Einwilligungsmanagement in der Praxis

Foto: 123RF.com/jdwfoto

„Wir verwenden Cookies.“ Die Rede ist natürlich nicht von Gebäck, sondern von den Software-Bröseln, die die Digitalwirtschaft in ihren Anwendungen ausstreut. Sie machen Inhalte leicht konsumierbar, schneiden aber auch zu Werbezwecken mit, was User treiben. Wie fassen Unternehmen dieses zweischneidige Schwert am besten an?

Verbraucher reklamieren ihre Daten-Souveränität immer stärker, deaktivieren Cookies, nutzen Ad-Blocker. Zwischen ihrem berechtigten Interesse nach informationeller Selbstbestimmung und dem berechtigten Interesse der Verlage nach Monetarisierung von Web-Angeboten klafft ein Widerspruch, mit dem sich auch Gerichte beschäftigen. Ein „Consent-Banner“, also ein Dialog zur Abfrage der Einwilligung beim Besuch einer neuen Website, gehört für jeden Web-User inzwischen zum Standard.

Mit ungünstigen Einstellungen in diesem Dialog verschenken Anbieter von Fachinformationen, Nachrichten und anderen journalistischen Inhalten wertvolle Informationen. Im Spannungsfeld zwischen technischen und juristischen Entwicklungen entstehen daher immer neue Konstruktionen. Der Bundesverband Digitale Wirtschaft (BVDW) hat daher im März 2022 in Abstimmung mit Unternehmen aus der Digitalwirtschaft eine kostenlose Handreichung zum Consent-Management in der Praxis veröffentlicht. Sie stellt keine Rechtsberatung dar, gibt aber erste Orientierung, welche technischen und juristischen Fragen sich Anbieter heute stellen müssen. Auszüge im Channel Produktion und Prozesse auf buchreport.de.

Grundlegende Regeln im Consent-Management

Aus Sicht der Datenschutzaufsichtsbehörden kommen im Wesentlichen drei Rechtsgrundlagen für die Verarbeitung von personenbezogenen Daten nach der Datenschutz-Grundverordnung (DSGVO) in Betracht:

1. Einwilligung
2. berechtigtes Interesse
3. Vertrag

An die Wirksamkeit der Einwilligung werden seitens des Gesetzgebers hohe Voraussetzungen geknüpft. Zusätzlich legen die Datenschutzaufsichtsbehörden diese Voraussetzungen streng und restriktiv aus. Hierbei gibt es viele Streitfragen. Auch die Rechtsprechung des Europäischen Gerichtshofs (EuGH) lässt Interpretationsspielräume zu.

1. Eine informierte Einwilligung setzt auf dem 1st-Layer eines Consent-Banners insbesondere voraus, dass Angaben zur Identität des Verantwortlichen, zu den Verarbeitungszwecken sowie dazu, ob Dritte Zugriff auf Daten des Nutzers erhalten, enthalten sind. Die Verteilung der relevanten Informationen auf einen 2nd-Layer ist – auch nach Ansicht der Datenschutzaufsichtsbehörden – möglich, wenn dies der Transparenzsteigerung dient.
2. Voreinstellungen, insbesondere ausgewählte Kästchen bezüglich der Einwilligung, verbieten sich.
3. Ein „Alles ablehnen“-Button ist gesetzlich nicht gefordert.
4. Die Grenzziehung zwischen erlaubter und rechtlich missbilligter Gestaltung von Consent-Bannern muss am Einzelfall erfolgen – der Nutzer darf nicht „ungebührlich beeinträchtigt“ werden.
5. Die Häufigkeit der Abfrage kann sich an der Dynamik des Telemediendienstes orientieren. Beispielsweise wird eine erneute Einholung dann notwendig, wenn neue Zwecke und Vendoren (Anbieter von entgeltlichen Leistungen) hinzukommen. Eine Einwilligung ist bis zum Widerruf wirksam. Der Widerruf einer Einwilligung muss genauso einfach wie die Erteilung der Einwilligung selbst sein.
6. Im Zusammenhang mit der Einwilligung von Kindern ist in Bezug auf Dienste der Informationsgesellschaft auch Artikel 8 DSGVO zu beachten.
7. Einwilligungsbedürftige Verarbeitungsvorgänge sind vor der Einwilligung des Nutzers zwingend technisch zu unterbinden.
8. Sogenannte „Mehr-Wege-Modelle“ und „PUR-Modelle“ stellen gerade für werbefinanzierte Online-Angebote wie Webseiten oder Apps eine Alternative dar.
9. Ob eine Datenschutz-Folgenabschätzung notwendig ist, ist von der jeweiligen Verarbeitungstätigkeit abhängig. Entscheidend ist, ob ein hohes Risiko für die Rechte und Freiheiten des Betroffenen besteht.
10. Die Sicherheit der personenbezogenen Daten muss durch geeignete technische und organisatorische Maßnahmen gewährleistet werden (vgl. etwa Art. 24 ff. DSGVO, § 19 TTDSG).
11. Mit der Datenschutz-Grundverordnung (DSGVO) sowie der ePrivacy-Richtlinie und dem deutschen Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG) gibt es in Deutschland einen detaillierten Rechtsrahmen zum Thema Einwilligungsmanagement.

Der Channel Produktion & Prozesse

Weitere Lösungen, Impulse und Erfahrungsberichte für die Verlagsproduktion lesen Sie im Channel Produktion & Prozesse von buchreport und Channel-Partner Publisher Consultants.
Hier mehr… 

Consent-Management in der Praxis – der BVDW-Leitfaden 2022

Allerdings enthält die konkrete, praxisnahe Ausgestaltung des Einwilligungs-Managements häufig noch Grauzonen. Dies erschwert die Situation für Unternehmen und letztlich auch für Nutzerinnen und Nutzer.

Der BVDW-Leitfaden der Arbeitsgruppe „Consent-Management“ im Ressort Data Economy soll konkrete Hilfestellung liefern, beispielsweise auch bezüglich der Gestaltungsspielräume der Unternehmen für entsprechende Banner.

Der Leitfaden konzentriert sich auf die Einholung von Einwilligungen im Kontext von Webseiten unter Zuhilfenahme einer Consent-Management-Plattform. Die Einholung von Einwilligungen zu werblichen Zwecken, wie die Einholung von E-Mail-Adressen oder Telefonnummern und der Vertrieb von Newslettern, werden darin einstweilen nicht aufgegriffen.

Allerdings thematisiert der Leitfaden die Hürden in Zusammenhang mit der Nutzung von Systemen der Consent-Management-Plattform-Anbieter – insbesondere im Bereich der Verarbeitung von personenbezogenen Daten. Zugleich zeigt die Publikation auf, welcher rechtliche Rahmen für Datenschutz und Privatsphärenschutz aktuell existiert und inwieweit DSGVO und TTDSG hier ineinandergreifen.

„Vertrauensvolle Kommunikation mit dem User fängt beim Einwilligungsmanagement an. Sie ist die Visitenkarte des Absenders“, sagt Christine Blaes. Sie leitet im Ressort Data Economy des BVDW die Arbeitsgruppe Consent-Management. „Wie können Publisher diese Visitenkarte, basierend auf der aktuellen Gemengelage, gestalten? Das will unsere Publikation zeigen, die künftig auf Basis neuer Erkenntnisse und Entwicklungen, beispielsweise auch durch die Zusammenarbeit mit der belgischen Datenschutzaufsichtsbehörde zum ,Transparency and Consent Framework‘ (TCF) des IAB Europe, stetig fortgeführt werden soll.“

„Die Privatsphäre der Nutzerinnen und Nutzer ist für den BVDW ein hohes Gut“, sagt Anna Schenk, die stellvertretende Leiterin der Arbeitsgruppe. „Doch eine Rechtsunsicherheit über die Auslegung bleibt bestehen. Hier sind Gesetzgeber und Aufsichtsbehörden weiterhin gefordert.“ Gleichzeitig bräuchten die Unternehmen eine Arbeitsgrundlage, wie sie dieses „hochkomplexe Thema für sich praktikabel umsetzen können”. Die Handreichung des Verbands soll hier helfen, sei aber keine Rechtsberatung.

Consent-Management bleibt ein hoch dynamisches Feld, in dem die Gewissheiten von gestern die Irrtümer von morgen sein werden. Es lohnt sich für Web-Verantwortliche, den Finger am Puls zu halten.