Affiliate-Marketing
Afterbuy
Amazon
Apotheken-Online-Shop
Apps (Datenschutzerklärung)
Argato
Avocadostore
Azoo
Booklooker
branchbob
BrickLink
Cardmarket
Cdiscount.com
Chrono24
commerce:seo
conrad.de
CosmoShop
Delcampe
Dienstleistungen
Discogs
Dropshipping-Marktplatz.de
eBay
eBay-Kleinanzeigen
ecwid
eGun
Einkaufsbedingungen (B2B)
ePages
Etsy
Facebook
FairFox
Fairmondo.de
galeria.de
Gambio
Gambio-Cloud
Gastro-Lieferservice (Restaurants)
GTC for Shopify
Handmade at Amazon
Homepages
Hood
Hosting-B2B
Hosting-B2B-B2C
Idealo-Direktkauf
Instagram
Jimdo
Joomla
JTL
Kasuwa
Kaufland.de
Kauflux
kayamo
Lightspeed
LinkedIn
Lizenzo
Magento 1 und Magento 2
manomano
Mediamarkt.de
meinOnlineLager
metro.de
modified eCommerce-Shops
Mädchenflohmarkt
Online-Shop
Online-Shop (Verkauf digitaler Inhalte)
Online-Shop - B2B
OpenCart
Otto.de
Oxid-Shops
Palundu
Pinterest
placeforvegans.de
plentymarkets
Praktiker.de
Prestashop
PriceMinister.com
productswithlove
RAIDBOXES
Restposten
restposten24.de
Ricardo.ch
Seminare
Shop - Online-Kurse (live/on demand)
Shop - Verkauf von eigener Software
Shop - Verkauf von fremder Software
Shop - Vermietung von Waren
Shopgate
shopify
Shopware
Shpock+
shöpping.at
smartvie
Squarespace
STRATO
Teilehaber.de
TikTok-Präsenzen
Tumblr
Twitch
Twitter
TYPO3
Verkauf von Veranstaltungstickets
Verkauf über individuelle Kommunikation (B2B + B2C)
Verkauf über individuelle Kommunikation (B2B)
Verkauf über Printkataloge
Verkauf über stationären Handel
Vermietung Ferienwohnungen
Vermietung von Shops (inkl. Hosting)
VersaCommerce
VirtueMart
webador
Webseite (kein Verkauf)
Werky
Wix
WooCommerce
WooCommerce German Market
WooCommerce Germanized
WordPress
Wordpress-Shops
wpShopGermany
Xanario
XING
xt:Commerce
Yatego
YouTube
Zen-Cart
ZVAB
Österreichische Datenschutzerklärung
von Daniel Huber

Google Analytics 4 möglichst datenschutzkonform nutzen: Handlungsanleitung der IT-Recht Kanzlei + neue Datenschutzklauseln

News vom 18.08.2021, 11:58 Uhr | Keine Kommentare

Seit Herbst 2020 kann Google Analytics 4 – Weiterentwicklung und Nachfolger von Google Universal Analytics – zumindest in Form von Beta-Versionen zur Analyse von Website- und App-Traffic genutzt werden. Google Analytics 4 soll es im Vergleich zum Vorgänger – jedenfalls perspektivisch – auch erleichtern, die Nutzerdaten in datenschutzkonformer Weise zu erfassen und zu analysieren. Wir haben uns die fortschreitende Entwicklung von Google Analytics 4 zum Anlass genommen, die Tracking-Möglichkeiten, Funktionen und Einstellungsoptionen datenschutzrechtlich näher zu beleuchten und eine Handlungsanleitung für die möglichst datenschutzkonforme Nutzung des Analytics-Nachfolgers zu erstellen.

I. Erhebung und Verarbeitung von personenbezogenen Daten

Bei der Nutzung von Google Analytics 4 werden –unabhängig von der konkreten Konfiguration und den vorgenommenen Einstellungen – stets auch solche Informationen erhoben und verarbeitet, die aus der Perspektive der EU-Datenschutz-Grundverordnung („
DSGVO) als personenbezogene Daten anzusehen sind. Die Verarbeitung dieser Informationen unterfällt somit den europäischen Datenschutzregelungen, sodass die entsprechenden datenschutzrechtlichen Vorgaben einzuhalten sind.

Zwar sieht Google Analytics 4 standardmäßig eine automatische Anonymisierung der IP-Adressen der getrackten Website- und App-Nutzer schon bei der Erfassung der Nutzerdaten durch Google vor. Auch ist diese Anonymisierung im Unterschied zu Google Universal Analytics nicht bloß optional, sondern zwingend vorgegeben, und kann durch die Nutzer von Google Analytics 4 auch nicht ausgeschaltet werden.

Allerdings ist dadurch eine Identifizierung der betreffenden Website-/App-Nutzer nicht – jedenfalls nicht mit Sicherheit – vollständig ausgeschlossen.

Denn aus der Möglichkeit der Verknüpfung von sämtlichen Informationen, die via Google Analytics 4 zu einem bestimmten Pseudonym gesammelt werden, lassen sich möglicherweise Rückschlüsse auf die Identität der einzelnen Website-/App-Nutzer und deren Verhalten auf derselben Website bzw. App ziehen, und einzelne Website-/App-Nutzer können womöglich auch auf anderen Websites und in anderen Apps wiedererkannt werden.

Dies gilt vor allem für Google, den Anbieter von Google Analytics 4, der aufgrund von Informationen, die durch andere Nutzer dieses Tools und von anderen Google-Diensten an Google übermittelt werden, grundsätzlich hierzu in der Lage sein dürfte.

Wie die von Google bereitgestellten datenschutzrechtlichen Informationen und Vorkehrungen zu Google Analytics 4 zeigen, geht zudem auch Google selbst davon aus, dass bei der Nutzung von Google Analytics 4 jedenfalls auch personenbezogene Daten i.S.d. europäischen Datenschutzrechts verarbeitet werden, und somit die diesbezüglichen datenschutzrechtlichen Vorgaben zu beachten sind.

1

II. Keine völlig risikofreie Möglichkeit der datenschutzkonformen Nutzung von Google Analytics 4

Die Nutzung von Google Analytics 4 ist zum gegenwärtigen Zeitpunkt wegen gleich zwei noch ungeklärter datenschutzrechtlicher Probleme, die nicht nur mit Google Analytics 4 zusammenhängen, nicht ohne datenschutzrechtliche Risiken, und damit nicht vollkommen rechtssicher möglich.

Vielmehr ist aus Sicht der – insbesondere auch deutschen – Datenschutzbehörden eine vollkommen datenschutzkonforme Nutzung von Google Analytics 4 unabhängig von den einzelnen bei Google Analytics 4 vorgenommenen Konfigurations- und Einstellungsmöglichkeiten nicht möglich.

1.) Problematische Datenübermittlungen in die USA

Dies liegt zum einen daran, dass bei der Nutzung von Google Analytics 4 nach den bekannten Informationen Daten der Website-/App-Nutzer stets auch an die Google LLC mit Sitz in den USA, und damit – aus Sicht des EU-Datenschutzrechts – in einen nach Maßstab der DSGVO unsicheren Drittstaat außerhalb der EU/ des EWR übermittelt werden.

Datenübermittlungen in solche Drittstaaten dürfen nach den Vorgaben des EU-Datenschutzrechts nur erfolgen, wenn bestimmte Maßnahmen ergriffen werden, die für ein angemessenes, mit dem EU-Standard vergleichbares Datenschutzniveau sowohl bei der Übermittlung als auch bei der weiteren Verarbeitung der Daten außerhalb der EU sorgen.

Es ist unklar, ob gegenwärtig überhaupt eine Möglichkeit besteht, diese Vorgaben bei der Nutzung von Diensten wie Google Analytics 4 zu erfüllen, etwa durch den Abschluss sog. EU-Standardvertragsklauseln und der Ergreifung zusätzlicher Schutzmaßnahmen.

Zwar geht Google selbst davon aus, dass dies möglich ist. Die europäischen und auch die deutschen Datenschutzbehörden sehen dies allerdings anders, sodass Nutzer von Google Analytics 4 dem Risiko ausgesetzt sind, durch die Nutzung des Tools gegen das Datenschutzrecht zu verstoßen und Datenschutzverletzungen zu begehen.

Dies könnte zu Sanktionen durch Behörden führen, wie etwa zum Verbot der Datenübermittlungen an Google, gegenwärtig gleichzusetzen mit einem Verbot der Nutzung von Google Analytics 4, und zu empfindlichen Geldbußen.

2.) Mögliche gemeinsame Verantwortlichkeit von Google und Google Analytics 4-Nutzern für die Nutzerdaten

Zum anderen besteht nach Ansicht der deutschen Datenschutzbehörden eine sog. gemeinsame Verantwortlichkeit von Google und den einzelnen Nutzern von Google Analytics 4 hinsichtlich der Verarbeitung der getrackten und analysierten Nutzerdaten.

Eine gemeinsame Verantwortlichkeit bedeutet, dass die datenschutzrechtlichen Verantwortlichkeiten zwischen den gemeinsamen Verantwortlichen, hier also Google und dem einzelnen Google Analytics 4-Nutzer, in einer dokumentierten Vereinbarung geregelt werden muss, die nach Art. 26 DSGVO einen bestimmten Inhalt hat.

Da Google für die Nutzung von Google Analytics 4 eine solche Vereinbarung standardmäßig nicht vorsieht, und eine solche Vereinbarung nach derzeitigem Kenntnisstand auch nicht im Einzelfall akzeptiert, wenn sie von den Nutzern vorgelegt würde, kann Google Analytics 4 auch aus diesem Grund – jedenfalls nach Ansicht von europäischen Datenschutzbehörden – gegenwärtig nicht in datenschutzkonformer Weise genutzt werden.

Den von Google für die Nutzung von Google Analytics 4 stattdessen vorgesehenen sog. Auftragsverarbeitungsvertrag, die ein Google Analytics 4-Nutzer bei der Einrichtung von Google Analytics 4 mit Google abschließen muss, ist hierfür nicht ausreichend.
Vor dem Hintergrund dieser beiden Datenschutzprobleme ist eine sichere datenschutzkonforme Nutzung von Google Analytics 4 gegenwärtig nicht möglich.

Die IT-Recht Kanzlei weist daher ausdrücklich darauf hin, dass auch bei Einhaltung sämtlicher, in unserer nachfolgenden Anleitung enthaltenen Hinweise ein Risiko besteht, dass die Nutzung von Google Analytics 4 gegen geltendes europäisches Datenschutzrecht verstößt und es zu Sanktionen durch Datenschutzbehörden kommen könnte.

Aktuell untersuchen deutsche Datenschutzbehörden intensiv und umfassend die Rechtmäßigkeit des Einsatzes von Webtracking- und -analyse-Tools.

III. Handlungsanleitung für eine möglichst datenschutzkonforme Einbindung von Google Analytics 4

Exklusiv-Inhalt für Mandanten

Noch kein Mandant?

Ihre Vorteile im Überblick
  • Wissensvorsprung
    Zugriff auf exklusive Beiträge, Muster und Leitfäden
  • Schutz vor Abmahnungen
    Professionelle Rechtstexte – ständig aktualisiert
  • Monatlich kündbar
    Schutzpakete mit flexibler Laufzeit
Ab
5,90 €
mtl.

V. Fazit

Der Umstieg von Google Universal Analytics auf Google Analytics 4 (aktuell noch in der Beta-Version) ist– jedenfalls aus datenschutzrechtlicher Sicht – zumindest zum gegenwärtigen Zeitpunkt für die Nutzer mit keinen größeren Veränderungen verbunden. Dies gilt unabhängig davon, ob bei der Nutzung von Google Analytics 4 Cookies eingesetzt werden oder im Rahmen des sog. Einwilligungsmodus ein cookieloser Betrieb erfolgt.

Auch wenn aus datenschutzrechtlicher Sicht aus Datensparsamkeitsgründen die cookielose GA4-Variante zu bevorzugen ist, bedarf es nach Einschätzung der IT-Recht Kanzlei weiterhin der Einwilligung der Website-/App-Nutzer, die getrackt und analysiert werden sollen, um wenigstens eine weitestgehend datenschutzkonforme Nutzung von Google Analytics 4 zu ermöglichen.

Allerdings erfolgt die Nutzung des Tools selbst dann nicht ohne jedes datenschutzrechtliche Risiko, da sich die allgemeinen datenschutzrechtlichen Probleme im Zusammenhang mit der Rechtmäßigkeit der Weitergabe von personenbezogenen Daten an Google USA und der etwaigen gemeinsamen Verantwortlichkeit von Seitenbetreibern und Google aktuell leider nicht mit Rechtssicherheit lösen lassen.

Wer trotz dieser Risiken Google Analytics 4 für das Tracking und die Analyse seiner Website oder App-Nutzer zumindest weitestmöglich im Einklang mit dem Datenschutzrecht einsetzen möchte, sollte die vorstehende Handlungsanleitung beachten, vor allem auch die Datenschutzhinweise der betreffenden Website/App um entsprechende Abschnitte ergänzen.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.

Autor:
Daniel Huber
(freier jur. Mitarbeiter der IT-Recht Kanzlei)
© 2005-2021 · IT-Recht Kanzlei Keller-Stoltenhoff, Keller