Ein praktischer Leitfaden zu Anforderungen an die Datenschutzrichtlinie bei

Dieser Leitfaden erklärt Anforderungen an die Datenschutzrichtlinie bei praxisnah und mit Fokus auf datenschutzfreundliche Analytics-Entscheidungen.

Wenn Ihre Website Google Analytics verwendet, kann Ihre Datenschutzrichtlinie nicht einfach sagen: "Wir verwenden cookies, um die Website zu verbessern." Es muss den tatsächlichen Datenfluss klar genug erklären, damit Besucher und Aufsichtsbehörden verstehen, was passiert.

Der genaue Wortlaut hängt von Ihrer Gerichtsbarkeit, Konfiguration und den Google-Produktlinks ab. Ein minimales GA4-Setup unterscheidet sich von einem GA4-Setup, das mit Google Ads, Remarketing, Consent Mode, User IDs und E-Commerce-Ereignissen verbunden ist.

Was Google Analytics sammelt

Beginnen Sie mit den Kategorien, nicht mit dem Fachjargon. Abhängig von der Konfiguration kann Google Analytics Folgendes empfangen:

• Seiten-URLs und Titel.
• Informationen zum Referrer.
• Geräte- und Browserinformationen.
• Ungefährer Standort abgeleitet von der IP-Adresse.
• Cookie oder App-IDs.
• Ereignisdaten wie Klicks, Anmeldungen, Käufe oder Downloads.
• Kampagnenparameter.
• Details zur E-Commerce-Transaktion.

Google sagt, dass GA4 JavaScript-Tags first-party cookies wie _ga und _ga_ verwenden, um Benutzer und Sitzungen in seiner GA4 cookie-Dokumentation zu unterscheiden. Wenn diese cookies verwendet werden, sollte dies in Ihrer Police und im cookie-Hinweis angegeben sein.

Zwecke offenlegen

Erklären Sie, warum Sie GA verwenden:

• Messung des Website-Verkehrs.
• Beliebte Seiten verstehen.
• Analyse der Kampagnenleistung.
• Conversions messen.
• Verbesserung der Website-Leistung.
• Werbung oder Remarketing, sofern aktiviert.

Beziehen Sie keine Absichten ein, die nicht wahr sind. Wenn GA-Daten mit Google Ads, Zielgruppen oder Remarketing verknüpft sind, sagen Sie dies getrennt von der grundlegenden Analyse.

Werbefunktionen erfordern eine zusätzliche Offenlegung

In der Richtlinie zu Werbefunktionen von Google heißt es, dass Websites, die Google Analytics-Werbefunktionen verwenden, offenlegen müssen, welche Funktionen sie verwenden, wie die Kennungen first-party und third-party zusammen verwendet werden und wie Besucher sich abmelden können.

Beispiele für Werbefunktionen sind Remarketing, Werbeberichtsfunktionen, Demografie- und Interessenberichte oder Integrationen, die Analytics-Daten für Anzeigen verwenden.

Wenn Sie diese Funktionen nicht benötigen, kann die Deaktivierung Ihrer Richtlinie Ihre Richtlinie vereinfachen und das Risiko verringern.

Senden Sie nicht PII

Ihre Richtlinie sollte keine Sicherheit versprechen, während Ihre Implementierung personenbezogene Daten preisgibt. Google verbietet Kunden, personenbezogene Daten an Google Analytics zu senden, wie in Schutz Ihrer Daten beschrieben.

Prüfung auf versehentliches PII:

• E-Mail-Adressen in URLs.
• Namen in Seitenpfaden.
• Suchbegriffe, die personenbezogene Daten enthalten.
• Formularfeldwerte in Ereignissen.
• Konto-IDs in benutzerdefinierten Dimensionen.
• Gesundheits- oder Finanzdetails in Veranstaltungsetiketten.

Wenn Sie eine versehentliche Erfassung entdecken, lesen Sie die Dokumentation zur Anforderung der Datenlöschung von Google und beheben Sie die Quelle des Lecks.

Erläutern Sie die Möglichkeiten zur Einwilligung und zum Opt-out

In Europa erfordert die Analytik cookies häufig eine Einwilligung gemäß den ePrivacy-Regeln, es sei denn, es gilt eine enge Ausnahmeregelung. Ihre Richtlinie sollte erläutern, wie Benutzer ihre Einwilligung annehmen, ablehnen oder widerrufen können. Das Banner sollte Tags blockieren, bevor die Zustimmung erforderlich ist.

Google bietet auch Opt-out- und Werbekontrollen. Wenn Sie Werbefunktionen nutzen, verlinken Sie gegebenenfalls auf relevante Google-Deaktivierungstools wie My Ad Center oder das Google Analytics-Deaktivierungs-Browser-Add-on.

Erklären Sie internationale Übermittlungen

Wenn sich Besucher im EWR, im Vereinigten Königreich oder in der Schweiz befinden, erläutern Sie, ob Daten international übertragen werden dürfen und welcher Übertragungsmechanismus gilt. Das EU-US-Datenschutzrahmenwerk kann für teilnehmende US-Organisationen von Bedeutung sein, Ihre Richtlinie sollte jedoch mit den tatsächlichen Bedingungen und der Konfiguration Ihres Anbieters übereinstimmen.

Kopieren Sie nicht die alte Sprache von Schrems II, ohne die aktuelle Übertragungsbasis zu überprüfen.

Beispiel einer Richtlinienstruktur

Ein klarer Google Analytics-Abschnitt kann Folgendes enthalten:

1. Wofür Google Analytics verwendet wird.
2. Erfasste Datenkategorien.
3. Cookies oder verwendete Kennungen.
4. Ob Werbefunktionen aktiviert sind.
5. Ob Daten mit Google Ads oder anderen Google-Produkten geteilt werden.
6. Wie lange Daten aufbewahrt werden oder wo Benutzer mehr erfahren können.
7. Wie Benutzer ihre Einwilligung ablehnen oder widerrufen können.
8. Informationen zum internationalen Transfer.
9. Eine Erklärung, dass Sie PII nicht absichtlich an Google Analytics senden.

Bessere Alternative: Vermeiden Sie die Offenlegungslast

Wenn Sie datenschutzorientierte, cookielose Analysen verwenden, wird Ihre Richtlinie kürzer und klarer. Sie können erklären, dass Sie aggregierte Seitenaufrufe, referrers, Kampagnen und Conversions ohne cookies, persönliche Kennungen oder Werbeprofile messen.

Das ist oft vertrauenswürdiger als eine lange Richtlinie, die versucht, einen komplizierten Tracking-Stack zu rechtfertigen.

Beispiel einer Klartextklausel

Ein einfacher Abschnitt könnte lauten:

"Wir verwenden Google Analytics, um zu verstehen, wie Besucher unsere Website nutzen, beispielsweise welche Seiten besucht werden, welche Kampagnen Traffic bringen und ob Formulare ausgefüllt werden. Google Analytics kann cookies oder ähnliche Identifikatoren verwenden und technische Informationen wie Seite URL, Browser, Gerät, ungefährer Standort und referrer erhalten. Bei Bedarf laden wir Google Analytics nur nach Zustimmung." Wir senden nicht absichtlich Namen, E-Mail-Adressen, Formularinhalte oder andere direkt identifizierende Informationen an Google Analytics."

Wenn Werbefunktionen aktiviert sind, fügen Sie einen separaten Absatz hinzu, in dem die Werbenutzung und der Opt-out-Weg erläutert werden. Verstecken Sie Remarketing nicht in einem generischen Analytics-Satz.

Halten Sie die Richtlinie mit der Realität im Einklang

Überprüfen Sie die Richtlinie jedes Mal, wenn jemand Google Tag Manager ändert, GA4 mit einem anderen Google-Produkt verknüpft, E-Commerce-Ereignisse hinzufügt, den Zustimmungsmodus ändert oder ein neues Formular startet. Datenschutzrichtlinien werden oft ungenau, weil Tracking-Änderungen als Marketingmaßnahmen und nicht als Datenschutzänderungen behandelt werden.

Versprechen Sie nicht zu viel

Vermeiden Sie es, zu sagen, dass Daten anonym sind, es sei denn, Sie sind sicher, dass die Implementierung nach geltendem Recht wirklich anonym ist. Pseudonyme cookie-Identifikatoren, von IP abgeleitete Daten und Ereignisverläufe können sich dennoch auf eine identifizierbare Person beziehen. Verwenden Sie präzise Formulierungen: aggregierte Berichte, cookie-Kennungen, ungefährer Standort oder pseudonyme Analyse-IDs, je nachdem, was wahr ist.

Klare Sprache ist sicherer als beruhigende Sprache.

Wenn die Implementierung so komplex ist, dass niemand sie klar erklären kann, ist das ein Signal, den Tracking-Stack zu vereinfachen, bevor die Richtlinie erneut neu geschrieben wird.

GA Checkliste zur Richtlinienüberprüfung

Überprüfen Sie vor der Veröffentlichung des Google Analytics-Wortlauts die Implementierung, anstatt eine Vorlage zu kopieren. Bestätigen Sie die erfassten Ereignisse, ob cookies oder Identifikatoren verwendet werden, welche Google-Produktlinks aktiviert sind, ob Werbefunktionen aktiv sind, wie die Einwilligung funktioniert und wann Daten auf Ereignisebene ablaufen.

Testen Sie die Website anschließend in einem sauberen Browserprofil. Wenn GA vor der Einwilligung geladen wird, wenn eine Einwilligung erforderlich ist, personenbezogene Daten in URLs empfängt oder Ereignisse sendet, die in der Richtlinie nicht erläutert werden, korrigieren Sie die Nachverfolgung, bevor Sie die Klausel verfeinern.