Werbe-Tracking nach Inkrafttreten des TTDSG (Nebel, CR 2021, 666)

I. Hinter­grund

1

Bekanntlich sah die Richt­linie 2002/58/EG über die Verar­beitung perso­nen­be­zo­gener Daten und den Schutz der Privat­sphäre in der elektro­ni­schen Kommu­ni­kation (Daten­schutz­richt­linie für elektro­nische Kommu­ni­kation) vom 12.7.2002 (ePrivacy-RL)¹ in ihrer ursprüng­lichen Fassung in Art. 5 Abs. 3 grund­sätzlich ein Opt-out-Modell für die Speicherung von Infor­ma­tionen oder den Zugriff auf Infor­ma­tionen vor, die im Endgerät eines Teilnehmers oder Nutzers gespei­chert sind. Diese Vorgabe wurde erstmals im Jahre 2007 vom deutschen Gesetz­geber in § 15 Abs. 3 TMG umgesetzt.² Mit der Richt­linie 2009/136/EG ³ erfuhr die europa­recht­liche Vorgabe in Art. 5 Abs. 3 der ePrivacy-RL jedoch eine Modifi­kation von der Wider­spruchs­lösung (opt-out) hin zur Einwil­li­gungs­lösung (opt-in). Die Richt­linie sah eine Umset­zungs­frist bis zum 25.5.2011 vor.⁴ Freilich sah der deutsche Gesetz­geber über Jahre hinweg keinerlei Veran­lassung, dieser Änderung Rechnung zu tragen. Verschiedene Anfragen wurden von der Bundes­re­gierung (in wechselnder Zusam­men­setzung), zuletzt noch im Jahre 2011, dahin­gehend beschieden, dass auch der geänderte Art. 5 Abs. 3 ePrivacy-RL mit seinem Einwil­li­gungs­er­for­dernis in § 15 Abs. 3 TMG zutreffend abgebildet sei.⁵ Fraglos spielte dabei die seiner­zeitige Auslegung der daten­schutz­recht­lichen Einwil­ligung eine zentrale Rolle, die der BGH in seinen Entschei­dungen zu Payback ⁶ und Happy Digits ⁷ kontu­riert hatte. Denn nach dieser Recht­spre­chung konnte eine daten­schutz­recht­liche Einwil­ligung auch dadurch wirksam erklärt werden, dass ein Betrof­fener einer vorfor­mu­lierten Einwil­ligung nicht wider­sprach bzw. diese nicht aktiv strich.⁸

2

Mit der Entscheidung in der Rechtssache Planet49 schloss sich der EuGH⁹ indes dem an, was in Stellung­nahmen der Literatur und der Aufsichts­be­hörden herrschende Auffassung war:¹⁰ Die europäische Vorgabe sehe eine aktive Einwil­ligung im Sinne eines opt-in vor. § 15 Abs. 3 TMG , der lediglich eine Wider­spruchs­lösung vorsehe (opt-out), genüge dem nicht.¹¹ Der BGH, der die Sache dem EuGH vorgelegt hatte, legte in seiner Entscheidung Cookie-Einwil­ligung II folge­richtig § 15 Abs. 3 TMG dahin­gehend europa­rechts­konform so aus, dass für das Setzen von Cookies für Werbezwecke eine aktive Einwil­ligung (opt-in) erfor­derlich sei.¹² Damit war für den Gesetz­geber endlich der Zeitpunkt gekommen, den – nur mit grenz­wer­tigen Ausle­gungs­mitteln¹³ europa­rechts­konform inter­pre­tier­baren – Wortlaut des TMG dieser Vorgabe anzupassen.¹⁴

3

Das TTDSG sieht nun in § 25 eine Umsetzung der Anfor­de­rungen aus Art. 5 Abs. 3 ePrivacy-RL vor. Die Regelung orien­tiert sich zwar recht stark am Wortlaut der ePrivacy-RL, wirft aber – insbe­sondere mit Blick auf den für die Praxis relevanten Fall des Trackings für Werbezwecke – dennoch eine Reihe von Fragen auf.¹⁵

II. Verhältnis zur DSGVO

4

Dies beginnt mit der Frage, ob § 25 TTDSG eine – auch daten­schutz­rechtlich – abschlie­ßende Regelung darstellt, oder ob daneben noch die Vorgaben der DSGVO einzu­halten sind, soweit sich Speicherung oder Zugriff zugleich auf perso­nen­be­zogene Daten beziehen. An einem der wohl umstrit­tensten und praxis­re­le­van­testen Beispiele – dem Tracking von Nutzern mittels Cookies für Werbezwecke – festge­macht: Benötigt der verant­wort­liche Anbieter neben einer nach § 25 TTDSG ggf. erfor­der­lichen Einwil­ligung zusätzlich eine daten­schutz­recht­liche Recht­fer­tigung, falls (was wohl meist der Fall sein wird) das Setzen und Auslesen von Cookies zugleich die Verar­beitung perso­nen­be­zo­gener Daten beinhaltet?

1. Erster Befund: Andere Daten­ver­ar­bei­tungs­phasen fallen nicht in den Anwen­dungs­be­reich des TTDSG

5

 § 25 TTDSG regelt ausschließlich das Speichern von Infor­ma­tionen in der Endein­richtung und den Zugriff auf Infor­ma­tionen, die bereits in der Endein­richtung gespei­chert sind. Jeden­falls nicht in den Anwen­dungs­be­reich des TTDSG fallen damit alle (…)