Das ist nicht das Ende von Google Analytics!

In der aktuellen Berichterstattungen wird gemeldet, dass Google Analytics nach einem Entschluss der österreichischen Datenschutzbehörde nicht mehr datenschutzkonform sei. Danke an Carmen Contreras-Salazar von e-dialog für diesen aufschlussreichen Gastbeitrag!

Google Analytics datenschutzkonform nutzen

In der aktuellen Berichterstattungen wird gemeldet, dass Google Analytics nach einem Entschluss der österreichischen Datenschutzbehörde nicht mehr datenschutzkonform sei. Um schnellen Fehlentscheidungen vorzubeugen, zeigen wir Ihnen, warum diese Aussage so nicht verallgemeinert werden kann und wie Sie Google Analytics weiterhin datenschutzkonform nutzen können. Natürlich unterstützen wir Sie gerne bei der Prüfung und Anpassung Ihrer Implementierung.

Warum kam es zur Entscheidung der österreichischen Datenschutzbehörde?

Nach der Aufhebung des Privacy Shield durch den EuGH muss eine Prüfung des Datenschutzniveaus im Einzelfall erfolgen. Auslöser war eine Beschwerde der Datenschutz-Aktivisten von noyb. Der Teilbescheid der österreichischen Datenschutzbehörde bezieht sich auf diese konkrete Beschwerde.

Was bedeutet die Entscheidung konkret?

Der Teilbescheid der Datenschutzbehörde in dem konkret vorliegenden Fall stellt fest, dass die dort stattgefundene Einbindung von Google Analytics zum damaligen Zeitpunkt (14.08.2020) unter anderem folgende Mängel aufgewiesen hat:

• die Nutzung von Google Analytics wurde lediglich auf den alten Standardvertragsklauseln (Standard Contractual Clauses oder SCCs) gestützt
• eine Einwilligung zur Datenverarbeitung wurde nicht eingeholt
• die Anonymisierung der IP-Adresse wurde nicht korrekt aktiviert

Um solchen Mängeln bei der Nutzung von GA vorzubeugen braucht es ein fundiertes Konzept und eine saubere Implementierung – und beides fehlt oftmals (wie im angekreideten Fall).

Daraus ergeben sich wesentliche Maßnahmen, die eine saubere, solide und vor allem werthaltige Nutzung erlauben.

Wie kann nun Google Analytics datenschutzkonform eingesetzt werden?

1. Halten Sie sich an rechtliche Rahmenbedingungen!

Google verpflichtet sich das notwendige Datenschutzniveau einzuhalten und hat dahingehened die “Google Data Processing Terms for all Google Products” entsprechend angepasst. In diesem Dokument wurden auch die neuen Standardvertragsklauseln (SCCs). ergänzt. Akzeptieren Sie die neuen DPAs von Google in den Settings von Google Analytics. Weisen Sie zudem auch in Ihren Datenschutzbestimmungen auf eine mögliche Datenübermittlung in Drittstaaten hin.

2. Holen Sie sich die Einwilligung – vorab!

Achten Sie darauf, dass Sie die Einwilligung Ihrer WebsitenbesucherInnen vorab einholen. Das bedeutet, dass Sie Google Analytics erst feuern können, wenn Sie die Einwilligung dazu erhalten haben und diese rechtskonform auch speichern sowie beauskunften können. Eine Consent Management Plattform (CMP) erleichtert diesen Prozess.

3. Achten Sie auf die richtige Konfiguration von Google Analytics

Prüfen Sie die Privacy Settings Ihres GA Setup. Zu beachten ist, dass keine personenbezogenen Daten/PIIs in Analytics einfließen und dass Sie von Features wie zum Beispiel der IP-Anonymization Gebrauch machen.

Wir unterstützen Sie hierbei gerne, bieten GA-Audits auf Personenbezug an und begleiten Sie bei der optimalen Analytics-Implementierung, sodass Ihr Webanalyse-Tool weiterhin sorgenfrei und vor allem datenschutzkonform eingesetzt werden kann.

4. Auf Serverside Tracking umstellen

Serverseitiges Tracking ist nicht nur eine geeignete Lösung, um die Lebensdauer von 1st-Party Cookies zu erhöhen und so manchen Tracking-Blocker zu umgehen, sondern man hat dabei auch Möglichkeiten die Daten zu adaptieren bevor sie an Google Analytics gesendet werden. Das bedeutet konkret, dass man zum Beispiel die IP-Adressen der User komplett entfernt, bevor man die Daten weiter an Google Analytics sendet.

Fazit:

Mit diesen Maßnahmen können Sie Google Analytics rechtskonform nutzen. Achten Sie auf die rechtlichen Rahmenbedingungen, die rechtskonforme Einholung der Nutzer-Einwilligung, das korrekte Tracking-Setup und nutzen Sie Serverside Tracking.

Danke an Siegfried Stepke, Geschäftsführer und Gründer von e-dialog, für diesen aufschlussreichen Gastbeitrag!

Über die Autorin