Autor: Torben Petrina

Am 12.06.2016 trat das von der EU-Kommission geschaffene EU-US Privacy Shield als Nachfolgeregelung des Safe Harbour-Abkommens in Kraft. Dieser Angemessenheitsbeschluss legte fest, dass für das Privacy Shield zertifizierte US-Unternehmen ein Datenschutzniveau erreichen, das es zulässt, personenbezogene Daten in die USA ohne weitere Sicherheiten an sie übermitteln zu können.
Diese Vereinbarung wurde am 16.07.2020 vom Europäischen Gerichtshof für ungültig erklärt. Die Übertragung personenbezogener Daten auf der Grundlage des Privacy Shields ist damit in vielen Fällen nicht mehr legal und hat damit enorme Auswirkungen auf Unternehmen in der EU, die auf das Privacy Shield vertraut haben.

Den Stein ins Rollen gebracht hat wieder einmal der sog. Datenschutzaktivist Max Schrems, der bei der irischen Datenschutzbehörde die Übertragung von Daten durch Facebook Irland an den Firmensitz in den USA beanstandet hatte. Die Datenschutzbestimmungen in den USA sind weit weniger streng als in der EU und außerdem sei Facebook in den USA dazu verpflichtet, die Daten auch Behörden wie dem FBI oder der NSA zugänglich zu machen, ohne dass die Betroffenen dagegen gerichtlich vorgehen können, so die Begründung von Schrems.
Die Datenschutzbehörde in Irland wandte sich mit dieser Frage an ein irisches Gericht, das seinerseits damit zum EuGH ging. Dieser musste entscheiden, ob die durch das Privacy Shield gegebenen Garantien den Ansprüchen an den Datenschutz genügen und damit die Daten der europäischen Nutzer von Facebook, Google, Microsoft etc. ausreichend geschützt werden. Der EuGH urteilte nun, dass die Überwachungsgesetze der USA zu weitreichend seien und der Privacy Shield keinen angemessenen Schutz bietet.
Rund 5000 Unternehmen berufen sich auf den Privacy Shield bei der Datenübertragung in die USA. Soweit der Privacy Shield die einzige rechtliche Grundlage darstellt, werden sich die Unternehmen nach alternativen Grundlagen umsehen oder die Übermittlung einstellen müssen.

Der Datenaustausch auf der Grundlage von Standardvertragsklauseln wurde dagegen vom EuGH als ausreichend bewertet, wenn der Datenschutz in dem anderen Land gewährleistet sei.

Der Bundesgerichtshof BGH hatte bei einem Verhandlungstermin am 30.01.2020 über die Frage zu entscheiden, welche Anforderungen an die Einwilligung in die Speicherung von Cookies auf dem Endgerät des Nutzers zu stellen sind. Am 28.05.2020 war der Verkündungstermin in dieser Sache und der BGH bestätigte die europäischen Vorschriften, nach denen Nutzer dem Setzen von Cookies aktiv zustimmen müssen (s. auch News 02.10.2019: Speicherung von Cookies nur mit aktiver Einwilligung der Nutzer rechtskonform und News 12.05.2020: Einfache Cookie-Banner künftig unzureichend).

Dies hat zur Folge, dass viele Webseitenbetreiber ihre sog. Cookie-Banner umgestalten müssen. Ein Klick auf OK oder ausgewählte Checkboxen sind nicht mehr zulässig. Cookies müssen solange blockiert werden, bis der Nutzer seine Einwilligung erteilt hat.

Die Umsetzung der rechtlichen Vorgaben erfordert entsprechende technische Lösungen, z. B. mit sog. Consent Tools.
Sprechen Sie uns an – wir unterstützen Sie bei der Einführung von datenschutzkonformen Maßnahmen.

Cookies und andere Tracking-Mechanismen werden auf vielen Webseiten auch zur Ermittlung des Benutzerverhaltens eingesetzt. Da hierbei personenbezogene Daten verarbeitet werden, muss dies mit der Einwilligung des Nutzers geschehen. Bei der rechtlichen Beurteilung für die Wirksamkeit der Einwilligung wurde lange vorausgesetzt, dass es genügt, dass über die Cookies und Trackingmechanismen in der Datenschutzerklärung aufgeklärt wird und der Benutzer die Webseite, z. B. durch Anklicken eines „OK“-Buttons, nutzt.

Der Europäische Gerichtshof EuGH stellt in einem am 01.10.2019 getroffenen Urteil fest, dass Internetnutzer der Speicherung von Cookies beim Besuch einer Webseite auf ihrem PC ausdrücklich zustimmen müssen und eine bereits voreingestellte Zustimmung unzulässig ist. Der Bundesgerichtshof BGH hatte bei einem Verhandlungstermin am 30.01.2020 über die Frage zu entscheiden, welche Anforderungen an die Einwilligung in die Speicherung von Cookies auf dem Endgerät des Nutzers zu stellen sind, der Verkündungstermin in dieser Sache ist am 28.05.2020. Es wird davon ausgegangen, dass die deutschen Gerichte den bei ihren Urteilen an die Vorgaben des EuGH halten werden.

Der Europäische Datenschutzausschuss ist eine unabhängige europäische Einrichtung, die zur einheitlichen Anwendung der Datenschutzvorschriften in der gesamten Europäischen Union beiträgt und die Zusammenarbeit zwischen den EU-Datenschutzbehörden fördert. Dieser Datenschutzausschuss hat sich am 05.05.2020 in den Guidelines 05/2020 on consent under Regulation 2016/679 auch mit dieser Frage beschäftigt und festgestellt, dass es nicht ausreicht, die bloße Weiternutzung der Webseite als Einwilligung in die Cookie-Nutzung zu werten. Das Abhalten des Benutzers von der Website durch das Aufstellen einer sog. Cookie-Wall, bei der der Nutzer nur die Wahl Ja/Akzeptieren hat und damit das Tracking zwangsläufig akzeptieren muss (oder die Webseite nicht benutzen kann) ist nicht zulässig, eine Webseite muss auch ohne Zustimmung zum Tracking zu besuchen sein.
Zukünftig werden Webseiten, die mit Cookies und anderen Tracking-Tools arbeiten, zwingend über ein Cookie Consent Plugin verfügen müssen, das dem Benutzer eine Einwilligungs-Auswahl für die verwendeten Tracking-Tools anbietet. Ist dies nicht der Fall, ist der Betrieb der Webseite nach den Datenschutzaufsichtsbehörden nicht mehr zulässig.
Einfache Cookie-Banner werden damit in absehbarer Zeit nicht mehr datenschutzkonform einsetzbar sein.

Sprechen Sie uns an – unsere Datenschützer unterstützen Sie gerne bei der Einführung von neuen Softwareprodukten und bei der Umsetzung von datenschutzrechtlichen Maßnahmen.