{"id":18701,"date":"2022-07-06T10:00:50","date_gmt":"2022-07-06T10:00:50","guid":{"rendered":"https:\/\/www.2b-advice.com\/?post_type=post&p=18701"},"modified":"2024-05-25T14:53:20","modified_gmt":"2024-05-25T14:53:20","slug":"google-analytics-datenschutz","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/de\/2022\/07\/06\/google-analytics-datenschutz\/","title":{"rendered":"Entspricht Google Analytics dem Datenschutz nach DSGVO?"},"content":{"rendered":"

H\u00e4lt sich Google an die DSGVO?<\/h2>\n

Um es vorwegzunehmen, die Antwort auf die Eingangsfrage lautet: Ja, Google Analytics und Datenschutz<\/a> DSGVO ist vereinbar, wenn eine informierte Einwilligung der Nutzer:innen eingeholt wird. Wie das im Einzelnen aussieht, erl\u00e4utert dieser Beitrag.<\/strong><\/p>\n

Ein wenig Historie<\/strong><\/p>\n

Die Zeiten, in denen Google Analytics stillschweigend im Hintergrund einer Website seinen Dienst verrichten konnte sind definitiv vorbei. Damals reichte ein Hinweis in der Datenschutzerkl\u00e4rung und als Rechtsgrundlage das berechtigte Interesse des Website-Betreibers an Statistik zum Betrieb von Google Analytics und Datenschutz.<\/p>\n

Mit der Entwicklung von Google Analytics zu einem Marketinginstrument, mit der Aufhebung des Privacy Shield als Grundlage zum Datentransfer mit US-Unternehmen durch den EuGH und mit dem gewachsenen Bewusstsein vieler Internet-Nutzer:innen f\u00fcr Privatsph\u00e4re hat sich die Situation grundlegend ge\u00e4ndert.<\/p>\n

Das mag auch daran liegen, dass es die Werbetreibenden \u00fcbertrieben haben. Eben noch mit der Bekannten im Urlaub in Holland gemailt, um kurz darauf beim Surfen Werbeanzeigen f\u00fcr niederl\u00e4ndische Ferienh\u00e4user angezeigt zu bekommen, l\u00e4sst einen nachenklich werden. Die Organe der Rechtspflege und die Datenschutzaufsichtsbeh\u00f6rden haben dem Rechnung getragen und die DS-GVO und auch die in Teilen in Deutschland unbeachtete EU-Richtlinie RL 2002\/58\/EG in der Umsetzung durch das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) in Stellung gebracht.<\/p>\n

Mit dem Ergebnis, dass die Nutzung von Google Analytics und Datenschutz in vollem Umfang nur mit einer freiwilligen und informierten Einwilligung m\u00f6glich ist. In was willigen die Nutzer:innen ein und wie hat die Einwilligung auszusehen?<\/p>\n

 <\/p>\n

Die Facetten der Einwilligung<\/strong><\/p>\n

1. Die Einwilligung in das Setzen von Cookies<\/strong>
\nBei der Einwilligung f\u00fcr Cookies geht es nicht zuerst um den Datenschutz, sondern um die Integrit\u00e4t der Endger\u00e4te. \u00a7 25 des TTDSG f\u00fchrt aus, dass nur mit einer Einwilligung der Nutzer:innen Daten in den Speicher von PC, Laptop, Tablett oder Smartphone geschrieben oder Daten von diesen Ger\u00e4ten ausgelesen werden d\u00fcrfen. Wir verwehren uns ja auch dagegen, dass eine Person ohne Zustimmung unsere Wohnung betritt und dort auf unsere Pinnwand schreibt oder die Zettel am K\u00fchlschrank liest.<\/p>\n

2. Die Einwilligung in das Usertracking<\/strong>
\nBeim Usertracking werden die Bewegungen auf der Website mitgeschrieben, Produkte im Warenkorb, K\u00e4ufe und auch die Seiten ausgewertet auf denen man vorher unterwegs war. Auch \u00fcber mehrere Webseiten hinweg wird das Surfverhalten der Nutzer:innen verfolgt und zu einem Profil verdichtet. Aufsichtsbeh\u00f6rden wie auch Gerichte fordern daf\u00fcr eine Einwilligung.<\/p>\n

3. Die Einwilligung in einen Datentransfer in die USA<\/strong>
\nDieses Thema ist vielschichtig und auch noch nicht ausdiskutiert. Klar ist, dass die Daten, die \u00fcber Analytics erhoben werden, auf den US-Servern von Google gespeichert und dort auch f\u00fcr eigene Zwecke von Google verarbeitet werden. Damit ist Google Verantwortlicher im Sinne der DS-GVO und nicht l\u00e4nger nur Auftragsverarbeiter, der Analysen und Statistiken liefert. Es muss folglich eine Vereinbarung \u00fcber gemeinsam Verantwortliche nach Art. 26 DS-GVO abgeschlossen und ver\u00f6ffentlicht werden.<\/p>\n

Der US-Datentransfer hat noch eine zweite Facette, die betrachtet werden muss. \u00dcber Google haben auch US-amerikanische Sicherheitsbeh\u00f6rden Zugriff auf die Daten und Profile der Nutzer:innen, die keine Rechtsbehelfe haben, wenn sie nicht US-B\u00fcrger:innen sind. Sie erfahren nicht einmal von diesen Zugriffen auf ihre Daten. Auch diese Tatsache muss f\u00fcr eine wirksame Einwilligung deutlich werden.<\/p>\n

Verschweigen d\u00fcrfen wir nicht, dass die deutschen Aufsichtsbeh\u00f6rden im Unterschied zu denen in anderen EU-L\u00e4ndern ein Problem mit der Einwilligung in den US-Transfer haben. Es bleibt also f\u00fcr hiesige Unternehmen ein Restrisiko und bei einem Bescheid der Beh\u00f6rde nur der Gang vors Gericht. Gewichtige Stimmen aber st\u00fctzen die Einwilligungsl\u00f6sung bei US-Transfer. Thomas von Danwitz, Richter am EuGH und am Schrems-II-Urteil beteiligt, brachte in einem Interview zum Ausdruck, dass die Ausnahmeregelungen in Art. 49 DSGVO, und dazu z\u00e4hlt die Einwilligung, noch nicht \u201aausgelotet\u2018 worden seien. Die Ansicht, das Gesetz beschr\u00e4nke diese Ausnahmeregelungen auf gelegentliche Transfers ist umstritten. Der klaren Aussage in Artikel 49 Abs. 1 DSGVO ist hier Vorrang vor der unklaren Aussage in Erw\u00e4gungsgrund 111 einzur\u00e4umen. Und die Aufsichtsbeh\u00f6rden in \u00d6sterreich und Frankreich lassen in ihren Stellungnahmen zu Analytics die M\u00f6glichkeit der Einwilligung offen.<\/p>\n

Es spricht also einiges daf\u00fcr, diesen Weg zu nehmen oder ganz auf Google Analytics zu verzichten. Eine gleichwertige Alternative zur Einwilligung gibt es nicht. Es ist schwer vorstellbar, dass mit dem Unterzeichnen der EU-Standardvertragsklauseln und erg\u00e4nzenden Ma\u00dfnahmen nach einen Transfer Impact Assessment (TIA) ein positives Ergebnis verzeichnet werden kann. Daf\u00fcr stehen zu der Verarbeitung der Daten durch Google zu wenig Informationen zur Verf\u00fcgung. Eine belastbare Risikobewertung ist schlichtweg nicht m\u00f6glich.<\/p>\n

 <\/p>\n

Gestaltung der Einwilligung<\/strong>
\nWirksam kann die Einwilligung nur sein, wenn den Nutzer:innen alle drei Sachverhalte, das Setzen von Cookies, das Tracking mit Profilbildung und personalisiertem Marketing und der US-Transfer mit der Zugriffsm\u00f6glichkeit der Sicherheitsbeh\u00f6rden deutlich erkl\u00e4rt werden. Dass das beim Betreten der Seite zu geschehen hat, ist klar und deshalb haben wir die Cookie-Banner, auch umfassender Consent-Management-Plattformen genannt, weil es l\u00e4ngst nicht mehr nur um Cookies geht. Wo welche Informationen zu stehen haben, wird noch diskutiert. Nach Ansicht der Datensch\u00fctzer alles in dem ersten Fenster, in dem zugestimmt wird und nicht erst auf einer zweiten Ebene nach einem Klick. Was hier praktikabel ist, wird sich zeigen.<\/p>\n

 <\/p>\n

Doch noch eine Alternative<\/strong>
\nEine Alternative gibt es doch: Wenn der Website-Betreiber bereit ist, auf einige Informationen und die Nutzung f\u00fcrs personalisierte Marketing zu verzichten, gibt es den Weg, Google Analytics selber zu hosten. Damit w\u00e4re der US-Transfer an Google vermieden. Auch auf das Setzen von Cookies und damit auf die Wiedererkennung der Nutzer:innen beim n\u00e4chsten Besuch oder auf anderen Websites k\u00f6nnte verzichtet werden. Wenn man sich dann noch auf das Tracking von Daten nur der eigenen Website beschr\u00e4nkt und nur mit pseudonymisierten Daten arbeitet, ist eine Einwilligung verzichtbar. Wiewohl es auch hier deutsche Aufsichtsbeh\u00f6rden gibt, die dieses eingeschr\u00e4nkte Tracking mit verk\u00fcrzter IP-Adresse ohne Einwilligung nicht gelten lassen wollen.<\/p>\n

 <\/p>\n

Fazit:<\/strong>
\nGoogle Analytics und Datenschutz kann konform betrieben werden in zwei Szenarien:<\/p>\n