Das neue EU-US Data Privacy Framework ist in Kraft getreten. Und nun?

von Olaf Brandt

Am 10. Juli 2023 hat die Europäische Kommission den neuen Datenschutzrahmen für die Übermittlung personenbezogener Daten in die USA angenommen. Damit Daten DSGVO-konform in die Vereinigten Staaten fließen dürfen, müssen die US Tool-Anbieter bestimmte Bedingungen erfüllen, um in diese neue Liste aufgenommen zu werden: https://www.dataprivacyframework.gov/s/

Sobald die Unternehmen dort gelistet sind, dürfen also Microsoft 365, Zoom, Google Analytics & Co. wieder gemäß Art. 44 DSGVO eingesetzt werden. Dies bedeutet jedoch nicht, dass damit automatisch auch alle anderen Anforderungen der DSGVO oder des TTDSG erfüllt sind. So gilt für Google Analytics nach wie vor das Votum der Aufsichtsbehörden, dass eine Datenerfassung immer erst nach vorheriger Einwilligung erfolgen darf (siehe https://www.datenschutzkonferenz-online.de/media/dskb/20200526_beschluss_hinweise_zum_einsatz_von_google_analytics.pdf).

Ganz wichtig: Die Einwilligungspflicht gilt auch bei Einsatz des serverseitigen Trackings mit Google Analytics. So hat am 30. Juni 2023 die schwedische Datenschutzbehörde (IMY) im Verfahren gegen Coop gefordert, dass alle Identifier und nicht nur die IP-Adresse anonymisiert werden müssten (IMY (Sweden) – DI-2020-11368 – GDPRhub). Dies ist praktisch unmöglich, ohne die Funktionsfähigkeit zunichtezumachen.

Insofern ändert der Datenschutzrahmen wenig an der aktuellen Marketing-Praxis und der Herausforderung Nummer eins in der Web-Analyse: die Gewährleistung verlässlicher Datenqualität. Denn Einwilligungspflicht plus Tracking Blocking und Tracking-Schutz (ITP) gefährden die Datenbasis und sorgen für Verzerrungen in den Analysen.

Im Durchschnitt gehen bei Einwilligungspflicht 65% der Daten verloren, wie die aktuelle Benchmark-Studie von etracker zeigt:

Der Durchschnitt dürfte sich noch weiter absenken, wenn die Zustimmungs- und Ablehn-Buttons – wie von den Aufsichtsbehörden gefordert – gleichwertig gestaltet werden:

Keine Sorge um massive Datenverluste mit etracker analytics

Mit etracker analytics muss man sich um Einwilligungsraten nicht so sehr sorgen, denn im Standard erfordert die Cookie-lose und auf dem überwiegenden berechtigten Interesse nach DSGVO begründete Datenerfassung keine vorherige Zustimmung der Nutzer. Auch die 10-20% Datenverlust durch Tracking Blocking lassen sich durch die Einrichtung einer eigenen Tracking Domain verhindern.

Pflicht und Kür meistern

Die DSGVO-Konformität ist in der Web-Analyse das rechtliche Pflichtprogramm. Die Kür besteht in der bestmöglichen und damit verlässlichen Datenqualität, welche nur durch Einwilligungs-Unabhängigkeit gewährleistet werden kann. Dies ist einzig mit nachgewiesener Datenschutz-freundlicher Verarbeitung als mildestes Mittel für den Zweck und ohne Nutzung zu eigenen Zwecken des Anbieters oder Zusammenführung mit Profil- und Kontodaten des Anbieters möglich. Mit Einwilligungs-freiem Tracking sind Unternehmen nachhaltig zukunftssicher aufgestellt. Und wer weiß, ob und wie lange der neue Datenschutzrahmen hält. Denn Max Schrems hat schon eine erneute Klage beim Europäischen Gerichtshof angekündigt.