{"id":6483,"date":"2022-01-24T17:13:18","date_gmt":"2022-01-24T16:13:18","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=6483"},"modified":"2022-01-26T10:57:09","modified_gmt":"2022-01-26T09:57:09","slug":"ttdsg-forschungsgutachten-zum-einwilligungsmanagement-pims-veroeffentlicht","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2022\/01\/24\/ttdsg-forschungsgutachten-zum-einwilligungsmanagement-pims-veroeffentlicht\/","title":{"rendered":"TTDSG: Forschungsgutachten zum Einwilligungsmanagement (PIMS) ver\u00f6ffentlicht"},"content":{"rendered":"

Ein multidisziplin\u00e4res Konsortium, bestehend aus dem IT-Sachverst\u00e4ndigen Dr. Oliver Stiemerling<\/em><\/a> und den Juristen Prof. Dr. Christiane Wendehorst<\/em><\/a> (Institut f\u00fcr Zivilrecht an der Universit\u00e4t Wien) und Rechtsanwalt Steffen Wei\u00df<\/em><\/a> (Mitglied der Gesch\u00e4ftsf\u00fchrung der GDD), hat im Auftrag des seinerzeitigen Bundesministeriums f\u00fcr Wirtschaft und Energie<\/em> am 16.12.2021 eine Studie zum Einwilligungsmanagement vorgelegt (zum Gutachten<\/a>), die nunmehr ver\u00f6ffentlicht wurde. Thema der Studie sind m\u00f6gliche Vorgaben zu technischen und organisatorischen Ma\u00dfnahmen, um das in \u00a7\u00a026 TTDSG<\/a> vorgesehene Einwilligungsmanagement umzusetzen (die daf\u00fcr genutzten Dienste werden h\u00e4ufig auch Privacy Information Management Systeme<\/em> \u2013 kurz: \u201ePIMS\u201c genannt).<\/p>\n

Das Gutachten leistet einen wichtigen Schritt f\u00fcr die weitere technische und rechtliche Ausgestaltung von PIMS. Es d\u00fcrfte die wissenschaftliche Diskussion zu \u00a7\u00a7 25 und 26 TTDSG befruchten, zumal das (zumindest derzeit noch bestehende) enge europarechtliche Korsett des ePrivacy-Rechts die Praxis dazu zwingt, neue L\u00f6sungswege insbesondere im Spannungsverh\u00e4ltnis zwischen TTDSG<\/a> und DSGVO<\/a> zu suchen. Es sind aber Zweifel angebracht, ob die auf Basis des Gutachtens zu erwartende Rechtsverordnung dazu schon den \u201egro\u00dfen Wurf\u201c wird liefern k\u00f6nnen. Im Einzelnen:<\/p>\n

1. Ansatz des Forschungsgutachtens<\/strong><\/h3>\n

Das Gutachten zeigt auf 88 Seiten in eindrucksvoller Weise die gesamte Spannbreite des Problemfelds auf. Richtigerweise wird darauf hingewiesen, dass sich das Problem des \u201econsent fatigue<\/em>\u201c nur zufriedenstellend l\u00f6sen lassen wird, wenn ein PIMS den Betroffenen erm\u00f6glicht, schon vor Besuch der Webseite bestimmte Arten von Einwilligungen \u201egattungsm\u00e4\u00dfig<\/em>\u201c voreinzustellen. Das Gutachten nennt dabei insbesondere die Varianten einer zweckbezogenen Einwilligung ohne ausdr\u00fcckliche Bezeichnung des Verantwortlichen (beispielsweise die generelle Einwilligung in personalisierte Werbung), die Einwilligung zugunsten einer Kategorie von Verantwortlichen (z.\u00a0B. Blogs) und die Nutzung delegierter Einwilligungen, worunter das Gutachten die Einbindung einer von Dritten kuratierten Liste versteht.<\/p>\n

Solche ex-ante<\/em> definierte Einwilligungstypen werden in der Studie zun\u00e4chst rechtlich beleuchtet. Im Anschluss leitet die Studie technische Elemente eines PIMS ab, woraus sich f\u00fcr das auftraggebende Ministerium wertvolle Anhaltspunkte f\u00fcr die Ausgestaltung der nach \u00a7\u00a026 Abs.\u00a02 TTDSG<\/a> vorgesehenen Rechtsverordnung ergeben sollten.<\/p>\n

Das Gutachten behandelt ausf\u00fchrlich die rechtlichen Rahmenbedingungen von PIMS. Es bezieht auch die j\u00fcngere Rechtsentwicklung auf europ\u00e4ischer Ebene ein, namentlich die geplanten Regelungen der ePrivacy-Verordnung, des Data Governance Act und des Data Act. Richtigerweise kann diese Rechtseinwicklung erheblichen Einfluss auf \u00a7\u00a7\u00a025, 26 TTDSG<\/a> haben und diesem wom\u00f6glich lediglich eine kurze Lebensdauer bescheren.<\/p>\n

2. Genereller Anwendungsvorrang des TTDSG?<\/strong><\/h3>\n

Zu der praxisrelevanten und dogmatisch umstrittenen (Vor-)Frage nach dem Rangverh\u00e4ltnis zwischen den \u00a7\u00a7\u00a025 und 26 TTDSG und der DSGVO bef\u00fcrworten die Autoren einen generellen Anwendungsvorrang des TTDSG.\u00a0 Dieser gelte dann nicht nur \u201ean der Quelle\u201c, sondern dar\u00fcber hinaus auch f\u00fcr weitere Verarbeitungsvorg\u00e4nge betreffend solche Daten.<\/p>\n

Nach dieser klaren Positionierung spricht das Gutachten sodann allerdings (richtigerweise) auch die Frage an, wie weit diese Ausstrahlungswirkung reiche, d.h. ob beispielsweise auf Basis von Endger\u00e4tedaten erstellte umfassende Profile und daraus getroffene Ableitungen ebenfalls vorrangig nach dem TTDSG und nicht nach der DSGVO zu beurteilen seien. Leider bleibt die Studie hierzu eine Antwort schuldig.<\/p>\n

Meinungsstand:<\/u>\u00a0In der bisher ver\u00f6ffentlichten Literatur scheint weitgehend Einigkeit zu bestehen, dass das TTDSG jedenfalls nicht vor- oder nachgelagerte Verarbeitungen personenbezogener Daten erfasst. Umstritten ist lediglich, ob \u00a7 25 TTDSG f\u00fcr das Speichern und Auslesen von Informationen auf Endger\u00e4ten die Anwendung der DSGVO verdr\u00e4ngt, oder ob TTDSG und DSGVO (die Betroffenheit personenbezogener Daten einmal unterstellt) parallel Anwendung finden (vgl. dazu den Beitrag von Grages<\/em>, \u201eTTDSG und DSGVO: Die schwierige Koordination der Datenschutzebenen\u201c CRonline Blog v. 15.12.2021<\/a> sowie Grages<\/em>, \u201eRechtfertigung und Zweck\u00e4nderung im Spannungsverh\u00e4ltnis von TTDSG und DSGVO\u201c, CR 2021, 834<\/a><\/a>\u00a0und Nebel<\/em>, Werbe-Tracking nach Inkrafttreten des TTDSG, CR 2021, 666<\/a><\/a>). Die DSK geht in ihrer j\u00fcngsten Orientierungshilfe<\/a> mit der wohl herrschenden Meinung von einem Anwendungsvorrang f\u00fcr die Phasen des Speicherns und Auslesens aus, sieht die nachfolgenden Verarbeitungen jedoch als allein der DSGVO unterworfen an.<\/p>\n

3. Einwilligung<\/strong><\/h3>\n

Ausf\u00fchrlich behandelt das Gutachten die bei PIMS besonders neuralgischen Fragen der Informiertheit und der Einwilligung f\u00fcr den bestimmten Fall.<\/p>\n

Hinsichtlich der Informiertheit<\/em> verweist es zun\u00e4chst auf die Vorgaben des EuGH aus dem Planet-49<\/em>-Urteil, wonach der Nutzer insbesondere Informationen \u00fcber Zugriffsm\u00f6glichkeiten Dritter auf Cookies erhalten haben muss, was weithin und nachvollziehbar so verstanden wird, dass damit die besagten Dritten namentlich identifiziert werden m\u00fcssen. Gleichwohl kommt das Gutachten dann zu der mutigen Aussage, dass es bei der Nutzung eines PIMS ausreichend sein k\u00f6nne, die von der Einwilligung beg\u00fcnstigten Anbieter blo\u00df der Kategorie nach zu benennen. Die Autoren st\u00fctzen sich dabei auf das Argument, auch im Rahmen der Informationspflichten nach Art.\u00a013 Abs.\u00a01 lit.\u00a0e DSGVO<\/a> und im Rahmen der Auskunft nach Art.\u00a015 Abs.\u00a01 lit. b DSGVO<\/a> sei die lediglich kategoriem\u00e4\u00dfige Benennung von Empf\u00e4ngern ausreichend. Allerdings vermischt dies zum einen die Frage der f\u00fcr eine Einwilligung nach Art.\u00a07 DSGVO notwendige Informiertheit mit den lediglich flankierenden Betroffenenrechten. Zum anderen ist es schon umstritten, ob eine Benennung von Kategorien von Empf\u00e4ngern z. B. im Rahmen einer Auskunft ausreicht (siehe z. B. hierzu den Vorlagebeschluss des \u00f6sterreichischen Obersten Gerichtshofes<\/a>).<\/p>\n

Einzelfallbezug:<\/em> Wiederum folgerichtig mit der im Gutachten vertretenen Auffassung gehen die Autoren davon aus, dass es f\u00fcr die notwendige Informiertheit und den Bezug auf den bestimmten Fall ebenfalls ausreichend ist, wenn der Nutzer bestimmte (z. B. einer Verbraucherschutzorganisation kuratierte) White Lists mit Voreinstellungen abonniert und sich hierdurch zu eigen macht.<\/p>\n

4. Technische Vorgaben<\/strong><\/h3>\n

Im technischen Teil analysiert das Gutachten verschiedene Umsetzungsalternativen und diskutiert insbesondere die Vor- und Nachteile eines browser<\/em>zentrierten versus eines server<\/em>zentrierten PIMS. Letztlich pr\u00e4feriert das Gutachten eine browser<\/em>zentrierte L\u00f6sung, d.h. eine lokale Verwaltung der Einwilligungseinstellungen. F\u00fcr die Ausgestaltung des PIMS empfiehlt es folgende Merkmale:<\/p>\n