Google Analytics: Was ist nach der Entscheidung der CNIL zu tun?

Kann man Google Analytics weiterhin nutzen? Das ist die Frage, die sich heute viele Website-Betreiber nach der Entscheidung der CNIL vom 10. Februar 2022 stellen. Denn die französische Datenschutzbehörde (Commission nationale de l’informatique et des libertés) hat entschieden, dass Google Analytics in der Standardkonfiguration nicht den Anforderungen der Datenschutz-Grundverordnung (DSGVO) entspricht.

Die Folge: Sehr viele Website-Betreiber suchen heute nach einer Alternative zum Google-Tool.

Wie sie haben auch Sie vielleicht Google Analytics installiert, um Daten über Ihren Traffic zu erhalten, und fragen sich sicher, wie Sie die Vorgaben der DSGVO einhalten können.

Hier sind einige Ansätze und Lösungen, die wir Ihnen anbieten können, um die Traffic-Daten Ihrer Inhalte zu verfolgen.

Die Entscheidung der CNIL zu Google Analytics verstehen

Ein Rückblick auf die Fakten. Am 10. Februar 2022 forderte die CNIL einen Website-Betreiber formell auf, die DSGVO einzuhalten. Grund dafür war die Nutzung von Google Analytics und insbesondere die Übermittlung von Daten in die USA.

„Die CNIL stellt fest, dass die Daten der Internetnutzer so unter Verstoß gegen die Artikel 44 ff. der DSGVO in die USA übermittelt werden. Sie fordert daher den Website-Betreiber formell auf, diese Verarbeitungen mit der DSGVO in Einklang zu bringen, falls nötig durch den Verzicht auf die Funktion Google Analytics (unter den aktuellen Bedingungen) oder durch die Nutzung eines Tools, das keine Übermittlung außerhalb der EU nach sich zieht. Der betroffene Website-Betreiber hat eine Frist von einem Monat, um die Konformität herzustellen…“

Denn selbst mit der Einwilligung der Internetnutzer über die Analytics-Cookies ist die CNIL der Auffassung, dass das Tool die Daten nicht vollständig anonymisieren kann.

Im Hinblick auf die DSGVO stellt dies ein Problem dar, denn:

Google wäre in der Lage, die Identität der Besucher zu ermitteln, indem es diese Daten mit anderen ihm vorliegenden Informationen abgleicht.
Die CNIL ist der Ansicht, dass Google nicht genügend Garantien für die Sicherung der Daten bietet, sobald diese in die USA übermittelt wurden.

Der Ursprung dieser Entscheidung der CNIL liegt in einer Aktion der österreichischen NGO NOYB unter der Leitung des Aktivisten Max Schrems. 2020 hatte diese Beschwerde gegen 101 europäische Unternehmen eingereicht, die ihrer Ansicht nach die DSGVO und das „Schrems II“-Urteil nicht einhielten.

Die österreichische Datenschutzbehörde entschied so im Januar, dass Google Analytics tatsächlich gegen die europäische Verordnung verstößt, dicht gefolgt von der CNIL. Entscheidungen, denen sich weitere europäische Aufsichtsbehörden anschließen könnten.

Folglich haben die von diesen Entscheidungen betroffenen Websites einen Monat Zeit, um die Konformität herzustellen und Google Analytics aufzugeben. Bislang wurde jedoch keine finanzielle Sanktion gegen die betroffenen Websites verhängt.

Auch Google reagierte in einer Mitteilung und teilte mit, dass das Unternehmen neue Tools bereitstellen werde.

Datenerhebung und DSGVO – wie funktioniert das?

Die im Mai 2018 in Kraft getretene Datenschutz-Grundverordnung (DSGVO) hat zum Ziel, die personenbezogenen und sensiblen Daten der Internetnutzer zu schützen.

Bei Google Analytics beispielsweise müssen die Websites ihre Besucher um Einwilligung in die Erhebung ihrer Daten bitten. Es gibt somit zwei Hauptfälle.

➔ Der Internetnutzer gibt keine Einwilligung in das Setzen von Analytics-Cookies.

Die Analytics- und Werbelösungen von Google funktionieren weiterhin, jedoch eingeschränkter und ohne Cookies zu setzen.

➔ Der Internetnutzer gibt seine Einwilligung

Dies führt zum Setzen eines Google-Analytics-Cookies, mit dem sich Folgendes erreichen lässt:

die Reichweite der Website messen,
Werbekampagnen personalisieren (z. B. Google Ads).

Die von Google zur Reichweitenmessung erhobenen Daten sind folgende:

die IP-Adresse: eine eindeutige, für das verbundene Gerät spezifische Adresse.
die Client-ID (Kennung, mit der sich ein individueller Navigationsverlauf auf Ihrer Website verfolgen lässt, UA-XXXXX-X).

Zu beachten ist, dass einige Lösungen zur Informationserhebung keine Einwilligung der Nutzer erfordern, wenn die erhobenen Daten vollständig anonymisiert sind.

Was ist ein Cookie? 🍪

Ein Cookie ist eine kleine Textdatei, die vom Internetbrowser eines Nutzers gespeichert wird, wenn er eine Website besucht.

Es gibt zwei Arten von Cookies:

Erstanbieter- oder interne Cookies. Sie werden vom Server der besuchten Website gehostet und ermöglichen es unter anderem, das Nutzererlebnis zu verbessern, indem sie eine Reihe von Informationen über den Besucher speichern: Sprachpräferenz, Login-Kennung, aufgerufene Seiten, Inhalt eines Warenkorbs usw.

Sie können auch zu Werbezwecken genutzt werden.

Drittanbieter-Cookies. Sie werden von einer anderen Domain als der besuchten Website gehostet. Sie ermöglichen es Drittanwendungen, zu sehen, welche Seiten aufgerufen wurden, und eine Reihe von Daten über den Nutzer zu erheben. Sie werden häufig für das Targeting von Werbung genutzt. Google hat übrigens das Ende dieser Art von Cookies für 2023 angekündigt.

Google Analytics und DSGVO: Wie reagieren?

Angesichts dieser Situation stehen Ihnen mehrere Lösungen offen, um die DSGVO-Konformität von Google Analytics zu optimieren.

Lösung 1: Abwarten…

Viele Unternehmen warten nämlich darauf, dass Google die DSGVO auf europäischer Ebene einhält, aber auch darauf, dass sich die USA und Europa auf eine Lockerung des Gesetzes einigen. Dies könnte beispielsweise über das Hosting der Google-Analytics-Daten in Europa durch ein europäisches Unternehmen erfolgen.

Lösung 2: Google Analytics anpassen

Wenn Sie mit Google Analytics vertraut sind, können Sie Google Analytics auch so konfigurieren, dass es die Anforderungen der DSGVO besser erfüllt.

Es gibt noch keine bestätigte Lösung, um die Konformität von Google Analytics mit den Anforderungen der DSGVO zu gewährleisten.

Nach unseren Recherchen gibt es jedoch mehrere Ansätze und Hypothesen, um Google Analytics den Anforderungen der DSGVO besser anzupassen.

Dazu können folgende Maßnahmen gehören:

die Anonymisierung der IP-Adressen vor der Speicherung,
die Verkürzung der Lebensdauer der Google-Analytics-Cookies,
der Abschluss einer Vereinbarung zum Datenschutz (Data Protection Agreement) mit Google,
die Absicherung der Google-Analytics-Cookies durch die Einwilligung der Besucher,
die Erhebung der Daten durch die GA-Cookies reduzieren,
usw.

Diese Empfehlungen sind derzeit nicht ganz einfach umzusetzen und erfordern viel Aufwand. Deshalb wäre es womöglich sinnvoller, sich einer ergänzenden Lösung zuzuwenden.

Lösung 3: Auf alternative Lösungen setzen

Kein Grund zur Panik: Es gibt auch zahlreiche Alternativen als Ergänzung zu Google Analytics.

Die CNIL stellt beispielsweise eine Liste DSGVO-konformer Lösungen bereit. Hier sind einige davon:


Namen	Wichtigste Merkmale
Analytics Suite Delta, entwickelt von AT Internet	Von der CNIL empfohlen. Preise auf Anfrage, abhängig vom Volumen der Webseiten. Es wurde ein Semji-Konnektor entwickelt, um alle Daten Ihrer Website abrufen zu können.
Abla Analytics	Kostenlos unter 5.000 Seitenaufrufen pro Monat ( die Preisübersicht ansehen). Diese Lösung ist Teil der offiziellen Liste der CNIL.
Matomo Self-Hosting	Kostenlos als Open Source. Das Tool ist als Self-Hosting-Variante verfügbar, mit der Sie Eigentümer Ihrer Daten bleiben. Diese Lösung ist Teil der offiziellen Liste der CNIL.
Etracker Analytics	Kostenlos unter 25.000 Seitenaufrufen pro Monat.
Fathom	Kanadisches Unternehmen, das die DSGVO einhält und die Speicherung und Verarbeitung der europäischen Daten in Deutschland vornimmt.
Plausible	Keine Cookies. Hosting in Europa.

Die Position von Semji

Wir unsererseits haben uns entschieden, abzuwarten, ob die Verhandlungen zwischen Google und der CNIL zu einer Einigung führen.

Welche Alternative Sie auch wählen: Wir können die Kontinuität Ihrer Tracking-Daten sicherstellen. Wir verfügen heute über einen Konnektor mit AT Internet. Es ist jedoch problemlos möglich, Anbindungen für andere Analytics-Lösungen zu entwickeln.

Zögern Sie nicht, uns zu kontaktieren, um sich über die von Ihnen gewählte Analytics-Lösung auszutauschen. In der Zwischenzeit können Sie Semji kostenlos testen, um den ROI Ihrer Inhalte zu maximieren!