Google Analytics hat erhebliche Auswirkungen auf die DSGVO-Konformit\u00e4t einer Website, weil das Tool personenbezogene Daten von Nutzern an Server in den USA \u00fcbertr\u00e4gt. Ohne eine rechtskonforme Einwilligung und eine sorgf\u00e4ltige technische Konfiguration stellt der Einsatz von Google Analytics in der Regel einen Datenschutzversto\u00df dar. Die folgenden Abschnitte beleuchten die konkreten rechtlichen Risiken, die Anforderungen an Website-Betreiber und m\u00f6gliche Alternativen.<\/p>\n\n\n\n
Datenschutzbeh\u00f6rden in Deutschland und ganz Europa stufen Google Analytics als problematisch ein, weil das Tool personenbezogene Daten wie IP-Adressen, Ger\u00e4te-IDs und Nutzungsverhalten an Google-Server in den USA \u00fcbertr\u00e4gt, ohne dass ein angemessenes Datenschutzniveau im Sinne der DSGVO gew\u00e4hrleistet ist. Hinzu kommt, dass Google die erhobenen Daten potenziell f\u00fcr eigene Zwecke weiterverwendet.<\/p>\n\n\n\n
Konkret haben mehrere europ\u00e4ische Datenschutzbeh\u00f6rden, darunter die \u00f6sterreichische DSB, die franz\u00f6sische CNIL und die niederl\u00e4ndische AP, in offiziellen Beschl\u00fcssen festgestellt, dass der Einsatz von Google Analytics gegen die DSGVO verst\u00f6\u00dft. Der Kern des Problems liegt im sogenannten Drittlandtransfer: Daten flie\u00dfen in die USA, wo US-Beh\u00f6rden unter Berufung auf den CLOUD Act und Section 702 FISA auf diese Daten zugreifen k\u00f6nnen. Standardvertragsklauseln allein reichen nach Ansicht vieler Beh\u00f6rden nicht aus, um dieses Risiko zu kompensieren.<\/p>\n\n\n\n
Dar\u00fcber hinaus setzt Google Analytics standardm\u00e4\u00dfig Cookies, die eine Einwilligung der Nutzer erfordern. Wird diese Einwilligung nicht wirksam eingeholt, liegt ein weiterer Versto\u00df vor. Viele Datenschutzbeh\u00f6rden betonen zudem, dass Google als Auftragsverarbeiter keine ausreichende Transparenz dar\u00fcber bietet, wie und zu welchen Zwecken die Daten intern weiterverwendet werden.<\/p>\n\n\n\n
Google Analytics \u00fcbertr\u00e4gt typischerweise folgende Kategorien personenbezogener Daten in die USA: IP-Adressen der Websitebesucher, eindeutige Client-IDs aus Cookies, Informationen \u00fcber Seitenaufrufe und Nutzerverhalten, Ger\u00e4tedaten wie Betriebssystem und Browser sowie Standortinformationen auf Basis der IP-Adresse.<\/p>\n\n\n\n
Besonders relevant ist die Client-ID, die in einem Cookie gespeichert wird und es erm\u00f6glicht, Nutzer \u00fcber mehrere Sitzungen hinweg zu verfolgen. Diese ID gilt nach europ\u00e4ischem Datenschutzverst\u00e4ndnis als personenbezogenes Datum, weil sie eine dauerhafte Identifizierbarkeit erm\u00f6glicht. Auch wenn Google eine IP-Anonymisierung anbietet, findet die K\u00fcrzung der IP-Adresse erst statt, nachdem die vollst\u00e4ndige IP-Adresse an Google-Server \u00fcbertragen wurde. Dieser \u00dcbertragungsvorgang selbst ist bereits datenschutzrechtlich relevant.<\/p>\n\n\n\n
Zus\u00e4tzlich k\u00f6nnen je nach Konfiguration weitere Daten \u00fcbermittelt werden, etwa demografische Merkmale, Conversion-Daten oder benutzerdefinierte Ereignisse. Bei der Nutzung von Google Signals, einer optionalen Funktion, werden Daten sogar ger\u00e4te\u00fcbergreifend mit Google-Konten verkn\u00fcpft, was das Datenschutzrisiko erheblich erh\u00f6ht.<\/p>\n\n\n\n
Um Google Analytics so einzusetzen, dass keine offensichtlichen DSGVO-Verst\u00f6\u00dfe entstehen, m\u00fcssen Website-Betreiber mehrere technische und organisatorische Ma\u00dfnahmen umsetzen. Eine rechtskonforme Einwilligung \u00fcber ein geeignetes Consent-Management-Tool ist dabei die Grundvoraussetzung.<\/p>\n\n\n\n
Die wichtigsten Anforderungen im \u00dcberblick:<\/p>\n\n\n\n
Bitte beachten Sie: Diese Hinweise ersetzen keine rechtliche Beratung durch einen qualifizierten Datenschutzbeauftragten oder eine Kanzlei. Die datenschutzrechtliche Bewertung kann je nach konkreter Konfiguration und aktueller Rechtsprechung variieren.<\/p>\n\n\n\n
Bei einem rechtswidrigen Einsatz von Google Analytics drohen Website-Betreibern Bu\u00dfgelder der Datenschutzbeh\u00f6rden sowie wettbewerbsrechtliche Abmahnungen durch Mitbewerber oder Verb\u00e4nde. Die DSGVO sieht bei Verst\u00f6\u00dfen Bu\u00dfgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag h\u00f6her ist.<\/p>\n\n\n\n
In der Praxis haben europ\u00e4ische Datenschutzbeh\u00f6rden bereits konkrete Ma\u00dfnahmen gegen Unternehmen ergriffen, die Google Analytics ohne ausreichende Rechtsgrundlage eingesetzt haben. Die \u00f6sterreichische DSB und die franz\u00f6sische CNIL haben in mehreren Beschl\u00fcssen festgestellt, dass der Einsatz unter den damaligen Bedingungen rechtswidrig war. Auch in Deutschland haben Aufsichtsbeh\u00f6rden wiederholt auf die Problematik hingewiesen.<\/p>\n\n\n\n
Neben beh\u00f6rdlichen Bu\u00dfgeldern besteht das Risiko wettbewerbsrechtlicher Abmahnungen. Verst\u00f6\u00dfe gegen die DSGVO k\u00f6nnen unter bestimmten Umst\u00e4nden auch als Wettbewerbsversto\u00df gewertet werden, was zu kostspieligen Abmahnverfahren f\u00fchren kann. F\u00fcr kleine und mittlere Unternehmen k\u00f6nnen bereits die Anwaltskosten im Abmahnfall erheblich sein, unabh\u00e4ngig vom Ausgang des Verfahrens.<\/p>\n\n\n\n
Es gibt mehrere datenschutzfreundliche Alternativen zu Google Analytics, die entweder ohne Cookies auskommen oder Daten ausschlie\u00dflich auf europ\u00e4ischen Servern verarbeiten. Die bekanntesten Alternativen sind Matomo, Plausible, Fathom Analytics und etracker.<\/p>\n\n\n\n
Matomo<\/strong> ist eine Open-Source-Webanalyse-Plattform, die selbst gehostet werden kann. Daten verlassen dabei nicht den eigenen Server, was den Drittlandtransfer vermeidet. In der Standardkonfiguration setzt Matomo zwar Cookies, kann aber auch cookiefrei betrieben werden, was unter bestimmten Bedingungen eine einwilligungsfreie Nutzung erm\u00f6glicht.<\/p>\n\n\n\n Plausible Analytics<\/strong> und Fathom Analytics<\/strong> verzichten vollst\u00e4ndig auf Cookies und verarbeiten keine personenbezogenen Daten im klassischen Sinne. Beide Dienste speichern Daten auf europ\u00e4ischen Servern. etracker<\/strong> ist eine deutsche L\u00f6sung, die ebenfalls ohne Cookies betrieben werden kann. Wie in der Datenschutzpraxis bekannt ist, kann etracker ohne Cookies grunds\u00e4tzlich einwilligungsfrei eingesetzt werden. Setzt etracker jedoch Cookies, sind diese ebenfalls einwilligungspflichtig.<\/p>\n\n\n\n Bei der Wahl einer Alternative sollten Sie pr\u00fcfen, ob der Anbieter einen Auftragsverarbeitungsvertrag anbietet, wo die Daten gespeichert werden und ob die L\u00f6sung die f\u00fcr Ihr Unternehmen notwendigen Analysefunktionen abdeckt. Keine Alternative bietet exakt denselben Funktionsumfang wie Google Analytics, jedoch reichen die Grundfunktionen f\u00fcr die meisten Websites vollst\u00e4ndig aus.<\/p>\n\n\n\n Die Google-Analytics-Konfiguration einer Website l\u00e4sst sich automatisiert pr\u00fcfen, indem ein spezialisiertes Scan-Tool die Website auf geladene Tracker, Cookies und den Einwilligungsstatus analysiert. Solche Tools erkennen, ob Google Analytics vor oder nach einer Nutzerinteraktion mit dem Consent-Banner geladen wird, und bewerten die Konfiguration des Consent Mode. Um die DSGVO-Konformit\u00e4t Ihrer Website zu pr\u00fcfen<\/a>, empfiehlt sich ein automatisierter Scan als erster Schritt.<\/p>\n\n\n\n Bei einer manuellen Pr\u00fcfung \u00fcber die Browser-Entwicklertools l\u00e4sst sich zwar erkennen, ob Google-Analytics-Cookies gesetzt werden und ob Netzwerkanfragen an Google-Server gehen. Dieser Ansatz ist jedoch zeitaufwendig, fehleranf\u00e4llig und skaliert schlecht, wenn mehrere Websites regelm\u00e4\u00dfig \u00fcberwacht werden m\u00fcssen.<\/p>\n\n\n\n Automatisierte Tools bieten hier klare Vorteile: Sie scannen Unterseiten, simulieren Nutzerinteraktionen mit dem Consent-Banner und erkennen, ob Google Analytics auch ohne Einwilligung geladen wird. F\u00fcr den Consent Mode V2 ist dabei relevant, ob er implementiert ist, in welchem Modus er betrieben wird und ob die Signal\u00fcbertragung korrekt funktioniert. Fehlerhafte Konfigurationen, etwa wenn auch ohne Einwilligung an Google gemeldet wird, dass eine Einwilligung erteilt wurde, lassen sich manuell kaum zuverl\u00e4ssig erkennen.<\/p>\n\n\n\n Bitte beachten Sie: Automatisierte Scans erkennen in den meisten F\u00e4llen technisch sichtbare Probleme, k\u00f6nnen aber keine vollst\u00e4ndige rechtliche Bewertung ersetzen. Ergebnisse sollten stets in Abstimmung mit einem Datenschutzbeauftragten oder einer Kanzlei bewertet werden.<\/p>\n\n\n\n Unsere Plattform decareto wurde speziell daf\u00fcr entwickelt, die technische Pr\u00fcfung von Websites auf Datenschutzschwachstellen zu automatisieren. Im Hinblick auf Google Analytics bieten wir konkret folgende Unterst\u00fctzung:<\/p>\n\n\n\nCookie-freie SaaS-L\u00f6sungen<\/h3>\n\n\n\n
Wie l\u00e4sst sich die Google-Analytics-Konfiguration einer Website automatisiert pr\u00fcfen?<\/h2>\n\n\n\n
So unterst\u00fctzt decareto bei der Pr\u00fcfung von Google Analytics<\/h2>\n\n\n\n
\n