Google Analytics und § 25 TDDDG

Die häufigste Fehlannahme zu Google Analytics lautet, es genüge, IP-Adressen zu kürzen und einen Hinweis in die Datenschutzerklärung zu setzen. Der eigentliche Prüfstein steht nicht in der DSGVO, sondern im TDDDG: Nach § 25 Abs. 1 TDDDG sind die Speicherung von Informationen in der Endeinrichtung des Endnutzers und der Zugriff auf dort gespeicherte Informationen nur zulässig, wenn der Endnutzer „auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat“. Analytics setzt eine Kennung im Browser, also braucht es die Einwilligung, und zwar vorher.

Warum die Einwilligung nicht verhandelbar ist

§ 25 TDDDG knüpft nicht daran an, ob personenbezogene Daten verarbeitet werden. Geschützt ist die Endeinrichtung selbst. Deshalb hilft es nicht, auf angeblich anonyme Messwerte zu verweisen: Sobald etwas gesetzt oder gelesen wird, gilt der Erlaubnisvorbehalt. Die einzige Ausnahme, die in der Praxis diskutiert wird, ist § 25 Abs. 2 Nr. 2 TDDDG (die Speicherung ist „unbedingt erforderlich“, damit der Anbieter einen „vom Nutzer ausdrücklich gewünschten digitalen Dienst“ bereitstellen kann). Reichweitenmessung fällt nicht darunter, weil kein Nutzer eine Website wegen ihrer Statistik aufruft.

Auch der Rückgriff auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO führt nicht weiter: Er kann die eigenständige Anforderung aus § 25 TDDDG nicht ersetzen. Für die anschließende Verarbeitung der so erhobenen Daten bleibt damit praktisch nur Art. 6 Abs. 1 lit. a DSGVO, die Einwilligung. Wer sie einholt, muss auch die Anforderungen aus Art. 7 DSGVO erfüllen: nachweisbar, so leicht widerrufbar wie erteilt, und ohne Kopplung an die Nutzung der Website.

Was das für das Consent-Banner bedeutet

• Kein Skript vor der Einwilligung. Wird der Analytics-Tag schon beim Seitenaufruf geladen, ist der Verstoß bereits passiert, auch wenn das Banner darüber liegt.
• Ablehnen muss genauso einfach sein wie Zustimmen, auf derselben Ebene und ohne gestalterische Bevorzugung einer Option.
• Voreingestellte Häkchen, vorab aktivierte Schalter oder ein reines „Weiter“-Banner ohne echte Wahl sind keine Einwilligung.
• Der Widerruf muss jederzeit erreichbar sein, üblicherweise über einen dauerhaften Link zu den Einwilligungseinstellungen.
• Die Einwilligung ist zu dokumentieren (Art. 7 Abs. 1 DSGVO): welcher Nutzer, wann, in welchen Umfang, mit welcher Bannerversion.

Der Drittlandtransfer: was sich 2023 geändert hat

Google Analytics übermittelt Daten in die USA. Nach dem Wegfall des Privacy Shield war das jahrelang der kritischste Punkt, mehrere europäische Aufsichtsbehörden untersagten den Einsatz. Mit dem Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 hat die EU-Kommission für das EU-US Data Privacy Framework ein angemessenes Schutzniveau festgestellt. Übermittlungen an Empfänger, die unter diesem Rahmen zertifiziert sind, stützen sich damit auf Art. 45 DSGVO und brauchen keine zusätzliche Genehmigung.

Zwei Dinge folgen daraus für die Praxis. Erstens: Die Zertifizierung des konkreten Empfängers ist zu prüfen und zu dokumentieren, nicht zu unterstellen. Zweitens: Der Angemessenheitsbeschluss ist angreifbar, wie schon seine beiden Vorgänger. Wer ihn als einzige Grundlage nutzt, sollte wissen, welche Alternative greift, wenn er fällt, nämlich Garantien nach Art. 46 DSGVO, in der Regel Standardvertragsklauseln mit ergänzenden Maßnahmen. Der Transfer ersetzt im Übrigen nicht die Einwilligung aus § 25 TDDDG; beides ist getrennt zu prüfen.

Pflichten, die unabhängig vom Banner bestehen

• Auftragsverarbeitungsvertrag mit dem Anbieter nach Art. 28 Abs. 3 DSGVO. Bei Google geschieht das über die Vertragsbedingungen im Konto, sie müssen aber aktiv akzeptiert und archiviert werden.
• Aufnahme der Verarbeitung in das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, mit Zweck, Datenkategorien, Empfängern und Löschfristen.
• Begrenzte Speicherdauer als Ausdruck der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO. Die längste in GA4 wählbare Aufbewahrung ist selten die erforderliche.
• Transparente Angaben nach Art. 13 DSGVO: Zweck, Rechtsgrundlage (Einwilligung), Empfänger, Drittlandtransfer samt Grundlage, Speicherdauer und der Hinweis auf den Widerruf.
• Datenschutzhinweise und Bannertexte müssen zusammenpassen. Widersprüche zwischen beiden sind ein beliebter Prüfungseinstieg.

Zur häufig gestellten Frage nach der IP-Anonymisierung: Die IP-Adresse ist ein personenbezogenes Datum. Anders als beim abgelösten Universal Analytics ist in GA4 kein Schalter zur IP-Kürzung mehr nötig, weil GA4 IP-Adressen nach Angaben des Anbieters nicht protokolliert und nicht speichert. Das ist eine Erleichterung bei der Konfiguration, aber kein Ersatz für die Einwilligung, denn die Kennung im Endgerät wird weiterhin gesetzt.

Die Alternative, die man mitdenken sollte

Wenn die Einwilligungsquote niedrig ist, verliert Analytics seinen Zweck: Eine Statistik, die nur den Teil der Besucher abbildet, der zugestimmt hat, taugt kaum für Entscheidungen. In dieser Lage lohnt der Blick auf Werkzeuge, die ohne Zugriff auf die Endeinrichtung auskommen, etwa serverseitige Auswertung von Logdaten oder Analysedienste, die auf Kennungen verzichten. Wo § 25 TDDDG nicht greift, entfällt die Einwilligungspflicht, und die Messung erfasst wieder alle Zugriffe. Ob das im Einzelfall trägt, ist eine Frage der konkreten Ausgestaltung und sollte vor der Umstellung geprüft werden.