Post von Google: Was tun, wenn die Datenschutzeinstellungen im Shop bemängelt werden?

Der Weltkonzern Google verfolgt seit geraumer Zeit das Ziel einer Image-Korrektur und schreibt sich nun das Thema „Datenschutz“ auf seine Fahnen. Aus diesem „Selbstauftrag“ hinaus kontrolliert Google regelmäßig die Datenschutzeinstellungen von Händlern, die Google-Dienste in ihren Shops verwenden. Werden Unregelmäßigkeiten festgestellt, mahnt Google per Mail zur Einhaltung geltender Datenschutzvorgaben an und droht unter Fristsetzung mit Sanktionsmaßnahmen bis zur Kontosperrung. Was es mit der Post von Google auf sich hat und wie die gerügten Mängel regelmäßig schnell behoben werden können, zeigt dieser Beitrag.

I. Post von Google: Datenschutzmängel im Shop

Google kontrolliert automatisiert routinemäßig die Online-Auftritte von Unternehmen, die Google-Dienste verwenden, auf die Einhaltung geltender Datenschutzstandards.

Von den Kontrollmaßnahmen betroffen sind all solche Seitenbetreiber, die mit Google-Diensten (auch) das Nutzerverhalten analysieren, um so via Google Besucherstatistiken und Conversion-Übersichten zu erzeugen.

Stellt Google bei einer Überprüfung Datenschutzmängel fest, erhält der Seitenbetreiber eine Mail mit folgendem Wortlaut:

Sehr geehrte(r) Herr/ Frau X,

am 25. Mai 2018 haben wir mit Inkrafttreten der EU-Datenschutz-Grundverordnung (DSGVO) die Richtlinie zur EU-Nutzereinwilligung von Google so aktualisiert, dass sie mit der DSGVO in Einklang steht. In dieser Richtlinie wird erläutert, dass Sie verpflichtet sind, Endnutzern Ihrer Websites und Apps im Europäischen Wirtschaftsraum (EWR) und im Vereinigten Königreich bestimmte Informationen offenzulegen und Einwilligungen dieser Endnutzer einzuholen.

Wir haben festgestellt, dass die im Anhang genannten Websites bzw. Apps die Richtlinie tatsächlich nicht erfüllen, weil

• keine Einwilligung der Nutzer eingeholt wird und/oder
• nicht genau offengelegt wird, welche Drittanbieter (einschließlich Google) ebenfalls Zugriff auf die Nutzerdaten haben, die Sie auf Ihrer Website bzw. in Ihrer App erfassen.

Wenn Sie von einer Datenschutzaufsichtsbehörde eine Vorgabe oder Bestätigung erhalten haben, dass für die aufgeführten Domains keine Einwilligungserklärung erforderlich ist oder dass die geltenden Datenschutzgesetze (einschließlich DSGVO) bereits eingehalten werden, lassen Sie es uns wissen. Wir prüfen dann alle Vorgaben, die Sie von einer Aufsichtsbehörde erhalten haben, und reagieren entsprechend.

Prüfen Sie die in der angehängten Datei aufgeführten Websites bzw. Apps und sorgen Sie dafür, dass sie mit unserer Richtlinie in Einklang stehen. Wir werden Ihre Websites bzw. Apps regelmäßig prüfen und Ihr Konto beobachten. Wenn die Richtlinienverstöße nicht bis zum XX.XX.XXXX behoben wurden, können wir Maßnahmen ergreifen, einschließlich einer Sperrung.

Richtlinienanforderungen

Die Richtlinie zur EU-Nutzereinwilligung beschreibt Ihre Verantwortlichkeiten als Nutzer unserer Anzeigentechnologie:

Im EWR und im Vereinigten Königreich müssen Sie für folgende Aktivitäten die Einwilligung der Endnutzer einholen:

• Einsatz von Cookies oder anderen Formen der lokalen Datenspeicherung, sofern die Einholung einer Einwilligung hierfür gesetzlich vorgeschrieben ist
• Erhebung, Weitergabe und Nutzung personenbezogener Daten zur Personalisierung von Werbeanzeigen

Sie sind verpflichtet, alle Dritten anzugeben, die infolge Ihrer Verwendung von Google-Produkten personenbezogene Daten von Endnutzern erheben, erhalten oder nutzen können.

Außerdem müssen Sie Endnutzern deutlich sichtbar und leicht zugänglich Informationen zur Verfügung stellen, aus denen hervorgeht, wie diese Dritten die personenbezogenen Daten verwenden.

Weitere Informationen
In der Hilfe zur Richtlinie zur EU-Nutzereinwilligung finden Sie weitere Informationen, wie Sie Ihre Inhalte in Einklang mit der Google-Richtlinie gestalten können. Dort haben wir auch eine Checkliste für Partner zusammengestellt, mit der sich häufige Fehler bei der Implementierung einer Methode zur Nutzereinwilligung vermeiden lassen. Außerdem sollten Sie sich von Ihrer Rechtsabteilung zur Einhaltung der DSGVO und der Google-Richtlinien beraten lassen.

Benötigen Sie Unterstützung?
Kontaktieren Sie uns. Wir helfen Ihnen gern weiter!

II. Was bemängelt Google mit dem Schreiben?

Das Schreiben von Google erhalten solche Seitenbetreiber, welche die grundlegenden datenschutzrechtlichen Pflichten für Google-Dienste nicht einhalten, und sind darauf hin gehalten, bis zum Ablauf einer von Google gesetzten Frist Abhilfe zu schaffen, um sich nicht Sanktionen bis einschließlich der Sperrung ihrer Google-Konten gegenüberzusehen.

Konkret rügt Google zwei mögliche Verstoßformen, die entweder alternativ oder zusammen vorliegen.

1.) Fehlende Cookie-Einwilligungen

Einerseits kann sich Googles Mahnschreiben darauf beziehen, dass auf der betroffenen Seite Einwilligungen für cookie-basierte Google-Tracking-Dienste nicht oder nur unzureichend eingeholt werden.

Googles Strauß an Webanalyse-, Remarketing- und Retargeting-Tools operiert standardmäßig auf Cookie-Basis und oder liest über andere Technologien Daten direkt vom verwendeten Nutzerendgerät aus.

Dies ist nach § 25 Abs. 1 TTSDG allerdings nur zulässig, wenn der Nutzer vorher seine ausdrückliche Einwilligung in die Cookie-Setzung bzw. das Auslesen von Informationen erteilt hat.

Technisch müssen Seitenbetreiber also sicherstellen, dass über einen Zustimmungsverwaltungsdienst (etwa ein Cookie-Consent-Tool) alle eingesetzten Google-Dienste so erfasst sind, dass diese blockiert werden, solange der Nutzer über die Benutzeroberfläche des Zustimmungsverwaltungsdienstes nicht ausdrücklich in den Einsatz von Google-Technologien eingewilligt hat.

Google prüft hierbei auch, ob der Zustimmungsverwaltungsdienst korrekt konfiguriert und ausgestaltet ist.

Erforderlich ist insofern,

• dass Google-Dienste ab Seitenaufruf bis zur Einwilligung des Nutzers blockiert werden
• dass der Nutzer die Möglichkeit hat, individuelle Einwilligungen für jeden eingesetzten Google-Dienst zu erteilen.

Tools, die nur eine Generaleinwilligung („Alle akzeptieren“), aber keine individuellen Einstellungen zulassen, werden von Google bemängelt.

2.) Fehlende Informationen in der Datenschutzerklärung

Gegenstand des Mahnschreibens von Google kann alternativ oder zusätzlich auch sein, dass dem Seitenbetreiber die notwendigen Informationen über die eingesetzten Google-Dienste in seiner Datenschutzerklärung fehlen.

Da Googles Webanalyse-, Remarketing- und Retargeting-Dienste allesamt in bestimmtem Umfang personenbezogene Daten verarbeiten, müssen diese Dienste zwingend in der Datenschutzerklärung aufgeführt werden. Hierbei ist dienstespezifisch darüber aufzuklären, welche Daten in welchem Umfang zu welchem Zweck und auf Basis welcher Rechtsgrundlage verarbeitet werden.

III. Schreiben von Google erhalten: was tun?

Wer ein Schreiben von Google erhalten hat, in welchem Datenschutzeinstellungen bemängelt werden, der sollte umgehend reagieren.

Wird die von Google im Schreiben gesetzte Frist zur Abhilfe nämlich überschritten, macht Google nicht selten schnell Ernst und lässt das betroffene Google-Konto mitsamt der Möglichkeit zur Nutzung der Google-Dienste sperren.

Seitenbetreiber sollten sich in diesem Fall am folgenden Maßnahmenplan orientieren und die notwendigen Schritte fristgerecht ergreifen:

Cookie-Consent-Tool

Sie müssen einen Cookie-Zustimmungsverwaltungsdienst einbinden, der technisch sicherstellt, dass

• alle cookie-basierten Google-Dienste bei Seitenaufruf geblockt werden
• individuelle Einwilligungsoptionen für jeden eingesetzten cookie-basierten Google Dienst vorhanden sind
• die eingesetzten Google-Dienste solange blockiert bleiben, wie der Nutzer nicht seine individuelle Einwilligung erteilt

Datenschutzerklärung

Sie müssen sicherstellen, dass jeder von Ihnen eingesetzte Google-Dienst mit einer rechtskonformen und inhaltlich vollständigen Klausel in der Datenschutzerklärung bedacht wird. Die Klauseln müssen den Dienst, den Umfang der erhobenen Daten, das Ziel der Verarbeitung, die Rechtsgrundlage der Verarbeitung und die Empfänger der Daten benennen.

IV. Fazit

Google kontrolliert die Internetauftritte von Unternehmen, die Google-Dienste zur Analyse des Nutzerverhaltens verwenden, routinemäßig automatisch auf die Einhaltung grundlegender datenschutzrechtlicher Anforderungen.

Konkret wird überprüft, ob der Seitenbetreiber den Einsatz von Google-Diensten hinreichend von einer ausdrücklichen Nutzereinwilligung macht, und ob er in seiner Datenschutzerklärung vollständig über die verwendeten Dienste belehrt.

Stellt Google Unzulänglichkeiten fest, erhält der Seitenbetreiber ein Mahnschreiben per Mail, in dem er unter Fristsetzung zur Abhilfe angehalten wird.

Weil Google bei Überschreitung der gesetzten Frist regelmäßig Maßnahmen ergreift, die bis in einer Sperrung des Google-Kontos münden können, sollten Empfänger schnell handeln und ihre Cookie-Consent-Tools auf Integrität sowie Funktion und ihre Datenschutzerklärungen auf Vollständigkeit überprüfen.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.