Im ersten Teil von Webanalyse und Datenschutz sind wir auf die Themen Datenschutzerklärung, datenschutzrechtliche Einwilligung des Nutzers und die Anonymisierung von IP-Adressen eingegangen. Bei der datenschutzkonformen Verwendung von Webanalyse-Tools gibt es jedoch weitere Punkte, die beachtet werden sollten.
Wir gehen im zweiten Teil auf folgende Fragen ein:
- Was ist der Vertrag zur Auftragsdatenverarbeitung?
- Müssen Nutzerdaten gelöscht werden, wenn sie nicht datenschutzkonform erfasst wurden?
- Sollte ein Datenschutzbeauftragter bestellt werden, der die datenschutzkonforme Nutzung von Webanalyse-Tools verantwortet?
Außerdem bieten wir Ihnen eine Checkliste zum Thema datenschutzkonformer Umgang mit Webanalyse-Tools.
Vertrag über Auftragsdatenverarbeitung
Aus Sicht der Aufsichtsbehörden fungieren Webseitenbetreiber beim Einsatz von Webanalysetools als Auftraggeber und der jeweilige Anbieter (z.B. Google) als Auftragnehmer. Daher ist zwischen beiden Parteien ein schriftlicher Vertrag abzuschließen. Dieser wurde 2011 in Abstimmung mit dem Hamburger Datenschutzbeauftragten vorgelegt. Er beinhaltet die rechtlichen Grundlagen, die Vorgänge zum datenschutzkonformen Umgang mit dem Analysetool sowie sämtliche Pflichten, die damit verbunden sind. Als Webseitenbetreiber müssen Sie diesen ausdrucken, unterschreiben und an Google schicken. Von dort bekommen Sie ein unterschriebenes Exemplar zurück.
Sollte ein Datenschutzbeauftragter bestellt werden?
Die datenschutzkonforme Nutzung von Webanalysetools setzt voraus, dass sich Webseitenbetreiber intensiv mit der Thematik Webanalyse und Datenschutz auseinandersetzen. Dies bedeutet jedoch nicht zwingen, dass ein externer Datenschutzbeauftragter bestellt werden muss. Allerdings kann er Ihnen Sicherheit auf dem Gebiet verschaffen, denn Datenschutz im Bereich Webanalyse ist ständigen Änderungen unterworfen und es ist wichtig, sich regelmäßig mit dem Thema auseinanderzusetzen.
Müssen Altdaten gelöscht werden?
Wenn Sie vor der Umstellung auf eine datenschutzkonforme Webanalyse (u.a. Anonymisierung der IP-Adresse) Nutzerdaten rechtswidrig gesammelt haben, müssen Sie diese zwingend löschen. Bei Google Analytics können Sie dies nur realisieren, wenn Sie ein neues Profil einrichten und das alte Konto löschen. Wenn Sie bereits sehr viele Daten gesammelt haben, könnte dies mitunter negative Auswirkungen auf Ihr Unternehmen haben. Um die Auswirkungen so gering wie möglich zu halten, können anonym erfasste Daten exportiert und später wieder verwendet werden.
Checkliste zum Umgang mit Webanalyse-Tools
- Stellen Sie sicher, dass Sie eventuell vorhandene personenbezogene Nutzerdaten bei der Verwendung von pseudonymen Nutzerdaten nicht zusammenführen.
- Binden Sie auf Ihrer Seite eine Datenschutzerklärung ein, die ausführlich über die Erhebung und Weiterverarbeitung von Nutzerdaten aufklärt.
- Stellen Sie sicher, dass Ihre Datenschutzerklärung für Ihre Nutzer jederzeit abrufbar ist und auf die Verwendung von Webanalyse-Diensten hingewiesen wird. Außerdem sollten Sie auf die Widerspruchsmöglichkeit (Plug-in) hinweisen.
- Stellen Sie sicher, dass Sie bei der Verwendung von Google Analytics die IP-Adresse mit Hilfe der „anonymizeIP“-Funktion anonymisieren.
- Stellen Sie sicher, dass Sie einen schriftlichen Vertrag zur Auftragsdatenverarbeitung mit Ihrem Webanalyse-Dienst abschließen und vergewissern Sie sich, dass dieser Vertrag alle Regelungen im Sinne des § 11 Abs. 2 des Bundesdatenschutzgesetzes beinhaltet.