Tracking und Webanalyse Datentransfer in die USA und die Gefahren von US-Website Tools

Anbieter zum Thema

etracker GmbH

HRtbeat GmbH

Der Datentransfer in die USA ist noch immer ein heißes Eisen – nicht nur für B2B Unternehmen. Insbesondere bei Website Tools, die Daten in die USA transferieren, gilt höchste Warnstufe, wie einige aktuelle Rechtsurteile belegen. Warum ist das so und was genau steckt dahinter?

Die Konsequenzen des Datentransfers in die USA bekam im März 2023 auch die Telekom zu spüren. Da hat nämlich das Landgericht Köln ein Urteil bezüglich des Einsatzes von US-amerikanischen Tracking Tools gefällt. Dazu hat sich das Gericht unter anderem mit den Hintergründen und Rechtsgrundlagen für den Tracking-Datentransfer in die USA intensiv beschäftigt. Auch die jüngst verhangene DSGVO Rekordstrafe in Höhe von 1,2 Milliarden Euro gegen den Facebook-Mutterkonzern Meta belegt, welches Risiko europäische Unternehmen – ob B2B oder B2C – beim Datentransfer in die USA eingehen. Fakt ist: Viele B2B Unternehmen glauben heute irrtümlicherweise immer noch, dass sie mit dem Einholen von Einwilligungen auf ihrer Website weiterhin problemlos US-Tools wie Google Analytics & Co. einsetzen und Daten in den USA verarbeiten können.

Irrtum Nummer 1: US-Website Tools lassen sich mit Einwilligung nutzen

Richtig ist, dass B2B Unternehmen zwingend eine rechtskonforme Einwilligung einholen müssen, wenn sie etwa ein cookiebasiertes Tracking durchführen und Daten in bedenklicher Art und Weise – was auch den Datentransfer in die USA einschließt – verarbeiten wollen. Die Rechtsgrundlage dieses Erfordernisses bilden unter anderem die Datenschutzgrundverordnung (DSGVO), das im Mai 2020 gefällte Cookie-Urteil des Europäischen Gerichtshofs (EuGH) und das „Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien“ – auch Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG). Aber da die USA als unsicheres Drittland gelten, ist die Einwilligung zum Datentransfer in die USA nur eine Ausnahmeregelung. So formulieren es auch die Aufsichtsbehörden in ihrer Orientierungshilfe für Telemedienanbieter.

Die DSGVO legt fest, dass die Datenverarbeitung in Drittländern ohne ausreichendes Datenschutzniveau – wie den USA – nur vorbehaltlich geeigneter Garantien (zum Beispiel die vorherige Datenverschlüsselung durch den Website Betreiber) erfolgen darf. Allerdings ist dies beim Webtracking technisch gar nicht möglich. Hinzu kommt, dass die USA seit dem Schrems II Urteil des Europäischen Gerichtshofs (EuGH) als „unsicheres Drittland“ gelten, für das kein Angemessenheitsbeschluss besteht und Standardvertragsklauseln selbigen auch nicht ersetzen können. Demnach ist der Datentransfer in die USA und somit auch der Einsatz von US-Website Tools – selbst mit Einwilligung des Nutzers – unzulässig. Eine solche Zustimmung für den Datentransfer in die USA oder andere unsichere Drittländer ist laut DSGVO nur in Ausnahmefällen, nicht aber für den Regelfall, gestattet.

Consent-Banner

Ergebnis der Web-Analyse ist völlig beliebig

Irrtum Nummer 2: Eine Einwilligung ist unverzichtbar für das B2B Tracking

Was viele B2B Unternehmen angesichts allgegenwärtiger Consent-Banner vergessen: Website Tracking erfordert keineswegs immer eine Einwilligung. Anstelle dieser, können sich Websitebetreiber nach Art. 6 DSGVO auch auf das sogenannte „berechtigte Interesse“ berufen, wenn unter anderem folgende Anforderungen erfüllt sind:

• 1. Tracking gemäß der vernünftigen Nutzererwartung
  Es bedarf einer Interessenabwägung, um zu gewährleisten, dass bei der Datenerhebung und -verarbeitung die Grundrechte und Grundfreiheiten des Nutzers nicht überwiegen. Das Tracking muss dazu den „vernünftigen Erwartungen des Nutzers“ entsprechen. Was ein Nutzer erwarten kann, ist beispielsweise das Zählen von Seitenaufrufen oder Transaktionen auf der Website. Nicht erwarten wird er eine Domain-übergreifende Profilbildung oder, dass der Trackinganbieter die Nutzerdaten für eigene Zwecke verwendet.

• 2. Tracking mit dem mildesten Mittel
  Bei der Datenerhebung und -verarbeitung muss das „mildeste Mittel“ zum Einsatz kommen. Nicht dazu gehören etwa hochinvasive Methoden und Technologien wie ein Mouse-Tracking oder die Nutzer-Identifikation durch den Tracking-Anbieter selbst. Auch kann der Datentransfer in die USA, wo ein gänzlich anderes Datenschutzverständnis herrscht und Behörden leichten Zugang zu personenbezogenen Daten erhalten, kein mildestes Mittel sein. In diesen Fällen überwiegen ebenfalls die Nutzerinteressen das „berechtigte Interesse“ des B2B Unternehmens.

Ob also mit oder ohne Einwilligung – Tracking Tools, die Daten für sich selbst nutzen und/oder einen Datentransfer in den USA beinhalten (zum Beispiel Google Analytics), sind datenschutzrechtlich riskant und ihr Einsatz strafbar.

Welche Auswirkungen hat nun das Urteil des LG Köln?

Das Urteil betrifft zum einen die Gestaltung des Cookie-Banners bei der Telekom und zum anderen die mangelnde Rechtsgrundlage für den Datentransfer in die USA. Konkret heißt es vom Landesgericht Köln, dass das verwendete Cookie-Banner mit einem „Alles akzeptieren“-Button nicht dazu geeignet ist, von den Websitebesuchern eine rechtskonforme Einwilligung für den Datentransfer in die USA einzuholen. Weiterhin wird deklariert, dass die von der Telekom angeführten Standardvertragsklauseln allein ebenfalls ungeeignet sind, um die Zugriffs- und Überwachungsmöglichkeiten von US-Nachrichtendiensten und Behörden auszuschließen. Zudem sei eine „ausdrückliche Einwilligung“ des Nutzers nicht dadurch gegeben, dass dieser lediglich das Cookies-Banner akzeptiert.

Um den Datentransfer in die USA zu legitimieren, seien zusätzliche Transparenzpflichten (zum Beispiel eine Aufklärung über mögliche Risiken) erforderlich. Diese muss der Nutzer ebenfalls zur Kenntnis nehmen. Demnach besteht nach Ansicht des LG Köln keine Rechtsgrundlage für den Datentransfer in die USA. Da nun das Urteil des LG Köln alle US-Tools gleichermaßen betrifft, hat es weitreichende Konsequenzen: Auch bei B2B Unternehmen beliebte Tools wie Google Analytics, Facebook Conversion Pixel oder auch Hubspot bergen ein nicht zu unterschätzendes rechtliches Risiko für deutsche Websitebetreiber. Sobald das Urteil rechtskräftig ist, droht B2B Unternehmen eine Abmahnwelle, vergleichbar mit der bezüglich Google Fonts.

Erfolgreich im B2B E-Commerce

Die 5 Schritte zur digitalen Reife

Datentransfer in die USA: Gefahr erkannt, Gefahr gebannt

Ausgehend von den weitverbreitenden Irrtümern und der Tool-Nutzung in Deutschland und der EU kann man durchaus vermuten, dass der Einsatz von US-Website Tools und damit der Datentransfer in die USA in den meisten Fällen rechtswidrig ist. Was die USA als Drittland betrifft, darf man wohl auch nicht so schnell mit dem angekündigten Data Privacy Framework als neuen Angemessenheitsbeschluss rechnen. Nach wie vor zweifeln Mitglieder des Europäischen Parlamentes, dass der vorliegende Entwurf den Maßstäben des EuGHs entsprechen wird. Für Websiteanbieter ist es daher am besten, US-Tools nur noch für das Ausspielen von Inhalten und Ads einzusetzen, und für die Erfolgsmessung mittels Webanalyse besser zu europäischen Anbietern zu wechseln, um den Datentransfer in die USA gänzlich zu vermeiden.

*Olaf Brandt ist Geschäftsführer der etracker GmbH.

(ID:49523708)