Schon wieder ein Urteil im Bereich der DSGVO. Erst letzte Woche ging es um die Google Fonts, auch hier auf dem publishingblog. Jetzt geht’s ans nächste Google Tool: Analytics. Der Website-Statistik-Dienst von Google verstosse gegen die DSGVO.
Die französische Datenschutzbehörde CNIL (Commission nationale de l’informatique et des libertés) ist diese Woche bei einem Urteil zum Schluss gekommen, dass die Verwendung von Google Analytics laut DSGVO illegal ist. Die CNIL hat damit begonnen, förmliche Mitteilungen an Website-Betreiber, die Google Analytics verwenden, herauszugeben.
Dies folgt auf eine ähnliche Entscheidung der österreichischen Datenschutzbehörde vom Januar 2022, die die Verwendung von Google Analytics im Rahmen der Datenschutz-Grundverordnung für illegal erklärt hat.
Was ist das Problem mit Google Analytics?
Aktuell wird bemängelt, dass die Daten, die in Google Analytics gesammelt werden, in die USA gelangen könnten und dadurch auch vom US-amerikanischen Geheimdienst abgefangen werden könnten. Grundsätzlich wäre das Problem also nicht, dass Google die Daten in Amerika auswertet werden. Es geht um die laschen Datenschutzgesetze in Amerika, die den Geheimdiensten zu viel Macht einräumt.
Konkret geht es um Artikel 44, der die Übermittlung personenbezogener Daten in Länder ausserhalb der EU verbietet, sofern das Empfängerland keinen angemessenen Datenschutz nachweisen kann. Die Rechtssysteme bezüglich Datenschutz sind einfach zu unterschiedlich zwischen den USA und der EU. Solange diese Diskrepanz nicht geklärt ist, gilt auch Google Analytics als rechtswidrig.
Warum passiert das ausgerechnet jetzt alles?
Diese Häufung an Fällen und Anklagen, die es aktuell gibt, haben System. Wenn du dich schon länger mit Datenschutz beschäftigst, kennst du vielleicht Max Schrems. Er ist Anwalt und Datenschutzaktivist und das Gesicht der Organisation Noyb. Noyb hat diverse Projekte laufen, die sich dem Datenschutz verschreiben. Dazu gehören auch “strategische Klagen” gegen solche Dienste.
Max Schrems kommentierte das Vorgehen der französischen Aufsichtsbehörde in einer Stellungnahme: “Es ist interessant zu sehen, dass die verschiedenen europäischen Datenschutzbehörden alle zu demselben Schluss kommen: Die Verwendung von Google Analytics ist illegal. Es gibt eine europäische Taskforce und wir gehen davon aus, dass dieses Vorgehen koordiniert ist und andere Behörden ähnlich entscheiden werden.”
Was heisst das für Europa?
Vor einem Monat schon gab es ein Urteil gegen Google Analytics in Österreich. Jetzt folgt Frankreich. Nach diesem Entscheid ist anzunehmen, dass mehrere EU-Länder folgen und denselben Entscheid fällen werden.
Diese Urteile sind die ersten, die auf 101 Beschwerden zurückgehen von Noyb, die in allen EU-Mitgliedstaaten nach der “Schrems II”-Entscheidung eingereicht wurden. “Schrems II” war der Entscheid, der das EU-US-Privacy-Shield im Juli 2020 für ungültig erklärt wurde. Noyb hat also schon lange angekündigt, noch häufiger und strategisch zu klagen, auch gegen Firmen. Eine Taskforce, die man spätestens jetzt ernst nehmen sollte.
Was heisst das für die Web-Welt?
Es wird ein Umbruch stattfinden. Datensparsamkeit wird immer wichtiger. Heisst bei uns in der Praxis bisher auch: Nur ein Tracking einrichten, wenn es auch wirklich genutzt wird. Aber das wird nicht reichen, um DSGVO-kompatibel zu sein.
Kurzfristig ist die Lösung, ein datensparsames Tool zu nutzen. Dazu gehören zum Beispiel Matomo oder auch Friendly.
Mein Senf
Langfristig mache ich mir (persönliche Meinung) Sorgen, wenn ich die aktuelle Situation anschaue. Es geht hier nicht primär um “Datenschutz: Ja oder Nein?”. Es geht hier auch um die gesetzlich und ideologisch immer grösser werdende Entfernung zwischen der EU und den USA. Und das, finde ich, sollten wir nicht kleinreden oder ignorieren.
Besonders als Teil eines Kontinents, der nur wenige richtig erfolgreiche Tech-Konzerne hat, sollte uns diese Entwicklung nicht kaltlassen. Wir sind ein Tech-Importeur, und weit davon entfernt davon, eine Führungsposition zu übernehmen in dieser Branche. Das werden auch bessere Datenschutzverhältnisse nicht lösen. Die EU als Insel, die andere, eigene, Tools nutzt als alle anderen Teile der Welt? Diese Vorstellung gefällt mir nicht, weil sie technisch ein Rückschritt bedeuten würde.
Ich hoffe schwer, dass man sich bald einigen kann, auch bezüglich Privacy Shield zwischen EU und USA. Es geht hier nicht nur um die grossen Tech-Konzerne, die man ganz klar zu Rechenschaft ziehen sollte. Da bin sogar ich dabei! Aber wir treffen mit diesen Urteilen die Falschen. Es geht hier auch um Millionen von Kleinunternehmen, die sich ständig an neue Datenschutz-Begebenheiten anpassen müssen. Wenn “eine Website haben” bald einen Datenschutz-Anwalt erfordert, treffen wir die Falschen. Denn die grossen, umsatzstarken Big Player leisten sich die Anwälte, leisten sich die Entwickler und leisten es sich streckenweise auch, diese Gesetze zu ignorieren.
So weit mein Bauchgefühl und meine ganz undifferenzierte Reaktion auf diese News. Was ist deine Meinung zum Thema? Ich freue mich über eure Kommentare!
PS: Wir werden bald hier auch bloggen über Alternativen zu Google Analytics. Roman und Mark haben da schon was in der Pipeline. Stay tuned!
Über mich
4 Antworten
Ich muss nachhaken: Bezieht sich das Urteil auf G Analytics ganz allgemein oder nur auf jene, die die IP-Adressen vollständig erfassen?
(Mir wurde schon vor 3-4 Jahren geraten, nur den ersten IP-Teil zu verwenden, alles andere ist “personenbezogen”.)
Hi Harald
Danke für deine Frage. Die Anonymisierung der IP-Adressen muss schon eine Weile sein bei Google Analytics. Da geht es aber um die personenbezogenen Daten, die laut DSGVO ja nicht “unnötigerweise” gesammelt werden dürfen.
Was jetzt auf dem Tisch liegt, ist (leider und schon wieder) eine andere Geschichte. Hier geht es um die Weitergabe von Daten (irgendwelchen Daten, auch anonymisierten) an die USA.
Was das jetzt konkret für die Praxis heisst, wird sich sicherlich noch zeigen. Die IP-Anonymisierung ist aber ein Must-have, wie du es schon sagst!
Ich bin mir nicht sicher ob mein Wissensstand hier stimmt. Aber es kann sein, dass Google die Personendaten in den USA anonymisiert. Das würde bedeuten, dass die gesamte IP in die USA wandert und dort auf einem Google-Server gespeichert (und somit bereits verarbeitet) wird um die IP zu anonymisieren.
@Joel
Ah spannend, das könnte sein! Dann wäre das ganze etwas logischer…