Erste Millionenstrafe wegen Nutzung von Google Analytics für Onlinehändler

Die schwedische Datenschutzbehörde IMY   verhängte eine Geldstrafe in Höhe von 12 Millionen Schwedischen Kronen (SEK = 1 Millionen Euro) gegen den Telekommunikationsanbieter Tele2 und 300.000 SEK gegen den Online-Händler CDON wegen der Verwendung von Google Analytics auf ihrer Website. Obwohl viele andere europäische Behörden (zum Beispiel Österreich, Frankreich und Italien) bereits festgestellt haben, dass die Verwendung von Google Analytics gegen die Datenschutz-Grundverordnung verstößt, ist dies die erste Geldstrafe, die gegen Unternehmen wegen der Verwendung von Google Analytics verhängt wird, trotz der Urteile des EuGH zur Datenübermittlung zwischen der EU und den USA.

EuGH hatte 2020 festgestellt, dass Datenübermittlungen zwischen der EU und den USA in den meisten Fällen illegal sind. Angesichts der umfangreichen Überwachungsmöglichkeiten der US-Regierung seien Datenübertragungen illegal. Dennoch nutzen viele EU-Unternehmen weiterhin die Dienste von Daten speichernden US-Unternehmen wie Google  . Viele Unternehmen ignorieren diese Urteile jedoch weiterhin und berufen sich auf Klagen über "ergänzende Maßnahmen" und sogenannte Standardvertragsklauseln ("SCC"). die Datenschutzorganisation Noyb   hatte im Jahr 2020 101 Beschwerden gegen Nutzer von Google- und Facebook-Diensten in praktisch allen EU-Mitgliedstaaten eingereicht.

Seitdem haben bereits andere europäische Datenschutzbehörden festgestellt, dass die kontinuierliche Nutzung von Google Analytics gegen EU-Recht verstößt. Doch Strafen wurden bislang nicht ausgesprochen. Das schwedische IMY ist nun die erste Datenschutzbehörde, die nicht nur feststellte, dass die Übermittlungen rechtswidrig sind, und anordnete, sie zu stoppen, sondern auch eine (hohe) Geldstrafe gegen zwei Unternehmen verhängte: Tele 2 (ein schwedisches Telekommunikationsunternehmen) und CDON (ein schwedischer Online-Händler). Zwei andere Unternehmen (Coop und Dagens Industri) kamen ohne eine Strafe davon.

Das IMY betont in seiner Stellungnahme, dass die so genannten "ergänzenden Maßnahmen" nicht ausreichend waren. Google hat die geschäftlichen Nutzer in der EU bisher größtenteils auf diese Maßnahmen verwiesen, um angeblich Unzulänglichkeiten im US-Recht zu beheben. Dies wurde zurückgewiesen. Die EU und die USA haben ein neues Abkommen für das Frühjahr 2022 angekündigt. Bislang ist es noch nicht fertiggestellt, soll aber noch in diesem Monat veröffentlicht werden. Sollte das neue Abkommen strukturell dasselbe sein wie zwei frühere Abkommen, ist es sehr wahrscheinlich, dass der EuGH es erneut annullieren wird.

Piotr Korzeniowski, CEO des in Europa ansässigen Google-Analytics-Konkurrenten Piwik PRO   wittert jetzt natürlich Morgenluft. Das Kippen des Privacy-Shield-Abkommen zwischen der EU und den USA durch den EuGH ändere die Ausgangslage für europäische Unternehmen und Organisationen, die Google Analytics einsetzen, "radikal".

Korzeniowski erkennt hier - natürlich - eine große Chance für den europäischen Datenschutz: "Die Tatsache, dass die schwedische Datenschutzbehörde nun ihre Meinung zu Google Analytics veröffentlicht hat, unterstreicht nur, wie entscheidend die lokale Datenspeicherung in der EU künftig sein wird. Der Datenschutz ist heute einer der wichtigsten Entwicklungsbereiche im Web, daher begrüßen wir diese Entscheidung sehr".

Nach Ansicht von Piwik PRO gilt die Entscheidung der IMY sowohl für die beliebte Analyseplattform Google Analytics 3, die im Juli 2023 abgeschaltet wurde, als auch für deren Nachfolger Google Analytics 4, da die US-Datengesetze keinen angemessenen Schutz für personenbezogene Daten bieten, die in die USA oder an US-Unternehmen übermittelt werden.