„Google Analytics & Co“ sind auch in Deutschland einwilligungspflichtig

559

Update 14.11.2019

 


Google Analytics und ähnliche Dienste nur mit Einwilligung nutzbar – Berliner Beauftragte für Datenschutz stellt klar:

Webseiten-Betreiber benötigen eine Einwilligung der Besucherinnen und Besucher ihrer Webseiten, wenn darin Dritt-Dienste eingebunden werden sollen, bei denen der Anbieter dadurch erlangte personenbezogene Daten auch für eigene Zwecke nutzt. Dazu gehört auch das Produkt Google Analytics, wie die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Maja Smoltczyk, betont.

Bereits im Frühjahr haben die Datenschutz-Aufsichtsbehörden die „Orientierungshilfe für Anbieter von Telemedien“1 veröffentlicht und im Einzelnen herausgearbeitet, unter welchen Bedingungen ein Tracking von Webseiten-Besucherinnen und -Besuchern zulässig ist. Trotzdem erhält die Berliner Datenschutzbeauftragte weiterhin eine Vielzahl von Beschwerden über Websites, die die Orientierungshilfe missachten.

Analyse-Tools, die Daten über das Nutzungsverhalten an Dritte weitergeben, dürfen danach jedenfalls in den Fällen, in denen diese Dritten die Daten auch zu eigenen Zwecken verwenden, nur mit Einwilligung genutzt werden. Gleiches gilt, wenn das Verhalten der Webseiten-Besucherinnen und -Besucher im Detail nachvollzogen und aufgezeichnet werden kann, etwa wenn Tastatureingaben, Maus- oder Wischbewegungen erfasst werden. Als zulässig angesehen werden kann es demgegenüber, wenn eine Webseiten-Betreiberin eine Reichweitenerfassung durchführt und dafür die Zahl der Besucherinnen und Besucher pro Seite, die Geräte und die Spracheinstellungen erhebt, auch wenn ein Auftragsverarbeiter dies erledigt. Ein Auftragsverarbeiter darf allerdings die Daten nicht zu eigenen Zwecken verwenden, wie es sich mittlerweile der Anbieter von Google Analytics vorbehält.

Maja Smoltczyk: „Viele Webseiten-Betreiber berufen sich bei der Einbindung von Google Analytics auf alte, durch fortlaufende Produktveränderungen längst überholte und zurückgezogene Veröffentlichungen wie die Hinweise für Berliner Webseitenbetreiber, die Google Analytics einsetzen. Das Produkt Google Analytics wurde in den vergangenen Jahren so fortentwickelt, dass es in der aktuellen Gestaltung keine Auftragsverarbeitung mehr darstellt. Vielmehr räumt sich der Anbieter das Recht ein, die Daten der die Webseiten Besuchenden zu eigenen Zwecken zu verwenden. Die Einbindung von Google Analytics erfordert daher eine Einwilligung, die den Anforderungen der Datenschutz-Grundverordnung genügt. Die meisten der sogenannten Cookie-Banner, die wir in der Praxis sehen, erfüllen die gesetzlichen Anforderungen nicht.

Mit seinem heutigen Urteil zu Planet49 (C-673/17) hat der Europäische Gerichtshof (EuGH) wesentliche Fragen, die in den letzten Jahren zu unterschiedlichen Auslegungen zwischen Webseitenbetreibern, Anbietern von Tracking-Diensten und den Datenschutzaufsichtsbehörden geführt haben, in einer grundsätzlichen Weise beantwortet. Der EuGH macht klar, dass – auch in Deutschland – das Setzen bzw. Abrufen von Cookies oder anderer Informationen, die im Endgerät des Nutzers gespeichert sind, einwilligungsbedürftig ist. Das auf vielen Websites bereitgestellte Opt-Out-Verfahren reicht nicht aus. Die Ausführungen des Gerichts gelten unabhängig davon, ob es sich dabei um personenbezogene Daten handelt.

Das Gericht präzisiert auch die Anforderungen, die an eine entsprechende Einwilligung zu stellen sind. Sie setzt ein aktives Verhalten des Nutzers voraus, das ohne jeden Zweifel und freiwillig erfolgt. Dies schließt etwa Modelle aus, die an eine reine Weiternutzung des Angebots anknüpfen.

Die nach Maßgabe der Regelung der Datenschutzgrundverordnung (DSGVO) anwendbare Informationspflicht wird in einer Weise ausgelegt, dass die betroffenen Personen vorab umfassend aufzuklären sind. Eine Einwilligung kann nur in voller Kenntnis der Sachlage erteilt werden. Danach muss der Webseitenbetreiber den Nutzer jedenfalls über die Funktionsdauer von Cookies sowie über den Zugriff Dritter auf diese informieren.

Dazu Johannes Caspar, Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit: “Das heutige EuGH-Urteil bestätigt die langjährige rechtliche Auffassung der Datenschutzaufsichtsbehörden, wonach insbesondere das Setzen von Cookies einer Einwilligung bedarf. Dies gilt auch für andere Formen des Tracking wie etwa Browser-Fingerprinting. Für das Webtracking nicht nur in Deutschland, sondern in ganz Europa stellt das Urteil einen Weckruf dar, die weithin rechtswidrige Praxis in diesem Bereich an das Datenschutzrecht auszurichten. Wir werden die Maßstäbe des EuGH unserer aufsichtsbehördlichen Praxis zu Grunde legen.”


Die deutschen Aufsichtsbehörden stellen unter https://www.datenschutzkonferenz-online.de/media/oh/20190405_oh_tmg.pdf eine Orientierungshilfe für Anbieter von Telemedien bereit, die Webseitenbetreiber in die Lage versetzt, die ggf. erforderlichen Anpassungen ihrer Angebote vorzunehmen.


Weitere Artikel zum Thema:

HINTERLASSEN SIE EINE ANTWORT

Please enter your comment!
Please enter your name here