Die datenschutzrechtliche Aussage, dass die Übermittlung und Zusammenführung des Nutzerverhaltens von Webseitenbesuchern zu umfassenden Internetprofilen (»Tracking«) nur auf die Einwilligung des Betroffenen gestützt werden kann, ist nicht neu. Die deutlichen Worte, die das Bayerische Landesamt für Datenschutzaufsicht in seiner Pressemitteilung von 15. November 2019 zum Einsatz von Google Analytics findet, ist hierbei nochmals eine Bestätigung der bisherigen Rechtsauffassung der Aufsichtsbehörden.
“Ein mit Blick auf drohende Geldbußen risikofreier Einsatz von Tracking Tools wie Google Analytics ist jedenfalls ohne die Einholung wirksamer Einwilligungen, zum Beispiel über Cookie-Banner, nicht möglich.” – Matthias Herkert
Reichweitenmessung — ja / Tracking — nein
Ausdrücklich weist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in seiner Pressemittleitung »Google Analytics nur mit Einwilligung« (über diesen LINK kommen Sie zum PDF-Dokument des BayLDA) darauf hin, dass Reichweitenmessungen, d.h. Messungen des Internetseitenbetreibers, zum Beispiel aus welchen Ländern die Webseitbesucher kommen und wie deren Nutzerverhalten auf der Seite aussieht, bei entsprechend transparenter und vollständiger Information und der Möglichkeit eines Widerspruchs durch Opt-Out auch unter der DSGVO regelmäßig zulässig sind (hierzu auch unser Beitrag »Berechtigtes Interesse an Analysediensten«)
Dem gegenüber stehen webseitenübergreifenden Trackingprofile der Besucher, die durch Übertragung von Analysedaten an Dritte erzeugt werden. Diese können nach inzwischen völlig gefestigter Auffassung der Aufsichtsbehörden nur auf eine informierte, freiwillige und nachweisliche Einwilligung des Betroffenen i.S.d. Artikel 6 abs. 1 S. 1 lit. a DSGVO gestützt werden.
Einwilligungserfordernis ist nicht neu
Bereits in der Positionsbestimmung der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) vom 26. April 2018 findet sich der Hinweis, es bedürfe »jedenfalls einer vorherigen Einwilligung beim Einsatz von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen und bei der Erstellung von Nutzerprofilen« (HIER geht es zum Dokument der DSK auf der Internetpräsenz der der Landesbeauftragen für Datenschutz und Informationsfreiheit Nordrhein-Westfalen). Diese Position wird nochmals in der »Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien« beton (das PDF-Dokument finden Sie über diesen LINK auf der Seite der Datenschutzkonferenz).
Weiterentwicklungen bei Google Analytics beachten
Ausdrücklich weist das BayLDA darauf hin, dass sich Google im Rahmen der Weiterentwicklung des Tracking-Tools Google Analytics inzwischen das Recht einräume, Daten der getrackten Webseitenbesuchenden zu eigenen Zwecken zu verwenden. Dieser Aussage wiederspricht Google aktuell zwar mit Verweis auf ihren Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, dieser Position steht jedoch entgegen, dass mehrere deutsche Aufsichtsbehörden die Auffassung vertreten, beim Einsatz von Google Analytics handle es sich nicht um eine Auftragsverarbeitung.
Klare Aussage des Präsidenten des BayLDA
Unmissverständlich und ohne viel Interpretationsspielräume stellt der Präsident des Bayerischen Landesamts für Datenschutzaufsicht in der Pressemitteilung klar, dass, wer eine Software zur webseitenübergreifenden Erfassung des Nutzungsverhaltens (Tracking) wie z.B. Google Analytics einsetze, dies nur dürfe, wenn er eine wirksame Einwilligung der Betroffenen nachweisen könne.
Eine Einbindung von Tracking-Tools auf Rechtsgrundlage des berechtigten Interesses des Webseitenbetreibers im Sinne des Artikels 6 Abs. 1 S. 1 lit. f DSGVO scheidet damit aus Sicht der Aufsichtsbehörden eindeutig aus.
Fazit
Das Bayerische Landesamt für Datenschutzaufsicht steht mit seiner Pressemitteilung in einem engen Schulterschluss mit den übrigen deutschen Aufsichtsbehörden. So haben etwa der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit wie auch die Landesbeauftrage für Datenschutz und Informationsfreiheit Nordrhein-Westfalen ebenfalls Mitte November 2019 den Einsatz von Google Analytics und ähnliche Dienste unter den Einwilligungsvorbehalt des Betroffenen gestellt (HIER geht es zur Mitteilung auf der Webseite des HmbBfDI, HIER zum PDF-Dokument des LDI NRW).
Auch wenn die Ansicht der Aufsichtsbehörden zum Einsatz von Google Analytics nicht unumstritten sein mag, ist doch bereits absehbar, dass die Aufsichtsbehörden auf dieser Grundlage Verfahren gegen Websitebetreiber einleiten und Geldbußen verhängen werden. Rechtssicherheit werden erst die zu erwartenden Gerichtsurteile zum Einsatz von Tracking-Tools bringen.
Bis dahin sind Webseitenbetreiber gut beraten sich sehr kritisch mit dem Einsatz von Tracking-Tools wie Google Analytics auseinander zu setzen. Ein mit Blick auf drohende Geldbußen risikofreier Einsatz der Tools ist jedenfalls ohne die Einholung wirksamer Einwilligungen zum Beispiel über Cookie-Banner nicht möglich
Artikel zum selben Thema:
Einwilligung – Drahtseilakt zwischen rechtlicher Ausgestaltung und praktischer Handhabung
Es begegnet uns nahezu alltäglich – das Erfordernis der Einwilligung. Im beruflichen wie auch im privaten Kontext. In der datenschutzrechtlichen […]
EU-US Data Privacy Framework – was lange währt wird endlich gut?
Am 10.07.2023 verabschiedete die EU-Kommission den neuen Angemessenheitsbeschluss für die USA – das Transatlantic Data Privacy Framework, kurz TADPF. […]
Zum Stand des Angemessenheitsbeschlusses zwischen der EU und den USA
Mit seinem Urteil vom 16. Juli 2020 hat der EuGH den Nachweis eines angemessenen Datenschutzniveaus durch die Privacy Shield-Zertifizierung […]