Warum ist das Pinterest Tag datenschutzrechtlich relevant?

Rufen nutzen eine Seite mit einem Pinterest Tag auf, stellt ihr Browser eine direkte Verbindung zu den Servern von Pinterest her. Das Pinterest Tag übermittelt dann Userdaten wie beispielsweise

Geräteinformationen,
das verwendete Betriebssystem,
die IP-Adresse und
das Verhalten auf der entsprechenden Webseite

an das Netzwerk in den USA weiter. Dabei kann es sich um personenbezogene Daten handeln. Diese sind durch die Datenschutz-Grundverordnung (DSGVO) besonders geschützt. Unternehmen müssen daher besondere datenschutzrechtliche Pflichten beachten.

Pinterest Tag datenschutzkonform nutzen

Um das Pinterest Tag DSGVO-konform zu verwenden, sollten Unternehmen diese datenschutzrechtlichen Vorgaben erfüllen:

Datenschutzerklärung anpassen

Unternehmen müssen in ihrer Datenschutzerklärung aufführen, dass sie über das Pinterest Tag personenbezogene Daten verarbeiten und an Pinterest weitergeben. Dabei sollten sie klarstellen,

warum sie über das Pinterest Tag Daten erheben,
wie lange sie diese Daten speichern wollen,
welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. f DSGVO) und
dass User der Datenerhebung und Datenspeicherung jederzeit widersprechen können.

Darüber hinaus sollten Unternehmen in diesem Kontext auf die Nutzungs- und Datenschutzbedingungen von Pinterest hinweisen. Auf diese Weise können sich User selbst ein Bild machen, was mit ihren Daten bei Pinterest passiert.

Hinweise auf den Privacy Shield müssen Business-Inhaber aus ihrer Datenschutzerklärung entfernen. Der Europäische Gerichtshof (EuGH) hat diesen im Sommer 2020 für unwirksam erklärt, um darüber Daten in die USA zu verschicken.

Standardvertragsklauseln prüfen

Seitdem der EuGH den Privacy Shield für unwirksam erklärt hat, nutzt Pinterest Standardvertragsklauseln, um Userdaten rechtssicher zu versenden. Unternehmen geben daher die über das Pinterest Tag erhobenen Daten auf Grundlage von EU-Standardvertragsklauseln weiter. Sie sollten diese überprüfen. Denn: Die Standardvertragsklauseln reichen für einen rechtssicheren Datentransfer nur dann aus, wenn in dem Zielland ein ausreichendes Datenschutzniveau herrscht. Die USA erreicht dieses Datenschutzniveau derzeit nicht. Für Seitenbetreiber ist daher derzeit unklar, ob sie auf Basis von Standardvertragsklauseln Daten an Pinterest weitergeben dürfen.

Cookie-Banner anpassen

Sobald User eine Webseite mit einem Pinterest Tag besuchen, setzt Pinterest Cookies in ihren Browser. Dafür benötigen Seitenbetreiber eine Erlaubnis der Nutzer. Diese können sie über einen Cookie-Hinweis auf ihrer Seite einholen. User müssen den Hinweis per Opt-In bestätigen können.

Rechtsprechung zum Pinterest Tag

Unternehmen dürfen nur Tracking-Cookies auf ihrer Seite einsetzen, wenn sie vorher eine Einwilligung der User dafür eingeholt haben. Das gilt nicht nur für das Sammeln von personenbezogenen Daten, sondern auch für die Erhebung von anonymen Daten. Das entschied der EuGH im Oktober 2019 (C-637/17). Zu diesem Ergebnis kam auch der Bundesgerichtshof im Mai 2020. Dabei bestätigte er, dass Unternehmen die Erlaubnis der User nur per Opt-In rechtssicher einholen können (I ZR 7/16).

Der Privacy Shield eignet sich nicht, um rechtssicher Daten in die USA zu verschicken. Das stellte der EuGH im Sommer 2020 fest. Die Richter führten das vor allem auf das niedrigere Datenschutzniveau in dem Land zurück. Denn: Die Überwachungsprogramme dort sind nicht auf das zwingend erforderliche Maß beschränkt. Zudem können User aus Europa US-amerikanische Behörden oder Unternehmen nicht verklagen, sollten diese ihre Daten missbrauchen.