Ist Google Analytics erlaubt oder nicht?
Anmerkung der Redaktion 09/2011: Google ist auf die Forderungen der Aufsichtsbehörden eingegangen und ermöglicht nun die datenschutzkonforme Verwendung von Google Analytics. Webseiten-Betreiber, die die Software bereits nutzen, sind nun angehalten, folgende Maßnahmen für den rechtssicheren Einsatz umzusetzen...
Die Aktivitäten von Google Analytics haben Datenschützer auf den Plan gerufen, denn die gesammelten Daten dieses Statistiktools werden automatisch an Google übermittelt. Ob es sich hierbei aber um personenbezogene und damit zu schützende Daten handelt, ist umstritten.
Bis zur Hälfte aller kommerziellen Websites setzen das Gratistool Google Analytics ein – verlässliche Zahlen zur Verbreitung gibt es allerdings nicht. Je nach Testmethode und Charakteristik der untersuchten Websites oder des geografischen Gebietes werden unterschiedliche Werte genannt. Mit der großen Verbreitung steigt die öffentliche Aufmerksamkeit, und spätestens seit der Kritik verschiedener Datenschutzbeauftragter und dem Verzicht des Landtags Nordrhein-Westfalens auf Google Analytics sind viele Websitebetreiber und Internetnutzer verunsichert.
Dies gründet in der mangelnden Information darüber, was für Daten über sie gesammelt werden und was mit diesen gemacht wird. Und auch die Websitebetreiber fühlen sich auf unsicherem Terrain, weil keine klare Regelung für den Einsatz von Statistikwerkzeugen existiert. Dies rührt daher, dass die geltenden Gesetze nicht auf die aktuellen technischen Anwendungen zugeschnitten sind und somit unterschiedlich interpretiert werden können. Bis die Gesetze angepasst oder vor Gericht Präzedenzfälle entschieden werden, wird sich die Situation also kaum wesentlich verbessern.
Welche Daten sammelt Google?
Bei Google Analytics und vielen anderen Statistiktools werden Informationen zu verschiedenen Aspekten ausgewertet. Hauptsächlich sind dies Besucherverhalten, die technische Ausstattung des Computers des Besuchers und die Herkunft der Besucher (über Verlinkung oder Suchbegriffe). Dies geschieht meist auf einem hochaggregierten Level, denn für viele Analysen ist nicht der einzelne Besucher relevant, sondern generelle Nutzungsmuster.
Die Datensammlung kommt durch einen in die Website eingebetteten Code zustande, der ohne Zutun des Besuchers automatisch ausgeführt wird. Dieser Mechanismus sorgt dafür, dass die Nutzungsdaten zu Google gesendet und anschließend ausgewertet werden können. Um die Aussagekraft der Auswertungen zu verbessern, versucht man, einen Besucher auch über zeitlich auseinanderliegende Besuche hinweg verfolgen zu können.
Wiederkehrende Besucher erkennen
Die erste Möglichkeit, einen wiederkehrenden Besucher als solchen zu erkennen, ist seine IP-Adresse . Diese eindeutige Adressierung ist ein Basispfeiler des Internets und nötig, damit die Datenpakete den Weg zum Empfänger finden. Da die meisten Besucher von Websites aber nicht über eine statische IP-Adresse verfügen und zudem weitere Komponenten im Netzwerk (z.B. Router mit NAT ) die zuverlässige Wiedererkennung eines Nutzers erschweren, versucht man, mittels eines Cookies die Resultate zu verbessern.
Hierbei wird auf dem Computer des Besuchers eine kleine Textdatei (im Falle von Google Analytics mit dem Namen "utma") mit einer Zufallsnummer abgelegt, anhand derer sich ein einzelner Besucher relativ gut von anderen unterscheiden lässt und somit als wiederkehrender Besucher erkannt werden kann. Diese Technik ist verbreitet und per se auch nicht problematisch.
Was unterscheidet Google Analytics von anderen Tools?
Beim Aufruf einer Seite im Internet schreiben in der Praxis nahezu alle Webserver ein Logfile der Seitenzugriffe. Mit geeigneter Software lassen sich anhand dieser Logfiles bereits viele statistische Auswertungen machen. Der Einsatz einer zusätzlichen Software wie Google Analytics bringt im Wesentlichen zwei Veränderungen mit sich: Zum einen werden die statistischen Daten nicht mehr nur beim Websiteanbieter gesammelt, sondern auch an Google gesendet und dort weiterbearbeitet. Zum anderen setzt eben Google Analytics zur Identifikation ein Cookie ein, um wiederkehrende Besucher leichter zu erkennen.
Weil nun extrem viele Websites Google Analytics verwenden, laufen bei Google enorme Mengen an Nutzungsdaten zusammen. Würde Google die Daten all dieser verschiedenen Websites verknüpfen, könnten sie einen Besucher über mehrere Websites (die Google Analytics einsetzen) verfolgen und somit eine Art "anonymes Nutzerprofil" erstellen. Wenn nun ein Besucher zusätzlich auch personalisierte Dienste von Google nutzt und dort seinen Namen und weitere Daten erfasst, dann verfügt Google über alle Datenbestandteile, um theoretisch die Anonymität des Nutzerprofils auszuheben und das Profil einem konkreten Nutzer zuzuordnen.
Wie steht es um den Personenbezug der gesammelten Daten?
Die Aktivitäten von Google Analytics haben (namentlich in Berlin und Schleswig-Holstein) die Datenschützer auf den Plan gerufen. Jede Person hat gemäß dem Grundrecht auf informationelle Selbstbestimmung die Befugnis, selbst darüber zu bestimmen, ob und welche persönlichen Informationen über sie gesammelt, verarbeitet, gespeichert und weitergegeben werden. Entsprechend ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten zulässig, soweit das Bundesdatenschutzgesetz (BDSG) oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat. Die Einwilligung ist dabei nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Der Betroffene ist vor der Datenerhebung insbesondere auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung hinzuweisen.
Die Einwilligung bedarf sodann grundsätzlich der Schriftform und ist jederzeit widerrufbar. Die erste datenschutzrechtliche Frage, die sich im Zusammenhang mit Google Analytics stellt, ist jene nach dem Personenbezug der von Google Analytics gesammelten, analysierten und gespeicherten Daten. Das BDSG regelt unter anderem die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch private Unternehmen, soweit sie die Daten unter Einsatz von Datenverarbeitungsanlagen verarbeiten, nutzen oder dafür erheben. Personenbezogene Daten sind Informationen über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person.
In der Rechtsprechung und von Datenschützern wird die (umstrittene) Auffassung vertreten, dass es sich bereits bei der IP-Adresse um eine personenbezogene Information handle, denn die IP-Adresse erlaube den Rückschluss auf die Person, die unter der IP-Adresse Zugang zum Internet hatte. Nach dieser Auffassung ist unerheblich, dass primär der mit der IP-Adresse identifizierte Rechner durch die IP-Adresse individualisiert wird. Google Analytics setzt zusätzlich das besagte "utma"-Cookie ein, um wiederkehrende Besucher erkennen zu können.
Geht man davon aus, dass ein Computer in der Regel nur (oder hauptsächlich) von einer bestimmten Person benutzt wird, so lässt sich aufgrund dieser Daten das gesamte Verhalten dieser Person mit Bezug auf die mit Google Analytics ausgewerteten Websites (und das ist eine große Anzahl) bestimmen und damit eine Art Nutzerprofil erstellen. Nutzt der Besucher nun gleichzeitig andere Services von Google, wo er seine persönlichen Daten angegeben hat (Sign-In Services wie z.B. Google Mail), so kann Google die Identifikationsnummer leicht einer konkreten Person zuordnen. Interessanterweise verpflichtet sich Google in den aktuellen Nutzungsbedingungen auch nur, die IP-Adresse eines Besuchers nicht mit anderen Daten von Google in Verbindung zu bringen (vgl. dort Ziff. 8.1).
Geht man davon aus, dass es sich bei den durch Google Analytics gesammelten, analysierten und gespeicherten Daten (zumindest teilweise) um personenbezogene Daten handelt, so kommen die Datenschutzbestimmungen zur Anwendung. Einer der wesentlichsten Grundsätze des Datenschutzes ist, dass personenbezogene Daten nur zu dem Zweck bearbeitet werden dürfen, der bei der Erhebung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist. Zudem müssen die Erhebung von solchen Daten und insbesondere der Zweck ihrer Bearbeitung für die betroffene Person erkennbar, also transparent sein.
Der Besucher einer mit Google Analytics ausgewerteten Website muss also (vor der Datenerhebung) klar, verständlich und transparent darüber informiert werden, dass über ihn bestimmte personenbezogene Daten erhoben werden und was mit diesen geschieht. Er muss ferner auch die Möglichkeit haben, der Datenerhebung zu widersprechen und eine einmal erteilte Einwilligung jederzeit zu widerrufen. Hinzu kommen die unabdingbaren Rechte des Betroffenen auf Auskunft und auf Berichtigung, Löschung oder Sperrung ihrer personenbezogenen Daten.
Datenübermittlung ins Ausland
Ein weiterer Kritikpunkt besteht darin, dass die Daten gemäß Angaben von Google auf Servern von Google und verbundenen Unternehmen im Ausland übermittelt, analysiert und gespeichert werden. Namentlich die USA verfügen (aus europäischer Sicht) grundsätzlich nicht über einen angemessenen gesetzlichen Schutz von Personendaten. Allerdings geht man davon aus, dass Datenbearbeiter in den USA, die dem " Safe Harbor " beigetreten und der entsprechenden Liste des U.S. Departments of Commerce verzeichnet sind, einen angemessenen Schutz garantieren. "Safe Harbor", englisch für "sicherer Hafen", ist eine besondere Datenschutzvereinbarung zwischen der Europäischen Union und den Vereinigten Staaten, die es europäischen Unternehmen ermöglicht, personenbezogene Daten legal in die USA zu übermitteln.
Google erklärt in der aktuellen Datenschutzerklärung, die Datenschutzbestimmungen des "US Safe Harbor"-Mechanismus zu Benachrichtigungen, Wahl, Weiterleitung, Sicherheit, Datenintegrität, Zugriffsrechten und Durchsetzung zu beachten und beim "Safe Harbor"-Programm des US-Handelsministeriums registriert zu sein.
Wer ist verantwortlich?
Ein großes praktisches Problem bei der Anwendung von Google Analytics liegt nun aber darin, dass die eigentliche Datenerhebung auf der Website der Anwender von Google Analytics geschieht und diese Daten in der Folge automatisch an Google übermittelt werden. Als verantwortliche Stelle nach dem BDSG gilt jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt. Werden personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt, ist die verantwortliche Stelle für die Einhaltung der Vorschriften des BDSG und anderer Vorschriften über den Datenschutz verantwortlich.
Damit steht gegenüber dem Besucher einer Website der Betreiber (in der Regel die im Impressum der Website angegebene Person) datenschutzrechtlich (zumindest auch) in der Pflicht. In den aktuellen Nutzungsbedingungen überbindet Google an die Anwender von Google Analytics sogar vollumfänglich die Pflicht, sämtliche auf die Nutzung von Google Analytics und die Erhebung von Daten über Besucher der Websites anwendbaren Datenschutz- und Persönlichkeitsrechtsbestimmungen einzuhalten. Google sieht sich also selbst nur als Dienstleistungserbringer und damit als "Gehilfe" des Anwenders von Google Analytics.
Tipps für Websitebetreiber
Dieser Verpflichtung sind sich die meisten Betreiber von Websites als Anwender von Google Analytics vermutlich nicht bewusst. Vor diesem Hintergrund ist ihnen (als Minimalanforderung) zu empfehlen, mindestens die Erklärung gemäß Ziff. 8.1 der aktuellen Nutzungsbedingungen von Google Analytics in die eigene Datenschutzerklärung auf der Website einzufügen. Damit wird einem Besucher zumindest transparent gezeigt, dass im Hintergrund Nutzungsdaten gesammelt und an Google Inc. übermittelt werden.
Um das Risiko einer Verletzung der Datenschutzbestimmungen weiter zu vermindern, sollte man sicherstellen, dass jeder Nutzer über die Datenerhebung mit Google Analytics informiert wird und sich damit einverstanden erklärt – und zwar vor der Datenerhebung. In der Praxis kann man dies beispielsweise erreichen, indem jeder Besucher die Datenschutzerklärung lesen und durch Anklicken einer Checkbox ausdrücklich bestätigen muss. Ferner sollte der Nutzer die Möglichkeit haben, den Inhalt seiner Einwilligung jederzeit abzurufen und – bei Bedarf – zu widerrufen.
Was Nutzer unternehmen können
Wer als normaler Internetnutzer möglichst wenig Spuren bei Google hinterlassen will, kann mit seinem eigenen Verhalten viel erreichen. Grundsätzlich sollte man in diesen Fällen keine Google Services verwenden, die personenbezogen sind (z.B. Google Mail). Zudem sollte man im Internet sehr zurückhaltend sein mit der Preisgabe persönlicher Informationen, sei dies auf Websites, in Foren, Blogs oder Social Community Sites wie Facebook.
Es gibt auch technische Maßnahmen, um die Übertragung von Daten an Google zu unterbinden. Diese sind jedoch meist kompliziert zu bedienen oder hinderlich bei der normalen Nutzung von Internetangeboten. Der einfachste Weg ist der Einsatz der Browsererweiterung CustomizeGoogle für Firefox . Dieses Tool ermöglicht es, mit einem Klick die Google Analytics Cookies zu blockieren. Auf diese Weise werden zwar nicht weniger Daten übertragen, aber die Erstellung von Langzeitprofilen wird deutlich erschwert.
Kommentare
Bitte beachten Sie unsere Informationen zum Datenschutz.
blog comments powered by DisqusWeitere Artikel zum Thema
alle Artikel zum Thema
© 2012 FEiG & PARTNER