Google-Maps auf Website: DSGVO-Implikationen: rechtliches Problem nur in EU oder weltweit!?

[chiemsee]

Guten Abend

....also hier eine Frage zu einer Google-Map-Integration:

da es bei der Nutzung von Google Maps zum Beispiel in einer WordPress-Anwendung zu einer Datenübermittlung in ein Drittland ohne - hmmm - sagen wir mal einen sog. "Angemessenheitsbeschluss" (ich weiß - das ist jetzt vllt. relativ grob übersetzt) kommen kann, bedarf im Grunde genommen die Verarbeitung einer Einwilligung des Nutzers (Art. 49 Abs. 1 lit. a DSGVO), wobei der Nutzer auf die Risiken der Datenübermittlung hingewiesen werden muss eine fundierte Entscheidung treffen.

Frage: Ist die Google-Map-Integration (z. B. zu einer Seite) ein besonderes Problem

a. für die Länder der Europäischen Union oder ist es ein Problem
b. auf der ganzen Welt ... z. B. auch außerhalb der Europäischen Union!?

Die Fragestellung rührt daher, dass es ja in der Vergangenheit - insbes. im dt. Sprachraum - immer wieder Gerichtsurteile gab die hier besonders hart waren. Fragt sich also - ob denn das mit dem Auftritt einer Webseite mit einer Google-Map-Integration etwa in Ländern wie etwa

- Ägypten,
- Indien
- Israel
- etc. ein Problem darstellt.


M.a.W. ists die Frage ob denn die ggf. in Deutschland so sehr diskutierte Frage nach Google-Map-Integration auch außerhalb des DSGVO (oder sagen wir außerhalb des GDPR Bereichs (oder außerhalb des europ. Raumes) überhaupt (so sehr) relevant ist?

Zugespitzt formuliert: Interessieren die Leute sich dort denn für die /(se) Themen so sehr wie wir das tun!!?

Wir das Thema also z.B. etwa in (sagen wir mal zum Beispiel) Israel oder Indien auch so hart verhandelt wird - wie hierzulande in Deutschland!? vgl. hierzu etwa diese Quelle: https://www.enzuzo.com/blog/does-gdpr-apply-to-citizens-outside-the-eu ::
Die Autoren auf Enzuzo nehmen sehr ausführlich zum Thema Stellung - und bieten auch Beispielfälle an.

Davon abgesehen: Würdet ihr das Problem etwa dadurch lösen dass wir hier...etwa:

a. einfach einen Bestätigungsbutton auf die Seite packen die den ganzen Kram nachläd, Dann hat man im Grunde genommen ja auch die Einwilligung und fertig.
Also man kann das ganze ja von einer Einwilligung abhängig machen - und so regeln dass es nur mit einer Einwilligung funktioniert - damit sollte es im Grunde genommen im Bezug auf den Datenschutz eigentlich keine Probleme geben.

.....so gesehen das ganze so behandeln dass grundsätzlich -ehe die Google-Map angezeigt wird der

b. Kunde zustimmen muss und erst dann wird die Karte angezeigt.

Wie seht ihr das denn!?

 

[awehring]

Ich finde das eine sehr interessante Frage.

Wirklich beantworten kann die wohl nur ein Jurist, der auf (internationales) Datenrecht spezialisiert ist. Bin ich nicht, will aber trotzdem meine Sichtweise beitragen.

a) Die DSGVO (bzw GDPR; ist das gleiche, nur auf Englisch) schützt personenbezogen Daten. IP Adressen gehören dazu, weil sie (mehr oder weniger) eine einzelne Person (oder meinetwegen Familie in einem Haushalt) eindeutig identifizieren. Bei der Google Maps Integration wird wahrscheinlich (je nach Implementierung) die IP Adresse des Users an Google übertragen. Daher ist die DSGVO dafür relevant.
Meine Wissenquelle: Es gab mal einen DSGVO-Prozess in Deutschland, weil auf einer Webseite Schriftarten von Google (Google Fonts) geladen wurden und dazu die IP Adresse des Users an Google übertragen wurde.

b) Ich denke, dass die Einwilligung eimes Users nicht ausreicht. Die GDPR gibt den User ja viel mehr Rechte, z.B. Auskunft über seine Daten. In dem von Dir verlinkten Artikel sind die 8 Rechte aufgezählt und es müssen alle eingehalten werden.

c) Die rechtliche Grundlage für den Datenaustausch EU - USA ist nach wie vor sehr wackelig und nicht frei von Wiedersprüchen.
Nach langen Verhandlungen zwischen den USA und EU wurden Vereinbarungen ausgearbeitet, die eine solide Rechtsbasis schaffen sollten. Der Europäische Gerichtshof (EuGH) hat diese sogenannten Angemessenheitsbeschlüsse, also „Safe Harbor“ im Jahr 2015 und „Privacy Shield“ im Jahr 2020, im Nachhinein für ungültig erklärt, da sie von dem Österreichischen Jura-Studenten Max Schrems wegen offensichtlicher Schwachstellen angefochten worden waren. Gegen die kürzlich verabschiedete Nachfolgeregelung "EU-US Data Privacy Framework" wird voraussichtlich auch Klage erhoben.
Zur Erinnerung: Die DSGVO kam zustande, nachdem Edward Snowden in seinen berühmten Leaks zeigte, dass die USA massenhaft die ganze Welt, inklusive EU-Bürgern, abhört.

d) Andere Länder: Wenn Du für die EU eine GDPR-gerechte Lösung realisierst, würde ich die für Benutzer auf der ganzen Welt verwenden. Meines Wissens gibt es in keinem Land strengere Datenschutzgesetze.

Just my two cents.

 

[awehring]

Jetzt bin ich gerade auf einer Website gestossen, die vor der Anzeige von Google Maps die Zustimmung sehr ausführlich einholt.

Weiter unten auf der Seite ein Fitnessstudio auswählen, dann geht's los

Fördern Sie Ihre Gesundheit

Kieser Training ist der Spezialist für gesundes Krafttraining.

www.kieser-training.ch

 

[Kuzorra]

Also vereinfacht gesagt:
- Die DSGVO/GDPR soll den Schutz personenbeziehbarer & personenbezogener in der EU sicherstellen - die Regeln gelten also im Geltungsraum der EU (+ Norwegen und noch ein paar).
- Da das ägyptische Datenschutzrecht evtl. ein ganz anderes ist, gelten dort auch ggf. andere Regeln
Im ersten Post werden Angemessenheitsbeschluss und Einwilligung ein wenig in einen Topf geworfen, das hat aber nichts miteinander zu tun. Dass man auf den Drittlandtransfer (ohne Angemessenheitsbeschluss) gesondert hinweisen muss, ist aber richtig. Allerdings hat @awehring ja schon drauf hingewiesen, dass es momentan mal wieder einen solchen Beschluss gibt - üblicherweise haben die eine Halbwertszeit von so ca. 2-3 Jahren, bevor der EUGH das wieder kassiert, weil sich an den Unterschieden im Schutzniveau immer noch nichts geändert hat.

Ich verstehe den Unterschied zwischen Deiner Variante a ("Bestätigung") und b (Zustimmung") nicht so ganz - die DSGVO kennt "Einwilligung". Du packst es detailiierter in die Datenschutzhinweise und holst Dir per Klick die Einwilligung des Nutzers (wobei Du natürlich transparent auf die ausführlichen Infos hinweist). Alternativ wäre vielleicht noch "berechtigtes Interesse" denkbar, aber vernünftig informieren musst Du trotzdem.

by the way: Außer in DE (und z.T. in AT) wird das fast nirgends so heiß gehandelt. (Die franz. CNIL ist auch recht strikt unterwegs.)
In vielen anderen Länder, die auch im Rahmen der DSGVO agieren, haben selbst die Datenschützer noch nie von den Fragestellungen gehört, mit denen man sich in DE ganz alltäglich herumschlägt. Das liegt aber auch daran, dass die DSGVO zu einem großen Teil ein "Export" der alten dt. Datenschutzgesetze des BDSG nach EUropa ist - DE war da immer schon hart, für viele andere ist das Neuland.

 

[Kuzorra]

Youtube ist ja ähnlich gelagert wie Maps, hier ein paar Eckpunkte dazu:

Wie man YouTube DSGVO konform einbinden kann | Decareto

Wir zeigen Ihnen, wie Sie YouTube-Videos DSGVO konform in Ihre Website einbinden können und erklären Ihnen, worauf Sie dabei besonders achten müssen.

decareto.com