Die Bombe platzte am Randes eines Dialoges mit der Hamburger Aufsichtsbehörde am 16.10.2019. Ein Mitarbeiter von Behördenleiter Prof. Dr. Caspar verlautbarte, man hätte eine Beschwerde erhalten, in der ein Betroffener angibt, über 20.000 Hamburger Websites besucht zu haben, die allesamt Google Analytics in nicht Datenschutz-konformer Weise verwenden. Kein Wunder, dass Normal- und Vielsurfer an Google Analytics nicht vorbei kommen, dominiert doch Googles „kostenloses“ Analytics heute mit einem Marktanteil von über 80% auch den deutschen Web Tracking-Markt.

Der Behördenmitarbeiter verband die Weitergabe dieser Information mit der Frage, ob die Beschwerde aus meinem Umfeld stammen könnte, denn Datenschutz-konformes Tracking ist bekanntlich meine Leidenschaft. Diesen Verdacht konnte ich zwar nicht bestätigen, wohl aber, dass ich die Aktion für sehr gelungen halte, da nunmehr hoffentlich Bewegung in die lange Jahre geduldeten Verstöße kommt. Schade, dass ich nicht die Idee hatte.

Über 90.000 Google Analytics Anwender betroffen

Der Betroffene gibt vermutlich an, dass die besuchten Websites gegen die Orientierungshilfe der DSK verstoßen und/oder gegen das jüngste Cookie Urteil des EuGH. Zu allem Unglück scheint es sich bei dem Beschwerdeführer um einen “Vielsurfer” zu handeln. Hat er nicht nur bei der Hamburger Behörde über 20.000 Unternehmen akribisch aufgeführt. Ähnliches zeichnet sich in anderen Bundesländern ab, wo der Betroffene auch zu surfen scheint. Nordrhein-Westfalen meldet nach Hamburger Behördenangaben einen identischen Fall mit über 70.000 beanstandeten Websites. Wie groß das Ausmaß der Beschwerdewelle ist, könne man gegenwärtig jedoch noch nicht abschätzen – obwohl die Behörden sich regelmäßig austauschen.

Druck auf Behörden steigt

Ob die Aufsichtsbehörden bei der schieren Masse an Beschwerden hier auch auf eine Dialogstrategie, wie in Hamburg üblich, setzen werden, bleibt fraglich. Auf der anderen Seite muss jede Beschwerde nach der DSGVO auch verfolgt werden, sofern sie substantiell ist. Und daran besteht sicher kein Zweifel, denn wer die Forderungen der Aufsichtsbehörden kennt, weiß dass praktisch kein Google Analytics Anwender heute konform trackt: Eine separate Einwilligungsseite vor dem Trackingvorgang ist sehr selten und gerade auch bei großen Unternehmen fernab jeder Realität.

Wegsehen und Aussitzen kaum mehr möglich

Die Verstöße durch Google Analytics Anwender sind evident und seit langem bekannt. Mit den Planet49 und jüngstem Cookie Urteil des EuGH liegen neben der gleichlautenden Auffassung der deutschen Datenschutzkonferenz nunmehr klare Weisungen höchster Gerichte vor, die bindend eingehalten werden müssen. Wegsehen und aussitzen können die Aufsichtsbehörden hier sicher nicht mehr. Wie die Reaktion aber ausfallen wird, konnte mir der Mitarbeiter nicht sagen. Wir dürfen sehr gespannt bleiben.


Wir haben die Aktion im Team diskutiert, unterstützen sie ausdrücklich und möchten uns hiermit an den oder die Beschwerdeführer/in wenden.

Offener Brief: Einladung an Beschwerdeführer

Lieber Betroffene, lieber Vielsurfer, lieber Beschwerdeführer,

Ihre Aktion, durch eine Massenbeschwerde die Datenschutz-Verstöße bei Anwendern von Google Analytics abzustellen, begrüßen wir ausdrücklich sehr.

Der Zeitpunkt ist klug gewählt und das taktische Vorgehen scheint koordiniert. Politik und Behörden werden nicht länger weg sehen können, denn die Brisanz ist groß und die Rechtsprechung eindeutig.

Genau von diesen Aktionen brauchen wir mehr. Wir wollen sehen, wie scharf das DSGVO-Schwert der Behörden wirklich ist – und notfalls beim Schärfen helfen. Deshalb möchten wir Sie einladen: Werden Sie Mitglied in unserer Initiative und bereichern Sie unsere Gruppe. Natürlich 100% vertraulich und anonym. Garantiert!

Über eine vertraulich Kontaktaufnahme oder eine Registrierung, verbunden mit einer regen Teilnahme, würden wir uns sehr freuen.

Make Privacy Great Again und beste Grüße

Christian Bennefeld
(im Namen des gesamten Teams von datenschutz-zwecklos.de)

[Update 30.10.2019]
Dr. Datenschutz hat die Beschwerde-Welle in seinem Blog-Artikel bestätigt. Hier wird die Zahl der betroffenen Unternehmen durch die Bayerische Aufsichtsbehörde mit 200.000 beziffert. Ich bezweifele jedoch, dass es “nur” 200.000 Firmen sind, da alleine Hamburg und NRW zusammen rund 90.000 Fälle melden. Laut Statista beheimaten die beiden Bundesländer zusammen jedoch nur einen Anteil von rund 23% der bundesweiten Unternehmen. Geht man davon aus, dass sich der Anteil von gewerblichen Google Analytics Anwendern in jedem Bundesland etwa gleich verteilt, müssten nach einer Überschlagsrechnung über 380.000 Unternehmen betroffen sein. Vorausgesetzt natürlich, der Vielsurfer war in den anderen Bundesländern ähnlich akribisch unterwegs, wie in Hamburg und NRW.


Wir werden diesen Artikel bei Neuigkeiten entsprechend ergänzen und informieren bei Neuerungen auch aktiv über unseren Web Push Info-Kanal. Einfach am Fuß der Seite Datenschutz-konform abonnieren.

Einen weiteren Beitrag über eine aktuelle Beschwerde zum Thema Tracking bei lieferando.de finden Sie hier.


[Dieser Artikel wurde am 20.10.2019 verfasst und der Hamburger Aufsichtsbehörde vorab im Volltext zur Verfügung gestellt. Eine Stellungnahme haben wir bis heute nicht erhalten.]