Überspringen zu Hauptinhalt
Rufen Sie uns an: +49 6131 144 56 25

Urteil: Google Analytics kann abgemahnt werden

Das Landgericht (LG) Rostock hat in einer aktuellen Entscheidung (Urteil vom 11.08.2020 – 3 O 762/19) zu Abmahnungen wegen Tracking- und Analysediensten, wie Google Analytics geurteilt. Die Entscheidung ist besonders beachtenswert, da sie sich nicht nur mit dem Erfordernis einer Einwilligung und dem Datentransfer in die USA beschäftigt, sondern Dienste, wie Google Analytics ausdrücklich als gemeinsame Datenverarbeitung einstuft.

Der Fall

In vorliegendem Fall hatte der Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e. V. (VZBV) gegen die Betreiberin der Internetplattform www.advocado.de (advocado) geklagt. Der Klage ging eine Abmahnung des VZBV voraus, in der der VZBV insbesondere den Einsatz von Trackingdiensten rügte. Laut VZBV erfüllte das eingesetzte Cookie-Banner nicht die gesetzlichen Voraussetzungen und advocado informierte nicht ausreichend über die Datenverarbeitung. Das Gericht gab dem VZBV Recht.

Fehlerhafte Cookie-Banner können abgemahnt werden

Bisher war umstritten, ob Datenschutzverstöße von Verbraucherverbänden abgemahnt werden können. Das LG Rostock urteilte jetzt ausdrücklich, dass Verbraucherzentralen Verstöße mit Bezug zu Cookies abmahnen können. Zudem entschied das Gericht, dass auch Verstöße bei Informationspflichten über Cookies und Informationen über damit zusammenhängende Datenverarbeitungen ebenfalls abgemahnt werden können. Für Unternehmen steigt damit die Abmahngefahr.

Ablehnen-Button darf im Cookie-Banner nicht versteckt werden

Zudem beschäftigte sich das Gericht mit zwei Versionen von Cookie-Bannern. Zunächst verwendete advocado ein Banner bei dem die Checkboxen für Marketing- und Trackingcookies vorausgewählt waren. Dies erfülle jedoch nicht die Vorgaben des Europäischen Gerichtshofs (EuGH) zur Einwilligung in Werbe-Cookies.

Doch auch nachdem advocado das Banner anpasste, genügte dies den Richtern noch nicht. Nach der Anpassung enthielt das Banner einen grünen Button „Cookies zulassen“ und daneben einen farblich nicht hinterlegten Button „Details anzeigen“. Diesem „verstecken“ des Ablehnen-Buttons erteilte das Gericht eine sehr klare Absage:

Der Umstand, dass der Nutzer bei dem nun verwendeten Cookie-Banner auch die Möglichkeit hat, über den Bereich „Nur notwendige Cookies verwenden“ seine Einwilligung auf technisch notwendige Cookies zu beschränken, ändert an der Beurteilung nichts. Insoweit ist festzuhalten, dass dieser Button gar nicht als anklickbare Schaltfläche zu erkennen ist. Zudem tritt er auch neben dem grün unterlegten und damit als vorbelegt erscheinenden „Cookie zulassen“-Button in den Hintergrund. Diese Möglichkeit wird von einer Vielzahl der Verbraucher deshalb regelmäßig gar nicht als gleichwertige Einwilligungsmöglichkeit wahrgenommen werden.

Da das Ablehnen aufwändiger als das Zustimmen war, ging das Gericht davon aus, dass keine wirksamen Einwilligungen eingeholt werden. Nach der Rechtsauffassung des Gerichts muss also der Ablehnenbutton in etwa so gestaltet werden, wie der Zustimmungsbutton.

Angabe mehrerer Rechtsgrundlagen unzulässig

Das Gericht hat sich auch mit den Anforderungen an eine Datenschutzerklärung befasst. Demnach ist die Angabe mehrerer Rechtsgrundlagen in der Datenschutzerklärung nicht „präzise“ und erfülle daher nicht die Anforderungen der Datenschutzgrundverordnung (DSGVO). Aus der Datenschutzerklärung sollte sich genau ergeben, auf welche Rechtsgrundlage sich das Unternehmen jeweils stützen. Die pauschale Angabe mehrerer oder schlicht aller möglichen Rechtsgrundlagen ist nach Ansicht des Gerichts unzulässig.

Bei Datenübermittlungen in die USA muss über geeignete Garantien informiert werden

Erfolgt eine Datenübermittlung in ein Drittland, so muss darüber informiert werden, welche Garantien getroffen werden, um ein angemessenes Datenschutzniveau in dem Drittland zu gewährleisten. In Bezug auf die USA brachte der EuGH das EU-US-Privacy-Shield kürzlich zu Fall. Das betrifft insbesondere den Einsatz vieler Webdienste, wie Tools von Google, Facebook und Microsoft.

Google-Analytics ist keine Auftragsverarbeitung

Eine größere Neuerung bringt das Urteil auch in Bezug auf Google Analytics und ähnliche Dienste. Das Gericht urteilte, dass es sich bei Google Analytics nicht um eine Auftragsverarbeitung, sondern um eine gemeinsame Datenverarbeitung handelt. Damit wendet das Gericht eine EuGH-Entscheidung, die zu Facebook-Like-Buttons ergangen ist, auf weitere Webseiten-Tools an. Webseitenbetreiber und Google sind damit nach Ansicht des Gerichts beide für die Datenverarbeitung bei Google-Analytics Verantwortliche im Sinne der DSGVO.

Für die Praxis bedeutet das, dass kein Auftragsverarbeitungsvertrag (AVV) mit Google abzuschließen ist, sondern ein Vertrag über die gemeinsame Verarbeitung. Problematisch hieran ist jedoch, dass Google einen solchen Vertrag bisher überhaupt nicht anbietet. Der Einsatz von Google-Analytics gestaltet sich damit, bis Google einen entsprechenden Vertrag anbietet, aus einem weiteren Grund aktuell als rechtswidrig.

Fazit

Das Urteil betrifft zahlreiche Unternehmen, da es Fragen betrifft, die aktuell in jedem Unternehmen relevant sind. Gleichzeitig steigt mit dem Urteil das Abmahnrisiko für Unternehmen. Sie sollten daher Ihre aktuellen Cookie-Banner und Datenschutzerklärungen überprüfen und gegebenenfalls anpassen. Zudem sollten Sie den Einsatz von Google-Analytics auf den Prüfstand stellen.

Der Rechtsstreit ist jedoch noch nicht endgültig entschieden. Nach unseren Informationen hat advocado gegen das Urteil Berufung eingelegt, sodass sich an der Beurteilung durch das Oberlandesgericht Rostock noch etwas ändern kann.

Bildernachweis für diesen Beitrag: @ Rawf8- stock.adobe.com