Entscheidung der Datenschutzbehörden: Nutzung von Google Analytics ohne ...

1. Inhalt des Beschlusses

a. Zulässigkeit von Webanalyse Werkzeugen unter Einsatz von IP-Adressen

Nach Auffassung des Düsseldorfer Kreises sind IP-Adressen personenbezogene Daten (oben stehend blau eingefärbt). Entscheidend ist aus Sicht der Datenschützer insoweit, dass über IP-Adressen eine natürliche Person – gegebenenfalls unter Zuhilfenahme Dritter - zumindest bestimmbar ist. Diese Interpretation ist unter Juristen durchaus umstritten und wurde auch von Gerichten schon unterschiedlich beurteilt, wobei die Tendenz langsam aber sicher in ebendiese Richtung zu gehen scheint.

Legt man also diese Interpretation zugrunde, ergeben sich die restlichen Annahmen des oben stehenden Beschlusses ohne weiteres aus dem Gesetz. Die Speicherung oder Weitergabe von IP-Adressen ist danach nur zulässig, wenn § 15 TMG dies ausdrücklich erlaubt (z.B. zu Abrechnungszwecken) oder der betroffene Nutzer vor der Datenverarbeitung zugestimmt hat (§ 12 Abs.1 TMG). Folglich ist die Nutzung von Analyse-Werkzeugen, die IP-Adressen speichern (so wie z.B. Google Analytics) ohne ausdrückliche Zustimmung des betroffenen Nutzers (im Sinne eines aktiven Opt-In) und unter Beachtung der detaillierten Voraussetzungen des § 13 TMG aufgrund eines Verstosses gegen deutsches Datenschutzrecht unzulässig.

b. Zulässigkeit von pseudonomysierten Nutzerprofilen

Völlig unabhängig von diesen Fragen beschäftigt sich der Beschluss auch noch mit der Erstellung von Nutzungsprofilen (oben stehend grün eingefärbt). Soweit hierbei IP-Adressen gespeichert oder verarbeitet werden gilt oben Gesagtes.

Nur wenn bei der Erstellung von Nutzerprofilen IP-Adressen keine Rolle spielen gilt: Die Erstellung von Nutzerprofilen unter entsprechenden Pseudonymen ist zulässig, wenn dem betroffenen Nutzer die Möglichkeit gegeben wird, dieser Datenverarbeitung zu widersprechen (d.h. also ein Opt-Out).

Diese Ausführungen sind insbesondere für Social Communities oder Drittanbieter interessant, die über verschiedene Spielarten des Targeting auf Grundlage des Nutzungsverhaltens zielgruppengenaue Werbung ausliefern wollen.

c. Zusammenfassung

Zur Klarstellung: Die Feststellungen der Datenschutzbehörden richten sich nicht spezifisch gegen Google Ananlytics, dass aber natürlich auch davon betroffen ist, sondern gegen alle Analysewerkzeuge die IP-Adressen ohne Zustimmung des jeweiligen betroffenen Besuchers speichern und verarbeiten. Ebensowenig bedeutet dieser Beschluss ein grundsätzliches Verbot von Analysewerkzeugen, sondern eben nur von denen die eindeutige IP-Adressen verarbeiten.

Einzelne Datenschutzbehörden haben angekündigt, betroffene Webseiten zunächst anzuschreiben und auf die Rechtswidrigkeit des jeweiligen Analysetools hinzuweisen. Erst wenn das jeweilige Werkzeug nicht abgeschaltet wird, kämen auch Bussgelder oder im Extremfall sogar die Abschaltung der Seite in Frage.

Auch wenn sich vielerorts Widerstand gegen diese Entscheidung regt (siehe Diskussion), ist die Qualifikation von IP-Adressen als personenbezogene Daten nicht ganz abwegig. Gerade im Rahmen der Vielzahl von Filesharing-Verfahren der Musikindustrie werden IP-Adressen als maßgebliches Kriterium zur Identifikation des Anschlussinhabers herangezogen. Diese Tendenz der Ermittlung über die IP-Adresse wird meiner Einschätzung nach eher zu- als abnehmen.

Insoweit erscheint es aus Sicht der Datenschützer zumindest nachvollziehbar den Wortlaut des Gesetzes in diese Richtung zu interpretieren, auch wenn die Folgen aufgrund der Tatsache, dass IP-Adressen in einer Vielzahl von Zusammenhängen gespeichert werden, tatsächlich sehr weitreichend sind. Da das Telemediengesetz die personenbeziehbare Protokollierung des Nutzungsverhaltens verbietet, ergeben sich die sonstigen Schlussfolgerungen unmittelbar aus dem Gesetz. Da die Umsetzung der aktuellen Datenschutzforderungen gerade Seiten- und Dienstebetreiber vor technische und finanzielle Herausforderungen stellt, sollte sich insofern vielleicht auch der Gesetzgeber aufgerufen fühlen, diese Fragen neu und eindeutig zu regeln.

2. Praxistipps

Da das Einholen einer Einwilligung vor der Speicherung der IP-Adresse wenig praktikabel erscheint, bieten sich folgende Alternativen an. Entweder der Seitenbetreiber setzt Analysetools ein, die eben keine IP-Adressen benötigen oder diese nur in pseudonomisierter Form speichern und weitergeben, was auf Grundlage des Beschlusses auch zulässig sein sollte.

Webseiten die die ausdrückliche Zustimmung zu einer Datenschutzerklärung einholen, können nach entsprechender Erläuterung dieser Art der Datenverarbeitung gegenüber den entsprechenden Nutzern auch IP-Adressen speichern. Ein einfacher Verweis auf den Einsatz von Google Analytics (im Sinne eines Datenschutzhinweises) genügt – auch auf Grundlage der aktuellen Entscheidung der Datenschutzbehörden - hingegen für Datenschutzkonformität nicht.

Die Datenschutzbehörden nennen in ihrem Beschluss im Zusammenhang mit der (Un-)Zulässigkeit der Speicherung von IP-Adressen insbesondere auch die Geo-Lokalisierung. Hier zeigt sich schon, dass auch Anbieter, die im Bereich des neuen Trends "location-based" Services Angebote planen, sich mit dem Thema Datenschutz werden auseinandersetzen müssen.

Auch die sonstigen Ausführungen des Beschlusses sollten beachtet werden. Wenn und soweit (auch unabhängig von der Verarbeitung von IP-Adressen) Nutzerprofile erstellt werden, sollte den betroffenen Nutzern auf jeden Fall ein Widerspruchsmöglichkeit eingeräumt und über diese aufgeklärt werden. Anbietern oder Nutzern von Targeting-Lösungen (d.h. Social Networks, Shops etc.) ist daher zu raten, in den jeweiligen Datenschutzbestimmungen entsprechende Hinweise aufzunehmen.