Business-IT
10.01.2019
Datenschutzrecht

Analytics, Tracking und Datenschutz (Teil 2)

Digitaler FußabdruckDigitaler FußabdruckDigitaler Fußabdruck
enzozo / shutterstock.com
Keine Website kann auf Auswertungen verzichten. Doch das Datenschutzrecht setzt Grenzen. Kommen entsprechende Tools zum Einsatz, sollten die Nutzer in der Datenschutzerklärung darüber in Kenntnis gesetzt werden.
Im ersten Teil dieses Beitrags wurden bereits die Grundsätze des Datenschutzrechts im Hinblick auf die Verwendung von Analytics- und Tracking-Tools thematisiert. Im Folgenden sollen weitere Vorgaben des Datenschutzrechts erläutert werden. Diese sind insbesondere auf einen Beschluss zurückzuführen, den der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit und Google als Anbieter des weltweit meistgenutzten Tracking-Dienstes Google Analytics nach mehrjähriger Verhandlung vereinbart haben.
Dieser Beschluss genießt Allgemeingültigkeit und sollte von jedem berücksichtigt werden, der plant, mit einem Analytics- oder Tracking-Tool auf der eigenen Internetseite das Nutzungsverhalten der Besucher zu erfassen.

Die Vorgaben des Beschlusses

Bei Verwendung von Analytics- oder Tracking-Tools ist der Betreiber der Internetseite „Verantwortlicher“ nach Art. 24 DSGVO und der Anbieter des Tools „Auftragsverarbeiter“ nach Art. 28 DSGVO. Dies hat zur Folge, dass zwischen dem Internetseitenbetreiber und dem Anbieter des Tools ein Vertrag geschlossen werden muss. Eine entsprechende Vertragsvorlage bieten die Anbieter der Tools meist auf der eigenen Internetseite oder bei Einrichtung des Tools im Benutzerkonto an.
Eine Auftragsverarbeitung liegt allerdings nicht vor, wenn der Internetseitenbetreiber das Analytics- oder Tracking-Tool auf dem eigenen Webserver betreibt, ohne dass die erhobenen Daten an den Anbieter des Tools gelangen. Eine solche Verwendung des Tools ist jedoch in aller Regel nicht vorgesehen, da der Anbieter des Tools ebenfalls ein Interesse an den Daten hat.
Datenschutzerklärungen sollten zukünftig eine Passage enthalten, die Besucher der Seite darauf hinweist, dass personenbezogene Daten im Rahmen des Analytics- und Tracking-Tools verarbeitet werden. Das konkret verwendete Tool muss namentlich genannt werden, ebenso die Zwecke der Datenverarbeitung. Auf die Möglichkeit, der Verarbeitung zu widersprechen, muss ebenfalls hingewiesen werden.
Verwenden Internetseitenbetreiber Tracking-Tools, sollte sichergestellt werden, dass IP-Adressen nur gekürzt erfasst werden beziehungsweise er­fasste IP-Adressen nachträglich gekürzt werden, um eine direkte Personenbeziehbarkeit zu vermeiden.
Der von Google und dem Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit ausgehandelte Beschluss gewährleistet Rechtsicherheit im Hinblick auf die Verwendung von Analytics und Tracking Tools. Diesbezüglich lohnt es sich auch, die kommende ePrivacy-EU-Verordnung im Blick zu behalten. Diese wird voraussichtlich nicht vor Ende 2019 in Kraft treten und diese Thematik umfassend regeln.

mehr zum Thema