Gastbeitrag: Ein Großteil der Webseitenbetreiber in Österreich nutzt den Webanalyse-Dienst Google Analytics, um das Verhalten der User zu analysieren, obwohl der Dienstleister immer wieder ins Visier von Datenschützern gerät. Mit den Entscheidungen mehrerer europäischer Datenschutzbehörden könnte sich dies ändern. Denn: Laut österreichischer Datenschutzbehörde verstößt Google Analytics gegen die DSGVO. Von Hartmut Deiwick.

Foto: Löwenstark Der Autor Hartmut Deiwick ist seit Februar 2020 CEO der Full-Service-Agentur Löwenstark Digital Group Datenschützer bemängeln schon länger Googles Umgang mit personenbezogenen Daten. Wegweisend war die Entscheidung des EuGH im Fall „Schrems II“, dass der „Privacy Shield“ als Basis zur Übermittlung von personenbezogenen Daten in die Vereinigten Staaten nicht mit der DSGVO vereinbar sei. Vor allem die Anforderungen der DSGVO zur Drittlandübermittlung und die allgemeinen Grundsätze zur Datenübermittlung würden von Google Analytics nicht erfüllt. Die niederländischen und französischen Behörden kamen zu ähnlichen Entscheidungen.

Kritikpunkte im Detail

Die Funktionsweise von Google Analytics basiert auf dem Sammeln und Auswerten von Daten. Bei jedem Besuch einer Webseite erhebt Google Analytics zahlreiche Informationen über die Nutzer. Diese Daten wiederum werden nicht nur vom Webseitenbetreiber verarbeitet, sondern auch von Google für eigene Zwecke verwendet. Durch die Weitergabe an Dienste wie YouTube oder Google Ads können Personenmerkmale wie Geschlecht oder Standort erhoben werden. In Kombination mit den Daten, die bei jedem Besuch einer Webseite gesammelt werden, also IP-Adresse, Cookie-Daten, Browser, Betriebssystem und Datum, ist es möglich, Nutzerprofile zu erstellen sowie einzelne User zu identifizieren.

Google argumentiert, dass im Trackingcode eine Kürzung der IP-Adresse vorgenommen wird und Online-Kennungen als Pseudonyme zu verstehen sind. Laut österreichischer Behörde können diese Maßnahmen jedoch keine Identifizierung verhindern.

Ein weiterer Kritikpunkt ist die Datenübermittlung an amerikanische Cloud-Rechenzentren von Google. Laut DSGVO darf der Transfer personenbezogener Daten in ein Drittland nur dann erfolgen, wenn es dort ein gleichwertiges Datenschutzniveau gibt. Dies ist in den USA nicht der Fall, sodass die Gefahr besteht, dass Geheimdienste auf die übermittelten Personendaten zugreifen. Standardvertragsklauseln zwischen den europäischen Verwendern und Google verpflichten Google zwar zur Einhaltung der europäischen Datenschutzbestimmung. Die österreichische Datenschutzbehörde konnte in der Klausel aber keinen ausreichenden Schutz erkennen.

Aktueller Stand und Handlungsempfehlungen für Webseitenbetreiber

Rechtsexperten sind sich sicher, dass aktuell keine datenschutzkonforme Nutzung von Google Analytics möglich ist. Ende März 2022 sorgte jedoch eine Pressemitteilung der EU-Kommission und US-Regierung für Aufsehen. Demnach soll es in Form eines „Trans-Atlantic Data Privacy Frameworks“ ein neues rechtskonformes Datenschutzabkommen zwischen der EU und den USA geben. Dieses soll Regelungen zur Begrenzung der Zugriffsrechte amerikanischer Sicherheitsbehörden auf personenbezogene Daten sowie wirksame Verfahren zur Überprüfung der aufgestellten Datenschutzregeln enthalten. Aktuell liegt noch kein Angemessenheitsbeschluss für die USA vor. Es handelt sich vielmehr um eine prinzipielle Einigung und es ist offen, ob tatsächlich eine zufriedenstellende und rechtskonforme Lösung gefunden werden kann.

Bis dahin liegt die Verantwortung für eine rechtssichere Lösung bei den Webseitenbetreibern. Für eine risikofreie Nutzung ist der Wechsel zu einem in der EU ansässigen Tool wie Matomo, Trackboxx oder eTracker empfehlenswert. Es gibt zahlreiche kostenpflichtige, aber auch kostenlose Anbieter, die beim Erfassen, Speichern und Analysieren von Daten die Vorgaben der DSGVO einhalten.

Sollte es zu keiner Einigung zwischen den USA und der EU-Kommission kommen, müssen Webseitenbetreiber in Österreich, die weiterhin Google Analytics nutzen, damit rechnen, dass ihre Webseite wegen rechtswidrigen Verhaltens eingestellt wird.