Fragebogen der Aufsichtsbehörden „Prüfung des Einsatzes von Tracking-Diensten auf Webseiten“ bei Medienunternehmen
Wie auf den Internetseiten der baden-württembergischen Aufsichtsbehörde zum Datenschutz hier zu lesen ist, befragen die Aufsichtsbehörden einiger Bundesländer derzeit Medienunternehmen in ihren jeweiligen Zuständigkeitsbereichen bezgüglich des Einsatzes von Tracking-Diensten auf deren Internetseiten.
Mir liegt ein Fragebogen einer Aufsichtsbehörde eines anderen Bundeslandes vor, der u.a. diese Fragen enthält:
Die Datenschutzaufsichtsbehörden beobachten, dass viele Betreiber von Webseiten beim Einsatz von Tracking-Diensten leider nicht die erforderlichen datenschutzrechtlichen Anforderungen erfüllen. Dies gilt insbesondere für viele Webseiten aus der Medien-Branche, auf denen solche Dienste häufig in besonders großem Umfang genutzt werden.
Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat in verschiedenen Veröffentlichungen dargelegt, welche datenschutzrechtlichen Anforderungen beim Einsatz von Diensten gelten, die der Bildung von Nutzerprofilen – vor allem zu Werbezwecken – dienen. Insbesondere in der Orientierungshilfe für Anbieter von Telemedien vom März 2019 (https://www.datenschutzkonferenz-online.de/media/oh/20190405_oh_tmg.pdf) werden diese ausführlich erläutert. Hierin wird dargelegt, dass für die Einbindung von Drittdienstleistern auf der Webseite, die das Verhalten von Nutzern im Internet nachvollziehbar machen, zum Beispiel über Cookies oder andere Trackingmechanismen, sowie für das Erstellen von Nutzerprofilen unter Anwendung der DS-GVO eine vorherige informierte Einwilligung erforderlich ist. Solche Einwilligungen sind vor Beginn der Datenverarbeitung, besonders bevor Cookies platziert oder auf dem Endgerät der Nutzer gespeicherte Informationen gesammelt werden, in Form einer eindeutig bestätigende Handlung des Nutzers einzuholen. Dem Erwägungsgrund 32 der DS-GVO ist zu entnehmen, dass „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person …keine Einwilligung darstellen sollten” (so auch EuGH-Urteil vom 1.10.2019, Az.: C-673/17, Planet49). Dieses Ergebnis wird auch durch das BGH-Urteil vom 28.05.2020 (Az: I ZR 7/16, Planet49) bestätigt. Ergänzend haben die europäischen Aufsichtsbehörden jüngst in ihren Einwilligungs-Guidelines beschlossen (Europäischer Datenschutzausschuss vom 5. Mai 2020 (https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf Abschnitt 40, 41), dass die bloße Weiternutzung der Website nicht als Einwilligung zu werten ist.
Diesen Anforderungen wird in der Praxis bislang jedoch häufig nicht hinreichend entsprochen, so dass oftmals bei der Nutzung von Webseiten in die Grundrechte und Grundfreiheiten der Nutzer eingegriffen wird. Weitere datenschutzrechtliche Probleme bestehen bei der Nutzung von Tracking- Diensten häufig aufgrund mangelnder Transparenz und fehlender Nachverfolgbarkeit der Datenweitergabe an die jeweiligen eingebundenen Werbedienstleister.
Vor diesem Hintergrund führe ich gemeinsam mit den Aufsichtsbehörden mehrerer anderer Bundesländer eine koordinierte, länderübergreifende Prüfung des Einsatzes von Tracking-Tools auf den Online-Angeboten bedeutender Medienunternehmen durch. Diese soll neben der technischen und rechtlichen Prüfung einzelner Angebote auch dazu dienen, den beteiligten Aufsichtsbehörden einen Überblick über die derzeitige Praxis beim Einsatz von Tracking-Tools zu verschaffen.
Hierzu wurde von den beteiligten Aufsichtsbehörden der anliegende Fragebogen zu den Datenflüssen und den eingebundenen Drittdienstleistern auf Ihrer Webseite erstellt. Betont wird, dass jede Aufsichtsbehörde ihre Prüfung in eigener Verantwortung bei Unternehmen durchführt, für die sie die zuständige Aufsichtsbehörde ist. Es werden keine personen- oder unternehmensbezogenen Daten zu einzelnen Unternehmen aus der Beantwortung des Fragebogens an andere Aufsichtsbehörden übermittelt.
(…) Ich übersende Ihnen mit diesem Schreiben die folgenden Dokumente:
– Fragebogen,
– Ergänzende Hinweise zum Ausfüllen des Fragebogens sowie
– Tabelle 1 „Eingebundene Dienste von Dritten”,
– Tabelle 2 „Speicherung von Informationen auf den Endgeräten der Nutzer” und
– Tabelle 3 „Kommunikation der Webseite mit anderen URLs“.
Die von Ihnen auszufüllenden Dokumente – Fragebogen und Tabellen 1 bis 3 – stellen wir Ihnen gerne in elektronischer Form zur Verfügung, wenn Sie uns eine Ansprechpartnerin oder einen Ansprechpartner sowie eine E-Mail-Kontaktadresse an folgende Adresse mitteilen: (…)
Die an der koordinierten Prüfung beteiligten Aufsichtsbehörden sind sich bewusst, dass sich auch die Medienunternehmen derzeit aufgrund der Corona-Pandemie in einer Sondersituation befinden. Allerdings betrifft die Prüfung nur Datenverarbeitungen, die auch bereits vor der Corona-Pandemie durchgeführt wurden und nicht in einem spezifischen Zusammenhang hierzu stehen. Vor diesem Hintergrund ist die Frist zur Beantwortung jedoch bewusst großzügig bemessen.
Ich bitte Sie daher, den in der Anlage übersandten Fragebogen sowie die drei Tabellen vollständig auszufüllen und mir diese sowie die darin genannten, ergänzenden Unterlagen bis zum (…) zukommen zu lassen. (…)
Dem Schreiben ist keine Rechtsbelehrung beigefügt. Es handelt sich bislang lediglich um eine „Auskunftsbitte“ und nicht um einen Verwaltungsakt, der auf die Erteilung von Auskünften gerichtet sind. Eine Beantwortung ist daher nicht verpflichtend, es handelt sich nicht um einen Verwaltungsakte i.S.d. Verwaltungsverfahrensrechts.
Diesem Schreiben ist dann der eigentliche Fragebogen angehängt, bei dem davon auszugehen ist, dass dieser von allen Aufsichtsbehörde in gleicher Weise verwendet wird. So sehen die Seiten aus:
Ich gehe davon aus, dass der Fragebogen in Kürze sicher auch als PDF im Original im Internet verfügbar gemacht wird.