Einsatz von Google Analytics rechtswidrig – Neue Entscheidung der Österreichischen Datenaufsicht
Nach einer Entscheidung der österreichischen Datenschutzaufsichtsbehörde ist die Nutzung von Google Analytics in der Europäischen Union rechtswidrig. Bei der Nutzung von Google Analytics erfolgt eine Reichweitenmessung auf Webseiten, indem ein von Google bereitgestelltes Tracking-Skript in die Webseite integriert wird. Beim Ausführen des Skripts wird u.a. die IP-Adresse, eine einzigartige Nutzeridentifizierung sowie die Browserparameter an Google übermittelt. In einem anderen Verfahren wurde mit Entscheidung vom 05. Januar 2022 das Europäische Parlament durch den Europäischen Datenschutzbeauftragten wegen der Nutzung von Google Analytics in einer von einem Auftragsverarbeiter betriebenen Webseite zur Anmeldung zu Corona-Tests abgemahnt.
Wie werden die Entscheidungen begründet?
Google hat seinen Sitz in den USA, einem Drittland im Sinne der DSGVO. Für die Übermittlung in Drittländer gelten besondere Regeln, um die Rechte der Betroffenen zu schützen. Nachdem durch den Europäischen Gerichtshof bereits das Privacy-Shield Abkommen für unzulässig erklärt worden war, setzten US-Unternehmen zuletzt verstärkt auf Standard-Vertragsklauseln, um ein geeignetes Datenschutz-Niveau zu garantieren. Dies wurde von der österreichischen Aufsichtsbehörde nunmehr für unzulässig erklärt. Die Behörde begründet dies damit, dass die von Google bereitgestellten Standard-Vertragsklauseln keine hinreichenden Garantien enthielten, um den Zugriff durch US-Geheimdienste auf die an Google übermittelten personenbezogenen Daten einzuschränken. Dadurch liegen keine geeigneten Garantien für eine Übermittlung in die USA als Drittland vor.
Welche Auswirkungen hat die Entscheidung für Deutschland?
Die Entscheidung hat zunächst zwar keine unmittelbare Relevanz für Deutschland. Aufgrund der gleichgelagerten Sachverhalte ist es aber nicht unwahrscheinlich, dass deutsche Behörden ähnlich entscheiden würden. Zudem geht die Entscheidung auf die von Max Schrems begründete NGO noyb zurück, die zuletzt hunderte Unternehmen in ganz Europa wegen Datenschutzverstößen abgemahnt hatten. Ähnliche Verfahren sind derzeit auch in den Niederlanden anhängig, wo ein Verbot ebenfalls in Aussicht gestellt (aber noch nicht entschieden) wurde. Insofern ist die Entwicklung perspektivisch auch für Deutschland sehr relevant.
Ebenfalls zu beachten ist, dass sich das Verfahren auf einen Zeitpunkt im August 2020 bezieht. Zwischenzeitlich gelten neue Standard-Vertragsklauseln, die für die nun vorliegende Entscheidung noch nicht relevant waren. Mit Beschluss (EU) 2021/914 hatte die EU neue Standardklauseln erarbeitet, die das Schutzniveau verbessern sollten.
Was ist jetzt zu tun?
Aufgrund der bestehenden Rechtsunsicherheit in Bezug auf US-Dienstleister ist es vorerst empfehlenswert, eine Nutzung von Google Analytics zu vermeiden, soweit dies möglich ist. Gegebenenfalls können alternative Dienste wie Matomo verwendet werden.
Alternativ ist auch denkbar, von den Nutzer*innen eine explizite Einwilligung zur Übermittlung der Informationen an Google einzuholen. Da ohnehin eine Einwilligung zur Nutzung von Tracking-Diensten erforderlich ist, ergeben sich hieraus letztlich keine Nachteile. Gleichwohl muss dann ausdrücklich über die damit einhergehenden Risiken aufgeklärt werden.