.png)
Beim Thema Website-Tracking geht es in der EU nicht nur um Cookie-Banner und Einwilligungen. Mit dem TDDDG, früher TTDSG, und der DSGVO müssen Unternehmen unter anderem klären, welche Daten verarbeitet werden, auf welcher Rechtsgrundlage das geschieht und welche Informationen Nutzer darüber erhalten.
Ein weiterer wichtiger Punkt ist die Frage, ob personenbezogene Daten an Unternehmen in den USA übertragen werden dürfen.
Das betrifft viele Tracking- und Marketing-Setups ganz praktisch. Je nach eingesetztem Tool und dessen Konfiguration können beispielsweise IP-Adressen, Cookie-IDs, Client-IDs, User Agents, besuchte URLs, E-Mail-Adressen oder CRM-Informationen verarbeitet und in die USA übertragen werden.
Genau diese Datenübertragung war in den vergangenen Jahren rechtlich umstritten. Der Europäische Gerichtshof hatte im Juli 2020 den damaligen Privacy Shield für ungültig erklärt. Ein wesentlicher Grund waren die Zugriffsmöglichkeiten von US-Nachrichtendiensten und die aus Sicht des Gerichts nicht ausreichenden Rechtsschutzmöglichkeiten für Menschen aus der EU.
Im Juli 2023 verabschiedete die EU-Kommission deshalb einen neuen Angemessenheitsbeschluss für das EU-US Data Privacy Framework. Auf dieser Grundlage können personenbezogene Daten an US-Unternehmen übertragen werden, die am Framework teilnehmen und entsprechend zertifiziert sind. Das machte viele Datentransfers wieder einfacher. Es bedeutete allerdings nicht, dass damit automatisch jedes Tracking-Setup erlaubt ist. Einwilligungen, Datenschutzhinweise, Zweckbindung und Datenminimierung müssen weiterhin separat betrachtet werden. EU-Kommission
Nun gibt es eine neue Entwicklung. Der US Supreme Court hat am 29. Juni 2026 in der Rechtssache Trump v. Slaughter entschieden, dass die gesetzlichen Einschränkungen für die Entlassung von FTC-Kommissaren gegen die US-Verfassung verstoßen. Damit kann der US-Präsident stärkeren Einfluss auf die personelle Besetzung der Federal Trade Commission nehmen. Urteil des US Supreme Court
Das ist für den transatlantischen Datentransfer relevant, weil die FTC eine zentrale Rolle bei der Kontrolle zertifizierter US-Unternehmen spielt. Das Gericht selbst hat allerdings weder über Datenschutz noch über das EU-US Data Privacy Framework entschieden.
Die EU-Kommission prüft derzeit, welche Folgen sich aus dem Urteil ergeben. Gleichzeitig weist sie darauf hin, dass die weiteren US-Schutzmechanismen, insbesondere die Executive Order 14086, weiterhin gelten. Der Angemessenheitsbeschluss ist ebenfalls unverändert in Kraft. Aktuelle Reaktion der EU-Kommission
Für Unternehmen bedeutet das zunächst: Es gibt aufgrund dieses Urteils kein automatisches Verbot von Google Analytics, Google Ads oder anderen US-Diensten. Daraus folgt aber auch keine pauschale Aussage, dass jedes konkrete Setup rechtmäßig ist.
Die richtige Reaktion ist aus meiner Sicht, die weitere Entwicklung zu beobachten und gleichzeitig die eigenen Datenflüsse zu kennen. Unternehmen sollten nachvollziehen können, welche Daten aus Website, Tag Manager, Consent-Tool, CRM und Marketing-Automation an welche Anbieter übertragen werden und auf welcher Grundlage das geschieht.
Das gilt besonders für Enhanced Conversions, Offline Conversions und andere Setups, bei denen CRM- oder Nutzerdaten an Werbeplattformen zurückgespielt werden.
Der Angemessenheitsbeschluss bleibt aktuell bestehen. Wir beobachten die weitere Entwicklung und ordnen ein, sobald daraus konkrete Konsequenzen für Tracking- und Marketing-Setups entstehen.
Hinweis: Dieser Beitrag stellt keine Rechtsberatung dar. Die rechtliche Bewertung eines konkreten Setups sollte mit Datenschutzbeauftragten oder spezialisierter Rechtsberatung abgestimmt werden.
