Google Analytics Datenschutzkonform einsetzen
5. Juni 2020
Ab 25. Mai 2018 gelten EU weit die neue EU-Datenschutz-Grundverordnung (EU-DSGVO), die das europäische Datenschutzrecht weitgehend vereinheitlichen soll. Besonders Webseitenbetreiber die Onlinedienste wie Google Analytics zur Datenverkehrsanalyse verwenden sind hiervon betroffen.
Was genau sowohl Webseitenbetreiber als auch Agenturen beachten müssen wenn es um die Nutzung von Google Analytics geht, haben wir im Folgenden zusammengefasst.
Wichtiges für Webseitenbetreiber
1. Vertragsabschluss mit Google (§ 11 BDSG)
Laut Ansicht der Aufsichtsbehörden gelten Webseitenbetreiber bei der Nutzung von Google Analytics als Auftraggeber und Google als Aufragnehmer. Deswegen muss hier ein schriftlicher Vertrag zur sogenannten Auftragsdatenverarbeitung separat für jede Domain abgeschlossen werden, damit Google Analytics benutzt werden kann.
Google bietet dafür hier einen offiziellen Entwurf zum ausdrucken und ausfüllen an.
2. Angepasste Datenschutzerklärung
Die bisherige Textvorlage, die Google als Datenschutzerklärung angeboten hat, muss ergänzt werden. Der Nutzer wird hierbei primär über zwei Widerspruchsmöglichkeiten gegen die Erfassung von Nutzerdaten informiert: Ein Google Analytics Deaktivierungs-Addon für Browser und ein sogenanntes Opt-Out-Cookie. In den folgenden Beispieltexten zur Datenschutzerklärung sind die wichtigen Textergänzungen rot markiert:
Deutsch:
„Diese Website benutzt Google Analytics, einen Webanalysedienst der Google Inc. („Google“). Google Analytics verwendet sog. „Cookies“, Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglichen. Die durch das Cookie erzeugten Informationen über Ihre Benutzung dieser Website werden in der Regel an einen Server von Google in den USA übertragen und dort gespeichert. Im Falle der Aktivierung der IP-Anonymisierung auf dieser Website, wird Ihre IP-Adresse von Google jedoch innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum zuvor gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server von Google in den USA übertragen und dort gekürzt. Im Auftrag des Betreibers dieser Website wird Google diese Informationen benutzen, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen gegenüber dem Websitebetreiber zu erbringen. Die im Rahmen von Google Analytics von Ihrem Browser übermittelte IP-Adresse wird nicht mit anderen Daten von Google zusammengeführt. Sie können die Speicherung der Cookies durch eine entsprechende Einstellung Ihrer Browser-Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website vollumfänglich werden nutzen können.
Sie können darüber hinaus die Erfassung der durch das Cookie erzeugten und auf Ihre Nutzung der Website bezogenen Daten (inkl. Ihrer IP-Adresse) an Google sowie die Verarbeitung dieser Daten durch Google verhindern, indem Sie das unter dem folgenden Link (https://tools.google.com/dlpage/gaoptout?hl=de) verfügbare Browser-Plugin herunterladen und installieren.
Sie können die Erfassung durch Google Analytics verhindern, indem Sie auf folgenden Link klicken. Es wird ein Opt-Out-Cookie gesetzt, das die zukünftige Erfassung Ihrer Daten beim Besuch dieser Website verhindert:
<a href=“javascript:gaOptout()“>Google Analytics deaktivieren</a>
Nähere Informationen zu Nutzungsbedingungen und Datenschutz finden Sie unter https://www.google.com/analytics/terms/de.html bzw. unter https://www.google.de/intl/de/policies/. Wir weisen Sie darauf hin, dass auf dieser Website Google Analytics um den Code „anonymizeIp“ erweitert wurde, um eine anonymisierte Erfassung von IP-Adressen (sog. IP-Masking) zu gewährleisten.“
(Beispielhafte Formulierung von www.datenschutzbeauftragter-info.de)
English:
This website uses Google Analytics, a web analytics service provided by Google, Inc. (“Google”). Google Analytics uses “cookies”, which are text files placed on your computer, to help the website analyze how users use the site. The information generated by the cookie about your use of the website (including your IP address) will be transmitted to and stored by Google on servers in the United States. In case of activation of the IP anonymization, Google will truncate/anonymize the last octet of the IP address for Member States of the European Union as well as for other parties to the Agreement on the European Economic Area. Only in exceptional cases, the full IP address is sent to and shortened by Google servers in the USA. On behalf of the website provider Google will use this information for the purpose of evaluating your use of the website, compiling reports on website activity for website operators and providing other services relating to website activity and internet usage to the website provider. Google will not associate your IP address with any other data held by Google. You may refuse the use of cookies by selecting the appropriate settings on your browser. However, please note that if you do this, you may not be able to use the full functionality of this website.
Furthermore you can prevent Google’s collection and use of data (cookies and IP address) by downloading and installing the browser plug-in available under https://tools.google.com/dlpage/gaoptout?hl=en-GB.You can refuse the use of Google Analytics by clicking on the following link. An opt-out cookie will be set on the computer, which prevents the future collection of your data when visiting this website:
<a href=“javascript:gaOptout()“>Disable Google Analytics</a>
Further information concerning the terms and conditions of use and data privacy can be found at https://www.google.com/analytics/terms/gb.html or at https://www.google.de/intl/en_uk/policies/. Please note that on this website, Google Analytics code is supplemented by “anonymizeIp” to ensure an anonymized collection of IP addresses (so called IP-masking).
(Beispielhafte Formulierung von www.datenschutzbeauftragter-info.de)
3. Löschung von alten Daten
Alte, nicht-anonymisierte Daten müssen zusätzlich gelöscht werden. Dies gilt für alle Profile/Properties die vor dem Update des Google Analytics Codes erfasst wurden.
Wichtiges für Agenturen
1. Anonymisierung von IP Adressen
Um eine datenschutzkonforme Anonymisierung von IP Adressen zu ermöglichen bietet Google hier eine Erweiterung des bisherigen Tracking Codes namens „anonymizeIp“. Hiermit werden die letzten acht Bit der IP Adressen automatisch gelöscht. Somit ist nur noch eine grobe Lokalisierung der Adressen möglich.Es gibt grundsätzlich zwei verschiedene Arten von Analytics: Universal Analytics und klassisches Analytics. Bei beiden Varianten muss der Tracking Code entsprechend angepasst werden. Dieser wird in den Header Quelltext aller Frontend Seiten der Website eingebunden.
Beispielhafter Tracking Code für Universal Analytics:
<script>
(function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){
(i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o),
m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m)
})(window,document,'script','//www.google-analytics.com/analytics.js','ga')
ga('create', 'UA-XXXXXXX-X', 'website.de');
ga('set', 'anonymizeIp', true);
ga('send', 'pageview');
</script>Beispielhafter Tracking Code für klassisches Analytics:
<script type="text/javascript">
var _gaq = _gaq || [];
_gaq.push(['_setAccount', 'UA-XXXXXXX-X']);
_gaq.push(['_gat._anonymizeIp']);
_gaq.push(['_trackPageview']);
(function() {
var ga = document.createElement('script'); ga.type = 'text/javascript'; ga.async = true;
ga.src = ('https:' == document.location.protocol ? 'https://ssl' : 'https://www') + '.google-analytics.com/ga.js';
var s = document.getElementsByTagName('script')[0]; s.parentNode.insertBefore(ga, s);
})();
</script>2. Widerspruchsrecht
Zusätzlich muss den Benutzern, wie schon in der angepassten Datenschutzerklärung erwähnt, die Möglichkeit gegeben werden das Aufzeichnen ihrer Daten abzulehnen. Dazu müssen zwei Varianten des Widerspruchs implementiert werden: Ein Link zu einem Deaktivierungs-Add-on für Desktop Browser, und die Möglichkeit ein sogenanntes Opt-Out-Cookie zu setzen. Für das Opt-Out-Cookie muss ein zusätzliches Script vor dem eigentlichen Google Analytics Code in den Quelltext eingefügt werden.
Opt-Out-Cookie Script
<script>
var gaProperty = 'UA-XXXXXXX-X';
var disableStr = 'ga-disable-' + gaProperty;
if (document.cookie.indexOf(disableStr + '=true') > -1) {
window[disableStr] = true;
}
function gaOptout() {
document.cookie = disableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';
window[disableStr] = true;
}
</script>Beide Widerspruchsmöglichkeiten, Deaktivierungs-Add-on und Opt-Out-Cookie, müssen in der Datenschutzerklärung erwähnt und verlinkt werden. Mehr Informationen dazu von Google gibt es hier.
Fazit
Mit diesen Änderungen können sowohl Webseitenbetreiber als auch Agenturen Google Analytics weiterhin datenschutzkonform einsetzen. Doch auch bei Seiten ohne Google Analytics sollte zusätzlich darauf geachtet werden ob Tools von Drittanbietern verwendet werden, die Analytics mit sich bringen. Wenn diese Tools weiterhin benutzt werden sollen, muss auch hier für einen datenschutzkonformen Einsatz gesorgt werden.
