Wer zwischen September 2015 und September 2016 einen Vertrag mit Google abgeschlossen hat, um den Dienst Google Analytics zu nutzen, ohne datenschutzrechtliche Maßnahmen zu beachten, muss sein Konto und die damit erhobenen Daten löschen. Aufgrund fehlender Datenschutzrichtlinien entstand eine juristische Lücke, in der die Daten von EU-Bürgern nicht ausreichend geschützt waren. Darauf weist die Hamburger Datenschutzbehörde hin.
Entstehung der juristischen Lücke
Hintergrund ist die Safe-Harbor-Entscheidung des Europäischen Gerichtshofes (EuGH) aus dem Jahr 2015. Damit personenbezogene Daten aus der EU in den USA verarbeitet werden dürfen, wie es bei Google Analytics der Fall ist, bedarf es einer rechtlichen Grundlage für den Datentransfer. Eine entsprechende Entscheidung der EU-Kommission, dass das Datenschutzniveau in den USA den Standards der EU angemessen ist, wurde vom EuGH 2015 für ungültig erklärt. Anlass war die Massenüberwachung durch US-amerikanische Geheimdienste, die zum Beispiel im Rahmen des PRISM-Programms Daten von Nutzern großer Plattformen wie Facebook oder Google abgezogen haben.
2016 sorgte die EU-Kommission durch ein neues Abkommen für eine neue Rechtsgrundlage für den Datentransfer. Dieses beruhte auf den Privacy Shield genannten Zusicherungen der US-Regierung, Massenüberwachung einzuschränken und EU-Bürgern mehr Rechte zuzugestehen. Da Google erst im September 2016 Privacy-Shield-zertifiziert wurde, sei eine juristische Lücke von einem Jahr entstanden.
Diese Schritte sind nun zu beachten
Wer also zwischen September 2015 und September 2016 anfing, Google Analytics zu nutzen und dabei nicht eine Widerspruchsmöglichkeit implementierte und die IP-Adressen anonymisierte, muss sein Konto und die damit erhobenen Daten laut der Hamburger Datenschutzbehörde löschen.
Nutzer des Dienstes, die vor der Safe-Harbor-Entscheidung des EuGH im September 2015 bereits diese Anforderungen erfüllt hatten, sind nicht betroffen und müssen keinen neuen Vertrag abschließen.
Die betroffenen Nutzer sollen laut der Datenschutzbehörde (PDF) die folgenden Schritte befolgen:
- Einen schriftlichen Vertrag zur Auftragsdatenverarbeitung mit Google abschließen.
- Besucher der Webseite auf die Verwendung des Dienstes hinweisen und möglichen Widerspruch kenntlich machen.
- Eigene Widerspruchsmöglichkeit zur Verfügung stellen, insbesondere wenn der Dienst für mobile Angebote gedacht ist.
- Erfasste IPs im Administrationsbereich von Google Analytics anonymisieren.
- In der Vergangenheit unrechtmäßig erhobene Daten löschen. (Dies bezieht sich auf die oben beschriebene, juristische Lücke.)
Die Hinweise der Datenschützer gelten rechtlich erst einmal für diejenigen, die im Geltungsbereich der Datenschutzbehörde Hamburg liegen, sind aber auf andere Bundesländer übertragbar.
Google Analytics ist der am weitesten verbreitete Dienst, mit dem sich Verhalten und Demographie von Webseiten-Besuchern aufzeichnen und analysieren lassen. Hierfür erstellt Google Analytics Profile einzelner Besucher. Als Alternative bieten sich freie und quelloffene Tools wie etwa Piwik an, bei denen die erhobenen Daten auf dem Server des Betreibers bleiben und nicht zentral gesammelt werden.