Tracking oder bezahlen: DSK-Beschluss zum „Pur-Abo-Modell“

Die Datenschutzkonferenz (DSK) hat „Pur-Abo-Modelle“ bewertet und datenschutzrechtliche Anforderungen festgelegt. Mit dem Beschluss der DSK sollen die Prüfmaßstäbe der Datenschutzaufsichtsbehörden transparent gemacht und so Rechtsunsicherheiten für die Medienbranche reduziert werden. Der Artikel informiert über den DSK-Beschluss zur „Bewertung von Pur-Abo-Modellen auf Websites“.

Was sind „Pur-Abo-Modelle“?

Schon seit einiger Zeit stößt man insbesondere beim Lesen auf Medienwebseiten auf das Angebot sogenannter „Pur-Abo-Modelle“. Bevor man bspw. einen Zeitungsartikel online lesen kann, öffnet sich ein Einwilligungsbanner. Auf diesem hat man als Nutzer dann die Möglichkeit, entweder ein sog. „Pur-Abo“ abzuschließen oder ohne ein solches Abo weiterzulesen. Entscheidet man sich für letzteres, willigt man darin ein, dass die eigenen Daten für profilbasierte und individualisierte Werbung genutzt werden dürfen. Nur beim Abschluss eines Pur-Abos, kann die Webseite ohne Nachverfolgen des Verhaltens, individuelle Profilbildung und personalisierte Werbung genutzt werden.

Unterm Strich zahlt man hier also nicht für die Inhalte der jeweiligen Webseite, insbesondere Zeitungsartikel. Stattdessen zahlt man dafür, dass die eigenen, personenbezogenen Daten während der Nutzung nicht für digitales Marketing verwendet und somit durch den Webseitenanbieter auch nicht zu Geld gemacht werden können.

Laut Pressemitteilung der DSK erhalten die Aufsichtsbehörden seit der Einführung dieser Abo-Modelle regelmäßig Beschwerden dazu. Strittig war insbesondere, ob hierbei eine unzulässige Kopplung von Werbeeinwilligung und Nutzung einer Webseite vorliegt.

Bewertung der DSK

Nun hat sich auch die DSK mit diesen Abo-Modellen auseinandergesetzt und diese bewertet. In ihrem Beschluss vom 22.03.2023 hat sie Anforderungen an diese konkretisiert und festgelegt. Vor allem hat sie diese Modelle für zulässig erklärt und festgestellt, dass

„die Nachverfolgung von Nutzerverhalten (Tracking) grundsätzlich auf eine Einwilligung gestützt werden kann, wenn alternativ ein trackingfreies Modell angeboten wird, auch wenn dieses bezahlpflichtig ist.“

Die beitragspflichtige Leistung muss dann laut DSK eine im Wesentlichen gleichwertige Alternative zur kostenfreien Leistung darstellen. Zudem muss sich eine wirksame Einwilligung an den Voraussetzungen der DSGVO messen lassen. Insbesondere müssen die in Artikel 4 Nr. 11 sowie in Art. 7 DSGVO genannten Erfordernisse erfüllt sein. Weiterhin führt die DSK aus:

• Bezahlmöglichkeit als gleichwertige Alternative
  Ob die Bezahlmöglichkeit eine gleichwertige Alternative zur Einwilligung in das Tracking darstellt, hängt davon ab, ob den Nutzern gegen ein marktübliches Entgelt ein gleichwertiger Zugang zu derselben Leistung eröffnet wird. Die DSK geht davon aus, dass ein gleichwertiger Zugang in der Regel dann vorliegt, wenn die Angebote zumindest dem Grunde nach die gleichen Leistungen umfassen. Das heißt, dass Abonnenten nicht weniger Inhalte sehen dürfen als die Nutzer, die dem Tracking ihrer personenbezogenen Daten zugestimmt haben.
• Pur-Abo-Modell erlaubt nur unbedingt erforderliches Tracking
  Wenn Nutzer das trackingfreie Angebot annehmen, dürfen aber solche Nutzerdaten verarbeitet werden, die für die Bereitstellung des Dienstes unbedingt erforderlich sind (§ 25 Absatz 2 Nr. 2 TTDSG). Nachfolgende Verarbeitungen personenbezogener Daten sind nur dann zulässig, wenn die Anforderungen der DSGVO, insbesondere die gesetzlichen Erlaubnistatbestände gemäß Art. 6 Abs. 1 DSGVO und, je nach Einzelfall, Art. 9 DSGVO, erfüllt sind (vgl. Orientierungshilfe der DSK zu Telemedien).
• Wirksamkeit der Einwilligung sicherstellen
  Entscheidet sich der Nutzer für das kostenfreie Modell mit Tracking und Werbung, ist die Wirksamkeit der Einwilligung sicherzustellen. Ist vorgesehen, die Daten für verschiedene Verarbeitungszwecke, welche wesentlich voneinander abweichen, zu verarbeiten, muss die Einwilligung nach Ansicht der DSK granular erteilt werden können. Das heißt, der Nutzer muss die Möglichkeit haben, die einzelnen Verarbeitungszwecke selbst, aktiv auszuwählen (Opt-in). Eine Bündelung der Verarbeitungszwecke sei nur zulässig, wenn die Zwecke in einem sehr engen Zusammenhang stünden.
• Transparenz, Verständlichkeit und Informationspflichten berücksichtigen
  Ergänzend führt die DSK aus, dass darüber hinaus die Einwilligung den sonstigen Anforderungen der DSGVO gerecht werden muss, insbesondere auch jenen an Transparenz, Verständlichkeit und Information für die betroffenen Personen.

Blick nach Österreich

In Zusammenhang mit „Pur-Abo-Modellen“ ist am 31.03.2023 eine Entscheidung der Österreichischen Aufsichtsbehörde ergangen: diese hält ebenso wie die DSK das Pur-Abo-Modell grundsätzlich für rechtmäßig. Weiterhin stellt sie klar, dass Nutzer spezifisch in jede Datenverarbeitung einwilligen können müssen, sollten Anbieter mehrere Verarbeitungszwecke verfolgen. Dabei betont sie die „Granularität einer Einwilligung“ als Aspekt der Freiwilligkeit einer datenschutzrechtlichen Einwilligung. Dies war im zugrunde liegenden Fall, der Webseite der österreichischen Tageszeitung „Der Standard“, nicht gegeben.

Die Entscheidung erging aufgrund einer Datenschutzbeschwerde von NOYB. Die Datenschutzorganisation legte im August 2021 Beschwerden gegen die Cookie-Paywalls von sieben großen Nachrichten-Websites ein. Diese richteten sich auch gegen große deutsche Anbieter, sodass auch hierzulande noch mit Entscheidungen der Aufsichtsbehörden zu rechnen ist.

Hilfestellung für die Praxis

Der Beschluss der DSK versteht sich als Hilfestellung für die Praxis und gibt konkrete Hinweise, wie solche „Pur-Abo-Modelle“ ausgestaltet werden sollten. Danach können Webseitenanbieter die Nachverfolgung des Nutzerverhaltens (Tracking) grundsätzlich auf eine Einwilligung stützen, wenn sie alternativ ein trackingfreies Modell anbieten, auch wenn der Nutzer für dieses bezahlen muss. Im Einzelfall muss dann geprüft werden, inwiefern separate Einwilligungen in unterschiedliche Verarbeitungsschritte eingeholt werden müssen, um den Anforderungen der DSGVO gerecht zu werden.