DatenTag 2021 – Ist die Einwilligung im Netz bald überflüssig?

Die Stiftung Datenschutz konnte mit dem letzten DatenTag unter der Überschrift „Das TTDSG und neue Wege zur Einwilligungsverwaltung“ vor wenigen Tagen wieder mal den Nerv der Zeit treffen. Die hybride Veranstaltung fokussierte sich komplett auf das zum 1.12.2021 geltende neue TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz), das sich auch erheblich auf das Webtracking bzw. das Setzen von Cookies auf Endgeräten auswirken kann (wir berichteten) und große Wellen schlägt. Über rechtliche Neuerungen in Deutschland und mögliche neue Modelle zur Einwilligung diskutierten zahlreiche Teilnehmerinnen und Teilnehmer. Neben Wissenschaftlern waren auch Experten und Vertreter von Verbänden, aus der Wirtschaft und der Politik sowie Datenschützer vor Ort oder remote zugeschaltet.

Unter anderem stellte der Wiener Jurist und Datenschützer Max Schrems, der leider nicht vor Ort in Berlin sein konnte, seinerseits ein entsprechendes Tool als „Advanced Data Protection Control“ vor, über das sich möglicherweise in naher Zukunft generell die Zustimmung zu Cookies verwalten lässt. Aber auch Prof. Dr. Max von Grafenstein, LL.M. von der Universität der Künste in Berlin skizzierte exemplarisch die „User Experience“ anhand einen ähnlichen „Einwilligungsagenten“, der beispielsweise die Vorgaben der Nutzerinnen und Nutzer umsetzen und insgesamt erleichtern könnte.

PIMS und neue Modelle

Ausgiebig besprochen wurden daher die Ziele und Risiken der neu geschaffenen Möglichkeit in § 26 TTDSG zum „Personal Information Management Services“ (PIMS), also anerkannten Diensten zur Einwilligungsverwaltung (so genannt in § 26 TTDSG). Kann hiermit Deutschland als Vorreiter gelten und verschiedene Ansätze durch den (freien) Markt salonfähig machen, zumindest Anreize hierfür schaffen? Zunächst müsste das PIMS aber selbst die Vorgaben aus der DSGVO (vgl. Art. 7 DSGVO) erfüllen und dürfte im Übrigen auch keine eigenen Zwecke verfolgen. Gleichwohl bieten diese Systeme aber auch Chancen, andere Anfragen und z.B. die Betroffenenrechte zu verwalten und als „Datenschutz Cockpit“ zu dienen.

Dabei sei einerseits ein ausbalancierter, pragmatischer Ansatz zum Datenschutz notwendig, andererseits müsse hiermit die selbstbestimmte Entscheidung der betroffenen Person erreicht werden, gab Thomas Jarzombek (MdB) als Vertreter der Bundesregierung zu bedenken.

Auch die Brücke zum Datentreuhändlermodell wurde geschlagen, das von Prof. Dr. Louisa Specht-Riemenschneider (Universität Bonn) vorgestellt wurde. Schließlich könnten entsprechende Modelle durch einen unabhängigen Drittanbieter ggfs. auch als Datentreuhändler fungieren.

Aber auch Vertreter aus der Wirtschaft und von entsprechenden Verbänden bzw. Verbraucherschutzverbänden diskutierten an diesem Tag in Berlin über die Zukunft von Tracking und Cookies aus den unterschiedlichen Perspektiven – und mit unterschiedlicher Hoffnung an das neue Gesetz. Es dürfte auf der Hand liegen, dass insbesondere Firmen mit werbefinanzierten Inhalten im Netz oder auch die Werbewirtschaft andere Interessen verfolgen als beispielsweise das Unternehmen Google oder vor allem die zuvor aufgetretenen Referentinnen und Referenten von den Datenschutzaufsichtsbehörden bzw. dem vzbv – oder aber liegen diese Interessen vielleicht doch dichter beieinander als gedacht? Zumindest zeigte sich Frau Dr. Nina Elisabeth Herbort, vom Referat Telemedien bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit zunächst grundsätzlich positiv gestimmt zum PIMS, jedenfalls dann, wenn dies ein Fortschritt zum Datenschutz brächte. Sie sprach jedoch auch Zweifel und die Probleme an, die bereits nun bei Einwilligungen häufig seien, wie bspw. gleichwertige Methoden zur Ablehnung. Auch der Umstand, dass eine Einwilligung nach der DSGVO hinreichend bestimmt sein muss, wurde im Hinblick auf PIMS thematisiert.

Sinn und Unsinn der Einwilligung

Die Richterin Kristin Benedikt vom Verwaltungsgericht Regensburg und Dr. Malte Engeler, Richter am Verwaltungsgericht Schleswig-Holstein und prominenter Datenschützer, lieferten sich einen spannenden Austausch zur Frage, ob die (datenschutzrechtliche) Einwilligung in Tracking und das Setzen von Cookies durch Nutzerinnen und Nutzer nun die Lösung oder eher das Problem sei.

Mit bemerkenswerten Ausführungen zur Sinnhaftigkeit bzw. Wirksamkeit der Einwilligung stellte Dr. Engeler das derzeit im Netz von nahezu jeder Webseite genutzte System der Cookie-Consent-Banner zur Einholung der Zustimmung der Webseiten-Besucherinnen und -Besucher infrage. Sollte der Gesetzgeber nicht an bestimmten Stellen den Raum der Einwilligung einschränken, und so Einschränkungen und letztlich auch gesellschaftliche Ungleichheiten zu verhindern? Derzeit bestünde mit der Einwilligung ein uferloser Rechtfertigungsraum. Menschen seien durch die Vielzahl an Einwilligungen teilweise überfordert. Die Einwilligung könne keine großen digitalpolitischen Fragen beantworten und ein gesellschaftliches Problem, das nicht individuell zu lösen sei, werde dem Einzelnen auferlegt.

Die Richterin Kristin Benedikt sah aber hingegen die Lösung eher im Zivilrecht, indem die relevanten datenschutzrechtlichen Vorgänge viel mehr über vertragliche Regelungen bzw. AGB abgewickelt und daher von dem Erfordernis der Einwilligung abgelöst werden würden, so dass am Ende die Zivilgerichte über die Zulässigkeit dieser Verarbeitungsvorgänge zu entscheiden hätten. Aber vielleicht muss das Recht auch mit der Zeit gehen.

Allerdings gehört schon reichlich Mut dazu, die datenschutzrechtlichen Anforderungen wie auch der Rechenschaftspflicht unterliegenden Bewertung von Vorgängen mehr oder weniger auf dem Spielfeld des Zivilrechts auszufechten. Die Zeit wird zeigen, ob die Trennschärfe zum Datenschutzrecht hier nach und nach verloren geht, wie es schon bei Schadensersatzansprüchen (so auch nach Art. 82 DSGVO) zu erkennen ist.

Künftig mehr Ausnahmen?

Überdies klang es an verschiedenen Stellen so an, als sähen die Sprecherinnen und Sprecher viel Platz für die Ausnahmen von der Einwilligungslösung, die in § 25 Abs. 1 TTDSG nunmehr als Regelfall normiert wurde. So wurde diskutiert, ob viele Verarbeitungsvorgänge, beispielsweise bei dem autonomen Fahrzeug unter die Ausnahme vom Einwilligungserfordernis in § 25 Abs. 2 Nr. 2 TTDSG fallen würden, wenn diese als unbedingt erforderlich gelten, um den Nutzerinnen und Nutzern den ausdrücklich gewünschten Telemediendienst zur Verfügung zu stellen. Es kam diesbezüglich sogar die Idee auf, auch unbedingt erforderliche Werbefinanzierung der eigenen Angebote unter diese Ausnahmevorschrift zu subsumieren. In dieser Konsequenz würden viele neue Versuche unternommen werden, um die bekannte Einwilligung durch Cookie-Banner herumzukommen. Ob damit den betroffenen Nutzerinnen und nutzern geholfen ist oder die Einfachheit das Datenschutzrecht aussticht, wird noch zu beweisen sein. Gedankenanstöße wurden jedenfalls aus verschiedenen Blickwinkeln geliefert, klare Antworten hieraus kann es natürlich noch nicht geben.

Prof. Ulrich Kelber, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit erachtete hingegen die Einwilligung (nach § 25 TTDSG und der DSGVO) als abschließend und verwies auch auf den Grundsatz der Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO) nach der DSGVO.

Bei der Frage, ob und wann die seit vielen Jahren angekündigte und im Gesetzgebungsverfahren stockende ePrivacy-Verordnung der EU kommen würde und hier gewisse Regelungslücken schließen könnte, gingen die Meinungen sehr weit auseinander. Es könne noch Jahre dauern, bekundete ein anwesender Experte.

Wann kommen die PIMS?

Aber auch das weitere Gesetzgebungsverfahren der Bundesregierung zur baldigen Rechtsordnung im Sinne von § 26 TTDSG, welche ggfs. in naher Zukunft zur Prüfung und Anerkennung entsprechender PIMS-Systeme führen könnte, wurden von Rolf Bender (Bundesministerium für Wirtschaft und Energie) vorgestellt. Hier dürfte es mindestens ein Jahr dauern, bis eine entsprechende Rechtsordnung verabschiedet werden würde. Es ist daher davon auszugehen, dass frühestens Anfang 2023 entsprechende Rahmenbedingungen gelten werden

Zum Ende der Veranstaltung folgte ein Ausblick auf die Datenpolitik der neuen Bundesregierung mit Vertreterinnen und Vertretern der Politik.

Alle Videos zu den Diskussionen und Vorträgen stehen mittlerweile zum freien Abruf bereit auf der Webseite zur Veranstaltung.