Mehr als nur der Like-Button: So müssen Sie auf das EuGH-Urteil reagieren

Like-Buttons, embedded Videos, Google-Analytics oder -Maps, Retargeting-Ads - kurz und vereinfacht gesagt: Alle vernetzten Elemente auf Homepages, die Informationen über den Nutzer an Dritte senden, sind nicht mehr rechtens. Es sei denn, der Nutzer hat eine genaue Einwilligung dafür gegeben, wer da seine Daten wofür verwendet und ob er sie noch weitergibt. Sich eine einfache Einwilligung vom Nutzer geben zu lassen, ist aus verschiedenen Gründen schwierig. Man male sich mal das Beispiel einer Webseite aus, die seit Jahren oder Jahrzehnten Meldungen veröffentlicht.

Nun müsste nach dem aktuellen EuGH-Urteil jede aktuelle und jede Meldung im Online-Archiv daraufhin abgeklopft werden, ob sie vernetzte Elemente enthält wie Youtube-Videos, Google-Maps-Einbindungen, Like-Buttons. Diese tausende Meldungen könnten ein Bot crawlen und automatisiert eingebettete Elemente mit einer Zwei-Klicklösung ersetzen, bei der die Elemente erst nach Nutzereinwilligung sichtbar werden (denn sie übermitteln ja Daten, sobald sie nur auf einer Seite existieren). Aber hier wird es schon diffizil: Man muss dem Nutzer ja mitteilen, was er da aktiviert, so schreibt es das Gesetz vor. Der inaktive Button muss also beispielsweise die Beschriftung tragen: 'Aktivieren sie den Like-Button von Facebook  '. Nun könnte der Bot die Links untersuchen und jeden Link auf die Domain 'Facebook' mit einem Element ersetzen, das entsprechend als Facebook-Button beschriftet ist. Aber wie erkennt der Bot ein Facebook-Element als solches, wenn man beispielsweise einen Linkverkürzer eingesetzt oder das Element mittels eines Embedding-Codes eingebaut hat, aus dem die URL nicht klar hervorgeht.

Das Urteil stellt Seiten vor massive Probleme, doch es ist machbar, das Risiko einer Abmahnung von Seiten der Datenschützer oder Nutzer so weit zu minimieren, dass der Seitenbetrieb weitergehen kann. Dafür muss man die Natur des EuGH-Urteils gegen eingebundene Elemente mit Datenweitergabe durchschauen.

Die Lage verstehen: Die Vorgeschichte des Like-Button-Urteils

Die aktuelle Situation geht zurück auf den EuGH-Entscheid vom 05.06.2018 (Az.: C-210/16): Damals hatte der Gerichtshof entschieden, dass auf einer Facebook-Unternehmensseite/Fanpage nicht nur Facebook die Datenschutzvorschriften einhalten muss. Oh, nein: Auch die Fanpage-Betreiber sind in der Pflicht, da sie und das große US-Social-Network gemeinsame Verantwortliche nach Artikel 26 Absatz 1 Satz 1 der Datenschutzgrundverordnung darstellen. In der Folge stellte Facebook ein Joint-Controller-Formular   zur Verfügung, eine Vereinbarung mit dem Fanpage-Betreiber über die gemeinsame Datenschutz-Verantwortung. Das sollte Rechtssicherheit herstellen, war aber damals schon eine unzureichende Lösung, so urteilten Anwälte.

Was wir nun erleben ist die inhaltliche, juristische Fortsetzung dieser Datenschutz-Bestrebung: Das EuGH hat die gemeinsame Verpflichtung von Seitenbetreibern und datenverarbeitenden Konzernen wie etwa Facebook oder Google Analytics festgestellt. Wann immer eine Webseite einen Drittdienst via Skript einbindet, der Daten erfasst, ist das vom Urteil des EuGH vom 29. Juli 2019 C-40/17   betroffen: Social PLugIns, aber auch eingebundene Youtube-Videos, Analytics-Software, Retargeting, Siegel von Trusted Shops... alle vernetzenden Schnittstellen, wenn man so will.

Was müssen Webseitenanbieter nun tun, um rechtskonform zu agieren?

Kurz gesagt müssen Webseitenbetreiber nun VOR jeder Datenverarbeitung mittels Skripten/PlugIns den Nutzer umfassend informieren, wer da seine Daten zu welchem Zweck bekommt. Und ebenfalls VOR der Datenverarbeitung müssen sie seine Zustimmung dafür einholen.

Die Basis: Joint-Controller-Vereinbarung

Zum einen benötigen die Webseiten eine Joint-Controller-Vereinbarung mit dem Anbieter des datenverarbeitenden Dienstes, der auf der Webseite eingebunden ist, urteilt Rechtsanwalt Martin Bahr  , Experte für juristische Fragestellungen in der Interaktivbranche. Diese Vereinbarung müssen die Webseitenbetreiber mit ALLEN abschließen, die sich da datensammelnd auf ihrer Seite tummeln: Youtube  , Criteo   , Facebook, mit für Google Analytics, Maps, Xing  , Instagram  , Whatsapp  . Ein entsprechendes Formular bietet der Datenschutzbeauftragte Baden-Württemberg auf seiner Seite an  . Nun müssten Webseiten dieses Formular ausfüllen und zur Unterschrift an Google   und Co. schicken - worauf sie in den meisten Fällen nie wieder etwas hören dürften.

Der Weg zur Rechtskonformität: Eine von drei zwingenden Voraussetzungen

Und selbst wenn man in den Besitz eines solchen Formulares kommt, benötigt man als Webseite nach der neuen Jurisdiktion mehr, um Nutzerdaten erfassen zu dürfen - drei Wege führen zur Erlaubnis:

1. Der Vertrag mit dem Nutzer

Wenn Sie einen Vertrag mit dem Nutzer über die Datensammlung haben, idealerweise inklusive einer Mitgliedschaft und Kundenkarte, dann sieht es gut für Sie aus, denn alles ist klar fixiert. Und selbst wenn nicht jedes einzelne Detail vertraglich abgeklärt ist, baut man hohe Klagehürden um sich auf: Zum einen liegt aufgrund des Vertragsverhältnisses nahe, dass der Kunde dem Dienstleister freiwillig Daten übermittelt. Zum anderen wird der Nutzer kaum Interesse haben, gegen den Dienstleister vorzugehen, weil er seine Leistungen ja (vertraglich belegt) wünscht.

2. Einwilligungen

Man kann sich natürlich jedes einzelne PlugIn und Skript mittels Klick absegnen lassen. Das klingt so schon nicht einfach und eher nervig, aber ist obendrein auch noch kaum machbar: Denn in der Einwilligung muss stehen, welche Daten zu welchem Zweck gesammelt werden. Könnten Sie ein Banner entwerfen, in dem genau steht, welche Nutzerdaten Facebooks Like-Button auf Ihrer Seite alles sammelt und wieso? Selbst die verbreitete Zwei-Klicklösung ist nicht wasserdicht (bei der müssen die Like-Buttons und Teilen-PlugIns erstmal aktiviert werden, bevor man sie klicken kann). Denn auch hier weiß man ja als Webseitenbetreiber nicht wirklich, was sich die Social-Buttons alles an Daten schnappen und wofür. Dennoch empfiehlt sie Rechtsanwalt Bahr: "Die Zwei-Klicklösung bietet keinen definitiven Schutz vor einer Klage, aber sie ist besser als quasi nackt dazustehen - wir empfehlen es ausdrücklich sie anzuwenden, um rechtliche Konsequenzen unwahrscheinlicher zu machen."

Der große Knackpunkt dabei ist, dass die Daten des Nutzers vom auf der Webseite eingebundenen Dienst nur für den Auftraggeber (die Webseite) verarbeitet werden dürfen - also beispielsweise nur für die Seite, auf der eine Analytics-Lösung läuft. Gibt das Analysetool die Daten weiter an einen Advertiser, damit der auf deren Grundlage Targeting betreiben kann, benötigt diese Datenweitergabe die explizite Zustimmung des Nutzers. Und woher will eine Webseite mit Sicherheit sagen können, dass Google und Facebook die Nutzerdaten nicht an Töchterdienste wie Adwords oder Instagram weitergeben?

3. Berechtigtes Interesse

Eine Seite darf Daten sammeln, wenn sie ein berechtigtes Interesse daran hat. Das greift etwa bei Analyse-Lösungen, die die Daten nicht weiterreichen und nicht personalisieren: Die Seite darf erfassen und tracken, was Besucher auf der Seite tun, woran Konversionen scheitern. Hier wiegt das Interesse des Seitenbetreibers am Betrieb des Unternehmens höher als das Datenschutzinteresse des Nutzers - denn Seiten benötigen Daten, um überhaupt effektiv laufen zu können. Dieses Territorium des berechtigten Interesses ist aber schnell verlassen: Zum Beispiel immer dann, wenn Webseiten Nutzer-Daten über einen Verbund verschiedener Seiten hin erfassen - das gilt etwa stark bei Verlagsangeboten: Will Springer tracken, wer sich zwischen Bild.de und Welt.de hin- und herbewegt, braucht der Verlag die Einwilligung des Nutzers dafür. Aus diesem Grunde baut der Springer-Verlag, der viele Töchter mit auf Datenweitergabe beruhendem Geschäftsmodell hat, auf einen eigenen Weg: Er holt eine Nutzererlaubnis für einen gesamten Seitenverbund ein - der Nutzer muss dem seitenübergreifenden Erfassen und Zusammenführen seiner Daten zustimmen. Dass künftig neue Seiten und Dienste zu diesem Verbund hinzustoßen, versucht man bei Springer durch pauschale Formeln zu lösen - der Nutzer muss der Datenweitergabe an "Töchter und Partner" zustimmen. Das ist genau wie die Zwei-Klick-Lösung: Nicht wirksam (weil zu wenig konkret), aber besser als ohne jede Einwilligung dazustehen.

Je ambitionierter also ein Geschäftsmodell Datenerfassung, -verknüpfung und -monetarisierung betreibt, desto schwieriger wird sein Stand künftig sein: "Retargeting etwa lässt sich kaum als ein 'berechtigtes Interesse des Seitenbetreibers' rechtfertigen, das die Schutzbedürftigkeit der Nutzerdaten überwiegt", glaubt Christian Bennefeld, Gründer und Gesellschafter des Anbieters der Analyse-Lösung Etracker   : "Auch seitenübergreifendes Tracking fällt hier meines Erachtens nach raus - und auch für große Konzerne wie Microsoft und LinkedIn, die Konten zu verknüpfen, wird es zunehmend schwerer oder für Anwendungen wie Google Analytics."

Mögliche Lösungsstrategien für Seitenbetreiber - und was sie taugen

Was aber können Seitenbetreiber nun tun - die Lösungen, die absolut rechtssicher sind, vereinen einen hohen Aufwand auf sich sowie die kaum zu erfüllende Auflage, von US-Konzernen eine Unterschrift auf einer Joint-Controller-Vereinbarung zu erhalten. Die einfachen Lösungen erscheinen riskant.

---

Lösung eins: Alles rechtskonform gestalten

Man holt sich sämtliche Verträge und Zustimmungen von beteiligten Anbietern und dem Nutzer, um alle vernetzten Elemente einer Homepage rechtskonform zu betreiben. Das ist eventuell machbar, wenn man lediglich eine deutsche Analyticslösung verwendet, die keine vollständigen IP-Adressen verwendet, keine persönlichen Daten sammelt und deren Server auf deutschem Boden stehen. Doch mit mehr Skripts und mehr involvierten Parteien steigt das Komplexitätslevel.

Aufwand: Hoch
Realistische Machbarkeit: Gering
Rechtssicherheit: Hoch

---

Lösung zwei: "Zustimmen oder raus!"

Man knallt dem Nutzer beim Betreten der Webseite die Information vor den Latz, dass er Datensammlungen und -auswertungen zustimmt oder verweigert ihm die Nutzung der Inhalte/Services. Gute Idee? Ist aber ebenfalls nicht machbar. Man müsste ihm nicht nur explizit alles auflisten, wozu er zustimmt - hier greift überdies das noch schwerer wiegende Kopplungsverbot: Eine Nutzung der Seite darf nicht von der Zustimmung zur Datenausbeutung abhängig gemacht werden.

Aufwand: Immer noch hoch
Realistische Machbarkeit: Gering
Rechtssicherheit: Nicht vorhanden

---

Lösung drei: Andere Lösungen verwenden

Man verwendet nur Lösungen, die alle erforderlichen Anforderungen erfüllen und schmeißt den Rest von der Seite. Das geht, wenn man seine Seite weder per Adwords noch per Programmatic Advertising monetarisieren will - doch sobald nur ein US-Dienst involviert ist, steigt die Unüberschaubarkeit der Datenverwendungen astronomisch.

Aufwand: Überschaubar
Realistische Machbarkeit: Nur bei beschränkter Datenerfassung
Rechtssicherheit: Gut

---

Lösung vier: Alles deaktivieren

Man schmeißt Adwords, Youtube und alle sozialen Skripte von der Seite und seine Analyticslösung gleich hinterher. Für Hobbyblogger ohne Monetarisierungsstrategie machbar - alle anderen werden ohne jedes eingebundene Skript kaum zurechtkommen.

Aufwand: Gering
Realistische Machbarkeit: In professionellen Kontexten nicht existent
Rechtssicherheit: Höchstmöglich

---

Lösung fünf: Links statt Skripte verwenden

Anstatt Skripte zu verwenden, setzt man Links auf Facebook, Youtube und Co. Das hilft bei den Social-PlugIns, für Analytics hat man aber damit keine Lösung. Außerdem werden die Seiten sperrig und die UX leidet: Like-Buttons und eingebettete Videos sollen ja eben jene effiziente Vernetzung bei einheitlicher Erfahrung bieten, die ein Link nicht besitzt.

Aufwand: Gering
Realistische Machbarkeit: Gering
Rechtssicherheit: So la la: Haftbarkeit vermeidet man damit nicht in jedem Fall

---

Lösung sechs: Alles so lassen und beten

Man tut nichts und hofft, ungeschoren davonzukommen. Das ist, je nachdem wie sehr man im Rampenlicht steht, welchen Ruf man genießt, wie groß man ist und was das Geschäftsmodell ist, ein qualitativ höchst
unterschiedliches Risiko.

Aufwand: Kein Aufwand
Realistische Machbarkeit: Durchaus vorhanden
Rechtssicherheit: Nicht vorhanden

---

Lösung sieben: Abwägung

Eine Webseite wägt genau ab, welche Elemente sie benötigt und welche nicht. Sie schmeißt Social-PlugIns hinaus, wenn diese nicht essentiell für das soziale/reichweitengetriebene Geschäftsmodell sind. Sie verwendet eine andere Trackinglösung als Analytics, wenn sie kein Adwords einbindet. Ansonsten nutzt sie die Elemente weiterhin und bemüht sich um größtmöglichen Nutzerschutz: Sie weist auf jede Form der Datenverwendung durch die eingesetzten Skripte hin, die ihr bekannt ist. Sie bemüht sich auch im Wissen, dass nie eine Antwort aus den USA kommen wird, um eine Joint-Controller-Vereinbarung. Sie setzt Zwei-Klick-Lösungen ein, wo es keine Alternative gibt: So operiert man weiterhin nicht vollständig rechtskonform, aber baut Klagehürden um sich auf. Zum einen zeigt die Erfahrung mit der DSGVO, dass die Datenschützer niemandem den Laden auseinandernehmen, der eine grundsätzliche Bemühung um den Nutzer demonstriert. Selbst bei Verstößen bleibt es hier immer wieder bei Ermahnungen. Auch die Nutzer werden keine Lust auf eine Beschwerde empfinden, wenn Seiten einen Datenschutzrespekt unter Beweis stellen.

Aufwand: Moderat
Realistische Machbarkeit: Hoch
Rechtssicherheit: Juristisch betrachtet mehr oder weniger stark eingeschränkt - de facto jedoch komfortable Absicherung gegen Konsequenzen

---

Die Konsequenzen des EuGH-Urteils für das Internet werden in Abhängigkeit davon ausfallen, wie konsequent einzelne Seiten es umsetzen und wie Datenschützer die Abweichler bestrafen.