Bereits im November letzten Jahres hatte ich mir unter Zugrundelegung eines Berliner Urteils in dem Beitrag „Ist die Nutzung von Google Analytics rechtswidrig ?“ Gedanken über die Rechtmässigkeit von Google Analytics gemacht.
Zwischenzeitlich wird mein damaliges Ergebnis auch von einer Pressemeldung des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein gestützt. Eine Prüfung der Dienste von Google hat ergeben, dass die Nutzung des Statistiktools unter bestimmten Voraussetzungen sowohl für den Webseitenbetreiber als auch Google gegen deutsches Datenschutzrecht verstößt.
Pressemeldung des Landeszentrums für Datenschutz
Zur zulässigkeit von Google Analytics wird vom Landeszentrum ausgeführt:
Eine Zusammenführung mit Nutzungsdaten mit denen anderer Google-Dienste ist möglich und wird generell von Google bestätigt. Dadurch hat das Unternehmen die Möglichkeit, über Surfer im Internet detaillierte Nutzungs- und Interessenprofile zu erstellen und diese vor allem für Werbezwecke zu verwenden. All dies erfolgt regelmäßig ohne das Wissen der Betroffenen. Nur in wenigen Fällen wird von den Webseitenbetreibern überhaupt darauf hingewiesen, dass dieses Werkzeug im Einsatz ist und eine Übermittlung der Daten zu Google in den USA oder anderswo erfolgt. Damit wird von den Webseitenbetreibern regelmäßig gegen Datenschutzrecht verstoßen. Den Nutzenden ist nicht bewusst, geschweige denn, dass sie hierin eingewilligt hätten, dass ihre personenbeziehbaren Daten zur Erstellung von Nutzungsprofilen an den internationalen Konzern übermittelt werden. Selbst den deutschen Datenschutzbehörden ist nicht bekannt, was Google dann mit diesen Daten anstellt.
Quelle: Pressemitteilung des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein vom 08.07.2008
Zur Klärung hat das Landeszentrum eine offizielles Schreiben an Google mit einigen datenschutzrechtlichen Fragen gerichtet, in dem das Unternehmen zur Auskunft hinsichtlich des Umgangs mit Daten aufgefordert wird. Diesbezüglich wird interessant sein, zu beobachten, ob bzw. wie Google darauf reagiert. Auch das Muster eines Anschreibens an betroffene Webseitenbetreiber, die Google Analytics einsetzen, findet sich auf der Seite des Landeszentrums für Datenschutz.
Reaktionen der Webseitenbetreiber
Offensichtlich gab es nach der oben stehenden Meldung des Landeszentrums für Datenschutz besorgte Anfragen zahlreicher Webseitenbetreiber, ob man Google Analytics nun unmittelbar abschalten müsste. Das Landeszentrum für Datenschutz hat darauf mit einer Pressemitteilung reagiert, in der folgendes ausgeführt wird:
Wir haben bisher nur eine Prüfung von Google Analytics vorgenommen und auch nur, soweit uns dies aktuell technisch möglich war. Es gibt eine Vielzahl von ähnlichen Werkzeugen im Netz, über die wir ebenfalls Erkenntnisse sammeln, über deren Rechtmäßigkeit wir aber derzeit keine Aussagen treffen können. Unser Fokus auf Google Analytics basiert auf der großen Verbreitung dieses Werkzeugs. Wir empfehlen Anbietern, sich um ein Datenschutz-Gütesiegel zu bemühen, was eine erfolgreiche rechtliche wie technische Datenschutzprüfung voraussetzt.
Quelle: Pressemitteilung des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein vom 09.07.2008
Nachdem ja offensichtlich noch bis 1.August eine Anfrage bei Google läuft, gibt es keinen Grund in Panik zu verfallen. Das in manchen Foren gleich heraufbeschworene Risiko einer Abmahnwelle halte ich aus den bereits aufgeführten Gründen für eher gering. Dennoch sollten alle Webseitenbetreiber die Google Analytics aber auch andere Statistiktools einsetzen, die eigene Nutzung entsprechender Werkzeuge einmal hinterfragen und vor allem die weitere Entwicklung genau beobachten.
Praxistipps
Vorerst dürfte man mit den bereits in meinem letzten Artikel beschriebenen Praxistipps einigermassen abgesichert sein:
• Prüfen, ob bzw inwieweit eine IP-Speicherung tatsächlich notwendig erscheint
• Wenn IP-Adressen gespeichert werden, Genehmigung des Nutzers – soweit ablauftechnisch möglich – über entsprechend geeignete Nutzungsbedingungen einholen
• IP-Adressen löschen, wenn diese nicht mehr benötigt werden
• Rechtsprechung weiter verfolgen
Und wer ganz sicher gehen will, muss eben leider Statistiktools einsetzen, die ohne die Speicherung von IP´s auskommen bzw die jeweilige Funktionalität ausschalten… jedenfalls so lange bis eine gefestigte Rechtsprechung existiert, die auch andere Gründe – wie die zitierten IT-Gefahren – als hinereichende Rechtfertigungsgründe ansieht.
Fazit
Statistiktools wie Google Analytics sind ein unerlässliches Hilfsmittel und werden von fast jedem Betreiber einer Webseite eingesetzt, um die Besucherströme einer Webseite auszuwerten. Auch wenn ich nicht unbedingt ein grosser Freund allzu rigider Datenschutzregeln bin, wird es wichtig sein einen vernünftigen Ausgleich zwischen dem Auswertungsbedürfnis der Webseitenbetreiber und den zumindest zum Teil nachvollziehbaren Datenschutzinteressen der Webseitenbesucher zu finden.
Via twitter
FOLGEN SIE MIR AUF TWITTER 
Hallo Herr Dr. Ulbricht. Ürigens gäbe es eine einfache Methode, Google Analytics in Europa zu legalisieren. Google müsste lediglich verbindlich für einen Betreiber von Websites erklären, wofür genau die Daten genutzt werden. Dann kann der jeweilige Betreiber dies genau in eine Opt-In Erklärung aufnehment. Zusammen mit der Erklärung, dass diese Daten dann in den USA zu den genau zuvor definierten Zwecken gespeichert werden, BEVOR eine Nutzung der Seite erfolgt, wäre das ja sauber.
Interessant ist ja lediglich, dass Google jegliche Auskunft dazu verweigert, was mit den gespeicherten Daten passiert. Inklusive der Weigerung, ein europäisches Plug-In zu erstellen, welches im Falle der Nicht-Zustimmung eine Hash/Salt Funktion einsetzt, um die IP-Adresse zu verschleiern. Eigentlich kein grosses Ding, oder?