Google Analytics verstößt gegen europäisches Datenschutzrecht

Technisch-organisatorische Maßnahmen (TOMs), die Google als Datenschutzoptionen angeführt hatte, hat die österreichischen Datenschutzbehörde als nutzlos eingestuft, wenn es um den potentiellen Zugriff der US-Behörden auf die personenbezogenen Datensätze geht. Im Bescheid heißt es ensprechend:

Sofern die technischen Maßnahmen betroffen sind, ist ebenso nicht erkennbar – und wurde seitens der Beschwerdegegner auch nicht nachvollziehbar erklärt –, inwiefern der Schutz der Kommunikation zwischen Google-Diensten, der Schutz von Daten im Transit zwischen Rechenzentren, der Schutz der Kommunikation zwischen Nutzern und Websites oder eine ,On-Site-Security‘ die Zugriffsmöglichkeiten von US-Nachrichtendiensten auf der Grundlage des US-Rechts tatsächlich verhindern oder einschränken.

Nach der Verkündung dieses Bescheids könnte die Einbindung von Google Analytics, wie sie bisher beinah flächendeckend vonstatten geht, auf der Kippe stehen. Die meisten Unternehmen und Selbstständigen setzen auf das Statistikprogramm von Google. Noyb erklärt dazu:

Obwohl es viele Alternativen gibt, die in Europa gehostet werden oder selbst gehostet werden können, verlassen sich viele Websites auf Google und übermitteln damit ihre Nutzerdaten an den US-Multi. Ebenso werden viele andere US-Dienste genutzt, die einen Zugriff durch US-Geheimdienste ermöglichen. Die Tatsache, dass die Behörden nun nach und nach US-Dienste für illegal erklären könnten, erhöht den Druck auf EU-Unternehmen und US-Provider, auf sichere und legale Optionen zu setzen. Hier ist vor allem die Verarbeitung ohne faktischen Zugriff von US-Unternehmen wichtig.

Sofern große Unternehmen wie Google und Meta, Microsoft und Apple ihre Datenschutzrichtlinien nicht an das EU-Recht anpassen, könnten Behörden und Gerichte ihre Dienste in der EU nach und nach für nicht legal nutzbar erklären.

Eigentlich sind alle US-Dienste betroffen

Der Verein Noyb hatte unter der Leitung von Max Schrems zahlreiche Beschwerden im Kontexte der Missachtung des Schrems II-Urteils bei verschiedenen Behörden in der EU eingereicht. Nun erklärt Schrems:

Wir erwarten, dass ähnliche Entscheidungen nun schrittweise in den meisten EU-Mitgliedstaaten fallen werden. Wir haben 101 Beschwerden in fast allen Mitgliedstaaten eingereicht, und die Behörden haben die Entscheidungen koordiniert. Eine ähnliche Entscheidung hat auch der Europäische Datenschutzbeauftragte letzte Woche getroffen.

Im Bescheid der österreichischen Datenschutzbehörde war einer Beschwerde, die gegen Google LLC in den USA eingereicht wurde, nicht stattgegeben worden. Verantwortlich seien demnach die europäischen Tochterfirmen wie Google Ireland Limited. Die DSB gab aber auch an, dass das Verfahren gegen Google LLC hinsichtlich möglicher Verstöße gegen Artikel 5, 28 und 29 DSGVO weiterläuft.

Was in diesem spezifischen Fall am Beispiel von Google zu großen Umwälzungen in der Digitalbranche führen könnte, bleibt wohl nicht auf die Alphabet-Tochter beschränkt. Denn die Datenschutzregelungen der EU gelten für sämtliche US-Anbieter:innen, weshalb auch Dienste von Microsoft, Meta und Co. nach genauer rechtlicher Betrachtung und entsprechenden Urteilen ihren legalen Status bei der Integration auf Websites verlieren könnten. Nun wird es 2022 und in den Folgejahren darauf ankommen, wie die Behörden und Gerichte die DSGVO und die ePrivacy-Verordnung auslegen und ob sie die bisher eher stiefmütterliche Behandlung des Datenschutzes beim Transfer personenbezogener Daten zwischen der EU und den USA vonseiten der US-Unternehmen abstraft. Google selbst erklärt gegenüber OnlineMarketing.de:

Die Menschen wollen, dass die Websites, die sie besuchen, gut gestaltet und einfach zu nutzen sind und ihre Privatsphäre respektieren. Google Analytics hilft Einzelhändlern, Behörden, NGOs und vielen weiteren Organisationen, zu verstehen, wie gut ihre Webseiten und Apps für Besucher:innen funktionieren – aber nicht, indem sie Einzelpersonen identifizieren oder sie im Internet verfolgen. Diese Unternehmen und Organisationen, nicht Google, kontrollieren, welche Daten erhoben und wie sie verwendet werden. Google unterstützt sie dabei, indem Google zahlreiche Schutz- und Kontrollmechanismen sowie Ressourcen für die Einhaltung von rechtlichen Vorgaben zur Verfügung stellt.

Diese Haltung jedoch ist mit geltendem Datenschutzrecht kaum vereinbar. Das Kräftemessen zwischen den Megakonzernen der USA und europäischen Datenschutzorganisationen geht daher weiter. Unternehmen, Marketer und Co. sollten die Entscheidungen jedoch im Blick behalten. Den gesamten Entscheid aus Österreich kannst du hier nachlesen.

Der Beitrag wurde am 18.01. um ein längeres Statement von Google erweitert.