Ein praktischer Leitfaden zu Datenschutzerklärung für Analytics

Dieser Leitfaden erklärt Datenschutzerklärung für Analytics praxisnah und mit Fokus auf datenschutzfreundliche Analytics-Entscheidungen.

Eine Datenschutzerklärung ist keine dekorative Rechtsseite. Hier erklärt eine Website, welche personenbezogenen Daten sie sammelt, warum sie sie sammelt, wer sie erhält, wie lange sie gespeichert werden und welche Rechte die Menschen haben.

Für analyseintensive Websites muss die Datenschutzrichtlinie spezifisch genug sein, um Tracking, cookies, Pixel, Ereignisse, Anbieter und Werbezwecke zu beschreiben. Vage Formulierungen wie "Wir sammeln möglicherweise Informationen, um die Dienstleistungen zu verbessern" reichen selten aus.

GDPR Datenschutzbestimmungen

GDPR Artikel 13 und 14 legen Transparenzanforderungen für personenbezogene Daten fest, die direkt von Personen erfasst oder indirekt erlangt werden. Eine praktische Datenschutzrichtlinie sollte Folgendes umfassen:

• Die Identität und Kontaktdaten des Verantwortlichen.
• Ggf. Kontaktdaten des Datenschutzbeauftragten.
• Kategorien der erhobenen personenbezogenen Daten.
• Zwecke der Verarbeitung.
• Rechtsgrundlage für jeden Zweck.
• Berechtigte Interessen, sofern geltend gemacht.
• Empfänger oder Kategorien von Empfängern.
• Internationale Übermittlungen und Schutzmaßnahmen.
• Aufbewahrungsfristen oder -kriterien.
• Rechte der betroffenen Person.
• Recht auf Widerruf der Einwilligung.
• Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen.
• Ob die Datenbereitstellung erforderlich ist und welche Folgen die Nichtbereitstellung hat.
• Ob eine automatisierte Entscheidungsfindung oder ein Profiling erfolgt.

Der GDPR-Text ist der maßgebliche Ausgangspunkt (GDPR Artikel 13, GDPR Artikel 14).

Analytics-Offenlegungen

Geben Sie für Webanalysen Folgendes an:

• Welche Analysetools Sie verwenden.
• Welche Daten sie sammeln.
• Ob cookies oder ähnliche Technologien zum Einsatz kommen.
• Ob Kennungen dauerhaft sind.
• Ob IP-Adressen gespeichert oder gekürzt werden.
• Ob Daten mit Anbietern oder Werbeplattformen geteilt werden.
• Ob Daten für Cross-Site-Werbung verwendet werden.
• Wie Benutzer ihre Einwilligung ablehnen oder ändern können.
• Aufbewahrungsfrist für Analysedaten.

Wenn Sie Google Analytics verwenden, gibt Google an, dass Analytics cookies wie _ga verwendet, um Besucher zu unterscheiden (Google Datenschutz und Nutzungsbedingungen). Ihre Richtlinie sollte nicht implizieren, dass keine Kennungen verwendet werden, wenn Ihre Implementierung sie verwendet.

Wenn Sie Cookie-lose Datenschutzanalysen verwenden, sagen Sie dies deutlich, aber übertreiben Sie es nicht. Erklären Sie, was noch erfasst wird, z. B. Seite URL, referrer, Browser, Gerätetyp und ungefährer Standort.

Cookie Richtlinie und Einwilligung

Viele Websites kombinieren eine Datenschutzrichtlinie mit einer separaten cookie-Richtlinie. Beide Strukturen können funktionieren, wenn Benutzer die Informationen verstehen können.

Ihre cookie-Offenlegung sollte Folgendes enthalten:

• Cookie oder Technologiename.
• Anbieter.
• Zweck.
• Dauer.
• Ob unbedingt erforderlich oder optional.
• Ob Dritte Daten erhalten.
• Wie Präferenzen geändert werden können.

Regulierungsbehörden behandeln die Analyse cookies oft als nicht wesentlich, es sei denn, es gilt eine enge Ausnahmeregelung. Das britische ICO sagt, dass Organisationen einen Zustimmungsmechanismus benötigen, der es Benutzern ermöglicht, nicht wesentliche cookies und ähnliche Technologien zu kontrollieren (ICO).

CCPA/CPRA Ergänzungen

Wenn CCPA zutrifft, sind in Ihrer Mitteilung auch kalifornische spezifische Angaben erforderlich. Der kalifornische Generalstaatsanwalt fasst Verbraucherrechte zusammen, einschließlich Zugriff, Löschung, Berichtigung, Ablehnung des Verkaufs oder der Weitergabe sowie Beschränkungen für sensible personenbezogene Daten (California OAG).

Abgedeckte Unternehmen sollten sich mit Folgendem befassen:

• Kategorien der erfassten personenbezogenen Daten.
• Quellen persönlicher Informationen.
• Geschäftliche oder kommerzielle Zwecke.
• Kategorien von Dritten, denen gegenüber offengelegt wird.
• Offenlegungen zum Verkauf oder zur Weitergabe.
• Verwendung sensibler persönlicher Informationen.
• Methoden zur Rechteanforderung.
• Nichtdiskriminierung.
• "Do Not Sell or Share"-Mechanismen, sofern erforderlich.

Häufige Fehler in der Datenschutzrichtlinie

• Auflisten von Tools, die nicht mehr verwendet werden.
• Weglassen von durch Marketing hinzugefügten Tag-Manager-Pixeln.
• Wenn Daten pseudonymisiert sind, sind sie anonym.
• Internationale Übermittlungen werden nicht erwähnt.
• Die Aufbewahrung hinter "so lange wie nötig" verbergen.
• Vergessen Sie Sitzungswiederholungen, Heatmaps, A/B-Tests und Chat-Widgets.
• Senden personenbezogener Daten in URLs mit Anspruch auf minimale Erfassung.
• Keine Erklärung für den Widerruf der Einwilligung.

Praktischer Wartungsworkflow

Lesen Sie die Datenschutzrichtlinie immer dann, wenn:

• Ein neues Analyse- oder Werbetool wird hinzugefügt.
• Ein Tag-Manager-Container ändert sich.
• Eine neue Region wird anvisiert.
• Ein Anbieter wechselt den Unterauftragsverarbeiter.
• Ein cookie-Banner ändert sich.
• Die Einstellungen zur Datenaufbewahrung ändern sich.
• Neue Ereignisse sammeln konto- oder formularbezogene Daten.

Datenschutzrichtlinien verändern sich, weil Websites sich verändern. Führen Sie ein einfaches Register der Datenerfassungsstellen und vergleichen Sie es vierteljährlich mit der veröffentlichten Bekanntmachung.

Die beste Datenschutzrichtlinie ist einfach zu verfassen, da die Datenpraktiken einfach sind. Ein datenschutzorientiertes Analyse-Setup ohne cookies, ohne gemeinsame Nutzung von Werbung, ohne vollständigen IP-Speicher und mit aggregierten Berichten ist einfacher zu erklären, einfacher zu verteidigen und für Besucher einfacher zu vertrauen.

Der Wortlaut von Analytics sollte der Realität entsprechen

Vermeiden Sie absolute Ansprüche, es sei denn, die Implementierung unterstützt sie. "Anonyme Analysen" sind nur dann korrekt, wenn die Daten keine vernünftige Identifizierung einer Person ermöglichen. Viele Analysesysteme sind pseudonym und nicht anonym, da sie Identifikatoren verwenden oder Aktivitäten im Laufe der Zeit verknüpfen können.

Eine bessere Formulierung ist spezifisch: "Wir verwenden Cookie-freie Analysen, um aggregierte Seitenbesuche, referrers, Gerätetyp und Standort auf Länderebene zu zählen. Wir verwenden keine Analysen cookies und verkaufen keine Analysedaten." Überprüfen Sie anschließend regelmäßig die Konfiguration.

Ordnen Sie die Richtlinie dem Tag-Inventar zu

Vergleichen Sie die Richtlinie vor der Veröffentlichung mit einem Live-Crawling Ihrer Website. Listen Sie jedes Skript, jeden Iframe, jeden cookie, jeden lokalen Speicherschlüssel, jedes Tracking-Pixel, jedes Chat-Widget, jeden Schriftartenanbieter, jedes Formular-Tool und jeden eingebetteten Mediendienst auf. Überprüfen Sie dann, ob jeder Artikel in der Datenschutzrichtlinie, im cookie-Hinweis oder im Lieferantenregister mit demselben Zweck und derselben Aufbewahrungsgeschichte aufgeführt ist.

Dies fängt allgemeine Abweichungen ein. Das Marketing entfernt möglicherweise ein Pixel, belässt es aber in der Richtlinie, wodurch der Hinweis beängstigender aussieht als die Realität. Oder es erscheint möglicherweise ein neues A/B-Testskript ohne Offenlegung. Durch eine vierteljährliche Tag-to-Policy-Überprüfung wird sichergestellt, dass die öffentliche Bekanntmachung an dem tatsächlichen Erlebnis der Besucher ausgerichtet ist.

Checkliste zur Richtlinienüberprüfung

Bevor Sie die Richtlinie veröffentlichen, dokumentieren Sie jedes erfasste Analyseereignis, die Entscheidung, die es unterstützt, ob Speicher oder Kennungen verwendet werden, welche Anbieter es erhalten und wann Rohdatensätze ablaufen. Testen Sie dann die Live-Site in einem sauberen Browserprofil.

Die Richtlinie ist erst dann fertig, wenn der Hinweis, das Anbieterregister, das Einwilligungsverhalten und die Browserbeweise dasselbe sagen. Wenn im Netzwerkpanel ein Tracker angezeigt wird, der die Richtlinie nicht erklärt, korrigieren Sie die Implementierung oder den Wortlaut vor der Einführung.