Datenschutzkonformer Einsatz von Google Analytics
Google Analytics und Datenschutz? Dieses Thema sorgt bereits seit Jahren für heftige Diskussionen. Vor allem das Erfassen der IP-Adresse, dem eindeutigen Merkmal eines Computers im Internet, war Datenschützern ein Dorn im Auge. Denn werden Nutzerverhalten und IP-Adresse verknüft, lassen sich sehr genaue Nutzerprofile erstellen. Gemeinsam mit Rechtsexperten wurden 2009 Rahmenbedingungen vereinbart, die einen datenschutzkonformen Einsatz von Google Analytics gewährleisten sollen. Damit schien das Thema vom Tisch.
Eine Pressemitteilung vom Landesbeauftragten für den Datenschutz Baden-Württemberg lässt die Diskussionen nun wieder aufleben. Bei einer Untersuchung wurde deutlich, dass 65 Prozent der untersuchten Websites sich nicht an die Vorgaben hält, um einen datenschutzkonformen Einsatz von Google Analytics zu gewährleisten.
Dabei ist der Einsatz mit nur wenigen einfachen Veränderungen für jeden Webseitenbetreiber rechtskonform. Um sicherzustellen, dass Sie Google Analytics richtig einsetzen, sollten Sie die folgenden fünf Punkte beachten:
1. Der Vertrag zur Auftragsdatenverarbeitung mit Google abschließen
Von Google und den Datenschützern wurde ein Mustervertrag entwickelt, der bei der Nutzung von Google Analytics abgeschlossen werden muss. Der Webseitenbetreiber fungiert hierbei als Auftraggeber und Google als Auftragnehmer.
Der Mustervertrag wird von Google zur Verfügung gestellt. Sie finden ihn hier.
Füllen Sie den Mustervertrag aus und senden Sie ihn inklusive einem frankierten Rückumschlag an Google. Google zeichnet den Vertrag gegen und schickt ihn an Sie zurück.
2. IP-Adressen anonymisieren
Der Webseitenbetreiber muss gewährleisten, dass die IP-Adressen der Seitenbesucher anonymisiert werden. Dazu hat Google die Codeerweiterung „anonymizeIp“ zur Verfügung gestellt. Diese muss manuell zum Code-Snippet hinzugefügt werden. Mit dieser Codeerweiterung werden die letzten acht Bit der IP-Adresse der Besucher gelöscht und somit anonymisiert, bevor sie an die Google Server weitergeleitet werden.
Dabei müssen zwei Varianten unterschieden werden:
a) Universal Analytics
Um den Datenschutz bei Universal Analytics zu gewährleisten, könnte der Code wie folgt aussehen:
b) Klassisches Analytics
Um den Datenschutz bei klassischem Analytics zu gewährleisten, könnte der Code wie folgt aussehen:
3. Widerspruchsrecht der Betroffenen
Um Google Analytics rechtskonform einzusetzen, müssen Sie den Nutzern die Möglichkeit geben, Widerspruch gegen die Datenerfassung einzulegen.
Dazu ist es notwendig, den Link zum Deaktivierungs-Add-on bereitzustellen und außerdem den Opt-out Cookie zu setzen.
a) Deaktivierungs-Add-on
Das Deaktivierungs-Add-on gewährleistet, dass Google Analytics auf keiner der besuchten Websites ausgeführt wird. Als Webseitenbetreiber müssen Sie lediglich den Link zum Add-on bereitstellen. Dies sollte im Datenschutzhinweis passieren, dazu lesen Sie mehr unter 4. Angepasster Datenschutzhinweis.
b) Opt-out Cookie
Da das Add-on nur für Desktop-Browser verfügbar ist, hat Google mit dem Opt-out Cookie eine zweite Möglichkeit bereitgestellt, um das Widerspruchsrecht auch für mobile Browser zu gewährleisten. Dabei wird dem Nutzer in dem Datenschutzhinweis ebenfalls ein Link zur Verfügung gestellt. Mit Klick setzt der Nutzer das Opt-out Cookie und verhindert so, dass seine Daten erfasst werden.
Als Webseitenbetreiber müssen Sie das Script in Abbildung 3 vor das eigentliche Google Analytics-Script einfügen. Das Script bewirkt, dass bei Setzen des Opt-out Cookies das Erfassen der Nutzerdaten verhindert wird.
4. Angepasster Datenschutzhinweis
Um Google Analytics datenschutzkonform einzusetzen, müssen Sie ebenfalls Ihren Datenschutzhinweis im Impressum um folgende Punkte ergänzen:
- Hinweis, dass die Codeerweiterung „anonymizeIp“ eingebunden wurde
- Hinweis und Link zu dem Browser-Plugin
- Hinweis und Link des Opt-out Cookies
Im Internet finden Sie einige Muster, um Ihren Datenschutzhinweis anzupassen. Ein Beispiel gibt es hier.
5. Löschung der Altdaten
Für den Fall, dass bisher erfasste Daten rechtswidrig erhoben wurden, müssen diese nun gelöscht werden. Dies ist nur möglich, indem Sie ihr bisheriges Analytics-Konto schließen und ein neues Konto eröffnen.
Fazit
Mit den oben beschrieben fünf Schritten ist ein datenschutzkonformer Einsatz von Google Analytics mit überschaubarem Aufwand möglich – trotzdem scheint es hier noch Probleme bei der Umsetzung zu geben, wie die Pressmitteilung vom Landesbeauftragten für den Datenschutz Baden-Württemberg zeigt.
Datenschützer haben außerdem bereits angekündigt, dass in Zukunft auch die Anpassung der „Cookie-Richtlinien“ ein Thema sein wird. Hier bleibt es spannend, inwieweit diese Diskussionen und Entscheidungen Einfluss auf die Nutzung von Google Analytics haben werden.
Darüber werden wir Sie in unserem Blog auf dem Laufenden halten.
