Datenschutzbehörden positionieren sich: Einsatz von Google Analytics nur mit Einwilligung

Aktuell steht Google Analytics bei Datenschützern im Fokus der Aufmerksamkeit. Das Analytics-Tool ist deutschlandweit in den meisten Webseiten integriert und kann potentiell die erfassten Userdaten in verschiedene eigene Dienste zurückspielen und somit für weitere Zwecke nutzen. Eine Vielzahl an Beschwerden wegen möglicher Datenschutzverstöße sollen bei den Behörden eingegangen sein und haben so die Debatte um den Google-Kosmos und das Verhältnis zum Thema Datenschutz wieder entfacht.

Ausschlaggebend für diese Diskussion und die Beschwerden rund um Google Analytics waren die beiden richtungsweisenden EuGH-Urteile zur Informations- und vor allem Einwilligungspflicht von Cookies. Das Urteil von Oktober 2019 verpflichtet Websitebetreiber, ihre Hinweis-Cookie-Banner mit lediglich einem OK-Button gegen Consent-Formulare auszutauschen, die die Einwilligung der User abfragen. 

Das Einholen der Einwilligung bezieht sich auf den Einsatz von Tracking- und Marketing-Cookies für die eigene Website-Analyse und zu Werbezwecken. Einzige Ausnahme sind technisch notwendige Cookies, da dafür im EU-Recht andere Richtlinien gelten. 

Ausführliche Informationen zu den EuGH-Urteilen und deren Impact auf die Webanalyse und das Marketing finden Sie in unseren Blogartikeln:
“Nach EuGH-Urteil: Cookie-Banner müssen Consent abfragen!”
“Der große Cookie-Banner Check: deutsche Wirtschaft nach EuGH-Urteil im Zugzwang”

Einsatz von Analytics-Tools und der Datenschutz

Grundsätzlich verstoßen Analytics-Tools nicht gegen Datenschutzbestimmungen, wenn natürlich alle gesetzlichen Vorgaben seitens der Websitebetreiber transparent eingehalten werden. 

Selbstverständlich haben Sie ein berechtigtes Interesse an der statistischen Auswertung Ihrer Website, um auch etwaige Optimierungsmaßnahmen abzuleiten und Ihren Usern die bestmögliche User Experience zu bieten. Generell lassen sich solche Daten auch über anonymes Tracking erheben, also auch ohne, dass Ihre User Ihren Consent geben.

Doch wenn es um gezielte Marketingaktivitäten, Personalisierungsmaßnahmen oder klassisches Retargeting geht, benötigen Sie weitere Daten und müssen Ihre User auch wiedererkennen und dafür brauchen Sie die Einwilligung der User.

Wie Sie Ihren Consent-Banner gestalten sollten, um auch nach dem EuGH-Urteil datenschutzkonform zu agieren, erfahren Sie in unserem Blogartikel:
“Cookie-Consent-Banner: So schmecken Ihre Cookies auch Datenschützern”

Das gilt auch wenn Sie die Daten Ihrer User mit Dritten teilen. In diesem Fall müssen Sie diese “Dritten” in Ihrer Datenschutzerklärung nennen und die Zwecke der Datennutzung aufführen.

Sie sind für die Daten Ihrer User verantwortlich und müssen sicherstellen, dass ihre Privatsphäre respektiert wird.  Wenn ein User beispielsweise sein Recht auf Löschung seiner Daten wahrnimmt, stehen Sie in der Verantwortung dafür zu sorgen, dass dies auch bei allen Third Parties (Drittanbietern) erfolgt.

Der Sonderfall Google Analytics

Der Einsatz von Google Analytics kann hier allerdings einen Sonderfall darstellen. Denn die Weitergabe der Daten an Dritte, wie andere Dienste aus dem Google-Kosmos, zu anderen Zwecken darf nicht mehr mit dem “berechtigten Interesse” und dessen Regelung über das Telemediengesetz begründet werden.

Erst recht darf keine webseitenübergreifende Profilbildung durch einen Dritten ohne Einwilligung betrieben werden. Diese “rechtliche Lücke” hat sich mit dem Urteil des Europäischen Gerichtshofs geschlossen.

Genau hier liegt das Problem mit Google Analytics.

Sie sichern sich innerhalb der AGB die Nutzung für eigene Zwecke vom Websitebetreiber zu. Die erhobenen Daten werden für andere Google Dienste weiterverwendet.

Aufschrei der Datenschützer

Genau das hat der BfDI ( Bundesbeauftragte für den Datenschutz und die Informationssicherheit) in seiner Pressemitteilung von Mitte November kritisiert und klar definiert:

„Viele Webseitenbetreiber berufen sich bei der Einbindung von Google Analytics auf alte, durch fortlaufende Produktveränderungen längst überholte und zurückgezogene Veröffentlichungen wie die Hinweise für […] Webseitenbetreiber, die Google Analytics einsetzen. Das Produkt Google Analytics wurde in den vergangenen Jahren so fortentwickelt, dass es in der aktuellen Gestaltung keine Auftragsverarbeitung mehr darstellt. Vielmehr räumt sich der Anbieter das Recht ein, die Daten der die Webseiten Besuchenden zu eigenen Zwecken zu verwenden.
Die Einbindung von Google Analytics erfordert daher eine Einwilligung, die den Anforderungen der Datenschutz-Grundverordnung genügt. Die meisten der sogenannten Cookie-Banner, die wir in der Praxis sehen, erfüllen die gesetzlichen Anforderungen nicht”.
Maja Smoltczyk, Berliner Beauftragte für Datenschutz und Informationsfreiheit

So ist die explizite, freiwillige und informierte Einwilligung eines jeden Users Pflicht und bildet die Grundlage, diese Daten gesetzeskonform zu erfassen.

Was weiß Google über die User?

Jeder User mit einem Google-Account hat bei der Registrierung zugestimmt, dass Google Daten personenbezogen erfassen darf. Darin sind sämtliche Dienste von Google und speziell auch Google Analytics eingeschlossen.   

Hat sich ein User nur einmal über eines seiner Geräte mit seinem Google-Konto angemeldet, kann Google das Gerät erkennen und den User eindeutig identifizieren, auch wenn dieser ausgeloggt ist. 

Durch Analytics oder andere Google-Dienste, die in Websites implementiert sind, weiß Google ganz genau welcher User gerade browst und fügt die eingehenden Daten dem Userprofil hinzu.

Auch wenn ein User keinen Google-Account hat, sammelt Google die gleichen Daten nur eben ohne den konkreten Personenbezug. Allerdings können solche User durch die granulare webseitenübergreifende Profilbildung seitens Google, häufig dennoch identifiziert werden.

Fazit

Fest steht, dass Sie beim Einsatz von Google Analytics dafür sorgen, dass Sie zusätzlich ein zuverlässiges Consent Management haben und Google Analytics erst nach der Zustimmung Ihrer User aktivieren. Achten Sie grundsätzlich darauf, dass Sie Ihren User transparent gegenübertreten und auch deren Privatsphäre und Tracking-Entscheidungen respektieren.

Dabei kann auch ein in Ihrem Analytics-Tool integriertes Consent-Management-System sehr hilfreich sein, um die nötige Transparenz und reibungslose Consent-Verwaltung zu gewährleisten. Bei der Nutzung von GA würde das bedeuten, Sie müssten zu einem anderen Tool wechseln.

Da diese Entscheidung nicht unbedingt eine leichte ist, überlegen Sie sich welche Anforderungen Sie haben und welche Daten Sie wofür messen wollen. Davon ausgehend können Sie schauen, ob sich ein Wechsel für Sie lohnt.