Source: https://diercks-digital-recht.de/2018/05/der-rechtskonforme-einsatz-von-google-analytics-bzw-universal-analytics-unter-der-dsgvo-teil-12-zur-eu-dsgvo-cookies-und-tracking/
Timestamp: 2019-03-19 08:24:16
Document Index: 150835335

Matched Legal Cases: ['Art. 4', 'Art. 4', 'Art. 6', 'Art. 6', 'Art. 12', 'Art. 6', 'Art. 6', 'Art 6', 'Art.6']

Der rechtskonforme Einsatz von Google Analytics bzw. Universal Analytics unter der DSGVO - Teil 12 zur EU-DSGVO, Cookies und Tracking | Diercks Digital Recht
Dieses DSK-Papier hat sicher nicht nur den Online-Marketers, sondern vor allem auch den unzähligen Webseiten-Betreibern, die Universal Analytics (Google Analytics) auf der eigenen Seite implementiert haben, den Schweiß auf die Stirn getrieben. Geht das jetzt noch!? Müssen wir es rausnehmen? Dürfen wir überhaupt noch was?
Da diese Frage natürlich auch meine Mandantschaft umtreibt und ich sie ohnehin gefühlt 1.000 Mal beantworten muss, hier einmal kurz meine Ausführungen dazu:
Good News! Google is working for you!
Google bereitet sich natürlich mächtig auf die DSGVO vor und so erreichte viele Nutzer von Google Analytics um den 28. April auch eine Nachricht im Hinblick auf GDPR & Google Analytics.
Ach so, kurzer Einschub, warum rede ich hier immer von Universal Analytics und Google Analytics? Nun, Universal Analytics ist der neueste Betriebsstandard von Google Analytics. Universal Analytics ermöglich über eine User-ID z.B. das Cross-Device Tracking und erlaubt benutzerdefinierte Messwerte/-standards. Kurz: Aus Sicht des Trackenden mehr Funktionen, mehr Informationen.
Hö!? Das geht doch nun aber unter der DSGVO gerade nicht mehr!?
Auf den Google-Analytics-Hilfeseiten heißt es hierzu:
Dies soll dadurch umgesetzt werden, dass mit Universal Analytics nur noch eine User-ID gesetzt wird (welche eben das Cross-Device-Tracking ermöglicht). Hiermit soll die Identifizierung des einzelnen Users ausgeschlossen sein. Nun, wenn eine Identifizierung ausgeschlossen wäre, dann wäre es keine Pseudonymisierung, sondern eine Anonymisierung und wir wären noch nicht einmal im Anwendungsbereich der DSGVO. Das klingt zu schön, um wahr zu sein? Ja, das klingt zu schön, um wahr zu sein. Denn der Anwendungsbereich der DSGVO ist eröffnet, wenn es sich um personenbezogene Daten im Sinne von Art. 4 Abs. 1 DSGVO handelt und danach sind
„personenbezogene Daten“ alle Informationen, die sich auf […] identifizierbare natürliche Person […] beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie […] einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der[…] wirtschaftlichen, […] Identität dieser natürlichen Person sind“.
Und wenn man das so liest und ein Cross-Device-Tracking bis hin zu einem Purchase verfolgen kann, dann wird ziemlich schnell klar, dass es sich bestenfalls um eine Pseudonymisierung handelt.
Mit hin handelt es sich bei der User-ID von Universal Analytics um eine Online-Kennung im Sinne von Art. 4 Abs. 1 DSGVO und damit um ein personenbezogenes Datum.
Diese Form des Trackings könnte man versuchen auf Art. 6 I f) DSGVO stützen, aber ehrlicherweise sprechen hier wohl überwiegende berechtigte Interessen der Nutzer gegen ein umfassendes Cross-Device-Tracking. Von daher müsste hier die Einwilligung der Nutzer eingeholt werden. Das ist äußerst unpraktikabel.
Damit das Erstellen von Nutzerprofilen auch weiterhin nach Maßgabe von Art. 6 I f) mittels GA bzw. UA durchgeführt werden kann, muss man gar nicht so viel anders machen als bisher:
Einen Auftrags(daten)verarbeitungsvertrag mit Google LLC abschließen. Dieser Vertrag findet sich hier.
Den Zusatz zur Datenverarbeitung von Analytics mit Google abschließen, damit das Ganz den Anforderungen der DSGVO angepasst wird. Dabei müssen die folgenden Informationen angegeben werden:
Den Verantwortlichen (sprich die juristische Person, die für die Datenverarbeitung verantwortlich ist),
einen primären Kontakt (d.h. eine Person/ein Kontakt, an denen Mitteilungen in Bezug auf die Datenverarbeitungsbedingungen gesendet werden können,
Datenschutzbeauftragter, wenn und soweit ein solcher zu benennen ist,
ggf. einen EWR-Beauftragten, der nicht in der EU befindliche Unternehmen im Hinblick auf ihre Verpflichtungen gemäß der DSGVO vertritt.
Implementierung der Funktion IP-Maskierung („anonymizeIP“), damit das letzte Oktett der IP-Adresse vor jeglicher Speicherung gelöscht wird, so dass darüber keine Identifizierung des Nutzers mehr möglich ist;
Implementierung des Deaktivierungs-Add-On, mit dem dem Nutzer einer Webseite die Möglichkeit zum Widerspruch (Opt-out) gegen die Erfassung von Nutzungsdaten eingeräumt wird (für alle gängigen Browsern).
Implementierung des sg. „Disabling Tracking„; ein Opt-Out-Cookie, mit dem der User durch einen einfachen Klick das Analytics-Tracking unterbinden kann. Dies ist notwendig, weil das zuvor genannte Deaktivierungs-Add-On mobil nicht funktioniert. Google gibt dazu hier eine Hilfestellung.
Implementierung von Informationen zur Datenverarbeitung (IDV) im Sinne von Art. 12, 13 DSGVO (besser bekannt unter dem Namen: Datenschutzerklärung) im Hinblick auf Google-Analytics.
Keine Aktivierung der User-ID!
Also, so schlimm ist es gar nicht, bzw. nicht viel anders als bisher auch.
Was Sie sonst noch tun können (und müssen), um zu verhindern, dass Google über Google bzw. Universal Analytics personenbezogene Daten von Ihnen erhält, das können Sie unter „Best Practises: Keine personenbezogenen Daten senden“ nachlesen.
Wenn Sie diese Schritte befolgen sollte meiner Ansicht nach nichts gegen den rechtmäßigen Einsatz von Google Analytics bzw. Universal Analytics unter Art. 6 I f) DSGVO sprechen.
Natürlich setzt Google weiterhin einen Cookie. Mit diesem werden die Informationen
verarbeitet. (Sonst könnte ja gar kein Nutzerprofil errichtet werden).
Wenn Sie selbst die Anforderungen des DSK-Papier vorauseilend erfüllen möchten, weil Sie nicht das Risiko eingehen möchten, auf Basis dieses Positionspapiers der Untersuchung einer Aufsichtsbehörde oder aber einer wettbewerbsrechtlichen Abmahnung wegen einer (vermeintlichen) Datenschutzverletzung ausgesetzt zu sein, dann müssten Sie von jedem User vor Setzen des Cookies eine Einwilligung einholen.
Wem das technisch für ein einfaches GA-Tracking-Cookie zu umständlich ist (fürwahr, fürwahr) und wer das Risiko nicht gehen möchte, dem bleibt nur das Abschalten.
Ich muss das hier so schreiben, sonst heißt es noch, ich hätte erklärt, GA sei absolut risikofrei zu nutzen. Dabei kann ich weder in die Aufsichtsbehörden, die meinen, das DSK-Papier wäre diesbezüglich stichhaltig, noch in Anwälte von Ihren Wettbewerbern reinschauen, die meinen, es wäre total toll wegen eines – vermeintlichen – Datenschutzverstoßes bei der Implementierung von GA mit einer Abmahnung vorzugehen. Ich halte die Erfolgschancen für hoch, dass diese hier beschriebene Vorgehensweise am Ende des Tages als zulässige Datenverarbeitung nach Art. 6 I f) DSGVO erklärt wird, aber ich kann nicht garantieren, dass es an dieser Stelle niemals zu einer behördlichen/anwaltlichen Auseinandersetzung kommen wird.
Wie Google sonst noch unterstützend bei der Umsetzung der DSGVO im Hinblick auf Analytics wirkt
Daneben hat Google bzw. wird Google zum 25. Mai ein Management der Datenaufbewahrung ermöglichen. Sprich, Google wird seinen Kunden ermöglichen, den Löschverpflichtungen nachkommen zu können. Mehr dazu finden Sie hier.
Nun machen wir einfach mal alle weiter mit der Umsetzung der DSGVO und atmen dabei auch alle gleichmäßig weiter.
ich hoffe, Sie haben einen schönen Tag der Arbeit!
Mai 2, 2018 at 9:08 am
Tracking ist nicht gleich Tracking. Wenn man überlegt, ob ein Tracking ohne Einwilligung mit der DSGVO zulässig sein soll, sollte man nicht alles Tracking in einen Topf werfen. Weder das Festmachen an Cookies noch an dem Begriff des Profils bringt einen da wirklich weiter. Ein Vergleich von z.B. Google Analytics und einer lokalen Matomo-Installation macht aber deutlich, dass hier weder die DSK noch die vielen Leute, die jetzt dagegen halten hier ausreichend differenzieren:
Bei Google Analytics erfolgt
– eine Datenübermittlung in die USA
– werden die Daten mit den Daten des Trackings auf anderen Website, sowie mit den Daten aus allen Google-Applikationen zusammengeführt – also auch die Daten z.B. aus den Inhalten der eigenen Mails im gmail-Account
– eine Zusammenführung Device-übergreifend
– eine Zusammenführung mit den von Google ebenfalls erfassten Standortdaten
Daher halte ich die Argumentation mit berechtigten Interessen des Websitebetreibers für nicht mehr vertretbar. Vielmehr sehe ich durch dieses umfangreiche Zusammenführen besonders hohe Anforderungen an Einwilligung und Aufklärung. Das Kürzen der IP-Adresse sowie die Aufforderungen Namen etc. nicht an Google über das Tracking zu senden, halte ich für Nebelkerzen. Diese Informationen hat Google bereits. Es ist so, als ob man das Nummernschild eines Autos schwärzt und behauptet damit datenschutzkonform zu werden, obwohl Besitzer des Fahrzeugs und Identität der Insassen bekannt ist.
Wird dagegen eine lokale Installation von z.B. Matomo verwendet, erfolgt all dieses nicht. Dort werden die Daten nur zur Nutzungsanalyse der einzelnen Website verwendet. Ein Datenabgleich mit anderen Nutzungen erfolgt nicht. Eine Datenübermittlung in die USA erfolgt auch nicht. Es erfolgt auch keine Verbindung mit (genauen) Standortdaten.
Daher halte ich die Argumentation der DSK bzgl. Matomo für überzogen und wenig vertretbar. Sehr problematisch halte ich dagegen Google Analytics ohne explizite Einwilligung zu verwenden. Google Analytics macht deutlich mehr als man über „berechtigte Interessen“ des Website-Betreibers rechtfertigen kann. Wer Google Analytics einsetzt, bekommt eine „kostenlose“ Nutzungsanalyse seiner Website und „bezahlt“ dabei mit den Daten seiner Nutzer. Genau aber dies ist mit dem „berechtigen Interesse“ des Website-Betreibers sicherlich nicht gedeckt.
Mai 4, 2018 at 8:41 am
eben darauf, dass Tracking nicht gleich Tracking ist, weist der Artikel gerade hin.
Daneben – wie ich Ihnen auf Twitter schon mitteilte – ist gerade bei Google Analytics zu unterscheiden, welche Form eingesetzt wird. Die „Vollversion“ (problematisch) oder wie hier aufgezeigt, die datenschutztechnisch erheblich reduzierte Form, die insbesondere von Google im Zuge der GDPR noche einmal angepasst wurde.
Im Übrigen ist eine Datenübertragung in die USA nicht per se unzulässig, wie Sie hier suggerieren.
Darüber hinaus sind zweierlei Dinge zu unterscheiden: Zum einen die Frage, ob und wenn ja, welche Form des GA-Trackings ein Webseitenbetreiber einsetzt. Und zum anderen in wie weit Google sich daraus ergebende Daten überhaupt mit einem Nutzer verknüpfen kann. Ihr Beispiel im Hinblick darauf, dass Daten von Webseitenbewegungen eines Nutzers mit seinem Google-Konto und insbesondere seinem Gmail-Account verknüpft werden, hat nun nicht dasjenige Unternehmen/derjenige Webseitenbetreiber in der Hand, der GA einsetzt. GA selbst verknüpft eben die Daten nicht mit anderen Nutzerdaten (so Google). Ob der Nutzer nun umfassende Einwilligungen abgegebenen hat, dass seine Bewegungen im Web (Browser, Mobiltelefon, Google-ID, GPS, Google-Anfragen, G-Mail etc. pp. miteinander verknüpft werden, das liegt hingegen in der Hand des jeweiligen Nutzers.
Wundervoll, danke für die Klarstellung. Das sehe ich schon seit langem auch so.
Und berechtigtes Interesse (Art 6, Abs 1 lit f) gibt es beim Einsatz von Werbemitteln wie AdWords mehr als genug, wo die Analytics Zielvorhaben als Conversions gezeigt werden.
Nur eine kleine Korrektur zum Beitrag: „Implementierung des Deaktivierungs-Add-On“.
Das ist Sache der Nutzer/innen in ihrem Browser, das kann nicht auf/in der Website installiert werden. Man kann nur das Tool verlinken.
Was dagegen m.E. noch fehlt, ist das Deaktivieren von „Remarketing“ (seufz) und der „Funktionen für Werbeberichte“. Dazu soll man auch laut Google (https://www.google.com/about/company/user-consent-policy.html) von den EU-Nutzern erst die EInwilligung einholen. Das wird nie passieren, daher kann man’s gleich deaktivieren.
Mai 10, 2018 at 9:38 am
Lieber Herr Durschanek,
Sie haben recht, „Implementierung“ ist an der Stelle missverständlich. Gemeint ist aber genau das, was Sie sagen, der Link zum Tool muss innerhalb der Information zur Datenverarbeitung integriert werden.
Danke auch für die weiteren Anmerkungen!
Mai 2, 2018 at 6:02 pm
Hmm….und was ist wenn wir GA innerhalb der Firma nutzen? Auch Art.6f….?
Mai 4, 2018 at 8:33 am
Was meinen Sie mit „innerhalb der Firma“? Im Intranet?
Werthschitzky
Mai 4, 2018 at 12:58 pm
Ja…im Intranet….speziell meine ich dann ob ich als Firma einen Vertrag brauche oder ob die Kollegen das Ganze mit Ihrem privaten user account mit der „free“-Version nutzen können und das ganze immer noch von 6f gedeckt wird ?
Mai 10, 2018 at 9:35 am
Wenn das Unternehmen US/GA zum Tracking des Intranets nutzt, dann muss der Verantwortliche (also die Firma) selbstverständlich das Ganze ordnungsgemäß implementieren. Schließlich werden in dem Fall die Mitarbeiter-Daten verarbeitet.
Und ehrlich gesagt, verstehe ich die Anmerkungen, ob die Kollegen das als „free“ Version mit „privaten User-Accounts“ nutzen können überhaupt nicht. Reden Sie hier von Analytics oder von G-Mail/G Suite?
Mai 7, 2018 at 7:11 pm
uuppss…..meine Antwort ist weg ??? Ich meinte ja, im Intranet
Mai 10, 2018 at 9:36 am
Nein, nicht weg. Die Kommentare werden von mir freigeschaltet. Daneben gilt: Der Blog wird von mir „nebenbei“ betrieben. Gerne stelle ich hier Informationen kostenfrei zur Verfügung. Aber ein Anspruch auf die Beantwortung konkreter Rechtsfragen besteht nicht und schon gar nicht innerhalb bestimmter Zeitfenster. Ich bitte hier um hier Verständnis.
Mai 4, 2018 at 8:13 am
[…] https://diercks-digital-recht.de/2018/05/der-rechtskonforme-einsatz-von-google-analytics-bzw-univers&#8230; […]
Datenschutz-Grundverordnung in Arztpraxen | IT-Praxisberatung
Mai 5, 2018 at 11:03 am
[…] dass das Risiko von Abmah­nun­gen min­i­mal ist. Notwendi­ge Schritte wer­den in diesem Anwalts-Blog über­sichtlich […]
Mai 9, 2018 at 10:19 am
aufgeräumter informativer Text,
gewürzt mit einer gewissen Prise
Derart verpackt, habe ich bisher
nichts über dieses Thema gelesen.
Gefällt mir. Kompliment.
Der Sinn der DSGVO ist sicher berechtigt,
gerade für den Seitenbesucher, der nach wie vor,
auf alles klickt, was man ihm vor die Nase hält.
Nein, sterben wird keiner, es schafft Arbeit.
Vorher verdienen Berater, nachher die Abmahner.
Mai 19, 2018 at 4:00 pm
[…] „Der rechtskonforme Einsatz von Google Analytics bzw. Universal Analytics unter der DSGVO“ von RAin Nina Diercks. […]
Oktober 1, 2018 at 1:23 pm
[…] sind hierzu auch die Beiträge der Kollegen/in Stephan Hansen-Oest, Martin Schirmbacher und Nina Diercks, die im Wesentlichen zu dem selben Ergebnis […]
[…] Der rechtskonforme Einsatz von Google Analytics bzw. Universal Analytics unter der DSGVO – Teil 12… | Nina Diercks | 01.05.2018 […]