Source: https://www.website-check.de/blog/datenschutzrecht/google-analytics-rechtskonform-einsetzen-was-ist-datenschutzrechtlich-zu-beachten/
Timestamp: 2019-01-16 10:56:08
Document Index: 352168665

Matched Legal Cases: ['§ 11', '§ 11', '§ 11', '§ 12', '§ 12', '§ 15', '§ 15']

﻿ Google Analytics Datenschutz – Google Analytics rechtskonform einsetzen – Was ist datenschutzrechtlich zu beachten? - Website-Check.de
Google Analytics Datenschutz – Google Analytics rechtskonform einsetzen – Was ist datenschutzrechtlich zu beachten?
In diesem Blogbeitrag erklären wir Ihnen, wie Sie Google Analytics datenschutzkonform einsetzen können. In den letzten Jahren gab es immer wieder Änderungen und Anpassungen, um den Anforderungen des deutschen Datenschutzrechtes nachzukommen. Es macht daher absolut Sinn, diese Vorgaben streng umzusetzen, da teure Abmahnungen durch die Konkurrenz und Bußgelder (bis zu 50.000 Euro) durch die Aufsichtsbehörden drohen, wenn Google Analytics nicht rechtskonform eingesetzt wird. Nach unserer Erfahrung ist insbesondere der Google Analytics Opt-Out Cookie weitgehend unbekannt.
Bildnachweis: Screenshot Google-Analytics
Nach einer jahrelangen Auseinandersetzung ist Google den Forderungen der Datenschutzbeauftragten nachgekommen. Google Analytics kann nunmehr (mit einigem Aufwand) so eingestellt werden, dass es rechtskonform genutzt werden kann.
Google Analytics ist unter Seitenbetreibern ein sehr weit verbreitetes Programm, welches von Google (Google Inc., 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA) kostenlos angeboten wird. Bei Google Analytics handelt es sich nach unserer Erfahrung um das wohl beste Web-Analyse Programm. Mit Google Analytics gewinnen Sie viele Erkenntnisse und können ihre Website dementsprechend für ein besseres Nutzererlebnis optimieren. Im Idealfall steigern Sie durch diese Verbesserungen dann Ihnen Umsatz.
Der rechtskonforme Einsatz von Google Analytics wurde in der Vergangenheit jedoch schon häufig von den deutschen Datenschutzbehörden überprüft. Wir berichteten hier:
Google Analytics – Aufforderung: Landesbeauftragter für den Datenschutz Baden-Württemberg (vom 17. Februar 2014)
Google Analytics – Bußgeldandrohung durch das Datenschutzzentrum Saarland (vom 11. Januar 2013)
Im November 2009 hatte sich der Düsseldorfer Kreis, das bundesweite Gremium der Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich, zu den Voraussetzungen für eine datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internetangeboten geäußert (Beschluss vom 26./27.11.2009). Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat federführend für die Aufsichtsbehörden in Deutschland Verhandlungen mit Google geführt und sich darüber verständigt, wie Google Analytics angepasst werden muss, damit es die deutschen Nutzer datenschutzkonform einsetzen können. Als Ergebnis dieser Gespräche hat Google das Programm im Jahr 2011 angepasst, sodass es weitgehend den Anforderungen der Datenschützer entspricht, wenn folgende Anpassungen vorgenommen werden:
Schritt für Schritt Anleitung zum rechtskonformen Einsatz von Google Analytics
1. Operator ‚anonymizeIp‘ ins Skript einbinden, um das letzte Oktett der IP-Adresse zu anonymisieren
Google Analytics erfasst mit dem standardmäßig angebotenen Javascript-Code die vollständige IP-Adresse der Besucher. Dies ist nicht zulässig. Sie müssen daher den Befehl „_gaq.push([‚_gat._anonymizeIp‘]);“ (klassische Version) bzw. „ga(’set‘, ‚anonymizeIp‘, true);“ (Universal Analytics) in den Javascript-Code von Google Analytics auf der Website einfügen, um die gesammelten IP-Adressen entsprechend zu anonymisieren. Nur so ist Google Analytics datenschutzkonform einsetzbar. Das letzte Oktett der IP-Adresse wird dann (angeblich) vor der Speicherung auf den Servern von Google schon innerhalb Europas gelöscht, so dass dann keine eindeutige Identifizierung des Nutzers mehr möglich ist. Eine detaillierte Anleitung zur Anonymisierung finden Sie direkt bei Google. Diese manuelle Anpassung muss übrigens auf allen Unterseiten erfolgen, in welche Sie den Google Analytics Code eingebunden haben. Hier ein Beispiel für Universal-Analytics:
<script>  (function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){ (i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o), m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m) })(window,document,'script','//www.google-analytics.com/analytics.js','ga');  ga('create', 'UA-XXXXXXX-X', 'website-check.de'); ga('set', 'anonymizeIp', true); ga('send', 'pageview');  </script>
2. Vertrag zur Auftragsdatenverarbeitung nach § 11 BDSG
Sie müssen außerdem den von Google bereitgestellten Vertrag über die Auftragsdatenverarbeitung (§ 11 BDSG) ausfüllen und an Google übersenden. Dieser Vertrag dient zur Sicherstellung des ordnungsgemäßen Umgangs mit den Daten der Nutzer. Der Vertrag wurde mit den deutschen Datenschutzaufsichtsbehörden abgestimmt und ist hier zu finden.
TIPP: Agenturen können diesen Vertrag nicht im Namen der Kunden abschließen. Jeder Kunde muss einen eigenen Google Analytics Account haben und einen eigenen Vertrag über die Auftragsdatenverarbeitung (§ 11 BDSG) mit Google schließen. Änderungen an dem Muster werden von Google nicht akzeptiert und sind nicht zulässig. Wenn Sie dieses Muster nicht ohne Änderungen verwenden, können Sie Google Analytics also nicht rechtskonform einsetzen. Sie sollten einen Rücksendeumschlag zu dem Google-Vertrag in den Umschlag beilegen. Dieser muss nicht mehr frankiert werden, Google zahlt hier sogar das Porto für Sie. Schicken Sie den Vertrag in doppelter Ausfertigung an: Contract Administration Department, Google Ireland Ltd., Gordon House Barrow Street, Dublin 4, Ireland. Aktuell müssen Sie diesen mit 3,45 Euro (Update 27.10.2017: 3,70 Euro) frankieren (DHL – Großbrief International).
Die Datenschutzerklärung muss auf Ihrer Website vorhanden sein und diese muss über einen Link auf der Startseite erkennbar sein. Diese Datenschutzerklärung auf der Website muss um eine Klausel für Google Analytics erweitert werden.
Musterformulierung einer Klausel für Ihre Datenschutzerklärung noch ohne Hinweis auf Opt-Out Cookie:
Der Seitenbetreiber muss dem Seitenbesucher grundsätzlich ein Widerspruchsrecht (Opt-Out) einräumen, wenn Google Analytics anonymisiert eingesetzt wird. Für die Erhebung und Verarbeitung von personenbezogenen Daten, also falls Google Analytics nicht anonymisiert eingesetzt wird, ist nach deutschem Recht ein sog. Opt-In, also eine aktive Einwilligung gem. § 12 Abs. 2 TMG erforderlich.
§ 12 Abs. 2 TMG:
Durch die Anpassung des Javascript-Code von Google Analytics um die Funktion „anonymizeIp“ wird die IP-Adresse nicht mehr komplett erhoben, das letzte Oktett der IP-Adresse wird vor der Speicherung schon innerhalb von Europa gelöscht. Aus diesem Grund handelt es sich um eine Erstellung von pseudonymen Nutzungsprofilen und nicht mehr von personenbezogenen Daten. Hier gilt daher das weniger strenge Opt-Out-Prinzip gemäß § 15 Abs. 3 TMG.
§ 15 Abs. 3 TMG:
Es gibt aktuell (November 2014) zwei mögliche Wege diesem sog. Widerspruchsrecht nachzukommen. Beide haben sowohl rechtliche, als auch technische Vor- und Nachteile.
„Normaler Weg“, möglich seit 2011: und damit die Erfassung seiner Nutzungsdaten durch Google Analytics verhindern, wenn der Nutzer ein Deaktivierungs-Add-On für seinen Browser installiert. Der Link zum Deaktivierungs-Add-On sollte daher für den Besucher der Website wahrnehmbar sein. Nachteile: Das Browser Add-On ist nicht für jeden Browser verfügbar und es funktioniert nicht von mobilen Geräten.
„Neuerer Weg“, möglich seit ca. Mitte 2013: „Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit“ fordert seit März 2013 außerdem eine umfassendere Opt-Out Möglichkeit, da das oben dargestellte Deaktivierungs-Add-On für Browser nicht von mobilen Geräten wie Tablets und Smartphones funktioniert und auch nicht für alle möglichen Browser verfügbar ist. Dazu ist lediglich der Aufruf eines Links nötig, welcher dann einen entsprechenden Cookie setzt. Wir empfehlen Ihnen nochmal einen klarstellenden Hinweis zwischen der Klausel Google Analytics und dem Link zum Opt-Out Cookie einzubinden. Dieser könnte so aussehen:
So sieht das eigentliche Script zum Opt-Out bei Verwendung von Universal Analytics aus:
<script> // Set to the same value as the web property used on the site var gaProperty = 'UA-XXXX-Y'; // Disable tracking if the opt-out cookie exists. var disableStr = 'ga-disable-' + gaProperty; if (document.cookie.indexOf(disableStr + '=true') > -1) {   window[disableStr] = true; } // Opt-out function function gaOptout() {   document.cookie = disableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';   window[disableStr] = true; } </script>
Diese Funktion sollte unter der Google Analytics Klausel in die Datenschutzerklärung (Einen Mustertext finden Sie oben) eingebunden werden. Hier müssen natürlich noch die englischen Bezeichnungen angepasst werden. Durch die Einbindung dieser eigenen Widerspruchslösung ist nun ein Opt-Out unabhängig von Browsern möglich. Quelle: https://developers.google.com/analytics/devguides/collection/gajs/?hl=de%23disable
Sie erhalten übrigens keine Rückmeldung, wenn der Cookie gesetzt wurde. Hier sind diverse Möglichkeiten mittels jQuery, etc. möglich, um eine Rückmeldung zu erhalten. Auf diese Möglichkeiten gehen wir hier jedoch nicht im Detail ein, da Sie juristisch nicht erforderlich sind. Sie können jedoch in Ihrem Browser prüfen, ob der Cookie gesetzt wurde:
Problematisch ist bei dieser Lösung jedoch nach unserer Einschätzung, dass Sie, bis Sie den Link anklicken, von Google Analytics erfasst werden. Löschen Sie Ihre Cookies in Ihrem Browser, müssen Sie übrigens diesen Link erneut klicken. Falls Sie von einem Desktop-Rechner ins Internet gehen und das Browser Add-On verwenden, werden erst gar keine Daten zu Google Analytics übertragen. Dies gilt natürlich auch bei Verwendung von entsprechend konfigurierten Tools wie „Ghostery“ oder „NoScript“. Es macht trotzdem, nach unserer Einschätzung absolut Sinn diese Funktion einzubauen, da vor allem die Nutzung von mobilen Browser weiter zunehmen wird. Die beste und vor allem sicherste Lösung scheint hier eine Kombination aus dem Browser Add-On und der Einbindung des Links zum Opt-Out-Cookie. Im Rahmen der „EU-Cookie-Richtlinie“ können sich in Zukunft u.U. weitere Vorgaben ergeben, die eine erneute Anpassung des Einsatzes von Google Analytics erforderlich machen.
Sie müssen alle bisher von Google Analytics erhobenen Daten löschen, falls diese nicht anonymisiert erfasst wurden. Google Analytics bietet hierfür nur den Weg an, den Account zu löschen und einen neuen anzulegen. Es ist zwar unwahrscheinlich, jedoch trotzdem denkbar, dass Sie von den zuständigen Aufsichtsbehörden im Rahmen eines möglichen Kontrollverfahrens nach der Löschung gefragt werden.
Sollten sie Google Analytics nicht in Verbindung mit dem Operator „_gaq.push([‚_gat._anonymizeIp‘]);“ (klassische Version) bzw. „ga(’set‘, ‚anonymizeIp‘, true);“ (Universal Analytics) einsetzen, führt auch der Cookie und das Browser Add-On nicht zum rechtskonformen Einsatz. Der Opt-Out Cookie macht in Verbindung mit der anonymisierten IP-Adresse aber absolut Sinn, auch wenn es bisher noch keine Rechtsprechung zu der Cookie-Lösung gibt. Abmahnungen durch Mitbewerber sind jedoch auf jeden Fall möglich und auch denkbar. Die Umsetzbarkeit für den Laien ist jedoch kaum möglich, da hier zumindest Grundkenntnisse in HTML und Javascript erforderlich sind. Bei Piwik ist die Gestaltung und Einbindung dieser Opt-Out Lösung sehr viel einfacher. Wir berichteten darüber bereits ausführlich.
Bezüglich der Beratung innerhalb von Kampagnen und der technischem Umsetzung bzgl. der Cookies arbeiten wir mit der Internet Marketing Agentur aus Saarbrücken zusammen:
Autor: Johnny Chocholaty LL.B. (Verfasst am 20. November 2014)