Google Analytics ist das wohl meistgenutzte Webanalyse-Tool der Welt. Umso größer war die Aufmerksamkeit, als die österreichische Datenschutzbehörde (DSB) in einer Teilentscheidung vom Dezember 2021, veröffentlicht am 13. Januar 2022, feststellte: Der Einsatz von Google Analytics auf einer Website verstieß gegen die Vorgaben der DSGVO zur Datenübermittlung in Drittländer. Die Entscheidung geht auf eine Beschwerde der Organisation noyb zurück, die nach dem Schrems-II-Urteil zahlreiche Beschwerden gegen Website-Betreiber in ganz Europa eingereicht hatte.
Die Kernaussagen der Entscheidung
- Online-Kennungen wie IP-Adressen und Cookie-IDs sind jedenfalls in Kombination mit weiteren Informationen personenbezogene Daten. Es genügt, dass einzelne Nutzer ausgesondert werden können, insbesondere wenn sie zugleich in einem Google-Konto eingeloggt sind.
- Der Website-Betreiber übermittelte als Verantwortlicher Daten an Google LLC in den USA.
- Die abgeschlossenen Standardvertragsklauseln und die von Google angebotenen zusätzlichen Maßnahmen verhinderten nicht, dass US-Nachrichtendienste nach US-Recht auf die Daten zugreifen können.
- Eine Verschlüsselung der gespeicherten Daten hilft nicht, wenn der Empfänger selbst über den Schlüssel verfügt.
- Die IP-Anonymisierung war im konkreten Fall nicht korrekt umgesetzt und hätte nach Auffassung der Behörde ohnehin nicht genügt.
Was die Entscheidung nicht sagt
Es handelt sich um eine Einzelfallentscheidung einer nationalen Behörde, die sich auf die damals verwendeten Standardvertragsklauseln und die damalige Konfiguration bezieht. Die im Juni 2021 verabschiedeten neuen Standardvertragsklauseln wurden nicht geprüft. Ein generelles „Verbot“ von Google Analytics hat die Behörde nicht ausgesprochen. Gleichwohl haben sich inzwischen weitere europäische Aufsichtsbehörden, etwa in Frankreich, in vergleichbarer Weise geäußert, und die Argumentation lässt sich auf viele andere US-Dienste übertragen.
Welche Optionen haben Website-Betreiber?
- Bewerten Sie das Risiko: Ist Google Analytics für Ihr Geschäft wirklich unverzichtbar, und welche Daten werden erfasst?
- Prüfen Sie Alternativen. Es gibt Analyse-Tools europäischer Anbieter mit Datenverarbeitung in der EU sowie Lösungen, die selbst gehostet werden können oder ohne Cookies auskommen.
- Eine Einwilligung allein löst das Problem nicht. Für Analyse-Cookies brauchen Sie nach dem TTDSG ohnehin eine Einwilligung; die Frage der Drittlandübermittlung ist davon zu unterscheiden. Ob eine Einwilligung nach Art. 49 DSGVO die Übermittlung dauerhaft tragen kann, ist zweifelhaft.
- Wer weiterhin auf Google Analytics setzt, sollte die Datenerhebung so weit wie möglich reduzieren und die Entscheidung dokumentieren.
- Beobachten Sie die politische Entwicklung: Die EU-Kommission und die US-Regierung verhandeln über einen Nachfolger des Privacy Shields.
Die Probleme des Datentransfers in die USA betreffen nicht nur Konzerne, sondern jeden Website-Betreiber. Wir helfen Ihnen, das Risiko von Google Analytics und anderen US-Tools einzuschätzen und die Abwägung zu dokumentieren. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.