Die österreichische Datenschutzbehörde weist selbst auf die Problematik in Zusammenhang mit Google Analytics hin.
Die Datenschutzbehörde hat den oben dargestellten Hinweis auf der Website veröffentlicht, und beschreibt im ersten Absatz Google Analytics und die Datenübermittlung des "digitalen
Fußabdruck" in die USA.
Aufgrund der Rechtslage in den USA ist ein Zugriff der US-Behörden auf die übermittelten Daten möglich, ohne dass betroffene Personen über ausreichende Möglichkeiten zur Durchsetzung der Rechte als betroffene Person verfügen.
"Die Datenschutzbehörde hat daher mit Bescheid festgestellt, dass Website-Betreiber das Tool Google Analytics (jedenfalls auf Grundlage des im Bescheid festgestellten Sachverhalts) nicht in Einklang mit der DSGVO einsetzen können. Dieser Bescheid ist nicht rechtskräftig."
Fazit:
Der Einsatz von Google Analtics (und auch ähnlicher Tools) sollte mE überdacht werden. Es besteht Handlungsbedarf
für die Unternehmen, die auf der Website Cookies zum Tracking einsetzen.
Alternativen zu Google Analytics?
Wenn zB die Daten vom Verantwortlichen nur erhoben werden, um diese einmal im Monat anzusehen,
und einzusehen, wieviele Personen die Website besucht haben, und welche Teile der Website für die User besonders interessant sind, dann gibt es Alternativen zu Google Analytics.
Einwilligung?
In vielen Unternehmen ist zB Google Analytics auf der Website installiert, ohne dass - und das war auch Thema in der Entscheidung - eine ausdrückliche "Einwilligung" iSd Art 49 Abs 1 lit a DSGVO mit einem ausreichenden Risikohinweis auf das nicht angemessene Datenschutzniveau im Drittland für den internationalen Datenverkehr eingeholt wird.
Ob eine Einwilligung eine taugliche (Recht-)Grundlage für die Datenübermittlung ist, wurde im (Teil-)Bescheid der DSB nicht behandelt, und ist aufgrund der Auslegungen durch den Europäischen Datenschutzausschuss (EDSA), der insbes. darauf verweist, dass die Überschrift von Art 49 DSGVO "Ausnahmen für bestimmte Fälle" lautet, dies nicht für dauerhafte Übermittlungen anwendbar sein kann, nicht geklärt bzw. fraglich. Mit dieser Frage haben wir uns bereits in einem früheren Blogartikel zu Schrems II auseinandergesetzt.
Unser Hinweis zum Thema:
Wer angesichts der Entscheidung keine Handlungen setzt, und Google Analytics (ohne Einwilligung und ohne Hinweis) auf der Website weiterhin einsetzt, oder sich keine Alternativen überlegt, steht mE in der "Auslage" und es könnte sein, dass - zB aufgrund einer Beschwerde bei der DSB oder eines Hinweises eines Mitbewerbers - auch Verwaltungsstrafen oder zB Anordnungen, dass diese Verarbeitung zu unterbleiben hat und auch die bisher erhobenen Daten zu löschen sind, ausgesprochen werden.
Kommentar schreiben