“Ein mit Blick auf dro­hen­de Geld­bu­ßen risi­ko­frei­er Ein­satz von Track­ing Tools wie Goog­le Ana­ly­tics  ist jeden­falls ohne die Ein­ho­lung wirk­sa­mer Ein­wil­li­gun­gen, zum Bei­spiel über Cookie-Banner, nicht mög­lich.” – Mat­thi­as Herkert

Reichweitenmessung — ja / Tracking — nein

Aus­drück­lich weist das Baye­ri­sche Lan­des­amt für Daten­schutz­auf­sicht (BayL­DA) in sei­ner Pres­se­mitt­lei­tung »Goog­le Ana­ly­tics nur mit Ein­wil­li­gung« (über die­sen LINK kom­men Sie zum PDF-Dokument des BayL­DA) dar­auf hin, dass Reich­wei­ten­mes­sun­gen, d.h. Mes­sun­gen des Inter­net­sei­ten­be­trei­bers, zum Bei­spiel aus wel­chen Län­dern die Web­seit­be­su­cher kom­men und wie deren Nut­zer­ver­hal­ten auf der Sei­te aus­sieht, bei ent­spre­chend trans­pa­ren­ter und voll­stän­di­ger Infor­ma­ti­on und der Mög­lich­keit eines Wider­spruchs durch Opt-Out auch unter der DSGVO regel­mä­ßig zuläs­sig sind (hier­zu auch unser Bei­trag »Berech­tig­tes Inter­es­se an Ana­ly­se­diens­ten«)

Dem gegen­über ste­hen web­sei­ten­über­grei­fen­den Track­ing­pro­fi­le der Besu­cher, die durch Über­tra­gung von Ana­ly­se­da­ten an Drit­te erzeugt wer­den. Die­se kön­nen nach inzwi­schen völ­lig gefes­tig­ter Auf­fas­sung der Auf­sichts­be­hör­den nur auf eine infor­mier­te, frei­wil­li­ge und nach­weis­li­che Ein­wil­li­gung des Betrof­fe­nen i.S.d. Arti­kel 6 abs. 1 S. 1 lit. a DSGVO gestützt werden.

Einwilligungserfordernis ist nicht neu

Bereits in der Posi­ti­ons­be­stim­mung der Kon­fe­renz der unab­hän­gi­gen Daten­schutz­be­hör­den des Bun­des und der Län­der (DSK) vom 26. April 2018 fin­det sich der Hin­weis, es bedür­fe »jeden­falls einer vor­he­ri­gen  Ein­wil­li­gung beim Ein­satz von Tracking-Mechanismen, die das Ver­hal­ten von betrof­fe­nen Per­so­nen im Inter­net nach­voll­zieh­bar machen und bei der Erstel­lung von Nut­zer­pro­fi­len« (HIER geht es zum Doku­ment der DSK auf der Inter­net­prä­senz der der Lan­des­be­auf­tra­gen für Daten­schutz und Infor­ma­ti­ons­frei­heit Nordrhein-Westfalen). Die­se Posi­ti­on wird noch­mals in der »Ori­en­tie­rungs­hil­fe der Auf­sichts­be­hör­den für Anbie­ter von Tele­me­di­en« beton (das PDF-Dokument fin­den Sie über die­sen LINK auf der Sei­te der Datenschutzkonferenz).

Weiterentwicklungen bei Google Analytics beachten

Aus­drück­lich weist das BayL­DA dar­auf hin, dass sich Goog­le im Rah­men der Wei­ter­ent­wick­lung des Tracking-Tools Goog­le Ana­ly­tics inzwi­schen das Recht ein­räu­me, Daten der getrack­ten Web­sei­ten­be­su­chen­den zu eige­nen Zwe­cken zu ver­wen­den. Die­ser Aus­sa­ge wie­der­spricht Goog­le aktu­ell zwar mit Ver­weis auf ihren Ver­trag zur Auf­trags­ver­ar­bei­tung nach Art. 28 DSGVO, die­ser Posi­ti­on steht jedoch ent­ge­gen, dass meh­re­re deut­sche Auf­sichts­be­hör­den die Auf­fas­sung ver­tre­ten, beim Ein­satz von Goog­le Ana­ly­tics hand­le es sich nicht um eine Auftragsverarbeitung.

Klare Aussage des Präsidenten des BayLDA

Unmiss­ver­ständ­lich und ohne viel Inter­pre­ta­ti­ons­spiel­räu­me stellt der Prä­si­dent des Baye­ri­schen Lan­des­amts für Daten­schutz­auf­sicht in der Pres­se­mit­tei­lung klar, dass, wer eine Soft­ware zur web­sei­ten­über­grei­fen­den Erfas­sung des Nut­zungs­ver­hal­tens (Track­ing) wie z.B. Goog­le Ana­ly­tics ein­set­ze, dies nur dür­fe, wenn er eine wirk­sa­me Ein­wil­li­gung der Betrof­fe­nen nach­wei­sen könne.

Eine Ein­bin­dung von Tracking-Tools auf Rechts­grund­la­ge des berech­tig­ten Inter­es­ses des Web­sei­ten­be­trei­bers im Sin­ne des Arti­kels 6 Abs. 1 S. 1 lit. f DSGVO schei­det damit aus Sicht der Auf­sichts­be­hör­den ein­deu­tig aus.

Fazit

Das Baye­ri­sche Lan­des­amt für Daten­schutz­auf­sicht steht mit sei­ner Pres­se­mit­tei­lung in einem engen Schul­ter­schluss mit den übri­gen deut­schen Auf­sichts­be­hör­den. So haben etwa der Ham­bur­gi­sche Beauf­trag­te für Daten­schutz und Infor­ma­ti­ons­frei­heit wie auch die Lan­des­be­auf­tra­ge für Daten­schutz und Infor­ma­ti­ons­frei­heit Nordrhein-Westfalen eben­falls Mit­te Novem­ber 2019 den Ein­satz von Goog­le Ana­ly­tics und ähn­li­che Diens­te unter den Ein­wil­li­gungs­vor­be­halt des Betrof­fe­nen gestellt (HIER geht es zur Mit­tei­lung auf der Web­sei­te des HmbBfDI, HIER zum PDF-Dokument des LDI NRW).

Auch wenn die Ansicht der Auf­sichts­be­hör­den zum Ein­satz von Goog­le Ana­ly­tics nicht unum­strit­ten sein mag, ist doch bereits abseh­bar, dass die Auf­sichts­be­hör­den auf die­ser Grund­la­ge Ver­fah­ren gegen Web­site­be­trei­ber ein­lei­ten und Geld­bu­ßen ver­hän­gen wer­den. Rechts­si­cher­heit wer­den erst die zu erwar­ten­den Gerichts­ur­tei­le zum Ein­satz von Tracking-Tools bringen.

Bis dahin sind Web­sei­ten­be­trei­ber gut bera­ten sich sehr kri­tisch mit dem Ein­satz von Tracking-Tools wie Goog­le Ana­ly­tics aus­ein­an­der zu set­zen. Ein mit Blick auf dro­hen­de Geld­bu­ßen risi­ko­frei­er Ein­satz der Tools ist jeden­falls ohne die Ein­ho­lung wirk­sa­mer Ein­wil­li­gun­gen zum Bei­spiel über Cookie-Banner nicht möglich