Beitrag teilen
HOME
/
blog
/
Google Analytics: Bald illegal? Das sagen die SECJUR-Experten!

Google Analytics: Bald illegal? Das sagen die SECJUR-Experten!

Simon Pentzien

Co-Founder & Legal Expert

June 2, 2023

8 min

Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Simon die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Fieldfisher und Taylor Wessing tätig. Als Mitgründer und Chief Product Officer von SECJUR, lässt Simon seine Erfahrung vor allem in die Produktentwicklung einfließen.

Key Takeaways

Google Analytics' Datenübermittlung zur Muttergesellschaft in den USA steht unter Datenschutzbedenken.

Die Behördenansichten sind nicht verbindlich, haben aber Einfluss auf die Praxis und zeigen auf, dass Google Analytics datenschutzrechtliche Probleme hat. 

Unternehmen sollten überprüfen, ob sie Google Analytics wirklich benötigen und ob sie die Daten aktiv auswerten. Wenn dies nicht der Fall ist, wird empfohlen, Google Analytics zu deaktivieren. 

Wenn Unternehmen Google Analytics trotz der Risiken nutzen wollen, sollten sie verschiedene Maßnahmen ergreifen, um das Datenschutzrisiko zu minimieren. Als Alternative wird der Dienst Matomo vorgeschlagen.

Wie schätzen andere europäische Länder Google Analytics ein?

Die österreichische Datenschutzbehörde hat jüngst den Einsatz von Google Analytics auf Grundlage einer Musterbeschwerde des Verbands NOYB für unzulässig erklärt (die Entscheidung finden Sie hier). Google Analytics sei mit der Datenschutzgrundverordnung (DSGVO) nicht vereinbar.  

In diesem Artikel lesen Sie:

  • worum sich die Debatte um Google Analytics dreht
  • wie Unternehmen nun mit Google Analytics umgehen sollten
  • welche Alternativen es zu Google Analytics gibt

Worum geht es in der Debatte?

Insbesondere geht es in der Entscheidung um die Übermittlung der IP-Adresse, einer Identifikationsnummer (sog. „unique identifier“) sowie Browserinformationen an den Google-Mutterkonzern in den USA. Da die übermittelten Daten als personenbezogene Daten zu klassifizieren sind und die USA ein Drittland darstellen, bedarf es für eine datenschutzkonforme Übermittlung der Daten in die USA nach Art. 44 ff.  DSGVO geeigneter Garantien, so die Behörde.

Die von den verschiedenen Google-Gesellschaften abgeschlossenen Standarddatenschutzklauseln, die als geeignete Garantien die Übermittlung legitimieren sollen, sind nach Ansicht der Behörde nicht angemessen. Demnach sei ein Schutz der übermittelten Daten vor dem Zugriff amerikanischer Sicherheitsbehörden nicht ausreichend gewährleistet und der Dienst somit nicht datenschutzkonform einsetzbar.

NOYB hat übrigens 101 vergleichbare Beschwerden in den meisten anderen EU-Staaten initiiert, so dass damit zu rechnen ist, dass in Kürze weitere gleichlautende Entscheidungen anderer Aufsichtsbehörden ergehen werden.  

Die niederländische Datenschutzbehörde hat indes ebenfalls eine Prüfung von Google Analytics angekündigt. Laut der Behörde kann es schon bald zu einem Verbot des Dienstes kommen. Die Entscheidung steht aktuell noch aus.

Was bedeuten diese Behördenansichten?

Grundsätzlich ist zu beachten, dass es sich bisher um Behördenansichten handelt, die nicht verbindlich sind. Die Einschätzungen haben also nicht den gleichen Stellenwert wie beispielsweise letztinstanzliche gerichtliche Entscheidungen.

Die Behördenansichten sind dennoch praxisrelevant und nicht zu unterschätzen, da sie Aufschluss über die mangelnde Konformität des Dienstes geben. Die Behördenansichten sollten demnach als wichtige Einschätzungs- und Entscheidungsgrundlage herangezogen werden.

Wie sollten Unternehmen jetzt mit Google Analytics umgehen?

2 Fragen, die Sie sich stellen sollten

Wir empfehlen Ihnen, Ihren Einsatz von Google Analytics auf Ihrer Website zu überprüfen. Folgende Fragen sollten Sie sich dafür stellen:

  1. „Benötigen wir die Informationen von Google Analytics wirklich für unser Geschäft und bringen sie uns einen Mehrwert?“
  2. „Werten wir die Informationen aus Google Analytics tatsächlich aktiv aus und nutzen die Daten, bspw. für gezielte Werbekampagnen oder das Anpassen unserer Online-Präsenz?“

In diesem Fall sollten Sie Google Analytics nicht nutzen...

Wenn Sie beide Fragen mit nein beantworten können, empfehlen wir Ihnen Google Analytics zu deaktivieren und von Ihrer Website zu entfernen. Sie umgehen somit effektiv datenschutzrechtliche Risken, ohne dass Sie in betriebswirtschaftlicher Hinsicht Nachteile durch die Anpassung haben werden.

Wenn Sie mindestens eine der beiden Fragen mit ja beantworten können, empfehlen wir Ihnen, den Einsatz von Alternativen zu überprüfen. Eine mögliche Alternative stellen wir im nächsten Teil vor.

4 Maßnahmen, um Ihr Datenschutzrisiko zu minimieren

Wenn Sie zu dem Schluss kommen, dass Sie Google Analytics trotz der verbundenen Risken einsetzen möchten, empfehlen wir Ihnen mindestens folgende risikominimierende Maßnahmen zu treffen:

  • Eine Aktivierung von Google Analytics und der damit zusammenhängenden Cookies sollte durch entsprechende Voreinstellungen erst nach aktiver Einwilligung der jeweiligen Websitebesucher möglich sein. Google Analytics darf nicht automatisch in die Website eingebunden sein und von jedem Besucher Daten für statistische Zwecke sammeln. In diesem Zusammenhang weisen wir darauf hin, dass ein Einsatz von Google Analytics nicht auf Grundlage eines berechtigten Interesses erfolgen kann.
  • Sie sollten in den Einstellungen die Option „IP-Anonymisierung“ aktivieren. Diese Einstellung hat zur Folge, dass keine Übermittlung der gesamten IP-Adresse, sondern nur einer gekürzten Version, an den amerikanischen Mutterkonzern erfolgt. Auch wenn nicht geklärt ist, ob es sich dabei um eine Anonymisierung im Sinne der DSGVO handelt, so erfolgt zumindest eine Verarbeitung unter Einbeziehung des Grundsatzes der Datensparsamkeit.
  • Sie sollten in den Einstellungen die Speicherdauer der Cookies überprüfen und auf den möglichst kürzesten Zeitraum festlegen. Unseren Informationen nach beträgt der kürzeste Speicherzeitraum 14 Monate.
  • Sie sollten über den Einsatz in Ihrem datenschutzkonformen Cookie-Banner und Ihrer Datenschutzerklärung informieren.  

Dennoch: Risiken bleiben bestehen

Bitte beachten Sie, dass trotz dieser Maßnahmen Risiken verbleiben. Es ist davon auszugehen, dass Datenschutzaufsichtsbehörden nach wie vor davon ausgehen, dass trotz der beschriebenen risikominimierenden Maßnahmen ein datenschutzkonformer Einsatz von Google Analytics nicht möglich ist.

Google Analytics: Welche datenschutzfreundlichen Alternativen gibt es?

Eine Alternative, die beispielsweise der Landesbeauftragte für Datenschutz und Informationssicherheit Baden-Württemberg in seinen FAQs nennt, ist der Dienst Matomo.

Der Landesbeauftragte erklärt, dass es sogar möglich ist, den Einsatz des Dienstes auf ein berechtigtes Interesse zu stützen, wenn dieser auf eigenen Servern gehostet wird und lediglich Serverlogfiles aggregiert ausgewertet werden. Sofern diese Bedingungen eingehalten werden, bedarf es also nicht zwangsweise eine Einwilligung des Websitebesuchers.

Simon Pentzien

Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Simon die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Fieldfisher und Taylor Wessing tätig. Als Mitgründer und Chief Product Officer von SECJUR, lässt Simon seine Erfahrung vor allem in die Produktentwicklung einfließen.

Über SECJUR

SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.

Compliance, completed

Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office

Mehr erfahren

Frequently asked questions

Everything you need to know about the product and billing.

Weiterlesen

June 7, 2023
15 min
ISO 27001 – Der Komplett-Guide zum ISMS Standard

In einer digital gewordenen Welt sind Informationen und Daten ein wertvolles Gut. Unternehmen müssen sich daher intensiv mit dem Schutz und der Sicherheit ihrer Daten auseinandersetzen. Eine Möglichkeit, guten Schutz zu gewährleisten, ist die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) nach der internationalen Norm ISO/IEC 27001.‍ In diesem Blogartikel geben wir einen kompakten Überblick über die wichtigsten Aspekte der ISO 27001 und zeigen auf, warum sie für Unternehmen so entscheidend ist. Erfahren Sie, wie der Weg zur Zertifizierung einfacher und schneller gelingen kann.

Lesen
November 7, 2023
10 min
ISMS Audit: Arten, Ablauf und Erfolgschancen im Überblick

Ein effektives ISMS ist entscheidend, um sensible Informationen in der digitalen Geschäftswelt zu schützen. Ein ISMS Audit ist eine systematische Bewertung des ISMS, das sicherstellen will, dass das ISMS den relevanten Standards entspricht. ISMS Audits können für Unternehmen Herausforderungen darstellen, insbesondere aufgrund der komplexen Anforderungen an die Unternehmen. In diesem Artikel stellen wir die verschiedenen Audittypen, den Ablauf und die Erfolgsfaktoren von ISMS Audits vor.

Lesen
June 2, 2023
Der Geltungsbereich der DSGVO einfach erklärt

Im Zeitalter des grenzenlosen Internets gewinnt der Datenschutz an Bedeutung. Die EU-Datenschutzgrundverordnung (DSGVO) hat das Ziel, ein einheitliches Datenschutzniveau zu gewährleisten. Doch gilt die DSGVO nur für Unternehmen innerhalb der EU? Der Anwendungsbereich umfasst auch Unternehmen außerhalb der EU, die Waren oder Dienstleistungen in der EU anbieten oder das Verhalten von EU-Bürgern beobachten. Dieser Artikel untersucht den räumlichen Geltungsbereich der DSGVO und erklärt die Unterschiede zwischen dem Datenschutzbeauftragten und dem Unionsvertreter.

Lesen
TO TOP