Neu! Google Analytics jetzt auch mit Datenschutz!

Vor ein paar Wochen raste die Hurra-Meldung: „Google Analytics lässt sich nun datenschutzkonform nutzen“ durch das SocialWeb. Das ist in der Tat so, denn der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit Johannes Caspar gab am 15.9.2011 bekannt, dass ein „beanstandungsfreier Betrieb von Google Analytics ab sofort möglich“ ist (Quelle: http://www.datenschutz-hamburg.de/news/detail/article/beanstandungsfreier-betrieb-von-google-analytics-ab-sofort-moeglich.html). Im Prinzip ist das eine sehr gute Nachricht. Dennoch gibt es dabei ein paar nicht ganz unwesentliche Dinge zu beachten.

Jeder Betreiber einer Website oder Ecommerce-Plattform kann mit Google Analytics kostenfrei und sehr detailliert das Nutzerverhalten auf der Website auswerten. Darüber hinaus ist es möglich, den eingehenden Traffic aus Online-Kampagnen zu tracken und damit die Kampagnen auf ihre Effizienz hin zu überprüfen. Google Analytics ist also für viele Websitebetreiber unersetzbar geworden. Um so schlimmer war es, dass man sich als Nutzer dieses Dienstes in einer rechtlichen Grauzone befand. Diese Zeiten sind vorbei, denn die Anforderungen sind nun definiert und sie laufen darauf hinaus, dass der Betreiber einer Website den beanstandungsfreien Betrieb von Google Analytics auf seiner Website gewährleisten muss. Google stellt den Dienst bereit und der Nutzer des Dienstes muss darauf achten, dass der Betrieb desselben mit dem Bundesdatenschutzgesetz (BDSG) vereinbar ist. Denn das ist Google Analytics von Haus aus nicht.

Um einen beanstandungsfreien Betrieb zu gewährleisten, hat Johannes Caspar mit Google in einen „langen, aber konstruktiven Abstimmungsprozess“ entsprechende Anforderungen erarbeitet:

1. Die Nutzer des Webangebotes (Website, Shop o.ä.) müssen über die Erhebung personenbezogener Daten aufgeklärt werden und die Möglichkeit haben, der Erfassung von Daten mittels Google Analytics zu widersprechen.
2. Die Erhebung der Daten darf generell nur anonymisiert erfolgen. Das wird durch die Einbindung der Funktion  „_anonymizeIp()“ in den GA-Code gewährleistet. Damit werden die IP-Adressen gekürzt und sind nicht mehr auf eine Person zurückzuführen.
3. Der Nutzer des Diensten Google Analytics muss mit Google einen regulären Vertrag zur Auftragsdatenverarbeitung eingehen. Diesen Vertrag kann man bei Google herunterladen (http://www.google.de/intl/de/analytics/tos.pdf).
4. Weil in der Vergangenheit niemand diese Anforderungen beim Betrieb von Google Analytics auf der eigenen Website erfüllt haben wird, geht der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit davon aus, dass alle bis dahin erhoben GA-Daten unrechtmässig und zu löschen sind.

Diese Anforderungen sind für alle in Hamburg ansässigen Firmen verbindlich. Sicher werden auch andere Bundesländer nachziehen und diese Anforderungen für dort ansässige Firmen verbindlich machen. Ob diese Anforderungen zukünftig Bestand haben und ob sie zu restriktiv oder zu lasch sind, werden wahrscheinlich irgendwann die Gerichte klären. Dennoch besteht Handlungsbedarf, und es ergeben sich mehrere Handlungsmöglichkeiten. Entweder man gibt die Webanalyse in die Hände von Google oder sichert sich die kostenpflichtigen und schon langen datenschutzkonformen Dienste von beispielsweise eTracker oder man nimmt die Analyse selbst in die Hand indem man auf Piwik zurückgreift. Piwik ist ein Open-Source-Webanalyse-Tool, das man auf dem eigenen Server betreiben kann. Das bedeutet, dass die erhobenen Daten nicht in die Hände Dritter gegeben werden müssen. Darüber hinaus bietet Piwik alle Statistiken die bei einer Webanalyse wichtig sind.

Wie auch immer man sich entscheidet, wichtig ist es, dass man das Thema zügig angeht. Denn die Nutzung von Google Analytics, wie es bisher üblich war, ist laut des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit Johannes Caspar nun nicht mehr rechtmässig.