Sehr viele Firmenwebsites, die wir uns anschauen, nutzen Google Analytics. Und bei erstaunlich vielen davon gibt es ein Problem: Die Einbindung entspricht nicht den Vorgaben der deutschen Datenschutzaufsicht. Dabei ist Google Analytics datenschutzkonform einzusetzen gar nicht so schwer. Es sind fünf Schritte, die man einmal sauber erledigen muss. Wir zeigen sie Ihnen nach dem heutigen Stand, ohne dass Sie Jurist oder Programmierer sein müssen.
Warum Google Analytics ein Datenschutzthema ist
Google Analytics erfasst, wie Besucher Ihre Website nutzen: welche Seiten sie aufrufen, wie lange sie bleiben, woher sie kommen. Dabei werden unter anderem IP-Adressen verarbeitet und Cookies gesetzt. IP-Adressen gelten nach Auffassung der deutschen Aufsichtsbehörden als personenbezogene Daten. Damit greift das Datenschutzrecht, konkret das Telemediengesetz und das Bundesdatenschutzgesetz.
Nach dem Telemediengesetz dürfen Websitebetreiber Nutzungsprofile unter einem Pseudonym erstellen, wenn der Nutzer nicht widerspricht und darüber informiert wird. Auf dieser Grundlage hat sich die Datenschutzaufsicht vor einigen Jahren mit Google auf Bedingungen verständigt, unter denen der Einsatz von Google Analytics in Deutschland zulässig ist. Diese Bedingungen sind seitdem der Maßstab.
Google Analytics und Datenschutz: Die fünf Schritte
1. Vertrag zur Auftragsdatenverarbeitung abschließen
Google verarbeitet die Daten in Ihrem Auftrag. Dafür verlangt das Bundesdatenschutzgesetz einen schriftlichen Vertrag zur Auftragsdatenverarbeitung. Google stellt dafür einen vorbereiteten Vertrag bereit. Diesen laden Sie herunter, füllen ihn aus, unterschreiben ihn und schicken ihn an Google. Bewahren Sie eine Kopie und das Absendedatum auf. Viele Websitebetreiber übersehen genau diesen Schritt.
2. IP-Adressen anonymisieren
Google Analytics kann die IP-Adresse kürzen, bevor sie gespeichert wird. Diese Funktion ist aber nicht automatisch aktiv. Sie muss im Tracking-Code ausdrücklich eingeschaltet werden, über die Anweisung „anonymizeIp“. Ihr Webdesigner oder Ihre Agentur weiß, was gemeint ist. Prüfen Sie im Quelltext Ihrer Website, ob der Befehl tatsächlich vorhanden ist. Bei Plugins für Content-Management-Systeme gibt es dafür meist ein Häkchen in den Einstellungen.
3. Widerspruchsmöglichkeit anbieten
Besucher müssen der Erfassung widersprechen können. Google bietet ein Browser-Add-on an, mit dem Nutzer die Erfassung für alle Websites abschalten können. Da dieses Add-on auf Smartphones und Tablets nicht überall funktioniert, empfehlen die Aufsichtsbehörden zusätzlich einen Link in der Datenschutzerklärung, der ein sogenanntes Opt-out-Cookie setzt. Danach erfasst Google Analytics diesen Besucher auf Ihrer Website nicht mehr.
4. Datenschutzerklärung anpassen
In Ihrer Datenschutzerklärung muss stehen, dass Sie Google Analytics einsetzen, welche Daten erfasst werden, dass die IP-Adresse gekürzt wird und wie Besucher widersprechen können. Mustertexte gibt es, sie müssen aber zu Ihrer tatsächlichen Konfiguration passen. Wer zusätzliche Funktionen wie Remarketing oder demografische Merkmale nutzt, muss auch darüber informieren.
5. Altdaten löschen
Wenn Sie Google Analytics bisher ohne diese Maßnahmen genutzt haben, wurden die Daten nach Ansicht der Aufsichtsbehörden unzulässig erhoben. Die Empfehlung lautet daher, das alte Profil zu löschen und mit einem neuen, sauber eingerichteten Profil neu zu beginnen. Das schmerzt ein wenig, weil die Vergleichswerte verloren gehen. Rechtlich ist es aber der saubere Weg.
Übersicht zum Abhaken
| Maßnahme | Wo zu erledigen | Erledigt? |
|---|---|---|
| Vertrag zur Auftragsdatenverarbeitung | unterschrieben an Google senden | ☐ |
| IP-Anonymisierung | Tracking-Code bzw. Plugin-Einstellung | ☐ |
| Opt-out per Browser-Add-on | Hinweis in der Datenschutzerklärung | ☐ |
| Opt-out-Cookie für mobile Geräte | Link in der Datenschutzerklärung | ☐ |
| Datenschutzerklärung aktualisiert | Website | ☐ |
| Altdaten gelöscht bzw. neues Profil | Analytics-Verwaltung | ☐ |
Weitere Einstellungen, die wir empfehlen
- Datenfreigabe einschränken: In den Kontoeinstellungen lässt sich festlegen, ob Google Ihre Daten für eigene Zwecke nutzen darf. Schalten Sie Freigaben ab, die Sie nicht brauchen.
- Aufbewahrungsdauer begrenzen: Wählen Sie, wie lange Daten auf Nutzerebene gespeichert bleiben. Für die meisten Firmenwebsites genügt ein überschaubarer Zeitraum.
- Keine personenbezogenen Daten in URLs: E-Mail-Adressen oder Namen in Seitenadressen, etwa nach dem Absenden eines Formulars, landen sonst in Ihren Statistiken.
- Zugriffe begrenzen: Nur die Personen erhalten Zugang zum Analytics-Konto, die ihn wirklich brauchen. Ehemalige Agenturen und Mitarbeiter entfernen.
Und was ist mit der DSGVO?
Ab dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung. Sie wird die Rechtsgrundlagen für Webanalyse neu ordnen, und wie die Aufsichtsbehörden Tracking-Werkzeuge dann bewerten, ist heute noch nicht abschließend absehbar. Parallel wird auf europäischer Ebene über eine neue Regelung speziell für elektronische Kommunikation beraten. Unser Rat: Bringen Sie Ihre Einbindung jetzt nach den heute geltenden Vorgaben in Ordnung. Das ist ohnehin Pflicht, und Sie haben damit eine saubere Ausgangsbasis, wenn sich die Anforderungen ändern. Behalten Sie das Thema im Blick und planen Sie für 2018 eine erneute Prüfung ein.
Gibt es Alternativen?
Wer seine Besucherdaten nicht an einen US-Anbieter geben möchte, kann auf Webanalyse-Software ausweichen, die auf dem eigenen Server läuft. Die Daten bleiben dann im eigenen Haus, auch hier gelten aber Informationspflichten und eine Widerspruchsmöglichkeit. Für viele kleine Websites reichen auch die Statistiken, die der Webhoster ohnehin anbietet. Entscheidend ist, dass Sie wissen, welche Fragen Sie mit den Zahlen beantworten wollen.
Wir helfen Ihnen gerne
Sie sind unsicher, ob Ihre Website Google Analytics korrekt einbindet, oder möchten Ihre Datenschutzerklärung prüfen lassen? Das Datenschutz-Team der Mittelstandsoptimierer schaut sich Ihre Website an und sagt Ihnen konkret, was zu tun ist. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
