Was macht Google Analytics?
Google Analytics ist ein Tool zur Analyse des Nutzerverhaltens auf Webseiten. Seitenbetreiber sammeln und bewerten darüber Parameter wie Useraktivität und Verweildauer. Auf diese Weise können sie Rückschlüsse auf die Funktionalität ihrer Seite ziehen und diese optimieren.
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellenDarum ist Google Analytics datenschutzrechtlich relevant
Google Analytics sammelt und speichert umfangreiche User-Daten, u. a. auch IP-Adressen. Dabei werden diese, zum Teil personenbezogenen Daten von Deutschland in die USA weitergeleitet. Welche Daten genau Google dabei erhebt und speichert, ist nicht eindeutig. Denn: In den Datenschutzbestimmungen von Google finden sich nur wenige konkrete Aussage dazu, welche Daten es von Webseitenbesuchern überträgt und sammelt.
So können Webseitenbetreiber Google Analytics rechtssicher nutzen
Damit Webseitenbetreiber Google Analytics rechtssicher nutzen können, müssen sie eine Reihe von Maßnahmen vornehmen:
Nutzer-Einwilligung einholen
Bevor Seitenbetreiber personenbezogene Daten über Google Analytics sammeln und diese an Google in den USA weitergeben, müssen sie dafür die Einwilligung der Nutzer einholen. Das können sie beispielsweise über ein Cookie Consent Tool vornehmen. Dies lässt Nutzer ausdrücklich bestätigen, ob sie der Datenübertragung an Google zustimmen. Welche Tools dabei infrage kommen, haben wir in unserem Beitrag „Die 6 gängigsten Cookie Constent Tools“ erklärt.
Vertrag zur Auftragsdatenverarbeitung abschließen
Webseitenbetreiber müssen mit Google einen Vertrag zur Auftragsdatenverarbeitung (AV-Vertrag) nach Art. 28 Datenschutz-Grundverordnung (DSGVO) abschließen. Dieser regelt, dass und wie Seitenbetreiber ihre Daten an Google weitergeben und wie dies die Daten verarbeitet. Dabei sollten sie darauf achten, dass der Vertrag klärt,
- welche Userdaten Google speichert,
- wie lange Google die Nutzerdaten speichert,
- zu welchem Zweck Google die Daten verarbeitet und
- welche sonstigen Rechte und Pflichten beide Parteien haben.
IP-Anonymisierung vornehmen
Damit Webseitenbetreiber nicht weiter vollständige IP-Adresse speichern, bietet Google die Funktion „anonymizeIp“ an. Diese verkürzt die IP-Adresse und lässt so keinen konkreten Personenbezug mehr herstellen. Deutsche Datenschützer stufen IP-Adressen als personenbezogene Daten ein, die Webseitenbetreiber jedoch nur mit Einwilligung der User erheben dürfen. Verkürzen sie die IP automatisch, handelt es sich nicht mehr um personenbezogene Daten.
Datenschutzerklärung aktualisieren
Webseitenbetreiber müssen ihre Datenschutzerklärung anpassen. Dazu müssen sie Nutzer
- über die Erhebung, Speicherung und Verarbeitung ihrer Daten durch Google Analytics aufklären,
- auf die Auftragsdatenverarbeitung mit Google hinweisen,
- auf die Anonymisierung der IP über Googles „anonymizeIp“ verweisen und
- User auf die Möglichkeit hinweisen, der Datenerhebung zu widersprechen.
Worauf Seitenbetreiber beim Einsatz von Google Analytics noch achten müssen, haben wir in unserem ausführlichen Beitrag „Ist Google Analytics legal oder illegal: Was Webseitenbetreiber jetzt tun müssen (e-recht24.de)“ erklärt.
Wichtig: Universal Analytics wird zum 01.06.2023 vollständig eingestellt! Das bedeutet, sollten Sie bis dato Universal Analytics nutzen, empfehlen wir Ihnen jetzt bereits die Umstellung auf Google Analytics 4.
Rechtsprechung zu Google Analytics
Das Landgericht Hamburg entschied am 10.03.2016: Webseitenbetreiber dürfen Google Analytics nur nutzen, wenn sie in ihrer Datenschutzerklärung ausführlich darüber informieren, dass und wie sie über Analytics User-Daten erheben und speichern (312 O 127/16). Das Gericht hat diesen Beschluss am 09.08.2016 in einem Urteil bestätigt (Az. 406 HKO 120/16) und noch einmal klar gemacht: Klären Webseitenbetreiber nicht über die Datennutzung über Google Analytics auf, erfüllen sie nicht die Anforderungen des deutschen Datenschutzes.
Aktuelles zu Google Analytics
Derzeit liegen zwei aktuelle Entscheidungen zu Google Analytics vor:
Datenschutzbehörde Österreich zu Google Analytics
Die österreichische Datenschutzbehörde entschied im Januar 2022: Seitenbetreiber, die Google Analytics verwenden, verstoßen gegen die DSGVO. Das Tool hält nicht die allgemeinen Grundsätze der Datenübermittlung gemäß Art. 44 DSGVO ein. Denn: Google Analytics gibt persönliche Nutzerinformationen an Google in den USA weiter. Dort findet jedoch kein gesichertes Datenschutzniveau Anwendung. US-amerikanische Behörden können auf die Daten zugreifen, ohne dass sich Nutzer dagegen wehren können. Die Entscheidung der Datenschutzbehörde bezog sich jedoch nur auf einen spezifischen Fall in Österreich. Sie ist für Deutschland daher nicht relevant. Es ist jedoch wahrscheinlich, dass deutsche Datenschutzbehörden in naher Zukunft ähnlich entscheiden werden.
Datenschutzbehörde Frankreich zu Google Analytics
Die französische Datenschutzbehörde CNIL entschied Anfang Februar 2022: Seitenbetreiber, die Google Analytics verwenden, verstoßen gegen die Vorgaben der Datenübermittlung der DSGVO. Google hat zwar Schutzmaßnahmen ergriffen, um den Datentransfer zu schützen, unter anderem durch den Abschluss von EU-Standardvertragsklauseln. Das reicht jedoch nicht aus, da US-Behörden wie Geheimdienste weiter uneingeschränkt auf Nutzerdaten zugreifen können. Damit schloss sich die französische Datenschutzbehörde der Entscheidung der österreichischen Behörde an.
