US-Website-Tools wie Google Analytics meist rechtswidrig im Einsatz

Ein Kommentar von Olaf Brandt, Geschäftsführer der etracker GmbH, zum aktuellen Telekom-Urteil des LG Köln.

Ausgangspunkt war eine Klage der Verbraucherzentrale NRW gegen die Deutsche Telekom. Für sein Urteil hat sich das Landgericht Köln unter anderem mit der Rechtsgrundlage für eine Übertragung von Tracking-Daten in die USA befasst.

Im Urteil selbst heißt es dann, dass das von der Deutschen Telekom verwendete Cookie-Banner mit einem „Alles akzeptieren“-Button nach Ansicht des Gerichts nicht geeignet ist, eine rechtskonforme Einwilligung der Website-Besucher für einen US-Datentransfer einzuholen. Die USA gelten seit dem Schrems II Urteil des Europäischen Gerichtshofs (EuGH) als ein „unsicheres Drittland“, für das kein Angemessenheitsbeschluss mehr existiert, auf dessen Basis eine US-Datenübertragung problemlos möglich wäre. Das Gericht führt aus, dass die von der Telekom stattdessen angeführten Standardvertragsklauseln allein ebenfalls nicht geeignet sind, um die Zugriffs- und Überwachungsmöglichkeiten von US-Nachrichtendiensten auszuschließen. Eine „ausdrückliche Einwilligung“ des Website-Besuchers ist aus Sicht des Gerichts nicht allein dadurch gegeben, dass dieser das Cookies-Banner akzeptiert. Denn für einen Datentransfer in die USA sind zusätzliche Transparenzpflichten sowie eine Aufklärung über die Gefahren notwendig, die der Nutzer zur Kenntnis genommen haben muss. Folglich fehlt eine Rechtsgrundlage für die US-Datenübertragung.

Vermutlich wird auch das angekündigte Data Privacy Framework als neuer Angemessenheitsbeschluss nicht so schnell kommen. Denn die Mitglieder des Europäischen Parlamentes regen Zweifel, dass der vorliegende Entwurf den Maßstäben des EuGHs für den Schutz der EU-Bürger genügen wird. Eine Delegation der EU ist Mitte Mai erneut in Washington, um den Entwurf zu verhandeln. Ob dies zu einer hinreichenden Verbesserung führt, ist nicht absehbar, denn die Anforderungen der Parlamentarier in Bezug auf die Kritikpunkte – wie etwa richterliche Unabhängigkeit, Transparenz und Zugang zur Justiz und Rechtsmitteln – sind sehr hoch.

Das Urteil des Landgerichts Köln steht in einer Linie mit der von den deutschen Datenschutzaufsichtsbehörden formulierten Orientierungshilfe für Telemedienanbieter. Aus dieser geht klar hervor, dass mit einer Einwilligung nach Art. 49 Abs. 1 lit. a) DSGVO keine geeignete Rechtsgrundlage für einen US-Transfer zur „Nachverfolgung von Nutzerverhalten auf Webseiten oder in Apps“ gegeben ist. Diese Auffassung der Aufsichtsbehörden hat das Landgericht Köln nun bestätigt.

Generell hat das Urteil für die Online-Branche weitreichende Folgen, da es für alle US-Tools gleichermaßen zutrifft. Beliebte Tools wie Google Analytics, Facebook Conversion Pixel oder auch Hubspot können damit schnell zu einem Problem für deutsche Website-Betreiber werden. Denn sobald das Urteil rechtskräftig ist, droht eine weitere Abmahnwelle, ähnlich wie bei Google Fonts. Website-Anbieter sind daher gut beraten, den Vorgaben der genannten Orientierungshilfe zu folgen, um rechtliche Konsequenzen beim Tracking-Tool-Einsatz zu vermeiden.

Absolute Rechtsicherheit haben deutsche Unternehmen aktuell nur mit europäischen Anbietern. Allerdings trennt sich hier auch die Spreu schnell vom Weizen, was die Qualität der Daten betrifft. Denn nur mit Cookieless-Tracking-Systemen lässt sich eine hohe Datenqualität gewährleisten, weil Datenerfassung unabhängig von einer Cookie-Einwilligung möglich ist. Das heißt: Alle Besuche und Conversions werden rechtskonform erfasst. Dadurch erhalten Website-Betreiber belastbare Daten zur Steuerung des Online-Erfolgs. Gleichzeitig wird die Privatsphäre der Besucher respektiert. Eine Win-Win Situation für alle.