Ein gemeinsamer Beschluss der Datenschutzkonferenz (DSK) verdeutlicht den aus Sicht der Behörden rechtmäßigen Einsatz von Google Analytics und bildet den Anlass für diesen Beitrag. Die Autorin stellt zunächst den Beschluss der Behörden vor und setzt sich mit den Einzelheiten auseinander, bevor sie auf die Auswirkungen des erst nach dem Beschluss ergangenen Schrems II-Urteils des EuGH eingeht.

I. Ausgangssituation
II. Inhalt des Beschlusses der DSK
1. Einwilligung der Nutzer für Datenerhebung durch Google Analytics notwendig
a) Keine andere einschlägige Rechtsgrundlage
b) Einwilligungserfordernis trotz Kürzung der IP-Adresse
2. Vorgaben zur Gestaltung der Einwilligung
a) Informiertheit
b) Freiwilligkeit
c) Praktische Probleme
3. Gemeinsame Verantwortlichkeit zwischen Google und dem Webseitenbetreiber
a) Position der DSK
b) Rechtliche Einordnung
4. (Kein) Rechtskonformer Einsatz von Google Analytics
III. Auswirkungen des Schrems II-Urteils
IV. Zusammenfassung


I. Ausgangssituation
Das Thema Google Analytics ist von besonders hoher praktischer Relevanz, daher haben sich die unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK) im Beschluss „Hinweise zum Einsatz von Google Analytics im nicht-öffentlichen Bereich“ v. 12.5.2020  zum rechtskonformen Einsatz geäußert. Der gemeinsam gefasste Beschluss ist eine Fortsetzung zu den bereits im November 2019 veröffentlichten Einzelmitteilungen verschiedener Landesbehörden. 

Die Hinweise stehen – laut den Behörden – unter dem Vorbehalt, dass diese (deutsche) Auffassung noch durch mögliche abweichende Auslegungen des Europäischen Datenschutzausschusses oder der Rechtsprechung des EuGH geändert werden könne. Dieses Vorbehalt wurde bereits durch das Schrems II-Urteil des EuGH  mit Leben gefüllt.

II. Inhalt des Beschlusses der DSK

1. Einwilligung der Nutzer für Datenerhebung durch Google Analytics notwendig
Wie bereits die Einzelmitteilungen der Landesbehörden angedeutet hatten, sieht nun auch der gemeinsame Beschluss der DSK vor, dass nur eine Einwilligung der jeweiligen Nutzer (betroffenen Personen) die datenschutzkonforme Erlaubnis für den Einsatz von Google Analytics auf Webseiten bilden kann.

a) Keine andere einschlägige Rechtsgrundlage
Begründet wird dies vor allem damit, dass die anderen in Betracht kommenden Erlaubnistatbestände Vertragserfüllung (Art. 6 Abs. 1 Satz 1 lit. b DSVO) sowie berechtigte Interessen (Art. 6 Abs. 1 Satz 1 lit. f DSVO) nicht einschlägig sind.  Hinsichtlich der Vertragserfüllung sei der Einsatz von Google Analytics für den Vertrag zwischen Webseitenbetreiber und Nutzer nicht erforderlich. Dies trifft zu, da die jeweiligen Nutzer nicht direkt von einer Analyse ihres Nutzungsverhaltens profitieren. Der Einsatz von Google Analytics dient vor allem dem Seitenbetreiber. Berechtigte Interessen können hingegen nur dann als Erlaubnis dienen, wenn eine Abwägungsentscheidung ergibt, dass die Interessen der betroffenen Personen nicht überwiegen. Im Fall von Google Analytics überwiegen, so die Behörden, jedoch die Interessen der betroffenen Nutzer, da die Zusammenführung von verschiedenen Nutzungsdaten und die umfassende Auswertung dieser Daten weit über ein berechtigtes Werbeinteresse hinausgehen.

b) Einwilligungserfordernis trotz Kürzung der IP-Adresse
Die Behörden stellen außerdem klar, dass die Nutzungsdaten und auch sonstigen spezifischen Gerätedaten personenbezogene Daten darstellen. Dies gelte unabhängig davon, ob Google selbst die Daten als personenbezogen einstufe.  Deren Verarbeitung bedürfe somit einer Erlaubnis (wie bspw. der Einwilligung).

Ebenso wenig führe die Möglichkeit der Einstellung „anonymize IP“ dazu, dass Google nur anonymisierte und somit keine personenbezogenen Daten verarbeite. Dies folge bereits daraus, dass neben der IP-Adresse von Google im Rahmen von Analytics zahlreiche weitere Nutzungsdaten erhoben würden, die durch einen Abgleich mit einem Google-Konto Rückschlüsse auf den Nutzer zuließen.  Dies trifft zwar nur auf Nutzer zu, die mit einem Google-Account angemeldet sind. Die Webseitenbetreiber werden jedoch davon ausgehen müssen, dass ...