Einwilligung oder berechtigtes Interesse: so entscheiden Sie

In der Branche gibt es zwei Lager. Das eine sagt: Wer nur Firmen erkennt, braucht keine Einwilligung, das berechtigte Interesse reicht. Das andere sagt: Ohne Zustimmung im Cookie-Banner läuft gar nichts. Beide Seiten haben ein Stück Recht, weil sie über verschiedene Schichten sprechen. Dieser Artikel trennt die Schichten und gibt Ihnen am Ende fünf Fragen an die Hand.

Er ist eine nüchterne Einordnung und keine Rechtsberatung. Für Ihr konkretes Setup gehört die Entscheidung zu Ihrer Datenschutzberatung.

Was vorgelagert gilt: der Zugriff auf das Endgerät

Bevor es um die DSGVO geht, stellt sich eine andere Frage: Greift das Skript auf das Gerät des Besuchers zu? Die ePrivacy-Richtlinie (Art. 5 Abs. 3) verlangt für das Speichern von Informationen im Endgerät und für das Auslesen solcher Informationen grundsätzlich eine Einwilligung. Ausgenommen ist, was für den vom Nutzer ausdrücklich gewünschten Dienst technisch erforderlich ist.

Umgesetzt ist das in Deutschland in § 25 TDDDG und in Österreich in § 165 Abs. 3 TKG 2021. Beide Regeln gelten unabhängig davon, ob am Ende personenbezogene Daten entstehen. Entscheidend ist der Zugriff selbst.

Das trifft mehr als Cookies:

• Ein Eintrag im Sitzungsspeicher des Browsers (sessionStorage) ist ein Speichern im Endgerät.
• Das Auslesen von Bildschirmgröße und Browsersprache ist ein Auslesen von Informationen aus dem Endgerät, auch wenn jede einzelne Angabe harmlos wirkt.
• Aufzeichnungen von Klicks und Mausbewegungen sind ohnehin nichts, was ein Besucher für die Anzeige der Seite braucht.

Die deutschen Aufsichtsbehörden vertreten dazu eine strenge Linie: Reichweitenmessung und Statistik gelten in der Regel nicht als technisch erforderlich. Wer ein Skript einsetzt, das solche Zugriffe macht, sollte deshalb von einer nötigen Einwilligung ausgehen. Das ist keine Frage des Geschmacks, sondern die Voraussetzung, ohne die der Rest gar nicht erst erreicht wird.

Art. 6 Abs. 1 lit. a gegen lit. f

Erst danach kommt die Frage, auf welche Rechtsgrundlage der DSGVO sich die anschließende Verarbeitung stützt, soweit sie personenbezogen ist.

Ob eine IP-Adresse überhaupt personenbezogen ist, klärt IP-Adresse und DSGVO: ist sie personenbezogen?. Wie beide Prüfschritte zusammenhängen, zeigt Besuchererkennung und DSGVO: eine nüchterne Einordnung.

Einwilligung (lit. a). Sie muss freiwillig, informiert, bestimmt und eindeutig sein. Sie lässt sich jederzeit widerrufen. Dafür ist die Rechtslage klar, sobald der Banner sauber gebaut ist.

Berechtigtes Interesse (lit. f). Hier prüfen Sie drei Dinge: Gibt es ein berechtigtes Interesse (etwa Vertriebsanbahnung im B2B)? Ist die Verarbeitung dafür erforderlich? Und überwiegen nicht die Interessen oder Grundrechte der betroffenen Personen? Erwägungsgrund 47 nennt als Maßstab die vernünftigen Erwartungen der Betroffenen. Direktwerbung kann nach demselben Erwägungsgrund ein berechtigtes Interesse sein.

Dazu kommt das Widerspruchsrecht nach Art. 21: Betroffene können der Verarbeitung auf lit. f widersprechen. Sie müssen das praktisch möglich machen. Auch die Informationspflichten nach Art. 13 und 14 gelten in beiden Fällen.

Warum Verhaltensdaten die Abwägung erschweren

Eine Firmenzuordnung allein ist für die Abwägung oft noch gut zu begründen: Die Information ist knapp. Der Zweck ist klar. Schwieriger wird es, sobald Verhalten dazukommt. Welche Seiten jemand liest, wie lange er scrollt und wo er klickt, sagt viel über eine Person aus, auch wenn sie nur als Besucher einer Firma erscheint. Ein Mausvideo zeigt noch mehr. Je feiner die Beobachtung, desto weniger erwarten Besucher sie. Entsprechend schwer wird es, das Überwiegen Ihres Interesses zu begründen.

Dazu kommt ein praktisches Problem: Selbst wenn Sie die Abwägung gewinnen könnten, hilft Ihnen das nichts, solange die Einwilligungspflicht für den Zugriff auf das Gerät besteht. Die Einwilligung ist dann ohnehin da. Es spricht vieles dafür, sie auch als Rechtsgrundlage für die Verarbeitung zu nutzen, statt zwei Grundlagen nebeneinander zu pflegen.

Der praktische Weg: Statistik-Kategorie, Skript erst danach

Die Lösung, die in der Praxis am häufigsten funktioniert, ist einfach:

1. Ihr Banner hat eine eigene Kategorie, meist „Statistik“ oder „Analyse“.
2. Das Besuchererkennungs-Skript lädt erst, nachdem der Besucher dieser Kategorie zugestimmt hat.
3. Ohne Zustimmung findet kein Zugriff auf das Gerät statt und keine Anfrage an den Dienst.

Technisch geht das über Ihren Tag Manager mit Consent Mode oder über die Einwilligungsverwaltung Ihres Banners. Eine Anleitung dafür finden Sie in der Hilfe unter Einwilligung im Tag Manager. Whovisit etwa liefert eine Tag-Vorlage, die auf die erteilte Statistik-Einwilligung wartet, bevor sie das Skript lädt. Damit der Weg trägt, muss Ihr Banner die Kategorie aber auch wirklich abbilden und die Entscheidung sauber an den Tag Manager weitergeben.

Auch Google Analytics läuft in der Regel hinter derselben Kategorie. Was Analytics über Firmen verrät und was nicht, steht in Firmen erkennen mit Google Analytics: was geht und was nicht.

Schweiz: Opt-out-Logik

In der Schweiz ist die Ausgangslage anders. Das Fernmeldegesetz (Art. 45c) verlangt, dass Nutzer über die Verarbeitung von Daten auf ihrem Gerät informiert werden und sie ablehnen können. Es ist also eine Widerspruchslösung statt einer vorherigen Einwilligung. Das revidierte Datenschutzgesetz (seit 1. September 2023) arbeitet grundsätzlich ebenfalls mit Transparenz und Widerspruchsmöglichkeit statt mit einer generellen Einwilligungspflicht.

Wenn Sie Besucher aus der Schweiz und aus der EU auf derselben Seite haben, gilt für die EU-Besucher trotzdem das strengere Recht. Praktisch bedeutet das: Ein einheitlicher Banner mit Einwilligung ist meist der einfachste Weg, auch weil Sie Besucher nicht sicher nach Land trennen können.

Ihr Entscheidungsweg in fünf Fragen

1. Greift das Skript auf das Gerät zu? (Speichern oder Auslesen, auch Sitzungsspeicher, Bildschirmgröße, Sprache.) Wenn ja, brauchen Sie für DE und AT in der Regel eine Einwilligung. Weiter bei Frage 2.
2. Ist der Zugriff für die gewünschte Anzeige der Seite technisch erforderlich? Bei Statistik und Besuchererkennung fast immer nein.
3. Hat Ihr Banner eine Kategorie, die zum Zweck passt? Wenn nein, anpassen, bevor Sie das Skript einbauen.
4. Lädt das Skript wirklich erst nach der Zustimmung? Im Netzwerk-Tab Ihres Browsers prüfen: Vor der Zustimmung darf keine Anfrage an den Dienst gehen.
5. Ist die Information in der Datenschutzerklärung vollständig? Gibt es einen Weg zum Widerruf? Zweck, Rechtsgrundlage, Empfänger, Speicherdauer.

Antworten Sie bei Frage 1 mit nein, können Sie über lit. f nachdenken. Das ist bei Verfahren mit Zugriff auf das Endgerät praktisch selten.

Quellen

• Richtlinie 2002/58/EG (ePrivacy), Art. 5 Abs. 3
• DSGVO, Art. 6 Abs. 1, Art. 13, 14, 21 sowie Erwägungsgrund 47
• § 25 TDDDG (Deutschland), § 165 Abs. 3 TKG 2021 (Österreich)
• Art. 45c Fernmeldegesetz (Schweiz), Datenschutzgesetz (Schweiz) in der Fassung vom 1. September 2023
• Orientierungshilfe der Datenschutzkonferenz für Anbieter von Telemedien (aktuelle Fassung)