DSGVO in der Praxis Was die Datenschützer zu Google Analytics wirklich sagen

Anbieter zum Thema

FTAPI Software GmbH

Verschiedene Meldungen kursieren, dass der Einsatz von Google Analytics nun in der ganzen EU verboten sei. Das stimmt so zwar noch nicht, aber es ist schwierig, der Datenschutz-Grundverordnung (DSGVO) gerecht zu werden, wenn man Google Analytics nutzen will. Wir geben einen Überblick, was die Aufsichtsbehörden dazu (wirklich) sagen und welche Maßnahmen erforderlich sind.

Bereits vor dem Ende von Privacy Shield, und zwar im Mai 2020 hatte die Datenschutzkonferenz (DSK), das Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder, „Hinweise zum Einsatz von Google Analytics im nicht-öffentlichen Bereich“ veröffentlicht. Verkürzt gesagt, wurden mehrere zusätzliche Maßnahmen eingefordert, wie die Einholung einer informierten, freiwilligen, aktiven und vorherigen Einwilligung der Nutzer, eine funktionstüchtige Umsetzung des Widerrufs der Einwilligung, Transparenz für die Nutzerinnen und Nutzer in Bezug auf den Einsatz von Google Analytics und die Kürzung der IP-Adresse.

Sind diese Maßnahmen unvollständig, erachteten die Datenschutzaufsichtsbehörden bereits vor dem Ende von Privacy Shield den Einsatz von Google Analytics als unzulässig.

Google Analytics und die Datenübermittlung

Ein zentrales Problem bei der Nutzung dieses Dienstes zur Reichweitenanalyse ist die Übermittlung personenbezogener Daten an das Drittland USA und die dafür notwendige Rechtsgrundlage.

Bekanntlich kann sich eine Datenübermittlung in die USA nicht mehr auf Privacy Shield stützen. Aber auch die reinen Standardvertragsklauseln der EU reichen in diesem Fall nicht als Rechtsgrundlage. So erklärte die DSK: „Zu beachten ist, dass der reine Abschluss von Standarddatenschutzklauseln wie den von der EU-Kommission beschlossenen Standardvertragsklauseln nicht ausreicht. Es ist darüber hinaus im Einzelfall zu prüfen, ob das Recht oder die Praxis des Drittlandes den durch die Standardvertragsklauseln garantieren Schutz beeinträchtigen und ob ggf. ergänzende Maßnahmen zur Einhaltung dieses Schutzniveaus zu treffen sind.“

Diese ergänzenden Maßnahmen, die ein angemessenes Datenschutzniveau ermöglichen sollen, müssen wirksam sein. „Gerade im Zusammenhang mit der Einbindung von Dritt-Inhalten und der Nutzung von Tracking-Dienstleistungen werden allerdings oft keine ausreichenden ergänzenden Maßnahmen möglich sein. In diesem Fall dürfen die betroffenen Dienste nicht genutzt, also auch nicht in die Webseite eingebunden werden“, so die Auffassung der DSK.

Genau solche Fälle wurden jetzt beanstandet, durch die Datenschutzaufsichtsbehörden in Österreich und in Frankreich.

Was die Datenschützer in Frankreich beanstandet haben

Nach Erhalt von Beschwerden der NOYB-Vereinigung analysierte die französische Datenschutzbehörde CNIL in Zusammenarbeit mit ihren europäischen Kollegen die Bedingungen, unter denen die über Google Analytics gesammelten Daten in die Vereinigten Staaten übermittelt werden. Die CNIL ist der Ansicht, dass diese Übertragungen illegal sind, und weist einen französischen Website-Manager an, die DSGVO einzuhalten und gegebenenfalls die Nutzung dieses Dienstes unter den aktuellen Bedingungen einzustellen.

Google habe zwar zusätzliche Maßnahmen zur Regulierung des Datentransfers im Rahmen der Google-Analytics-Funktionalität getroffen, diese reichten jedoch nicht aus, um die Zugänglichkeit dieser Daten für US-Geheimdienste auszuschließen. Es bestehe daher ein Risiko für französische Website-Benutzer, die diesen Dienst nutzen und deren Daten exportiert werden.

Die CNIL stellt fest, dass die Daten von Internetnutzern somit unter Verstoß gegen die Artikel 44 ff. der DSGVO in die Vereinigten Staaten übermittelt werden. Die CNIL hat daher den Website-Manager angewiesen, diese Verarbeitung mit der DSGVO in Einklang zu bringen, falls erforderlich, indem die Verwendung der Google Analytics-Funktionalität (unter den aktuellen Bedingungen) eingestellt wird oder indem ein Tool verwendet wird, das keine Übertragung außerhalb der EU beinhaltet.

In Bezug auf Website-Analysedienste empfiehlt die CNIL, dass diese Tools nur zur Erstellung anonymer statistischer Daten verwendet werden sollten.

Was die Datenschützer in Österreich bemängelt haben

Die Datenschutzbehörde in Österreich hatte sich zuvor ebenfalls im Rahmen eines Beschwerdeverfahrens mit der Vereinbarkeit von Google Analytics und der Datenschutz-Grundverordnung (DSGVO) befasst.

Im Beschwerdeverfahren zu einer bestimmten Website wurde festgestellt, dass personenbezogene Daten auch an die Server von Google LLC mit Sitz in den USA übermittelt wurden. Der Betreiber der Website und Google LLC haben Standarddatenschutzklauseln (in der früheren Version) abgeschlossen.

Die zusätzlich zu den Standarddatenschutzklauseln implementierten Maßnahmen waren aus Sicht der Datenschutzbehörde nicht effektiv, da diese die seitens des EuGH (Europäischer Gerichtshof) aufgezeigten Überwachungs- und Zugriffsmöglichkeiten durch US-Nachrichtendienste nicht beseitigt haben.

Die Datenschutzbehörde hat daher mit Bescheid festgestellt, dass Website-Betreiber das Tool Google Analytics (jedenfalls auf Grundlage des im Bescheid festgestellten Sachverhalts) nicht in Einklang mit der DSGVO einsetzen können.

Was Google dazu sagt

Google selbst hat sich so geäußert: „Wir sind nach wie vor davon überzeugt, dass die umfangreichen ergänzenden Maßnahmen, die wir unseren Kunden bieten, einen praktischen und wirksamen Schutz der Daten nach jedem angemessenen Standard gewährleisten. Gleichzeitig möchten wir unseren Kunden Datenschutzeinstellungen zur Verfügung stellen, mit denen sie ihre spezifischen Geschäfts- und Compliance-Anforderungen erfüllen sowie festlegen können, welche Daten erhoben und wie sie genutzt werden“.

Im Mai 2022 ergänzte Google: „In Google Analytics sind jetzt Einstellungen verfügbar, mit denen sich die Erhebung von detaillierten Standort- und Gerätedaten sowie Daten für Google-Signale für einzelne Regionen verwalten lässt.“

Entwicklung im Auge behalten

Wer weiterhin Google Analytics einsetzen will, muss genau prüfen, welche der getroffenen Zusatzmaßnahmen zur Absicherung des Datenverkehrs wirksam dafür sorgen, dass die Datenübermittlung in die USA zulässig wird, die reinen Standardvertragsklauseln reichen als Grundlage nicht aus. Die Datenschutzaufsichtsbehörden haben jetzt klargestellt, dass sie die Maßnahmen in den untersuchten Fällen für nicht wirksam erachten.

Es ist dringend zu empfehlen, die weitere Entwicklung und die Entscheidungen der Aufsichtsbehörden und womöglich Gerichte zu verfolgen, die eigenen Maßnahmen zur Gewährleistung eines angemessenen Datenschutzniveaus entsprechend anzupassen oder eine Alternative zu Google Analytics zu nutzen, die nicht zu einer Datenübermittlung in einen Drittstaat wie USA führt.

(ID:48496696)