Mit Einführung der Datenschutzgrundverordnung (DSGVO) am 25. Mai 2018 herrschte in der Web-Community großer Aufruhr und noch größere Verunsicherung. Was darf man auf der eigenen Webseite überhaupt noch tun? Welche Tools können bedenkenlos genutzt werden, welche Services angepasst werden und was ist überhaupt tabu, weil datenschutzrechtlich bedenklich? Ein aktuelles Urteil des EuGH bringt nun erneut Bewegung in diese Diskussion.
Darf ich Google Analytics überhaupt noch einsetzen?
Besonders Google Analytics, das wohl am weitesten verbreitete Tool zum Tracking des Nutzerverhaltens auf Webseiten, sorgt für Diskussionen. Während klar ist, dass einige Anpassungen am Tracking-Code, der Datenschutzerklärung und den Einstellungen von Google Analytics für den datenschutzkonformen und rechtssicheren Einsatz unumgänglich sind, gibt es Diskussionen, auf welcher Basis die Nutzung von Google Analytics gerechtfertigt ist.
Google Analytics datenschutzkonform einrichten – So geht’s
Grundsätzlich basiert die DSGVO auf dem Prinzip des Verbots mit Erlaubnisvorbehalt. Das heißt, dass jede Verarbeitung personenbezogener Daten grundsätzlich verboten ist, außer sie ist durch Ausnahmen ausdrücklich erlaubt.
Für den Einsatz von Google Analytics zum Besuchertracking auf Websites werden dabei stets zwei Ausnahmen angeführt. Zum einen das „berechtigte Interesse“ (Art 6 (1) f)) eines Webseitenbetreibers, bestimmte Daten zu verarbeiten, zum anderen die Möglichkeit der Einwilligung des Nutzers zur Verarbeitung (Art 6 (1) a)).
Abhängig davon, welche dieser beiden Ausnahmen als Grundlage für das Tracking herangezogen wird, entscheidet sich, ob für Google Analytics und das Setzen von Cookies ein Opt-In notwendig ist oder ein Opt-Out ausreicht.
Google Analytics Opt-In oder Opt-Out, das ist hier die Frage…
Datenschützer argumentieren, dass ein datenschutzkonformer Einsatz von Google Analytics bzw. das Setzen von Cookies durch die Tracking Software lediglich auf Basis der Einwilligung (Art 6 (1) a)) des Nutzers möglich ist.
Webseitenbetreiber und Online Marketer wiederum vertreten die Meinung, dass die Besucheranalyse und Reichweitenmessung ihr berechtigtes Interesse und daher gar keine explizite Einwilligung des Nutzers notwendig sei. Eine Opt-Out Möglichkeit wäre nach dieser Auffassung ausreichend, um aus der Datenerfassung durch Google Analytics auszusteigen.
Der Grund dafür, warum das Thema gerade wieder hochaktuell ist, ist die „planet49“- Entscheidung des Europäischen Gerichtshofes vom 1. Oktober 2019 (EuGH C-673/17). Dieser entschied dabei, dass für alle Cookies, für die eine Einwilligung nötig ist, eine solche aktiv – also in Form eines Opt-Ins – eingeholt werden muss.
Das Problem: Auch wenn die DSGVO ob Ihres Verordnungsstatus in der gesamten EU gültig ist, wird der Text in den verschiedenen Mitgliedsländern unterschiedlich interpretiert, denn die zugehörige europäische ePrivacy-Verordnung, in der etwa der Einsatz von Cookies geregelt werden soll, dürfte sich noch weiter verzögern. Dementsprechend wird die DSGVO noch immer von nationalen Gesetzen flankiert, die die bisherige europäischen ePrivacy-Richtlinie aber unterschiedlich streng auslegen.
Google Analytics: Die Situation in Deutschland
Der deutsche Rechtsanwalt Christian Solmecke argumentiert auf T3N, dass das EuGH planet49-Urteil in Deutschland noch keine direkte Auswirkung habe. Hintergrund ist, dass dort der Gesetzgeber bisher davon ausging, die europäische ePrivacy-Richtlinie nicht in nationales Recht umsetzen zu müssen.
Man argumentiert, dass das geltende deutsche Telemediengesetz (TMG) den entsprechenden Bereich bereits ausreichend regle. Laut diesem ist jedoch ein einfacher Cookie-Hinweis in Form eines Banners und eine Opt-Out-Möglichkeit als „Einwilligung“ ausreichend. Da das aktuelle EuGH-Urteil dem gültigen deutschen TMG widerspricht, muss erst der deutsche Bundesgerichtshof entscheiden, wie letztendlich damit umzugehen ist.
Es ist aber davon auszugehen, dass sich der BGH auf das Urteil des EuGH berufen wird (schließlich hat der BGH die Entscheidung an die höhere Instanz weitergeleitet) und den Gesetzgeber dazu bringen wird, das deutsche Gesetz entsprechend anzupassen.
Interessant ist aber auch die Argumentation der deutschen Landesdatenschutzbehörden zum Thema Google Analytics und Reichweitenmessung im Allgemeinen. In Presseaussendungen im November 2019 erachten verschiedene Landesdatenschutzbehörden eine aktive Zustimmung in Form eines Opt-Ins für einen rechtskonformen Einsatz insbesondere von Google Analytics als notwendig.
Die Begründung für diese Interpretation liefert der hamburgische Datenschutzbeauftragte, der in Google mehr als einen reiner Auftragsdatenverarbeiter sieht, weil Google sich das Recht vorbehält, erhobene Daten auch für eigene Zwecke zu verarbeiten. Dementsprechend falle ein berechtigtes Interesse überhaupt als Rechtfertigung weg.
Interessant ist dabei, dass etwa die bayerische Datenschutzaufsicht die reine Reichweitenanalyse durchaus als „berechtigtes Interesse“ interpretieren würde. Dieser Argumentation folgend wäre etwa eine lokale, sauber aufgesetzte Matomo-Installation (früher Piwik) zur Webanalyse wieder mit berechtigtem Interesse zu rechtfertigen.
Wer ausschließlich Matomo einsetzt, könnte demzufolge in Deutschland ganz auf ein Pop-Up zur Einwilligung verzichten.
Google Analytics: Die Situation in Österreich
In Österreich dagegen findet die europäische e-Privacy-Richtlinie in § 96 Abs. 3 TKG ihre Umsetzung in nationales Recht. Demnach muss der User nicht nur über die Verarbeitung seiner Daten informiert werden, sondern es muss für jede nicht technisch notwendige Verarbeitung auch die Einwilligung des Users eingeholt werden.
Weil die Reichweitenmessung nicht unbedingt technisch notwendig ist, fällt für den Einsatz von Google Analytics die Rechtfertigung des „berechtigen Interesses“ dementsprechend weg.
Wir haben uns beim österreichischen Datenschutz-Rechtsanwalt Markus Dörfler erkundigt, der sagt:
