Google Analytics in 4 Schritten rechtssicher einbinden und nutzen

Google Analytics gehört zu den meistgenutzten Analysetools in Deutschland und bietet einen enormen Umfang an Auswertungen. Durch unsere strengen Datenschutzrichtlinien und das Abmahnsystem ist es allerdings nicht ganz frei von Risiken. Einige wichtige Dinge müssen beachtet werden, damit der Einsatz in der eigenen Webseite keine teuren Folgen haben kann.

Unsere Datenschützer haben stets ein wachsames Auge auf uns und scheuen sich auch nicht davor, durch Abmahnungen für Recht und Ordnung im Internet zu sorgen. Damit die zahlreichen nützlichen Funktionen von Google Analytics hierzulande ohne großes Risiko genutzt werden können, muss es gesetzeskonform eingebunden werden und auch die korrekte Belehrung in der Datenschutzerklärung darf nicht fehlen. Dabei reicht es keineswegs nur zu schreiben, dass Google Analytics genutzt wird.

Dieser Artikel basiert auf eigenen Erfahrungen und kann keine Rechtsberatung ersetzen. Bei individuellen Anforderungen ist es daher ratsam, einen Anwalt zu konsultieren.

Korrekte Datenschutzerklärung erstellen

Der erste wichtige Schritt, ist die Datenschutzerklärung. Ich würde hier nicht empfehlen, sich diese selber zu erstellen. Das Internet bietet einige Plattformen, auf denen diese Erklärung in Form von Baukastensystemen erstellt werden kann. Dadurch werden nicht nur alle erforderlichen Bestandteile erfasst, sondern auch gleichzeitig in korrekte Juristendeutsch wiedergegeben. Ich nutze für meine Seiten gerne den Datenschutzgenerator der Kanzlei Schwenke. Aber auch diese Erklärung kann nicht ohne weiteres Zutun kopiert und in die Webseite integriert werden. Wer die begleitenden Informationen nicht sorgfältig liest und deren Inhalte umsetzt, setzt sich weiterhin einem großen Risiko aus.

IP Adresse anonymisieren

Der erste Schritt, der außerhalb der Datenschutzerklärung erledigt werden muss, ist das Anonymisieren der IP Adressen der Besucher. Dadurch werden die letzten 3 Stellen der 12-stelligen IP Adresse nicht an Google übertragen. Eine Zuordnung zu einer bestimmten Person ist dadurch nicht mehr möglich. Wer WordPress und ein Plugin für Analytics nutzt, sollte darauf achten, dass bei diesem die IP Anonymisierung unterstützt wird und mit einem Klick aktiviert werden kann. Wer den Universal Analytics-Tracking-Code manuell einbindet, muss diesen um eine zusätzliche Zeile ergänzen.

<script>
  (function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){
  (i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o),
  m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m)
  })(window,document,'script','https://www.google-analytics.com/analytics.js','ga');

  ga('create', 'UA-xxxxxxxx-x', 'auto');
  ga('set', 'anonymizeIp', true);  /* Diese Zeile hinzufügen */
  ga('send', 'pageview');

</script>

Opt-Out-Cookie ermöglichen

In der Datenschutzerklärung aus dem Generator wird bereits auf Möglichkeiten des Widerspruchs hingewiesen und aufgezeigt, wie man eine Datenerfassung verhindern kann. Das kann durch Plugins geschehen, die im Text verlinkt werden. Das Problem ist jedoch, dass nicht alle Browser ein solche Plugin unterstützen und auf Mobilgeräten erst gar keine existieren. Aber auch dort muss es dem Besucher ermöglicht werden, seine Daten zu schützen. Das geschieht durch ein sogenanntes Opt-Out-Cookie. In der Datenschutzerklärung von Rechtsanwalt Schwenke, ist das Setzen dieses Cookies bereits vorgesehen. Allerdings funktioniert der Link nicht, wenn nicht ein zusätzlicher Codeschnipsel in die Webseite eingefügt wird. Im Generator selber wird darauf in den Informationen hingewiesen. Allerdings werden diese auch gerne mal überlesen oder gar nicht beachtet. Der folgende Code (Quelle: rechtsanwalt-schwenke.de) muss noch vor dem eigentlichen Tracking Code in den Quellcode eingebunden werden. Bei WordPress ist dieser in der header.php ganz gut aufgehoben. Dieser Code funktioniert auch nur mit dem generierten Text von rechtsanwalt-schwenke.de. Wurde die Datenschutzerklärung über einen anderen Generator oder selber erstellt, können die Funktionen andere Bezeichnungen haben und der Link würde lediglich einen Javascript Fehler verursachen. Ein nicht funktionierender Javascript Code kann ebenfalls ein Grund für eine Abmahnung sein.

Der einzubindende Code sieht folgendermaßen aus:

<script>
var gaProperty = 'UA-xxxxxxxx-x';
var disableStr = 'ga-disable-' + gaProperty;
 if (document.cookie.indexOf(disableStr + '=true') > -1) {
  window[disableStr] = true;
}
function gaOptout() {
document.cookie = disableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';
window[disableStr] = true;
alert('Vielen Dank. Wir haben ein Cookie gesetzt damit Google Analytics bei Ihrem nächsten Besuch keine Daten mehr sammeln kann.');
}
</script>

Diesen Code habe ich noch um ein alert(‚Vielen Dank... ergänzt, da der Besucher ansonsten keinerlei Rückmeldung bei einem Klick auf den Link bekommt und verunsichert sein könnte, ob der Opt-Out funktioniert hat.

Vertrag über die Nutzung von Analytics

Rein technisch sieht jetzt alles schon recht gut aus. Fehlt nur noch der Papierkram. Der sogenannten Vertrag zur Auftragsdatenverarbeitung, der von Google und Datenschützern erarbeitet wurde, muss ausgefüllt und unterschrieben an Google gesendet werden. Ein vorfrankierter Rückumschlag ist nicht mehr erforderlich. Im Vertrag habe ich keine Aufforderung dazu gefunden und ich bekam mein Belegexemplar auch ohne diesen Umschlag. Die aktuell 18 Seiten müssen an die folgende Adresse geschickt werden:

Contract Administration Department
Google Ireland Ltd
Gordon House
Barrow Street
Dublin 4
Irland

Mal eben eine Webseite erstellen und den Besucherstrom mit passenden Tools zu verfolgen ist nicht mehr so ohne weiteres möglich. Die Umsetzung, gerade im rechtlichen Bereich, bedarf schon einer gewissen Planung. Wer sich nicht ausreichend informiert, kann unter Umständen mehr Geld für Abmahnungen ausgeben, als die gesamte Entwicklung der Webseite gekostet hat.