Datenschutz-Update: Cookies oder kostenpflichtiges Online-Abo

Co-Autorin: Mag. Sabine Brunner, LLB.oec.

Datenschutzbehörde sieht keine Verletzung des Koppelungsverbots

Eine aktuelle Entscheidung der österreichischen Datenschutzbehörde zum Thema Web-Tracking und Werbecookies sorgt derzeit EU-weit für heftige Diskussionen zwischen Datenschutz-Experten. Die Datenschutzbehörde sieht die Freiwilligkeit einer datenschutzrechtlichen Einwilligung auch dann gegeben, wenn die betroffenen Personen ausschließlich die Wahl zwischen der Nutzung einer Onlineplattform mit Marketingcookies und Werbung oder mittels kostenpflichtigem Abonnement haben.

Wir haben die Eckpunkte dieser Entscheidung für Sie zusammengefasst:

(1) Ad „Koppelungsverbot“

Die Beschwerdegegnerin, ein renommiertes Medium, betreibt eine Onlineplattform, auf der sie unter anderem journalistische Beiträge zu unterschiedlichen Themen veröffentlicht. Bei erstmaligem Aufruf der Webseite des Mediums erscheint ein Pop-Up, demgemäß der jeweilige Nutzer auswählen kann, ob er

• entweder der Verwendung von Cookies für die Zwecke der Webanalyse und digitaler Werbemaßnahmen zustimmt, oder
• ein kostenpflichtiges Abonnement (€ 6,- monatlich, ab dem 2. Monat) für die Nutzung der Plattform ohne zustimmungspflichtige Cookies und ohne Werbung abschließt.

In beiden Fällen ist eine uneingeschränkte Nutzung der Onlineplattform und somit der vermittelten Informationen möglich.

Die Beschwerdegegnerin stellt in ihrer Datenschutzerklärung eine Möglichkeit zum Widerruf der Einwilligung zur Verfügung. Im Falle eines Widerrufs kann die Webseite jedoch nicht mehr (kostenlos) verwendet werden.

Der Beschwerdeführer sah sich in seinem Recht auf Geheimhaltung verletzt, da er zu einer Einwilligung angehalten wäre, die nicht den datenschutzrechtlichen Anforderungen (insbesondere Art 7 DSGVO) entsprechen würde.

Eingangs hält die Datenschutzbehörde fest, dass sich die Frage der Rechtsgrundlage im konkreten Fall nach § 96 Abs 3 TKG 2003 (als lex specialis zu Art 6 DSGVO) richte. Das TKG 2003 sehe allerdings keine näheren Bedingungen bzw keine Definition für die Einwilligung vor. Die ePrivacy-Richtlinie der EU, die dem TKG 2003 zugrunde liegt, verweise selbst auf die Datenschutz-Richtlinie (Vorgängerbestimmung zur DSGVO) und daher sei der Begriff der Einwilligung, der für die Entscheidung maßgeblich sei, im Sinne der DSGVO auszulegen.

Demnach muss eine Einwilligung freiwillig erfolgen und darf nicht an die Erfüllung eines Vertrages gekoppelt sein. Unfreiwillig ist eine Einwilligung dann, wenn bei Nichtabgabe der Einwilligung ein Nachteil zu erwarten ist. Ein solcher Nachteil ist beispielsweise dann gegeben, wenn das Risiko einer Täuschung, Einschüchterung, Nötigung oder beträchtlicher negativer Folgen besteht.

Die Datenschutzbehörde führt in ihrer Entscheidung aus, dass die Nichtabgabe einer Einwilligung im konkreten Fall mit keinem wesentlichen Nachteil für die betroffenen Personen verbunden sei. Sie verweist darüber hinaus auf ihre bisherige Judikatur, wonach eine freiwillige Einwilligung dann vorliegen könne, wenn ein bestimmter Verarbeitungsvorgang auch zum erkennbaren Vorteil der betroffenen Personen gereicht. Dieser erkennbare Vorteil sei im vorliegenden Fall gegeben, da ein Webseitennutzer nach Abgabe der Einwilligung vollen Zugang zur Webpage und zu den Dienstleistungen der Beschwerdegegnerin erhalte.

Die Datenschutzbehörde hatte im vorliegenden Fall nicht zu prüfen, ob die gegenständlichen Werbecookies den Vorgaben des Art 25 DSGVO (privacy by design / privacy by default) entsprachen.

(2) Ad „Widerspruch“

Zum Zeitpunkt der Erhebung der Beschwerde verwendete die Beschwerdegegnerin auf ihrer Onlineplattform das Cookie „google_pub_config“, für das keine „Opt-Out-Möglichkeit“ vorgesehen war.

Der Beschwerdeführer brachte vor, dass er mangels dieser Opt-Out-Möglichkeit“ in seinem Recht auf Widerspruch verletzt sei.

Die Datenschutzbehörde hält dazu fest, dass es sich im konkreten Fall nicht um einen Widerspruch gemäß Art 21 DSGVO handle, sondern vielmehr um einen Widerruf der Einwilligung nach § 96 Abs 3 TKG 2003. Darüber hinaus erübrige sich die Frage, da die Beschwerdegegnerin

• noch vor Abschluss des Verfahrens die Widerrufsmöglichkeit zum gegenständlichen Cookie implementiert und
• in ihrer Datenschutzerklärung die Möglichkeit zum vollumfänglichen Widerruf der Einwilligung vorgesehen

habe.

Die Datenschutzbehörde weist außerdem darauf hin, dass ein Widerruf auch über entsprechende Browsereinstellungen erfolgen könne. Dem Beschwerdeführer seien daher von Anfang an mehrere technische Möglichkeiten zum Widerruf offen gestanden.

Die Datenschutzbehörde wies die Beschwerde daher in beiden Punkten ab.

Zum Zeitpunkt der Veröffentlichung dieses Beitrags ist die Entscheidung noch nicht rechtskräftig.

* * *

Wir halten Sie auf dem Laufenden – besuchen Sie unseren PwC Legal Blog, folgen Sie uns auf LinkedIn oder abonnieren Sie unseren PwC Legal Newsletter.