Unser Gastautor will darauf aufmerksam machen, worauf ihr rechtlich bei Tools (wie dem Tag-Manager von Google) achten solltet. Dabei kann er natürlich keine rechtssichere Anleitung erstellen, sondern lediglich richtungsweisende Empfehlungen geben. Dennoch sind die folgenden Punkte von großer Relevanz, denn einige von diesen Empfehlungen sind ein klares Muss.

Bevor wir uns also dem Tag-Manager von Google widmen, eine kurze Erinnerung:

Die EU-Datenschutzgrundverordnung (kurz DSGVO) stellt eine EU-Verordnung dar, die in ganz Europa greift – im internationalen Bereich als GDPR (General Data Protection Regulation) bezeichnet. Durch diese Vorschrift erhofft sich die EU einen einheitlichen Umgang mit personenbezogenen Daten. Interessant dabei ist, dass diese Vorschrift auch bei Unternehmen mit Sitz in nicht EU-Ländern gilt, sobald personenbezogene Daten aus Europa verarbeitet oder erfasst werden. Grundsätzlich sollen den Bürgern mehr Rechte und Sicherheit bezüglich ihrer Daten garantiert werden.

Der Tag-Manager wird für die Erfassung von Daten auf einer Website eingesetzt, die an das jeweilige Analyse-Tool weitergesendet werden. Dabei werden die Daten nur weitergeleitet, jedoch nicht erhoben oder gespeichert. Praktisch gesehen erkennt der Tag-Manager, wann ein Analyseprogramm Daten erheben will (zum Beispiel bei einer Newsletter-Anmeldung) und leitet diese an das jeweilige Programm weiter. Der Vorteil besteht darin, dass der Tag-Manager als zentrales Mittel für die Datenerfassung dient und diese über ihn konfiguriert und verwaltet werden kann.

Google beschreibt den Tag-Manager als cookie-lose Domain, die lediglich das Auslösen anderer Tags bewirkt und nicht auf die erfassten Daten selbst zugreift. Dadurch kommt es zu keinem Aufnehmen von personenbezogenen Daten durch den Tag-Manager. Aufgrund der hohen Datenmengen, die über das Tool laufen, müssen dennoch einige Punkte beachtet werden:

Ein Auftragsdatenverarbeitungsvertrag (AV) stellt die rechtliche Basis für die Erfassung und Übertragung von Daten dar. Dafür müsst ihr nicht per Post einen Ausdruck versenden, sondern könnt bequem online bestätigen. Die Funktion findet ihr innerhalb der Verwaltung des Tag-Managers: Unter den Kontoeinstellungen verbirgt sich der Zusatz zur Datenverarbeitung. Nach einer Bestätigung dieses Zusatzes wird das Datum der Akzeptierung gespeichert und anschließend dauerhaft angezeigt. Dabei ist es wichtig, zu beachten, dass jedes einzelne Tool einen AV benötigt (das über den Tag-Manager trackt).

Auch wenn der Tag-Manager nur eine cookie-lose Domain darstellt, die auf keine Daten zugreift, empfiehlt es sich, dieses Tool in der Datenschutzerklärung zu erwähnen – dabei kann der Zweck und Umgang mit den erfassten Daten beschrieben werden. Zudem sollte aufgezeigt werden, welche DSGVO-relevanten Bereiche der Tag-Manager nicht betritt.

Die IP-Adressen zählen in Deutschland zu den personenbezogenen Daten. Um die Rückverfolgung von Daten zu einzelnen Personen zu verhindern, gibt es die Möglichkeit, einen Teil der individuellen IP-Adresse zu maskieren. Dadurch ist die einzelne Person nicht mehr eindeutig identifizierbar und die erhobenen Daten sind sicher. Diese IP-Anonymisierung kann über den Tag-Manager umgesetzt werden, wodurch zum Beispiel Google Analytics nur eine teilmaskierte IP-Adresse erhält.

Insgesamt ist Googles Tag-Manager nur gering von der DSGVO betroffen, da personenbezogene Daten nicht erhoben oder gespeichert werden. Das Programm kann weiterhin sinnvoll und ohne neue Einschränkungen verwendet werden, im Gegensatz zu anderen Web-Analytics-Programmen.