FAQ zum Webinar: EuGH kippt Privacy Shield, und jetzt? Was jetzt noch erlaubt ist

Fragen und Antworten aus unserem Webinar mit unserem Partner, one medialis GmbH, sowie Dr. Christian Velten (Jota Rechtsanwälte Schultze-Rhonhof).

Wenn Sie nur Google Ads schalten, betrifft dies erst einmal nicht Ihre eigene Website, sondern Google. Sie müssen allerdings Consent einholen, wenn Sie auf Ihrer Website, z.B. über die Integration des Google Ads Tracking Codes (oder ähnliche wie Remarketing etc.), den Erfolg Ihrer Google Ads Kampagne messen möchten. Wenn Sie selbst als Teil des Display-Netzwerkes Anzeigen von Google auf Ihrer Website darstellen möchten, benötigen Sie hierfür ebenfalls Consent.

Nur, solange erkennbar ist, dass die Datenverarbeitung für ein und denselben Verantwortlichen erfolgt. Ein Beispiel: Ein Unternehmen betreibt einen Shop und eine Website im gleichen oder ähnlichen Layout und hosted dies nur aus technischen Gründen über unterschiedliche Domains.

Im Falle, dass Sie nur Anzeigen auf den entsprechenden Plattformen schalten, betrifft dies ja nicht Ihre Webseite. Den Consent auf Ihrer Website benötigen Sie immer dann, wenn Sie Cookies oder Codes anderer Plattformen auf Ihrer Website einbinden.

a) auch ohne Nutzer-Einwilligung im Sinne des berechtigten Interesses nutzbar oder
b) ist der US-Schutzmechanismus nur mit Einwilligung (auf die Gefahr erfolgreicher Hacker-Angriffe und damit der Einstellung des Dienstes meinerseits) einsetzbar?

 a) Hier kommt es darauf an, ob es auch Alternativen zum US-Dienst gibt, die man rechtlich als zumutbar und datenschutzfreundlicher betrachten könnte und darauf, ob hier neben der IP-Adresse des Requests noch andere Daten verarbeitet werden. Diese Prüfung muss im Rahmen der Interessenabwägung beim „berechtigten Interesse“ dokumentiert werden. Man könnte dies als eine Art europäischen Protektionismus bezeichnen, da europäische Anbieter durch die derzeitige Rechtsunsicherheit einen Wettbewerbsvorteil genießen. Wenn die USA allerdings die Anforderungen der DSGVO erfüllt und es ein neues Abkommen gibt, dann gilt das Gleiche wie für europäische Dienste. Wenn Sie die Bedrohung durch Hacker glaubwürdig nachweisen können, sollten Sie eine solchen Dienst als essentiell ohne explizite Einwilligung nutzen können.
b) auch hier „vermutlich ja“, da es nach unserem Kenntnisstand zu a) noch keine Urteile gibt.

Dies ist bisher nicht geplant. Aktuell können wir nur annehmen, dass ein solcher zusätzlicher Hinweis im Falle einer Abmahnung/Beschwerde hilfreich sein könnte. Es gibt dazu leider bisher weder Richtlinien oder Vorschläge der Datenschutzstellen noch Urteile.

In der Regel nehmen die Unternehmen nur Bezug auf die SCCs in den entsprechenden Verträgen/Hinweisen.

Rechtlich entscheidet das ein Gericht. Für die Einstufung im Consent Management-Tool entscheiden wir dies in der Regel gemeinsam mit dem Datenschutzbeauftragten im Audit vor der Implementierung. Was essentiell sein darf, sind technisch notwendige eigene Cookies (also lokal vom eigenen Server) sowie UserCentrics (deutsches Unternehmen und man schließt einen AV-Vertrag), um Einwilligungen einzuholen. Beim Google Tag Manager scheiden sich die Ansichten der Rechtsberater. Grundsätzlich ist der Tag Manager nicht für den Austausch personenbezogener Daten vorgesehen und er ist ein notwendiges Tool, um die Consents zu steuern. Aber: Die Seite fordert die Skripte von Google an, wobei die IP-Adresse des Anfragenden übertragen wird.

Da reCaptcha Daten mit Google tauscht und ein Besucher von Google auch wiedererkannt wird, sollte Consent eingeholt werden. Grundsätzlich könnte ein solches Tool auch als essenziell angesehen werden, weil es technisch notwendig ist. Aufgrund der Tatsache, dass Google Nutzerdaten speichert und zudem in den USA sitzt, könnte dies aber problematisch sein. Eine Alternative wäre es, das Absenden des Formulars nur zu erlauben, wenn der Consent besteht, das ist allerdings nicht besonders nutzerfreundlich. Man kann natürlich argumentieren, dass User so erkennen, warum man bestimmte Consents einfach benötigt. Eine weitere Alternative wäre eine lokale Integration eines Spamschutzes oder ein alternativer externer Dienst.

Da reCaptcha Daten mit Google tauscht und ein Besucher von Google auch wiedererkannt wird, sollte ein Consent eingeholt Wann genau noch nicht. Der Referentenentwurf befinden sich wohl noch in der Abstimmung. Es bleibt abzuwarten, wann und in welcher Form er kommt. Inhaltlich dürften sich eher wenig Unterschiede zur aktuellen Rechtslage ergeben, da der Gesetzesentwurf im Wesentlichen die europäischen Vorgaben wiedergibt.

Diese Frage können wir nicht mit Sicherheit beantworten. Vermutlich nutzt Google für viele Dienste gemischte Serverstandorte, was in Cloud-Infrastrukturen üblich ist.

Da scheiden sich die rechtlichen Einschätzungen derzeit. Man kann argumentieren, dass der Google Tag Manager wegen der Steuerung der Consents selbst technisch notwendig ist und ja auch keine Daten verarbeitet werden. Allerdings wird zum Abruf des Scripts beim Anfordern der Seite die IP-Adresse an Google übertragen, die ein personenbezogenes Datum darstellt und von Google auch genutzt werden kann. Da es hierzu noch keine Richtlinien oder Empfehlungen der Datenschutzstellen gibt und auch keine Urteile, kann man diese Frage nicht sicher beantworten. Es kommt folglich auf Ihre eigene Risikobewertung an.

„Dieser Service kann die erfassten Daten an ein anderes Land weiterleiten. Bitte beachten Sie, dass dieser Service Daten außerhalb der Europäischen Union und des europäischen Wirtschaftsraums und in ein Land, welches kein angemessenes Datenschutzniveau bietet, übertragen kann. Falls die Daten in die USA übertragen werden, besteht das Risiko, dass Ihre Daten von US Behörden zu Kontroll- und Überwachungszwecken verarbeitet werden können, ohne dass Ihnen möglicherweise Rechtsbehelfsmöglichkeiten zustehen. Nachfolgend finden Sie eine Liste der Länder, in die die Daten übertragen werden. Dies kann für verschiedene Zwecke der Fall sein, z. B. zum Speichern oder Verarbeiten.“

Wie im Webinar erwähnt, wäre dies eine Möglichkeit der zusätzlichen Absicherung, statt nur auf die SCCs zu vertrauen. Sie müssen aktuell selbst entscheiden, wie Sie einen solchen Hinweis formulieren.

Grundsätzlich ja, da ich selbst Verantwortlicher bleibe. Die Vertretungsbefugnis kann aber auf den Auftragsverarbeiter übertragen werden.

Solange die ePrivacy-Verordnung auf EU-Ebene nicht voran kommt, gehe ich davon aus, dass das TTDSG kommt. Die Frage bleibt nur, wann. Der Entwurf befindet sich noch in der Abstimmung.

Sie wollen mehr erfahren? Kontaktieren Sie uns gerne jederzeit.