Datenschutz: Berechtigtes Interesse an Analysediensten

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (= DSK) veröffentlichte im März 2019 eine Orientierungshilfe für Anbieter von Telemedien. Darin wird die Anwendbarkeit des Telemediengesetzes unter der Datenschutz-Grundverordnung und in Abhängigkeit dazu der Einsatz von Cookies zu Analysezwecken thematisiert. Neuste Erkenntnis: Nutzeranalysen durch Cookies können im berechtigten Interesse des Anbieters von Telemedien liegen.

Das Telemediengesetz (= TMG) regelt u.a. den Umgang mit personenbezogenen Daten von Nutzern von Telemedien (wie dem „Internet“). Mit Wirkung der Datenschutz-Grundverordnung (DSGVO) steht unstreitig fest, dass das TMG vom Datenschutz überlagert wird und keine Anwendung mehr findet. Die Zulässigkeit der Datenverarbeitung durch Cookies richtet sich somit allein nach der DSGVO. Mögliche Erlaubnistatbestände für den Einsatz von Cookies sind damit die Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO) und das berechtigte Interesse des verantwortlichen Telemedienanbieters (Art. 6 Abs. 1 S. 1 lit. f DSGVO).  

Bisher hat die DSK die Auffassung vertreten, Nutzeranalyse – unabhängig davon, ob es sich lediglich um eine Reichweitenmessung handelt oder um komplexes Webtracking - sei nur mit Einwilligung des Nutzers möglich (Positionsbestimmung zur Anwendbarkeit des TMG für nicht-öffentliche Stellen vom 26. April 2018). In der kürzlich veröffentlichten Orientierungshilfe (= OH) wurde nun die Thematik erneut aufgegriffen und vertieft.  

In der OH stellt die DSK noch einmal das Verhältnis von TMG und DSGVO fest und unterlegt die Auffassung in einem ausführlichen Beitrag. Auch die Rechtsgrundlagen „Einwilligung“ und „berechtigtes Interesse“ für den Einsatz von Cookies zu Analysezwecken sind erneut Teil der OH. Anhand eines Beispiels zur Reichweitenmessung werden die beiden Rechtsgrundlagen ausführlich durchgeprüft. Die für die Praxis wohl interessanteste Erkenntnis aus der OH ist das Prüfungsergebnis des berechtigten Interesses. Anders als noch nach der bisher vertretenen Auffassung, eine Reichweitenmessung dürfe ausschließlich mit Einwilligung des Nutzers erstellt werden, relativiert die DSK diesen Standpunkt und wägt im Einzelfall ab. So soll es nun durchaus möglich sein, ein berechtigtes Interesse an der Reichweitenmessung zu haben. Ob das berechtigte Interesse besteht, muss anhand der Voraussetzungen

• Vorliegen eines berechtigten Interesses,
• Erforderlichkeit der Reichweitenmessung und
• einer Abwägung zwischen den Interessen des Verantwortlichen und den Interessen des Nutzers (z. B. anhand der Erwartungen des Nutzers, der Vorhersehbarkeit, Transparenz, Dauer der Verarbeitung, Datenkategorien und Umfang der Datenverarbeitung)

geprüft werden.

Die OH führt schließlich zu der Erkenntnis, dass Verantwortliche weiterhin zwingend eine Einwilligung der Nutzer einholen müssen, da die Prüfung des berechtigten Interesses zum einen regelmäßig an der Erforderlichkeit scheitern wird, nämlich immer dann, wenn der Verantwortliche ein Analyse-Tool eines Dritten einsetzt.

„Die Messung der Reichweite und die sich daraus ergebenden Informationen sind geeignet, um das Webangebot anzupassen (berechtigtes Interesse). Setzt der Website-Betreiber hierfür ein Analyse-Tool ein, welches Daten über das Nutzungsverhalten betroffener Personen an Dritte weitergibt, ist dies nicht mehr erforderlich. Das Ziel – Reichweitenmessung – kann auch mit milderen, gleich geeigneten Mitteln erreicht werden, die deutlich weniger personenbezogene Daten erheben und diese nicht an Dritte übermitteln (z. B. ohne Einbindung Dritter über eine lokale Implementierung einer Analysesoftware).“

Zum anderen wird auch die vernünftige Erwartungshaltung des Nutzers an die Analyse regelmäßig gegen einen rechtskonformen Einsatz der Reichweitenmessung sprechen, da er in der Regel nicht mit eingebundenen Diensten Dritter rechnet.

„Im Hinblick auf die Einbindung von Diensten Dritter erwartet ein Nutzer üblicherweise nicht, dass an diese Dritten, zu denen der Nutzer regelmäßig keine Beziehungen unterhält, Informationen darüber weitergegeben werden, welche Websites er besucht oder welche Apps er nutzt.“

Fazit: Hat die OH zunächst einen Hoffnungsschimmer für den rechtskonformen Einsatz von Cookies zur Nutzeranalyse erzeugt, führt die Einzelfallprüfung zu einem nüchternen Ergebnis. Die Nutzeranalyse kann nun zwar unter das berechtigte Interesse fallen, liegen die engen Voraussetzungen jedoch nicht vor, muss (weiterhin) eine Einwilligung des Nutzers eingeholt werden. Ein positives berechtigtes Interesse kann allerdings nur in Fällen vorliegen, in denen der Verantwortliche die Analyse ohne Einbindung von Diensten Dritter über eine lokal implementierte Analysesoftware durchführt. Sobald personenbezogene Daten an Drittanbieter übermittelt werden, ist ein berechtigtes Interesse an der Datenverarbeitung nicht mehr möglich, die Einholung einer vorherigen Einwilligung ist notwendig. So hat sich die Auffassung der DSK in der Orientierungshilfe für Anbieter von Telemedien zwar relativiert, die Interessenabwägung dürfte jedoch in der Praxis aufgrund der überwiegend eingebundenen Dienste Dritter in den wenigsten Fällen zugunsten des verantwortlichen Telemediendienstanbieters ausfallen. 

Autor: Eileen Binder, Wirtschaftsjuristin LL.B. & Beraterin im Datenschutz