Google Analytics ist in Europa wieder legal. Vorerst

Wir haben nun ein neues Abkommen zwischen den USA und Europa für die Übertragung personenbezogener Daten.

Schon wieder.

Damit wären es drei.

Mal sehen, wie lange es hält.

Ich erkläre dir gleich die Gründe für die Unsicherheit, aber vorher versuche ich das Thema etwas besser einzuordnen, denn seine Wurzeln reichen tief. Fangen wir also von vorne an:

Das Erste und Wichtigste, was klar sein muss, ist, dass Google Analytics war in Spanien nie illegal.

In Frankreich war es für einige Monate im Jahr 2022 tatsächlich illegal.

Genau wie in Österreich.

Und in Italien oder Dänemark.

Das war 2022 in mehreren europäischen Ländern der Trend, in Spanien wurde Google Analytics aber nie verboten. Auch wenn im letzten Jahr darüber spekuliert wurde.

Doch seit letzter Woche (10 Juli 2023) können wir mit der Unterzeichnung des neuen Abkommens, wie gesagt, erst einmal beruhigt sein.

Zumindest für eine Weile, denn wenn du das Thema auch nur halbwegs verfolgt hast, weißt du, dass die Geschichte weit zurückreicht.

Genauer gesagt seit dem 11. September 2001.

Dem Tag, an dem sich die Welt veränderte.

Die Wurzeln des Problems

Seit diesem Tag sind bereits 22 Jahre vergangen – kaum zu glauben.

Damals gab es Google Analytics noch nicht einmal, wohl aber Urchin, die Technologie, die Google 2005 kaufte und aus der die erste Version von Googles Digital-Analytics-Tool hervorging.

An diesem verhängnisvollen Tag wurde uns allen, vor allem aber den USA, klar, dass die vermeintliche Sicherheit, in der wir in der entwickelten westlichen Welt leben, kaum mehr als eine Illusion war.

Und es wurden die für notwendig gehaltenen Systeme eingeführt, damit sich ein ähnliches Ereignis nicht wiederholen würde.

Vielleicht wegen seines liberaleren Charakters, vielleicht wegen seines stärker militärisch geprägten Charakters oder vielleicht weil zum ersten Mal etwas von solcher Tragweite auf eigenem Boden geschah, haben die Vereinigten Staaten ein brutales globales Spionagenetz aufgebaut.

Eines, das im Internet riesige Mengen an Kommunikationsdaten zwischen Zivilisten aus aller Welt sammelte , wobei die großen US-Technologiekonzerne – die GAFA (Google, Amazon, Facebook und Apple) – mehr oder weniger stark beteiligt waren.

Dieses Netz war 12 Jahre lang, von 2001 bis 2013, außerhalb jedes rechtlichen Rahmens aktiv. Dann deckte ein gewisser Edward Snowden – Mitarbeiter der damals noch recht unbekannten NSA und auch der CIA – den Skandal auf: Die NSA hatte eine Infrastruktur entwickelt, die es ermöglichte, praktisch beliebige Daten über praktisch jeden Menschen auf der Welt zu sammeln, darunter:

• Deine E-Mails.
• Deine Telefonnummer. Oder die deiner Frau. Oder die deiner Freunde.
• Deine Passwörter.
• Die Nutzung deiner Bankkarten.
• Deine Anruflisten.

Alles im Namen und unter dem so herrlich vagen Deckmantel der Nationalen Sicherheit.

Wenn dich das Thema interessiert, wird es in der Dokumentation Citizenfour , die Edward Snowdens Aussagen festhält. Sehr empfehlenswert. Wenn du Filme lieber magst, hat Oliver Stone den unterhaltsamen Snowden gedreht, der dieselbe Geschichte etwas kommerzieller erzählt.

Reaktionen auf den Skandal

Als der Skandal aufflog, waren die Reaktionen in Europa ziemlich verhalten. So verhalten, dass sie fast gespielt wirkten. Öffentlich durfte man es nicht sagen, aber privat schienen unsere Politiker mit dem Vorgehen der US-Regierung einverstanden zu sein.

Aber ein kleines Detail fehlte noch. Damals wusste man noch nicht, dass auch die politischen Spitzen der Welt ausspioniert wurden.

Der Tropfen, der das Fass zum Überlaufen brachte, war die Überwachung der Mobilkommunikation der deutschen Bundeskanzlerin und faktischen europäischen Führungsfigur Angela Merkel, die daraufhin heftig öffentlich mit Barack Obama, dem damaligen US-Präsidenten, aneinandergeriet.

Da änderte sich die Lage.

Denn, mein Freund: Das gemeine Volk auszuspionieren ist eine Sache, Amtsträger auszuspionieren eine ganz andere…

Verwaltungsabkommen: von Safe Harbor zu Privacy Shield

Sehr verärgert darüber, selbst ausspioniert worden zu sein, erklärten die europäischen Spitzenpolitiker die Regelung des Safe Harbor, des seit 2001 geltenden Kommunikationsprotokolls zwischen US-Unternehmen sowie europäischen Kunden und Bürgern, für ungültig.

15 Jahre und ein Programm namens PRISM später musste der Datenschutz anders geregelt werden. Deshalb wurde 2016 ein neues Abkommen geschaffen: Privacy Shield, dessen größte Auswirkung darin bestand, US-Unternehmen daran zu hindern personenbezogene Daten europäischer Bürger auf Servern in Amerika zu speichern.

Das heißt:

• Es wurde genau festgelegt, was als personenbezogene Daten gilt. Neben Namen und E-Mail-Konten gehörten dazu auch Dinge wie die IP-Adresse der Internetverbindung.
• Wenn ein US-Unternehmen solche Daten bereits auf seinen Servern speicherte, hatte es zwei Möglichkeiten: die Daten nicht mehr speichern und löschen.

• Die Daten weiter speichern, den Grund dafür begründen und Server außerhalb der USA nutzen, damit NSA und ähnliche Stellen keinen oder zumindest keinen einfachen Zugriff darauf hatten.

Und alle waren zufrieden.

Außer Max Schrems, einem österreichischen Datenschutzaktivisten und Anwalt, der erreichte, dass der Gerichtshof der Europäischen Union dieses Abkommen 2020 kippte.

Das führte dazu, dass personenbezogene Datentransfers zwischen Europa und den USA in den vergangenen drei Jahren nicht durch ein lockereres gemeinsames Abkommen, sondern durch die strenge GDPR (Datenschutz-Grundverordnung der EU).

Genau in diesem Zusammenhang steht auch das französische Verbot von Google Analytics, denn das Tool sammelt IPs französischer Bürger auf Servern auf US-amerikanischem Gebiet.

Warum erklären die übrigen europäischen Länder es nicht für illegal? Im Prinzip deshalb, weil die IP-Erfassung verschlüsselt ist, weshalb sie sie nicht als personenbezogenes Datum im eigentlichen Sinne ansehen.

Eine Frage der Nuancen.

Neues Abkommen 2023. Wie lange?

Wie du vermutlich gehört hast, gibt es seit letzter Woche ein neues Datenschutz-Rahmenabkommen zwischen Europa und den Vereinigten Staaten.

Und dadurch ist die Nutzung von Google Analytics legal.

Vielleicht hatte die Einführung von GA4 damit zu tun.

Vielleicht ist es Zufall.

Was nicht nach Zufall aussieht, ist, dass Google die Nutzung seiner Bard-KI in Europa drei Tage nach der Genehmigung des Abkommens freigegeben hat. Vor allem, wenn man bedenkt, dass als Grund für die anfängliche Nichtverfügbarkeit hier genau die strengen europäischen Datenschutzvorgaben genannt wurden.

Was passiert also jetzt? Zunächst wird Max Schrems erneut vor den EuGH ziehen und argumentieren, dass die US-Regeln zur Massenüberwachung weiterhin gelten, auch wenn das neue Abkommen ihren Einsatz als „verhältnismäßig“”.

beschränkt. Das ist ein mehrdeutiges Wort, das nicht klarstellt, auf welche privaten Daten europäischer Bürger die US-Verwaltung zugreifen darf.

Daher ist es möglich, dass wir in den kommenden Monaten weitere Nachrichten dazu bekommen – in die eine oder andere Richtung. Dann werden wir wirklich wissen, ob wir GA4 weiterhin legal nutzen können oder nicht.

Bis dahin: implementieren.

Oder wechseln.

Oder beten. Schließlich hat dieser ganze Ärger aus religiösen Gründen angefangen.

Da fällt einem nichts mehr ein.