Marketing-Analytics und DSGVO, warum der Serverstandort zählt
Nicht der Anbieter haftet, sondern du. Was ein US-Werkzeug an Dokumentationspflichten mitbringt, warum aggregierte Modelle das Thema entschärfen und welche fünf Fragen du jedem Anbieter stellen solltest.
Datenschutz gilt in vielen Marketing-Teams als lästige Formalie, die man am Ende noch schnell abhakt. Bei Analytics-Werkzeugen ist das ein teurer Irrtum, denn dort entscheidet die Wahl des Anbieters darüber, wie viel Papierarbeit und wie viel Risiko bei dir liegen bleiben. Dieser Beitrag erklärt die Zusammenhänge ohne Juristendeutsch. Er ersetzt keine Rechtsberatung, aber er sagt dir, welche Fragen du stellen musst.
In drei Sätzen
- 01Nicht der Anbieter ist verantwortlich, sondern du als Verantwortlicher im Sinne der DSGVO.
- 02US-Anbieter sind nutzbar, kosten dich aber Auftragsverarbeitungsvertrag, Transfer-Dokumentation und Verzeichnis-Einträge.
- 03Aggregierte Modelle brauchen gar keine personenbezogenen Daten, das entschärft das Thema an der Wurzel.
Wer eigentlich haftet
Wenn du ein Werkzeug einsetzt, das personenbezogene Daten verarbeitet, bist du der Verantwortliche. Der Anbieter ist Auftragsverarbeiter. Das heißt praktisch: Die Pflicht, Rechtsgrundlage, Vertrag, Dokumentation und Löschfristen sauber zu haben, liegt bei dir, nicht bei ihm. Ein Anbieter, der auf seiner Seite "DSGVO-ready" schreibt, nimmt dir davon nichts ab.
Warum der Serverstandort mehr ist als ein Verkaufsargument
Bleiben die Daten in der EU, entfällt der Drittlandtransfer und damit ein ganzer Block an Dokumentation und Restrisiko. Gehen sie in die USA, ist das nicht verboten, aber es ist Arbeit: Transfergrundlage prüfen, Abwägung dokumentieren, bei Änderungen der Rechtslage erneut prüfen. Genau dieser Aufwand ist einer der Hauptgründe, warum europäische Teams nach Alternativen suchen, siehe Northbeam- und Triple-Whale-Alternative.
Der Punkt, den fast alle übersehen
Die spannendere Frage ist nicht, wo die Daten liegen, sondern ob du überhaupt personenbezogene Daten brauchst. Klick-basierte Attribution braucht sie, weil sie einzelne Nutzerreisen nachvollzieht. Ein aggregiertes Modell braucht sie nicht, es rechnet mit Summen je Woche. Welche Daten das konkret sind, steht in Welche Daten ein Marketing-Mix-Modell braucht.
Der beste Datenschutz ist die Verarbeitung, die gar nicht erst stattfinden muss.
Was das für die Messung bedeutet
Je strenger die Einwilligungspraxis, desto weniger Nutzer erscheinen im Tracking, und desto schiefer wird jede klickbasierte Auswertung. Das ist kein hypothetisches Problem, es ist der Alltag seit den Consent-Bannern. Wie stark die Lücke ausfällt, zeigt GA4 gegen Server-Side-Tracking, den größeren Zusammenhang beschreibt Die cookielose Zukunft. Server-Side-Tracking hilft gegen technische Verluste, ersetzt aber keine Einwilligung, siehe Server-Side-Tracking.
Die Prüffragen für dein nächstes Werkzeug
Wo werden die Daten verarbeitet und wo gesichert? Liegt ein Auftragsverarbeitungsvertrag vor, und mit welchen Unterauftragnehmern? Werden personenbezogene Daten überhaupt verarbeitet, oder reicht dem Werkzeug Aggregiertes? Wie lange wird gespeichert, und wie löscht man? Gibt es eine Mandanten-Trennung auf Datenbankebene? Vectalyze beantwortet diese Fragen mit EU-Servern, Verschlüsselung im Transport und im Ruhezustand, Zeilen-Sicherheit je Konto und vorliegenden Verträgen mit allen Unterauftragnehmern. Was das Werkzeug fachlich macht, steht in Was Vectalyze macht.