Nach knapp zweijährigen Verhandlungen haben der als Vertreter der deutschen Datenschutzbehörden agierende Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Prof. Dr. Johannes Caspar und Google Vorgaben ausgehandelt, bei deren Beachtung E-Commerce-Anbieter Google Analytics ab sofort gesetzeskonform und bedenkenlos einsetzen können.
Google ist zwar immer noch der Ansicht, dass Analytics nicht gegen deutsches und europäisches Datenschutzrecht verstößt, aber die deutschen Datenschützer waren da offensichtlich anderer Meinung. Jedenfalls hat Google jetzt nach „konstruktiven Gesprächen“ einer Anzahl von Änderungen des Analyse-Tools zugestimmt (und sie implementiert), die es rechtssicher machen sollen. Professor Caspar kommentierte dies wie folgt:
„Wir befinden uns am Ende eines langen, aber konstruktiven Abstimmungsprozesses. Die intensive Zusammenarbeit zwischen den Datenschutzaufsichtsbehörden einerseits und Google andererseits haben die erzielten Verbesserungen ermöglicht. Ausdrücklich begrüße ich auch die Ankündigung von Google, dass die technischen Änderungen europaweit umgesetzt werden sollen. Ich möchte jedoch auch daran erinnern, dass die Arbeit nicht abgeschlossen ist. Insbesondere ist zu berücksichtigen, dass nicht Google, sondern die Webseitenbetreiber, die das Produkt einsetzen, für den datenschutzgerechten Einsatz verantwortlich sind.“
Da die Analyse-Software ständig weiterentwickelt wird und sich die technischen Rahmenbedingungen kontinuierlich ändern (Stichwort Umsetzung der E-Privacy-Richtlinie oder die IPv6-Einführung), müsse der Dialog mit Google aufrecht erhalten und der nun definierte Opt-Out-Prozess technisch auch auf Smartphones ausgeweitet werden.
Werden die ausgehandelten Vorgaben allerdings nicht erfüllt, so könnten sich Webseitenbetreibern auch künftig mit Bußgeldern der Datenschutzbehörden oder Ansprüchen einzelner Nutzer wegen der unzulässigen Erhebung und Verarbeitung von Daten konfrontiert sehen.
Webseitenbetreiber, die Google Analytics einsetzen, sollten daher folgende Punkte beachten:
- Die Datenschutzerklärung muss erwähnen, dass Google Analytics auf der Webseite eingesetzt wird.
- Die IP-Masken-Funktion sollte in der Webseite implementiert werden: Sie weist Analytics an, nicht die vollständigen IP-Adressen der Besucher zu speichern oder zu verarbeiten. Dabei wird das letzte Oktett der IP-Adresse vor jeglicher Speicherung gelöscht, eine Identifizierung des Users ist so nicht möglich. Die Löschung selbst erfolgt innerhalb Europas.
- Die Datenschutzerklärungen sollten auf die Möglichkeit der Analytics-Deaktivierung mittels eines Browser-Add-ons hinweisen, das die Übermittlung von Analyse-Informationen an Google verhindert. Das Add-on unterstützt Internet Explorer, Chrome, Firefox, Safari und Opera.
- Google hat aktualisierte Nutzungsbedingungen eingeführt, die die mit dem Datenschützern abgestimmten Regelungen zur Auftragsdatenvereinbarung enthalten.
Dieser letzte Punkt – praktisch ein Vertrag, den Analytics-Nutzer mit Google eingehen müssen, wenn sie Analytics auf ihrer Webseite einsetzen wollen – ist nach Ansicht von Rolf Albrecht, Fachanwalt für Gewerblichen Rechtsschutz und IT-Recht bei der Kanzlei volke2.0, primär ein Schutz für Google:
„Durch diesen Vertrag möchte sich zum einen Google gegenüber möglichen Ansprüchen einzelner Nutzer absichern. Aber auch der E-Commerce-Anbieter oder jeder Webseitenbetreiber weiß dann, welche Daten erhoben und verarbeitet werden. Im Gegenzug muss der Betreiber aber auch Kontrollpflichten einhalten und diese im Streitfall nachweisen.“
Übrigens: Am 29. September 2011 findet im Tageszentrum des Schlosses Schönbrunn in Wien die erste Google-Analytics-Konferenz in der DACH-Region statt. Die Konferenz soll Teilnehmern in Vorträgen Wissen, Strategien und Best-Practice-Beispiele vermitteln sowie eine Plattform zum Erfahrungsaustausch bieten. Tickets kosten satte 390 Euro (Quelle: Google, Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit & Kanzlei Volke 2.0/GST).
