DSB: Kopplung von Zugriff auf Website an Cookie-Einwilligung ist zulässig

Website-Nutzung nur gegen Cookie-Einwilligung oder Zahlung

Gegenstand des Verfahrens vor der österreichischen Datenschutzbehörde war die Kopplung der kostenlosen Nutzung der Website der österreichischen Tageszeitung „Der Standard“ an die Einwilligung der Datenverarbeitung. Konkret stellte der „Cookie-Banner“ der Website die Nutzer vor die Wahl, dem Einsatz von Cookies für die Zwecke der Webanalyse und digitaler Werbemassnahmen einzuwilligen oder ein kostenpflichtiges Abo für die Nutzung der Website ohne zustimmungspflichtige Cookies und ohne Werbung abzuschliessen. Zwingende Voraussetzung für die Lektüre der digitalen Ausgabe der Zeitung war somit entweder die Einwilligung in die Verwendung von Cookies oder der Abschluss eines kostenpflichtigen Abos.

Beim Abschluss eines Abos findet kein Tracking statt und werden keine Fremdcookies gesetzt. Konkret sind alle Fremdscripts und Cookies von Drittanbietern sowie Social-Media-Plugins dauerhaft deaktiviert, wobei diese durch den Besucher einzeln aktiviert werden können.

Nicht-Abonnenten, die keine Zustimmung erteilen oder diese nachträglich widerrufen, können die Website nicht mehr vollumfänglich kostenfrei nutzen bzw. werden wiederum vom beschriebenen Cookie-Banner konfrontiert. Für Besucher ohne Einwilligung oder Abonnement waren nur noch ausgewählte Seiten ohne redaktionelle Beiträge aufrufbar.

Dieser Vorgang erachtete ein Nutzer der Website als Verletzung der DSGVO und beschwerte sich im Frühjahr 2018 bei der österreichischen Datenschutzbehörde.

Grosse Verbreitung von Kopplungsklauseln – Grosse Unklarheit über deren Zulässigkeit

Der beschriebene Kopplungsvorgang steht im Spannungsverhältnis mit dem Erfordernis der Freiwilligkeit der Einwilligung in die Verarbeitung von Personendaten, welches eine zentrale und nach wie vor umstrittene Frage in der Literatur und Judikatur zur DSGVO darstellt. Zahlreiche Gerichte und Behörden haben sich seit dem Inkrafttreten der DSGVO im vergangenen Mai zu dieser Frage geäussert – teilweise mit divergierenden Ergebnissen (siehe MLL News vom 1.9.2018, MLL News vom 9.12.2018 sowie MLL News vom 9.12.2018).

Die Freiwilligkeit einer Einwilligung ist insbesondere dann fraglich, wenn der Abschluss eines Vertrags oder die Erbringung einer Dienstleistung – wie vorliegend – an das Einverständnis mit der Nutzung der Kundendaten zu Werbezwecken gekoppelt wird. Einem solchen Vorgang begegnet man in der Praxis zwar häufig, die Meinungen über dessen DSGVO-Konformität gehen jedoch nach wie vor deutlich auseinander.

Die Freiwilligkeit einer Einwilligung wird gemäss Erwägungsgrund 43 der DSGVO unter anderem dann verneint, wenn die Erbringung einer Dienstleistung von der Einwilligung in die Datenverarbeitung – namentlich zu Werbezwecken – abhängig ist, obwohl diese Einwilligung für die Erbringung nicht erforderlich ist. Der Wortlaut der Erwägung wird zuweilen als unbedingtes Kopplungsverbot aufgefasst, wobei diese strenge Auslegung im Spannungsverhältnis zur milderen Formulierung in Art. 7 Abs. 4 DSGVO steht. Demnach muss bei der Beurteilung der Freiwilligkeit dem Umstand, ob die Erbringung einer Dienstleistung von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind, «in grösstmöglichem Umfang Rechnung getragen werden» (vgl. MLL News vom 9.12.2018).

Kostenloses Angebot unter vielen – Kein Verstoss gegen das Kopplungsverbot der DSGVO

Im vorliegenden Fall erkannte die österreichische Datenschutzbehörde im skizzierten Vorgang keinen Verstoss gegen das in der DSGVO statuierte Kopplungsverbot. Als Begründung führte die Behörde zunächst aus, bei einem Ausbleiben der Einwilligung bestehe die erste Konsequenz darin, dass der Besucher der Website ein kostenpflichtiges Abo abschliessen könne, welches frei von Werbung, Daten-Tracking und der Setzung von Fremdcookies sei. Dieses Angebot sei mit einem monatlichen Preis von 6 Euro ab dem zweiten Monat keine unverhältnismässig teure Alternative. Auch die zweite Konsequenz einer ausgebliebenen Einwilligung, nämlich die Verweigerung des Zugriffs auf die Inhalte der Website, ziehe für die Besucher im Ergebnis keine wesentlichen Nachteile nach sich, da diese auf alternative Informationsangebote zurückgreifen könnten. Nach bisheriger Datenschutzrechtspraxis in Österreich sei ein die Freiwilligkeit verhindernder Nachteil dann gegeben ist, wenn das Risiko einer Täuschung, Einschüchterung, Nötigung oder beträchtlicher negativer Folgen besteht. Da die betroffenen Personen vorliegend mit keinen beträchtlichen negativen Folgen konfrontiert würden, sei das Vorgehen datenschutzrechtlich als zulässig zu erachten.

Mit Verweis auf die Praxis der österreichischen Datenschutzbehörde vor Inkrafttreten der DSGVO fügte die Behörde zudem an, dass eine freiwillige Einwilligung angenommen werden könne, wenn ein bestimmter Verarbeitungsvorgang zu einem erkennbaren Vorteil der betroffenen Person führe. Dies sei im vorliegenden Fall gegeben, weil die Nutzer der Website durch die Einwilligung vollen Zugang zu den Inhalten erhalten, der in seinem Umfang in keinerlei Weise beschränkt ist und inhaltlich dem Abschluss eines Abos gleichkommt.

Darüber hinaus waren nach Ansicht der Behörde auch die weiteren Voraussetzungen für eine gültige Einwilligung erfüllt. So würden auf der Website solange keine Cookies gesetzt, bis der Besucher der eine bewusste Entscheidung getroffen habe, also eine Einwilligung abgegeben hat, ob er die kostenlose Variante in Anspruch nehmen möchte. Durch Verlinkung im Fenster („Pop-Up“) auf die Datenschutzerklärung und durch eine Aufzählung der im Einsatz befindlichen Cookies („Cookies-Anhang“) seien auch die Anforderungen an eine transparente Information erfüllt und auch ein eindeutiger und bestimmter Zweck ersichtlich.

Aus diesen Gründen wurde die Zulässigkeit der Cookie-Einwilligung bestätigt und die Beschwerde abgewiesen.

Widerspruch zur Entscheidung des obersten österreichischen Gerichts?

Die milde Auffassung der österreichischen Datenschützer scheint auf den ersten Blick überraschend, da das oberste Gericht Österreichs (OGH) in einem jüngeren Entscheid den Grundsatz bekräftigte, dass die DSGVO ein Kopplungsverbot enthält (vgl. dazu MLL-News vom 1.9.2018). Gemäss OGH ist erwähnte Spannungsverhältnis zwischen Art. 7 Abs. 4 DSGVO und dem Erwägungsgrund 43 dahin aufzulösen, dass an die Beurteilung der Freiwilligkeit der Einwilligung strenge Anforderungen zu stellen sind. So sei bei der Kopplung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten mit einem Vertragsschluss – vorbehaltlich besonderer Umstände – davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolge. Der OGH fasste die Regelung in der DSGVO als derart eindeutig auf, dass er auf eine Vorlage an den EuGH zur Klärung dieser Frage verzichtete.

Bei genauerer Betrachtung stehen die beiden Urteile aus Österreich jedoch in keinem Widerspruch: Anders als im vorliegenden Fall musste der OGH die Kopplung des Abschlusses eines kostenpflichten Vertrages mit einer Werbe-Einwilligung beurteilen. Demgegenüber ist in Bezug auf kostenlose Angebote derzeit eine Tendenz zu einer lockeren Auffassung zu verzeichnen. So entspricht der Beschluss der österreichischen Datenschutzbehörde im Ergebnis der Auffassung von Italiens Kassationsgericht (vgl. MLL News vom 1.9.2018), welche die Freiwilligkeit der Einwilligung in einem ähnlich gelagerten Fall ebenfalls bejahten, weil die betroffenen Personen die kostenlose Dienstleistung „ohne ernsthafte Nachteile“ auf andere Weise erwerben konnten. Eine ähnliche Interpretation des Kopplungsverbots bei kostenlosen Angeboten hat im Übrigen auch die deutsche Datenschutzkonferenz (DSK) in ihrer kürzlich veröffentlichten Orientierungshilfe zur Direktwerbung (siehe MLL News vom 9.12.2018) angedeutet.

Bedürfnis nach einheitlicher Auslegung des Kopplungsverbots auch bei Schweizer Unternehmen gross

Die seit dem 25. Mai 2018 geltende DSGVO ist auch auf zahlreiche Schweizer Unternehmen ohne Niederlassung in der EU anwendbar (vgl. MLL-News vom 30.7.2017 und MLL-News vom 21.9.2017). Dementsprechend sind einheitliche Interpretationen unbestimmter Normen durch die Europäischen Gerichte sowie Handlungsempfehlungen der Aufsichtsbehörden auch für hiesige Wirtschaftsakteure von grosser Bedeutung.

Mit dem vorliegenden Beschluss leistet die Datenschutzbehörde einen wichtigen Beitrag zur Diskussion über die nach wie vor höchst umstrittene Tragweite des Kopplungsverbots. Gerade aus Gründen der Praktikabilität in der elektronischen Datenverarbeitung wird von vielen Seiten eine milde Anwendung von Art. 7 Abs. 4 DSGVO gefordert und dessen Auslegung als unbedingtes Kopplungsverbot abgelehnt. Der Vergleich mit dem erwähnten Entscheid des OGH zeigt, dass die Grenze des Zulässigen wohl dort zu ziehen ist, wo der Abschluss eines kostenpflichtigen Vertrags eine Einwilligung in die Verwendung der Daten zu Werbezwecken bedingt. Demgegenüber scheint DSGVO Konformität dort bejaht zu werden, wo die Datenbearbeitung an ein kostenloses Angebot unter vielen gekoppelt wird.

Dennoch kann zum jetzigen Zeitpunkt noch keinesfalls von einer einheitlichen oder gefestigten Praxis gesprochen werden, denn die bisherigen Entscheidungen waren – wie so oft – stets von den Umständen des Einzelfalls geprägt. So kommt den zuständigen Behörden bspw. bei der Beurteilung eines massgeblichen Nachteils resp. «beträchtlicher negativer Folgen» einer Nichteinwilligung ein grosses Ermessen zu.

Weitere Informationen:

• Entscheid der österreichischen Datenschutzbehörde vom 30.11.2018 (DSB-D122.931/0003-DSB/2018)
• MLL News vom 01.09.2018: „Italiens Kassationsgericht zum Kopplungsverbot bei Gratisdiensten“
• MLL News vom 09.12.2018: „OGH zum Kopplungsverbot nach der DSGVO: hohe Anforderungen an Freiwilligkeit der Werbeeinwilligung bei Vertragsschluss“
• MLL News vom 09.12.2018: „DE-Datenschützer veröffentlichen Orientierungshilfe für Direktwerbung – wann besteht ein überwiegendes berechtigtes Interesse?“
• EU Datenschutz-Grundverordnung (DSGVO)