Als Agentur erhalten wir immer wieder Fragen zum Einsatz von Google Analytics oder möglichen Alternativen im Kontext der DSGVO. Die Datenschutzaufsichtsbehörde Baden-Württemberg hat mit einem "FAQ zu Cookies und Tracking" viele dieser Fragen aufgegriffen und die Position der DSK aus dem vergangenen Jahr bekräftigt: für die Nutzung von Google Analytics oder Like/Share-Buttons ist eine vorherige Einwilligung notwendig.
Einwilligung bei Einbindung von Google Analytics oder Social-Media-Plugins
Für Besucheranalysen und Social-Media-Plugins wird regelmäßig auf Dienste Dritte zugegriffen. Google Analytics oder der Like-Button von Facebook sind weit verbreitet. Standardmäßig werden diese Plugins beim Besuch einer Webseite geladen und können (im Idealfall) in der Datenschutzerklärung deaktiviert werden. In einem solchen Fall sprechen wir von einer Opt-Out-Lösung. Bei der Nutzung externer Dienste werden Informationen (mindestens IP-Adresse) an den Anbieter übertragen. Die Aufsichtsbehörde ist der Meinung, dass bei einer Reichweitenanalyse mittels externer Dienste eine vorherige ausdrückliche, informierte, freiwillige und aktive Einwilligung notwendig ist.
Das bedeutet im Klartext: ohne Bestätigung (Opt-In) durch den Besucher (z.B. durch klicken auf einen Link) darf das Besuchertracking / Plugin nicht aktiv sein. Die Aufsichtsbehörde begründet dies durch die unrechtmäßige Weitergabe von Informationen an Dritte.
Als Alternative schlägt die. Aufsichtsbehörde die Nutzung lokal installierter Analysewerkzeuge, wie z.B. Matomo vor. Dabei werden keinerlei Daten weitergebeben. Selbstverständlich muss auch in diesem Fall der Einsatz in der Datenschutzerklärung beschrieben und die Möglichkeit des Opt-Outs gegeben sein. Zusätzlich muss die Analysesoftware datenschutzfreundlich (Anonymisierung von IP-Adressen, Speicherdauer) konfiguriert werden.
Schwieriger wird es beim Einsatz von Social-Plugins. Diese können nicht einfach durch eine lokale Software ersetzt werden. Hierfür schlägt die Aufsichtsbehörde den Einsatz einer sog. Zwei-Klick-Lösung vor. Dabei wird im ersten Schritt nur ein Bild (Icon) des Plugins angezeigt. Beim Klick auf das Bild öffnet sich eine kleine Informationsbox mit Datenschutzhinweisen. Erst wenn der Besucher die Verwendung und Weitergabe seiner Daten an den Anbieter bestätigt, wird das Plugin geladen. Eine praktische Lösung bietet dafür der Shariff-Button.
Darüber hinaus muss der Webseitenbetreiber prüfen, ob eine Auftragsverarbeitung oder gemeinsame Verarbeitung vorliegt und entsprechend einen Vertrag mit dem Anbieter der Dienste schließen.
Speichern von Cookies
Ähnlich sieht die Aufsichtsbehörde das Speichern von Cookies. Cookies, die für den Betrieb einer Webseite benötigt werden (z.B. Warenkorb- oder Loginfunktion), dürfen ohne Einwilligung gespeichert werden. Sobald Cookies aber, insbesondere durch einen externen Anbieter, über Domain- oder Gerätegrenzen hinweg gespeichert werden, muss auch in diesem Fall eine Einwilligung des Besuchers eingeholt werden.
Wie muss eine Einwilligung aussehen? Hinweise zum Cookie-Banner
Eine Einwilligung muss informiert, freiwillig und aktiv gegeben werden - und zwar vor der eigentlichen Verarbeitung. Für die Einholung einer Einwilligung für Besucheranalysen oder Social-Plugins eignet sich ein Cookie-Banner, jedoch nicht in der so häufig beobachteten Variante. Ein reiner Hinweis, dass beispielsweise eine Webseite Cookies für Webanalyse und Werbemaßnahmen oder um das Surferlebnis zu verbessern verwendet, reicht nicht aus, da die tatsächliche Verarbeitung leicht missverstanden werden kann (Gebot der Transparenz). Laut Aufsichtsbehörde müssen Webseitenbetreiber für die Einwilligung auf Folgendes achten:
- Klare und nicht irreführende Überschrift, z.B. "Weitergabe Ihrer Nutzerdaten an Dritte"
- Gegenstand der Einwilligung: Welche Daten werden verarbeitet und weitergegeben? Zu Welchen Zwecken?
- Die Einwilligung darf nicht voreingestellt sein: vorausgefüllte Checkboxen sind nicht erlaubt
- Es dürfen keine Plugins geladen werden, bevor die Einwilligung erteilt wurde
- Der Zugriff auf Datenschutzerklärung und Impressum dürfen nicht durch den Cookie-Banner verdeckt werden
- Die Einwilligung muss freiwillig erfolgen. Die Nutzung der Webseite darf nicht von der Einwilligung abhängig gemacht werden (Kopplungsverbot)
- Es muss auf einen Widerruf hingewiesen werden. Dieser darf nicht komplizierter sein als die Erteilung der Einwilligung
Fazit
Letztendlich hat sich an der Position der Aufsichtsbehörden nichts geändert. Vielmehr bekräftigt die FAQ die Sicht, dass für den Einsatz von Drittanbietern, insbesondere wenn eine Reichweitenmessung über Domaingrenzen hinweg durchgeführt wird, eine vorherige, informierte und freiwillige Einwilligung eingeholt werden muss. Es ist zu befürchten, dass sich das negativ auf die Aussagekraft von Besucherstatistiken auswirken wird. Von geblockten Werbebannern und den daraus resultierenden Umsatzeinbußen ganz zu schweigen. Es sind vielleicht die ersten Vorboten der kommenden ePrivacy-Verordnung, die genau diese Vorgaben im Bezug auf die Nutzung von Cookies macht.