Datenschutzerklärung für Google AdSense

Darum ist Google AdSense datenschutzrechtlich relevant

Google setzt für AdSense einen Cookie auf die jeweilige Webseite, um die IP-Adresse sowie die individuellen Aktivitäten der User auszulesen und zu speichern. Auf diese Weise kann Google ein personenbezogenes Profil der Nutzer erstellen. Webseitenbetreiber, die Google AdSense nutzen, erhalten von Google dann die entsprechenden Daten, um den Erfolg ihrer Anzeige auszuwerten. Da es sich dabei jedoch um personenbezogene Daten handelt, müssen Seitenbetreiber verschiedene datenschutzrechtliche Pflichten beachten.

So können Webseitenbetreiber Google AdSense datenschutzkonform verwenden

Um Google AdSense gemäß der Datenschutz-Grundverordnung (DSGVO) zu verwenden, müssen Seitenbetreiber diese Pflichten erfüllen:

Vertrag zur Auftragsverarbeitung abschließen

Seitenbetreiber geben Nutzerdaten an Google zur Verarbeitung weiter. Dafür müssen sie mit Google einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Das schreibt Art. 28 DSGVO vor. Der Vertrag muss erklären,

• welche Nutzerdaten Google speichert und verarbeitet,
• wie lange es die Daten speichert,
• warum es die Daten speichert und verarbeitet und
• welche Rechte und Pflichten beide Seiten haben,

Alles Wichtige zur Auftragsverarbeitung haben wir in unserem Artikel „DSGVO Auftragsverarbeitung: Was ist das und was geht mich das an?“ zusammengetragen.

Datenschutzerklärung aktualisieren

Webseitenbetreiber müssen Nutzer in ihrer Datenschutzerklärung umfassend über die Datenerhebung und die Datenverarbeitung durch Google AdSense informieren. Dazu müssen sie angeben,  

• dass ihre Webseite Google AdSense nutzt,
• was Google AdSense mit ihren Daten macht,
• dass ihre Seite Cookies für AdSense verwendet,
• dass ihre Seite IP-Adressen von Usern speichert,
• dass sie die gewonnenen Daten an Google in die USA weiterleiten,
• und dass User der Datenerhebung widersprechen können.

Darüber hinaus müssen Webseitenbetreiber auf die Datenschutzbestimmungen von Google AdSense hinweisen. Auf diese Weise können sich User ein eigenes Bild machen, was mit ihren Daten bei Google passiert.

Einwilligung in Cookies einholen

Unternehmen benötigen eine Einwilligung der Nutzer, um Cookies für Google AdSense verwenden zu dürfen. Sie können die Einwilligung zum Beispiel über einen Hinweis im Cookie Banner einholen. Nutzer müssen den Cookie Banner und damit den Hinweis auf den Cookie jedoch ausdrücklich bestätigen können. Ein vorangekreuztes Kästchen ist daher rechtlich unzulässig. Warum die Einwilligung in Cookies über ein Consent Tool besonders einfach ist, zeigen wir in unserem Beitrag zu den 6 gängigsten Cookie Consent Tools.

Alternativ können Seitenbetreiber das Einwilligungstool von Google AdSense nutzen. Das Tool basiert auf Googles Funding Choices, das wiederum den Standard „Transparency and Consent Framework“ des Branchenverbandes IAB Europe unterstützt. Die belgische Datenschutzbehörde APD hat das Framework gerade jedoch als rechtlich unzulässig erklärt (Details weiter unten). Seitenbetreiber sollten daher das Einwilligungstool von Google AdSense nicht nutzen.

Standardvertragsklauseln prüfen

Seitenbetreiber versenden Nutzerdaten an Google in die USA. Dort herrscht jedoch ein niedrigeres Datenschutzniveau als in Europa. Um also rechtssicher Daten in die USA versenden zu können, müssen Unternehmen EU-Standardvertragsklauseln mit Google abschließen. Sollten Seitenbetreiber bereits Standardvertragsklauseln mit Google – beispielsweise für einen anderen Dienst wie Google Analytics – abgeschlossen haben, müssen sie diese auf ihre Aktualität überprüfen und gegebenenfalls durch die neuen Standardvertragsklauseln der EU-Kommission ersetzen. Dafür haben Seitenbetreiber noch eine Übergangsfrist bis zum 27. Dezember 2022.

Zudem müssen Seitenbetreiber eine Risikoabschätzung vornehmen. Diese soll zeigen, wie die Datenübertragung in die USA abläuft und welche organisatorischen und technischen Maßnahmen Google für den Datenschutz vornimmt. Die Risikoabschätzung muss dabei unter anderem untersuchen,

• welche Art von Daten bei dem Datentransfer betroffen sind,
• welche Rechtsvorschriften in den USA gelten und
• ob sie weitere Maßnahmen ergreifen können, um die Nutzerdaten zusätzlich zu schützen.

Warum und wie Seitenbetreiber Standardvertragsklauseln nutzen müssen, erklären wir in unserem ausführlichen Beitrag „Neue Standardvertragsklauseln: Das müssen Sie jetzt tun“.

Rechtsprechung zu Google AdSense

Zu Google AdSense liegt diese Rechtsprechung vor:

Bundesgerichtshof zur Erhebung von IP-Adressen

Google AdSense speichert IP-Adressen von Webseitenbesuchern, ohne vorher eine Einwilligung einzuholen. Der Bundesgerichtshof (BGH) entschied am 16.05.2017: Dynamische IP-Adressen sind personenbezogene Daten. Seitenbetreiber dürfen diese nur ohne Einwilligung erheben und über den Nutzungsvorgang hinaus speichern, wenn das die generelle Funktionsfähigkeit der Dienste erfordert. Der Europäische Gerichtshof (EuGH) kam vorher zu der Entscheidung, dass IP-Adressen nur dann personenbezogen sind, wenn Strafverfolger die Mittel haben, den Namen einer Person hinter der IP zu bestimmen. Es ist keine Voraussetzung, dass Seitenbetreiber die IP selbst zuordnen können (Urteil vom 19.10.2016, Az. C-582/14). Der BGH geht in seiner Entscheidung davon aus, dass allein die theoretische Möglichkeit, die Person hinter der IP-Adresse zu bestimmen, ausreicht (Az. VI ZR 135/13).

EuGH zur Verwendung von Cookies

Google AdSense nutzt Cookies, um Userdaten zu erheben. Der EuGH stellte am 01.10.2019 fest: Seitenbetreiber benötigen für die Verwendung von Cookies eine aktive Einwilligung von Usern. Das bedeutet: User müssen die Checkbox in einem Cookie-Banner selbst ankreuzen (Az. C-673/17).

BGH zur Verwendung von Cookies

Der BGH bestätigte die Entscheidung des EuGH: Seitenbetreiber dürfen Cookies, die keine technischen Cookies sind, nur nutzen, wenn sie eine aktive Einwilligung von Usern besitzen (Urteil vom 28.05.2020, I ZR 7/16).

Aktuelles zu Cookies

Das Transparency & Consent Framework, das vom Branchenverband IAB Europe verwendet wird, ist nicht mit der DSGVO vereinbar. Das stellte jetzt die belgische Datenschutzbehörde APD fest. Denn: Der mit der Schnittstelle verbundene Cookie Banner ist zu allgemein formuliert. Usern ist nicht klar, welche Daten in welchem Umfang verarbeitet werden. IAB Europe muss daher ein Bußgeld in Höhe von 250.000 Euro zahlen. Und: Der Verband muss innerhalb von zwei Monaten einen Aktionsplan vorlegen, wie er die Mängel beseitigen will.