Das Landgericht Köln hat im März 2023 entschieden, dass die Einbindung von Google-Diensten, insbesondere des Tracking-Tools von Google Analytics, auf der Webseite der Deutschen Telekom rechtswidrig ist.
Die Verbraucherzentrale Nordrhein-Westfalen hatte Klage gegen die Deutsche Telekom eingereicht. Das Gericht stützte seine Entscheidung auf das "Schrems II-Urteil", das besagt, dass bei einem Datentransfer in die USA kein angemessenes Datenschutzniveau wie in der EU gewährleistet werden kann. Insbesondere haben US-Behörden das Recht, von in den USA ansässigen Unternehmen die Herausgabe gespeicherter personenbezogener Daten zu verlangen. Dies stellt ein Problem dar, da EU-Bürger in solchen Fällen keine wirksamen rechtlichen Mittel haben, um sich gegen einen solchen Zugriff zu wehren.
Das Gericht urteilte, dass das von der Deutschen Telekom verwendeten Maßnahmen nicht ausreichend sind, um eine rechtskonforme Einwilligung der Website-Besucher für einen Datentransfer in die USA einzuholen. Seit dem Schrems-II-Urteil des Europäischen Gerichtshofs (EuGH) gelten die USA als unsicheres Drittland, für das kein Angemessenheitsbeschluss mehr besteht, der eine problemlose Datenübertragung ermöglichen würde.
Selbst die Verwendung von Standarddatenschutzklauseln kann den Datenschutzanforderungen nicht genügen. Das Landgericht verwies auf das Schrems II-Urteil und erklärte, dass der EU-US Angemessenheitsbeschluss ("Privacy Shield") ungültig ist. Somit bietet dieser Beschluss keine rechtliche Grundlage für die Datenübermittlung in die USA. Auch Standarddatenschutzklauseln können die Datenübermittlung nicht rechtfertigen, da sie kein dem Datenschutzniveau der DSGVO entsprechendes Schutzniveau bieten, insbesondere im Hinblick auf behördlichen Zugriff in den USA.
Das Urteil des Landgerichts Köln steht im Einklang mit den von den deutschen Datenschutzaufsichtsbehörden formulierten Leitlinien für Telemedienanbieter. Diese stellen klar, dass eine Einwilligung gemäß Art. 49 Abs. 1 lit. a) DSGVO keine geeignete rechtliche Grundlage für einen Datentransfer in die USA zur "Nachverfolgung des Nutzerverhaltens auf Websites oder in Apps" darstellt. Das Landgericht Köln hat diese Ansicht der Aufsichtsbehörden nun bestätigt.
Fazit:
Für Webseitenbetreiber gibt es derzeit keine absolut rechtssichere Methode, um Dienstleister aus einem Land ohne einen Angemessenheitsbeschluss der Europäischen Kommission einzusetzen. In Anbetracht dieser Tatsache empfehlen wir, vorerst auf Dienste wie Google Analytics zu verzichten und stattdessen Anbieter aus der EU oder dem Europäischen Wirtschaftsraum zu nutzen. Zur Analyse von Internetseiten empfehlen wir einen Blick auf Matomo zu werfen.
Das Urteil hat weitreichende Auswirkungen auf die Online-Branche, da es sehr wahrscheinlich für alle US-Tools gleichermaßen gilt. Es besteht die Hoffnung, dass in Zukunft ein neuer EU-US-Privacy-Shield oder ähnliche Vereinbarungen geschaffen werden, um eine rechtskonforme Datenübermittlung in die USA zu ermöglichen. Bis dahin sollten Unternehmen alternative Lösungen in Betracht ziehen, um den Datenschutzanforderungen gerecht zu werden und mögliche rechtliche Konsequenzen zu vermeiden.
Haben Sie Fragen? Wir freuen uns auf Ihren Anruf oder Ihre eMail.
