Google Analytics

Was beim Einsatz von Google Analytics rechtlich zählt

Google Analytics ist ein weit verbreitetes Werkzeug zur Reichweiten- und Verhaltensmessung auf Websites. Es setzt Cookies, sammelt Daten über das Nutzerverhalten und überträgt diese Daten zur Auswertung an Google-Server, die auch in den USA liegen können. Beides, das Setzen der Cookies und die Datenübermittlung, wirft eigene rechtliche Fragen auf.

Für das Setzen nicht notwendiger Cookies verlangt § 25 TDDDG eine vorherige Einwilligung, wie bei jedem anderen Analyse- oder Tracking-Dienst auch. Zusätzlich verlangt die DSGVO für die Übermittlung personenbezogener Daten in ein Land außerhalb der EU, ein sogenanntes Drittland, ein angemessenes Schutzniveau oder zusätzliche Garantien.

Beide Anforderungen gemeinsam machen Google Analytics zu einem Dienst, der besondere Sorgfalt verlangt: Es reicht nicht, nur die Einwilligung einzuholen, wenn die Datenübermittlung selbst rechtlich angreifbar bleibt.

Die Rechtsgrundlage: Schrems II und die Folgen

Der Europäische Gerichtshof erklärte 2020 im sogenannten Schrems-II-Urteil das damalige EU-US Privacy Shield für ungültig, weil es kein angemessenes Schutzniveau für Datenübermittlungen in die USA sicherstellte, insbesondere wegen der Zugriffsmöglichkeiten US-amerikanischer Behörden. Seither braucht die Übermittlung personenbezogener Daten in die USA zusätzliche Garantien, etwa Standardvertragsklauseln kombiniert mit ergänzenden technischen und organisatorischen Maßnahmen.

Für Google Analytics bedeutet das: Der bloße Einsatz des Dienstes reicht nicht automatisch aus, um datenschutzkonform zu sein. Mehrere deutsche Datenschutz-Aufsichtsbehörden haben in der Vergangenheit Bedenken gegen den Einsatz von Google Analytics ohne zusätzliche Schutzmaßnahmen geäußert, teils mit konkreten Beanstandungen einzelner Websites.

IP-Anonymisierung und ihre Grenzen

Google bietet eine Funktion zur IP-Anonymisierung an, bei der die IP-Adresse vor der Speicherung gekürzt wird. Diese Funktion mindert das Risiko, weil sie die direkte Identifizierbarkeit einzelner Besucher erschwert, löst aber nicht das grundsätzliche Problem der Datenübermittlung in ein Drittland.

Anonymisierung ersetzt keine Einwilligung

Ein verbreitetes Missverständnis ist, IP-Anonymisierung mache die vorherige Einwilligungspflicht überflüssig. Das ist nicht der Fall: Auch mit anonymisierter IP-Adresse werden weiterhin Cookies gesetzt und Nutzungsdaten verarbeitet, wofür weiterhin die Einwilligungspflicht nach § 25 TDDDG gilt.

Der häufigste Irrtum: „Anonymisiert ist doch unproblematisch“

Ein verbreiteter Irrtum ist, eine aktivierte IP-Anonymisierung mache Google Analytics grundsätzlich unproblematisch. Tatsächlich bleiben zwei Fragen unabhängig davon bestehen: ob überhaupt eine vorherige Einwilligung eingeholt wurde, und ob die Datenübermittlung in die USA durch ausreichende Zusatzgarantien abgesichert ist. Anonymisierung allein beantwortet keine der beiden Fragen.

Ein zweiter Irrtum ist, sich allein auf die Standardeinstellungen des Analytics-Tools zu verlassen. Viele Einstellungen zur Datensparsamkeit sind nicht automatisch aktiv, sondern müssen bewusst konfiguriert werden, etwa die Kürzung der IP-Adresse oder eine verkürzte Speicherdauer.

Die Rechtslage: § 25 TDDDG und Art. 44 ff. DSGVO

Rechtlich verlangt § 25 TDDDG die vorherige Einwilligung für das Setzen nicht notwendiger Cookies, wie sie Google Analytics einsetzt. Zusätzlich verlangen Art. 44 und folgende der DSGVO für die Übermittlung personenbezogener Daten in ein Drittland wie die USA ein angemessenes Schutzniveau oder geeignete Garantien, deren Anforderungen sich seit dem Schrems-II-Urteil verschärft haben.

Für die Praxis kommt es auf beide Ebenen gemeinsam an: Die Einwilligung muss vorliegen, bevor der Dienst lädt, und die Datenübermittlung in die USA muss durch geeignete Zusatzmaßnahmen abgesichert sein. Fehlt eine der beiden Ebenen, bleibt der Einsatz angreifbar.

So prüft der AppCore Audit Analytics-Dienste

Der AppCore Audit prüft mit der Lösung PrivacyScanner, ob Analyse-Dienste wie Google Analytics erst nach der Einwilligung laden und ob typische Risikomuster wie ein vorzeitiges Laden auftreten. Ob die vertragliche Transfer-Absicherung im Einzelfall ausreicht, lässt sich nur mit den eigenen Vertragsunterlagen klären.

Bußgeld und behördliche Beanstandung: die Folgen

Ein datenschutzwidriger Einsatz von Google Analytics kann von der zuständigen Aufsichtsbehörde beanstandet und mit einem Bußgeld geahndet werden, sowohl wegen der fehlenden Einwilligung als auch wegen einer unzureichend abgesicherten Datenübermittlung. Beide Aspekte können unabhängig voneinander geprüft und beanstandet werden.

Zusätzlich zum behördlichen Risiko ist ein vorzeitig ladendes Tracking-Tool auch wettbewerbsrechtlich über § 3a UWG angreifbar, weil es gegen die Marktverhaltensregel des § 25 TDDDG verstößt. Beide Risiken zusammen machen eine sorgfältige Prüfung besonders lohnend.

Den eigenen Analytics-Einsatz absichern

Die meisten Probleme entstehen aus einer unvollständigen Prüfung, die nur die Einwilligung, aber nicht die Datenübermittlung betrachtet, oder umgekehrt. Drei Fragen helfen bei der Einordnung. Erstens: Lädt Analytics wirklich erst nach der Einwilligung, nicht schon beim Seitenaufruf? Zweitens: Liegt für den Anbieter ein aktueller Auftragsverarbeitungsvertrag mit geeigneten Zusatzgarantien für die US-Übermittlung vor? Drittens: Sind Datensparsamkeits-Einstellungen wie IP-Anonymisierung und eine begrenzte Speicherdauer aktiviert?

Wer diese Fragen ehrlich beantwortet, findet die häufigsten Lücken selbst. Vorzeitig ladende Analyse-Skripte, eine nie geprüfte Transfer-Absicherung und nicht aktivierte Datensparsamkeits-Einstellungen gehören zu den klassischen Fundstellen.

Für Seiten mit mehreren Analyse- und Marketing-Diensten wird der Überblick über Einwilligung und Datenübermittlung schnell komplex. Genau hier setzt der AppCore Audit an: Er prüft, welche Dienste vor und nach der Einwilligung laden, und macht sichtbar, wo eine genauere vertragliche Prüfung sinnvoll ist.

Ein sorgfältig abgesicherter Analytics-Einsatz ist kein Verzicht auf wertvolle Nutzungsdaten, sondern eine solide Grundlage dafür, sie auch dauerhaft nutzen zu können. Wer Einwilligung, Vertrag und Datensparsamkeit zusammen denkt, senkt sein Compliance-Risiko spürbar.