Der Einsatz von Google Analytics stellt Webseitenbetreiber nach wie vor vor datenschutzrechtliche Fragen.
Hierzu hat nun die Datenschutzkonferenz (DSK) ein aktuelles Grundsatzpapier herausgebracht.
Die DSK besteht aus den unabhängigen Datenschutzbehörden des Bundes und der Länder. Zwar haben die Stellungnahmen der DSK keinen verbindlichen Charakter, doch kann ihnen entnommen werden, wie die datenschutzrechtlichen Grundsätze der Behörden gehandhabt werden. Die Überprüfung unterliegt allerdings auch nach wie vor den Gerichten.
Die DSK geht grundsätzlich davon aus, dass Google Analytics theoretisch datenschutzkonform einsetzbar ist.
Danach ist als Rechtsgrundlage für den Einsatz des Analysetools nur die Einwilligung des Nutzers einschlägig. Die Rechtfertigung über das sog. „berechtigte Interesse“ des Verwenders (Art. 6 Abs. 1 f) DSGVO) kommt indes nicht in Betracht.
Mit einfachen Worten ausgedrückt bedeutet das: in jedem Fall muss nach Ansicht der DSK die Einwilligung des Nutzers vor dem Einsatz von Google Analytics eingeholt werden.
Die DSK stellt auch Mindestvoraussetzungen an diese Einwilligung auf:
“ Website-Betreiber müssen sicherstellen, dass die Einwilligung die konkrete
Verarbeitungstätigkeit durch die Einbindung von Google Analytics und damit
verbundene Übermittlungen des Nutzungsverhaltens an Google LLC erfasst.
- In der Einwilligung muss klar und deutlich beschrieben werden, dass die
Datenverarbeitung im Wesentlichen durch Google erfolgt, die Daten nicht anonym
sind, welche Daten verarbeitet werden und dass Google diese zu beliebigen eigenen
Zwecken wie zur Profilbildung nutzt sowie mit anderen Daten wie eventueller GoogleAccounts verknüpft. Ein bloßer Hinweis wie z.B. „diese Seite verwendet Cookies, um
Ihr Surferlebnis zu verbessern“ oder „verwendet Cookies für Webanalyse und
Werbemaßnahmen“ ist nicht ausreichend, sondern irreführend, weil die damit
verbundenen Verarbeitungen nicht transparent gemacht werden.
- Nutzer müssen aktiv einwilligen, d.h. die Zustimmung darf nicht unterstellt und ohne
Zutun des Nutzers voreingestellt sein. Ein Opt-Out-Verfahren reicht nicht aus,
vielmehr muss der Nutzer durch aktives Tun (z. B. Anklicken eines Buttons) seine
Zustimmung zum Ausdruck bringen. Google muss ausdrücklich als Empfänger der
Daten aufgeführt werden. Vor einer aktiven Einwilligung des Nutzers dürfen keine
Daten erhoben oder Elemente von Google-Websites nachgeladen werden. Auch das
bloße Nutzen einer Website (oder einer App) stellt keine wirksame Einwilligung dar.
- Freiwillig ist die Einwilligung nur, wenn die betroffene Person Wahlmöglichkeiten und
eine freie Wahl hat. Sie muss eine Einwilligung auch verweigern können, ohne
dadurch Nachteile zu erleiden. Die Koppelung einer vertraglichen Dienstleistung an
die Einwilligung zu einer für die Vertragserbringung nicht erforderlichen
Datenverarbeitung kann gemäß Art. 7 Abs. 4 DS-GVO dazu führen, dass die
Einwilligung nicht freiwillig und damit unwirksam ist. “
Die DSK erteilt des Weiteren konkrete Gestaltungshinweise:
- ” Klare, nicht irreführende Überschrift – bloße „Respektbekundungen“ bezüglich der Privatsphäre reichen nicht aus. Es empfehlen sich Überschriften, in denen auf die 5 Tragweite der Entscheidung eingegangen wird, wie beispielsweise „Datenverarbeitung Ihrer Nutzerdaten durch Google“. – Links müssen eindeutig und unmissverständlich beschrieben sein – wesentliche Elemente/Inhalte insbesondere einer Datenschutzerklärung dürfen nicht durch Links verschleiert werden.
- Der Gegenstand der Einwilligung muss deutlich gemacht werden: Anwender von Google Analytics müssen deutlich machen, für welchen Zweck Google Analytics verwendet wird, dass die Nutzungsdaten von Google LLC verarbeitet werden, diese Daten in den USA gespeichert werden, sowohl Google als auch staatliche Behörden Zugriff auf diese Daten haben, diese Daten mit anderen Daten des Nutzers wie beispielsweise dem Suchverlauf, persönlichen Accounts, den Nutzungsdaten anderer Geräte und allen anderen Daten, die Google zu diesem Nutzer vorliegen, verknüpft werden.
- Der Zugriff auf das Impressum und die Datenschutzerklärung darf nicht verhindert oder eingeschränkt werden.”
Nach Ansicht der DSK muss zudem auch jeder Webseite eine Opt-Out-Möglichkeit vorgehalten werden. Dabei sei der bloße Hinweis auf die Möglichkeit der Deaktivierung von Google Analytics über das Browser-Add-On nicht allein nicht ausreichend.
Generell ist zu sagen, dass der Einsatz von Google Analytics bereits deswegen nur scheinbar rechtskonform möglich ist, weil die Einwilligung des Nutzers „informiert“ erfolgen muss. Der Nutzer muss also vor der Einwilligung genau erfahren können, was mit seinen Daten geschieht. Da Google diese Angaben jedoch selbst nicht herausgibt, ist jede Einwilligung bereits per se schon nicht vollständig informiert.
Wir empfehlen jedoch, wenigstens die Vorgaben der DSK umzusetzen.
Gerne sind wir Ihnen bei der Umsetzung behilflich und beraten Sie zu dem Thema.