von Carola Sieling und Anne-Kathrin Philipp
__________________________________________________
UPDATE vom 15.3.2017:
Muster Datenschutzerklärung aktualisiert (Stand: 15.03.2017).
UPDATE vom 13.3.2017:
Google Analytics – Hinweise für Webseitenbetreiber in Hamburg
Die vom HmbBfDI veröffentlichte Handreichung zu den datenschutzrechtlichen Anforderungen an Webseitenbetreiber mit Sitz in Hamburg beim Einsatz von Google Analytics ist aktualisiert worden, nachdem aufgrund der Entscheidung des EuGH vom 06.10.2015 (Rechtssache C-362/14- Schrems) der HmbBfDI gemeinsam mit anderen deutschen Aufsichtsbehörden den Einsatz von Google Analytics datenschutzrechtlich überprüft hat. Die Google Inc. hat inzwischen die Zertifizierung nach dem aktuellen EU-US-Privacy Shield durchgeführt. (Stand: Februar 2017)
__________________________________________________
Aufgrund der hohen Nachfrage zu unserem letzten Blog-Beitrag bezüglich einer einstweiligen Verfügung bei Verwendung von Google Anlaytics stellen wir Ihnen eine Muster-Datenschutzerklärung (Stand: 15.03.2017) zur Verfügung stellen, welches kostenlos von jedermann genutzt werden kann. Sie müssen lediglich bei der Verwendung unsere Seite verlinken.
Das Muster kann verwendet werden, wenn Sie Google-Analytics nutzen. Sollten Sie noch weitere oder andere Anaylsedienste oder Plug-Ins auf Ihrer Online-Präsenz einsetzen, sprechen Sie uns gerne an.
Bitte beachten Sie auch, dass nicht nur Ihre Datenschutzerklärung korrekt sein muss.
Beachten Sie bitte alle folgenden Faktoren, die den Einsatz des Analysetools erst datenschutzgerecht gestalten:
1. Datenschutzerklärung ergänzen oder unser Muster verwenden
Die übliche Google Datenschutzerklärung muss durch Zusatz von z.B. „Wir weisen darauf hin, dass diese Website Google Analytics mit der Erweiterung „_anonymizeIp()“ verwendet und daher IP-Adressen nur gekürzt weiterverarbeitet werden.“ ergänzen und auf Widerspruchsmöglichkeit durch Browser Add-on hinweisen (Sehen Sie hier auch die Kommentierung in unserem Muster). Gern können Sie unser Muster auf Ihrer Seite einsetzen. Sie müssen lediglich bei der Verwendung unsere Seite entsprechend dem Muster verlinken.
2. Vertrag mit Google abschließen
Mit der Firma Google muss ein schriftlicher Vertrag über die Auftragsdatenverarbeitung abgeschlossen werden. Das Gesetz schreibt hier eine schriftliche vertragliche Formulierung über bestimmte Regelungsinhalte vor. Die Firma Google hat hier ein Standard-Vertragsformular vorbereitet, was beidseitig unterzeichnet werden muss.
3. Tracking- Code ergänzen
Um die Anonymisierung der durch Google Analytics erhobenen IP-Adressen der Nutzer zu gewährleisten, hat Google eine Erweiterung des Google Analytics Codes zur Verfügung gestellt. Durch Nutzung der Code-Erweiterung „anonymizeIp“ werden die letzten 8 Bit der IP-Adressen gelöscht und somit anonymisiert.
Deshalb muss der jeweilige Analytics Tracking-Code händisch angepasst werden. Der datenschutzkonforme Tracking-Code für Analytics könnte wie folgt aussehen:
<script type=”text/javascript”>
var _gaq = _gaq || [];
_gaq.push([‘_setAccount’, ‘UA-XXXXXXX-X’]);_
gaq.push([‘_gat._anonymizeIp’]);_
gaq.push([‘_trackPageview’]);
(function() {
var ga = document.createElement(‘script’);
ga.type = ‘text/javascript’; ga.async = true;
ga.src = (‘https:’ == document.location.protocol ? ‘https://ssl’ : ‘http://www’) + ‘.googleanalytics.com/ga.js’;
var s = document.getElementsByTagName(‘script’)[0]; s.parentNode.insertBefore(ga, s);})();
</script>
Des Weiteren ist für die datenschutzgerechte Nutzung von Google Analytics auf den notwendigen Zusatz zur Widerspruchsmöglichkeit hinweisen:
Der Nutzer muss die Möglichkeit erhalten, das Tracking durch Google Analytics zu deaktivieren.
Dafür muss ein neuer HTML-Link auf der Webseite eingebunden werden:
<a href=”javascript:gaOptout()”>Google Analytics deaktivieren</a>
Folgendes Script muss immer vor dem eigentlichen Google Analytics-Script im Quelltext implementiert werden. Dadurch wird sichergestellt, dass das Tracking verhindert wird, wenn das Opt-Out-Cookie gesetzt wurde.
<script>
var gaProperty = ‘UA-XXXXXX-Y’; var disableStr = ‘ga-disable-‘ + gaProperty; if (document.cookie.indexOf(disableStr + ‘=true’) > -1) { window[disableStr] = true; } function gaOptout() { document.cookie = disableStr + ‘=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/’; window[disableStr] = true; }
</script>
„UA-XXXXXX-Y“ ist mit dem individuellen Tracking-Code, den Sie von Google Analytics erhalten haben, zu ersetzen.
Des weiteren muss auf die von Google selbst angebotene Widerspruchsmöglichkeit hingewiesen und verlinkt werden. Diese ist unter https://tools.google.com/dlpage/gaoptout?hl=de zu finden.
4. gegebenenfalls Löschung von Altdaten
Nicht zu vergessen, wenn bereits Google Analytics nicht datenschutzkonform im Einsatz war: Löschung von Altdaten, und zwar durch Löschung des „alten“ Accounts!
