8. Juli 2017
Google Analytics Datenschutzrichtlinien 2017 abmahnsicher einsetzen
Die Aufzeichnung und Auswertung umfangreicher Besucherdaten durch Google Analytics ist heute aus keinem Onlineauftritt mehr wegzudenken. Mehr als 50% aller Webseitenbetreiber nutzen Google Analytics zur Erfassung von Besucherdaten. Doch wie kann man die Google Analytics Datenschutzrichtlinien 2017 rechtskonform einsetzen? Wir haben uns mit dem Thema auseinandergesetzt und in dieser Anleitung alle notwendigen Schritte zusammengefasst, sowie mit praktischen Downloads erweitert.
Seit dem beanstandungsfreien Betrieb von Google Analytics ab dem 15.09.2011 ist das kostenlose Analysetool von Google immer wieder zur Diskussions-Zielscheibe von Datenschützern und Aufsichtsbehörden geworden. Grundsätzlich gilt: Der Betreiber der Webseite ist verantwortlich für den datenschutzkonformen Einsatz von Google Analytics, unabhängig von bisherigen Debatten seitens Google und Aufsichtsbehörden, wie der Dienst von Google ausstaffiert sein muss, um einen zulässigen Betrieb gewährleisten zu können. In der folgenden Anleitung erklären wir Ihnen die wichtigsten Schritte zum reibungsfreien (und vor allem abmahnsicheren) Einsatz von Google Analytics.
Die wichtigsten Schritte zum datenschutzkonformen Einsatz von Google Analytics
- Gültiger Vertrag mit Google zur Auftragsdatenverarbeitung
Datenschutzbehörden verlangen einen gültigen Vertrag zur Auftragsdatenverarbeitung bei der Verwendung von Google Analytics. Der Vertrag, der von den deutschen Aufsichtsbehörden genehmigt und empfohlen wird, finden Sie hier als PDF Download.Hinweis:
Dieser Vertrag muss zweimal ausgedruckt und zweimal unterschrieben werden. Bitte beachten Sie auch, dass der Vertrag an zwei Stellen komplettiert werden muss. Jeweils einmal auf der Ersten Seite des Vertrages und nach dem ersten Anhang. Nachdem der Vertrag ordnungsgemäß ausgefüllt wurde, muss dieser per Post zu Google nach Irland an diese Adresse geschickt werden:
Contract Administration Department
Google Ireland Ltd.
Gordon House, Barrow Street
Dublin 4, IrelandTipp: Legen Sie dem Vertrag einen Rückumschlag mit Ihrer Firmenadresse bei, Google übernimmt das Rückporto und schickt den Vertrag unterschrieben wieder an Sie zurück. Die Suche nach einer irischen Briefmarke entfällt dadurch und Sie sparen Sich das Rückporto.
Ohne diesen Vertrag müsste jeder einzelne Besucher Ihrer Webseite oder Online-Shops seine Einwilligung geben, seinen Besuch mittels Analytics erfassen und auswerten zu lassen, was sich in der Praxis als wenig probates Mittel herausstellen dürfte. - IP-Adressen richtig anonymisieren
Google stellt für die Anonymisierung der IP-Adressen eine Code Erweiterung zur Verfügung. Mit Nutzung dieser „_anonmyzeIp“ Funktion werden die letzten 8 Bit der getrackten IP-Adresse gelöscht und dadurch anonymisiert. Eine grobe Lokalisierung ist dadurch zwar weiterhin möglich, dies wurde jedoch von den deutschen Datenschutzbehörden akzeptiert.
Google verwendet zur Erfassung der Besucherdaten aktuell zwei Versionen des Tracking-Codes:
Universal Analytics:
Eine datenschutzkonforme Version des Universal Analytics könnte wie folgt aussehen:(function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){ (i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o), m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m) })(window,document,'script','//www.google-analytics.com/analytics.js','ga'); ga('create', 'UA-XXXXXXX-X', 'auto'); ga('set', 'anonymizeIp', true); ga('send', 'pageview');Der Tracking-Code wird wie bisher direkt vor den schließenden </head> eingebaut.
Klassisches Analytics:
Eine datenschutzkonforme Version des klassischen Analytics könnte wie folgt aussehen:
var _gaq = _gaq || []; _gaq.push(['_setAccount', 'UA-XXXXXXX-X']); _gaq.push(['_gat._anonymizeIp']); _gaq.push(['_trackPageview']); (function() { var ga = document.createElement('script'); ga.type = 'text/javascript'; ga.async = true; ga.src = ('https:' == document.location.protocol ? 'https://ssl' : 'http://www') + '.google-analytics.com/ga.js'; var s = document.getElementsByTagName('script')[0]; s.parentNode.insertBefore(ga, s); })();Auch der Tracking-Code für das klassische Analytics wird wieder direkt vor den schließenden </head> eingebaut.
- Widerspruchsrecht
Ein weiterer wichtiger Punkt ist es, den Betroffenen die Möglichkeit eines Widerspruchs gegen die Nutzungsdatenerfassung einzuräumen. Für Google Analytics gibt es zwei Möglichkeiten: Den Link zum Deaktivierungs-Add-on und das setzen eines Opt-Out-Cookies. Es müssen immer beide möglichen Arten des Widerspruchs implementiert werden.
Das Deaktivierungs-Add-on ist ausschließlich für die Desktop Ansicht der Webseite gedacht. Webseitenbetreiber sind lediglich in der Pflicht, nur auf den Link zum Add-on zu verweisen. Da bei mobilen Endgeräten die Möglichkeit von Add-ons nicht besteht, hat Google den Opt-Out-Cookie entwickelt. Dieser bietet die Möglichkeit, durch Klick auf einen Link einen Cookie zu setzen, der das Tracking durch Google Analytics verhindert. Wichtiger Hinweis: Wenn die Cookies auf dem mobilen Endgerät gelöscht werden, müssen diese bei erneutem Besuch auf der Webseite wieder aktiviert werden.var gaProperty = 'UA-XXXXXXX-X'; var disableStr = 'ga-disable-' + gaProperty; if (document.cookie.indexOf(disableStr + '=true') > -1) { window[disableStr] = true; } function gaOptout() { document.cookie = disableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/'; window[disableStr] = true; }Wichtig: Der Opt-Out Code muss immer vor dem Analytics-Script eingefügt werden.
- Die richtige Datenschutzerklärung
Eine Datenschutzerklärung ist bei der Nutzung von Google Analytics zwingend vorgeschrieben. Die von Google bisher ausgegebenen Datenschutzhinweise werden nicht mehr zur Verfügung gestellt. Da sich die Datenerfassung und -verarbeitung allerdings nicht grundlegend verändert hat, kann die bisherige Textvorlage mit passenden Ergänzungen versehen:Diese Website benutzt Google Analytics, einen Webanalysedienst der Google Inc. („Google“). Google Analytics verwendet sog. „Cookies“, Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglichen. Die durch das Cookie erzeugten Informationen über Ihre Benutzung dieser Website werden in der Regel an einen Server von Google in den USA übertragen und dort gespeichert. Im Falle der Aktivierung der IP-Anonymisierung auf dieser Website, wird Ihre IP-Adresse von Google jedoch innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum zuvor gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server von Google in den USA übertragen und dort gekürzt. Im Auftrag des Betreibers dieser Website wird Google diese Informationen benutzen, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen gegenüber dem Websitebetreiber zu erbringen. Die im Rahmen von Google Analytics von Ihrem Browser übermittelte IP-Adresse wird nicht mit anderen Daten von Google zusammengeführt. Sie können die Speicherung der Cookies durch eine entsprechende Einstellung Ihrer Browser-Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website vollumfänglich werden nutzen können. Sie können darüber hinaus die Erfassung der durch das Cookie erzeugten und auf Ihre Nutzung der Website bezogenen Daten (inkl. Ihrer IP-Adresse) an Google sowie die Verarbeitung dieser Daten durch Google verhindern, indem Sie das unter dem folgenden Link (http://tools.google.com/dlpage/gaoptout?hl=de) verfügbare Browser-Plugin herunterladen und installieren.Sie können die Erfassung durch Google Analytics verhindern, indem Sie auf folgenden Link klicken. Es wird ein Opt-Out-Cookie gesetzt, das die zukünftige Erfassung Ihrer Daten beim Besuch dieser Website verhindert:<a href=“javascript:gaOptout()“>Google Analytics deaktivieren</a>Nähere Informationen zu Nutzungsbedingungen und Datenschutz finden Sie unter http://www.google.com/analytics/terms/de.html bzw. unter https://www.google.de/intl/de/policies/. Wir weisen Sie darauf hin, dass auf dieser Website Google Analytics um den Code „anonymizeIp“ erweitert wurde, um eine anonymisierte Erfassung von IP-Adressen (sog. IP-Masking) zu gewährleisten.
(Quelle: www.datenschutzbeauftragter-info.de)
Wichtige Hinweise:
Das Bayrische Landesamt für Datenschutzaufsicht hat eigenes Online-Tool entwickelt, um Verstöße in den Google Analytics Datenschutzrichtlinien aufzudecken und in einem ersten Schritt die Webseitenbetreiber zu informieren. Werden die beanstandeten Mängel nicht beseitigt, kann ein Bußgeld verhängt werden. Hilfreiche Informationen finden Sie in dem Downloadbaren PDF Dokument. Accelerated Mobile Pages sind dagegen laut Aussage von Google immer anonymisiert. Die Rechtliche Lage bei Universal Analytics ist noch nicht komplett geklärt. Vorsicht bei Datenschutzerklärungen, die nicht den Hinweis auf Universal Analytics beinhalten. - Altdaten löschen
Die in dieser Anleitung vorgestellten Anpassungen betreffen nur neue Google Analytics Profile. Altdaten, die aus vorhergehenden Properties (früher Profile genannt) stammen, sind nach den deutschen Aufsichtsbehörden unrechtmäßig erstellt worden und müssen somit gelöscht werden. Eine Anleitung, wie Datenansichten gelöscht werden können, ohne das Google Konto zu löschen, hat Google in dieser Google Analytics Hilfe zusammengefasst.
Fazit:
Ein Datenschutzkonformer Einsatz von Google Analytics ist durchaus möglich, sofern man die Daten mit Google Analytics anonymisiert und dem Benutzer ein Opt-Out zur Verfügung stellt. Den hierzu aufbereiteten Beispielcode können Sie hier herunterladen.
Wichtig: Beim Code bitte unbedingt das Beispiel Analytics Property: ‚UA-XXXXXXX-X‘ mit dem korrekten Property aus Ihrem Google Analytics Account austauschen.
Zukünftige Änderungen der aktuellen Gesetzeslage machen es jedoch unabwendbar, sich mit dem Thema Datenschutz auch in Zukunft intensiv auseinanderzusetzen.
