Das Google Analytics Dilemma

Die österreichische Aufsichtsbehörde DSB nennt den Einsatz von Google Analytics rechtswidrig - Was bedeutet das für Unternehmen in Europa und im Speziellen in Deutschland.

Es ist ja nichts Neues – eigentlich…

Der Wegfall des Privacy Shields

Das Abkommen „Privacy Shield“ war der Nachfolger vom „Save Harbour“-Abkommen und sollte den Datentransfer in die USA regeln. Fehler im Abkommen und die DIFFERENZ zum Europäischen Datenschutz aber vor allem der CLOUD-Act führten zu diesem Urteil. Das ist sicher eine sehr oberflächliche Darstellung des Sachverhaltes, trifft aber den Kern.

Die Google-Analytics-Problematik erzeugt bei uns Datenschutzbeauftragten ein lachendes und ein weinendes Auge. Zum einen hat der Aktivist Max Schrems sicher einen guten und wichtigen Vorstoß hinsichtlich er Betroffenenrechte der Besucher von Webseiten getan. Das kann für unsere Berufsgruppe nur gut sein.

Andererseits hat dieses EuGH-Urteil eine Last für die Webseitenbetreiber, die viele noch gar nicht realisiert haben und die potenziell gefährlich in Bezug auf einen sich dadurch entstehenden Schaden für das Unternehmen ist. Und das betrifft leider nicht nur den Betrieb der Webseite sondern sämtliche Dienste, die ihren Ursprung oder ihre Heimat in den USA haben

Der Hauptschwerpunkt der Kritik durch Max Schrems liegt hierbei im Cloud-Act.

Doch was ist denn nun dieser Cloud Act?

Zunächst sei gesagt, dass das Wort CLOUD im Namen primär nichts mit den Datenablagen (Cloud) zu tun hat sondern für „Clarifying Lawful Overseas Use of Data Act“ steht.

Hierüber schreibt Wikipedia recht verständlich:

„Das Gesetz verpflichtet amerikanische Internet-Firmen und IT-Dienstleister, US-Behörden auch dann Zugriff auf gespeicherte Daten zu gewährleisten, wenn die Speicherung nicht in den USA erfolgt.

Umgekehrt können über diesen Weg auch ausländische Firmen Zugriff auf Daten erhalten, die von US-Konzernen im Ausland gespeichert werden. Infolge des Gesetzes sollen bilaterale Abkommen ausgearbeitet werden, die es ausländischen Behörden ermöglichen, ihre Anfragen direkt an die Konzerne zu stellen. Hiermit würde eine gerichtliche Kontrolle bei einer Abfrage außen vor bleiben, was zu Kritik durch Datenschützer geführt hat.“

Das Urteil steht jetzt erstmal für sich. Dabei ist allerdings zu beachten, dass die damals untersuchte Webseite – die Untersuchung liegt mehr als 1 Jahr zurück – die Anonymisierung nicht aktiviert hatte und auch im Cookiebanner Google Analytics (GA) nicht genannt wurde.

Was ist zu tun?

Es ist mit datenschutzfreundlichen Einstellungen, der ausführlichen bzw. ausreichenden Darstellung des berechtigten Interesses der verantwortlichen Person als auch der korrekten Konfiguration eines datenschutztauglichen Cookiebanners möglich, diesen Dienst zu nutzen. Wir weisen unseren Kunden natürlich auch regelmäßig auf Alternativen hin.

Viel interessanter ist jedoch die Frage WARUM Google Analytics (GA)in die Webseite eingebunden ist und ob dieses Tool überhaupt von Marketing und Geschäftsführungen genutzt werden. Wir haben in den meisten Fällen oftmals die Antwort bekommen, dass die Analysen aus GA „derzeit“ nicht verwendet werden, aber „es könne schon sein, dass man das in Zukunft vielleicht machen werde“.

In einigen Fällen waren die Verantwortlichen gar nicht im Bilde, dass GA überhaupt genutzt wird bzw. hatten keine Kenntnis darüber, dass dieser Dienst neben einigen anderen Diensten von Google und anderen Drittlandsempfängern auf der eigenen Unternehmenswebseite integriert ist.

In solchen Fällen heißt es dann von uns: Weg damit!

Hier lässt man Webdesigner oftmals freie Hand bzw. setzt aus Kostengründen auf die Inhouse-Kompetenzen von Mitarbeitern/innen, die mit gefährlichem Halbwissen wenig Einblick haben, was sie da alles auf der Webseite „anstellen“.

Beispiel hierfür: ein YouTube-Video wird auf der eigenen Webseite per Embedded Link eingebunden. Das führt dazu, dass insgesamt 3 Dienste urplötzlich und ohne Zutun fortan Daten an Google senden. Das ist Google, GoogleFotos und eben YouTube. Entfernt man das Video wieder, verbleiben immer noch die beiden anderen Dienste.

Unser Tipp

Geben Sie die Betreuung der Webseite in vertrauensvolle Hände. Akzeptieren Sie, dass eine gute Webseite gutes Geld kostet. Machen Sie sich auch Gedanken darüber, wie der ROI (Return of Invest) und die Gefahr eines Schadens (z.B. Sanktionen durch die Aufsichtsbehörden) ausschauen würden. Betreiben sie eine Risikoabschätzung und vergeben Sie danach das Ganze an Profis.

Das allerwichtigste ist jedoch: Schalten Sie ihre/n Datenschutzbeauftragte/n ein. Diese Person hat dann hoffentlich Erfahrung in der Analyse von Webseiten und kann die Sache kontrollieren und bei Abweichung eingreifen.

Haben sie das nicht oder sie benötigen hierzu Hilfe fragen Sie einfach uns. Wir machen das einfach für Sie.

Wir haben sowohl bei der Analyse als auch bei Datenschutzinformationen Cookiebanner interessante Angebote. Auch die Beurteilung von Dienstleistern im Bereich der Webseiten-Agenturen helfen wir gerne und stimmen dann auch gerne direkt mit dem Dienstleister die erforderlichen Änderungen ab. So haben sie den Kopf frei für Aufgaben, mit denen Sie ihr Geld verdienen.

Sehen Sie: wir sind Teil Ihrer Wertschöpfungskette!

Fazit

Für den einen ein „Segen“ für die andern ein Desaster, betrifft diese Angelegenheit doch nicht nur Webseiten sondern alle anderen Dienste wie AWorks, Monay, Microsoft365, Zoom usw. die alle ihre Heimat in den USA haben. Zwar kann man in den Einstellungen datenschutzfreundlich oftmals den Speicherort einstellen, doch das ist oftmals eher Kulisse und selten bekannt. Da müssen unter Umständen Experten ran. Ihr IT-Dienstleister weiß in aller Regel, wie das geht.

Dieses Urteil trifft vor allem Unternehmen, die Menschen (also Betroffene) beschäftigen und mit Ihrem Unternehmen an der gesellschaftlichen Entwicklung unseres Landes beitragen.

Das darf man niemals aus dem Fokus verlieren und man muss die Kirche im Dorf lassen.

Das sehen auch Aufsichtsbehörden so.

Glaubhaft wird ein bestimmtes Handeln eines Verantwortlichen gegenüber Aufsichtsbehörden dann, wenn er die Nutzung eines US-amerikanischen Dienstes dokumentiert. Das geht am besten mit einem erfahrenen Partner wie uns an Ihrer Seite.

Wir scheuen den Kontakt zu Aufsichtsbehörden nicht und haben in unserem Netzwerk fruchtbare Kontakte, die so manche Verarbeitung, die zunächst unmöglich erscheint, nach unserem Ansatz – nach unserer Arbeit – wieder möglich machen.

Lassen Sie uns darüber reden!

Wir machen das einfach für Sie!

[Evers - 28.01.2022]
aufgaben

AV-Vertrag: Der richtige Inhalt AV-Vertrag – diese Abkürzung hat sich manifestiert und steht grunsätzlich für „Vereinbarung zur Auftragsverarbeitung nach Artikel 28 der …

Voriger Nächster Da ist wohl was schief gegangen… Die Geschichte von Walter K. und dem Thema Datenschutz. Im August 2018 war sich …

Voriger Nächster Walter K. hat seit gestern ein riesiges Problem Seine Firma wurde angegriffen. Alle Daten sich verschlüsselt. Gibt es eine Datensicherung …

Voriger Nächster 100 Euro für die Katz… Walter K. hat mal wieder ein Problem. Dieses mal betrifft das Problem seine Webseite. Er …

Voriger Nächster Es kann ganz schnell gehen Cyberbedrohungen haben derzeit den höchsten Stand erreicht! Die “Einschläge” kommen näher. Nahezu täglich melden sich …

Voriger Nächster Schwachstellen sind Betriebsgeheimnisse Sie sollten allerdings mit den Richtigen darüber reden! Haben Sie das schon mal testen lassen? Was kam …

Voriger Nächster Albtraum Cyberangriff Oft passiert es im Hintergrund und die Wurzeln des Übels wurden vor Monaten platziert Die Kunst in einem …

Schild

Datenschutz wird im Unternehmen nicht für die Aufsichtsbehörden umgesetzt sondern für die betroffenen Personen, deren Daten man verarbeitet. Datenschutz ist das Recht …

gluebirne

Etliche Unternehmen jedweder Größe betrachten Datenschutz bisher als Ablasshandel. Da hat man dann aber schnell die Rechnung ohne den Wirt gemacht! Denn …

Haben Sie schon gehört, gelesen oder es hat Ihnen jemand erzählt?  Seit dem 20.01.2022 hat jeder, der Ihre Webseite besucht, oftmals einen …

Benutzer

Betroffene Personen haben das Recht, ihre Einwilligung in die Verarbeitung ihrer Daten zu widerrufen (Recht auf Widerruf der Einwilligung). Vor der Abgabe …

Benutzer

Wenn nicht richtige Daten zu einer Person verarbeitet werden, so kann deren Berichtigung verlangt werden. Unvollständige Daten müssen unter Berücksichtigung des Zwecks …

Benutzer

Wenn bestimmte Löschgründe vorliegen, so hat der Betroffene einen Anspruch auf die Löschung (Recht auf Löschung) der personenbezogenen Daten. Dies ist insbesondere …

Benutzer

Mit dem Recht auf Einschränkung der Verarbeitung können Betroffene unter bestimmten Voraussetzungen erreichen, dass ihre personenbezogenen Daten beim für die Verarbeitung Verantwortlichen …

Benutzer

Betroffene haben das Recht, die eigenen Daten von einem Verantwortlichen zu einem anderen Verantwortlichen zu übertragen. Zu diesem Zweck muss der Verantwortliche …

Benutzer

Betroffene haben ein Recht auf Widerspruch auch gegen rechtmäßige Datenverarbeitungen, die im öffentlichen Interesse liegen, in Ausübung öffentlicher Gewalt oder aufgrund des …

Benutzer

Die Verarbeitung von personenbezogenen Daten kann Menschen in vielerlei Weise betreffen. Diese Rechte “Betroffenenrechte” sind ein Kernbestandteil der DSGVO. Um diese Rechte …

Benutzer

Betroffene dürfen einer rein automatisierten Entscheidung – einschließlich Profiling – nicht unterworfen werden, wenn diese rechtlich relevant ist oder erheblich Beeinträchtigung bedeutet. …

gluebirne

Viele Unternehmen fragen sich, ob sie einen Datenschutzbeauftragten bestellen müssen. Alle Informationen zur Bestellpflicht Sehen Sie im folgenden Video einfach und nachvollziehbar, …

aufgaben

Wer muss einen Datenschutzbeauftragten bestellen? Die Pflicht zur Bestellung eines Datenschutzbeauftragten trifft nach DSGVO vorrangig Behörden und öffentliche Stellen. Aber auch Unternehmen deren Kerntätigkeit in der besonders umfangreichen Verarbeitung personenbezogener Daten …

information

“privacy by design” und “privacy by default” … zwei Formulierungen, die Ihnen immer wieder unterkommen. Die “datenschutzfreundliche Technikgestaltung” und die  “datenschutzfreundliche Voreinstellungen” …

recht

Für den IT-Dienstleister, der dem Kunden beratend und umsetzend zur Seite steht, ergibt sich aus dieser “Symbiose” ein ernsthafter Interessenskonflikt Der IT-Dienstleister …

information

Nach der Datenschutzgrundverordnung ist die Verarbeitung personenbezogener Daten nur dann rechtmäßig, wenn eine der sechs in Art. 6 Abs 1 DSGVO aufgeführten …

information

…und was nutzt mir dieses Audit? Beim Datenschutzaudit handelt es sich um eine Prüfung, inwieweit die Umsetzung der Datenschutzbestimmungen in einem Unternehmen …

information

Was sind denn überhaupt personenbezogene Daten und für wen gelten diese? “Personenbezogene Daten” sind alle Informationen, die sich auf eine identifizierbare oder …

internet

§Trittbrettfahren auf miese Weise. 100 € für einen Webseitenbesuch Viele Kunden von uns erhalten derzeit Briefe, in denen Sie aufgefordert werden, 100€ …

information

Die Rolle des Verantwortlichen in der DSGVO! Wer ist für den Datenschutz im Unternehmen verantwortlich? Die Regelungen der Datenschutzgrundverordnung (DSGVO) richten sich …

recht

Bei einer Datenschutzpanne erhalten nicht Berechtigte Zugriff auf Daten. Durch diesen Zugriff werden Betriebsgeheimnisse und/ oder personenbezogene Daten Unberechtigten bekannt. Im weiteren …

aufgaben

Die Aufgaben, Befugnisse, Zuständigkeiten, Zusammenarbeit und Unabhängigkeit der Aufsichtsbehörden sind in der Datenschutz-Grundverordnung geregelt: Kapitel VI | Kapitel VII Die Hauptaufgabe ist es, die Einhaltung der …

aufgaben

Eine wichtige Grundlage von Unternehmenserfolg und vom Datenschutz sowie der IT-Sicherheit sind aktive und gesunde Mitarbeiterinnen und Mitarbeiter. Die Erfüllung der Auskunftspflicht …

internet

Die “digitale Sorglosigkeit” im Umgang mit amerikanischen Softwareplattformen. Eine wichtige Information für alle die, die ihre Onlinepräsenz durch Die Nutzung von Diensten …

internet

Datenschutz im wahren Leben “Dürfen Sie beim Bäcker oder Metzger oder gar beim Arzt mit Ihrem Namen angesprochen werden?” Das Inkrafttreten der …

Der Datenschutz gilt ausschließlich für Daten natürlicher Personen. Diese personenbezogenen Daten verarbeiten Sie auf Grundlage eines "Erlaubnisvorbehaltes". Das heißt auf Deutsch, dass Sie einen Grund haben, diese Daten zu verarbeiten. Haben Sie keinen Grund, keinen Zweck definiert, der es Ihnen erlaubt, diese Daten von Menschen zu verarbeiten, ist die Verarbeitung unzulässig und damit verboten!

Auch wenn wir diese Anglizismen wie in diesem Falle das Wort “relauncht” nicht so unbedingt mögen und gerne auf einer sprachlichen Ebene …

internet

Die österreichische Aufsichtsbehörde DSB nennt den Einsatz von Google Analytics rechtswidrig – Was bedeutet das für Unternehmen in Europa und im Speziellen in …