Ist die Nutzung von Google Analytics und Co rechtswidrig?

Die regelmäßige Analyse des Besucherverhaltens auf einer Webseite gehört zu einer der elementaren Tätigkeiten eines jeden Webseitenbetreibers vom Shopbetreiber bis hin zum Blogger, der etwas mit seiner Seite erreichen will. Viele bedienen sich dafür verschiedener Tools wie Google Analytics, Statcounter etc. die eine Vielzahl an Möglichkeiten bieten, nicht nur Details über das Surfverhalten der User zu erfahren, sondern auch über den Nutzer selbst. Wie selbstverständlich wird von den meisten dieser Analysewerkzeuge auch die IP-Adresse der Nutzer protokolliert und damit gespeichert.

Vor kurzem hat nun aber das LG Berlin (Urteil vom 06.09.2007 – Aktenzeichen: 23 S 3/07) bestätigt, dass die Speicherung von IP-Adressen und sonstigen personenbezogenen Daten über das Ende des jeweiligen Nutzungsvorgangs hinaus als Verstoß gegen § 15 I Telemediengesetz (TMG) rechtswidrig ist. Dieses Urteil und das der Vorinstanz haben bei den Betroffenen nicht nur einige Unklarheit
hinterlassen, was unter Berücksichtigung des Datenschutzrechts denn nun noch zulässig sein soll, sondern auch bereits wieder entsprechende Abmahnwellen befürchten lassen.
Zumindest was letzteres betrifft, kann – wie noch ausgeführt werden wird – wohl Entwarnung gegeben werden.

Fraglich ist aber dennoch, ob diese Entscheidung des Landgerichtes Berlin, dass insoweit das ähnlich lautende Urteil des Amtsgerichtes Berlin (5 C 314/06) bestätigt hat, das Ende der Speicherung jeglicher IP-Adressen bedeutet. Nachdem die Speicherung von IP-Adressen regelmäßig nicht nur im Zusammenhang mit erstellten Logfiles, sondern auch bei den meisten Statcountern, sowie dem weitverbreiteten Analyseprogramm Google Analytics verwendet wird, soll nachfolgend untersucht werden, wie die Berliner Gerichte zu dieser Entscheidung kommen, welche Auswirkungen die Entscheidung für den weiteren Gebrauch solcher Tools hat und wie zukünftig mit dieser Problematik umgegangen werden sollte.

I. Sind IP-Adressen personenbezogene Daten im Sinne des §15 Telemediengesetzes ?

§ 15 Abs.1 Telemediengesetz (TMG) sieht vor, dass die Dienstanbieter personenbezogene Daten eines Nutzers nur erheben und verwenden dürfen, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen (Nutzungsdaten). Darüber hinaus ist die Speicherung von personenbezogenen Daten nur mit vorheriger Zustimmung des Nutzers als zulässig anzusehen.

Nach dem juristischen Verständnis sind personenbezogene Daten jegliche Informationen, die einer bestimmten oder bestimmbaren natürlichen Person (dies gilt also nicht für Firmen) zuzuordnen sind. Dies gilt also ohne weiteres für Name, Adresse, eMail-Adresse usw.. Anonyme Daten, das heißt solche, die nicht einer bestimmten natürlichen Personen zugeordnet werden können, unterfallen demnach grundsätzlich nicht den datenschutzrechtlichen Vorschriften. Der Umgang mit letzteren Daten ist also grundsätzlich nicht beschränkt.

Obwohl es in der juristischen Diskussion – nach wie vor – recht umstritten ist, ob auch IP-Adressen als personenbezogene Daten zu werten sind und insoweit datenschutzrechtlich relevant sind, hat sowohl das Amtsgericht als auch das Landgericht Berlin nun in den oben genannten Verfahren die IP-Adressen ohne weiteres als personenbezogene Daten interpretiert.

Entscheidend war insoweit, dass die Gerichte davon ausgegangen sind, dass über IP-Adressen eine natürliche Person – gegebenenfalls unter Zuhilfenahme Dritter – zumindest bestimmbar ist.

Im einzelnen hat das Amtsgericht Berlin hierzu ausgeführt:

Nach zutreffender Ansicht … ist es durch die Zusammenführung der personenbezogenen Daten mit Hilfe Dritter bereits jetzt ohne großen Aufwand in den meisten Fällen möglich, Internetnutzer aufgrund Ihrer IP-Adresse zu identifizieren.

An anderer Stelle heißt es:

Dynamische IP-Adressen stellen in Verbindung mit den weiteren von der Beklagten ursprünglich gespeicherten Daten personenbezogene Daten im Sinne des § 15 TMG dar, da es sich um Einzelangaben über bestimmbare natürliche Personen im Sinne des § 3 I Bundesdatenschutzgesetz handelt.

Das Amtsgericht Berlin begründet diese Annahmen damit, dass eine Verneinung des Personenbezugs von dynamischen Adressen dazu führen würde, dass insofern die datenschutzrechtlichen Vorschriften nicht eingreifen, woraus letztlich folgen würde, dass diese Daten ohne Restriktion an Dritte zum Beispiel den Access-Provider übermittelt werden könnten. Diese hätten dann ihrerseits die Möglichkeit, den Nutzer aufgrund der IP-Adressen zu identifizieren, was mit den Grundgedanken des Datenschutzrechtes nicht vereinbar sei. Nach Auffassung des Gerichtes kommt es darüber hinaus auch nicht darauf an, dass eine Bestimmbarkeit nur gegeben sein, wenn der Betroffene mit legalen Mitteln identifiziert werden könne, da das Datenschutzrecht gerade auch vor dem Missbrauch von Daten schützen soll, eine derartige Einschränkung des Begriffs der Bestimmbarkeit von Personen seitens des Gerichts als nicht gerechtfertigt erachtet worden.

Festzustellen ist demnach zunächst, dass IP-Adressen – zumindest nach Auffassung der oben benannten Gerichte – als personenbezogene Daten unter den Schutz den § 15 I Telemediengesetz fallen.

Eine Speicherung von IP-Adressen ist gemäß § 15 TMG dann grundsätzlich nur mit der ausdrücklichen Zustimmung des Betroffenen erlaubt. Fraglich ist allerdings, wer diese Zustimmung vor der Datenerhebung einholt….

II. AUSWEG: Rechtfertigung der Datenspeicherung

§ 15 TMG sieht allerdings in Einzelfällen eine Datenspeicherung auch von IP-Adressen als berechtigt an, wenn ein hinreichender sachlicher Grund (z.B. Abrechnungszwecke) vorliegt.

Das Amtsgericht Berlin führt hierzu aus:

Es bestand vorliegend auch keine Rechtfertigung für die Speicherung der Daten seitens der Beklagten. Nach § 15 I, IV TMG ist eine Speicherung zu Ermöglichung der Inanspruchnahme und zu Zwecken der Abrechnung zulässig. Gemäß Absatz 8 der Vorschrift auch dann, wenn Anhaltspunkte bestehen, das entgeltliche Leistungen nicht oder nicht vollständig vergütet werden sollen.

Keine dieser Voraussetzung ist vorliegend gegeben. Eine Rechtfertigung für die Speicherung ergibt sich auch nicht aus § 9 BDSG.

Nachdem die Beklagte alternativ versucht hatte, die IP-Speicherung damit zu rechtfertigen, DoS-Attacken oder forum spammig abzuwehren, hat das Gericht entschieden, dass der insoweit einschlägige § 9 BDSG aus systematischen Gründen vorliegend nicht eingreife.

III. Die Bedeutung des Berufungsurteils des LG Berlin

Nachdem das Amtsgericht Berlin also entschieden hatte, dass Anbieter von Telemedien im Internet die Kennung (IP-Adressen) der Nutzer ihrer Dienste nicht systematisch protokollieren dürfen, wurde von Seiten der Beklagten zwar Berufung gegen das amtsgerichtliche Urteil eingelegt, aber nur insoweit, als vom Landgericht Berlin klargestellt werden sollte, das zumindest die nicht personenbeziehbare Protokollierung des Nutzerverhaltens (also ohne IP-Adressen) zulässig bleibt.

Nachdem der Kläger offensichtlich diesbezüglich keine Probleme hatte, hat er die Abänderung des darüber hinausgehenden erstinstanzlichen Urteils entsprechend anerkannt. Demgemäß bleibt die nicht personenbeziehbare Protokollierung insoweit zulässig.

IV. Zusammenfassung

Unabhängig von diesem prozessrechtlichen Geplänkel bleibt festzustellen, dass – zumindest nach dem Urteil dieser beiden Gerichte – IP-Adressen als personenbezogene Daten zu werten sind, die grundsätzlich nicht ohne vorherige Erlaubnis der betroffenen Person gespeichert werden dürfen.

Weitere auf der Hand liegende Argumente, die als Rechtfertigung der IP-Speicherung eigentlich herangezogen werden müssten, hat das Berliner Gericht leider aus systematischen Gründen abgelehnt. Insbesondere die Abwehr von sogenannten IT-Gefahren wie Spam, Viren und DDoS sollte eigentlich hinreichend Grund dafür sein, die IP-Adressen zumindest für einen gewissen Zeitraum speichern zu dürfen. Auch die Tatsache, dass man unter bestimmten Umständen für rechtsverletzende Inhalte Dritter (wie Kommentare) auf dem eigenen Blog in die rechtliche Verantwortung genommen werden kann, sollte zumindest eine kurzfristige Speicherung der IP des „Rechtsverletzers“ rechtfertigen. Diesbezüglich wird man beobachten müssen, wie andere Gerichte diese Fragen beurteilen.

Zwischenzeitlich hat es weitere Urteile gegeben, die die Zulässigkeit der Speicherung von IP-Adressen zum Gegenstand hatten. Das Landgericht Darmstadt (Az. 10 O 562/03) hat mit Urteil vom 06.06.2007 geurteilt, dass die Speicherung der IP-Adressen auch für Access Provider nur für den Zeitraum von 7 Tagen zulässig sein soll. In einem ähnlichen Fall hat das AG Bonn (Az. 9 C 177/07) entschieden, dass für einen Access-Provider das kurzzeitige Speichern nach § 100 Abs. 1 TKG gerechtfertigt sei, da die Daten zum Erkennen, Eingrenzen oder Beseitigen von Störungen oder Fehlern an Telekommunikationsanlagen notwendig seien. Darüber hinaus hat das AG Bonn – im Gegensatz zur obigen Berliner Entscheidung – zum Ausdruck gebracht, dass auch die Abwehr von sogenannten IT-Gefahren wie Spam, Viren und DDoS dazu führen kann, dass die Speicherung von IP-Adressen als gerechtfertigt angesehen werden kann.

V. Bewertung der aktuellen Rechtsprechung

Auch wenn der Datenschutz – nicht zuletzt in Anbetracht der aktuellen Pläne des Bundestages zur Vorratsdatenspeicherung – in unmittelbarer Zukunft verstärkt in den Fokus geraten wird, sollte man sich von solchen Urteilen wie die der Berliner Gerichte zunächst einmal nicht in Panik versetzen lassen. Klar ist, dass Datenschutz ein wichtiges Thema ist und insofern auch in Zukunft mit der nötigen Sensibilität behandelt werden sollte. Ebenso klar ist aber, dass die Rechtsprechung zu diesem Thema noch sehr im Fluss ist und Details wie die „Rechtfertigungsgründe“ für eine IP-Speicherung wohl erst eine höchstrichterliche Entscheidung für entsprechende Klarheit sorgen wird.

Die teilweise prognostizierte Abmahnwelle für alle die entgegen der Berliner Entscheidung „unberechtigterweise“ IP-Daten ihrer Nutzer speichern scheint allerdings unwahrscheinlich und ist bisher auch ausgeblieben. Zunächst ist schon fraglich, ob eine IP-Speicherung überhaupt einen Wettbewerbsverstoß wie bei vergleichbaren Abmahnungen (wegen der Impressumspflicht oder wegen der PreisangabenVO) darstellt. Auch die nach wie vor unklare Rechtslage und die vergleichsweise niedrigen Streitwerte lassen eine Abmahnwelle eher unwahrscheinlich erscheinen.

Nichtsdestotrotz sollte man die genannten datenschutzrechtlichen Vorgaben angesichts der Sanktionsregelungen in § 16 TMG nicht gänzlich außer acht lassen. Im Falle der Erhebung, Verwendung oder Nicht-Löschung personenbezogener Daten kann, wenn insoweit gegen § 15 TMG verstoßen wird, nach § 16 Abs.3 TMG ein Bussgeld von bis zu 50.000 € verhängt werden.

VI. Hinweise für die Praxis

Bei Beachtung folgender Grundsätze sollte der Betreiber einer Webseite aber eigentlich auf der sicheren Seite sein:

• Prüfen, ob bzw inwieweit eine IP-Speicherung tatsächlich notwendig erscheint
• Wenn IP-Adressen gespeichert werden, Genehmigung des Nutzers – soweit ablauftechnisch möglich – über entsprechende Nutzungsbedingungen einholen
• IP-Adressen löschen, wenn diese nicht mehr benötigt werden
• Rechtsprechung weiter verfolgen

Und wer ganz sicher gehen will, muss eben leider Statistiktools einsetzen, die ohne die Speicherung von IP´s auskommen bzw die jeweilige Funktionalität ausschalten… jedenfalls so lange bis eine gefestigte Rechtsprechung existiert, die auch andere Gründe – wie die zitierten IT-Gefahren – als hinereichende Rechtfertigungsgründe ansieht.

Auch interessant zum Thema Datenschutz:

Datenschzurechtliche Beurteilung der Werbung auf den Profilseiten bei XING