Nach den Aussagen der Datenschutzbehörden aus Österreich, Frankreich und den Niederlanden zur Legalität von Google Analytics, warten alle gespannt auf die Beurteilung aus Deutschland.

Die EU-Kommission unter Ursula von der Leyen hat nach dem letzten EuGH-Urteil an einer neuen Lösung des Problems um den DSGVO-konformen Datentransfer in die USA gearbeitet. Zumindest scheinen die Verhandlungen unter der aktuellen US-Administration besser zu laufen als unter der alten.

Am 25.03.2022 haben die Kommission und die US-Regierung ein gemeinsames Statement abgegeben, in dem man bekräftigt, dass man gewillt sei, an einer zufrieden stellenden Lösung zu arbeiten. Doch was ist davon zu halten? Erste Einschätzungen sind eher pessimistisch.

Neben einigen kleineren Problemen richtet sich die Kritik vor allem an drei Punkte:

1. Bis jetzt sind sind das alles nur Absichtserklärungen. Es mag ja sein, dass beide Partner an einer Lösung interessiert sind. Bis jetzt beruht das aber nur auf politischen Willenserklärungen, die erst einmal nichts Wert sind, da sie nicht rechtlich bindend sind, und eine rechtliche Basis nicht erkennbar ist. Die finale Ausarbeitung und die folgende gesetzliche Umsetzung kann noch lange dauern, da letztlich jede Vereinbarung zwischen den Verhandlern durch die jeweiligen Gesetzgeber laufen muss. Speziell in Europa kann das etwas dauern, da sowohl die Kommission, das EU-Parlament, als auch alle 26 Regierungen dem zustimmen müssen. In der Zwischenzeit könnten Datenschutzbehörden, nationale Höchstgerichte und der EuGH Entscheidungen treffen, die das Leben der Nutzer von Google Analytics schwer machen, da man dann in einem seltsamen Limbus zwischen „ab sofort illegal“ und „vielleicht bald legal“ schweben würde. Das würde betriebliche Entscheidungs-, und damit wirtschaftliche, Entscheidungsprozesse erschweren.
2. Im Statement wird hervorgehoben, dass die US-Regierung dafür sog. „Executive Order“ einzusetzen. Diese sind aber u.U. nicht für Bereiche bindend, da je nach „Schweregrad“ der nationalen Gesetze die „Nationale Sicherheit“ überwiegt. In diesem Fall wären das z.B. Gesetze zur Durchsuchungserlaubnis zur Terrorabwehr. Außerdem seien Executive Orders nicht vor Gericht einklagbar, da ihnen keine legislative Grundlage gegeben sei. Und es gibt bis jetzt keine Anzeichen dafür, dass die USA gewillt seien, die betreffenden Gesetze zu ändern, denn ansonsten wäre ja eine Executive Order nicht notwendig.
3. Selbst wenn man sich auf ein Abkommen einigen würde, und ein entsprechender Gesetzestext vorläge, würde das ganze Vorhaben sofort wieder vor dem EuGH landen. Der österreichische Datenschutzaktivist Max Schrems, der bereits zwei Abkommen vor dem EuGH zu Fall gebracht hat, hat in einer ersten Stellungnahme angekündigt, er würde ihn mit US-Rechtsexperten prüfen und gegebenenfalls sofort dagegen klagen. Und wie bereits gesagt, der legislative Prozess in der EU könnte länger dauern, als die Beurteilung durch den EuGH.

Wer bis jetzt kein Google Analytics verwendet sollte erst einmal nicht den Verlockungen des neuen „Google Analytics 4“ verfallen. Es ist aus heutiger Sicht nicht absehbar, ob es jemals eine DSGVO-konforme Nutzung geben wird. Es gibt zwar einige Hilfsvehikel, die das irgendwie regeln sollen, z.B. die Standardvertragsklauseln, doch die sind unter Experten umstritten. Wer bereits Google Analytics verwendet, sollte sich zumindest grundsätzlich mit Alternativen beschäftigen, z.B. Matomo (ehem. PIWIK).

Auf jeden Fall bleibt das Thema dieses Jahr noch ein heißes Eisen, und man kann beinahe täglich mit Urteilen aus den übrigen EU-Ländern rechnen. Grundsätzlich kann man davon ausgehen, dass die alle Datenschutzbehörden den bisherigen Einschätzungen folgen werden. Sollte also das neue Abkommen kein ultimativer Wurf werden, droht eine weitere Hängepartie.