Bei einem von uns betreuten Unternehmen meldet sich nun erstmalig das BayLDA mit einer Betroffeneneingabe und der Vorgabe zum Einsatz von Trackingtools ohne Einwilligung Stellung zu beziehen. Wie wir ja alle wissen, soll Webseiten-Tracking zukünftig – also spätestens ab Inkraftreten der ePrivacy-Verordnung – wohl nur noch mit Einwilligung möglich sein. Die Aufsichtsbehörde will hier aber bereits jetzt die scharfe Linie der DSK übernehmen die die Meinung vertritt, dass das § 15 TMG in Bezug auf diese Tools nicht mehr gültig sei. Eine richterliche Entscheidung dazu gibt es bisher nicht.

Man hat hier nun also nur zwei Möglichkeiten als Unternehmen:

1. Man beruft sich darauf, davon ausgegangen zu sein, dass das TMG entsprechend noch gültig sei und der Einsatz dieser Tools gem. Art. 6 Abs. 1 lit f DSGVO ohne Einwilligung aber mit Opt-Out-Möglichkeit weiterhin datenschutzkonform möglich sei. Und stellt es dann um (also die Trackingtools müssen bei Betreten der Seite ausgeschaltet sein und erst durch Aktive Zustimmung des Webseitenbesuchers dürfen diese eingeschaltet werden. Defacto wird das wohl kein Betroffner jemals tun und wenn man hier einen entsprechenden monetären Vorteil aus dem Tracking zieht, muss man hier eine Risikoentscheidung fällen, ob ein ggf. mögliches Bußgeld höher ausfallen wird als der wirtschaftliche Vorteil).

2. Man stellt sich auf den (durchaus nicht unberechtigten) Standpunkt, dass das TMG hier weiterhin gilt und somit kein Opt-In (Einwilligung) notwendig ist. Dies muss man dann aber wohl vor Gericht ausstreiten. Die IT Recht Kanzlei München hat sich damit auch befasst und kommt zu folgenden Kritikpunkten an der Auffassung der DSK:

• In Erwägungsgrund 47 zur DSGVO ist niedergelegt, dass das Direktmarketing mit berechtigten Interessen gerechtfertigt werden kann. Wenn aber das Direktmarketing über die berechtigten Interessen gerechtfertigt werden kann, dann muss dies erst recht für Tracking-Maßnahmen als bloße Vorstufe zur Direktwerbung gelten;
• Der aktuelle Entwurf der EU-Kommission zur E-Privacy-Verordnung sieht gerade eine Privilegierung für die Messung von Websitebesuchern vor (Art. 8 Abs. 1 lit. d E-Privacy-Verordnungsentwurf), eine Einwilligung wird hier gerade nicht zur Voraussetzung gemacht;
• Auch hatte die Artikel 29-Datenschutzgruppe in der Vergangenheit ein Tracking nach § 15 Abs. 3 TMG nicht als riskant eingestuft und keinerlei Ausführungen in Richtung Einwilligung getätigt (Stellungnahme 04/2012);

Auch die GDD e.V. kommt zu einer ganz ähnlichen Einschätzung:
https://www.gdd.de/aktuelles/startseite/zulaessigkeit-des-tracking-nach-der-ds-gvo