„Diese Seite verwendet Cookies.“ Wer im Netz unterwegs ist, hat diesen Hinweis sicher schon hunderte Male gelesen. Manche Seiten verwenden solche Cookies, um sich Spracheinstellungen oder den Inhalt des Einkaufskorbes zu merken. Die meisten haben aber noch etwas anderes vor: das Verhalten der Besucher:innen auswerten. Interessant ist deshalb, wie es nach diesem vertrauten, ersten Satz weitergeht.
Während manche Seiten ihren Nutzer:innen eine echte Wahl lassen, gilt bei vielen Anbietern bis heute: „Friss (Cookies) oder stirb.“ Wer die Seite nutzen will, erklärt sich automatisch mit der Datensammlung einverstanden, heißt es dann oft.
Das könnte sich bald ändern, denn noch in diesem Jahr will das zuständige Wirtschaftsministerium Online-Tracking neu regeln und einen Entwurf zur Änderung des Telemediengesetzes (TMG) vorlegen. Das bestätigte ein Pressesprecher gegenüber unserer Reaktion. Die Gesetzesänderung könnte nicht nur für mehr Klarheit sorgen, sondern auch dem Friss-oder-Stirb-Prinzip endgültig ein Ende bereiten.
Daten fließen oft auch an Drittfirmen
Technisch gesehen gibt es diverse unterschiedliche Verfahren, um Nutzer:innen auf einer Website oder über mehrere Websites hinweg zu tracken: von Cookies und Tracking-Pixeln über Plug-Ins und Schnittstellen bis zum Browser-Fingerprinting. Fast allen Methoden ist gemeinsam, dass Seitenbetreiber dabei Dienste von Drittfirmen einbinden und die Daten der Nutzer:innen auch an diese fließen.
Vor allem im Online-Marketing werden individuelle Profile über mehrere Seiten hinweg erstellt, um einen größtmöglichen Werbeeffekt zu erzielen, indem Werbung auf Persönlichkeits- und Nutzungsmuster von Menschen abgestimmt wird.
Wen Facebook, Google und andere Werbenetzwerke als abenteuerlustigen Mittzwanziger identifizieren und wer auf einer Flugbuchungsseite nach Last-Minute-Angeboten sucht, bekommt bald vielleicht auf anderen Websites Werbung für einen Erlebnistrip nach Thailand angezeigt.
Unter welchen Bedingungen das zulässig ist, ist seit langem eine umstrittene, datenschutzpolitische Frage. Derzeit laufen mehrere Verfahren von Datenschutzbehörden, bei denen Nichtregierungsorganisationen die Prüfung solcher Systeme angeregt hatten. Im Netz gehören sie heute zum Standard, nur wenige Seiten verzichten darauf (netzpolitik.org ist eine von ihnen).
Veraltetes Telemediengesetz
Bei dem Thema herrscht in Deutschland trotz der Datenschutzgrundverordnung (DSGVO) Chaos, denn relevante Gesetze zum Online-Tracking wurden bisher nicht aktualisiert.
Im deutschen Telemediengesetz steht deshalb heute noch, dass die Betreiber:innen von Websites und anderen Telemediendiensten für Werbezwecke individuelle Nutzungsprofile erstellen dürfen. Einzige Einschränkung: Die Daten dürfen nicht unter Klarnamen gespeichert werden, sondern unter einem Pseudonym. Nutzer:innen haben außerdem ein Widerspruchsrecht. Für Seitenbetreiber:innen ist das eine ziemlich komfortable Regelung, doch mit der Datenschutzgrundverordnung ist sie nicht vereinbar.
Das jedenfalls sagen die deutschen Datenschutzbehörden. Einen Monat vor Inkrafttreten der DSGVO im Mai 2018 veröffentlichte die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) eine Positionsbestimmung zum Online-Tracking [PDF]. Die entsprechenden Regelungen des Telemediengesetzes seien unter der DSGVO nicht mehr anwendbar. Stattdessen bräuchten Tracking-Dienste, die individuelle Profile erstellen wollen, eine explizite und vorherige Einwilligung – Opt-In statt Opt-Out.
Wenig überraschend lehnt die Online-Werbewirtschaft diese Sichtweise der DSK ab. Viele Seiten haben daher ihre Praxis nicht geändert. Selbst wenn Einwilligungs-Banner erscheinen, sind sie oft vorausgefüllt oder lassen Nutzer:innen gar keine Entscheidungsmöglichkeit. Die Folge: allgemeine Einwilligungsmüdigkeit. Fast automatisch klicken wohl die meisten auf „Zustimmen“, sobald sich der Cookie-Hinweis ins Bild schiebt.
Auf einer Linie mit Frankreich und Großbritannien
Ein Jahr später hat die Datenschutzkonferenz deshalb nochmal nachgelegt. In einer ausführlichen Orientierungshilfe [PDF] stellten die Aufsichtsbehörden im April 2019 dar, unter welchen Bedingungen Tracking erlaubt ist. Wieder kommen die Datenschützer zu dem Ergebnis: In den allermeisten Fällen benötigen Anbieter eine explizite Einwilligung der Betroffenen. Eine Abwägung zwischen den Interessen der Betroffenen und denen der Werbetreibenden müsse in den meisten Fällen ergeben, dass das Schutzbedürfnis der Nutzer:innen überwiege.
Außerdem könne es nicht als Einwilligung angesehen werden, wenn Menschen nicht auf das Tracking-Banner reagieren, sondern einfach weiter auf der Seite surfen. Auch vorausgefüllte Kästchen seien nicht erlaubt. Tracking-Mechanismen müssten zudem komplett ausgesetzt werden, bis Betroffene zustimmen. Wer das Datensammeln vorher, also direkt beim Aufruf einer Seite beginnt, verstoße gegen die DSGVO.
Auch andere europäische Datenschutzbehörden haben sich inzwischen ähnlich positioniert.
Im Juli stellte etwa die französische Commission Nationale de l’Informatique et des Libertés (CNIL) klar, dass sie es nicht als ausreichende Einwilligung betrachtet, wenn Nutzer:innen auf einer Seite weiterscrollen oder ‑klicken. Die Seitenbetreiber:innen müssten nachweisen, dass sie eine explizite und informierte Einwilligung ihrer Besucher:innen haben. Auch das britische Information Commissioners Office (ICO) sieht das so.
Altmaier wartet auf den EuGH
Das Bundeswirtschaftministerium möchte sich allerdings nicht ohne Weiteres hinter die Datenschutzbehörden stellen. Stattdessen will das Haus von Peter Altmaier (CDU) eine Entscheidung des Europäischen Gerichtshofes (EuGH) abwarten.
Seit Jahren verhandeln Gerichte über eine Klage des Bundesverbands der Verbraucherzentralen gegen einen Gewinnspielanbieter namens Planet49. Dieser hatte sich in den Nutzungsbedingungen für ein Gewinnspiel nicht nur zwangsläufig das Recht zur Weitergabe von Daten an dutzende Drittfirmen zusichern lassen, sondern ein Zustimmungskästchen für Tracking-Cookies bereits vorausgefüllt.
In seinem Schlussgutachten empfahl EuGH-Generalanwalt Maciej Szpunar dem Gericht bereits, es nicht als aktive Einwilligung anzusehen, wenn Kästchen vorausgefüllt sind. Außerdem müssten Diensteanbieter mindestens darüber aufklären, wie lang ein gesetzter Cookie funktioniert und ob Dritte auf die Informationen zugreifen können.
Eine Entscheidung des EuGH wird Anfang Oktober erwartet. Danach soll dann auch die Rechtslage in Deutschland unmissverständlich geklärt werden. Das Wirtschaftsministerium bereite schon entsprechende Änderungen des Telemediengesetzes vor, teilte ein Sprecher des Wirtschaftsministeriums netzpolitik.org mit. Im Herbst wolle man den Gesetzentwurf vorlegen.
Unter dem Druck der Datenlobby
Es gibt bereits eine EU-Richtlinie, die das Thema Online-Tracking explizit regelt: die 2002 verabschiedete und 2009 überarbeitete ePrivacy-Richtlinie. Als kleine Schwester der Datenschutzgrundverordnung ergänzte und spezifizierte sie die alte EU-Datenschutzrichtlinie von 1995.
Eigentlich sollte sie im Anschluss an die Verabschiedung der Datenschutzgrundverordnung generalüberholt und spätestens im Frühjahr 2018 verabschiedet werden. Gerade in Sachen Online-Tracking sollte die Richtlinie, die dann zur ePrivacy-Verordnung aufgewertet worden wäre, Nutzer:innen mehr Selbstbestimmung ermöglichen.
Die EU-Kommission und das EU-Parlament hielten sich an den ambitionierten Zeitplan, doch die Mitgliedstaaten im Rat konnten sich unter dem Druck der Datenindustrie nicht auf eine Position einigen. Zur Online-Werbelobby gehören auch große Verlage und Medienhäuser, die die Reform dramatisch als „Angriff auf den freien Journalismus im Netz“ bezeichnen.
Mittlerweile hinkt die EU so dem früheren Zeitplan anderthalb Jahre hinterher und es dürften noch mehr werden: Damit, dass die Verordnung vor Ende 2020 verabschiedet wird, rechnet heute niemand mehr.
Das führt zu der bizarren Situation, dass die Datenschutzgrundverordnung dem Online-Tracking nach Auslegung der Datenschutzbehörden engere Grenzen setzt als es das deutsche Datenschutzrecht formell tut. Noch dazu kommt, dass bereits die deutsche Umsetzung der alten ePrivacy-Richtlinie mangelhaft gewesen ist. Denn schon in ihr heißt es seit 2009, dass Nutzer:innen Online-Tracking bewusst zustimmen müssen. Die deutsche Opt-Out-Regelung hat dieser Vorgabe nicht entsprochen. Das sagen die deutschen Datenschutzbehörden und das sagt auch EuGH-Generalanwalt Maciej Szpunar in seinem Gutachten im Fall Planet49.
Egal, wie das höchste EU-Gericht im Oktober entscheidet: Die angekündigte Änderung des Telemediengesetzes ist längst überfällig.
