Barichgasse 40-42
A-1030 Wien
Tel.: +43-1-52152 302565
E-Mail: [email protected]
GZ: D124.4574 Sachbearbeiter:
2023-0.174.027
zH NOYB
Datenschutzbeschwerde (Art. 77 Abs. 1 DSGVO, § 24 Abs. 1 DSG)
/STANDARD Verlagsgesellschaft m.b.H., 2. STANDARD Medien AG und 3. velcom
GmbH ("STANDARD-Gruppe")
per E-Mail:
B E S C H E I D
S P R U C H
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von
(Beschwerdeführer), vertreten durch NOYB – European Center for Digital Rights, vom 13. August 2021
gegen 1. STANDARD Verlagsgesellschaft m.b.H. (Erstbeschwerdegegner), 2. STANDARD Medien AG
(Zweitbeschwerdegegner) und 3. velcom GmbH (Drittbeschwerdegegner), alle vertreten durch Baker
McKenzie Rechtsanwälte LLP & Co KG, wegen A) Verletzung im Recht auf Geheimhaltung,
B) Unrechtmäßigkeit der Datenverarbeitung, C) Antrag auf Untersagung der relevanten
Verarbeitungsvorgänge, D) Anordnung der Löschung der erhobenen Daten und E) Antrag auf
Verhängung einer Geldbuße wie folgt:
1. Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die
Beschwerdegegner B) gegen den Grundsatz der Rechtmäßigkeit gemäß Art. 5 Abs. 1 lit. a iVm
Art. 6 Abs. 1 DSGVO verstoßen und den Beschwerdeführer damit auch A) im Recht auf
Geheimhaltung gemäß § 1 Abs. 1 DSG verletzt haben, indem diese beim Besuch des
Nachrichtenportals www.derstandard.at zumindest am 12. August 2021 personenbezogene
Daten des Beschwerdeführers (diese sind, jedenfalls in Kombination, einzigartige Nutzer-
Identifikations-Nummern, IP-Adresse und Browserparameter) unrechtmäßig verarbeitet haben.
2. Betreffend Beschwerdepunkt D) werden die Beschwerdegegner angewiesen, innerhalb einer
Frist von vier Wochen ihren Datenbestand dahingehend zu überprüfen, ob die in
-2–
Sachverhaltsfeststellung C.8. genannten Cookie-Werte (value) und Browserdaten zum
aktuellen Zeitpunkt noch verarbeitet werden und, sofern dies bejaht wird, diese Daten
unverzüglich bei sonstiger Exekution zu löschen.
3. Die Anträge zu C) (Untersagung der relevanten Verarbeitungsvorgänge) und E) (Antrag auf
Verhängung einer Geldbuße) werden zurückgewiesen.
Rechtsgrundlagen: Art. 4 Z 1, Z 2 und Z 11, Art. 6 Abs. 1 lit. a, Art. 7, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f,
Art. 58 Abs. 2 sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung,
DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1 Abs. 1 und Abs. 2, 18 Abs. 1 sowie 24 Abs. 1 und
Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
B E G R Ü N D U N G
A. Vorbringen der Parteien und Verfahrensgang
A.1. Mit Eingabe vom 13. August 2021, ergänzt am 2. September 2021, behauptete der
Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung und die Unrechtmäßigkeit der ihn
betreffenden Datenverarbeitung. Zusammengefasst wurde vorgebracht, dass der Beschwerdeführer
am 12. August 2021 das Nachrichtenportal www.derstandard.at besucht habe. Er sei mit einer „Cookie-
Wall“ konfrontiert worden. Er habe zwischen den Optionen „Mit Werbung weiterlesen“ und
„derStandard.at PUR“ wählen müssen, um Zugriff auf das Nachrichtenportal zu erhalten. Der
Beschwerdeführer habe die Option „Mit Werbung weiterlesen“ gewählt und auf „Einverstanden“
geklickt. Als Folge seien seine Daten u.a. für digitale Werbemaßnahmen verwendet worden. Die Kette
des Datenhandels sei dem Beschwerdeführer zum Zeitpunkt der vermeintlichen Einwilligung weder
dargelegt worden, noch sei diese überschaubar gewesen. Gegenstand der Einwilligung sei eine
unüberschaubare Kette an erstellten Nutzungsprofilen, beginnend mit rund 125 Partnerunternehmen
der Beschwerdegegner. Die Einwilligung sei jedoch unwirksam und entspreche nicht den
Voraussetzungen der DSGVO. Es werde beantragt, die relevanten Verarbeitungsvorgänge zu
untersagen, die Löschung der erhobenen Daten anzuordnen und eine Geldbuße zu verhängen.
Darüber hinaus werde beantragt, die Rechtsverletzungen festzustellen. Im Rahmen der Eingabe
wurden mehrere Beilagen übermittelt.
A.2. Mit gemeinsamer Stellungnahme vom 13. Dezember 2021 brachten die Beschwerdegegner
zusammengefasst vor, dass diese (als „STANDARD-Gruppe“) als gemeinsam Verantwortliche in
Bezug auf www.derstandard.at zu qualifizieren seien. Journalistische Leistungen seien nicht kostenfrei
und journalistische Tätigkeit müsse finanziert werden. Es deute nichts darauf hin, dass der
Beschwerdeführer am 12. August 2021 die gegenständliche Website besucht habe, somit seien keine
Daten des Beschwerdeführers betroffen. Dies sei teils auch aus den übermittelten Beilagen des
Beschwerdeführers ersichtlich. In Österreich sei keine Verbandsbeschwerdebefugnis nach der DSGVO
-3–
vorgesehen. Die Einwilligung sei nach den Vorgaben der DSGVO eingeholt worden und stehe mit der
Judikatur der Datenschutzbehörde im Einklang. Im Rahmen der Stellungnahme wurden mehrere
Beilagen übermittelt.
A.3. Mit Stellungnahme vom 25. Jänner 2022 brachte der Beschwerdeführer zusammengefasst vor,
dass die von den Beschwerdegegnern genannten Anlagen tatsächlich nicht vom Beschwerdeführer
erstellt worden seien, sondern von NOYB. Die Anlagen seien notwendig, um einzelne Punkte der
Beschwerde darzustellen, etwa die Cookie-Wall. Der Beweis für den Besuch und die Betroffenheit des
Beschwerdeführers finde sich in Anlage ./07 (HAR-Datei). Ein analoges „Print-Produkt“ könne nicht mit
digitalen Informationen verglichen werden. Die unternehmerische Notwendigkeit der Finanzierung einer
Leistung sei keine Rechtfertigung für die Datenverarbeitung. Hinsichtlich der Gültigkeit der Einwilligung
wurde das bisherige Vorbringen im Wesentlichen wiederholt. Im Rahmen der Stellungnahme wurden
mehrere Beilagen übermittelt.
A.4. Mit gemeinsamer Stellungnahme vom 9. Mai 2022 brachten die Beschwerdegegner
zusammengefasst vor, dass dem Zugang zu www.derstandard.at ohne Abschluss eines PUR-Abos
keine Gegenleistung gegenüberstehe. Die Einwilligung sei nur die Voraussetzung, das kostenlose
Angebot der auf der Website bereitgestellten journalistischen Leistung in Anspruch nehmen zu können.
Es seien keine Daten vorhanden, welchen Wert eine einzelne Einwilligung habe. Der Preis des PUR-
Abos sei angemessen. Es sei davon auszugehen, dass mit personalisierter Werbung höhere Entgelte
zu erzielen seien, als mit nicht personalisierter Werbung. Es sei aber keine Entscheidung der
Beschwerdegegner, da heutzutage knapp 100% personalisierte Werbung angefragt werde. In der
Online-Werbung sei kein Geschäftsmodell mehr vorhanden, das man als „nicht personalisiert“
bezeichnen könne. Durch „Frequency Capping“ werde die Anzahl der Anzeigen eines bestimmten
Werbeinhalts am Endgerät eines bestimmten Nutzers auf einen bestimmten Wert limitiert. So werde
sichergestellt, dass einzelnen Nutzern nicht immer und immer wieder dieselben Inhalte zugespielt
werden. Im Rahmen der Stellungnahme wurden mehrere Beilagen übermittelt.
A.5. Mit Stellungnahme vom 7. Juni 2022 brachte der Beschwerdeführer zusammengefasst vor, dass
eine Erörterung der finanziellen Fragen im Zusammenhang mit „pay or okay“ notwendig sei.
Unabhängig davon, ob es sich um einen zivilrechtlichen Vertrag handle oder nicht, sei die Einwilligung
konditional für den Zugang zum Angebot und damit eine „Gegenleistung“. Es sei schwer
nachvollziehbar, wie eine vertragliche Bindung (gemeint: das PUR-Abo) eine gleichwertige Alternative
zu einer Einwilligung darstellt. Es sei keine Alternative vorhanden, die nicht ebenfalls eine Einwilligung
vom Nutzer erzwinge. Eine gelegentliche Ausspielung derselben Werbung sei auch in anderen
Medienformaten nicht unüblich. Ebenso sei „Frequency Capping“ ohne personalisierte Systeme
möglich. Nur weil ein Geschäftsmodell herrschend sei, sei dies nicht unbedingt legal.
A.6. Mit gemeinsamer Stellungnahme vom 20. Juli 2022 brachten die Beschwerdegegner
zusammengefasst vor, dass die seitens der Datenschutzbehörde geforderten Voraussetzungen zur
-4–
Zulässigkeit von „pay or okay“ (siehe https://www.dsb.gv.at/download-links/FAQ-zum-Thema-Cookies-
und-Datenschutz.html) vollständig erfüllt worden seien.
A.7. Mit Stellungnahme vom 12. August 2022 brachte der Beschwerdeführer zusammengefasst vor,
dass seitens der Beschwerdegegner veranlasst worden sei, das Checkout-Cookie-Banner zu
deaktivieren. Dies bedeute, dass entsprechende Datenschutzverletzungen erkannt worden seien. Die
RL (EU) 2019/770 führe zu einem parallelen Schutz und zu keiner Umdeutung der DSGVO. Im Übrigen
wurde auf das bisherige Vorbringen verwiesen.
A.8. Mit gemeinsamer Stellungnahme vom 15. September 2022 brachten die Beschwerdegegner
zusammengefasst vor, dass der „Checkout-Cookie-Banner“ nicht Verfahrensgegenstand sei. Der
Beschwerdeführer habe nicht vorgebracht, mit dem genannten Banner interagiert zu haben. Die
Entfernung des „Checkout-Cookie-Banner“ sei am 9. September 2022 erfolgt. Im Rahmen der
Stellungnahme wurde weiters eine Liste mit jenen Cookies übermittelt, wenn die Website
www.derstandard.at mit einem „PUR-Abo-Account“ verwendet werde. In Der PUR-Version der Website
komme es zu keiner Setzung von Drittanbieter-Cookies zu Werbezwecken. Im Übrigen wurde das
bisherige Vorbringen im Wesentlichen wiederholt.
A.9. Mit Stellungnahme vom 4. November 2022 brachte der Beschwerdeführer zusammengefasst vor,
dass Entgelt und journalistischer Inhalt nicht vergleichbar seien. Ein Verantwortlicher könne nicht
einfach die Ablehnung der Einwilligung mit dem Kauf eines (ungewollten) Produkts verknüpfen. Bei
„pay or okay“ bestehe auch keine Wahlfreiheit. Die Ausführungen zu den gesetzten Cookies mit einem
Standard „PUR-Abo-Account“ seien teils auch nicht nachvollziehbar. Im Rahmen der Stellungnahme
wurden mehrere Beilagen übermittelt.
A.10. Am 3. Februar 2023 wurde eine mündliche Verhandlung in den Räumlichkeiten der
Datenschutzbehörde durchgeführt. Im Rahmen der mündlichen Verhandlung wurden die
verfahrensgegenständlichen Sachverhalts- und Rechtsfragen erörtert. Die Niederschrift der
mündlichen Verhandlung liegt dem Akt bei.
A.11. Mit letzter Stellungnahme vom 10. Februar 2023 brachte der Beschwerdeführer
zusammengefasst vor, dass nach Angaben der Beschwerdegegner in Bezug auf www.derstandard.at
eine Einwilligungsrate von 99,36% gegeben sei. Eine unrealistisch hohe Einwilligungsrate sei ein
wichtiges Indiz für die fehlende Freiwilligkeit einer Einwilligung. Laut einem Trainings-Video eines
Consent-Banner-Anbieters seien nur 3% der Nutzer bereit, „Marketing-Opt-In“ zu geben. Auch in
Studien seien ähnliche Zahlen verfügbar. Seitens der Beschwerdegegner sei zudem nicht dargelegt
worden, ob zwischen dem Gegenstand der Einwilligung und dem Preis der Verweigerung (das Abo)
ein angemessener Gegenwert bestehe. Ausgehend von öffentlich verfügbare Eckzahlen sei von einem
unangemessenen Betrag auszugehen. Weiters werde u.a. ein Antrag auf Akteneinsicht zum
-5–
amtswegigen Prüfverfahren zur GZ: D213.665 gestellt. Im Übrigen wurde das bisherige Vorbringen im
Wesentlichen wiederholt. Im Rahmen der Stellungnahme wurde eine Beilage übermittelt.
A.12. Mit letzter Stellungnahme vom 3. März 2023 brachten die Beschwerdegegner zusammengefasst
vor, dass die Ausführungen des Beschwerdeführers in Bezug auf die Einwilligungsrate nicht auf das
PUR-Abo übertragbar seien, die Studie gehe von einem anderen Sachverhalt aus. Der Antrag auf
Akteneinsicht sei abzuweisen. Im Übrigen wurde das bisherige Vorbringen im Wesentlichen wiederholt.
B. Beschwerdegegenstand
B.1. Ausgehend vom Vorbringen des Beschwerdeführers, insbesondere aufgrund seines
(ausdrücklichen) Antrags vom 2. September 2021 und seiner Aussage im Rahmen der mündlichen
Verhandlung vom 3. Februar 2023 (S. 15 der Niederschrift), ergibt sich als Beschwerdegegenstand die
Frage, ob die Beschwerdegegner den Beschwerdeführer im
A) Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verletzt und (dadurch auch) gegen den
B) Grundsatz der Rechtmäßigkeit gemäß Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 DSGVO verstoßen haben,
indem beim Besuch des Nachrichtenportals www.derstandard.at zumindest am 12. August 2021
personenbezogene Daten des Beschwerdeführers (diese sind, jedenfalls in Kombination, einzigartige
Nutzer-Identifikations-Nummern, IP-Adresse und Browserparameter) unrechtmäßig verarbeitet
wurden.
B.2. Nicht übersehen wird, dass der Beschwerdeführer zudem einen Antrag gestellt hat, eine
Verletzung von Art. 8 EU-GRC festzustellen:
Zwar hat der EuGH eine Horizontalwirkung von Rechten nach der EU-GRC nicht ausdrücklich verneint
(vgl. das Urteil vom 29. November 2017, C-214/16, Rn 31 ff). Da die DSGVO jedoch unweigerlich mit
Art. 8 EU-GRC in Verbindung steht und diesen konkretisiert (vgl. ErwGr 1 DSGVO), impliziert ein
Verstoß gegen einen Datenschutzgrundsatz zeitgleich einen Verstoß gegen die EU-GRC und kann mit
einer Entscheidung über die Beschwerdepunkte A) und B) das Auslangen gefunden werden.
-6–
B.3. Ausdrücklich abzusprechen ist jedoch über die Anträge des Beschwerdeführers im Rahmen seiner
Eingabe vom 13. August 2021,
C) die relevanten Verarbeitungsvorgänge zu untersagen,
D) die Löschung der erhobenen Daten anzuordnen und
E) eine Geldbuße zu verhängen.
C. Sachverhaltsfeststellungen
C.1. Mittels Cookies lassen sich Informationen sammeln, die von einer Website generiert und über den
Browser eines Internetnutzers gespeichert wurden. Es handelt sich um eine kleine Datei oder
Textinformation (in der Regel kleiner als ein Kbyte), die von einer Website über den Browser eines
Internetnutzers auf der Festplatte seines Computers oder mobilen Endgeräts platziert wird.
Ein Cookie erlaubt es der Website, sich an die Aktionen oder Vorlieben des Nutzers zu „erinnern“. Die
meisten Webbrowser unterstützen Cookies, aber die Nutzer können ihre Browser so einstellen, dass
sie die Cookies abweisen. Sie können die Cookies auch jederzeit löschen.
Websites nutzen Cookies, um Nutzer zu identifizieren, sich die Vorlieben ihrer Kunden zu merken und
es den Nutzern zu ermöglichen, Aufgaben abzuschließen, ohne Informationen neu eingeben zu
müssen, wenn sie zu einer anderen Seite wechseln oder die Website später erneut besuchen.
Cookies können auch genutzt werden, um anhand des Online-Verhaltens Informationen für gezielte
Werbung und Vermarktung zu sammeln. Unternehmen verwenden zum Beispiel Software, um das
Nutzerverhalten nachzuverfolgen und persönliche Profile zu erstellen, die es ermöglichen, den Nutzern
Werbung zu zeigen, die auf ihre zuvor durchgeführten Suchvorgänge zugeschnitten ist.
Beweiswürdigung C.1.: Die Ausführungen zur grundsätzlichen Funktionsweise von Cookies stammen
aus den Schlussanträgen des Generalanwalts in der Rechtssache C-673/17 Rz 36 ff mwN. Da es sich
um eine einzelfallunabhängige und allgemeine technische Beschreibung zu den möglichen Funktionen
von Cookies handelt, waren diese Ausführungen auf Sachverhaltsebene – und nicht in der rechtlichen
Beurteilung – aufzunehmen.
C.2. Die Beschwerdegegner (als Unternehmensgruppe „derStandard“) betreiben gemeinsam das
Online-Nachrichtenportal „derStandard“. Das Portal kann unter www.derstandard.at aufgerufen
werden.
Auf der genannten Website werden u.a. täglich journalistische Artikel zu diversen Themen online
gestellt. Personen, die auf www.derstandard.at registriert sind, können mit ihrem Nutzerkonto
Kommentare unterhalb der jeweiligen Artikel verfassen und mit anderen Personen interagieren. Die
-7–
Beschwerdegegner beschäftigen Mitarbeiter bzw. Mitarbeiterinnen, welche die Kommentare in
regelmäßigen Abständen kontrollieren („Moderation“).
Zumindest beim erstmaligen Aufruf der Website www.derstandard.at (d.h. ohne, dass am Endgerät
Browserdaten/Websitedaten zu www.derstandard.at vorliegen) erscheint ein Fenster („Cookie-Banner“;
siehe Screenshot weiter unten). Die Besucher der Website der Beschwerdegegner haben die
Möglichkeit, per Mausklick auf die Schaltfläche „EINVERSTANDEN“ (links) oder auf die Schaltfläche
„JETZT ABONNIEREN“ (rechts) zu drücken.
Wird die Option „EINVERSTANDEN“ gewählt, so erteilt ein Website-Besucher laut Angabe der
Beschwerdegegner eine Einwilligung (Variante 1; siehe Screenshot weiter unten). In weiterer Folge
kann der Inhalt der Website der Beschwerdegegner aufgerufen werden.
Wird die Option „JETZT ABONNIEREN“ gewählt, so kann ein kostenpflichtiges „PUR-Abo“
abgeschlossen werden (Variante 1). Bei Abschluss eines „PUR-Abos“ (EUR 8,- monatlich ab dem
zweiten Monat) kann die gesamte Website der Beschwerdegegner benutzt werden.
Die journalistischen Beiträge auf der Website www.derstandard.at sind immer gleich, dh. der Inhalt
hängt nicht davon ab, ob Variante 1 (Einwilligung) oder Variante 2 (Abschluss eines PUR-Abos)
ausgewählt wird.
Der Cookie-Banner gestaltete sich zum Zeitpunkt 12. August 2021 wie folgt (Formatierung nicht 1:1
wiedergegeben):
-8–
Der Cookie-Banner gestaltet sich zum Entscheidungszeitpunkt wie folgt (Formatierung nicht 1:1
wiedergegeben):
Beweiswürdigung zu C.2.: Die getroffenen Feststellungen beruhen auf der gemeinsamen
Stellungnahme der Beschwerdegegner vom 13. Dezember 2021 und sind unstrittig. In der genannten
Stellungnahme wurde insbesondere ausgeführt, dass die Website www.derstandard.at gemeinsam von
den Beschwerdegegnern betrieben wird. Die Feststellung zur Gestaltung des „Cookie-Banner“ zum
Zeitpunkt 12. August 2021 beruht auf der Eingabe des Beschwerdeführers vom 13. August
2021(Anlage /.02, „Cookie-Wall“). Die Feststellung zur Gestaltung des „Cookie-Banner“ zum aktuellen
Zeitpunkt beruht auf einer amtswegigen Recherche der Website www.derstandard.at (abgefragt am
17. März 2023).
C.3. Bei Variante 2 waren zum Zeitpunkt 12. August 2021 für den Abschluss eines PUR-Abos folgende
Schritte notwendig (Formatierung nicht 1:1 wiedergegeben; die jeweilige Überschrift wurde seitens der
Beschwerdegegner verfasst und stellt keine inhaltliche Beurteilung der Datenschutzbehörde dar):
-9–
- 10 –
- 11 –
- 12 –
Zum Entscheidungszeitpunkt sind für den Abschluss eines PUR-Abos dieselben Schritte notwendig,
zwischenzeitig wurde jedoch der am dritten Screenshot ersichtliche „Cookie-Banner“ entfernt.
Beweiswürdigung zu C.3.: Die getroffenen Feststellungen beruhen auf der gemeinsamen
Stellungnahme der Beschwerdegegner (Beilage ./5, „Schritte_Abschluss_PUR“) vom 9. Mai 2022 und
sind unstrittig.
- 13 –
C.4. Beim Aufruf der Website www.derstandard.at mit Variante 2, dh. nach Abschluss eines PUR-Abos,
werden keine Cookies zu Werbe-, Profiling- oder Analysezwecken gesetzt.
Beweiswürdigung zu C.4.: Die getroffenen Feststellungen beruhen auf der gemeinsamen
Stellungnahme der Beschwerdegegner vom 15. September 2022, der darin vorgelegten „Cookie-
Tabelle“ und der darin vorgelegten Stellungnahme von Hr. Matthias Stöcher (seitens der
Beschwerdegegner bezeichnet als /Beilage. 6, „Schreiben von Matthias Stöcher betreffend PUR-
Checkout Website vom 14.9.2022“).
C.5. Die Datenschutzerklärung der Beschwerdegegner in der Fassung 12. August 2021 lautet
auszugsweise wie folgt (Formatierung nicht 1:1 wiedergegeben; in Folge werden nur jene Teile
unmittelbar wiedergegeben, die aus Sicht der Datenschutzbehörde für den Prüfgegenstand von
besonderer Relevanz sind):
„[…] In dieser Cookie-Erklärung informieren wir Sie über unsere Verarbeitungstätigkeiten auf unserer Webseite.
So sehen Sie auf einen Blick, welche Cookies wir zu welchen Zwecken auf unserer Webseite setzen und welche
Cookies Dritter wir zulassen.
In unserer Datenschutzerklärung finden Sie außerdem Informationen zu den Datenverarbeitungen in unseren
unterschiedlichen Produktkategorien.
[…]
Anwendungsbereich und Kontakt
Diese Cookie-Erklärung gilt für die STANDARD Verlagsgesellschaft m. b. H., die STANDARD Medien AG und
die velcom GmbH (die „STANDARD-Gruppe“).
[…]
I. Umgang mit Cookies
Als Onlinemedium führen wir unterschiedliche Datenverarbeitungen auf unserer Webseite durch. Nebenunseren
eigenen Verarbeitungstätigkeiten sind wir darauf angewiesen, Inhalte Dritter in unsere Webseite einzubinden.
Dies tun wir einerseits aus redaktionellen Gründen, und andererseits nutzen wir auswirtschaftlichen Gründen die
Möglichkeit, unsere Webseite Dritten als Werbeplatz zur Verfügung zu stellen.
Wir verarbeiten Ihre Daten selbstverständlich auf Grundlage der gesetzlichen Bestimmungen (DSGVO, DSG und
TKG 2003). Bevor wir Cookies auf unserer Webseite ausspielen, bitten wir Sie um Ihre Zustimmung. Ihre
Zustimmung können Sie auch einfach dadurch ausdrücken, dass Sie unsere Webseite nach Kenntnisnahme
unserer Cookie-Information weiternutzen.
Cookies sind Textdateien, die auf dem Computer des Besuchers einer Webseite gespeichert werden können,
sofern die Browsereinstellungen des Besuchers dies zulassen. In diese Textdateien können Informationen
geschrieben werden, die zu einem späteren Zeitpunkt wieder ausgelesen werden können. Ein Cookie ist an eine
bestimmte Domain gebunden und enthält Informationen, die später nur von dieser Domain aus wieder ausgelesen
werden können.
Auch Dritte können die Möglichkeit zum Schreiben von Cookies auf unserer Webseite erhalten. Dies ist technisch
möglich, indem die von Ihnen aufgerufene Website (diesfalls derStandard.at) Funktionalitäten in diese Webseite
einbindet, die unter der Domain des Dritten betrieben werden (siehe Punkt V.)
Alle gängigen Browser ermöglichen die Steuerung des Setzens von Cookies sowie das Einstellen von deren
Speicherdauer. Dadurch kann das Setzen von Cookies auf Ihrem Gerät generell unterbunden und die
Speicherdauer der Cookies verkürzt werden. Wenn Sie Cookies auf Ihrem Computer kontrollieren wollen, können
- 14 –
Sie Ihre Browser-Einstellungen auch so wählen, dass Sie eine Benachrichtigung bekommen, wenn eine Webseite
Cookies speichern will. Genauere Informationen hierzu finden Sie im Hilfemenü Ihres Browsers oder unter
http://www.aboutcookies.org.
Ihre Zustimmung zur Verwendung von Cookies Dritter können Sie im Privacy Manager am Ende dieser Seite
widerrufen. Ihre Zustimmung zur Verwendung von Cookies durch den STANDARD können Sie über den
untenstehenden Button widerrufen. Bitte nehmen Sie zur Kenntnis, dass Ihnen das Angebot der Webseite
hiernach nur begrenzt zur Verfügung steht. Wenn Sie Ihre Zustimmung widerrufen möchten, klicken Sie bitte auf
den untenstehenden Button und rufen danach die Startseite auf.
ZUSTIMMUNG WIDERRUFEN
Bereits gesetzte Cookies können Sie entweder direkt durch manuelle Löschung im entsprechenden Ordner auf
Ihrer Festplatte oder durch Löschung über die entsprechende Funktion Ihres Browsers entfernen. Wenn Sie
Unterstützung mit dem Widerruf Ihrer Einwilligung zur Nutzung von Cookies benötigen, wenden Sie sich bitte an
[email protected].
Auf den Webseiten der STANDARD Verlagsgesellschaft m.b.H. kommen unterschiedliche Cookies aller Arten
zum Einsatz sowie vergleichbare Technologien (wie etwa „Local Shared Objects“). Eine Liste aller Cookies, die
von der Webseite derStandard.at und ihren Subdomains verarbeitet werden, finden Sie im Anhang.
Es steht Ihnen selbstverständlich frei, die Nutzung unserer Cookies zuzulassen oder diese zu deaktivieren. Wenn
Sie sich jedoch für die Deaktivierung entscheiden, werden Sie leider nicht alleFunktionen unserer Webseite
nutzen können.
Als Onlinemedium sind wir nicht von der Notwendigkeit einer Finanzierungsmöglichkeit befreit. Bisher haben wir
ausschließlich Werbung als Finanzierungsmodell genutzt. Da wir jedoch wissen, wie wichtig unseren Lesern das
Thema Datenschutz ist, haben wir ein Produkt geschaffen, das ohne Werbung und ohne jegliches Datentracking
auskommt: derStandard.at/PUR.
[…]
II. Verarbeitete Datenkategorien
Wenn Sie unsere Webseite benutzen, verarbeiten wir in der Regel Ihre IP-Adresse, (falls vorhanden) Ihren
STANDARD-User-Account, den Namen und die Version Ihres Webbrowsers, Ihren Webbrowseridentifizierende
Cookies, welche Seiten Sie wann genau auf unserer Webseite besuchen (URL, Datum, Uhrzeit) und die
Webseite, die Sie vor dem Aufruf unserer Webseite besucht haben. All diese Datenübermittelt uns Ihr
Webbrowser beim Aufruf unserer Webseite.
Im Detail sind das die folgenden Daten:
x Ihre IP-Adresse: Diese dient der Ermittlung des Landes, von dem aus Sie uns besuchen, um regional
unterschiedliche Inhalte anbieten zu können, und auch zur statistischen Auswertung der Besucher nach
Land.
x URL: Die von Ihnen aufgerufene URL verwenden wir zur Auswertung, wie oft ein bestimmter
Artikelaufgerufen wurde.
x Timestamp: Der Zeitpunkt des Aufrufs der URL (Datum und Uhrzeit) dient der Einschränkung statistischer
Auswertungen auf bestimmte Zeiträume.
x Referrer-URL: Das ist die URL jener Seite, von der aus Sie durch Anklicken eines Links zur aktuellen
Seite gekommen sind. Diese verwenden wir zur statistischen Auswertung, um zu messen,
welche(fremden) Seiten auf eine unserer Seiten verlinken.
x User-Agent-String: Dieser repräsentiert den Namen und die Version des benutzten Browsers und dient
uns zur Optimierung der Darstellung und Benutzerfreundlichkeit unserer Website.
x Alle Cookies, die von derStandard.at verarbeitet werden (siehe Cookie-Anhang).
x Server-Logfiles: In sogenannten Server-Logfiles werden Daten gespeichert, die Ihr Browserautomatisch
an uns übermittelt. Dies sind: Browsertyp, Browserversion, verwendetes Betriebssystem, Referrer-URL,
Hostname des zugreifenden Rechners, Datum und Uhrzeit der Serveranfrage, Ihre IP-Adresse, Inhalte
der Cookies von derStandard.at.
Wir verarbeiten die angegebenen Daten ausschließlich für die untenstehenden Zwecke. Eine Zusammenführung
dieser Daten mit anderen Datenquellen wird nicht vorgenommen.
- 15 –
Neben den Daten, die bei Ihrer Nutzung unserer Webseite anfallen, verarbeiten wird auch Daten, die Sie uns
selbst durch das Ausfüllen von Kontaktformularen oder durch Registrierung auf unserer Webseite zur Verfügung
stellen. Nähere Informationen zu diesen Verarbeitungstätigkeiten finden Sie in unserer Datenschutzerklärung.
III. Rechtsgrundlagen der Verarbeitung
Im Datenschutz unterscheidet man Cookies, die Ihre Zustimmung erfordern, bevor diese auf Ihrem Endgerät
gespeichert werden dürfen, und Cookies, die laut Telekommunikationsgesetz ohne Ihre Zustimmung gespeichert
werden dürfen, da diese unbedingt erforderlich sind, damit wir Ihnen unseren Dienst zur Verfügung stellen
können. Der überwiegende Teil unserer Cookies sind solche, für die keine Zustimmung erforderlich ist. Die
übrigen Cookies setzen wir selbstverständlich nur, nachdem wir Ihre Zustimmung eingeholt haben.
Die Rechtsgrundlage für das Verwenden von Cookies ist somit entweder Ihre Zustimmung oder die im
Telekommunikationsgesetz vorgesehene Ausnahmebestimmung.
Eine detaillierte Übersicht finden Sie im Cookie-Anhang.
IV. Unsere Verarbeitungstätigkeiten auf unserer Webseite
Neben den in der Datenschutzerklärung aufgezählten Verarbeitungstätigkeiten führen wir die folgenden
Datenverarbeitungen auf unserer Webseite durch.
Diese Daten werden durch die folgenden Empfänger verarbeitet: durch unsere IT-Dienstleister gemäß der
Bindung an unseren Auftrag und Unternehmen der STANDARD-Gruppe.
A. Funktionale Cookies
Cookies werden grundsätzlich dazu verwendet, um zusätzliche Funktionen auf einer Webseite zu ermöglichen.
Funktionale Cookies können etwa die Navigation auf unserer Webseite erleichtern, dafür sorgen, dass die
Webseite an der Stelle weiterverwendet werden kann, an der man sie zuvor verlassen hat, oder sie können dazu
dienen, Ihre Einstellungen zu speichern, wenn Sie unsere Webseite wiederbesuchen. Wir verarbeiten Ihre Daten
auf Grundlage des Telekommunikationsgesetzes. Funktionale Cookies sind für die Nutzung unserer Webseite
erforderlich. Eine aktuelle Übersicht über unsere funktionalen Cookies finden Sie in unserem Cookie-Anhang.
B. Analyse-Cookies
Wir nutzen Webanalyse-Dienste, um eine Analyse Ihrer Nutzung unserer Webseite zu ermöglichen. Wir
verarbeiten Ihre Daten auf Grundlage Ihrer Zustimmung.
Bei den folgenden Datenverarbeitungen handelt es sich um Profiling. Sie können diesen Verarbeitungen jederzeit
durch die im Cookie-Anhang zur Verfügung gestellten Opt-out-Möglichkeiten widersprechen.
x MGUID/BIG: Wir führen über unseren MGUID-Cookie Webanalysen durch, um unsere User
besserkennenzulernen. Der STANDARD ist bemüht, den reibungsfreien Betrieb, gute Antwortzeiten im
Web, gute Unterstützung der Geräte unserer Leser und nicht zuletzt die laufende Attraktivität unserer
Inhalte sicherzustellen. Unsere Werkzeuge dafür sind interne Zähl-, Auswerte- und Diagnosesysteme.
Bei dieser Datenverarbeitung handelt es sich um Profiling. Sie können dieser Verarbeitung jederzeit durch
die im Cookie-Anhang zur Verfügung gestellte Opt-out-Möglichkeit widersprechen.
x Google Analytics: Außerdem nutzen wir Google (Google LLC, 1600 Amphitheatre Parkway Mountain
View, CA 94043, USA) als Webanalyse-Dienstleister. Wir setzen Google Analytics ausschließlich mit
aktivierter IP-Anonymisierung ein. Das bedeutet, die IP-Adresse lässt keine Rückschlüsse auf Sie als
User zu. Google hält eine Privacy-Shield-Zertifizierung und garantiert dadurch ein der Europäischen
Union angepasstes Datenschutzniveau. Im Fall von Google Analytics werden die durch die eingesetzten
Cookies erzeugten Informationen auf die Server von Google in den USA übertragen und dort gespeichert.
Google verwendet diese Informationen, um die Website-Nutzung unserer User für uns auszuwerten. Bei
dieser Datenverarbeitung handelt es sich um Profiling. Sie können dieser Verarbeitung jederzeit durch
die im Cookie-Anhang zur Verfügung gestellte Opt-out-Möglichkeit widersprechen. Informieren Sie sich
näher in der Datenschutzerklärung von Google.
x Hotjar: Wir nutzen Hotjar, um die Bedürfnisse unserer Nutzer besser zu verstehen und das Angebot auf
dieser Webseite zu optimieren. Mithilfe der Technologie von Hotjar bekommen wir eine besseres
Verständnis von den Erfahrungen unserer Nutzer (z.B. wieviel Zeit unsere Nutzer auf welchen Seiten
verbringen oderwelche Links sie anklicken). Das hilft uns, unser Angebot am Feedback unserer Nutzer
- 16 –
auszurichten. Hotjar arbeitet mit Cookies und anderen Technologien, um Informationen über Ihre
Endgeräte zu sammeln (Bildschirmgröße, Gerätetyp, verwendeter Browser). Ihre IP Adresse wird nur in
anonymisierter Form verarbeitet. Hotjar speichert diese Informationen in einem pseudonymisierten
Nutzerprofil. Die Informationen werden weder von Hotjar noch von uns zur Identifizierung einzelner Nutzer
verwendet oder mit weiteren Daten übereinzelne Nutzer zusammengeführt. Bei dieser Datenverarbeitung
handelt es sich um Profiling. Sie können dieser Verarbeitung jederzeit durch die im Cookie-Anhang zur
Verfügung gestellte Opt-out-Möglichkeit widersprechen. Informieren Sie sich näher in der
Datenschutzerklärung von Hotjar.
[…]
C. Werbe-Cookies
Wir nutzen aus wirtschaftlichen Gründen die Möglichkeit, unsere Webseite Dritten als Werbeplatz zur Verfügung
zu stellen. Wir verarbeiten Ihre Daten auf Grundlage Ihrer Zustimmung.
Bei den folgenden Datenverarbeitungen handelt es sich um Profiling. Sie können diesen Verarbeitungen jederzeit
durch die im Cookie-Anhang zur Verfügung gestellten Opt-out-Möglichkeiten widersprechen.
x Google Adwords: Wir nutzen Google (Google LLC, 1600 Amphitheatre Parkway Mountain View,
CA94043, USA) als Werbesystemdienstleister. Google hält eine Privacy-Shield-Zertifizierung und
garantiert dadurch ein der Europäischen Union angepasstes Datenschutzniveau. Im Fall von Google
Adwords werden die durch die eingesetzten Cookies erzeugten Informationen auf die Server von Google
in den USA übertragen und dort gespeichert. Durch diese Informationen können wir feststellen, ob ein
User durch eine Google-Suche auf unsere Webseite gelangt ist. Bei dieser Datenverarbeitung handelt es
sich um Profiling. Sie können dieser Verarbeitung jederzeit durch die im Cookie-Anhang zur Verfügung
gestellte Opt-out-Möglichkeit widersprechen. Informieren Sie sich näher in der Datenschutzerklärung von
Google.
x Nugg.Ad: Um eine Steuerung der Onlinewerbung nach soziodemografischen Kriterien und
Produktinteressen möglich zu machen, verwenden wir Predictive Behavioral Targeting. Predictive
Behavioral Targeting ist ein Verfahren, bei dem Daten aus dem Surfverhalten unserer User mit den
Informationen aus Umfragen bei einigen wenigen Usern kombiniert werden. Die ausgefüllten Fragebögen
werden in keinem Zusammenhang mit der ausfüllenden Person gespeichert, sondern für die Erstellung
von sogenannten Lookalike-Profilen verwendet. Es kommt zu keiner Reidentifizierung natürlicher
Personen, sondern zu einer Hochrechnung mittels Wahrscheinlichkeiten. Die Lookalike-Profile werden in
von Nugg.Ad in unserem Auftrag gesetzten Cookies auf Ihrem Endgerät gespeichert. Beim Ausliefern der
Werbung auf unserer Webseite können so bestimmte in dem Cookie auf Ihrem Endgerät abgelegte
Eigenschaften getargetet werden. Bei dieser Datenverarbeitung handelt es sich um Profiling. Sie können
dieser Verarbeitung jederzeit durch die im Cookie-Anhang zur Verfügung gestellte Opt-out-Möglichkeit
widersprechen. Informieren Sie sich näher in der Datenschutzerklärung von Nugg.Ad.
x Adition: Wir nutzen Adition als Dienstleister zur Auslieferung von Werbung auf derStandard.at.Über
Adition können auch Anzeigen über unsere gesamte Webseite geschaltet werden. Außerdemführen wir
über unseren Dienstleister Adition auch Frequency-Capping durch. Hiermit werden dieHäufigkeit der
Anzeige der Nugg.ad-Umfrage und die Häufigkeit der ausgespielten Werbeanzeigengesteuert.
Informieren Sie sich näher in der Datenschutzerklärung von Adition.
Eine aktuelle Übersicht über unsere Werbe-Cookies sowie Ihre Widerrufsmöglichkeiten finden Sie in unserem
Cookie-Anhang.
V. Verarbeitungstätigkeiten Dritter auf unserer Webseite
Als Onlinemedium sind wir darauf angewiesen, Inhalte Dritter in unsere Webseite einzubinden. Dies tun wir
einerseits aus redaktionellen Gründen durch das Einbinden von Inhalten, die unsere Berichterstattung
unterstützen oder einen Service für unsere Kunden darstellen, und auch durch das Einbinden von Social-Media-
Plug-ins, um das Teilen unserer redaktionellen Beiträge und Forenbeiträge auf Social-Media-Plattformen zu
ermöglichen. Andererseits nutzen wir aus wirtschaftlichen Gründen die Möglichkeit, unsere Webseite Dritten als
Werbeplatz zur Verfügung zu stellen.
Wenn Dritte Ihre Daten auf unserer Webseite verarbeiten, liegt die Verantwortung für die datenschutzrechtliche
Konformität bei den jeweiligen Dritten. Wir informieren Sie im Folgenden so umfassend es uns möglich ist über
diese Verarbeitungstätigkeiten. Bitte melden Sie uns mögliche Verstöße unter [email protected].
.
Als Onlinemedium sind wir nicht von der Notwendigkeit einer Finanzierungsmöglichkeit befreit. Bisher haben wir
ausschließlich Werbung als Finanzierungsmodell genutzt. Da wir jedoch wissen, wie wichtig Datenschutz unseren
- 17 –
Lesern ist, haben wir ein Produkt geschaffen, das ohne Werbung und ohne jegliches Datentracking auskommt:
derStandard.at/PUR. Jegliche Skripte von Drittanbietern, alle Social-Media-Plug-ins und alle
Datenverarbeitungen, die nicht aus technischen Gründen zwingend für den Betrieb der Webseite notwendig sind,
wurden bei dieser Version unserer Webseite ausgebaut. Auch als PUR-Kunde können Sie diese Inhalte
selbstverständlich nach Bedarf freischalten.
Sie finden eine detaillierte Auflistung der Dritten, die auf unserer Webseite Datenverarbeitungen durchführen, in
unserem Anhang „Verarbeitungstätigkeiten Dritter“ Dort verweisen wir auch auf deren Datenschutzerklärungen,
in denen Sie sich näher informieren können.
A. Inhalte Dritter („Embeds“)
Wir binden vor allem aus redaktionellen Gründen Inhalte Dritter in unsere Webseite ein. Eine aktuelle Übersicht
der eingebundenen Inhalte finden Sie in unserem Anhang „Verarbeitungstätigkeiten Dritter“.
B. Social-Media-Plug-ins
Wir binden alle gängigen Social-Media-Plattformen in unsere Webseite ein, um Ihnen die Möglichkeit zu bieten,
unsere redaktionellen Inhalte auch in sozialen Netzwerken zu teilen.
Die Social-Media-Plug-ins, die sich am Anfang und am Ende eines Artikeltextes befinden, rufen ausschließlich
bei Klick die entsprechende Funktion auf und stellen somit erst dann eine Verbindung mit der jeweiligen Social-
Media-Plattform her. Wir weisen darauf hin, dass wir als Webseitenbetreiber keine Kenntnis vom vollständigen
Inhalt der übermittelten Daten sowie deren Nutzung durch die jeweilige Social-Media-Plattform haben. Wenn Sie
Social-Media-Plug-ins anklicken, während Sie in Ihrem Social-Media-Account eingeloggt sind, können Sie die
Inhalte unserer Seiten auf Ihrem Social-Media-Account verlinken. Dadurch kann die Social-Media-Plattform den
Besuch unserer Seiten Ihrem Account zuordnen. Wenn Sie das nicht wünschen, loggen Sie sich bitte aus Ihrem
Social-Media-Account aus.
Eine aktuelle Übersicht unser Social-Media-Plug-ins finden Sie in unserem Anhang „Verarbeitungstätigkeiten
Dritter“.
C. Digital Advertising
Wenn wir Dritten Werbeplätze auf unserer Webseite zur Verfügung stellen, geben wir diesen die Möglichkeit, ihre
Werbeinhalte mittels sogenannter Tags einzubinden. Im Digital Advertising haben sich zwei Werbemethoden
etabliert: Entweder wird ein bestimmter Tag an einem bei uns gebuchten Werbeplatz eingebunden (sogenannte
Tag-in-Tag-Werbung) oder die Werbenden ersteigern über ein automatisiertes Verfahren einen Werbeplatz auf
unserer Webseite, auf dem sie ihre Tags einbinden (sogenannte programmatische Werbung). Über die
eingebundenen Tags können von den Dritten auch Cookies auf Ihrem Endgerät gesetzt werden.
Im Anhang „Verarbeitungstätigkeiten Dritter“ können Sie sich einen aktuellen Überblick über all unsere
Kooperationspartner verschaffen.
[…]
Anhang — Verarbeitungstätigkeiten Dritter
A. Inhalte Dritter („Embeds“)
x Spotify: Datenschutzerklärung Spotify
x Instagram: Datenschutzerklärung Instagram
x Vimeo: Datenschutzerklärung Vimeo
x Datawrapper: Datenschutzerklärung Datawrapper
x Storify: Datenschutzerklärung Storify
x Carto: Datenschutzerklärung Carto
x statista.com: Datenschutzerklärung Statista
x CPU Informatik GmbH (Brutto-Netto-Rechner)
x YouTube: Datenschutzerklärung YouTube
x Playbuzz: Datenschutzerklärung Playbuzz
x mycountrytalks.org: Datenschutzerklärung "Österreich spricht"
x libsyn.com: Datenschutzerklärung libsyn
- 18 –
x riddle.com: Datenschutzerklärung Riddle
x dailymotion: Datenschutzerklärung dailymotion
x Shikenso: Datenschutzerklärung Shikenso
B. Social-Media-Plug-ins
x Facebook: Datenschutzerklärung Facebook
x Twitter: Datenschutzerklärung Twitter
x Google: Datenschutzerklärung Google
C. Tag-in-Tag-Werbung
Tag-in-Tag bezeichnet jene Art der Werbeschaltung, bei der nicht das Werbemittel des werbenden Kunden
physisch in Form einer Datei an das Medienunternehmen übermittelt wird, sondern stattdessen ein Script oder
ein clientseitiger Aufruf von Inhalten eines Servers, der sich nicht im Einflussbereich des Medienunternehmens
befindet, gestartet wird.
Wir schließen mit all unseren Geschäftspartnern Kooperationsverträge, in denen wir sie auf ihre
datenschutzrechtlichen Pflichten hinweisen und die Einbindung potenziell schädlicher Tags auf unserer Webseite
untersagen. Bitte melden Sie uns mögliche Verstöße unter [email protected].
Unsere Tag-in-Tag-Kooperationspartner:
x GroupM OG: Datenschutzerklärung
x Media 1, Mediaplanung und -einkauf GmbH: Datenschutzerklärung
x IPG Mediabrands GmbH: Datenschutzerklärung
x Publicis Media Austria GmbH: Datenschutzerklärung
x Havas Media GmbH: Datenschutzerklärung
x Porsche Werbemittlung GmbH: Datenschutzerklärung
x Reichl und Partner Werbeagentur GmbH: Datenschutzerklärung
x OmnicomMediaGroup Mediaagentur GmbH: Datenschutzerklärung
x IKEA Möbelvertrieb OHG: Datenschutzerklärung
x XXXLutz KG: Datenschutzerklärung
x AD Consult GmbH: Datenschutzerklärung
x Slopelift PM Media GmbH: Datenschutzerklärung
x Pulpmedia GmbH: Datenschutzerklärung
x Digitalsunray Media GmbH: Datenschutzerklärung
x 0815 Online Handel GmbH: Datenschutzerklärung
x content garden technologies GmbH: Datenschutzerklärung
x Fact or Eleven GmbH: Datenschutzerklärung
x netzeffekt GmbH: Datenschutzerklärung
x APA – Austria Presse Agentur eG: Datenschutzerklärung
x MediaMath: Datenschutzerklärung
x CBRE GmbH: Datenschutzerklärung
x ELK Fertighaus GmbH: Datenschutzerklärung
D. Programmatische Werbung
Programmatische Werbung besteht in der Zurverfügungstellung eines Werbeplatzes auf unserer Webseite durch
Einbindung eines Tags durch ein programmatisches Werbenetzwerk. Im Rahmen der programmatischen
Werbung wird dieser Werbeplatz über das programmatische Werbenetzwerk als Vermittler versteigert. Der
Werbende, der sich einen Werbeplatz im Netzwerk ersteigert, hat so auch die Möglichkeit, Cookies auf Ihrem
Endgerät zu setzen. Der Werbende entscheidet über die Verwendung der Cookies und über die durch ihn
verarbeiteten Daten. Daher trägt er die Verantwortung für die datenschutzrechtliche Konformität der
Datenverarbeitung.
Wir schließen mit all unseren Geschäftspartnern Verträge, in denen wir sie auf ihre datenschutzrechtlichen
Pflichten hinweisen. Bei der Auswahl unserer programmatischen Kooperationspartner achten wir darauf, dass
diese ihre datenschutzrechtlichen Pflichten wahrnehmen. Bitte melden Sie uns mögliche Verstöße unter
[email protected].
Unsere programmatischen Kooperationspartner:
- 19 –
x Yieldlab: Datenschutzerklärung Yieldlab
x Improve Digital: Datenschutzerklärung Improve Digital
x Google Ad Exchange: Datenschutzerklärung Google Ad Exchange
x Criteo: Datenschutzerklärung Criteo
x Rubicon: Datenschutzerklärung Rubicon
[…]“
Die vollständige Datenschutzerklärung der Beschwerdegegner in der Fassung 12. August 2021
(Eingabe des Beschwerdeführers vom 13. August 2021, Beilage ./03, „Datenschutzerklärung“) sowie
in der Fassung 9. Mai 2022 (Stellungnahme der Beschwerdegegner vom 9. Mai 2022, Beilage ./06,
„Datenschutzerklärung“) wird den Sachverhaltsfeststellungen zugrunde gelegt.
Beweiswürdigung zu C.5.: Die getroffenen Feststellungen beruhen auf der Eingabe des
Beschwerdeführers vom 13. August 2021 sowie auf der gemeinsamen Stellungnahme der
Beschwerdegegner vom 9. Mai 2022 und sind unstrittig. Die Datenschutzerklärung liegt dem Akt (in der
jeweiligen Fassung) bei und ist allen Beteiligten bekannt.
C.6.: Sofern nach erteilter Zustimmung unter https://www.derstandard.at/datenschutz der Button
„ZUSTIMMUNG WIDERRUFEN“ geklickt wird und die Website der Beschwerdegegner nicht mit einem
PUR-Abo-Account betreten wurde, erscheint in Folge wiederum der unter C.2. dargestellte „Cookie-
Banner“. Nachdem die Zustimmung widerrufen wurde, muss daher wieder eine der in C.2. genannten
Varianten ausgewählt werden.
Die Möglichkeit zum Widerruf der Zustimmung gestaltet sich konkret wie folg (Formatierung nicht 1:1
wiedergegeben):
Beweiswürdigung zu C.6.: Die Feststellung beruht auf einer amtswegigen Recherche der Website
www.derstandard.at (abgefragt am 17. März 2023).
- 20 –
C.7. Der Beschwerdeführer besuchte zumindest am 12. August 2021 die Website www.derstandard.at
und hat Variante 1 („EINVERSTANDEN“) ausgewählt.
Zum Aufruf der Website www.derstandard.at verwendete der Beschwerdeführer ein Endgerät (Laptop),
das seitens NOYB zur Verfügung gestellt wurde. Das Endgerät war mit einem Passwort geschützt,
welches der Beschwerdeführer ausgewählt hat. Der Beschwerdeführer hat das Endgerät auch zu
privaten Zwecken verwendet. Das Endgerät wurde von keinen anderen Personen verwendet.
Beweiswürdigung zu C.7.: Die getroffenen Feststellungen beruhen auf der übereinstimmenden
Eingabe des Beschwerdeführers vom 13. August 2021 und seiner Aussage im Rahmen der mündlichen
Verhandlung vom 3. Februar 2023 (S. 3 und S. 5 der Niederschrift). Der Beschwerdeführer machte
einen glaubwürdigen Eindruck auf die Datenschutzbehörde und es bestehen keine Anhaltspunkte, sein
Vorbringen in Zweifel zu ziehen.
C.8. Anlässlich des Besuchs des Beschwerdeführers unter www.derstandard.at wurden, als Folge der
Auswahl von Variante 1 („EINVERSTANDEN“), zumindest am 12. August 2021 die folgenden
Transaktionen durchgeführt sowie u.a. die folgenden Cookies am Endgerät des Beschwerdeführers
gesetzt (Auszug aus der Eingabe des Beschwerdeführers vom 13. August 2021, Beilage ./7, „HAR-
Datei“):
Cookie-Bezeichnung Wert („value“) Beschreibung
bzw. Anwendung
_ga GA Google-Analytics Cookie,
wird verwendet um User
zu unterscheiden. Google
stellt hier als niedrigste
jährliche Speicherdauer 2
Jahre zur Verfügung. Die
Speicherdauer erklärt sich
aus dem Interesse,
Jahresvergleiche
bezügliche der
Webanalyse durchführen
zu können.
_gid GA1. Google-Analytics Cookie,
wird verwendet, um User
zu unterscheiden.
- 21 –
MGUID GUID= Enthält einen GUID d.h.
einen eindeutigen
Identifier, der dazu dient
das Endgerät bei
folgenden Aufrufen
wiederzuerkennen. […]
Dadurch ist z.B. ein
Verlauf der aufgerufenen
Adressen während eines
Besuchs bzw. ein weiterer
Besuch, innerhalb der
Lebensdauer des
Cookies, rekonstruierbar.
IDE Das Cookie "IDE gehört
nicht zu Google und wird
für Anzeigenvorgaben für
Websites verwendet. Es
wird in Browsern unter
der Domain
doubleclick.net
gespeichert. Andere
Google-Produkte wie
YouTube nutzen diese
Cookies möglicherweise
ebenfalls zur Auswahl
relevanterer Werbung.
Google (Invisible) URL: Wir verwenden auf
reCAPTCHA unserem Internetauftritt
"Google (Invisible)
reCAPTCHA", einen
Dienst der GoogleInc.,
1600 Amphitheatre
Parkway, Mountain View,
CA 94043, USA
(nachfolgend bezeichnet
als: "Google"). Google
- 22 –
(Invisible) reCAPTCHA
verarbeitet Informationen
über Ihr Nutzerverhalten
auf unserem
Internetauftritt.
google_nid Google verwendet das
Cookie wie das NID, um
Werbung in Google-
Produkten wie der
Google-Suche individuell
anzupassen. Das NID-
Cookie enthält eine
eindeutige ID, über die
Google Ihre bevorzugten
Einstellungen und andere
Informationen speichert.
Die IP-Adresse des Beschwerdeführers, die zur jeweiligen Domain gehörigen Cookie-Werte sowie
Browsermetadaten wurden im Rahmen des Besuchs an unterschiedliche Domains übermittelt, wie z.B.
doubleclick.net (Google), facebook.com (Facebook), rubiconproject.com (Magnite), criteo.com (Criteo),
adition.com (Adition) oder crwdcntrl.net (Lotame).
Die Browserdaten des Beschwerdeführers stellten sich zumindest am 12. August 2021 wie folgt dar:
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko)
Chrome/92.0.4515.131 Safari/537.36
Der Inhalt der angeführten Beilage ./7, „HAR-Datei“, wird den Sachverhaltsfeststellungen zugrunde
gelegt. In der angeführten „HAR-Datei“ sind alle gesetzten Cookies bzw. verwendeten Anwendungen
sowie die Transaktionen vollständig aufgezählt.
Beweiswürdigung C.8.: Die getroffenen Feststellungen zu den Transaktionen beruhen auf der Eingabe
des Beschwerdeführers vom 13. August 2021 und der darin vorgelegten Beilage ./7, „HAR-Datei“. Bei
einer HAR-Datei handelt es sich um ein Archivformat für HTTP-Transaktionen. Die HAR-Datei wurde
seitens der Datenschutzbehörde überprüft. Das Vorbringen des Beschwerdeführers stimmt mit den
darin enthaltenen Archivdaten überein. Die vorgelegte HAR-Datei (bzw. deren Inhalt) ist den Parteien
bekannt. Die getroffenen Feststellungen zur Beschreibung und Funktionsweise der jeweiligen Cookies
- 23 –
beruhen auf der Datenschutzerklärung der Beschwerdegegnerin in der Fassung 12. August 2021, die
der Beschwerdeführer im Rahmen seiner Eingabe vom 13. August 2021 vorgelegt hat.
D. In rechtlicher Hinsicht folgt daraus:
D.1. Zur Zuständigkeit der Datenschutzbehörde
a) Verhältnis DSGVO und TKG 2021
Verarbeitungsvorgänge eines Sachverhalts können sowohl den Bestimmungen der Richtlinie
2002/58/EG idgF. (e-Datenschutz-RL) bzw. dem TKG 2021, als auch der DSGVO unterliegen.
Während das Setzen oder Auslesen von Cookies nach den Vorgaben von Art. 5 Abs. 3 der e-
Datenschutz-RL zu beurteilen ist, fällt die darauffolgende Datenverarbeitung in den
Anwendungsbereich der DSGVO (vgl. Stellungnahme 5/2019 des EDSA zum Zusammenspiel
zwischen der e-Datenschutz-Richtlinie und der DSGVO, insbesondere in Bezug auf die
Zuständigkeiten, Aufgaben und Befugnisse von Datenschutzbehörden Rz 30; Leitlinien 01/2020 des
EDSA zur Verarbeitung personenbezogener Daten im Zusammenhang mit vernetzten Fahrzeugen und
mobilitätsbezogenen Anwendungen Version 2.0 Rz 15 sowie Rz 53).
Dies entspricht auch der Rechtsauffassung des EuGH im Fall Fashion ID. Dieser ging davon aus, dass
als Folge der Implementierung eines Social Plugin auf einer Website (dies fällt in den
Anwendungsbereich der e-Datenschutz-RL) die Übermittlung der Daten des Websitebesuchers an
Facebook Ireland Limited sowie die darauffolgende Datenverarbeitung in den Anwendungsbereich der
(damaligen) Richtlinie 95/46 DSGVO fällt (vgl. das Urteil des EuGH vom 29. Juli 2019, C-40/17, Rz 26
und insbesondere Rz 85).
Die Zuständigkeit der Datenschutzbehörde ist somit nicht ausgeschlossen, da als Folge des Setzens
oder Auslesens von Cookies eine Datenübermittlung (zumindest IP-Adresse, Browserdaten und
Cookie-Werte, siehe Sachverhaltsfeststellung C.8.) stattgefunden hat.
Die Frage, ob es sich bei diesen Daten um personenbezogene Daten nach Art. 4 Z 1 DSGVO handelt,
wird an späterer Stelle behandelt.
b) Zur Anwendbarkeit von § 9 Abs. 1 DSG („Medienprivileg“)
Soweit sich die Beschwerdegegner auf die Anwendbarkeit von § 9 Abs. 1 DSG berufen, ist Ihnen
Folgendes entgegenzuhalten:
Der nationale Gesetzgeber beschränkt das sogenannte Medienprivileg nach Art. 85 DSGVO iVm § 9
Abs. 1 DSG, indem das Privileg nur Medienunternehmen oder Mediendiensten zugänglich ist, sofern
personenbezogene Daten zu journalistischen Zwecken durch Medieninhaber, Herausgeber und
- 24 –
Medienmitarbeiter oder Arbeitnehmer eines Medienunternehmens oder Mediendienstes verarbeitet
werden. (vgl. den Bescheid der DSB vom 21. April 2020, GZ: 2020-0.239.741).
Eine Verarbeitung personenbezogener Daten für journalistische Zwecke liegt nach dem Verständnis
des EuGH vor, wenn die Verarbeitung ausschließlich das Ziel hat, Informationen, Meinungen oder
Ideen in der Öffentlichkeit zu verbreiten (vgl. das Urteil des EuGH vom 16. Dezember 2008, C-73/07
Rz 62).
Inwiefern die beschwerdegegenständlichen Verarbeitungsvorgänge einen „journalistischen Zweck“ iSd
Judikatur des EuGH verfolgen, ist nicht ersichtlich und wurde auch nicht nachvollziehbar dargelegt.
Nach Judikatur des BVwG unterliegen Cookies zum Ausspielen personalisierter Werbung auf einer
Website eines Medienunternehmens oder die Verwaltung einer Datenbank durch ein
Medienunternehmen zum Zweck des Versands von Printwerbung nicht dem Medienprivileg, selbst
wenn diese Vorgänge der Finanzierung des Mediums dienen (vgl. das Erkenntnis des BVwG vom
12. März 2019, GZ: W214 2223400-1; vgl. ferner Frage 5 der FAQ der Datenschutzbehörde, abrufbar
unter https://www.dsb.gv.at/download-links/FAQ-zum-Thema-Cookies-und-Datenschutz.html).
Auch die anderen, beschwerdegegenständlichen Verarbeitungsvorgänge haben nicht ausschließlich
das Ziel, „Informationen, Meinungen oder Ideen in der Öffentlichkeit zu verbreiten“. Im Zusammenhang
mit der Einbindung von Social Media Plugins führen die Beschwerdegegner sogar selbst aus, dass sie
als Websitebetreiber „[…] keine Kenntnis vom vollständigen Inhalt der übermittelten Daten sowie deren
Nutzung durch die jeweilige Social-Media-Plattform haben“ (vgl. die Datenschutzerklärung der
Beschwerdegegner in der Fassung 12. August 2021, S. 17).
Wenn die Beschwerdegegner einräumen, dass Inhalt und Zweck der übermittelten Daten (jedenfalls
zum Teil) unklar sind, so kann nicht zeitgleich argumentiert werden, dass diese Daten ausschließlich
zu journalistischen Zwecken verarbeitet werden.
Da die Voraussetzungen des § 9 Abs. 1 DSG nicht erfüllt sind, kommt das Medienprivileg für die
beschwerdegegenständliche Datenverarbeitung nicht zur Anwendung.
Auf das (zwischenzeitig) ergangene Erkenntnis des Verfassungsgerichtshofs vom 14. Dezember 2022
zur Zl. G 287/2022-16, G 288/2022-14, mit dem § 9 Abs. 1 DSG als verfassungswidrig aufgehoben
wurde, ist nicht einzugehen, da die Aufhebung erst mit 30. Juni 2024 in Kraft tritt.
c) Feststellungskompetenz
Wie aus dem Beschwerdegegenstand ersichtlich (siehe Punkt B.1), wurde die Feststellung einer
Rechtsverletzung, die in der Vergangenheit liegt, beantragt.
- 25 –
Nach Judikatur des VwGH und des BVwG kommt der Datenschutzbehörde eine
Feststellungskompetenz im Hinblick auf Verletzungen des Rechts auf Geheimhaltung in
Beschwerdeverfahren zu (so ausdrücklich das Erkenntnis des BVwG vom 20. Mai 2021,
Zl. W214 222 6349-1/12E; implizit das Erkenntnis des VwGH vom 23. Februar 2021, Ra 2019/04/0054,
worin sich dieser mit der Feststellung einer in der Vergangenheit liegenden
Geheimhaltungspflichtverletzung auseinandergesetzt hat, ohne die Unzuständigkeit der belangten
Behörde aufzugreifen).
Es bestehen keine sachlichen Gründe, die Feststellungskompetenz gemäß Art. 58 Abs. 6 DSGVO iVm
§ 24 Abs. 2 Z 5 DSGVO und Abs. 5 DSG nicht auch für die Feststellung einer Verletzung von Art. 5
Abs. 1 lit. a iVm Art. 6 Abs. 1 der Verordnung heranzuziehen, da auch im gegenständlichen Fall u.a.
eine in der Vergangenheit liegende Rechtsverletzung – moniert wird und das Beschwerderecht gemäß
§ 24 Abs. 1 DSG – ebenso wie Art. 77 Abs. 1 DSGVO – allgemein an einen Verstoß gegen die DSGVO
anknüpft und ein Verstoß gegen die Art. 5 und 6 DSGVO einen Verstoß gegen das Grundrecht auf
Geheimhaltung nach § 1 Abs. 1 DSG impliziert (siehe dazu § 4 Abs. 1 DSG).
Wenn der Spruch eines Bescheids in einem Beschwerdeverfahren nämlich ausschließlich
Anweisungen nach Art. 58 Abs. 2 DSGVO enthalten könnte, wäre im Ergebnis kein Raum für § 24
Abs. 2 Z 5 und Abs. 5 DSG.
Somit ist die Feststellungskompetenz der Datenschutzbehörde im gegenständlichen
Beschwerdeverfahren gegeben.
d) Zwischenergebnis
Die Datenschutzbehörde ist für die Behandlung der gegenständlichen Beschwerde zuständig und
befugt, Feststellungen über die Unrechtmäßigkeit der Datenverarbeitung zu treffen.
D.2. Verarbeitung personenbezogener Daten
a) Zu Art. 4 Z 1 DSGVO
Die Datenschutzbehörde hat im Fall Google Analytics – im Einklang mit der Judikatur des Europäischen
Datenschutzbeauftragten (EDSB) – bereits ausgesprochen, dass Cookies, die einen einzigartigen,
zufallsgenerierten Wert (random number) beinhalten und die mit dem Zweck gesetzt werden, Personen
zu individualisieren und auszusondern, die Definition des Art. 4 Z 1 DSGVO erfüllen. Insbesondere
kann nie ausgeschlossen werden, dass die Cookie-Werte und die IP-Adresse des Endgeräts einer
Person an irgendeiner Stelle der Verarbeitungskette mit Zusatzinformationen verknüpft werden, z.B.
wenn sich die betroffene Person auf einer Website mit ihrer Email-Adresse oder dem Klarnamen
registriert, oder durch eine Verknüpfung durch ein soziales Netzwerk (vgl. zur näheren Begründung
den Bescheid vom 22. April 2022, GZ: 2022-0.298.191, abrufbar unter https://www.dsb.gv.at/download-
- 26 –
links/bekanntmachungen.html; vgl. zur Einordnung von zB. Google Analytics Cookies als
personenbezogene Daten auch die Entscheidung des EDSB gegen das Europäische Parlament vom
5. Jänner 2022, GZ: 2020-1013, S. 13).
Diese Rechtsauffassung der Datenschutzbehörde wurde durch das BVwG bestätigt (vgl. das mündlich
verkündete Erkenntnis zur GZ: W137 2254817-1/41Z; eine schriftliche Ausfertigung ist aktuell noch
ausstehend; die darin enthaltenen rechtlichen Ausführungen sind den Parteienvertretern jedoch
bekannt).
Diese Überlegungen können auch auf den konkreten Fall umgelegt werden:
Wie in Sachverhaltsfeststellung zu C.8. festgestellt, kam es anlässlich des Besuchs des
Beschwerdeführers auf der Website www.derstandard.at zur Übermittlung der IP-Adresse des
Beschwerdeführers, von Browserdaten und einzigartigen, in Cookies enthaltenen Nutzer-
Identifikationsnummern an unterschiedlichste Server von mehreren Unternehmen, wie z.B. Facebook
und Google.
Im gegenständlichen Fall haben die Beschwerdegegner – entgegen den Vorgaben von Art. 5 Abs. 2,
Art. 24 Abs. 1 sowie Art. 25 Abs. 1 DSGVO, der bereits an einem Zeitpunkt vor Beginn der
Datenverarbeitung anknüpft – keinen Nachweis erbracht, dass technische Schutzmaßnahmen
implementiert wurden, um eine Verknüpfung dieser Daten mit weiteren Zusatzinformationen zu
verhindern (vgl. den Rechenschafts- und Compliancepflichten eines Verantwortlichen das Urteil des
EuGH vom 27. Oktober 2022, C-129/21 Rz 81).
Nicht erforderlich ist es, dass die Beschwerdegegner selbst einen Personenbezug herstellen können
müssen (vgl. das Urteil des EuGH vom 29. Juli 2019, C-40/17, Rz 66 ff und die dort angeführten
weiteren Nachweise).
Schließlich spricht für eine weite Auslegung von Art. 4 Z 1 DSGVO auch der Schutzzweck der
Verordnung. Dieser liegt darin, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten
natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten (vgl. das Urteil
des EuGH vom 1. August 2022, C-184/20 Rz 61).
Dieser Schutzzweck würde konterkariert werden, wenn der Maßstab an die „Identifizierbarkeit“ zu eng
angelegt wird, zumal die Beschwerdegegner selbst einräumen, dass zumindest zum Teil unklar sei, ob
und inwiefern andere Unternehmen die übermittelten Daten in Folge nutzen (vgl. erneut die
Datenschutzerklärung der Beschwerdegegner in der Fassung 12. August 2021, S. 17).
b) Zwischenergebnis
Bei den gegenständlich relevanten Daten (IP-Adresse, Browserdaten und einzigartigen, in Cookies
enthaltenen Nutzer-Identifikationsnummern, vgl. Sachverhaltsfeststellung C.8.) handelt es sich –
- 27 –
jedenfalls, wenn diese in Kombination vorliegen, was hier der Fall ist – um personenbezogene Daten
gemäß Art. 4 Z 1 DSGVO.
D.3. Prüfung der Rechtmäßigkeit der Datenverarbeitung
a) Allgemeines zur Einwilligung
Aus dem Wortlaut von Art. 4 Z 11 iVm Art. 7 DSGVO ist abzuleiten, dass eine datenschutzrechtliche
Einwilligung nur dann gültig ist, sofern die folgenden Voraussetzungen vollständig erfüllt sind (vgl. die
Leitlinien 05/2020 des EDSA zur Einwilligung gemäß Verordnung 2016/679 V1.1 Rz 11 ff):
- Freiwilligkeit;
- Bestimmtheit;
- Informiertheit;
- unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer
sonstigen eindeutigen bestätigenden Handlung.
Die Datenschutzbehörde hat sich bereits im Jahre 2018 mit der beschwerdegegenständlichen Frage
(Zulässigkeit von „pay or okay“) auseinandergesetzt und ausgesprochen, dass ein kostenpflichtiges
Abonnement eine tragfähige Alternative für eine Einwilligung sein kann (vgl. den Bescheid vom
30. November 2018, GZ: DSB-D122.931/0003-DSB/2018).
In Anbetracht der zwischenzeitig ergangenen Urteile des EuGH (hierzu weiter unten) und als Resultat
des Meinungstauschs nach Art. 57 Abs. 1 lit. g DSGVO mit anderen Aufsichtsbehörden, ergänzt die
Datenschutzbehörde die im Jahre 2018 ergangene Judikatur wie folgt:
b) Gültigkeit der Einwilligung im konkreten Fall
Dem Grunde nach kann ein kostenpflichtiges Abonnement weiterhin eine tragfähige Alternative für eine
Einwilligung sein (vgl. Frage 9 der FAQ der Datenschutzbehörde, abrufbar unter
https://www.dsb.gv.at/download-links/FAQ-zum-Thema-Cookies-und-Datenschutz.html).
Mit der Richtlinie (EU) 2019/770 über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler
Inhalte und digitaler Dienstleistungen bringt der europäische Gesetzgeber nämlich seinen Willen zum
Ausdruck, dass Verbraucher – zumindest im gewissen Ausmaß – im Austausch für digitale
Dienstleistungen ihre Daten bereitstellen können.
Fraglich ist jedoch, in welchem konkreten Ausmaß dies möglich ist.
Bei dieser Beurteilung spielt im gegebenen Fall die sogenannte „Granularität einer Einwilligung“ – als
Aspekt der Freiwilligkeit – eine wesentliche Rolle. Hierzu vertritt der EDSA die folgende Rechtsansicht
(vgl. Leitlinien 05/2020 a.a.O. Rz 43 f, Hervorhebungen seitens der Datenschutzbehörde):
- 28 –
„In Erwägungsgrund 43 wird klargestellt, dass eine Einwilligung nicht als freiwillig erteilt gilt, wenn der
Prozess/das Verfahren für das Einholen der Einwilligung es betroffenen Personen nicht ermöglicht, zu
verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten gesondert eine Einwilligung
zu erteilen (d. h. nur für einige Verarbeitungsvorgänge und für andere nicht), obwohl dies in dem
entsprechenden Fall angemessen wäre. In Erwägungsgrund 32 heißt es: ‚Die Einwilligung sollte sich
auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorgänge
beziehen. Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle diese Verarbeitungszwecke
eine Einwilligung gegeben werden‘.
Wenn der Verantwortliche verschiedene Zwecke für die Verarbeitung zusammengefasst hat und nicht
versucht, gesonderte Einwilligungen für jeden Zweck einzuholen, fehlt die Freiheit. Diese Granularität
ist eng verwandt mit dem Erfordernis, dass die Einwilligung für den konkreten Fall zu erteilen ist. Dies
wird nachfolgend in Abschnitt 3.2 diskutiert. Werden mit der Datenverarbeitung mehrere Zwecke
verfolgt, liegt die Lösung für die Einhaltung der Bedingungen für eine gültige Einwilligung in der
Granularität, d. h. in der Trennung dieser Zwecke und dem Einholen der Einwilligung für jeden Zweck.“
Im gegenständlichen Fall haben die Beschwerdegegner unstrittig eine Einwilligung für zahlreiche, in
ihrer Datenschutzerklärung angeführten Verarbeitungszwecke eingeholt (vgl. Sachverhaltsfeststellung
C.5.).
Aus Sicht der Datenschutzbehörde konnten die Beschwerdegegner nicht schlüssig erklären, inwiefern
es – neben der Einwilligung zum Zweck der Anzeige (personalisierter) Werbung und der Messung des
Werbeerfolgs – angemessen ist, dass die Einwilligung auch weitere Verarbeitungsvorgänge umfasst,
die mit dem Einsatz von vielen unterschiedlichen Analyse-Cookies, Cookies zur Website-Optimierung
oder Social-Media-Plugins in Verbindung steht.
Nicht verkannt wird das grundsätzliche Interesse der Beschwerdegegner, ihre Website – im Rahmen
der unternehmerischen Freiheit gemäß Art. 16 EU-GRC – für das Zielpublikum und für ihre
Werbepartner möglichst zu optimieren und möglichst viele Informationen über die Nutzer in Erfahrung
zu bringen.
Ein Vorgehen, bei dem jedoch nicht einmal versucht wird, die oben angeführten Vorgaben hinsichtlich
der Granularität einzuhalten, und bei dem eine „Pauschaleinwilligung“ einer Abonnement-Variante
gegenübergestellt wird, kann kein angemessener Ausgleich zwischen dem Grundrecht auf
Datenschutz nach Art. 8 EU-GRC und Art. 16 EU-GRC sein.
Mit anderen Worten: Ein wirtschaftliches Interesse kann nicht dazu führen, dass es – iSd ErwGr 43
DSGVO – angemessen ist, für unterschiedliche Verarbeitungsvorgänge keine gesonderte Einwilligung
einzuholen.
So hat auch der EuGH wiederholt ausgesprochen, dass sich Eingriffe in das Grundrecht auf
Datenschutz auf das absolut Notwendige beschränken müssen und dass ein hoher Maßstab an die
oben dargestellten Voraussetzungen für eine gültige Einwilligung zu setzen ist (vgl. die Urteile vom
14. Februar 2019, C-345/17 Rz 64 sowie vom 1. Oktober 2019, C-673/17 Rz 51 ff).
- 29 –
Sofern die Beschwerdegegner ins Treffen führen, dass auch die Möglichkeit bestehe, das
Nachrichtenportal eines anderen Anbieters zu nutzen, ist ihnen entgegenzuhalten, dass dies nach
Ansicht des EDSA ebenso keine tragfähige Alternative ist. In einem solchen Fall wäre die
Wahlmöglichkeit vom Verhalten anderer Markteilnehmer und davon abhängig, ob eine betroffene
Einzelperson die Dienstleistungen des anderen Verantwortlichen wirklich als gleichwertig ansehen
würde (vgl. Leitlinien 05/2020 a.a.O. Rz 38).
Bei all diesen Überlegungen ist letztlich auch der Schutzzweck der DSGVO zu berücksichtigen. Wie
bereits oben ausgeführt, liegt dieser darin, ein hohes Niveau des Schutzes der Grundrechte und
Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten
(vgl. erneut das Urteil des EuGH vom 1. August 2022 a.a.O.).
Würde man derartige „Pauschaleinwilligungen“ – so wie gegenständlich – zulassen, solange es nur
eine kostenpflichtige Abonnement-Variante gibt, besteht die reelle Gefahr, dass viele Angebote im
Internet (zB. auch von Facebook oder Google) dieser Praxis folgen. Dies hätte wiederum zur Folge,
dass es zu schwerwiegenden Eingriffen in das Grundrecht auf Datenschutz jener Personen kommt, die
sich eine Abonnement-Variante nicht leisten können.
Die Datenschutzbehörde sieht sich daher veranlasst, von der oben zitierten Rechtsprechung im
Hinblick auf Online-Abonnements abzuweichen.
c) Zwischenergebnis
Eine Abonnement-Variante kann eine tragfähige Alternative für die Einwilligung sein, zumal betroffenen
Personen eine gewisse Autonomie über die Verarbeitung ihrer Daten zuzugestehen ist. Allerdings
müssen sich die damit im Zusammenhang stehenden Verarbeitungsvorgänge auf das absolut
Notwendige Ausmaß beschränken.
Gegenständlich wurde dieses Ausmaß aus den oben genannten Gründen überschritten und wurden
die Vorgaben für die Granularität – als Aspekt der Freiwilligkeit einer datenschutzrechtlichen
Einwilligung – verletzt.
Die Folge einer unfreiwilligen Einwilligung ist ihre Ungültigkeit (vgl. Leitlinien 05/2020 a.a.O. Rz 44).
d) Weitere Erlaubnistatbestände gemäß Art. 6 Abs. 4 DSGVO
Das Setzen oder Auslesen von Cookies (bzw. der Einsatz ähnlicher Technologien) erfordert gemäß
Art. 5 Abs. 3 der Richtlinie 2002/58/EG idgF. (umgesetzt in § 165 Abs. 3 TKG 2021) eine gültige
Einwilligung.
Die Einhaltung der Vorgaben des Art. 5 Abs. 3 der Richtlinie 2002/58/EG idgF. (bzw. § 165 Abs. 3 TKG
2021) ist eine Voraussetzung für die Rechtmäßigkeit der darauffolgenden Datenverarbeitung, die in
- 30 –
den Anwendungsbereich der DSGVO fällt (vgl. das Urteil des EuGH vom 17. Juni 2021, C-597/19, ab
Rz 97).
Wie ausgeführt, ist die gegenständliche Einwilligung des Beschwerdeführers ungültig.
Im Sinne der angeführten Judikatur des EuGH wird dadurch auch die darauffolgende
Datenverarbeitung, die in den Anwendungsbereich der DSGVO fällt, unrechtmäßig. Eine nähere
Auseinandersetzung mit den Erlaubnistatbeständen des Art. 6 Abs. 1 DSGVO kann daher unterbleiben.
e) Zum Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG
All diese Ausführungen können auf die Vorgaben von § 1 Abs. 1 und Abs. 2 DSG umgelegt werden.
Sofern die Beschwerdegegner vorbringen, dass § 1 Abs. 1 DSG in Anbetracht der DSGVO
unangewendet zu bleiben habe, ist ihnen entgegenzuhalten, dass es sich um eine im Verfassungsrang
stehende Bestimmung handelt, die – anders als die DSGVO – an keine bestimmte Verarbeitungsform
anknüpft und ein allgemeines Recht auf Geheimhaltung garantiert (vgl. das Erkenntnis des VwGH vom
28. Februar 2018, Ra 2015/04/0087; implizit das Erkenntnis des VwGH vom 19. Oktober 2022,
Ro 2022/04/0001, worin sich dieser mit der Feststellung einer in der Vergangenheit liegenden
Geheimhaltungspflichtverletzung und dem Verhältnis zu den in Kapitel III DSGVO normierten Rechten
auseinandergesetzt hat).
Abgesehen davon spricht nichts dagegen, eine Verletzung von Bestimmungen der DSGVO auch als
Verletzung des Grundrechts auf Geheimhaltung nach § 1 Abs. 1 DSG zu werten, zumal dem DSG seit
Ingeltungtreten der DSGVO einfachgesetzliche Durchführungsbestimmungen fehlen.
Der unmittelbaren Wirkung der DSGVO wird dadurch kein Abbruch getan und der Vollzug der DSGVO
auch nicht erschwert.
f) Ergebnis für Spruchpunkt 1
Die gegenständliche Datenverarbeitung kann durch keinen Tatbestand des Art. 6 Abs. 1 DSGVO und
§ 1 Abs. 2 DSG gerechtfertigt werden und erweist sich daher als unrechtmäßig.
Mit Spruchpunkt 1 war daher die Unrechtmäßigkeit der Datenverarbeitung festzustellen.
D.4. Zu Spruchpunkt 2
Spruchpunkt 2 stützt sich auf die in Art. 58 Abs. 2 lit. d DSGVO normierter Abhilfebefugnis. Nach
Judikatur des Bundesverwaltungsgerichts ist es nämlich zulässig, dass die Datenschutzbehörde auch
im Beschwerdeverfahren von ihren in Art. 58 Abs. 2 DSGVO normierten Befugnissen amtswegig
Gebrauch macht (vgl. das Erkenntnis vom 16. November 2022, GZ: W274 2237056-1/8E).
- 31 –
Nach Art. 17 Abs. 1 lit. d DSGVO hat ein Verantwortlicher die personenbezogenen Daten unverzüglich
zu löschen, wenn diese unrechtmäßig verarbeitet wurden. Eine Ausnahmebestimmung des Art. 17
Abs. 3 DSGVO liegt nicht vor.
Die Beschwerdegegner haben bis zuletzt unklar gelassen, ob zum Entscheidungszeitpunkt die in
Sachverhaltsfestellung C.8. angeführten Daten des Beschwerdeführers weiterhin verarbeitet werden
(vgl. zu den Rechenschafts- und Compliancepflichten eines Verantwortlichen erneut das Urteil des
EuGH vom 27. Oktober 2022 a.a.O.), obwohl der Beschwerdeführer iSd Art. 11 Abs. 2 DSGVO
„zusätzliche Informationen“ (insbesondere die konkreten Cooke-Werte, die für Profiling verwendet
wurden) zur Verfügung gestellt hat.
Eine Frist von vier Wochen scheint angemessen, um den Datenbestand zu überprüfen.
Vor diesem Hintergrund war spruchgemäß von den Abhilfebefugnissen Gebrauch zu machen.
D.5. Zu Spruchpunkt 3
a) Antrag auf Untersagung der relevanten Verarbeitungsvorgänge
Darüber hinaus ist über den Antrag des Beschwerdeführers, gemäß Art. 58 Abs. 2 lit. f DSGVO ein
Verarbeitungsverbot gegen die Beschwerdegegner zu verhängen, abzusprechen.
Aus dem Wortlaut von Art. 58 Abs. 2 lit. f DSGVO kann nicht abgeleitet werden, dass einer betroffenen
Person ein subjektives Recht zukommt, dass eine Aufsichtsbehörde ein ganz konkretes
Verarbeitungsverbot verhängt.
Dies kann auch nicht aus der bisherigen Judikatur des EuGH abgeleitet werden. So hat dieser
festgehalten, dass eine Aufsichtsbehörde zwar verpflichtet ist, im Falle eines festgestellten Verstoßes
geeignete Abhilfemaßnahmen zu treffen. Die konkrete Auswahl der Abhilfebefugnisse obliegt jedoch
der Aufsichtsbehörde (vgl. das Urteil des EuGH vom 16. Juli 2020, CǦ311/18 Rz 112).
Wenn nach dem EuGH die Auswahl der Abhilfebefugnisse aber Sache der Aufsichtsbehörde ist, so
kann umgekehrt kein subjektiver Rechtsanspruch auf die Ausübung einer ganz konkreten
Abhilfebefugnis bestehen.
Im vorliegenden Fall scheint es zudem angebrachter, dies – nach einem sorgfältigen Austausch mit
den anderen Aufsichtsbehörden – im Rahmen eines Verfahrens nach Art. 58 Abs. 1 lit. b DSGVO
durchzusetzen
b) Antrag auf Verhängung einer Geldbuße
Zuletzt war über den Antrag des Beschwerdeführers, eine Geldbuße gegen die Beschwerdegegner zu
verhängen, abzusprechen.
- 32 –
Ein subjektives Recht auf Einleitung eines Strafverfahrens gegen einen gewissen Verantwortlichen
oder Auftragsverarbeiter kann aus Art. 77 Abs. 1 bzw. § 24 Abs. 1 und 5 DSG nicht abgeleitet werden.
Darüber hinaus gilt nach § 25 Abs. 1 VStG das Prinzip der Amtswegigkeit gilt (vgl. Fister in
Lewisch/Fister/Weilguni [Hrsg], VStG Kommentar 2 [2017] § 25 Rz 1).
Ein Verwaltungsstrafverfahren kann daher von einer betroffenen Person nur angeregt werden, ein
Anspruch auf Einleitung eines solchen besteht nicht.
Insgesamt war daher spruchgemäß zu entscheiden.
R E C H T S M I T T E L B E L E H R U N G
Gegen diesen Bescheid kann innerhalb von vier Wochen nach Zustellung schriftlich eine Beschwerde
an das Bundesverwaltungsgericht erhoben werden. Die Beschwerde ist bei der Datenschutzbehörde
einzubringen und muss
- die Bezeichnung des angefochtenen Bescheides (GZ, Betreff)
- die Bezeichnung der belangten Behörde,
- die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
- das Begehren sowie
- die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist,
enthalten.
Die Datenschutzbehörde hat die Möglichkeit, innerhalb von zwei Monaten entweder durch
Beschwerdevorentscheidung ihren Bescheid abzuändern oder die Beschwerde mit den Akten des
Verfahrens dem Bundesverwaltungsgericht vorzulegen.
Die Beschwerde gegen diesen Bescheid ist gebührenpflichtig. Die feste Gebühr für eine
entsprechende Eingabe samt Beilagen beträgt 30 Euro. Die Gebühr ist unter Angabe des
Verwendungszwecks auf das Konto des Finanzamtes Österreich zu entrichten.
Die Gebühr ist grundsätzlich elektronisch mit der Funktion „Finanzamtszahlung“ zu überweisen. Als
Empfänger ist das Finanzamt Österreich - Dienststelle Sonderzuständigkeiten anzugeben oder
auszuwählen (IBAN: AT83 0100 0000 0550 4109, BIC: BUNDATWW). Weiters sind die
Steuernummer/Abgabenkontonummer 10 999/9102, die Abgabenart „EEE -Beschwerdegebühr“, das
Datum des Bescheides als Zeitraum und der Betrag anzugeben.
Sofern das e-banking-System Ihres Kreditinstituts nicht über die Funktion „Finanzamtszahlung“ verfügt,
kann das eps-Verfahren in FinanzOnline genutzt werden. Von einer elektronischen Überweisung kann
nur dann abgesehen werden, wenn bisher kein e-banking-System genutzt wurde (selbst wenn der
Steuerpflichtige über einen Internetanschluss verfügt). Dann muss die Zahlung mittels
- 33 –
Zahlungsanweisung erfolgen, wobei auf die richtige Zuordnung zu achten ist. Weitere Informationen
erhalten Sie beim Finanzamt und im Handbuch „Elektronische Zahlung und Meldung zur Zahlung von
Selbstbemessungsabgaben“.
Die Entrichtung der Gebühr ist bei Einbringung der Beschwerde gegenüber der
Datenschutzbehörde durch einen der Eingabe anzuschließenden Zahlungsbeleg oder einen
Ausdruck über die erfolgte Erteilung einer Zahlungsanweisung nachzuweisen. Wird die Gebühr nicht
oder nicht vollständig entrichtet, ergeht eine Meldung an das zuständige Finanzamt.
Eine rechtzeitig eingebrachte und zulässige Beschwerde an das Bundesverwaltungsgericht hat
aufschiebende Wirkung. Die aufschiebende Wirkung kann im Spruch des Bescheids ausgeschlossen
worden sein oder durch einen eigenen Bescheid ausgeschlossen werden.
29. März 2023
Unterzeichner serialNumber=1831845058,CN=Datenschutzbehörde,C=AT
Datum/Zeit 2023-04-07T09:40:50+02:00
Informationen zur Prüfung des elektronischen Siegels bzw. der
elektronischen Signatur finden Sie unter:
Prüfinformation https://www.signaturpruefung.gv.at
Informationen zur Prüfung des Ausdrucks finden Sie unter:
https://www.dsb.gv.at/-/amtssignatur
Hinweis Dieses Dokument wurde amtssigniert.