Analyse Tools Daten: Drittanbieter rechtssicher offenlegen

Das Wichtigste in Kürze:

• Analyse Tools Daten müssen nach Zweck, Datenfluss, Anbieter und Rechtsbasis verständlich beschrieben werden.
• Die DSGVO unterscheidet zwischen Auftragsverarbeitung nach Art. 28 ff. und gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO.
• Prüfe jedes Tool einzeln und dokumentiere Vertrag, Einstellungen, Einwilligung und Zeitpunkt der Vereinbarung.

Ein Analyse-Tool sammelt nicht einfach nur Daten. Es verarbeitet Informationen in einem konkreten technischen und rechtlichen Zusammenhang. Genau dort entstehen die meisten Unklarheiten: Der Anbieter steht zwar in der Datenschutzerklärung, doch Zweck, Rolle und Rechtsgrundlage bleiben offen.

Analyse Tools Daten bezeichnet die Erhebung und Auswertung von Informationen durch digitale Werkzeuge, um Nutzung, Zusammenhänge oder Abläufe auf einer Website oder in einer Anwendung zu untersuchen.

Laut Datenanalyse – Wikipedia (o.J.) gehören statistische Datenanalysen zu vielen Bereichen des täglichen Lebens, etwa zur Umfrageforschung oder zur Untersuchung von Zusammenhängen. Für Unternehmen zählt deshalb nicht nur, welches Tool eingesetzt wird. Entscheidend ist, welche Daten fließen, wer darüber entscheidet und wie die Nutzung erklärt wird.

Dieser Beitrag zeigt dir, wie du Drittanbieter-Tools offenlegst, die Rechtsbasis einordnest und deine Hinweise so formulierst, dass sie verständlich bleiben.

Warum Analyse Tools Daten besondere Transparenz brauchen

Analyse Tools Daten sind nur dann sinnvoll dokumentiert, wenn Leser den gesamten Verarbeitungsvorgang nachvollziehen können. Ein bloßer Satz wie „Wir verwenden ein Analysetool zur Verbesserung unserer Website“ beantwortet dafür zu wenige Fragen. Wer verarbeitet die Daten? Welche Zwecke verfolgt das Unternehmen? Welche Rolle übernimmt der Anbieter? Welche Einstellungen beeinflussen den Datenfluss?

Der Name des Tools reicht nicht

Der Produktname ist ein Einstieg, aber keine vollständige Information. Eine gute Beschreibung nennt den Anbieter, die Funktion des Tools und den konkreten Einsatzbereich. Dabei solltest du zwischen Reichweitenmessung, Fehleranalyse, Conversion-Auswertung und personalisierten Werbezwecken unterscheiden. Diese Zwecke können technisch zusammenhängen, rechtlich aber unterschiedlich bewertet werden.

Auch die Datenarten gehören in die Prüfung. Gemeint sind beispielsweise technische Informationen, Nutzungsereignisse oder Angaben, die über Cookies und ähnliche Technologien entstehen. Welche Kategorie tatsächlich betroffen ist, hängt von deiner Konfiguration ab. Deshalb darfst du keine Standardbeschreibung ungeprüft übernehmen.

Zweck, Datenarten und Anbieter trennen

Arbeite für jedes Tool mit einer kurzen Dokumentation:

• Name und Anbieter des Werkzeugs
• Zweck der Verarbeitung
• betroffene Datenarten und Auslöser
• aktivierte Funktionen und Kontoeinstellungen
• Rolle des Anbieters
• vertragliche Grundlage oder sonstige Rechtsbasis
• Einwilligungs- und Nachweisprozess

Diese Liste ersetzt keine rechtliche Prüfung. Sie verhindert aber, dass wichtige Angaben zwischen Technik, Marketing und Datenschutz verloren gehen. Gute Texte beginnen hier mit sauberer Recherche.

Analyse Tools Daten: Rollen und Rechtsbasis sauber prüfen

Die wichtigste Entscheidung betrifft die Rolle des Drittanbieters. Die DSGVO sieht für ausgelagerte Datenverarbeitung die Auftragsverarbeitung nach Art. 28 ff. DSGVO vor. Eine andere Konstellation liegt vor, wenn mehrere Beteiligte gemeinsam über Zwecke und wesentliche Mittel der Verarbeitung entscheiden.

Auftragsverarbeitung nach Art. 28 DSGVO

Eine Auftragsverarbeitung liegt als rechtliche Struktur nahe, wenn ein Anbieter Daten für dein Unternehmen verarbeitet und dabei an deine Vorgaben gebunden ist. Die Auslagerung der Datenverarbeitung wird in der DSGVO über Art. 28 ff. ermöglicht. In den meisten Fällen erfolgt sie auf Grundlage eines Vertrags.

Für die praktische Dokumentation bedeutet das: Prüfe, ob für das konkrete Tool Datenverarbeitungsbedingungen oder ein vergleichbarer Vertrag verfügbar sind. Halte fest, wann die Vereinbarung zustande kam und welche Produktfunktionen davon erfasst werden. Ein allgemeiner Hinweis auf den Anbieter genügt dafür nicht.

Bei Google Analytics verweist Google auf eigene Datenverarbeitungsbedingungen. Laut Google Analytics-Hilfe zu den Datenverarbeitungsbedingungen (o.J.) müssen Google-Analytics-Standard- und GA-360-Kunden mit Unternehmen außerhalb des Europäischen Wirtschaftsraums, des Vereinigten Königreichs oder der Schweiz die Datenverarbeitungsbedingungen für Google Ads in den Kontoeinstellungen akzeptieren.

Das ist ein konkreter Prüfungspunkt. Die Kontoeinstellung gehört nicht nur in die Technikdokumentation, sondern sollte auch mit der rechtlichen Einordnung des Setups zusammenpassen.

Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO

Die DSGVO regelt gemeinsame Verantwortlichkeit in Art. 26. Diese Rolle kommt in Betracht, wenn mehrere Beteiligte gemeinsam über Zwecke und Mittel der Verarbeitung bestimmen. Die Bezeichnung „Drittanbieter“ beantwortet diese Frage nicht automatisch.

Prüfe deshalb, ob der Anbieter eigene Zwecke verfolgt oder wesentliche Mittel mitbestimmt. Bei den Zwecken ist die Einordnung laut den vorliegenden Fachhinweisen vergleichsweise leicht. Bei den Mitteln, etwa technischen und organisatorischen Maßnahmen, können sich Unterschiede zur Auftragsverarbeitung ergeben.

„Das TCF ist ein freiwilliger Standard, der für drei Kategorien von Stakeholdern vorgesehen ist.“ – [IAB Europe, TCF – Transparency & Consent Framework]

Das Transparency & Consent Framework kann dabei helfen, Einwilligungsinformationen technisch nachvollziehbar abzubilden. Es ersetzt jedoch nicht die individuelle Prüfung deines Tools und deiner Datenverarbeitung.

Zweck und Mittel getrennt bewerten

Nutze für die Rollenprüfung diese Fragen:

1. Wer legt fest, warum die Daten erhoben werden?
2. Wer entscheidet über die wesentlichen technischen Mittel?
3. Welche Funktionen hast du selbst aktiviert?
4. Welche Zwecke nennt der Anbieter in seinen Bedingungen?
5. Gibt es eine Vereinbarung nach Art. 28 oder Regelungen zur gemeinsamen Verantwortlichkeit nach Art. 26?

Dokumentiere die Antworten in einer Version, die auch dein Marketingteam versteht. So bleibt die Rechtsbasis nicht auf eine einzelne Person oder ein unübersichtliches Vertragsarchiv beschränkt.

Drittanbieter-Tools in der Datenschutzerklärung benennen

Eine gute Datenschutzerklärung erklärt nicht nur, dass ein Tool vorhanden ist. Sie beschreibt den Einsatz so, dass Nutzer den Zweck, den Anbieter und ihre Wahlmöglichkeiten erkennen. Der Text sollte dabei weder technische Details verstecken noch mit allgemeinen Formulierungen überladen werden.

Welche Angaben Leser wirklich brauchen

Für jeden Anbieter empfiehlt sich eine feste Reihenfolge. Beginne mit dem Zweck: Wird die Nutzung der Website gemessen, werden Fehler erkannt oder Marketingmaßnahmen ausgewertet? Danach folgen Anbieter und Toolname. Anschließend erklärst du, welche Datenkategorien betroffen sind und wann die Verarbeitung startet.

Danach gehört die Rechtsbasis in den Text. Wenn eine Einwilligung erforderlich ist, muss der Zusammenhang mit dem Consent-Management verständlich sein. Wenn eine vertragliche Grundlage relevant ist, benennst du sie präzise, ohne so zu schreiben, als sei jeder Einsatz automatisch gleich bewertet.

Vermeide pauschale Aussagen wie „Wir geben keine Daten weiter“, wenn ein Drittanbieter technisch eingebunden ist. Beschreibe stattdessen den tatsächlichen Datenfluss und die aktivierten Funktionen. Ehrlichkeit schafft mehr Vertrauen als eine scheinbar beruhigende, aber ungenaue Aussage.

Google Analytics als Praxisbeispiel

Google Analytics zeigt, warum Produktbedingungen und Kontoeinstellungen zusammen betrachtet werden müssen. Laut Google Analytics-Hilfe zum Datenschutz (o.J.) unterliegt die Datennutzung durch Google den Bedingungen der Verträge mit Google-Analytics-Kunden sowie den Einstellungen, die Kunden über die Benutzeroberfläche des Produkts vornehmen.

Diese Aussage führt zu einer praktischen Konsequenz: Eine Datenschutzerklärung sollte nicht losgelöst von der tatsächlichen Konfiguration entstehen. Wenn Funktionen aktiviert oder deaktiviert werden, kann sich auch der Beschreibungstext ändern. Prüfe daher regelmäßig, ob die veröffentlichte Information noch zum Konto passt.

Consent und technische Nachweise

Consent bedeutet Einwilligung. Im Alltag geht es dabei nicht nur um das Banner, sondern auch um den Nachweis, welche Auswahl getroffen wurde und wann sie wirksam wurde. Das IAB Tech Lab betreut technische Spezifikationen zum GDPR-Transparency-and-Consent-Framework, um die Interpretation und Umsetzung europäischer Datenschutzanforderungen zu unterstützen.

Der Standard bleibt freiwillig. Nutzt du ihn, solltest du trotzdem verstehen, welche Informationen dein System übermittelt. Ein Einwilligungsnachweis muss zur eingesetzten Technik passen. Prüfe deshalb Anbieter, Zwecke, Einwilligungssignale und aktivierte Tags gemeinsam.

Der Prüfprozess für Analyse Tools Daten

Ein strukturierter Prüfprozess reduziert Fehler. Du musst nicht mit dem Datenschutzhinweis beginnen. Starte beim tatsächlichen Datenfluss und arbeite dich anschließend zur Formulierung vor.

Schritt 1: Datenfluss erfassen

Liste alle Analyse- und Tracking-Werkzeuge auf. Dazu gehören auch Tools, die nur in bestimmten Bereichen oder Kampagnen aktiv sind. Prüfe, wann ein Tag ausgelöst wird, welche Informationen übertragen werden und ob Daten mit anderen Systemen verbunden werden.

Halte außerdem fest, wer das Tool administriert. Ein Anbieter kann zentrale Einstellungen vorgeben, während dein Unternehmen weitere Konfigurationen selbst steuert. Genau diese Kombination entscheidet häufig darüber, wie du Zwecke und Mittel beschreiben musst.

Schritt 2: Rollen und Vertrag prüfen

Ordne jedes Tool einer passenden Rollenlogik zu. Prüfe Auftragsverarbeitung nach Art. 28 ff. DSGVO und gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Verwende dabei nicht einfach die Bezeichnung aus einem Anbietertext, sondern gleiche sie mit dem tatsächlichen Einsatz ab.

Für die Dokumentation eignet sich eine kompakte Tabelle:

Prüfpunkt	Auftragsverarbeitung	Gemeinsame Verantwortlichkeit
Zweck	Vorgaben des Verantwortlichen stehen im Mittelpunkt	Beteiligte bestimmen Zwecke gemeinsam
Mittel	Anbieter verarbeitet nach dokumentierten Vorgaben	Beteiligte können wesentliche Mittel mitbestimmen
Rechtsrahmen	Art. 28 ff. DSGVO	Art. 26 DSGVO
Dokumentation	Vertrag oder Datenverarbeitungsbedingungen prüfen	Zuständigkeiten und Vereinbarung prüfen

Quelle der Rechtsrahmen: DSGVO, eingeordnet anhand der bereitgestellten Fachinformationen.

Schritt 3: Angaben veröffentlichen und aktualisieren

Übertrage die geprüften Informationen in eine klare, lesbare Struktur. Aktualisiere sie, wenn sich das Tool, die Kontoeinstellungen, die Zwecke oder die vertraglichen Bedingungen ändern. Bei Google Analytics nennt Google als maßgeblichen Zeitpunkt für das Inkrafttreten der Bedingungen das Datum, an dem der Kunde die Datenverarbeitungsbedingungen per Klick akzeptiert oder anderweitig vereinbart hat, laut Google Analytics-Hilfe zu den Bedingungen zwischen Verantwortlichen (o.J.).

Der Zeitpunkt sollte deshalb in deiner internen Dokumentation auffindbar sein. So kannst du später nachvollziehen, welche Grundlage bei der Veröffentlichung maßgeblich war.

So formulierst du verständlich und belastbar

Rechtlich brauchbare Texte müssen nicht schwer lesbar sein. Sie werden klarer, wenn du Fachbegriffe erklärst und jeden Anbieter nach derselben Logik beschreibst.

Eine klare Struktur für jeden Anbieter

Nutze pro Tool möglichst diese Reihenfolge:

• Anbieter und Produktname
• Zweck des Einsatzes
• Art der verarbeiteten Informationen
• Beginn und Auslöser der Verarbeitung
• Rollenverteilung zwischen deinem Unternehmen und dem Anbieter
• Rechtsbasis und relevante Vereinbarung
• Hinweise zu Einwilligung, Widerruf und Einstellungen

Formuliere konkret. „Zur Optimierung unseres Onlineangebots“ bleibt ohne weitere Erklärung zu allgemein. Besser ist eine Beschreibung, die erkennen lässt, welche Nutzung ausgewertet wird und wofür das Unternehmen die Ergebnisse verwendet.

Typische Fehler bei Analytics-Hinweisen

Der häufigste Fehler ist die Vermischung von Zweck und Rechtsbasis. Ein Zweck erklärt, warum du Daten verarbeitest. Eine Rechtsbasis erklärt, worauf diese Verarbeitung gestützt wird. Beides gehört zusammen, ist aber nicht dasselbe.

Ein weiterer Fehler liegt in veralteten Texten. Ein Tool wird technisch erweitert, doch die Datenschutzerklärung bleibt unverändert. Auch neue Anbieterbedingungen oder Kontoeinstellungen können eine Überarbeitung auslösen. Lege deshalb eine verantwortliche Person und einen festen Prüfpunkt fest.

Schließlich solltest du keine Aussagen übernehmen, die dein Setup nicht erfüllt. Anbietertexte sind eine Quelle, aber keine automatische Freigabe für jede Konfiguration. Deine Dokumentation muss zur tatsächlichen Website passen.

Fazit

Analyse Tools Daten sauber offenzulegen bedeutet mehr, als den Namen eines Dienstleisters zu nennen. Du musst Zweck, Datenfluss, Einstellungen, Rollen und Rechtsbasis miteinander verbinden. Art. 28 ff. DSGVO bildet den Rahmen für Auftragsverarbeitung; Art. 26 DSGVO betrifft gemeinsame Verantwortlichkeit. Welche Einordnung passt, hängt vom konkreten Zusammenspiel der Beteiligten ab.

Prüfe daher zuerst die Technik, dann Verträge und Rollen, anschließend den veröffentlichten Text. Halte Akzeptanzzeitpunkte und Änderungen nachvollziehbar fest. Wenn du deine Datenschutzerklärung überarbeitest, arbeite mit einer festen Struktur pro Anbieter und streiche pauschale Aussagen. So entstehen Hinweise, die Nutzer verstehen und Verantwortliche intern weiter pflegen können.

Wenn du Unterstützung bei verständlichen, präzisen Webtexten brauchst, findest du bei Schreibwertig Leistungen für Text, Marketing und SEO einen passenden Ausgangspunkt.

Häufig gestellte Fragen

Wann ist eine Auftragsverarbeitung nach Art. 28 DSGVO relevant?

Eine Auftragsverarbeitung ist relevant, wenn ein Anbieter personenbezogene Daten für dein Unternehmen verarbeitet und dabei nach deinen Vorgaben handelt. Die DSGVO ermöglicht diese Auslagerung über Art. 28 ff. Prüfe den konkreten Datenfluss, die Anbieterbedingungen und den Vertrag. Eine bloße Bezeichnung als „Analytics-Tool“ entscheidet die Einordnung nicht automatisch.

Wann liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor?

Gemeinsame Verantwortlichkeit liegt vor, wenn mehrere Beteiligte gemeinsam über Zwecke und wesentliche Mittel der Verarbeitung bestimmen. Art. 26 DSGVO regelt diese Konstellation. Prüfe deshalb getrennt, wer den Zweck festlegt und wer technische oder organisatorische Mittel bestimmt. Anschließend dokumentierst du die Zuständigkeiten und die passende Vereinbarung.

Welche Angaben sollten bei Google Analytics geprüft werden?

Prüfe bei Google Analytics den konkreten Zweck, die aktivierten Funktionen, die Kontoeinstellungen, die Datenverarbeitungsbedingungen und den Zeitpunkt ihrer Akzeptanz oder Vereinbarung. Google beschreibt die Datennutzung als abhängig von Kundenverträgen und Einstellungen in der Produktoberfläche. Laut Google Analytics-Hilfe zum Datenschutz (o.J.) sollte der veröffentlichte Hinweis daher immer zur tatsächlichen Konfiguration passen.