Seit geraumer Zeit bieten Webseitenbetreiber, vor allem Betreiber von Medienwebseiten, ihren Nutzern oftmals zwei Zugangsvarianten an: um die Webseite betreten zu können, müssen sie entweder ihre Einwilligung in personalisierte Werbung und Tracking erteilen oder sie schließen alternativ ein kostenpflichtiges Abo ab, sog. Pur-Abo-Modell. Aufgrund der Ausgestaltung ist der Nutzer, der kein kostenpflichtiges Abo abschließen will, gezwungen, seine Einwilligung zur individuellen Profilbildung und personalisierter Werbung zu erteilen.
Der Nutzer zahlt dann mit seinen personenbezogenen Daten, die der Webseitenbetreiber durch entsprechendes Marketing zu monetarisieren versucht. Bei dieser Gestaltung war insbesondere umstritten, ob es sich um eine datenschutzrechtlich unzulässige Koppelung von Werbeeinwilligung und Nutzung der Webseite handelt.
Die Bayerischen Datenschutzaufsicht hat sich hier bereits frühzeitig in ihren FAQ positioniert. Sie vertritt dabei die Auffassung, dass die Vertragsfreiheit es erlaube, das eigene kostenfreie Angebot unter dem Vorbehalt zur Verfügung zu stellen, dass der Kunde als seine Vertragsgegenleistung anstelle der herkömmlichen Bezahlung Werbung erlaube. Hiergegen sei datenschutzrechtlich nichts einzuwenden. Zum einen gebe es keinen Rechtsanspruch auf kostenlose Leistungen und zum anderen können gleichwertige "werbefreie" Leistungsangebote, soweit keine Monopolstrukturen gegeben sind, in der Regel auch bei anderen Anbietern gegen angemessene Vergütung erlangt werden.
Diese Auffassung hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) in einem Beschluss vom 22. März 2023 in Bezug auf die eingangs beschriebenen Pur-Abo-Modelle nun konkretisiert.
Zunächst stellt die DSK klar, dass ein Tracking auf eine Einwilligung gestützt werden kann, wenn alternativ ein trackingfreies, kostenpflichtiges Modell angeboten wird. Die Leistung, die Nutzer bei einem kostenpflichten Abo-Modell erhalten, muss jedoch eine gleichwertige Alternative zu der Leistung darstellen, die diese im Falle einer Einwilligung erhalten. Dass soll dann der Fall sein, wenn der Inhalt der beiden Angebote zumindest dem Grunde nach die gleichen Leistungen umfasst.
Weiter muss eine etwaig eingeholte Einwilligung alle in der Datenschutzgrundverordnung normierten Wirksamkeitsvoraussetzungen erfüllen. Das bedeutet nach Ansicht der DSK unter anderem, dass die Einwilligung granular erteilt werden können muss, falls mehrere Verarbeitungszwecke vorliegen, die wesentlich voneinander abweichen. Andernfalls fehle es an der Freiwilligkeit der Einwilligung. Mit anderen Worten, der Nutzer muss die Möglichkeit haben, die einzelnen Zwecke, zu denen eine Einwilligung eingeholt werden soll, selbst und aktiv auszuwählen (Opt-in). Eine pauschale Gesamteinwilligung in unterschiedliche Zwecke kann nicht wirksam erteilt werden, es sei denn, die Zwecke stehen in einem sehr engen Zusammenhang.
Interessant ist in diesem Kontext auch die kürzlich ergangene Entscheidung der österreichischen Datenschutzbehörde zu Pur-Abo-Modellen vom 31. März 2023. Sie liegt mit ihrer Entscheidung auf einer Linie mit der deutschen DSK und hält diese ebenfalls für grundsätzlich rechtmäßig. Gegenstand der Beurteilung war die Webseite der österreichischen Tageszeitung „Der Standard“, die den Zugang zur ihrer Webseite neben einem kostenpflichten Abo von einer Einwilligung in Tracking abhängig machte.
Nach Auffassung der österreichischen Datenschutzbehörde ist es grundsätzlich zulässig, den Besuch einer Webseite von der Einwilligung in Tracking abhängig zu machen, wenn alternativ ein kostenpflichtiges Abo-Zugang ohne jedes Tracking besteht. Die österreichische Aufsicht stellt jedoch klar, dass die Einwilligung, sollte es mehrere Verarbeitungsvorgänge geben, für jeden einzelnen Vorgang gesondert erteilt werden müsse. Dies war im vorliegenden Fall nicht gegeben. Tatsächlich wurde eine einzige Einwilligung für mehrere Zwecke eingeholt: zur gezielten Werbung, zu Analysen, aber auch zu Plugins für soziale Medien. Darüber hinaus stellte die Datenschutzbehörde fest, dass diese "pauschale Zustimmung", sollte sie genehmigt werden, die Datenschutzrechte der betroffenen Personen, die sich kein Abonnement leisten können, ernsthaft beeinträchtigen würde.
noyb, die das Verfahren in Österreich als Beschwerdeführer geführt haben, haben laut eigener Aussage auch bei deutschen Aufsichtsbehörden entsprechende Verfahren angestrengt. Es wird interessant zu sehen, wie die deutschen Aufsichtsbehörden den Umfang der Einwilligungserklärungen interpretieren werden. Insbesondere die Beantwortung der Frage, ab wann die Zwecke nicht mehr in einem hinreichend engen Zusammenhang stehen, so dass keine gebündelte, sondern eine granulare Einwilligung eingeholt werden muss, bleibt spannend. Nachdem der Nutzer nach Ansicht der DSK in diesem Fall frei wählen können muss, welche Einwilligungen er erteilen und welche er verweigert, erhält der Webseitenbetreiber unter Umständen keine umfassende Einwilligung zur individuellen Profilbildung und personalisierter Werbung mehr. Dieses Ergebnis würde die grundsätzliche Zulässigkeit von sog. Pur-Abo-Modellen, bei denen der Zugang zum ansonsten kostenpflichten Content von der umfassenden Werbeeinwilligung abhängig gemacht wird, konterkarieren und stünde zumindest zu der Aussage im Widerspruch, dass es den Parteien frei stünde zu vereinbaren, statt mit Geld mit Daten zu zahlen.
