2026-08-06

Datenschutz-Audit: das Analytics-Risiko dauerhaft schließen

Der Fragebogen landet an einem Dienstag in deinem Postfach.

Zwölf Tabellenblätter. Eines heißt Auftragsverarbeiter. Irgendwo darin steht eine Zeile für Webanalyse und eine Spalte mit der Frage, welche personenbezogenen Daten das Unternehmen verlassen.

Du weißt, dass die ehrliche Antwort kompliziert ist. Du weißt auch, dass das Aufschreiben dieser komplizierten Antwort dich eine Woche kostet, in der du Leuten hinterherläufst, die dir nicht unterstellt sind.

Ich habe gesehen, wie Compliance-Verantwortliche dieses Problem zweimal lösen. Beim ersten Mal dokumentieren sie sich hindurch. Beim zweiten Mal merken sie, dass eine der Zeilen einfach aufhören kann zu existieren.

In diesem Artikel geht es um den zweiten Weg. Er beginnt bei dem, was der Prüfer tatsächlich fragt, denn einen Prozess kann man nicht abkürzen, den man nie aufgeschrieben gesehen hat.

Eine Anmerkung vorab: Das ist keine Rechtsberatung, und was für dich gilt, entscheidet deine eigene Rechtsabteilung. Es ist eine Landkarte der Fragen.

Die sechs Fragen zur Statistik

Sie sind immer dieselben, ungefähr in dieser Reihenfolge.

1. Welche personenbezogenen Daten verarbeitet das Werkzeug? IP-Adressen und Gerätekennungen zählen dazu. Ebenso alles, was du in eine benutzerdefinierte Dimension schreibst, und genau dort stecken meistens die Überraschungen.

2. Was ist deine Rechtsgrundlage? Für nicht notwendige Statistik ist das in der EU normalerweise die Einwilligung, und Einwilligung muss einen Standard erfüllen und nicht nur als Häkchen existieren.

3. Wohin gehen die Daten? Welches Unternehmen, welches Land, welche Server.

4. Wer hat sonst noch Zugriff? Unterauftragsverarbeiter, Support-Personal, die eigene Statistik des Anbieters über deine Statistik.

5. Wie lange speicherst du? Eine Aufbewahrungsfrist, die du benennen kannst und die das Werkzeug tatsächlich durchsetzt.

6. Kannst du das alles belegen? Diese Frage macht aus einem Zweistundengespräch ein Zweiwochenprojekt.

Beachte, dass die ersten fünf Fragen an das Werkzeug gehen und die sechste an dich.

Welche Unterlagen jede Antwort auslöst

Jedes Ja erzeugt ein Dokument, das du erstellen, aktuell halten und verteidigen musst.

• Ein Eintrag im Verarbeitungsverzeichnis. Artikel 30 DSGVO verlangt ein Verzeichnis von Verarbeitungstätigkeiten. Statistik ist eine Zeile mit Zweck, Datenkategorien, Empfängern und Löschfristen.
• Ein Auftragsverarbeitungsvertrag. Artikel 28 verlangt einen mit jedem Auftragsverarbeiter, der für dich personenbezogene Daten verarbeitet.
• Eine Transferfolgenabschätzung, wenn Daten den EWR verlassen. Der aktuelle Angemessenheitsrahmen vereinfacht das für zertifizierte US-Empfänger, aber die Bewertung bleibt ein Dokument mit einem Verantwortlichen.
• Einwilligungsnachweise. Du musst belegen können, dass eingewilligt wurde. Das heißt speichern und auf Anfrage für einen konkreten Besucher vorlegen können.
• Eine Datenschutz-Folgenabschätzung, wenn die Verarbeitung hohes Risiko birgt. Umfangreiches Verhaltensprofiling kann dich über diese Schwelle bringen.
• Eine Zeile in der Datenschutzerklärung, die zu allem oben passt und weiter passt, wenn jemand ein Tag ändert.

Das sind sechs lebende Dokumente für ein Werkzeug. Keines davon macht dein Marketing besser. Alle brauchen einen Verantwortlichen.

„Sicherstellen, dass personenbezogene Daten in jedem IT-System und jeder Geschäftspraxis automatisch geschützt sind, sodass die Privatsphäre einer Person auch dann intakt bleibt, wenn sie nichts tut."

Ann Cavoukian, Privacy by Design: The 7 Foundational Principles, über Datenschutz als Voreinstellung

Cavoukian schrieb das 2009. Die DSGVO hat den Gedanken später in Artikel 25 kodifiziert, Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

Der Punkt, den man mitnehmen sollte, ist struktureller Art. Schutz, der davon abhängt, dass jemand eine Einstellung richtig setzt, ist schwächer als Schutz, der besteht, weil es nichts zu schützen gibt.

Noch dabei? Gut, denn hier trennen sich die beiden Wege.

Warum Dokumentieren der teure Weg ist

Dokumentation ist keine einmalige Ausgabe. Sie ist ein Abonnement.

Das Werkzeug bringt eine Funktion, und dein Eintrag ist veraltet. Jemand fügt für eine Kampagne ein Tag hinzu und vergisst, es zu entfernen. Ein Unterauftragsverarbeiter wechselt, und niemand sagt es der Person, die das Verzeichnis führt.

Dazu kommt der Teil, den niemand einplant. Jedes dieser Dokumente muss beim nächsten Audit wiedergefunden werden, beim nächsten größeren Kunden, und jedes Mal, wenn ein Kunde dir seinen eigenen Lieferantenfragebogen schickt.

In einem Unternehmen mit dreißig Leuten ist das meistens der Teilzeitjob einer Person, den niemand so benannt hat.

Die Abkürzung: die Kategorie streichen

Hier ist die Fassung, die einen Nachmittag statt ein Quartal dauert.

Verarbeitet deine Statistik keine personenbezogenen Daten und speichert nichts auf dem Gerät des Besuchers, fallen die meisten der sechs Fragen in sich zusammen.

• Frage eins hat eine kurze Antwort. Keine personenbezogenen Daten.
• Frage zwei entfällt. Es gibt keine Verarbeitung personenbezogener Daten, für die eine Grundlage zu finden wäre, und keine Speicherung auf dem Gerät, für die nach § 25 TDDDG eine Einwilligung nötig wäre.
• Frage drei ist eine Zeile, wenn die Server in der EU stehen.
• Frage fünf wiegt weniger, wenn die gespeicherten Daten keiner Person zuzuordnen sind.
• Frage sechs wird deutlich leichter, weil es keine Einwilligungsnachweise vorzulegen gibt.

Du hast die Unterlagen nicht verbessert. Du hast die Zeilen entfernt, die sie erzeugt haben.

Das ist der Unterschied zwischen einer Maßnahme und einer Beseitigung, und Prüfer behandeln beides sehr unterschiedlich. Eine Maßnahme muss getestet werden. Eine Beseitigung wird einmal überprüft.

Was trotzdem zu tun bleibt

Ich würde dich in die Irre führen, wenn ich sagte, es bleibt null Papierkram.

Den Eintrag im Verarbeitungsverzeichnis behältst du, auch wenn darin steht, dass die Daten nicht personenbezogen sind, denn die Bewertung selbst gehört festgehalten.

Einen Vertrag mit dem Anbieter brauchst du weiterhin. Du beschreibst das Werkzeug weiterhin in deiner Datenschutzerklärung, und diese Beschreibung muss weiterhin zur Wirklichkeit passen.

Und du hast weiterhin jedes andere System im Fragebogen. Statistik ist eine Zeile von zwölf Tabellenblättern. Sie ordentlich zu schließen heißt nur, dass du die Woche für die Zeilen nutzen kannst, die wirklich Urteilsvermögen brauchen.

Wie du es in zehn Minuten überprüfst

Glaub keinem Anbieter aufs Wort, auch mir nicht. Prüf es so, wie ein Auditor es täte.

Öffne deine Website im privaten Fenster und sieh dir Cookies und Local Storage in den Entwicklertools an. Leer ist leer.

Beobachte die Anfrage, die die Statistik sendet. Sieh nach, was darin steht. Kannst du nicht erkennen, was gesendet wird, ist das deine Antwort.

Frag, wo die Server stehen, und lass dir das Land schriftlich geben.

Frag, was der Anbieter mit der IP-Adresse des Besuchers macht. Sie zu speichern und sie flüchtig zu verwenden, um ein Land abzuleiten, sind zwei verschiedene Dinge, und der Unterschied zählt.

Diese vier Prüfungen erzeugen Belege, die du zur Akte legen kannst. Das ist mehr wert als jede Compliance-Seite auf einer Anbieter-Website.

Hier kommt StatJolt ins Spiel

StatJolt ist so gebaut, dass die Statistik-Zeile für einen Prüfer uninteressant wird.

Es setzt keine Cookies und schreibt nichts auf das Gerät des Besuchers. Damit gibt es keine Einwilligung einzuholen und keine Nachweise vorzulegen.

Es sammelt keine personenbezogenen Daten und baut keine Besucherprofile. Damit stellt sich die Frage nach der Rechtsgrundlage für personenbezogene Daten nicht.

Die Server stehen in der EU, in Deutschland und Finnland. Die Transferfrage entsteht nicht, unabhängig davon, was mit dem aktuellen Angemessenheitsrahmen passiert.

Für deinen Fragebogen wird damit aus einer Zeile voller Einschränkungen eine Zeile mit einer kurzen Antwort, plus Belege, die du in zehn Minuten selbst prüfen kannst.

Wenn du nur einen Absatz liest

Ein Prüfer stellt zur Statistik sechs Fragen, und jedes Ja erzeugt ein Dokument, das du danach dauerhaft pflegen musst. Sich hindurchzudokumentieren ist eine laufende Ausgabe, die im Unternehmen niemand richtig verantwortet. Die personenbezogenen Daten und die Speicherung auf dem Gerät zu entfernen lässt die meisten Fragen zusammenfallen, statt sie zu verwalten, und das ist der Unterschied zwischen einer Maßnahme, die geprüft werden muss, und einer Beseitigung, die einmal bestätigt wird.

Zurück