Ab Juli stellt Google seinen Dienst Google Analytics dauerhaft auf die neue Version „Google Analytics 4“ um. Sollten Sie bisher noch keine eigenen Schritte zur Umstellung unternommen haben, so hat Google schon im März 2023 automatisch Google Analytics 4 für Sie eingerichtet (basierend auf Ihren bisherigen Einstellungen und Zielen für Universal Analytics).
Welche technische und rechtliche Veränderungen sind mit der Umstellung verbunden?
Google Analytics 4 bietet neue Datenschutzfunktionen:
- Mit Google Analytics 4 können Tracking-Verfahren eingerichtet werden, die ohne Cookies auskommen.
- Nutzerdaten können auf dem eigenen Server pseudonymisiert werden, bevor sie an Google übermittelt werden.
- Google zufolge werden alle Daten von Endgeräten in der EU auf Servern innerhalb der EU gespeichert und verarbeitet.
- Im Gegensatz zu Universal Analytics erfolgt die Kürzung der IP-Adressen der Nutzer auf EU-Servern von Google. Das bedeutet, dass ein entsprechend pseudonymer Datensatz in die USA übermittelt wird.
- Im Gegensatz zur bisherigen Standardlöschfrist bei Universal Analytics erlaubt GA4 keine längere Aufbewahrung als 14 Monate für Daten.
- Durch die Deaktivierung von Google Signals kann die Verknüpfung mit einem Google-Konto verhindert werden.
- Die Genauigkeit der gesammelten Geo- und Geräteinformationen kann angepasst werden.
Diese Maßnahmen dienen eindeutig der Verbesserung des Datenschutzes, führen aber nicht automatisch dazu, dass der Einsatz von Google Anlaytics 4 dadurch datenschutzrechtlich unproblematisch wird. Wir sind weiterhin der Meinung, dass für unsere meisten Mandaten Google Analytics nicht erforderlich ist.
Es bleibt die Problematik, dass geprüft und und verneint werden muss, dass nicht alternative Analyse-Tools aus der EU/EWR oder Staaten mit anerkanntem Datenschutzniveau als Alternative in Frage kommen. Die Pflicht hierzu wird aus der sog. Pflicht zum “Datenschutz durch Technikgestaltung” aus Art. 25 Abs. 1 DSGVO abgeleitet.
Es bleibt das Erfordernis, eine Risikoanalyse durchzuführen, deren Ergebnis von den Einstellungen, Art und Zeitpunkt dem Einsatzes von Google Analytics abhängen wird.
Auch mit aktivierter IP-Kürzung bleibt es regelmäßig beim Einsatz von Google Analytics bei der Einwilligungspflicht der DSGVO bzw. nach dem TTDSG.
Wichtige Aktionspunkte, die Sie jetzt haben
Was Sie auf jeden Fall prüfen sollten ist, ob Sie aufgrund der konkreten lokalen Realisierung bei sich, die Einwilligungstexe Ihres Cookie Banners anpassen müssen.
Vermutlich ist auch eine Anpassung Ihrer Datenschutzerklärung nach Art. 13 DSGVO auf Ihrer Internetseite erforderlich.
Ferner sollten Sie prüfen, ob eine Akualisierung der Angaben in Ihrem (internen) Verzeichnis der Verarbeitungstätigkeiten durch die Umstellung erforderlich wird.
Eine schönen Artikel zu dem Thema, mit einer To Do Liste finden Sie hier.
