Google Analytics dürfen Sie nur mit vorheriger Einwilligung der Besucher einsetzen. Ohne Einwilligung ist Webanalyse nur in engen Grenzen möglich: mit der Auswertung von Server-Logfiles, die nicht auf das Endgerät zugreift, oder mit einer schlanken, selbst betriebenen Messung, die eng auf einen vom Nutzer gewünschten Zweck begrenzt ist. "Cookielos" bedeutet dabei nicht automatisch "ohne Einwilligung".
Google Analytics: zwei Prüfstufen
Stufe 1: § 25 TDDDG
Google Analytics setzt Cookies oder nutzt vergleichbare Kennungen, um Besucher wiederzuerkennen. Das ist ein Speichern und Auslesen von Informationen auf dem Endgerät (§ 25 Abs. 1 TDDDG). Für das Anzeigen der Website ist es nicht unbedingt erforderlich, die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG greift deshalb nicht. Die Einwilligung muss vorliegen, bevor das Skript lädt.
Stufe 2: DSGVO
Google Analytics verarbeitet personenbezogene Daten, etwa Online-Kennungen, Geräteinformationen und das Nutzungsverhalten. IP-Adressen können personenbezogen sein (EG 30 DSGVO, EuGH C-582/14). Da Sie ohnehin eine Einwilligung nach dem TDDDG einholen, stützen Sie auch die weitere Verarbeitung darauf (Art. 6 Abs. 1 lit. a DSGVO). Sie muss informiert, freiwillig und jederzeit widerrufbar sein (Art. 4 Nr. 11, Art. 7 DSGVO).
Vertrag, Übermittlung und Transparenz
- Vertrag mit Google: Google bietet für Analytics Bedingungen zur Auftragsverarbeitung an, die Sie in den Kontoeinstellungen akzeptieren. Deaktivieren Sie Datenfreigaben, die Sie nicht brauchen.
- Übermittlung in die USA: Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Übermittlungen können auf den Angemessenheitsbeschluss vom 10.07.2023 gestützt werden. Ein Rechtsmittel gegen den Beschluss ist beim EuGH anhängig.
- Datenschutzerklärung: Nennen Sie Anbieter, Zweck, Rechtsgrundlage, Speicherdauer, Empfänger und die Übermittlung in die USA.
- Datensparsam einstellen: kurze Aufbewahrung der Ereignisdaten, keine Verknüpfung mit Google-Signals oder Werbediensten ohne gesonderte Einwilligung, keine personenbezogenen Daten in URLs oder Ereignissen.
Webanalyse ohne Einwilligung: Was § 25 Abs. 2 TDDDG erlaubt
§ 25 Abs. 1 TDDDG ist technikneutral. Er erfasst nicht nur Cookies, sondern auch Local Storage, Zählpixel und das Auslesen von Browsermerkmalen. Die Aufsichtsbehörden werten es ausdrücklich als Zugriff auf das Endgerät, wenn ein Skript, etwa JavaScript, Eigenschaften des Geräts ausliest und an einen Server schickt (DSK, OH Digitale Dienste, Version 1.2, Rn. 24). Der Europäische Datenschutzausschuss sieht das genauso und ordnet auch Tracking-Pixel und Tracking-Links als Zugriff ein (EDSA, Leitlinien 2/2023 zu Art. 5 Abs. 3 ePrivacy-Richtlinie).
Ohne Einwilligung bleibt dann nur die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG: Der Zugriff muss unbedingt erforderlich sein, damit Sie einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen können. Ob "Reichweitenmessung" darunter fällt, beantwortet die DSK bewusst nicht pauschal (Rn. 87 bis 90). Entscheidend sind die genaue Konfiguration und der Zweck. Die fehlerfreie Auslieferung der Website kann vom Nutzerwunsch umfasst sein. Die Messung, ob sich Werbeanzeigen lohnen, dient dagegen in der Regel nur Ihren eigenen Interessen.
Für die Prüfung nennt die DSK vier Kriterien (Rn. 95):
- Zeitpunkt: Der Zugriff beginnt erst, wenn die Funktion tatsächlich genutzt wird.
- Inhalt: Gespeichert und ausgelesen wird nur, was für diese Funktion unbedingt nötig ist.
- Dauer: Informationen bleiben nur so lange auf dem Gerät wie nötig. Session-Cookies sind eher erforderlich als langlebige Cookies.
- Auslesbarkeit: Nur Sie als Betreiber können die Informationen nutzen, kein Drittanbieter für eigene Zwecke.
Server-Logfiles
Bei jedem Seitenaufruf sendet der Browser ohnehin Daten an Ihren Server, etwa IP-Adresse, aufgerufene Seite und Browserkennung. Werten Sie nur diese Logfiles aus, greifen Sie nach verbreiteter Auffassung nicht zusätzlich auf das Endgerät zu. Die DSK nennt die Zählung von Seitenabrufen auf Basis von Logfiles ohne personenbezogene Daten als Beispiel einer reinen Reichweitenmessung (Rn. 88). Für die DSGVO brauchen Sie trotzdem eine Rechtsgrundlage, in der Regel das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO), dazu kurze Speicherfristen und gekürzte IP-Adressen.
Cookielose Tools
Tools wie Matomo ohne Cookies oder andere "cookiefreie" Dienste arbeiten meist mit einem Skript im Browser. Dieses Skript liest Merkmale wie Bildschirmgröße oder Sprache aus und sendet sie an den Server. Das ist ein Zugriff im Sinne des § 25 TDDDG. Ohne Einwilligung ist das nur vertretbar, wenn die Messung eng begrenzt ist, nach den vier Kriterien geprüft und dokumentiert wurde und weder ein Fingerprint gebildet noch ein Dritter die Daten für eigene Zwecke nutzt. Verarbeitet der Anbieter Daten auch für eigene Zwecke, scheidet nach Auffassung der DSK schon für die Übermittlung der IP-Adresse das berechtigte Interesse regelmäßig aus (Rn. 111).
| Verfahren | Zugriff auf das Endgerät? | Einwilligung nach § 25 TDDDG | Grundlage nach DSGVO |
|---|---|---|---|
| Google Analytics, Hotjar, Matomo mit Cookies | ja | erforderlich | Einwilligung |
| Cookieloses Skript, selbst gehostet, ohne Fingerprinting | ja, das Skript liest Browserdaten aus | nur ausnahmsweise entbehrlich, Einzelfall prüfen und dokumentieren | berechtigtes Interesse mit Abwägung, gekürzte IP |
| Zählpixel oder Tracking-Link | ja | in der Regel erforderlich | je nach Zweck |
| Auswertung der Server-Logfiles | nein, nach verbreiteter Auffassung | nicht erforderlich | berechtigtes Interesse, kurze Speicherdauer |
Was die Gerichte sagen
Die bekannten Grundsatzurteile betreffen Cookies. Der EuGH hat entschieden, dass ein vorausgefülltes Ankreuzkästchen keine wirksame Einwilligung ist und dass die Regel für das Endgerät unabhängig davon gilt, ob personenbezogene Daten betroffen sind (Urteil vom 01.10.2019, C-673/17, Planet49). Der BGH hat daraus abgeleitet, dass Cookies zur Erstellung von Nutzerprofilen für Werbung oder Marktforschung eine aktive Einwilligung brauchen (Urteil vom 28.05.2020, I ZR 7/16).
Beispiel
Ein Handwerksbetrieb will wissen, wie viele Besucher die Seite "Leistungen" aufrufen. Dafür reicht die Logfile-Auswertung beim Hoster. Ein Online-Shop, der Kampagnen und Conversions messen will, braucht dagegen eine Einwilligung, gleich ob er Google Analytics oder ein anderes Tool einsetzt.
Consent Mode
Der Consent Mode von Google passt das Verhalten der Tags an die Einwilligung an. Prüfen Sie genau, welche Signale ohne Einwilligung an Google gehen. Werden auch ohne Einwilligung Daten vom Endgerät an Google gesendet, kann das gegen § 25 TDDDG verstoßen.
Checkliste
- Zweck der Messung festlegen: Fehlerfreie Auslieferung oder Marketing?
- Google Analytics und andere Tools mit Kennungen erst nach Einwilligung laden, im Browser testen.
- Bei cookieloser Messung die vier Kriterien der DSK prüfen und das Ergebnis dokumentieren.
- Wo möglich, auf Logfile-Auswertung ausweichen.
- Bedingungen zur Auftragsverarbeitung abschließen, Datenfreigaben und Aufbewahrung prüfen.
- Cookie-Banner und Datenschutzerklärung abstimmen.
Ob Ihre Analyse, Ihr Banner und Ihre Datenschutzerklärung zusammenpassen, zeigt ein Datenschutz-Audit.