Am 22. Dezember 2021 hat die österreichische Datenschutzbehörde entschieden:
„Nach Auffassung der Datenschutzbehörde kann das Tool Google Analytics (jedenfalls in der Version vom 14. August 2020) somit nicht in Einklang mit den Vorgaben von Kapitel V DSGVO genutzt werden.“
Der Einsatz von Google Analytics ist nach dieser Entscheidung nicht mit EU-Recht vereinbar. Hintergrund ist, dass die US-Behörden potenziell Zugang zu allen gesammelten Daten haben und die betroffenen Personen identifizieren können.
Der Einsatz von Google Analytics ist selbst dann illegal, wenn Standardvertragsklauseln mit Google abgeschlossen werden und Nutzer ihre Einwilligung über Consent-Banner erklären.
Zu dem gleichen Schluss kommen die deutschen Aufsichtsbehörden im Rahmen der neuen Orientierungshilfe für Anbieter:innen von Telemedien (also Websites oder Apps) vom 20. Dezember 2021, also nur zwei Tage vor der österreichischen Entscheidung:
„Zu beachten ist, dass der reine Abschluss von Standarddatenschutzklauseln wie den von der EU-Kommission beschlossenen Standardvertragsklauseln nicht ausreicht. Es ist darüber hinaus im Einzelfall zu prüfen, ob das Recht oder die Praxis des Drittlandes den durch die Standardvertragsklauseln garantieren Schutz beeinträchtigen und ob ggf. ergänzende Maßnahmen zur Einhaltung dieses Schutzniveaus zu treffen sind. Eine detaillierte Anleitung zum Vorgehen bei der erforderlichen Prüfung hat der Europäische Datenschutzausschuss veröffentlicht. Gerade im Zusammenhang mit der Einbindung von Dritt-Inhalten und der Nutzung von Tracking-Dienstleistungen werden allerdings oft keine ausreichenden ergänzenden Maßnahmen möglich sein. In diesem Fall dürfen die betroffenen Dienste nicht genutzt, also auch nicht in die Webseite eingebunden werden. Personenbezogene Daten, die im Zusammenhang mit der regelmäßigen Nachverfolgung von Nutzerverhalten auf Webseiten oder in Apps verarbeitet werden, können grundsätzlich nicht auf Grundlage einer Einwilligung nach Art. 49 Abs. 1 lit. a DS-GVO in ein Drittland übermittelt werden. Umfang und Regelmäßigkeit solcher Transfers widersprechen regelmäßig dem Charakter des Art. 49 DS-GVO als Ausnahmevorschrift und den Anforderungen aus Art. 44 S. 2 DS-GVO.“
Die niederländische Aufsichtsbehörde Autoriteit Persoonsgegevens (AP) reagierte darauf am 13.01.2022 mit dieser Warnung:
„Achtung: Die Verwendung von Google Analytics könnte bald verboten werden.
Im Januar 2022 schloss die österreichische Datenschutzaufsichtsbehörde eine Untersuchung über die Verwendung von Google Analytics auf einer österreichischen Website. Nach Ansicht der österreichischen Datenschutzbehörde erfüllt Google Analytics nicht die Anforderungen der Datenschutz-Grundverordnung (DSGVO) in diesem Fall. Die AP untersucht derzeit zwei Beschwerden über die Verwendung von Google Analytics in den Niederlanden. Nach Abschluss dieser Untersuchung Anfang 2022 wird die AP in der Lage sein zu sagen, ob Google Analytics nun zulässig ist oder nicht.“
(Übersetzt vom Autor)
Es ist damit zu rechnen, dass sich weitere europäische Aufsichtsbehörden den Entscheidungen der obersten deutschen und österreichischen Datenschützer anschließen werden, denn die Rechtsgrundlage ist EU-weit die gleiche.
Website-Betreiber in der EU, die derzeit noch Google Analytics einsetzen, sind bestens beraten, schnellstmöglich umzusteigen. Hinweise zum einfachen Umstieg zu etracker Analytics findest du in unserer Dokumentation und in diesem Blogbeitrag.
Disclaimer
Diese Ausführungen stellen keine Rechtsberatung dar und können keine individuelle Rechtsberatung ersetzen. Sie sind eine fachliche Auseinandersetzung und Zusammenfassung des Themas. Im Bedarfsfall stellen wir gerne den Kontakt zu einem Fachanwalt her.