Google Analytics Datenschutz-Grundverordnung (DSGVO) konform einsetzten

Die Quelle der folgenden, für uns angepassten Zusammenfassung ist: https://www.datenschutzbeauftragter-info.de/fachbeitraege/google-analytics-datenschutzkonform-einsetzen/

Was ist zu tun?

Es ergeben sich für einen datenschutzkonformen Einsatz von Google Analytics unter Beachtung der Vorgaben der DSGVO insgesamt sechs Punkte:

1. Vertrag zur Auftragsverarbeitung abschließen 2. Tracking-Code anpassen 3. Aufbewahrungsdauer der Daten festlegen 4. Datenschutzerklärung anpassen 5. Einwilligung einholen 6. Ggf. Löschung von Altdaten

1. Vertrag zur Auftragsverarbeitung abschließen

Mit Google ein Vertrag zur Auftragsverarbeitung abzuschließen: Verwaltung / Kontoeinstellungen / Zusatz zur Datenverarbeitung / Zusatz anzeigen und den Auftragsverarbeitungsvertrag bestätigen. Unter dem Link „Details zum Zusatz zur Datenverarbeitung verwalten“ Firmen- bzw. Kontaktangaben ausfüllen und mit „Speichern“ bestätigen.

Error creating thumbnail: File missing

2. Tracking-Code anpassen

IP-Adressen anonymisieren

Der Google Tracking-Code muss die IP-Adresse anonymisieren. (https://developers.google.com/analytics/devguides/collection/analyticsjs/ip-anonymization). Hierfür muss der GA bzw. die GTM Implementierung angepasst werden. Siehe Tracking Implementierung.

Widerspruchsrecht

Es ist notwendig, dass den Betroffenen die Möglichkeit eines Widerspruchs gegen die Erstellung von Nutzungsprofilen eingeräumt wird. Google hat dafür ein Deaktivierungs-Add-on entwickelt, das aber nicht auf allen Endgeräten installierbar ist.

Deshalb muss das Script erweitert werden, damit ein Opt-Out-Cookie (https://developers.google.com/analytics/devguides/collection/analyticsjs/user-opt-out) gesetzt wird. Dieses Cookie verhindert die zukünftige Datenerfassung. Siehe Tracking Implementierung.

Tracking Implementierung

Google Analytics (GA) Code inkl. IP-Anonymisierung und Opt-Out-Cookie

Bitte nicht vergessen, die "{GA_TRACKING_ID}" Tracking-ID zu ändern. Wenn noch ein alter Tracking Code verwendet wird, ist dies eine gute Gelegenheit, diesen upzudaten.

<syntaxhighlight lang="JavaScript"> <script>

   var gaProperty = '{GA_TRACKING_ID}';
   var disableStr = 'ga-disable-' + gaProperty;
 if (document.cookie.indexOf(disableStr + '=true') > -1) {
       window[disableStr] = true;
   }
 function gaOptout() {
       document.cookie = disableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';
   window[disableStr] = true;
   alert('Das Tracking durch Google Analytics wurde in Ihrem Browser für diese Website deaktiviert.');
 }
</script>
   <script async src="https://www.googletagmanager.com/gtag/js?id={GA_TRACKING_ID}"></script>
   <script>
       window.dataLayer = window.dataLayer || [];
  function gtag(){dataLayer.push(arguments); }
       gtag('js', new Date());
    
  gtag('config', '{GA_TRACKING_ID}', {'anonymize_ip': true });

</script> </syntaxhighlight>

Folgender Link muss dann im Datenschutz-Text angegeben werden:

<syntaxhighlight lang="html"> <a onclick="alert('Das Tracking durch Google Analytics wurde in Ihrem Browser für diese Website deaktiviert');" href="javascript:gaOptout()">Hier klicken, um Google Analytics zu deaktivieren</a> </syntaxhighlight>

Google Tagmanager (GTM) Code inkl. IP-Anonymisierung und Opt-Out-Cookie

Bitte nicht vergessen, die "{GA_TRACKING_ID}" Tracking-ID zu ändern. Wenn noch ein alter Tracking Code oder Google Analytics direkt verwendet werden, ist dies eine gute Gelegenheit, auf den Google Tagmanager upzudaten.

Folgender Link muss im Datenschutz-Text angegeben werden: <syntaxhighlight lang="html"> <a id="gaoptout" href="#">Google Analytics deaktivieren</a> </syntaxhighlight>

Die restliche Konfiguration erfolgt vollständig im Google Tagmanager. Diese Docu geht davon aus, das auf der Seite der GTM installiert ist.

a.) Opt-Out Cookie setzen
Als erstes legen wir einen neuen benutzerdefinierten HTML-Tag an und fügen folgenden Code ein.

<syntaxhighlight lang="JavaScript"> <script>

   var optOutLink = document.getElementById("gaoptout");
   

if(optOutLink) {

       optOutLink.onclick = function () {
           document.cookie = 'gaoptout=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';
           this.innerHTML = "Google Analytics opt-out successful";
           return false;
       }
   }

</script> </syntaxhighlight>

Error creating thumbnail: File missing

.b) Opt-Out Cookie auslesen
Als nächstes müssen wir dieses Cookie im Tag Manager verfügbar machen, da wir prüfen wollen, ob das Cookie gesetzt wurde oder nicht. Dazu legen wir eine neue Variable vom Typ „First-Party-Cookie“ an und geben dieser den Namen gaoptout.

Error creating thumbnail: File missing

.c) Trigger für Opt-Out anlegen
Für den Google Analytics Tag müssen wir nun einen Trigger anlegen, welcher die Bedingung prüft, ob ein Opt-Out Cookie gesetzt wurde oder nicht. Dafür verwenden wir den Triggertyp Seitenaufruf und lösen den Trigger nur bei vorhandenem Cookie aus.

Error creating thumbnail: File missing

d.) Google Analytics Tags unterbinden
Als letzten Schritt müssen wir bei den vorhandenen Google Analytics Tags unsere vorher definierte Ausnahmeregel hinzufügen. Dazu wählen wir bei jedem Analytics Tag den Punkt Ausnahme hinzufügen und wählen dort den vorher angelegten Opt-Out Trigger an.

Error creating thumbnail: File missing

e.) Google Analytics Tags unterbinden testen/prüfen'
Jetzt solltest du noch überprüfen, ob Google Analytics wirklich nicht mehr ausgeführt wird. Dafür nutze ich die Chrome Extension Google Tag Assistant.

Error creating thumbnail: File missing

Jetzt klicke auf den Google Analytics Opt-Out Link und lade deine Seite nochmal neu. Es sollte nur noch der Google Tag Manager in dem Google Tag Assistant erscheinen, jedoch kein Google Analytics Tag. Wenn das der Fall ist, dann war der Opt-Out von Analytics erfolgreich.

Error creating thumbnail: File missing

Fertig ist der Opt-Out Prozess von Google Analytics via den Tag Manager. Was nun passiert ist, dass der Analytics Tag selbst nicht mehr geladen wird und somit auch keine Daten an Google Analytics gesendet werden.

Aufbewahrungsdauer der Daten festlegen

Die Aufbewahrungsdauer bei Verwaltung/{Property}/Tracking-Informationen/Datenaufbewahrung auf 14 Monate begrenzen "Bei neuer Aktivität zurücksetzen"/"Reset on new activity" sollte ausgeschaltet sein.

Solltest Du andere Einstellung wählen, müssen diese in der Datenschutzerklärung entsprechend vermerkt werden.

Datenschutzerklärung anpassen

Vorgaben nach DSGVO

Die Nutzung von Google Analytics ist in der Datenschutzerklärung zwingend mit den folgenden Details anzugeben.

• Umfang der Datenerhebung, Art. 12 und 13 DSGVO
• Rechtsgrundlage, Art. 13 DSGVO
• Speicherdauer bzw. Kriterien für Festlegung der Dauer, Art. 13 Abs.2 lit.a DSGVO
• Widerrufsrecht, Art. 7 Abs.3 DSGVO
• Hinweis zum Deaktivierungs-Add-on und Opt-Out-Cookie
• Hinweis zu anonymizeIp

Ein Textvorschlag:

<syntaxhighlight lang="html">

Google Analytics

Diese Website nutzt Funktionen des Webanalysedienstes Google Analytics. Anbieter ist die Google Inc., 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Google Analytics verwendet so genannte “Cookies”. Das sind Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglichen. Die durch den Cookie erzeugten Informationen über Ihre Benutzung dieser Website werden in der Regel an einen Server von Google in den USA übertragen und dort gespeichert.

Die Speicherung von Google-Analytics-Cookies erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Webseitenbetreiber hat ein berechtigtes Interesse an der Analyse des Nutzerverhaltens, um sowohl sein Webangebot als auch seine Werbung zu optimieren.

IP Anonymisierung

Wir haben auf dieser Website die Funktion IP-Anonymisierung aktiviert. Dadurch wird Ihre IP-Adresse von Google innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum vor der Übermittlung in die USA gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server von Google in den USA übertragen und dort gekürzt. Im Auftrag des Betreibers dieser Website wird Google diese Informationen benutzen, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen gegenüber dem Websitebetreiber zu erbringen. Die im Rahmen von Google Analytics von Ihrem Browser übermittelte IP-Adresse wird nicht mit anderen Daten von Google zusammengeführt.

Browser Plugin

Sie können die Speicherung der Cookies durch eine entsprechende Einstellung Ihrer Browser-Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website vollumfänglich werden nutzen können. Sie können darüber hinaus die Erfassung der durch den Cookie erzeugten und auf Ihre Nutzung der Website bezogenen Daten (inkl. Ihrer IP-Adresse) an Google sowie die Verarbeitung dieser Daten durch Google verhindern, indem Sie das unter dem folgenden Link verfügbare Browser-Plugin herunterladen und installieren: https://tools.google.com/dlpage/gaoptout?hl=de.

Widerspruch gegen Datenerfassung

Sie können die Erfassung Ihrer Daten durch Google Analytics verhindern, indem Sie auf folgenden Link klicken. Es wird ein Opt-Out-Cookie gesetzt, der die Erfassung Ihrer Daten bei zukünftigen Besuchen dieser Website verhindert: Google Analytics deaktivieren.

Mehr Informationen zum Umgang mit Nutzerdaten bei Google Analytics finden Sie in der Datenschutzerklärung von Google: https://support.google.com/analytics/answer/6004245?hl=de.

Auftragsdatenverarbeitung

Wir haben mit Google einen Vertrag zur Auftragsdatenverarbeitung abgeschlossen und setzen die strengen Vorgaben der deutschen Datenschutzbehörden bei der Nutzung von Google Analytics vollständig um.

Demografische Merkmale bei Google Analytics

Diese Website nutzt die Funktion “demografische Merkmale” von Google Analytics. Dadurch können Berichte erstellt werden, die Aussagen zu Alter, Geschlecht und Interessen der Seitenbesucher enthalten. Diese Daten stammen aus interessenbezogener Werbung von Google sowie aus Besucherdaten von Drittanbietern. Diese Daten können keiner bestimmten Person zugeordnet werden. Sie können diese Funktion jederzeit über die Anzeigeneinstellungen in Ihrem Google-Konto deaktivieren oder die Erfassung Ihrer Daten durch Google Analytics wie im Punkt “Widerspruch gegen Datenerfassung” dargestellt generell untersagen.

</syntaxhighlight>

Einwilligung einholen/Einwilligung bei Seitenaufruf

Webtracking dar nur nur mit einer vorherigen informierten Einwilligung des Nutzers möglich sein. Bei Aufruf der Website muss eine entsprechende Einwilligung durch einen „Cookie-Bar“ eingeholt werden, der sich jedoch auf die Nutzung von Google Analytics bezieht. Ein Beispiel hierfür wäre:

<syntaxhighlight lang="html"> Verwendung von Cookies: Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen zu Cookies erhalten Sie in unserer <a href="{URL}" target="_blank">Datenschutzerklärung</a>. </syntaxhighlight>