{"id":6463,"date":"2021-12-15T13:45:55","date_gmt":"2021-12-15T12:45:55","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=6463"},"modified":"2021-12-22T12:03:19","modified_gmt":"2021-12-22T11:03:19","slug":"ttdsg-und-dsgvo-die-schwierige-koordination-der-datenschutzebenen","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2021\/12\/15\/ttdsg-und-dsgvo-die-schwierige-koordination-der-datenschutzebenen\/","title":{"rendered":"TTDSG und DSGVO: Die schwierige Koordination der Datenschutzebenen"},"content":{"rendered":"

(Weitergehend siehe Grages, Rechtfertigung und Zweck\u00e4nderung im Spannungsverh\u00e4ltnis von DSGVO und TTDSG, CR 2021, 834<\/a><\/a>)<\/em><\/p>\n

Seit dem 1. Dezember 2021 muss das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) beachtet werden. Es betrifft insbesondere den datenschutzrechtlichen Alltag der internetbasierten Angebote, also Cookies auf Websites und andere Interaktionen mit dem Endger\u00e4t des Nutzers. Konstellationen, die jedem Nutzer t\u00e4glich zigfach begegnen und die jedes Unternehmen massenhaft durchf\u00fchren muss, will es in einer datengetriebenen Wirtschaft bestehen.<\/p>\n

\u00a7 25 TTDSG normiert insofern den \u201eSchutz der Privatsph\u00e4re bei Endeinrichtungen\u201c in direkter Umsetzung von Art. 5 Abs. 3 ePrivacy-Richtlinie<\/a>. Das ist erst einmal eine gute Nachricht, da damit die endlose Odyssee um dessen Umsetzung im abgel\u00f6sten Telemediengesetz ein Ende findet. Die Frage, ob nun ein Opt-out oder ein Opt-in bei Tracking-Ma\u00dfnahmen ma\u00dfgeblich ist, f\u00fchrte im Endeffekt bis zum EuGH (Urt. v. 1.10.2019 \u2013 C-673\/17, CR 2020, 25<\/a><\/a>). Der brachte dann den BGH dazu, deutsches Recht gegen den Wortlaut auszulegen (Urt. v. 28.5.2020\u00a0\u2013 I ZR 7\/16, CR 2020, 557<\/a>). Die deutschen Datenschutzbeh\u00f6rden<\/a> wollten das Telemediengesetz derweil gar nicht mehr anwenden und sich nur nach der DSGVO richten. Dies nat\u00fcrlich in der ganz eigenen orthodoxen Lesart. Hier hilft das neue TTDSG nun, wieder Boden unter die F\u00fc\u00dfe zu bekommen.<\/p>\n

Der Schutz des TTDSG betrifft (nur) den Zugriff auf die Endger\u00e4teintegrit\u00e4t unabh\u00e4ngig vom Personenbezug der Daten. Praktisch geht es um das Auslesen oder die Speicherung von Informationen auf Endger\u00e4ten mit Internetanschluss (Smartphones, Tablets und PCs, aber auch moderne Autos, Zahnb\u00fcrsten und K\u00fcchenmaschinen). Das Gesetz hat dabei einen Fokus auf Einwilligungen und ist restriktiv konzipiert, indem es jenseits des Telekommunikationsbereichs (Erforderlichkeit zur \u00dcbertragung einer Nachricht, \u00a7 25 Abs. 2 Nr. 1 TTDSG) nur einen Rechtfertigungstatbestand enth\u00e4lt (Erforderlichkeit zur Erbringung des Telemediendiensts, \u00a7 25 Abs. 2 Nr. 2 TTDSG). Verst\u00e4rkt wird dieses datenschutzrechtstypische Misstrauen in digitale Abl\u00e4ufe, wenn man mit den Beh\u00f6rden<\/a> davon ausgeht, dass eine enge Auslegung geboten w\u00e4re. Juristisch zwingend ist diese Interpretation indes keineswegs.<\/p>\n

Das Ergebnis einer restriktiv verstandenen Grundsatzentscheidung ist hinl\u00e4nglich bekannt. W\u00e4hrend der Gesetzgeber sich mit klaren Erlaubnissen, aber eben auch mit eindeutigen roten Linien zur\u00fcckh\u00e4lt, muss der Nutzer permanent selbst die Entscheidung treffen, ob der Zugriff auf das Endger\u00e4t erfolgen darf \u2013 beim Surfen im Internet und auch immer h\u00e4ufiger beim Autofahren, Z\u00e4hneputzen oder Kochen. Die Konsequenz sind \u201eConsent Fatigue\u201c und wahllose Klicks, um weitermachen zu k\u00f6nnen.<\/p>\n

Aus Sicht der Rechtsanwender ist zudem die Abstimmung mit der DSGVO eine Herausforderung, denn Endger\u00e4teinformationen sind regelm\u00e4\u00dfig auch personenbezogen oder zumindest personenbeziehbar. Das BDSG ist in der Anwendung einigerma\u00dfen mit der DSGVO in Einklang zu bringen, schlie\u00dflich dient es im Grunde nur der Konkretisierung. Doch das TTDSG bringt hier neue Komplexit\u00e4t. Dies liegt daran, dass ein anderes Schutzgut relevant ist. Geht es bei der DSGVO um die informationelle Selbstbestimmung, sch\u00fctzt das TTDSG die Privatsph\u00e4re. Das ist erst einmal nicht schlimm, es gibt viele Gesetze mit vielen unterschiedlichen Zielrichtungen und deren Anwendung zu konsolidieren, ist das t\u00e4glich Brot von Juristen.<\/p>\n

Aber bei DSGVO und TTDSG liegt die Schwierigkeit in der Verzahnung im Detail (vgl. Abbildung 1). Die DSGVO reguliert Verarbeitungen personenbezogener Daten, z.B. bei Analyseverfahren. Soweit solche Daten eingangs in einem Endger\u00e4t gespeichert sind, ist zus\u00e4tzlich das TTDSG beim Zugriff zu beachten, andernfalls stehen die Daten eben nicht zur Verf\u00fcgung. Und da die Zwecksetzung \u2013 hier die Durchf\u00fchrung eines Analyseverfahrens \u2013 sowohl den Zugriff auf das Endger\u00e4t als auch die Verarbeitung der damit generierten personenbezogenen Daten betrifft, besteht eigentlich ein Gleichlauf in Bezug auf die Legitimationsbed\u00fcrftigkeit. Dieser Gleichlauf ist aber bei der Rechtfertigung nicht verf\u00fcgbar, obwohl es sich zwangsl\u00e4ufig um einen integrierten Prozess handelt.<\/p>\n

Einig sind sich TTDSG und DSGVO nur bei einer Option zur Legitimation \u2013 der allgegenw\u00e4rtigen Einwilligung. Bei den gesetzlichen Rechtfertigungstatbest\u00e4nden erscheint die DSGVO zur Abwechslung fast gro\u00dfz\u00fcgig mit Art. 6 Abs. 1<\/a> und seinen sechs Optionen. \u00a7 25 Abs. 2 TTDSG ersch\u00f6pft sich in einer Untervariante von Art. 6 Abs. 1 lit. b) DSGVO (Erforderlichkeit zur Vertragsdurchf\u00fchrung oder -anbahnung). Mehr Spielraum l\u00e4sst die Vorgabe in der ePrivacy-Richtlinie bei direkter Umsetzung allerdings auch nicht.<\/p>\n

Diese mangelhafte Abstimmung eigentlich komplement\u00e4rer Datenschutzgesetze muss folgende Konsequenzen haben, wenn man davon ausgeht, dass der Umgang mit Daten insgesamt Fortschritt und Wohlstand schafft und nicht per se zu verhindern ist:<\/p>\n