IT-Recht Kanzlei aktualisiert Datenschutzklauseln für Google Analytics

Nach inzwischen unbestrittener Meinung der deutschen Datenschutzbehörden muss der Einsatz von Google Analytics auf Webseiten stets von der Einwilligung des jeweiligen Nutzers abhängig gemacht werden. Andere Rechtfertigungstatbestände der DSGVO sollen nicht in Betracht kommen. Die zunehmend propagierte Einwilligungslösung hat sich die IT-Recht Kanzlei ebenso wie Googles Versuch, Standardvertragsklauseln an die Stelle des Privacy Shield treten zu lassen, zum Anlass genommen, die Klauseln für Google Analytics in der Datenschutzerklärung zu aktualisieren.

I. Hintergrund der Aktualisierung

Bereits seit geraumer Zeit vertreten die Datenschutzbehörden der Bundesländer die Ansicht, Google Analytics könne auf Websites zum Nutzertracking in datenschutzkonformer Weise nur dann eingesetzt werden, wenn hierfür zuvor die nutzerspezifische Einwilligung eingeholt werde. Als Grund hierfür sehen die Behörden die Verarbeitungsreichweite, im Rahmen derer über Google Analytics erhobene Daten durch alle Google-Netzwerke geschleust und dort nach freiem Ermessen Googles organisiert werden können.

Dieser Ansicht traten bislang verschiedene Datenschützer entgegen und ließen zumindest unter bestimmten Voraussetzungen für den rechtskonformen Einsatz von Google Analytics auch „berechtigte Interessen“ (Art. 6 Abs. 1 lit. f DSGVO) als Rechtsgrundlage zu. Nach dieser Ansicht war für den Einsatz von Google Analytics keine Einwilligungs-, sondern nur eine Widerspruchslösung zu implementieren.

Der Diskussion um die korrekte datenschutzrechtliche Ausgestaltung des Analytics-Dienstes wurde spätestens mit der Bestätigung einer grundsätzlichen Einwilligungspflicht für technisch nicht notwendige Cookies durch den BGH vom 28.05.2020 (Az. I ZR 7/16) obsolet geworden.

Nach diesem Urteil gilt für den Einsatz von Google Analytics bereits aufgrund der hierbei gesetzten Tracking-Cookies eine Einwilligungspflicht, wenn sich diese nicht bereits wegen der Datenverarbeitungsreichweite ergab.

Die nunmehr in jedem Fall notwendige Einwilligungseinholung für Google Analytics machen deutsche Datenschutzbehörden derzeit zum Gegenstand deutschlandweiter Kontrollen.

Jenseits der Einwilligung hat sich im Bereich der Rechtfertigung internationaler Datentransfers bei der Google LLC. etwas getan. Ausgehend vom Wegfall des Privacy Shield stützt sich Google seit August 2020 auf sog. „Standardvertragsklauseln“, um eine Datenschutzgarantie für die Übermittlung von personenbezogenen Daten in die USA zu schaffen.

Auch wenn diese Standardklauseln für sich genommen nicht ausreichen, um EU-Daten in den USA ein gleichwertiges Schutzniveau zuzusichern, muss über deren Heranziehung durch Google in der Datenschutzerklärung zwingend informiert werden.

II. Was wurde geändert?

Die IT-Recht Kanzlei hat die Datenschutzklauseln für Google Analytics in Anbetracht der aktuellen Entwicklungen wie folgt geändert:

• Benennung der ausdrücklichen Einwilligung als alleinige Rechtsgrundlage für den Einsatz von Google Analytics (Wegfall der Rechtfertigungsmöglichkeit über die „berechtigte Interessen“)
• Anführung und Erläuterung der „Standardvertragsklauseln“ als Garantie Googles, um internationale Datentransfers in die USA zu legitimieren

III. Wer ist betroffen und was ist zu tun?

Von der Änderung sind folgende Datenschutzerklärungen betroffen:

• Datenschutzerklärung für den Online-Shop
• Datenschutzerklärung für Blogs/Homepages ohne Bestellfunktion

Mandanten, welche Klauseln zu Google Analytics aktiviert haben und

• eine betroffene Datenschutzerklärung per Schnittstelle oder Hosting-Service einbinden, brauchen nichts weiter unternehmen. Die Aktualisierung wurde automatisch eingespielt.
• eine betroffene Datenschutzerklärung in Textform einbinden, werden gebeten, ab sofort nur noch die aktualisierte Version aus dem Mandantenportal zu verwenden.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.