Google Analytics, DSGVO und Datenschutz

Worum geht's?

Google gerät regelmäßig mit den Datenschutzbehörden aneinander. Neben AdSense und Google Street View ist es vor allem das Tracking-Tool „Google Analytics“, das seit Jahren Anlass für Rechtsstreitigkeiten und Auseinandersetzungen mit Datenschützern bietet.
Spätestens mit dem Wegfall des Privacy Shields sei ein rechtssicherer Datentransfer der von Google Analytics erhobenen personenbezogenen Daten in die USA nicht mehr möglich. Die Datenschutzbehörden Österreichs, Frankreichs und Italiens erklärten den Einsatz des Analysetools für unzulässig. Was bedeutet das für Webseitenbetreiber? Darf ich Tools wie Google Analytics, die personenbezogene Daten übertragen, überhaupt noch benutzen? Und wenn nicht – welche Alternativen gibt es? Das und mehr erfahren Sie jetzt.

Zurück zur Übersicht: "Datenschutz"

1. Google Analytics und Datenschutz: Was ist das Problem?

Der US-Dienst Google Analytics und der Datenschutz waren nie die besten Freunde. Spätestens seit der Datenschutzgrundverordnung (DSGVO), den Urteilen des EuGH zu Tracking und Cookies auf Webseiten und dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), ist die Nutzung von Google Analytics praktisch nicht mehr so einfach.

Im "Schrems II“-Urteil schlug der der EuGH dann 2020 das Privacy Shield nieder mit der Begründung, das US-Recht schütze die Rechte der EU-Bürger nicht ausreichend. Durch den Wegfall des Privacy Shields ist ein rechtssicherer Weg für den Transfer personenbezogener Daten in die USA nicht mehr möglich. Zwar verabschiedete die EU-Kommission 2021 neue Standardvertragsklauseln, die die Datenübermittlung im Internet erleichtern sollen – aber auch diese werden als Rechtsgrundlage nicht als ausreichend angesehen.

Was ist Google Analytics überhaupt?

Google Analytics ist das meistgenutzte Tool zur Nutzeranalyse auf Webseiten (Webanalyse). Je nach Statistik kommt Google Analytics auf ca. 50 Prozent größerer Webseiten zum Einsatz. Auf den eingesetzten Websites sammelt Google Analytics Daten über die Nutzer. Webseitenbetreiber haben umfangreiche Möglichkeiten, im Konfigurationsmenü diese Daten nach den gewünschten Einstellungen zu erheben.

Die Daten können nach bestimmten Parametern aufbereitet und von den Seitenbetreibern ausgewertet werden, um so die Aufrufe einer Seite, das Nutzerverhalten oder die Verweildauer nachzuvollziehen. Auch bestimmte Aktionen (Anmeldung zu einem Newsletter, Download eines E-Books, Kauf von Produkten) können über das Conversion-Tracking analysiert werden. So können Sie beispielsweise eine In-Page-Analyse durchführen und durch die angezeigten Klicks und Links das Benutzerverhalten besser verstehen.

Interessant: Google Analytics können Sie auch mobil als App nutzen. So können Sie unter anderem die Auswirkungen Ihrer Marketing-Kampagnen jederzeit und von jedem Endgerät aus tracken.

Google Analytics hat sich in den letzten 18 Jahren weiterentwickelt. Die Neuerungen gegenüber der Vorversionen: 

Viele weitere technische Neuerungen innerhalb von Google Analytics 4 können Sie direkt bei Google nachlesen.

Viele Websitebetreiber nutzten in der Vergangenheit nicht ausschließlich die aktuelle Version Google Analytics 4, sondern auch ältere Versionen wie Google Universal Analytics (GA3).

Das Problem: Das alte Universal Analytics (GA3) erfüllt nicht die Auflagen der Datenschutzbehörden hinsichtlich DSGVO und des Datenschutzes. Da die Version durch Google ohnehin zum 01.07.2023 abgeschaltet wurde, müssen Sie jetzt auf GA4 umstellen, falls Sie weiterhin bei Google Analytics bleiben möchten. Was aber genau kritisieren die Datenschützer?

Was kritisieren die Datenschützer?

Datenschützer bemängeln beim Thema Google Analytics und Datenschutz verschiedene Aspekte. Zum einen würde Google in seinen Datenschutzbestimmungen nur ungenügend darüber aufklären, welche Daten beim Einsatz von Google Analytics konkret gespeichert und übertragen werden. Die Datenschutzbehörden haben deshalb Seitenbetreibern, die Google Analytics nutzen, Bußgelder angedroht.

Dabei geht es vor allem um die Speicherung und Übermittlung vollständiger IP-Adressen der Nutzer an Google in die USA. Zwar gibt es bereits seit 2010 die Möglichkeit, auf einfache Weise IP-Adressen zu anonymisieren – doch Google kann aufgrund der Unmenge an Daten dennoch den Nutzer problemlos rekonstruieren. Neben IP-Adresse erhebt und übermittelt Google Analytics etwa Sprachen, Browserversion, Plug-Ins, Bildschirmgröße, Zeitzone und Endgerät an Google. Aus diesem Grund sei Google Analytics nicht datenschutzkonform.

Entscheidungen in Österreich, Italien und Frankreich 

Ausgehend vom EuGH-Urteil Schrems II im Jahr 2020 reichte das Europäische Zentrum für digitale Rechte (NOYB) 101 Beschwerden bei den Datenschutzbehörden gegen große Unternehmen ein. Der Vorwurf: Sie würden Google Analytics und Facebook Connect unrechtmäßig verwenden. Im Januar 2022 gab es dann die ersten Entscheidungen der Datenschutzbehörden. Die österreichische, die französische und die italienische Datenschutzbehörde erklärten den Einsatz von Google Analytics für unzulässig.

Die Begründung: Bei der Übertragung der Nutzerdaten in die USA würden die Daten nicht ausreichend geschützt, etwa durch Anonymisierung. So würde etwa die Kürzung der IP-Adresse keine hinreichende Schutzmaßnahme darstellen, da sie erst auf den Servern von Google in den USA gekürzt würde – und so von US-Geheimdiensten wie der NSA ausgelesen werden könne. Das verstoße eindeutig gegen das Recht auf informationelle Selbstbestimmung, das durch die Datenschutzgrundverordnung 2018 gestärkt wurde.

Auf Antrag US-amerikanischer Behörden ist Google laut Abschnitt 702 des FISA (US-Gesetzes zur Überwachung in der Auslandsaufklärung) verpflichtet, personenbezogene Daten von EU-Bürgern offenzulegen. Dadurch ist ein angemessener Schutz von personenbezogenen EU-Nutzerdaten nicht möglich und Google Analytics nicht datenschutzkonform.

Was sagen die deutschen Datenschutzbehörden dazu?  

Nach den Entscheidungen anderer europäischer Aufsichtsbehörden wird erwartet, dass die deutsche Datenschutzbehörde eine ähnliche Entscheidung treffen wird. Schon in den letzten Jahren positionierten sich die deutschen Aufsichtsbehörden immer eindeutiger gegen den Einsatz von Google Analytics.

2019 gaben die deutschen Datenschutzbehörden in einen „Rundumschlag“ 14 Pressemitteilungen zum Thema „Cookies, Tracking Tools und Einwilligungen“ heraus. Jedes der 16 Bundesländer (bis auf Mecklenburg-Vorpommern und Baden-Württemberg) in einer eigenen Mitteilung und mit anderen und teilweise abweichenden Argumenten. Diese können Sie hier nachlesen:

• Bayern
• Berlin
• Brandenburg
• Bremen
• Hamburg
• Hessen
• Niedersachsen
• NRW
• Rheinland-Pfalz
• Saarland
• Sachsen
• Sachsen-Anhalt
• Schleswig-Holstein
• Thüringen

Die Grundaussage war aber bei allen gleich: Dienste, die wie Google Analytics die Daten von Webseitenbesuchern auswerten und nutzen, sind nur noch mit Einwilligung erlaubt. Egal ob mit oder ohne Cookies.

2. Google Analytics vor und nach der DSGVO & EuGH-Urteil: Der aktuelle Stand;

Vor der DSGVO war die rechtssichere Einbindung von Google Analytics auch ohne Einwilligung möglich, wenn bestimmte Vorgaben (AV-Vertrag, IP-Anonymisierung, funktionierende Opt-Out-Lösung) eingehalten wurden. Nach der Datenschutzgrundverordnung ist das nicht mehr erlaubt. In Expertenkreisen wird sogar diskutiert, ob die Nutzung von Google Analytics unzulässig ist, auch wenn eine Einwilligung der Nutzer vorliegt. Was ist der aktuelle Stand?

Google Analytics nach der DSGVO

Mit Einführung der DSGVO war die Hoffnung, dass diese Frage erst durch die ePrivacy-Verordnung geregelt wird und sich Webseitenbetreiber bis dahin auf das berechtige Interesse in Art. 6 Abs. 1 lit. f DSGVO stützen können. Diese Hoffnung hat sich nicht bewahrheitet. Somit ist nach mittlerweile vorherrschender Meinung Google Analytics nur noch mit Einwilligung zulässig.

Uns sind aktuell jedoch die ersten Bußgeldandrohungen von Datenschutzbehörden im Zusammenhang mit Google Analytics, Criteo und Double Click bekannt geworden. Es wurden noch keine Bußgelder verhängt. Es handelt sich bisher lediglich um Androhungen von Bußgeldern durch die Bayerischen und Niedersächsischen Datenschutzbehörden (Sommer 2022).

Tracking-Cookies nach EuGH-Cookie Urteil

Was Cookies angeht, gab es ein Deutschland (aus sehr komplizierten juristischen Gründen, die wir hier nicht erläutern) die Auffassung, dass bei Third Party- und Tracking-Cookies ein Opt Out genügt. Man informierte den Nutzer per Cookie-Banner, hat die Cookies aber trotzdem gesetzt. Der Nutzer musste dann irgendwie widersprechen.

Laut mehreren Urteilen des EuGHs dürfen Sie Cookies, die zum Tracking ohne Einwilligung gesetzt werden, nicht setzen. Dabei ist es wohl egal, ob in den Cookies tatsächlich personenbezogene Daten gespeichert werden oder ob nur anonyme Daten gespeichert werden. Es sind aber nicht alle Cookies betroffen. Weiter ohne Einwilligung erlaubt sind so genannte First Party Cookies, die für eine Webseite erforderlich sind. Das sind z.B.:

• Warenkorb-Cookies
• Cookies für LogIns
• Cookies die eine Länder- oder Sprachauswahl betreffen
• Cookies, die Consent Tools für die Cookie Einwilligung setzen

Im Wesentlichen geht es bei der aktuellen Diskussion also um Marketing- und Tracking Cookies. Wir empfehlen deshalb, Google Analytics & Co. nur noch mit vorheriger Einwilligung über ein Consent Tool einzusetzen.

Wie Sie gänzlich ohne Cookies Ihre Nutzer tracken können, lesen Sie in unserem Artikel zu Cookieless Tracking. 

Der aktuelle Stand 2022 

All den oben genannten Fällen liegt jedoch eine alte Rechts- und Sachlage zugrunde – denn sie beruht auf Entscheidungen aus dem Jahr 2020. Folgende Punkte haben sich mittlerweile geändert:

• Neue Standardvertragsklauseln der EU-Kommission
• IP-Kürzung in der EU
• EU-US Data Privacy Framework (ca. ab Mitte 2023)

Mit den 2021 veröffentlichten neuen Standardvertragsklauseln können sich US-Unternehmen verpflichten, die Rechte und die personenbezogenen Daten von EU-Bürgern zu schützen. Auch Google hat darauf reagiert und die neuen Standardvertragsklauseln in die eigenen AGB aufgenommen.

Laut Google werden zudem ab der aktuellen Google Analytics Version (GA4) die IP-Adressen nicht mehr auf US-Servern, sondern auf EU-Servern gekürzt. Das war ein wesentlicher Punkt, den die Datenschützer bei der Verwendung von Google Analytics kritisierten. Ohnehin wurde GA3 zum 01.07.2023 eingestellt. Ab Juli 2023 läuft eine Frist von 6 Monaten als Übergangszeit, in der Sie weiterhin auf alte Daten zugreifen können. Danach müssen Sie auf GA4 umstellen.

Mit dem „EU-US Data Privacy Framework“ soll zudem der Datenschutz von EU-Bürgern in den USA verbessert werden, insbesondere wenn personenbezogene Nutzerdaten von der EU in die USA übertragen werden. Unseren Schätzungen zufolge könnte dies ab etwa Mitte 2023 der Fall sein.

3. Soll ich Google Analytics jetzt überhaupt noch verwenden? 

Grundsätzlich ist es für Website-Betreiber auch weiterhin nicht verboten, Dienste wie Google Analytics zu verwenden – selbst, wenn diese umstritten sind. Sonst würde das im Umkehrschluss bedeuten, dass Sie im Internet überhaupt keine US-Dienste mehr verwenden dürften – einschließlich Microsoft, Google Maps etc. Was Sie aber als Websitebetreiber tun müssen: Bestimmte technische Maßnahmen ergreifen, um den Google Analytics-Datenschutz auf Websites zu erhöhen.

Möchten Sie Google Analytics weiterverwenden, müssen Sie mit der Abschaltung von GA3 jetzt auf die aktuelle Version GA4 umstellen.

Weiterhin sollten Sie folgende Punkte beachten:

• Einwilligung / Consent-Tool auf der Seite einbinden
• Vertrag zur Auftragsverarbeitung abschließen
• IP-Anonymisierung
• Opt-Out-Cookies + Link zu Browser-Plugin setzen (bei Nutzung eines Consent Tools in der Regel automatisch)
• Datenschutzerklärung aktualisieren
• Server Side Tracking nutzen, wenn möglich
• Transfer-Impact Assessments (TIA)

Nur noch mit Einwilligung / Cookie Consent Tool

Nutzen Sie Google Analytics nur noch mit echter Einwilligung – also mit einem sogenannten Consent-Tool, bei dem der Nutzer aktiv bestätigen muss, dass er der Datenübertragung und/oder Speicherung von Cookies zustimmt. In diesem Fall können Sie auch das Opt-Out über Ihr Consent Tool einholen. Das Consent-Tool ist kein "Cookie Banner", sondern muss die Datenflüsse vor der Zustimmung des Nutzers tatsächlich unterbinden.

Wir empfehlen die folgenden Consent Tools:

Usercentrics

Das Consent Tool von Usercentrics ist eine individuelle Profi-Lösung, die im Normalfall mehrere hunderte Euro im Monat kosten kann. Das Consent Tool funktioniert für die meisten Webseiten-Typen unabhängig vom verwendeten CMS.

Wir können eRecht24 Premium Nutzern eine Lösung von Usercentrics anbieten, die ohne Zusatzkosten exklusiv in eRecht24 Premium enthalten ist und aktuell die 50 wichtigsten Tools wie Google Analytics, Facebook Pixel, GoogleMaps, YouTube, Xing, Twitter und Google TagManager umsetzt.

Da das Tool unabhängig von einem CMS auf möglichst vielen Webseiten funktioniert, benötigen Sie für die korrekte Einbindung allerdings etwas Programmierer-Know-How.

Borlabs Cookie: PlugIn für Wordpress

Wenn Sie mit WordPress arbeiten und ein PlugIn nutzen wollen, empfehlen wir Borlabs Cookie. Wir haben mit Benjamin Bornschein, dem CEO und Entwickler von Borlabs Cookies, einen Rabatt von bis zu 45% für eRecht24 Premium Nutzer vereinbart.

Als Agentur-Mitglied können Sie das Rabatt-Angebot auch für die Webseiten Ihrer Kunden nutzen.

Consent Management Provider (CMP)

Auch das Tool „Consent Management Provider“ funktioniert unabhängig von einem bestimmten CMS, ist also z.B. nicht auf Wordpress beschränkt. Es gibt eine kostenlose Variante mit einigen Einschränkungen und bis zu 10.000 Page Views/Monat. Auf die kostenpflichtige Variante erhalten eRecht24 Premium Nutzer 25% Rabatt.

Was mache ich, wenn mir keine dieser Lösungen zusagt?

Es gibt natürlich noch zahlreiche andere Anbieter, die alle bestimmte Vor- und Nachteile haben. Egal ob aus technischen, wirtschaftlichen oder rechtlichen Überlegungen:

Wenn Sie keine Lösung auf dem Markt finden, die ihren Ansprüchen gerecht wird, bleibt nur, eine Lösung für Ihre Webseiten und Dienste selbst entwickeln zu lassen.

Egal für welches Consent Tool Sie sich entscheiden: Prüfen Sie bitte, ob diese Voraussetzungen erfüllt sind:

• Die Einwilligung muss durch den Nutzer gesetzt werden und darf nicht schon per default angekreuzt sein.
• Das Tool muss vor der Einwilligung alle Cookies (bis auf das eigene Cookie des Consent Tools) blocken.
• Cookies dürfen erst nach der Einwilligung des Nutzers gesetzt werden.
• Es muss in der Einwilligungsbox jedes Tool einzeln benannt sein.
• Die Einwilligungen können (nach aktuellem Stand) in Gruppen zusammengefasst sein und müssen nicht für jedes Tool einzeln erklärt werden.
• Stellen Sie Ihr Consent Tool in Ihrer Datenschutzerklärung dar.

Vertrag zur Auftragsverarbeitung mit Google abschließen

Webseitenbetreiber, die Google Analytics nach den Vorgaben der Datenschützer nutzen wollen, müssen mit Google einen sogenannten AV-Vertrag (Auftragsverarbeitungs-Vertrag) abschließen. Das ist mit Geltung der DSGVO auf elektronischem Weg möglich, direkt in Ihrem Google-Analytics-Account:

• Loggen Sie sich bei https://analytics.google.com/
• Klicken Sie links unten auf den Punkt „Verwaltung“ (Zahnradsymbol).
• Im rechten Bereich ändert sich die Darstellung und sie finden dort links oben den Punkt „Kontoeinstellungen“, den Sie ebenfalls anklicken.
• In der geänderten Ansicht scrollen Sie nach unten bis zum Punkt „Datenverarbeitungsbedingungen“, wo Sie Googles Bedingungen einsehen können.
• Zur Zustimmung bestätigen Sie die entsprechende Checkbox.

IP-Anonymisierung 

IP-Adressen werden bei Google Analytics 4 bereits automatisch anonymisiert. Mit Universal Analytics musste dies in der Vergangenheit zusätzlich konfiguriert werden. 

Mess-ID einbinden

Jede neue Version von Google Analytics erfordert, dass Sie einen neuen Tracking-Code auf Ihrer Website einbinden. Für Google Analytics 4 müssen Sie derzeit den Tracking-Code nicht zusätzlich anpassen. Statt der bisherigen Tracking-ID der früheren Google-Analytics-Versionen erhalten Sie nun eine Mess-ID (Measurement ID) im Format G-XXXXXXXXXX.

So finden Sie Ihre Mess-ID in Google Analytics 4 

• Melden Sie sich in Ihrem Analytics-Konto an. 
• Klicken Sie unten Links auf das Zahnradsymbol (Verwaltung). 
• Wählen Sie in der Spalte PROPERTY die Option “Datenstreams” aus. 
• Klicken Sie auf den Datenstream zu Ihrer Website / URL. 
• Sie finden Ihre Mess-ID (G-XXXXXXXXXX) oben rechts auf der Seite. 

Für die Einbindung von Google Analytics 4 benötigen Sie das Script bzw. den Tracking-Code, in welchem mit GA4 die sogenannte Mess-ID (Measurement ID) im Format G-XXXXXXXXXX enthalten ist:

Haben Sie bisher Google Analytics Universal genutzt, können Sie die alte Tracking-ID einfach gegen die Mess-ID austauschen. Die IP-Anonymisierung benötigen Sie mit GA4 ab sofort nicht mehr - falls Sie diese bisher verwendet haben.

Einbindung auf der Website

Der JavaScript-Code muss auf Ihrer Website im sogenannten Kopfbereich (<head>) eingebunden werden. Sollten Sie z. B. WordPress nutzen, geht dies am einfachsten mit einem Plugin wie “Header and Footers”.

<script src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXXXXX" async="async" type="text/javascript"></script>
<script type="text/javascript">
window.dataLayer = window.dataLayer || [];
function gtag() { dataLayer.push(arguments); }
gtag('js', new Date());
gtag('config', 'G-XXXXXXXXXXX');
</script>

Widerruf über Consent-Tool, Opt-Out-Cookie und Browser-Plugin

Das bloße Opt-Out, also das Austragen eines Nutzers, ist bei Google Analytics auf einer Webseite nicht mehr ausreichend. Wie oben beschrieben, muss der Nutzer vorher zunächst einmal eingewilligt haben. Trotzdem muss ihm weiterhin die Möglichkeit gegeben werden, seine Einwilligung zu widerrufen, um dem Tracking seiner Daten nach der Einwilligung zu widersprechen. Dafür gibt es 3 Wege:

• Über das eingesetzte Consent-Tool
• Browser-PlugIn für Desktop
• Opt-Out-Cookie für mobile Nutzung

Über das eingesetzte Consent-Tool

Consent-Tools bieten im Gegensatz zu bloßen Cookie Bannern nicht nur die Möglichkeit, bestimmte Datenübertragungen zu erlauben (Einwilligung), sondern müssen auch die Möglichkeit bieten, diese Einwilligung zu widerrufen.

Browser-Plugin für Desktop

Nutzer, die die Seite über Desktop oder Notebooks aufrufen, können ein Browser Plug-In (addon) installieren, dass die Speicherung ihrer Daten unterbindet und einen Opt Out Cookie setzt. Dazu müssen Sie in Ihre Datenschutzerklärung einen Hinweis auf das Plug-In und den passenden Link auf https://tools.google.com/dlpage/gaoptout?hl=de einfügen.

Opt-Out-Cookie für mobile Nutzung

Da Browser-PlugIns auf mobilen Geräten wie Tablet oder Smartphone nicht funktionieren, ist für die mobile Nutzer eine weitere Lösung notwendig. Hier wird über Java-Script einen Opt-Out-Cookie gesetzt, der auch mobil funktioniert.

Der eigentliche Hinweis + Javascript-Code sieht wie folgt aus:

Sie können die Erfassung Ihrer Daten durch Google Analytics verhindern, indem Sie auf folgenden Link klicken. Es wird ein Opt-Out-Cookie gesetzt, dass das Erfassung Ihrer Daten bei zukünftigen Besuchen dieser Website verhindert:

<a href=“javascript:gaOptout()“>Google Analytics deaktivieren</a>

WICHTIG: Code richtig einbinden. Damit ist es aber nicht getan. Damit dieser Link funktioniert müssen Sie zunächst folgenden HTML-Quellcode mit Javascript VOR Ihrem Google Analytics Tracking Code platzieren.

<script>
var gaProperty = 'G-XXXXXXXXXX';
var disableStr = 'ga-disable-' + gaProperty;
if (document.cookie.indexOf(disableStr + '=true') > -1){
window[disableStr] = true;
}
function gaOptout() {
document.cookie = disableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';
window[disableStr] = true;
alert('Das Tracking durch Google Analytics wurde in Ihrem Browser für diese Website deaktiviert.');
}
</script>

Es ist möglich, dass Sie beim Einbinden des Codes auf folgende Probleme stoßen:

• Ihr HTML-Eingabe-Editor verbietet die Eingabe von Javascript-Funktionen in Links.
• Sie haben in Ihrem System keinen Berechtigung, die Inhalte im Head-Bereich Ihrer Webseite

Kontaktieren Sie in diesem Fall Ihren Hoster oder einen Webprogrammierer, der sich mit Ihrem System auskennt.

Für die Betreiber von Webseiten, die auf WordPress basieren, steht das Plugin Google Analytics Opt-Out zur Verfügung.

Datenschutzerklärung auf Ihrer Webseite anpassen

Wenn Sie diese Punkte umgesetzt haben, müssen Sie Ihre Datenschutzerklärung auf Ihrer Webseite anpassen und korrekt über die Speicherung und Verarbeitung der Nutzer-Daten im Rahmen von Google Analytics hinweisen.

Die Datenschutzerklärung sollte einen Hinweis auf die Auftragsverarbeitung (früher: Auftragsdatenverarbeitung) enthalten. Weiter muss der Hinweis auf die Widerspruchsmöglichkeit der Nutzer (Opt-Out-Cookie und Browser-Plug-In) mit vollständigem und korrektem Code enthalten sein.

Server-Side-Tracking

Durch den Einsatz eines Proxy-Servers können Sie das Risiko, durch die Verwendung von Google Analytics gegen die DSGVO zu verstoßen, weiter senken. Die erhobenen Datensätze werden dabei auf einem EU-Server pseudonymisiert. Da dieser Server nicht von Google betrieben wird, erhält das US-Unternehmen erst gar nicht die IP-Adressen Ihrer Nutzer.

Sofern es Ihnen möglich ist, sollten Sie diese Schutzmöglichkeit einsetzen. Sie ist jedoch kostspielig und für Kleinunternehmen oft nicht tragbar.

Transfer-Impact Assessments (TIA)

Nehmen Sie eine Risikofolgenabschätzung vor und prüfen Sie, inwieweit der Schutz personenbezogener Daten beim Einsatz von Google Analytics gewahrt werden kann.
Wenden Sie sich dazu gern an die Kanzlei SiebertLexow.

4. Welche Alternativen kann ich statt Google Analytics nutzen?

Der Aufwand, den Sie betreiben müssen, um Google Analytics DSGVO-konform einzusetzen, ist nicht gering. Das kann ein ausschlaggebender Grund sein, sich langfristig nach einer Alternative umzusehen. Wir stellen Ihnen einige EU-Anbieter von Analysetools vor, mit denen Sie datenschutzrechtlich auf der sicheren Seite sind.

Matomo

Matomo ist der bekannteste Google Analytics-Gegenspieler: Mit einem Markanteil von 16,6 Prozent in Deutschland ist das Tool dem US-Dienst sehr ähnlich. Es gibt eine kostenlose Version mit eingeschränkten Funktionen. Diese müssen Sie selbst hosten. Die kostenpflichtige Cloudversion enthält sämtliche wichtige Analysetools. Matomo ist ein Open-Source-Freemium-Produkt mit Server-Standorten in Deutschland.

eTracker

eTracker ist ein Analysetool aus Deutschland mit Sitz in Hamburg. Die Datenspeicherung findet in Deutschland statt, die Daten werden nicht an Dritte weitergegeben und auch nicht vom Unternehmen selbst weiterverwendet. Das Tool arbeitet – im Gegensatz zu Matomo – ohne Cookies. Das Tool ist in drei Versionen erhältlich. Je nach Version stehen Webseitenbetreibern unterschiedliche Funktionen zum Website-Controlling zur Verfügung.

Simple Analytics

Simple Analytics ist ein kleines Analytics Tool aus den Niederlanden. Es hat sich zur Aufgabe gemacht, so wenig Daten wie nötig zu sammeln und diese auch schneller wieder zu löschen. Wiederkehrende Nutzer können weniger gut erfasst werden. Weil die IP-Adresse nicht erhoben wird, sind Standortdaten weniger präzise. Das Tracking erfolgt ohne Cookies. Simple Analytics ist kostenpflichtig – dafür bezahlen die Nutzer aber nicht mit ihren Daten. Die Server stehen in Europa.

Plausible Analytics

Auch Plausible hat sich zum Ziel gesetzt, sinnvolle Daten und Informationen zu tracken, ohne in die Privatsphäre der Nutzer einzugreifen. Es werden keine persönlichen Daten und so wenig Informationen wie notwendig gesammelt. Auch Plausible ist eine Open-Source-Lösung und kann auf dem eigenen Server gehostet werden. Da auch kein Cookie-Banner für die Verwendung nötig ist, erfüllt Plausible die Anforderungen der DSGVO. Kampagnen und Conversions sind möglich.

5. Was sollte ich als Webseitenbetreiber jetzt tun?

Ob Sie GA4 weiterhin nutzen sollten oder nicht, hängt von Ihren individuellen Wünschen und Zielen ab. Als Seitenbetreiber haben Sie grundsätzlich die Wahl: Sie können Google Analytics mit besonderen Schutzvorkehrungen weiternutzen – oder sich nach einer Alternative umsehen. Die Entscheidung liegt bei Ihnen.

Möchten Sie sich beim Tracking weiterhin auf Google Analytics verlassen, sollten Sie die oben genannten Maßnahmen umsetzen, um die Gefahr eines DSGVO-Verstoßes, soweit es möglich ist, zu minimieren. Das Risiko lässt sich dadurch zwar nicht gänzlich ausschließen, aber auf ein vertretbares Maß senken. Wenn Sie Google Analytics weiter nutzen wollen, dann nur mit Cookie-Einwilligung und DSGVO-konformer Datenschutzerklärung.

Falls Sie eine Untersagungsverfügung der Datenschutzbehörden erhalten, sollten Sie diese nicht ignorieren und sich nach Alternativen umsehen – es gibt schließlich andere Analysetools, mit denen sich die DSGVO einfacher umsetzen lässt. Überlegen Sie, ob Sie Google Analytics wirklich brauchen oder ob Sie sich die Daten sowieso nur einmal im Jahr anschauen. Benötigen Sie überhaupt ein Analysetool? Oder ist Google Analytics ein für Sie wichtiges Verkaufsinstrument, von dem Ihr unternehmerischer Erfolg abhängt?

Wenn Sie wirtschaftlich nicht auf Google Analytics angewiesen sind, ist es am sinnvollsten, ganz auf die Verwendung zu verzichten. Dies ist der rechtlich sicherste und unkomplizierteste Weg – und mit den oben genannten Alternativen müssen Sie ja auch nicht gänzlich auf die Analyse der Nutzerdaten verzichten.

6. Was macht eRecht24?

• Wir haben die DSGVO konsequent dazu genutzt, Dienste zu entfernen, die ungefragt auf Nutzerdaten zugreifen.
• Was Social Media, Likes und Shares auf Facebook, Twitter, LinkedIn, Xing & Co. angeht, nutzen wir unser Safe Sharing Tool. Hier werden beim „Betreten“ der Webseite keine Daten an die Social Media Plattformen übertragen.
• Was das Tracking angeht, haben wir uns dazu entschlossen, Google Analytics aktuell nicht zu nutzen.

7. Checkliste für den korrekten Einsatz von Google Analytics

• Google Analytics nur mit Einwilligung / Cookie-Consent-Tool nutzen
• Vertrag zur Auftragsverarbeitung mit Google
• IP-Anonymisierung aktivieren & Code „anonymizeIp“ einbauen (nicht nötig bei Google Analytics 4)
• Widerspruchsmöglichkeit über Verwendung von GA in Datenschutzerklärung einbauen
• Wer auf den Einsatz eines Cookie Consent Tools verzichtet (gegen unsere Empfehlung), benötigt eine Widerspruchsmöglichkeit mit Opt-Out Cookie für seine Website

• Datenschutzerklärung anpassen hinsichtlich:

• Einsatz von Google Analytics
• Auftragsverarbeitung (früher: Auftragsdatenverarbeitung)
• IP-Anonymisierung
• Widerspruchsmöglichkeiten (Browser-Plugin und Opt-Out-Cookie)

• Einsatz eines Proxy-Servers prüfen
• Risikofolgenabschätzung vornehmen (lassen)

8. FAQ

• Zurück zur Übersicht: "Datenschutz"
• Was müssen Unternehmen nach der DSGVO intern regeln?
• Datenschutz bei Zoom
• Datenschutz bei Videokonferenzen
• Datenschutz von Mitarbeiterdaten
• Formulare
• Pur-Abo-Modell für Content-Unternehmen
• Datenschutz & Datenschutzerklärung für Handwerker
• Datenschutzerklärung für Vereine
• Datenschutz für Immobilienmakler

Mehr lesen zu:
Thema Tracking und Cookies