Rechtspraxis: Diese Fallstricke lauern in Google Analytics

Manche Verordnungen und Gesetze schaffen mehr Verwirrung als Klarheit. Sie bleiben zunächst Auslegungssache, sind schwer interpretierbar oder scheinen gar widersprüchlich und bedürfen erst einer gerichtlichen Klärung. Das gesamte Spannungsfeld zwischen Datenschutz und Cookies, Anonymisierung und Tracking, nationalen Persönlichkeitsrechten und internationalen Privacy-Abkommen ist ein solches Gebiet. Selbst ausgebuffte Profis blicken kaum noch durch, wie gerade einmal wieder das Beispiel der Stiftung Warentest   zeigt, die - obwohl man kaum unlautere Absichten unterstellen mag - von Datenschützern scharf für die Ausgestaltung ihres Trackings kritisiert wird  . Irgendwer scheint den Überblick verloren zu haben.

Dabei hat sich das Verordnungs-Dickicht inzwischen bereits gelichtet. Rechtsprechung und Umsetzung der einschlägigen Bestimmungen sind im vergangenen Jahr schon deutlich konkreter geworden. Zeit für ein Update in Sachen Datenschutz, Tracking und Cookies - sowie einer grundsätzlich über allem schwebenden Frage:

Kann Google Analytics ohne weiteres eingesetzt werden?

In den vergangenen zwölf Monaten lassen sich in dieser Frage drei wichtige Marksteine ausmachen, die konkrete Spuren hinterlassen haben:

• Bis November 2019 galt bei Datenschutzbehörden die Linie, dass die Erfassung von reinen Website-Statistiken grundsätzlich unter das "berechtigte Interesse" des Betreibers fällt und dazu auch die Verwendung von Google Analytics zulässig ist. Inzwischen allerdings hat sich diese Auffassung geändert. Statistiken zählen zwar immer noch zu den "berechtigten Interessen", aber der Einsatz von Google Analytics wird kritisch betrachtet. Wesentlicher Grund: Google verfolgt bei der Datenverarbeitung eigene Interessen. Insofern liegt eine Veränderung des ursprünglichen Datenverarbeitungszwecks vor, der von dem berechtigen Interesse nicht mehr gedeckt ist.
  
  
• Im Mai 2020 wurde schließlich letztinstanzlich durch den Bundesgerichtshof (BGH) die Art und Weise geregelt, wie ein Einverständnis zum Setzen von Cookies eingeholt werden muss (siehe iBusiness: Was das BGH-Urteil zu Cookies für einzelne Geschäftsmodelle bedeutet). Dieses Urteil ändert zweierlei: Zum einen sind die Vorschriften nun deutlich präzisiert. Zum anderen sind sie justiziabel. Heißt: Es besteht nun auch ein wettbewerbsrechtlicher Unterlassungsanspruch, der in der Vergangenheit vielen Abmahnungen die Türe geöffnet hat. Und es besteht die Möglichkeit, zivilrechtliche Schadensersatzansprüche geltend zu machen.
  
  
• Im Juli 2020 erklärte der EuGH, der 2015 bereits das Safe Harbor-Abkommen kassiert hat, auch die Nachfolgelösung Privacy Shield für wirkungslos (siehe iBusiness: Privacy-Shield gekippt - Das EuGH-Urteil und die Folgen). Seither können Daten aus der EU nicht mehr in die USA exportiert werden, indem darauf verwiesen wird, dass dort durch Privacy Shield ein ähnlich hohes Datenschutzniveau wie in Europa sichergestellt sei. Exportierende Unternehmen müssen stattdessen mittels Standardvertragsklauseln sicherstellen, dass das europäische Datenschutzniveau nicht unterschritten wird. Allerdings gibt es bei Experten Zweifel, ob dies aufgrund der Rechtslage in den USA überhaupt möglich ist.

Mit diesen drei Meilensteinen ist konkretisiert, wie und auf welche Art und Weise ein rechtskonformes Tracking und eine Analytics-Lösung aussehen muss. Damit ist mehr Rechtssicherheit geschaffen, auch wenn es zugleich für viele Unternehmen zusätzlichen Aufwand bedeutet. Trotzdem sollten die Aufgaben nicht auf die lange Bank geschoben werden. Denn die Konkretisierung ruft auch die Behörden auf den Plan.

Tracking und Analyse - so funktioniert es

Unter Datenschützern gilt der Grundsatz, bei strittiger Rechtsauffassung nicht restriktiv vorzugehen. "Mit jeder zusätzlichen gerichtlichen Klärung nimmt dieser Spielraum ab, die Behörden fordern zunehmend eine regelgerechte Anwendung", hat Christian Bennefeld , Datenschutz-Aktivist und Seriengründer (eTracker, eBlocker), beobachtet. Bots, die Websites automatisch auf ihre Ausgestaltung prüfen, sind bereits programmiert und die föderal strukturierten Datenschützer versuchen sich mit der Initiative namens "Efa" (Einer-für-alle) schlagkräftiger zu organisieren. Mehrfacharbeiten sollen so vermieden werden.

Für Unternehmen bedeutet dies aber keineswegs, dass sie ihre Besucher nun automatisch mit umständlichen Einwilligungsbannern überhäufen müssen. Im Gegenteil: Anders als häufig angenommen ist keineswegs für jedes Cookie eine Zustimmung erforderlich. Und auch Web-Analyse und -Tracking kann ganz frei von Einwilligungsbannern erfolgen - solange diese Regeln eingehalten werden:

• Berechtigtes Interesse: Für ausschließlich funktionale Cookies (Warenkorb etc.) muss kein gesondertes Einverständnis eingeholt werden. Auch ein User-Tracking, das allein zum Zwecke der Besucherzählung, Statistik und Website-Optimierung erfolgt, fällt unter ein "berechtigtes Interesse". Allerdings muss der Betreiber eine Abwägung vornehmen und begründen können, weshalb sein Interesse schwerer wiegt als die Schutzinteressen des Besuchers. "Ein 'berechtigtes Interesse' muss in der Gesamtschau, bei Abwägung aller Interessen, erkennbar sein", sagt Alex Goldberg , Partner der Berliner Rechtsanwaltskanzlei Siebert Goldberg LLP   und Betreiber des Datenschutzportals Prive  . "Das Argument, dass sich mit der Datenweitergabe eben Geld verdienen lässt, ist für sich genommen nicht stichhaltig." Und: Wenn mehr als reine Zählung der Besucher angestrebt wird - wenn etwa Interessens-, Verhaltens- oder Besucherprofile erstellt werden sollen - ist das berechtigte Interesse ebenfalls verbraucht.
  
  
• Einwilligung und Zustimmung: Für alle anderen Tracking-Cookies muss eine informierte Einwilligung des Nutzers vorliegen. Dabei müssen bestimmte Vorschriften eingehalten werden: Voreinstellungen zugunsten des trackenden Unternehmens sind nicht zulässig. Bei Consent-Bannern muss laut BGH auf gleicher Ebene auch die Widerrufs- bzw. Ablehnungsoption gegeben sein.
  
  
• Datenweitergabe: Ohne weitere Zustimmung dürfen Daten aber durchaus an Dritte, etwa den Anbieter einer Trackinglösung, weitergegeben werden. Allerdings gilt das nur, wenn der Diensteanbieter einen Auftragsverarbeitungsvertrag geschlossen hat, der bestimmten Kriterien entspricht. Wesentlich ist dabei unter anderem: Der Auftragsverarbeiter muss der Weisung des Auftraggebers unterliegen, der Auftraggeber muss die volle Kontrolle über die Daten behalten (diese also notfalls auch löschen können). Und der Auftragsverarbeiter darf die Daten nicht zu anderen Zwecken (zum Beispiel zu eigenen Zwecken) nutzen.
  
  
• Export ins Ausland: Zuletzt dürfen die Daten auch an einen Auftragsverarbeiter mit Sitz im Nicht-Europäischen Ausland weitergereicht werden. Allerdings muss es dann geeignete Garantien dafür geben, dass dort auch ein vergleichbares Datenschutzniveau wie hierzulande eingehalten wird und betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. Als solche geeigneten Garantien kommen insbesondere von der Europäischen Kommission genehmigte Standarddatenschutzklauseln in Betracht (Art. 46 DSGVO).

Wie Google Analytics funktionieren kann

Ein Tracking ist also keineswegs vollständig unmöglich. Im Gegenteil, es kann sogar völlig datenschutzkonform gestaltet werden, ohne dass dazu ein einziges Zustimmungsbanner erforderlich wäre. Und auch Google Analytics kann nach wie vor legitim eingesetzt werden. Dann allerdings nicht ohne umfangreiche Einwilligungen. Gründe:

• Nutzer-Identifizierung: Auch wenn der Seitenbetreiber selbst nur einfache Statistiken erheben will und deswegen die IP-Anonymisierung einschaltet, kann Google die Besucher anhand ihres Google Identifiers erkennen und nutzt diese Daten zur Erstellung von User-Profilen. Auf diesen Umstand muss der Nutzer hingewiesen werden und er muss - bevor die Datenweitergabe beginnt - in diesen Prozess eingewilligt haben.
  
  
• Eigene Zwecke: Die Datenverarbeitung bei Google kann nicht im Rahmen eines wirksamen Auftragsverabeitungsvertrags erfolgen, solange Google mit den Daten eigene Zwecke (z.B. Erstellung von User-Profilen) verfolgt. Daher muss der Nutzer nicht nur einwilligen, dass eine Profilbildung erfolgt, sondern auch, dass die Daten an einen Dritten weitergegeben werden, der nicht der Kontrolle des Betreibers unterliegt.
  
  
• Export ins Ausland: Hier begeben sich Unternehmen zumindest auf dünnes Eis. Auf das Privacy-Shield-Abkommen können sie sich bei einer Weitergabe in die USA nicht mehr berufen. Stattdessen kommen die von der Europäischen Kommission genehmigten Standardschutzklauseln in Betracht. Der EuGH hat diese ausdrücklich für grundsätzlich wirksam erklärt - allerdings zugleich Bedenken angemeldet, dass sie im Falle einer Datenübertragung in die USA auch im Einzelfall standhalten (siehe unten). Daher ist es anzuraten, ausdrücklich auch auf diesen Umstand und den sich daraus ergebenden Risiken hinzuweisen sowie eine Einwilligung einzuholen.

Die Crux mit dem Datenexport in die USA

Ein häufiges Missverständnis beim EuGH-Urteil vom Juli liegt in den Standardvertragsklauseln. Die Richter haben ausdrücklich festgehalten, dass auf dieser Grundlage ein rechtssicherer Datenexport ins Ausland möglich ist. Das bedeutet aber nicht, dass er automatisch rechtmäßig ist. Im Zweifel muss dies geprüft werden, was die Richter - mangels Auftrags - in ihrem Urteil ausdrücklich nicht getan haben.

Allerdings haben sie bereits starke Zweifel angemeldet, dass sie der Übertragung in die USA einer solchen Prüfung standhalten würden. Schließlich wurden Safe Habor und Privacy Shield nicht ohne Grund gekippt. Dieselben Gründe sprechen nun auch dagegen, dass mittels der Standardvertragsklauseln ein dem Europäischen Recht vergleichbares Datenschutzniveau garantieren lässt.

Das Problem: Mit dem Cloud-Act kennt das US-Recht ein Gesetz, das mit europäischen Standards unvereinbar ist. Auf Grundlage dieser Bestimmung erhalten US-Behörden unter Einhaltung bewusst niedriger Hürden einen weitreichenden Zugriff auf Daten, die unter der Kontrolle eines amerikanischen Unternehmens sind. Dazu muss der Betroffene nicht einmal informiert werden. In anderen Worten: Egal was ein US-Unternehmen in Vertragsklauseln zusichert, faktisch kann es die geforderten Standards gar nicht garantieren.

Aus diesem Grund empfiehlt Datenschutzexperte und Rechtsanwalt Thomas Brehm von der Kanzlei BBS Rechtsanwälte  , dass grundsätzlich auf diesen Umstand und die daraus folgenden Gefahren hingewiesen und die Zustimmung des Anwenders eingeholt werden sollte. Schließlich ergeben sich im Zweifel nicht nur Abmahnungen und Bußgelder, sondern auch individuelle Schadensersatzansprüche.

Entsprechend hat Brehm einen Disclaimer entworfen, mit dem die notwendigen Zustimmungen vom Anbieter abgeholt werden können. Folgende Zustimmungen sind dazu erforderlich:

1. Zustimmung zum Setzen von Tracking-Cookies durch den Diensteanbieter und der anschließenden Datenverarbeitung.
   
2. Einverständnis zur Übermittlung von Daten an einen Dritten (Google Analytics), der diese Daten zu eigenen Zwecken weiterverarbeitet, ohne dass der Diensteanbieter dies beeinflussen kann.
   
3. Einverständnis, dass Tracking-Cookies gesetzt werden, mit denen das Surfverhalten über verschiedene Seiten ausgewertet werden kann und die Informationen zum Zwecke der Profilbildung zusammengeführt werden.
   
4. Einwilligung des Nutzers, dass die erfassten Daten in die USA exportiert werden und dort keine Datenschutzrechte auf europäischem Niveau gewährleistet werden. Aufklärung über die damit verbundenen Gefahren (Zugriff von US-Behörden, Einreiseverweigerung, weitere Sanktionen wie Überwachung etc.).

Aufwind für europäische Lösungen

Angesichts dieser Situation könnten aber auch europäische Lösungen attraktiver werden. "Wer sich bei der Web-Analyse von US-Softwarelösungen lossagt und ausschließlich auf europäische Anbieter - mit Sitz und Serverstandort innerhalb der EU - vertraut, umgeht die Problematik des nicht mehr vorhandenen Privacy Shield", meint eTracker-Gründer Bennefeld. Für aussagekräftige Web-Statistiken ist es unabdingbar, möglichst viele Besucher zu erfassen. Die umfangreichen Zustimmungen, die für Google Analytics eingeholt werden müssen, sind da kontraproduktiv. Schließlich setzt bestenfalls ein niedriger zweistelliger Prozentsatz der Besucher alle notwendigen Häkchen.

Und außerdem: "Eine Abkehr von den US-Giganten wäre ein schöner Lohn für alle Unternehmen, die sich seit Jahren für datenschutzkonforme Lösungen eingesetzt haben", findet der ehemalige Tracking-Spezialist, der sich inzwischen mit seinem Blog Datenschutz-zwecklos   zum Privacy-Aktivisten gewandelt hat.