DSGVO: Die CNIL untersagt die Einbindung von Google Analytics in der jetzigen Form
Ein Rückschlag für Google: Aus einer offiziellen Mitteilung der CNIL (auf Französisch), der französischen Datenschutzbehörde, geht hervor, dass bei Websites, die Google Analytics nutzen, ein gravierendes Problem beim Schutz der Privatsphäre der Nutzer besteht. Alle Website-Betreiber müssen innerhalb eines Monats für Konformität sorgen – also das Tool von Google nicht mehr verwenden. Viel Arbeit für Webmaster. Die Hintergründe.
Google Analytics vs. DSGVO: das Problem
Der Verein NOYB hat bei der CNIL mehrere Beschwerden gegen Google Analytics eingereicht.
Beim Besuch einer Website mit Google Analytics wird für jeden Besucher eine eindeutige Kennung erzeugt, und Besuchsdaten werden in die USA übermittelt. Die CNIL ist der Ansicht, dass diese Übermittlungen im Hinblick auf den Datenschutz „derzeit nicht ausreichend geregelt“ sind, der Datenschutz also nach der DSGVO als unzureichend gilt.
„Die CNIL stellt fest, dass die Daten der Internetnutzer somit unter Verstoß gegen Artikel 44 ff. DSGVO in die Vereinigten Staaten übermittelt werden.“
In Europa
Auf europäischer Ebene hat NOYB 101 Beschwerden in den 27 EU-Mitgliedstaaten eingereicht.
Der EuGH (Gerichtshof der Europäischen Union) hatte im Juli 2020 (auf Französisch) auf „das Risiko eines Zugriffs der US-Geheimdienste auf in die Vereinigten Staaten übermittelte personenbezogene Daten“ hingewiesen, was zur Schlussfolgerung der CNIL beigetragen haben dürfte.
In Frankreich: Folgen für Webmaster
Die Mitteilung der CNIL (auf Französisch) ist eindeutig: Website-Betreiber haben einen Monat Zeit, um für Konformität zu sorgen und Google Analytics in der jetzigen Form nicht mehr zu verwenden:
„[…] Die CNIL fordert den Website-Betreiber daher auf, diese Verarbeitungen mit der DSGVO in Einklang zu bringen, gegebenenfalls indem er die Funktion Google Analytics (unter den derzeitigen Bedingungen) nicht mehr nutzt oder ein Tool verwendet, das keine Übermittlung außerhalb der EU mit sich bringt. Der betreffende Website-Betreiber hat einen Monat Zeit, um für Konformität zu sorgen.“
Welche Alternativen gibt es?
Die CNIL erklärt: „Bei Diensten zur Reichweitenmessung und -analyse einer Website empfiehlt die CNIL, diese Tools ausschließlich zur Erstellung anonymer statistischer Daten zu verwenden, was eine Befreiung von der Einwilligungspflicht ermöglicht, sofern der Verantwortliche sicherstellt, dass keine unrechtmäßigen Übermittlungen stattfinden.“ (Links auf Französisch)
Matomo scheint eine brauchbare Alternative zu Google Analytics zu sein, die den Kriterien der CNIL entspricht.
Das Argument des Anbieters: „Sie könnten das Vertrauen Ihrer Kunden verlieren und Ihrem Ruf schaden, wenn bekannt wird, dass deren Daten für Googles ‚eigene Zwecke‘ verwendet werden. Mit der ethischen Alternative Matomo opfern Sie keinen Datenschutz und gefährden Ihre Website nicht. Sie können Matomo sogar ohne Einholung einer Einwilligung nutzen.“
Das Nonplusultra in Sachen Datenschutz: Matomo lässt sich offenbar auch selbst hosten. Das HaiSoft-Team steht schon in den Startlöchern, um die Lösung zu testen.
Quellen
Mitteilung der CNIL (auf Französisch): https://www.cnil.fr/fr/utilisation-de-google-analytics-et-transferts-de-donnees-vers-les-etats-unis-la-cnil-met-en-demeure
Artikel von Matomo (auf Englisch): https://fr.matomo.org/blog/2022/02/france-google-analytics-gdpr-breach/
