WEB-Compliance
Ist Google Analytics DSGVO-konform einsetzbar?
Die 6 Punkte Checkliste zur datenschutzkonformen Nutzung
17. Januar 2022
Die Frage, ob Google Analytics unter bestimmten Voraussetzungen der DSGVO entsprechend genutzt werden kann, beschäftigt viele Webseitenbetreiber schon lange. Das kostenlose Tool ist auf vielen Seiten integriert und liefert dort wertvolle Statistiken zur Nutzung. Das Europäische Zentrum für digitale Rechte (NOYB) hat in allen europäischen Staaten eine Klage gegen die Einbindung von Google Analytics angestrengt. Nun ist hierzu ein erster aktueller Bescheid der österreichischen Datenschutzbehörde ergangen, dessen Grundaussage wohl auch in anderen Ländern ähnlich zu erwarten ist.
Die österreichische Datenschutzbehörde stellt zunächst fest, dass für die Nutzung von Google Analytics zum Klagezeitpunkt 2020 personenbezogene Daten direkt an Google in den USA übermittelt wurden. Die Standarddatenschutzklauseln in der Auftragsverarbeitervereinbarung zwischen der Webseitenbetreiberin und Google Analytics hätten hierfür kein angemessenes Schutzniveau gemäß Art. 44 DSGVO geboten, da sie die Überwachungs- und Zugriffsmöglichkeiten durch US-Nachrichtendienste nicht ausgeschlossen hätten.
Das Bestimmungsdrittland gewährleiste nach Maßgabe des Unionsrechts keinen angemessenen Schutz der auf der Grundlage von Standarddatenschutzklauseln übermittelten personenbezogenen Daten, in diesem Fall vor allem eine dem Nutzer von Google zugeordnete, identifizierbare Kennnummer sowie Browserdaten und die IP-Adresse. Diese können von den US-Nachrichtendienten genutzt und auch aktiv angefordert werden.
Sprechen Sie uns an.
Wir beraten Sie gerne
+49 251 95 20 37 - 40
Ihr Ansprechpartner
Jörg ter Beek
+49 251 95 20 37 - 40
[email protected]
Ihr Datenschutzbeauftragter
- zehnjährige Praxiserfahrung
- TÜV-zertifizierter Datenschutzbeauftragter
- ISMS-Auditor
- Expertise in Datenschutzberatung und IT-Security
Weitere Informationen zu Jörg ter Beek finden Sie auf seinem XING-Profil oder LinkedIn-Profil.
Die österreichische Datenschutzbehörde stellt fest, dass die Webseitenbetreiberin als Datenexporteurin an ein US-Unternehmen tätig geworden ist, ohne hierauf in der Datenschutzerklärung der Webseite hinzuweisen. Die Datenübermittlung lässt sich nicht durch Artikel 45 DSGVO rechtfertigen, da die Standarddatenschutzklauseln solcher Verträge die Datenverarbeitung personenbezogener Daten durch Behörden nicht abdecken bzw. ausschließen.
Google Analytics gab im Verfahren zu, dass es selbst Zugriff auf die Daten hat und durch die US-Gesetzgebung verpflichtet ist, diese auch im Klartext an Behörden herauszugeben. Hier wären weitere technische und organisatorische Maßnahmen zu ergreifen, um ein Datenschutzniveau herzustellen, das dem in den DSGVO definierten Niveau entspricht. In der gegenwärtigen Konstellation sind die Schutzmaßnahmen unzureichend, befand die Behörde.
Hinweis zum Klagefall
Im hier verhandelten konkreten Fall waren die Daten direkt in die USA übermittelt worden. Die Behörde hat sich ausdrücklich nicht mit der aktuellen Konstellation, dass Google inzwischen eine europäische Tochter in Irland betreibt, sowie mit den Zugriffsrechten von US-Behörden auf die dort verarbeiteten Daten beschäftigt.
Einsicht in den Bescheid der österreichischen Datenschutzbehörde finden Sie auf den Seiten von NOYB.
Nach diesem Bescheid liegt Aufgabe, auf die Datenübermittlung in ein nicht sicheres Drittland hinzuweisen, eindeutig und ausschließlich beim Webseitenbetreiber, auf dessen Seiten Analysetools wie hier Google Analytics eingesetzt und die Datenübermittlungen konfiguriert werden.
Die DSGVO-konforme Konfiguraton von Google Analytics
Google Analytics – das Trackingtool der Google LLC, das der Datenverkehrsanalyse von Webseiten dient ist nach dem letzten Urteil des EuGHs und der Pressemitteilung der Aufsichtsbehörde für Datenschutz nun nur noch mit Einwilligung zulässig.
Somit sind für den datenschutzkonformen Einsatz von Google Analytics, laut Aufsichtsbehörde, weitere Vorgaben zu beachten. Wir haben Ihnen eine Checkliste erstellt, mit der Sie Google Analytics kinderleicht datenschutzkonform nutzen können:
6 Punkte Checkliste - Google Analytics datenschutzkonform nutzen
1. Abschluss eines AVV
Wenn Webseitenbetreiber Google Analytics verwenden, nehmen diese laut Aufsichtsbehörden die Rolle des Auftragnehmers ein. Somit ist ein Vertrag zur Auftragsverarbeitung abzuschließen.
Doch wie macht man das?
Ich habe schon einen Vertrag abgeschlossen – was ist zu beachten?
Wenn Sie zum Zeitpunkt der Anwendbarkeit der DSGVO bereits einen Auftragsverarbeitungsvertrag mit Google geschlossen haben, muss nicht zwingend ein neuer Vertrag abgeschlossen werden. Falls Sie Ihren Vertrag jedoch vor September 2016 geschlossen haben, müssen Sie einen neuen Vertrag mit Google abschließen.
2. Anpassung der Tracking-Codes
Anonymisieren Sie zuerst die IP-Adressen
Da der von Google vorgegebene Tracking Code die Anforderungen der DSGVO erfüllt, müssen Sie den jeweiligen Tracking-Code eigenhändig anpassen. Durch die Code-Erweiterung „anonymizeIp“ wird eine datenschutzkonforme Nutzung von Google Analytics ermöglicht. Denn so werden die letzten 8 Bit der IP-Adresse gelöscht und eine Zuordnung der Daten ist nicht mehr möglich – die IP-Adresse kann lediglich grob lokalisiert werden.
Räumen Sie ein Widerspruchsrecht ein
Um das Widerspruchsrecht zu erfüllen, müssen Sie den Betroffenen die Möglichkeit bieten, gegen die Erstellung eines Nutzerprofils widersprechen zu können. Ein von Google entwickeltes Deaktivierungs-Add-on kann Abhilfe schaffen. Das Problem hierbei: das Add-on ist nicht auf allen Endgeräten installierbar. Deshalb muss das Skript ergänzt werden, um sicher Opt-Out-Cookies setzen zu können. Durch diese Cookies haben die Nutzer die Möglichkeit, eine zukünftige Datenerfassung zu verhindern.
Ein einfaches Opt-Out ist jedoch nicht die generelle Lösung. Da Universal Analytics geräteübergreifend trackt, muss der Nutzer seinen Widerspruch auf allen genutzten Systemen äußern. Denn nur so wird die geräteübergreifende Zuordnung der Nutzer zu einer angelegten User-ID verhindert.
3. Festlegung der Aufbewahrungsdauer der Daten
Seit Mai 2018 bietet Google zusätzliche Steuerelemente zur Datenaufbewahrung an. Die Aufbewahrungsdauer gilt jedoch nur für die Daten, die auf Nutzer- und Ereignisebene mit Cookies, User IDs oder Werbe-IDs verknüpft sind – aggregierte Daten zählen nicht dazu.
26 Monate lang dürfen die Nutzer- und Ereignisdaten nach den Voreinstellungen gespeichert werden. Dabei ist der Button „bei neuer Aktivität zurücksetzen“ standardmäßig aktiviert. Um den Auflagen der DSGVO zu entsprechen, die eine maximale Speicherdauer von 14 Monaten vorsieht, sollten Sie die Speicherdauer ändern.
Wie ändere ich die Aufbewahrungsdauer?
4. Anpassung der Datenschutzerklärung
Falls Sie Google Analytics nutzen, müssen Sie dies in Ihrer Datenschutzerklärung angeben. Früher hat Google Analytics eine Vorlage angegeben, die Sie einfach in Ihre Datenschutzerklärung kopieren konnten. Diese wird heute nicht mehr angeboten. Falls Sie die alte Version jedoch noch verwenden, müssen Sie diese mit einigen Aspekten ergänzen, um datenschutzkonform zu sein:
Falls Sie diese Datenschutzerklärung jedoch nicht verwenden möchten oder sich unsicher sind, ob Ihre Version den Ansprüchen der DSGVO gerecht wird, kontaktieren Sie uns gerne und wir erstellen Ihnen eine garantiert DSGVO-konforme Datenschutzerklärung.
Oder nutzen Sie Cookiebox.pro und erhalten Sie die Datenschutzerklärung-as-a-Service.
5. Einholung der Einwilligung
Webtracking soll nach dem Positionspapier der DSK nur noch mit einer vorherigen und informierten Einwilligung des Nutzers möglich sein. Sollten Sie die Einwilligung vorher nicht einholen, riskieren Sie Bußgelder oder eine Abmahnung durch Aufsichtsbehörden.
Beachten Sie: aktivieren Sie Tracking Cookies erst nach der Zustimmung des Nutzers. Dies lässt sich durch ein Cookie-Consent-Tool beim Aufruf der Seite kinderleicht erledigen.
6. Löschung von alten Daten
Falls Google Analytics Nutzerprofile ohne IP-Anonymisierung erstellt hat, müssen Sie diese Daten umgehend löschen.
So löschen Sie die Altdaten:
Fazit
Was Sie nach dieser Checkliste beachten sollten:
Ein datenschutzkonformer Einsatz von Analyse-Tools ist somit möglich. Beachten Sie jedoch, dass sich die Rechtslage hierzu jederzeit ändern kann. So kann die datenschutzkonforme Nutzung eines Analyse-Tools heute in einem Monat schon rechtswidrig sein. Ruhen Sie sich deshalb nicht auf einmal ausgewählten Einstellungen oder einer einmal erstellten Datenschutzerklärung aus. Möglicherweise sind zukünftig weitere Änderungen erforderlich.
Kontaktieren Sie uns, um im Thema Datenschutz jederzeit auf dem neuesten Stand zu sein. Wir beraten Sie gerne oder erstellen Ihnen eine Datenschutzerklärung, die garantiert jederzeit datenschutzkonform ist!
Sie haben noch Fragen zum Thema oder zum Datenschutz im Allgemeinen?
Wir helfen Ihnen gerne:
Ihr Ansprechpartner
Jörg ter Beek
Datenschutzexperte