Google Analytics & DSGVO: Darf ich Analytics noch einsetzen?

Google Analytics lässt sich datenschutzkonform betreiben, wenn drei Bedingungen zusammenkommen: eine wirksame Einwilligung vor jeder Erhebung, eine Auftragsverarbeitung mit geregelter Übermittlung in die USA und Einstellungen, die Datenminimierung tatsächlich umsetzen. Die Einwilligung allein genügt nicht – sie ist die Voraussetzung dafür, dass überhaupt gemessen werden darf, und sagt nichts darüber aus, wie die Verarbeitung im Einzelnen ausgestaltet ist.

##Welche Einstellungen sind zu prüfen?

• ›Speicherdauer auf das kürzeste sinnvolle Maß begrenzen
• ›Datenweitergabe für Produktverbesserung und Werbung deaktivieren
• ›IP-Adressen nicht speichern
• ›Aufzeichnung von Sitzungen und Nutzer-IDs abschalten
• ›Datenaufbewahrung für Nutzer- und Ereignisdaten getrennt einstellen

##Warum ist die Einwilligung der kleinste Teil?

Weil sie eine einmalige technische Einrichtung ist, während die Einstellungen bei jeder Änderung des Messkonzepts erneut zu prüfen sind. Hinzu kommt, dass die meisten Einrichtungen übernommen wurden, ohne die Standardwerte anzupassen: Die Datenweitergabe ist aktiv, die Speicherdauer steht auf dem längsten Wert, und die IP-Adresse wird gespeichert. Diese drei Punkte sind der eigentliche Befund bei einer Prüfung.

##Wie geht man mit der Übermittlung in die USA um?

Mit einem Auftragsverarbeitungsvertrag und Standardvertragsklauseln für die Übermittlung sowie einer Bewertung des Schutzniveaus. Der Angemessenheitsbeschluss für die USA entlastet dabei, hebt aber die Pflicht zur Prüfung ergänzender Maßnahmen nicht vollständig auf – insbesondere bei Zugriffsmöglichkeiten, die über den vertraglich zugesicherten Rahmen hinausgehen. Diese Bewertung gehört dokumentiert, nicht nur vorhanden.

##Welche Alternativen gibt es?

Werkzeuge, die ohne Cookies und ohne Zugriff auf das Endgerät messen und auf Servern in der Europäischen Union verarbeiten. Sie erheben weniger Details – keine sitzungsübergreifenden Profile, keine Attribution über mehrere Berührungspunkte. Für die Frage, welche Seiten gelesen werden und wo Nutzer abbrechen, reicht das in den meisten Fällen aus. Für die Bewertung einzelner Kampagnenkanäle fehlen dagegen die nötigen Daten.

##Was passiert, wenn man ohne Einwilligung misst?

Dann fehlt die Rechtsgrundlage, und die Verarbeitung ist unzulässig – unabhängig davon, ob Daten anonymisiert werden. Ein pauschaler Verweis auf berechtigtes Interesse genügt für eine Reichweitenmessung mit Zugriff auf das Endgerät nicht. Die Folge reicht von einer Beanstandung über die Anordnung, die Verarbeitung einzustellen, bis zu einem Bußgeld. Zusätzlich entfällt die Möglichkeit, sich auf die Daten zu berufen, wenn sie später für Entscheidungen herangezogen werden.

##Wie prüft man die eigene Einrichtung?

Mit einem leeren Browserprofil und dem Netzwerk-Reiter: Welche Anfragen gehen an Google, bevor eine Zustimmung vorliegt? Fällt eine einzige auf, ist die Erhebung vor der Einwilligung aktiv. Danach die Verwaltungsoberfläche öffnen und die drei kritischen Einstellungen prüfen – Speicherdauer, Datenweitergabe, IP-Adressen. Dieser Ablauf dauert fünfzehn Minuten und beantwortet die Frage, die bei einer Prüfung zuerst gestellt wird.

##Welche Kennzahlen sollten Entscheidungen tragen?

Solche, die auch bei unvollständiger Erfassung stabil bleiben: Verhältnisse zwischen Seiten statt absoluter Zahlen, Entwicklung über gleich lange Zeiträume, und die Frage, wo Nutzer den Prozess verlassen. Absolute Besucherzahlen sind bei einer Zustimmungsrate von 70 Prozent nach oben verzerrt und für den Vergleich mit früheren Zeiträumen nicht mehr zu gebrauchen. Wer das berücksichtigt, kann mit weniger Daten bessere Entscheidungen treffen.

##Weniger messen, klarer entscheiden

Passen Sie die Einstellungen an, prüfen Sie die Erhebung vor der Einwilligung, und legen Sie fest, welche Fragen die Messung beantworten soll. In den meisten Fällen sind es drei bis fünf, und für sie genügt eine schlanke Erhebung ohne jeden Komfort. Eine kleinere, saubere Datenbasis ist mehr wert als eine große, die nicht belegt werden kann – besonders dann, wenn auf ihrer Grundlage Kosten entschieden werden.