Google Analytics DSGVO-konform einsetzen: Was Websitebetreiber wissen müssen

Google Analytics ist das meistgenutzte Webanalyse-Tool der Welt. Gleichzeitig hat es in den vergangenen Jahren immer wieder Aufsehen in datenschutzrechtlichen Entscheidungen erregt. Für Websitebetreiber stellt sich daher die Frage, unter welchen Bedingungen der Einsatz noch rechtlich vertretbar ist.

Dieser Ratgeber gibt einen sachlichen Überblick, ersetzt aber keine individuelle Rechtsberatung.

Warum Google Analytics datenschutzrechtlich relevant ist

Google Analytics erfasst eine Vielzahl von Nutzerdaten: aufgerufene Seiten, Verweildauer, verwendetes Gerät und Betriebssystem, grober Standort auf Basis der IP-Adresse, Referrer-URLs und Interaktionen mit Seitenelementen. Diese Daten werden an Google-Server übertragen, in den Vereinigten Staaten verarbeitet und dort für einen definierten Zeitraum gespeichert.

Zwei datenschutzrechtliche Problemstellen ergeben sich daraus.

Erstens die Verarbeitung von personenbezogenen Daten zu Analysezwecken: Das Tracking des Nutzerverhaltens erfordert nach der ePrivacy-Richtlinie und deren nationaler Umsetzung eine vorherige Einwilligung.

Zweitens die Drittlandübermittlung in die USA: Der Europäische Gerichtshof hat im Juli 2020 das Privacy-Shield-Abkommen für unwirksam erklärt. Seitdem ist die Übermittlung in die USA nur auf Basis der EU-Standardvertragsklauseln möglich, verbunden mit einer Risikoabschätzung, ob im Empfängerland ein dem europäischen Niveau vergleichbares Schutzniveau besteht.

Mehrere europäische Datenschutzbehörden, darunter die österreichische DSB, die französische CNIL und die italienische Garante, haben in Fallentscheidungen den Einsatz von Google Analytics in bestimmten Konfigurationen als rechtswidrig eingestuft.

Auftragsverarbeitungsvertrag mit Google

Vor dem Einsatz von Google Analytics muss ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO geschlossen werden. Google stellt diesen Vertrag im Google Analytics-Konto automatisch bereit und verpflichtet sich darin, Daten nur nach Weisung des Betreibers zu verarbeiten.

Das Akzeptieren der Google-Nutzungsbedingungen ersetzt diesen Vertrag nicht. Der AVV muss im Google Analytics-Konto unter den Einstellungen explizit aktiviert werden.

IP-Anonymisierung

In Google Analytics 4 (GA4) ist die IP-Anonymisierung standardmäßig aktiviert. Das bedeutet, dass die letzte Stelle der IP-Adresse vor der Verarbeitung abgeschnitten wird, sodass eine direkte Identifizierung des Nutzers über die IP-Adresse erschwert wird.

Bei Universal Analytics (GA3), das seit Juli 2023 keine Daten mehr verarbeitet, musste die IP-Anonymisierung explizit per Code-Parameter aktiviert werden. Für Betreiber, die noch Altdaten aus GA3 verwalten, ist dieser Punkt relevant.

Einwilligung als Pflicht

Der kritischste Punkt: Google Analytics darf erst dann geladen und ausgeführt werden, wenn der Nutzer eine informierte, freiwillige und eindeutige Einwilligung erteilt hat. Das bedeutet in der Praxis:

Das Analyse-Skript darf nicht im Seitenquelltext vorgeladen werden. Es muss technisch sichergestellt sein, dass das Skript erst nach Betätigung der Einwilligungsschaltfläche im Cookie-Banner lädt.

Die Einwilligung muss granular sein: Der Nutzer muss die Möglichkeit haben, Analyse-Cookies abzulehnen, ohne dass ihm grundlegende Funktionen der Website verweigert werden.

Cookie-Walls, bei denen der Zugang zur Website von der Einwilligung in das Tracking abhängt, sind nach Auffassung der meisten Datenschutzbehörden unzulässig.

Datenschutzhinweis aktualisieren

Der Datenschutzhinweis der Website muss Google Analytics als Dienstleister benennen, den Zweck der Datenverarbeitung beschreiben, auf die Drittlandübermittlung hinweisen und die Rechtsgrundlage angeben. Für Analyse-Cookies ist das typischerweise die Einwilligung nach Artikel 6 Absatz 1 lit. a DSGVO.

Außerdem muss der Hinweis erklären, wie Nutzer ihre Einwilligung widerrufen können, und auf die Möglichkeit hinweisen, das Google Analytics Opt-out-Browser-Add-on zu installieren.

Alternativen mit weniger Compliance-Aufwand

Wer den Compliance-Aufwand für Google Analytics scheut, kann auf datenschutzfreundlichere Analyse-Tools zurückgreifen. Tools wie Matomo in der selbstgehosteten Variante oder Fathom Analytics übertragen keine Daten in die USA und lassen sich in manchen Konfigurationen einwilligungsfrei betreiben. Weitere Alternativen behandelt der Ratgeber zu cookielosem Tracking in dieser Serie.

Konfiguration im Cookie-Banner

Websitebetreiber, die Google Analytics einsetzen, sollten im Cookie-Banner eine separate Kategorie für Statistik- oder Analyse-Cookies einrichten. Der Generator auf dieser Seite unterstützt diese Kategorisierung und erzeugt den notwendigen Code, der das Analyse-Skript erst nach Einwilligung lädt.

Wichtig ist dabei, den Kategorie-Namen konsistent mit dem Datenschutzhinweis zu halten und den Nutzern eine echte Ablehnungsoption zu bieten.

Zusammenfassung

Google Analytics ist datenschutzrechtlich nicht per se verboten, erfordert aber mehrere Maßnahmen: Abschluss des Auftragsverarbeitungsvertrags, korrekte IP-Anonymisierung, Einholung einer Einwilligung vor dem Tracking-Start und eine vollständige Information der Nutzer im Datenschutzhinweis. Ohne diese Maßnahmen riskieren Betreiber Bußgelder und Abmahnungen.