Zahlen oder tracken lassen: Nächster Trippelschritt zum EuGH

Inhaltsverzeichnis

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Dürfen Webseiten ihre Nutzer vor die binäre Wahl stellen, entweder in weitgehende Werbe-und Tracking-Nutzungszwecke einzuwilligen oder alternativ für die Werbe- und Trackingfreiheit zu bezahlen? Dieses "Pay or consent" oder "Pay or Okay" genannte Modell beschäftigt Gerichte in unterschiedlichen europäischen Staaten -- und ganz besonders oft auch bei Medienseiten. In Österreich hat nun das Bundesverwaltungsgericht im Fall des Onlineangebots der Tageszeitung Der Standard entschieden – und verlangt deutliche Nachbesserungen.

Ein Nutzer und der Verlag der Zeitung hatten beide gegen einen Bescheid der österreichischen Datenschutzaufsicht (Zl. D124.4574, 2023-0.174.027) geklagt, mit dem das Modell zwar abstrakt für zulässig befunden wurde – aber eben nicht in der konkreten Ausgestaltung. Der Nutzer, der das Verfahren 2018 bei der Datenschutzaufsicht ursprünglich angestoßen hat und der von der Datenschutz-Organisation Noyb vertreten wird, machte unter anderem geltend, dass er keine Einwilligung in eine mögliche Profilbildung gegeben habe und dass es keine Möglichkeit für "granulare", also feinere Zustimmung zu Verarbeitungszwecken gegeben habe. Der Verlag wiederum wandte sich gegen den Bescheid der Datenschutzaufsicht, demzufolge sein Modell in der fraglichen Ausführung unzulässig sei. Ähnliche Beschwerden bei den Datenschutzaufsichtsbehörden hat Noyb auch in anderen Staaten, unter anderem in Deutschland, eingebracht, auch gegen heise.de.

Das österreichische Bundesverwaltungsgericht folgt in seinem Urteil nun der Ansicht der Datenschutzaufsicht und sagt, dass Einwilligung für mehrere Zwecke auch gesonderte Einwilligungen erfordere. Eine solche Bündelung unterschiedlicher Verarbeitungszwecke aber würde die Freiheit der Entscheidung beeinträchtigen und damit die Einwilligung unwirksam werden lassen. "Diese Granularität ist eng verwandt mit dem Erfordernis, dass die Einwilligung für den konkreten Zweck zu erteilen ist", heißt es in der Urteilsbegründung (Az. W291 2272970-1/30E und W291 2272971-1/32E).

Auch das Argument, dass Werbekunden nur analysierbare Werbung begehren würden, wies das Gericht deutlich zurück: "Kein rechtliches Argument im Sinne der Datenschutzgrundverordnung", heißt es darin. Einen engen Zusammenhang zwischen Webanalyse für Betrieb und Optimierung des eigenen Angebots und digitaler und personalisierter Werbemaßnahmen fand das Gericht nicht plausibel. Und auch für vom Anbieter eingebundene Plug-ins sei dieser mitverantwortlich.

Kein Medienprivileg für Werbetrackingeinwilligung

Die Vertreter des Medienhauses argumentierten zudem hilfsweise und zur Unterscheidung von Akteuren wie etwa Meta Platforms, dass ihre Form von "Pay or Okay" zudem erlaubt sei, da die Datenschutzgrundverordnung in Artikel 85 das sogenannte Medienprivileg enthalte. Das erkannten die Richter zwar als soweit korrekt wiedergegeben an: für journalistische Tätigkeiten enthalte die Datenschutzgrundverordnung eine Ausnahmeregelung und die müsse auch weit ausgelegt werden. Allerdings könne die hier angegriffene Verarbeitung nicht als journalistischer Zweck eingestuft werden – auch wenn sie mittelbar der Finanzierung von Journalismus dienen würde. Schon der Mangel an Granularität der Einwilligung habe bewirkt, dass diese unwirksam sei.

Datenschutzaufsichtsbehörden dürfen Meinung ändern

Einen besonderen Fingerzeig geben die Richter zudem zu einer weiteren pikanten Frage. Die Datenschutzaufsicht hat 2018 und 2019 die Auffassung vertreten, dass das vom Standard verwendete Modell rechtlich zulässig sei – und erst später ihre Meinung geändert. Im Urteil heißt es, "dass die Datenschutzbehörde an eine bestimmte Rechtsansicht, die sie in der Vergangenheit vertreten hat, nicht gebunden ist." Sprich: Für die Einhaltung des Rechts bleiben Unternehmen auch dann verantwortlich, wenn eine Datenschutzbehörde dies zeitweise selbst falsch auslegt.

Der österreichischen Datenschutzaufsichtsbehörde selbst geben die Richter zudem noch einen deutlichen Hinweis: Die Behörde hat nicht angemessen auf die Eingaben des ursprünglichen Beschwerdeführers reagiert. Zwar gebe es keinen Anspruch auf eine bestimmte Maßnahme, die eine Aufsichtsbehörde ergreifen müsse, um einen Datenschutzrechtsverstoß abzustellen. Aber die Aufsicht habe sich nicht mit der gebotenen Sorgfalt mit dessen Argumenten beschäftigt und hierdurch selbst Recht gebrochen.

Revision in zentraler Frage könnte Luxemburg zur Klärung einschalten

Sollte der Verlag gegen das Urteil vorgehen, könnte die Frage bald beim Europäischen Gerichtshof (EuGH) liegen. Zwar sieht es das Bundesverwaltungsgericht in Wien trotz des von beiden Seiten vorgetragenen Wunsches, die EuGH-Richter in Luxemburg die offenen Fragen klären zu lassen, nicht als nötig an. Da es aber wegen der grundsätzlichen Bedeutung der Frage der Einwilligungsausgestaltung und ihrer möglichen Bündelung eine Revision zum Österreichischen Verwaltungsgerichtshof (VwGH) zulässt, könnten die dortigen Richter ihrerseits die Fragestellung dem EuGH vorlegen – damit wäre dieser Dauerstreitpunkt einer abschließenden, europäischen Entscheidung zur Auslegung des Datenschutzrechts einen erheblichen Schritt vorangekommen.

Transparenzhinweis: heise online bietet selbst ein Pur-Abo an. Nach Beanstandung wurde das Consent-Banner in Rücksprache mit der Landesbeauftragten für den Datenschutz Niedersachsen überarbeitet.

(mho)