06.05.2019

Wann benötige ich eine Einwilligung für eine Besucheranalyse? Welche Cookies darf ich speichern und wie gestalte ich eine Einwilligung? Die Datenschutzaufsichtsbehörde Baden-Württemberg hat dazu eine Orientierungshilfe veröffentlicht.

Mit unserem Datenschutz Newsletter erhalten Sie aktuelle Informationen regelmäßig bequem in Ihr Postfach!

Jetzt anmelden

Als Agentur erhalten wir immer wieder Fragen zum Einsatz von Google Analytics oder möglichen Alternativen im Kontext der DSGVO. Die Datenschutzaufsichtsbehörde Baden-Württemberg hat mit einem "FAQ zu Cookies und Tracking" viele dieser Fragen aufgegriffen und die Position der DSK aus dem vergangenen Jahr bekräftigt: für die Nutzung von Google Analytics oder Like/Share-Buttons ist eine vorherige Einwilligung notwendig.

 

 

Einwilligung bei Einbindung von Google Analytics oder Social-Media-Plugins

 

Für Besucheranalysen und Social-Media-Plugins wird regelmäßig auf Dienste Dritte zugegriffen. Google Analytics oder der Like-Button von Facebook sind weit verbreitet. Standardmäßig werden diese Plugins beim Besuch einer Webseite geladen und können (im Idealfall) in der Datenschutzerklärung deaktiviert werden. In einem solchen Fall sprechen wir von einer Opt-Out-Lösung. Bei der Nutzung externer Dienste werden Informationen (mindestens IP-Adresse) an den Anbieter übertragen. Die Aufsichtsbehörde ist der Meinung, dass bei einer Reichweitenanalyse mittels externer Dienste eine vorherige ausdrückliche, informierte, freiwillige und aktive Einwilligung notwendig ist. 

 

Das bedeutet im Klartext: ohne Bestätigung (Opt-In) durch den Besucher (z.B. durch klicken auf einen Link) darf das Besuchertracking / Plugin nicht aktiv sein. Die Aufsichtsbehörde begründet dies durch die unrechtmäßige Weitergabe von Informationen an Dritte.

 

Als Alternative schlägt die. Aufsichtsbehörde die Nutzung lokal installierter Analysewerkzeuge, wie z.B. Matomo vor. Dabei werden keinerlei Daten weitergebeben. Selbstverständlich muss auch in diesem Fall der Einsatz in der Datenschutzerklärung beschrieben und die Möglichkeit des Opt-Outs gegeben sein. Zusätzlich muss die Analysesoftware datenschutzfreundlich (Anonymisierung von IP-Adressen, Speicherdauer) konfiguriert werden.

 

Schwieriger wird es beim Einsatz von Social-Plugins. Diese können nicht einfach durch eine lokale Software ersetzt werden. Hierfür schlägt die Aufsichtsbehörde den Einsatz einer sog. Zwei-Klick-Lösung vor. Dabei wird im ersten Schritt nur ein Bild (Icon) des Plugins angezeigt. Beim Klick auf das Bild öffnet sich eine kleine Informationsbox mit Datenschutzhinweisen. Erst wenn der Besucher die Verwendung und Weitergabe seiner Daten an den Anbieter bestätigt, wird das Plugin geladen. Eine praktische Lösung bietet dafür der Shariff-Button

 

Darüber hinaus muss der Webseitenbetreiber prüfen, ob eine Auftragsverarbeitung oder gemeinsame Verarbeitung vorliegt und entsprechend einen Vertrag mit dem Anbieter der Dienste schließen.

 

Speichern von Cookies

 

Ähnlich sieht die Aufsichtsbehörde das Speichern von Cookies. Cookies, die für den Betrieb einer Webseite benötigt werden (z.B. Warenkorb- oder Loginfunktion), dürfen ohne Einwilligung gespeichert werden. Sobald Cookies aber, insbesondere durch einen externen Anbieter,  über Domain- oder Gerätegrenzen hinweg gespeichert werden, muss auch in diesem Fall eine Einwilligung des Besuchers eingeholt werden.

 

Wie muss eine Einwilligung aussehen? Hinweise zum Cookie-Banner

 

Eine Einwilligung muss informiert, freiwillig und aktiv gegeben werden - und zwar vor der eigentlichen Verarbeitung. Für die Einholung einer Einwilligung für Besucheranalysen oder Social-Plugins eignet sich ein Cookie-Banner, jedoch nicht in der so häufig beobachteten Variante. Ein reiner Hinweis, dass beispielsweise eine Webseite Cookies für Webanalyse und Werbemaßnahmen oder um das Surferlebnis zu verbessern verwendet, reicht nicht aus, da die tatsächliche Verarbeitung leicht missverstanden werden kann (Gebot der Transparenz). Laut Aufsichtsbehörde müssen Webseitenbetreiber für die Einwilligung auf Folgendes achten:

 

  • Klare und nicht irreführende Überschrift, z.B. "Weitergabe Ihrer Nutzerdaten an Dritte"
  • Gegenstand der Einwilligung: Welche Daten werden verarbeitet und weitergegeben? Zu Welchen Zwecken?
  • Die Einwilligung darf nicht voreingestellt sein: vorausgefüllte Checkboxen sind nicht erlaubt
  • Es dürfen keine Plugins geladen werden, bevor die Einwilligung erteilt wurde
  • Der Zugriff auf Datenschutzerklärung und Impressum dürfen nicht durch den Cookie-Banner verdeckt werden
  • Die Einwilligung muss freiwillig erfolgen. Die Nutzung der Webseite darf nicht von der Einwilligung abhängig gemacht werden (Kopplungsverbot)
  • Es muss auf einen Widerruf hingewiesen werden. Dieser darf nicht komplizierter sein als die Erteilung der Einwilligung

 

 

Fazit

 

Letztendlich hat sich an der Position der Aufsichtsbehörden nichts geändert. Vielmehr bekräftigt die FAQ die Sicht, dass für den Einsatz von Drittanbietern, insbesondere wenn eine Reichweitenmessung über Domaingrenzen hinweg durchgeführt wird, eine vorherige, informierte und freiwillige Einwilligung eingeholt werden muss. Es ist zu befürchten, dass sich das negativ auf die Aussagekraft von Besucherstatistiken auswirken wird. Von geblockten Werbebannern und den daraus resultierenden Umsatzeinbußen ganz zu schweigen. Es sind vielleicht die ersten Vorboten der kommenden ePrivacy-Verordnung, die genau diese Vorgaben im Bezug auf die Nutzung von Cookies macht.

Daniel Steffen ist zertifizierter Datenschutzbeauftragter (DSB-TÜV) und Auditor (DSA-TÜV) und berät deutschlandweit Unternehmen in den Bereichen Datenschutz und Informationssicherheit.

Über den Autor

Hinweis

Dieser Artikel wurde auf Basis der aktuell verfügbaren Literatur erstellt. Er dient als erste Einschätzung von potentiellen Problemen innerhalb der Datenschutzgrundverordnung (DSGVO). Es wird darauf hingewiesen, dass viele der hier behandelten Probleme noch nicht abschließend, insbesondere durch höchstrichterliche Rechtsprechungen, geklärt wurden und teilweise auch noch keine Stellungnahmen der Landesdatenschutzbehörden vorliegen, weshalb zu einigen Punkten unterschiedliche Auffassungen vertreten werden. Ich übernehme daher keine Haftung auf Richtigkeit und Vollständigkeit. Insbesondere ist darauf hinzuweisen, dass jeder Fall gesondert zu prüfen ist und keine individuelle Rechtsberatung ersetzt.


Weitere Artikel im Datenschutz-Blog

15.03.2021

In den letzten Tagen wurde bekannt, dass Microsoft Exchange Server durch mehrere Sicherheitslücken gegen Angreifer aus dem Internet nicht ausreichend gesichert sind. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) stuft die Gesamtsituation als kritisch ein, da bereits eine Kompromittierung zahlreicher Systeme stattfand.

Mehr erfahren ...
10.03.2021

Neben der DSGVO ist 2018 auch das Gesetz zum Kirchlichen Datenschutz (KDG) in Kraft getreten. Grundsätzlich weisen beide Gesetze viele Gemeinsamkeiten auf. In ein paar Punkten unterscheiden sie sich jedoch voneinander. Wir gehen auf Gemeinsamkeiten und Unterschiede ein.

Mehr erfahren ...
16.02.2021

Die europäischen Datenschutzbehörden haben 2020 Bußgelder in Höhe von fast 160 Millionen Euro verhängt - ein Anstieg von 60 Prozent im Vergleich zum Vorjahr.

Mehr erfahren ...
20.03.2020

In den vergangenen Tagen steigt die Zahl der mit COVID-19 infizierten Personen fast exponentiell. Betriebe werden aufgrund behördlicher Anordnungen geschlossen oder auf ein Minimum heruntergefahren. Wie können Arbeitgeber sich und Ihre Beschäftigten schützen und dürfen sie dazu Gesundheitsdaten ihrer Mitarbeiter verarbeiten?

Mehr erfahren ...

Sie benötigen einen externen Datenschutzbeauftragten für Ihr Unternehmen?

 

Wir beraten Sie gerne. Kontaktieren Sie uns und fordern Sie ein unverbindliches Angebot an.

Unverbindliches Angebot anfordern