Vor gut sechs Wochen hatten die Aufsichtsbehörden von Berlin, Brandenburg, Hamburg, Hessen, Niedersachsen, NRW, Rheinland-Pfalz, Saarland, Sachsen, Schleswig-Holstein, Thüringen, Bayern und der Bundesbeauftragte für Datenschutz und Informationsfreiheit eine inhaltlich übereinstimmende Presseerklärung zum Einsatz von Tracking Tools, insbesondere zu Google Analytics herausgegeben (die einzelnen Pressemitteilungen finden Sie hinter den Links).
In den Presserklärungen, wie der Presserklärung aus Hamburg, heißt es sinngemäß
- Google Analytics dürfe nicht mehr ohne Einwilligung verwendet werden
- Google habe das Produkt derart weiterentwickelt, dass alte Hinweise wie „Hinweise des HmbBfDI zum Einsatz von Google Analytics“ inzwischen veraltet seien und sich darauf nicht mehr gestützt werden könne
- Google habe sich einräumen lassen, die Daten auch zu eigenen Zwecken zu verwenden, d.h. Daten zum Surfverhalten würden auch an Dritte weitergegeben werden, die sei ohne Einwilligung unzulässig
- in Folge der Übermittlung der Daten an Dritte zu eigenen Zwecken und damit außerhalb einer Auftragsverarbeitung, so das BayLDA, reiche auch die von Google angebotene IP-Maskierung nicht aus, um den Dienst rechtskonform zu betreiben.
An den Presserklärungen der vorgenannten Aufsichtsbehörden ist zweierlei bemerkenswert.
Zum einen scheint es so, dass sich unter den deutschen Aufsichtsbehörden offensichtlich kein Konsens zum Thema „Google Analytics nur mit Einwilligung“ finden ließ. Denn wäre dies der Fall gewesen, hätte es wohl eine gemeinsame Veröffentlichung zum Thema über die Datenschutzkonferenz gegeben.
Zum anderen negieren die mit den Presseerklärungen verbreiteten Auffassungen der Behörden, die Tatsachen, dass es unterschiedliche, datenschutzrelevante, Formen der Analyse und des Trackings gibt sowie dass insbesondere Google in seinem Produkt Universal Analytics (wie es seit knapp 2 Jahren eigentlich heißt) zahlreiche Einstellungsmöglichkeiten im Hinblick auf datenschutzrelevante Tracking- bzw. Analyseformen vorsieht. Ein Defizit, dass diese Presseerklärungen mit den bisherigen Positionsbestimmungen und sonstigen Papieren der Datenschutzkonferenz – leider – teilen (dazu so gleich noch mehr).
Diese mangelnde Differenzierung führt dazu, dass die mit dem Titel dieses Beitrags aufgeworfene Frage „Warnen die Aufsichtsbehörden zu Recht vor dem Einsatz von Google Analytics ohne Einwilligung?“ in aller Kürze nur mit der klassischen Juristenantwort: „Es kommt darauf an!“ beantwortet werden kann. Auch wenn diese Juristen-Antwort sehr verhasst ist, trifft sie im Hinblick auf die Frage, ob Google Analytics nur noch mit einer Einwilligung der Nutzer oder aber doch noch aufgrund von berechtigter Interessen im Sinne von Art. 6 I f) DSGVO verwendet werden kann, den Kern der Sache.
Um leichter verstehen zu können, warum die Antwort „Es kommt darauf an“ lautet und warum (fast) überall zu lesen ist, dass Google Analytics nur noch mit einer Einwilligung zu verwenden sei, begeben wir uns zunächst noch einmal in die jüngere Vergangenheit. Im Anschluss wenden wir uns dem aktuellen Diskussionsstand zu und lösen auf, worauf es denn nun bei der Implementierung von Google Analytics ankommt. Last but not least, sehen wir uns einmal die Entscheidung der belgischen Aufsichtsbehörde an, die ein Bußgeld in Höhe von 15.000 EUR wegen der Nutzung von Google Analytics verhängt hat.
