Ein Thema, das meistens im Marketing landet und technisch doch bei der IT. § 25 TDDDG verlangt für Speicherung und Zugriff auf Endeinrichtungen eine Einwilligung — mit zwei engen Ausnahmen.
Warum das wichtig ist
Die Vorschrift knüpft nicht an personenbezogene Daten an, sondern an Informationen in der Endeinrichtung. Das ist weiter, als die meisten annehmen: Es trifft auch Einträge, die keine Person identifizieren.
Die Ausnahmen in Absatz 2 sind eng: die Übertragung einer Nachricht und das, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. „Hilft uns bei der Statistik" fällt nicht darunter.
Für die IT heißt das praktisch: Jedes eingebundene Skript und jeder Zählpixel ist eine Entscheidung. Wer sie einbaut, muss wissen, ob eine Einwilligung vorliegt — und die Einwilligung muss nach Absatz 1 Satz 2 den Anforderungen der DSGVO entsprechen.
Wir nennen hier bewusst keinen Bußgeldrahmen. § 25 TDDDG ist nationales Recht mit eigener Sanktionsregelung, und wir nennen nur Rahmen, die wir am Wortlaut belegen können.
Was das Gesetz sagt
§ 25 Abs. 1 TDDDG
„S. 1 „Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat." S. 2 „Die Information des Endnutzers und die Einwilligung haben gemäß der Verordnung (EU) 2016/679 zu erfolgen.""
§ 25 Abs. 2 TDDDG
„Die Einwilligung nach Absatz 1 ist nicht erforderlich, 1. wenn der alleinige Zweck der Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der alleinige Zweck des Zugriffs auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder 2. wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann."
So macht man es richtig
Jedes Skript und jeden Zählpixel vor dem Einbau prüfen.
Ohne Einwilligung nichts setzen, was nicht unter die zwei Ausnahmen fällt.
Die Einwilligung technisch wirksam umsetzen — kein Setzen vor der Zustimmung.
Bei Zweifeln die Stelle für Datenschutz einbeziehen, nicht das Marketing.
Was bei Missachtung droht
Kein Rahmen genannt. § 25 TDDDG ist nationales Recht mit eigener Sanktionsregelung; wir nennen nur Rahmen, die wir am Wortlaut belegen können. Soweit durch dieselbe Handlung personenbezogene Daten ohne Rechtsgrundlage verarbeitet werden, greift Art. 6 DSGVO — Art. 83 Abs. 5 lit. a, bis zu 20 Millionen Euro oder 4 Prozent.
