Mit der Novellierung des Telemediengesetzes, die Mitte Oktober in Kraft getreten ist, und der damit voraussichtlich erzielten Abschaffung der Störerhaftung für Betreiber drahtloser lokaler Netze, sollte es für die Anbieter nun nicht mehr notwendig sein, von den Nutzern im Rahmen von Registrierungsprozessen Bestandsdaten, bspw. Name und E-Mail-Adresse, zu erheben. Dennoch können Betreiber offener Netze aus Gründen rechtlicher Absicherung ein Interesse daran haben, weiter entsprechende personenbezogene Daten ihrer Nutzer zu erheben. Von noch größerem Interesse ist allerdings die Nutzung solcher Daten für werbliche Zwecke. Inwieweit beide Zwecksetzungen künftig datenschutzkonform ausgestaltet werden können, soll in der Folge beleuchtet werden.
Erhebung von Bestandsdaten zu Sicherungszwecken
Nach bislang geltendem Recht ergab sich für den Betreiber eines offenen WLAN die Notwendigkeit, im Rahmen der Zurverfügungstellung des Dienstes unter Hinweis auf die Rechtsverletzungen untersagenden Nutzungsbedingungen Bestandsdaten zu erheben (Name, E-Mail-Adresse, etc.), da den Betreiber unter Gesichtspunkten der Störerhaftung ansonsten Haftungsrisiken wegen Verletzung von Rechten Dritter, die Nutzer über das WLAN begehen, treffen konnten (EuGH, Urt. v. 15. September 2016 – C-484/14 – Mc Fadden/Sony Music Entertainment Germany, Rn. 83 ff., CR 2016, 678 (681) m. Anm. Franz/Sakowski; AG Koblenz BeckRS 2014, 15122; AG Hamburg, Urteil vom 10. Juni 2014 – 25b C 431/13, CR 2014, 536 m. Anm. Mantz).
Nach § 8 Abs. 4 Telemediengesetz (TMG) darf ein Access-Provider nun behördlich – nach überwiegender Ansicht wohl auch gerichtlich – nicht mehr verpflichtet werden, Nutzer zu einer Registrierung zu verpflichten oder eine Passwortsicherung des WLAN vorzuhalten.
Maßnahmen auf freiwilliger Basis bleiben, soweit derzeit absehbar, davon unberührt, sodass es einem WLAN-Betreiber weiterhin möglich ist, die Voraussetzungen und Nutzungsbedingungen festzulegen, unter denen er Nutzern sein WLAN zur Verfügung stellen möchte. Voraussetzung ist, dass die datenschutzrechtlichen Bestimmungen beachtet werden. Da im Rahmen eines Registrierungsprozesses erhobene Bestandsdaten auch künftig dazu dienen können, die Verfolgung einer rechtsverletzenden oder missbräuchlichen Nutzung des WLAN zu verfolgen, dürfte deren zweckbezogene Erhebung vom gesetzlichen Erlaubnistatbestand des § 28 Abs. 2 Nr. 2 Bundesdatenschutzgesetz (BDSG) bzw. ab Mai 2018 Art. 6 Abs. 1 f) Datenschutz-Grundverordnung (DSGVO) als „berechtigtes Interesse“ gedeckt sein.
Nutzung der Daten für Werbezwecke
Bereits jetzt, insbesondere aber unter Geltung der ihre Schatten vorauswerfenden DSGVO, ist für Unternehmen, die freies WLAN anbieten, von besonderem Interesse, wie diese Daten auch für Werbezwecke gegenüber den Nutzern des WLAN fruchtbar gemacht werden können.
Entkopplung der Einwilligung
Eine sichere Variante nach geltendem wie auch nach künftigem Recht bestünde darin, im Rahmen des Double-Opt-In-Verfahrens die Einwilligung in die entsprechende Datenverarbeitung einzuholen. Sofern die Bereitstellung des WLAN nicht an die Einwilligung zu Werbezwecken gekoppelt wird, ist dies unproblematisch. Es muss hierbei sichergestellt werden, dass der Nutzer vor Erteilung der Einwilligung ausdrücklich auf Art, Umfang und Dauer dieser Art der Werbenutzung hingewiesen und er über alle Rechte im Zusammenhang hiermit, insbesondere sein jederzeitiges Widerrufs- bzw. Widerspruchsrecht aufgeklärt wird. Klar ist, dass eine solche Entkoppelung dazu führt, dass deutlich weniger Personen in die Datennutzung zu Werbezwecken einwilligen, da sie auch ohnedies unbeschränkten Zugriff auf das WLAN erhalten.
Gekoppelte Einwilligung nach geltendem Recht
Vor diesem Hintergrund scheint es verlockend, die Nutzungsmöglichkeit des WLAN an die Hingabe der Daten für Werbezwecke zu koppeln. Ob dies zulässig ist, hängt bereits nach geltendem Recht von der Beantwortung einiger Wertungsfragen ab. So regelt § 95 Abs. 5 Telekommunikationsgesetz (TKG), dass die Erbringung von Telekommunikationsdiensten nicht von einer Einwilligung des Teilnehmers in eine Verwendung seiner Daten für andere Zwecke abhängig gemacht werden darf, wenn dem Teilnehmer ein anderer Zugang zu diesen Telekommunikationsdiensten ohne die Einwilligung nicht oder in nicht zumutbarer Weise möglich ist. § 95 Abs. 5 TKG ist für Diensteanbieter im Sinne des § 3 Nr. 6 TKG, zu denen Anbieter offener WLAN zu zählen sind, lex specialis zu § 28 Abs. 3b BDSG, der etwas nachgiebiger formuliert, dass die verantwortliche Stelle den Abschluss eines Vertrags nicht von einer Einwilligung des Betroffenen abhängig machen dürfe, wenn dem Betroffenen ein anderer Zugang zu gleichwertigen vertraglichen Leistungen ohne die Einwilligung nicht oder nicht in zumutbarer Weise möglich ist.
Die Möglichkeit eines alternativen Zugangs i. S. d. § 95 Abs. 5 TKG besteht nach überwiegender Auffassung nur dann nicht, wenn die Leistung ohne die Einwilligung insgesamt auf dem Markt nicht oder nicht zumutbar verfügbar ist. Hierbei kommt es also nicht auf den konkreten Diensteanbieter bzw. Dienst an, sondern auf den Gesamtmarkt (vgl. für die überwiegende Ansicht Lutz in: Arndt/Fetzer/Scherer/Graulich, TKG, 2. Aufl. 2015, § 95 Vertragsverhältnisse, Rn. 31; Jenny in: Plath, BDSG/DSGVO, 2. Aufl. 2016, § 95 TKG, Rn. 14; anders wohl Büttgen in: BeckOK TKG, 4. Aufl. 2013, § 95 Rn 33). Dies entspricht der ursprünglichen Zwecksetzung der Vorschrift, die unlautere Ausnutzung von Marktmacht im Telekommunikationsmarkt zu beschränken.
Ein anderweitiger Zugang ist dann unzumutbar, wenn dem Nutzer im Einzelfall ein unverhältnismäßig hoher Aufwand bei dessen Nutzung entsteht, sodass für den gekoppelten Dienst ein „De facto-Monopol“ entsteht. Dabei sind beispielsweise sowohl die Kosten für alternative Dienste als auch technische oder administrative Herausforderungen bei deren Nutzung zu berücksichtigen. Im Falle eines unverhältnismäßigen Aufwandes, angemessene Alternativen zu nutzen, kann von der Freiwilligkeit der Einwilligung in die WLAN-Nutzung unter Hingabe von Daten für die werbliche Nutzung nicht mehr ausgegangen werden. Hat der Kunde hingegen die Möglichkeit, den nachgefragten Telekommunikationsdienst auch bei einem anderen Anbieter in zumutbarer Weise ohne die Erteilung der werbebezogenen Einwilligung zu erhalten, wird die Freiwilligkeit der Einwilligung in die Nutzung des gekoppelten Dienstes nicht tangiert. Entscheidend ist nach derzeitiger Rechtslage also, ob es zumutbare Alternativen gibt, bei deren Würdigung räumliche und sachliche Märkte genau abgegrenzt werden müssen. Sachlich dürften neben WLAN im „klassischen Sinne“ auch sonstige Möglichkeiten zu berücksichtigen sein, die einen drahtlosen und je nach räumlichem Zusammenhang auch drahtgebundenen Zugang ins Internet (bspw. durch private Mobilfunkanbieter), möglich machen. In aller Regel dürften sich Nutzer ohne großartigen kosten- oder verwaltungsbezogenen Aufwand Zugang zu gleichwertigen Leistungen verschaffen können (geringe Kosten für die Nutzung schließen die Angemessenheit der Alternative indes nicht zwingend aus), sodass die Kopplung der WLAN-Nutzung an die Einwilligung der Datennutzung zu werblichen Zwecken gangbar erscheint.
Gekoppelte Einwilligung nach Inkrafttreten der DSGVO
Eine solche Kopplung wird nach Inkrafttreten der DSGVO im Mai 2018, die ein wohl strengeres, jedenfalls aber weiter formuliertes Kopplungsverbot vorsieht, mit zunehmenden Unsicherheiten hinsichtlich der Rechtswirksamkeit der so erteilten Einwilligung versehen sein. So wird in Art. 7 Abs. 4 DSGVO zunächst einmal recht pauschal geregelt, dass die Erbringung einer Dienstleistung nicht von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig gemacht werden dürfe, die für die Erfüllung des Vertrags nicht erforderlich sind. Erwägungsgrund 43 führt hierzu aus:
„Um sicherzustellen, dass die Einwilligung freiwillig erfolgt ist, sollte diese in besonderen Fällen, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht […] und es deshalb in Anbetracht aller Umstände in dem speziellen Fall unwahrscheinlich ist, dass die Einwilligung freiwillig gegeben wurde, keine gültige Rechtsgrundlage liefern. Die Einwilligung gilt nicht als freiwillig erteilt, wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.“
Zunächst einmal wird das Kopplungsverbot auch hier damit als Spezialausprägung des allgemeinen Grundsatzes der Freiwilligkeit von Einwilligungserklärungen verstanden. Insoweit scheint eine Kopplung trotz des scheinbar eindeutigen Wortlauts nicht kategorisch ausgeschlossen. Über die Zulässigkeit einer solchen Kopplung sollte demgegenüber anhand einer umfassenden Interessenabwägung im Einzelfall entschieden werden. Diese muss Aufschluss darüber geben, ob von einer die Freiwilligkeit ausschließenden Zwangslage bei Erteilung der Einwilligung auszugehen ist. Auch hier wird demnach zu erwägen sein, inwieweit Alternativen des zeitlich und örtlich möglichst ungebundenen Internetzugangs bestehen. Hierbei dürfte auch zu berücksichtigen sein, dass ein Anspruch auf kostenloses WLAN oder ein rechtlicher oder faktischer Zwang, dieses in Anspruch zu nehmen, in aller Regel nicht bestehen.
Ein praktischer Vorschlag zur weiteren Abschwächung der „Zwangslage“ könnte daneben bspw. darauf lauten, über eine relevante Zeitspanne (bspw. 30 bis 60 Minuten) den Zugang ohne Hingabe der Daten für Werbezwecke nutzbar zu machen und erst die weitere Nutzung an die Einwilligung zur werblichen Nutzung zu koppeln. So dürften selbst seltene Fälle, in denen gleichwertige Alternativen nicht zur Verfügung stehen, der Betroffene aber auf einen Internetzugang zwingend angewiesen ist, rechtskonform abzubilden sein.
Im Ergebnis bleibt abzuwarten, wie streng die Aufsichtsbehörden und ggf. die Gerichte das Kopplungsverbot nach DSGVO auch bei „Gratisleistungen“ auslegen werden.
Künftige Alternativen – Daten als ZahlungsmittelÂ
Ohne Einwilligung kommt die werbliche Nutzung auf Basis eines gesetzlichen Erlaubnistatbestandes (Art. 6 Abs. 1, Satz 1 lit f. DSGVO) in Betracht. Hierfür muss die Verarbeitung der Daten zur Wahrung eines die Interessen des Nutzers überwiegenden berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sein. Nach vorherrschender Ansicht kann Direktwerbung ein solch berechtigtes Interesse darstellen (so auch Erwägungsgrund 47 der DSGVO). Gleichzeitig muss der Nutzer über sein ständiges Widerspruchsrecht gegen die werbliche Nutzung aufgeklärt werden (Art. 21 Abs. 4 DSGVO). Allerdings löst das nach überwiegender Ansicht nicht das Problem, dass die E-Mail-Werbung auch nach dem Gesetz gegen den unlauteren Wettbewerb grundsätzliche eine ausdrückliche Einwilligung erfordert (§ 7 Abs. 2 Nr. 3 UWG). Eine Ausnahme greift nur dann, wenn ein Unternehmer die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von dem Kunden erhalten hat und der Unternehmer die Adresse zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet; auch hierbei hat der Beworbene ein ständiges Widerspruchsrecht, auf das er kontinuierlich hinzuweisen ist (§ 7 Abs. 3 UWG).
Ein innovativer und in seiner Tragfähigkeit noch näher zu untersuchender Ansatz bestünde darin, bei Anmeldung für die WLAN-Nutzung in der beschriebenen Weise den Nutzer ausdrücklich darauf hinzuweisen, dass es sich bei dem Angebot des „kostenlosen“ WLAN insoweit um ein entgeltliches Angebot handelt, als im Gegenzug die zwecks Registrierung angegebenen Daten in einem angemessenen Umfang zur Bewerbung des Nutzers verwendet werden. Dann dürfte die Hingabe der Daten zu Werbezwecken bereits für die Erfüllung des Vertrages erforderlich sein (§ 28 Abs. 1 Nr. 1 BDSG, Art. 6 Abs. 1 b DSGVO). Aus allgemein vertragsrechtlicher Sicht müsste man dann allerdings noch einmal genauer prüfen, inwieweit hieraus erweiterte Pflichten an die Leistungsbereitstellung des WLAN erfolgen und wie lange und in welchem Umfang die Daten für Werbung genutzt werden dürften. Hier wird es weniger um die Prüfung des Kriteriums der Erforderlichkeit gehen, da sich diese schon aus dem Charakter der Daten als vertragliche Gegenleistung ergibt, sondern mehr um die Angemessenheit von Leistung und Gegenleistung nach allgemeinen zivilrechtlichen Grundsätzen (Sittenwidriges Rechtsgeschäft, Treu und Glauben). Mangels Erfahrungswerten sowohl auf Seiten der Verbraucher als auch auf Seiten der Rechtspraxis müsste sich hier ein adäquater Maßstab erst noch herausbilden. Schwung in diese Debatte bringt bereits jetzt die geplante Richtlinie über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte. Sie sieht nach derzeitigem Stand im Gesetzgebungsverfahren vor, dass Verbraucher für die Bereitstellung digitaler Inhalte die Gegenleistung in Form personenbezogener Daten erbringen können, und wird insbesondere unter Hinweis auf die Aushöhlung der Freiwilligkeit der Einwilligung in Datenverarbeitungsprozesse, wie sie die DSGVO vehement bezweckt, kritisiert.
