Webseitenstatistik Google Analytics ohne Cookies, Einwilligung einsetzen

Alle Nutzer (+65 %) mit allen Seitenaufrufen (+90 %) sauber in der Webseitenstatistik.

Spätestens seit einigen EuGH-Äußerungen zu Cookies und strengen Ansichten der deutschen Datenschutzkonferenz (DSK) sind Tracking-Cookies demnach nur nach vorheriger aktiver Information und Zustimmung (= Einwilligung) erlaubt, was man mit einem so genannten umfangreichen Consent-Banner oder Cookie-Consent-Banner erreichen könnte.
Nervig. Dazu gibt es bis Zustimmung keine Statistikdaten.

Wenn wir uns obige Grafik anschauen, betrifft dieses Thema die beiden grau hinterlegten Bereiche.
In beiden Fällen wir die IP-Adresse des Webseitenbesuchers (= personenbezogenes Datum) an Google Analytics (unsicherer Drittstaat) übermittelt – durch die Webseite bzw. dem Webseitenverantwortlichen.
Die IP-Anonymisierungsfunktion greift technisch hier erst einen Schritt später.

Wer auf Nummer sicher gehen möchte, wird das vernünftig (mobil?!) mit einem Cookie-Consent-Banner nicht hinbekommen. Denn darin müssen alle Cookies für Laien verständlich erklärt, einzeln mit Laufzeit, konkreten Nutzungszwecken und Adressaten inkl. vollständiger Adresse usw. angeben sein und die Ablehnung muss eigentlich genauso einfach wie eine Zustimmung sein, wenn nicht einfacher (privacy by default).
Uff.

So oder so, zunehmend mehr Nutzer stimmen bei den für alle Besucher nervigen Consent-Bannern nicht zu.

Wer daher Google Analytics weiter nutzen möchte, möglichst alle Website-besucher in der Webseiten-Statistik haben möchte, muss „nur“ auf Cookies und personenbezogene Daten verzichten. Dann kann man Google Analytics datenschutzkonform ohne Einwilligung einsetzen.

Google Analytics bietet so viele Vorteile und eine Google Analytics Alternative müsste auch erst evaluiert, integriert werden.

Also eine naheliegende Lösung, Google Analytics weiter zu nutzen. Nur besser, datenschutzfreundlicher.

storage:none

Google Analytics (Universal Analytics mit analytics.js) bietet hier seit einiger Zeit die Option auf Cookies zu verzichten mit storage:none, vgl. https://developers.google.com/analytics/devguides/collection/analyticsjs/cookies-user-id#disabling_cookies).
Um dennoch Messwerte zu erhalten, muss man eine ClientId setzen.
Zum Beispiel eine eigene:

Eigene ClientId

Man kann auch selbst eine eigene ClientId vergeben.
Kein Cookie, kein local storage.

Wer „nur“ wissen will, welche und wie viel Seitenaufrufe derselbe Nutzer macht und damit Absprungrate, Aufenthaltsdauer und ggf. wiederkehrende Besucher zumindest einigermaßen statistisch erfassen möchte, muss den gleichen Besucher zumindest halbwegs zuordnen können.
Das bedeutet, man muss selbst eine sinnvolle, anonyme und dennoch zureichend konkrete ClientId setzen, um aussagekräftige Statistikdaten zu erreichen.

Dabei wird es spätestens seit der DSGVO schwierig, denn diese definiert personenbezogen extrem weit (und vage):

Nach Art. 4 Nr. 1 DSGVO sind auch Kennungen in Cookies personenbezogen, wenn daraus eine gewisse Personenbezogenheit zugeordnet werden kann. Dazu reicht eine physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Identität einer natürlichen Person (= Mensch).
Somit können auch an sich pseudonymisierte Cookies unter die DSGVO fallen, auch wenn keine IP-Adressen verarbeitet werden.

Da Google (Analytics) die großen Datenmengen zusammenführen und kombinieren könnte, wäre hier nach mancher Ansicht ein Personenbezug im Sinne der DSGVO unter Umständen erreichbar.
Also muss die genutzte ClientId dies verhindern oder zumindest extremst erschweren – wie mit Anonymisierung plus Verschlüsselung mittels gesalzenem, starkem Hash-Verfahren.

Um auch die Verfolgbarkeit über Webseiten hinweg zu unterbinden, muss dieser Wert sich bei gleichem Nutzer, aber anderer Domain ändern. Letztlich muss man sich hier die (An)Forderungen der Datenschützer anschauen und dann technisch testen, was wie funktioniert.

Die Lösung ist auf dem Papier recht einfach. Es darf vom Webseiten-Besucher keine Verbindung zu Google (Analytics) geben. Dann kann man personenbezogene Daten wie die IP-Adresse der Webseitenbesucher von Google fernhalten.

Man muss nun serverseitig die Statistikdaten sammeln und serverseitig an Google Analytics übermitteln. Natürlich alles ohne Cookies, am besten ohne Speicherung und vor allem ohne personenbezogene Daten der Webseitenbesucher.
Das klappt mit Google Universal Analytics (GA3/ UA) sowie Google Analytics 4 (GA4) - auch parallel.

Das geht technisch relativ einfach, bis alles technisch und datenschutzrechtlich passt und die Statistik in Google Analytics auch noch, ist nicht soo trivial.
Für alle, die keine Nerds und Datenschutzexperten sind, haben wir daher eine einfache Lösung gebaut: www.analytics-ohne-einwilligung.de

Google forciert mittlerweile die Thematik selbst, spielt Anzeigen weniger personlisiert aus und will über den firmeneigenen Browser Chrome demnächst 3rd-Party-Cookies standardmäßig blockieren („Privacy Sandbox“).

Dazu kommt in Deutschland bald das Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG), das alle (technisch nicht notwendigen) Cookies verbietet. Parallel dazu kommt auch wieder etwas Bewegung in die ePrivacy-Verordnung. Betonung auf „etwas“.

• https://netzpolitik.org/2021/ttdsg-telekommunikation-telemedien-datenschutzgesetz-das-datenschutz-recht-fuer-die-digitale-welt-bleibt-eine-grossbaustelle/
• http://www.onlinemarketingrecht.de/2017/09/ip-adressen-anonymisieren-wann-wie-und-warum/
• https://www.datenschutzbeauftragter-info.de/hashwerte-und-hashfunktionen-einfach-erklaert/
• https://datenwachschutz.de/google-analytics-datenschutzkonform-einsetzen.html#2-ip-adressen-anonymisieren
• https://piwikpro.de/blog/anonymes-tracking-analytics-ohne-personenbezogene-daten/