Die Nutzung von Google Diensten wurde vom LG Köln am 23.03.2023 untersagt - die Einwilligung war nicht ausreichend - das Risiko steigt

www.telekom.de –
Verbraucherzentrale in Deutschland hat geklagt, und der Websitenbetreiber muss die Verwendung von Google Diensten unterlassen.

Das LG Köln (23.03.2023, 33 O 376/22) beschäftigte sich intensiv mit dem Cookie-Banner auf der Website www.telekom.de und dem Websitebetreiber aufgetragen, die Datenweitergabe zu Analyse- und Marketingzwecken ohne ausreichende Rechtsgrundlage zu unterlassen.

Jede Verarbeitung, dh auch die Analyse des Verhaltens von Websitenbesuchern bedarf einer Rechtsgrundlage

Mittlerweile dürfte allgemein anerkannt sein, dass die Analyse des Verhaltens von Websitebesuchern für Marketingzwecke nur dann zulässig ist, wenn eine (freiwillige, jederzeit widerrufbare) Einwilligung gegeben wird.

Werden personenbezogene Daten zusätzlich zu diesem Zweck in ein unsicheres Drittland (zB die USA) übertragen, dann bedarf es auch einer „Regelung“ iSd Art 44 DSGVO. Da seit 16.7.20200 (Schrems-II-Ents des EuGH) kein Angemessenheitsbeschluss mehr besteht, bedarf die Weiterleitung der Daen in die USA einer sonstigen Rechtsgrundlage iSd Art 45 ff. DSGVO.

Viele Websitebetreiber behelfen sich mit einer „ausdrücklichen Einwilligung mit Risikohinweis“ iSd Art 49 Abs 1 lit a DSGVO.

Das Urteil des LG Köln
Im Urteil vom 23.03.2023 (nicht rechtskräftig) findet sich dazu folgende Aussage:

Die Beklagte kann sich auch nicht mit Erfolg auf eine Einwilligung iSd Art. 49 Abs. 1 lit. a) DSGVO berufen.

Eine „ausdrückliche Einwilligung“ iSd Art. 49 Abs. 1 lit. a) DSGVO auf hinreichender Informationserteilung u.a. über den Empfänger der Informationen wurde schon nicht dargelegt.
Nach Art. 4 Nr. 11 DSGVO ist eine Einwilligung eine unmissverständlich abgegebene Willensbekundung in der Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung. Für die nach Art. 49 Abs. 1 lit. a) DSGVO erforderliche Einwilligung ist es schon dem Wortlaut nach darüber hinaus erforderlich, dass die Erklärung „ausdrücklich“ abgegeben wird.
Angesichts dieser unterschiedlichen Wortwahl sind an die Einwilligung zu Übermittlungen in Drittländer höhere Anforderungen als an sonstige Einwilligungen zu stellen. Insbesondere setzt Art. 49 Abs. 1 lit. a DSGVO schon dem Wortlaut nach eine besondere Informiertheit voraus. Der Einwilligende muss u.a. darüber informiert worden sein, an welche Drittländer und an welche Empfänger seine Daten übermittelt werden (BeckOK DatenschutzR/Lange/Filip DS-GVO Art. 49 Rn. 7; Klein/Pieper in: Schwartmann/Jaspers/Thüsing/ Kugelmann, DS-GVO/BDSG, Artikel 49 Ausnahmen für bestimmte Fälle Rn. 6).
Hier sind die Website-Besucher aber keineswegs über eine Datenübermittlung an Google LLC unterrichtet worden. In den ehemaligen Datenschutzhinweisen wurde lediglich über eine Übermittlung von Daten an Xandr und Heap informiert worden, was ersichtlich nicht den Empfänger Google LLC erfasst.

Aus diesem Verfahren ergibt sich ein weiteres Mal, dass eine Verbraucherschutzorganisation gegen einen Websitenbetreiber, der die datenschutzrechtlichen Vorgaben nicht einhält, vorgeht. Das Risiko für Websitenbetreiber, die zB Google Analytics ohne entsprechende Rechtsgrundlage auf der Website einbinden, erhöht sich zunehmend.