{"id":283388,"date":"2023-07-06T07:55:55","date_gmt":"2023-07-06T05:55:55","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=283388"},"modified":"2024-03-31T20:20:22","modified_gmt":"2024-03-31T18:20:22","slug":"schwedische-datenschutzbehrde-verhngt-millionenstrafe-wegen-google-analytics-nutzung","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2023\/07\/06\/schwedische-datenschutzbehrde-verhngt-millionenstrafe-wegen-google-analytics-nutzung\/","title":{"rendered":"Schwedische Datenschutzbehörde verhängt Millionenstrafe wegen Google Analytics-Nutzung; wann kommt Office 365?"},"content":{"rendered":"

\"SicherheitDie schwedische Datenschutzbeh\u00f6rde (Swedish Authority for Privacy Protection, IMY) hat gegen den Betreiber Tele2 ein Bu\u00dfgeld in H\u00f6he von einer Million Euro verh\u00e4ngt. Insgesamt wurden vier Anbieter wegen der Verwendung von Google Analytics und dem einhergehenden Datentransfer in die USA gepr\u00fcft. Es gab vier Untersagungen der Verwendung von Google Analytics sowie zwei Geldbu\u00dfen. Vorausgegangen waren Beschwerden von Datensch\u00fctzern von noyb nach dem Schrems II-Urteil des Europ\u00e4ischen Gerichtshofs (EuGH). Der Fall wirft auch ein Schlaglicht auf die Verwendung von Microsoft Office 365 durch Unternehmen, die eine riskante Wette eingehen.<\/p>\n

<\/p>\n

\"\"Seit Mai 2018 ist der Einsatz von Google Analytics in Europa aus DSGVO-Gr\u00fcnden nicht mehr m\u00f6glich, weil die erforderliche Zustimmung der Nutzer zum Datentransfer in die USA von den Nutzern praktisch nicht eingeholt werden kann. Daher erstaunt mich der Vorgang doch etwas – denn ich hatte zu diesem Zeitpunkt sichergestellt, das Google Analytics hier in den Blogs keinen Zugriff hat (ich z\u00e4hle intern nur die Zahl der Artikelabrufe und die Zahl der Besucher). <\/p>\n

Datentransfer in die USA als Problem<\/h2>\n

Gem\u00e4\u00df der Datenschutzverordnung (DSGVO, Englisch GDPR) d\u00fcrfen personenbezogene Daten ja nur dann in Drittl\u00e4nder, d. h. L\u00e4nder au\u00dferhalb der EU\/des EWR, \u00fcbermittelt werden, wenn die Europ\u00e4ische Kommission entschieden hat, dass das betreffende Land ein angemessenes Schutzniveau f\u00fcr personenbezogene Daten aufweist, das dem innerhalb der EU\/des EWR entspricht. <\/p>\n

Der EuGH hat jedoch in seinem Urteil in der Rechtssache Schrems II entschieden, dass die Vereinigten Staaten zum Zeitpunkt des Urteils nicht als Land mit einem solchen angemessenen Schutzniveau angesehen werden k\u00f6nnen (siehe EuGH kippt EU-US-Datenschutzvereinbarung \"Privacy Shield\"<\/a>). Aktuell gibt es kein entsprechendes Datenschutzabkommen – aber die USA und die EU-Kommission arbeiten daran (siehe meinen letzten Beitrag USA erf\u00fcllen Verpflichtungen des EU-U.S. Data Privacy Framework<\/a>). <\/p>\n

Pr\u00fcfverfahren in Schweden<\/h2>\n

Die schwedische Beh\u00f6rde f\u00fcr den Schutz der Privatsph\u00e4re (IMY) hat gepr\u00fcft, wie vier Unternehmen Google Analytics f\u00fcr Webstatistiken verwenden. Die Audits beruhen auf Beschwerden der Organisation None of Your Business (NOYB) als Folge des Schrems II-Urteils des Europ\u00e4ischen Gerichtshofs (EuGH). In den Beschwerden wird behauptet, dass die Unternehmen unter Verletzung des Gesetzes personenbezogene Daten in die Vereinigten Staaten \u00fcbermitteln. <\/p>\n

Die IMY hat dann gepr\u00fcft, wie vier Unternehmen personenbezogene Daten \u00fcber Google Analytics, ein Tool zur Messung und Analyse des Datenverkehrs auf Websites, in die USA \u00fcbermitteln. Bei den gepr\u00fcften Unternehmen handelt es sich um CDON, Coop, Dagens Industri und Tele2. Die Audits betreffen eine Version von Google Analytics vom 14. August 2020.<\/p>\n

Die IMY verh\u00e4ngt gegen zwei der Unternehmen Bu\u00dfgelder. Eines der Unternehmen hat vor kurzem die Verwendung des Statistik-Tools aus eigener Initiative eingestellt, w\u00e4hrend den anderen Unternehmen die Verwendung von Google Analytics untersagt wurde. Das teilte die Beh\u00f6rde in dieser Meldung<\/a> mit.<\/p>\n

Bu\u00dfgelder und Untersagung<\/h2>\n

Nach seinen Pr\u00fcfungen ist das IMY der Auffassung, dass es sich bei den \u00fcber das Statistik-Tool von Google in die USA \u00fcbermittelten Daten um personenbezogene Daten handelt, da die Daten mit anderen \u00fcbermittelten eindeutigen Daten verkn\u00fcpft werden k\u00f6nnen. Die Beh\u00f6rde kommt auch zu dem Schluss, dass die von den Unternehmen getroffenen technischen Sicherheitsma\u00dfnahmen nicht ausreichen, um ein Schutzniveau zu gew\u00e4hrleisten, das im Wesentlichen dem in der EU\/im EWR garantierten entspricht.<\/p>\n