Neben der Aufsichtsbehörde in Österreich, hat jetzt auch die französische Datenschutzbehörde (CNIL) im Januar 2022 die Anwendung von Google Analytics als nicht DGSVO-konform bewertet. Auch die niederländische Behörde prüft aktuell, wie sie zu dem Google-Analyse-Tool steht.
Österreich bezieht sich bei seiner Bewertung auf die Argumentation des EUGH zu Schrems II: Die Maßnahmen von Google reichten nicht aus, um die Nutzerdaten hinreichend zu sichern, denn in den USA gäbe es kein gesichertes Datenschutzniveau: US-Geheimdienste könnten auf Daten von Nutzern in der EU zugreifen, diese könnten sich nicht dagegen wehren.
Die deutschen Behörden haben sich zuletzt im Mai 2020 zu dem Thema ausgelassen: Hinweise zum Einsatz von Google Analytics. Der Einsatz von Google Analytics wurde dort als zulässig erachtet, wenn man die IP-Adresse verkürzt, also pseudonymisiert, und ein effektives Cookie-Consent-Tool implementiert. Hinsichtlich der Beziehung zwischen Webseitenbetreiber und Google stellt die Datenschutzkonferenz (DSK) auf „Gemeinsame Verantwortlichkeit“ (Art. 26 DSGVO) ab. Die Übermittlung von Daten in die USA war kein Thema bei der DSK, der Beschluss ist auch vor der EuGH-Entscheidung erfolgt. Man muss aber sagen, dass eine wirksame EInwilligung gemäß Art. 49 Abs. 1 lit. a DSGVO die Datenübermittlung in unsichere Drittländer erlaubt.
Übrigens die kostenpflichtige Lizenzversion GA 360 hat keine datenschutzrelevanten Vorteile gegenüber dem kostenlosen Analyse-Tool, was aber das Risiko dadurch erhöht.
