Als Reaktion auf eine Musterbeschwerde von NOYB, der Datenschutz-NGO von Max Schrems, hat die österreichische Datenschutzbehörde eine wegweisende Entscheidung getroffen: die Nutzung von Google Analytics verstößt gegen die DSGVO.
Im Juli 2020 hat der Europäische Gerichtshof bekanntlich das EU-US-Privacy Shield-Abkommen mit sofortiger Wirkung für ungültig erklärt, indem er entschied, dass die Nutzung von US-Anbietern (bzw. das Übermitteln von personenbezogenen Daten an die USA) gegen die DSGVO verstößt. Denn die US-Überwachungsgesetze verpflichten US-Anbieter wie zum Beispiel Google bzw. das Analyse-Tool Google Analytics dazu, persönliche Daten von EU-Bürgern gegebenenfalls an US-Behörden zu übermitteln.
Zwar hat die EU-Kommission als Folge neue Standardvertragsklauseln bereitgestellt, aber diese lösen das Problem mit dem fehlenden Datenschutzabkommen – mit den USA und grundsätzlich mit allen Drittländern außerhalb der EU – in der Praxis auch nicht wirklich. Insbesondere kleine Unternehmen, die keine eigenen Datenschutzexperten oder Rechtsabteilungen haben, bewegen sich vielfach weiterhin im rechtsfreien Raum.
Die nun von der österreichischen Datenschutzbehörde getroffenen Entscheidung ist für fast alle Internetseiten in der EU relevant. Google Analytics ist das am weitesten verbreitete Analyse-Tool, viele Internetseiten nutzen Google Analytics und übermitteln damit (personenbezogene) Nutzerdaten an den US-Konzern. Dies wird von der DSB als Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung gesehen. NOYB erwartet ähnliche Entscheidungen in weiteren EU-Mitgliedstaaten erwartet.
Fazit: für das Nutzen von Google Analytics fehlt schon seit dem Fallen des EU-US-Privacy Shield-Abkommens im Juli 2020 eine gültige Rechtsgrundlage. Spätestens ab jetzt sollte der EInsatz von Google Analytics ernsthaft überdacht bzw. genau genommen unterlassen werden.
Link zum Beitrag auf noyb.eu: DSB: Einsatz von Google Analytics verstößt gegen „Schrems II“-Entscheidung des EuGH
Update vom 10. Februar 2022: Auch die französische Datenschutzbehörde CNIL entscheidet, dass die Datenübertragung an Google Analytics rechtswidrig ist, berichtet NOYB.
Nur zwei Wochen nach der bahnbrechenden Entscheidung der österreichischen Datenschutzbehörde, dass die kontinuierliche Nutzung von Google Analytics gegen die DGSGVO verstößt, folgt die französische Datenschutzbehörde (CNIL) dieser Entscheidung und ordnet an, dass ein französischer Websitebetreiber die Nutzung von Google Analytics stoppen muss.
Link zum Beitrag auf nyob.eu: UPDATE: Auch für CNIL Datenübertragung an Google Analytics rechtswidrig