Google Analytics und GDPR: Navigieren durch die DPA-Richtlinien

Künftige Nutzung von Google Analytics

Am 21. September 2022 veröffentlichte die dänische Datenschutzbehörde (DPA) eine Pressemitteilung, in der sie feststellte, dass die weitere Nutzung von Google Analytics ohne zusätzliche Maßnahmen nicht mit der DSGVO vereinbar ist. Da personenbezogene Daten (im Sinne der DSGVO) theoretisch auf Google-Server in den USA übertragen werden können, müssen Unternehmen, die Google Analytics nutzen, zusätzliche Maßnahmen ergreifen. Diese Frage gilt unabhängig davon, ob die alte Version (Universal Analytics/ UA) oder die neue Version (Google Analytics 4) verwendet wird.

Derzeit verfügt Google in keiner der beiden Versionen über integrierte Funktionen, die die Übermittlung personenbezogener Daten vollständig verhindern. Google hat im Laufe des letzten Jahres mehrere Funktionen hinzugefügt, um die Datenkontrollen in Google Analytics 4 hinzugefügt, um die GDPR-Anforderungen zu erfüllen, einschließlich einer IP-Anonymisierungsfunktion. In der Pressemitteilung erklärte die Datenschutzbehörde, dass diese Funktionen allein die Übermittlung personenbezogener Daten in die USA nicht verhindern können und dass eine weitere Nutzung des Tools zusätzliche Maßnahmen außerhalb von Google Analytics erfordert.

Als größter Partner von Google steht Acceleration in täglichem Kontakt mit der Geschäftsleitung von Google über die aktuelle Situation. Google vertritt den Standpunkt, dass die Pressemitteilung der dänischen Datenschutzbehörde keine Entscheidung ist, sondern als Richtlinie betrachtet wird. Auch wenn es nicht Aufgabe von Acceleration ist, Rechtsberatung zu leisten, empfehlen wir allen Werbetreibenden, in einem ersten Schritt das Risikoprofil ihres Unternehmens zu bewerten (das von Unternehmen zu Unternehmen und von Branche zu Branche unterschiedlich sein kann) und zu überlegen, ob sie sofortige Maßnahmen ergreifen - oder abwarten und warten sollen.

Abwarten oder sofortiges Handeln?

Google empfiehlt den Werbetreibenden, abzuwarten und keine übereilten Entscheidungen zu treffen; das Problem der Übermittlung personenbezogener Daten an Server in den USA wird automatisch mit dem kommenden Trans-Atlantischen Datenschutzrahmen (Rahmenwerk) gelöst. Es gibt kein festes Datum, wann dieses Rahmenwerk in Kraft treten wird, aber wenn es von der Europäischen Kommission genehmigt wird, werden Datenübertragungen in die USA, die unter das Rahmenwerk fallen, mit den Regeln der Datenschutz-Grundverordnung konform sein. Dieser Artikel wird darauf hingewiesen, dass die US-amerikanische Durchführungsverordnung zu dem Rahmenwerk bereits in einigen Wochen veröffentlicht werden könnte und dass das Rahmenwerk, wenn es von der Europäischen Kommission ratifiziert wird, bis März 2023 fertig sein könnte. Außerdem wird erwartet, dass Google zusätzliche Funktionen hinzufügen wird, um die Datenkontrolle weiter zu verbessern.

Diese Argumente sprechen dafür, eine abwartende Haltung einzunehmen, wie die Lösung Nr. 1 in der folgenden Abbildung zeigt.

Lösung Nr. 1 zeigt, wie die Daten von der Website eines Werbetreibenden direkt an Google Analytics gesendet werden. Wenn die Daten immer noch an die alte Version von Google Analytics gesendet werden, sollten Sie überlegen, ob Sie auf die neue Version, Google Analytics 4, migrieren.

Lösung Nr. 2 ist eine "serverseitige" Lösung, die von der Datenschutzbehörde in ihrer Pressemitteilung als praktikable Lösung erwähnt wird. Sie ist mit recht technischen Maßnahmen verbunden, da sie auf einem "Proxy-Server" basiert, d. h. einem zusätzlichen Server, der die Informationen vor der Übermittlung an Google Analytics de-identifiziert, so dass keine personenbezogenen Daten in die USA übermittelt werden.

Diese Lösung wurde von anderen europäischen Datenschutzbehörden als der beste Ansatz bezeichnet. Allerdings wird diese Lösung nicht dasselbe Maß an Daten und Einblicken bieten, und grundlegende Einblicke, wie z. B. einfache Daten, die zeigen, welche Kampagnenaktivität oder welcher Publisher Nutzer auf die Website des Werbenden geschickt hat, werden nicht mehr verfügbar sein. Daher wird das Analysewerkzeug nicht so effektiv sein, und es wird schwierig sein, auf der Grundlage der verfügbaren Daten dieselben fundierten Entscheidungen zu treffen.

Lösung Nr. 3 besteht darin, a) einen in Europa ansässigen Analyseanbieter zu finden, der keine Daten in den USA speichert oder weitergibt (weder jetzt noch in Zukunft), oder b) die Website-Daten an das eigene Data Warehouse des Werbetreibenden zu senden, anstatt an einen externen Analyseanbieter.

Der Vorteil eines Data Warehouse ist die Möglichkeit, die historischen Daten des Werbetreibenden mit zukünftigen Daten zu kombinieren. Wenn ein externes Analysetool gewählt wird, muss höchstwahrscheinlich bei Null angefangen werden, da keine historischen Daten verfügbar sind. Für viele Werbetreibende kann ein eigenes Data Warehouse und Dashboard eine effektivere Lösung darstellen. Dies kann auch als Übergangslösung dienen, bis das Rahmenwerk steht. Sobald das Rahmenwerk fertiggestellt ist, können die über das Dashboard gesammelten und auf EU-Servern gespeicherten Daten in Google Analytics aufgenommen werden, so dass weiterhin Daten zum Vergleich mit den Vorjahren zur Verfügung stehen. Neben den unterschiedlichen Benutzeroberflächen (UI) bestehen die einzigen Unterschiede zwischen der alten und der neuen Version von Google Analytics darin, dass die Aktivierungsfunktionen (z. B. Remarketing) und die demografischen Erkenntnisse verloren gehen. Alle anderen Funktionen werden beibehalten.

Wir haben diese Lösung intern mit Erfolg getestet, so dass wir wissen, dass sie eine mögliche Lösung ist, und können Ihnen auch helfen, wenn Sie sich für Lösung Nr. 3 entscheiden.

Unabhängig davon, welche der 3 Lösungen Sie für die beste Lösung halten und sich dafür entscheiden, kann Acceleration Sie sowohl bei der technischen Beratung als auch bei der Implementierung unterstützen. Wenden Sie sich an Michael Hein Krogh, Executive Director of Platforms michael.krogh@acceleration.biz wenn Sie mehr erfahren möchten.

‍

----

Weitere Informationen finden Sie in der offiziellen Erklärung und den Fragen und Antworten der dänischen Datenschutzbehörde hier:

https://www.datatilsynet.dk/english/google-analytics/use-of-google-analytics-for-web-analytics

https://www.datatilsynet.dk/english/google-analytics

‍