Google Analytics DSGVO-konform einsetzen

Google Analytics DSGVO-konform einsetzen – klappt das?

Google Analytics, Universal Analytics oder nur „Analytics“ – GA ist ein sehr berühmtes und beliebtes Tool für das Nutzertracking auf Websites, steht aber doch recht häufig bei unterschiedlichen Aufsichtsbehörden in der Kritik. Bereits die deutschen Datenschutzbehörden positionierten sich gegen die Nutzung von Google Analytics, weshalb es sinnvoll ist, sich mit der Thematik „Google Analytics DSGVO-konform einsetzen“ auseinanderzusetzen. Die österreichische Datenschutzbehörde erklärte die Nutzung von Google Analytics in einer Klage für rechtswidrig. Weitere Behörden wie die niederländische Datenschutzbehörde, die italienische Datenschutzbehörde und auch die dänische Datenschutzbehörde zogen nach und warnten vor dem Einsatz von Google Analytics bzw. verkündeten, sie würden weitere Beschlüsse verfolgen und Leitlinien bereitstellen.

Durch die vorwiegend negativen Reaktionen stellt sich die Frage, ob es überhaupt möglich ist, GA datenschutzkonform einzusetzen. Welche zusätzlichen Maßnahmen werden benötigt, um Analytics DSGVO-konform zu nutzen, und was genau muss bei der Nutzung beachtet werden?

In diesem Beitrag geben wir einen übersichtlichen und kompakten Einblick in die Problematik „Google Analytics vs. Datenschutz“ und empfehlen zwei Tools, die GA ersetzen können und das Cookieless-Tracking ermöglichen.

Kann man Google Analytics datenschutzkonform einsetzen?

Kurz gesagt: Es ist möglich, Universal Analytics datenschutzkonform zu nutzen. Jedoch müssen bestimmte Einstellungen beachtet werden. Außerdem bleibt immer ein gewisses Risiko, dass der Einsatz des Tools doch als rechtswidrig eingestuft werden kann. Jedoch erscheint dieses Risiko in Deutschland als eher gering, da bisher noch keine Maßnahmen der deutschen Behörden gegenüber GA ergriffen wurden. Ebenfalls wurde noch kein Bußgeld für die Nutzung von Google Analytics auf einer Website verhängt.

Welche Daten werden von Google Analytics erfasst?

Google Analytics sammelt Daten über die Nutzer einer Website – so viel steht fest. Daten können nach voreingestellten Einstellungen erhoben werden und im Anschluss nach bestimmten Parametern aufbereitet und ausgewertet werden. Besonders interessant für Websiteinhaber sind die Daten zu den Aufrufen einer Website, dem Nutzerverhalten auf einer Seite und die Verweildauer. Das Conversion-Tracking ist ebenfalls sehr wertvoll und analysiert bestimmte Aktionen wie den Download eines E-Books oder die Anmeldung zu einem Newsletter.

Google anonymisiert zwar bestimmte Daten über die Besucher einer Website, jedoch werden weitere Kennungen verwendet, die als personenbezogene Daten gelten. So wird die IP-Adresse zwar anonymisiert, jedoch werden Online-Identifikatoren im Klartext an Google weitergeleitet. Online-Identifikatoren werden zum Beispiel über Cookies gesetzt und gesammelt.

Zudem werden die von Google gesammelten IP-Adressen erst anonymisiert, nachdem die Übermittlung von Daten an Google bereits geschehen ist.

Wie sieht es mit dem neuen GA4 aus?

Es heißt, dass das neue GA4 (Universal Analytics 4) wesentlich datenschutzkonformer gestaltet ist als die vorherigen Versionen. In Google Analytics 4 soll die automatisierte Anonymisierung der IP-Adressen der Nutzer ebenfalls erfolgen. Zudem ist es als Nutzer bei GA4 möglich:

• die Datenverarbeitungsbedingungen von Google zu akzeptieren oder abzulehnen,
• Einstellungen für die Datenaufbewahrung und -freigabe personalisiert einzurichten,
• eine Anfrage bei Google einzureichen, um personenbezogene Daten löschen zu lassen.

Google-Analytics-Einstellungen zur datenschutzkonformen Nutzung

Um ein angemessenes Datenschutzniveau bei der Verwendung von Google Analytics/Universal Analytics zu erreichen, musst du GA mit einigen zusätzlichen Maßnahmen einrichten.

So ist es ganz wichtig, dass die Websitebesucher der Verwendung von Google Analytics auf der Website zustimmen – es muss zu einer ausdrücklichen Einwilligung kommen. Durch die Übermittlung personenbezogener Daten zusammen mit der IP-Adresse muss für die Cookies von GA unbedingt eine Einwilligung des Nutzers vorliegen. Über einen Cookie-Banner kann die ausdrückliche Einwilligung der Nutzer eingeholt werden. Es gibt bestimmte Vorgaben, wie ein Cookie-Banner gestaltet sein muss, um den Richtlinien der DSGVO zu entsprechen. Achte bei der Einrichtung immer darauf, dass du datenschutzfreundliche Voreinstellungen und die neuesten Vorgaben einhältst. Achte bei einem Cookie-Tool auch auf weitere wichtige nicht-technische und technische Maßnahmen:

• es dürfen keine Punkte auf dem Cookie-Banner vorangekreuzt sein – der Nutzer muss einwilligen,
• bis auf das Cookie des Cookie-Tools müssen alle Cookies gesperrt sein bei Aufruf der Website,
• in der Cookie-Box müssen alle Tools genannt werden,
• das Cookie-Tool/Consent-Tool muss in der Datenschutzerklärung genannt werden,
• gebe dem Nutzer die Chance, sich austragen zu können, mit der Opt-Out-Funktion des Cookie-Banners.

Des Weiteren muss in der Datenschutzerklärung der Website darauf hingewiesen werden, dass das Sammeln von Daten, sowie die Datenverarbeitung durch Google Analytics erfolgt.

Wichtig ist es auch, dafür zu sorgen, dass die IP-Adresse der Nutzer deiner Website anonymisiert wird. Bei der neuen Variante von Universal Analytics (GA4) musst du den Tracking-Code nicht separat anpassen, wie es bei der Version davor der Fall war.

Ein weiterer wichtiger Punkt bei der Nutzung von Google Analytics ist, einen Vertrag zur Auftragsverarbeitung mit Google abzuschließen. Möchtest du Google Analytics nach den offiziellen Vorgaben von Datenschützern nutzen, und somit den datenschutzkonformen Einsatz von Analytics garantieren, musst du den sogenannten AV-Vertrag in den Einstellungen von Google abschließen. Der Vertrag sollte immer abgeschlossen werden, sobald Traffic gemessen und mit personenbezogenen Daten hantiert wird. Werden personenbezogene Daten im Auftrag Dritter erhoben, ist dies ebenfalls notwendig. Dafür kannst du unter Verwaltung > Kontoeinstellungen > Datenverarbeitungsbedingungen die Bedingungen einsehen und bestätigen.

Alternativen für datenschutzkonformes Tracking

Du möchtest ein angemessenes Schutzniveau für die Daten deiner Websitebesucher garantieren? Die Lösung für das Google-Analytics-Problem heißt cookieless oder serverseitiges Tracking. Dadurch, dass die DSGVO stetig erweitert und „verbessert“ wird, kann es sinnvoll sein, sich mit anderen Tracking-Tools auseinanderzusetzen, um eine Alternative für Google Universal Analytics zu haben. Zudem sind mehrere Fragen rund um Cookies in der DSGVO immer noch nicht final geklärt. So könnte es sein, dass Cookies irgendwann gar nicht mehr unter berechtigtem Interesse laufen dürfen.

Es kann also von Nutzen sein, sich jetzt schon mit dem Thema Cookieless-Tracking auseinanderzusetzen und die passende Google-Analytics-Alternative zu suchen. Dafür haben wir unsere top zwei Tools Matomo und Usermaven etwas genauer beschrieben. Diese Tools empfehlen wir all unseren Kunden, die nach Tracking-Alternativen für Google Analytics suchen.

Matomo

Einer der bekanntesten Konkurrenten von Google Analytics ist Matomo. Das Unternehmen hat bereits einen großen Marktanteil in Deutschland. Die Funktionen ähneln dem amerikanischen Unternehmen sehr. Weitere Fakten zu Matomo:

1. Das Tool läuft auf Cloud-Basis und ist Open Source, weshalb es eine große Community dahinter gibt.
2. Es ist sehr leicht, das Tool einzurichten und anzufangen, mit dem Tracking zu beginnen.
3. Optisch und in der Praxis ähnelt es Google Analytics sehr, weshalb der Wechsel nicht schwerfallen sollte.
4. Matomo bietet vollständige Kontrolle über die gesammelten Daten und durch das Speichern auf den eigenen firmeninternen Servern deines Unternehmens ist es garantiert datenschutzkonform.
5. Individuelle Insights und Reports können sehr einfach über E-Mail geteilt werden.
6. Das Tool ist komplett kostenlos, wenn es selbst gehostet wird. Jedoch müssen bestimmte Tracking-Features wie z. B. A/B-Testing, Heatmaps oder WooCommerce Analytics dazugekauft werden. In der kostenpflichtigen Cloudversion sind wichtige Analysetools direkt enthalten.

Usermaven

Auch wenn Usermaven noch recht unbekannt ist und nicht zwischen den top Empfehlungen von Cookieless-Tracking-Tools steht, ist es dennoch ein sehr wertvolles Tool, was wir bereits ausgiebig testen konnten. Weitere Fakten zu Usermaven:

1. Man bekommt eine sehr gute Übersicht, wo die Nutzer herkommen: Usermaven trackt, ob Nutzer von Social, Google etc. kommen.
2. Usermaven ist sehr einfach zu bedienen und hat ein sehr nutzerfreundliches Interface.
3. Man sieht, auf welchen Seiten die Nutzer von der Website abspringen.
4. Für Online-Shops ist Usermaven durch das Klickstrecken-Feature und die Product-Insights sehr interessant.
5. Es ist einfach, Conversion-Goals zu erstellen. Zum Beispiel, wenn ein Formular abgeschickt oder ein Kauf abgeschlossen wird.
6. Bei dem Facebook-Pixel oder anderen Plattformen, die Daten sammeln, muss trotzdem noch ein Cookie-Banner auf der Website angegeben werden.
7. Die Server von Usermaven stehen in Frankfurt – datenschutzkonformer geht es kaum.
8. On top: Es gibt sogar eine kostenfreie Variante, die bis zu 1 Mio. Events im Monat trackt. Kostenpflichtig wird es dann, wenn man einige weitere Features hinzufügen möchte.