Setzen Cookies für Analysezwecke ein Consent Management der Webseitenbetreiber voraus? Oder genügt ein Hinweis in den Datenschutzbestimmungen mit der Möglichkeit von Opt-outs? Deutsche Behörden werden sich in naher Zukunft sehr ausführlich mit dem Thema auseinandersetzen, denn deutschlandweit sind mehr als 200.000 Beschwerden eingegangen, die den Einsatz von Google Analytics auf Unternehmenswebseiten bemängeln. Es fehle für die Nutzung die Zustimmung des Besuchers.
Gleich mehrere Bundesländer sehen sich aktuell einer wahren Flut von DSGVO-Bescherden gegenüber. Gegenstand der Beschwerden sind Webseitenbetreiber, die Googles Analysetool einsetzen. Allein in Hamburg soll ein einzelner Beschwerdeführer 20.000 Unternehmenswebseiten gelistet haben, die Google Analytics entgegen der aktuellen Datenschutzbestimmungen nutzen sollen. In Nordrhein-Westfalen liege die Anzahl der Beschwerden sogar bei 70.000, bundesweit bei über 200.000 – heißt es auf dem Blog des Datenschutzaktivisten Christian Bennefeld. Die Betreiber sollen offenbar ohne Einverständnis der Webseitenbesucher deren Nutzung analysiert und diese Informationen per Cookie gespeichert haben.
Das Analyse-Tool von Google übernimmt für Webseitenbetreiber die statistische Auswertung ihrer Seite und untersucht zum Beispiel die Herkunft der Besucher oder ihre Verweildauer auf einzelnen Seiten. Unter den Analyseanabietern nimmt Google jedoch eine Sonderstellung ein, da das Unternehmen in der Lage ist, Dienste für Werbung und Analyse zu verknüpfen.
Consent für Analyse?
Wann muss ein Webseitenbetreiber die Zustimmung des Besuchers zum Setzen von Cookies einholen? Was bei 3rd-Party-Werbe-Cookies unstrittig ist, muss beim Einsatz von Google Analytics noch abschließend geklärt werden. Schließlich liegen hier die Analyse- und Werbewelt sehr nah zusammen. Bisher haben sich Behörden aufgrund der strittigen Rechtslage nicht tiefgehender mit diesen Umständen befasst. Das Planet49-Urteil vom 1. Oktober und die hohe Anzahl der Beschwerdefälle werden jedoch dazu führen, dass auch hinsichtlich der Verwendung von Analysetools, und insbesondere Google Analytics, die Anwendungspraxis des Datenschutzes klarer wird.
Grundsätzlich gilt: Webseitenbetreiber benötigen für technisch nicht notwendige Cookies eine Einwilligung des Nutzers. Nicht notwendige Cookies sind solche, die für den Betrieb der Webseite nicht erforderlich sind. Dazu zählen auch Analyse-Cookies.
Solange die Daten nur im Auftrag des Webseitenbetreibers verarbeitet werden und durch den Analyse-Dienstleister nicht selbst weiterverwendet oder weitergegeben werden, muss aufgrund des “berechtigten Interesses” des Webseitenbetreibers kein Consent eingeholt werden und es genügt ein Hinweis in den Datenschutzbestimmungen der Seite.
Anders verhält es sich, wenn die gesammelten Daten für andere Zwecke als zur reinen Analyse verwendet werden. Das gilt für den Fall, dass der Webseitenbetreiber die Analysedaten auch in Kombination mit anderen Google-Diensten verwendet, wie zum Beispiel zum Schalten von gezielter Werbung. Hier wäre ein Consent des Besuchers von Nöten.
Consent bringt Sicherheit
Datenschutzrechtlich herrschte bisher noch Ungewissheit, bis zu welchem Maß der Einsatz von Google Analytics, inklusive IP-Anonymisierung und der Möglichkeit eines Opt-outs, datenschutzkonform ist. Immerhin erfolgt der Einsatz von Tracking aufgrund des berechtigten Interessen der Webseitenbetreiber gemäß Art. 6 Abs. 1 lit. f DSGVO. Allerdings bringen Urteile wie vom 1. Oktober 2019 Bewegung in die Debatte. Daher erscheint der Zeitpunkt der Beschwerdewelle nicht ganz willkürlich gewählt. Sie zwingt die Behörden, sich eingehender mit den Nutzungspraktiken von Analysetools auseinanderzusetzen – und das im Kontext einer immer expliziter werdenden Rechtsprechung.
Für Webseitenbetreiber rückt derweil das Consent Management immer stärker in den Fokus. So lässt sich mit einem DSGVO-konform eingeholten Consent der Nutzer nicht nur spekulativ im Rechtsrahmen handeln, sondern die volle Analytics- und Marketing-Klaviatur bespielen.
