Seit sehr langer Zeit nutze ich Google Analytics zur Statistik-Erhebnung auf meinen Websites und Blogs. Vor einigen Jahren musste ich mal mein altes Analytics-Konto samt Daten löschen, da man einen Vertrag zur Auftragsdatenverarbeitung abschließen musste, inklusive IP-Anonymisierung, und dadurch die davor erhobenen Daten nicht rechtens waren.
Nun stehe ich wieder vor der Frage, wie es mit Google Analytics weitergeht. Hat man sich vor ein paar Jahren noch gefreut, dass die Datenschützer mit den Schutzmaßnahmen zufrieden sind, fordern sie nun die explizite Einwilligung von jedem Nutzer. Wie geht es nun also bei mir mit Google Analytics weiter?
Die selbe Frage stellt sich zudem bei Google AdSense. Die beliebte Einnahmequelle steht ebenfalls im Fokus der kommenden DS-GVO.
Dabei gibt es interessante News zu einem neuen Tool von Google namens Funding Choices, mit dem man nicht nur die Einwilligung für personalisierte und nicht personalisierte AdSense-Werbung von den eigenen Besuchern einholen kann, sondern das sogar eine Payment-Option bietet, wenn die Besucher komplett auf Werbung verzichten wollen.
Hinweis:
Da ich kein Anwalt bin, handelt es sich bei den folgenden Ausführungen um meine persönliche Meinung und meine eigenen Erfahrungen. Es handelt sich nicht um eine Rechtsberatung. Falls konkrete Fragen oder Probleme auftauchen, sollte man sich an einen Anwalt wenden.
Google Analytics und die DS-GVO
Ich habe meine eigenen Websites und Blogs bereits an die DS-GVO angepasst und dabei unter anderem Werbemittel von Partnerprogrammen entfernt, die Cookies gesetzt haben. Was ich aber drin gelassen habe bisher, ist der Code für Google Analytics.
Seit langem nutze ich das Tool und kann damit unter anderem sehr gut die Entwicklung meiner Websites verfolgen, Inhalte analysieren und die Auswirkungen von Optimierungen messen. Dabei sehe ich selbst keine personenbezogenen Daten und durch die IP-Anonymisierung dürfte auch Google keine personenbezogenen Informationen erhalten.
Insofern waren deutsche Datenschützer eigentlich seit einigen Jahren mit der Verwendung von Google Analytics einverstanden, wenn man die IP-Anonymisierung nutzt und einen Auftragsdatenverarbeitungsvertrag mit Google abgeschlossen hat.
Und bzgl. dem Inkrafttreten der DS-GVO waren sich eigentlich alle Experten einig, dass Google Analytics da auch erstmal weiter genutzt werden kann. Schließlich gibt es Abwägungs-Gründe in der DS-GVO, die es rechtfertigen, weiterhin diese Reichweiten-Messung vorzunehmen, wenn die Nutzer eine Opt-Out-Möglichkeit haben. Diese gab es bisher schon und natürlich bietet man diese auch in der neuen Datenschutzerklärung an.
Doch anscheinend sehen das die deutschen Datenschützer anders. In einer Stellungnahme (PDF) der Datenschutzbehörden zu diesem Thema von Ende April wird ausdrücklich darauf eingegangen, dass verschiedene Regelungen aus dem TMG bzgl. Tracking-Mechanismen nicht mehr anwendbar sind, sondern die DS-GVO bis zum Inkrafttreten der ePrivacy-Richtlinie diesbezüglich Vorrang hat.
Und daraus leiten die Datenschützer nun ab, dass es kein Tracking mehr ohne vorherige Einwilligung geben darf. Schwierig finde ich hier, dass sich in der Begründung dennoch auf die ePrivacy-Richtlinie bezogen wird, wo ja noch gar nicht klar ist, wann und in genau welcher Form diese kommt.
Viele Anwälte und Experten sehen dagegen Art. 6 Absatz 1 Buchstabe f) DSGVO als Abwägungsgrund für ausreichend an, um so ein anonymisiertes Tracking zu erlauben. In der Stellungnahme der Datenschützer steht ausdrücklich folgendes: „Es bedarf jedenfalls einer vorherigen Einwilligung beim Einsatz von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet
nachvollziehbar machen und bei der Erstellung von Nutzerprofilen.“
Das ist meiner Meinung nach aber beim korrekten Einsatz von Google Analytics, mit IP-Anonymisierung, gar nicht gegeben. Es werden zwar Cookies gesetzt, aber Google erklärt im Auftragsverarbeitungs-Vertrag explizit, dass keine Nutzer-Profile erstellt werden.
Im Grunde widerspricht man also dem DS-GVO und dessen Ausnahme-Regelung und legt dieses Thema sehr einseitig aus, zumal Tracking nicht gleich Tracking ist. Beim Retargeting z.B. könnte man viel eher mit der Meinung der Datenschützer einher gehen. Natürlich kann man auch hier das berechtigte Interesse der Unternehmen als Legitimierungsgrund anführen, aber schließlich werden damit wirklich Personen durch das Netz verfolgt und in gewisser Weise Profile angelegt.
Fazit zu Google Analytics
Deshalb werde ich Google Analytics weiterhin nutzen. Ich habe aber in den Einstellungen unter „Verwaltung > Property > Datensammlung“ geprüft, dass das „Remarkting“ und die „User ID“ deaktiviert sind, um keine Identifizierung und Verfolgung einzelner Personen zu ermöglichen. Zudem habe ich ggf. vorhandene Verknüpfungen zu AdSense oder Adwords deaktiviert. Des Weiteren muss man noch dem „Zusatz zur Datenverarbeitung“ direkt in den Kontoeinstellung in Analytics zustimmen, was aber erst ab dem 25.5. empfohlen wird, da erst ab dann laut DS-GVO auch ein Klick in Deutschland reicht, wobei vorher die Schriftform notwendig ist.
Mehr Informationen dazu gibt es z.B. auf rechtzweinull.de.
Google AdSense und die DS-GVO
Eine richtige Cookie-Schleuder ist leider Google AdSense. Unter diesem Gesichtspunkt wird natürlich auch darüber diskutiert, ob man Google AdSense noch ab dem 25.5. in der bisherigen Form nutzen kann. Leider habe ich dazu bisher nur wenige wirklich gute und fundierte Artikel von Anwälten gefunden.
Vor ein paar Wochen hat Google angekündigt, dass es für AdSense eine Alternative zur bisherigen personalisierten Werbung geben wird. Aktuell werden Cookies genutzt, um den Besuchern einer Website personalisierte Anzeigen zu präsentieren. Das merkt man, wenn man z.B. bei Amazon ein Produkt angeschaut hat und anschließend auf einer anderen Website ein Werbebanner zu genau diesem Produkt sieht. Das kann man gut oder schlecht finden, zumindest wird die Werbung teilweise schon passender. Allerdings ist hier ein Tracking mit dem Verfolgen der Nutzer gegeben, was klar gegen die Ansicht der Datenschützer spricht (ob diese Ansicht von den Gerichten später geteilt wird, sei mal dahingestellt).
Deshalb hat Google vor kurzem auch seinen Standpunkt dazu bekannt gegeben und demnach soll man als Publisher nach Art. 6 Absatz 1 Buchstabe a) DSGVO von jedem Besucher eine Einwilligung einholen, bevor Google AdSense Anzeigen angezeigt werden. Darauf habe ich aber mal so gar keine Lust, auch wenn Google angekündigt hat, hierfür Lösungen bereitzustellen (siehe nächsten Abschnitt).
Update
Mittlerweile hat man in den Einstellungen von Google AdSense (unter „Anzeigen zulassen und blockieren“ > „Alle eigenen Websites“ > „EU-Nutzereinwilligung“) auch die Möglichkeit „nicht personalisierte Anzeigen“ auszuwählen (Danke für den Hinweis Jan-Erik). Diese Option gilt ab dem 25.5. und zeigt Bürgern aus der EU dann nicht personalisierte Werbung an.
Ein Nachteil ist dabei allerdings, dass man damit 10 oder 15 Jahre zurückfällt, als Werbung im Netz generell nicht personalisiert war. Das gefällt Werbeunternehmen natürlich nicht und ich könnte mir gut vorstellen, dass die Klickpreise für solche nicht personalisierten Anzeigen deutlich sinken.
Zudem werden mit dem neuen AdSense-Modell ebenfalls Cookies, wenn auch anscheinend nur von Google selbst und nicht mehr von Dritten. In den ersten Informationen dazu wurde bekannt gegeben, dass dennoch verschiedene Cookies gesetzt werden, z.B. für das Frequency Capping und zur Bekämpfung von Missbrauch.
Ob man bei Google AdSense (zumindest bei der nichtpersonalisierten Variante) das berechtigte Interesse nach Art. 6 Absatz 1 Buchstabe f) DSGVO als Legitimation nutzen kann, ist ebenfalls sehr umstritten und auch hier werden wohl erst Gerichtsurteile zeigen, was genau unter welchen Umständen möglich ist. Derzeit sieht es so aus, als ob auch für die nicht personalisierte AdSense-Werbung eine Einwilligung eingeholt werden muss. Zumindest sieht es Google so und könnte Publisher aus dem Programm schmeißen, die diese Einwilligung nicht einholen.
Fazit zu Google AdSense
Ich werde Google AdSense zum 25.5. erstmal aus meinen Websites und Blogs entfernen. Natürlich verzichte ich damit auf gewisse Einnahmen, aber zum einen ist mir das zu heikel und zum anderen kann man auf den betreffenden Werbeplätzen ja auch andere Banner (z.B. mit Affiliatelinks) einbauen, die Geld einbringen. Dann werde ich mir in Ruhe anschauen, wie es mit Google AdSense in Zukunft weitergeht.
Mehr Informationen zum aktuellen Stand bei Google AdSense gibt es bei lhr-law.de
Google Funding Choices
Die Tools zur Einholung der Einwilligung für Google AdSense (und z.B. auch DFP) sind nun schon online. Das ganze System nennt sich Funding Choices und sieht auf den ersten Blick recht komplex aus. Hier findet ihr dazu die deutschsprachige Hilfe.
Damit kann man aber nicht nur die Einwilligung z.B. für AdSense Anzeigen einholen, sondern es beinhaltet z.B. auch eine Werbeblocker-Erkennung. Dadurch wird Besuchern der Website angezeigt, dass sie bitte doch die Werbeanzeigen aktivieren sollen, um dem Betreiber zu helfen.
Bei der Einwilligung selbst hat der Besucher dann nicht nur die Wahl zwischen personalisierter und nicht personalisierter Werbung, sondern auch die Option keine Werbung anzeigen zu lassen. Bei letzterer Option legt man als Website-Betreiber allerdings einen Betrag fest, den der Besucher im Rahmen des neuen Google Contributor Programms bezahlen muss. Dabei handelt es sich im Endeffekt um eine Payment-Lösung, damit keine Google-Werbung mehr auf der Website angezeigt wird.
Das finde ich sehr spannend. Google tritt damit meines Wissens in ein ganz neues Geschäftsfeld ein und bietet die Möglichkeit für Paid Content, der ohne AdSense auskommt.
Dennoch werde ich dieses Tool erstmal nicht nutzen, da das Tool an sich bisher nur auf englisch verfügbar ist und nicht klar ist, ob man damit zu 100% auf der sicheren Seite ist. Schließlich sieht es so aus, als ob damit gar kein kompletter Opt-Out möglich ist. Man kann als Besucher zwar auf die AdSense-Werbung komplett verzichten, muss dann aber Geld bezahlen. Da habe ich meine Zweifel, ob das rechtlich okay ist.
Zudem stellt sich die Frage, welche Infos für dieses Tool in die Datenschutzerklärung müssen. Viele offene Fragen.
Kann man generell auf Google Analytics und AdSense verzichten?
Gerade bei kleineren Blogs und Websites stellt sich die Frage, ob man nicht generell auf diese problematischen Google-Tools verzichten sollte bzw. kann.
Natürlich ist es interessant die ausführlichen Statistiken von Analytics zu nutzen, aber wer schaut sich denn wirklich mehr als die Zahl der Besucher und der Seitenaufrufe an?
Und Google AdSense bringt bei kleineren Websites meist auch nur ein paar Euro ein, da AdSense erst mit viel Traffic gut funktioniert. Affiliate Marketing funktioniert bei vielen kleinen Websites oft deutlich besser.
Deshalb ist es zumindest bei solchen Websites und Blogs zu überlegen, ob nicht generell auf Google Analytics und AdSense verzichtet werden soillte. Der Mehrwert ist für viele Hobby-Website-Betreiber und Einzelunternehmer gering. Dagegen ist der Aufwand recht hoch, will man beide Tools in Zukunft rechtssicher nutzen und man muss ja auch die aktuellen Entwicklungen und Rechtssprechungen verfolgen.
Deshalb hatte ich vor kurzem eine meiner Nischenwebsites mal komplett ohne Cookies umgesetzt und dort eben auch auf Google Analytics und Google AdSense verzichtet. Und ganz ehrlich, ein einfaches Plugin, um die Aufrufzahlen der Artikel und Seiten (gänzlich ohne personenbzogene Daten) zu messen, reicht für sowas vollkommen aus.
Wie geht ihr mit Google Analytics und Google AdSense ab dem 25.5. um?