Wie der Datenschutzaktivist und Etracker-Gründer Christian Bennefeld auf seinem Blog berichtet, sind in gleich mehreren Bundesländern zu ähnlichen Zeitpunkten zehntausende Beschwerden eingegangen. In Hamburg allein soll ein einzelner Beschwerdeführer 20.000 Unternehmenswebseiten gelistet haben, die Google Analytics entgegen der aktuellen Datenschutzbestimmungen nutzen. Bennefeld möchte nun mit einer neuen Non-Profit-Initiative Missstände im Rahmen der DSGVO aufklären sowie Betroffenen bei der Durchsetzung ihrer Rechte unterstützen. Mit der Analyse-Plattform Etracker steht er allerdings in direkter Konkurrenz zu dem US-Riesen.

Auf Nachfrage erklärt Christian Bennefeld, warum der Einsatz von Analyse-Tools per se nicht gegen den Datenschutz verstößt, die Verwendung von Google Analytics jedoch einen Sonderfall darstellen kann: “Der Website-Betreiber hat ein berechtigtes Interesse an der statistischen Auswertung seiner Website, das ist richtig.” Solange also die Daten nur im Auftrag des Webseitenbetreibers verarbeitet und durch den Analyse-Dienstleister nicht selbst weiterverwendet oder -gegeben werden, müsste nach aktueller Gesetzgebung kein aktiver Consent vorliegen. “Eine Weitergabe der Daten an Dritte zu ‘anderen Zwecken’ ist aber nicht von seinem berechtigten Interesse gedeckt. Und natürlich erst recht keine Website-übergreifende Profilbildung durch einen Dritten [...]”, warnt Bennefeld und spielt auf den Umstand an, dass bei Google Analyse und andere Dienste, wie die datenbasierte Werbeschaltung, sehr nah beieinander liegen.

Der Datenschutzaktivist fährt fort: “Das Problem ist der eigene Zweck, den Google mit den Daten verfolgt und die damit verbundene Website-übergreifende Profilbildung. Ein solcher Eingriff in die Privatsphäre des Surfers ist natürlich nicht mehr vom berechtigten Interesse des Website-Betreibers gedeckt. Daher ist die explizite, freiwillige und informierte Einwilligung eines jeden Nutzers als Rechtsgrundlage die einzige Möglichkeit, diese Daten gesetzeskonform zu erfassen.” Die von den Beschwerden betroffenen Webseiten hatten vermutlich keine Einwilligung eingeholt.

Dienste zur Analyse von Webseiten-Traffic dürfen also nur als Auftragsdatenverarbeiter auftreten. Laut Bennefeld erfüllt Google jedoch mehr als nur diese Funktion:

In beiden von Bennefeld genannten Fällen würde die DSGVO ins Spiel kommen, da sie Daten betreffen, über die ein Individuum indirekt oder direkt identifiziert werden kann. Für den Datenschutzexperten benötigt die Verwendung von Google Analytics damit klar eine Zustimmung des Nutzers im Rahmen einer Consent-Abfrage. Eine weitere juristische Grundlage für die Beschwerden könnte das kürzliche EuGH-Urteil liefern, nachdem jegliche Cookie-Setzung und -Nutzung nur nach expliziter Einwilligung geschehen darf.