Wie ein Beitrag des auf IT- und Medienrecht spezialisierten Mainzer Rechtsanwalts Florian Decker im neu aufgesetzten Security-Expertenrat der COMPUTERWOCHE zeigt, fürchten die Datenschützer, dass mit den Tools Nutzungsprofile ohne Zustimmung der Betroffenen erstellt werden können.

Statistik-Tools wie Google Analytics oder Piwik dienen Webseiten-Betreibern dazu, genaue Auskunft über die Besucher der Webseite und deren Aktivitäten zu erhalten. Sie informieren etwa über Browser und Betriebssystem des Anwenders sowie über Unterseiten, die für ihn von Interesse waren. Ebenfalls lässt sich feststellen, wie lange er diese Seiten angesehen hat und welche Seiten daraufhin aufgerufen wurden. Mit anderen Worten: Die Besucherströme können genau analysiert werden, um das eigene Internet-Angebot zu optimieren. Mit den dabei entstehenden Nutzungsprofilen lässt sich das Surfverhalten einzelner Personen ohne deren vorherige Einwilligung individuell speichern und auswerten, so die Datenschützer.

Anwender müssen deutlicher informiert werden

Zunächst hatten die nordrheinwestfälischen Datenschützer des "Düsseldorfer Kreises" daran Anstoß genommen, am 27. November 2009 fassten dann die Landesdatenschutzbeauftragten einen Entschluss, der unter Umständen das Aus für derartige Analysetools in Deutschland bedeuten könnte. Der informelle Kreis der obersten Datenschutz-Aufsichtsbehörden erarbeitete eine Reihe von Vorgaben mit dem Ziel, dass Anwender dem Erfassen von personenbezogenen Daten widersprechen können und im Rahmen einer Datenschutzerklärung deutlich auf die Nutzung der Daten hingewiesen werden müssen. Außerdem darf es nicht ermöglicht werden, anonyme Nutzungsdaten mit den Daten über die Nutzer zusammenzuführen.

Kritisiert wird vor allem, dass der einzelne Seitenbesucher allein anhand seiner IP-Adresse identifiziert werden kann. Auch wenn er immer noch für den Webseitenbetreiber anonym bleibt, wird allein die Möglichkeit der Identifizierung durch den jeweiligen Provider von den Datenschützern bemängelt - und daher die IP-Adresse vom "Düsseldorfer Kreis" zu den so genannten personenbezogenen Daten gezählt.

Für die Speicherung sei jedoch die ausdrückliche Einwilligung des jeweiligen Nutzers nötig, die generell nicht konkludent durch Webseitenbesucher erteilt werde. Daher ist nach Ansicht der Landesbehörden auch eine Speicherung nicht zulässig und rechtswidrig - und der Webseitenbetreiber zur Kürzung der jeweilig gespeicherten IP-Adresse oder zu Verwendung von Pseudonymen verpflichtet, so dass eine konkrete Identifizierung ausgeschlossen ist. Allerdings ist noch nicht höchstrichterlich und abschließend geklärt, ob IP-Adressen tatsächlich als personenbezogene Daten angesehen werden können.

Das Ende für Google Analytics und andere Webanalyse-Tools?

Angesichts der vielen Millionen betroffenen Webseiten liegt nicht zuletzt wegen der hohen wirtschaftlichen Bedeutung der Webseitenanalyse das Bedürfnis einer baldigen Lösung nahe. Dabei solle der Fokus auf einvernehmliche Lösungswege gelegt werden, so die Datenschützer. Allerdings sollen rechtliche Schritte langfristig nicht ausgeschlossen sein.

Ob dies möglicherweise das Ende für Google Analytics & Co. in der bisherigen Form bedeutet, deren Dienste gerade nur mit den IP-Adressen und ohne Einwilligung der Nutzer funktionieren, ist nicht klar. Diese Frage kann abschließend nur durch die Rechtsprechung geklärt werden. Allerdings haben die Datenschützer zu diesem Thema nun deutlich Stellung bezogen - der Einfluss auf die Rechtsprechung bleibt abzuwarten.

Wenn Sie mit Rechtsanwalt Florian Decker diskutieren möchten, besuchen Sie unseren Security-Expertenrat.