Beitrag teilen
HOME
/
blog
/
Google Analytics: Bald illegal? Das sagen die SECJUR-Experten!

Google Analytics: Bald illegal? Das sagen die SECJUR-Experten!

Simon Pentzien

Co-Founder & Legal Expert

June 2, 2023

8 min

Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Simon die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Fieldfisher und Taylor Wessing tätig. Als Mitgründer und Chief Product Officer von SECJUR, lässt Simon seine Erfahrung vor allem in die Produktentwicklung einfließen.

Key Takeaways

Google Analytics' Datenübermittlung zur Muttergesellschaft in den USA steht unter Datenschutzbedenken.

Die Behördenansichten sind nicht verbindlich, haben aber Einfluss auf die Praxis und zeigen auf, dass Google Analytics datenschutzrechtliche Probleme hat. 

Unternehmen sollten überprüfen, ob sie Google Analytics wirklich benötigen und ob sie die Daten aktiv auswerten. Wenn dies nicht der Fall ist, wird empfohlen, Google Analytics zu deaktivieren. 

Wenn Unternehmen Google Analytics trotz der Risiken nutzen wollen, sollten sie verschiedene Maßnahmen ergreifen, um das Datenschutzrisiko zu minimieren. Als Alternative wird der Dienst Matomo vorgeschlagen.

Wie schätzen andere europäische Länder Google Analytics ein?

Die österreichische Datenschutzbehörde hat jüngst den Einsatz von Google Analytics auf Grundlage einer Musterbeschwerde des Verbands NOYB für unzulässig erklärt (die Entscheidung finden Sie hier). Google Analytics sei mit der Datenschutzgrundverordnung (DSGVO) nicht vereinbar.  

In diesem Artikel lesen Sie:

  • worum sich die Debatte um Google Analytics dreht
  • wie Unternehmen nun mit Google Analytics umgehen sollten
  • welche Alternativen es zu Google Analytics gibt

Worum geht es in der Debatte?

Insbesondere geht es in der Entscheidung um die Übermittlung der IP-Adresse, einer Identifikationsnummer (sog. „unique identifier“) sowie Browserinformationen an den Google-Mutterkonzern in den USA. Da die übermittelten Daten als personenbezogene Daten zu klassifizieren sind und die USA ein Drittland darstellen, bedarf es für eine datenschutzkonforme Übermittlung der Daten in die USA nach Art. 44 ff.  DSGVO geeigneter Garantien, so die Behörde.

Die von den verschiedenen Google-Gesellschaften abgeschlossenen Standarddatenschutzklauseln, die als geeignete Garantien die Übermittlung legitimieren sollen, sind nach Ansicht der Behörde nicht angemessen. Demnach sei ein Schutz der übermittelten Daten vor dem Zugriff amerikanischer Sicherheitsbehörden nicht ausreichend gewährleistet und der Dienst somit nicht datenschutzkonform einsetzbar.

NOYB hat übrigens 101 vergleichbare Beschwerden in den meisten anderen EU-Staaten initiiert, so dass damit zu rechnen ist, dass in Kürze weitere gleichlautende Entscheidungen anderer Aufsichtsbehörden ergehen werden.  

Die niederländische Datenschutzbehörde hat indes ebenfalls eine Prüfung von Google Analytics angekündigt. Laut der Behörde kann es schon bald zu einem Verbot des Dienstes kommen. Die Entscheidung steht aktuell noch aus.

Was bedeuten diese Behördenansichten?

Grundsätzlich ist zu beachten, dass es sich bisher um Behördenansichten handelt, die nicht verbindlich sind. Die Einschätzungen haben also nicht den gleichen Stellenwert wie beispielsweise letztinstanzliche gerichtliche Entscheidungen.

Die Behördenansichten sind dennoch praxisrelevant und nicht zu unterschätzen, da sie Aufschluss über die mangelnde Konformität des Dienstes geben. Die Behördenansichten sollten demnach als wichtige Einschätzungs- und Entscheidungsgrundlage herangezogen werden.

Wie sollten Unternehmen jetzt mit Google Analytics umgehen?

2 Fragen, die Sie sich stellen sollten

Wir empfehlen Ihnen, Ihren Einsatz von Google Analytics auf Ihrer Website zu überprüfen. Folgende Fragen sollten Sie sich dafür stellen:

  1. „Benötigen wir die Informationen von Google Analytics wirklich für unser Geschäft und bringen sie uns einen Mehrwert?“
  2. „Werten wir die Informationen aus Google Analytics tatsächlich aktiv aus und nutzen die Daten, bspw. für gezielte Werbekampagnen oder das Anpassen unserer Online-Präsenz?“

In diesem Fall sollten Sie Google Analytics nicht nutzen...

Wenn Sie beide Fragen mit nein beantworten können, empfehlen wir Ihnen Google Analytics zu deaktivieren und von Ihrer Website zu entfernen. Sie umgehen somit effektiv datenschutzrechtliche Risken, ohne dass Sie in betriebswirtschaftlicher Hinsicht Nachteile durch die Anpassung haben werden.

Wenn Sie mindestens eine der beiden Fragen mit ja beantworten können, empfehlen wir Ihnen, den Einsatz von Alternativen zu überprüfen. Eine mögliche Alternative stellen wir im nächsten Teil vor.

4 Maßnahmen, um Ihr Datenschutzrisiko zu minimieren

Wenn Sie zu dem Schluss kommen, dass Sie Google Analytics trotz der verbundenen Risken einsetzen möchten, empfehlen wir Ihnen mindestens folgende risikominimierende Maßnahmen zu treffen:

  • Eine Aktivierung von Google Analytics und der damit zusammenhängenden Cookies sollte durch entsprechende Voreinstellungen erst nach aktiver Einwilligung der jeweiligen Websitebesucher möglich sein. Google Analytics darf nicht automatisch in die Website eingebunden sein und von jedem Besucher Daten für statistische Zwecke sammeln. In diesem Zusammenhang weisen wir darauf hin, dass ein Einsatz von Google Analytics nicht auf Grundlage eines berechtigten Interesses erfolgen kann.
  • Sie sollten in den Einstellungen die Option „IP-Anonymisierung“ aktivieren. Diese Einstellung hat zur Folge, dass keine Übermittlung der gesamten IP-Adresse, sondern nur einer gekürzten Version, an den amerikanischen Mutterkonzern erfolgt. Auch wenn nicht geklärt ist, ob es sich dabei um eine Anonymisierung im Sinne der DSGVO handelt, so erfolgt zumindest eine Verarbeitung unter Einbeziehung des Grundsatzes der Datensparsamkeit.
  • Sie sollten in den Einstellungen die Speicherdauer der Cookies überprüfen und auf den möglichst kürzesten Zeitraum festlegen. Unseren Informationen nach beträgt der kürzeste Speicherzeitraum 14 Monate.
  • Sie sollten über den Einsatz in Ihrem datenschutzkonformen Cookie-Banner und Ihrer Datenschutzerklärung informieren.  

Dennoch: Risiken bleiben bestehen

Bitte beachten Sie, dass trotz dieser Maßnahmen Risiken verbleiben. Es ist davon auszugehen, dass Datenschutzaufsichtsbehörden nach wie vor davon ausgehen, dass trotz der beschriebenen risikominimierenden Maßnahmen ein datenschutzkonformer Einsatz von Google Analytics nicht möglich ist.

Google Analytics: Welche datenschutzfreundlichen Alternativen gibt es?

Eine Alternative, die beispielsweise der Landesbeauftragte für Datenschutz und Informationssicherheit Baden-Württemberg in seinen FAQs nennt, ist der Dienst Matomo.

Der Landesbeauftragte erklärt, dass es sogar möglich ist, den Einsatz des Dienstes auf ein berechtigtes Interesse zu stützen, wenn dieser auf eigenen Servern gehostet wird und lediglich Serverlogfiles aggregiert ausgewertet werden. Sofern diese Bedingungen eingehalten werden, bedarf es also nicht zwangsweise eine Einwilligung des Websitebesuchers.

Simon Pentzien

Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Simon die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Fieldfisher und Taylor Wessing tätig. Als Mitgründer und Chief Product Officer von SECJUR, lässt Simon seine Erfahrung vor allem in die Produktentwicklung einfließen.

Über SECJUR

SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.

Compliance, completed

Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office

Mehr erfahren

Frequently asked questions

Everything you need to know about the product and billing.

Weiterlesen

November 22, 2023
7 min
ISMS Zertifizierung: Welches Audit lohnt sich wirklich?

Sichern Sie nicht nur die Informationssicherheit Ihres Unternehmens, sondern stärken Sie auch das Vertrauen von Kunden und Partnern durch eine ISMS Zertifizierung. Erfahren Sie, was ein ISMS ist und wie es Risiken minimiert, die durch interne und externe Faktoren entstehen können. Die Implementierung eines ISMS ist nicht nur entscheidend für den Schutz sensibler Daten, sondern auch für die Erfüllung gesetzlicher Anforderungen und die Sicherung von Geschäftsmöglichkeiten, insbesondere in Branchen wie Gesundheitswesen, Finanzwesen und Industrie.

Lesen
June 2, 2023
5 min
Externer Datenschutzbeauftragter: Kann man auf ihn verzichten?

In vielen Fällen gilt der Datenschutzbeauftragte im Unternehmen als lähmender Bedenkenträger. Nur sehr guten Datenschutzbeauftragten gelingt es, sowohl auf die Einhaltung der datenschutzrechtlichen Regeln hinzuwirken und gleichzeitig das Business pragmatisch und unternehmerisch denkend zu unterstützen.

Lesen
June 7, 2023
5 min
Informationssicherheitsbeauftragter – das macht der ISB!

Ein Informationssicherheitsbeauftragter (ISB) ist zuständig für die allgemeine Informationssicherheit in einem Unternehmen oder einer Institution. Dabei ist zu beachten, dass es beim Informationssicherheitsbeauftragten keine fest geschriebene gesetzliche Definition gibt, wie es etwa bei einem Datenschutzbeauftragten der Fall ist. Vielmehr werden je nach Branche verschiedene Definitionen genutzt, beispielsweise im Finanzdienstleistungssektor. Woher weiß ein Unternehmen nun, ob es einen Informationssicherheitsbeauftragten braucht? Wir haben es in diesem Überblick zusammengefasst.

Lesen
TO TOP