Bundesverwaltungsgericht (BVwG) anser att en österrikisk webbplats användning av Google Analytics var olaglig, och att kapitel V i dataskyddsförordningen (GDPR) inte var tillämplig på Google US i egenskap av dataimportör.
Av domen framgår att målet rör en rättslig prövning av ett beslut från 2021 av Datenschützbehörde (DSB). Beslutet kom efter ett klagomål från noyb, efter EU-domstolens dom i Schrems II-målet.
DSB konstaterade i sitt beslut att användningen av Google Analytics på en österrikisk webbplats lett till överföring av personuppgifter till USA i strid med kapitel V i GDPR. Samtidigt slog DSB fast att kapitel V GDPR endast föreskriver skyldigheter för dataexportören, i det aktuella fallet den österrikiska webbplatsen, och inte för dataimportören, Google LLC.
Google LLC överklagade beslutet. Google hävdade bland annat att överföringarna var lagliga eftersom de grundade sig på standardavtalsklausuler i enlighet med artikel 46.2 (c) GDPR. Den registrerade överklagade också beslutet och hävdade att kapitel V GDPR även gäller för dataimportörer.
I sitt svar på Google LLC överklagande bekräftade BVwG att överföringen av uppgifter till Google LLC var olaglig. När det gäller den registrerades överklagande avvisade BVwG den registrerades argument. BVwG bekräftade DSB:s tolkning att kapitel V GDPR endast gäller för dataexportören, och inte för dataimportören. BVwG betonade att skyldigheter som härrör från kapitel V GDPR inte bör förväxlas med avtalsenliga skyldigheter som binder dataimportören i samband med standardavtalsklausuler eller andra privaträttsliga avtal med dataexportören.