Google Fonts und Google Analytics gehören mittlerweile zu den Standardtools von Webseitenbetreiber:innen. Beide Google-Werkzeuge können zahlreiche Vorteile mit sich bringen, um eine Website modern und zielgruppenorientiert zu entwerfen. Doch die Nutzung der Systeme bringt auch datenschutzrechtliche Risiken mit sich, insbesondere nachdem europäische Gerichte und Datenschutzbehörden ihre Verwendung immer kritischer sehen. Der folgende Beitrag soll einen Überblick über die Rechtslage zu beiden Tools geben, sodass die Unsicherheiten in Bezug auf ihren Einsatz besser eingeschätzt werden können.
Was sind Google Analytics und Google Fonts?
1. Google Fonts
Sollen beispielsweise Websites, Apps oder E-Books mit Inhalten gefüllt werden oder möchte ein Unternehmen ein Logo entwerfen, bedarf es dafür einer Schriftart. Meistens bietet es sich dabei an, auf bereits bewährte Fonts zurückzugreifen, über die die meisten Endgeräte standardmäßig ohnehin verfügen. Viele Anbieter:innen möchten jedoch darüber hinaus spezielle Schriftarten mit besonderem Design aus der Datenbank Google Fonts nutzen. Diese ist ein interaktives Verzeichnis mit mehr als 1400 Schriftarten, die Google zur freien Verwendung bereitstellt. Durch die Nutzung von Google Fonts wird sichergestellt, dass die gewünschten Schriftarten auf jedem Gerät verfügbar sind und Texte auf Websites automatisiert in der jeweiligen Schrift dargestellt werden können. Mit der größte Vorteil ist wohl das Lizenzierungsmodell von Google: Alle Schriften können kostenfrei und auch für kommerzielle Zwecke verwendet werden. Die Bibliothek kann entweder auf dem eigenen Server lokal gespeichert oder remote genutzt werden. In letzterem Fall werden die Schriftarten beim Aufrufen etwa einer Website von den Google-Servern geladen.
2. Google Analytics
Google Analytics ist ein Trackingtool des Unternehmens. Es dient Webseitenbetreiber:innen zur Datenverkehrsanalyse. Durch die Sammlung von Webseiten- und App-Daten kann das Verhalten von Nutzenden nachvollzogen werden. Informationen, die beispielsweise ausgewertet werden können, sind die Anzahl der Besucher auf einer Website, welche Inhalte am häufigsten abgerufen werden und die Verweildauer eines jeden Besuchers bei einzelnen Produkten. Andere wichtige Informationen sind demografische Merkmale wie Sprache und Standort, oder der zum Aufruf genutzte Browser.
Ziel der Anwendung von Google Analytics ist es, durch die erfassten Daten Informationen über die eigene Website zu erlangen. Die neuste Version des Marketingtools „Google Analytics 4“ (GA 4) nutzt dazu im Gegensatz zur Vorgängerversion „Universal Analytics“ (UA) künstliche Intelligenz und maschinelles Lernen. So werden Algorithmen für die Messung und Auswertung der Nutzungsdaten verwendet. Diese messen automatisch anhand von Ereignisdaten (sog. Events), und nicht wie zuvor bei UA anhand von sitzungsbasierten Daten (sog. Hits), das Nutzungsverhalten des individuellen Websitebesuchers. Unter solche Events fallen zum Beispiel Scrolls bis zum Seitenende, Klicks auf externe Links, Downloads oder Seitenaufrufe.
Durch die Anwendung des Analysewerkzeuges können größere Zielgruppen erreicht und Werbekampagnen individualisiert und effektiver gestaltet werden.
Welche rechtlichen Probleme entstehen durch die Anwendung dieser Systeme?
1. Welche Daten werden durch die Services erhoben?
Hinsichtlich der durch die Anwendung von Google Fonts und Google Analytics erhobenen Daten muss zwischen den beiden Services unterschieden werden.
Im Rahmen der Anwendung von Google Fonts werden Daten nur dann an Google übermittelt, wenn die Schriftarten nicht lokal, sondern auf den Google-Servern gespeichert werden. Es wird dabei automatisch die IP-Adresse der jeweiligen Website-Besucher, ein personenbezogenes Datum, an Google gesendet und laut Google temporär für die Auslieferung der Schriftart verwendet.
Im Gegensatz dazu werden bei der Anwendung von Google Analytics eine Fülle an Daten verarbeitet. Mit dem Ziel, Besucherstatistiken zu erstellen und Unternehmen Aufschluss über die Nutzung ihrer Websites zu geben, werden personenbezogene Besucherdaten gesammelt. Diese Daten werden auf den Google-Servern in den Vereinigten Staaten gespeichert.
Das könnte Sie auch interessieren:
- Digitales Marketing und Datenschutz – Handlungsempfehlungen
- Google Analytics 4 & Datenschutz – Was Unternehmen jetzt beachten müssen
- Google Analytics in der EU: So gelingt der datenschutzkonforme Einsatz
- § 26 TTDSG in der praktischen Umsetzung: Zukunft der Einholung und Verwaltung von Einwilligungen im Internet?
- Digitales Marketing und Datenschutz – wir sind Ihr richtiger Partner!
2. Welche Probleme entstehen durch die Datenerhebung?
Dass bei Verwendung der beiden Google Dienste personenbezogene Daten in die USA, unter Datenschutzgesichtspunkten ein unsicheres Drittland, übermittelt werden, ist freilich nicht unproblematisch. Google Fonts und Google Analytics waren deshalb schon häufiger Gegenstand von Verfahren vor europäischen Gerichten oder bei europäischen Datenschutzbehörden.
Google Fonts
Mit Google Fonts beschäftigte sich erst jüngst das LG München. In seinem Urteil vom 20. Januar 2022 entschied das Gericht, dass ein Webseiten-Betreiber, der Google Fonts remote nutzte, es unterlassen solle, die IP-Adresse des Klägers an Google weiterzugeben. Zudem sprach es dem Kläger einen Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO zu. Dies begründeten die Münchner Richter damit, dass die dynamische IP-Adresse ein personenbezogenes Datum sei. Ihre Weitergabe ohne vorherige Einwilligung stelle einen unzulässigen Eingriff in das allgemeine Persönlichkeitsrecht in Form des Rechts auf informelle Selbstbestimmung dar. Insbesondere könne sich die Beklagte auch nicht auf ein berechtigtes Interesse nach Art. 6 Abs. 1 f) DSGVO berufen, da Google Fonts mittels einer Speicherung der Schriftarten auf einem lokalen Server auch genutzt werden könne, ohne dass dabei personenbezogene Daten in die Vereinigten Staaten übermittelt werden müssten.
Als Folge des Urteils häufen sich die Stimmen, die der Meinung sind, dass sich Google Fonts nicht mehr ohne Weiteres datenschutzkonform in digitale Produkte einbinden lässt, zumindest wenn die Schriften remote von den Google-Servern nachgeladen werden müssen. Zu erwähnen ist jedoch, dass es sich bei der Entscheidung des LG München um ein erstinstanzliches Urteil handelt. Das letzte Wort ist also noch nicht gesprochen. Vertretbar wäre es durchaus, anzunehmen, dass hinsichtlich der reinen Datenverarbeitung eine Interessenabwägung nach Art. 6 Abs. 1 f) zugunsten von Google ausfallen würde. Dafür spricht, dass der Umfang der Datenverarbeitung recht gering ist. Schließlich wird die IP-Adresse nach der Auslieferung der Schriftart nicht gespeichert oder analysiert. Zudem ergreift Google nach eigenen Aussagen umfangreiche Schutzmaßnahmen und verwendet die durch Google Fonts erfassten Informationen nicht, um Nutzerprofile zu erstellen. Dennoch ist die remote Verwendung von Google Fonts mit Risiken verbunden, da die Übermittlung der IP-Adresse in die USA eine datenschutzrechtliche Grundlage benötigt, Betroffene die Unternehmen mit Schadensersatzforderungen konfrontieren und andere Gerichte in Zukunft ähnlich wie das LG München entscheiden könnten.
Google Analytics
Was die Verwendung von Google Analytics betrifft, häufen sich die Entscheidungen europäischer Datenschutzbehörden. Die erste Entscheidung bezüglich des Einsatzes des Tools traf im Januar 2022 die österreichische Datenschutzbehörde. Vorausgegangen war eine Beschwerde des europäischen Zentrums für digitale Rechte (NOYB). Die Organisation beanstandete die Übermittlung von Daten in die Vereinigten Staaten über Google Analytics und den Dienst Facebook Connect: Nachdem der EuGH in seinem „Schrems-II-Urteil“ entschied, dass US-Überwachungsgesetze im Widerspruch zu EU-Grundrechten stünden und damit das EU-US Privacy Shield für ungültig erklärte, sei in der weiteren Übermittlung von Daten in die USA ein Verstoß gegen die DSGVO zu sehen. Die österreichische Datenschutzbehörde stimmte dem zu und sah darin insbesondere einen Verstoß gegen Art. 44 DSGVO, die allgemeinen Grundsätze der Datenübermittlung.
Andere nationale Datenschutzbehörden positionierten sich ähnlich. So sahen die niederländischen, die französischen und die italienischen Behörden den Einsatz von Google Analytics ebenfalls als datenschutzrechtswidrig an. Von der deutschen Bundesdatenschutzbehörde, dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, steht eine Entscheidung noch aus. Es ist jedoch eine Entscheidung ähnlich denen anderer europäischer Datenschutzbehörden zu erwarten. Vornehmlich, da sich im Jahr 2019 bereits 14 der 16 Landesdatenschutzbeauftragten kritisch zum Einsatz von Google Analytics äußerten.
Es ist dabei zu beachten, dass sich die bisherigen Entscheidungen der Datenschutzbehörden auf die Verwendung von Google Analytics ohne Einwilligung und mitunter aufgrund der alten Standardvertragsklauseln beziehen.
Benötigen Sie tiefergehende Beratung zum datenschutzkonformen Einsatz von Google Analytics oder Google Fonts?
Welche „Gefahren“ entstehen durch das Urteil des LG München und die der Datenschutzbehörden?
Die Entscheidungen hinsichtlich der Google-Tools blieben nicht folgenlos. Naturgemäß formten sie die Rechtsauffassung in der EU und damit die Nutzung von Google Fonts und Google Analytics.
Google Fonts
Seitdem das LG München urteilte, dass die Remote-Einbindung von Google Fonts DSGVO-widrig sei, häuft sich die Anzahl von privaten Personen und Anwaltskanzleien, die in großen Umfang Abmahnschreiben oder zumindest abmahnartige Schadensersatzforderungen versenden. Meist werden die Adressaten darin dazu aufgefordert, Schadensersatz in Höhe von 100 Euro oder mehr zu zahlen. Im Gegenzug wollen die Verfassenden auf weitere rechtliche Schritte verzichten. Derartige Zahlungsaufforderungen sind mit einiger Skepsis zu betrachten. Zwar ist es richtig, dass die Remote-Einbindung von Google Fonts nicht zu empfehlen ist, ob in Fällen von Massenabmahnungen tatsächlich Schadensersatzansprüche bestehen ist jedoch stark zu bezweifeln. Den Verfassern der Schreiben scheint es nicht auf Unterlassungs- oder Auskunftsansprüche anzukommen (welche tatsächlich bestehen können), sondern schlicht auf Geldforderungen. Die Schreiben werden scheinbar wahllos an dutzende Webseitenbetreiber versandt und es besteht der begründete Verdacht, dass Webseiten automatisiert ausgewertet und Massenschreiben verschickt werden. Es liegt daher der Schluss nahe, dass es sich dabei um rechtsmissbräuchliches Verhalten handelt, die geltend gemachten Ansprüche also nicht bestehen. Am 11.10. erließ das LG Baden-Baden eine einstweilige Verfügung gegen den Abmahner Martin Ismael, in der es diesem untersagt wurde, weitere Abmahnschreiben gegen Partnerbetriebe im Franchise-System der Antragstellerin zu versenden. Noch ist der Beschluss jedoch nicht rechtskräftig und der Rechtsstreit nicht endgültig geklärt. Die Rechtslage ist daher nach wie vor unsicher und insbesondere, wenn es sich nicht um Massenabmahnungen handelt, ist durchaus denkbar, dass geltend gemachte Ansprüche von Gerichten zugesprochen werden. Die Nutzung von Google Fonts als Remote-Einbindung ist daher nach wie vor mit Risiken verbunden.
Google Analytics
Die DSGVO-konforme Nutzung von Google Analytics steht auf einem anderen Blatt. Infolge der Entscheidungen der verschiedenen europäischen Datenschutzbehörden häufen sich die Stimmen, die den Einsatz des Analyse-Tools ohne Einwilligung als rechtswidrig einschätzen und von dessen Verwendung abraten. Zwar ist von deutschen Behörden noch keine Entscheidung zu der Thematik ergangen und die Entscheidungen anderer europäischer Datenschutzbehörden sind hierzulande nicht bindend, dennoch sollte Google Analytics auch in Deutschland, nur noch mit Einwilligung genutzt werden. Vor allem auch, da NOYB auch bei hiesigen Behörden Beschwerde eingelegt hat, eine Entscheidung also aussteht.
Google hat mittlerweile jedoch etliche Maßnahmen ergriffen, um den datenschutzrechtlichen Anforderungen in der EU gerecht zu werden. Darunter etwa der Einsatz neuer Standardvertragsklauseln, die die EU-Kommission im Juni 2021 veröffentlichte, die Anonymisierung von IP-Adressen, die Erstellung und Veröffentlichung von Transparenzberichten, die Verschlüsselung ruhender und transportierter Daten sowie zahlreiche Konfigurationsmöglichkeiten im Admincenter von Google Analytics, um die Datenverarbeitung insgesamt zu minimieren.
Was sind rechtliche Umsetzungsmöglichkeiten in der Praxis? Was müssen Unternehmen bei der Verwendung der Systeme beachten?
Die genannten Risiken und Unsicherheiten bedeuten auch nicht zwangsläufig, dass die Verwendung der Google-Tools aus datenschutzrechtlicher Sicht gänzlich ausgeschlossen ist. Unter Verwendung bestimmter Maßnahmen ist eine rechtssichere Nutzung durchaus möglich.
Google Fonts
Im Falle von Google Fonts gestaltet sich die risikofreie Nutzung recht einfach. In Zukunft sollten Webseitenbetreiber schlicht darauf verzichten, die Schriften remote von Google Servern nachzuladen. Vielmehr können die Schriftarten lokal auf dem eigenen Server gespeichert werden. Der Nutzungsumfang bleibt dabei derselbe, es werden jedoch keine Daten an die US-Server von Google übermittelt. Sollen die Schriftarten hingegen remote von den Google-Servern geladen werden, empfiehlt es sich, eine Einwilligung von den Webseiten-Besuchenden einzuholen.
Google Analytics
Die DSGVO-konforme Einbindung von Google Analytics ist hingegen umstrittener. Es ist zumindest derzeit unvermeidlich, dass das Werkzeug unter Umständen Nutzerdaten an Server sendet, auf denen sie dem potenziellen Zugriff amerikanischer Geheimdienste ausgesetzt sind. Ohne dass die Betroffenen dagegen effektive Möglichkeiten des Rechtsschutzes haben. Zuletzt nahm die dänische Datenschutzbehörde Stellung zu der Thematik. Sie erkannte zwar an, dass Google Schritte unternimmt, um die Verwendung von Google Analytics datenschutzfreundlicher zu gestalten. Sie stellte aber auch fest, dass trotz Nutzung von Google Analytics 4 und neuer Standardvertragsklauseln, nicht ausgeschlossen werden könne, dass Daten nicht-anonymisiert an Server in die USA gesandt würden.
Es zeichnet sich jedoch eine Änderung der Rechtslage ab, die dazu führen könnte, dass selbst die Übermittlung von personenbezogenen Daten in die USA ohne Einwilligung in Einklang mit der DSGVO wäre. So unterzeichnete der amerikanische Präsident Joe Biden im Oktober 2022 die Executive Order 14086, die die Betroffenenrechte stärken soll. Dadurch werden insbesondere neue Prozesse und Regulierungen zur Erhebung und zum Umgang mit Daten durch Geheimdienste sowie ein Rechtsbehelfsmechanismus für EU-Bürger eingeführt. Basierend darauf könnte ein neuer Angemessenheitsbeschluss zwischen der EU und den USA entstehen.
Ferner ist schon jetzt die Verwendung des Analyse-Tools und damit eine Datenübermittlung in die USA mit einer ausdrücklichen Einwilligung nach Art. 49 Abs. 1 S. 1 lit. a DSGVO möglich. Ob eine solche als Ausnahmetatbestand vor Gerichten standhalten kann, wird jedoch teilweise angezweifelt. So wird insbesondere von der Konferenz der Datenschutzaufsichtsbehörden in ihrer Orientierungshilfe Telemedien von 2021 mit Blick auf Art. 49 DSGVO und dem Erwägungsgrund 111 zur DSGVO vertreten, dass eine regelmäßige Datenübermittlung durch eine Einwilligung dem Charakter des Ausnahmetatbestands aus Art. 49 DSGVO widerspreche. Dem ist jedoch entgegenzuhalten, dass die Erwägungsgründe zur DSGVO selbst kein Gesetzeswortlaut sind. Vielmehr stellen sie eine Hilfe für die Auslegung des Gesetzes dar. Art. 49 Abs. 1 S. 1 lit. a DSGVO ist selbst in keiner Weise zu entnehmen, dass eine Datenübermittlung mit Einwilligung nur gelegentlich erfolgen darf. Auch der Erwägungsgrund 111 ist bei genauerer Betrachtung eher so zu verstehen, dass eine Übermittlung nur gelegentlich erfolgen solle, wenn sie im Rahmen eines Vertrags oder zur Geltendmachung von Rechtsansprüchen erfolgt. Auch in Anbetracht der informationellen Selbstbestimmung des Einzelnen ist es überzeugender, eine Datenübermittlung in die USA mit Einwilligung der Betroffenen als datenschutzkonform anzusehen. Wird eine solche eingeholt und erfüllt die Kriterien des Art. 49 Abs. 1 S. 1 lit. a DSGVO, ist die DSGVO-konforme Nutzung von Google Analytics daher nach wie vor möglich.
Fazit
Was die Verwendung von Google-Tools in Deutschland betrifft, besteht teilweise noch Unsicherheit. Während Google Fonts durch lokale Einbindung weitestgehend ohne Bedenken genutzt werden kann, ist im Umgang mit Google Analytics auf eine Einwilligung der Betroffenen und die Konfiguration der Datenschutzeinstellungen zu setzen. Zugleich sollte die sich ändernde Rechtslage in den Vereinigten Staaten, die Behördenäußerungen und mögliche Gerichtsurteile beobachtet werden, die in Zukunft möglicherweise die Einschätzung zur Nutzung von Google-Diensten ändern können.
Unsere erfahrenen Expertinnen und Experten stehen Ihnen bei Fragen zum Datenschutz zur Seite. Kontaktieren Sie uns gerne!
-
Informationssicherheit im Gesundheitssektor – neue Regeln für die Cybersecurity
Mit der zunehmenden Vernetzung und der fortschreitenden Digitalisierung des Gesundheitswesens ist der Schutz informationstechnischer Systeme zu einem zentralen Anliegen der Branche geworden. Denn funktionierende IT-Systeme sind eine wesentliche Voraussetzung für die Sicherheit der Versorgung im Allgemeinen und die Patientensicherheit im Besonderen.
-
Ransomware-Prävention in Zeiten von KI – Wie Unternehmen Attacken vorbeugen können
Ransomware ist nach wie vor eine der größten Bedrohungen für Wirtschaftsunternehmen. Besonders IT-Dienstleister sind in den vergangenen Jahren in den Fokus von Cyberkriminellen gerückt. Durch präventive Maßnahmen der Cybersicherheit werden personenbezogene Daten angemessen und wirksam vor den alltäglichen Gefahren des digitalen Zeitalters geschützt.
-
Die Deadline naht: Machen Sie Ihr Unternehmen noch vor Oktober fit für NIS-2
Mit der nahenden Deadline im Oktober für die nationale Umsetzung der Network and Information Security (NIS) Directive 2 (NIS-2) stehen Unternehmen vor der Herausforderung, nicht nur gesetzliche Vorgaben zu erfüllen, sondern auch ihre eigenen Geschäftsprozesse und die Sicherheit ihrer Informationstechnologie nachhaltig zu verbessern.