Webanalyse datenschutzkonform einsetzen

Viele Website-Betreiber machen von Webanalyse-Tools wie Google Analytics Gebrauch, um mehr über das Nutzerverhalten auf ihren Websites zu erfahren. Durch das Inkrafttreten der DSGVO sowie Entscheidungen des BGH zum Thema Cookies und Tracking sind jedoch viele verunsichert, ob sie Webanalyse-Tools auf ihrer Website implementieren dürfen, und wenn ja, zu welchem Umfang.

Der BGH hat entschieden, dass eine Einwilligung (Opt-In) der Website-Besucher zwingend eingeholt werden muss, wenn der Einsatz von Cookies (und vergleichbaren Technologien, sofern durch diese Informationen im Endgerät eines Nutzers gespeichert werden oder ein Zugriff auf solche Informationen erfolgt) für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung von Websites oder Apps erfolgt und hierbei Nutzerprofile erstellt werden.

Wird ein Tool nicht zu den oben genannten Zwecken genutzt, kann die Verwendung von z.B. Google Analytics unserer Meinung nach unter bestimmten Voraussetzungen auch ohne Einwilligung zulässig sein. Die Voraussetzungen wollen wir in diesem Blog-Artikel kurz erläutern.

Cross-Device-Tracking / User ID

Google Analytics bzw. Universal Analytics bietet die Möglichkeit, Cross-Device-Tracking zu betreiben. Dies geschieht durch den Einsatz einer User-ID, die zum Beispiel bei einem Login dem Nutzer zugeordnet wird. Die User-ID wird zwar pseudonymisiert, doch ist nach der DSGVO immer noch ein personenbezogenes Datum. Es sollte also weder eine User-ID, noch Cross-Device-Tracking zum Einsatz kommen, wenn ihr Google Analytics ohne Einwilligung nutzen wollt.

Werbe-Bezug entfernen

Werbe-Tracking wird vom BGH als nicht unbedingt erforderlich eingestuft und darf daher nur mit Einwilligung der Nutzer eingesetzt werden. Es ist dabei unerheblich, ob mithilfe des Trackings personenbezogene Daten verarbeitet werden oder nicht. Stellt also sicher, dass Google Analytics nicht zu Marketingzwecken verwendet wird.

Hierzu sollten zum Beispiel die Datenerfassung für Werbefunktionen sowie die Einstellungen für das Zulassen von personalisierten Anzeigen nicht aktiviert sein. Zielgruppen sollten nicht für Remarketing-Zwecke gebildet werden. Aber auch die Berichte zu demografischen Merkmalen und Interessen gehören zu den Werbefunktionen. Verknüpft ihr Google Analytics mit euren Google-Ads-Konten, entsteht auch ein Werbe-Bezug, denn die Verknüpfung ermöglicht einen Datenaustausch zwischen den Produkten.

Keine Daten mit Google teilen

Bei den Einstellungen für die Datenfreigabe könnt ihr die Option “Google-Produkte und -Dienste” anhaken. Wenn die Option angehakt ist, wird Google zum Verantwortlichen (im Sinne der DSGVO). Dies bedeutet, dass Google auf eure Analytics-Daten zugreifen und diese analysieren kann. Ist Google Verantwortlicher, gelten andere Rechte und Bestimmungen, als wenn ihr verantwortlich für die Daten seid und ihr habt nicht mehr in der Hand, was mit den Nutzungsdaten eurer Website-Besucher passiert.

Darüber hinaus gilt es natürlich weiterhin die DSGVO zu beachten und die Einstellungen vorzunehmen, die vorher auch schon nötig waren, um datenschutzkonform zu sein. Dazu gehören unter anderem die IP-Anonymisierung, der Abschluss eines Auftragsverarbeitunsgvertrags mit dem Toolanbieter, und – was aber ja schon vor Zeiten der DSGVO eingehalten werden musste – keine personenbezogenen Daten zu erfassen und an Google Analytics zu senden, auch um nicht gegen die Richtlinien von Google zu verstoßen und eine Schließung des Accounts sowie eine Löschung aller gesammelten Daten zu riskieren.