Im Überblick - Google Analytics Betreuung

Google Analytics ist nicht automatisch rechtswidrig, und GA4 ist nicht Universal Analytics; für die Google Analytics Betreuung bleibt kritisch, dass GA Teil eines großen Werbe- und Datenökosystems ist und viele Implementierungen deutlich mehr sammeln, als die Website je braucht.

Google Analytics ist nicht automatisch rechtswidrig und GA4 ist nicht dasselbe Produkt wie Universal Analytics. Es bestehen jedoch weiterhin Bedenken hinsichtlich des Datenschutzes, da GA Teil eines größeren Werbe- und Datenökosystems ist und viele Implementierungen mehr Informationen sammeln, als eine Website tatsächlich benötigt.

Die praktische Frage ist nicht, ob Google Analytics "schlecht" ist. Dabei geht es darum, ob Ihre Nutzung notwendig, verhältnismäßig, transparent, ggf. eingewilligt und für die beteiligten Länder und Nutzer rechtlich unterstützt ist.

GA4 Datenschutzverbesserungen beenden die Analyse nicht

Google gibt an, dass GA4 keine IP-Adressen protokolliert oder speichert, und in der Dokumentation werden Kontrollen für Werbefunktionen, Personalisierung und Aufbewahrung beschrieben (Google Analytics-Sicherheitsmaßnahmen). Das ist eine bedeutende Verbesserung des Datenschutzes gegenüber älteren Annahmen.

Die Adressverarbeitung von IP ist jedoch nur ein Faktor. GA4 kann weiterhin Ereignisdaten, Seiten-URLs, Geräte-/Browserdaten, Kampagnenparameter, User IDs (sofern konfiguriert), Google Signals (sofern aktiviert), E-Commerce-Ereignisse und benutzerdefinierte Dimensionen erfassen. Einige dieser Daten können personenbezogen sein oder werden, wenn sie kombiniert werden.

Beispielsweise sollte ein URL wie /reset-password?email=name@example.com niemals Analytics erreichen. Ein benutzerdefiniertes Ereignis, das ein User ID, eine Suchabfrage zu einem medizinischen Zustand oder eine Freitext-Formulareingabe enthält, kann vertrauliche Analysedatensätze erstellen, selbst wenn das Tool selbst über Datenschutzkontrollen verfügt.

Zustimmung und cookies

GA4 verwendet üblicherweise first-party cookies und Kennungen, um Sitzungen und Benutzer zu messen. In vielen europäischen Kontexten ist für nicht wesentliche Analysen cookies eine Einwilligung erforderlich, es sei denn, es gilt eine enge Ausnahmeregelung für die Zielgruppenmessung. Diese Ausnahme hängt von der örtlichen Gesetzgebung und Konfiguration ab und sollte nicht für umfassende Analysen in Verbindung mit Werbung oder standortübergreifenden Diensten angenommen werden.

Wenn GA vor der Einwilligung ausgelöst wird, liegt möglicherweise ein cookie-Compliance-Problem vor, unabhängig von GDPR-Übertragungsfragen. Wenn GA nur nach Einwilligung ausgelöst wird, werden Ihre Daten möglicherweise auf Personen ausgerichtet, die die Nachverfolgung akzeptieren. Dies ist einer der Gründe, warum Cookie-lose Analysen zu stabileren Betriebsberichten führen können.

Werbeintegrationen erhöhen das Risiko

GA wird sensibler für die Privatsphäre, wenn es mit Google Ads, Remarketing, Zielgruppen oder Signalen verbunden wird, die die Personalisierung von Werbung unterstützen. Bei einem reinen Reporting-Setup und einem Werbeaktivierungs-Setup handelt es sich um unterschiedliche Risikoprofile.

Wenn Sie GA nur zum Verstehen von Seiten und Konvertierungen verwenden, deaktivieren Sie Funktionen, die Sie nicht benötigen. Wenn Sie GA für Remarketing verwenden, machen Sie dies in Hinweisen und Einwilligungsoptionen deutlich. Begraben Sie Werbezwecke nicht in einer generischen Analysesprache.

Bedenken hinsichtlich der Übertragung zwischen der EU und den USA

Nach Schrems II stellten europäische Behörden Google Analytics unter die Lupe, da in die USA übertragene Daten unter US-Zugriffsgesetze fallen könnten. In den Leitlinien der CNIL zur Zielgruppenmessung und -übertragung wird erörtert, wie Analysetools konform gemacht werden können und wie das EU-US-Datenschutzrahmenwerk Übertragungen an zertifizierte US-Unternehmen geändert hat (CNIL-Leitlinie).

Das Datenschutzrahmenwerk 2023 eröffnet zertifizierten Organisationen erneut einen Weg zur Angemessenheit, die Verantwortlichen müssen jedoch weiterhin den Mechanismus, den Umfang und den Datenfluss überprüfen. Eine Datenschutzerklärung mit der Aufschrift "Wir verwenden Google Analytics" ist keine Übertragungsbewertung.

Aufbewahrung und Zugriff

Die Aufbewahrungseinstellungen von Google Analytics beeinflussen, wie lange Daten auf Benutzer- und Ereignisebene für bestimmte Berichte aufbewahrt werden. Teams sollten die Aufbewahrung bewusst festlegen, nur das exportieren, was sie benötigen, und vermeiden, Rohdaten auf unbestimmte Zeit ohne Zweck in BigQuery oder Data Warehouses aufzubewahren.

Auch die Zugangskontrolle ist wichtig. Analytics enthält oft wirtschaftlich sensible und potenziell personenbezogene Daten. Begrenzen Sie, wer GA-Daten anzeigen, exportieren und mit anderen Systemen verbinden kann.

Eine Checkliste für eine sicherere Implementierung

Wenn Sie GA4 behalten, mindestens:

• Werbefunktionen deaktivieren, es sei denn, dies ist aktiv erforderlich und Sie haben zugestimmt;
• Vermeiden Sie User IDs, es sei denn, es gibt einen triftigen Grund.
• Analysen bis zur Einwilligung blockieren, sofern erforderlich;
• alle benutzerdefinierten Ereignisse und Parameter prüfen;
• Entfernen Sie personenbezogene Daten aus URLs, bevor Analytics diese erhält.
• die Aufbewahrung absichtlich konfigurieren;
• Übertragungsmechanismen und Lieferantendokumentation überprüfen;
• dokumentieren, warum GA4 im Vergleich zu weniger invasiven Optionen notwendig ist;
• Ablehnungspfade im Browser testen;
• Vergleichen Sie Analysekonvertierungen mit Backend-Datensätzen.

Beim Umschalten ist es sauberer

Wenn Ihre Organisation erweiterte Attribution, Anzeigenzielgruppen und Google Ads-Integration benötigt, ist GA4 möglicherweise immer noch Teil des Stacks. Wenn Sie eine grundlegende Website-Analyse benötigen, kann diese übertrieben sein.

Datenschutzorientierte Analysen sind attraktiv, weil sie das Problem eingrenzen. Kein cookies, keine persönlichen Profile, keine Anreicherung des Werbenetzwerks, minimale Aufbewahrung und aggregierte Berichterstattung können die meisten Fragen zur Website-Leistung mit weniger rechtlichen Risiken und Reputationsrisiken beantworten.

Gute Analysen sollten zur Verbesserung der Website beitragen. Es sollte nicht erforderlich sein, dass Besucher Teil eines dienstübergreifenden Tracking-Systems werden, nur damit Sie sehen können, welcher Blog-Beitrag konvertiert wurde.

Entscheiden Sie, was Sie tatsächlich an Analytics benötigen

Eine nützliche interne Übung besteht darin, jeden wiederkehrenden Analysebericht und die Entscheidung, die er unterstützt, aufzulisten. Wenn ein Bericht keinen Eigentümer oder keine Entscheidung hat, ziehen Sie ihn zurück. Wenn eine Entscheidung mit aggregierten Daten getroffen werden kann, sammeln Sie dafür keine Daten auf Benutzerebene. Wenn eine Metrik nur zur Werbeoptimierung benötigt wird, belassen Sie sie hinter der Werbeeinwilligung, anstatt sie in die allgemeine Website-Analyse einzumischen.

Diese Übung zeigt oft, dass ein Unternehmen Google Analytics aus Gewohnheit und nicht aus Notwendigkeit verwendet. Das Team benötigt möglicherweise zuverlässige Kampagnenberichte, Conversion-Ziele, Landingpage-Leistung und Funnel-Drop-off. Diese Anforderungen können mit einem kleineren, datenschutzorientierten Daten-Footprint erfüllt werden.

Datenschutzbedenken lassen sich leichter bewältigen, wenn der Messplan kleiner ist. Die Reduzierung des Umfangs ist kein Downgrade, wenn dadurch Daten entfernt werden, auf die niemand einwirkt.

GA4 Konfigurationsaudit

Bewerten Sie Google Analytics nicht als ein Ja-oder-Nein-Tool. Erweiterte Bestandsmessung, Google Signals, Anzeigenpersonalisierung, User-ID, BigQuery-Export, Consent Mode, domänenübergreifende Messung, Produktlinks und regionsspezifische Einstellungen.

Benennen Sie für jede Einstellung die Geschäftsentscheidung, die sie unterstützt, sowie die damit verbundenen Einwilligungs-, Übertragungs-, Aufbewahrungs- und Zugriffskontrollen. Wenn eine Einstellung nur vorhanden ist, weil sie standardmäßig aktiviert ist, schalten Sie sie aus und halten Sie den Messplan kleiner.

Häufig gestellte Fragen

Sammelt GA4 weiterhin personenbezogene Daten, obwohl keine IP-Adressen protokolliert werden?

Dass GA4 keine IP-Adressen protokolliert, hat eine Lücke geschlossen, aber das Tool kann weiterhin Ereignisdaten, Seiten-URLs, Geräte- und Browserdaten, Kampagnenparameter, User-IDs, Google Signals und benutzerdefinierte Dimensionen erfassen. In Kombination können diese Daten personenbezogen werden, etwa wenn eine URL eine E-Mail-Adresse enthält oder ein benutzerdefiniertes Ereignis eine Suchanfrage speichert. Die IP-Behandlung war nur einer von mehreren Faktoren.

Brauche ich in Europa eine Cookie-Einwilligung für GA4?

In vielen europäischen Kontexten benötigen nicht essenzielle Analyse-Cookies eine Einwilligung, sofern keine eng gefasste Ausnahme für die Reichweitenmessung greift. Diese Ausnahme hängt vom lokalen Recht und der Konfiguration ab und sollte bei einem voll ausgestatteten Setup mit Werbe- oder seitenübergreifenden Diensten nicht vorausgesetzt werden. Feuert GA vor der Einwilligung, besteht ein Cookie-Compliance-Problem, unabhängig von DSGVO-Übertragungsfragen.

Ist Google Analytics nach der DSGVO illegal?

Google Analytics ist nicht automatisch rechtswidrig, und GA4 unterscheidet sich von Universal Analytics. Entscheidend ist, ob die Nutzung notwendig, verhältnismäßig, transparent, wo nötig mit Einwilligung versehen und für die betroffenen Länder und Nutzer rechtlich abgesichert ist. Nach Schrems II haben einige europäische Behörden Google Analytics gerade wegen der EU-US-Datenübertragung geprüft.

Was unterscheidet ein reines Reporting-Setup von GA4 von einer Nutzung für Werbung?

Ein reines Reporting-Setup misst nur Seiten und Conversions, wobei nicht benötigte Funktionen deaktiviert sind. Ein Werbeaktivierungs-Setup verbindet GA mit Google Ads, Remarketing, Zielgruppen oder Signalen, die Werbepersonalisierung unterstützen. Beide haben unterschiedliche Risikoprofile, weshalb ein Werbe-Setup explizite Hinweise und Einwilligungsentscheidungen braucht, statt in allgemeiner Analytics-Sprache unterzugehen.

Löst das EU-US Data Privacy Framework die Übertragungsbedenken bei Google Analytics?

Das Data Privacy Framework von 2023 hat für zertifizierte US-Organisationen einen Angemessenheitsweg wieder geöffnet und damit die Lage nach Schrems II verändert. Verantwortliche müssen aber weiterhin Mechanismus, Umfang und den tatsächlichen Datenfluss ihres eigenen Setups prüfen. Ein Hinweis, der nur sagt "wir nutzen Google Analytics", ist keine Übertragungsbewertung.

Welche personenbezogenen Daten können versehentlich in Google Analytics landen?

Alles, was in einer URL oder einem benutzerdefinierten Ereignis erfasst wird, landet in GA4. Dazu gehören eine E-Mail-Adresse in einem Link zum Zurücksetzen des Passworts, eine User-ID, eine Suchanfrage zu einer medizinischen Erkrankung oder Freitext aus einem Formular. Die eigenen Datenschutzkontrollen von GA4 verhindern das nicht, weil die Daten über selbst definierte Parameter hereinkommen. Sie müssen vor dem Erreichen von Analytics entfernt werden, nicht erst danach herausgefiltert.

Sollte ich Google Signals und User-ID in GA4 deaktivieren?

Deaktivieren Sie Google Signals und verzichten Sie auf User-IDs, sofern es keinen starken Grund dafür gibt, da beide die Identifizierbarkeit der Analysedaten erhöhen. Das Konfigurationsaudit verlangt, für jede Einstellung die geschäftliche Entscheidung zu benennen, die sie unterstützt, zusammen mit den zugehörigen Einwilligungs-, Übertragungs-, Aufbewahrungs- und Zugriffskontrollen. Ist eine Einstellung nur aktiv, weil sie standardmäßig eingeschaltet war, sollte sie ausgeschaltet werden.

Warum verzerrt das Blockieren von Analytics bis zur Einwilligung meine Daten?

Feuert GA erst nach der Einwilligung, verschieben sich die Daten hin zu Personen, die Tracking akzeptieren, eine Form von Selektionsverzerrung. Das ist ein Grund, warum cookielose Analytics stabilere operative Berichte liefern kann. Der Kompromiss liegt zwischen vollständigen Daten vor der Einwilligung und verzerrten, aber konformen Daten danach.

Wie lange sollte Google Analytics nutzerbezogene Daten aufbewahren?

Der Beitrag nennt keine konkrete Aufbewahrungsdauer, betont aber, dass die Aufbewahrung bewusst festgelegt werden sollte, statt auf dem Standardwert zu bleiben. Teams sollten nur exportieren, was sie brauchen, und Rohdaten nicht unbegrenzt in BigQuery oder anderen Data Warehouses ohne Zweck aufbewahren. Der Zugriff auf diese Daten sollte ebenfalls auf Personen beschränkt sein, die ihn benötigen.

Was sollte ein GA4-Konfigurationsaudit tatsächlich prüfen?

Statt Google Analytics als ein einziges Ja-Nein-Tool zu behandeln, sollte das Audit Enhanced Measurement, Google Signals, Ads-Personalisierung, User-ID, BigQuery-Export, Consent Mode, geräteübergreifende Messung, Produktverknüpfungen und regionsspezifische Einstellungen erfassen. Für jede Einstellung sollten die geschäftliche Entscheidung sowie die Einwilligungs-, Übertragungs-, Aufbewahrungs- und Zugriffskontrollen benannt werden. Was nur wegen der Standardeinstellung aktiv ist, sollte abgeschaltet werden.