Auf Mastodon teilen

Ihre Anfragenr: 280193 Unser Aktenzeichen L9.1.1. - 3837/23 Betreff: Ihre Anfrage, ob und welche Entscheidungen in Sachen Google Analytics erlassen worden sind; insbesondere, ob der Datentransfer untersagt worden ist und Bußgelder verhängt worden sind, sowie Ihre Bitte, um Übermittlung anonymisierter, bisher erstellten Anhörungsbögen zum Einsatz von Google Analytics, die im Rahmen der NYOB-Beschwerden verwendet worden sind. Sehr << Antragsteller:in >> bezüglich Ihrer Anfrage, ob und welche Entscheidungen in Sachen Google Analytics erlassen worden sind; insbesondere, ob der Datentransfer untersagt worden ist und Bußgelder verhängt worden sind, kann ich Ihnen mitteilen, dass wir hierzu keine vollständigen Informationen haben, da unsere Bearbeitungsübersicht nicht zwischen verschiedenen Tracking-Diensten und ähnlichem unterscheidet. Wir haben Beschwerden in Sachen Google Analytics aufgegriffen und darauf hingewirkt, dass Verantwortliche Rechtsverstöße beenden. Dies war in der Regel ohne formelle Entscheidungen möglich. Soweit wir Einzelfälle Google Analytics zuordnen können, können wir mitteilen, dass dazu bisher keine formellen Entscheidungen ergangen sind, kein Datentransfer formell untersagt worden und kein Bußgeld verhängt worden ist. Bezüglich Ihrer Anfrage, welche bisher erstellten Anhörungsbögen zum Einsatz von Google Analytics im Rahmen der NYOB-Beschwerden verwendet worden, kann ich Ihnen folgendes anonymisiertes Auskunftsersuchen übermitteln: "Aufsicht nach Art. 58 der Europäischen Datenschutz-Grund-verordnung (Verordnung (EU) 2016/679, hier: DS-GVO) Anforderung von Auskünften nach Art. 58 Abs. 1 lit. a DS-GVO Anlage(n): -Auszug aus Beschwerde -Information zur Verarbeitung personenbezogener Daten durch die LDI (Stand: März 2021) Sehr geehrte Damen und Herren, als Landesbeauftragte für Datenschutz und Informationsfreiheit Nord-rhein-Westfalen bin ich nach Art. 55 DS-GVO, § 40 Abs. 1 BDSG und § 26 DSG NRW als unabhängige Landesbehörde dafür zuständig, die Einhaltung der datenschutzrechtlichen Bestimmungen bei nicht-öffentlichen Stellen in Nordrhein-Westfalen zu überprüfen. Ich übermittele Ihnen die gegen Sie gerichtete Beschwerde gemäß Art. 77 Abs. 1 DSGVO iVm § 24 DSG vom xxx der beschwerdeführenden Person, vertreten durch NOYB - Europäisches Zentrum für digitale Rechte, eine Stelle nach Art. 80 Abs. 1 DSGVO. Die beschwerdeführende Person behauptet eine Verletzung der Bestimmungen des Kapitels V der DSGVO (Übermittlung personenbezogener Daten an Drittländer) durch die Sie und beantragt unter anderem eine Untersuchung folgender Fragen: " Die beschwerdeführende Person behauptet eine Verletzung der Bestimmungen des Kapitels V der DSGVO (Übermittlung personenbezogener Daten an Drittländer) durch die Sie und beantragt unter anderem eine Untersuchung folgender Fragen: (a) welche personenbezogenen Daten vom Verantwortlichen an Google LLC in den Vereinigten Staaten von Amerika oder an ein anderes Drittland oder eine internationale Organisation übermittelt wurden; (b) auf welchen Übermittlungsmechanismus der Artikel 44 ff DSGVO der Verantwortliche diese Datenübermittlung gestützt hat; (c) ob die Bestimmungen der anwendbaren Nutzungsbedingungen für Google Analytics und der (Neuen) Auftragsdatenverarbeitungsbedingungen für Google Werbeprodukte die Anforderungen von Artikel 28 DSGVO in Bezug auf die Übermittlung personenbezogener Daten in Drittländer erfüllen oder nicht. Den genauen Gegenstand der Beschwerde entnehmen Sie bitte der Anlage. Um die Angelegenheit datenschutzrechtlich untersuchen zu können, fordere ich Sie unter Bezugnahme auf Art. 58 Abs. 1 lit. a DS-GVO auf, alle Informationen mitzuteilen, die mir die Beurteilung des Sachverhalts ermöglichen und gegebenenfalls zum Beweis des eigenen Vorbringens geeignete Beweismittel vorzulegen oder anzugeben. Die Stellungnahme soll gleichzeitig dazu dienen, dass Sie die Angelegenheit aus Ihrer Sicht erläutern können. Insbesondere fordere ich Sie auf, folgende Fragen zu beantworten: Teil I: Allgemeines 1. Wurde der Programmcode für das Tool Google Analytics oder andere Tools der Google LLC (nachfolgend auch zusammenfassend "Tool" genannt) auf Ihrer Website eingebettet? Falls nein, sind im Moment keine weiteren Antworten erforderlich. 2. Wenn ja, und falls Ihr Unternehmen in mehreren europäischen Mitgliedstaaten ansässig ist, hat Ihre Niederlassung die Entscheidung getroffen, das Tool auf Ihrer Website einzubetten? Hat Ihre Niederlassung gegebenenfalls eine solche Entscheidung auf einer anderen europäischen Version Ihrer Website getroffen? In jedem Fall beschreiben Sie bitte Ihre Gründe für die Einbettung des Codes für das Tool auf Ihrer Website. 3. Wenn ja, wurden die Authentifizierungsdaten von Google Analytics oder anderen Tools der Google LLC von Betroffenen aus mehr als einem europäischen Mitgliedstaat ausgewertet? 4. Wenn ja, geben Sie bitte an, ob Sie bei der Implementierung des Codes für das Tool auf Ihrer Website die Wahl hatten, personenbezogene Daten in die USA zu übermitteln. 5. Ist der Code für das Tool derzeit noch auf Ihrer Website eingebunden? Falls nicht, wann haben Sie den Code entfernt? Teil II: Beziehung zu Google und Nutzung des Tools 6. Bitte benennen Sie alle (juristischen) Personen (einschließlich Google-Gesellschaften), denen personenbezogene Daten (direkt oder indirekt) aufgrund der Einbettung des Codes auf Ihrer Website offengelegt werden oder wurden. (Nachfolgend als "Empfänger" bezeichnet). 7. Bitte geben Sie an: a. Die im Rahmen des Tools verarbeiteten personenbezogenen Daten i. durch Sie, ii. durch jeden Empfänger und b. die Kategorien der von der Verarbeitung im Rahmen des Tools betroffenen Personen (u.a.: Werden besondere Kategorien personen-bezogener Daten im Sinne des Art. 9 Abs.1 DSGVO verarbeitet? Wer-den Daten besonders schutzbedürftiger Personen wie etwa Kindern verarbeitet?) 8. Ihres Wissens nach, zu welchem Zeitpunkt war es den jeweiligen Empfängern möglich, nach dem Aufruf der Website durch einen Nutzer Kenntnis von personenbezogenen Daten der Nutzer (wie IP-Adressen oder Web-Browsing-Verhalten) zu erlangen? Bitte geben Sie auch an, ob der Code für die Tool-Inhalte direkt beim Öffnen der Website oder erst nach Erfüllung bestimmter Bedingungen (wie z. B. einer Einwilligungserklärung eines Nutzers) integriert wird? 9. Wie lange werden die verarbeiteten personenbezogenen Daten gespeichert und wann werden sie gelöscht? 10. In welchem Land oder in welchen Ländern werden die personenbezogenen Daten verarbeitet? 11. Auf welche Rechtsgrundlage stützen Sie die Einbettung des Tools auf Ihrer Website und die daraus resultierende Verarbeitung personenbezogener Daten, einschließlich etwaiger Offenlegungen an die Empfänger (insbesondere Google)? 12. Was ist aus datenschutzrechtlicher Sicht Ihre Beziehung zu Google, dem Anbieter des Tools? Bitte beschreiben Sie im Einzelnen, ob Sie Google als (einzige) Verantwortliche, als gemeinsam Verantwortliche (mit Ihnen) oder als Ihren Auftragsverarbeiter in Bezug auf die Datenverarbeitungsaktivitäten rund um das Tool betrachten. Bitte geben Sie auch Dokumente mit Datum und ggf. Unterschriften an, die Ihre Erklärungen unterstützen. Bitte beachten Sie, dass Elemente von Verträgen oder Vereinbarungen, die in Bezug auf das Rechtsverhältnis zwischen den Parteien keine datenschutzrechtlichen Angelegenheiten/Verarbeitungsprozesse betreffen, entsprechend geschwärzt oder ausgelassen werden können. 13. Bestehen (datenschutzrechtliche) Verträge zwischen Ihnen und den Empfängern? Wenn keine Verträge oder Vereinbarungen zwischen Ihnen und den Empfängern bestehen, erklären Sie bitte, auf welcher Grundlage Sie den Empfängern dennoch Zugang zu personenbezogenen Daten der Website-Besucher gewähren. 14. Im Falle von "Verantwortlicher-Auftragsverarbeiter-Beziehungen": Bitte erläutern Sie, wie Sie sicherstellen, dass der Empfänger die personenbezogenen Nutzerdaten nicht für eigene Zwecke oder für Zwecke Dritter verarbeitet. Wenn dies durch eine Vereinbarung gewährleistet ist, geben Sie bitte die spezifische Bestimmung an und erklären Sie, wann und wie Sie die Einhaltung überprüfen. 15. Bitte beschreiben Sie Ihre Verwendung des Tools. Insbesondere: Welche Einstellungen verwenden Sie? Welche der Dienstleistungen des Tools - wenn verschiedene Dienstleistungen angeboten wer-den - nutzen Sie? Bitte stellen Sie Screenshots der administrativen Website des Tools zur Verfügung, die Ihre Einstellungen und aktivierten Dienste anzeigen. Teil III: Übermittlung personenbezogener Daten in Drittländer 16. In seinem Urteil vom 16. Juli 2020 in der Rechtssache C311/18 hat der Europäische Gerichtshof festgestellt, dass der Privacy-Shield-Beschluss (Durchführungsbeschluss der Kommission (EU) 2016/1250 vom 12. Juli 2016) ungültig ist. Bitte beschreiben Sie, ob und wann Sie überprüft haben, dass dieses Gerichtsurteil Anwendung auf die inter-nationalen Datenübermittlungen findet, die sich aus Ihrer Einbettung des Codes des Tools auf Ihrer Website ergeben. 17. Wenn Sie zu dem Schluss kamen, dass dieses Gerichtsurteil keine Anwendung auf Ihre Nutzung des Tools hat, beschreiben Sie bitte die Gründe für diese Schlussfolgerung im Einzelnen. 18. Wenn Sie zu dem Schluss kamen, dass dieses Gerichtsurteil Anwendung auf Ihre Nutzung des Tools hat: Beschreiben Sie bitte, auf welches Übermittlungsinstrument gemäß Kapitel V DSGVO Sie die Datenübermittlungen in Drittländer, insbesondere in die USA, stützen und ob und wie Sie Ihre gemäß Art. 13 Abs. 1 lit. f DSGVO oder - falls anwendbar - gemäß Art. 14 Abs. 1 lit. f DSGVO bereitgestellten Informationen angepasst haben. 19. Wenn Sie die Datenübermittlungen in die USA auf Standarddatenschutzklauseln (SDK) stützen, die von der Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO angenommen wurden, teilen Sie uns bitte mit, mit wem Sie solche SDK unterzeichnet haben, geben Sie an, welche Vorlage der Kommission für den Abschluss von SDK verwendet wurde (z.B. SDK für die Übermittlung von personenbezogenen Daten zwischen zwei für die Verarbeitung Verantwortlichen oder SDK für die Übermittlung von personenbezogenen Daten an in Drittländern ansässige Auftragsverarbeiter); und übermitteln Sie eine unterzeichnete Kopie. 20. Wenn Sie solche SDK abgeschlossen haben, haben Sie dann (mit den Empfängern) überprüft, dass es in den Rechtsvorschriften des Drittlandes keine Bestimmungen gibt, die es den Empfängern verunmöglichen, ihren vertraglichen Verpflichtungen gemäß den SDK nach-zukommen, um sicherzustellen, dass das im EWR garantierte Datenschutzniveau natürlicher Personen nicht untergraben wird? 21. Wenn Sie zu dem Schluss gelangt sind, dass der Empfänger tatsächlich die Erfüllung der vertraglichen Verpflichtungen gemäß den SDK garantieren kann: Beschreiben Sie bitte Ihre Gründe für diese Schlussfolgerung im Einzelnen und erbringen Sie der Datenschutz-behörde geeignete Nachweise. 22. Wenn Sie zu dem Schluss gekommen sind, dass der Empfänger die Erfüllung der vertraglichen Verpflichtungen gemäß dem SDK nicht garantieren kann: Haben Sie die Durchführung zusätzlicher Maßnahmen in Erwägung gezogen und wenn ja, welche? Haben Sie überprüft, ob diese zusätzlichen Maßnahmen in der Praxis umgesetzt werden können und dass es in den Rechtsvorschriften der Drittländer nichts gibt, was die Empfänger daran hindert, dies zu tun, um sicherzustellen, dass das im EWR garantierte Datenschutzniveau natürlicher Personen nicht untergraben wird? Bitte beschreiben Sie das Ergebnis dieser Bewertung und die Gründe für Ihre Schlussfolgerung im Einzelnen. 23. Wenn Sie die internationalen Datenübermittlungen auf eine Ausnahmeregelung gemäß Art. 49 Abs.1 DSGVO stützen, erläutern Sie bitte, auf welcher Ausnahmeregelung sie beruhen und wie die Nutzung dieser Ausnahmeregelung mit den allgemeinen Grundsätzen für die Übermittlung gemäß Art. 44 DSGVO vereinbar ist. 24. Wenn Sie weiterhin Daten übermitteln, obwohl Sie zu dem Schluss gelangt sind, dass unter Berücksichtigung der Umstände der Übermittlung und etwaiger zusätzlicher Maßnahmen keine angemessenen Garantien gewährleistet sind: Haben Sie Ihre zuständige Aufsichtsbehörde/Datenschutzbehörde benachrichtigt? Nach Wissen der Datenschutzbehörde ist eine solche Benachrichtigung bis dato nicht eingegangen. 25. Sollten Sie noch den Code für das Tool auf Ihrer Website einbetten, werden Sie aufgefordert, die Aufzeichnung der Verarbeitungsaktivitäten gemäß Art. 30 Abs.1 lit. e DSGVO an die Datenschutzbehörde zu übermitteln. Nach Art. 58 Abs. 1 lit. a und e DS-GVO in Verbindung mit § 40 Abs. 4 Satz 1 BDSG sind Sie verpflichtet, die mir zur Erfüllung meiner Aufgaben erforderlichen Informationen bereitzustellen bzw. Zugang zu allen personenbezogenen Daten und Informationen zu gewähren und Auskünfte zu erteilen. Diese Pflicht ist bußgeldbewehrt. Ich mache Sie darauf aufmerksam, dass ich eventuell der betroffenen Person Ihre Stellungnahme in Kopie zur Kenntnis zu übersende. So-fern Sie mit einer Weiterleitung Ihrer Stellungnahme in Kopie an diese nicht einverstanden sind, weise ich darauf hin, dass der betroffenen Person grundsätzlich mir gegenüber nach Art. 15 DS-GVO ein Auskunftsrecht über die bei mir zu ihrer Person verarbeiteten Daten zu-steht, und zwar auch im Hinblick auf die sie betreffenden Inhalte meiner Akten. Die Verpflichtung zur Auskunftserteilung in Form einer Kopie nach Art. 15 Abs. 3 DS-GVO entfällt gemäß Art. 15 Abs. 4 DS-GVO, wenn durch den Erhalt der Kopie die Rechte und Freiheiten anderer Personen beeinträchtigt würden sowie in den weiteren, in § 34 BDSG aufgeführten Fällen. Sofern gegen die Übersendung Ihrer Stellungnahme an den Beschwerdeführer aus diesen Gründen Bedenken bestehen, bitte ich um entsprechende Mitteilung. Gemäß § 40 Abs. 4 BDSG sind die meiner Kontrolle unterliegenden Stellen sowie die mit deren Leitung beauftragten Personen verpflichtet, der Aufsichtsbehörde auf Verlangen die für die Erfüllung ihrer Aufgaben erforderlichen Auskünfte unverzüglich zu erteilen. Die innerhalb der Stellen handelnden Personen können allerdings die Auskunft auf solche Fragen verweigern, deren Beantwortung sie selbst oder einen der in § 383 Abs. 1 Nr. 1 bis 3 der Zivilprozessordnung bezeichneten Angehörigen der Gefahr strafgerichtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten aussetzen würde. Dabei sind die Tatsachen, auf welche die Auskunftsverweigerung gründet, anzugeben und glaubhaft zu machen. Für den Eingang Ihrer Stellungnahme, habe ich mir eine Frist bis zum xxx vorgemerkt und verbleibe mit freundlichen Grüßen