Webanalyse-Tools sind für Online-Shops unverzichtbare Hilfsmittel. Doch wie sieht es mit der Rechtssicherheit aus? Was gibt es zu beachten? Was hat es mit einem Urteil zu Google Analytics auf sich? Diese Fragen beantwortet Frieder Schelle, Rechtsexperte bei Trusted Shops.
Was sind Webanalyse-Tools?
Mit Webanalyse-Tools (oft auch Tracking-Tools genannt) kann festgestellt werden, woher einzelne Nutzer kommen, wie lange Nutzer auf bestimmten Seiten verweilen, welche Klicks Nutzer tätigen und insgesamt, wie sich Nutzer auf einer Seite bewegen. Mit den gewonnenen Informationen kann eine objektive Datenbasis für die Verbesserung von Websites und Shops geschaffen werden.
Webanalyse vs. Datenschutz
Das Grundproblem der Webanalyse-Tools ist, dass ein Spannungsfeld besteht zwischen dem Ziel, möglichst viel über den Nutzer zu erfahren und den gesetzlichen Grenzen der Profilbildung und der Datenweitergabe.
Nutzerprofile und Datenzusammenführung
Die Möglichkeit, die mithilfe eines Webanalyse-Tools gewonnenen Daten mit anderen Daten des Nutzers zusammenzuführen, um besonders präzise Nutzerprofile zu erhalten, wirkt besonders attraktiv. Doch hier bestehen enge gesetzliche Grenzen. Die Zusammenführung von Nutzerdaten ist nur mit einer Einwilligung des Kunden möglich.
Datenweitergabe, Anonymisierung und Pseudonymisierung
Ebenso wie die Zusammenführung von Nutzerdaten ist auch die Weitergabe von personenbezogenen Daten an den Webanalysetool-Anbieter ohne Einwilligung unzulässig. Allerdings ist eine solche dann nicht erforderlich, wenn die personenbezogenen Daten gar nicht im rechtlichen Sinn weitergegeben werden. Das geht entweder, indem die Daten komplett anonym erhoben werden, oder indem ein Auftragsdatenverarbeitungsvertrag mit dem Webanalysetool-Anbieter geschlossen wird. Bei einer Auftragsdatenverarbeitung liegt keine Datenweitergabe im rechtlichen Sinn vor.
Zusammengefasst bedeutet das: Bei einer anonymen Datenerhebung gibt es nichts Besonderes zu beachten. Bei einer pseudonymen Datenerhebung muss, um eine Datenweitergabe im rechtlichen Sinne zu vermeiden, eine Auftragsdatenverarbeitung vereinbart werden. Für personenbezogene Nutzerprofile muss in jedem Fall die Einwilligung des Kunden eingeholt werden.
Die meisten Webanalyse-Tools erheben Daten pseudonymisiert. In diesen Fällen ist die Erstellung von Nutzungsprofilen zulässig, wenn der Nutzer nicht widersprochen hat und der Nutzer in der Datenschutzerklärung auf sein Widerspruchsrecht hingewiesen wird.
Vorsicht: Mit der IP-Adressenkürzung zum Beispiel bei Google Analytics wird zwar die IP-Adresse anonymisiert, jedoch werden mit Google Analytics trotzdem pseudonyme Profile erstellt.
Google Analytics
Das mit großem Abstand am häufigsten eingesetzte Webanalyse-Tool ist Google Analytics. In Deutschland kann Google Analytics unter folgenden Voraussetzungen rechtskonform eingesetzt werden.
1. Anonymize IP
Die IP-Adresse des Nutzers darf nur anonymisiert übertragen werden. Möglich ist das mit der Code-Erweiterung „Anonymize IP“.
2. Auftragsdatenverarbeitung
Es muss ein Auftragsdatenverarbeitungsvertrag mit Google geschlossen werden. Der Mustervertrag wird unter www.google.com/... zur Verfügung gestellt.
3. Widerspruchsmöglichkeit
In der Datenschutzerklärung muss über die Widerspruchsmöglichkeit des Einsatzes des Tools informiert werden. Einen entsprechenden Text für eine Datenschutzerklärung kann mit dem Trusted Shops Rechtstexter erstellen werden. Mit den Abmahnschutzpaketen übernimmt Trusted Shops die Haftung für den Text.
4. Alte Google Analytics-Accounts löschen
Alte Google Analytics-Accounts und damit sämtliche gespeicherte Nutzerprofile, welche erhoben wurden, ohne die vorigen Anforderungen zu erfüllen, müssen gelöscht werden, da die Erhebung ohne die Erfüllung dieser Anforderungen unzulässig ist.
Info in der Datenschutzerklärung – Urteil des LG Hamburg
Über den Einsatz von Webanalyse-Tools muss in der Datenschutzerklärung informiert werden, soweit die Datenerhebung nicht anonym im rechtlichen Sinn erfolgt. Hierbei muss über die Widerspruchsmöglichkeit des Nutzers und das eingesetzte Webanalyse-Tool unterrichtet werden. In Bezug auf Google Analytics hat das LG Hamburg (Beschluss v. 10.03.2016, 312 O 127/16) einem Seitenbetreiber untersagt, Google Analytics auf seiner Website einzusetzen „ohne die Besucher des Internet-Angebots zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten zu unterrichten“.
Bußgelder und Abmahnungen
Bei Verstößen gegen die oben genannten Voraussetzungen, insbesondere bei unzulässigen Zusammenführungen mit Kundendaten (personenbezogenen Nutzerprofilen), bei unzulässigen Datenweitergaben und bei fehlenden oder unzureichenden Informationen in der Datenschutzerklärung drohen Bußgelder bis zu 300.000 Euro und Abmahnungen.
Abschließender Tipp
Beim Einsatz eines Webanalyse-Tools ist auf folgende Punkte zu achten:
Was sind Webanalyse-Tools?
Mit Webanalyse-Tools (oft auch Tracking-Tools genannt) kann festgestellt werden, woher einzelne Nutzer kommen, wie lange Nutzer auf bestimmten Seiten verweilen, welche Klicks Nutzer tätigen und insgesamt, wie sich Nutzer auf einer Seite bewegen. Mit den gewonnenen Informationen kann eine objektive Datenbasis für die Verbesserung von Websites und Shops geschaffen werden.
Webanalyse vs. Datenschutz
Das Grundproblem der Webanalyse-Tools ist, dass ein Spannungsfeld besteht zwischen dem Ziel, möglichst viel über den Nutzer zu erfahren und den gesetzlichen Grenzen der Profilbildung und der Datenweitergabe.
Nutzerprofile und Datenzusammenführung
Die Möglichkeit, die mithilfe eines Webanalyse-Tools gewonnenen Daten mit anderen Daten des Nutzers zusammenzuführen, um besonders präzise Nutzerprofile zu erhalten, wirkt besonders attraktiv. Doch hier bestehen enge gesetzliche Grenzen. Die Zusammenführung von Nutzerdaten ist nur mit einer Einwilligung des Kunden möglich.
Datenweitergabe, Anonymisierung und Pseudonymisierung
Ebenso wie die Zusammenführung von Nutzerdaten ist auch die Weitergabe von personenbezogenen Daten an den Webanalysetool-Anbieter ohne Einwilligung unzulässig. Allerdings ist eine solche dann nicht erforderlich, wenn die personenbezogenen Daten gar nicht im rechtlichen Sinn weitergegeben werden. Das geht entweder, indem die Daten komplett anonym erhoben werden, oder indem ein Auftragsdatenverarbeitungsvertrag mit dem Webanalysetool-Anbieter geschlossen wird. Bei einer Auftragsdatenverarbeitung liegt keine Datenweitergabe im rechtlichen Sinn vor.
Zusammengefasst bedeutet das: Bei einer anonymen Datenerhebung gibt es nichts Besonderes zu beachten. Bei einer pseudonymen Datenerhebung muss, um eine Datenweitergabe im rechtlichen Sinne zu vermeiden, eine Auftragsdatenverarbeitung vereinbart werden. Für personenbezogene Nutzerprofile muss in jedem Fall die Einwilligung des Kunden eingeholt werden.
Die meisten Webanalyse-Tools erheben Daten pseudonymisiert. In diesen Fällen ist die Erstellung von Nutzungsprofilen zulässig, wenn der Nutzer nicht widersprochen hat und der Nutzer in der Datenschutzerklärung auf sein Widerspruchsrecht hingewiesen wird.
Vorsicht: Mit der IP-Adressenkürzung zum Beispiel bei Google Analytics wird zwar die IP-Adresse anonymisiert, jedoch werden mit Google Analytics trotzdem pseudonyme Profile erstellt.
Google Analytics
Das mit großem Abstand am häufigsten eingesetzte Webanalyse-Tool ist Google Analytics. In Deutschland kann Google Analytics unter folgenden Voraussetzungen rechtskonform eingesetzt werden.
1. Anonymize IP
Die IP-Adresse des Nutzers darf nur anonymisiert übertragen werden. Möglich ist das mit der Code-Erweiterung „Anonymize IP“.
2. Auftragsdatenverarbeitung
Es muss ein Auftragsdatenverarbeitungsvertrag mit Google geschlossen werden. Der Mustervertrag wird unter www.google.com/... zur Verfügung gestellt.
3. Widerspruchsmöglichkeit
In der Datenschutzerklärung muss über die Widerspruchsmöglichkeit des Einsatzes des Tools informiert werden. Einen entsprechenden Text für eine Datenschutzerklärung kann mit dem Trusted Shops Rechtstexter erstellen werden. Mit den Abmahnschutzpaketen übernimmt Trusted Shops die Haftung für den Text.
4. Alte Google Analytics-Accounts löschen
Alte Google Analytics-Accounts und damit sämtliche gespeicherte Nutzerprofile, welche erhoben wurden, ohne die vorigen Anforderungen zu erfüllen, müssen gelöscht werden, da die Erhebung ohne die Erfüllung dieser Anforderungen unzulässig ist.
Info in der Datenschutzerklärung – Urteil des LG Hamburg
Über den Einsatz von Webanalyse-Tools muss in der Datenschutzerklärung informiert werden, soweit die Datenerhebung nicht anonym im rechtlichen Sinn erfolgt. Hierbei muss über die Widerspruchsmöglichkeit des Nutzers und das eingesetzte Webanalyse-Tool unterrichtet werden. In Bezug auf Google Analytics hat das LG Hamburg (Beschluss v. 10.03.2016, 312 O 127/16) einem Seitenbetreiber untersagt, Google Analytics auf seiner Website einzusetzen „ohne die Besucher des Internet-Angebots zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten zu unterrichten“.
Bußgelder und Abmahnungen
Bei Verstößen gegen die oben genannten Voraussetzungen, insbesondere bei unzulässigen Zusammenführungen mit Kundendaten (personenbezogenen Nutzerprofilen), bei unzulässigen Datenweitergaben und bei fehlenden oder unzureichenden Informationen in der Datenschutzerklärung drohen Bußgelder bis zu 300.000 Euro und Abmahnungen.
Abschließender Tipp
Beim Einsatz eines Webanalyse-Tools ist auf folgende Punkte zu achten:
- Eine Zusammenführung der Analysedaten mit anderen Kundendaten ist ohne Einwilligung des Kunden unzulässig.
- Eine Weitergabe von Kundendaten an Dritte ist ohne Einwilligung des Nutzers unzulässig, daher benötigen Online-Händler insbesondere beim Einsatz von Google Analytics einen Auftragsdatenverarbeitungsvertrag.
- Es muss eine Widerspruchsmöglichkeit für den Kunden gegen die Profilbildung bestehen.
- In der Datenschutzerklärung ist über die Profilbildung und über die Widerspruchsmöglichkeit zu unterrichten.
