Google Analytics (auf einmal) datenschutzkonform

Nach Auskunft des Datenschutzbeauftragten der Stadt Hamburg vom 15.09.2011 könne Google Analytics nunmehr datenschutzkonform eingesetzt werden, wenn bestimmte Voraussetzungen umgesetzt bzw. beachtet werden. Unter anderem soll jeder Nutzer von Google Analytics mit der Google Inc. einen Vertrag zur Durchführung einer Auftragsdatenverarbeitung (“ADV”) gemäß § 11 BDSG abschließen.

Wie üblich werden die “Voraussetzungen” mittels copy&paste schnell in der Bloggerwelt verbreitet. Interessant ist eigentlich aus Datenschutzsicht nur die eine Frage. Wenn wegen der teilweisen Löschung der IP-Adresse “keine Identifizierung des Nutzers mehr möglich ist”, folglich kein Personenbezug mehr hergestellt werden kann und somit die “kastrierte” IP-Adresse auch nicht mehr als personenbezogenes Datum im Sinne des § 3 Abs. 1 BDSG angesehen werden kann – was ohnehin seitens der Rechtsprechung kritisch gesehen wird -, aus welchen Gründen soll dann der Abschluss eines Vertrags zur ADV rechtlich geboten sein?

Unahängig hiervon ist nach deutschem Datenschutzrecht eine ADV außerhalb EU/EWR nicht möglich! Dies ergibt sich bereits aus § 3 Abs. 8 S. 2 BDSG (vgl. Stellungnahme DAV 43/2011, August 2011.

Dass allein die Anonymisierungsfunktion für das Google Analytics Skript, welches die letzten 8 Bit der IP-Adresse löscht, ausreicht, darf bezweifelt werden. Denn die Anonymisierung wird anscheinend erst zu einem Zeitpunkt vorgenommen, nachdem die IP-Adresse bereits durch das Google Analytics Skript an G…