Google Analytics

Was ist Google Analytics und wie funktioniert es?

Google Analytics ist ein kostenloser Webanalysedienst von Google, der über ein JavaScript-Snippet in Webseiten eingebunden wird. Bei jedem Seitenaufruf sendet der Browser des Besuchers Daten wie aufgerufene Seiten, Sitzungsdauer, Gerätetyp, Browserversion, geografische Herkunft und Trafficquelle an Googles Server in den USA. Für die Identifizierung von Wiederbesuchern setzt Google Analytics persistente Cookies (insbesondere _ga mit zwei Jahren Laufzeit), die eine langfristige Nutzungsanalyse ermöglichen. Die so gewonnenen Daten werden in Berichten für Website-Betreiber aufbereitet.

Cookie-Einwilligung für Google Analytics

Google Analytics ist kein technisch notwendiger Dienst und erfordert daher nach DSGVO und ePrivacy-Richtlinie eine vorherige, informierte und freiwillige Einwilligung der Nutzer. Das Google Analytics-Skript darf erst nach Erteilung der Einwilligung geladen und ausgeführt werden. Eine Consent-Management-Plattform (CMP) blockiert das Skript standardmäßig und aktiviert es nur für zustimmende Nutzer. Ohne gültige Einwilligung ist der Einsatz von Google Analytics auf EU-Nutzer-Geräten rechtswidrig und kann zu Bußgeld-Verfahren durch Datenschutzbehörden führen.

Datentransfer in die USA: Rechtliche Grundlagen

Alle von Google Analytics erfassten Daten werden auf Servern von Google LLC in den USA verarbeitet. Für diesen Datentransfer in ein Drittland benötigt der Website-Betreiber eine geeignete Transfergrundlage. Google setzt Standardvertragsklauseln (SCC) der EU-Kommission ein und ist seit Juli 2023 als Teilnehmer des EU-US Data Privacy Framework (DPF) zertifiziert, das als Angemessenheitsbeschluss gilt. Betreiber sollten in ihrer Datenschutzerklärung sowohl die Verwendung von SCC als auch die DPF-Zertifizierung Googles erwähnen und regelmäßig prüfen, ob die Grundlage noch aktuell ist.

Google Analytics 4 und DSGVO-Neuerungen

Google Analytics 4 (GA4) löst Universal Analytics ab und bringt datenschutzrelevante Änderungen mit sich. GA4 unterstützt den Consent Mode v2, mit dem Website-Betreiber Google mitteilen, ob ein Nutzer in Analytics- und Werbe-Cookies eingewilligt hat. Bei fehlender Einwilligung modelliert GA4 Trafikdaten anhand von Beobachtungen einwilligender Nutzer. GA4 verfügt außerdem über eine IP-Anonymisierung, die standardmäßig aktiviert ist, und bietet die Möglichkeit, Daten in der EU zu verarbeiten (Google Analytics 360). Eine vollständige Datenschutzkonformitaet erfordert jedoch weiterhin die korrekte Implementierung des Consent Mode und eines AV-Vertrags mit Google.

Datenschutzfolgenabschätzung für Google Analytics

Für grossangelegte Deployments oder Anwendungsfälle mit sensiblen Daten kann eine Datenschutzfolgenabschätzung (DSFA) gemäß Art. 35 DSGVO verpflichtend sein. Relevante Faktoren sind: Verarbeitung von Daten besonderer Kategorien, umfangreiches Profiling, Betreiber öffentlicher Stellen oder kritischer Infrastruktur. Auch ohne Pflicht ist eine DSFA empfehlenswert, um Risiken aus US-Datentransfers, Browser-Fingerprinting und persistenten Tracking-Kennzeichnern systematisch zu bewerten und geeignete Massnahmen zu dokumentieren.

Cookielose Alternativen und datenschutzfreundliche Konfiguration

Website-Betreiber haben mehrere Optionen, um die Datenschutzfreundlichkeit ihrer Analysestrategie zu erhöhen. GA4 mit aktiviertem Consent Mode v2 und Server-Side Tagging reduziert die direkte Datenerfassung im Browser. Als vollständige Alternative bieten sich datenschutzkonforme Analyseplattformen wie Matomo (selbstgehostet), Plausible oder Fathom an, die ohne persistente Cookies auskommen und Daten in der EU speichern. Diese Optionen erfordern keine Einwilligung für die Basisanalyse und werden von Datenschutzbehörden wohlwollend bewertet.