Recht kurz vor dem 25.05.2018, der viele Unternehmen ohnehin schon in Zeitnot mit der Umsetzung der Vorschriften der DSGVO bringt, hat die DSK (Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder) in einem Positionspapier mitgeteilt, dass nach ihrer Auffassung Trackingmaßnahmen nur nach vorheriger Einwilligung des Nutzers zulässig sein sollen. Das bedeutet, dass nach dieser Auffassung vor dem Erscheinen einer vom Nutzer aufgerufenen Website eine gesonderte Seite erscheinen müsste, auf der der Nutzer dann durch Opt-In seine Einwilligung mit der Nutzung der genannten Trackingmaßnahmen erklärt. Erst nach Erteilen dieser Einwilligung könnte dann die jeweilige Website erscheinen. Diese Vorgehensweise müsste für jede einzelne Unterseite erfolgen, da diese auch über Direktlinks erreicht werden könnten.
Das ist meiner Meinung nach sowie auch nach Auffassung des Verbandes der betrieblichen Datenschutzbeauftragten und vieler meiner Kolleginnen und Kollegen nicht nur kaum praktikabel, sondern zudem nicht mit der DSGVO vereinbar. Denn diese soll ausweislich des Erwägungsrundes 47, dort Satz 7, Direktmarketingmaßnahmen gem. Art. 6 Abs. 1 lit. f) DSGVO auch ohne Einwilligung zulassen. Trackingtools sind Vorstufen für das Direktmarketing, mithin als von dieser Regelung erfasst anzusehen. Da mit einem Inkrafttreten der diese Problematik betreffenden sog. ePrivacy-Verordnung nicht vor 2019 zu rechnen ist, wird bis auf weiteres Unsicherheit herrschen.
Zwar ist die Meinung der DSK eine bloße Rechtsauffassung, gleichwohl möchte sicherlich kein Unternehmen hierzu einen Rechtsstreit führen. Besser ist es abzuwarten, wie sich der Entwurf der ePrivacy-Verordnung entwickelt. Hier hat man sich inzwischen von der ursprünglich sehr strikten Fassung entfernt und der Ratspräsident hat erst kürzlich um eine erneute Stellungnahme gebeten.
Unternehmen sollten prüfen, ob sie tatsächliche Trackingmaßnahmen benötigen. Ist dieses nicht der Fall, empfehle ich, diese Maßnahmen bis zur Klärung der Rechtslage einzustellen. Besteht hingegen ein dringendes Bedürfnis nach Trackingmaßnahmen ist unbedingt zu prüfen, ob diese den übrigen Voraussetzungen der DSGVO entsprechen und insbes. nur die tatsächlich notwendigen Daten erfassen. Ein Verfolgen des Nutzers über verschiedene Plattformen ist sicherlich hiervon nicht bzw. nicht ohne Einwilligung gedeckt. So erachte ich die sog. Besucheraktion-Pixel für zumindest kritisch.
Klar ist, dass mit dem 25.05.2018 längst nicht das Ende der Umsetzungsmaßnahmen der DSGVO erreicht ist. Auch in der Folgezeit wird es viele Fragen geben und immer wieder die Notwendigkeit zur Anpassung der Datenverarbeitung.