Datenschutzrechtliche Bedenken gegen Internet-Tracking-Dienste
Datenschutzrechtliche Bedenken gegen Internet-Tracking-Dienste
Google Analytics ist ein von Google kostenlos angebotenes Tool, das Websitebetreibern die Analyse von Zugriffen auf ihre Website ermöglicht. Die Herkunft der Besucher, deren Verweildauer auf der Website oder vom Nutzer eingegebene Suchbegriffe können damit festgestellt und der Erfolg von AdWords-Kampagnen überprüft werden. Google Analytics erfreut sich großer Beliebtheit am Markt und ist mittlerweile das mit Abstand meistverwendete Web-Analysewerkzeug. Dessen Verwendung stößt jedoch auf erhebliche datenschutzrechtliche Bedenken. Dies wurde nicht zuletzt im Januar dieses Jahres deutlich, als die in Deutschland für Google zuständige Datenschutzbehörde in Hamburg die Verhandlungen mit dem US-Konzern abbrach. Google hatte Änderungen an dem Dienst – u.a. eine teilweise Anonymisierung – vorgeschlagen, die den Datenschützern jedoch nicht genügten.
Ein Streitpunkt ist, ob IP-Adressen der Nutzer, die durch die Verwendung von Google Analytics gespeichert und verwendet werden, personenbezogene Daten darstellen. Für sog. statische, also feststehende, einem Nutzer einmal zur dauernden Verwendung zugeteilten IP-Adressen, ist dies unstreitig. Denn mit Hilfe der IP-Adresse kann über den Anschluss auf Daten wie Name, Adresse etc. des Nutzers rückgeschlossen werden. Damit genießen diese Daten Datenschutz gem. Telemediengesetz (TMG) und Bundesdatenschutzgesetz (BDSG). Für deren Speicherung und Verwendung bedarf es der vorherigen Einwilligung des Betroffenen. Für die weit verbreiteten sog. dynamischen IP-Adressen ist umstritten, ob sie personenbezogene Daten darstellen. Hierzu gibt es noch keine gefestigte Rechtsprechung, die Datenschutzbeauftragten von Bund und Ländern sehen aber starke datenschutzrechtliche Hindernisse und halten die Verwendung von Google Analytics für unzulässig.
Dynamische IP-Adressen werden einem Nutzer nur für das jeweilige Einloggen und die damit initiierte Internet-Nutzung zugeteilt, der Nutzer erhält also für jedes Log-In eine neue IP-Adresse. Das erschwert einen Rückschluss, macht ihn aber nicht unmöglich. Datenschützer nehmen daher einen solchen Personenbezug an, dies insbesondere, wenn der Anwender mithilfe von weiteren, ihm zur Verfügung stehenden oder für ihn ohne große Schwierigkeiten beschaffbaren Daten einen solchen Personenbezug der IP-Adresse herstellen kann. Das gilt für alle Analyse-Tools, die auf die Speicherung von IP-Adressen abzielen und Cookies einsetzen. Gleichwohl bestehen wegen der Marktmacht und Verbreitung von Google bzgl. Google Analytics besondere, verschärfte Bedenken. Aufgrund der Vielzahl anderer von Google angebotener Dienste, z.B. Email-Accounts, verfügt Google über eine Fülle an Informationen, die mit den über Google Analytics gesammelten Daten verknüpft werden können, um so einen Personenbezug herzustellen und Internet-Nutzungsprofile einzelner Nutzer zu erstellen, die über die Analyse des Besuchs der einzelnen Website weit hinausreichen.
Die Rechtsgrundlage für diese Datensammlung ist mehr als unsicher. Nur unter engen Voraussetzung ist die Speicherung und Verwendung personenbezogener Daten ohne vorherige Einwilligung des Betroffenen erlaubt. So bei "Bestandsdaten“ gem. § 14 TMG. § 15 Abs. 3 TMG erlaubt zwar die Erstellung von Nutzungsprofilen für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Website, allerdings nur, wenn der Dienst die Daten pseudonymisiert, so dass kein Rückschluss auf die Person des Nutzers mehr möglich ist. Gerade dass erfolgt bei Google Analytics standardmäßig nicht. Google bietet aber seit kurzem den Verwendern die Möglichkeit an, mittels eines Zusatzcodes vor jeder weiteren Verarbeitung der angefragten IP-Adresse die letzten 8 Bits zu löschen und damit die Identifizierung des Besuchers hierüber zu verhindern. Das Problem der Herstellung eines Personenbezugs über Cookies und die Verknüpfung zusätzlicher Daten aus anderen Diensten und Quellen löst das, wie Datenschützer einwenden, allerdings nicht.
Es bleibt zudem die Hürde, dass der Nutzer jederzeit die Möglichkeit haben muss, der Speicherung und Verwendung seiner Daten zu widersprechen und die Löschung seiner Daten zu verlangen. Voraussetzung hierfür ist, dass der Nutzer entsprechend darüber unterrichtet wird – auch bei erfolgter Pseudonymisierung. Dabei müsste über Art, Umfang, Quantität, Zeitraum und Zweck der Datenspeicherung und -verwendung informiert werden. Problematisch ist ferner, dass die gesammelten Daten an Google, d.h. an deren Server übermittelt werden. Eine dem TMG entsprechende Unterrichtung des Nutzers zur beabsichtigten Datenerhebung und -verwendung müsste darauf hinweisen, wenn die gespeicherten Daten ins nicht-europäische Ausland verbracht würden. Denn das ist bei Google der Fall, dessen Server in den USA und auf der ganzen Welt verteilt sind. Aufgrund divergierender Datenschutzniveaus ist eine solche Übersendung ins Ausland gem. BDSG wiederum ohne Einwilligung des Betroffenen nicht erlaubt. Diese einzuholen ist aber wiederum weder praktikabel, noch für den bloßen Website-Besuch angemessen.
Denn eine solche Information und Einwilligung müsste ausdrücklich und schriftlich erfolgen - und dies zum Beginn des Nutzungsvorganges, also etwa direkt auf der Startseite. Der Einsatz von Google Analytics und vergleichbaren Analyse-Tools sollte daher wohl überlegt sein.
Dr. Daniel Michel LL.M . , Rechtsanwalt, München