Um Analytics-Tools auf DSGVO-Verst\u00f6\u00dfe zu pr\u00fcfen, untersuchen Sie, ob das Tool personenbezogene Daten wie IP-Adressen oder Nutzerverhalten ohne wirksame Einwilligung verarbeitet, Daten in unsichere Drittstaaten \u00fcbertr\u00e4gt oder im Consent-Banner falsch eingestuft ist. Besonders kritisch sind Tools, die Cookies setzen oder externe Server kontaktieren, bevor der Nutzer aktiv zugestimmt hat. Dieser Artikel beantwortet die wichtigsten Folgefragen rund um DSGVO-konformes Analytics-Tracking.<\/p>\n\n\n\n
Analytics-Tools versto\u00dfen gegen die DSGVO vor allem dann, wenn sie ohne wirksame Einwilligung personenbezogene Daten verarbeiten oder diese in L\u00e4nder ohne angemessenes Datenschutzniveau \u00fcbertragen. Besonders h\u00e4ufig betroffen sind Tools, die Daten an US-amerikanische Server senden, da dort kein mit der EU vergleichbarer Datenschutzstandard gilt.<\/p>\n\n\n\n
Google Analytics<\/strong> steht dabei besonders im Fokus. Mehrere europ\u00e4ische Datenschutzbeh\u00f6rden haben festgestellt, dass der Einsatz von Google Analytics in seiner Standardkonfiguration problematisch ist, weil Nutzerdaten in die USA \u00fcbertragen werden. \u00c4hnliches gilt f\u00fcr andere Google-Dienste: So wurde Google Fonts 2022 und 2023 in Deutschland und \u00d6sterreich durch Gerichtsentscheidungen als datenschutzrechtlich riskant eingestuft, wenn es dynamisch von Google-Servern geladen wird. Dieser Umstand verschlechtert den Risiko-Score einer Website in automatisierten Pr\u00fcftools zus\u00e4tzlich.<\/p>\n\n\n\n Weitere h\u00e4ufig auff\u00e4llige Tools sind Facebook Pixel, Hotjar und \u00e4hnliche Verhaltensanalyse-Dienste, die in der Kategorie „Werbung“ oder „Tracking“ eingestuft werden. F\u00fcr diese gilt nach dem Grundsatz der DSGVO stets die Einwilligung als Rechtsgrundlage. Werden sie vor einer aktiven Nutzerinteraktion geladen, liegt ein potenzieller DSGVO-Versto\u00df vor.<\/p>\n\n\n\n Analytics-Tracking erzeugt Datenschutzprobleme, weil es typischerweise personenbezogene Daten wie IP-Adressen, Ger\u00e4teinformationen und Nutzungsverhalten erfasst und an externe Anbieter \u00fcbertr\u00e4gt, sobald eine Website aufgerufen wird. Geschieht dies ohne Einwilligung, fehlt die notwendige Rechtsgrundlage nach Art. 6 DSGVO.<\/p>\n\n\n\n Konkret entstehen dabei folgende Problemfelder:<\/p>\n\n\n\n Ein h\u00e4ufig \u00fcbersehener Aspekt: Wenn ein Dienst eine Einwilligung ben\u00f6tigt, weil er Daten in einem unsicheren Drittstaat verarbeitet, gilt diese Einwilligungspflicht auch f\u00fcr seine Cookies, selbst wenn diese technisch als notwendig eingestuft werden k\u00f6nnten.<\/p>\n\n\n\n Die technische DSGVO-Pr\u00fcfung von Analytics-Tools umfasst die Analyse des Netzwerkverkehrs einer Website, die Identifikation gesetzter Cookies und die \u00dcberpr\u00fcfung, ob externe Dienste vor oder nach einer Nutzereinwilligung geladen werden. Diese Pr\u00fcfung l\u00e4sst sich manuell oder automatisiert durchf\u00fchren.<\/p>\n\n\n\n \u00d6ffnen Sie Ihren Browser und rufen Sie die zu pr\u00fcfende Website auf, ohne im Consent-Banner auf „Akzeptieren“ zu klicken. Nutzen Sie die Entwicklertools (F12 in den meisten Browsern) und wechseln Sie zum Reiter „Netzwerk“. Filtern Sie nach externen Anfragen und pr\u00fcfen Sie, welche Verbindungen bereits vor jeder Interaktion aufgebaut werden. Im Reiter „Anwendung“ oder „Speicher“ sehen Sie au\u00dferdem, welche Cookies bereits gesetzt wurden. Verbindungen zu Google-Servern, Facebook oder \u00e4hnlichen Anbietern vor der Einwilligung sind ein klares Warnsignal.<\/p>\n\n\n\n Manuelle Pr\u00fcfungen sind zeitaufwendig und fehleranf\u00e4llig, besonders wenn mehrere Unterseiten oder passwortgesch\u00fctzte Bereiche untersucht werden sollen. Automatisierte DSGVO-Website-Scanner<\/a> \u00fcbernehmen diese Aufgabe systematisch: Sie erfassen alle gesetzten Cookies, identifizieren externe Dienste, pr\u00fcfen den Zeitpunkt des Ladens in Relation zur Nutzerinteraktion und bewerten die Ergebnisse anhand hinterlegter Datenschutzkonfigurationen. Typischerweise pr\u00fcft ein solcher Scanner auch, ob ein Consent-Management-Tool vorhanden ist und ob dieses korrekt konfiguriert ist.<\/p>\n\n\n\n Eine DSGVO-konforme Einwilligung f\u00fcr Analytics-Tools muss freiwillig, informiert, spezifisch und unmissverst\u00e4ndlich sein. Der Nutzer muss aktiv zustimmen, etwa durch einen Klick auf „Akzeptieren“, bevor das Analytics-Tool Daten erfasst oder Cookies setzt. Eine vorausgef\u00fcllte Checkbox oder das blo\u00dfe Weitersurfen gen\u00fcgt nicht.<\/p>\n\n\n\n Im Einzelnen bedeutet das f\u00fcr die Gestaltung des Consent-Banners:<\/p>\n\n\n\n Hinweis: Ob ein Consent-Banner im rechtlichen Sinne eine wirksame Einwilligung einholt, l\u00e4sst sich durch automatisierte Tools nicht abschlie\u00dfend beurteilen. Automatisierte Scanner erkennen, ob ein Banner vorhanden ist und ob nach einer Nutzerinteraktion andere Dienste geladen werden. Die rechtliche Bewertung sollte durch einen Datenschutzbeauftragten oder eine Kanzlei erfolgen.<\/p>\n\n\n\n F\u00fcr die automatisierte DSGVO-Pr\u00fcfung von Analytics-Tools eignen sich spezialisierte Website-Scanner, die Cookies, externe Dienste und Consent-Banner systematisch analysieren und die Ergebnisse in strukturierten Reports aufbereiten. Sie reduzieren den manuellen Aufwand erheblich und erm\u00f6glichen die \u00dcberwachung mehrerer Websites gleichzeitig.<\/p>\n\n\n\n Dabei unterst\u00fctzt uns decareto als SaaS-Plattform mit folgenden Funktionen gezielt:<\/p>\n\n\n\nWelche Datenschutzprobleme entstehen durch Analytics-Tracking?<\/h2>\n\n\n\n
\n
Wie pr\u00fcft man Analytics-Tools technisch auf DSGVO-Konformit\u00e4t?<\/h2>\n\n\n\n
Manuelle Pr\u00fcfung mit Browser-Entwicklertools<\/h3>\n\n\n\n
Automatisierte Pr\u00fcfung per Website-Scanner<\/h3>\n\n\n\n
Was muss eine DSGVO-konforme Einwilligung f\u00fcr Analytics enthalten?<\/h2>\n\n\n\n
\n
Welche Tools helfen bei der automatisierten DSGVO-Pr\u00fcfung von Analytics?<\/h2>\n\n\n\n
\n