Bundesgerichtshof, Urteil vom 16. Mai 2019 – III ZR 406/17
Hintergrund
Im Urteil des Bundesgerichtshofs (BGH) vom 16. Mai 2019 (Az. III ZR 406/17) wurde entschieden, dass Webseitenbetreiber für die datenschutzrechtliche Konformität bei der Nutzung von Google Analytics verantwortlich sind. Dies betrifft vor allem die ordnungsgemäße Einholung der Einwilligung der Nutzer zur Datenverarbeitung und die datenschutzkonforme Übertragung von Daten in Drittländer, insbesondere in die USA. Der BGH stellte fest, dass die Nutzung von Google Analytics ohne die ausdrückliche Einwilligung der Nutzer eine Verletzung der Datenschutz-Grundverordnung (DSGVO) darstellt. Besonders wichtig ist dabei, dass die Betreiber sicherstellen müssen, dass keine personenbezogenen Daten ohne ausreichenden Schutz in Drittländer übermittelt werden, da die US-Gesetze in diesem Bereich nicht den Anforderungen der EU entsprechen.
Im zugrunde liegenden Fall hatte ein Webseitenbetreiber Google Analytics auf seiner Website implementiert, um das Verhalten der Nutzer zu analysieren. Dies geschah jedoch ohne eine vorherige ausdrückliche Zustimmung der Nutzer zu der Erhebung ihrer Daten. Der Kläger, ein betroffener Nutzer, argumentierte, dass diese Praxis gegen die Datenschutz-Grundverordnung (DSGVO) verstößt, da die Nutzer nicht ausreichend über die Erhebung und Verarbeitung ihrer personenbezogenen Daten informiert wurden. Der Kläger hielt den Webseitenbetreiber für verantwortlich, weil dieser die Verwendung von Cookies und anderen Tracking-Technologien ohne eine ordnungsgemäße Einwilligung umsetzte. Der Fall wirft grundsätzlich die Frage auf, wie Unternehmen ihre Tracking-Technologien einsetzen dürfen, ohne gegen die Datenschutzvorgaben der EU zu verstoßen.
Gründe
Der BGH entschied, dass der Betreiber einer Website dafür verantwortlich ist, die datenschutzrechtlichen Anforderungen beim Einsatz von Google Analytics zu erfüllen. Das Gericht betonte, dass eine ordnungsgemäße Einwilligung der Nutzer erforderlich ist, bevor personenbezogene Daten durch Tracking-Tools wie Google Analytics verarbeitet werden dürfen. Das bedeutet, dass der Webseitenbetreiber die Nutzer vorab klar und transparent über die Art der Datenerhebung informieren und deren ausdrückliche Zustimmung einholen muss. Dies steht im Einklang mit der DSGVO, die von allen Unternehmen verlangt, dass sie die Einwilligung der betroffenen Personen einholen, bevor deren personenbezogene Daten verarbeitet werden. Dies gilt auch für Cookies, die durch Google Analytics gesetzt werden, um das Verhalten der Nutzer auf der Website zu verfolgen.
Das Urteil des BGH geht noch weiter und fordert Webseitenbetreiber auf, sicherzustellen, dass die Übertragung von Daten in Drittländer, insbesondere in die USA, den datenschutzrechtlichen Anforderungen der EU entspricht. Google Analytics nutzt Server in den USA, und die Übermittlung von Daten dorthin birgt datenschutzrechtliche Risiken. Der EuGH hatte in seiner Entscheidung im Fall Schrems II bereits festgestellt, dass die USA nicht das gleiche Schutzniveau für personenbezogene Daten bieten wie die EU. Der BGH hat sich in diesem Fall auf die Datenschutzproblematik der Datenübermittlung in die USA fokussiert, da die dortigen Gesetze nicht genügend Schutz vor staatlicher Überwachung bieten, was die Rechte der EU-Bürger gefährden könnte. Webseitenbetreiber müssen daher sicherstellen, dass geeignete Schutzmaßnahmen wie Standardvertragsklauseln getroffen werden, um diese Risiken zu minimieren.
Bewertung
Das Urteil des BGH stellt eine klare Verantwortung für Webseitenbetreiber fest und verdeutlicht, dass Unternehmen nicht nur die Einwilligung der Nutzer einholen müssen, sondern auch dafür verantwortlich sind, die Datenschutzrechte der Nutzer zu wahren, wenn sie Drittanbieter-Tools wie Google Analytics einsetzen. Es stärkt die Anforderungen der Datenschutz-Grundverordnung (DSGVO) und macht deutlich, dass Unternehmen die Wahrung der Privatsphäre ihrer Nutzer ernst nehmen müssen.
Ein besonders wichtiger Aspekt des Urteils ist die verantwortliche Rolle des Webseitenbetreibers bei der Nutzung von Tracking-Tools. Der Betreiber ist dafür verantwortlich, dass alle Datenschutzanforderungen, insbesondere im Hinblick auf die Einwilligung der Nutzer und den Schutz der Daten, eingehalten werden. Dies schließt die klare und verständliche Information der Nutzer darüber ein, welche Daten erfasst werden, zu welchem Zweck dies geschieht und wie die Nutzer ihre Rechte im Zusammenhang mit der Verarbeitung ihrer Daten wahrnehmen können.
Zudem wird durch das Urteil die Transparenz und Kontrolle über die Datenübermittlung in Drittländer thematisiert. Webseitenbetreiber müssen sicherstellen, dass eine rechtmäßige Datenübertragung in Länder außerhalb der EU, wie die USA, stattfindet. Die Entscheidung im Fall Schrems II des EuGH hatte bereits aufgezeigt, dass Unternehmen, die Daten an Drittländer übermitteln, die rechtlichen Standards der EU wahren müssen, insbesondere im Hinblick auf staatliche Überwachung und den Schutz von personenbezogenen Daten. Die Entscheidung des BGH verstärkt diese Anforderungen und macht deutlich, dass Webseitenbetreiber nicht nur für die Einwilligung verantwortlich sind, sondern auch für den Schutz der Daten während ihrer Übermittlung an Drittländer.
Das Urteil hat weitreichende Auswirkungen auf die Datenschutzpraxis und die Verantwortung von Webseitenbetreibern. Es stellt sicher, dass die Rechte der Nutzer im Mittelpunkt stehen und dass Unternehmen nicht nur gesetzliche Anforderungen erfüllen, sondern auch Verantwortung für den Umgang mit den personenbezogenen Daten ihrer Nutzer übernehmen müssen. Für Unternehmen bedeutet dies, dass sie ihre Datenschutzrichtlinien und -praktiken überprüfen und gegebenenfalls anpassen müssen, um die Vorgaben der DSGVO vollständig zu erfüllen.
Das Urteil des BGH zur Haftung von Webseitenbetreibern bei der Nutzung von Google Analytics ist ein wichtiger Schritt in der Datenschutzgesetzgebung und betont die Verantwortung von Unternehmen, die Datenschutzrechte ihrer Nutzer zu schützen. Besonders hervorzuheben ist die klare Einwilligungspflicht und die Verpflichtung der Betreiber, die Datenübertragung in Drittländer rechtssicher zu gestalten. Dieses Urteil trägt zur Verstärkung des Datenschutzes bei und stellt sicher, dass Webseitenbetreiber ihre Nutzer über die Verwendung von Tracking-Tools und die damit verbundene Datenverarbeitung umfassend informieren. Unternehmen müssen sich darauf einstellen, dass der Datenschutz nicht nur eine rechtliche Pflicht, sondern auch ein aktives Element ihrer Geschäftsstrategie ist, das sowohl die Rechte der Nutzer schützt als auch die Integrität des Unternehmens wahrt.
Marian Szidzek
Lesen Sie mehr zu den Schwerpunkten unserer Kanzlei unter www.rnsp.de