Hamburger Datenschutz-Aufsichtsbehörde: Google Analytics datenschutzkonform einsetzen

Die Hamburger Datenschutz-Aufsichtsbehörde hat sich mit Google auf eine datenschutzkonforme Einsatzmöglichtkeit von Google Analytics verständigt. Die Einigung war nach entsprechenden Äußerungen erwartet worden (vgl. die Beiträge hier und hier. Damit scheint eine längere Auseinandersetzung um den Einsatz von Google Analytics beigelegt. Lesen Sie im Folgenden, was Webseitenbetreiber künftig beachten sollten.

Die Datenschutz-Aufsichtsbehörden hatten Ende November 2009 einen Beschluss erlassen, wonach die Analyse des Nutzungsverhaltens unter Verwendung vollständiger IP-Adressen aufgrund der Personenbeziehbarkeit dieser Daten nur mit bewusster, eindeutiger Einwilligung zulässig sei. Damit war in der Praxis von der Verwendung von Google Analytics in den meisten Fällen abzuraten (siehe hierzu auch unseren Beitrag, bis Google später erste datenschutzkonforme Anpassungsmöglichkeiten vorstellte (vgl. den Beitrag hier).

Nun ist die Hamburger Datenschutz-Aufsichtsbehörde zu einer abschließenden Lösung mit Google gekommen und empfiehlt, für einen beanstandungsfreien Betrieb von Google Analytics folgende Maßnahmen umzusetzen (vgl. hierzu auch die entsprechende Pressemitteilung:

1. Auftragsdatenverarbeitungsvertrag abschließen: Webseiten-Betreiber müssen den von Google vorbereiteten Vertrag zur Auftragsdatenverarbeitung schriftlich abschließen. Dabei ist zu beachten, dass der Webseitenbetreiber trotz des vorformulierten (und mit den Datenschutzaufsichtsbehörden abgestimmten) Vertragstextes formal Auftraggeber ist und Google in Bezug auf die Verarbeitung personenbezogener Daten lediglich entsprechend der Weisungen handelt. Die Verarbeitung personenbezogener Daten im Auftrag schließt bestimmte Kontrollpflichten ein, bei denen Google den Webseitenbetreiber durch Vorlage entsprechender Nachweise unterstützt.

2. Datenschutzerklärung ergänzen: Der Webseitenbetreiber muss die Nutzer der Webseite in der Datenschutzerklärung über die Verarbeitung personenbezogener Daten im Rahmen von Google Analytics aufklären und auf die Widerspruchsmöglichkeiten gegen die Erfassung durch Google Analytics hinweisen. Einen entsprechenden Textentwurf finden Sie am Ende dieses Beitrages.

3. Tracking-Code anpassen: Der Webseitenbetreiber muss durch entsprechende Einstellungen im Google Analytics-Programmcode Google mit der Kürzung der IP-Adressen beauftragen. Dazu ist auf jeder Internetseite mit Analytics-Einbindung der Trackingcode um die Funktion „_anonymizeIp()“ zu ergänzen. Weitere Details können hier entnommen werden.

Die Hamburger Datenschutz-Aufsichtsbehörde weist zudem darauf hin, dass bislang über Google Analytics erhobene Altdaten gelöscht werden müssen. Google bietet hierfür nach Auskunft der Aufsichtsbehörde Hamburg nur den Weg an, das bestehende Google-Analytics-Profil zu schließen und anschließend ein neues zu eröff…