Entscheidung der Datenschutzbehörden: Nutzung von Google Analytics ohne Zustimmung der Besucher unzulässig

Das Thema „Datenschutzrechtliche Zulässigkeit von Google Analytics“, welches von informierten Kreisen schon Mitte 2007 entsprechend diskutiert worden ist, kocht aufgrund eines aktuellen Artikels in der Zeit Online gerade wieder hoch.

Und tatsächlich haben sich die Datenschutzbehörden das Thema „Analyse-Werkzeuge“, welche zur Messung des Nutzungsverhaltens von Webseitenbesuchern dienen, aktuell stark auf die Fahnen geschrieben.

Die datenschutzrechtliche Beurteilung hängt maßgeblich von der Frage ab, ob IP-Adressen, die von entsprechenden Tools gespeichert bzw. teilweise auch an den jeweiligen Anbieter weitergeleitet werden, personenbezogene Daten im Sinne des Telemediengesetzes (TMG) sind oder nicht (siehe hierzu meinen Beitrag Ist die Nutzung von Google Analytics und Co rechtswidrig? ).

Nun hat der sogenannte „Düsseldorfer Kreis“, als informelle Vereinigung der obersten Aufsichtsbehörden, die in Deutschland die Einhaltung des Datenschutzes im nicht-öffentlichen Bereich überwachen, sich zu dieser Frage eindeutig positioniert und eine Entscheidung getroffen, die aufgrund der weiten Verbreitung von Google Analytics und anderen betroffenen Analysewerkzeugen eine grosse Zahl von Webseitenbetreibern tangieren dürfte.

Unter dem sperrigen Titel “Datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internet-Angeboten“ hat dieser Düsseldorfer Kreis im Rahmen seiner Sitzung am 26. Und 27.November in Stralsund Folgendes beschlossen:

Im Einzelnen sind folgende Vorgaben aus dem TMG zu beachten:

• Den Betroffenen ist eine Möglichkeit zum Widerspruch gegen die Erstellung von Nutzungsprofilen einzuräumen. Derartige Widersprüche sind wirksam umzusetzen.
• Die pseudonymisierten Nutzungsdaten dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden. Sie müssen gelöscht werden, wenn ihre Speicherung für die Erstellung der Nutzungsanalyse nicht mehr erforderlich ist oder der Nutzer dies verlangt.
• Auf die Erstellung von pseudonymen Nutzungsprofilen und die Möglichkeit zum Widerspruch müssen die Anbieter in deutlicher Form im Rahmen der Datenschutzerklärung auf ihrer Internetseite hinweisen.
• Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von TOP 27 Sitzung des Düsseldorfer Kreises am 26./27. November 2009 in Stralsund Telemedien zu ermöglichen und abzurechnen. Jede darüber hinausgehende Nutzung bedarf der Einwilligung der Betroffenen.
• Die Analyse des Nutzungsverhaltens unter Verwendung vollständiger IPAdressen (einschließlich einer Geolokalisierung) ist aufgrund der Personenbeziehbarkeit dieser Daten daher nur mit bewusster, eindeutiger Einwilligung zulässig. Liegt eine solche Einwilligung nicht vor, ist die IP-Adresse vor jeglicher Auswertung so zu kürzen, dass eine Personenbeziehbarkeit ausgeschlossen ist.

Werden pseudonyme Nutzungsprofile durch einen Auftragnehmer erstellt, sind darüber hinaus die Vorgaben des Bundesdatenschutzgesetzes zur Auftragsdatenverarbeitung durch die Anbieter einzuhalten.

Zitat: Beschluss der obersten Aufsichtsbehörde für den Datenschutz im nicht-öffentlichen Bereich am 26./27. September 2009 in Stralsund

Der Beschluss beschäftigt sich mit der Zulässigkeit von pseudonymen Nutzerprofilen (oben stehend grün eingefärbt) und unabhängig davon mit der Nutzung von Webanalysetools, die IP-Adressen verarbeiten (oben stehend blau eingefärbt). Nachfolgend soll kurz erläutert werden, was diese Interpretation des Düsseldorfer Kreises bedeutet und was von Social Communities und Webseitenbetreibern nun beachtet werden sollte.1. Inhalt des Beschlusses

a. Zulässigkeit von Webanalyse Werkzeugen unter Einsatz von IP-Adressen

Nach Auffassung des Düsseldorfer Kreises sind IP-Adressen personenbezogene Daten (oben stehend blau eingefärbt). Entscheidend ist aus Sicht der Datenschützer insoweit, dass über IP-Adressen eine natürliche Person – gegebenenfalls unter Zuhilfenahme Dritter – zumindest bestimmbar ist. Diese Interpretation ist unter Juristen durchaus umstritten und wurde auch von Gerichten schon unterschiedlich beurteilt, wobei die Tendenz langsam aber sicher in ebendiese Richtung zu gehen scheint.

Legt man also diese Interpretation zugrunde, ergeben sich die restlichen Annahmen des oben stehenden Beschlusses ohne weiteres aus dem Gesetz. Die Speicherung oder Weitergabe von IP-Adressen ist danach nur zulässig, wenn § 15 TMG dies ausdrücklich erlaubt (z.B. zu Abrechnungszwecken) oder der betroffene Nutzer vor der Datenverarbeitung zugestimmt hat (§ 12 Abs.1 TMG). Folglich ist die Nutzung von Analyse-Werkzeugen, die IP-Adressen speichern (so wie z.B. Google Analytics) ohne ausdrückliche Zustimmung des betroffenen Nutzers (im Sinne eines aktiven Opt-In) und unter Beachtung der detaillierten Voraussetzungen des § 13 TMG aufgrund eines Verstosses gegen deutsches Datenschutzrecht unzulässig.

b. Zulässigkeit von pseudonomysierten Nutzerprofilen

Völlig unabhängig von diesen Fragen beschäftigt sich der Beschluss auch noch mit der Erstellung von Nutzungsprofilen (oben stehend grün eingefärbt). Soweit hierbei IP-Adressen gespeichert oder verarbeitet werden gilt oben Gesagtes.

Nur wenn bei der Erstellung von Nutzerprofilen IP-Adressen keine Rolle spielen gilt: Die Erstellung von Nutzerprofilen unter entsprechenden Pseudonymen ist zulässig, wenn dem betroffenen Nutzer die Möglichkeit gegeben wird, dieser Datenverarbeitung zu widersprechen (d.h. also ein Opt-Out).

Diese Ausführungen sind insbesondere für Social Communities oder Drittanbieter interessant, die über verschiedene Spielarten des Targeting auf Grundlage des Nutzungsverhaltens zielgruppengenaue Werbung ausliefern wollen.

c. Zusammenfassung

Zur Klarstellung: Die Feststellungen der Datenschutzbehörden richten sich nicht spezifisch gegen Google Ananlytics, dass aber natürlich auch davon betroffen ist, sondern gegen alle Analysewerkzeuge die IP-Adressen ohne Zustimmung des jeweiligen betroffenen Besuchers speichern und verarbeiten. Ebensowenig bedeutet dieser Beschluss ein grundsätzliches Verbot von Analysewerkzeugen, sondern eben nur von denen die eindeutige IP-Adressen verarbeiten.

Einzelne Datenschutzbehörden haben angekündigt, betroffene Webseiten zunächst anzuschreiben und auf die Rechtswidrigkeit des jeweiligen Analysetools hinzuweisen. Erst wenn das jeweilige Werkzeug nicht abgeschaltet wird, kämen auch Bussgelder oder im Extremfall sogar die Abschaltung der Seite in Frage.

Auch wenn sich vielerorts Widerstand gegen diese Entscheidung regt (siehe Diskussion), ist die Qualifikation von IP-Adressen als personenbezogene Daten nicht ganz abwegig. Gerade im Rahmen der Vielzahl von Filesharing-Verfahren der Musikindustrie werden IP-Adressen als maßgebliches Kriterium zur Identifikation des Anschlussinhabers herangezogen. Diese Tendenz der Ermittlung über die IP-Adresse wird meiner Einschätzung nach eher zu- als abnehmen.

Insoweit erscheint es aus Sicht der Datenschützer zumindest nachvollziehbar den Wortlaut des Gesetzes in diese Richtung zu interpretieren, auch wenn die Folgen aufgrund der Tatsache, dass IP-Adressen in einer Vielzahl von Zusammenhängen gespeichert werden, tatsächlich sehr weitreichend sind. Da das Telemediengesetz die personenbeziehbare Protokollierung des Nutzungsverhaltens verbietet, ergeben sich die sonstigen Schlussfolgerungen unmittelbar aus dem Gesetz. Da die Umsetzung der aktuellen Datenschutzforderungen gerade Seiten- und Dienstebetreiber vor technische und finanzielle Herausforderungen stellt, sollte sich insofern vielleicht auch der Gesetzgeber aufgerufen fühlen, diese Fragen neu und eindeutig zu regeln.

2. Praxistipps

Da das Einholen einer Einwilligung vor der Speicherung der IP-Adresse wenig praktikabel erscheint, bieten sich folgende Alternativen an. Entweder der Seitenbetreiber setzt Analysetools ein, die eben keine IP-Adressen benötigen oder diese nur in pseudonomisierter Form speichern und weitergeben, was auf Grundlage des Beschlusses auch zulässig sein sollte.

Webseiten die die ausdrückliche Zustimmung zu einer Datenschutzerklärung einholen, können nach entsprechender Erläuterung dieser Art der Datenverarbeitung gegenüber den entsprechenden Nutzern auch IP-Adressen speichern. Ein einfacher Verweis auf den Einsatz von Google Analytics (im Sinne eines Datenschutzhinweises) genügt – auch auf Grundlage der aktuellen Entscheidung der Datenschutzbehörden – hingegen für Datenschutzkonformität nicht.

Die Datenschutzbehörden nennen in ihrem Beschluss im Zusammenhang mit der (Un-)Zulässigkeit der Speicherung von IP-Adressen insbesondere auch die Geo-Lokalisierung. Hier zeigt sich schon, dass auch Anbieter, die im Bereich des neuen Trends „location-based“ Services Angebote planen, sich mit dem Thema Datenschutz werden auseinandersetzen müssen.

Auch die sonstigen Ausführungen des Beschlusses sollten beachtet werden. Wenn und soweit (auch unabhängig von der Verarbeitung von IP-Adressen) Nutzerprofile erstellt werden, sollte den betroffenen Nutzern auf jeden Fall ein Widerspruchsmöglichkeit eingeräumt und über diese aufgeklärt werden. Anbietern oder Nutzern von Targeting-Lösungen (d.h. Social Networks, Shops etc.) ist daher zu raten, in den jeweiligen Datenschutzbestimmungen entsprechende Hinweise aufzunehmen.