Google Analytics Datenschutz-Grundverordnung (DSGVO) konform einsetzten
Die Quelle der folgenden, für uns angepassten Zusammenfassung ist: https://www.datenschutzbeauftragter-info.de/fachbeitraege/google-analytics-datenschutzkonform-einsetzen/
Was ist zu tun?
Es ergeben sich für einen datenschutzkonformen Einsatz von Google Analytics unter Beachtung der Vorgaben der DSGVO insgesamt sechs Punkte:
- Vertrag zur Auftragsverarbeitung abschließen
- Tracking-Code anpassen
- Aufbewahrungsdauer der Daten festlegen
- Datenschutzerklärung anpassen
- Einwilligung einholen
- Ggf. Löschung von Altdaten
Vertrag zur Auftragsverarbeitung abschließen
Mit Google ein Vertrag zur Auftragsverarbeitung abzuschließen: Verwaltung / Kontoeinstellungen / Zusatz zur Datenverarbeitung / Zusatz anzeigen und den Auftragsverarbeitungsvertrag bestätigen. Unter dem Link „Details zum Zusatz zur Datenverarbeitung verwalten“ Firmen- bzw. Kontaktangaben ausfüllen und mit „Speichern“ bestätigen. Error creating thumbnail: File missing
Besteht zum Zeitpunkt der Anwendbarkeit der DSGVO schon ein Auftragsdatenverarbeitungsvertrag mit Google, ist es nicht in jedem Fall erforderlich, einen neuen Vertrag abzuschließen. Nur für den Fall, dass der Vertrag mit Google vor September 2016 abgeschlossen wurde, ist ein neuer Vertrag abzuschließen, da sich die alten ADV-Verträge von Google auf den für unwirksam erklärten Safe-Harbor-Beschluss beriefen.
Tracking-Code anpassen
IP-Adressen anonymisieren
Eine datenschutzkonforme Nutzung von Google Analytics ist nur mit der Code-Erweiterung „anonymizeIp“ möglich. Der von Google vorgegebene Tracking-Code erfüllt nicht die Anforderungen zum Datenschutz, deshalb muss der jeweilige Google Analytics Tracking-Code händisch angepasst werden. Durch Nutzung der Code-Erweiterung werden die letzten 8 Bit der IP-Adressen gelöscht und somit anonymisiert. Dadurch ist zwar weiterhin eine grobe Lokalisierung möglich, dies ist jedoch von den deutschen Datenschutzbehörden anerkannt und akzeptiert.
Widerspruchsrecht
Es ist notwendig, dass den Betroffenen die Möglichkeit eines Widerspruchs gegen die Erstellung von Nutzungsprofilen eingeräumt wird. Google hat dafür ein Deaktivierungs-Add-on entwickelt, das aber nicht auf allen Endgeräten installierbar ist. Deshalb muss das Script erweitert werden, damit ein Opt-Out-Cookie gesetzt wird. Dieses Cookie verhindert die zukünftige Datenerfassung. Da bei Universal Analytics das Tracking geräteübergreifend erfolgt, ist es mit einem einfachen Opt-Out regelmäßig nicht getan. Der Nutzer muss seinen Widerspruch auf allen genutzten Systemen erklären, damit keine geräteübergreifende Zuordnung seiner Nutzung zu der angelegten User-ID erfolgt.
Google Analytics (GA) Code inkl. IP-Anonymisierung und Opt-Out-Cookie
Bitte nicht vergessen, die "{GA_TRACKING_ID}" Tracking-ID zu ändern. Wenn noch ein alter Tracking Code verwendet wird, ist dies eine gute Gelegenheit, diesen upzudaten.
<script>
var gaProperty = '{GA_TRACKING_ID}';
var disableStr = 'ga-disable-' + gaProperty;
if (document.cookie.indexOf(disableStr + '=true') > -1) {
window[disableStr] = true;
}
function gaOptout() {
document.cookie = disableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';
window[disableStr] = true;
alert('Das Tracking durch Google Analytics wurde in Ihrem Browser für diese Website deaktiviert.');
}
</script>
<script async src="https://www.googletagmanager.com/gtag/js?id={GA_TRACKING_ID}"></script>
<script>
window.dataLayer = window.dataLayer || [];
function gtag(){dataLayer.push(arguments);}
gtag('js', new Date());
gtag('config', '{GA_TRACKING_ID}', { 'anonymize_ip': true });
</script>
Folgender Link muss dann im Datenschutz-Text angegeben werden:
<a onclick="alert('Das Tracking durch Google Analytics wurde in Ihrem Browser für diese Website deaktiviert');" href="javascript:gaOptout()">Hier klicken, um Google Analytics zu deaktivieren</a>
Google Tagmanager (GTM) Code inkl. IP-Anonymisierung und Opt-Out-Cookie
<a id="gaoptout" href="#">Google Analytics deaktivieren</a>
Opt-Out Cookie setzen
Als erstes legen wir einen neuen benutzerdefinierten HTML-Tag an und fügen folgenden Code ein.
<script>
var optOutLink = document.getElementById("gaoptout");
if(optOutLink) {
optOutLink.onclick = function() {
document.cookie = 'gaoptout=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';
this.innerHTML = "Google Analytics opt-out successful";
return false;
}
}
</script>
Error creating thumbnail: File missing
Opt-Out Cookie auslesen
Als nächstes müssen wir dieses Cookie im Tag Manager verfügbar machen, da wir prüfen wollen, ob das Cookie gesetzt wurde oder nicht. Dazu legen wir eine neue Variable vom Typ „First-Party-Cookie“ an und geben dieser den Namen ga-opt-out.
Trigger für Opt-Out anlegen
Für den Google Analytics Tag müssen wir nun einen Trigger anlegen, welcher die Bedingung prüft, ob ein Opt-Out Cookie gesetzt wurde oder nicht. Dafür verwenden wir den Triggertyp Seitenaufruf und lösen den Trigger nur bei vorhandenem Cookie aus.
Error creating thumbnail: File missing
Google Analytics Tags unterbinden
Als letzten Schritt müssen wir bei den vorhandenen Google Analytics Tags unsere vorher definierte Ausnahmeregel hinzufügen. Dazu wählen wir bei jedem Analytics Tag den Punkt Ausnahme hinzufügen und wählen dort den vorher angelegten Opt-Out Trigger an.
Error creating thumbnail: File missing
Google Analytics Tags unterbinden testen/prüfen
Jetzt kannst du natürlich noch überprüfen, ob Google Analytics wirklich nicht mehr ausgeführt wird. Dafür nutze ich die Chrome Extension Google Tag Assistant.
Error creating thumbnail: File missing
Jetzt klicke auf den Google Analytics Opt-Out Link und lade deine Seite nochmal neu. Es sollte nur noch der Google Tag Manager in dem Google Tag Assistant erscheinen, jedoch kein Google Analytics Tag. Wenn das der Fall ist, dann war der Opt-Out von Analytics erfolgreich.
Error creating thumbnail: File missing
Fertig ist der Opt-Out Prozess von Google Analytics via den Tag Manager. Was nun passiert ist, dass der Analytics Tag selbst nicht mehr geladen wird und somit auch keine Daten an Google Analytics gesendet werden.
Aufbewahrungsdauer der Daten festlegen
Google bietet ab dem 25. Mai 2018 zusätzliche Optionen zur Aufbewahrung der erhobenen Daten an (Google Analytics-Steuerelemente zur Datenaufbewahrung). Die Aufbewahrungsdauer gilt nur für Daten auf Nutzer- und Ereignisebene, die mit Cookies, User IDs und Werbe-IDs verknüpft sind. Aggregierte Daten sind nicht betroffen.
Die Voreinstellung sieht vor, dass die Nutzer- und Ereignisdaten standardmäßig 26 Monate gespeichert werden. Auch ist der Button „Bei neuer Aktivität zurücksetzen“ standardmäßig aktiviert. Mit Blick auf Art. 25 DSGVO (Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen) sollten Sie den Button deaktivieren und die Aufbewahrungsdauer auf 14 Monate begrenzen.
Die Änderungen der Aufbewahrungsdauer nehmen Sie wie folgt vor:
- Wählen Sie „Verwaltung“ aus und klicken Sie auf die Property, die Sie bearbeiten möchten
- Klicken Sie in der Spalte „Property“ auf „Tracking-Informationen > Datenaufbewahrung“
Error creating thumbnail: File missing
Sollten Sie eine andere Einstellung wählen, müssen Sie die hier zur Verfügung gestellte Datenschutzerklärung entsprechend anpassen.
Datenschutzerklärung anpassen
Vorgaben nach DSGVO
Die Nutzung von Google Analytics ist in der Datenschutzerklärung zwingend anzugeben. Bisher gab Google hierzu in den Google Analytics Bedingungen eine Formulierung für die Datenschutzerklärung vor. Inzwischen stellt Google diesen Textbaustein nicht mehr zur Verfügung. Geht man davon aus, dass die bisherigen Datenschutzhinweise von Google die Datenverarbeitungen bei Google Analytics zutreffend beschreiben und dass diese auch nicht wesentlich geändert wurden (uns ist hier nichts bekannt), kann man die bisherige Textvorlage von Google Analytics weiterhin mit den von uns vorgeschlagenen Ergänzungen verwenden:
- Umfang der Datenerhebung, Art. 12 und 13 DSGVO
- Rechtsgrundlage, Art. 13 DSGVO
- Speicherdauer bzw. Kriterien für Festlegung der Dauer, Art. 13 Abs.2 lit.a DSGVO
- Widerrufsrecht, Art. 7 Abs.3 DSGVO
- Hinweis zum Deaktivierungs-Add-on und Opt-Out-Cookie
- Hinweis zu anonymizeIp
Finale Datenschutzerklärung inkl. DSGVO-Hinweise
<h3>Google Analytics</h3> <p>Diese Website nutzt Funktionen des Webanalysedienstes Google Analytics. Anbieter ist die Google Inc., 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.</p> <p>Google Analytics verwendet so genannte “Cookies”. Das sind Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglichen. Die durch den Cookie erzeugten Informationen über Ihre Benutzung dieser Website werden in der Regel an einen Server von Google in den USA übertragen und dort gespeichert.</p> <p>Die Speicherung von Google-Analytics-Cookies erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Webseitenbetreiber hat ein berechtigtes Interesse an der Analyse des Nutzerverhaltens, um sowohl sein Webangebot als auch seine Werbung zu optimieren.</p> <h4>IP Anonymisierung</h4> <p>Wir haben auf dieser Website die Funktion IP-Anonymisierung aktiviert. Dadurch wird Ihre IP-Adresse von Google innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum vor der Übermittlung in die USA gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server von Google in den USA übertragen und dort gekürzt. Im Auftrag des Betreibers dieser Website wird Google diese Informationen benutzen, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen gegenüber dem Websitebetreiber zu erbringen. Die im Rahmen von Google Analytics von Ihrem Browser übermittelte IP-Adresse wird nicht mit anderen Daten von Google zusammengeführt.</p> <h4>Browser Plugin</h4> <p>Sie können die Speicherung der Cookies durch eine entsprechende Einstellung Ihrer Browser-Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website vollumfänglich werden nutzen können. Sie können darüber hinaus die Erfassung der durch den Cookie erzeugten und auf Ihre Nutzung der Website bezogenen Daten (inkl. Ihrer IP-Adresse) an Google sowie die Verarbeitung dieser Daten durch Google verhindern, indem Sie das unter dem folgenden Link verfügbare Browser-Plugin herunterladen und installieren: https://tools.google.com/dlpage/gaoptout?hl=de.</p> <h4>Widerspruch gegen Datenerfassung</h4> <p>Sie können die Erfassung Ihrer Daten durch Google Analytics verhindern, indem Sie auf folgenden Link klicken. Es wird ein Opt-Out-Cookie gesetzt, der die Erfassung Ihrer Daten bei zukünftigen Besuchen dieser Website verhindert: Google Analytics deaktivieren.</p> <p>Mehr Informationen zum Umgang mit Nutzerdaten bei Google Analytics finden Sie in der Datenschutzerklärung von Google: https://support.google.com/analytics/answer/6004245?hl=de.</p> <h4>Auftragsdatenverarbeitung</h4> <p>Wir haben mit Google einen Vertrag zur Auftragsdatenverarbeitung abgeschlossen und setzen die strengen Vorgaben der deutschen Datenschutzbehörden bei der Nutzung von Google Analytics vollständig um.</p> <h4>Demografische Merkmale bei Google Analytics</h4> <p>Diese Website nutzt die Funktion “demografische Merkmale” von Google Analytics. Dadurch können Berichte erstellt werden, die Aussagen zu Alter, Geschlecht und Interessen der Seitenbesucher enthalten. Diese Daten stammen aus interessenbezogener Werbung von Google sowie aus Besucherdaten von Drittanbietern. Diese Daten können keiner bestimmten Person zugeordnet werden. Sie können diese Funktion jederzeit über die Anzeigeneinstellungen in Ihrem Google-Konto deaktivieren oder die Erfassung Ihrer Daten durch Google Analytics wie im Punkt “Widerspruch gegen Datenerfassung” dargestellt generell untersagen.</p>
Einwilligung einholen
Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat am 26. April 2018 ein Positionspapier veröffentlicht, wonach ab dem 25.05.2018 rechtskonformes Webtracking nur mit einer vorherigen informierten Einwilligung des Nutzers möglich sein soll. Verzichtet man auf die Einholung der Einwilligung, riskiert man ein Bußgeld durch eine Aufsichtsbehörde oder eine Abmahnung.
Einwilligung bei Seitenaufruf
Wichtig ist, dass das Tracking erst aktiviert wird, nachdem der Nutzer eingewilligt hat und nicht vorher. Bei Aufruf der Website könnte eine entsprechende Einwilligung durch einen „Cookie-Banner“ eingeholt werden, der sich jedoch auf die Nutzung von Google Analytics bezieht. Ein Beispiel hierfür wäre:
Mittlerweile gibt es viele Anbieter, die Cookie-Banner-Implementationen anbieten. Weiterführende Hinweise und eine Auflistung der Anbieter zu Cookie-Bannern finden Sie hier.
Risiko eingehen und weiter auf Opt-Out setzen
Es gibt ungewohnt viele kritische Stimmen von Datenschutzexperten, die die Auslegung des DSK für unausgegoren halten. Ob das vom DSK aufgestellte Einwilligungserfordernis vor Gericht Bestand haben wird, ist unklar. Wird auf die Einholung einer Einwilligung verzichtet, ist der Einsatz von Google Analytics auf die Rechtsgrundlage des Art. 6 Abs.1 S.1 lit. f DSGVO zu stützen. Hier ist dann weiter auf die Opt-Out-Lösung zu setzen.
Löschung von Altdaten
Wurden durch Google Analytics Nutzerprofile ohne IP-Anonymisierung erstellt, sind diese Daten rechtswidrig erhoben worden und somit zu löschen. Google bietet in den Analytics-Einstellungen mittlerweile die Möglichkeit, sog. „Properties“ und „Datenansichten“ in den Papierkorb zu verschieben, wodurch sie nach 35 Tagen gelöscht werden.
