Nach der zuletzt sehr aktiven Diskussion über die Zulässigkeit von Google Analytics in Deutschland berichtet die internet World Business, dass Google Analytics mit Blick auf eine der zentralen Forderungen der Datenschutz-Aufsichtsbehörden nachgebessert wurde. So kann Google Analytics mit Anpassungen nun wieder eingesetzt werden.

Hintergrund der Debatte um Google Analytics

Ende November hatten die Datenschutz-Aufsichtsbehörden einen Beschluss erlassen, laut dem die Analyse des Nutzungsverhaltens unter Verwendung vollständiger IP-Adressen nur mit bewusster, eindeutiger Einwilligung zulässig sei, da sonst eine Personenbeziehbarkeit dieser Daten bestünde. Für die Praxis bedeutete dies, dass von der Verwendung von Google Analytics (und ähnlicher Tools) in den meisten Fällen abzuraten war.

Der Code-Zusatz „anonymize IP“ macht Google Analytics datenschutzfreundlich

Seit neuestem bietet Google nun Webseiten-Betreibern  die Möglichkeit, den Google Analytics Code um die Funktion „_anonymizeIp()“ zu erweitern. Mit der Einbindung dieses Zusatz-Codes werden vor jeder weiteren Verarbeitung der anfragenden IP-Adresse die letzten acht Bit gelöscht, was eine Identifizierung des Webseiten-Besuchers ausschließt. Dieses Verfahren ist von den Datenschutz-Aufsichtsbehörden in Deutschland anerkannt, wird auch von anderen Webanalyse-Anbietern verwendet und eine grobe (datenschutzrechtlich zulässige) Lokalisierung bleibt dennoch möglich.

Wichtig: Datenschutzerklärung anpassen

Der Einsatz von Google Analytics muss in der Datenschutzerklärung der entsprechenden Seite dargestellt sein (vgl. hierzu auch Ziffer 8.1 der Nutzungsbedingungen von Google Analytics). Eine entsprechende Erklärung könnte nun so lauten, wobei der Text von Google Analytics um einige Zeilen (rot markiert) erweitert wurde. Für die Vollständigkeit und Richtigkeit übernimmt Gründerszene jedoch keine Gewähr.

„Diese Website benutzt Google Analytics, einen Webanalysedienst der Google Inc. („Google“). Google Analytics verwendet so genannte „Cookies“, Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglichen. Die durch den Cookie erzeugten Informationen über Ihre Benutzung dieser Website (einschließlich Ihrer IP-Adresse) wird an einen Server von Google in den USA übertragen und dort gespeichert. Google wird diese Informationen benutzen, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten für die Websitebetreiber zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen zu erbringen. Auch wird Google diese Informationen gegebenenfalls an Dritte übertragen, sofern dies gesetzlich vorgeschrieben oder soweit Dritte diese Daten im Auftrag von Google verarbeiten. Google wird in keinem Fall Ihre IP-Adresse mit anderen Daten von Google in Verbindung bringen. Sie können die Installation der Cookies durch eine entsprechende Einstellung Ihrer Browser Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website vollumfänglich nutzen können. Durch die Nutzung dieser Website erklären Sie sich mit der Bearbeitung der über Sie erhobenen Daten durch Google in der zuvor beschriebenen Art und Weise und zu dem zuvor benannten Zweck einverstanden. Der Datenerhebung und -speicherung kann jederzeit mit Wirkung für die Zukunft widersprochen werden. Angesichts der Diskussion um den Einsatz von Analysetools mit vollständigen IP-Adressen möchten wir darauf hinweisen, dass diese Website Google Analytics mit der Erweiterung „_anonymizeIp()“ verwendet und daher IP-Adressen nur gekürzt weiterverarbeitet werden, um eine direkte Personenbeziehbarkeit auszuschließen.“

Problem: Widerspruchsmöglichkeit

Ein datenschutzrechtlicher Aspekt beim Einsatz von Google Analytics bleibt bestehen. Die Datenschutz-Aufsichtsbehörden hatten in ihrem Beschluss ebenfalls gefordert, dass „[d]en Betroffenen […] eine Möglichkeit zum Widerspruch gegen die Erstellung von Nutzungsprofilen einzuräumen [ist]. Derartige Widersprüche sind wirksam umzusetzen.“

Üblich ist eine Umsetzung dieser Widerspruchsmöglichkeit an sich mittels Cookies, wobei Google  allerdings ein „Deaktivierungs-Add-on für Browser von Google Analytics“ bietet. Wenn man Heise glauben darf, funktioniert das Plug-in derzeit nur für den Internet Explorer 7 und 8, Firefox 3.x sowie für Chrome. Nutzer von Opera und Safari können der Nutzung mit dem Deaktivierungs-Add-on nicht widersprechen, sie könnten aber die Browser-Einstellungen manuell entsprechend angepassen. Im Gegensatz zur Frage der IP-Adressen ist mir in dieser Frage noch keine Stellungnahme der Aufsichtsbehörden bekannt. Solange hier keine eindeutige Positionierung durch die Aufsichtsbehörden vorgenommen wurde, kann Google Analytics meines Erachtens unter diesem Vorbehalt wieder eingesetzt werden.

Ein „3-Punkte-Katalog“ um Google Analytics sicher zu machen

Wollen Sie Google-Analytics einsetzen müssen Sie folgendes tun:

1. Erweitern Sie den Tracking-Code von Google-Analytics in Ihrer Webseite um den Zusatz „_anonymizeIp()“ (siehe dazu auch die Beschreibung von Google).
2. Passen Sie die Datenschutzerklärung auf Ihrer Webseite an (siehe Gründerszenes Beispiel oben im Text).
3. Verfolgen Sie die Diskussion der Aufsichtsbehörden zur Umsetzung der Widerspruchsmöglichkeit.

Fazit: So wird Google Analytics wieder einsetzbar

Es ist zu begrüßen, dass Google reagiert und sein Analytics-Tool in dem zentralen Punkt der IP-Adressen-Verarbeitung angepasst hat. Unter Beachtung unseres „3-Punkte-Katalogs“ können Webseiten-Anbieter Google Analytics nun wieder einsetzen.

Artikel zum Thema Google Analytics und Datenschutz:

• Datenschutzproblem Google Analytics: Zunächst abschalten
• Wie gestalte ich meine Webseite rechtssicher?
• Werbung im Internet: Das brandneue EuGH-Urteil besagt Google Adwords ist rechtmäßig
• Wer braucht einen Datenschutzbeauftragten?
• Über Datenschutz bei der dienstlichen und privaten Nutzung betrieblicher Kommunikationsmittel
• Kauf von „Altadressen“ nach der Novellierung des Bundesdatenschutzgesetzes

Über den Autor Sebastian Kraska:

Herr Dr. Sebastian Kraska ist Rechtsanwalt in München und Gründer des Instituts für IT-Recht, das schwerpunktmäßig im Bereich Datenschutz tätig ist und mit verschiedenen Kooperationspartnern Unternehmen bei der Bewältigung datenschutzrechtlicher Anforderungen unterstützt. Herr Dr. Kraska selbst ist als freiberuflicher Rechtsanwalt im Kapitalmarkt- und IT-Recht tätig und betreut mittelständische Unternehmen. Daneben ist er seit 2007 Aufsichtsrat der amiando AG. In seinem Newsletter veröffentlicht das IITR auch regelmäßig Informationen zum Thema Datenschutz.

E-Mail: email@iitr.de
Internet: http://www.iitr.de
Telefon: 089 – 5130392-0

Wichtiger Hinweis

Der vorliegende Rechtsbeitrag stellt weder eine Rechtsberatung dar, noch ersetzt er die Beratung durch einen fachkundigen Rechtsanwalt, bei der die Besonderheiten des Einzelfalls berücksichtigt werden können. Der Beitrag ist abgestimmt auf die dem Autor bei der Veröffentlichung bekannte Rechtsprechung und die herrschende Meinung in der einschlägigen Rechtsliteratur. Es ist nicht auszuschließen, dass einzelne Textpassagen im Lichte eines unbekannten oder nicht veröffentlichten Urteils zu beanstanden sind. Bitte informieren Sie sich über derartige Umstände oder holen im Zweifel fachkundigen Rat ein.

Bildmaterial: kevinrosseel

Sponsoren