Az.: 3-830/6-3
Sehr
geehrteAntragsteller/in
ich nehme Bezug auf Ihre E-Mail vom 24. August 2020 und möchte mich
zunächst für die entstandene Verzögerung entschuldigen.
Ihre Anfrage wurde allerdings als allgemeine datenschutzrechtliche
Anfrage bearbeitet und nicht als Antrag nach dem IZG LSA. Grund dafür
ist, dass der Landesbeauftragte für den Datenschutz nicht Betreiber des
gesamten Landesportals ist, sondern nur die Verantwortung für die beiden
Fachportale
datenschutz.sachsen-anhalt.de und
informationsfreiheit.sachsen-anhalt.de trägt.
Die Datenschutzerklärung unter
https://www.sachsen-anhalt.de/meta/da... informiert gem. Art. 12
ff. Datenschutz-Grundverordnung (DS-GVO) über Art, Umfang, Dauer und
Zweck der Verarbeitung Ihrer personenbezogenen Daten beim Besuch des
Landesportals aber auch aller Fachportale. Dies beinhaltet auch die
Information über den Einsatz des Webanalysetools Matomo (früher: Piwik).
Verantwortlich für das Landesportal und damit auch für die Nutzung von
Matomo ist das Land Sachsen-Anhalt vertreten durch die Staatskanzlei und
Ministerium für Kultur Sachsen-Anhalt. Technischer Dienstleister und
damit verantwortlich für Betrieb, Entwicklung und Support des
Landesportals ist die Teleport GmbH.
Bezüglich Ihrer Anfrage, auf welcher Rechtsgrundlage Matomo im
Landesportal genutzt wird, möchte ich im Folgenden auf die rechtlichen
Schwierigkeiten bei der Einordnung dieses Webanalysetools verweisen, die
auch Grund für die entstandene Verzögerung sind.
Im März 2019 veröffentlichte die Konferenz der unabhängigen
Datenschutzbehörden des Bundes und der Länder eine Orientierungshilfe
für Anbieter von Telemedien (siehe Anhang). Entsprechend dieser
Orientierungshilfe würde man anhand der Beispiele auf S. 13 und S. 17
zum Ergebnis kommen, dass das berechtigte Interesse des
Webseitenbetreibers aufgrund des geringen Eingriffs in die Rechte der
Webseitenbesucher überwiegt. Vorausgesetzt, Matomo wird vom Betreiber
der Webseite selbst oder dessen Dienstleister im Rahmen einer
Auftragsverarbeitung betrieben, sodass keine Datenübermittlung an Dritte
erfolgt und die Auswertung des Nutzerverhaltens erfolgt durch Kürzung
der IP-Adresse anonym.
Für den Einsatz von Matomo käme also bei nicht-öffentlichen Stellen Art.
6 Abs. 1 lit. f DS-GVO als Rechtsgrundlage in Frage. Bei öffentlichen
Stellen kann davon ausgegangen werden, dass die Reichweitenmessung des
Internetauftritts zur Erfüllung einer in der Zuständigkeit des
Verantwortlichen liegenden Aufgabe dient und demzufolge Art. 6 Abs. 1
lit. e DS-GVO i. V. m. § 4 Satz 1 Nr. 2 DSAG LSA (für Sachsen-Anhalt)
die Rechtsgrundlage ist.
Das Landesportal mit seinen zahlreichen Fachportalen dient im
Wesentlichen der ausführlichen Information der Bürgerinnen und Bürger
Sachsen-Anhalts und der weiteren interessierten Öffentlichkeit. Insofern
handelt es sich beim Betrieb des Landesportals um eine Aufgabe, die im
öffentlichen Interesse liegt.
Bei der Webseitenanalyse mithilfe von Matomo erfolgt die Verarbeitung
der Nutzerdaten durch Kürzung der IP-Adressen anonym. Die dabei
gewonnenen Informationen dienen u. a. der Verbesserung des
Internetangebots und der Anpassung der Darstellung an die verwendeten
Endgeräte der Nutzer. Außerdem kann so relativ schnell festgestellt
werden, ob die im Landesportal veröffentlichten Informationen die
Bürgerinnen und Bürger auch tatsächlich erreicht haben.
Damit ist m. E. das öffentliche Interesse für den Einsatz von Matomo
hinreichend begründet. Eine Interessenabwägung wie in Art. 6 Abs. 1 lit.
f DS-GVO ist in Art. 6 Abs. 1 lit. e DS-GVO nicht vorgesehen. Anhand der
Orientierungshilfe wäre also die rechtliche Einordnung von Matomo
beendet und Ihre Frage nach der Rechtsgrundlage beantwortet.
Allerdings ergeben sich die o. g. rechtlichen Schwierigkeiten durch das
Urteil des Bundesgerichtshofs (BGH) vom 28. Mai 2020 (Az.: I ZR 7/16).
Der BGH geht im Ergebnis davon aus, dass die Speicherung von
Informationen oder der Zugriff auf Informationen, die bereits im
Endgerät des Nutzers gespeichert sind, nur gestattet ist, wenn der
betreffende Nutzer seine Einwilligung erteilt hat. Es sei denn, die
Speicherung bzw. der Zugriff sind technisch zur Erbringung des Dienstes
erforderlich.
In der Standard-Variante setzt Matomo Cookies auf dem Endgerät des
Nutzers, die die Analyse des Nutzerverhaltens unterstützen. Da dies für
den Internetauftritt nicht technisch erforderlich ist, wäre der Einsatz
von Matomo nur mit Einwilligung zulässig. Mittlerweile lässt sich der
Einsatz von Cookies zwar auch deaktivieren, allerdings ist noch nicht
abschließend geklärt, ob für das alternativ verwendete Device
Fingerprinting, mit dem Matomo das Nutzerverhalten dann nachvollzieht,
ebenfalls eine Einwilligung erforderlich ist.
Hier besteht also hinsichtlich der Rechtsgrundlage für den Einsatz von
Matomo eine Diskrepanz zwischen der Orientierungshilfe der
Aufsichtsbehörden und dem Urteil des BGH.
Momentan wird von mehreren Aufsichtsbehörden eine koordinierte Prüfung
der Webseiten von Medienunternehmen zum Einsatz von Tracking-Diensten
durchgeführt. Im Rahmen dieser Prüfung wurde auch der Einsatz von Matomo
und ähnlichen Webanalysetools diskutiert, bei denen die Verarbeitung der
Nutzerdaten auf dem eigenen Server bzw. auf dem Server des
Auftragsverarbeiters erfolgt.
Da diese Diskussion und auch die Prüfung noch nicht abgeschlossen sind,
kann ich derzeit die Frage nach der Rechtsgrundlage für den Einsatz von
Matomo noch nicht abschließend beantworten, hoffe aber, dass ich Ihnen
mit meinen Erläuterungen helfen konnte.
Mit freundlichen Grüßen
