Datenschutzaufsichtsbehörde Baden-Württemberg legt Lösungsvorschlag zu Google Analytics vor

Die Aufsichtsbehörde für den Datenschutz Baden-Württemberg hat sich zu Google Analytics geäußert und Rahmenbedingungen oder Voraussetzungen für den datenschutzkonformen Einsatz von Google Analytics vorgelegt. So sind „bei der Erstellung von Nutzungsprofilen durch Webseitenbetreiber die Bestimmungen des Telemediengesetzes (TMG) zu beachten. Dazu gehört, dass Nutzungsprofile nur bei der Verwendung von Pseudonymen erstellt werden dürfen (vgl. §15 Abs. 3 TMG). Dabei ist zu berücksichtigen, dass vollständige IP-Adressen keine Pseudonyme im Sinne des Telemediengesetzes darstellen.“

Welche Vorgaben in Sachen Datenschutz für Google Analytics gelten sollen

Hiernach sind des Weiteren im Einzelnen die folgenden Vorgaben zu beachten:

• „Den Betroffenen ist eine Möglichkeit zum Widerspruch gegen die Erstellung von Nutzungsprofilen einzuräumen. Derartige Widersprüche sind wirksam umzusetzen (siehe §15 Abs. 3 Satz 2 in Verbindung mit §13 Abs. 1 TMG).
• Die pseudonymisierten Nutzungsdaten dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden. Sie müssen gelöscht werden, wenn ihre Speicherung für die Erstellung der Nutzungsanalyse nicht mehr erforderlich ist oder der Nutzer dies verlangt (siehe §15 Abs. 3 Satz 3 TMG).
• Auf die Erstellung von pseudonymen Nutzungsprofilen und die Möglichkeit zum Widerspruch müssen die Anbieter in deutlicher Form im Rahmen der Datenschutzerklärung auf ihrer Internetseite hinweisen (§13 Abs. 1 TMG)
• Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen. Jede darüber hinausgehende Nutzung bedarf der Einwilligung der Betroffenen.
• Die Analyse des Nutzungsverhaltens unter Verwendung vollständiger IP-Adressen (einschließlich einer Geolokalisierung) ist aufgrund der Personenbeziehbarkeit dieser Daten daher nur mit bewusster, eindeutiger Einwilligung zulässig. Liegt eine solche Einwilligung nicht vor, ist die IP-Adresse vor jeglicher Auswertung so zu kürzen, dass eine Personenbeziehbarkeit ausgeschlossen ist.“