Google Analytics und die DSGVO

Google Analytics und die DSGVO

So machen Sie Google Analytics auf Ihrer Website DSGVO-konform 

Google Analytics ist das leistungsstarke und beliebte Traffic-Analytics-Tool von Google, mit dem Sie tiefe Einblicke in Echtzeit darüber erhalten, wie, wie häufig und von wem Ihre Website genutzt wird.

Der Dienst zeigt Ihnen, aus welchen Quellen Ihre Nutzer auf Ihre Website gelangen, und wie sie in Echtzeit auf Ihrer Website navigieren.

Sie sehen, welche Seiten beliebt sind und zum Verweilen einladen und welche Seiten dazu führen, dass die Nutzer Ihre Website verlassen.

Daten wie diese liefern natürlich wertvolle Einblicke in die Performance Ihrer Domain und zeigen die Schwachstellen und Stärken auf, sodass Sie sie im laufenden Betrieb optimieren können.

Die Möglichkeit, all diese Daten im Kontext zu sehen und sie übersichtlich in Diagrammen und Statistiken darzustellen, kann für die meisten Website-Besitzer und -Betreiber ein Aha-Erlebnis sein.

Aber wie macht Google Analytics das?

Auf technischer Ebene funktioniert Google Analytics über JavaScript-Tags, die im Quellcode Ihrer Website eingebunden sind, wobei der Betrieb normalerweise mit dem Google Tag Manager erfolgt.

Aber von der anderen Seite des Bildschirms – aus der Sicht der Nutzer Ihrer Website – setzen diese JavaScript-Tags, mit denen Google Analytics läuft, Cookies auf deren Browsern, die im Gegenzug personenbezogene und manchmal sensible Daten von ihnen sammeln.

Profiling ist die Anhäufung personenbezogener Daten zu umfangreichen und überaus detaillierten Datensätzen über Einzelpersonen, ihre Gewohnheiten, ihr Verhalten und ihre Präferenzen, und es bildet die Grundlage für verhaltensorientierte Werbung, die wiederum zielgerichtete Online-Werbung an Ihre Nutzer schaltet.

Ihre Endnutzer im Europäischen Wirtschaftsraum (EWR) haben jedoch ein Recht auf Datenschutz, das durch die Datenschutz-Grundverordnung (DSGVO) festgelegt ist. Diese Verordnung ist in allen 27 EU-Ländern und im EWR einheitlich und verleiht den Nutzern mehrere Rechte über ihre personenbezogenen Daten – darunter vor allem, dass die Daten ohne ihre Einwilligung nicht erhoben werden dürfen.

Als Website-Betreiber sind Sie also dazu verpflichtet, die ausdrückliche Einwilligung für den Einsatz jeglicher Arten von Cookies oder Trackern zur Verarbeitung personenbezogener Daten auf Ihrer Website einzuholen.

Google Analytics setzt Cookies, die personenbezogene Daten verarbeiten, auf den Browsern der Nutzer.

Die Verwendung des Dienstes ist daher standardmäßig nicht DSGVO-konform.

Wie können Sie die Nutzung von Google Analytics auf Ihrer Website DSGVO-konform gestalten? Und wie bringen Sie Google Analytics, Cookies und die Einwilligung der Endnutzer auf Ihrer Website unter einen Hut, um dennoch diese wertvollen Statistiken und Einblicke zu erhalten, ohne gegen europäische Datenschutzgesetze zu verstoßen und das Vertrauen Ihrer Nutzer zu verlieren?

Wir bieten Ihnen einen schnellen Überblick über Google Analytics und die DSGVO auf Ihrer Website.

Google Analytics und DSGVO-Konformität

Kurze Checkliste zur DSGVO-konformen Anwendung von Google Analytics

Hier finden Sie eine kurze Liste mit den Voraussetzungen für den DSGVO-konformen Einsatz von Google Analytics auf Ihrer Website. Einen ausführlichen Leitfaden finden Sie weiter unten in diesem Artikel. Damit der Dienst – inklusive Cookies, Tracker und Statistik-Tools – DSGVO-konform ist, müssen Sie Folgendes beachten:

1. Fordern Sie die Einwilligung der Endnutzer für alle Google Analytics-Cookies auf Ihrer Website vor deren Aktivierung und Betrieb an und holen Sie diese ein.
2. Kontrollieren Sie jedes Google Analytics-Cookie, um es nur dann zu aktivieren, wenn Ihre Nutzer ihre ausdrückliche Einwilligung dazu erteilt haben.
3. Informieren Sie in der Cookie-Richtlinie Ihrer Website transparent über die Details aller eingesetzten Google Analytics-Cookies – einschließlich technischer Details, Dauer und Zweck. Dies ist wichtig, da eine Einwilligung nach der DSGVO nur dann gültig ist, wenn sie eine informierte Einwilligung durch die Nutzer darstellt.
4. Stellen Sie in den Datenschutzbestimmungen Ihrer Website detaillierte Informationen über alle Google Analytics-Cookies auf Ihrer Domain zusammen und informieren Sie darüber, welche personenbezogenen Daten Ihre Website im Allgemeinen verarbeitet.5. Schalten Sie die IP-Anonymisierung in Ihrem Google Analytics-Konto ein und stellen Sie sicher, dass der Dienst pseudonyme Kennungen verwendet.

Diese genannten Maßnahmen können wie ein kompliziertes Datenschutzproblem erscheinen, das Ihnen Kopfschmerzen bereitet, bevor Sie überhaupt angefangen haben.

Glücklicherweise ist die Cookiebot CMP by Usercentrics eine weltweit führende Lösung, die den gesamten Prozess der Einholung von Endnutzer-Einwilligungen für Google Analytics-Cookies in voller Übereinstimmung mit der DSGVO auf Ihrer Website automatisiert, damit ein angemessenes Schutzniveau gewährleistet ist.

Lesen Sie unten mehr über die Cookiebot CMP, unsere Plug-and-Play-Lösung, und wie sie Ihre Website und deren Nutzung von Google Analytics DSGVO-konform machen kann.

Google Analytics und Datenschutz mit der Cookiebot CMP

Automatische Google Analytics DSGVO-Konformität mit der Cookiebot CMP erreichen

Cookiebot CMP by Usercentrics ist eine weltweit führende Consent Management Platform, die Ihre Website umfassend scannt, um alle Cookies und Tracker zu erkennen und automatisch zu kontrollieren. Dies schließt auch alle Google Analytics-Cookies ein, die auf Ihrer Domain verwendet werden.

Die Plug-and-Play-Lösung Cookiebot CMP ordnet die Cookies Ihrer Website in vier einfache Cookie-Kategorien ein, die Ihre Nutzer vor jeder Verarbeitung persönlicher Daten aktivieren oder deaktivieren können.

Mit nur wenigen Zeilen JavaScript erhalten Sie eine wirksame Einwilligung gemäß der DSGVO.

Dies sind die Features, mit denen Sie die Verwendung von Google Analytics datenschutzkonform machen können

• Automatisierte Deep-Scans Ihrer gesamten Domain, mit Erkennung aller eingesetzten Cookies und Tracker
• Automatisches Blockieren aller Cookies und Tracker für vorherige granulare Einwilligung
• Explizite Einwilligungsauswahl zwischen vier Kategorien von Cookies
• Vollständige Offenlegung von Cookie-Anbietern, Zweck, Dauer und Typ
• Sicher dokumentierte Nutzereinwilligungen
• Automatische Erneuerung der Einwilligung

Erstellen Sie Ihr kostenloses Konto, um sofort loszulegen und lassen Sie die Cookiebot CMP den schwierigen Teil bezüglich DSGVO-Konformität, Google Analytics und Cookies übernehmen.

Google Consent Mode und Google Analytics

Führen Sie Google Analytics DSGVO-konform aus, ohne Analytics-Daten zu verlieren

Google Consent Mode (dt. Einwilligungsmodus) wurde am 3. September 2020 eingeführt und ist ein großer Schritt hin zu einem Gleichgewicht auf Ihrer Website zwischen Datenschutzkonformität und Analytics-Einblicken.

Google Consent Mode ist eine offene API, die es Ihrer Website ermöglicht, Google Analytics basierend auf dem Einwilligungsstatus Ihrer Endnutzer in nahtloser Integration mit der Cookiebot CMP auszuführen.

Mit Google Consent Mode können Sie Google Analytics, Cookies und die DSGVO-Einwilligung der Nutzer auf einmal verwalten, um DSGVO-konforme Analysen und Erkenntnisse für Ihre Website sicherzustellen.

Wenn Nutzer ihre Einwilligung zu Statistik-Cookies nicht erteilen, sorgt Google Consent Mode dafür, dass Sie trotzdem aggregierte und nicht-identifizierende Einblicke in die Performance Ihrer Website erhalten, wie z. B.:

• Zeitstempel
• User Agents
• Referrers
• Andere grundlegende Messungen für die Modellierung

Google Consent Mode gewährleistet die vollständige Einhaltung der DSGVO bei gleichzeitiger Optimierung der Analytics-Daten – und respektiert dabei sowohl den Datenschutz der Endnutzer als auch den Bedarf Ihrer Website an Daten und Nutzereinblicken.

Indem Sie eine Consent Management Platform wie die Cookiebot CMP verwenden, um die vorherige Einwilligung zur Verarbeitung personenbezogener Daten von den Nutzern zu erfragen und einzuholen, kann Ihre Website diesen Einwilligungsstatus nutzen, um Google Consent Mode alle bevorzugten Google-Dienste Ihrer Website auf einfache und datenschutzkonforme Weise ausführen zu lassen.

Testen Sie Google Consent Mode auf Ihrer Website mit der Cookiebot CMP für ein angemessenes Gleichgewicht zwischen der Verwendung von Google Analytics und Cookies und DSGVO-Konformität.

Google Analytics und Datenschutz: DSGVO-Konformität im Detail

Ausführliche Informationen zu Google Analytics, Cookies und der DSGVO

Lassen Sie uns ein wenig mehr auf die DSGVO eingehen, welche Auswirkungen sie auf Ihre Website hat und welche Arten von Cookies Google Analytics verwendet.

Die Datenschutz-Grundverordnung (DSGVO) ist eine EU-weite Datenschutzverordnung, die alle personenbezogenen Daten von Einzelpersonen innerhalb der Europäischen Union schützt und strenge Anforderungen an die Art und Weise stellt, wie Websites, Unternehmen und Organisationen auf der ganzen Welt solche Daten sammeln und verarbeiten dürfen.

Die DSGVO der EU gilt für jede Website auf der ganzen Welt, die personenbezogene Daten von Bürgern innerhalb der EU verarbeitet.

Kurz gesagt, die DSGVO verlangt, dass Sie die ausdrückliche Einwilligung der in der EU ansässigen Personen einholen, bevor Sie deren personenbezogene Daten verarbeiten.

Auch Website-Betreiber außerhalb des Europäischen Wirtschaftsraums, die personenbezogene Daten von Besuchern aus der EU verarbeiten, müssen diese zusätzlichen Maßnahmen umsetzen, um ein angemessenes Datenschutzniveau zu erreichen.

Die DSGVO verlangt, dass Sie die Einwilligung Ihrer Nutzer für die Cookies einholen, die Google Analytics auf Ihrer Website setzt.

Personenbezogene Daten im Sinne der DSGVO sind alle Daten, die eine Person identifizieren können – entweder direkt oder indirekt.

Zu dieser Definition gehören gängige Online-Identifikatoren wie Cookies, eindeutige IDs, ClientIDs, IP-Adressen, Such- und Browserverläufe und viele andere Arten von Nutzerdaten, die im Internet täglich auf Websites gesammelt werden.

Cookies dienen einer Reihe von verschiedenen Zwecken, von Funktionalität, Performance, Statistiken bis zu gezielter Werbung. Einige Cookies sind notwendig, damit Ihre Website funktioniert, andere nicht. Einige verbessern die Benutzerfreundlichkeit, andere dienen der Überwachung und der Erstellung von Nutzerprofilen, und wieder andere tun beides.

Hier überschneiden sich Google Analytics und die DSGVO, denn Google Analytics verwendet Cookies, um die Nutzer Ihrer Website und deren Verhalten zu tracken.

Wussten Sie, dass Websites im Durchschnitt 20 Cookies im Einsatz haben?

Google Analytics-Cookies auf Ihrer Website

Google Analytics verwendet verschiedene HTTP-Cookies, um die Nutzer und ihr Verhalten auf Ihrer Website zu verfolgen, sie im Laufe der Zeit und bei wiederholten Besuchen zu unterscheiden und sich an sie zu erinnern.

Wie Sie nun wissen, benötigen alle Google Analytics-Cookies die Einwilligung der Endnutzer, um einen angemessenen Datenschutz gemäß der DSGVO zu gewährleisten.

Nur so genannte „notwendige Cookies“ dürfen ohne Einwilligung des Nutzers auf Ihrer Website eingesetzt werden. Dies sind Cookies, die für die Grundfunktionen Ihrer Website unbedingt erforderlich sind.

Google Analytics-Cookies können nicht als notwendige Cookies eingestuft werden.

Google Analytics setzt bei der Verwendung auf Ihrer Website die folgenden Cookies:

• _ga (Cookie zur Unterscheidung einzelner Nutzer auf Ihrer Domain, läuft nach 2 Jahren ab)
• _gid (Cookie zur Unterscheidung einzelner Nutzer auf Ihrer Domain, läuft nach 24 Stunden ab)
• _gat (Cookie zur Begrenzung der Anzahl von Nutzeranfragen, um die Performance Ihrer Website zu erhalten, läuft nach 1 Minute ab)
• AMP_TOKEN (Cookie, das eine eindeutige ID enthält, die jedem Nutzer auf Ihrer Domain zugeordnet ist, läuft zwischen 30 Sekunden und 1 Jahr ab)
• _gac_<property-id> (Cookie mit einer eindeutigen ID, die Google Analytics und Google Ads zusammenarbeiten lässt, läuft nach 90 Tagen ab)

Diese Google Analytics-Cookies werden in den Browsern Ihrer Nutzer gespeichert, wenn diese auf Ihrer Website landen. Auf diese Weise kann Google Analytics jeden einzelnen Nutzer unterscheiden und sich an ihn erinnern, ihn über verschiedene Websites hinweg tracken und Ihnen eine detaillierte Übersicht über seine Navigation zu und von Ihrer Domain präsentieren.

Wie oben dargestellt, laufen einige Google Analytics-Cookies nach 1 Minute ab (z. B. _gat), während andere Google Analytics-Cookies zwei Jahre lang im Browser verbleiben (z. B. _ga).

Aber unabhängig von ihrer Dauer fallen alle oben genannten Google Analytics-Cookies unter die Definition von personenbezogenen Daten der DSGVO.

Das liegt daran, dass sie Daten sammeln, die zur Identifizierung einer Person verwendet werden können –  manchmal direkt, manchmal indirekt in Kombination mit anderen Daten.

Zu diesen Daten gehören:

• ClientIDs, bestehend aus einer Zahlenfolge, die für jeden Nutzer auf Ihrer Website eindeutig ist
• Anzahl und Tageszeit früherer Besuche auf Ihrer Website
• Informationen darüber, wie sie Ihre Website gefunden haben, ihren Such- und Browserverlauf
• IP-Adressen (sofern nicht in Ihrem Google Analytics-Konto deaktiviert)

 Erfahren Sie mehr über DSGVO-konformes Website-Tracking

In der Regel sind auf Websites schätzungsweise 20 Cookies gespeichert.

Laut der Studie Beyond the Front Page von 2020 gilt:

• 72% der Cookies werden im Verborgenen von anderen Third-Party-Cookies geladen.
• 18% der Cookies sind sogenannte „Trojaner“, d. h. Cookies, die in bis zu 8 weiteren Cookies versteckt sind.
• 50% dieser Trojaner ändern sich zwischen wiederholten Besuchen der Nutzer Ihrer Website.

Nicht nur Google Analytics und andere Analytics-Tools setzen Cookies, sondern auch andere eingebettete Inhalte, z. B. Performance- und Marketing-Tools wie HubSpot, eingebettete Videos von Drittanbieter-Plattformen wie YouTube oder Vimeo und Social-Media-Plugins wie Facebook-Like-Buttons.

Diese Cookies verarbeiten personenbezogene Daten von Ihren Endnutzern auf Ihrer Website.

Die Verwendung einer vollautomatischen Cookie-Lösung wie die Cookiebot CMP ist ein wichtiges Tool für die Einhaltung der DSGVO auf Ihrer Website. Sie stellt sicher, dass Google Analytics-Cookies und andere Tracking-Technologien von Drittanbietern erkannt und kontrolliert werden, damit Nutzer ihre Einwilligung erteilen können.

Schritte, um Google Analytics und die zugehörigen Cookies DSGVO-konform zu machen

Hier finden Sie eine Schritt-für-Schritt-Anleitung dazu, wie Sie eine gültige DSGVO-Einwilligung für Google Analytics und Cookies auf Ihrer Website erhalten.

Schritt 1 – Einwilligung der Endnutzer

Sie müssen die ausdrückliche und gültige Einwilligung Ihrer Nutzer einholen, um Google Analytics DSGVO-konform auf Ihrer Website zu verwenden.

Eine gültige Einwilligung muss folgende Kriterien erfüllen:

• Die vorherige und ausdrückliche Einwilligung muss vor jeder Aktivierung von Cookies eingeholt werden (abgesehen von sog. Whitelist-Cookies, die für das Funktionieren der Website notwendig sind).
• Einwilligungen müssen granular sein, d. h. Nutzer müssen die Möglichkeit haben, einzelne Cookies zu aktivieren und dürfen nicht zu einer Einwilligung zu allen oder keinen Cookies gezwungen werden.
• Einwilligungen müssen aus freien Stücken gegeben werden.
• Einwilligungen müssen so einfach widerrufen werden können, wie sie erteilt werden.
• Einwilligungen müssen sicher aufbewahrt werden, um rechtlich zu dokumentieren, dass sie eingeholt wurden.
• Einwilligungen müssen mindestens einmal pro Jahr erneuert werden. Einige nationale Datenschutzrichtlinien empfehlen jedoch eine häufigere Erneuerung, z. B. alle 6 Monate. Prüfen Sie Ihre lokalen Datenschutzvorschriften, etwa die der deutschen Datenschutzbehörde oder der österreichischen Datenschutzbehörde, auf spezifische Vorgaben.

Schritt 2 – Ausführliche Datenschutz- und Cookie-Erklärung

Ihre Datenschutzerklärung muss detaillierte Informationen über alle Google Analytics-Cookies und andere Tracking-Technologien enthalten, die auf Ihrer Website eingesetzt werden.

Hier müssen Sie für Transparenz über die Datenverarbeitung auf Ihrer Website sorgen. Stellen Sie sicher, dass alle Datenverarbeitungen auf Ihrer Website klar in Ihrer Datenschutzerklärung aufgeführt sind, einschließlich der Zwecke, für die Sie Daten sammeln, der Arten von Daten, die Sie sammeln, und mit wem Sie sie teilen.

Zusätzlich zu – oder als Teil Ihrer Datenschutzerklärung – sollte Ihre Cookie-Erklärung für Ihre Nutzer zugänglich sein und darlegen, welche Cookies verwendet werden, welchem Zweck sie dienen und wie man sich für oder gegen sie entscheiden kann.

Die Cookiebot CMP stellt Ihnen automatisch eine ausführliche und stets aktuelle Cookie-Erklärung zur Verfügung.

Schritt 3 – IP-Anonymisierung im Google Analytics-Konto

Eine IP-Adresse zählt laut DSGVO zu den personenbezogenen Daten. IP-Adressen werden standardmäßig nie in Berichten offengelegt, aber Google verwendet sie, um Geolokalisierungsdaten bereitzustellen.

Deshalb ist es eine gute Idee, die IP-Anonymisierungsfunktion in Google Analytics zu aktivieren.

Durch diese Änderung wird die geografische Berichtsgenauigkeit Ihres Google Analytics-Kontos leicht verringert. Um die Anonymisierung zu aktivieren, müssen Sie eine Änderung im Code vornehmen:

Wenn Sie Google Tag Manager verwenden, passen Sie Ihre Tag- oder Google Analytics-Einstellungsvariable an, indem Sie auf „Weitere Einstellungen“ -> „Einzustellende Felder“ klicken und dann ein neues Feld namens „anonymizeIp“ mit dem Wert „true“ hinzufügen.

Wenn Sie Google Tag Manager nicht verwenden, kann Ihr Tag-Management-System diese Einstellung als Option bereitstellen, oder Sie müssen den Code direkt bearbeiten.

Nach der Implementierung anonymisiert Google die IP-Adresse, sobald dies technisch möglich ist, indem das letzte Oktett der IP-Adresse entfernt wird, bevor eine Speicherung oder Verarbeitung beginnt (Ihre IP wird zu 123.123.123.0 – wobei der letzte Teil/Oktett durch eine „0“ ersetzt wird).

Sobald diese Funktion aktiviert ist, wird laut Google niemals die vollständige IP-Adresse auf die Festplatte geschrieben.

Prüfen Sie zusätzlich Ihre pseudonymen Identifier in Ihrem Google Analytics, um sicherzustellen, dass die Daten nicht identifizierbar sind.

Ihre Google Analytics-Implementierung verwendet möglicherweise bereits pseudonyme Identifier wie:

• Nutzer-ID (stellen Sie sicher, dass es sich bei den Nutzer-IDs um alphanumerische Datenbankidentifikatoren und nicht um in Klartext geschriebene Daten handelt).
• Gehashte oder verschlüsselte Daten (Google hat eine Mindesthash-Anforderung von SHA256. Es wird jedoch empfohlen, das Sammeln von Daten auf diese Weise zu vermeiden).
• Transaktions-IDs (stellen Sie sicher, dass diese ID ein alphanumerischer Datenbankidentifikator ist).

Google Analytics und Datenschutz: DSGVO-Konformität in Deutschland

Mindestanforderungen für die Nutzung von Google Analytics gemäß der DSGVO in Deutschland

Die Deutsche Datenschutzkonferenz (DSK) hat am 12. Mai 2020 Leitlinien zu Mindestanforderungen an den Einsatz von Google Analytics auf Websites in Deutschland veröffentlicht.

Die DSK-Mindestanforderungen gelten für die reguläre Nutzung von Google Analytics (d. h. Standardeinstellungen von Google, also im Grunde so, wie die meisten Websites das Analytics-Tool bei normaler Implementierung nutzen würden).

Die DSK-Mindestanforderungen für die Nutzung von Google Analytics in Deutschland sind unter anderem:

• Websites dürfen Google Analytics nur verwenden, wenn eine Einwilligung vorliegt. Nutzer müssen eine klare, bestätigende und ausdrückliche Einwilligung (in Übereinstimmung mit den allgemeinen Anforderungen der DSGVO für eine gültige Einwilligung) zu den spezifischen Verarbeitungsaktivitäten geben, die im Zusammenhang mit der Nutzung von Google Analytics und der damit verbundenen Übermittlung personenbezogener Daten an Google LLC in die Vereinigten Staaten erfolgen.
• Bevor der Nutzer nicht aktiv (d. h. ausdrücklich) eingewilligt hat, dürfen keine Daten erhoben oder Elemente von Google-Websites heruntergeladen werden. Websites müssen Google LLC explizit als Empfänger der personenbezogenen Daten aufführen.
• Websites müssen die Nutzer deutlich darauf hinweisen, dass ihre personenbezogenen Daten nicht anonymisiert sind, an Google übermittelt und von Google verarbeitet und gespeichert werden, dass die Behörden der US-Bundesstaaten Zugriff auf diese personenbezogenen Daten haben und dass Google diese personenbezogenen Daten für beliebige eigene Zwecke (z. B. Profiling und plattformübergreifendes Tracking) verwendet.
• Die Datenschutzrichtlinien von Websites müssen informative Erklärungen darüber enthalten, für welche Zwecke Google Analytics verwendet wird. Websites müssen die IP-Adressen der Nutzer als Schutzmaßnahme zusätzlich (und nicht anstelle) der anderen Anforderungen der DSGVO kürzen und in ihren Datenschutzrichtlinien angeben, ob diese Kürzung von IP-Adressen in ihrer Google Analytics-Einrichtung verwendet wird.
• Websites müssen immer einen einfachen und zugänglichen Mechanismus anbieten, mit dem Nutzer ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten durch Google widerrufen können.
• Das Browser-Add-On von Google ist kein datenschutzkonformer Mechanismus, mit dem Nutzer ihre Einwilligung widerrufen können.

Auch andere Datenschutzbehörden, wie z. B. die österreichische Datenschutzbehörde, haben spezifische zusätzliche Maßnahmen angeordnet, die Sie als Website-Betreiber unbedingt einhalten müssen.

FAQ – Häufig gestellte Fragen