ob es sich ledig­lich um eine Reich­wei­ten­mes­sung han­delt oder um kom­ple­xes Web­track­ing — sei nur mit Ein­wil­li­gung des Nut­zers mög­lich (Posi­ti­ons­be­stim­mung zur Anwend­bar­keit des TMG für nicht-öffentliche Stel­len vom 26. April 2018). In der kürz­lich ver­öf­fent­lich­ten Ori­en­tie­rungs­hil­fe (= OH) wur­de nun die The­ma­tik erneut auf­ge­grif­fen und vertieft.

In der OH stellt die DSK noch ein­mal das Ver­hält­nis von TMG und DSGVO fest und unter­legt die Auf­fas­sung in einem aus­führ­li­chen Bei­trag. Auch die Rechts­grund­la­gen „Ein­wil­li­gung“ und „berech­tig­tes Inter­es­se“ für den Ein­satz von Coo­kies zu Ana­ly­se­zwe­cken sind erneut Teil der OH. Anhand eines Bei­spiels zur Reich­wei­ten­mes­sung wer­den die bei­den Rechts­grund­la­gen aus­führ­lich durch­ge­prüft. Die für die Pra­xis wohl inter­es­san­tes­te Erkennt­nis aus der OH ist das Prü­fungs­er­geb­nis des berech­tig­ten Inter­es­ses. Anders als noch nach der bis­her ver­tre­te­nen Auf­fas­sung, eine Reich­wei­ten­mes­sung dür­fe aus­schließ­lich mit Ein­wil­li­gung des Nut­zers erstellt wer­den, rela­ti­viert die DSK die­sen Stand­punkt und wägt im Ein­zel­fall ab. So soll es nun durch­aus mög­lich sein, ein berech­tig­tes Inter­es­se an der Reich­wei­ten­mes­sung zu haben. Ob das berech­tig­te Inter­es­se besteht, muss anhand der Voraussetzungen

• Vor­lie­gen eines berech­tig­ten Interesses,
• Erfor­der­lich­keit der Reich­wei­ten­mes­sung und
• einer Abwä­gung zwi­schen den Inter­es­sen des Ver­ant­wort­li­chen und den Inter­es­sen des Nut­zers (z. B. anhand der Erwar­tun­gen des Nut­zers, der Vor­her­seh­bar­keit, Trans­pa­renz, Dau­er der Ver­ar­bei­tung, Daten­ka­te­go­rien und Umfang der Datenverarbeitung)

geprüft wer­den.

Die OH führt schließ­lich zu der Erkennt­nis, dass Ver­ant­wort­li­che wei­ter­hin zwin­gend eine Ein­wil­li­gung der Nut­zer ein­ho­len müs­sen, da die Prü­fung des berech­tig­ten Inter­es­ses zum einen regel­mä­ßig an der Erfor­der­lich­keit schei­tern wird, näm­lich immer dann, wenn der Ver­ant­wort­li­che ein Analyse-Tool eines Drit­ten einsetzt.

„Die Mes­sung der Reich­wei­te und die sich dar­aus erge­ben­den Infor­ma­tio­nen sind geeig­net, um das Web­an­ge­bot anzu­pas­sen (berech­tig­tes Inter­es­se). Setzt der Website-Betreiber hier­für ein Analyse-Tool ein, wel­ches Daten über das Nut­zungs­ver­hal­ten betrof­fe­ner Per­so­nen an Drit­te wei­ter­gibt, ist dies nicht mehr erfor­der­lich. Das Ziel – Reich­wei­ten­mes­sung – kann auch mit mil­de­ren, gleich geeig­ne­ten Mit­teln erreicht wer­den, die deut­lich weni­ger per­so­nen­be­zo­ge­ne Daten erhe­ben und die­se nicht an Drit­te über­mit­teln (z. B. ohne Ein­bin­dung Drit­ter über eine loka­le Imple­men­tie­rung einer Analysesoftware).“

Zum ande­ren wird auch die ver­nünf­ti­ge Erwar­tungs­hal­tung des Nut­zers an die Ana­ly­se regel­mä­ßig gegen einen rechts­kon­for­men Ein­satz der Reich­wei­ten­mes­sung spre­chen, da er in der Regel nicht mit ein­ge­bun­de­nen Diens­ten Drit­ter rechnet.

„Im Hin­blick auf die Ein­bin­dung von Diens­ten Drit­ter erwar­tet ein Nut­zer übli­cher­wei­se nicht, dass an die­se Drit­ten, zu denen der Nut­zer regel­mä­ßig kei­ne Bezie­hun­gen unter­hält, Infor­ma­tio­nen dar­über wei­ter­ge­ge­ben wer­den, wel­che Web­sites er besucht oder wel­che Apps er nutzt.“

Fazit: Hat die OH zunächst einen Hoff­nungs­schim­mer für den rechts­kon­for­men Ein­satz von Coo­kies zur Nut­zer­ana­ly­se erzeugt, führt die Ein­zel­fall­prü­fung zu einem nüch­ter­nen Ergeb­nis. Die Nut­zer­ana­ly­se kann nun zwar unter das berech­tig­te Inter­es­se fal­len, lie­gen die engen Vor­aus­set­zun­gen jedoch nicht vor, muss (wei­ter­hin) eine Ein­wil­li­gung des Nut­zers ein­ge­holt wer­den. Ein posi­ti­ves berech­tig­tes Inter­es­se kann aller­dings nur in Fäl­len vor­lie­gen, in denen der Ver­ant­wort­li­che die Ana­ly­se ohne Ein­bin­dung von Diens­ten Drit­ter über eine lokal imple­men­tier­te Ana­ly­se­soft­ware durch­führt. Sobald per­so­nen­be­zo­ge­ne Daten an Dritt­an­bie­ter über­mit­telt wer­den, ist ein berech­tig­tes Inter­es­se an der Daten­ver­ar­bei­tung nicht mehr mög­lich, die Ein­ho­lung einer vor­he­ri­gen Ein­wil­li­gung ist not­wen­dig. So hat sich die Auf­fas­sung der DSK in der Ori­en­tie­rungs­hil­fe für Anbie­ter von Tele­me­di­en zwar rela­ti­viert, die Inter­es­sen­ab­wä­gung dürf­te jedoch in der Pra­xis auf­grund der über­wie­gend ein­ge­bun­de­nen Diens­te Drit­ter in den wenigs­ten Fäl­len zuguns­ten des ver­ant­wort­li­chen Tele­me­di­en­dienst­an­bie­ters ausfallen.