Erhebt Google Analytics personenbezogene Daten?
Beginnen Sie mit der konkreten Einrichtung: Welche Google-Analytics-Property und Konfiguration wird verwendet?
Die kurze Antwort lautet: manchmal. Ob Google Analytics personenbezogene Daten im Sinne der DSGVO erhebt, hängt davon ab, was eine bestimmte Website übermittelt, wie Google die Daten verarbeitet und ob sich die Informationen einer identifizierbaren Person zuordnen lassen. Allein die Bezeichnung des Produkts beantwortet diese Frage nicht. Auch die häufige Frage „Erhebt Google Analytics personenbezogene Daten?“ lässt sich deshalb nur anhand der konkreten Einrichtung beantworten.
Ermitteln Sie zunächst, welche Property verwendet wird. Auf einer Website kann Google Analytics 4 (GA4), eine ältere Universal-Analytics-Property oder während einer Umstellung auch beides laufen. Erhebungsmethoden und verfügbare Steuerungsmöglichkeiten unterscheiden sich, und das Produktverhalten von Google ändert sich mit der Zeit. Prüfen Sie die aktuelle Einrichtung direkt in der Property und der Tag-Konfiguration, statt sich auf eine ältere Installationsanleitung zu verlassen.
Sehen Sie sich anschließend das gesamte Umfeld an. Ein GA4-Tag kann über den Google Tag Manager, eine Consent-Management-Plattform, ein Werbe-Tag oder ein Plugin eingebunden sein, das automatisch Felder ergänzt. Auch ein Formular-Tool oder eine Kundendatenbank kann Kennungen an Analytics übermitteln. Dieselbe Property kann daher auf zwei Websites unterschiedliche Datenschutzfragen aufwerfen.
Halten Sie den Prüfungsumfang konkret: eine Property, ein Satz Tags und die Daten, die diese tatsächlich übermitteln. Wenn ein Konto separate Properties für einen öffentlichen Blog und einen Dienst mit Login enthält, prüfen Sie beide getrennt. Zwecke und Datenflüsse müssen nicht übereinstimmen.
Verfolgen Sie einen Besuch durch die Analytics-Pipeline
Stellen Sie sich vor, ein Besucher öffnet über ein Suchergebnis eine Produktseite. Die Seite lädt ein Google-Analytics-Tag, das ein Ereignis wie einen Seitenaufruf und – je nach Konfiguration der Website – weitere Angaben übermitteln kann. Je nach Implementierung können dazu die Seitenadresse, Browserinformationen, ein Ereignisname oder eine Kennung gehören.
Google empfängt und verarbeitet die Anfrage anschließend im Rahmen der geltenden Produkteinstellungen und Vertragsbedingungen. Die Website kann auch über verknüpfte Dienste Informationen übermitteln, etwa über Werbefunktionen oder eine importierte Zielgruppe. Ein Besuch ist nicht zwangsläufig ein einzelner, isolierter Datensatz: Einstellungen können beeinflussen, wie Ereignisse zugeordnet, ausgewertet oder mit anderen Tools geteilt werden.
Sehen Sie sich die Seitenadresse genau an. Eine URL kann eine E-Mail-Adresse, einen Suchbegriff, eine Kontonummer oder andere Angaben enthalten, wenn die Website diese in einem Abfrageparameter übergibt. Ein Link zum Zurücksetzen eines Passworts kann beispielsweise ein Token enthalten. Erfasst ein Tag die vollständige URL, übermittelt die Website möglicherweise mehr als nur den Seitennamen.
Eine einzige Anfrage kann schon ausreichen.
Das bedeutet nicht, dass bei jedem Besuch eine namentlich bekannte Person identifiziert wird. Es bedeutet aber, dass Websitebetreiber die Anfrage und die damit verbundenen Systeme prüfen sollten, statt davon auszugehen, Analytics erhalte nur anonyme Zählwerte. Browser-Tools, Tag-Vorschauen und ein Testbesuch können zeigen, welche Daten übermittelt werden. Halten Sie die Ergebnisse für die geprüfte Property fest.
Unterscheiden Sie zwischen Datenerhebung und dem Personenbezug der Daten
Datenerhebung und die Frage, ob Daten personenbezogen sind, hängen zusammen, sind aber nicht dasselbe. Ein Seitenaufruf-Ereignis ist ein Datum. Ob es sich im Sinne der DSGVO um personenbezogene Daten handelt, hängt von Inhalt und Kontext ab – insbesondere davon, ob sich eine Person direkt oder indirekt anhand von Informationen identifizieren lässt, die der Website oder einer anderen Stelle zur Verfügung stehen.
Auch eine scheinbar zufällige Kennung kann relevant sein. Wenn sie einen Browser über einen längeren Zeitraum wiedererkennbar macht oder mit einem Kundendatensatz verknüpft werden kann, kann sie dazu dienen, eine Person herauszugreifen – auch wenn im Analytics-Bericht kein Name angezeigt wird. Kann eine Website eine Ereignis-ID einem angemeldeten Konto zuordnen, sollte sie diese Verknüpfung bewerten und sich nicht nur auf die Bezeichnung des Feldes verlassen.
Der Kontext macht den Unterschied.
Betrachten Sie zwei Datensätze mit demselben Ereignisnamen „view_item“. Der eine ist eine allgemeine Zählung von Aufrufen einer öffentlich zugänglichen Produktseite. Der andere enthält eine dauerhafte Nutzer-ID, die das Unternehmen einem Konto und der Kaufhistorie zuordnen kann. Der Ereignisname ist gleich geblieben – die Möglichkeit, den Datensatz einer Person zuzuordnen, nicht.
Die Frage „Erhebt Google Analytics personenbezogene Daten im Sinne der DSGVO?“ lässt sich deshalb nicht für jede Website pauschal mit Ja oder Nein beantworten. Bei der praktischen Beurteilung kommt es auf die verwendeten Kennungen und zusätzlichen Daten sowie auf Zugriffsmöglichkeiten und Verknüpfbarkeit im Rahmen der konkreten Verarbeitung an. Pseudonyme Informationen sind nicht automatisch anonym, nur weil keine Namen enthalten sind. Wer die Stichworte „Google Analytics DSGVO Datenschutz“ recherchiert, sollte daher vor allem den tatsächlichen Datenfluss und dessen Kontext beurteilen.
Prüfen Sie Felder und Funktionen, die die Beurteilung beeinflussen
Prüfen Sie die Felder und Funktionen, die sich auf die Identifizierbarkeit oder den Umfang der erhobenen Informationen auswirken können. Gehen Sie nicht davon aus, dass eine Funktion aktiv oder inaktiv ist, nur weil sie in einer älteren Einrichtungsanleitung erwähnt wurde. Prüfen Sie die aktuellen Property-Einstellungen und die Dokumentation von Google. Für ein systematisches Audit kann es hilfreich sein, die Schritte unter „GA4 personenbezogene Daten prüfen“ als eigene Prüfliste festzuhalten.
Verarbeitung von IP-Adressen: Prüfen Sie, welche Daten die aktuelle Produktversion empfängt und verarbeitet und welche Steuerungsmöglichkeiten gelten. Treffen Sie keine Aussagen zur Anonymisierung von IP-Adressen auf Grundlage einer Einstellung aus einer älteren Analytics-Version.
Nutzer-IDs: Wenn die Website eine Konto-Kennung übermittelt, prüfen Sie, ob sie dauerhaft ist, ob sie einem Kunden zugeordnet werden kann und ob die Website berechtigt ist, sie für den konfigurierten Zweck zu übermitteln.
Google Signals und Werbefunktionen: Prüfen Sie, ob diese Funktionen aktiviert sind, welche Informationen sie verwenden und ob sie die Berichterstellung oder den Datenaustausch für die Property verändern.
URL-Parameter: Testen Sie echte Seiten auf personenbezogene Angaben in Abfragezeichenfolgen, Fragmenten und Weiterleitungslinks. Ein Token oder eine E-Mail-Adresse kann unbemerkt in einer Seitenadresse landen, auch wenn niemand vorhatte, sie als Analytics-Feld zu verwenden.
Benutzerdefinierte Dimensionen und Ereignisse: Prüfen Sie die Namen und Werte, die die Website übermittelt. Ein benutzerdefiniertes Feld namens „Tariftyp“ mag in einer Konfiguration unproblematisch sein. Ein Feld mit einer E-Mail-Adresse, einer Freitextantwort oder Gesundheitsdaten wirft andere Fragen auf.
Prüfen Sie außerdem, was geschieht, nachdem die Daten in der Property eingegangen sind. Verknüpfte Konten, Exporte und Integrationen können den Zugriff auf die Informationen oder ihre Verwendung ausweiten. Eine Einstellung, die die Erhebung begrenzt, beantwortet nicht jede Frage zur späteren Nutzung.
Was Googles Rolle und Vertragsbedingungen klären – und was nicht
In den Vertragsunterlagen von Google können die Rollen von Google und dem Kunden bei bestimmten Verarbeitungen beschrieben sein, einschließlich der Fälle, in denen Google als Auftragsverarbeiter tätig ist. Lesen Sie die für den Dienst und das Konto geltenden Bedingungen und prüfen Sie den aktuellen Wortlaut. Eine Produktbeschreibung allein klärt nicht die gesamte DSGVO-Position der Website.
Websitebetreiber müssen weiterhin ihre eigenen Zwecke, die Rechtsgrundlage, ihre Informationspflichten, die Konfiguration sowie etwaige relevante Offenlegungen oder Übermittlungen beurteilen. Ein Anbieter kann Einstellungen und Vertragsbedingungen bereitstellen, doch dadurch wird nicht automatisch jede Nutzung von Analytics rechtmäßig. Ebenso beweist die Auswahl eines Consent-Banners nicht, dass sich die Tags wie dort beschrieben verhalten.
Die Rollen können außerdem von der jeweiligen Verarbeitung abhängen. Eine Website kann festlegen, warum sie Besuche messen und welche Ereignisse sie übermitteln möchte, während ein Anbieter die Informationen auf Grundlage bestimmter Servicebedingungen verarbeitet. Die Einzelheiten sind entscheidend. Übernehmen Sie keine Rollen aus einer allgemeinen Vorlage, ohne die tatsächliche Dienstvereinbarung zu prüfen.
Für einen kleinen Websitebetreiber ist es sinnvoll, die Property, Tags, verknüpften Dienste, Zwecke und relevanten Vertragsbedingungen zu dokumentieren. Verarbeitet die Website sensible Informationen oder nutzt sie komplexe Werbeintegrationen, sollten Sie qualifizierte Datenschutzberatung einholen, statt einen Einstellungsbildschirm als rechtliche Prüfung zu behandeln.
Ein gezieltes Audit für Websitebetreiber
Ein kurzes, dokumentiertes Audit ist hilfreicher als das vage Versprechen, „datenschutzfreundliche Einstellungen zu verwenden“. Gehen Sie für jede Analytics-Property folgendermaßen vor:
Erfassen Sie die Property und die Tags. Notieren Sie, ob die Website GA4, eine ältere Property, den Google Tag Manager, Plugins oder direkt eingebundenen Code verwendet. Führen Sie auch die Seiten auf, auf denen die einzelnen Tags geladen werden.
Testen Sie einen Besuch. Öffnen Sie eine frische Browsersitzung, rufen Sie wichtige Seiten auf und prüfen Sie ausgehende Anfragen mit den Entwicklertools des Browsers oder einer Tag-Debugging-Funktion. Erfassen Sie Ereignisnamen, Seitenadressen und Kennungen. Entfernen oder maskieren Sie anschließend alle gefundenen sensiblen Werte.
Prüfen Sie das Verhalten der Einwilligungseinstellungen. Testen Sie beide Auswahlmöglichkeiten im Consent-Dialog der Website. Stellen Sie fest, ob Analytics-Tags warten, blockiert werden oder sich anders verhalten, und vergleichen Sie das Ergebnis mit den Angaben in der Datenschutzerklärung.
Prüfen Sie Ereignisse und Integrationen. Sehen Sie sich benutzerdefinierte Ereignisse, Nutzer-IDs, verknüpfte Werbedienste, Importe und Exporte an. Fragen Sie das für die jeweilige Integration zuständige Team, welche Daten sie aus welchem Grund übermittelt.
Prüfen Sie Speicherdauer und Zugriffsrechte. Kontrollieren Sie die Aufbewahrungseinstellungen der Property, die Nutzer des Kontos und die Ziele von Exporten. Entziehen Sie Zugriffsrechte, für die kein geschäftlicher Bedarf mehr besteht, und dokumentieren Sie die aktuellen Einstellungen.
Beheben Sie die unbeabsichtigte Übermittlung von Daten. Entfernen Sie personenbezogene Angaben möglichst direkt an der Quelle aus URLs oder Ereigniswerten. Soll ein Feld nicht übermittelt werden, unterbinden Sie die Übertragung, bevor die Daten das Tag erreichen, statt sich allein auf einen Berichtsfilter zu verlassen.
Wiederholen Sie die Prüfung nach einer Neugestaltung oder der Installation eines neuen Plugins. Ein neuer Checkout, ein Login-Ablauf oder ein Formular kann die übermittelten Daten verändern, ohne dass jemand die Analytics-Property direkt bearbeitet.
Geben Sie Besuchern eine präzise und differenzierte Antwort
Eine hilfreiche Datenschutzerklärung sollte die tatsächlichen Praktiken der Website beschreiben und nicht pauschal behaupten, „Google Analytics sei anonym“. Nennen Sie den Zweck – etwa zu verstehen, welche Seiten Besucher aufrufen – und erläutern Sie die erhobenen Datenkategorien, gegebenenfalls relevante Weitergaben und die Wahlmöglichkeiten der Besucher. Die Angaben sollten mit den beim Audit festgestellten Tags übereinstimmen.
Erläutern Sie die Rechtsgrundlage, auf die sich die Website für die jeweiligen Zwecke stützt, und wie Besucher ihre geltenden Rechte ausüben können. Unter bestimmten Umständen kann für bestimmte Formen des Trackings eine Einwilligung erforderlich sein. Sie beantwortet jedoch nicht pauschal alle Fragen zur DSGVO; die Website muss die konkrete Verarbeitung und die geltenden Vorschriften prüfen.
Benennen Sie auch die Grenzen klar. Verwendet eine Website eine Kennung, die mit einem angemeldeten Konto verknüpft werden kann, sollten Sie das präzise beschreiben. Übermittelt sie diese Kennung nicht, sollten Sie nicht den gegenteiligen Eindruck erwecken. Die Antwort muss zur Property, zu den Tags und zum auf der Website geprüften Datenfluss passen – nicht zu einer allgemeinen Beschreibung von Google Analytics.
