Vieles war und ist erklärungsbedürftig, wenn es um den richtigen Datenschutz der europäischen Bürgerinnen und Bürger geht. Und viele Unternehmen haben schon frühzeitig vorgesorgt, doch manches ist selbst juristisch noch nicht klar. Beispielsweise wenn es um die Frage geht, nach welchen juristischen Prinzipien das Tracking von Nutzerdaten erfolgen darf oder kann.

Am 26. April 2018 haben nun die deutschen Aufsichtsbehörden mit einem Positionspapier ordentlich für Verwirrung gesorgt. Dieses Positionspapier setzt sich nämlich insbesondere mit den rechtlichen Anforderungen an das Tracking von Nutzerdaten auf Websites und Apps auseinander. Das Positionspapier stammt von der Datenschutzkonferenz (DSK), einem Gremium, in dem sich die Datenschutzbehörden des Bundes und der Länder auf gemeinsame Positionen verständigen.

In einigen Punkten kann man diesem Papier der DSK zustimmen. Denn es ist richtig, dass die europäische DSGVO nun vorrangig gilt. Nationale Sonderwege, wie sie zuvor möglich waren, müssen aufgrund des Harmonisierungsgedankens weichen. Das ist richtig.

Aber wie sieht es nun mit der Frage des Tracking von Nutzerdaten aus? Hier wird in dem Positionspapier die Auffassung vertreten, dass das Tracking der Nutzerdaten nach der DSGVO nur noch nach dem Opt-In-Prinzip zulässig sei. Wirklich klar ist dies aufgrund der unklaren Positionierung und Formulierung im Positionspapier allerdings nicht, was dann der Interpretation des Positionspapieres noch mehr Spielraum gibt. Herauszulesen ist aber in jedem Fall, dass die bisherige Praxis nach Paragraph 15 Absatz 3 Telemediengesetz (Opt-Out-Prinzip) nicht mehr gefolgt werden soll.

Das Positionspapier hat – verständlicherweise – für viel Aufregung gesorgt. Selbstverständlich können die Aufsichtsbehörden im allgemeinen Diskussionsprozess eine Position vertreten. Aber letztlich ist es Sache des Gesetzgebers und in der Auslegung dann die Sache der Gerichte, zu entscheiden, welches Prinzip beim Tracking von Nutzerdaten zur Anwendung kommt. Dies wird sicherlich noch eine Weile dauern, bis hier endgültige Klarheit existiert. Und erst wenn die E-Privacy-Verordnung, die ja das Tracking von Nutzerdaten spezialgesetzlich regeln soll, endgültig verhandelt und in Kraft getreten ist, werden wir in diesem Bereich mehr Rechtssicherheit haben.

Was aber besonders ärgerlich ist, ist die Tatsache, dass genau vier Wochen vor Anwendung der DSGVO dieses Positionspapier herausgebracht worden ist. Wenn man die Diskussionen intensiv verfolgt hat, weiß man, dass bei den Unternehmen bereits eine sehr hohe Unsicherheit über den Umgang mit dem Tracking von Nutzerdaten nach der neuen DSGVO besteht. Müssen die Unternehmen in der Konsequenz aus dem Positionspapier nun ihre Websites und Apps offline nehmen, um nicht mit den Positionen der Aufsichtsbehörden über Kreuz zu geraten? Ist den Verfassern des Positionspapieres diese Konsequenz überhaupt bewusst gewesen, als sie das Papier in die Welt setzten? Es ist legitim, eigene Auffassungen im juristischen Diskurs zu vertreten, aber man sollte nicht mehr Verwirrung stiften als notwendig und gerade als Aufsichtsbehörde sich seiner Funktionen bewusst sein, um Aufklärung bemüht zu sein.

Aber auch vor dem Hintergrund der Diskussion um die E-Privacy-Verordnung, die die DSGVO flankieren soll, erscheint es mir nicht ratsam, die Anwender der DSGVO in Deutschland – und das sind die Unternehmen – so zu verwirren. Das ist schädlich für die Rechtspraxis, die sich jetzt ja erst etablieren muss. Die Rechtsfrage, ob das Tracking von Nutzerdaten auf Webseiten und Apps mit Geltung der DSGVO nur noch mit Opt-In oder wie bisher nach dem Opt-Out Prinzip zulässig sein wird, ist von erheblicher praktischer Bedeutung. Die sehr strenge Position der Aufsichtsbehörden ist sicherlich legitim, aber der gewählte Zeitpunkt der Veröffentlichung ist mehr als unglücklich. Der allgemeinen Akzeptanz des Datenschutzes bei Unternehmen in Deutschland tut man mit solch einer Veröffentlichung jedenfalls keinen Gefallen.

Fazit: Jetzt ist die Verwirrung mal wieder groß, und keiner will es gewesen sein. Die betroffenen Unternehmen sind nun aber mehr als verunsichert, insbesondere auch im Hinblick auf drohende Bußgelder. Die verhängt werden könnten, ja, vielleicht nicht müssten, aber in Zeiten der Unsicherheit wäre mehr Aufklärung gefragt gewesen und nicht mehr Verwirrung.