BvD News 2013/2 - BvD eV

Aus der PraxisAutorThomas KranigPräsident, Bayerisches Landesamt fürDatenschutzaufsichtPromenade 27 (Schloss), 91522AnsbachTel: 0981 . 53-1302Fax: 0981 . 53-5300E-Mail: thomas.kranig@lda.bayern.dehttp://www.lda.bayern.deNutzung ausgelegt ist.• Angepasste Datenschutzerklärung: Der Nutzermuss in seiner Datenschutzerklärung den Besucherseiner Webseite über die Erhebung und Verwendungpersonenbezogener Daten im Rahmenvon Adobe Analytics aufklären und auf die Widerspruchsmöglichkeitgegen die Erfassung durchAdobe Analytics hinweisen.• Serverseite Einstellungen: Serverseitig musseingestellt werden, dass die IP-Adresse des Besuchersder Webseite vor der jeweiligen Verarbeitunginsbesondere für die Geolokalisierung unddie Reichweitenmessung unabhängig voneinanderanonymisiert wird, d.h. die IP-Adresse vor der Geolokalisierungum das letzte Oktett gekürzt und dieverwendete IP-Adresse durch eine generische IP-Adresse ersetzt werden.• Laufzeit der Cookies: Die Laufzeit der Cookiesist auf das notwendige Mindestmaß zu begrenzen.Als Obergrenze wird eine Dauer von 24 Monatenangesehen.Diesem Schreiben war ein bis zum 30. Juli 2013zurückzuschickender Fragebogen beigefügt, indem u. a. darüber Auskunft gegeben werden sollte,ob das Produkt noch eingesetzt wird, ein Vertragzur Auftragsdatenverarbeitung abgeschlossenwurde, die Webseite eine Datenschutzerklärungenthält, eine Widerspruchsmöglichkeit gegen dasSetzen von Tracking-Cookies gegeben ist, die vollständigenIP-Adressen der Webseitenbesucher vorder Geolokalisierung um das letzte Oktett gekürztund vor der Auswertung der Webseitenaktivitätendurch eine generische IP-Adresse ersetzt werdenund welche Laufzeit der Tracking-Cookie hat.Innerhalb der gesetzten Frist haben 40 Unternehmengeantwortet, drei Unternehmen wurde aufentsprechenden Antrag eine Fristverlängerung eingeräumt,ein Unternehmen hat sich gar nicht geäußertund damit gemäß § 43 Abs. 1 Nr. 1 BDSGden Tatbestand einer Ordnungswidrigkeit erfüllt.In der Folgezeit hat sich auch das letzte Unternehmengemeldet und eine - noch nicht abgelaufene- Fristverlängerung eingeräumt bekommen.Die drei Unternehmen, denen vorher schon eineFristverlängerung eingeräumt worden war, habenihre Stellungnahme abgegeben, so dass heute dieAntworten von 43 Unternehmen vorliegen. Andersals bei der Prüfaktion bei Google Analytics zeigtesich bei dieser Prüfung, dass das kostenpflichtigeProgramm Adobe Analytics in der Regel von größerenFirmen eingesetzt wurde, die über fachlichgeschultes Personal verfügen, so dass sich dieRückfragen zur Implementierung der Vorgabenfür einen beanstandungsfeien Einsatz von AdobeAnalytics und damit der Arbeitsaufwand für die Datenschutzaufsichtsbehördesehr in Grenzen hielt.Auswertung der Rückmeldungen: Aus den43 vorliegenden Antworten der Unternehmenergibt sich, dass sechs das Produkt nicht mehreinsetzen. Überraschend und ein Stück erschreckendwar schließlich, dass von den verbliebenen37 Unternehmen lediglich fünf Unternehmen zumZeitpunkt der Prüfung im Juni 2013 über einenabgeschlossenen Vertrag zur Auftragsdatenverarbeitungmit der Firma Adobe verfügten und32 Unternehmen diesen erst im Zuge des Prüfverfahrensabgeschlossen haben. Auch diesesVerhalten (praktizierte Auftragsdatenverarbeitungohne erforderlichen Vertrag) erfüllt den Tatbestandeiner Ordnungswidrigkeit nach § 43 Abs. 1 Nr. 2bBDSG. Entsprechende Bußgeldverfahren wurdenvom BayLDA nicht eingeleitet, da Ziel dieser Prüfungprimär die datenschutzkonforme Nutzung vonAdobe Analytics war. Bei Vorliegen dieser Voraussetzungenist aber für die Zukunft vorgesehen, beientsprechenden Feststellungen durchaus ein Bußgeldverfahreneinzuleiten.Zwar stellt Adobe die Software zur Reichweitenmessungher, die datenschutzrechtliche Verantwortlichkeitliegt allerdings bei den Nutzern derSoftware. Die Webseitenbetreiber beauftragen Adobedamit, die Daten ihrer Webseitenbesucher zuerheben, für den Zweck der Reichweitenmessungzu verwenden und Auswertungen und Statistikender Webseitenaktivitäten zu erstellen. Adobe istsomit als weisungsgebundene Stelle Auftragsdatenverarbeiteri.S.d. § 11 BDSG und in diesemRahmen grundsätzlich weder Adressat von aufsichtsrechtlichenMaßnahmen noch von Bußgeldern.Das BayLDA geht aber davon aus, dass dieFirma Adobe ihren Vertragspartnern - jedenfalls inZukunft - im Zweifel von sich aus entsprechendeVerträge vorlegen wird, um ihre Auftraggeber voreinem Bußgeldverfahren zu bewahren.Die anderen Anforderungen bezüglich Datenschutzerklärung,Widerspruchsmöglichkeit und Anonymisierungder IP-Adressen wurden durchgehend38 | BvD-News 2/2013