Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit des Landes Rheinland-Pfalz (LfDI) weist in seiner Pressemitteilung vom 14.11.2019 (abrufbar unter diesem Link) darauf hin, dass Analyse-Tools wie Google Analytics, die Daten über das Nutzungsverhalten an Dritte weitergeben, zwingend die Einwilligung des Nutzers erfordern. Dies betrifft alle Vorgänge, die das Nutzerverhalten (z.B. Tastatureingaben, Mausbewegungen und –klicks, sowie Touch bzw. Wischbewegungen) beim Besuch von Websites „tracken“.
Bereits im Frühjahr 2019 haben die Aufsichtsbehörden in ihrer „Orientierungshilfe für Anbieter von Telemedien (Hier abrufbar) erläutert, unter welchen Bedingungen ein Tracking von Websitebesuchern zulässig ist. Dazu zählt insbesondere die sog. Reichweitenerfassung, die die Aufsichtsbehörden jedoch sehr weit definieren. So ist darüber auch abgedeckt, wenn ein Auftragsverarbeiter die Zahl der Besucherinnen und Besucher pro Seite, die Geräte und die Spracheinstellungen erhebt. Das Thema ist also nicht neu.
Google behält sich inzwischen für seinen Dienst Google Analytics jedoch vor, die Daten zu eigenen Zwecken verwenden. Wie der LfDI mitteilte, lagen seiner Behörde eine Vielzahl von Beschwerden und Hinweisen über die unzulässige Einbindung von Inhalten Dritter vor. Außerdem laufen bereits erste Verfahren gegen einige Unternehmen.
Der Landesbeauftragte, Prof. Dr. Kugelmann äußert dazu: „Viele Website-Betreiber berufen sich bei der Einbindung von Google Analytics auf alte, längst überholte und zurückgezogene Veröffentlichungen wie die Hinweise für Webseitenbetreiber mit Sitz in Hamburg, die Google Analytics einsetzen. Das Produkt Google Analytics wurde in den vergangenen Jahren so fortentwickelt, dass es in der aktuellen Gestaltung keine Auftragsverarbeitung mehr darstellt. Vielmehr räumt sich der Anbieter das Recht ein, die Daten der die Website Besuchenden zu eigenen Zwecken zu verwenden.“
Cookie-Banner müssten daher stets den Anforderungen des Artikel 4 Nr. 11 DSGVO entsprechen. Ein „Cookie-Banner“, wie er vielfach auf Webseiten zum Einsatz kommt, sei demnach unzureichend. Die Betreiber gingen in diesem Fall (konkludent) davon aus, dass das Weitersurfen auf der so markierten Seite eine Einwilligung darstelle. Das sei nicht der Fall.
Diese Prinzipien gelten ebenfalls für bereits ausgefüllte Kästchen bei Einwilligungserklärungen, die nicht den Anforderungen an eine wirksame Einwilligung genügen. In dieser Hinsicht sei auch das Urteil des EuGH vom 1. Oktober 2019 eindeutig (EuGH, Urteil vom 1.10.2019 – C-673/17 – „Planet49“).
