Das Jahr 2021 endete mit gleich zwei Paukenschlägen:

Die oberste österreichische Datenschutzbehörde verkündete in einem Urteil vom 22. Dezember 2021, in dem es konkret um den Einsatz von Google Analytics ging,

• dass der Website-Betreiber für den illegalen Einsatz verantwortlich ist,
• dass weder Standardvertragsklauseln noch Einwilligungen den regelmäßigen Transfer von personenbezogenen Tracking-Daten in ein Drittland rechtfertigen können und
• dass das Tool Google Analytics (zumindest in der Version vom 14. August 2020) nicht im Einklang mit den Anforderungen von Kapitel 5 DSGVO verwendet werden kann.

und im Rahmen der Datenschutzkonferenz vom 20. Dezember 2021 kamen die obersten deutschen Aufsichtsbehörden zu dem gleichen Schluss:

„Zu beachten ist, dass der reine Abschluss von Standarddatenschutzklauseln, wie den von der EU-Kommission beschlossenen Standardvertragsklauseln, nicht ausreicht. In diesem Fall dürfen die betroffenen Dienste nicht genutzt, also auch nicht in die Webseite eingebunden werden.“

Zu diesen Thema gab es auch von der WKO einen Online-Expertentalk wo eine sehr umfangreiche FAQ Liste erarbeitet wurde.

Was müssen Sie tun:

1. Prüfen Sie, ob Sie die auf der Webseite eingebundenen Tracking Tools oder Cookies, die Sie setzen, auch wirklich brauchen. Haben Sie einen Vorteil daraus, dass Sie das Verhalten der Benutzer messen oder sogar Personen bezogene Daten ohne Einwilligung an Dritte rechtswidrig weitergeben? Wenn Sie zum Schluss kommen, dass Sie dadurch keinen Vorteil haben, entfernen Sie die Tools und alles ist erledigt.  
2. Wenn Sie zum Ergebnis kommen, ja Sie brauchen diese Daten, um zum Beispiel Ihre Webseite zu optimieren, Ihre Shop-Umsätze zu messen oder Werbeschaltungen zu messen, dann sollten Sie folgendes tun: 

• Prüfen Sie, ob Sie eine rechtskonforme Einwilligung haben, bevor die Tools geladen oder Cookies gesetzt werden. 
• Prüfen Sie, ob das eingesetzte Tool nicht Personen bezogene Daten an Dritte oder an Länder weiterleitet, die außerhalb der EU sind.  
• Prüfen Sie, ob Ihr Auftragsverarbeiter auch die von der DSGVO geforderten TOMs (technisch organisatorischen Maßnahmen) erfüllt.  
• Prüfen Sie, ob Ihr Auftragsverarbeiter die von Ihnen erhaltenen Daten weder anreichert noch für eigene Zwecke benutzt. Lassen Sie sich das von ihrem Dienstleister schriftlich geben.  
• Sollten Sie eine Analyse-Software selbst betreiben oder selbst hosten, unterliegen Sie den gleichen Bestimmungen wie ein Auftragsverarbeiter. 
• Prüfen Sie, ob auch wirklich nur notwendige Daten gesammelt werden und diese in der Erwartungshaltung des Benutzers liegen (Interessensabwägung).  
• Sollten Sie eine Analyse-Software auf Grund des Erlaubnistatbestand „Berechtigtes Interesse“ verwenden, prüfen Sie, ob es dafür eine unabhängige Prüfung und Zertifizierung in Bezug auf die DSGVO gibt. Fordern Sie die Zertifizierung von Ihrem Dienstleister ein.

Wo gibt es Hilfe?

Dankenswerter Weise gibt es auch eine Software für die Web-Analyse von einem hervorragenden europäischen Anbieter, die nicht nur alle Daten sicher innerhalb der EU verarbeitet, sondern darüber hinaus so datenschutzfreundlich vor eingestellt ist, dass der Einsatz keine vorherige Einwilligung erfordert.

Außerdem ist ein Umstieg sehr einfach, dank Plugins, automatischer Erfassung der meisten Events, automatischer Erfassung von Google UTM-Kampagnenparametern sowie automatisierbarem Upload von Conversion-Daten zu Google Ads, Bing und Facebook sowie das Reporting im Google Data Studio (anonym und rechtskonform).

Wenn Sie Fragen haben, unterstützen wir Sie gerne für den perfekten Start zu einer rechtskonformen Web-Analyse bis hin zu den Schulungen für Anwender.

Für eine persönliche Beratung kontaktieren Sie gerne:

Gustav Niedermayr

Mitglied der Experts Group IT-Security

www.gn-it.at

niedermayr@gn-it.at

+43 664 73031492