Blog

Ende 2018 hat die Österreichische Datenschutzbehörde (DSB) das sogenannte „Pay oder Ok“-Modell der Zeitung derStandard für zulässig erklärt (GZ: DSB-D122.931/0003-DSB/2018 vom 30.11.2018). Nutzer haben hier die Möglichkeit den Online-Inhalt der Zeitung entweder gegen Abschluss eines kostenpflichten Abos werbefrei oder „kostenlos“, dafür aber mit Werbung abzurufen. Im zuletzt genannten Fall stimmt der Nutzer ausdrücklich der Verarbeitung seiner personenbezogenen Daten zum Zwecke der Webanalyse und digitaler Werbemaßnahmen zu. Die DSB sah es als zulässig an, eine kostenlose Nutzung der Webseite von der Einwilligung in die Setzung von Analyse- und Werbecookies abhängig zu machen. Dies allerdings nur dann, wenn alternativ eine kostengünstige, dafür aber werbefreie Nutzung angeboten wird. In diesem Zusammenhang spricht man auch von sogenannten Cookie-Paywalls.

Dieses Modell stand nun erneut auf dem Prüfstand. Ein betroffener Nutzer, vertreten durch den Verein NOYB – Europäisches Zentrum für digitale Rechte, behauptete nach einem Besuch der derStandard-Webseite eine Verletzung im Recht auf Geheimhaltung und eine unrechtmäßige Datenverarbeitung seiner personenbezogenen Daten.

Etwas mehr als eineinhalb Jahre nach Einbringung der Beschwerde hat die DSB eine Entscheidung gefällt (GZ: D124.4574 2023-0.174.027-DSB/2023 vom 29.03.2023). Auch wenn die DSB die grundsätzliche Zulässigkeit des Modells bestätigt hat, war die konkrete Ausgestaltung unrechtmäßig. Begründet wurde das wie folgt:

Vorab hat die DSB im Lichte der herrschenden Rechtsprechung festgehalten, dass es sich bei den nach erteilter Einwilligung verarbeiteten Daten (IP-Adresse, Browserdaten und einzigartigen, in Cookies enthaltenen Nutzer-Identifikationsnummern) um personenbezogene Daten gemäß Art. 4 Z 1 DSGVO handelt. In weiterer Folge hat sich die DSB die Einwilligungserklärung, die als Rechtsgrundlage für die Datenverarbeitung herangezogen wird, näher angesehen. Kritisiert wurde die mangelnde Granularität der Einwilligung; Pauschaleinwilligungen sind nämlich unzulässig. Ein wesentliches Erfordernis einer datenschutzrechtlichen Einwilligung ist deren Freiwilligkeit. Eine Einwilligung gilt jedoch dann nicht als freiwillig erteilt, wenn der Prozess/das Verfahren für das Einholen der Einwilligung es betroffenen Personen nicht ermöglicht, zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten gesondert eine Einwilligung zu erteilen (d. h. nur für einige Verarbeitungsvorgänge und für andere nicht).

Im zu beurteilenden Fall konnte derStandard jedoch nicht schlüssig erklären, inwiefern es – neben der Einwilligung zum Zweck der Anzeige (personalisierter) Werbung und der Messung des Werbeerfolgs – angemessen ist, dass die Einwilligung auch weitere Verarbeitungsvorgänge umfasst, die mit dem Einsatz von vielen unterschiedlichen Analyse-Cookies, Cookies zur Website-Optimierung oder Social-Media-Plugins in Verbindung stehen. Die Vorgaben der Granularität wurden somit verletzt und ist dadurch die erteilte Einwilligung ungültig, was zu einer Unrechtmäßigkeit der Datenverarbeitung führt.

Übrigens, auch in Deutschland beurteilt man die „Pay oder Ok“-Modelle recht ähnlich, was aus einem unlängst ergangenen Beschluss der Datenschutzkonferenz hervorgeht (https://datenschutzkonferenz-online.de/media/pm/DSK_Beschluss_Bewertung_von_Pur-Abo-Modellen_auf_Websites.pdf).

Damit ist das letzte Wort jedoch noch nicht gesprochen. Einerseits hat derStandard die Möglichkeit gegen die Entscheidung ein Rechtsmittel einzulegen und andererseits bleibt – für den Fall, dass die Entscheidung der DSB hält – abzuwarten, wie die Vorgaben im Hinblick auf die Granularität vom derStandard konkret umgesetzt werden. Wir halten Sie jedenfalls am Laufenden.

DISCLAIMER

Dieser Blog stellt lediglich eine allgemeine Information und keine rechtsanwaltliche Beratung dar. Schindler Rechtsanwälte GmbH übernimmt keine Haftung für die Richtigkeit, Vollständigkeit und Aktualität des Blogs. Der Blog kann eine individuelle Rechtsberatung nicht ersetzen.