Einsatz von Google Analytics nach dem EU-US Privacy Shield

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat aktualisierte Anwendungshinweise (Stand Februar 2017) für Webseitenbetreiber veröffentlicht, die Google Analytics einsetzen.

Ausgangspunkt für das Update war das Urteil des Europäischen Gerichtshofs vom 06.10.2016, mit welchem die „Safe Harbor“ genannte Angemessenheitsentscheidung der EU-Kommission für ungültig erklärt wurde. Die Prüfung, welche zur Aktualisierung der Anwendungshinweise führte bezog sich auf eine Klausel im Auftragsdatenverarbeitungsvertrag, die Bezug auf die aufgehobene Safe-Harbor-Entscheidung nimmt.

Im September 2011 hatte sich Google in Abstimmung mit dem Hamburger Datenschutzbeauftragen darauf geeinigt, dass Websiten-Betreiber einen Auftragsdatenverarbeitungsvertrag abschließen müssen, um das Analyse-Tool rechtskonform einsetzen zu können. In dem Vertrag sind die notwendigen rechtlichen Grundlagen, Pflichten und Vorgänge zur datenschutzkonformen Nutzung des Analysedienstes festgelegt. Der Vertrag wird vom Websitebetreiber ausgedruckt und unterschrieben an Google Deutschland in Hamburg geschickt, von dort erhält er ein unterschriebenes Exemplar zurück. Da Google den Zertifizierungsvorgaben des neuen EU-US Privacy Shields folgt, hat das Unternehmen dem Hinweispapier zufolge auch die  rechtlichen Voraussetzungen für die Angemessenheit des Datenschutzniveaus gemäß § 4 b BDSG auch für die Erbringung des Dienstes Google Analytics im Wege der Auftragsverarbeitung geschaffen.

Einen Überblick über die weiteren notwendigen Bedingungen für einen rechtskonformen Einsatz von Webanalyse-Tools hat der BVDW in einem Whitepaper zusammengefasst. Auch die BVDW-Datenschutz-Roadshow 2016 widmete sich ausführlich dieser Thematik. Die Hamburger Datenschutzaufsicht kommt zu dem Schluss, dass ein beanstandungsfreier Einsatz des Dienstes Google Analytics weiterhin möglich ist, soweit die beschriebenen Voraussetzungen erfüllt sind.