Wenn Sie Google Analytics (GA) auf Ihrer Website einsetzten, wird das Verhalten Ihrer Besuchern ausgemessen (Tracking). Mit dem Tracking erhebt GA zahlreiche Daten, die sich Nutzern zuordnen lassen Diese Erhebung personenbezogener Daten steht eigentlich im Widerspruch zum Datenschutz. Datenschützer haben dies jahrelang kritisiert und sich letztendlich mit Google auf eine rechtskonforme Nutzung von GA geeinigt. Was nicht heisst, dass Sie GA jetzt bedenkenlos einsetzen können! Als Seitenbetreiber müssen Sie einiges beachten und modifizieren um GA rechtssicher nutzen zu können.

Wie Sie GA rechtssicher einsetzen – eine Schritt für Schritt Anleitung

1) Trackingcode modifizieren
Damit die Daten auf Ihrer Website rechtskonform erhoben werden, müssen Sie den Standard – Trackingcode anpassen. Die Modifikationen am Code bewirken, dass:
a) IP-Adressen anonymisiert werden
b) Das Tracking vom Nutzer deaktiviert werden kann
c) Die Dauer der Speicherung von erhobenen Daten reduziert wird
d) Löschen alter Daten in Ihrem GA – Account

Hinweis: Newsletter – Abonnenten können Ihren Trackingcode kostenlos vom mir modifizieren lassen. Zur Newsletter -Anmeldung

2) Trackingcode einbinden
Jede Seite die analysiert werden soll benötigt den Trackingcode. Laut Google soll der Trackingcode im Header der Website platziert werden. Bei Performanceproblemen kann der Code alternativ im Footer stehen.

3) Datenschutzerklärung anpassen
In Ihrer Datenschutzerklärung informieren Sie Ihre Nutzer über den Einsatz von GA. Es ist darzulegen, wie die Daten erhoben, verarbeitet und gespeichert werden. In diesem Zusammenhang ist auf die Auftragsdatenverarbeitung und IP-Anonymisierung zu benennen.

Hinweis: Sie brauchen dafür nicht zwingend einen Rechtsanwalt oder Datenschutzbeauftragten. Dank der Zusammenarbeit mit eRecht24 kann ich Ihnen eine rechtskonforme Datenschutzerklärung erstellen.

4) Auftragsverarbeitungsvertrag abschließen
Da GA die erhobenen Daten an Google sendet und Google diese Daten speichert und verarbeitet, müssen Sie mit Google einen Vertrag zur Auftragsverabeitung abschließen. Die “elektronischer Form” ist laut DSGVO hierfür ausreichend. Sie finden den Auftragsverarbeitungsvertrag in Ihrem Google – Konto im Menüpunkt Kontoeinstellungen.

Weiterführende Informationen zum rechtssicheren Einsatz von Google Analytics finden Sie auf den Seiten von eRecht24

Seit dem 25. Mai 2018 gilt Datenschutzgrundverordnung (DSGVO) auch für deutsche Webseitenbetreiber. Webseiten müssen seitdem den Anforderungen der DSGVO entsprechen. Für mich selbst und viele meiner Kunden war dies in 2018 ein großes Thema und es wurden Anstrengungen unternommen um nicht gleich wegen Verletzung von Datenschutzrechten abgemahnt zu werden. Allerdings hat sich das Thema mit einer Überarbeitung der Datenschutzerklärung nicht erledigt. Denn die Schutzrechte werden oft ganz versteckt verletzt, wenn beim Besuch einer Website Informationen für Dritte wie Google, Facebook oder Andere erhoben werden.

Zu einer Abmahnung kann es aber auch bei einem unvollständigen Impressum, unsicherer Datenübertragung, fehlender Hinweise, … kommen. Und was wenn ein User die Löschung seiner Daten verlangt? Oder eine Datenpanne aufgrund eines Hackerangriffs eintritt?

Die nachfolgende Checkliste soll Ihnen helfen die gröbsten Fehler zu vermeiden. Es ist eine gute Orientierung ohne Anspruch auf Vollständigkeit. Ein vollständiger Datenschutz Bedarf einer individuelle Analyse. Falls Sie wissen wollen ob Ihre Website abmahnsicher ist, biete ich einen kostenlosen Abmahncheck für Newsletterabonnenten. Sie können sich für den den Newsletter registrieren oder einen Telefontermin vereinbaren.

Diese 8 Punkte müssen erfüllt sein, damit Ihre Internetseite DSGVO-konform ist:

1. Verschlüsselte Datenübertragung
personenbezogene Daten müssen verschlüsselt übertragen werden. An einem sicheren Übertragungsprotokoll führt folglich kein Weg vorbei. Ob Ihre Website eine verschlüsselte Datenübertragung gewährleistet erkennen Sie am „https“ vor Ihrer eigentlichen Internetadresse. Zudem kennzeichnen viele Browser sichere URLs mit einem grünen Schloss oder dem Wort „sicher“.

2. Vollständige Datenschutzerklärung
Laut DSGVO müssen Dienste und Plug-ins, die Daten einer dritten Partei zugänglich machen in der Datenschutzerklärung aufgeführt werden. Zudem müssen Sie Nutzer über die Verarbeitung ihre Daten und damit verbundene Rechte aufklären.

3. Formulare
In Formularen dürfen nur Daten abgefragt werden, die für den jeweiligen Zweck erforderlich sind. Für eine Newsletter-Anmeldung wird beispielsweise nur die E-Mail-Adresse benötigt. Vor- und Zunamen dürfen daher keine Pflichtfelder sein. Zudem muss in jedem Formular die aktive Zustimmung zur Datenverarbeitung eingeholt und dokumentiert werden.

5. Statistik-Tools
Falls Sie ein Statistik Tool, wie Google Analytics einsetzen, müssen die gesammelten IP-Adressen anonymisiert werden. Auch Ihr Hoster sollte die Statistiken anonymisieren. Weissen Sie trotz Anonymisierung in der Datenschutzerklärung auf den Einsatz derartiger Tools hin.

6. Cookies Hinweis
Wenn Coolies verwendet werden, ist ein Cookie-Hinweis Pflicht! Auch wenn nur technische Cookies eingesetzt werden ist darauf hinzuweisen. Werden Marketing-Cookies und Cookies von Drittanbietern eingesetzt muss neben dem Hinweis eine aktive Zustimmung des Users möglich sein. Heißt ohne diese Zustimmung, darf Ihre Website das Cookie nicht verwenden. Der Hinweis muss auf der Startseite und auf allen anderen Seiten angebracht werden. Der Hinweis darf Links zum Impressum und zu Datenschutzseiten nicht verdecken.

7. Verträge zur Auftragsverarbeitung
Wenn personenbezogener Daten durch „externe“ Unternehmen das erhoben und verarbeitet werden, muss dies vertraglich geregelt werden. Zumindest ihr Hoster verarbeitet und erhebt Daten. Aber auch jegliche Technik von Drittanbieter, die in Ihre Website integriert ist, wie beispielsweise Google Maps, Facebook Plugins, etc.

8. Einverständniserklärungen prüfen
Liegen Einverständniserklärungen für den Empfang von Newslettern, Angeboten oder anderen Informationen vor? Ohne eine nachweisbare Einverständniserklärungen dürfen Sie keine Informationen versenden.

9. Dokumentation personenbezogener Daten
Wissen Sie welche personenbezogene Daten gespeichert wurden? Können Sie einer Bitte auf Auskunft oder Löschung nachkommen? Die Dokumentation personenbezogener Daten auf Ihrer Website sollte automatisiert stattfinden.

Für alle, die sich eine rechtssichere Website wünschen biete ich einen besonderen Service in Kooperation mit dem Fachanwalt für Internetrecht Sören Siebert – Rechtsanwalt & Gründer von eRecht24: Mit dem Premiumservice Datenschutz zur abmahnsicheren Website.