Google Analytics Datenschutz

Im letzten Jahr haben wir bereits versucht, Euch mit unseren Grundlagen zu Google Analytics und unserem Artikel über Analytics Dashboards als Arbeitserleichterung von Google Analytics zu überzeugen.

Viele von Euch haben jedoch Bedenken bzgl. Google Analytics und der Einhaltung des Bundesdatenschutzgesetzes. Deshalb wollen wir Euch heute mit einer ausführlichen Anleitung zeigen, wie Ihr Google Analytics datenschutzkonform in Eure Webseite einbinden könnt. Wir hoffen mit diesem trockenen, aber spannenden Thema auch die letzten Skeptiker unter Euch von Google Analytics zu überzeugen. Das Thema Google Analytics und Datenschutz wurde schon in vielen verschiedenen Foren und Blogs behandelt, jedoch waren viele Artikel entweder nicht mehr aktuell genug, oder nicht ausführlich genug. Deshalb haben wir uns dazu entschieden, für Euch eine aktuelle Anleitung zusammenzustellen.

Wenn Ihr im Nachgang noch Fragen zu diesem Thema habt oder Unterstützung bei der Umsetzung braucht, meldet Euch gerne bei uns. Los geht’s.

Da Google erfasste Daten in Ländern hostet, in denen es so gut wie keinen oder auch gar keinen Datenschutz gibt, ist es zwingend erforderlich, die folgenden Arbeitsschritte durchzuführen, um Google Analytics trotzdem datenschutzkonform nutzen zu können:

1. Vertrag zur Auftragsdatenverarbeitung von Google (nach §11 BDSG)

Fangen wir mit dem einfachsten Schritt an:

Dem Unterzeichnen des Vertrags zur Auftragsdatenverarbeitung. Den Vertrag könnt Ihr Euch über diesen Link herunterladen: Google Analytics Vertrag zur Auftragsdatenverarbeitung.

Bitte druckt diesen Vertrag 2x aus, lasst beide Exemplare von Eurem Webseiten-Betreiber unterzeichnen und sendet die Verträge, zusammen mit einem frankierten Rückumschlag, an die Google Rechtsabteilung in Dublin. I. d. R. wird dieser Vertrag von Google innerhalb von 8 – 12 Arbeitstagen unterschrieben an Euch zurück gesendet.

Übrigens: Besteht dieser Vertrag nicht, müsste jeder Besucher Eurer Webseite explizit der Erhebung seiner Daten zustimmen!

2. Anonymisierung der IP Adressen durch Anpassen des Google Analytics Codes

Nach diesem einfachen Schritt geht’s nun ans Eingemachte. Der Google Analytics Code (auch „Code-Snippet“ genannt) muss so verändert werden, dass die letzten Zeichen der IP Adresse maskiert werden. Durch die Maskierung der IP Adresse ist es anschließend nicht mehr möglich, die genaue geografische Lokalisierung eines Besuchers ausfindig zu machen. Der Standort des Webseiten-Besuchers kann dann nur noch sehr ungenau, anhand des letzten Einwahlknotens, lokalisiert werden. Die (ungenaue) Lokalisierung eines Benutzers anhand des letzten Einwahlknotens ist übrigens datenschutzrechtlich unbedenklich. Diese Methode der Datenerfassung wird von deutschen Datenschutzbehörden anerkannt und akzeptiert.

Um den Analytics Code so zu verändern, dass dieser die IP Adressen maskiert, bietet sich die sog. IP Masken Methode „anonymizeIp()“ an, die bei Google seit Mai 2010 verfügbar ist. Diese Funktion stellt Google in der JavaScript-Bibliothek ga.js und auch in ga(‘set’, ‘anonymizeIp’, true) in der Bibliothek analytics.js zur Verfügung. Nähere Informationen dazu könnt Ihr hier aufrufen.

Durch diese Funktion zur Anonymisierung der IP Adressen in Google Analytics werden bei IP Adressen vom Typ IPv4  die letzten 8bit der Adresse verschlüsselt, bei IP Adressen vom Typ IPv6 die letzten 80bit. Nach der Einrichtung dieser Funktion werden alle Daten kurz vor der Übermittlung an das Analytics-Datenerfassungsnetzwerk verschlüsselt. Das bedeutet, dass die vollständige IP des Nutzers nie auf einer Festplatte gespeichert wird.

Da der standardmäßig von Google vorgegebene Tracking Code nicht die Anforderungen an den Datenschutz erfüllt, muss der Tracking Code zwingend durch „anonymizeIp()“angepasst werden. Aktuell werden zwei Varianten des Tracking Codes genutzt: Universal Analytics und Klassisches Analytics.

Die folgenden Code Beispiele sollen Euch dabei helfen, Euren Tracking Code korrekt anzupassen:

Datenschutz mit „Universal Analytics“:

<script>

(function(i,s,o,g,r,a,m){i[‘GoogleAnalyticsObject’]=r;i[r]=i[r]||function(){

(i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o),

m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m)

})(window,document,’script’,’//www.google-analytics.com/analytics.js’,’ga’);

ga(‘create’, ‘UA-XXXXXXX-X’, ‘website.de’);

ga(‘set’, ‘anonymizeIp’, true);

ga(‘send’, ‘pageview’);

</script>

Tiefergehende Informationen zur Anpassung des Codes findet Ihr hier.

Datenschutz mit „Klassischem Analytics“:

 <script type=”text/javascript”>

var _gaq = _gaq || [];

_gaq.push([‘_setAccount’, ‘UA-XXXXXXX-X’]);

_gaq.push([‘_gat._anonymizeIp’]);

_gaq.push([‘_trackPageview’]);

(function() {

var ga = document.createElement(‘script’); ga.type = ‘text/javascript’; ga.async = true;

ga.src = (‘https:’ == document.location.protocol ? ‘https://ssl’ : ‘http://www’) + ‘.google-analytics.com/ga.js’;

var s = document.getElementsByTagName(‘script’)[0]; s.parentNode.insertBefore(ga, s);

})();

</script>

Weitere Informationen zur Anpassung des Codes im klassischen Google Analytics, findet Ihr hier.

3. Aufklärung der Besucher über den Einsatz von Google Analytics in der Datenschutzerklärung der Unternehmens-Webseite

Für die datenschutzkonforme Nutzung von Google Analytics hat Google Analytics Bedingungen generiert, die von Webseitenbetreibern innerhalb der Datenschutzerklärung auf der Webseite hinterlegt werden müssen.

Den folgenden Text (übernommen von und nachlesbar auf dr-datenschutz.de) müsst Ihr in die Datenschutzerklärung Eurer Webseite integrieren:

Diese Website benutzt Google Analytics, einen Webanalysedienst der Google Inc. („Google“). Google Analytics verwendet sog. „Cookies“, Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglichen. Die durch das Cookie erzeugten Informationen über Ihre Benutzung dieser Website werden in der Regel an einen Server von Google in den USA übertragen und dort gespeichert. Im Falle der Aktivierung der IP-Anonymisierung auf dieser Website, wird Ihre IP-Adresse von Google jedoch innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum zuvor gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server von Google in den USA übertragen und dort gekürzt. Im Auftrag des Betreibers dieser Website wird Google diese Informationen benutzen, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen gegenüber dem Websitebetreiber zu erbringen. Die im Rahmen von Google Analytics von Ihrem Browser übermittelte IP-Adresse wird nicht mit anderen Daten von Google zusammengeführt. Sie können die Speicherung der Cookies durch eine entsprechende Einstellung Ihrer Browser-Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website vollumfänglich werden nutzen können. Sie können darüber hinaus die Erfassung der durch das Cookie erzeugten und auf Ihre Nutzung der Website bezogenen Daten (inkl. Ihrer IP-Adresse) an Google sowie die Verarbeitung dieser Daten durch Google verhindern, indem Sie das unter dem folgenden Link (http://tools.google.com/dlpage/gaoptout?hl=de) verfügbare Browser-Plugin herunterladen und installieren.

 Sie können die Erfassung durch Google Analytics verhindern, indem Sie auf folgenden Link klicken. Es wird ein Opt-Out-Cookie gesetzt, das die zukünftige Erfassung Ihrer Daten beim Besuch dieser Website verhindert:

<a href=”javascript:gaOptout()”>Google Analytics deaktivieren</a>

 Nähere Informationen zu Nutzungsbedingungen und Datenschutz finden Sie unter http://www.google.com/analytics/terms/de.html bzw. unter https://www.google.de/intl/de/policies/. Wir weisen Sie darauf hin, dass auf dieser Website Google Analytics um den Code „gat._anonymizeIp();“ erweitert wurde, um eine anonymisierte Erfassung von IP-Adressen (sog. IP-Masking) zu gewährleisten.

Solltet Ihr auch noch Erweiterungen von Google Analytics verwenden um zusätzliche Daten auszuwerten, müsst Ihr auch hierauf hinweisen. Für die Auswertung von Daten aus Adwords oder dem DoubleClick-Cookie könnt ihr bspw. den folgenden Hinweistext (mit Angabe der Quelle) verwenden:

Wir nutzen Google Analytics zudem dazu, Daten aus AdWords und dem Double-Click-Cookie zu statistischen Zwecken auszuwerten. Sollten Sie dies nicht wünschen, können Sie dies über den Anzeigenvorgaben-Manager (http://www.google.com/settings/ads/onweb/?hl=de) deaktivieren.

Übrigens:  Bitte beachtet auch, dass Besucher Eurer Webseite die Datenschutzerklärung (wie auch das Impressum) von jeder Seite Eurer Homepage aus, zu jeder Zeit mit nur einem Klick erreichen können. Auch das ist eine Vorgabe des BDSG.

4. Löschen der (eventuell) bereits durch Google Analytics erfassten Daten

Nun sind wir auch schon beim letzten Schritt angekommen. Um Google Analytics datenschutzkonform nutzen zu können, müssen nun noch alle bisher durch Analytics erfassten, nicht datenschutzkonformen Daten gelöscht werden.

Dieser Schritt wird zwingend von der Datenschutzbehörde gefordert, weil sämtliche durch Analytics erfasste Daten erst durch die Anonymisierung der IP Adressen datenschutzkonform gespeichert werden. Das bedeutet konkret, dass Daten, die vor der Einrichtung der IP-Verschlüsselung erfasst wurden, nicht-anonymisiert bleiben und somit gegen die Datenschutzvorgaben verstoßen.

Um die Alt-Daten zu löschen, müsst Ihr über Euer Google Analytics Konto eine neue Property (ehemals Profil) anlegen und gleichzeitig die alte Property, die nicht-datenschutzkonforme Daten enthält, löschen.

Tiefergehende Informationen zum Anlegen neuer Properties findet Ihr über diesen Link.

Fazit

Alle diese Punkte sind Inhalte des Vertrags zur Auftragsdatenverarbeitung nach §11 des BDSG. Habt Ihr alle diese Punkte erfolgreich ausgeführt, könnt Ihr Google Analytics ab sofort datenschutzrechtlich ohne Bedenken benutzen.

Ich hoffe, wir konnten mit diesem Artikel für mehr Vertrauen bezüglich Google Analytics und dessen datenschutzkonforme Nutzung sorgen und vor allem nachvollziehbar machen, wie das Thema konkret anzugehen ist.

Nun seid Ihr dran. Es ist jetzt auch Zeit für Euch, Google Analytics, dieses funktionsreiche und sehr hilfreiche Tool, auszuprobieren. Oder, was sagt Ihr?

Veröffentlicht am 18.02.2015