Gratis
21. November 2019 - Website-Tracking

Google Analytics erfordert eine Einwilligung der Nutzer

Drucken

In einer Mitteilung an die Presse weist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit des Landes Rheinland-Pfalz (LfDI) darauf hin, dass Unternehmen bei der Nutzung von Google Analytics zwingend die Einwilligung der Nutzer benötigen.

Trackinganbieter, die Nutzerdaten weitergeben erfordern Einwilligung Viele Tracking-Tools geben Nutzerdaten an dritte weiter. Dafür ist eine Einwilligung des Betroffenen notwendig. Bild: (frentusha / iStock / Getty Images Plus)

Der Behörde liegen eine Vielzahl von Beschwerden und Hinweisen über die unzulässige Einbindung von Inhalten Dritter vor. Das bestätigt der Landesbeauftragte in einer Pressemitteilung.

So lege eine Beschwerde nahe, dass allein in Rheinland-Pfalz Verantwortliche von rund 15.000 Websites Google Analytics rechtswidrig einsetzen. Der LfDI bearbeitet die Beschwerden. Außerdem laufen bereits erste Verfahren gegen einige Unternehmen.

Einwilligung ist zwingend

Analyse-Tools, die Daten über das Nutzungsverhalten an Dritte weitergeben, benötigen eine Einwilligung. Das betont der LfDI deutlich in seiner Veröffentlichung.

Gleiches gilt, wenn das Verhalten der Website-Besucherinnen und -Besucher im Detail nachvollzogen und aufgezeichnet werden kann.

Gemeint ist hierbei zum Beispiel die Analyse von

  • Tastatureingaben
  • Mausbewegungen und –klicks, sowie
  • Touch bzw. Wischbewegungen.

Wann ist Tracking erlaubt

Darauf haben die Aufsichtsbehörden bereits im Frühjahr 2019 in ihrer „Orientierungshilfe für Anbieter von Telemedien“ hingewiesen. Darin erklärten die Datenschützer, unter welchen Bedingungen ein Tracking von Websitebesuchern zulässig ist.

Dies kann der Fall sein, wenn der Betreiber einer Website eine Reichweitenerfassung durchführt. Spannend: Die Reichweitenerfassung  ist für die Behörden in diesem Fall ein umfänglicher Begriff.

So ist darunter auch abgedeckt, wenn ein Auftragsverarbeiter

  • die Zahl der Besucherinnen und Besucher pro Seite,
  • die Geräte und
  • die Spracheinstellungen erhebt.

Google Analytics ist kein Auftragsverarbeiter

Ein Auftragsverarbeiter darf die Daten aber nicht zu eigenen Zwecken verwenden. Doch genau das behält sich Google inzwischen für seinen Dienst Google Analytics vor.

Dazu schreibt Prof. Dr. Kugelmann: „Viele Website-Betreiber berufen sich bei der Einbindung von Google Analytics auf alte, längst überholte und zurückgezogene Veröffentlichungen wie die Hinweise für Webseitenbetreiber mit Sitz in Hamburg, die Google Analytics einsetzen. Das Produkt Google Analytics wurde in den vergangenen Jahren so fortentwickelt, dass es in der aktuellen Gestaltung keine Auftragsverarbeitung mehr darstellt. Vielmehr räumt sich der Anbieter das Recht ein, die Daten der die Website Besuchenden zu eigenen Zwecken zu verwenden.“

Cookie-Banner genügen nicht

In der Pressemitteilung verweist der LfDI somit auf Artikel 4 Nummer 11 der DSGVO, in dem eine Einwilligung definiert wird. Ein „Cookie-Banner“, wie er auf vielen Webseiten inzwischen zu Einsatz kommt, sei demnach unzureichend.

Die Betreiber gingen in diesem Fall davon aus, dass das Weitersurfen auf der so markierten Seite eine Einwilligung darstelle. Das sei nicht der Fall.

Das gelte sinngemäß ebenfalls für bereits ausgefüllte Kästchen bei Einwilligungserklärungen. In dieser Hinsicht sei auch das Urteil des EuGH vom 1. Oktober 2019 eindeutig (EuGH, Urteil vom 1.10.2019 – C-673/17 – „Planet49“).

Vor diesen deutlichen Hinweisen kann der Rat an Unternehmen die Dienste von Dritten nutzen nur lauten, sich möglichst rasch mit der Thematik der wirksamen Einwilligung zu beschäftigen.

Stephan Lamprecht