Liebe Leser und Datenschutz-Interessierte,
bestimmt kennen Sie als Datenschutz-Interessierte den Web-Analysedienst „Matomo“ (vormals Piwik) oder einige von Ihnen haben auf der Webseite „Matomo“ vielleicht sogar selbst eingebunden. Der Dienst dient im Wesentlichen der Erstellung von Nutzer-/Besucherstatistiken, die wiederum für die Optimierung des eigenen Webauftritts genutzt werden können.
Auch wenn Matomo aus datenschutzrechtlicher Sicht wesentlich besser als vergleichbare Dienste wie bspw. Google Analytics ist, kann Matomo nicht einfach so ohne Anpassung installiert bzw. in die Webseite integriert werden. Welche wesentlichen Anpassungen Sie aus datenschutzrechtlicher Sicht vornehmen sollten, haben wir für Sie nachfolgend näher beleuchtet.
a) Worüber läuft Matomo? Selbsthosting von Matomo als Best-Practise!
Es gibt grundsätzlich zwei Möglichkeiten, den Dienst zu nutzen. Entweder Sie binden das Tool auf Ihrem eigenen (Web-)Server ein und hosten es damit quasi selbst oder Sie binden das Tool über die Server von Matomo ein (sog. Matomo-Cloud). Sie ahnen es vielleicht schon: Aus datenschutzrechtlicher Sicht ist das Selfhosting von Matomo wesentlich datenschutzfreundlicher, da in die Analyse der Webseitenbesucher kein „Dienstleister“ eingebunden wird, der personenbezogene Daten (wie etwa die IP-Adresse) der Besucher erhält.
Auch wenn die eigene Installation etwas mehr Aufwand erfordert, so erhalten Sie dadurch die Datenhoheit (zurück) und bestimmen alleine, was mit welchen gesammelten Daten geschieht. Sollten Sie allerdings (unbedingt) die Matomo-Cloud hierfür nutzen wollen, so denken Sie an den erforderlichen Abschluss eines Auftragsverarbeitungsvertrags für Matomo gemäß Art. 28 DSGVO, den Sie – am besten – von Ihrem fachkundigen Datenschutzbeauftragten prüfen lassen.
b) Anonymisierung der IP-Adresse des Nutzers durch das Plugin „Privacy-Manager“
Der Webanalysedienst Matomo speichert die IP-Adresse des Webseitennutzers. Die IP-Adresse ist (spätestens seit dem bekannten Urteil des Europäischen Gerichtshofs) ein personenbezogenes Datum. Sie müssen daher die IP-Adresse für die rechtskonforme Anwendung anonymisieren. Hierfür müssen Sie das sog. Privacy-Manager Plugin von Matomo aktivieren / konfigurieren.
Dies geschieht durch den Aufruf des Punkts „Einstellungen –> Privatsphäre –> Daten anonymisieren“. Auch muss bei den Datenschutzeinstellungen zusätzlich die Schaltfläche bei „Also use anonymised IP when enriching visit“ auf „Yes“ gestellt werden.
c) Deaktivierung des sog. „Referrer-Plugin“
Die Referrer-Daten enthalten Informationen über den Anlass des Seitenaufrufs, z.B. zu den verwendeten Suchmaschinen und Suchbegriffen, den Herkunfts-Webseiten, Kampagnen und direkten Seitenaufrufen. Es besteht – auch nach Auffassung der Aufsichtsbehörden – die Möglichkeit, dass über die durch den Browser des Nutzers übertragenen Referrer-Informationen Rückschlüsse auf den Nutzer gezogen werden können und außerdem eine Zusammenführung der pseudonymen Nutzungsprofile mit identifizierenden Angaben erfolgen kann.
Folglich sollten Sie – um datensparsam zu bleiben – prüfen, ob für die von Ihnen durchgeführte Web-Analyse die Nutzung des Referrers zwingend erforderlich ist und ggf. das entsprechende Referrer-Plugin deaktivieren. Das Gleiche gilt auch für sonstige, nicht benötigte Plugins.
d) Deaktivierung der Tracking-Cookies erleichtert Datenschutzkonformität
Eine Webanalyse durch Matomo kann auch durchgeführt werden, wenn keine Cookies auf dem Endgerät des Webseitenbesuchers gesetzt werden. Dies kann ebenfalls über die Einstellungen realisiert werden („alle Tracking Cookies deaktivieren“). Alternativ reduzieren Sie die Lebensdauer der Matomo-Cookies. Zur datenschutzkonformen Verwendung von Cookies zählt auch die angemessene Begrenzung ihrer Lebensdauer, auch diese können und sollten Sie beeinflussen.
Die voreingestellte Lebensdauer des Tracking-Cookies für die Webseitebesucher beträgt in der Regel 2 Jahre, sollte aber so kurz wie möglich sein. Laut einem Gutachten des ULD aus dem Jahre 2011 ist die Lebensdauer von einer Woche nicht zu überschreiten.
e) Einholung einer datenschutzrechtlichen Einwilligung durch einen Consent-Manager
Wie bereits in unserer Mandanteninformation vom 02.10.2019 ausführlich beschrieben, ist für das Setzen von technisch nicht erforderlichen Cookies auf den Endgeräten der Webseitenbesucher eine Einwilligung der jeweiligen Besucher zwingend erforderlich. Eine solche Einwilligung in informierter Form kann durch einen sog. Cookie-Consent-Manager, einschließlich einer entsprechenden Datenschutzinformation, realisiert werden.
f) Datenschutzkonforme Aufbewahrung und Löschung der Analysedaten / Reports
Die erhobenen Daten sind nach Erstellen der Statistik oder nach einem Widerruf der Einwilligung eines Nutzers zu löschen, soweit dem nicht besondere Gründe entgegenstehen. Die Aufbewahrungsfrist richtet sich hier – wie bei der überwiegenden Anzahl aller Datenverarbeitungen – nach dem Prinzip der Erforderlichkeit und der Speicherbegrenzung gemäß Art. 5 Abs. 1 DSGVO. Sobald die Daten nicht mehr für die Zwecke, die hinter der Webanalyse stehen, benötigt werden, müssen sie gelöscht werden.
Ihre externen Datenschutzbeauftragten von der GDPC
Dr. Kevin Marschall und Stephan Blazy
