Markus Baersch

Personenbezogene Daten wie Namen, Mailadressen, Anschriften etc. (AKA "PII" - Personally identifiable information) haben in Google Analytics nichts verloren. Das ist nicht erst seit der kommenden DSGVO so - aber viele Benutzer von Analytics kümmern sich gerade jetzt (leider) zum ersten Mal um das Thema. Davon inspiriert habe ich bei Analytrix einen neuen Datenschutz-Check umgesetzt, mit dem jeder nach Autorisierung des Zugriffs für das Tool anhand verschiedener Muster in seinen Daten nach Spuren von problematischen Hits suchen kann.

Der Check läuft vollständig im Browser ab und speichert keine Daten auf dem Server, so dass man sich bei der Suche nach Datenschutzproblemen keine neuen einfangen muss 😉 Wird er für einen wählbaren Zeitraum gestartet, wird per API in den Berichten zu Seiten, Events und internen Suchanfagen nach Treffern gesucht, die Spuren von personenbezogenen Daten haben. Das sind derzeit (weitere Checks und Bereiche wie Dimensionen o. Ä. werden ggf. noch folgen):

• E-Mail-Adressen (Erkennung anhand eines Musters; alle Daten)
• Bankdaten (wenn als Parameter verwendet, in URLs)
• Postanschriften (wenn als Parameter verwendet, in URLs)
• IBAN (Erkennung anhand eines Musters; alle Daten)

Idealerweise sieht das Ergebnis eines Checks also aus:

Damit hat man natürlich weder alle denkbaren Szenarien abgedeckt, noch durch intime Kenntnis des Systems die richtigen Parameter erwischt... und auch eine Suche in den echten Daten nach typischen Vornamen, Mustern von Telefonnummern etc. ist unabhängig von diesem Check eine gute Idee, denn diese sind nicht so leicht wie die oben genannten Kandidaten anhand von Suchmustern zu identifizieren, die allgemein gültig sind und bei Verwendung möglichst wenig falsche Treffer zurückliefern.

Es ist aber auf jeden Fall ein guter Anfang... und da ich bisher bereits eine ganze Menge an Datenansichten analysieren konnte, kann ich auch behaupten, dass es vermutlich einen größeren Anteil an Analytics-Konten mit solchen Problemen gibt, als man denken mag. Insofern: Ran und die eigenen Daten checken. Wenn etwas gefunden wird, tiefer in die echten Daten sehen und bei positivem (also in diesem Fall eigentlich negativem) Ergebnis entsprechend handeln, denn die Daten sind dann nicht datenschutzkonform erhoben worden und müssen folgerichtig gelöscht werden. Ein paar Hinweise zum Vorgehen bei gefundenen Problemen finden sich direkt auf der Seite unter dem Check.

Viel "Spaß" damit! Und wie immer: Wer Vorschläge oder Feedback hierzu hat, sendet mir bitte einfach eine Mail. Die Kommentarfunktion ist (aus Gründen) dauerhaft geschlossen.