Was ist Google Analytics 4?
Google Analytics 4 ist ein Webanalyse. Auf einer Website wird der Dienst typischerweise eingesetzt, um Nutzung und Erfolg einer Website messen. Für die Einwilligungsverwaltung ist nicht nur der Produktname wichtig, sondern der konkrete technische Aufbau: Welche Dateien werden geladen, welche Server werden angesprochen, welche Informationen entstehen und zu welchem Zweck werden sie verarbeitet?
Welche Datenflüsse können entstehen?
Je nach Konfiguration können insbesondere Messereignisse, Geräte- und Verbindungsinformationen sowie je nach Konfiguration Kennungen verarbeitet oder übertragen werden. Der genaue Umfang ist nicht bei jeder Website identisch. Ein Dienst kann zum Beispiel direkt im Quelltext, über einen Tag-Manager, durch ein Plugin oder erst nach einer Benutzeraktion geladen werden.
Deshalb sollte die Beschreibung im Einwilligungsdialog den tatsächlichen Einsatz erklären. „Wir verwenden Google Analytics 4“ ist weniger hilfreich als eine konkrete Erklärung, wofür der Dienst auf dieser Website benötigt wird.
Praxisbeispiel
So prüfen Sie die Einbindung
- Öffnen Sie die betroffene Seite in einem privaten Browserfenster, damit keine alte Entscheidung gespeichert ist.
- Beobachten Sie vor einer Auswahl die Netzwerkverbindungen. Suchen Sie nach Domains und Dateinamen des Anbieters, nicht nur nach Cookies.
- Kontrollieren Sie Cookies, lokalen Speicher, Sitzungsspeicher und eingebettete Rahmeninhalte.
- Lehnen Sie optionale Zwecke ab und laden Sie die Seite erneut. Vergleichen Sie, ob der Dienst weiterhin inaktiv bleibt.
- Erteilen Sie nur die für Google Analytics 4 vorgesehene Freigabe. Jetzt darf nur der entsprechend freigegebene Dienst hinzukommen.
- Widerrufen Sie die Auswahl und prüfen Sie den Folgezustand erneut.
Wie PrivacyBox in diesem Zusammenhang eingesetzt werden kann
PrivacyBox kann den Einwilligungszustand früh auf der Seite bereitstellen und optionale Dienste an eine bestimmte Freigabe koppeln. Entscheidend ist, dass Google Analytics 4 nicht zusätzlich an einer zweiten, unkontrollierten Stelle eingebunden wird. Bei einer sauberen Integration existiert eine eindeutige technische Regel: ohne passende Freigabe kein Start des optionalen Dienstes; nach Freigabe kontrolliertes Nachladen.
Rechtliche Einordnung
Wenn der Dienst Informationen im Browser oder auf einem anderen Endgerät speichert oder ausliest, ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) zu berücksichtigen. Werden personenbezogene Daten verarbeitet, ist zusätzlich die DSGVO einschlägig. Art. 6 DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage. Wird Einwilligung verwendet, kommen insbesondere Art. 4 Nr. 11 und Art. 7 DSGVO hinzu.
Ob eine Einwilligung erforderlich ist, kann deshalb nicht allein aus dem Namen des Dienstes abgeleitet werden. Maßgeblich sind Zweck, technische Ausgestaltung, Datenarten, Empfänger und die konkrete Konfiguration.