In diesem Blogbeitrag erklären wir Ihnen, wie Sie Google Analytics datenschutzkonform einsetzen können. In den letzten Jahren gab es immer wieder Änderungen und Anpassungen, um den Anforderungen des deutschen Datenschutzrechtes nachzukommen. Es macht daher absolut Sinn, diese Vorgaben streng umzusetzen, da teure Abmahnungen durch die Konkurrenz und Bußgelder (bis zu 50.000 Euro) durch die Aufsichtsbehörden drohen, wenn Google Analytics nicht rechtskonform eingesetzt wird. Nach unserer Erfahrung ist insbesondere der Google Analytics Opt-Out Cookie weitgehend unbekannt.

Bildnachweis: Screenshot Google-Analytics

Was ist Google Analytics?

Nach einer jahrelangen Auseinandersetzung ist Google den Forderungen der Datenschutzbeauftragten nachgekommen. Google Analytics kann nunmehr (mit einigem Aufwand) so eingestellt werden, dass es rechtskonform genutzt werden kann.

Google Analytics ist unter Seitenbetreibern ein sehr weit verbreitetes Programm, welches von Google (Google Inc., 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA) kostenlos angeboten wird. Bei Google Analytics handelt es sich nach unserer Erfahrung um das wohl beste Web-Analyse Programm. Mit Google Analytics gewinnen Sie viele Erkenntnisse und können ihre Website dementsprechend für ein besseres Nutzererlebnis optimieren. Im Idealfall steigern Sie durch diese Verbesserungen dann Ihnen Umsatz.
Der rechtskonforme Einsatz von Google Analytics wurde in der Vergangenheit jedoch schon häufig von den deutschen Datenschutzbehörden überprüft. Wir berichteten hier:

• Google Analytics – Aufforderung: Landesbeauftragter für den Datenschutz Baden-Württemberg (vom 17. Februar 2014)
• Google Analytics – Bußgeldandrohung durch das Datenschutzzentrum Saarland (vom 11. Januar 2013)

Hintergrund:

Im November 2009 hatte sich der Düsseldorfer Kreis, das bundesweite Gremium der Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich, zu den Voraussetzungen für eine datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internetangeboten geäußert (Beschluss vom 26./27.11.2009). Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat federführend für die Aufsichtsbehörden in Deutschland Verhandlungen mit Google geführt und sich darüber verständigt, wie Google Analytics angepasst werden muss, damit es die deutschen Nutzer datenschutzkonform einsetzen können. Als Ergebnis dieser Gespräche hat Google das Programm im Jahr 2011 angepasst, sodass es weitgehend den Anforderungen der Datenschützer entspricht, wenn folgende Anpassungen vorgenommen werden:

Schritt für Schritt Anleitung zum rechtskonformen Einsatz von Google Analytics

1. Operator ‚anonymizeIp‘ ins Skript einbinden, um das letzte Oktett der IP-Adresse zu anonymisieren

Google Analytics erfasst mit dem standardmäßig angebotenen Javascript-Code die vollständige IP-Adresse der Besucher. Dies ist nicht zulässig. Sie müssen daher den Befehl „_gaq.push([‚_gat._anonymizeIp‘]);“ (klassische Version) bzw. „ga(’set‘, ‚anonymizeIp‘, true);“ (Universal Analytics) in den Javascript-Code von Google Analytics auf der Website einfügen, um die gesammelten IP-Adressen entsprechend zu anonymisieren. Nur so ist Google Analytics datenschutzkonform einsetzbar. Das letzte Oktett der IP-Adresse wird dann (angeblich) vor der Speicherung auf den Servern von Google schon innerhalb Europas gelöscht, so dass dann keine eindeutige Identifizierung des Nutzers mehr möglich ist. Eine detaillierte Anleitung zur Anonymisierung finden Sie direkt bei Google. Diese manuelle Anpassung muss übrigens auf allen Unterseiten erfolgen, in welche Sie den Google Analytics Code eingebunden haben. Hier ein Beispiel für Universal-Analytics:

<script>  (function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){ (i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o), m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m) })(window,document,'script','//www.google-analytics.com/analytics.js','ga');  ga('create', 'UA-XXXXXXX-X', 'website-check.de'); ga('set', 'anonymizeIp', true); ga('send', 'pageview');  </script>

2. Vertrag zur Auftragsdatenverarbeitung nach § 11 BDSG

Sie müssen außerdem den von Google bereitgestellten Vertrag über die Auftragsdatenverarbeitung (§ 11 BDSG) ausfüllen und an Google übersenden. Dieser Vertrag dient zur Sicherstellung des ordnungsgemäßen Umgangs mit den Daten der Nutzer. Der Vertrag wurde mit den deutschen Datenschutzaufsichtsbehörden abgestimmt und ist hier zu finden.
TIPP: Agenturen können diesen Vertrag nicht im Namen der Kunden abschließen. Jeder Kunde muss einen eigenen Google Analytics Account haben und einen eigenen Vertrag über die Auftragsdatenverarbeitung (§ 11 BDSG) mit Google schließen. Änderungen an dem Muster werden von Google nicht akzeptiert und sind nicht zulässig. Wenn Sie dieses Muster nicht ohne Änderungen verwenden, können Sie Google Analytics also nicht rechtskonform einsetzen. Sie sollten einen Rücksendeumschlag zu dem Google-Vertrag in den Umschlag beilegen. Dieser muss nicht mehr frankiert werden, Google zahlt hier sogar das Porto für Sie. Schicken Sie den Vertrag in doppelter Ausfertigung an: Contract Administration Department, Google Ireland Ltd., Gordon House Barrow Street, Dublin 4, Ireland. Aktuell müssen Sie diesen mit 3,45 Euro (Update 27.10.2017: 3,70 Euro) frankieren (DHL – Großbrief International).

3. Datenschutzerklärung anpassen

Die Datenschutzerklärung muss auf Ihrer Website vorhanden sein und diese muss über einen Link auf der Startseite erkennbar sein. Diese Datenschutzerklärung auf der Website muss um eine Klausel für Google Analytics erweitert werden.

Musterformulierung einer Klausel für Ihre Datenschutzerklärung noch ohne Hinweis auf Opt-Out Cookie:

Google Analytics: Diese Website benutzt Google Analytics, einen Webanalysedienst der Google Inc., 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA (nachfolgend: Google). Google Analytics verwendet diverse Techniken, u.a auch sog. ‚Cookies‘, die auf Ihrem Computer gespeichert werden und die eine Analyse der Nutzung dieser Website durch die Besucher ermöglichen. Die von Google Analytics gewonnenen Informationen über Ihre Nutzung dieser Website werden an Server von Google übertragen, die ggf. in Staaten außerhalb der Mitgliedstaaten der Europäischen Union und ggf. auch außerhalb von Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum betrieben werden. Durch die Aktivierung der IP-Anonymisierung innerhalb des Google Analytics Tracking-Codes dieser Internetseite, wird Ihre IP-Adresse von Google vor der Übertragung anonymisiert. Diese Website nutzt einen Google Analytics-Tracking-Code, der um den Operator gat._anonymizeIp(); erweitert wurde, um nur eine anonymisierte Erfassung von IP-Adressen (sog. IP-Masking) zu ermöglichen. Im Auftrag des Betreibers dieser Website wird Google diese Informationen nutzen, um Ihren Besuch auf dieser Internetseite auszuwerten, Reports über die Websiteaktivitäten zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen gegenüber dem Websitebetreiber zu erbringen. Die im Rahmen von Google Analytics von Ihrem Browser übermittelte IP-Adresse wird nicht mit anderen Daten von Google zusammengeführt. Sie können die Speicherung von Google-Cookies durch eine entsprechende Einstellung Ihrer Browser-Software verhindern. Wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website vollumfänglich nutzen können. Sie können darüber hinaus die Erfassung der durch den Google-Cookie erzeugten und auf Ihre Nutzung der Website bezogenen Daten (inkl. Ihrer IP-Adresse) an Google sowie die Verarbeitung dieser Daten durch Google verhindern, indem Sie das unter dem folgenden Link (https://tools.google.com/dlpage/gaoptout?hl=de) verfügbare Browser-Plugin herunterladen und installieren. Die Sicherheits- und Datenschutzgrundsätze von Google Analytics finden Sie unter https://www.google.com/intl/de/analytics/learn/privacy.html.

4. Widerspruchsrecht

Der Seitenbetreiber muss dem Seitenbesucher grundsätzlich ein Widerspruchsrecht (Opt-Out) einräumen, wenn Google Analytics anonymisiert eingesetzt wird. Für die Erhebung und Verarbeitung von personenbezogenen Daten, also falls Google Analytics nicht anonymisiert eingesetzt wird, ist nach deutschem Recht ein sog. Opt-In, also eine aktive Einwilligung gem. § 12 Abs. 2 TMG erforderlich.
§ 12 Abs. 2 TMG:

Der Diensteanbieter darf für die Bereitstellung von Telemedien erhobene personenbezogene Daten für andere Zwecke nur verwenden, soweit dieses Gesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat.

Durch die Anpassung des Javascript-Code von Google Analytics um die Funktion „anonymizeIp“ wird die IP-Adresse nicht mehr komplett erhoben, das letzte Oktett der IP-Adresse wird vor der Speicherung schon innerhalb von Europa gelöscht. Aus diesem Grund handelt es sich um eine Erstellung von pseudonymen Nutzungsprofilen und nicht mehr von personenbezogenen Daten. Hier gilt daher das weniger strenge Opt-Out-Prinzip gemäß § 15 Abs. 3 TMG.

§ 15 Abs. 3 TMG:

Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Der Diensteanbieter hat den Nutzer auf sein Widerspruchsrecht im Rahmen der Unterrichtung nach § 13 Abs. 1 hinzuweisen. Diese Nutzungsprofile dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden.

Es gibt aktuell (November 2014) zwei mögliche Wege diesem sog. Widerspruchsrecht nachzukommen. Beide haben sowohl rechtliche, als auch technische Vor- und Nachteile.

Google Analytics Browser Add-ON

„Normaler Weg“, möglich seit 2011:  und damit die Erfassung seiner Nutzungsdaten durch Google Analytics verhindern, wenn der Nutzer ein Deaktivierungs-Add-On für seinen Browser installiert. Der Link zum Deaktivierungs-Add-On sollte daher für den Besucher der Website wahrnehmbar sein. Nachteile: Das Browser Add-On ist nicht für jeden Browser verfügbar und es funktioniert nicht von mobilen Geräten.

Google Analytics Opt-Out Cookie

„Neuerer Weg“, möglich seit ca. Mitte 2013: „Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit“ fordert seit März 2013 außerdem eine umfassendere Opt-Out Möglichkeit, da das oben dargestellte Deaktivierungs-Add-On für Browser nicht von mobilen Geräten wie Tablets und Smartphones funktioniert und auch nicht für alle möglichen Browser verfügbar ist. Dazu ist lediglich der Aufruf eines Links nötig, welcher dann einen entsprechenden Cookie setzt. Wir empfehlen Ihnen nochmal einen klarstellenden Hinweis zwischen der Klausel Google Analytics und dem Link zum Opt-Out Cookie einzubinden. Dieser könnte so aussehen:

Sie können die Erfassung durch Google Analytics verhindern, indem Sie auf folgenden Link klicken. Es wird ein Opt-Out-Cookie gesetzt, der die zukünftige Erfassung Ihrer Daten beim Besuch dieser Website verhindert: Google Analytics deaktivieren

<a href="javascript:gaOptout()">Google Analytics deaktivieren</a>

So sieht das eigentliche Script zum Opt-Out bei Verwendung von Universal Analytics aus:

<script> // Set to the same value as the web property used on the site var gaProperty = 'UA-XXXX-Y'; // Disable tracking if the opt-out cookie exists. var disableStr = 'ga-disable-' + gaProperty; if (document.cookie.indexOf(disableStr + '=true') > -1) {   window[disableStr] = true; } // Opt-out function function gaOptout() {   document.cookie = disableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';   window[disableStr] = true; } </script>

Diese Funktion sollte unter der Google Analytics Klausel in die Datenschutzerklärung (Einen Mustertext finden Sie oben) eingebunden werden. Hier müssen natürlich noch die englischen Bezeichnungen angepasst werden. Durch die Einbindung dieser eigenen Widerspruchslösung ist nun ein Opt-Out unabhängig von Browsern möglich. Quelle: https://developers.google.com/analytics/devguides/collection/gajs/?hl=de%23disable
Sie erhalten übrigens keine Rückmeldung, wenn der Cookie gesetzt wurde. Hier sind diverse Möglichkeiten mittels jQuery, etc. möglich, um eine Rückmeldung zu erhalten. Auf diese Möglichkeiten gehen wir hier jedoch nicht im Detail ein, da Sie juristisch nicht erforderlich sind. Sie können jedoch in Ihrem Browser prüfen, ob der Cookie gesetzt wurde:

Problematisch ist bei dieser Lösung jedoch nach unserer Einschätzung, dass Sie, bis Sie den Link anklicken, von Google Analytics erfasst werden. Löschen Sie Ihre Cookies in Ihrem Browser, müssen Sie übrigens diesen Link erneut klicken. Falls Sie von einem Desktop-Rechner ins Internet gehen und das Browser Add-On verwenden, werden erst gar keine Daten zu Google Analytics übertragen. Dies gilt natürlich auch bei Verwendung von entsprechend konfigurierten Tools wie „Ghostery“ oder „NoScript“. Es macht trotzdem, nach unserer Einschätzung absolut Sinn diese Funktion einzubauen, da vor allem die Nutzung von mobilen Browser weiter zunehmen wird. Die beste und vor allem sicherste Lösung scheint hier eine Kombination aus dem Browser Add-On und der Einbindung des Links zum Opt-Out-Cookie. Im Rahmen der „EU-Cookie-Richtlinie“ können sich in Zukunft u.U. weitere Vorgaben ergeben, die eine erneute Anpassung des Einsatzes von Google Analytics erforderlich machen.

5. Altdaten löschen

Sie müssen alle bisher von Google Analytics erhobenen Daten löschen, falls diese nicht anonymisiert erfasst wurden. Google Analytics bietet hierfür nur den Weg an, den Account zu löschen und einen neuen anzulegen. Es ist zwar unwahrscheinlich, jedoch trotzdem denkbar, dass Sie von den zuständigen Aufsichtsbehörden im Rahmen eines möglichen Kontrollverfahrens nach der Löschung gefragt werden.

Fazit

Sollten sie Google Analytics nicht in Verbindung mit dem Operator „_gaq.push([‚_gat._anonymizeIp‘]);“ (klassische Version) bzw. „ga(’set‘, ‚anonymizeIp‘, true);“ (Universal Analytics) einsetzen, führt auch der Cookie und das Browser Add-On nicht zum rechtskonformen Einsatz. Der Opt-Out Cookie macht in Verbindung mit der anonymisierten IP-Adresse aber absolut Sinn, auch wenn es bisher noch keine Rechtsprechung zu der Cookie-Lösung gibt. Abmahnungen durch Mitbewerber sind jedoch auf jeden Fall möglich und auch denkbar. Die Umsetzbarkeit für den Laien ist jedoch kaum möglich, da hier zumindest Grundkenntnisse in HTML und Javascript erforderlich sind. Bei Piwik ist die Gestaltung und Einbindung dieser Opt-Out Lösung sehr viel einfacher. Wir berichteten darüber bereits ausführlich.