Es gibt Online-Tools, die damit werben, möglichst viel über die Besucher von Websites herauszufinden: "Wollen Sie ihre Webseiten optimieren und für Werbung die beste Wirkung erzielen? Wollen Sie wissen, wo Ihre Besucher leben und was Sie auf Ihren Webseiten tun?" Viele Unternehmen, Behörden und Privatpersonen nutzen diese so genannten Tracking-Dienste wie etwa Google Analytics bereits seit Jahren. Doch die sind nach Auffassung deutscher Datenschützer meist nicht konform mit deutschem Datenschutzrecht.
In Verhandlungen mit Google versuchte der Hamburger Datenschutzbeauftragte Johannes Caspar seit September 2009 wesentliche Verbesserungen zu erreichen. Doch nun hat er die Gespräche abgebrochen, da er sich keinen Erfolg mehr verspricht. Google ziehe sich aus der Verantwortung, indem es darauf verweise, dass die rechtliche Verantwortung für den Einsatz von Google Analytics bei denen liege, die den Dienst nutzten.
Keine Lösung für verschiedene Browser
Über Caspars Schritt zeigte sich Google erstaunt. In seinem "Conversion Room Blog" heißt es: "Uns ist ein Abbruch der Gespräche von Seiten der Datenschutzbehörden nicht bekannt und wir arbeiten weiter aktiv daran, die Bedenken der Datenschutzbehörden auszuräumen." Google habe speziell für deutsche Nutzer eine Deaktivierungs-Möglichkeit für Browser in Form eines Plugins entwickelt. Außerdem habe man Website-Betreibern die Möglichkeit eingeräumt IP-Adressen der Website-Besucher automatisch zu kürzen. Die Statistiksoftware entspreche damit dem EU-Recht. Caspar jedoch kritisierte, dass es für Nutzer der Web-Browser Safari und Opera keine Plugins für einen Widerspruch gebe. Rund zehn Prozent der Internetnutzer in Deutsch-land wären damit von der Widerspruchsmöglichkeit ausgeschlossen.
Eine Sprecherin der Hamburger Datenschutzbehörde sagte evangelisch.de, dass die Gespräche nicht die wünschenswerten Ergebnisse gebracht hätten und dass man daher auf weitere Termine verzichtet habe. Der "Düsseldorfer Kreis", ein Zusammenschluss der deutschen Datenschutzbeauftragten für den nicht-öffentlichen Bereich, wolle sich demnächst darauf einigen, wie man weiter gemeinsam in der Angelegenheit vorgehen wolle. Möglich wäre etwa die Einleitung von Bußgeldverfahren gegen diejenigen, die noch immer Dienste wie Google Analytics einsetzen. Auch ein Musterprozess gegen ein größeres Unternehmen werde erwogen.
Verstoß gegen deutsches Recht
In seinem aktuellen Tätigkeitsbericht weist auch der schleswig-holsteinische Landesdatenschützer Thilo Weichert darauf hin, dass der Einsatz von Google Analytics gleich in mehreren Punkten gegen deutsches Recht verstoße. Seine Auffassung teilt auch der Düsseldorfer Kreis. Dabei stellte Weichert fest, dass Website-Besucher über die genaue Verarbeitung ihrer Daten im Unklaren bleiben. Selbst die Betreiber der Website, die den Dienst nutzen, erhielten von Google darüber keine genauen Informationen.
Weichert verweist auf das Telemediengesetz, wonach Nutzungsprofile nur von Pseudonymen erstellt werden dürfen. Da Google jedoch sich vorbehält, die Daten mit weiteren Daten zu verknüpfen und an Dritte weiterzugeben, sei dies bedenklich. Webseitenbesucher hätten zudem ein Widerspruchsrecht. Auch bemängelte Weichert, dass es keine Einwilligung der Betroffenen gäbe, dass ihre Nutzungsdaten zu Servern außerhalb der Europäischen Union übermittelt werden.
Der wesentliche Knackpunkt besteht jedoch in der Frage, ob die IP-Adressen der Website-Besucher, die Google Analytics auswertet, überhaupt als personenbeziehbare Daten gewertet werden können. Nach Ansicht der Datenschützer sind sie es. Entsprechend urteile auch bereits beispielsweise vom Amtsgericht Berlin-Mitte (Urteil vom 27.3.2007, Az. 5 C 314/06). Das Urteil ist umstritten, weil Website-Betreiber in der Regel Besucher nicht anhand einer IP-Adresse individuell identifizieren können. Außerdem sind Internetzugangsbetreiber wie etwa die Deutsche Telekom nicht verpflichtet, weitere Daten an private Stellen herauszugeben. Google beruft sich denn auch auf ein gegenteiliges Urteil des Amtsgerichts München (Urteil vom 30.9.2008, Az. 133 C 5677/08). Es könnte sein, dass ein Musterprozess um Google Analytics durch alle Instanzen letztendlich klären könnte, ob eine IP-Adresse ein Pseudonym ist oder nicht.
Löschung veranlasst
Die schleswig-holsteinische Datenschutzbehörde hat Website-Betreiber in Schleswig-Holstein, die Google Analytics einsetzen, jedenfalls bereits angeschrieben und aufgefordert, den Einsatz des Dienstes einzustellen. Auch sollten sie die dazu gehörigen Konten löschen und Google schriftlich auffordern, die Nutzungsdaten zu löschen. Fast alle Betreiber kamen dieser Aufforderung nach Angaben der Behörde "umgehend" nach. Auf ihrer Website informiert sie darüber, wie Nutzer ihre Daten vor Google Analytics schützen können.
Christiane Schulzki-Haddouti ist freie Journalistin und lebt in Bonn.