Webseiten-Analyse-Tools: Datenschutzrechtliche Herausforderungen beim Einsatz
Inhalt
- Welche datenschutzrechtlichen Pflichten und Risiken bestehen beim Einsatz von Webseiten-Analyse-Tools in der Schweiz?
- Was sind Webseiten-Analyse-Tools?
- Welche Daten werden von Webseiten-Analyse-Tools bearbeitet?
- Was gilt es beim Einsatz von Webseiten-Analyse-Tools aus datenschutzrechtlicher Sicht zu beachten?
- Welche datenschutzrechtlichen Risiken bestehen beim Einsatz von Webseiten-Analyse-Tools?
- FAQ: Webseiten-Analyse-Tools
KURZ ZUSAMMENGEFASST
Der Einsatz von Webseiten-Analyse-Tools wie Google Analytics löst in der Schweiz stets die Anwendung des Datenschutzgesetzes aus, da IP-Adressen und Geräte-IDs als Personendaten gelten. Unternehmen müssen zwingend einen Auftragsbearbeitungsvertrag mit dem Anbieter abschliessen und prüfen, ob beim Sitz des Anbieters im Ausland (insbesondere USA) zusätzliche Garantien wie EU-Standardvertragsklauseln sowie ein Transfer Impact Assessment erforderlich sind. Die Transparenz gegenüber den Nutzern via Datenschutzerklärung ist eine weitere unabdingbare Pflicht, um Busse von bis zu CHF 250'000 zu vermeiden.
Die wichtigsten Punkte:
- Personendaten wie IP-Adressen unterliegen dem Schweizer Datenschutzgesetz.
- Ein Auftragsbearbeitungsvertrag mit dem Tool-Anbieter ist zwingend erforderlich.
- Bei US-Anbietern sind zusätzliche Garantien und eine Risikoanalyse nötig.
- Die Nutzung muss in der Datenschutzerklärung transparent offengelegt werden.
- Verstösse können zu Geldstrafen von bis zu CHF 250'000 führen.
Marco S. Meier
Marco S. Meier, RA, MLaw, CIPP/E, Informatiker EFZ, ist Partner bei Binder Rechtsanwälte KLG. Er berät und vertritt nationale und internationale Klienten in sämtlichen Bereichen des IT-, Technologie-, Datenschutz-, Cyber-Security- und Immaterialgüterrechts sowie in technologiebezogenen Compliance-Fragen, wie beispielsweise dem Einsatz oder der Entwicklung von künstlicher Intelligenz (KI). Zudem ist er versiert in Software- und Lizenzfragen sowie Technologie- und Outsourcing-Projekten in diversen Branchen. Die Beilegung von Streitigkeiten im ICT-Bereich sowie die Beratung bezüglich digitaler Marketingaktivitäten und IT/IP M&A-Transaktionen sind weitere Schwerpunkte seiner Tätigkeit.
Passende Arbeitshilfen
Welche datenschutzrechtlichen Pflichten und Risiken bestehen beim Einsatz von Webseiten-Analyse-Tools in der Schweiz?
Was sind Webseiten-Analyse-Tools?
Webseiten-Analyse-Tools sind Hilfsmittel der Webseitenbetreiber. Durch Webseiten-Analyse-Tools erhalten die Webseitenbetreiber nicht nur Einblicke in die Performance, den Traffic, die Verweildauer oder das Ranking der jeweiligen Webseite, sondern auch Informationen über das Nutzerverhalten. Dazu gehört beispielsweise die Information, welches Suchwort vom Nutzer bei der Suche eingegeben wurde, und die Verweildauer auf oder die Absprungraten der einzelnen Unterseiten. Dies hilft dem Webseitenbetreiber die Webseite zu optimieren, die Inhalte zu verbessern oder diese zu personalisieren.
Webseiten-Analyse-Tools funktionieren in der Regel über den Einsatz von Cookies. Cookies sind kleine Textdateien, die der Webbrowser im Hintergrund auf dem Endgerät des Nutzers speichert. Sobald der Webseiten-Nutzer zum ersten Mal eine Webseite aufruft, wird ein neuer Cookie angelegt, der die definierten Informationen für den Webseitenbetreiber sammelt.
Welche Daten werden von Webseiten-Analyse-Tools bearbeitet?
Webseiten-Analyse-Tools gibt es in vielfältigen Ausgestaltungen und Varianten. Insofern können sich die Analyse-Tools bei den gesammelten Daten unterscheiden. Die meisten Webseiten-Analyse-Tools sammeln jedoch Personendaten im Sinne des Schweizer Datenschutzgesetzes, wie beispielsweise die IP-Adresse, andere einzigartige Nummern, über die das Endgerät wieder erkannt werden, Standortdaten, Informationen zum eingesetzten Browser, Informationen über das verwendete Endgerät und weitere Informationen über den Webseitenbesuch.
In Kombination mit einer IP-Adresse (oder einer anderen einzigartigen Nummer) ist es möglich eine natürliche Person zu identifizieren oder diese zu bestimmen. Dadurch findet das Schweizer Datenschutzgesetz auf diese Bearbeitung der Daten Anwendung.
Was gilt es beim Einsatz von Webseiten-Analyse-Tools aus datenschutzrechtlicher Sicht zu beachten?
Neben den allgemeinen Anforderungen an das Setzen von Cookies, welche sich primär aus dem Fernmeldegesetz ergeben, geben die datenschutzrechtlichen Bestimmungen beim Einsatz von Webseiten-Analyse-Tools, wie Google Analytics, Matomo, oder Adobe Analytics, zentrale Anforderungen vor.
Passende Produkt-Empfehlungen
Webseiten-Analyse-Tools werden Webseitenbetreibern von Drittunternehmen zur Verfügung gestellt. Weil diese Drittunternehmen die Personendaten in der Regel im Auftrag und auf Weisung des Webseitenbetreibers bearbeiten, handelt es sich meist um sog. Auftragsbearbeiter. Gemäss dem Schweizer Datenschutzgesetz kann die Bearbeitung von Personendaten an einen Auftragsbearbeiter mittels eines Vertrags oder gestützt auf eine gesetzliche Grundlage übertragen werden. Da für die Nutzung von Webseiten-Analyse-Tools keine gesetzliche Grundlage ersichtlich ist, muss ein Vertrag mit dem Anbieter abgeschlossen werden. Dieser sog. Auftragsbearbeitungsvertrag bildet dann die datenschutzrechtliche Grundlage für den Einsatz des Auftragsbearbeiters. Mit anderen Worten muss vor dem Einsatz eines Webseiten-Analyse-Tools ein Auftragsbearbeitungsvertrag mit dem Tool-Anbieter abgeschlossen werden. Viele Anbieter stellen bereits standardmässig einen solchen Vertrag zur Verfügung.
Checkliste
- Identifizieren Sie alle auf Ihrer Webseite eingesetzten Analyse-Tools.
- Prüfen Sie, ob die gesammelten Daten (IP, Gerät-ID) als Personendaten gelten.
- Schliessen Sie einen gültigen Auftragsbearbeitungsvertrag mit jedem Anbieter ab.
- Ermitteln Sie den Sitz des Anbieters und das Datenschutzniveau des Landes.
- Implementieren Sie bei US-Anbietern EU-Standardvertragsklauseln.
- Führen Sie ein Transfer Impact Assessment (Risikoanalyse) für US-Tools durch.
- Aktualisieren Sie Ihre Datenschutzerklärung mit Angaben zu Tools und Garantien.
- Konfigurieren Sie die Tools technisch datenschutzfreundlich (z. B. IP-Anonymisierung).
- Dokumentieren Sie alle getroffenen Massnahmen für den Nachweis.
Neben dem Abschluss eines Auftragsbearbeitungsvertrags spielt auch der Sitz des Tool-Anbieters eine entscheidende Rolle. Befindet sich dieser im Ausland, müssen gegebenenfalls zusätzliche Garantien implementiert werden. Dies ist dann der Fall, wenn im Land, in welchem der Tool-Anbieter seinen Sitz hat aus Schweizer Sicht kein angemessenes Datenschutzniveau besteht. Zurzeit besteht aus Schweizer Sicht in den USA kein angemessenes Datenschutzniveau. Die marktführenden Webseite Analyse-Tools stammen von Anbietern mit Sitz in den USA (so bspw. Google Analytics von Google). In diesem Fall müssen nach der geltenden Rechtslage zusätzliche Garantien implementiert werden. In der Praxis ist der Einsatz der EU-Standardvertragsklauseln verbreitet. Durch diese unterwerfen sich die Vertragsparteien bestimmten datenschutzrechtlichen Pflichten, um ein angemessenes Datenschutzniveau sicherzustellen. Zudem müsste vor dem Einsatz eines Analyse-Tools von einem Anbieter mit Sitz in einem Land mit fehlendem, angemessenem Datenschutzniveau ein sog. Transfer Impact Assessment (d.h. eine Risikoanalyse nach den Vorgaben des EDÖB) durchgeführt werden.
Neben der Klärung des Verhältnisses zum Tool-Anbieter besteht eine weitere zentrale Pflicht: Die Informationspflicht gegenüber den betroffenen Personen. Die Webseitennutzer müssen über den Einsatz verschiedener Webseiten-Analyse-Tools informiert werden. In der Praxis wird dies über die Datenschutzerklärung, welche auf der Webseite verlinkt ist, sichergestellt. Die Datenschutzerklärung enthält gemäss den Vorgaben des Datenschutzgesetzes mindestens Informationen zum Webseitenbetreiber, zu den Zwecken des eingesetzten Analyse-Tools sowie zum Tool-Anbieter (inkl. Land und den ggf. eingesetzten datenschutzrechtlichen Garantien).
Welche datenschutzrechtlichen Risiken bestehen beim Einsatz von Webseiten-Analyse-Tools?
Das Schweizer Datenschutzgesetz sieht für bestimmte Verletzungen Bussen in der Höhe von bis zu CHF 250'000 vor. Dazu zählt u.a. das zur Verfügung stellen von falschen oder unvollständigen Informationen, die Verletzung der Vorgaben an den Beizug von Auftragsbearbeitern oder der Verstoss gegen die Vorgaben für Datentransfers ins Ausland. Wird der Einsatz von Webseiten-Analyse-Tools nicht sorgfältig geplant und umgesetzt, besteht das Risiko, dass die vorgenannten Pflichten verletzt werden und ein Busse droht. Aus diesem Grund ist die gewissenhafte Prüfung der Webseiten-Analyse-Tools vor dem Einsatz wichtig.
Was ich wissen muss:
- Durch Webseiten-Analyse-Tools werden Personendaten bearbeitet
- Die Vorgaben des Datenschutzgesetzes gelten neben anderen rechtlichen Vorgaben (z.B. zum Einsatz von Cookies)
- Bei den Tool-Anbietern handelt es sich regelmässig um Auftragsbearbeiter
- Mit Auftragsbearbeitern muss ein Auftragsbearbeitungsvertrag abgeschlossen werden
- Tool-Anbieter mit Sitz im Ausland: Prüfen, ob ein angemessenes Datenschutzniveau besteht oder ob zusätzliche Garantien implementiert werden müssen
- Aufnehmen der eingesetzten Webseiten-Analyse-Tools in der Datenschutzerklärung
- Prüfen, ob die Einstellungen im Webseiten-Analyse-Tool datenschutzkonform sind
FAQ: Webseiten-Analyse-Tools
Muss ich wirklich einen Vertrag mit Google Analytics abschliessen?
Ja, da Google als Auftragsbearbeiter Personendaten im Auftrag des Webseitenbetreibers verarbeitet, ist ein Auftragsbearbeitungsvertrag gemäss Schweizer Datenschutzgesetz zwingend erforderlich.
Ist Google Analytics in der Schweiz überhaupt erlaubt?
Die Nutzung ist möglich, jedoch nur unter strengen Auflagen. Da die USA kein angemessenes Datenschutzniveau bieten, müssen EU-Standardvertragsklauseln vereinbart und ein Transfer Impact Assessment durchgeführt werden.
Was passiert, wenn ich die Analyse-Tools nicht in der Datenschutzerklärung nenne?
Das Fehlen der Information verstösst gegen die Transparenzpflicht des Datenschutzgesetzes und kann als Verletzung geahndet werden, was zu einer Busse von bis zu CHF 250'000 führen kann.
Gibt es Alternativen ohne Datenexport in die USA?
Ja, Tools mit Sitz in der Schweiz oder der EU (z. B. Matomo On-Premise oder Cloud-Lösungen mit Schweizer/EU-Sitz) vermeiden die Notwendigkeit komplexer Transfermechanismen und Risikoanalysen.
