Die Unternehmenswebseite ist die Visitenkarte im Netz. In vielen Unternehmen wird sogar ein beträchtlicher Teil des Umsatzes über das Internet generiert. Hierfür ist die professionelle Pflege der Webseite essentiell. Ein wichtiges Werkzeug für die Performance einer Webseite ist die Web-Analyse. Eines der meist genutzten Tools zur Webanalyse ist Google Analytics.
Google Analytics ist ein Online-Dienst des US-amerikanischen Unternehmens Google, der u.a. die Herkunft der Besucher auf der Webseite und ihre Verweildauer auf der Seite untersucht. Durch die Sammlung und Auswertung dieser Daten kann der Erfolg der Webseite analysiert und die Seite entsprechend optimiert werden. Datenschutzrechtlich betrachtet kann die Verwendung von Google Analytics jedoch problematisch sein.
Speicherung der Daten
Problematisch ist zunächst die Speicherung der Daten in den USA, wo kein europäischer Datenschutzstandard garantiert wird. Seitdem der Europäische Gerichtshof (EuGH) Safe Harbour((Erfahren Sie mehr über Safe Harbor in unserem Artikel „Safe Harbor – Endlich verständlich“)) für ungültig erklärt hat, lässt sich die Übermittlung personenbezogener Daten an Google nicht mehr mit dieser Regelung rechtfertigen. Zwar hat sich Google dem Nachfolger-Abkommen von Safe Harbor „Privacy Shield“((Lesen Sie mehr darüber in dem Google Blog-Beitrag “Google Analytics adopts Privacy Shield”)) unterworfen, jedoch besteht derzeit Unklarheit darüber, ob und wie lange der Privacy Shield Bestand haben wird.((Lesen Sie mehr darüber in unserem Artikel „Der EU-US Privacy Shield“))
Durch den Einsatz von Google Analytics wird grundsätzlich die IP-Adresse des Seitenbesuchers, also eine personenbezogene Angabe((Ob die IP-Adresse eine personenbezogene Angabe ist, ist umstritten. Zum Teil wird zwischen statischen und dynamischen IP-Adressen unterschieden. Zumindest bei statischen IP-Adressen ist ein direkter Schluss auf den Nutzer immer möglich, weshalb diese als personenbezogene Daten zu klassifizieren sind. Nach Ansicht der Datenschutzbehörden sind auch dynamisch erzeugte IP-Adressen personenbezogene Daten., Ddenn es ist ausreichend, dass irgendjemand (in dem Fall der Accessprovider) die Möglichkeit hat, mittels weiterer Informationen die Person hinter der IP-Adresse zu ermitteln.)), an einen Dritten (Google) übermittelt, es sei denn die Webseite verwendet den Google Analytics Service der IP-Anonymisierung.((Mehr zu IP-Anonymisierung in Google Analytics können Sie dieser Hilfe entnehmen.)) Die Übermittlung dieser Daten ist für den Seitenbesucher zunächst intransparent. In Deutschland dürfen personenbezogene Daten allerdings nur dann verarbeitet werden, wenn der Benutzer dem zugestimmt hat oder eine gesetzliche Ermächtigung dafür existiert (§ 12 Abs.1 TMG, § 4 Abs.1 BDSG). Durch die fehlende Einwilligung ist die Nutzung von Google-Analytics datenschutzrechtlich problematisch.
Google kann ferner die durch die Analyse der erhobenen Daten den bei Google registrierten Nutzern (beispielsweise durch ein Google Email-Account, bei dem der Nutzer während des Surfens eingeloggt ist) zuordnen und so Benutzerprofile erstellen.
Der Landesbeauftragte für Datenschutz in Schleswig-Holstein hat die Nutzung von Google-Analytics durch Webseitenbetreiber 2009 für unzulässig erklärt. Daraufhin hat der Düsseldorfer Kreis, der aus den Datenschutzbeauftragten des Bundes und der Länder besteht, Auflagen erlassen, mithilfe derer Google Analytics datenschutzkonform genutzt werden kann. In Hessen und Brandenburg wurde die Nutzung von Google Analytics durch öffentliche Stellen untersagt.
Technischer Hintergrund und Funktionsweise von Google-Analytics
Für die Datenerhebung bei Webanalyseprogrammen existieren verschiedene Techniken((Timo Aden, Google Analytics: Implementieren. Interpretieren. Profitieren. S.43ff.)). Neben Log Files, Packet Sniffer und Web Beacons hat sich Page Tagging weitestgehend durchgesetzt. Auch Google Analytics nutzt die Page-Tagging Lösung. Beim Page-Tagging werden im Quelltext der zu messenden Webseite unterschiedliche Codes eingefügt (meist Java-Script). Besucht beispielsweise ein Nutzer die Seite, wird der Java-Script-Befehl ausgeführt und dadurch eine Kommunikation zwischen Webseite und Analyse-Tool-Anbieter hergestellt. Bei der Ausführung des Google-Tracking-Codes werden Cookies auf dem Computer des Besuchers gespeichert. Über den Code werden Informationen, die sich in den gesetzten Cookies befinden, erhoben und an den Google-Analytics-Server übertragen. Dort werden die gesammelten Parameter so aufbereitet, dass sie sich in entsprechenden Analytics-Berichten darstellen lassen. Folgende Daten werden unter anderem an den Server gesendet:((Timo Aden, Google Analytics: Implementieren. Interpretieren. Profitieren. S.43ff.))
- Browsereigenschaft (Firefox, Chrome…)
- Information über den Besucher (z.B. erster Besuch auf der Seite, Herkunft Deutschland…)
- Kampagneninformation (z.B. Besucher kam über die Google-Suche auf die Seite)
- Seiteninformation (URL der Webseite…)
- E-Commerce-Information (Anzahl der gekauften Produkte, Produktpreis…)
Wie können Unternehmen Google-Analytics datenschutzkonform einsetzen?
Folgende Vorgaben sollten bei der Nutzung von Google Analytics beachtet werden (Beschluss der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich am 26./27. November 2009 in Stralsund.):
- Vertrag zur Auftragsdatenverarbeitung (ADV) mit Google (§ 11 BDSG – Vertrag)
Das Unternehmen muss einen ADV mit Google abschließen, da sie bei der Nutzung von Google Analytics als Auftraggeber gegenüber Google auftreten. Hierfür kann ein vorgefertigter, von deutschen Aufsichtsbehörden genehmigter, Entwurf ausgefüllt und in zweifacher Ausfertigung an Google Irland gesendet werden. Google sendet dann eine Version unterschrieben zurück. - Anonymisierung der IP-Adressen
Um die IP-Adresse zu anonymisieren bietet Google die Funktion “_anonymizeIp()“ an. Dafür muss der Tracking-Code manuell erweitert werden. Es gibt derzeit zwei verschiedene Arten von Tracking Codes. Nur durch die Verwendung des asynchronen Tracking Codes wird die IP-adresse teilweise anonymisiert.((Eine Anleitung zur Integration des Browser Plug-Ins gibt es hier.)) - Widerspruchsrecht der Betroffenen
Der Nutzer muss die Möglichkeit haben, dem Tracking insgesamt zu widersprechen. Hierfür gibt es verschiedene Lösungen:
a) Der Nutzer kann einen Browser-Plugin installieren, mit dem er das Google Analytics Tracking unterbinden kann. Der Vorteil des Plugins ist, dass hierbei ein einmaliger Widerspruch für alle Besuche auf der Webseite gilt. ((Mehr zum “Browser-Add-on zur Deaktivierung von Google Analytics”.))
b) Eine andere Möglichkeit, die Google anbietet, ist das Opt-Out-Cookie. Es hat den Vorteil, dass es im Vergleich zum Add-on auch bei Webseiten, die für mobile Endgeräte optimiert sind, funktioniert. Dem Webseitenbesucher wird ein Text eingeblendet und er hat die Möglichkeit über einen Klick von dem Tracking ausgeschlossen zu werden. ((Anleitung zur Integration des Opt-Out-Cookies)) - Angepasste Datenschutzerklärung
In der Datenschutzerklärung ist auf die Nutzung von Google Analytics hinzuweisen. Dafür kann die Textvorlage, die Google selbst bereitstellt, verwendet werden. Diese sollte noch um Informationen hinsichtlich der Opt-out Cookies oder der Funktion “_anonymizeIp()“ ergänzt werden, je nachdem welche Alternative verwendet wird. - Ggf. Löschung von Altdaten
Daten, die nicht nach diesen Vorgaben erhoben wurden, sind unzulässig erhoben und müssen gelöscht werden. ((Eine Anleitung gibt es beispielsweise hier.))
Beachtet der Webseitenbetreiber folglich diese Vorgaben, so bestehen hinsichtlich der datenschutzrechtlichen Verwendung von Google Analytics keine Bedenken. Schließlich besteht für den Webseitenbetreiber auch die Möglichkeit auf Alternativen zu Google Analytics wie Piwik, Hitstats oder Mint zurückzugreifen. ((Mehr zu Alternativen lesen Sie beispielsweise bei SEO-tech: “Google Analytics Alternativen”))
Wenn Sie Hilfe benötigen, kontaktieren Sie uns.
