In einem ganz interessanten Artikel widmet sich der Nextcloud Blog in seinem letzten Beitrag dem Thema Google Analytics und deren Missverhältnis zu der GDPR (General Data Protection Regulation) also der europäischen DSGVO.
Im Grunde geht es darum, dass Google Analytics aufgrund des Cloud-Acts und den übrigen amerikanischen Gesetzen auf legaler Art und Weise gar nicht in Europa genutzt werden kann.
Google Analytics gilt als nicht legal
Was mit dem Schrems 2 Verfahren gegen Facebook begann, veranlasste andere EU-Länder, ihre Unstimmigkeiten mit Google Analytics offenzulegen. Die norwegischen als auch die französischen Datenschutzbehörden fanden, dass aufgrund von laufenden Untersuchungen die Verwendung von Google Analytics möglicherweise illegal ist. Dem entsprach auch das europäische Zentrum für digitale Rechte (NOYB) und hatte 101 Beschwerden an das EUGH gesendet.
Der Europäische Gerichtshof (EuGH) hat in seinem Urteil in der Rechtssache Schrems II, mit dem das EU-US Privacy Shield für ungültig erklärt wurde, die große Gefahr für die Europäer hervorgehoben.
Nach dem CLOUD Act und dem US-Recht sind US-Unternehmen verpflichtet, US-Behörden und Gerichten Zugang zu allen Daten zu gewähren, die sie von ausländischen Bürgern speichern. Da die EU-Datenschutz-Grundverordnung vorschreibt, dass Dritte keinen Zugang zu den Daten eines Nutzers ohne dessen Zustimmung haben dürfen, ist dieses Gesetz grundsätzlich nicht mit dem EU-Recht vereinbar.“
Zitat Nextcloud Blog
Das Tool an sich verstößt nicht gegen das Gesetz, nur die Art und Weise, wie es verwendet wird. Denn sobald Daten anfallen, werden diese an Server in den USA übermittelt, die Daten unterliegen dann dem Cloud-Act und US-Behörden haben Zugriff auf diese Daten. Da dies auch passiert, zeigen sich die Snowden Leaks.
HintergrundInfo Cloud Act
Das Gesetz verpflichtet amerikanische Internet-Firmen und IT-Dienstleister, US-Behörden auch dann Zugriff auf gespeicherte Daten zu gewährleisten, wenn die Speicherung nicht in den USA erfolgt. Umgekehrt können über diesen Weg auch ausländische Firmen Zugriff auf Daten erhalten, die von US-Konzernen im Ausland gespeichert werden. Infolge des Gesetzes sollen bilaterale Abkommen ausgearbeitet werden, die es ausländischen Behörden ermöglichen, ihre Anfragen direkt an die Konzerne zu stellen. Hiermit würde eine gerichtliche Kontrolle bei einer Abfrage außen vor bleiben, was zu Kritik durch Datenschützer geführt hat.
Wikipedia
Google bringt Google Analytics 4
Google reagiert nun und stellt bis 2023 das bisherige Google Analytics ein und ersetzt es durch Google Analytics 4.
Die neue Version ist ein Schritt in die richtige Richtung, denn die IP Adressdaten werden anonymisiert, Google leitet die ungefähren Standortdaten ab und registriert dieses Land oder diesen Markt für die aufgerufene Seite. Das Ergebnis ist, dass diese lokalisierte Sichtbarkeit der IP-Adresse verhindert, dass die Daten das Land verlassen und somit nicht an die NSA oder andere geheime Überwachungsmaßnahmen der US-Regierung weitergegeben werden können. Diese neuen Kontrollen auf Länderebene ermöglichen eine Feinabstimmung der Datenerfassung auf den lokalen Markt und/oder die Rechtsprechung des EU-Rechts.
Ich bin letztlich gespannt, wie sich das Ganze weiter entwickelt, denn würden weitere Beschwerden eintreffen, könnte das EuGH Google Analytics komplett als illegal ansehen und Google hätte mit einem Millionenverlust im Ausland zu rechnen, ganz zu schweigen von ernsthaften Klagen.