最常用的跟踪工具包括 Google Analytics 和 Matomo。 作为网站运营商，如前所述，跟踪有助于个性化、网站分析和有针对性的广告。这可用于改进网站或调整广告活动，例如使网站更加客户友好或减少访客放弃。其他示例包括智能家居、智能交通、智能定价和智能维护。
GDPR 第 4 条第 4 款首次对分析进行了明确定义；此外，GDPR 第 22 条规定了自动化程序背景下分析的可接受性要求和限制。 GDPR 第 71 条对制定上述条款提供了详细的依据。
因此，数据主体应有权不受仅基于自动化处理而做出的评估其个人方面的决定的约束，该决定将对数据主体产生法律效力或类似地对数据主体产生重大影响。此类处理中还包括分析。
如果个人数据完全自动处理，并且基于此处理的决定对数据主体产生法律后果或以类似方式对其产生重大影响，则不允许进行分析。鉴于保护的目的，必须广泛解释这一术语。尽管有如此广泛的解释，但个性化广告等并不属于这一禁令，因为它没有法律效力，也不会以任何其他方式对相关人员产生重大影响。
然而，如果联盟或成员国法律明确允许，则根据《GDPR》第 22(2) 条允许进行分析；同时，该法律应规定措施保护数据主体的权利和自由。
如果对于数据主体和控制者之间签订或履行合同有必要，则也允许进行分析。这种必要性何时存在取决于合同的目的，因此必须始终单独确定。这是指合同的订立或履行符合数据主体的意愿，因此数据主体在完全自动化的处理和决策中不认为其权利和利益受到任何侵犯的情况。因此，“必要的”一词不应理解为全自动数据处理对于履行或签订合同至关重要或必要（例如在电子商务领域），而应理解为例如可以更快地签订合同以降低成本，进而对购买价格产生积极影响。
如果数据主体明确同意，则也允许进行分析。在这种情况下，既要遵守 GDPR 第 4 条第 11 款（自愿性、明确性、知情同意），又要遵守 GDPR 第 7 条（可验证性、清晰简单的语言等）。
还应该提到的是，在第一和第三种选择中，控制者必须采取适当的措施，保障数据主体的权利和自由以及合法利益。数据主体至少应该有机会对决定提出异议，提出自己的观点并获得控制者的干预。
此外，分析还需遵守 GDPR（GDPR 第 72 条）的所有要求。这也包括专款专用的原则。据此，个人数据原则上只能出于收集目的进行处理，即《GDPR》第 6 条第 3 款。根据《GDPR》第 6 条第 (4) 款规定，仅在公司对新的处理目的和原目的进行全面的利益平衡，并且权衡了有利于变更的利益的情况下，才允许更改目的。此外，此类处理应包括适当的保障措施，包括向数据主体提供具体信息和获得直接人为干预的权利以及表达他或她的观点的权利、获得评估后所做决定的解释的权利和对该决定提出异议的权利。必须采取技术和组织措施，特别是确保导致个人数据不准确的因素得到纠正。还应尽量减少错误风险，并以考虑到对数据主体的利益和权利的潜在威胁的方式保护个人数据。
BDSG 对 GDPR 第 22 条进行了补充，因为它在第 31 条 BDSG（第 28b 条 BDSG-old）中规范了分析的一个子领域，即评分。第 31 节规定了何时允许此类得分。因此，只有当控制者遵守数据保护法的规定并且用于计算概率值的数据明显与计算特定行为的概率相关时，才允许这样做。计算还必须基于科学认可的数理统计程序。此外，单独使用地址 西班牙号码数据 数据不能来计算概率值。如果仅使用地址数据，则必须在计算概率值之前告知数据主体该数据的预期用途，并且必须记录该信息。
数据保护对分析的影响评估
根据GDPR，对于涉及大量个人数据的广泛处理操作、对数据主体的权利和自由构成高风险、使用新技术、基于分析做出决策、处理特殊类别的个人数据或对公共区域进行广泛监控的操作，尤其需要进行数据保护影响评估（DPIA）。
根据 GDPR 第 35 条，评分程序属于需要进行数据保护影响评估 (DPIA) 的处理活动之一。此外，数据保护会议评分的所谓“必做清单”中还包括需要进行数据保护影响评估的处理操作。
该强制性清单的全名是“根据 GDPR 第 35 条第 4 款针对非公共部门的处理操作清单”。如果一家公司（“非公共部门”）想要引入评分，它必须首先进行数据保护影响评估。