Die Datenschutzstelle (DSS) hat bereits in ihrem Tätigkeitsbericht 2020 auf die datenschutzrechtliche Problematik hinsichtlich des Einsatzes des Webanalyse-Werkzeugs von Google – Google Analytics – hingewiesen. Seit dem Schrems II-Urteil des Europäischen Gerichtshofs (EuGH) vom 20. Juli 2020 erachtete die DSS es als schwierig, den mit Google Analytics verbundenen personenbezogenen Datentransfer in die USA zu rechtfertigen. Selbst wenn die oftmals zitierte Anonymisierung der IP-Adressen seitens des Webseitenbetreibers implementiert ist, werden weiterhin personenbezogene Daten an Google übermittelt, wie mehrere aktuelle Entscheidungen europäischer Datenschutz-Aufsichtsbehörden aufzeigen.
Diese europäischen Entscheidungen basieren auf den europaweiten 101 Beschwerden des bekannten Juristen Max Schrems im Zusammenhang mit Google Analytics. Auch gegen drei Liechtensteiner Unternehmen bzw. Institutionen reichte er Beschwerden bei der DSS ein. Aufgrund der guten Kooperation der betroffenen Unternehmen und der schnellen Abschaltung von Google Analytics wurden die Beschwerden vom Beschwerdeführer zurückgezogen. Kurz nachdem in Liechtenstein die Beschwerden zurückgezogen worden sind, wurde auf europäischer Ebene eine Taskforce ins Leben gerufen, um eine koordinierte rechtliche als auch technische Untersuchung hinsichtlich Google Analytics durchführen zu können. Die Erkenntnisse dieser Taskforce dienen nun als Basis für die Entscheidungen der Datenschutzbehörden. Die österreichische Datenschutzbehörde (DSB) hat etwa im Januar 2022 einer Beschwerde in Bezug auf "eine Verletzung der allgemeinen Grundsätze der Datenübermittlung gemäss Art. 44 DSGVO" im Zusammenhang mit Google Analytics stattgegeben. Eine weitere Entscheidung der DSB folgte im April 2022. Konkret schreibt die DSB in ihrer Begründung, dass mit Google abgeschlossenen Standardvertragsklauseln kein angemessenes Schutzniveau bieten, um die Überwachungs- und Zugriffsmöglichkeiten durch US-Nachrichtendienste zu beseitigen. Ebenso seien die gegenständlichen „zusätzlichen Massnahmen“ nicht effektiv, um die vom EuGH in Schrems II aufgezeigten Rechtsschutzlücken – also die Zugriffs- und Überwachungsmöglichkeiten von US-Nachrichtendiensten – zu schliessen.
Die französische Datenschutzbehörde (CNIL) hat ebenfalls auf Basis der Beschwerden von Max Schrems eine ähnliche Entscheidung gegen einen Webseitenbetreiber gefällt. Im Juli 2022 folgte eine Entscheidung der italienischen Behörde, die zum selben Schluss kommt. Weitere Entscheidungen in den 101 Beschwerden sind demnächst von anderen europäischen Datenschutzbehörden zu erwarten. Aufgrund der koordinierten Vorgehensweise ist anzunehmen, dass die Entscheidungen ebenfalls gegen den Einsatz von Google Analytics ausfallen werden. Bis anhin haben die Datenschutzbehörden auf Bussen verzichtet. Dies könnte sich jedoch in Zukunft rasch ändern.
Die DSS fordert deshalb die Verantwortlichen auf, datenschutzkonforme Webanalyse-Werkzeuge einzusetzen, falls eine Datenschutzkonformität mit Google Analytics nicht erreicht werden kann.
(Text in ähnlicher Form erstmals publiziert im Liechtensteiner Volksblatt am 3. März 2022)