Kehrtwende! Aufsichtsbehörden verlangen nun doch den Opt-In für das User-Tracking

[stefan-at-work]

Bisher galt die Auffassung, beim User-Tracking auf ein nachträgliches Opt-Out setzen zu können, doch die Datenschutzkonferenz stellt hierbei klar, dass es einer vorherigen Einwilligung beim Einsatz von Tracking-Mechanismen bedarf.

Vor wenigen Tagen, genau am 26. April 2018 hat die Datenschutzkonferenz, kurz DSK, ein Positionspapier veröffentlicht, welches sich mit den rechtlichen Anforderungen zum Thema Tracking von Seitenbesuchern auf Websites und Apps beschäftigt. Die DSK ist ein Gremium, in dem sich die Datenschutzbehörden des Bundes und der Länder auf gemeinsame Positionen verständigen.

Dabei hat es die Ziffer 9 des Positionspapiers in besonderem Maße in sich, da sie die bisherigen Annahmen praktisch obsolet macht. Im Wortlaut bedeutet dies: „Es bedarf jedenfalls einer vorherigen Einwilligung beim Einsatz von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen. Das bedeutet, dass eine informierte Einwilligung i. S. d. DSGVO in Form einer Erklärung oder sonstigen eindeutig bestätigenden Handlung vor der Datenverarbeitung eingeholt werden muss, das heißt, z. B. bevor Cookies platziert werden bzw. auf dem Endgerät des Nutzers gespeicherte Informationen gesammelt werden.“

Die Aussage wäre demnach so zu verstehen, dass das Tracking von Nutzern wie z. B. durch Statistik- und Analysetools oder durch Werbetracker nur noch durch eine explizite Zustimmung des Nutzers legitimiert werden kann, auch wenn es in anonymisierter Form erfolgt. Dies wäre eine klare Abkehr von der bis zum 25. Mai 2018 noch geltenden Regelung des § 15 Abs. 3 TMG, wonach ein solches Tracking nach dem Opt-Out-Prinzip zulässig ist, also einem nachträglichen Widerspruch eines bereits durchgeführten Trackings.

Diese Technik scheint so nicht mehr einsetzbar zu sein, sondern bevor der Nutzer der eine Website besucht überhaupt gezählt wird, muss dieser seine explizite Einwilligung hierzu geben.

Nähere Informationen finden sich hier: https://www.wbs-law.de/internetrecht...quenzen-77046/

[lucina]

LOL. Inflation der Splashpages mit länglichen Rechtstexten. #epic

Ernsthaft: So wie ich das verstanden habe bezieht sich das auf personenbezogene Daten, nicht auf zweckgebundene anonymisierte Daten. Aber wir werden sicher erleben dass in den nächsten Tagen und Wochen noch etliche Säue dieses Kalibers durch die Dörfer getrieben werden.

EDIT: @Stefan: Magst Du mal abklären wie das Landesdatenschutzzentrum in Kiel das sieht? Ich habe die in den vergangenen Wochen so oft genervt, die mögen gar nicht mehr mit mir telefonieren ... ;-)

[Spooky]

So verstehe ich das auch. Personenscharfes Tracking muss eingewilligt werden, logischerweise. Ansonsten reicht Opt-out.

[Samson1964]

D.h. Google-Tracking muß zugestimmt werden?! Also schalte ich das am besten ab...
Damit die Website sich merken kann, ob jemand Tracking zugestimmt hat, muß aber wiederum ein Cookie beim Besucher gesetzt werden. Wenn das nicht erlaubt ist(?), würde die Abfrage nach Zustimmung als Dauerschleife erscheinen...

[lucina]

Lies mal bitte diesen Artikel zum Thema Google-Tracking bzw. dem rechtskonformen Ausschalten desselben: https://blog.marketing-factory.de/da...ytics-opt-out/

Das ist ja dann ein technisch bedingter Cookie, und von denen darfst Du so viele ablegen (lassen) wie Du möchtest und begründen kannst. Und wenn man - wie ich - der Meinung ist, dass man solche Softwarewarzen wie GA nicht einsetzen sollte, dann muss man das ja auch nicht tun. Es gibt ja auch datensparsame Möglichkeiten zur Auswertung.

[jk1]

Wurde auch schon hier erwähnt. Hier habe ich auch was zu dem Thema geschrieben. Ist hier durch die vielen Threads leider ein großes Durcheinander geworden.

Also es bezieht sich nicht grundsätzlich auf personenbezogene Daten. Denn diese werden auch ohne Cookie z.B. über ein CDN bei dem Anbieter gespeichert (Server-Log). Wie Spooky geschrieben hat, geht es um sensible Daten, die Nutzer z.B. über mehrere Seiten tracken. Sowas wie Re-Targeting. Aber auch hier kann ggf. ein berechtigtes Interesse bestehen.

Habe übrigens mal ein bisschen mit dem Google Tag Manager herumgespielt. Damit kann man Cookie basierte Ausnahmen pro Script/Dienst anbieten. D.h. damit könnte man auch mit einem recht überschaubaren Aufwand ein Opt-In (oder auch Opt-Out) für alle externen Scripte realisieren. Also z.B. einen Link in die Seite einbauen, der dafür da ist alle Tracking-Dienste zu erlauben (oder zu verbieten). Bei Klick wird ein Cookie gesetzt. Anhand dieses Cookies wird dann bei GTM das Script erlaubt (bzw. verboten).