Jusletter IT

Am 14. August 2020 besuchte die betroffene Person eine von einem österreichischen Unternehmen betriebene Website zu Gesundheitsthemen. Dabei war die Person in ihrem persönlichen Google-Konto angemeldet, was es Google erlaubte, die Person u.a. anhand der von der Betreiberin übermittelten IP-Adresse zu identifizieren. Die Website verwendete Google Analytics.

Die Betreiberin der Website und Google hatten die sogenannten «Standardvertragsklauseln» der Europäischen Kommission als Mechanismus für die Übermittlung personenbezogener Daten vereinbart, welche der EuGH im genannten Schrems-II-Urteil² als ungenügend zum Schutz personenbezogener Daten bezeichnet hatte: Der Verantwortliche müsse neben den Standardklauseln, die nur vertragliche Wirkung haben, aber nicht die Behörden des Ziellandes binden, zusätzliche Sicherheitsvorkehrungen ergreifen (wie Verschlüsselung), um die Einhaltung des hohen europäischen Datenschutzniveaus zu gewährleisten.³

Die dsb stellte fest, dass die zwischen den Beschwerdegegnerinnen geschlossenen Standardklauseln kein angemessenes Schutzniveau böten, weil Google als «Anbieterin elektronischer Kommunikationsdienste» gemäss 50 U.S. Code § 1881(b)(4) der Überwachung durch US-Geheimdienste unterliege. Die von den Beschwerdegegnerinnen getroffenen zusätzlichen Sicherheitsvorkehrungen seien unzureichend, weil sie den Zugriff der US-Geheimdienste auf die personenbezogenen Daten der betroffenen Person nicht verhinderten.⁴

Der Entscheid der französischen CNIL wurde in vergleichbarer Weise begründet: Zwar habe Google zusätzliche Vorkehrungen zur Regelung der Datenübermittlung im Zusammenhang mit der Google-Analytics-Funktionalität ergriffen, doch reichten diese nicht aus, um den Zugriff der US-Geheimdienste auf diese Daten auszuschliessen.⁶

Auch der EDÖB verlangt seit dem Schrems-II-Urteil organisatorische und technische Massnahmen, welche ausländische Behördenzugriffe auf die übermittelten Personendaten im Zielland faktisch verhindern.⁷ Nachdem sowohl die französische als auch die österreichische Datenschutzbehörde keine ausreichenden zusätzlichen Vorkehrungen für einen Betrieb von Google Analytics erkennen konnten, ist zu erwarten, dass der Einsatz der Software auch hierzulande problematisch ist.

Zur Risikominimierung empfehlen wir den Betreiberinnen von Websites mittlerweile, nach Möglichkeit auf den Einsatz von Google Analytics zu verzichten und auf eines der diversen alternativen Tools zurückzugreifen. Zu nennen sind etwa Matomo, Open Web Analytics oder AWStats.⁸ Dies daher, weil davon auszugehen ist, dass der behördliche Druck auf die Nutzer von Google Analytics weiter steigen wird, was mit einem Bussenrisiko einher geht. Dies gilt auch für die Schweiz, wo seit September 2023 das neue Datenschutzgesetz gilt.

Will ein Unternehmen nicht auf Google Analytics verzichten und nimmt die entsprechenden Risiken bewusst in Kauf, so ist in jedem Fall die Datenschutzerklärung entsprechend anzupassen und eine ausreichende Einwilligung des Besuchers der Website zur Verwendung von Google Analytics einzuholen: Die üblichen Cookie-Hinweise (womöglich verschleiert mit Bildchen von Süssigkeiten o. dgl.) genügen dabei oftmals nicht, u.a. deshalb, weil nicht ausreichend klar gemacht wird, dass Cookies Verfolgung im Netz mit sich bringen, und zwar möglicherweise auch durch ausländische Behörden.

Auch die blosse Verlinkung der Opt-Out-Funktion von Google in der Datenschutzerklärung ist als Einwilligung sodann offensichtlich nicht ausreichend, wäre diese Einwilligung doch vor dem Datentransfer einzuholen.

Ferner sind die rechtsgenüglichen vertraglichen Grundlagen mit Google sicherzutellen (Abschluss der aktuell gültigen EU-Standardklauseln) und Google Analytics ist möglichst datenschutzfreundlich zu konfigurieren (Anonymisierung der IP-Adresse [in Google Analytics 4 vorgabemässig eingeschaltet] sowie Minimierung der Aufbewahrungsdauer der Daten).