Endspurt: Bald gilt die Datenschutz-Grundverordnung (DSGVO) für alle, Stichtag ist der 25. Mai 2018 (Artikel 99 Abs. 2 DSGVO). Noch immer gibt es eine erstaunlich große Anzahl von Unternehmen, die mit der Umsetzung noch nicht einmal begonnen haben. Die meisten haben aber zumindest eine aktualisierte Datenschutzerklärung „in der Hinterhand“ und schalten diese pünktlich zum Stichtag um. Die Gefahr der Abmahnungen ist gebannt – scheinbar!
Denn kurz vor dem großen Stichtag, hat die Datenschutzkonferenz (DSK) ein neues Positionspapier veröffentlicht. Bei der DSK handelt es sich um die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder, die Positionspapiere der DSK haben also großes Gewicht. Und unterstellt man die Abmahnfähigkeit von Datenschutzverstößen, so könnte auch eine Vielzahl von neuen Datenschutzerklärung abmahngefährdet sein.
Inhalt dieses Positionspapieres ist das Verhältnis zwischen der DSGVO, der ePrivacy-Richtlinie sowie der ePrivacy-Verordnung. Ursprünglich war geplant, dass die neue ePrivacy-Verordnung die bisher geltende ePrivacy-Richtline ersetzen und gleichzeitig mit der DSGVO in Kraft treten solle. Tatsächlich geschieht dies jedoch nicht unwesentlich später, voraussichtlich Anfang 2019.
Doch was geschieht mit den Regelungen im Telemediengesetz (TMG), die – vermeintlich – die ePrivacy-Richtline umsetzen? Dieser Frage hat sich die DSK angenommen und vertritt in dem Positionspapier die – vorsichtig formuliert – stark diskutierte Auffassung, dass Cookies nur dann DSGVO-konform eingesetzt werden können, sofern eine informierte Einwilligung des Nutzers vorliegt. Zumindest, sofern diese Cookies das Verhalten betroffener Personen im Internet nachvollziehbar machen oder der Erstellung von Nutzerprofilen dienen.
Die DSK erwähnte in ihrem Positionspapier an dieser Stelle nicht, dass eine weit verbreitete Gegenmeinung existiert, die in diesen Fällen Ermächtigungsgrundlagen abseits der Einwilligung für zumindest möglich erachtet. Insbesondere kommen hier die Erfüllung eines Vertrages (Artikel 6 Absatz 1 b) DSGVO) oder die Wahrung der berechtigten Interessen des Verantwortlichen (Artikel 6 Absatz 1 f) DSGVO) in Betracht.
Aber was bedeutet das für die Praxis? Abmahner und die Datenschutzbehörden werden wohl ab dem 25.05.2018 einen genauen Blick auf die verwendeten Cookies – nebst Einwilligung – und die jeweiligen Datenschutzerklärungen werfen. Eine Möglichkeit ist also, dem Positionspapier zu folgen und eine entsprechende Einwilligung einzuholen bzw. auf Cookies dieser Art komplett zu verzichten. Da das Positionspapier jedoch nicht bindend ist, insbesondere nicht für die Gerichte, können Unternehmen als zweite Möglichkeit auch den Einsatz dieser Cookies auf eine andere Ermächtigungsgrundlage stützen und dies in der Datenschutzerklärung entsprechend aufführen.
Wir beraten Sie gerne bei der Frage, welche Möglichkeit für Sie optimal ist. Nehmen Sie hierzu gerne Kontakt zu uns auf.