Ist Google Analytics in der EU legal?

Die kurze Antwort ist, dass es weder automatisch rechtswidrig noch automatisch in Ordnung ist. Beides wird selbstsicher wiederholt, und keines von beidem übersteht den Kontakt mit den tatsächlichen Entscheidungen.

Dies ist eine Zusammenfassung für Menschen, die über ein Werkzeug entscheiden, keine Rechtsberatung.

Was die Datenschutzbehörden tatsächlich entschieden haben

Zwischen 2022 und 2023 haben Aufsichtsbehörden in Österreich, Frankreich, Italien, Dänemark, Finnland, Norwegen und Schweden jeweils bestimmte Google-Analytics-Einsätze für rechtswidrig befunden. Die Beschwerden kamen von noyb, der von Max Schrems gegründeten Datenschutzorganisation, und richteten sich gegen viele Websites zugleich.

Die Begründung drehte sich um internationale Datenübermittlungen, nicht um Analytics. Nachdem der Gerichtshof im Urteil Schrems II das EU-US Privacy Shield für ungültig erklärt hatte, brauchten Übermittlungen in die USA eine andere Rechtsgrundlage. Die Behörden befanden, dass die Standardvertragsklauseln, auf die Google sich stützte, für sich genommen nicht genügten, weil sie das US-Nachrichtendienstrecht nicht davon abhalten, an die Daten zu gelangen. Die zusätzlichen Maßnahmen, die Google ergänzt hatte (Verschlüsselung auf dem Transportweg, die Möglichkeit, eine IP-Adresse zu kürzen), änderten daran nichts, weil Google die Daten selbst weiterhin lesen konnte.

Zwei Einzelheiten aus diesen Entscheidungen gehen beim Nacherzählen verloren, und beide sind wichtig:

• Die IP-Kürzung hat es nicht gerettet. Die österreichische Behörde befand, dass die Verbindung einer Client-Kennung mit weiteren Daten den Besucher weiterhin identifizierte, das Entfernen eines Teils der IP-Adresse die Daten also nicht nicht-personenbezogen machte.
• Es waren Entscheidungen über einzelne Websites, mit bestimmten Konfigurationen, zu einem bestimmten Zeitpunkt. Sie waren kein pauschales Verbot des Produkts.

Was das Data Privacy Framework geändert hat

Im Juli 2023 hat die Europäische Kommission einen Angemessenheitsbeschluss für das EU-US Data Privacy Framework erlassen. Für ein US-Unternehmen, das sich unter dem DPF selbst zertifiziert (Google tut das), können Übermittlungen sich auf diesen Angemessenheitsbeschluss statt auf Standardvertragsklauseln stützen.

Das ändert die Lage, auf der die Entscheidungen von 2022/23 ruhten, tatsächlich. Jene Entscheidungen betrafen das Fehlen eines gültigen Übermittlungsmechanismus, und einen gibt es nun.

Der Vorbehalt ist, dass dies das dritte solche Rahmenwerk ist. Safe Harbour wurde 2015 gekippt, Privacy Shield 2020, und noyb kündigte am Tag des Erlasses an, das DPF anzugreifen. Ein Angriff ist keine Ungültigkeit, und es wäre falsch, Ihnen zu sagen, das Rahmenwerk stehe vor dem Fall. Es ist ebenso falsch, so zu planen, als sei die Frage dauerhaft geklärt, angesichts dessen, dass die beiden vorherigen Antworten jeweils etwa fünf Jahre hielten.

Was weiterhin zutreffen muss

Die Übermittlungsfrage ist die, die in die Schlagzeilen kam. Sie ist nicht die einzige, und bei den anderen sind die meisten GA4-Einsätze tatsächlich angreifbar.

Eine ordentlich eingeholte Einwilligung. Analytics ist nicht unbedingt erforderlich, in der EU braucht sie also eine Einwilligung, bevor irgendetwas auf der Endeinrichtung gespeichert oder von ihr gelesen wird, und GA4 speichert eine Kennung. In Deutschland ist das § 25 TDDDG, die nationale Umsetzung derselben Regel. Eine Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt sein. Ein Banner mit nur einer Schaltfläche „Akzeptieren" ist nichts davon. Und eines, das die Kennung setzt, bevor Sie klicken, erst recht nicht.

Ein richtig eingerichteter Consent Mode. Googles Consent Mode ändert das Verhalten von GA4, wenn eine Einwilligung verweigert wird, sendet aber standardmäßig weiterhin cookielose Pings und modelliert die Lücke. Ob Ihnen die modellierten Zahlen genügen, ist eine Messfrage; ob die Pings hinnehmbar sind, ist eine Rechtsfrage, und sie hängt von einer Konfiguration ab, die Sie prüfen statt annehmen müssen.

Ein Nachweis, den Sie vorlegen könnten. Nach Artikel 5 Absatz 2 DSGVO müssen Sie die Einhaltung nachweisen können. Das heißt: eine Datenschutz-Folgenabschätzung, wo eine verlangt ist, ein Verarbeitungsverzeichnis, eine Löschfrist, die Sie tatsächlich anwenden, und eine dokumentierte Einwilligung.

Alles, was Sie obendrauf gesetzt haben. Die meisten GA4-Probleme in der Praxis sind nicht GA4. Sie sind die User-ID, die sich als E-Mail-Hash entpuppte, die Seiten-URL mit einem Token oder einer Bestellnummer im Query-Parameter, oder die E-Commerce-Nutzlast mit einem Kundennamen darin.

Was das für eine Entscheidung bedeutet

Wenn Sie GA4 bereits betreiben und es ordentlich eingewilligt, ordentlich konfiguriert und dokumentiert ist, gibt Ihnen der Angemessenheitsbeschluss heute eine vertretbare Position. Es heute Nachmittag auf die Kraft einer Schlagzeile von 2022 hin herauszureißen, ist eine Überreaktion.

Wenn Sie jetzt auswählen, ist die ehrliche Rahmung eine des Risikos. Die Daten mit einem EU-Auftragsverarbeiter in der EU zu halten nimmt die Übermittlungsfrage ganz von Ihrer Risikoliste, statt sie zu beantworten. Das ist etwas wert, und wie viel, hängt von Ihrer Branche ab, von Ihrer Aufsichtsbehörde und davon, wie sehr Sie das am Ende des Jahrzehnts noch einmal ausfechten wollen.

Es gibt außerdem ein schlichtes betriebliches Argument, das mit Recht nichts zu tun hat: Wenn Ihre Analytics eine Einwilligung braucht, messen Sie nur die Besucher, die zugestimmt haben, und das ist keine Zufallsstichprobe Ihres Verkehrs.

Wo Skomi steht

Skomi speichert seine Daten in der EU und leitet die Identität eines Besuchers auf dem Server aus einem täglich gewechselten Salt ab, es wird also nichts auf die Endeinrichtung des Besuchers geschrieben oder von ihr gelesen. Es gibt keine Übermittlung zu bewerten und, in der Voreinstellung, keine Einwilligung einzuholen.

Es ist außerdem ein kleineres Produkt als GA4, und die Vergleichsseite führt auf, was Sie aufgeben, neben dem, was Sie gewinnen, einschließlich der Zeilen, die GA4 gewinnt, und die sind echt.

Quellen, die zu lesen sich lohnt

• Die Entscheidung der österreichischen DSB vom Dezember 2021, die erste der Reihe und die ausführlichste dazu, warum die IP-Kürzung nicht genügte.
• Die Google-Analytics-Entscheidungen der CNIL und ihre spätere Handreichung zur ausgenommenen Reichweitenmessung.
• Der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, Juli 2023.
• Die Empfehlungen 01/2020 des EDSA zu zusätzlichen Maßnahmen, die die Prüfung festlegen, die die Behörden angewandt haben.

Wer Ihnen sagt, das sei einfach, hat sie nicht gelesen.

Was Skomi stattdessen tut, ist von Haus aus cookielos: es wird nichts auf die Endeinrichtung des Besuchers geschrieben, es gibt also keine Übermittlung einer Kennung abzuwägen, und darauf ist das Analytics-Produkt gebaut statt auf einen Modus, in den man umschaltet. Das weitere Feld der Alternativen, mit unserer ehrlich darin eingeordnet, steht auf Google-Analytics-Alternativen.