Google Analytics: Warum Sie Ihre Webanalyse schnell anpassen sollten

Es wird eng für Google Analytics  . Immer mehr Datenschutzbehörden - jüngst die DSB in Österreich - erklären Google Analytics für unvereinbar mit der Europäischen Datenschutzgrundverordnung (EU-DSGVO). Das niederländische Autoriteit Persoonsgegevens (AP) prüft das Tool in zwei Fällen und hat auf seiner Website bereits eine Warnung veröffentlicht, in der es heißt: "Bitte beachten: Die Verwendung Google Analytics ist möglicherweise bald nicht mehr erlaubt".

Bei dem Großteil der Unternehmen sollten spätestens jetzt die Alarmglocken schrillen. Google Analytics ist das mit Abstand am häufigsten eingesetzte Webanalyse-Tool und verfügt über einen Marktanteil von etwa 86 Prozent. Knapp neun von zehn Unternehmen setzen das Web-Analysetool des Tech Giganten ein, um durch die Einbindung eines Tracking-Codes in den Code ihrer Seiten eine kontinuierliche Analyse und statistische Auswertung ihrer Webseiten, etwa zu Besucheranzahl, Besuchsdauer und Besucherverhalten, zu erhalten.

Nun geht es beim drohenden Verbot im Kern um die Frage, ob in den USA ein dem europäischen Recht vergleichbares Datenschutzniveau sichergestellt werden kann. Nein, argumentieren Datenschutz-Experten. Der Umgang des US-Konzerns mit Nutzerdaten sei mit der EU-DSGVO nicht vereinbar. Denn wie jedes andere US-Unternehmen muss auch Google seine Daten den US-Behörden ausliefern - ob es das Unternehmen will oder nicht und egal, wo die Server stehen. Die Schlussfolgerung: Wenn man als Unternehmen DSGVO-konforme Analytics betreiben will, muss das Analytics-Unternehmen faktisch in Europa sitzen.

Aber nochmal von Anfang an: Bisher erfolgte die Datenerfassung fürs Tracking über den Webbrowser des Nutzers (client-side Tracking). Das Aus der 3rd-Party-Cookies, Ad- und Trackingblocker sowie eine zunehmende Anzahl von "Privacy by Design"-Produkten führen zu mehr "weißen Flecken" in der Datenlandschaft, formuliert es Thomas Tauchner , Co-CEO des Tracking-Lösungsanbieters Jentis  .

Durchschnittlich, so Auswertungen von Jentis, betragen die durch fehlende, beziehungsweise fehlerhafte Daten bedingten Abweichungen zu den tatsächlichen Customer Journeys von NutzerInnen über 50 Prozent. Hinzu kommt das Fehlen von Rohdaten für KI-Anwendungen durch die Datenaggregationen in den Web-Analytics-Tools sowie die mangelnde Kontrolle beziehungsweise Souveränität der Website-Betreiber über die generierten Daten und den Datenfluss. Die technische Lösung für diese Probleme sieht Jentis im server-side Tagging beziehungsweise Hybrid-Tracking. Tauchner: "Auch hier werden Daten im/vom Browser erfasst, das Tagging findet aber zunächst auf einem neutralen Server (und nicht im Client) statt."

Ganz strenggenommen hat nicht nur Google Analytics ein Problem, sondern die clientseitige Ausführung von Tracking mit Hilfe von Google an sich, ergänzt André Schulz , Managing Consultant bei der ECommerce-Beratung Elaboratum   . "Denn das reine Abrufen der Trackingskripte von Google Servern, wie etwa gtag.js, analytics.js oder auch der Einsatz des clientseitigen Google Tag Managers kann schon zu Problemen führen. In der Kommunikation mit dem Google-Server wird aus dem Client des Users eine Anfrage mit der IP-Adresse abgeschickt."

Die technische Lösung liegt auch seiner Einschätzung nach in serverseitigen Tracking- und Tag-Management-Systemen, die es erlauben, "Google Analytics auch weiterhin datenschutzkonform einzusetzen", so Schulz: "Dabei werden Trackingdaten an einen eigenen Endpunkt gesendet und sensible Daten wie beispielsweise Order-IDs oder IP-Adressen können somit noch innerhalb der eigenen Tracking-Infrastruktur des Unternehmens anonymisiert werden." Der Google Server kommuniziere dadurch nicht direkt mit dem Client des Users oder der Userin, sondern mit dem unternehmenseigenen Server. "Von diesem Endpunkt aus gelangen die Daten dann erst an ein Trackingsystem wie Google Analytics", skizziert er.

Streitpunkt Datenautonomie

Als Vorteile von serverseitigem Tracking zählt Thomas Tauchner auf: Anstelle zahlreicher externer Third-Party-JavaScripts komme ein einziges First-Party-JavaScript auf der Website zum Einsatz. Dadurch sei die Datenerfassung gegen externe Eingriffe geschützt. Fehlerhafte Daten durch kompromittierende Browser-Erweiterungen sowie Datenverluste ließen sich so eliminieren und die Datenqualität und User Experience auch mit Blick auf Merkmale wie die Seitenladezeit signifikant steigern. Tauchner: "Mit der serverseitigen Datenerfassung sichern sich Website-Betreiber darüber hinaus nicht nur den Rohdatenbesitz für zum Beispiel den Einsatz von KI und erweiterte Datenanalysen, sondern auch die jederzeitige uneingeschränkte Kontrolle über die Daten und den Datenfluss, unter anderem an die zum Einsatz kommenden Web-Analytics-Tools. Damit erhalten Website-Betreiber die volle Autonomie über die als First-Party-Daten erfassten Informationen."

Datenschutzexperte Christian Bennefeld (datenschutz-zwecklos.de  ) widerspricht: "Es ist faktisch unrichtig, dass man mit serverseitigem Tracking die volle Autonomie über die als First-Party-Daten erfassten Informationen hat. Denn wenn man die Daten nicht noch zusätzlich in ein eigenes Web-Analytics/BI- oder KI-System leitet, sondern nur Google Analytics serverseitig übergibt, gewinnt man auch keine Autonomie. Google Analytics gibt - egal ob serverseitig oder clientseitig getrackt wird - keine Rohdaten heraus. Und ohne Rohdaten keine Datenautonomie." Datenautonomie könne man im Übrigen ebenso mit clientseitigem Tracking erreichen, wenn der Tracking-Anbieter den Zugriff auf die Rohdaten gestattet oder man diese Daten eben selbst speichert.

Der Kern des Datenschutz-Problems beim serverseitigen Tracking sei aber ein anderer: "Das oben angesprochene, scheinbar so harmlose JavaScript ist das Problem. Denn um Besucher (auch ohne das Setzen von Cookies) wiederzuerkennen, wird per JavaScript eine eindeutige UUID (Universally Unique Identifier, Identifikationsnummer) des Nutzergerätes ermittelt", erklärt Bennefeld. Diese eindeutige ID werde dann serverseitig an das Tracking-System übergeben, damit der Nutzer bzw. die Nutzerin darüber Website-übergreifend identifiziert werden könne. Für die Bildung der UUID werde per JavaScript jedoch stets auf "im Endgerät des Nutzers gespeicherte Daten" zugegriffen. "Genau dieser Zugriff fällt aber unter §25 TTDSG - und man muss zwingend die Einwilligung einholen", mahnt er. Die Nutzerin oder der Nutzer werde also über ein Pseudonym (die UUID) genauso erkannt, wie beim clientseitigen Cookie Tracking. Bennefeld: "Damit hat man rechtlich rein gar nichts gewonnen - aber potenziell hohen technischen Aufwand für die Implementierung."

Anonymisierung vs. Pseudonymisierung

Es ist von fundamentaler Bedeutung, ob Unternehmen mit pseudonymisierten oder anonymisierten Daten arbeiten. Denn aus rechtlicher Sicht handelt es sich bei pseudonymisierten Daten um personenbezogene Daten, für die das Datenschutzrecht Vorgaben trifft. Nur bei anonymisierten Daten kann man auch von nicht-personenbezogenen Daten sprechen.

Bei der Anonymisierung der Daten steckt der Teufel im Detail, erklärt Tauchner: "Die Anonymisierung muss noch innerhalb der EU und vor dem Transfer an ein US-amerikanisches Unternehmen beziehungsweise in dessen Cloud erfolgen. Technische Möglichkeiten, Daten durch einen US-amerikanischen Anbieter wie zum Beispiel Google, Adobe, Facebook, Tealium etc. anonymisieren zu lassen, sind nicht rechtskonform, da die Anonymisierungsprozesse außerhalb des EU-Rechtsraums stattfinden und nicht überprüft werden können."

Mit einer serverside-Tracking-Lösung mit Sitz in der EU könnten die Anforderungen von Artikel 49 DSGVO für internationale Datenübermittlungen erfüllt werden, fasst Tauchner zusammen: "Die serverseitige Pseudonymisierung beziehungsweise Anonymisierung der wichtigsten Datenpunkte, insbesondere von IP-Adresse, Session-ID, User-ID vor der Übermittlung außerhalb der EU stellt sicher, dass der Datenempfänger/Datenimporteur keine technische Möglichkeit hat, den Endnutzer zu identifizieren. Ohne Personenbezug zum Endgerät des Nutzers können die Daten in Übereinstimmung mit den Vorgaben des EDSA (Empfehlungen 01/2020 zu ergänzenden Maßnahmen vom Juni 2021) in unsichere Drittländer (wie der USA) übermittelt werden."

Aber was soll überhaupt anonymisiert beziehungsweise verschlüsselt werden? Christian Bennefeld spielt die verschiedenen Optionen und ihre Wirksamkeit durch:

1. IP-Adresse des Besuchers: Die IP-Adresse wird bei serverseitigem Tracking gar nicht übertragen. Also kein Problem, denn man muss nichts verschlüsseln, was nicht übertragen wird.
   
   
2. Aufgerufene URL des Besuchers: Dann würde statt "www.domain.de/impressum.html" im Analysewerkzeug die verschlüsselte URL "G41!d-/bF5h7" stehen. Das ergibt wohl keinen Sinn, außer der Analyst kann das schnell im Kopf entschlüsseln und der entsprechenden Seite zuordnen. Dass die aufgerufene URL aber sehr häufig personenbezogene Daten enthält, die anonymisiert werden müssten, sieht man beim Klick in jeden iBusiness Newsletter. Bei mir sehen die beispielsweise so aus: https://www.ibusiness.de/c/773019d93940/html/30/bennefeld.html. Man beachte das "bennefeld.html", das eindeutig ein personenbezogenes Datum ist.
   
   
3. Die NutzerID (zur Nutzer-Wiedererkennung): Im Tracking werden alle Klicks auf den jeweiligen Nutzer bezogen. Sonst wäre selbst eine triviale Segmentierung wie beispielsweise "Wieviel Conversions/Umsatz haben wir mit iPhone Nutzern im letzten Monat gemacht?" gar nicht möglich. Wenn es nun keine UUID gäbe oder diese mit jedem Aufruf desselben Besuchers wechselt, weil sie zufällig anonymisiert wird, kann keine nutzerzentrische Speicherung erfolgen. Damit sind dann aber auch keine Segmentierungen (= das Herz der Analyse) mehr möglich und die Daten sind praktisch unbrauchbar.

Bennefelds Schlussfolgerung: Spätestens eine serverseitig übermittelte Geräte-UUID ist unstreitig ein (pseudonymisiertes) personenbezogenes Datum. Damit ist aber auch das Tracking immer personenbezogen und unterliegt der DSGVO. Ohne einen Erlaubnistatbestand aus Art 6.1 kommt man daher nicht weiter - und der fehlt derzeit bei US-MarTech Tools.

Mit Anonymisierung wird die Datenübertragung zwar legal, aber die Qualität der Auswertungen leidet. Wenn das, was in die USA übertragen wird, keine personenbezogenen Daten mehr sind, ist der Datentransfer problemlos. Dazu muss das Unternehmen sicherstellen, dass eine Deanonymisierung tatsächlich unmöglich ist.

Will man Daten vernünftig auswerten, braucht man in der Regel allerdings eher eine Pseudonymisierung, das heißt alle Daten eines Users oder einer Userin bleiben einem Pseudonym zugeordnet. Das ist nötig, um beispielsweise einzelne Customer Journeys zu analysieren. Ohne zusätzliche Daten weiß man nicht mehr, wer das ist. Aber gängige Auswertungen, wie beispielsweise die Zeit von Erstbesuch bis Kauf, Folgekäufe, Reaktionen auf Werbemittel etc. bleiben im Zusammenhang erhalten. Das sind alles wesentliche KPIs für die Optimierung. Bei der Anonymisierung gehen solche Zusammenhänge verloren beziehungsweise müssen verloren gehen, wenn sie funktionieren sollen: Wenn jemand Korrelationen herstellen kann, weil die Kundin oder der Kunde beispielsweise mit Paypal bezahlt hat und die US-Regierung sich diese Daten holt, können damit gegebenenfalls die Pseudonyme aufgedeckt werden. Daher reicht Pseudonymisierung nicht.

Zusammengefasst: Anonymisierte Daten sind zu wenig aussagekräftig und pseudonymisierte zu unsicher. "Auch pseudonyme Daten fallen in die DSGVO, da man über die UUID und über die im Rahmen des Trackings unter dieser ID zusammengefassten Daten häufig die reale Person ermitteln kann", betont Christian Bennefeld. Die DSGVO finde daher bei serverseitigem Tracking ganz genau so Anwendung und sei entsprechend einzuhalten.

Serverseitiges Tracking: Heil oder Verderben?

Auch Retargeting ist laut Bennefeld ebenfalls mit serverseitigem Tracking nicht erlaubt: "Denn Retargeting hat ja gerade zum Ziel den Nutzer auf dritten Seiten wieder zu erkennen - gegebenenfalls über die UUID - und dazu muss der Nutzer zuvor eingewilligt haben." Sein Fazit: Serverseitiges Tracking ist keine Lösung, um die Datenschutz-Vorgaben einzuhalten. Es hilft allenfalls, den illegalen Datentransfer zu verschleiern. Der einzige, rechtskonforme Ausweg ist der Einsatz eines datenschutzkonformen Tracking-Anbieters aus der EU.

Hier stimmen die Experten überein. "Technologie made in Europe kann hier einmal mehr helfen, den hohen Anforderungen des Datenschutz made in Europe adäquat zu begegnen: Sie kann Unternehmen dabei unterstützen, die mit den rechtlichen Rahmenbedingungen verbundenen Herausforderungen auf intelligente Weise zu bewältigen, um auch weiterhin auf einer datenschutzkonformen Grundlage ein global wettbewerbsfähiges Geschäft betreiben können", so Thomas Tauchner. Unternehmen empfiehlt er, sich vor dem Einsatz von Tracking-Tools drei kritische Fragen zu stellen - und diese idealerweise mit Ja beantworten können:

1. Unterstützt eine entsprechende Lösung meine Datensouveränität?
   
2. Geht sie konform mit der europäischen Datenschutz-Rechtsprechung (am besten schriftlich bestätigt durch den Anbieter)?
   
3. Ermöglicht sie eine rechtssichere Anonymisierung der Daten?

Den einzige Grund, warum man heute vielleicht überhaupt noch an Google Analytics festhalten möchte, sieht Bennefeld darin, dass man die Gebotsstrategie "Optimierung auf Conversions" dann weiter in Google Ads nutzen kann: "Viele Unternehmen wissen offenbar nicht, dass die gängigen datenschutzkonformen Tracking-Systeme einen sogenannten "Conversion Upload" beherrschen. Damit werden die Conversions anonymisiert (nicht pseudonymisiert) in die Advertising Systeme geladen, und man kann dort die gewohnten Gebotsstrategien weiterverwenden." Das gehe nach seiner Kenntnis für alle großen Advertising Systeme (Google, Microsoft/Bing, Facebook).

Auf jeden Fall kommt Bewegung in die Sache. Denn betroffen ist nicht nur Google Analytics. Ganz konkret hatte der Wiener Datenschutzaktivist Max Schrems , auf dessen Initiative der Europäische Gerichtshof im Juli 2020 bereits das Privacy-Shield-Abkommen mit den USA gekippt hatte, auch Beschwerden betreffend der Verwendung von Facebook Connect eingereicht. Über diese wird erst noch entschieden. Allgemein sind aber alle Datenverarbeitungen personenbezogener Daten durch US-Anbieter betroffen - ganz gleichgültig, ob es sich um eine Marketing-Automation-Lösung, einen Mailer oder ein Analysedienst handelt.