Am 29.7.2019 hat der Europäische Gerichtshof (EuGH) ein Urteil zu einer Reihe von Fragen veröffentlicht, die sich mit dem Betrieb von Webseiten und der Einbindung von Inhalten von Drittanbietern beschäftigt.
Der EuGH präzisiert hierbei einige Regelungen, über deren Auslegung bisher Unklarheit herrschte.
Das Urteil erging zwar nicht direkt zur Datenschutzgrundverordnung (DSGVO) sondern zu ihrem Vorgänger (Richtlinie 95/46/EG), die Ergebnisse lassen sich jedoch auf die DSGVO übertragen.
Für Webseitenbetreiber sind folgende Entscheidungen des EuGH interessant:
1. Wenn Sie Inhalte von Drittanbietern auf Ihrer Seite einbinden, sind Sie zusammen mit dem Drittanbieter Verantwortlich für die Verarbeitung der Daten.
Ihre Verantwortlichkeit beschränkt sich allerdings auf die Mittel und Zwecke über die Sie bestimmen können.
Im behandelten Fall ging es um die Einbindung eines Facebook Like Buttons in eine Webseite. Der Webseitenbetreiber ist nach dem EuGH Urteil somit für die Einbindung des Buttons und die Darstellung notwendige Datenübertragung an Facebook (IP-Adresse, Betriebssystem des Nutzers, etc.) verantwortlich.
Für die weitere Verarbeitung der übermittelten Daten durch Facebook trägt der Webseitenbetreiber aber keine Verantwortung, da hier Facebook über die Verarbeitung bestimmt.
2. Das berechtigte Interesse an der Datenverarbeitung muss von beiden Verantwortlichen (Webseitenbetreiber und Drittanbieter) dargelegt werden.
3. Bei einer notwendigen Einwilligung muss diese auch von beiden Verantwortlichen eingeholt werden.
4. Die Information über die Verarbeitung personenbezogener Daten muss vor der Datenerhebung erfolgen.
5. Bei einer notwendigen Einwilligung muss diese ebenfalls vor der Datenerhebung eingeholt werden.
6. Der EuGH hat bestätigt, dass gemeinnützigen Vereinen das Recht zusteht, die Wahrung der Verbraucherinteressen zu vertreten.
Was bedeutet dies nun für Sie als Webseitenbetreiber?
Sie müssen über alle Verarbeitungstätigkeiten bei der Datenerhebung informieren.
Die Verarbeitung personenbezogener Daten darf nur erfolgen, sofern die DSGVO (oder ein anderes Gesetz) die Verarbeitung erlaubt.
Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten beim Betrieb einer Webseite sind im Regelfall Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) oder Art. 6 Abs. 1 lit. a (Einwilligung).
Hier stellt sich nun die Frage, ob die sogenannten Cookie Banner so umgestaltet werden müssen, dass eine generelle Einwilligung (über Opt-In) für alle Cookies eingeholt werden muss, bevor der Besucher auf die Webseite gelangt.
Da technisch notwendige Cookies im berechtigten Interesse des Webseitenbetreibers liegen, und die Rechte der betroffenen Personen normalerweise nicht überwiegen dürften, sind wir der Meinung, dass ein Cookie Banner mit genereller Opt-In Möglichkeit nicht notwendig ist.
Modifizierte Cookie Banner
Stattdessen geht momentan der Trend zu einem modifizierten Cookie Banner, bei dem der Nutzer bei der Datenaufnahme über diese informiert wird (z.B. durch einen Link auf die Datenschutzerklärung).
Wenn Verarbeitungstätigkeiten stattfinden, deren Rechtsgrundlage eine Einwilligung ist, so sollte die Einwilligung (mit Opt-In) vor der der Datenaufnahme erfolgen. Zu diesem Zweck kann das oben angesprochene modifizierte Cookie Banner um die Einwilligung zur Datenverarbeitung erweitert werden.
Abmahnungen durch Verbänden zur Wahrung von Verbraucherinteressen möglich
Bisher wurden diverse Meinungen vertreten, ob Abmahnungen wegen Datenschutzverstößen zulässig sind oder nicht.
Nach dem Urteil des EuGH dürfte diese Frage wenigsten bezüglich Verbänden zur Wahrung von Verbraucherinteressen geklärt sein. Diese haben nach Meinung des EuGH das Recht Unternehmen aufgrund von Datenschutzverstößen abzumahnen.
Weiterhin offen ist, ob dieses Recht auch Konkurrenzunternehmen zusteht. Die Rechtsprechung hierzu ist bis zum jetzigen Zeitpunkt uneinheitlich.
Quelle:
http://curia.europa.eu/juris/document/document.jsf?text=&docid=216555&pageIndex=0&doclang=DE&mode=lst&dir=&occ=first&part=1&cid=9366092
