Google Analytics datenschutzkonform nutzen

Natürlich unterstützen wir Sie gerne bei der Prüfung und Anpassung Ihrer Implementierung.

Keine Zeit das jetzt durchzulesen? Kein Problem – wir haben unsere Tipps für den datenschutzkonformen Einsatz von Google Analytics auch als PDF zum Download vorbereitet.

Außerdem bieten wir mit unserem Konformitäts-Check eine Überprüfung Ihrer Google Analytics Implementierung. Details und Terminvereinbarung finden Sie hier.

Was bedeutet die Entscheidung konkret?

Der Teilbescheid der Datenschutzbehörde in dem konkret vorliegenden Fall stellt fest, dass die dort stattgefundene Einbindung von Google Analytics zum damaligen Zeitpunkt (14.08.2020) unter anderem folgende Mängel aufgewiesen hat:

die Nutzung von Google Analytics wurde lediglich auf den alten SCCs (Standard Contractual Clauses) gestützt
eine Einwilligung zur Datenverarbeitung wurde nicht eingeholt
die Anonymisierung der IP-Adresse wurde nicht korrekt aktiviert

Um solchen Mängeln bei der Nutzung von GA vorzubeugen braucht es ein fundiertes Konzept und eine saubere Implementierung – und beides fehlt oftmals (wie im angekreideten Fall).

Daraus ergeben sich wesentliche Maßnahmen, die eine saubere, solide und vor allem werthaltige Nutzung erlauben.*

Warum ist das Thema überhaupt so brisant?

Seit die Verwendung von Google Analytics und der Datenaustausch mit Google auch die Gerichte beschäftigt verweisen viele Stimmen darauf, einfach ein anderes, EU-based Analytics Tool zu verwenden.
Ob das ein guter Rat ist hängt eindeutig von der Zielsetzung Ihrer Aktivitäten ab. Google Analytics ist längst kein reines Analyse-Tool, sondern vielmehr eine Datenaktivierungs-Zentrale und Basis für jegliches datengetriebenes, zielgerichtetes, kanal- und funnelübergreifendes Marketing. Die Vorteile von GA:

Reportings & Insights
Rohdaten in Echtzeit -> AI & DWH
Predictions, Clustering & Personalisierung in Echtzeit
Audiences für Targeting
Anreicherung mit CRM, Ausbau zu CDP
Aktivierung in E-Mail, Social, Offsite

Siegfried Stepke beim DMVÖ Online Talk zu den Vorteilen von Google Analytics

Wie kann nun Google Analytics datenschutzkonform eingesetzt werden?

Siegfried Stepke zeigt beim DMVÖ Online Talk die wichtigsten Schritte zum datenschutzkonformen Einsatz von Google Analytics

1. Halten Sie sich an rechtliche Rahmenbedingungen!

Google hat die “Google Data Processing Terms for all Google Products” entsprechend angepasst, um die neuen Versionen der Standardvertragsklauseln (SCC) widerzuspiegeln. Akzeptieren Sie das neue Data Processing Agreement (DPA) und damit den Auftragsverarbeitungsvertrag von Google in den Settings von Google Analytics.

Erstellen Sie zudem ein Transfer Impact Assessment (TIA). Ziel dieser Analyse ist die Risikobeurteilung für Datenübermittlungen. Die Pflicht dazu ergibt sich aus den Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer.

Weisen Sie zudem auch in Ihren Datenschutzbestimmungen auf eine mögliche Datenübermittlung in Drittstaaten hin und aktualisieren Sie diese entsprechend.

2. Holen Sie sich die Einwilligung - vorab!

Achten Sie darauf, dass Sie die Einwilligung Ihrer WebsitenbesucherInnen vorab einholen. Das bedeutet, dass Sie Google Analytics erst feuern können, wenn Sie die Einwilligung dazu erhalten haben und diese auch speichern sowie beauskunften können.

Wir empfehlen Ihnen zudem einen Hinweis auf eine mögliche Datenübermittlung direkt in den Bannertext einzupflegen und eine explizite Einwilligung zu einer Datenübermittlung in ein Drittland einzuholen.

Eine Consent Management Plattform (CMP) erleichtert diesen Prozess.

3. Achten Sie auf die richtige Konfiguration von Google Analytics

Achten Sie bei Ihrem Setup darauf, dass keine personenbezogenen Daten/PIIs in Analytics einfließen und dass Sie von Features wie zum Beispiel der IP-Anonymization Gebrauch machen.

Wir unterstützen Sie hierbei gerne, bieten GA-Audits auf Personenbezug an und begleiten Sie bei der optimalen Analytics-Implementierung, sodass Ihr Webanalyse-Tool weiterhin sorgenfrei und vor allem datenschutzkonform eingesetzt werden kann.

4. Auf Serverside Tracking umstellen

Serverseitiges Tracking ist nicht nur eine geeignete Lösung, um die Lebensdauer von 1st-Party Cookies zu erhöhen und so manchen Tracking-Blocker zu umgehen, sondern man hat dabei auch Möglichkeiten die Daten zu adaptieren bevor sie an Google Analytics gesendet werden. Das bedeutet konkret, dass man zum Beispiel die IP-Adressen der User komplett entfernt, bevor man die Daten weiter an Google Analytics sendet.

Kristina Niederer und Siegfried Stepke informieren beim DMVÖ Online Talk über die Möglichkeiten zum datenschutzkonformen Einsatz von Google Analytics und gehen im Detail auf Serverside Tracking ein:

Vorteile des Einsatzes von Serverseitigem Tracking

Wie funktioniert Serverseitiges Tracking

Serverside Tracking und Datenschutz

Fazit

Mit diesen Maßnahmen können Sie Google Analytics rechtskonform nutzen.* Achten Sie auf die rechtlichen Rahmenbedingungen, die rechtskonforme Einholung der Nutzer-Einwilligung, das korrekte Tracking-Setup und nutzen Sie Serverside Tracking.

Jetzt die Konformität prüfen!

Mit dem Konformitäts-Check bieten wir eine Überprüfung Ihrer Google Analytics Implementierung. Details und Terminvereinbarung finden Sie hier.

Update:

Für den rechtskonformen Austausch von Daten mit Personenbezug an Google – mit dem Consent Ihrer Userinnen und User – empfehlen wir die Verschlüsselung auf Serverside Tracking Ebene, um den aktuell geltenden Rechtsmeinungen (DSB / AT, CNIL / FR) zu entsprechen. Unsere Experten unterstützen Sie bei:

Serverside Tracking in der EU – ein Serverstandort in der EU bedeutet kein Zugriff durch Google, keine Übermittlung der IP-Adresse an Google.
Strippen aller Daten, die indirekten Personenbezug ableiten lassen (zB Browserkennung)
Verschlüsselung aller IDs mit Personenbezug BEVOR sie an Google übertragen werden

Wenn Sie weitere Fragen zu diesem Thema, den oben genannten Punkten sowie auch der Einbindung von Google Analytics haben, helfen wir Ihnen gerne weiter. kontakt@e-dialog.group

*Wir möchten betonen, dass wir keine Rechtsberatungsdienstleistung erbringen und die hier zur Verfügung gestellten Informationen auch eine solche nicht ersetzen können.