Dokument-Textsuche
  • Gesamterläuterungen:
    • -
  • Einzelerläuterung:
    • -
.

Rundschreiben Nr. 4/2012 des Landeskirchenamtes an die Ev. Kirchenkreise und Verbände kirchlicher Körperschaften betreffend kirchlicher Datenschutz: Hinweise zum Einsatz von Webanalyseprogrammen auf kirchlichen Websites
1#

Vom 14. Februar 2012 (Az.: 610.214/05)
[aktualisiert am 4. August 2015]2#

#
Kirchliche Stellen betreiben regelmäßig Websites (Homepages), um Informationen zur kirchlichen und diakonischen Arbeit anzubieten. In diesem Zusammenhang wollen die Verantwortlichen gerne wissen, wie sich die Nutzerinnen und Nutzer beim Besuch der Websites verhalten, welche Seiten besonders häufig aufgerufen werden, welchen Weg eine Nutzerin oder ein Nutzer durch ein Angebot wählt und wo die Website wieder verlassen wird.
Um die von den Nutzerinnen und Nutzern hinterlassenen digitalen Spuren auswerten zu können, setzen Telemedienanbieter zur Verbesserung der Kundenfreundlichkeit sowie zur Optimierung der Informationsangebote Werkzeuge zur Nutzungsanalyse ein. Bei derartigen Webanalysen werden personenbezogene Nutzungsdaten verarbeitet. In vielen Fällen wird die IP-Adresse, welche vom Internet Service Provider (Telelommikationsdienstleister) in Form einer Zahlenkombination zugewiesen wird (vergleichbar einer Telefonnummer), verwendet, um die „Bewegungen“ einer Nutzerin oder eines Nutzers innerhalb des Webangebots zu verfolgen, oder es wird ein Cookie3# gesetzt um die Nutzerin oder den Nutzer beim nächsten Besuch wiederzuerkennen. Diese so von vielen Websites erhoben Daten haben insofern persönlichkeitsrechtliche Relevanz, da aus ihnen Nutzungs-, Interessens-, Kommunikations- und Bewegungsprofile erstellt werden können. Für große Anbieter wie Google, die die auf diese Weise erhobenen Daten in ihrer Unternehmens-Cloud4# (wahrscheinlich auch in den USA) speichern, ist ein Personenbezug über die IP-Adresse problemlos möglich.
Die eingesetzten Analysewerkzeuge (Softwaretools)5# müssen den gesetzlichen Vorschriften entsprechen. § 12 Telemediengesetz (TMG) bestimmt, dass personenbezogene Daten nur gespeichert oder verarbeitet werden dürfen, sofern das TMG es zulässt oder die Nutzerin oder der Nutzer diesem zugestimmt hat.
Von der staatlichen Datenschutzbeauftragten wurde in der Vergangenheit immer wieder der den Markt dominierende Dienst „Google Analytics“ des Unternehmens Google kritisiert und die Website-Betreiber aufgefordert auf den weiteren Einsatz von Google Analytics zu verzichten und bei Google auf die Löschung der dort gespeicherten personenbezogenen Daten hinzuwirken. Google hat auf die Kritik der staatlichen Datenschutzaufsichtsbehörden reagiert. Zum einen wurden an Google Analytics Änderungen an den internen Verarbeitungsprozessen vorgenommen. Zum anderen wurden die Einflussmöglichkeiten der Nutzerinnen und Nutzer als Besucher einer Website auf (Web)Browserebene6# erweitert.
Für die kirchlichen Stellen sind für einen beanstandungsfreien Betrieb von Google Analytics in diesem Zusammenhang die von dem Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit geforderten Maßnahmen umzusetzen (siehe http://www.datenschutz-hamburg.de/datenschutz-fuer-firmen-behoerden/internet.html ):
  1. Sie müssen den von Google vorbereiteten Vertrag zur Auftragsdatenverarbeitung schriftlich abschließen. Diesen Vertrag erhalten Sie unter „http://www.google.de/intl/de/analytics/tos.pdf“. Dabei ist zu beachten, dass Sie trotz des vorformulierten (und mit den Datenschutzaufsichtsbehörden abgestimmten) Vertragstextes formal Auftraggeber sind und Google in Bezug auf die Verarbeitung personenbezogener Daten lediglich entsprechend Ihrer Weisungen handelt. Die Verarbeitung personenbezogener Daten im Auftrag schließt bestimmte Kontrollpflichten auf Ihrer Seite ein, bei denen Google Sie durch Vorlage entsprechender Nachweise unterstützt.
  2. Sie müssen die Nutzer Ihrer Website in Ihrer Datenschutzerklärung über die Verarbeitung personenbezogener Daten im Rahmen von Google Analytics aufklären und auf die Widerspruchsmöglichkeiten gegen die Erfassung durch Google Analytics hinweisen. Hierbei sollte möglichst auf die entsprechende Seite „http://tools.google.com/dlpage/gaoptout?hl=de“ verlinkt werden.
  3. Sie müssen durch entsprechende Einstellungen im Google Analytics-Programmcode Google mit der Kürzung der IP-Adressen beauftragen. Dazu ist auf jeder Internetseite mit Analytics-Einbindung der Trackingcode um die Funktion „_anonymizeIp()“ zu ergänzen. Weitere Details können der technischen Anleitung von Google auf der Seite „http://code.google.com/intl/de/apis/analytics/docs/gaJS/gaJSApi_gat.html#_gat._anonymizeIp“ entnommen werden.
  4. Haben Sie schon bisher Google Analytics in Ihre Webseiten eingebunden, ist davon auszugehen, dass dabei Daten unrechtmäßig erhoben wurden. Diese Altdaten müssen gelöscht werden. Google bietet nach unserer Kenntnis hierfür nur den Weg an, das bestehende Google-Analytics-Profil zu schließen und anschließend ein neues zu eröffnen. Bitte beachten Sie, dass Sie dabei möglicherweise einen anderen Trackingcode bzw. eine andere Web-Property-ID (UA-XXXXX-YY) erhalten und Ihre Webseiten entsprechend anpassen müssen.
Kirchliche Betreiber von Websites sollten beim Einsatz von Webanalytics-Produkten der datenschutzrechtlichen Unbedenklichkeit einen hohen Stellenwert einräumen und bei den zur Auswahl stehenden Tools insbesondere darauf achten, dass IP-Adressen möglichst nicht verarbeitet und nur verkürzt gespeichert werden, Domainadressen nicht oder nur verkürzt gespeichert und ausgewiesen werden.
Als datenschutzkonforme Webanalyticsprodukte kommen in Frage:
  1. Visitor-Voice und Web Analytics von der Firma etracker GmbH Hamburg (http://www.etracker.com/de/etracker-produkte-echtzeit-web-controlling-visitor-voice.html - geprüft vom Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit) und
  2. Piwik (siehe Erläuterungen auf der Homepage des unabhängigen Landeszentrums für Datenschutz https://www.datenschutzzentrum.de/uploads/projekte/verbraucherdatenschutz/20110315-webanalyse-piwik.pdf). In diesem Zusammenhang bitten wir zu beachten, dass der Homepage-Baukasten der Evangelischen Kirche von Westfalen (http://www.homepagebaukasten-ekvw.de/ ) ausschließlich das kostenlos erhältliche Produkt Piwik verwendet.
Auskünfte zu datenschutzkonformen Webanalyticsprodukten erteilen die Gemeinsame Beauftragte für den Datenschutz der Evangelischen Kirche im Rheinland, der Evangelischen Kirche von Westfalen, der Lippischen Landeskirche und deren Diakonischen Werke7#, Frau von Böhlen, Rathausufer 23, 40213 Düsseldorf (Telefon: 0211/13636-27; E-Mail: info@bfd-kirchen-diakonie.de) sowie die staatlichen Datenschutzbeauftragten (insbesondere zu softwaretechnischen Fragestellungen).
Abschließend weisen wir darauf hin, dass das Rundschreiben den Stand Februar 2012 wiedergibt. Soweit sich durch die sogenannte „Cookie-Richtlinie“ (Änderung der Datenschutzrichtlinie für elektronische Kommunikation 2002/58/EG durch die Richtlinie 2009/136/EG) zukünftig weitere Anforderungen ergeben, werden wir Sie informieren.
#
1 ↑ Redaktioneller Hinweis: Am 24. Mai 2018 ist das neu gefasste EKD-Datenschutzgesetz vom 15. November 2017 (Nr. 850) in Kraft getreten. Es wird zurzeit geprüft, ob und inwieweit eine Aktualisierung der Regelungen des Rundschreibens an das neue kirchliche Datenschutzrecht erforderlich ist.
#
2 ↑ Der Link zum Webanalysedienst Piwik sowie der Hinweis zur Datenschutzaufsicht wurden aktualisiert.
#
3 ↑ Erläuterungen zu Fachbegriffen (unter Einbeziehung der Quelle Wikipedia)
Ein Cookie ist ein kurzer Eintrag in einer meist kleinen Datenbank oder in einem speziellen Dateiverzeichnis auf einem Computer und dient dem Austausch von Informationen zwischen Computerprogrammen oder der zeitlich beschränkten Archivierung von Informationen. Ein Cookie besteht aus mindestens zwei Bestandteilen, seinem Namen und dem Inhalt oder Wert des Cookie. Außerdem können Angaben über den zweckmäßigen Gebrauch vorhanden sein. Die Einträge in der Datenbank können vom Benutzer des Computers ohne besondere Hilfsmittel oft nicht eingesehen oder verändert werden.
#
4 ↑ Unter Cloud Computing versteht man abstrahierte IT-Infrastrukturen (z. B. Rechenkapazität, Datenspeicher, Netzwerkkapazitäten oder auch fertige Software), die dynamisch an den Bedarf angepasst und über ein Netzwerk (hier: Internet) zur Verfügung stehen.
#
5 ↑ Softwaretools, von IT-Sachkundigen auch Web Analytics genannt, sind oft kostenlose Dienste (Programme), die der Analyse von Zugriffen auf Webseiten dienen. Google Analytics ist das mit Abstand meistverwendete Web-Analysewerkzeug.
#
6 ↑ Webbrowser oder allgemein auch als Browser bezeichnet, sind spezielle Computerprogramme zur Darstellung von Webseiten im World Wide Web oder allgemein von Dokumenten und Daten. Das Durchstöbern des World Wide Webs beziehungsweise das aufeinanderfolgende Abrufen beliebiger Hyperlinks als Verbindung zwischen Webseiten mit Hilfe solch eines Programms wird auch als Internetsurfen bezeichnet. Webbrowser stellen die Benutzeroberfläche für Webanwendungen dar. Die bekanntesten Browser sind der Internet Explorer, Firefox und Google Chrome.
#
7 ↑ Mit Wirkung vom 1. April 2014 hat die Ev. Kirche von Westfalen die Datenschutzaufsicht auf “Der Beauftragte für den Datenschutz der EKD“ übertragen.
Seit dem 01.03.2015 ist für die Datenschutzregion Mitte-West die Außenstelle in Dortmund für alle Fragen der kirchlichen Datenschutzaufsicht zuständig:
Der Beauftragte für den Datenschutz der EKD, Außenstelle Dortmund
Friedhof 4, 44135 Dortmund,
Telefon 0231 533827-0; Fax 0231 533827-20; E-Mail: mitte-west@datenschutz.ekd.de