Zahlreiche deutsche Datenschutzbehörden haben Ende letzter Woche - anscheinend in einer gemeinsamen Aktion - Pressemitteilungen herausgegeben, in denen sie noch einmal nachdrücklich darauf hinweisen, dass Analyse-Dienste wie Google Analytics (und vergleichbare Dienste) nur mit Einwilligung nutzbar sind. Beispielhaft seien hier die Pressemitteilungen aus Hamburg, aus NRW, aus dem Saarland oder aus Schleswig-Holstein genannt.
Die Äußerungen sind inhaltlich wenig überraschend, denn diese Ansicht hatten die Behörden bereits in der Vergangenheit geäußert.
So hatte die Datenschutzkonferenz - der Zusammenschluss der unabhängigen Datenschutzbehörden des Bundes und der Länder - im April ein umfangreiches Dokument herausgebracht und dort zahlreiche Tracking-Technologien als nicht rechtskonform eingestuft, vgl. unsere News v. 10.04.2019.
Inzwischen hat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) gegen mehrere Webseiten-Betreiber wegen der Nutzung von Google Analytics, Double Click und Criteo Bußgeldverfahren eingeleitet, vgl. unsere News v. 11.09.2019.
Aktuell schreibt der Hamburgische Beauftragte für Datenschutz in seiner Pressemitteilung:
"Viele Website-Betreibende berufen sich bei der Einbindung von Google Analytics auf alte, längst überholte und zurückgezogene Veröffentlichungen wie die „Hinweise des HmbBfDI zum Einsatz von Google Analytics“.
Das Produkt Google Analytics wurde in den vergangenen Jahren so fortentwickelt, dass es in der aktuellen Gestaltung keine Auftragsverarbeitung mehr darstellt. Vielmehr räumt sich Google als Anbieter das Recht ein, die Daten auch zu eigenen Zwecken zu verwenden. Die Einbindung von Google Analytics erfordert daher eine Einwilligung, die den Anforderungen der Datenschutzgrundverordnung genügt. Die meisten der sogenannten Cookie-Banner erfüllen derzeit die gesetzlichen Anforderungen nicht.
Website-Betreibende in Hamburg sollten ihre Websites umgehend auf Dritt-Inhalte und Tracking-Mechanismen überprüfen. Wer Dienste nutzt, die eine Einwilligung erfordern, muss die Einwilligung dafür einholen oder sie entfernen. Eine Einwilligung ist nur dann wirksam, wenn die Website-Besuchenden der Datenverarbeitung eindeutig und informiert zustimmen. Die einwilligungsbedürftige Datenverarbeitung darf zudem erst dann begonnen werden, nachdem die Einwilligung erteilt wurde.
Ein reines Weitersurfen z.B. im Rahmen eines Cookie-Banners stellt keine wirksame Einwilligung dar. Dasselbe gilt für voraktivierte Kästchen bei Einwilligungserklärungen. Diese Wertung der Datenschutzgrundverordnung ist eindeutig, und der Europäische Gerichtshof hat sie in seinem Urteil vom 1. Oktober 2019 (EuGH, Urteil vom 1.10.2019 – C-673/17 – „Planet49“) ausdrücklich bestätigt."
Theoretisch ist somit der Betrieb von Google Analytics möglich, nämlich mit Einwilligung des Users.
In der Praxis ist diese Möglichkeit aber nicht umsetzbar, und zwar aus mehreren Gründen. Zum einen setzt die Einwilligung die transparente Aufklärung über die weitere Datenverarbeitung voraus. Da nicht 100% geklärt ist, was Google alles mit den Daten macht, kann ein Webseiten-Betreiber gar nicht rechtskonform informieren und aufklären. Zum anderen müsste die Abfrage zur Zustimmung vor dem Aufruf der eigentlichen Webseite erfolgen.
Anmerkung von RA Dr. Bahr:
Nachdem Bayern bereits Ernst gemacht und erste Bußgeldverfahren u.a. wegen Google Analytics eingeleitet hat, dürfte es nur noch eine Frage der Zeit sein, bis auch die anderen Datenschutzbehörden in Deutschland nachziehen. Die konzertierte Pressemitteilungs-Aktion von letzter Woche zeigt dies anschaulich.
Dabei offenbart ein Blick über den Tellerrand anschaulich, wie absurd und widersprüchlich - wieder einmal - die Auslegung der DSGVO ist:
Die tschechische Datenschutzbehörde setzt auf ihrer Webseite den Analyse-Dienst von Google ohne jeden ausdrücklichen Hinweis ein.
Auch andere Aufsichtsbehörden zeigen anschaulich, wie man es gerade nicht machen kann bzw. sollte:
Die englische Behörde hat zwar einen Seitenbanner, informiert aber nicht ansatzweise transparent. Auf der Webseite heißt es lediglich:
"We'd like to set Google Analytics cookies to help us to improve our website by collecting and reporting information on how you use it. The cookies collect information in a way that does not directly identify anyone. For more information on how these cookies work, please see our 'Cookies page'.
Und auf der bulgarischen Webseite gibt es einen Cookie-Hinweis am unteren Rand, wo es lapidar heißt:
"We use cookies to personalise content and to analyse our traffic."