Was müssen Sie zu Google Analytics Auftragsdatenverarbeitung wissen?
Bei einer Auftragsdatenverarbeitung beauftragt ein Unternehmen einen externen Dienstleister damit, weisungsgebunden personenbezogene Daten zu verarbeiten. Personenbezogene Daten liegen immer dann vor, wenn diese Daten einer bestimmten Person zugeordnet werden können. Das heißt: Können Unternehmen Informationen wie
- Name und Anschrift,
- Telefonnummer,
- E-Mail oder
- Kontonummer
einer Person zuordnen, handelt es sich um personenbezogene Daten.
Für die Praxis bedeutet das: Nutzen Webseitenbetreiber Google Analytics, nimmt Google für sie eine Auftragsdatenverarbeitung vor. Denn: Seitenbetreiber erheben über Google Analytics zahlreiche Daten zur Aktivität und Verweildauer von Nutzern. Google gibt ihnen dazu verschiedene Tools und Parameter an die Hand, mit deren Hilfe sie die gewonnenen Informationen auswerten und ihre Seite optimieren können. Google handelt daher im Auftrag der Seitenbetreiber, die Informationen für sie weisungsgebunden zu verarbeiten.
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellenVoraussetzungen für eine rechtskonforme Auftragsdatenverarbeitung mit Google
Für eine rechtskonforme Auftragsdatenverarbeitung mit Google müssen Seitenbetreiber diese Pflichten erfüllen:
Vertrag zur Auftragsverarbeitung schließen
Grundlage einer Auftragsdatenverarbeitung durch Google ist Art. 28 Datenschutz-Grundverordnung (DSGVO). Dieser schreibt einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) vor. Der Vertrag muss klären,
- welche Nutzerdaten Google speichert,
- wie lange Google die Userdaten speichert,
- zu welchem Zweck Google die Daten verarbeitet und
- welche sonstigen Rechte und Pflichten beide Parteien haben.
Seitenbetreiber können den AV-Vertrag online mit Google schließen.
Datenschutzerklärung aktualisieren
Webseitenbetreiber müssen die Auftragsdatenverarbeitung und den entsprechenden AV-Vertrag mit Google in ihrer Datenschutzerklärung erwähnen. Dabei müssen sie erklären, warum sie Google für eine Auftragsverarbeitung beauftragt und mit dem Unternehmen einen AV-Vertrag geschlossen haben.
Wichtig: Universal Analytics wird zum 01.06.2023 vollständig eingestellt! Das bedeutet, sollten Sie bis dato Universal Analytics nutzen, empfehlen wir Ihnen jetzt bereits die Umstellung auf Google Analytics 4.
Rechtsprechung zur Google Analytics Auftragsdatenverarbeitung
Geben Unternehmen personenbezogene Daten zur Verarbeitung an Dritte weiter, benötigen sie einen AV-Vertrag. Schließen sie diesen nicht, riskieren sie ein Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent ihres weltweiten Jahresumsatzes. Die Datenschutzbehörde Hamburg sprach daher im Dezember 2018 ein Bußgeld in Höhe von 5.000 Euro gegen ein deutsches Versandunternehmen aus. Dies hatte personenbezogene Daten an einen spanischen Postdienstleister übermittelt – ohne vorher einen AV-Vertrag mit diesem zu schließen.
