Google Analytics hat erhebliche Auswirkungen auf die DSGVO-Konformität einer Website, weil das Tool personenbezogene Daten von Nutzern an Server in den USA überträgt. Ohne eine rechtskonforme Einwilligung und eine sorgfältige technische Konfiguration stellt der Einsatz von Google Analytics in der Regel einen Datenschutzverstoß dar. Die folgenden Abschnitte beleuchten die konkreten rechtlichen Risiken, die Anforderungen an Website-Betreiber und mögliche Alternativen.
Warum stufen Datenschutzbehörden Google Analytics als problematisch ein?
Datenschutzbehörden in Deutschland und ganz Europa stufen Google Analytics als problematisch ein, weil das Tool personenbezogene Daten wie IP-Adressen, Geräte-IDs und Nutzungsverhalten an Google-Server in den USA überträgt, ohne dass ein angemessenes Datenschutzniveau im Sinne der DSGVO gewährleistet ist. Hinzu kommt, dass Google die erhobenen Daten potenziell für eigene Zwecke weiterverwendet.
Konkret haben mehrere europäische Datenschutzbehörden, darunter die österreichische DSB, die französische CNIL und die niederländische AP, in offiziellen Beschlüssen festgestellt, dass der Einsatz von Google Analytics gegen die DSGVO verstößt. Der Kern des Problems liegt im sogenannten Drittlandtransfer: Daten fließen in die USA, wo US-Behörden unter Berufung auf den CLOUD Act und Section 702 FISA auf diese Daten zugreifen können. Standardvertragsklauseln allein reichen nach Ansicht vieler Behörden nicht aus, um dieses Risiko zu kompensieren.
Darüber hinaus setzt Google Analytics standardmäßig Cookies, die eine Einwilligung der Nutzer erfordern. Wird diese Einwilligung nicht wirksam eingeholt, liegt ein weiterer Verstoß vor. Viele Datenschutzbehörden betonen zudem, dass Google als Auftragsverarbeiter keine ausreichende Transparenz darüber bietet, wie und zu welchen Zwecken die Daten intern weiterverwendet werden.
Welche Daten überträgt Google Analytics in die USA?
Google Analytics überträgt typischerweise folgende Kategorien personenbezogener Daten in die USA: IP-Adressen der Websitebesucher, eindeutige Client-IDs aus Cookies, Informationen über Seitenaufrufe und Nutzerverhalten, Gerätedaten wie Betriebssystem und Browser sowie Standortinformationen auf Basis der IP-Adresse.
Besonders relevant ist die Client-ID, die in einem Cookie gespeichert wird und es ermöglicht, Nutzer über mehrere Sitzungen hinweg zu verfolgen. Diese ID gilt nach europäischem Datenschutzverständnis als personenbezogenes Datum, weil sie eine dauerhafte Identifizierbarkeit ermöglicht. Auch wenn Google eine IP-Anonymisierung anbietet, findet die Kürzung der IP-Adresse erst statt, nachdem die vollständige IP-Adresse an Google-Server übertragen wurde. Dieser Übertragungsvorgang selbst ist bereits datenschutzrechtlich relevant.
Zusätzlich können je nach Konfiguration weitere Daten übermittelt werden, etwa demografische Merkmale, Conversion-Daten oder benutzerdefinierte Ereignisse. Bei der Nutzung von Google Signals, einer optionalen Funktion, werden Daten sogar geräteübergreifend mit Google-Konten verknüpft, was das Datenschutzrisiko erheblich erhöht.
Was müssen Website-Betreiber konkret umsetzen, um Google Analytics DSGVO-konform einzusetzen?
Um Google Analytics so einzusetzen, dass keine offensichtlichen DSGVO-Verstöße entstehen, müssen Website-Betreiber mehrere technische und organisatorische Maßnahmen umsetzen. Eine rechtskonforme Einwilligung über ein geeignetes Consent-Management-Tool ist dabei die Grundvoraussetzung.
Die wichtigsten Anforderungen im Überblick:
- Wirksame Einwilligung einholen: Google Analytics darf erst nach einer aktiven, informierten und freiwilligen Einwilligung der Nutzer geladen werden. Ein vorangekreuztes Kästchen oder ein rein informierender Cookie-Banner reicht nicht aus.
- Consent-Management-Tool implementieren: Ein zertifiziertes Consent-Management-Tool muss sicherstellen, dass Google Analytics vor der Einwilligung blockiert wird.
- Google Consent Mode V2 konfigurieren: Seit März 2024 verlangt Google von Website-Betreibern, die Google Analytics zusammen mit Google-Werbung einsetzen, die Implementierung des Consent Mode V2. Im Basic Mode werden Google-Tags erst nach erteilter Einwilligung geladen. Im Advanced Mode werden auch ohne Einwilligung reduzierte Datenpings an Google übertragen. Letzteres ist datenschutzrechtlich nicht unumstritten.
- Auftragsverarbeitungsvertrag abschließen: Mit Google muss ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen werden.
- Datenschutzerklärung aktualisieren: Die Datenschutzerklärung muss den Einsatz von Google Analytics, den Zweck der Verarbeitung, die Rechtsgrundlage und den Drittlandtransfer transparent beschreiben.
- IP-Anonymisierung aktivieren: Auch wenn dies den Drittlandtransfer nicht vollständig löst, sollte die IP-Anonymisierung aktiviert sein.
- Google Signals deaktivieren: Diese Funktion erhöht das Datenschutzrisiko und sollte in den meisten Fällen deaktiviert bleiben.
Bitte beachten Sie: Diese Hinweise ersetzen keine rechtliche Beratung durch einen qualifizierten Datenschutzbeauftragten oder eine Kanzlei. Die datenschutzrechtliche Bewertung kann je nach konkreter Konfiguration und aktueller Rechtsprechung variieren.
Welche Bußgelder und Abmahnungen drohen bei DSGVO-Verstößen durch Google Analytics?
Bei einem rechtswidrigen Einsatz von Google Analytics drohen Website-Betreibern Bußgelder der Datenschutzbehörden sowie wettbewerbsrechtliche Abmahnungen durch Mitbewerber oder Verbände. Die DSGVO sieht bei Verstößen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.
In der Praxis haben europäische Datenschutzbehörden bereits konkrete Maßnahmen gegen Unternehmen ergriffen, die Google Analytics ohne ausreichende Rechtsgrundlage eingesetzt haben. Die österreichische DSB und die französische CNIL haben in mehreren Beschlüssen festgestellt, dass der Einsatz unter den damaligen Bedingungen rechtswidrig war. Auch in Deutschland haben Aufsichtsbehörden wiederholt auf die Problematik hingewiesen.
Neben behördlichen Bußgeldern besteht das Risiko wettbewerbsrechtlicher Abmahnungen. Verstöße gegen die DSGVO können unter bestimmten Umständen auch als Wettbewerbsverstoß gewertet werden, was zu kostspieligen Abmahnverfahren führen kann. Für kleine und mittlere Unternehmen können bereits die Anwaltskosten im Abmahnfall erheblich sein, unabhängig vom Ausgang des Verfahrens.
Welche datenschutzkonformen Alternativen zu Google Analytics gibt es?
Es gibt mehrere datenschutzfreundliche Alternativen zu Google Analytics, die entweder ohne Cookies auskommen oder Daten ausschließlich auf europäischen Servern verarbeiten. Die bekanntesten Alternativen sind Matomo, Plausible, Fathom Analytics und etracker.
Serverbasierte Lösungen mit eigenem Hosting
Matomo ist eine Open-Source-Webanalyse-Plattform, die selbst gehostet werden kann. Daten verlassen dabei nicht den eigenen Server, was den Drittlandtransfer vermeidet. In der Standardkonfiguration setzt Matomo zwar Cookies, kann aber auch cookiefrei betrieben werden, was unter bestimmten Bedingungen eine einwilligungsfreie Nutzung ermöglicht.
Cookie-freie SaaS-Lösungen
Plausible Analytics und Fathom Analytics verzichten vollständig auf Cookies und verarbeiten keine personenbezogenen Daten im klassischen Sinne. Beide Dienste speichern Daten auf europäischen Servern. etracker ist eine deutsche Lösung, die ebenfalls ohne Cookies betrieben werden kann. Wie in der Datenschutzpraxis bekannt ist, kann etracker ohne Cookies grundsätzlich einwilligungsfrei eingesetzt werden. Setzt etracker jedoch Cookies, sind diese ebenfalls einwilligungspflichtig.
Bei der Wahl einer Alternative sollten Sie prüfen, ob der Anbieter einen Auftragsverarbeitungsvertrag anbietet, wo die Daten gespeichert werden und ob die Lösung die für Ihr Unternehmen notwendigen Analysefunktionen abdeckt. Keine Alternative bietet exakt denselben Funktionsumfang wie Google Analytics, jedoch reichen die Grundfunktionen für die meisten Websites vollständig aus.
Wie lässt sich die Google-Analytics-Konfiguration einer Website automatisiert prüfen?
Die Google-Analytics-Konfiguration einer Website lässt sich automatisiert prüfen, indem ein spezialisiertes Scan-Tool die Website auf geladene Tracker, Cookies und den Einwilligungsstatus analysiert. Solche Tools erkennen, ob Google Analytics vor oder nach einer Nutzerinteraktion mit dem Consent-Banner geladen wird, und bewerten die Konfiguration des Consent Mode. Um die DSGVO-Konformität Ihrer Website zu prüfen, empfiehlt sich ein automatisierter Scan als erster Schritt.
Bei einer manuellen Prüfung über die Browser-Entwicklertools lässt sich zwar erkennen, ob Google-Analytics-Cookies gesetzt werden und ob Netzwerkanfragen an Google-Server gehen. Dieser Ansatz ist jedoch zeitaufwendig, fehleranfällig und skaliert schlecht, wenn mehrere Websites regelmäßig überwacht werden müssen.
Automatisierte Tools bieten hier klare Vorteile: Sie scannen Unterseiten, simulieren Nutzerinteraktionen mit dem Consent-Banner und erkennen, ob Google Analytics auch ohne Einwilligung geladen wird. Für den Consent Mode V2 ist dabei relevant, ob er implementiert ist, in welchem Modus er betrieben wird und ob die Signalübertragung korrekt funktioniert. Fehlerhafte Konfigurationen, etwa wenn auch ohne Einwilligung an Google gemeldet wird, dass eine Einwilligung erteilt wurde, lassen sich manuell kaum zuverlässig erkennen.
Bitte beachten Sie: Automatisierte Scans erkennen in den meisten Fällen technisch sichtbare Probleme, können aber keine vollständige rechtliche Bewertung ersetzen. Ergebnisse sollten stets in Abstimmung mit einem Datenschutzbeauftragten oder einer Kanzlei bewertet werden.
So unterstützt decareto bei der Prüfung von Google Analytics
Unsere Plattform decareto wurde speziell dafür entwickelt, die technische Prüfung von Websites auf Datenschutzschwachstellen zu automatisieren. Im Hinblick auf Google Analytics bieten wir konkret folgende Unterstützung:
- Automatische Erkennung von Google Analytics: Wir erkennen, ob Google Analytics auf einer Website eingesetzt wird, und bewerten, ob es vor oder nach einer Einwilligung geladen wird.
- Consent Mode V2 Prüfung: Wir informieren in einem eigenen Infokasten darüber, ob der Consent Mode implementiert ist, in welchem Modus er betrieben wird und ob eine offensichtlich fehlerhafte Konfiguration vorliegt.
- Cookie- und Tracker-Analyse: Wir prüfen alle von Google Analytics gesetzten Cookies auf ihre Einwilligungspflicht und melden, wenn Cookies ohne die erforderliche Einwilligung geladen werden.
- Risiko-Score: Unsere Berichte liefern einen nachvollziehbaren Risiko-Score, der auf der Anzahl der ohne Einwilligung geladenen Dienste und Cookies basiert.
- Kontinuierliche Überwachung: Hunderte Websites lassen sich dauerhaft überwachen. Bei Änderungen werden automatische Benachrichtigungen ausgelöst, damit Sie schnell reagieren können.
- Datenschutzerklärung-Generator: Auf Basis der Scan-Ergebnisse können Sie mit unserem Datenschutzerklärung-Generator eine passgenaue Datenschutzerklärung erstellen, die den Einsatz von Google Analytics korrekt dokumentiert.
decareto richtet sich an Datenschutzbeauftragte, Agenturen, Kanzleien und Compliance-Teams, die Website-Audits effizient und skalierbar durchführen möchten. Wenn Sie die Google-Analytics-Konfiguration Ihrer Websites systematisch prüfen möchten, testen Sie decareto jetzt kostenlos.
Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.
Ähnliche Artikel
- Wie reduziere ich den Aufwand für DSGVO-Website-Prüfungen als Kanzlei?
- Welche Unterseiten und Bereiche werden bei einem DSGVO-Scan oft übersehen?
- Was bedeutet WCAG-Konformität für Agenturen und ihre Kunden?
- Was sind die wichtigsten WCAG-Kriterien für Online-Shops?
- Wie erkennt man Barrierefreiheitsprobleme bei eingebetteten Videos?
