Frankreich: Google Analytics kann gegen die DSGVO verstoßen

Laut französischer Datenschutzbehörde verstößt Google Analytics unter Umständen gegen die DSGVO, weil es Daten aus der EU in die USA überträgt.

Artikel veröffentlicht am 11. Februar 2022, 10:30 Uhr, Sebastian Grüner

Googles Analytics-Dienst verstößt gegen die DSGVO. (Bild: Justin Sullivan/Getty Images)

Die Nutzung des Statistikdienstes Google Analytics auf Webseiten verstößt in einer bestimmten Umsetzung gegen die Datenschutzgrundverordnung (DSGVO). Das hat die französische Datenschutzbehörde CNIL entschieden, die als besonders einflussreich gilt.

Demnach reichten die von Google getroffenen Vorkehrungen beim Transfer personenbezogener Daten aus der EU in die USA nicht aus, "um die Zugänglichkeit dieser Daten für US-Geheimdienste auszuschließen". Für Nutzer von entsprechenden Webseiten bestehe also ein Risiko, dass eben dieses Weiterreichen der Daten an die US-Geheimdienste geschehe.

Folge des Scheiterns des Privacy Shields

Der Entscheidung vorausgegangen sind mehrere Beschwerden der österreichischen Organisation Noyb von Max Schrems. Der Organisation liegen insgesamt 101 Beschwerden der EU-Staaten sowie Staaten des europäischen Wirtschaftsraums vor. Die Entscheidung der CNIL sei nun in Kooperation mit anderen europäischen Datenschutzbehörden umgesetzt worden. Eine ähnliche Entscheidung hatte zuvor schon die Behörde in Österreich getroffen.

Die nun veröffentlichen Entscheidung selbst ist zwar zunächst nur in Frankreich anwendbar. Es ist aber davon auszugehen, dass eben die Behörden der anderen Staaten zu ähnlichen Ergebnissen kommen dürften. Ziel sei es, "gemeinsam" Schlüsse aus dem Schrems-II-Urteil zu ziehen. Darin hatte im Sommer 2020 der Europäische Gerichtshof (EuGH) den sogenannten Privacy Shield für unzulässig erklärt.

Dienst anpassen und anderen nutzen

Letztlich, so die CNIL, sei der Transfer der Daten derzeit nicht ausreichend geregelt und die Behörde habe die Betreiber der Webseiten aufgefordert, diese in Einklang mit der DSGVO zu bringen. Die Behörde empfiehlt hier die Nutzung von anonymisierten Daten, bei der es eine Ausnahme der Einwilligungspflicht geben könnte, falls gewährleistet sei, dass keine illegalen Übertragungen stattfinden. Ein Evaluationsprogramm der CNIL soll untersuchen, für welche Regelungen dies gilt.

Die betroffenen Webseitenbetreiber haben nun einen Monat Zeit, ihre Webseiten zu ändern. Dies könnte beinhalten, den Einsatz von Google Analytics unter derzeitigen Bedingungen einzustellen oder Werkzeuge zu verwenden, die keine Daten aus der EU heraus übertragen.