Analytics Tools: Empfehlungen für die DS-GVO

Kategorien: Datenschutz, Retrospektive und Übersicht

Google Analytics ist das populärste Analysewerkzeug, sollte aber wegen der DS-GVO nicht mehr eingesetzt werden. Alternative Tools sind ausreichend vorhanden.

Analysewerkzeuge als wichtiges Instrument

Nu wer seine Kundschaft kennt, kann ihre Bedürfnisse optimal befriedigen. Eine Webseite kann nur erfolgreich sein, wenn man den Markt kennt. Dazu gehört auch die Auswertung der Besucher und der aufgerufenen Seiten. Populäre Tools für diese Zwecke sind Google Analytics, Piwik, Webtrekk und eine handvoll andere. Mit Google Analytics kann sogar die Altersstruktur von Besuchern festgestellt werden, ebenso wie deren wahrscheinliche Einkommensverhältnisse. Das wirkt auf den ersten Blick unglaublich. Der Nutzen für die meisten Seitenbetreiber ist allerdings fraglich. Abgesehen davon verbieten Datenschutzgrundsätze die Auswertung personenbezogener Daten ohne Einverständnis des Nutzers. Viele setzen Analysewerkzeuge hauptsächlich dazu ein um zu messen, wie oft welche Seite der Webpräsenz aufgerufen wurde. Das Auswerten eines Klickpfads, also welche Seiten nacheinander aufgerufen wurden, interessiert nicht mehr ganz so viele wie die Anzahl der Seitenaufrufe.

Probleme mit Google Analytics

Google ist bekannt für seine Datensammelwut, der nur noch Facebook gleich zu kommen scheint. Google Analytics ist offiziell sogar dafür entworfen worden, um Daten zu sammeln. Das war bisher schon problematisch, wird aber mit Einzug der Datenschutzgrundverordnung (DS-GVO) noch weit brisanter. Die Gründe sind:

• Google ist ein Unternehmen mit Sitz außerhalb der EU, was im Rahmen der DS-GVO an sich als kritisch zu beurteilen ist.
• Das Verzeichnis der Verarbeitungstätigkeiten der DS-GVO fordert die Nennung von Datentransfers in Drittländer samt Garantien, dass Datenschutzgrundsätze der EU eingehalten werden
• Google Analytics darf nur mit anonymisierten IP-Adressen verwendet werden, denn IP-Adressen gelten als personenbezogene Daten
• Ein schriftlicher und beiderseits unterschriebener Vertrag mit Google zur Auftragsdatenverarbeitung muss vorliegen
• Die Datenschutzerklärung zu Analytics muss vollständig sein
• Insbesondere muss eine Abwahlmöglichkeit vorhanden sein, und zwar sowohl für Desktop-PCs (über ein Browser-Plugin) als auch für Smartphones (über ein Opt-Out Cookie)
• Die Realisierung des Opt-Out Cookies erfordert technisches Wissen
• Es werden meist wesentlich mehr Daten gesammelt als eigentlich interessant wären
• Ist der Nutzer mit seinem Google Account angemeldet, kann Google den Nutzer direkt identifizieren

Aus diesen Gründen raten wir dringend vom Einsatz von Google Analytics ab und empfehlen den Einsatz von guten Alternativen. Der Einsatz des Konkurrenzprodukts Click ist möglicherweise nicht ganz so kritisch, ist aber im Rahmen der DS-GVO ebenfalls nicht zu empfehlen. Ein Grund, Clicky nicht zu nutzen, ist die Tatsache, dass auf der englischen Website ein Impressum fehlt. Auf der Seite der Anbieterfirma, Roxr Software Ltd., fehlt jede Angabe einer Firmenadresse.

Empfohlene Analysewerkzeuge

Am besten geeignet sind Analytics Tools, die lokal auf Ihrem Server laufen. Hier gibt es zwei Kategorien von Tools zu unterscheiden: Solche mit Javascript-Bibliotheken und solche ohne jede Script-Einbindung. Zur ersten Kategorie gehört beispielsweise das populäre Piwik, zur zweiten Kategorie etwa WP Statistics für WordPress. Die Tools ohne jede Script-Einbindung (Kategorie zwei) sind am unkritischsten. Dennoch können auch Bibliotheken der Kategorie eins empfohlen werden. Alle Tools, die auf Servern Dritter laufen, empfehlen wir nicht.

WP Statistics

Geeignet für alle Websites auf Basis des populärsten Conent Management Systems der Welt, WordPress. In einem extra Artikel zu WordPress Plugins wird WP Statistics genauer vorgestellt. Das Plugin läuft vollständig lokal auf dem Server der Webseite. Eine Script-Einbindung ist nicht erforderlich. Das sorgt dafür, dass direkt keine Daten über den Browser den Nutzers zum Statistik Tool übertragen werden. Mit einem Klick kann zudem die Anonymisierung der IP-Adressen eingestellt werden. Wenn Sie auf Nummer Sicher gehen wollen, binden Sie folgenden Befehl in der Datei functions.php in WordPress ein (gewisse techniche Kenntnisse erforderlich):

Matomo (Piwik)

Ebenfalls sehr populär, aber für jede Art von Webseite einsetzbar, da es auf einem Javascript-Code basiert. Die Datenschutzerklärung muss eine Opt-Out Möglichkeit enthalten, welche beim zuvor vorgestellten Tool nicht notwendig ist.

Matomo (Piwik) ist kostenfrei und kann im Internet heruntergeladen werden. Verwenden Sie am besten die lokal zu installierende Version. Die Cloud-Version ist datenschutzrechtlich zumindest etwas bedenklich. Außerdem muss man dann klären, in welchem Land der Piwik-Server steht und welche Garantien der Anbieter von Piwik für den Datenschutz bietet. Um es vorab zu sagen: Wer WP Statistics nicht verwenden kann, sollte Piwik nehmen. Alle nachfolgend genannten Alternativen halten wir für die große Masse der Webseiten für weniger gut geeignet.

AWStats

AWStats läuft vollständig auf dem Web Server und analysiert Log Dateien. Die Installation ist nicht ganz einfach. Eine Voraussetzung ist das Vorhandensein von Perl. Dafür ist das Analysetool kostenfrei. Die Auswertemöglichkeiten sind umfangreich. Das Look & Feel könnte etwas moderner sein.

Eine Script-Einbindung im HTML-Code erfolgt nicht, was sehr gut ist. Der Webseitenbesucher merkt also nicht einmal, dass AWStats im Einsatz ist. Weil die meisten deutschen Provider IP-Adressen in Server Logs anonymisieren, gibt es auch keine Probleme mit dem Datenschutz.

Webtrekk

Der Anbieter hat seinen Sitz in Berlin, also innerhalb der EU. Webtrekk Analytics ist eine kommerzielle Lösung. Weil das Werkzeug nicht kostenfrei ist, empfehlen wir es hier nicht, auch wenn es dem Datenschutzaspekt nach grundsätzlich erst einmal empfohlen werden könnte. Die Kosten richten sich nach der Anzahl der Page Impressions (Seitenaufrufe).

etracker

Aus dem gleichen Grund wie bei Webtrekk folgt keine genauere Untersuchung des Web Analytic Tools namens etracker, weil dieser kostenpflichtig. Mit Stand Anfang 2018 kostet die Basisversion mindestens 19 Euro pro Monat.

Das ist sehr viel Geld für eine Information, wie oft eine Seite in einem bestimmten Zeitraum (Tag, Monate) aufgerufen wurde. Sicher gibt es weitere interessante Kennzahlen. Diese kann man ganz überwiegend aber auch mit Piwik auswerten. Mir persönlich gefiel das etracker Dashboard nicht gut, als ich das letzte Mal einen Blick über die Testversion reinwarf. Nach Ende des Testzeitraums erhielt ich dauernd Werbemails von etracker.

Weitere Empfehlungen

Egal, welches Tool für die Web Analyse zum Einsatz kommt. Grundsätzlich sollten folgende Aspekte beachten werden:

• IP-Adressen immer anonymisieren
• Ohne Not keine personenbezogenen Daten erheben, wie etwa Email-Adressen (oder IP-Adressen)
• Gibt es die Möglichkeit, ein erweitertes Tracking einzuschalten, sollte man sich gut überlegen, ob dies mit der DS-GVO vereinbar ist. Zumindest verursacht es mehr Arbeit und Sorgfalt (siehe nächsten Punkt)
• Das Verzeichnis der Verarbeitungstätigkeiten muss eine Beschreibung enthalten, welches Analysewerkzeug wie eingesetzt wird
• Darauf achten, dass der Anbieter des Tools seinen Sitz in Deutschland oder zumindest in der Europäischen Union hat
• Klären, ob eine Auftragsdatenverarbeitung notwendig ist. Dies ist immer dann zu prüfen, wenn man eine Cloud-Lösung bzw. Mietlösung verwendet
• Eine lokale Lösung ist immer einer Cloud-Lösung vorzuziehen
• Meistens bedarf es keiner kommerziellen Lösung, freie Werkzeuge leisten schon sehr viel
• Wer keine Auswertungen betreibt, muss auch kein Analysewerkzeug einsetzen. Webmaster installieren gerne aus Gewohnheit Google Analytics, ohne dass irgend jemand eine Auswertung erstellt
• Die Datenschutzerklärung muss über das Analysewerkzeug aufklären
• Bei nicht vollständig lokal laufenden Lösungen wie WP Statistics oder AWStats muss dem Nutzer eine Möglichkeit zur Deaktivierung und Löschung seiner Daten gegeben werden. Dieses Opt-Out muss auf dem PC genauso funktionieren wie auf dem Smartphone oder Tablet