Das Wichtigste in Kürze
- Die DSK erlaubt „Pur-Abo“-Modelle, wenn eine trackingfreie, ggf. kostenpflichtige, aber gleichwertige Alternative angeboten wird.
- Die Einwilligung in das Tracking muss den strengen Anforderungen der DS-GVO entsprechen, insbesondere hinsichtlich Transparenz und Granularität.
- Pauschale Gesamteinwilligungen für verschiedene Verarbeitungszwecke sind unwirksam; Nutzende müssen Zwecke aktiv auswählen können (Opt-in).
- Für trackingfreie Abonnenten sind nur unbedingt erforderliche Speicher- und Auslesevorgänge gemäß TTDSG zulässig.
- Unternehmen sollten die DSK-Vorgaben beachten, um rechtliche Konflikte und Bußgelder zu vermeiden und das Nutzervertrauen zu stärken.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat kürzlich eine Entscheidung bezüglich sogenannter Pur-Abo-Modelle auf Websites getroffen. Dabei geht es um die Nachverfolgung des Nutzerverhaltens, auch bekannt als Tracking. Die DSK hat nun beschlossen, dass die Nachverfolgung des Nutzerverhaltens grundsätzlich auf eine Einwilligung gestützt werden kann, wenn alternativ ein trackingfreies Modell angeboten wird, auch wenn dies bezahlpflichtig ist.
Allerdings muss die Leistung, die Nutzende bei einem Bezahlmodell erhalten, eine gleichwertige Alternative zu der Leistung darstellen, die durch eine Einwilligung erlangt wird. Die Einwilligung muss auch alle in der Datenschutz-Grundverordnung (DS-GVO) normierten Wirksamkeitsvoraussetzungen erfüllen, insbesondere die in Art. 4 Nr. 11 sowie Art. 7 DS-GVO aufgeführten Erfordernisse.
Ob die Bezahlmöglichkeit als eine gleichwertige Alternative zur Einwilligung in das Tracking zu betrachten ist, hängt insbesondere davon ab, ob den User gegen ein marktübliches Entgelt ein gleichwertiger Zugang zu derselben Leistung eröffnet wird. Ein gleichwertiger Zugang liegt in der Regel vor, wenn die Angebote zumindest dem Grunde nach die gleiche Leistung umfassen.
Nehmen Nutzende das Angebot im Rahmen eines „trackingfreien“ Abonnements wahr und erteilen keine zusätzliche Einwilligung, dürfen gemäß § 25 Abs. 1 des Gesetzes über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG) nur Speicher- und Auslesevorgänge erfolgen, die für den von ihnen ausdrücklich gewünschten Telemediendienst unbedingt erforderlich sind. Nachfolgende Verarbeitungen personenbezogener Daten sind nur dann zulässig, wenn die Anforderungen der DS-GVO, insbesondere die gesetzlichen Erlaubnistatbestände gemäß Art. 6 Abs. 1 DS-GVO und, je nach Einzelfall, Art. 9 DS-GVO, erfüllt sind.
- Einwilligungen müssen granular erteilt werden können, insbesondere bei wesentlich voneinander abweichenden Verarbeitungszwecken.
- Nutzende müssen die einzelnen Zwecke, zu denen eine Einwilligung eingeholt werden soll, selbst und aktiv auswählen können (Opt-in).
- Eine Bündelung von Zwecken ist nur zulässig, wenn diese in einem sehr engen Zusammenhang stehen.
- Pauschale Gesamteinwilligungen für verschiedene Zwecke sind nicht wirksam.
- Einwilligungen müssen den Anforderungen an Transparenz, Verständlichkeit und Information für die betroffenen Personen gerecht werden (Art. 4 Nr. 11 und Art. 7 Abs. 2 DS-GVO).
Darüber hinaus müssen die Einwilligungen den sonstigen Anforderungen der DS-GVO gerecht werden, insbesondere auch jenen an Transparenz, Verständlichkeit und Information für die betroffenen Personen aus Art. 4 Nr. 11 und Art. 7 Abs. 2 DS-GVO.
Als Rechtsanwalt kann ich bei der Erstellung oder Überprüfung von AGB und Datenschutzerklärungen helfen, um sicherzustellen, dass diese den Anforderungen der DS-GVO entsprechen. Insbesondere bei der Einholung von Einwilligungen ist es wichtig, die Vorgaben der DSK und der DS-GVO zu beachten, um rechtliche Konflikte und Bußgelder zu vermeiden.
Zusammenfassend lässt sich sagen, dass die Entscheidung der DSK bezüglich der Pur-Abo-Modelle auf Websites eine wichtige Klarstellung bezüglich der Einholung von Einwilligungen darstellt. Unternehmen sollten sich an die Vorgaben halten, um rechtliche Konflikte zu vermeiden und das Vertrauen ihrer Nutzenden in Bezug auf den Schutz ihrer personenbezogenen Daten zu stärken.