Die DSGVO ist der weltweite Maßstab für Datenschutzregeln. Sie ist ein EU-Gesetz, betrifft aber jedes Unternehmen mit Besuchern aus der EU. Für Analytics ist die DSGVO eindeutig: Du brauchst eine ausdrückliche Einwilligung, bevor du das meiste Nutzerverhalten trackst. Du musst deine Rechtsgrundlage dokumentieren. Und du musst die Rechte der Nutzer achten, auf ihre Daten zuzugreifen und sie zu löschen. Wer die DSGVO versteht, hat die Grundlage für konformes Analytics weltweit.
Die zentralen Anforderungen der DSGVO an Analytics
Die DSGVO definiert personenbezogene Daten weit: alles, was eine Person direkt oder indirekt identifizieren kann. Eine IP-Adresse ist ein personenbezogenes Datum. Ein eindeutiges Cookie ist ein personenbezogenes Datum. E-Mail-Adressen, Telefonnummern und Kennungen fallen alle unter die DSGVO. Für Analytics heißt das: Fast jedes Tracking löst Anforderungen der DSGVO aus.
Die Pflicht zur Einwilligung
Die DSGVO verlangt eine ausdrückliche, informierte Einwilligung, bevor du die meisten personenbezogenen Daten erfassen darfst. Das bedeutet: Der Nutzer muss aktiv zustimmen (nicht nur nicht widersprechen). Er muss verstehen, wozu er zustimmt (nicht in Juristensprache versteckt). Und die Einwilligung muss freiwillig sein (nicht erzwungen). Für Analytics heißt das meist: ein Cookie-Banner, das klar erklärt, welches Tracking du betreibst, und einen aktiven Klick auf „Ich stimme zu“ einholt.
Die Einwilligung ist die häufigste Rechtsgrundlage für Analytics unter der DSGVO. Manche Unternehmen berufen sich stattdessen auf ein „berechtigtes Interesse“, doch Gerichte haben das deutlich eingeengt. Geh in den meisten Fällen von Analytics davon aus, dass du eine Einwilligung brauchst.
Berechtigtes Interesse als Alternative
Manche Analytics-Zwecke, etwa Betrugserkennung, Website-Sicherheit und einfache Performance-Überwachung, können unter „berechtigtes Interesse“ ohne ausdrückliche Einwilligung erlaubt sein. Aber ein berechtigtes Interesse setzt voraus: Der geschäftliche Bedarf muss echt sein, die Datenerfassung muss dazu verhältnismäßig sein, und die Datenschutzrechte der Nutzer dürfen dein Interesse nicht überwiegen. Das meiste Analytics besteht diesen Test nicht. Geh davon aus, dass du für das meiste Tracking eine Einwilligung brauchst.
Der Auftragsverarbeitungsvertrag
Nutzt du ein Analytics-Tool eines Drittanbieters (zum Beispiel Google Analytics), brauchst du mit diesem Anbieter einen Auftragsverarbeitungsvertrag (AVV, englisch: Data Processing Agreement, DPA). Der AVV legt fest, dass der Anbieter dein Auftragsverarbeiter ist und kein eigenständig Verantwortlicher. Ohne AVV kannst du für die Praktiken des Anbieters haften. Mit AVV ist die Verantwortung klar geregelt.
Nutzerrechte nach der DSGVO
Die DSGVO gibt Einzelpersonen sechs Hauptrechte, die Analytics betreffen: das Recht zu wissen, welche Daten du hast (Auskunftsrecht), das Recht auf Berichtigung falscher Daten, das Recht auf Löschung (Recht auf Vergessenwerden), das Recht auf Einschränkung der Verarbeitung, das Recht auf Datenübertragbarkeit und das Recht auf Widerspruch gegen die Verarbeitung.
Auskunftsrecht
Nutzer können alle Daten anfordern, die du über sie hast. Du musst innerhalb von 30 Tagen mit einer vollständigen Aufstellung antworten. Für Analytics heißt das: Du brauchst Systeme, die Daten einzelner Nutzer abrufen und ausgeben. Sind deine Analytics-Daten so gespeichert, dass sie schwer abzurufen sind, hast du ein DSGVO-Problem.
Recht auf Vergessenwerden
Nutzer können die Löschung ihrer Daten verlangen. Du musst das innerhalb von 30 Tagen umsetzen (mit einigen Ausnahmen für rechtliche Pflichten). Für Analytics heißt das: Du musst einzelne Nutzerdatensätze löschen können. Sind deine Analytics-Daten zusammengefasst oder anonymisiert, ist das leichter. Sind sie an einzelne Identitäten gebunden, brauchst du Löschsysteme.
Widerspruchsrecht
Nutzer können der Verarbeitung ihrer Daten widersprechen. Du musst sie beenden (außer du hast einen zwingenden rechtlichen Grund, weiterzumachen). Für Analytics heißt das: Nutzer brauchen eine einfache Möglichkeit, dem Tracking zu widersprechen. Der Widerspruch muss genauso leicht möglich sein wie die Einwilligung.
DSGVO-Compliance in der Praxis
Für DSGVO-konformes Analytics brauchst du: eine klare, leicht auffindbare Datenschutzerklärung, ein Cookie-Banner, das vor dem Tracking eine ausdrückliche Einwilligung einholt, einen Auftragsverarbeitungsvertrag mit deinem Analytics-Anbieter, Systeme, die Auskunfts- und Löschanfragen innerhalb von 30 Tagen beantworten, und die Möglichkeit für Nutzer, ihre Einwilligung jederzeit zu widerrufen.
Häufige DSGVO-Verstöße bei Analytics
Vorab angekreuzte Einwilligungsfelder: Der Nutzer muss aktiv klicken, um einzuwilligen. Ein Feld, das schon angekreuzt ist, ist keine gültige Einwilligung.
Gebündelte Einwilligung: Nutzer müssen der Analytics-Nutzung gesondert zustimmen. Du darfst die Einwilligung für Analytics, Marketing und andere Zwecke nicht in einem einzigen Schalter bündeln.
Keine Verträge mit Anbietern: Ein Analytics-Tool eines Drittanbieters ohne AVV zu nutzen, ist ein Verstoß. Die Praktiken des Anbieters sind deine Verantwortung.
Kein Widerspruch möglich: Ist für das Tracking eine Einwilligung nötig, brauchen Nutzer einen klaren Weg zum Widerspruch. Versteckte Links zum Widerspruch zählen nicht.
Unmögliche Löschung: Zu versprechen, Daten zu löschen, aber keine Systeme dafür zu haben, ist ein Verstoß. Die Löschung muss technisch möglich sein.
DSGVO und Datenübermittlung
Die DSGVO beschränkt die Übermittlung von Daten von EU-Bürgern aus der EU, außer es gelten gleichwertige Schutzmaßnahmen. Speichert dein Analytics-Anbieter Daten in den USA, brauchst du einen rechtlichen Mechanismus (Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften), damit die Übermittlung DSGVO-konform ist. Das ist für Analytics-Teams ein häufiger Schmerzpunkt. Viele US-Tools bieten heute EU-Server oder Garantien zum Speicherort der Daten an, um das zu lösen.
Wie unterscheidet sich die DSGVO-Einwilligung vom berechtigten Interesse? Warum sollte ich mich bei Analytics nicht auf das berechtigte Interesse stützen?
Eine Einwilligung ist ein ausdrückliches Opt-in. Beim berechtigten Interesse behauptest du, dass dein geschäftlicher Bedarf Datenschutzbedenken überwiegt. Gerichte haben das berechtigte Interesse eingeengt, weil Unternehmen es missbraucht haben. Für Analytics gilt: Das Zählen von Seitenaufrufen zur Performance kann als berechtigtes Interesse durchgehen. Detailliertes Verhaltenstracking wahrscheinlich nicht. Die EU-Aufsichtsbehörden sagen: Geht es um Marketing oder Verhaltensanalyse, hole eine Einwilligung ein. Geh nicht davon aus, dass das berechtigte Interesse funktioniert. Der sichere Weg: Behandle Analytics so, als brauchte es eine Einwilligung.
Was bedeutet eine klare Erklärung im Cookie-Banner genau?
Klar heißt: gut lesbar, in einfacher Sprache, nicht in Juristensprache. Konkret heißt: Du sagst, was du trackst, und nutzt keine vagen Floskeln wie „Wir verbessern dein Erlebnis“. Ein vages Beispiel: „Wir nutzen Analytics-Cookies.“ Ein klares Beispiel: „Wir messen mit Google Analytics, wie oft Seiten besucht und Schaltflächen angeklickt werden und wie lange Besucher auf einer Seite bleiben, um die Website zu verbessern.“ Nenne: das Tool, was es erfasst, warum du es erfasst, die Speicherdauer und ob du die Daten an Dritte weitergibst. Test: Kann ein Laie verstehen, was du trackst, ohne auf die Datenschutzerklärung zu klicken? Wenn ja, ist es klar genug.
Brauche ich einen AVV auch mit Google Analytics oder nur mit spezialisierten?
Du brauchst einen AVV mit jedem Tool, das personenbezogene Daten verarbeitet. Google Analytics verarbeitet personenbezogene Daten (IP-Adressen, Sitzungen, Nutzerkennungen), also ja. Google stellt automatisch einen AVV in seinen Nutzungsbedingungen bereit. Prüfe das: Melde dich in Google Analytics an und bestätige, dass du die Vereinbarung zur Datenverarbeitung akzeptiert hast. Auch spezialisierte Anbieter verarbeiten personenbezogene Daten, also brauchst du mit ihnen AVVs. Die meisten stellen AVVs in ihren Bedingungen oder als eigene Dokumente bereit. Die Regel: Berührt ein Anbieter personenbezogene Daten, brauchst du einen AVV. Bekommst du keinen, nutze den Anbieter nicht.
Was ist der Unterschied zwischen Standardvertragsklauseln und Angemessenheitsbeschlüssen?
Beides sind Mechanismen, um EU-Daten rechtmäßig aus der EU zu übermitteln. Ein Angemessenheitsbeschluss bedeutet, dass die EU festgestellt hat, dass ein Land einen gleichwertigen Datenschutz bietet (die USA haben keinen). Standardvertragsklauseln (SCCs) sind Verträge mit Anbietern, die sie auf EU-Standards verpflichten. Der praktische Unterschied: Angemessenheitsbeschlüsse sind einfacher, SCCs brauchen Verträge. Für Analytics bieten die meisten Anbieter SCCs in ihren AVVs an, auch große. Frag deinen Anbieter: Bietet er Standardvertragsklauseln für die Übermittlung von EU-Daten an? Wenn ja, nutze sie. Wenn nein, nutze nur Anbieter mit Datenspeicherung in der EU.
Was genau muss ich aus Analytics liefern, wenn ich eine Auskunftsanfrage bekomme?
Alles, was du über die Person hast, in lesbarer Form. Aus Google Analytics: alle Sitzungen und Ereignisse (wenn du Nutzerkennungen trackst) oder Sitzungskennungen. Dazu gehören: Datum, besuchte Seiten, ausgelöste Ereignisse, Verweildauer und alle persönlichen Angaben (Namen, E-Mail-Adressen). Aus anderen Systemen: Heatmaps, Sitzungsaufzeichnungen, Verhaltenstracking. Exportiere als PDF oder HTML, nicht als rohe Datenbank-Dumps. Der Nutzer sollte es ohne technisches Wissen verstehen. Kannst du Daten einzelner Nutzer nicht leicht abrufen, hast du ein DSGVO-Problem. Die meisten Plattformen erlauben einen Export pro Nutzer. Wenn deine das nicht tut, wechsle die Plattform oder baue einen eigenen Export.
Mein Wettbewerber hat kein Cookie-Banner und trackt Nutzer. Wie ist er DSGVO-konform?
Entweder (1) ist er gar nicht DSGVO-konform und hofft, dass die Behörden ihn nicht erwischen (riskant). Oder (2) er beruft sich auf ein berechtigtes Interesse (Gerichte sind skeptisch). Oder (3) er trackt nur anonymisierte oder zusammengefasste Daten (keine Einwilligung nötig). Oder (4) er nutzt nur notwendige Cookies (Login, CSRF, keine Einwilligung nötig). Oder (5) er ist dort tätig, wo die DSGVO schwach durchgesetzt wird. In der Praxis: Viele verstoßen gegen die DSGVO und werden nie erwischt. Aber das Risiko ist real: Eine Beschwerde löst eine Untersuchung und Bußgelder aus. Der kluge Weg: Geh davon aus, dass die DSGVO gilt, wenn du Besucher aus der EU hast, setze die Einwilligung richtig um und verlass dich nicht darauf, dass andere sich nicht an die Regeln halten.