Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Aufgrund einer Vielzahl von Anfragen, Beschwerden und Kontrollanregungen weist die Landesbeauftragte für Datenschutz Schleswig-Holstein auf Folgendes hin:

Hinsichtlich der rechtlichen Bewertung der Einbindung von Analyse-Diensten auf Websites und Apps haben sich die Aufsichtsbehörden des Bundes und der Länder in der Orientierungshilfe für Anbieter von Telemedien_[Extern] auf ein gemeinsames Rechtsverständnis geeinigt.

Rechtsauffassungen, die unter Berücksichtigung der Rechtslage vor dem 25.05.2018 veröffentlicht wurden, wie z. B. die „Hinweise des HmbBfDI zum Einsatz von Google Analytics“, sind überholt und werden von den Aufsichtsbehörden des Bundes und der Länder nicht mehr vertreten.

Anbieter von Telemedien sind aufgrund von Art. 5 Abs. 1, 2 Datenschutz-Grundverordnung (DSGVO) verpflichtet, die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, die sie durch die Einbindung von Analyse-Diensten in ihren Angeboten zu verantworten haben, nachzuweisen.

Vielen Nutzerinnen und Nutzern im Internet ist nicht bewusst, dass mit dem Aufruf einer Webseite häufig nicht nur eine Verbindung zu dem Anbieter aufgebaut wird, sondern auch eingebundene Dienstleister die Klicks sehen und auswerten können. Besonders bekannt sind Analyse-Dienste, die das Nutzungsverhalten analysieren oder die Nutzenden beim Surfen über verschiedene Webangebote beobachten („Tracking“). Nicht jeder Webanbieter hat bei der Einbindung solcher Dienste das Datenschutzrecht im Blick.

Gemäß Art. 37 Abs. 1 Buchst. a der Datenschutz-Grundverordnung (DSGVO) sind Behörden und öffentliche Stellen verpflichtet, einen behördlichen Datenschutzbeauftragten zu benennen. Zwar sind nach § 38 Bundesdatenschutzgesetz (BDSG) Verantwortliche unter einer bestimmten Betriebsgröße von der Pflicht zur Benennung eines Datenschutzbeauftragten ausgenommen. Diese Ausnahme gilt jedoch nicht für Behörden und andere öffentliche Stellen. Diese haben unabhängig von der Größe in jedem Fall einen behördlichen Datenschutzbeauftragten zu benennen.

Aufgrund der unterschiedlichen Organisationsstrukturen und Trägerschaften öffentlicher Stellen ist die Zuordnung der Verantwortlichkeit für die Verarbeitung personenbezogener Daten teilweise nicht auf den ersten Blick ersichtlich. Die nachfolgenden Erläuterungen sollen in Zweifelsfragen weiterhelfen: