Amplitude und Datenschutz – Was in die Datenschutzerklärung gehört

Amplitude Datenschutz ist ein zentrales Thema für Website-Betreiber, die die Product-Analytics-Plattform von Amplitude Inc. (USA) einsetzen. Diese Anleitung zeigt, welche Daten Amplitude verarbeitet, auf welcher Rechtsgrundlage dies geschieht und was in die Datenschutzerklärung gehört.

A. Zweck und Funktionsweise von Amplitude

Amplitude ist eine Product-Analytics-Plattform, die umfangreiche Datenerfassungs- und Analysefunktionen bietet:

• Event Tracking: Erfassung konkreter Nutzerinteraktionen (Klicks, Formularabsendungen, Downloads, Käufe)
• User Journeys: Verfolgung kompletter Nutzerreisen über mehrere Touchpoints
• Cohort Analysis: Segmentierung und Analyse von Nutzergruppen
• Experimentation: A/B-Tests und Nutzer-basierte Experimente
• Session Replay (optional): Aufzeichnung von Nutzersitzungen mit Interaktionsdaten

Die Integration erfolgt über JavaScript-SDK (Web), Mobile-SDKs (iOS/Android) oder Server-APIs. Amplitude reichert erfasste Events mit Kontext an (Timing, Geräteinfo, User Properties) und stellt sie in Echtzeit oder Batches zur Verfügung.

B. Pflichtangaben der Datenschutzerklärung bei Einsatz von Amplitude

Nach Art. 13 DSGVO müssen Websites in ihrer Datenschutzerklärung folgende Informationen bereitstellen:

1. Name und Kontakt des Verantwortlichen (Website-Betreiber)
2. Verarbeitungszwecke (Product Analytics, Nutzerprofil-Erstellung, Produktverbesserung)
3. Rechtsgrundlagen (Einwilligung, Interessenabwägung)
4. Empfänger der Daten (Amplitude Inc., ggf. Subunternehmer)
5. Speicherdauer (je nach Amplitude-Konfiguration, typisch 12–36 Monate)
6. Betroffenenrechte (Auskunft, Berichtigung, Löschung, Widerspruch)
7. Hinweis auf Drittlandstransfer (USA, DPF-Status, SCC)
8. Information zu Cookie-Consent-Management (TDDDG § 25)

Ein reiner „Textbaustein-pro-Tool"-Ansatz ist datenschutzrechtlich unbefriedigend. Websites sollten stattdessen eine konsistente, nutzerfreundliche Struktur wählen, die alle Tracking-Tools zusammenfasst.

C. Anbieter von Amplitude

Anbieter: Amplitude Inc., San Francisco, CA, USA
Website: https://amplitude.com
Privacy Policy: https://amplitude.com/privacy
DPA-Unterzeichnung: Erforderlich, erhältlich unter https://amplitude.com/dpa

Data Privacy Framework-Status

Amplitude ist selbstzertifiziert unter dem EU-US Data Privacy Framework (DPF) und der UK-Extension zum EU-US-DPF. Die Zertifizierung wird vom U.S. Department of Commerce verwaltet. Dies bietet eine gesetzliche Grundlage für Datentransfers von EU/UK in die USA.

EU Data Residency

Amplitude bietet eine optionale EU-Datenspeicherung in Frankfurt (AWS EU-Frankfurt). Diese physisch isolierte, GDPR-konforme Infrastruktur ermöglicht:

• Daten-Ingestion, -Speicherung und -Analyse innerhalb der EU
• ISO 27001 und SOC 2 Type II Zertifizierung
• Reduktion von Drittlandstransfer-Anforderungen

D. Datenverarbeitung – Ablauf in Schritten

E. Von Amplitude erhobene Daten

Amplitude erfasst folgende Datenklassen:

Webserver-Protokolldaten

• IP-Adresse (ggf. anonymisiert)
• User Agent, Browser-Typ und -Version
• Zugriffszeitpunkt

Klickpfade & Ereignisdaten

• Einzelne Klicks, Formularabsendungen, Seitenaufrufe
• Download- und Konversionsereignisse
• Custom Events (Website-spezifisch instrumentiert)

Endgeräte- und Browserinformationen

• Gerätetyp (Desktop, Mobile, Tablet)
• Betriebssystem
• Bildschirmauflösung
• Browser und Plugins

Grobe Standortdaten

• Land, Region (maximal grobe geografische Auflösung)
• Keine Echtzeit-Lokalisierung ohne explizites Tracking

Referrer & UTM-Parameter

• Herkunfts-URL
• Marketing-Parameter (utm_source, utm_campaign etc.)

Nutzerprofile (User Properties & Cohorts)

• Custom Nutzerattribute (Website-Betreiber definiert diese)
• Segment-Zugehörigkeit (Cohorts)
• Automatisch generierte Nutzer-ID (Ampersand Hash)

Interaktionsdaten (bei optionalem Session Replay)

• Aufzeichnung von Mausbewegungen, Klicks, Tastatureingaben
• Besonders sensitive Daten; separate Einwilligung empfohlen

F. Nutzungszwecke

Amplitude wird in der Regel für folgende Zwecke eingesetzt:

Allgemeine Produktverbesserung

• Nutzerverhalten verstehen
• Fehlererkennung (Error Tracking)
• Feature-Nutzung analysieren

Nutzer-individualisierte Produktverbesserung

• A/B-Tests durchführen
• Personalisierung (Cohort-basiert)
• UX-Optimierung für bestimmte Nutzergruppen

Nutzerprofilbildung

• Erstellung aggregierter Nutzerprofile
• Segmentierung und Kohorten-Analyse
• Vorhersagemodelle (Churn Prediction, LTV-Modeling)

Nutzer-individuelles Marketing (mit Einschränkungen)

• Zielgruppen-Segmentierung für Remarketing
• Behavioral Targeting
• Conversion-Optimierung

G. Rechtsgrundlagen für Amplitude

1. Kategorisierung: Tracking / Statistik / Product Analytics

Amplitude fällt primär unter Tracking für Statistik und Optimierung, nicht unter notwendige Cookies (ePrivacy-Direktive) oder Funktionalität.

2. Rechtsgrundlagen nach DSGVO

Option A: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO + § 25 Abs. 1 TDDDG)

• Erforderlich für nicht-essenzielle Cookies und Tracking-Pixel
• Consent-Banner vor SDK-Initialisierung
• Klare, jederzeit widerrufbare Einwilligung
• Granular für mehrere Tracking-Tools möglich

Option B: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

• Rechtlich umstritten; nur bei geringen Eingriffsintensität
• Interessenabwägung und dokumentierte Risikobewertung erforderlich
• Opt-Out-Möglichkeit notwendig
• Nicht geeignet für intensive Tracking-Szenarien

3. Drittlandstransfer (USA)

Data Privacy Framework (DPF)

• Amplitude ist DPF-zertifiziert
• Bietet Rechtsschutz für Transfe rs EU → USA
• Sollte in Datenschutzerklärung erwähnt werden

Standardvertragsklauseln (SCC / Standarddatenschutzklauseln)

• Alternative zu DPF als Transfermechanismus
• Amplitude stellt DPA mit SCC zur Verfügung

EU Data Residency Option

• Reduziert Drittlandtransfer-Anforderungen
• Optional gegen Aufpreis verfügbar
• Bricht Speicherung in Frankfurt (AWS EU) auf

H. Besonderheiten und Hinweise zu Amplitude

• Data Processing Addendum (DPA): Amplitude stellt ein DPA für Website-Betreiber bereit (https://amplitude.com/dpa). Dies ist Voraussetzung für GDPR-Konformität.
• Subprozessoren: Amplitude nutzt AWS und Google Cloud je nach Region; aktuelle Liste unter https://amplitude.com/subprocessor-list einsehen.
• EU Hosting-Option: Wer Datenresidenz in der EU erzwingen muss, kann auf Amplitude's Frankfurt-Datacenter upgraden.
• Data Masking & Anonymisierung: Amplitude bietet Funktionen zur Maskierung sensibler Datenfelder.
• Opt-Out-Mechanismen: Website-Betreiber sollten Nutzer-Opt-Out-Links bereitstellen (Amplitude Community: https://community.amplitude.com/).
• Zertifizierungen: Amplitude hält SOC 2 Type 2, ISO 27001 und ISO 27018 Zertifikate.
• DPF-Status verifizieren: Aktueller Status unter https://www.dataprivacyframework.gov abrufbar.

I. Häufig gestellte Fragen (FAQ)

J. Fazit und CTA

Amplitude ist eine leistungsstarke Product-Analytics-Plattform, die bei korrekter Konfiguration und Dokumentation GDPR-konform eingesetzt werden kann. Der Schlüssel liegt in:

1. Transparenter Einwilligung (Cookie-Banner, TDDDG § 25)
2. Vollständiger Datenschutzerklärung (Art. 13 DSGVO)
3. Unterzeichnetem DPA mit Amplitude
4. Dokumentierter Rechtfertigungsprüfung (Einwilligung oder Interessenabwägung)
5. Überprüfung des Subprozessoren-Status (https://amplitude.com/subprocessor-list)
6. Optional: EU Data Residency, um Drittlandtransfer-Anforderungen zu reduzieren

---

K. Kurator

Quellen (ohne Haftung auf Aktualität):

• Amplitude Privacy Notice
• Amplitude Data Processing Addendum
• Amplitude Subprocessor List
• Amplitude Trust & Security
• EU-US Data Privacy Framework