NRW-Datenschutzbeauftragter überprüft Google Analytics Einsatz

Uns ist bekannt geworden, dass der Datenschutzbeauftragte des Landes NRW Unternehmen im Bundesland anschreibt, um festzustellen ob die Nutzung von Google Analytics datenschutzkonform erfolgt. Als Aufsichtsbehörde für den Datenschutz im Sinne des § 38 Abs. 7 BDSG ist der Datenschutzbeauftragte des Landes NRW dafür zuständig.

Wenn Sie ein solches Schreiben erhalten haben, gibt dies noch keinen Aufschluss darüber, ob Sie das Tracking-Tool Google Analytics rechtskonform nutzen. Vielmehr wird mitgeteilt, dass der entsprechende Programmiercode auf der Seite des Unternehmens gefunden wurde. Des Weiteren wird auf die Anforderungen verwiesen, die – aus datenschutzrechtlicher Sicht – bei der Verwendung des Google-Tools zu beachten sind. Zudem wird im Schreiben Auskunft gemäß § 38 Abs. 3 BDSG über die konkrete Ausgestaltung der Tracking-Software verlangt.

Wie verhalten Sie sich richtig?

Das Schreiben sollte auf jeden Fall ernst genommen werden. Es ist richtig, dass Bußgelder verhängt werden können, wenn z.B. die verlangte Auskunft nicht erteilt wird.

UPDATE 27.8.2019:

Kann man Google Analytics rechtskonform nutzen?

Ja! Webseitenbetreiber, die das Tracking-Tool verwenden wollen, müssen im Hinblick auf die DSVGO einige Implementierungsanforderungen beachten, um Bußgelder und kostenpflichtige Abmahnungen zu vermeiden. Folgende Punkte müssen erfüllt werden:

1. Vertrag über die Auftragsdatenverarbeitung mit Google

Es muss mit Google ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen werden (vgl. Sie bitte Art. 28 Abs. 9 DSGVO zur Möglichkeit, Auftragsverarbeitungsverträge auch in ‘elektronischer Form’ abzufassen). Weitere Informationen zum Auftragsverarbeitungsvertrag für Google Analytics finden Sie hier.

2. Nutzungshinweis, Datenschutzerklärung und Widerspruchsmöglichkeit

Die Besucher Ihrer Webseite müssen beim Aufrufen der Website wissen, dass der Dienst von Google Analytics genutzt wird. Sie müssen zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten informiert werden.

Die Seitenbesucher müssen darüber aufgeklärt werden, dass sie dagegen Widerspruch einreichen können – dies auch mittels Opt-Out-Möglichkeit. Hilfreich ist es hier, auf das Add-On von Google zu verlinken, das es ermöglicht Analytics „auszuschalten“:

https://tools.google.com/dlpage/gaoptout?hl=de

3. IP-Anonymisierung

Der Seitenbetreiber muss die Einstellungen im Tracking-Tool so wählen, dass die IP-Adresse durch Google verkürzt wird und dadurch eine Anonymisierung stattfindet. Auf den Seiten, auf denen Google Analytics eingebunden ist, muss der Google Trackingcode um die Funktion „_anonymizeIp()“ ergänzt werden. (sog. IP-Masken-Methode). Wie dies im Seitencode eingebaut werden kann, erfahren Sie auf der Google-Seite unter:

https://developers.google.com/analytics/devguides/collection/gajs/methods/gaJSApi_gat?hl=de#_gat._anonymizeIp

Sollten Sie weitere Fragen zum Thema haben, stehen wir Ihnen gerne beratend zur Seite. (cr)