Datenspeicherungsrichtlinien sind ein kritischer Bestandteil der DSGVO-Compliance, doch viele Organisationen, die Google Analytics nutzen, verstehen nicht vollstaendig, wie lange Nutzerdaten gespeichert werden oder welche Kontrolle sie ueber Aufbewahrungsfristen haben. Dies schafft erhebliche Compliance-Risiken.

Wie die Datenspeicherung in Google Analytics funktioniert

Google Analytics speichert Nutzer- und Ereignisdaten fuer konfigurierbare Zeitraeume. Die Standard-Aufbewahrungseinstellungen und verfuegbaren Optionen haben sich ueber die Versionen der Plattform hinweg geaendert. In GA4 kann die Nutzerdaten-Aufbewahrung auf 2 Monate oder 14 Monate eingestellt werden, waehrend aggregierte Berichte unbegrenzt verfuegbar bleiben.

Die Unterscheidung zwischen nutzerbezogenen Daten und aggregierten Daten ist jedoch wichtig. Selbst nach Ablauf der nutzerbezogenen Daten kann Google aggregierte oder de-identifizierte Daten aufbewahren, die aus den urspruenglichen personenbezogenen Daten abgeleitet wurden.

DSGVO-Anforderungen

Der Grundsatz der Speicherbegrenzung der DSGVO verlangt, dass personenbezogene Daten nur so lange aufbewahrt werden, wie es fuer den Verarbeitungszweck erforderlich ist. Organisationen muessen ihre Aufbewahrungsfristen definieren und begruenden, und Daten muessen geloescht oder anonymisiert werden, wenn sie nicht mehr benoetigt werden.

Fuer Web-Analyse wirft dies schwierige Fragen auf: Wie lange benoetigt eine Organisation tatsaechlich besucherbezogene Daten? Ist eine 14-monatige Aufbewahrungsfrist fuer routinemaessige Traffic-Analysen gerechtfertigt? Koennen Organisationen nachweisen, dass ihre Aufbewahrungseinstellungen mit ihren angegebenen Zwecken uebereinstimmen?

Compliance-Herausforderungen

Ueber die Aufbewahrungsfristen hinaus ist das grundlegende Problem, dass von Google Analytics gespeicherte Daten auf einer Infrastruktur liegen, die von einem US-Unternehmen kontrolliert wird und US-Ueberwachungsgesetzen unterliegt. Dies verstaerkt die Aufbewahrungsfrage durch Datenuebertragungsbedenken, die dazu gefuehrt haben, dass mehrere EU-Behoerden die Nutzung von Google Analytics als nicht DSGVO-konform erklaert haben.

Organisationen sollten ihre Analyse-Datenspeicherungseinstellungen ueberpruefen, sicherstellen, dass sie ihre gewaehlten Fristen begruenden koennen, und pruefen, ob datenschutzfreundliche Alternativen mit transparenter, EU-basierter Datenspeicherung ihren Compliance-Anforderungen besser gerecht werden.