Google Analytics im Kreuzfeuer der Behörden

Berichteten wir vor kapp drei Wochen öffentlich als Erste von der Beschwerdewelle über Google Analytics, zeichnet sich jetzt Bewegung in der Sache ab. So verlautbarten sowohl verschiedene Landesaufsichtsbehörden als auch die Bundesbehörde gestern, dass eine Einwilligung beim Einsatz von Google Analytics zwingend notwendig ist. Sie ließen jedoch offen, ob und welche Konsequenzen bei Verstößen drohen.

Ungekannte Klarheit der Behörden

Ungewöhnlich dabei ist die Klarheit, Google Analytics explizit zu benennen und damit einen Anbieter herauszustellen. So sprachen die Behörden bisher eher verklausuliert von „Diensteanbieter [von denen erhobene Daten] website-übergreifend zusammengeführt und ausgewertet werden“. Oder in „einfachem“ Behördendeutsch:

Insbesondere wenn bei der betroffenen Person erhobene Daten von dem jeweiligen Diensteanbieter (inkl. eingebundener Dienste) website-übergreifend zusammengeführt und ausgewertet werden, ist zu berücksichtigen, dass die betroffenen Personen für eine wirksame Einwilligung vorab über jegliche Form der durchgeführten Datenverarbeitung sowie sämtliche Empfänger ausführlich informiert werden und die Möglichkeit erhalten müssen, in die einzelnen Formen der Datenverarbeitung spezifisch einzuwilligen.

DSK Orientierungshilfe, April 2019

Fachleuten war selbstverständlich klar, dass hier im Besonderen Google Analytics gemeint ist. Aber natürlich fallen in die charakterisierte Dienste-Klasse auch viele andere häufig genutzte Instrumente der Online-Werber. Beispielsweise das von Nutzern verhasste Real-Time-Bidding, bei dem automatisiert in Millisekunden auf die individuellen Eigenschaften des Surfers geboten wird. Die Folge: Der meistbietende Werbetreibende darf seine „passende“ Werbung anzeigen und der Surfer wird von denselben Werbebannern geradezu durchs Internet verfolgt.

Bekannte Untätigkeit bei Unternehmen

Ein Einwilligungsvorbehalt in derartige Systeme wäre ein radikaler Schritt, den die Online-Werbebranche ganz offenbar nicht gehen will. Denn geändert hat sich an der Internet-Realität weder etwas nach Veröffentlichung des DSK-Papiers im April 2018 noch nach der Neuauflage im April 2019. Der jetzige Angriff gegen Google Analytics bedeutet damit aber auch einen Angriff auf diese Dienste – und es ist mit erheblichem Widerstand einer mächtigen Industrie zu rechnen.

Auch Bundesbeauftragter bezieht Stellung

Auch wenn die Lobby der Industrie groß ist, formiert sich geschlossener Widerstand durch die Behörden. Selbst Ulrich Kelber, der Bundesbeauftragte für Datenschutz und die Informationsfreiheit (BfDI), der sich in der Regel eher zurückhaltend politisch engagiert, wurde in seiner Presseerklärung zu diesem Problem erstaunlich deutlich:

Wer Angebote einbindet, die wie zum Beispiel Google Analytics rechtlich zwingend eine Einwilligung erfordern, muss dafür sorgen, von seinen Websitenutzern eine datenschutzkonforme Einwilligung einzuholen. Dass dies nicht mit einfachen Informationen über sogenannte Cookie-Banner oder voraktivierte Kästchen bei Einwilligungserklärungen funktioniert, sollte hoffentlich mittlerweile jedem klar sein. Jeder Websitebetreiber sollte sich daher genau damit auseinandersetzen, welche Dienste bei ihm eingebunden sind und diese notfalls deaktivieren, bis er sichergestellt hat, dass ein datenschutzkonformer Einsatz gewährleistet werden kann.

Ulrich Kelber, BfDI

Ziel dieser Behörden-Aktion ist es wahrscheinlich, die massenhaften Verstöße in den Griff zu bekommen, da Einzelgespräche mit hunderttausenden Unternehmen wohl kaum zielführend sind. Ob sich aber der unbekannte Beschwerdeführer und „Vielsurfer“ damit zufrieden geben wird, wenn zunächst nur wenige seiner beanstandeten Websites freiwillig von Google Analytics Abstand nehmen, bleibt abzuwarten. Bei uns hat er sich leider bisher noch nicht gemeldet und wir verweisen daher gerne nochmals auf unsere Einladung.

Kein Zeitrahmen, keine Sanktionen, kein Handlungsdruck?

Bemerkenswert ist zudem, dass sich die Behörden mit dieser Position klar von der Rechtsposition der Vergangenheit verabschieden:

Ältere Veröffentlichungen der Aufsichtsbehörden, beispielsweise zum Thema Google Analytics, gelten nicht mehr […]

BfDI

Es bleibt jedoch fraglich, in welchem Zeitrahmen die Behörden eine Umsetzung erwarten. Gleichzeitig ist unklar, ob sie einzelne, abschreckende „Leuchttürme“ durch Sanktion bekannter Unternehmen errichten, nach denen sich dann alle Websites ausrichten sollen oder ob sie hunderttausende von Verwarnungen verschicken werden.

Als schönen „Leuchtturm“ darf ich meine Beschwerde über Lieferando empfehlen, wo die Berliner Behörde glatt vergessen hatte, den leicht feststellbaren Verstoß bei der Prüfung zu bemerken. Hoffentlich fassen sich die Berliner bei dem Rückenwind ein Herz und schieben den Schwarzen Peter Lieferando doch nicht nach Holland ab.

Ausgang offen – aber es wird etwas passieren

Vielleicht passiert auch wieder gar nichts, denn bereits im Frühjahr 2018 kündigte die Bayerische Aufsichtsbehörde in Fachkreisen „automatisierte Verwarnungen“ zum selben Thema an, ohne dass diese jemals erfolgten.

Es bleibt diesmal aber tatsächlich zu bezweifeln, dass der Tiger wieder nur kurz brüllt und sich wieder schlafen legt. Dafür sind die Beschwerden zu massiv, die Verstöße zu evident und alle haben sich jetzt zu weit aus dem Fenster gehängt. Die Zeiten stehen zumindest auf Veränderung. Hoffen wir das Beste für den Datenschutz im Sinne aller Betroffenen: uns Surfern.

---

[Hier ein Interview, das die Hintergründe über die Beschwerdewelle erklärt.]