Kurz vorweg: Wenn Google Analytics auf deiner Seite läuft, gehört es namentlich in deine Datenschutzerklärung, zusammen mit dem Zweck und dem Hinweis, dass Daten in die USA gehen. Steht es nicht drin, hast du eine Lücke in der Informationspflicht.
Ich habe im Rahmen einer eigenen Erhebung 357 Schweizer KMU-Websites gescannt, 206 davon liessen sich zuordnen und auswerten. Google Analytics war der mit Abstand verbreitetste Dienst: 37% aller Seiten setzen ihn ein. Er ist damit auch der häufigste Grund für eine unvollständige Datenschutzerklärung.
Was Google Analytics tatsächlich verarbeitet
Analytics sammelt, wie Leute deine Seite nutzen: welche Seiten sie aufrufen, wie lange sie bleiben, woher sie kommen, mit welchem Gerät. Dazu gehört auch die IP-Adresse, und eine IP-Adresse ist nach Schweizer Recht ein Personendatum, weil sie eine Person bestimmbar macht.
Das ist der Punkt, an dem viele denken, es sei ja alles anonym. Ist es nicht. Aggregierte Auswertungen siehst *du*, die Rohdaten liegen bei Google.
Was das revDSG verlangt
Das revidierte Schweizer Datenschutzgesetz stellt die Informationspflicht ins Zentrum: Du musst nachvollziehbar sagen, welche Personendaten du bearbeitest, zu welchem Zweck und wer sie sonst noch zu sehen bekommt. Geht ein Dienst ins Ausland, kommt die Auslandbekanntgabe dazu, du musst also auch das Zielland nennen.
Seit dem 15. September 2024 anerkennt die Schweiz die USA über das Swiss-U.S. Data Privacy Framework wieder als Land mit angemessenem Datenschutzniveau, allerdings nur für US-Unternehmen, die sich unter diesem Rahmen zertifiziert haben. Für zertifizierte Dienste braucht es keine zusätzlichen Garantien mehr, für nicht zertifizierte weiterhin schon. Die Pflicht, transparent zu informieren, bleibt in beiden Fällen bestehen. Genau die wird am häufigsten übersehen.
Was konkret in deine Erklärung gehört
- Der Name des Dienstes. „Analysetools“ reicht nicht, es muss Google Analytics dastehen.
- Der Anbieter. Google Ireland Limited beziehungsweise Google LLC.
- Der Zweck. Reichweitenmessung und Verbesserung des Angebots.
- Die Datenkategorien. Nutzungsdaten, Geräteinformationen, IP-Adresse.
- Die Auslandbekanntgabe. Dass Daten in die USA übermittelt werden können, und auf welcher Grundlage.
- Die Aufbewahrung. Wie lange die Daten bei Google gespeichert bleiben.
Der typische Fehler bei Schweizer Seiten
Von den Seiten mit vorhandener Datenschutzerklärung zeigten 34% mindestens ein Merkmal einer deutschen Vorlage: deutsche Rechtschreibung, DSGVO-Aufbau oder ein Verweis auf ein längst abgelöstes Abkommen. Solche Vorlagen nennen zwar oft Google Analytics, behandeln aber die Schweizer Auslandbekanntgabe nicht und berufen sich auf Artikel, die für dich gar nicht gelten.
Eine Erklärung, die auf die DSGVO gebaut ist, übererfüllt an der einen Stelle und untererfüllt an der anderen. Für eine Schweizer Firma ist das der falsche Rahmen.
Brauche ich ein Cookie-Banner dafür?
Das Schweizer Recht kennt keinen Einwilligungszwang für Cookies in der Form, wie ihn die DSGVO vorsieht. Informieren musst du trotzdem. Sobald du aber gezielt Kundschaft in der EU ansprichst, kann die DSGVO zusätzlich greifen, und dann sieht es anders aus. Wenn du unsicher bist, ist ein Banner die vorsichtigere Variante.