Praxis: Wie Google Analytics nach dem EuGH-Urteil rechtssicher bleibt

Wohl nirgendwo in der Internet-Wirtschaft lauern so viele und so gefährliche Fallstricke, wie im Datenschutz. Selbst internationale Konzerne, erfahrene Juristen und gestandene Wettbewerbshüter verlieren im Dickicht der internationalen Reglungen, pan-europäischen Verordnungen und nationalen Umsetzungen leicht den Überblick.

Eigentlich kein Wunder: Denn nicht selten sind die Reglungen interpretierbar, missverständlich oder gar widersprüchlich. Nur so ist erklärbar, weshalb selbst die Juristen des Bundeskartellamts bei dem Versuch, Facebook an der Zusammenführung von Nutzerdaten zu hindern, erst kürzlich eine ordentliche Klatsche erhielten - und Beobachter es trotzdem für möglich halten, dass sich die Datenschützer nach jahrelangem Rechtsstreit durchsetzen werden. Am Ende gibt es wohl nur ein durchgängiges Bild: Jede Entscheidung wirft mehr neue Fragen auf, als sie beantwortet.

Genauso verhält es sich mit der Entscheidung, die der Europäische Gerichtshof Ende Juli in Sachen Facebook-Like-Button getroffen hat (siehe iBusiness: Mehr als nur der Like-Button - So müssen Sie auf das EuGH-Urteil reagieren). Zur Erinnerung: Der EuGH stellte darin fest, dass der Betreiber einer Website den Facebook-Like-Button nicht so in sein Angebot einbauen darf, dass dieser ohne vorherige Zustimmung des Besuchers Daten über den Besucher an das Social-Network sendet. Auch wenn Facebook für die weitere Verarbeitung dieser Daten verantwortlich ist, ist der Website-Betreiber für die initiale Weitergabe dieser Daten verantwortlich.

Seither herrscht Unsicherheit: Welche Auswirkungen hat die Entscheidung für andere Anwendungsfälle? In dem Urteil wurden schließlich Grundsatzentscheidungen getroffen, die sich nicht nur auf den Like-Button anwenden lassen. "Auch wenn der Europäische Gerichtshof lediglich in einem konkreten Fall entschieden hat, lässt sich die Argumentationslinie auch auf andere Anwendungsfälle übertragen", bestätigt Alex Goldberg , Partner der Berliner Rechtsanwaltskanzlei Siebert Goldberg LLP   und Betreiber des Datenschutzportals Prive  . "Insofern sind andere Buttons-, Plug-Ins- oder Scripte genauso betroffen."

Weitreichende Folgen - auch für Analytics

Augenscheinlichste Folge des EuGH-Urteils ist zunächst, dass auf zahlreichen Webseiten Youtube-Videos, Like-Buttons oder Twitter-Shares als sogenannte "Zwei-Button-Lösung" angeboten werden: Zunächst muss der Nutzer zustimmen, dass er den Inhalt überhaupt sehen will (und seine Daten übertragen werden) - erst dann erscheint der eigentliche Button.

Diese Art der Präsentation ist neu, der Hintergrund eher nicht: "Das Urteil bestätigt im Wesentlichen den Standpunkt, den viele Datenschützer und -behörden schon seit langem vertreten: Die Weitergabe von personenbezogenen Daten an Dritte ist ohne vorherige Einwilligung unzulässig", fasst Datenschutzexperte Goldberg den Inhalt zusammen.

Für Google Analytics, den wohl meistgenutzten Website-Tracker, hat der damalige Hamburger Datenschutzbeauftragte Johannes Caspar in zähen Verhandlungen bereits vor Jahren eine Lösung ausgehandelt, die im wesentlichen den Anforderungen des EuGH entspricht:

Um Google Analytics rechtssicher zu nutzen, sind folgende Schritte nötig:

• Vertrag zur Auftragsdatenverarbeitung abschließen
  Webseitenbetreiber, die Google Analytics nach den Vorgaben der Datenschützer nutzen wollen, müssen mit Google einen sogenannten Auftragsverarbeitungs-Vertrag (AV-Vertrag) abschließen, um sicherzustellen, dass die weitergegebenen Daten nicht missbräuchlich verwendet werden. Mit Geltung der Datenschutzgrundverordnung (DSGVO) ist dazu im Google Analytics-Konto sogar ein eigener Menüpunkt hinterlegt, so dass dieser Vertrag elektronisch geschlossen werden kann.
  
  
• Anonymisierung der IP-Adressen aktivieren
  Mittels eines einfachen Tags lässt sich beim Einbinden des Tracking-Codes festlegen, dass die gesammelten IP-Adressen von Google in anonymisierter Form verarbeitet werden.
  
  
• Opt-Out-Möglichkeit bieten
  Dem Nutzer muss über ein Browser-Plug-In bzw. JavaScript die Möglichkeit geboten werden, ein Opt-Out-Cookie zu setzen, der eine Datenerfassung in der Zukunft verhindert.
  
  
• Datenschutzerklärung aktualisieren
  In der Datenschutzerklärung muss auf die Verwendung von Google Analytics, dem AV-Vertrag, der IP Anonymisierung und den Opt-Out-Möglichkeiten hingewiesen werden. Datenschutzgeneratoren   für private und professionelle Anwender helfen dabei.

Was sich nun ändern könnte

Wer sich an dieses Verfahren hält, kann bislang davon ausgehen, von Ärger durch Verbraucherschützer verschont zu bleiben - auch wenn das Verfahren bei strengster Auslegung der Gesetze nicht genügt: Denn die Datenverarbeitung (wenn auch in anonymisierter Form) beginnt bereits, bevor der Besucher die Möglichkeit zum Opt-Out hatte.

Obwohl sich die Datenschutzbehörden bei ihrer Einigung mit Google mit dieser Lösung zufriedengaben, ist also nach dem neuesten EuGH-Entscheid nur derjenige auf der ganz sicheren Seite, der sich vor Beginn des Trackings die Zustimmung des Verbrauchers einholt. Und natürlich gilt diese Regel nicht nur für Google, sondern für alle Trackingdienste, wenn die Daten dabei an Dritte weitergegeben werden - was für alle Werbetracker der Fall sein dürfte.

In der Praxis verzichten trotzdem viele Unternehmen auf die Einholung einer Einwilligung. In den meisten Fällen dürften sie - vielleicht nicht ganz unabsichtlich - eine noch immer nicht ausgeräumte Unklarheit nutzen. Die ergibt sich, weil sich mit einem "berechtigtes Interesse" Ausnahmen begründen lassen. Und: "Derzeit gilt unter Datenschützern die Linie, dass bei Verstößen zu rechtlich umstrittenen Themen in der Regel keine Bußgelder verhängt werden", weiß Goldberg. Solange nicht abschließend geklärt ist, was genau unter ein "berechtigtes Interesse" gefasst werden kann, kann dieser Passus gut als Argumentationshilfe dienen.

Allerdings hält es Goldberg für wenig wahrscheinlich, dass dieses Argument auf Dauer trägt. "Ein 'berechtigtes Interesse' muss in der Gesamtschau, bei Abwägung aller Interessen, erkennbar sein." Es gibt kein isoliertes wirtschaftliches Interesse, das geschützt wäre. "Das Argument, dass sich mit der Datenweitergabe eben Geld verdienen lässt, ist für sich genommen nicht stichhaltig genug", warnt der Anwalt, der zahlreiche Website-Betreiber in datenschutzrechtlichen Fragen berät.

Zukunft der Analytics-Lösungen

Das bedeutet aber nicht, dass Analytics-Lösungen generell verboten wären. Im Gegenteil: "Zur Messung der eigenen Besucherzahlen sind Tracking-Tools nach dem aktuellen Entwurf der E-Privacy-Verordnung sogar ausdrücklich priviligiert", erklärt Goldberg. Jeder Website-Betreiber darf den Klickpfad seiner Besucher ohne deren Einverständnis messen und auswerten. "Allerdings dürfen die Daten nicht Dritten zur Verfügung gestellt werden." Eine rechtssichere Lösung könnte beispielsweise lokal auf dem eigenen Server oder zumindest im eigenen Hoheitsbereich einer Cloud-Lösung laufen.

Ist die Lösung entsprechend aufgesetzt, muss auch eine Werbevermarktung der Besucher nicht gegen Vorschriften verstoßen. Selbst wenn Profile gebildet werden. Schließlich sind nur die Weitergabe und die werbliche Nutzung personenbezogener Daten einwilligungsbedürftig. Zielgruppendaten - etwa: "Hamburg, Auto- und Mode-interessiert, Apple-Nutzer" - können zumindest theoretisch weitergegeben werden. Wenn auch mit Einschränkungen. "Es kommt darauf an, ob aus den Informationen Rückschlüsse auf eine Person gezogen werden können. Wenn es zum Beispiel nur eine Person im Ort gibt, auf die das Profil zutrifft, sind es doch wieder geschützte Daten."

In der Praxis werden sich daher langfristig eher Einwilligungslösungen durchsetzen, glaubt der Datenschutzexperte. "Ähnlich wie bei Cookie-Bannern werden sich die meisten Nutzer wohl schnell daran gewöhnen und die Einwilligung problemlos abgeben", glaubt Goldberg.

Bis dahin rät der Anwalt, der selbst auch Webinare und eine umfangreiche Online-Tool-Sammlung zu dem Thema anbietet, sich frühzeitig mit dem Thema auseinanderzusetzen. Denn: "Je früher und besser Website-Betreiber informiert sind, desto leichter fällt es, rechtzeitig zu reagieren." Auf seinen Webseiten finden sich beispielsweise Wizards und Generatoren, Tools, um AV-Verträge und Datenschutzverpflichtungen abzuschließen, und regelmäßige Live-Webinare, in denen Datenschutzexperten live befragt werden können.