Source: https://www.dr-datenschutz.de/fachbeitraege/piwik-datenschutzkonform-einsetzen/
Timestamp: 2020-08-11 15:38:44+00:00

Document:
28. Dezember 2011 |	25 Kommentare | Von Dr. Datenschutz
Seit Jahren diskutieren die Aufsichtsbehörden über den datenschutzkonformen Einsatz von Webanalysetools. Auf Grundlage der im November 2009 vom Düsseldorfer Kreis beschlossenen Eckpunkte zum datenschutzkonformen Umgang mit Webanalysetools wurde zwischen den Aufsichtsbehörden ein Einvernehmen erzielt. Das bekannteste Webanalysetool ist wohl Google-Analytics, bei dessen Nutzung eine Datenübertragung an Google stattfindet. Es gibt aber auch Konkurrenzprodukte, eines davon ist Piwik, welches den Vorteil hat, dass selbiges auf den eigenen Rechnersystemen gehostet werden kann, so dass eine Datenübermittlung an Dritte nicht notwendig ist. Nachfolgend werden die Voraussetzungen für einen datenschutzkonformen Einsatz von Piwik dargestellt.
Zusammenfassend ergeben sich für einen datenschutzkonformen Einsatz von Webanalysetools unter Beachtung der Vorgaben der Aufsichtsbehörden grundsätzlich insgesamt fünf Punkte, die einzuhalten sind:
Vertrag zur Auftragsdatenverarbeitung bei Übermittlungen an Dritte (§ 11 BDSG – Vertrag)
angepasster Datenschutzhinweis in der Datenschutzerklärung
ggf. Löschung von Altdaten (bei zuvor rechtswidrig eingesetzten Analysetools)
Ein Vertrag zur Auftragsdatenverarbeitung (§ 11 BDSG) mit dem Hersteller ist bei Piwik im Gegensatz zu Google-Analytics nicht notwendig, da keine Daten an Piwik übermittelt werden.
Ein Vertrag gem. § 11 BDSG kann aber mit einem selbst ausgewählten Dienstleister notwendig werden, wenn Piwik nicht auf den eigenen Rechnern, sondern auf fremden Rechnern (z.B. Outsourcing der IT) gehostet wird, denn dann werden Daten im Auftrag erhoben. Zugleich würde selbiges eine Kontrolle des Dienstleisters noch vor Beginn der Datenverarbeitung notwendig machen. Die Nichteinhaltung dieser Voraussetzungen sind bußgeldbewehrt (§ 43 Abs. 1 Nr. 2b BDSG).
Weiterhin muss die Erfassung der IP-Adressen anonymisiert werden. Dies geschieht durch Einsatz des Plugins AnonymizeIP, welches über den Menupunkt „Einstellungen ->Plugins“ erreichbar ist.
3. Widerspruchsrecht / 4. Anpassung der Datenschutzerklärung
Daneben ist notwendig, dass den Betroffenen die Möglichkeit eines Widerspruchs gegen die Erfassung von Nutzungsdaten eingeräumt und der Nutzer auf die Verwendung seiner Daten und das Widerspruchsrecht hingewiesen wird (§ 13 Abs. 1 und § 15 Abs. 3 TMG).
Dabei empfiehlt es sich nach Möglichkeit das Widerspruchsrecht in die Datenschutzerklärung zu integrieren. Der hierzu erforderliche Code muss dann entsprechend auf der Webseite eingebunden werden. Beispiel:
<iframe frameborder="no" width="600px" height="200px" src="http://www.example.com/x_piwik/index.php?module=CoreAdmin Home&action=optOut"></iframe>
Zu beachten ist hierbei, dass derzeit der Hinweistext auf Englisch erscheint. Eine Übersetzung muss manuell in der Datei /lang/en.php beziehungsweise /lang/de.php vorgenommen werden.
Die vollständigen Datenschutzhinweise sollten dann wie folgt aussehen:
5. Löschung von Altdaten (bestehende Analyseprofile)
Mehr zum Thema: Auftragsdatenverarbeitung, Datenschutz, Datenschutzerklärung, Impressum, IP-Adresse, Piwik, Vorabwiderspruch, Webseite
Die Frage zur Cookie-Lifetime wird in diesem Artikel überhaupt nicht (mehr) behandelt. Kein Thema mehr für den Datenschutz? Ich denke schon!
Da auch ich mich mit Piwik und dem Datenschutz befasse, habe ich im September 2011 einen Artikel über die Cookie-Problematik auf redirect301.de veröffentlicht. Dies hilft sicherlich auch dem einen oder anderen Leser dieser Seite weiter.
Den OptOut-Iframe-Text habe ich bei meinen Piwik-Installationen bisher immer auf deutsch angezeigt bekommen. Wurde hier bei den Installationen hier eventuell „englisch“ ausgewählt? Nichts desto Trotz kann man natürlich in den Sprachdateien Anpassungen vornehmen. Das Problem ist jedoch, dass nach einem Piwik-Update die eigenen Änderungen überspielt werden. Hier muss wohl derzeit jeder für sich einen entsprechenden Workaround finden.
Daniel Weihmann am 10. Januar 2012, 04:53 Uhr
Dr. Datenschutz am 10. Januar 2012, 11:28 Uhr
Guten Tag, mich würde interessieren, ob ich mit meinem Provider bei dem ich für meine Webseite einen Webserver angemietet habe auch einen Vertrag zur Auftragsdatenverarbeitung abschließen muss? Ich meine die wenigsten Firmen haben einen eigenen Server im Haus stehen sondern meist bei einem Provider oder in dessen Rechenzentrum.
Marion am 3. Juli 2012, 15:56 Uhr
Da sprichst Du ein spannendes Thema an!
Die rechtliche Zuordnung ist beim sog. Webhosting umstritten. Es werden in der Literatur beide Auffassungen, pro und contra Auftragsdatenverarbeitung, vertreten. Je nach dem Inhalt des gehosteten Objekts kann eventuell eine Auftragsdatenverarbeitung vorliegen. Die deutschen Aufsichtsbehörden gehen anscheinend zumindest von einer Datenverarbeitung im Sinne des § 11 BDSG aus, wenn auf dem Webspace ein Online-Shop betrieben wird. Als Anhaltspunkt für das Vorliegen eines § 11-Verhältnisses könnte demnach das Erheben und Verarbeiten von personenbezogenen Daten im Rahmen des Webseiten-Betriebs dienen. Allerdings existiert (noch) keine einheitliche Regelung, die für Webseiten-Betreiber Rechtssicherheit gewährleisten würde. Im Zweifel ist es wohl empfehlenswert bei Vorliegen eines Personenbezugs vorsichtshalber einen § 11-Vertrag abzuschließen.
Dr. Datenschutz am 5. Juli 2012, 18:17 Uhr
Ich habe jetzt die Sache mit der Löschpflicht noch nicht so ganz verstanden. Ich hatte es bisher so verstanden, daß man sowieso verpflichtet ist die gespeicherten Daten schnellstmöglich zu löschen? So in etwa innerhalb von 4 Wochen.
Hab ich da jetzt irgendetwas falsch verstanden oder existiert da kein konkretes Zeitfenster?
Max am 17. Juli 2012, 13:32 Uhr
Daten sind gemäß § 35 Abs. 2 Nr. 3 BDSG zu löschen, sobald ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist. Dabei ist der Grundsatz der Datensparsamkeit und -vermeidung zu beachten, wonach so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen sind.
Daher ist die Frage, wie lange Daten aufbewahrt werden dürfen, oft eine vom Einzelfall abhängige. Dabei kommt es auch darauf an, ob es überhaupt um personenbezogene Daten geht. Wenn eine Anonymisierung der IP-Adressen vorgenommen wird, handelt es sich faktisch nicht mehr um personenbezogene Daten.
Dr. Datenschutz am 17. Juli 2012, 14:58 Uhr
Golem berichtet (http://www.golem.de/news/urteil-zu-tracking-nutzer-muessen-piwik-analyse-widersprechen-koennen-1403-105055.html), dass ein Link zum Opt-Out bereits auf der Startseite erkennlich sein muss. Ist das wirklich immer nötig?
Adrian am 11. März 2014, 13:23 Uhr
Das Urteil des Landgerichts Frankfurt am Main ist schon in seiner Deutlichkeit beachtlich. Demnach ist der Nutzer auch bei pseudonymisierten Analysen verpflichtet, „den Nutzer zu Beginn des Nutzungsumfang und später jederzeit abrufbar auf die Widerspruchsmöglichkeit hinzuweisen“.
Derzeit noch nicht geklärt ist dabei, ob ein Hinweis in der Datenschutzerklärung, welche sowohl von der Startseite, als auch jeder Unterseite abrufbar, ausreichend ist. Als Beispiel einer ausreichenden Abrufmöglichkeit führt das Landgericht dabei eine „Einbindung in den Nutzervorgang indem der Nutzer zwangsläufig mit den Informationnen in Berührung kommt“ oder „ein deutlich hervorgehobener Hinweis mit einem Hyperlink auf der Startseite vorhanden ist“. Eine nicht versteckte, prominenter oder hergehobene Verlinkung auf die Datenschutzerklärung könnte und sollte damit ausreichend sein.
Dr. Datenschutz am 12. März 2014, 11:42 Uhr
ich habe noch eine andere Frage: Webhoster, so wie Alfahosting, bieten automatisch eine Auswertung über AwStats oder andere Analysetools an. Zumindest bei Alfahosting erfolgt die Erfassung der IPs ohne Anonymisierung.
Beim Abschluss eines Kontos beim Webhoster, wird das automatisch eingerichtet, ohne explizit darauf hinzuweisen. Meine Anfrage, ob das datenschutzkonform ist, wurde unkonkret beantwortet. Ebenso meine Anfrage, ob es dafür eine Formulierung gibt, die ich auf meiner Webseite einbinden kann. Mir wurde lediglich mitgeteilt, dass ich auf schriftliche Anfrage das Tool abschalten kann.
Wie geht man datenschutzrechtlich korrekt mit den Analysetools der Webhoster um? Kann man sie unbedenklich nutzen oder muss man sie abschalten, oder gibt es eine Formulierung dazu, die auf den Webseiten eingebunden werden kann?
Vielen Dank vorab für jeglichen Hinweis!
Katja am 17. März 2014, 06:14 Uhr
Dr. Datenschutz am 26. März 2014, 14:42 Uhr
Verfolge das Thema nun auch schon ein paar Jahre! Besser wird’s anscheinend nicht!? Leider!
1. Mich interessiert ebenfalls die gleiche Frage wie meine Vorkommentiererin Katja.
2. Außerdem, welche Verantwortung trifft eigentlich die Anbieter (und Tool-Verwalter) fertiger Blog- und Seitenangebote. Bei denen man praktisch fix und fertig die Software samt Analysetools bereitgestellt bekommt. Zum Beispiel: 1blu – myblog = AWStats oder jimdo – proVersion = google analytics, 1&1…) Die müssten das doch wissen? Und vor allem ihre in Deutschland angebotenen Dienstleistungen datenschutzkonform anbieten, oder? Warum verweisen diese Anbieter (auch Alfahosting, 1blu etc.) nur auf Entweder-oder-Lösungen: „Wir schalten das Tool ab oder wir lassen das Tool an, modifizieren können/werden wir es nicht.“
Auch nach mehrmaligem nachfragen und Verweise auf den aktuellen Datenschutz, weiß man dort angeblich von überhaupt nichts und sieht sich auch gar nicht zum Handeln bewegt, die Tools entsprechend anzupassen.
PS: Welche Verantwortung trifft den Tech-C und Zone-C Inhaber?
Günther am 18. März 2014, 15:31 Uhr
Günther am 27. März 2014, 11:46 Uhr
Im Vorschlagstext zu den Analysediensten steht „Unserer Website“ – richtig wäre „Unsere Website“.
Christopher Schmidhofer am 23. März 2014, 17:54 Uhr
Dr. Datenschutz am 24. März 2014, 17:58 Uhr
also wenn ich als Agentur Hosting anbiete und für die Kunden dann PIWIK installiere, dann muss ich auch einen Vertrag zur Auftragsdatenverarbeitung abschließen?
Tilo am 25. März 2014, 20:10 Uhr
Die Antwort auf Ihre Frage hängt davon ab, ob Sie weisungsgebunden für Ihren Kunden tätig sind, also die im Rahmen des Hostings verarbeiteten personenbezogenen Daten nur für den jeweiligen Kunden verarbeiten oder ob Sie diese Daten für eigene Zwecke (z.B. eigene Werbung) verarbeiten.
Im ersten Fall fungieren Sie im Verhältnis zum Kunden als sog. Auftragsdatenverarbeiter und zwischen dem Kunden und Ihnen müsste ein Auftragsdatenverarbeitungsvertrag nach den Anforderungen des § 11 BDSG geschlossen werden. Dies gilt unabhängig davon, ob Sie ein Webanalysetool für den Kunden einsetzen. Es genügt bereits, wenn im Rahmen des Hostings für den Kunden personenbezogene Daten bei Ihnen auflaufen, z.B. durch Eingabeformulare auf der Website, in welche die User Daten eingeben.
Im zweiten Fall wären Sie vermutlich eher selbst als verantwortliche Stelle im Sinne des Datenschutzrechts anzusehen (dann Funktionsübertragung hinsichtlich der verarbeiteten personenbezogenen Daten). In diesem Fall läge keine Auftragsdatenverarbeitung vor, so dass auch kein Auftragsdatenverarbeitungsvertrag geschlossen werden müsste. Eine pauschale Aussage lässt sich aber aufgrund der vorliegend fehlenden Informationen nicht treffen. Es sind auch immer die konkreten Umstände des Einzelfalls zu betrachten, wenn es um die Abgrenzung zwischen Auftragsdatenverarbeitung und Funktionsübertragung geht.
Von dem zuvor Beschriebenen ist aber noch abzugrenzen, dass Ihr Kunde, wenn Sie für diesen ein Analysetool wie Google Analytics verwenden, Ihr Kunde datenschutzrechtlich für die mittels Analysetool verarbeiteten personenbezogenen Daten verantwortlich ist und mit den Anbietern der Analysetools, wiederum einen Auftragsdatenverarbeitungsvertrag abschließen muss. Das ist z.B. bei Google Analytics , nicht aber bei Piwik (siehe Beitrag) erforderlich.
Dr. Datenschutz am 28. März 2014, 11:31 Uhr
Sehr geehrter Herr Logemann, nach dem interessanten Artikel zu Piwik mit Hinweisen, was bei Google Analytics nicht erfüllt ist, vermutete ich, dass Sie bei der vorliegenden Website und bei der Ihrer AG Piwik einsetzen. Dem ist nicht so. Sie setzen hier, wie dort Google Analytics ein. Könnte das etwa daran liegen, dass Google Analytics Ihren werblichen und kommerziellen Interessen mehr dient?
Timotheus Adam
Timotheus Adam am 31. Mai 2014, 20:14 Uhr
Wie Sie richtig erwähnen gibt es zahlreiche Tools unterschiedlicher Anbieter zur Webanalyse, welche ebenso unterschiedliche Vor- und Nachteile haben.
Gemeinsam haben diese Tools allerdings in der Regel, dass vor dem Einsatz eine entsprechende Konfiguration erforderlich ist um die Einhaltung datenschutzrechtlicher Bestimmungen gewährleisten zu können.
Wie Sie auch Google-Analytics datenschutzkonform einsetzen können, erfahren Sie hier:
https://www.dr-datenschutz.de/fachbeitraege/google-analytics-datenschutzkonform-einsetzen/
Dr. Datenschutz am 3. Juni 2014, 12:55 Uhr
Pingback: Piwik Update auf Version 2.4.0 | daten:hunger
Wenn ich Ihren vollständigen Datenschutzhinweis-Text verwende und ihn leicht modifiziere, indem ich statt PIWIK anderes Wort verwende wie Webanalysedienst, um nicht zu zeigen, dass ich PIWIK verwende…. Darf man das, oder muss immer der Name des Tools angegeben werden?
Für den Besucher ist es doch egal, was für Tool es ist, oder? Hauptsache er wurde informiert.
PS: ich habe das mit PIWIK-Wort auch in der de.json-Datei angepasst und plötzlich steht alles auf englisch in dem iframe. Wissen Sie zufällig woran es liegt?
Andreas am 13. August 2014, 10:20 Uhr
Wie sieht es denn mit dem Cookie-Gesetz aus, eigentlich muss man dem Nutzer doch die Möglichkeit geben, beim Besuch der Seite der Benutzung von Cookies zu widersprechen.
Kann ich Piwik über ein WordPress Plugin oder Script nach Aufruf der Seite veranlassen die Cookies für einen bestimmten Besucher auszuschalten?
Fran am 28. Juli 2015, 11:07 Uhr
Frage an das Super-Team von Dr. Datenschutz:
Änderungen durch das Update bei Matomo?
Bisher wurde ein Opt-out verlangt, da mit Piwik die Daten nur pseudonymisiert (weil nur gehasht) werden. Laut ULD nutzt Piwik auch bei aktivierten Anonymisierungs-Plugin für die Besucherwiedererkennung die volle IP-Adresse und führt diese mit anderen Daten dann in einen Hashwert. Dabei wird die IP-Adresse aber nicht zur Analyse der Nutzungsverhaltens, sondern zu Erstellung des Pseudonyms verwendet.
Die DSK verlang laut Beschluss vom 26.4.2018 nun ein Opt-in für solche Trackingtools.
Mit Matomo (Nachfolger von Piwik) ist es nun möglich, die IP-Adresse standardisiert zu anonymisieren (letzten 2 bzw. sogar 3 Stellen werden genullt) und nur die anonymisierte IP-Adresse (Unterschied zu früher!) wird für die Besucherwiedererkennung verwendet.
Für anonymisiertes Tracking würde die DS-GVO ja nicht gelten, also benötige ich keine Einwilligung, ggf. erfolgt ein Hinweis in der Datenschutzerklärung.
Nun aber meine Bedenken: Zum internen Piwik-Server wird (für ein paar Sekunden) ja die volle IP-Adresse übermittelt und erst dann anonymisiert. Also wird ein personenbezogenes Datum zunächst erhoben, nur die Speicherung und Verarbeitung erfolgt anonymisiert.
Für das bloße Erheben gilt die DS-GVO, da Erheben unter die Verarbeitung fällt (Art. 4 Ziff. 2).
Also kann (theoretisch) erst einmal überhaupt kein mit Anonymisierungsfunktion versehenes Tracking-Tool eingesetzt werden, da alle Tools die IP-Adresse ja kurzfristig übermittelt bekommen, um sie (erst dann) zu anonymisieren. Für das „Erheben“ ist es ja auch irrelevant, ob dies aktiv erfolgt oder rein technisch, ohne dass der User etwas tun muss.
Also benötigen wir für das bloße Erheben die Einwilligung des Users, richtig? Oder kann man das Anonymisieren, weil zeitlich so unmittelbar mit der Erhebung verbunden, zur Erhebung zählen? Was ist mit dem Zweck der Übermittlung, der ja nun nur noch in der Anonymisierung besteht? Hilft uns das weiter?
Wenn nein, dann nützt uns auch die Anonymisierung (statt Pseudonymisierung) im Tracking-Tool nichts, oder?
Für eine Antwort wäre ich total dankbar!
Datenschutzgeplagte am 15. Mai 2018, 16:04 Uhr
Hinsichtlich der (kurzfristigen) Übermittlung der IP-Adresse an das Tool würde nach strenger Ansicht (insbes. der DSK) eine Einwilligung von Nöten sein. Erfolgt die Übermittlung zudem in ein Drittland, müssen zusätzlich die Artt. 44 ff. DSGVO beachtet werden. Fraglich ist zudem, ob man bei um 3 Ziffern gekürzten IP-Adressen von einer kompletten Anonymisierung sprechen kann, wenn genügend weitere Daten über das Verhalten zur Verfügung stehen.
So stellt die DSK wohl auf die Erstellung von Nutzerprofilen generell ab. Geht man davon aus, dass es zur Erstellung eines Profils bereits ausreicht, wenn das Verhalten irgendeines Nutzers nachverfolgbar gemacht wird, ohne aber die IP-Adresse zu kennen, bräuchte man nach der strengen Ansicht der DSK auch hierfür bereits ein Opt-In.
Folgt man dieser Meinung indes nicht, dürften allein aufgrund der Tatsache, dass das IP-Masking erst auf den Servern von Matomo erfolgt, keine zusätzlichen Pflichten erwachsen. Sofern die Anonymisierung in zeitlich unmittelbaren Zusammenhang und auf Servern in der EU erfolgt, stellt sich die Situation ähnlich wie bei Google Analytics dar. Hier wurde das Vorgehen (insbesondere vorangetrieben durch den Hamburgischen Datenschutzbeauftragten Johannes Caspar) als zulässig gebilligt, sofern die entsprechenden Voraussetzungen erfüllt sind. Dies war natürlich noch vor der Veröffentlichung des Positionspapiers der DSK.
Verzichtet man derzeit also bei Einsatz eines Tracking-Dienstes, welcher (pseudonyme) Nutzerprofile erstellt, auf die Einholung der Einwilligung, riskiert man strenggenommen ein Bußgeld durch eine Aufsichtsbehörde oder eine Abmahnung. Die Ansicht der DSK wurde indes überwiegend kritisch gesehen. Letztlich werden über diese Frage im Laufe der Zeit die Gerichte zu entscheiden haben.
Dr. Datenschutz am 24. Mai 2018, 20:00 Uhr
Eine Aktualisierung dieses Artikels wäre sehr hilfreich.
Es ist doch so, dass der Nutzer einwilligen muss, damit eine Datenerhebung und Datenanalyse durchgeführt werden darf.
Franz Meyer am 24. Januar 2020, 10:42 Uhr

References: § 11
 § 15
 § 11
 § 11
 § 11
 § 35
 § 11