Düsseldorf Tourismus: Wie das Unternehmen seine Google Analytics-Daten DSGVO-konform um 40% steigert

Die Düsseldorf Tourismus GmbH wird von einem öffentlichen Träger geführt. Die Einhaltung der deutschen Datenschutzgesetze wie die Datenschutzgrundverordnung (DSGVO) und das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) haben daher hohe Priorität, die Verwendung von Google Analytics, eine Webanalysesoftware eines amerikanischen Anbieters, stand aufgrund der Übermittlung von personenbezogenen Daten in die USA intern in Kritik. Das ist besonders ärgerlich, da es sich bei den meisten von Düsseldorf Tourismus ausgewerteten Metriken (Seitenaufrufe, Beliebte Produkte, Ein- und Ausstiegsseiten) gar nicht um personenbezogene Daten handelt. Durch die Funktionsweise von Clientseitigem Tracking werden selbst beim Tracking eines einzelnen Seitenaufrufes eine Vielzahl von Metadaten, teilweise mit Personenbezug (IP-Adresse) direkt an den Webanalyseanbieter (in diesem Fall Google) übermittelt.
Durch diese Metadaten bedarf clientseitiges Tracking immer einer Einwilligung. Durch nicht erteilte Zustimmungen und zusätzlichen Browser-Tracking-Preventions (z.B. im Safari-Browser) oder Adblockern ging ein großer Teil der zur Verfügung stehenden Daten verloren.

Die Herausforderung bestand darin, datenschutzkonformes Tracking zu implementieren, um das Kundenerlebnis zu personalisieren und gleichzeitig als öffentlicher Träger den hohen Datenschutzanforderungen gerecht zu werden. Düsseldorf Tourismus wollte sicherstellen, dass alle Kundendaten geschützt sind und dennoch effektives Tracking ermöglichen, um maßgeschneiderte Empfehlungen und Angebote zu generieren. Anhand des vorherigen Cookie-Banners entfielen dem Unternehmen viele Einwilligungen und damit essenzielle Kundendaten für Analysezwecke. Aus diesem Grund suchte das Unternehmen eine Consulting Firma mit Spezialisierung im Bereich Consent Management und serverseitigem Tracking.

Es gilt also, verschiedene Probleme zu lösen: Keine Verarbeitung von Basisdaten durch den Verzicht auf personenbezogene Daten möglich, verringerte Datenbasis durch fehlende Einwilligung und Browser-Tracking Preventions und fehlende Kontrolle über die Daten, die an Google übermittelt werden.
‍
Zur Lösung dieser Probleme wird nun ein Server-Tag-Manager eingesetzt. Dieser First-Party-Server nimmt die Daten vom Browser entgegen und übermittelt je nach Zustimmungsstatus verschiedene Informationen an Google. Wenn ein Websitebesucher keine Zustimmung erteilt hat, werden keine personenbezogenen Daten mehr erfasst & keine Cookies eingesetzt - der Server-Tag-Manager übermittelt lediglich die Basisdaten (siehe unten für ein Beispiel) ohne Metainformationen an Google. Nutzer, welche der Verarbeitung ihrer personenbezogenen Daten über das Consent-Management-Tool zugestimmt haben, werden weiter vollumfänglich getrackt - jedoch verhindert der First-Party Server-Tag-Manager, dass Browser-Tracking-Preventions oder Adblocker greifen können.

Bei der Suche nach einem Experten für Consent Management und serverseitiges Tracking stieß Düsseldorf Tourismus auf dwc. Die Entscheidung fiel auf dwc wegen der fundierten Expertise und langjährigen Erfahrung im Bereich Consent Management und serverseitigem Tracking. Die Schnittstellenkompetenz zwischen Datenschutz, Digital Analytics & Cloud Management überzeugte letztendlich.

Das First-Party-Konstrukt besteht aus einem Google Server-Tag-Manager in der Cloud so wie dem Content-Delivery-Netzwerk Cloudflare. Innerhalb des Konstruktes werden - je nach Zustimmung - personenbezogene Daten entfernt, Daten angereichert und an Google Analytics weiterversandt.

Die Infrastruktur sorgt für eine effiziente Nutzung der Cloudressourcen und damit ein kostengünstiges Gesamtmodell. Durch Caching und eine Firewall wird die Last auf dem Ursprungsserver gering gehalten, wodurch in der Cloud weniger Traffic- und Rechenleistung in Rechnung gestellt werden. Die App Engine ist Cloud Produkt, welches sich insbesondere durch eine schnelle, automatische Skalierung bei gestiegenem Traffic und kurzen Latenzen auszeichnet.

Während Nutzer mit erteilter Zustimmung vollumfänglich getrackt werden, ist die Datenerfassung bei Nutzern ohne Zustimmung auf sogenannte "Basisdaten" beschränkt. Diese Basisdaten bestehen lediglich aus nicht personenbeziehbaren Werten wie zum Beispiel:

Diese Informationen werden gemeinsam mit einer generierten Nutzer-ID an Google übermittelt. Die Nutzer-ID wird - im Gegensatz zu dem Tracking mit Einwilligung - nicht im Browser in Form eines Cookies gespeichert, sondern anhand von verschiedenen Merkmalen des Besuchers serverseitig errechnet, mit einem Datumsstempel und einem Salt (Sicherheitsschlüssel) ergänzt und mittels SHA256 verschlüsselt. Weder Google noch Düsseldorf Tourismus hat die Möglichkeit, die Ursprungswerte aus dieser ID auszulesen.