Mängel auf allen Ebenen: Berliner Aufsichtsbehörde konfrontiert Webseiten-Betreibende mit rechtswidrigem Tracking

Pressemitteilung der Berliner Beauftragten für Datenschutz und Informationsfreiheit

Angesichts der andauernden Defizite beim Einsatz von Tracking-Techniken und Drittdiensten auf Webseiten hat die Berliner Beauftragte für Datenschutz und Informationsfreiheit eine großangelegte Aktion gestartet. Rund 50 Berliner Unternehmen erhalten in diesen Tagen postalisch die Aufforderung, das Tracking auf ihren Webseiten in Einklang mit den geltenden Datenschutzregeln zu bringen. Andernfalls wird die Aufsichtsbehörde förmliche Prüfverfahren einleiten, die zu einer Anordnung oder einem Bußgeld führen können.

„Die Rechtslage ist eindeutig: Wenn Webseiten-Betreibende das Verhalten ihrer Nutzer*innen mit Hilfe von Cookies und anderen Technologien verfolgen wollen, benötigen sie dafür eine Rechtsgrundlage“, sagt Maja Smoltczyk, Berliner Beauftragte für Datenschutz und Informationsfreiheit. Auch wenn viele Webseiten mittlerweile differenzierte Cookie-Banner mit mehreren Ebenen anzeigen, wird hiermit häufig gar keine wirksame Einwilligung eingeholt.

Mit dem Einsatz von Tracking-Techniken und Drittdiensten geht die Verarbeitung personenbezogener Daten einher, mindestens der IP-Adresse der Nutzer*innen. Dies dient meist nicht nur dazu, das Verhalten von Nutzer*innen zu analysieren, sondern auch Persönlichkeitsprofile über die gesamte Internetnutzung zu erstellen und anzureichern. Diese Daten werden regelmäßig an eine Vielzahl von Werbenetzwerken in der ganzen Welt übermittelt.

„Aus dem Datenschutzrecht ergibt sich, dass es ebenso einfach sein muss, Tracking abzulehnen, wie darin einzuwilligen. Die Ablehnung darf nicht aufwendiger oder gar versteckt sein“, erklärt die Datenschutzbeauftragte. „Zudem werden die Einwilligungsabfragen gerne eingebettet in unvollständige oder missverständliche Angaben und Beschriftungen. Wie die Webseitenbetreibenden bei solch einer Gestaltung nachweisen wollen, dass die Nutzer*innen freiwillig und informiert zugestimmt haben, ist mir ein Rätsel.“

Bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit gehen neben persönlichen Beschwerden vermehrt auch allgemeine Prüfanregungen zu Tracking-Prozessen auf Webseiten ein. Die Masse an Hinweisen zeigt nicht nur die Bedenken der Bürger*innen auf, sondern ist auch ein Indikator, wie viele Webseitenbetreibende sich nach wie vor damit schwertun, den rechtlichen Rahmenbedingungen gerecht zu werden.

Für ihre Aktion hat die Aufsichtsbehörde die Gestaltungsmerkmale und konkreten Datenströme auf den ausgewählten Webseiten dokumentiert und die Betreibenden mit den konkreten datenschutzrechtlichen Defiziten konfrontiert. In ihren Schreiben setzt sie die dokumentierten Sachverhalte in Relation zu den rechtlichen Bestimmungen und weist auf besonders kritische Punkte im Einzelfall hin. Neben den oben genannten Mängeln stellt es auch ein anhaltendes und großes Problem dar, in welchem Ausmaß Tracking auf andere Rechtsgrundlagen als auf eine Einwilligung gestützt wird, ohne dass die gesetzlichen Anforderungen hierfür erfüllt sind.

Die Hinweisschreiben wurden an Unternehmen gesendet, deren Cookie-Banner als besonders mangelhaft aufgefallen sind, die vergleichsweise viele Nutzer*innen haben oder die möglicherweise besonders sensitive Daten verarbeiten. Betroffen sind Unternehmen aus diversen Branchen, insbesondere Online-Handel, Immobilien, Finanzen, Soziale Netzwerke, Recht- Dienstleistungen, Software, Gesundheit, Bildung und Vergleichsportale.

Die Verantwortlichen wurden aufgefordert, die Datenverarbeitung unverzüglich in Einklang mit den datenschutzrechtlichen Vorgaben zu bringen. In jedem Fall erfolgt eine zweite Dokumentation der Webseiten, die je nachdem, ob vergangene und/oder andauernde Verstöße festgestellt werden, weitere Maßnahmen der Behörde nach sich ziehen kann.

„Die Aktion ergänzt die bereits laufenden Prüfverfahren, die auf persönlichen Beschwerden beruhen und ist ein Signal an Berliner Webseitenbetreibende“, sagt Maja Smoltczyk, Berliner Beauftragte für Datenschutz und Informationsfreiheit.