Ist Google Analytics illegal?

Google Analytics war schon seit längerem ein Dorn im Auge der meisten europäischen Datenschutzbehörden. Google hat aufgrund der Bedenken das bisherige Google Analytics eingestellt, und mit Google Analytics 4 ein völlig neues Tool auf besserer Basis zur Verfügung gestellt. Nach der Busse in Schweden und der Feststellung der norwegischen Datenschutzbehörden, dass Google Analytics 4 die Probleme nicht löse, stellt sich die Frage, ob ein Tool welches von der Mehrheit der Europäischen Unternehmen genutzt wird, verboten werden kann.

Immer mehr Urteile zu Google Analytics

Hier eine Übersicht über die verschiedenen Entscheidungen der europäischen Datenschutzbehörden:

Österreich: Im Januar 2022 entschied die österreichische Datenschutzbehörde, dass die Verwendung von Google Analytics gegen die DSGVO verstösst, da sie der Überwachung durch US-Geheimdienste unterliegt und dazu verpflichtet werden kann, Daten europäischer Bürger an diese weiterzugeben. Man kann diese Aussage allerdings nicht verallgemeinern. Beim Fall über den entschieden wurde hat es im betreffenden Zeitraum, auf den sich das Urteil bezieht, keinen Zustimmungsmechanismus für Cookies gegeben – eine Sache, die heute mittlerweile Standard bei vielen Webseiten ist. Hier mehr Details zum Fall.

Frankreich: Die französische Datenschutzbehörde CNIL ist der gleichen Meinung wie die österreichische Datenschutzbehörde. Der EU-US-Datentransfer zu Google Analytics sei illegal. CNIL hat die französischen Websites aufgefordert, die DSGVO einzuhalten. Hier mehr Details zum Fall.

Italien: Die italienische Datenschutzbehörde Garante stimmte den österreichischen und französischen Datenschutzbehörden zu: Die Behörde “möchte die Aufmerksamkeit aller italienischen Website-Betreiber, sowohl öffentliche als auch private, auf die Rechtswidrigkeit der Datenübertragungen in die USA lenken, die aus der Verwendung von Google Analytics resultieren.” Hier mehr Details zum Fall.

Dänemark: Die dänische Datenschutzbehörde Datatilsynet hat Google Analytics ebenfalls als illegal eingestuft und empfiehlt: “Wenn es nicht möglich ist, wirksame ergänzende Massnahmen zu ergreifen, müssen Sie die Verwendung des Tools einstellen und bei Bedarf ein anderes Tool finden, das Webanalysen ermöglicht und die Einhaltung des Datenschutzrechts erlaubt, beispielsweise durch die Nichtweitergabe von personenbezogenen Daten über Besucher an ‘unsichere’ Drittländer.” Details finden Sie hier.

Finnland: Der stellvertretende finnische Datenschutzbeauftragte hat ebenfalls entschieden, dass die Verwendung von Google Analytics und Google Tag Manager gegen die Datenschutzbestimmungen verstösst. Details finden Sie hier.

Norwegen: 6. März 2023: Die norwegische Datenschutzbehörde Datatilsynet hat ebenfalls entschieden, dass Google Analytics gegen die Datenschutzbestimmungen verstösst. Sie empfehlen nun norwegischen Websites, “Alternativen zu Google Analytics zu prüfen”. Und sie fügten auch hinzu, dass “soweit wir sehen können, wird Google Analytics 4 die von uns gerade identifizierten Probleme nicht notwendigerweise beheben.” Details finden Sie hier.

Schweden: 3. Juli 2023: Die schwedische Datenschutzbehörde (IMY) hat die erste grosse Geldstrafe (12 Millionen Kronen, fast 1 Mio. CHF) für die Verwendung von Google Analytics verhängt und erklärt, dass “Unternehmen die Nutzung von Google Analytics einstellen müssen”. Details finden Sie hier.

Ist Google Analytics nun illegal?

Es ist klar, dass die Art und Weise wie Google Analytics früher eingesetzt wurde, heute in Europa illegal ist. Das bedeutet aber nicht, dass das generell so ist. Dass die meisten europäischen Unternehmen nach wie vor Google Analytics einsetzen ist zwar kein Beweis aber zumindest ein Hinweis darauf. Falls Sie Kunden in der EU gewinnen wollen, empfehlen wir, Google Analytics und diese speziellen Urteile mit Ihrem Anwalt zu besprechen. Ein Datenschutzspezialist kann Ihnen bei der Entscheidung helfen, ob Google Analytics es Ihnen weiterhin ermöglicht, die auf Sie anwendbaren gesetzlichen Anforderungen zu erfüllen.

Klar scheint, dass das alte Universal Analytics rechtliche Probleme bereitete. Wir empfehlen darum auch, den Code auf Ihrer Website welche Daten an Universal Analytics sendet zu entfernen. Das alte Google Analytics verarbeitet sowieso keine Daten mehr und wer auf Google Analytics 4 setzt, sendet diesem andere Daten als das was bisher der Fall war. Solange der alte Code noch auf der Website ist, gelangen aber immer noch Daten zu Google, welche allenfalls Probleme bereiten können.

Warum ist Google Analytics in einigen Ländern der EU illegal? Neben den Fällen wo kein Consent-Tool eingesetzt wurde, liegt dies vor allem an einem Problem mit IP-Adressen. IP-Adressen gelten als personenbezogene Daten, und das Hashen der letzten 3 Oktette gilt nicht als starke genug Anonymisierung, da es eine 1:255 Chance gibt, die Identität wiederherzustellen. Daher verlangen immer mehr Datenschutzbehörden, dass die IP-Adresse Europa nicht verlässt.

Dies ist ein Problem, da die IP-Adresse immer vom Browser zum Server gesendet wird. Viele Server von Google befinden sich in den USA, was gemäss den erwähnten Urteilen die DSGVO verletzt. Es gibt jedoch einen Weg, dies zu umgehen. Sie können das gtag.js und die zugehörigen Pixel über den serverseitigen Google Tag Manager von einem EU-Server laden. Dann löschen Sie die IPs, bevor sie zur Verarbeitung an Google Analytics gesendet werden, um Google Analytics 4 in der EU legal einsetzen zu können.

Aufgrund der Unsicherheiten haben wir immer mehr Kunden, welche die Hoheit über die eigenen Daten in der Schweiz haben wollen und deswegen auf Tools wie Matomo setzen. Während die Rechtslage in der Schweiz noch unklar ist, gehen aktuell die meisten europäischen Unternehmen davon aus, dass bei entsprechend korrekter Konfiguration Google Analytics rechtskonform eingesetzt werden kann. Voraussetzungen sind

Den alten Google Analytics Code entfernen
Ein Consent-Tool einsetzen (als Schweizer Unternehmen unbedingt darauf hinweisen, dass Daten ins Ausland gelangen, hier geht das Schweizer Datenschutzgesetz weiter als die DSGVO)
Richtige Konfiguration von Google Analytics

Haben Sie Fragen?

Wir bieten keine Rechtsberatung und empfehlen, einen dafür spezialisierten Anwalt zu konsultieren. Da wir viele weltweit tätige Unternehmen als Kunden haben, beschäftigen wir uns seit der Einführung der DSGVO in Europa mit Fragen zum Datenschutz beim Einsatz von Google Analytics und können zum Beispiel aufzeigen, wo Daten an Drittstaaten gelangen.

Kontaktieren Sie

Beat Z'graggen

Experte für online Performancemarketing der ersten Stunde

Als Experte für internationales Online-Marketing und Geschäftsführer der Worldsites mit Partnerbüros in weltweit 87 Ländern, bringt er viel Erfahrung bei der Kundengewinnung in internationalen Märkten mit.

Jetzt anrufen