Wichtige Fakten - Google Analytics Datenschutz Disclaimer

Dieser Leitfaden erklärt das Thema Google Analytics Datenschutz Disclaimer im praktischen Kontext. „Wir verwenden Cookies, um die Website zu verbessern“ genügt nicht, wenn GA4 läuft: Die Erklärung muss den tatsächlichen Datenfluss so beschreiben, dass Besucher und Aufsichtsbehörden ihn nachvollziehen können.

Wenn Ihre Website Google Analytics verwendet, kann Ihre Datenschutzrichtlinie nicht einfach sagen: "Wir verwenden cookies, um die Website zu verbessern." Es muss den tatsächlichen Datenfluss klar genug erklären, damit Besucher und Aufsichtsbehörden verstehen, was passiert.

Der genaue Wortlaut hängt von Ihrer Gerichtsbarkeit, Konfiguration und den Google-Produktlinks ab. Ein minimales GA4-Setup unterscheidet sich von einem GA4-Setup, das mit Google Ads, Remarketing, Consent Mode, User IDs und E-Commerce-Ereignissen verbunden ist.

Was Google Analytics sammelt

Beginnen Sie mit den Kategorien, nicht mit dem Fachjargon. Abhängig von der Konfiguration kann Google Analytics Folgendes empfangen:

• Seiten-URLs und Titel.
• Informationen zum Referrer.
• Geräte- und Browserinformationen.
• Ungefährer Standort abgeleitet von der IP-Adresse.
• Cookie oder App-IDs.
• Ereignisdaten wie Klicks, Anmeldungen, Käufe oder Downloads.
• Kampagnenparameter.
• Details zur E-Commerce-Transaktion.

Google sagt, dass GA4 JavaScript-Tags first-party cookies wie _ga und _ga_ verwenden, um Benutzer und Sitzungen in seiner GA4 cookie-Dokumentation zu unterscheiden. Wenn diese cookies verwendet werden, sollte dies in Ihrer Police und im cookie-Hinweis angegeben sein.

Zwecke offenlegen

Erklären Sie, warum Sie GA verwenden:

• Messung des Website-Verkehrs.
• Beliebte Seiten verstehen.
• Analyse der Kampagnenleistung.
• Conversions messen.
• Verbesserung der Website-Leistung.
• Werbung oder Remarketing, sofern aktiviert.

Beziehen Sie keine Absichten ein, die nicht wahr sind. Wenn GA-Daten mit Google Ads, Zielgruppen oder Remarketing verknüpft sind, sagen Sie dies getrennt von der grundlegenden Analyse.

Werbefunktionen erfordern eine zusätzliche Offenlegung

In der Richtlinie zu Werbefunktionen von Google heißt es, dass Websites, die Google Analytics-Werbefunktionen verwenden, offenlegen müssen, welche Funktionen sie verwenden, wie die Kennungen first-party und third-party zusammen verwendet werden und wie Besucher sich abmelden können.

Beispiele für Werbefunktionen sind Remarketing, Werbeberichtsfunktionen, Demografie- und Interessenberichte oder Integrationen, die Analytics-Daten für Anzeigen verwenden.

Wenn Sie diese Funktionen nicht benötigen, kann die Deaktivierung Ihrer Richtlinie Ihre Richtlinie vereinfachen und das Risiko verringern.

Senden Sie nicht PII

Ihre Richtlinie sollte keine Sicherheit versprechen, während Ihre Implementierung personenbezogene Daten preisgibt. Google verbietet Kunden, personenbezogene Daten an Google Analytics zu senden, wie in Schutz Ihrer Daten beschrieben.

Prüfung auf versehentliches PII:

• E-Mail-Adressen in URLs.
• Namen in Seitenpfaden.
• Suchbegriffe, die personenbezogene Daten enthalten.
• Formularfeldwerte in Ereignissen.
• Konto-IDs in benutzerdefinierten Dimensionen.
• Gesundheits- oder Finanzdetails in Veranstaltungsetiketten.

Wenn Sie eine versehentliche Erfassung entdecken, lesen Sie die Dokumentation zur Anforderung der Datenlöschung von Google und beheben Sie die Quelle des Lecks.

Erläutern Sie die Möglichkeiten zur Einwilligung und zum Opt-out

In Europa erfordert die Analytik cookies häufig eine Einwilligung gemäß den ePrivacy-Regeln, es sei denn, es gilt eine enge Ausnahmeregelung. Ihre Richtlinie sollte erläutern, wie Benutzer ihre Einwilligung annehmen, ablehnen oder widerrufen können. Das Banner sollte Tags blockieren, bevor die Zustimmung erforderlich ist.

Google bietet auch Opt-out- und Werbekontrollen. Wenn Sie Werbefunktionen nutzen, verlinken Sie gegebenenfalls auf relevante Google-Deaktivierungstools wie My Ad Center oder das Google Analytics-Deaktivierungs-Browser-Add-on.

Erklären Sie internationale Übermittlungen

Wenn sich Besucher im EWR, im Vereinigten Königreich oder in der Schweiz befinden, erläutern Sie, ob Daten international übertragen werden dürfen und welcher Übertragungsmechanismus gilt. Das EU-US-Datenschutzrahmenwerk kann für teilnehmende US-Organisationen von Bedeutung sein, Ihre Richtlinie sollte jedoch mit den tatsächlichen Bedingungen und der Konfiguration Ihres Anbieters übereinstimmen.

Kopieren Sie nicht die alte Sprache von Schrems II, ohne die aktuelle Übertragungsbasis zu überprüfen.

Beispiel einer Richtlinienstruktur

Ein klarer Google Analytics-Abschnitt kann Folgendes enthalten:

1. Wofür Google Analytics verwendet wird.
2. Erfasste Datenkategorien.
3. Cookies oder verwendete Kennungen.
4. Ob Werbefunktionen aktiviert sind.
5. Ob Daten mit Google Ads oder anderen Google-Produkten geteilt werden.
6. Wie lange Daten aufbewahrt werden oder wo Benutzer mehr erfahren können.
7. Wie Benutzer ihre Einwilligung ablehnen oder widerrufen können.
8. Informationen zum internationalen Transfer.
9. Eine Erklärung, dass Sie PII nicht absichtlich an Google Analytics senden.

Bessere Alternative: Vermeiden Sie die Offenlegungslast

Wenn Sie datenschutzorientierte, cookielose Analysen verwenden, wird Ihre Richtlinie kürzer und klarer. Sie können erklären, dass Sie aggregierte Seitenaufrufe, referrers, Kampagnen und Conversions ohne cookies, persönliche Kennungen oder Werbeprofile messen.

Das ist oft vertrauenswürdiger als eine lange Richtlinie, die versucht, einen komplizierten Tracking-Stack zu rechtfertigen.

Beispiel einer Klartextklausel

Ein einfacher Abschnitt kann lauten:

"Wir verwenden Google Analytics, um zu verstehen, wie Besucher unsere Website nutzen, beispielsweise welche Seiten besucht werden, welche Kampagnen Traffic bringen und ob Formulare ausgefüllt werden. Google Analytics kann cookies oder ähnliche Identifikatoren verwenden und technische Informationen wie Seite URL, Browser, Gerät, ungefährer Standort und referrer erhalten. Bei Bedarf laden wir Google Analytics nur nach Zustimmung." Wir senden nicht absichtlich Namen, E-Mail-Adressen, Formularinhalte oder andere direkt identifizierende Informationen an Google Analytics."

Wenn Werbefunktionen aktiviert sind, fügen Sie einen separaten Absatz hinzu, in dem die Werbenutzung und der Opt-out-Weg erläutert werden. Verstecken Sie Remarketing nicht in einem generischen Analytics-Satz.

Halten Sie die Richtlinie mit der Realität im Einklang

Überprüfen Sie die Richtlinie jedes Mal, wenn jemand Google Tag Manager ändert, GA4 mit einem anderen Google-Produkt verknüpft, E-Commerce-Ereignisse hinzufügt, den Zustimmungsmodus ändert oder ein neues Formular startet. Datenschutzrichtlinien werden oft ungenau, weil Tracking-Änderungen als Marketingmaßnahmen und nicht als Datenschutzänderungen behandelt werden.

Versprechen Sie nicht zu viel

Vermeiden Sie es, zu sagen, dass Daten anonym sind, es sei denn, Sie sind sicher, dass die Implementierung nach geltendem Recht wirklich anonym ist. Pseudonyme cookie-Identifikatoren, von IP abgeleitete Daten und Ereignisverläufe können sich dennoch auf eine identifizierbare Person beziehen. Verwenden Sie präzise Formulierungen: aggregierte Berichte, cookie-Kennungen, ungefährer Standort oder pseudonyme Analyse-IDs, je nachdem, was wahr ist.

Klare Sprache ist sicherer als beruhigende Sprache.

Wenn die Implementierung so komplex ist, dass niemand sie klar erklären kann, ist das ein Signal, den Tracking-Stack zu vereinfachen, bevor die Richtlinie erneut neu geschrieben wird.

GA Checkliste zur Richtlinienüberprüfung

Überprüfen Sie vor der Veröffentlichung des Google Analytics-Wortlauts die Implementierung, anstatt eine Vorlage zu kopieren. Bestätigen Sie die erfassten Ereignisse, ob cookies oder Identifikatoren verwendet werden, welche Google-Produktlinks aktiviert sind, ob Werbefunktionen aktiv sind, wie die Einwilligung funktioniert und wann Daten auf Ereignisebene ablaufen.

Testen Sie die Website anschließend in einem sauberen Browserprofil. Wenn GA vor der Einwilligung geladen wird, wenn eine Einwilligung erforderlich ist, personenbezogene Daten in URLs empfängt oder Ereignisse sendet, die in der Richtlinie nicht erläutert werden, korrigieren Sie die Nachverfolgung, bevor Sie die Klausel verfeinern.

Häufig gestellte Fragen

Braucht Google Analytics eine Datenschutzerklärung?

Die Google-Analytics-Richtlinien erwarten, dass die Datenschutzerklärung den tatsächlichen Datenfluss erklärt, nicht nur "wir verwenden Cookies, um die Website zu verbessern". Die genaue Formulierung hängt von Ihrer Rechtsordnung, der Konfiguration und den verknüpften Google-Produkten in Ihrem GA4-Setup ab.

Wofür wird das _ga-Cookie verwendet?

Laut Googles eigener GA4-Cookie-Dokumentation verwendet das JavaScript-Tag First-Party-Cookies wie _ga und _ga_, um Nutzer und Sitzungen zu unterscheiden. Wenn Ihre Website diese Cookies einsetzt, sollten Ihre Richtlinie und Ihr Cookie-Hinweis das erwähnen.

Was zählt bei Google Analytics als Werbefunktion?

Remarketing, Werbeberichtsfunktionen, Berichte zu Demografie und Interessen sowie Integrationen, die Analytics-Daten für Werbung nutzen, gelten laut Googles Advertising-Features-Richtlinie als Werbefunktionen. Websites, die eine davon nutzen, müssen offenlegen, welche Funktion sie einsetzen und wie Besucher sich abmelden können.

Kann Google Analytics personenbezogene Daten erfassen?

Google untersagt es, personenbezogene Daten an Google Analytics zu senden, wie in der Dokumentation zum Schutz Ihrer Daten beschrieben. Häufige Lecks sind E-Mail-Adressen in URLs, Namen in Seitenpfaden und Formularfeldwerte, die in Events erfasst werden.

Was tun, wenn Google Analytics versehentlich PII erfasst hat?

Prüfen Sie Googles Dokumentation zu Löschanfragen und beheben Sie die Ursache des Lecks, etwa einen URL-Parameter oder ein Event, das Formularwerte erfasst. Ihre Datenschutzerklärung sollte keine Sicherheit versprechen, die Ihre Implementierung nicht einhält.

Müssen EU-Besucher zustimmen, bevor Google Analytics lädt?

Nach den ePrivacy-Regeln erfordern Analytics-Cookies in Europa in der Regel eine Einwilligung, sofern keine enge Ausnahme gilt. Wo eine Einwilligung erforderlich ist, sollte das Banner die Google-Analytics-Tags blockieren, bis der Besucher zustimmt.

Wie können Besucher Werbefunktionen von Google Analytics ablehnen?

Google bietet Opt-out- und Werbekontrollen wie My Ad Center und das Google-Analytics-Opt-out-Add-on für Browser. Websites, die Werbefunktionen nutzen, sollten auf das passende Tool verlinken und den Opt-out-Weg getrennt von der allgemeinen Analytics-Offenlegung erklären.

Werden Google-Analytics-Daten außerhalb des EWR übermittelt?

Ob GA4-Daten den EWR verlassen, hängt von Ihren Vertragsbedingungen und der Konfiguration ab. Wenn Besucher aus dem EWR, dem Vereinigten Königreich oder der Schweiz kommen, sollte die Richtlinie angeben, ob Daten international übermittelt werden und welche Übermittlungsgrundlage gilt. Das EU-US Data Privacy Framework kann für teilnehmende US-Organisationen relevant sein, aber alte Schrems-II-Formulierungen sollten nicht ohne Prüfung der aktuellen Grundlage übernommen werden.

Sind Google-Analytics-Daten anonym?

Nicht zwangsläufig. Pseudonyme Cookie-Kennungen, aus der IP abgeleitete Standortdaten und Event-Historien können sich weiterhin auf eine identifizierbare Person beziehen. Eine Richtlinie sollte Anonymität also nur behaupten, wenn die Umsetzung nach geltendem Recht wirklich anonym ist.

Verringert cookiefreies Analytics die Offenlegungspflichten in der Datenschutzerklärung?

Datenschutzfreundliches, cookiefreies Analytics kann die Richtlinie verkürzen, da es aggregierte Seitenaufrufe, Referrer, Kampagnen und Conversions ohne Cookies, persönliche Kennungen oder Werbeprofile misst. Das wirkt oft vertrauenswürdiger als eine lange Richtlinie, die einen komplizierten Tracking-Stack rechtfertigen muss.