Laut Datenschutzbehörde verstößt Google Analytics gegen die DSGVO – aber welche Folgen hat das? Gibt es rechtskonforme Nutzungsmöglichkeiten? Anwendern bereitet das Kopfzerbrechen, manches ist rechtlich unklar.
Die Datenschutzbehörde (DSB) hat gesprochen – und für sehr viele heimische Website-Betreiber wird es jetzt eng. Konkret für all jene, die Google Analytics nutzen. Die Implementierung dieses Analysetools verstößt gegen die Datenschutzgrundverordnung (DSGVO), das haben wir nun seit rund einer Woche schwarz auf weiß.
Wirklich überraschend kam das nicht: Spätestens seit der EuGH im Jahr 2020 – auf Betreiben des Datenschutz-Aktivisten Max Schrems – das Datenschutzabkommen „Privacy Shield“ zwischen der EU und den USA gekippt hat (C-311/18), war mit einer solchen Entscheidung zu rechnen. Damals entschied der EuGH, dass dieses Abkommen die EU-Vorgaben hinsichtlich des Datenschutzniveaus nicht erfüllt. Und das betrifft auch die über Google Analytics erhobenen, personenbezogenen Daten: Sie sind demnach nicht hinreichend vor einem Zugriff der US-Behörden geschützt. Denn wie jeder US-Anbieter von IT-Diensten, wäre auch Google zur Herausgabe verpflichtet.
Daran würde auch eine vertragliche Zusicherung von Google, die Nutzerdaten zu schützen, nichts ändern, sagt Thomas Riesz, Rechtsanwalt und Datenschutzexperte bei Haslinger Nagele, zur „Presse“. Auch wo der Server steht, spielt keine Rolle: „Der Cloud Act der US-Regierung gestattet den amerikanischen Behörden auch den Zugriff auf Daten, die US-amerikanische IT-Dienstleister oder Internetfirmen im Ausland speichern“, sagt Riesz. Wobei die Pflicht zur Herausgabe selbst dann gilt, wenn lokale Gesetze am Ort des Datenspeichers das verbieten.