Source: https://www.dr-datenschutz.de/fachbeitraege/google-analytics-datenschutzkonform-einsetzen/
Timestamp: 2020-08-03 14:49:36+00:00

Document:
Stand 28.07.2020: Die DSK (Koordinationsgremium der deutschen Datenschutzaufsichtsbehörden) hat mit Beschluss vom 12.05.2020 die rechtlichen Voraussetzungen zum Einsatz von Google Analytics neu bewertet. Der Beschluss stellt zugleich eine Ergänzung zur Orientierungshilfe für Anbieter von Telemedien vom März vergangenen Jahres dar. Dieser Beitrag erläutert die aus Sicht des Datenschutzes empfohlenen Einstellungen beim Einsatz von Google Analytics im Sinne einer Risikominimierung.
Im Sinne einer Risikominimierung beim Einsatz von Google Analytics ergeben sich folgende Handlungsempfehlungen, auf die wir in dieser Anleitung inkl. Muster eingehen:
Empfohlene Standardeinstellungen anpassen
IP-Anonymisierung und ggf. Löschung von Altdaten
Nach Einschätzung der Aufsichtsbehörden ist eine Einbindung von Google Analytics über eine Auftragsverarbeitung gemäß Art. 28 DSGVO nicht mehr zulässig, wenn Google Analytics mit den von Google derzeit (Stand März 2020) empfohlenen Standardeinstellungen betrieben wird. Vielmehr liegt in diesem Fall eine sog. gemeinsame Verantwortlichkeit zwischen Google und dem Webseitenbetreiber gemäß Art. 26 DSGVO vor.
Wenn allerdings die Standardeinstellungen geändert werden, empfielhlt es sich weiterhin, einen Vertrag zur Auftragsverarbeitung abzuschließen. Hierzu scrollen Sie in Google Analytics unter „Verwaltung > Kontoeinstellungen“ runter bis zur Rubrik „Zusatz zur Datenverarbeitung“.
Bitte beachten: Google bietet derzeit keine Vereinbarung an, die den Anforderungen des Art. 26 DSGVO gerecht wird. Sobald mit Google eine entsprechende Vereinbarung abgeschlossen werden kann, informieren wir Sie an dieser Stelle.
2. Aufbewahrungsdauer der Daten festlegen
Google Analytics bietet Steuerelemente zur Datenaufbewahrung. Die Voreinstellung sieht vor, dass die Nutzer- und Ereignisdaten standardmäßig 26 Monate gespeichert werden. Auch ist der Button „Bei neuer Aktivität zurücksetzen“ standardmäßig aktiviert. Mit Blick auf Art. 25 DSGVO (Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen) sollten Sie den Button deaktivieren und die Aufbewahrungsdauer auf 14 Monate begrenzen.
3. Empfohlene Standardeinstellungen anpassen
Im Rahmen der Datenfreigabeeinstellungen sollten entsprechend dem Grundsatz der Datenminimierung so wenig Freigaben wie möglich erteilt werden. Je weniger Freigaben erteilt werden, desto weniger besteht Anlass, Google und den Websitebetreiber als gemeinsam Verantwortliche i.S.d. Art. 26 DSGVO anzusehen.
So ändern Sie die Standardeinstellungen:
Klicken Sie im Menü links auf „Verwaltung“ und wechseln Sie zu dem Konto, das Sie bearbeiten möchten.
Entfernen Sie den Haken in der Checkbox „Google-Produkte & -Dienste“ und klicken Sie auf „Speichern“.
Auch der Zugriff für die Account Specialists sollte deaktiviert werden. Wer auf der sicheren Seite sein will, entfernt auch die Haken bei Benchmarking und Technischer Support.
Hier finden Sie eine genaue Beschreibung der einzelnen Datenfreigabeeinstellungen.
Bitte beachten: Im Bereich Produktverknüpfungen bietet Google zwar gesonderte „Datenverarbeitungsbedingungen zwischen Verantwortlichen für Messdienste von Google“ an, die aber keine Regelung nach Art. 26 DSGVO darstellen.
4. Einwilligung einholen
Die Aufsichtsbehörden für den Datenschutz haben am 14.11.2019 in einer abgestimmten Aktion Pressemitteilungen veröffentlicht, wonach der Einsatz von „Google Analytics und ähnlichen Diensten“ nur mit Einwilligung zulässig sei. Dabei können sich die Aufsichtsbehörden insbesondere auf das EuGH-Urteil zu Planet49 vom 01.10.2019 berufen. Anwender sollten sich jedenfalls mit dem Positionspapier der DSK vom 26. April 2018 auseinandersetzen, wonach ab dem 25.05.2018 rechtskonformes Webtracking nur mit einer vorherigen informierten Einwilligung des Nutzers möglich sein soll.
Eine Einwilligung in die Nutzung von Google Analytics muss folgende Angaben enthalten:
Eine eindeutige Überschrift, z. B. „Datenverarbeitung Ihrer Nutzerdaten durch Google“
Information, dass personenbezogene Daten zum Nutzungsverhalten an Google übermittelt werden
Information, um was für Daten es sich dabei genau handelt
Information, dass die Verarbeitung im Wesentlichen durch Google erfolgt, und – bei Nutzung mit den von Google empfohlenen Standardeinstellungen – zu eigenen Zwecken wie Profilbildung (und ohne Einflussmöglichkeiten des Websitebetreibers)
Information, ob die Daten mit Informationen aus anderen Quellen verknüpft werden können
Information, ob die Daten in den USA gespeichert werden und ob staatliche Behörden Zugriff auf diese Daten haben können
Die Einwilligung muss zudem folgende Anforderungen erfüllen:
keine allumfassende Einwilligung in die Nutzung von Cookies
aktive Handlung, keine vorangekreuzten Checkboxen
freiwillig, mit der Möglichkeit die Einwilligung zu verweigern
dem Nutzer dürfen keine Nachteile bei Nicht-Einwilligung entstehen
einfache, nutzerfreundliche technische Lösung für den Widerruf (bspw. per Consent-Tool)
Tracking darf erst aktiviert werden, nachdem der Nutzer eingewilligt hat und nicht vorher
Bitte beachten: Die Datenübermittlung in die USA wurde bislang auf die Zertifizierung der Googl LLC nach dem EU US Privacy Shield-Abkommen gestützt. Der EuGH hat mit Urteil vom 16.07.2020 in der Rechtssache C-311/18 – Schrems II den Beschluss der EU-Kommission zu dem Abkommen für ungültig erklärt. Rechtsgrundlage für die Datenübermittlung muss daher die Einwilligung des Nutzers sein, die Datenübermittlung in die USA muss also von der Einwilligung umfasst sein.
5. IP-Anonymisierung und ggf. Löschung von Altdaten
Die Funktion IP-Maskierung („anonymizeIP“) sollte unter dem Gesichtspunkt der Datenminimierung weiterhin genutzt werden. Der von Google vorgegebene Tracking-Code erfüllt nicht die Anforderungen zum Datenschutz, deshalb muss der jeweilige Google Analytics Tracking-Code händisch angepasst werden. Durch Nutzung der Code-Erweiterung werden die letzten 8 Bit der IP-Adressen gelöscht und somit „anonymisiert“. Dadurch ist zwar weiterhin eine grobe Lokalisierung möglich, dies ist jedoch von den deutschen Datenschutzbehörden anerkannt und akzeptiert. Information zur IP-Anonymisierung finden Sie hier. So sieht der Tracking-Code mit IP-Anonymisierung aus:
Bitte nicht vergessen, die rot-markierte Tracking-ID zu ändern.
Die Nutzung von Google Analytics ist in der Datenschutzerklärung zwingend anzugeben. Unter Beachtung der Anforderungen der DSK muss der Datenschutzhinweis zu Google Analytics gemäß Art. 12 und 13 DSGVO folgende Informationen enthalten:
Hinweis auf das Widerrufsrecht und dessen Umsetzung
Sie dürfen dieses Muster gerne für Ihre Datenschutzerklärung verwenden.
[OPTIONAL] Wir nutzen die Funktion User-ID. Mithilfe der User ID können wir einer oder mehreren Sitzungen (und den Aktivitäten innerhalb dieser Sitzungen) eine eindeutige, dauerhafte ID zuweisen und Nutzerverhalten geräteübergreifend analysieren.
[OPTIONAL] Wir nutzen Google Signale. Damit werden in Google Analytics zusätzliche Informationen zu Nutzern erfasst, die personalisierte Anzeigen aktiviert haben (Interessen und demographische Daten) und Anzeigen können in geräteübergreifenden Remarketing-Kampagnen an diese Nutzer ausgeliefert werden.
Hinweis: Bitte übernehmen Sie den Text inkl. aller Verlinkungen und passen Sie ihn entsprechend an.
Das Beispiel Google Analytics zeigt, wie sehr die juristische Debatte hinsichtlich Webanalyse und Tracking im Wandel ist. Deshalb ist man auch bei vollständiger Umsetzung dieser Empfehlungen nicht zwangsläufig auf der sicheren Seite. Urteile oder Gesetzesänderungen können in Zukunft weitere Anpassungen erforderlich machen. Hierzu halten wir Sie auf dem Laufenden.
147 Kommentare zu diesem Beitrag
https://www.dr-datenschutz.de/fachbeitraege/piwik-datenschutzkonform-einsetzen/
Unter Punkt 1: Zusatz zur Datenverarbeitung: weitere Informationen (Schweiz und nicht EU Land). Euer Link funktioniert nicht
mach es ganz richtig oder lass das halbpatzige am 2. August 2018, 15:22 Uhr
Dabei handelt es sich um ein Bild und nicht um einen Link. Diesen finden Sie in Google Analytics unter „Verwaltung > Kontoeinstellungen“ bei der Rubrik „Zusatz zur Datenverarbeitung“.
Dr. Datenschutz am 2. August 2018, 16:22 Uhr
Das Thema Zulässigkeit bzw. Rechtsgrundlage ist aus meiner Sicht eher stiefmütterlich behandelt. Zwar wurden die zwei Alternativen aus Art. 6. Abs. 1 S. 1 DS-GVO richtig genannt, es ist die Einwilligung (lit. a)) und die berechtigten Interessen (lit. f)).
Jedoch steht der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c) DS-GVO übergeordnet über den beiden Rechtsgrundlagen und besagt, dass ausschließlich solche personenbezogenen Daten und nur in einem solchen Umfang verarbeitet werden dürfen, wie es erforderlich ist, um den Zweck zu erreichen.
An dieser Stelle kommt eine praktische Krux zum Zuge: Aus meiner anwaltlichen Berurfserfahrung mit einer Vielzahl von Datenschutzhinweisen wurden die allermeisten Tracking-Tools für Websites (mit und ohne Webshop) von Websiteprogrammierern eingebunden, weil das zu deren Standardbaukasten gehört. Der Websitebetreiber benutzt die Tools nach dem GoLive überhaupt nicht. In diesen Fällen kann man sich den Aufwand für die Einwilligung oder den AV-Vertrag mit Google sparen. Die Datenverarbeitung erfolgt nämlich grundlos und ist damit per se unzulässig.
Empfehlung: Entweder nutzen und nutzungsumfang protokollieren (d.h. welche Erkenntnisse wurden wie umgesetzt oder warum nicht umgesetzt). Oder das Tracking schlicht von der Website löschen.
RA Roman Pusep (FA IT-Recht) am 10. November 2018, 15:35 Uhr
Danke für Ihre Hinweise. Es handelt sich hier um eine praktische Anleitung für den Anwender wie GA rechtskonform einsetzbar ist. Eine breite theoretische Auseinandersetzung mit den einschlägigen Rechtsgrundlagen ist deswegen ganz bewusst nicht vorgenommen worden. Ihre Anmerkung bezüglich der Unzulässigkeit von Webtracking-Tools, wenn deren Ergebnisse überhaupt nicht genutzt werden, ist sicherlich richtig. Allerdings richtet sich der Artikel wie gesagt an die tatsächlichen Nutzer von GA, bei denen sich diese Problematik erst einmal nicht ergeben sollte. Ihrer Empfehlung, ungenutzte Tracking-Tools besser von der Webseite zu löschen, kann man sich natürlich nur anschließen.
Dr. Datenschutz am 12. November 2018, 13:04 Uhr
Ich finde den Artikel super hilfreich. Google hat auf das gtag umgestellt. Welche Änderungen bezüglich der Implementation ergeben sich hier? Schritt 2 ist mit dem gtag nicht umzusetzten, oder hab ich da was übersehen?
Niki07 am 16. Dezember 2018, 15:51 Uhr
Der Code im Schritt 2 funktioniert weiterhin.
Die Implementation von gtag müssen wir selbst erstmal prüfen – das kann allerdings noch etwas dauern. Vielen Dank für den Hinweis.
Dr. Datenschutz am 17. Dezember 2018, 13:40 Uhr
Konnten Sie GTag schon prüfen? Für ein Update ware ich dankbar.
tom am 11. Februar 2019, 13:31 Uhr
zur Info: der richtige gtag laut developer.google.com lautet:
gtag(‚config‘, “, { ‚anonymize_ip‘: true });
Tobias am 22. Februar 2019, 12:46 Uhr
Leider ist der Text zum Datenschutz veraltet und irreführend. Die Textstelle „Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server von Google in den USA übertragen und dort gekürzt.“ trifft nicht mehr zu und ist lange veraltet. Ich würde empfehlen, die Texte entsprechend anzupassen.
Sebastian Pospischil am 19. Dezember 2018, 15:55 Uhr
Wir danken für den Hinweis. In der Vergangenheit hatte Google sich dahingehend geäußert, dass nur in Ausnahmefällen die volle IP-Adresse an einen Server übermittelt werden kann. In der aktuellen Dokumentation (https://support.google.com/analytics/answer/2763052?hl=de) findet sich kein Hinweis mehr auf ein solches Vorgehen, soweit die anonymizeIP-Funktion durch den Seitenbetreiber genutzt wird. Wir haben den Text entsprechend angepasst.
Dr. Datenschutz am 8. Januar 2019, 09:59 Uhr
wir wollen GA einsetzen. Bei einern Durchsicht das Google AV Musters sind uns ein paar Ungereimtheiten beim Einsatz von Unterauftragnehmern aufgefallen. So ist es zwar allgemein möglich einen AV Vertrag online abzuschließen, für die Genehmigung der Subunternehmer ist jedoch die Schriftform erforderlich, die hier nicht bei GA gegeben ist. Das Thema Schriftformerfordernis in solchen Fällen wird nicht nur bei GA ein Thema sein und es handelt sich auch vemrutlich um ein Rechtsversehen bei der Erstellung der DSGVO. Aber wie ist damit in der Praxis umzugehen?
Datenschützer am 12. März 2019, 10:58 Uhr
Das Problem, welches Sie schildern ist in der Tat für eine Vielzahl von Auftragsverarbeitungsverhältnissen relevant und wird nach wie vor heiß diskutiert. Wie Sie richtig anmerken spricht der Wortlaut des Art. 28 Abs. 2 DSGVO ausdrücklich vom Schriftformerfordernis. Zwar nennt Art. 28 Abs. 9 DSGVO ebenfalls die Schriftform, fügt jedoch hinzu, dass dies auch elektronisch erfolgen kann. Da ein vergleichbarer Zusatz in Abs. 2 fehlt, müsste man im Umkehrschluss davon ausgehen, dass der Gesetzgeber hier bewusst die elektronische Form nicht genügen lassen wollte.
Dies wird teilweise damit begründet, die allgemeine Genehmigung würde ein hohes Risiko beinhalten. Klar ist aber auch, dass in einer Vielzahl von Fällen dieses Ergebnis nicht überzeugen kann. Aus Art. 28 Abs. 3 lit. d DSGVO geht hervor, dass die Bedingungen für die Beauftragung von Unterauftragnehmern im Auftragsverarbeitungsvertrag – der ja gerade auch elektronisch geschlossen werden kann – geregelt werden sollen. Dass ein einzelner Bestandteil des Vertrages einer strengeren Form unterworfen wird, erscheint nicht interessengerecht.
Leider können wir an dieser Stelle keine klare Aussage darüber treffen, welche Form nun ausreichend ist. Hier wird derzeit vieles mit nachvollziehbaren Argumenten vertreten. Jedoch spricht die Ausfüllhilfe des BayLDA (https://www.lda.bayern.de/media/muster_adv.pdf) sowie das Kurzpapier der DSK Nr. 13 dafür, dass die Genehmigung grundsätzlich auch in Textform erfolgen kann. Klar ist jedenfalls, dass der reine Wortlaut auf die faktischen Verhältnisse zwischen Google und seinen Nutzern wohl nicht passen dürfte.
Dr. Datenschutz am 18. März 2019, 13:27 Uhr
vielen Dank für diese Übersicht! Hat sich Ihrer Ansicht nach durch die DSK-Konferenz und die neue „Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien“ aus April 2019 etwas geändert?
etracker geht bspw. davon aus, dass GA „nur mit Einwilligung einsetzbar“ sei. (https://www.etracker.com/blog/endlich-klarheit-zum-dsgvo-konformen-tracking-von-den-deutschen-datenschutzbehoerden/)
Ingo am 29. April 2019, 16:10 Uhr
Vielen Dank für die tollen Hinweise. Definitiv kein einfaches Thema. Auch nicht wegen der technischen Anforderungen. Mit etwas Übung hat das allerdings funktioniert. Besten Dank!
Rechtsanwalt Bonn am 27. Juni 2019, 13:00 Uhr
Der tracking code den GA heute mitteilt ist 14 stellig, die tracking code Vorlage im finalen code unter 1. Tracking code anpassen ist jedoch nur 13 stellig. Kann der 13 stellige Zeichensatz durch den 14 stelligen GA tracking code im finalen code ersetzt werden?
Paula am 15. Juli 2019, 09:25 Uhr
Guten Tag, Ist ein Opt-out für GA nach dem Facebook-Like Button Urteil von Ende Juli 2019 noch möglich? Oder muss auch für GA jetzt ein OPT-IN eingesetzt werden? (Was Google Analytics dann insgesamt ziemlich sinnlos macht)
Was ist die Meinung der Datenschutzbeauftragten hierzu?
Bodo am 14. August 2019, 09:47 Uhr
Es bleibt abzuwarten ob das Facebook Like-Button Urteil Auswirkungen auf den Einsatz von Google Analytics haben wird. Wir gehen mittelfristig davon aus. Die Aufsichtsbehörden haben auf Fachveranstaltungen angedeutet, dass nach der EuGH-Entscheidung zu Facebook hier nicht mehr von einer Auftragsverarbeitung ausgegangen werden könne. Die nachgelagerte Verarbeitung von Daten zu eigenen Zwecken spräche für eine gemeinsame Verantwortlichkeit, eine neue Betrachtung von offizieller Seite wird im Detail noch folgen. Wann sich die Behörden hierzu offiziell äußern, ist noch nicht abzusehen.
Dr. Datenschutz am 15. August 2019, 11:32 Uhr
2GDPR geht bspw. davon aus, dass Google Analytics nur mit Einwilligung einsetzbar sei (2gdpr.com)
Dies wird gemeldet, wenn die Website nicht den OPT-IN-Anforderungen entspricht.
Marko am 17. August 2019, 14:57 Uhr
Braucht MATOMO (ehemals Piwik) als selbst gehostetes Tracking-Tool ein Opt-In nach dem neuesten EuGH Urteil?
Bernd am 26. September 2019, 20:58 Uhr
Das “Fashion-ID”-Urteil bzw. „Facebook Like-Button“- Urteil des EuGH vom 29.07.2019 trifft keine konkrete Aussage über den Einsatz von Tracking Tools, denn es behandelt in erster Linie die Verantwortlichkeit bei Einsatz von sog. Social Plugins (konkret dem „Gefällt-mir“-Button von Facebook.
Die Besonderheit bei einem selbst gehosteten Tracking-Tool wie MATOMO (ehemals Piwik) ist, dass die Tracking-Daten für die Verhaltens-Analyse nicht an einen Dritten (hier dem Analyse-Tool-Anbieter) übermittelt werden, sondern lokal auf dem eigenen Server gehostet werden kann.
Ob der lokale Einsatz von Tracking-Tools wie MATOMO einwilligungsbedürftig ist, wurde bisher nicht vom EuGH entschieden.
Die Tendenz geht jedoch dahin, dass auch hierfür Einwilligungen nötig sein werden.
– In der Orientierungshilfe zum Webtracking vom März 2019
wurde die Einwilligungsbedürftigkeit bei Einsatz von „lokalen“ Tracking-Tools noch offen gelassen und angedeutet, dass hier auch das berechtigte Interesse in Betracht kommen kann (siehe hierzu unseren Blogartikel).
– Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg hat Ende April 2019 in einem FAQ geäußert, dass das Nutzerverhalten der Website ohne Einwilligung erfasst werden kann, wenn für die Reichweitenanalyse nicht auf die Dienste externer Dritter zugegriffen wird.
– Dieselbe Aufsichtsbehörde hat im Anschluss an das Planet49-Urteil des EuGH vom 01. Oktober 2019 jedoch am 09.Oktober 2019 den Hinweis veröffentlicht: „Wer etwa Cookies nutzt, um das Nutzerverhalten zu Werbezwecken zu analysieren und zu tracken oder durch Dritte analysieren zu lassen, benötigt dafür grundsätzlich die informiert, freiwillig, vorherig, aktiv, separat und widerruflich erklärte Einwilligung des Nutzers.“
Hier unterscheidet die Behörde erkennbar nicht mehr zwischen externem Tracking-Tool (z.B. Google Analytics) und lokal gehosteten Tracking-Tool bezüglich des Einwilligungserfordernisses.
Hieran lässt sich insgesamt ablesen, dass die rechtlichen Anforderungen an den Einsatz eines lokalen Tracking-Tools wie MATOMO für Webseite-Betreiber leider weiterhin ein Stück weit undurchsichtig bleiben.
Dr. Datenschutz am 21. November 2019, 13:25 Uhr
Meines Erachtens ist man mit der IP Anonymisierung nicht auf der sicheren Seite, da nach Aussage von Google auch Device Fingerprinting genutzt wird, um Tracking Daten einer identifizierbaren Person zuzuordnen.
MB-HH am 18. November 2019, 18:08 Uhr
Guten Tag! Verstehe ich richtig, dass Punkt 5 nur gilt, wenn die IP nicht anonymisiert wird?
JC am 19. November 2019, 16:32 Uhr
Nein, aber uns würde interessieren, aus welcher Passage Sie diese Schlussfolgerung ziehen. Grundsätzlich sind wie am Anfang des Beitrags dargestellt alle Punkte umzusetzen:
„Zusammenfassend ergeben sich für einen datenschutzkonformen Einsatz von Google Analytics unter Beachtung der Vorgaben der Aufsichtsbehörden insgesamt sechs Punkte, die einzuhalten sind:“
Dr. Datenschutz am 19. November 2019, 20:15 Uhr
Die Seite mein-datenschutzbeauftragter.de/webanalyse-datenschutz stellt „Webanalyse mit Einwilligung des Nutzers“ und „Anonymisierte Webanalyse“ als „zwei Varianten“ vor, um die rechtskonforme Erfassung und Verarbeitung von Nutzerdaten zu gewährleisten. Sie stellen beide Maßnahmen als obligatorisch dar. Daher meine Verwirrung. Über eine kurze Stellungnahme würde ich mich sehr freuen. MfG
JC am 20. November 2019, 10:57 Uhr
IP-Anonymisierung und Einwilligung müssen (neben den anderen im Artikel genannten Voraussetzungen) kumulativ vorliegen, um Google Analytics datenschutzkonform verwenden zu können.
Warum die von Ihnen genannte Website dies anders darstellt, ist für uns nicht ersichtlich. Möglicherweise wurde diese seit dem Planet49-Urteil des EuGHs und den im Artikel verlinkten Pressemittelungen der Aufsichtsbehörden nicht aktualisiert oder der Autor vertritt eine andere Meinung. Eine Orientierung an der Ansicht der Aufsichtsbehörden aus Gründen der Risikominimierung ist jedoch empfehlenswert.
Dr. Datenschutz am 21. November 2019, 13:05 Uhr
Ich sitze momentan an der Implementierung von Google Analytics inkl. Opt-In (Rechtsgrundlage „Einwilligung“). Ich stehe nun vor einem Konflikt: Ich weiß, dass ich die Einwilligung und einen etwaigen Widerruf mit einem Timestamp dokumentieren muss. Mir ist nicht klar, wie ich das umsetzen soll, um (z.B. vor Gericht?) einen sauberen Nachweis einer Einwilligung zu haben. Im Endeffekt müsste eine Einwilligung ja auf einen konkreten Nutzer zurückzuführen sein, um eine rechtliche Belastbarkeit der Einwilligung. Andererseits möchte ich die Analytics ja möglichst vollständig anonym halten. Meines Erachtens ein Zielkonflikt.
Haben Sie einen Ratschlag oder eine Best-Practice, wie man die Einwilligung eines Nutzers im Internet rechtssicher dokumentiert? Ich habe mir die Frage schon häufiger gestellt; auf Websites, die bspw. Cookie-Consent verlangen, muss normalerweise kein personenbezogenes Datum (z.B. E-Mail?) bei der Consent-Dokumentation eingegeben werden – d.h. hier muss der Consent anhand anderer Informationen dokumentiert werden (IP-Adresse?). Ich frage mich nur: Welche Mehrwert soll eine solche „weiche“ Dokumentation bringen?
nevermind am 23. Dezember 2019, 15:45 Uhr
Nikolai Jensen am 23. März 2020, 11:55 Uhr
Hallo, herzlichen Dank für Ihre Ausführungen! Allerdings erschließt sich mir nicht, wie Sie zur Auffassung gelangen, dass bei einer ANONYMISIERUNG einer IP-Adresse mittels AnonymizeIP i. V. mit GoogleAnalytics bspw. noch ein Widerrufsrecht eingeräumt oder die Nutzung von GoogleAnalytics dem Besucher der Webseite angezeigt werden müsse? Eine anonymisierte IP-Adresse stellt kein personenbezogenes Datum mehr dar! Primärer Sinn und Zweck der Erhebung und Verarbeitung der IP-Adresse des Besuchers einer Webseite ist zunächst deren technische Erforderlichkeit für die Kommunikation zwischen Webserver und Clientanwendung (Browser), die i. d. R. gesondert in der Datenschutzerklärung behandelt wird.
Sidney am 26. Juli 2020, 00:23 Uhr
Die DSK vertritt dazu die Rechtsansicht, dass die Kürzung der IP-Adresse eine zusätzliche Maßnahme gem. Art. 25 Abs. 1 DSGVO zum Schutz der Nutzer darstellt, sie jedoch nicht dazu führt, dass die vollständige Datenverarbeitung anonymisiert erfolgt. Beim Einsatz von Google Analytics werden neben der IP-Adresse weitere Nutzungsdaten erhoben, die als personenbezogene Daten zu bewerten sind, wie z. B. Identifizierungsmerkmale der einzelnen Nutzer, die auch eine Verknüpfung beispielsweise mit einem vorhandenen Google-Account erlauben. Aus diesem Grund ist in jedem Fall der Anwendungsbereich der DSGVO eröffnet, sodass Anwender von Google Analytics auch dann verpflichtet sind, die Anforderungen der DSGVO zu beachten, wenn sie die Kürzung der IP-Adressen veranlasst haben.
Dr. Datenschutz am 30. Juli 2020, 09:48 Uhr

References: Art. 28
 Art. 26
 Art. 26
 Art. 25
 Art. 26
 Art. 26
 EuGH 
 Art. 12
 Art. 6
 Art. 5
 Art. 28
 Art. 28
 Art. 28
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 Art. 25