DSGVO-konforme Nutzung von Google Analytics

Schaffen Sie möglichst viel Klarheit in Sachen Datenschutz und Richtlinien für die Nutzenden! Mit dem neuen TTDSG, welches am 01.12.2021 in Kraft getreten ist, gibt es neue Regelungen für die Nutzung von Cookies, welche vor allem die Notwendigkeit des Einverständnisses seitens der User:innen verschärfen. Damit die Nutzung von Google Analytics gesetzeskonform ist, bedarf es einer aktiven Einwilligung, sobald die Website geöffnet wird. Hierfür gibt es Consent Management Plattformen („CMP“), mit deren Hilfe Opt-In-Banner erstellt werden können.

Diese Cookie Consent Manager zur Einholung der Einwilligung sind essentiell. Allerdings müssen auch diese, was die rechtliche Situation betrifft, mit Vorsicht betrachtet werden. Es gibt nämlich deutliche Unterschiede in der Datenverarbeitung: Hierbei lassen sich beispielsweise automatisierte Prozesse anwenden, jedoch werden hier meist die Kundendaten in die USA, also an ein Drittland, weitergeleitet, was aus datenschutzrechtlicher Sicht eher nicht zu empfehlen ist. Alternativ hat der Websitebetreibende die Möglichkeit die Nutzerdaten auf dem eigenen Server zu speichern und jede Cookie-Aktualisierung händisch einzupflegen und zu aktualisieren. Das kann allerdings mit großem Aufwand verbunden sein, sowie mit der Gefahr Aktualisierungen zu vergessen, weil nicht nur einer, sondern mehrere Cookies durch Google gesetzt werden. Das Risiko ist hoch, das falsche oder fehlerhafte Angaben bei der manuellen Pflege gemacht werden. Zudem müssen die Cookies immer aktuell gehalten werden.

Die beste Lösung sind Consent Management Plattformen, deren Server sich in Deutschland befinden und einen automatisierten Prozess ermöglichen. Das vermeidet Gefahren in Bezug auf eine Datenweiterleitung in ein Drittland und verhindert Fehler, die bei der manuellen Einpflege von Cookies entstehen können. Wir selbst nutzen hierfür den CCM19 Manager, mit dem wir sehr zufrieden sind und welchen wir Ihnen weiterempfehlen können. Sollten Sie Hilfe bei der Einrichtung und Konfiguration benötigen, unterstützen wir Sie gerne dabei.

Die gesetzliche Lage sowie die allgemeinen Empfehlungen befinden sich in einem ständigen Wandel. Wir prüfen natürlich laufend die aktuell konformsten Tools und können Ihnen so die bestmögliche Lösung empfehlen. Wenn Sie professionelle Beratung und Empfehlungen zum Thema Cookie Consent Management benötigen, sind also unsere Experten die perfekten Ansprechpartner.

Bei den Opt-In-Bannern gilt zu beachten: Die Schaltfläche zum Ablehnen der Cookies sollte im Idealfall genauso wahrnehmbar sein, wie die Zustimmungsfläche. Diese Banner müssen folgende Fragen aus dem Weg schaffen:

Welche Art von Cookies wird verwendet? Der Nutzende muss darüber informiert werden, welche Art von Daten verwendet werden und zu welchem Zweck das geschieht. Aufgeführt werden kann das in der Datenschutzerklärung. Eine Erläuterung der Cookie Gruppen sollte jedoch schon im Cookie-Banner stattfinden. Ohne Einwilligung dürfen nach wie vor First-Party-Cookies, wie z.B. Sprach- und Länderauswahl, Warenkorb-Cookies, Speichern der Cookie-Einwilligung, etc. verwendet werden. Diese Daten werden auf dem Rechner des Nutzers gespeichert.

Wie lange beträgt die Lebensdauer dieser Cookies? Den Vorgaben der DSGVO entsprechend sollte es sich hierbei um 14 Monate handeln.

Wer verarbeitet die Cookies? Am besten benennen Sie den Dienstleister schon im Cookie-Banner und fügen einen Link zu dessen Datenschutzerklärung an.

Der Widerspruch muss den Nutzer:innen genauso leicht fallen, wie die Einwilligung zur Nutzung der Daten. Dasselbe gilt für die Ablehnung der Cookies, was von großer Wichtigkeit bei der Gestaltung des Banners ist (Gefahr der versehentlichen Zustimmung aus dem Weg schaffen, etc.).

1. Schritt: Zuerst müssen Sie dafür ein JavaScript schreiben und in Ihre Website einbinden. Die Zeichenfolge ‚UA-XXXXXXX-X‘ müssen Sie durch Ihre Google Analytics Property ersetzen. Die darauffolgenden vier Zeilen bis window[disableStr] = true;} verursachen dann die Deaktivierung des Analytics Cookies. Die Ausführung dieses Scripts können die User:innen über einen Link in Ihrer Datenschutzerklärung übernehmen. Wichtig ist hierbei: Das Skript muss unbedingt vor dem Google Analytics Code eingebaut sein, damit es vor der Datenerfassung greifen kann. Wenn Sie den Google Tag-Manager nutzen, muss es auch vor dem Tag Manager stehen. Der Befehl function gaOptout() setzt den Opt-Out Cookie, sobald der Link auf Ihrer Datenschutzseite eingebaut ist und vom User angeklickt wird. Das gesetzte Opt-Out Cookie in diesem Beispiel ist bis zum 31. Dezember 2099 um 23:59:59 Uhr gültig (sollte es nicht vorher vom User gelöscht werden).

2. Schritt: Im zweiten Schritt müssen Sie einen Link auf Ihrer Datenschutzseite setzen, um den Befehl „function gaOptout()“ ausführen zu können. Die Verlinkung kann folgendermaßen aussehen:

<a href=“javascript:gaOptout();“ onclick=“alert(‚Google Analytics wurde deaktiviert‘);“>
    Erfassung von Daten durch Google Analytics für diese Website deaktivieren
</a>

Über den Zusatz: onclick=“alert(‚Google Analytics wurde deaktiviert‘) öffnet sich ein separates Fenster, in dem der User eine Mitteilung erhält, dass Google Analytics nun deaktiviert ist.

3. Schritt: Um im letzten Schritt zu überprüfen, ob das Cookie richtig gesetzt wurde empfehlen wir Ihnen zunächst alle Cookies in Ihren Browsereinstellungen zu löschen. Anschließend klicken Sie auf den Link in Ihrer Datenschutzerklärung zur Deaktivierung von Google Analytics. Nun sollte zunächst das Infofenster erscheinen. Anschließend können Sie prüfen, ob der Opt-Out Cookie (ga–disable-UA-XXXXXX-X) gesetzt wurde. Eine andere Kontrollmöglichkeit ist das Browser-Plugin EditThisCookie.

Hinweise: Hat der User JavaScript deaktiviert, löst zwar das Cookie nicht aus, aber Google Analytics würde trotzdem keine Daten erhalten, da Analytics ebenfalls über ein JavaScript eingebaut ist.
Wenn Sie den Opt-Out-Link mit dem WordPress Visual Composer auf Ihrer Datenschutzseite einfügen, überschreibt das Baukastensystem Visual Composer das JavaScript Snippet und der Opt-Out Cookie kann nicht mehr gesetzt werden. Um dies zu vermeiden müssen Sie das Script im HTML-Modus der Seite einbinden.

Wer Google Analytics datenschutzkonform einbinden will, muss den Einsatz in der Datenschutzerklärung zwingend angeben. Vorlagen und Inspiration für eine rechtskonforme Datenschutzerklärung finden Sie zum Beispiel bei E-Recht24. Wie bereits erwähnt müssen auch Angaben zur Nutzung des Consent Tools in der Datenschutzerklärung gemacht werden - Umfang der Datenerhebung, Rechtsgrundlage, Speicherdauer, Hinweis auf das Widerrufsrecht, etc.

Die neue Generation von Google Analytics (Google Analytics 4) bietet sowohl grafische als auch technische Neuerungen. Zum Seitenaufruf als Standardinteraktion der Nutzer:innen kommen weitere Nutzerinteraktionen bzw. Ereignisse hinzu, die gemessen werden: Scrolls, Klicks auf externe Links, websiteinterne Suchanfragen, Engagement mit eingebetteten YouTube-Videos und Dateidownloads. Im Hinblick auf den Datenschutz sind Websitebetreibende sicherer aufgestellt. Das Tracking findet über Cookies und jetzt zusätzlich auch “cookieless Tracking” statt und es wird eine standardisierte Anonymisierung der IP-Adressen vorgenommen. Dieser Schritt wird für Sie also mit dem Umstieg wegfallen. Die maximale Aufbewahrungsdauer der Daten wurde auf 14 Monate reduziert, was den Vorgaben der DSGVO entspricht. Alternativ können Sie eine Aufbewahrungsdauer von 2 Monaten wählen.

Wir empfehlen an dieser Stelle den Umstieg auf Google Analytics 4 parallel zu gestalten, solange die Vorgängerversion noch nutzbar ist. Die standardmäßigen Universal-Analytics-Eigenschaften werden nach Angaben seitens Google ab 1. Juli 2023 keine neuen Treffer mehr verarbeiten, Universal-Analytics 360-Eigenschaften werden bis zum 1. Oktober 2023 weitergeführt.

Da die Datenerfassung der beiden Analytics Generationen sich stark voneinander unterscheidet, wird es schwerfallen, die Universal Analytics Daten aus dem Vorjahr mit den Google Analytics 4 Daten aus dem Folgejahr zu vergleichen. Eine parallele Nutzung beider Systeme im Übergangsjahr ermöglicht die Sicherstellung anschaulicher Vergleichsdaten zum jeweiligen Vorjahr. Gleichzeitig können Sie sich vorbereitend mit dem Umgang mit der neuen Analytics Generation bekannt machen, solange man trotzdem noch die vertraute Datenverarbeitung nutzen kann. Falls Sie mit Universal Analytics vertraut sind, werden Sie möglicherweise zunächst enttäuscht von Google Analytics 4 sein. Der Umfang an möglichen Auswertungen ist aktuell deutlich geringer. Auch bei neuen Websites und Onlineshops ist es somit sinnvoller die beiden Programme noch parallel laufen zu lassen.

In Anbetracht des ständigen rechtlichen Wandels zum Thema Tracking und Webanalyse ist es wichtig, stets auf dem Laufenden zu bleiben. Dafür ist es essentiell in ständigem Austausch mit Ihrem zuständigen Datenschutzbeauftragten zu sein. Bei einer Beratung zu möglichen Alternativen, im Umgang mit Consent Management Plattformen, sowie dem Umstieg von Universal Analytics auf Google Analytics 4 stehen wir Ihnen mit unserem Fachwissen zur Seite und unterstützen Sie bei der korrekten und datenschutzkonformen Einbindung in Ihre Website! Wir nehmen hierbei keine Rechtsberatung vor.