Wer zwischen September 2015 und September 2016 einen Vertrag mit Google abgeschlossen hat, um den Dienst Google Analytics zu nutzen, ohne datenschutzrechtliche Maßnahmen zu beachten, muss sein Konto und die damit erhobenen Daten löschen. Aufgrund fehlender Datenschutzrichtlinien entstand eine juristische Lücke, in der die Daten von EU-Bürgern nicht ausreichend geschützt waren. Darauf weist die Hamburger Datenschutzbehörde hin.
Entstehung der juristischen Lücke
Hintergrund ist die Safe-Harbor-Entscheidung des Europäischen Gerichtshofes (EuGH) aus dem Jahr 2015. Damit personenbezogene Daten aus der EU in den USA verarbeitet werden dürfen, wie es bei Google Analytics der Fall ist, bedarf es einer rechtlichen Grundlage für den Datentransfer. Eine entsprechende Entscheidung der EU-Kommission, dass das Datenschutzniveau in den USA den Standards der EU angemessen ist, wurde vom EuGH 2015 für ungültig erklärt. Anlass war die Massenüberwachung durch US-amerikanische Geheimdienste, die zum Beispiel im Rahmen des PRISM-Programms Daten von Nutzern großer Plattformen wie Facebook oder Google abgezogen haben.
2016 sorgte die EU-Kommission durch ein neues Abkommen für eine neue Rechtsgrundlage für den Datentransfer. Dieses beruhte auf den Privacy Shield genannten Zusicherungen der US-Regierung, Massenüberwachung einzuschränken und EU-Bürgern mehr Rechte zuzugestehen. Da Google erst im September 2016 Privacy-Shield-zertifiziert wurde, sei eine juristische Lücke von einem Jahr entstanden.
Diese Schritte sind nun zu beachten
Wer also zwischen September 2015 und September 2016 anfing, Google Analytics zu nutzen und dabei nicht eine Widerspruchsmöglichkeit implementierte und die IP-Adressen anonymisierte, muss sein Konto und die damit erhobenen Daten laut der Hamburger Datenschutzbehörde löschen.
Nutzer des Dienstes, die vor der Safe-Harbor-Entscheidung des EuGH im September 2015 bereits diese Anforderungen erfüllt hatten, sind nicht betroffen und müssen keinen neuen Vertrag abschließen.
Die betroffenen Nutzer sollen laut der Datenschutzbehörde (PDF) die folgenden Schritte befolgen:
- Einen schriftlichen Vertrag zur Auftragsdatenverarbeitung mit Google abschließen.
- Besucher der Webseite auf die Verwendung des Dienstes hinweisen und möglichen Widerspruch kenntlich machen.
- Eigene Widerspruchsmöglichkeit zur Verfügung stellen, insbesondere wenn der Dienst für mobile Angebote gedacht ist.
- Erfasste IPs im Administrationsbereich von Google Analytics anonymisieren.
- In der Vergangenheit unrechtmäßig erhobene Daten löschen. (Dies bezieht sich auf die oben beschriebene, juristische Lücke.)
Die Hinweise der Datenschützer gelten rechtlich erst einmal für diejenigen, die im Geltungsbereich der Datenschutzbehörde Hamburg liegen, sind aber auf andere Bundesländer übertragbar.
Google Analytics ist der am weitesten verbreitete Dienst, mit dem sich Verhalten und Demographie von Webseiten-Besuchern aufzeichnen und analysieren lassen. Hierfür erstellt Google Analytics Profile einzelner Besucher. Als Alternative bieten sich freie und quelloffene Tools wie etwa Piwik an, bei denen die erhobenen Daten auf dem Server des Betreibers bleiben und nicht zentral gesammelt werden.
Extrem praktische Hinweise des Datenschutzbeauftragten. Was soll das bewirken? Konkret bewirkt das nichts, außer vielleicht einem guten Gewissen – wenn man nicht weiter darüber nachdenkt.
Es steht „September 2016“ zwei mal nacheinander, wie sollte es eigentlich sein werden?
Sollte es heißen 2017?
Danke für sie Antwort
Wurde eben schon berichtigt, trotzdem danke für den Hinweis!
Die Lücke bestand zwischen September 2015 und September 2016.
„Wer also zwischen September 2016 und September 2016 anfing“ kleiner typo ;)
Zu Punkt 4: Einmal erfasste IPs lassen sich nicht nachträglich anonymisieren. Die IP-Anonymisierung von Google Analytics wirkt clientseitig und unterbindet die Übertragung des letzten Oktetts der IP an die Analytics-Server. Wenn die IPs einmal vollständig übermittelt wurden, lässt sich das letzte Oktett nicht mehr löschen.
Es lässt sich nicht genau ermitteln, inwiefern Google einem Antrag auf Löschen bzw. nachträgliches Anonymisieren folgen würde. In der Tat ist dies zu bezweifeln. Die Hinweise der Behörde zeigen auch nur den juristischen, nicht technischen Weg auf.
Die Anonymisierung passiert direkt serverseitig bei Google. Beim Client wird lediglich der Parameter aip=1 mitgegeben. Damit weiß Google, dass das letzte Oktett auf 0 gesetzt werden soll.
Aber wie Christian schon sagte, wenn die Daten einmal bei Google sind, ist ein nachträgliches ändern nicht möglich.
LG
Könnte von euch mal jemand bitte bei de EU und auch Bundestag anfragen warum die nun plötzlich Google Dienste auf einigen Webseiten nutzen dürfen?
Normal ist es nur erlaubt zu verlinken , aber keine Scripte einzubauen!
Wenn das gesetzlich nicht geändert wurde und ich habe nichts gelesen ,dann ist das ein klarer
Rechtsverstoss. Auch auf Webseiten von Städten scheint das einzureissen. Ist das Gesetz
evtl zweideutig ausgelegt oder sind sie wieder alle immun die politischen Illuminaten der BRD?
Deswegen nutze ich kein Google Analytics. Wer US-Software nutzt, hat verloren.