Agenturen: wer ist für die Statistik der Kundenwebsites verantwortlich?

Eine Agentur, die auf den Websites ihrer Kunden eine Webanalyse einrichtet, steht mitten in einer Kette von Verantwortlichkeiten. Die DSGVO hat dafür genaue Begriffe, und eine falsch verteilte Rolle zeigt sich an dem Tag, an dem ein Besucher eine Anfrage stellt, eine Behörde prüft oder der Vertrag endet. Dieser Artikel ist eine allgemeine Information, keine Rechtsberatung.

Wer was tut

Beteiligter	Übliche Rolle	Warum
Der Kunde, Betreiber der Website	Verantwortlicher	Entscheidet, seine Website zu messen, und zu welchem Zweck
Die Agentur	Auftragsverarbeiter	Richtet das Tool für den Kunden ein und betreibt es nach dessen Weisung
Das Analyse-Tool	Auftragsverarbeiter oder Unterauftragsverarbeiter	Verarbeitet die Daten für den, der das Konto eröffnet

Die Agentur wechselt die Rolle, wenn sie die Daten selbst nutzt, etwa um alle Kundenwebsites zu vergleichen. Für diese Nutzung wird sie dann selbst Verantwortliche, und in Frankreich fällt die Messung aus der Ausnahme der CNIL, die das Zusammenführen von Rohdaten mehrerer Betreiber verbietet.

Zwei Arten, die Konten einzurichten

Der Kunde eröffnet das Konto. Der Kunde registriert sich beim Anbieter, akzeptiert dessen Auftragsverarbeitungsvertrag und lädt die Agentur ins Team ein. Die Kette ist kurz: Kunde und Anbieter haben einen direkten Vertrag, und der Zugang der Agentur fällt unter ihren eigenen Vertrag mit dem Kunden. Endet die Zusammenarbeit, entfernt der Kunde die Agentur aus dem Team und behält seine Historie.

Die Agentur eröffnet das Konto. Die Agentur bündelt alle Kunden in einem Konto, was die Abrechnung vereinfacht. Der Anbieter wird dann Unterauftragsverarbeiter. Die Agentur braucht dafür die Genehmigung des Kunden (Artikel 28 Abs. 2 DSGVO), muss dieselben Pflichten weitergeben (Artikel 28 Abs. 4) und sollte ihn im Auftragsverarbeitungsvertrag mit dem Kunden nennen. Für das Vertragsende planen Sie Export oder Löschung der Daten der Website.

Die Prüfliste der Agentur

1. Ein Auftragsverarbeitungsvertrag mit jedem Kunden, der das Analyse-Tool und seine Unterauftragsverarbeiter nennt.
2. Für Websites in Frankreich ohne Einwilligung: das Tool nach den Kriterien der CNIL eingerichtet, Website für Website. In Statsdot ist das der CNIL-Ausnahmemodus. In Deutschland gilt § 25 TDDDG.
3. Der Text zur Reichweitenmessung und der Widerspruch in der Datenschutzerklärung jeder Website (Vorlage in Datenschutzerklärung: was zur Reichweitenmessung hineingehört).
4. Zugänge auf der richtigen Stufe: der Kunde als Leser, ein geteilter Link nur, wenn die Zahlen öffentlich sein dürfen, E-Mail-Berichte an die richtigen Adressen.
5. Eine gewählte und schriftlich festgehaltene Speicherdauer, höchstens 25 Monate.
6. Kein Vergleich zwischen Kunden auf Basis von Rohdaten.
7. Was zum Vertragsende passiert: Export der Historie, Übergabe oder Löschung.

In Statsdot

Der Inhaber eines Kontos lädt Mitglieder als Leser oder als Manager ein; ein Manager kann Einstellungen der Websites ändern und Websites zum Konto hinzufügen, nie die Abrechnung oder das Löschen. Der Growth-Tarif umfasst bis zu 30 Websites, und jeder Kunde kann seinen Bericht per E-Mail oder einen schreibgeschützten Link erhalten. Wie das funktioniert, steht in Webanalyse für Agenturen und in der Team-Anleitung.