Google Analytics (GA4) DSGVO-konform einsetzen

Worum geht es?

Wenn Sie Google Analytics 4 (GA4) auf Ihrer Website einsetzen, sammelt das Tool Informationen darüber, wie Besucher Ihre Seiten nutzen: aufgerufene Seiten, Verweildauer, Herkunft, verwendetes Gerät und mehr. Dabei werden auch personenbezogene Daten verarbeitet, unter anderem die IP-Adresse und Geräte- oder Nutzungskennungen.

Der zentrale Punkt aus Datenschutzsicht: Ein Teil dieser Nutzungsdaten wird an Google übertragen und dabei in die USA weitergegeben. Google ist ein US-Unternehmen, und die Datenverarbeitung findet nicht ausschließlich in Europa statt.

Wichtig zu verstehen: Webanalyse ist kein technisch notwendiger Bestandteil Ihrer Website. Ihre Seite funktioniert auch ohne Analytics einwandfrei. Das hat unmittelbare Folgen für die Frage, ob und wie Sie eine Einwilligung Ihrer Besucher einholen müssen.

Die Rechtslage

Die rechtliche Bewertung von Google Analytics wird von mehreren Bausteinen bestimmt:

• US-Datentransfer und Schrems II: Der Europäische Gerichtshof hat im Urteil Schrems II (EuGH, Rechtssache C-311/18) das damalige EU-US-Datenschutzabkommen (Privacy Shield) für ungültig erklärt.
• EU-US Data Privacy Framework: Seit Juli 2023 gibt es mit dem EU-US Data Privacy Framework einen neuen Angemessenheitsbeschluss der EU-Kommission. Auf dessen Basis ist die Datenübermittlung an entsprechend zertifizierte US-Anbieter grundsätzlich wieder möglich. Die Regelung bleibt jedoch umstritten.
• Einwilligungspflicht: Da Analytics nicht technisch notwendig ist, greift die Einwilligungspflicht nach § 25 TDDDG. Zusätzlich benötigen Sie eine Rechtsgrundlage nach Art. 6 Abs. 1 lit. a DSGVO, also die aktive Einwilligung der Nutzer.
• Auftragsverarbeitung: Google verarbeitet die Daten in Ihrem Auftrag. Dafür ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich, den Sie in Ihrem Google-Konto abschließen.

Ohne wirksame Einwilligung und ohne Auftragsverarbeitungsvertrag ist der Einsatz von GA4 rechtlich angreifbar.

So wird es DSGVO-konform

Mit den folgenden Schritten bringen Sie Google Analytics auf eine rechtlich tragfähige Grundlage:

1. Einwilligung vorab einholen: Binden Sie GA4 über einen Cookie-Banner (Consent-Management) so ein, dass das Tracking erst startet, nachdem der Besucher aktiv zugestimmt hat.
2. Auftragsverarbeitungsvertrag abschließen: Akzeptieren Sie in Ihrem Google-Konto den Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO und dokumentieren Sie dies.
3. Datenminimierung aktivieren: Nutzen Sie die Einstellungen zur IP-Anonymisierung beziehungsweise Datenminimierung und schalten Sie nicht benötigte Datenfreigaben ab.
4. Transparent informieren: Erklären Sie in Ihrer Datenschutzerklärung nachvollziehbar, dass Sie GA4 einsetzen, welche Daten verarbeitet werden und dass eine Übermittlung in die USA stattfinden kann.
5. Widerruf ermöglichen: Geben Sie Besuchern eine einfache Möglichkeit, ihre Einwilligung jederzeit zu widerrufen.

Wenn Sie den Aufwand rund um Einwilligung und US-Transfer vermeiden möchten, ist Matomo eine verbreitete Alternative. Self-hosted betrieben und mit passender Anonymisierung konfiguriert lässt sich Matomo unter Umständen sogar ohne Cookie-Banner einsetzen, weil die Daten auf Ihrem eigenen Server bleiben.

Prüfen Sie Ihre Website

In der Praxis liegt der Fehler oft im Detail: Analytics lädt schon vor der Einwilligung, der Banner lässt sich zu leicht umgehen, oder es fehlt der Hinweis in der Datenschutzerklärung.

Mit dem kostenlosen Scan von easy-DSGVO.de prüfen Sie automatisch, ob Google Analytics auf Ihrer Seite eingebunden ist und ob es erst nach einer Einwilligung geladen wird. Sie erhalten eine verständliche Auswertung mit konkreten Hinweisen, ohne selbst im Quelltext zu suchen.