Handlungsempfehlungen zur Nutzung von Google Analytics

Gibt es seitens der WKO/Ubit eine Handlungsempfehlung bzgl. der Nutzung von Google Analytics seit der Einstufung als nicht mit der DSGVO vereinbar durch die Datenschutzbehörde?

Antwort WKO:

Unsere Handlungsempfehlung für Unternehmer:innen lautet zu prüfen,

1. ob Google Analytics (GA) auf der Website eingesetzt wird (viele Betreiber:innen wissen das leider nicht)
2. ob GA wirklich benötigt wird oder ob ein einfacher gestricktes Analysetool ebenfalls ausreicht (Alternativen wären z. B. Piwik, Matomo, etc.)
3. wenn GA unbedingt benötigt wird muss jedenfalls
   1. eine Einwilligung für das bloße Setzen des Tools eingeholt werden
   2. die IP-Anonymisierung aktiviert werden
   3. die neuen Standarddatenschutzklauseln abgeschlossen werden (das wird üblicherweise von GA selbst im Rahmen der Nutzungsbedingungen bereit gestellt) und
   4. zusätzliche technische Maßnahmen zur Anonymisierung aktiviert werden, welche GA selbst nicht bereit stellt (hier wird von Technikern serverseitiges Tracking als mögliche Lösung kommuniziert. Der Server darf allerdings nicht wieder auf Seiten Googles liegen, sonst wäre das Problem nur verlagert). 

Offen bleibt, ob eine ausdrücklich Einwilligung zur Datenübermittlung in die USA durch User:innen geholfen hätte, d. h. zusätzlich zu 3.1. wird eine zweite Einwilligung für die Datenübermittlung eingeholt (erste Einwilligung für das Setzen von GA, zweite Einwilligung für die Weitergabe der Daten in die USA). In diesem Fall könnte man sich evtl. Punkt 3.4. (zusätzliche technische Maßnahmen) ersparen.

ABER: Die Datenschutzbehörden haben zu diesem Konstrukt bereits Zweifel geäußert, dass User:innen überhaupt in dieser Breite freiwillig (!) einwilligen können, Daten in ein unsicheres Drittland wie die USA zu übermitteln. Entscheidet man sich dennoch für das 2x-Einwilligungs-Modell muss man sich im Klaren sein, dass es ein Risiko darstellt. D. h. im Klartext: Entweder man investiert in ausreichende technische Maßnahmen oder man geht ein Risiko ein.

Es bleibt die dringende Empfehlung, wenn möglich auf europäische Alternativen umzusteigen und GA nicht zu verwenden, solange Google keine ausreichende DSGVO-Konformität des Tools herstellen kann.

Was ist mit „3.4. zusätzliche technische Maßnahmen“ konkret gemeint?

Antwort WKO:

3.4. ist tatsächlich für den weiteren Einsatz von Google Analytics gemeint. Manche Websitebetreiber:innen wollen keinesfalls andere Anbieter als GA. In diesem Fall müssen alle Informationen, die über das Tool im Netzwerk Googles kombiniert werden könnte, anonymisiert werden, bevor die Informationen an Google übermittelt werden. Technisch empfehlen die meisten Expert:innen „serverseitiges Tracking“, simpel ausgedrückt: Sie schalten eine Art Filter zwischen sich und Google, der die Daten anonymisiert, bevor sie an Google kommen (früher auch Blackbox-Lösung genannt). D. h. die User:innen-Daten werden über die Website erhoben (für das wie bereits ausgeführt die Einwilligung nötig ist), dann werden die Daten anonymisiert und dann erst weitergeleitet.

Nicht perfekt, aber doch recht gut erklärt ist es z. B. hier: https://dr-dsgvo.de/serverseitiges-tracking-was-bedeutet-das-und-wie-sieht-es-mit-dem-datenschutz-aus/. Es gibt auch österreichische Anbieter, welche solche Lösungen (kostenpflichtig) anbieten. 

Der Bescheid der DSB endet mit "Dieser Bescheid ist nicht rechtskräftig." Was bedeutet das, welche praktischen Auswirkungen hat der Bescheid aktuell?

Antwort WKO:

Bescheide der DSB können beim Bundesverwaltungsgericht (BVwG) angefochten werden, was der Bescheidgegner (der Websitebetreiber) auch getan hat, daher ist der Bescheid nicht rechtskräftig. Ob die DSB bei anderen Verfahren abwartet, ist offen. Formal muss sie nicht auf die 2. Instanz warten und kann daher weitere gleichlautende Bescheide ausstellen, wovon auszugehen ist. Es sind auch Strafbescheide möglich – im Übrigen auch in diesem Fall, wir wissen nur noch nicht, ob ein Strafverfahren eingeleitet wurde.

Aufgrund der formal und inhaltlich sehr guten Ausgestaltung des Bescheides wird von Expertenseite zudem nicht davon ausgegangen, dass beim BVwG eine abweichende Entscheidung getroffen wird. Dies auch deshalb, da der Bescheid der DSB auf EU-Ebene im Europäischen Datenschutzausschuss (EDSA) mit den anderen Aufsichtsbehörden abgestimmt wurde und weitere europäische Datenschutzbehörden bereits ähnlich lautende Entscheidungen angekündigt haben. Wir rechnen mit baldigen Veröffentlichung innerhalb der nächsten Tage oder Wochen. Mit der Entscheidung beim BVwG wird nicht vor einem halben Jahr gerechnet werden können.

Würde ich die Entscheidung der DSB inhaltlich in Zweifel ziehen, würde meine Empfehlung lauten, abzuwarten. Das ist allerdings nicht der Fall. Die Entscheidung war plausibel und nicht überraschend, daher rate ich Ihnen bzw. ihren Kund:innen nicht auf die Entscheidung des BVwG zu warten. Die Nutzung von Google Analytics und im Übrigen auch anderer Tools auf Websites (Social Media Verknüpfungen wie Plugins), die einen Datenverkehr in die USA veranlassen, ist bereits seit 2020 und der Entscheidung des Europäischen Gerichtshofs (Schrems II vgl auch https://www.wko.at/service/wirtschaftsrecht-gewerberecht/EU-US-Privacy-Shield.html) offiziell unzulässig geworden und kann nur mehr in Ausnahmefällen gerechtfertigt werden (zur Einwilligung via Cookie-Banner oder 2-Klick-Lösung haben wir bereits geschrieben). Das wurde auch bereits seit 2020 kommuniziert, aber größtenteils ignoriert. Die Entscheidung der DSB ist nun eigentlich nur die formal erste österreichische Entscheidung. In anderen EU-Mitgliedstaaten, wie z. B. Deutschland, ist diese Vorgehensweise bereits Usus.