Wer Google Analytics einsetzt, sollte nach den bisherigen Empfehlungen der deutschen Datenschutzbehörden einen Standardvertrag zur Auftragsdatenverarbeitung schließen. Der Hamburgische Datenschutzbeauftragte meldet, dass diese Empfehlung jetzt überprüft wird. Der Grund: Der Vertrag stützt sich auf das Safe Harbor-Abkommen.

Die deutschen Datenschützer beobachten das auf zahlreichen Webseiten verwendete Analysetool von Google schon seit längerem. Sie empfahlen Webseiten-Betreibern vor einigen Jahren einen standardisierten Vertrag zur Auftragsdatenverarbeitung mit Google zu schließen, um dem deutschen Datenschutz zu entsprechen.

Überprüfung des Vertrages zur Auftragsdatenverarbeitung
Anfang Juni hat Hamburgs Datenschutzbehörde bekannt gegeben, dass diese Empfehlung derzeit überprüft und eventuell überarbeitet wird. Auch sei man in Gesprächen mit Google.
Der Grund für die Überprüfung ist eine Bestimmung des standardisierten Vertrages , den Google anbietet, der unter Ziffer 4.7 der Anlage 1 „Regelungen zur Auftragsdatenverarbeitung“ der Google Analytics-Bedingungen festlegt, dass Kundendaten von Google erfasst und gespeichert werden. Dabei sei Google an die US Safe Harbor-Grundsätze zum Schutz der Privatsphäre gebunden.
An dieser Bestimmung stoßen sich die Datenschutzbeauftragten. Grund ist das Urteil des Europäischen Gerichtshofs, das eine Datenübertragung in die USA auf Grundlage dieses Abkommens für rechtswidrig erklärt hat. Dieses Urteil hat bereits für viel Aufsehen gesorgt und zum Entwurf des EU-US-Privacy Shield geführt.

Was bedeutet dies für den Einsatz von Google Analytics?
Darf Googles Analysedienst also nun nicht mehr eingesetzt werden? Der Hamburgische Datenschutzbeauftragte hat jedenfalls die früheren Empfehlungen bereits von seiner Webseite genommen. Er verfolgt auch immer wieder Unternehmen, die ihre Datenübertragung weiterhin auf das Safe Harbor-Abkommen stützen. Zuletzt ergingen mehrere Bußgeldbescheide gegen Unternehmen mit Sitz in Hamburg, die teilweise von den betroffenen Unternehmen akzeptiert wurden.

Hamburgs Datenschutzbehörde hat aber keine Empfehlungen an Webseitenbetreiber abgegeben – auch nicht, dass Google Analytics nicht mehr genutzt werden darf. Es ist auch nicht bekannt, dass andere Datenschutzbehörden hierzu neue Vorgaben veröffentlicht haben. Deshalb ist davon auszugehen, dass der Dienst vorerst weiter eingesetzt werden darf. Webseiten-Betreiber sollten aber die Entwicklung genau beobachten.

Unabhängig von dem Ergebnis der Prüfung durch die Datenschützer könnten bald weitere Anforderungen beim Einsatz von Google Analytics notwendig sein. Ein Hamburger Gericht untersagte einem Webseiten-Betreiber den Einsatz des Tools vorerst aufgrund eines fehlenden Datenschutzhinweises.

Autor: Malte Kröger