Wieso Webtracking zur Zeit ein Risiko darstellen kann

Ein Gastbeitrag von Sascha Kuhrau, Inh. a.s.k. Datenschutz

[datensicherheit.de, 12.06.2012] Sascha Kuhrau, Inhaber von a.s.k. Datenschutz in Franken und Betreiber des Fachblogs „ask datenschutz“, ist seit 2007 als Berater für Datenschutz und Datensicherheit sowie externer Datenschutzbeauftragter für zahlreiche Unternehmen in Deutschland tätig. Im vorliegenden Gastbeitrag führt er aus, weshalb der Einsatz des beliebten Webtracking-Tools „Google Analytics“ derzeit in Bayern und Nordrhein-Westfalen zu Ungemach für Betreiber von Websites führen kann.

Foto: a.s.k. Datenschutz Sascha Kuhrau, Vorra

Sascha Kuhrau: „Wer sich die ganze Aufregung ersparen will, setzt besser auf die ebenfalls kostenfreie Lösung ,PIWIK‘!“

Seit Jahren diskutieren die Landesdatenschutzbehörden mit dem Konzern Google über eine datenschutzkonforme Einsatzmöglichkeit des beliebten, weil kostenfreien Webtracking-Tools „Google Analytics“. Der sogenannte „Düsseldorfer Kreis“, ein Zusammenschluss der Landesdatenschutzbehörden, verabschiedete 2009 ein Eckpunkte-Papier zum datenschutzkonformen Einsatz von Webtracking. Auf dieser Basis vermeldete man im September 2011 die Einigung mit Google.
Der Hamburger Datenschutzbeauftragte stellte eine genaue Anleitung ins Netz, nach deren Vorgehensweise „Google Analytics“ beanstandungsfrei nach deutschem Datenschutzrecht einsetzbar sei. Kernpunkte waren und sind:

1. Abschluss einer Regelung zur Auftragsdatenverarbeitung nach § 11 BDSG.
2. Detaillierte Formulierung der Nutzung in der Datenschutzerklärung der Website zusammen mit dem Hinweis auf die Widerspruchsmöglichkeit durch das Google-Tool „gaoptaut“ inkl. Download-Link.
3. Aktivierung der „anonymizeIP“-Funktion (Achtung: Hierfür ist ein gesonderter Tracking-Code notwendig!).
4. Löschen aller bisher zu Unrecht erhobenen Daten.

Während die Punkte 2 und 3 auf wenig Widerspruch in der Netzwelt stießen, wurden kritische Stimmen zur notwendigen schriftlichen Regelung zur Auftragsdatenverarbeitung laut. Zwar existiert eine Formulierungsvorlage zum Download auf der deutschen Website von „Google Analytics“, doch externe Bewertungen ließen Zweifel an der rechtlichen Zulässigkeit aufkommen, so z.B. im Hinblick auf notwendige Kontrollrechte gegenüber dem Konzern. Das Löschen aller zuvor mit „Analytics“ erhobenen Daten führte und führt zu weiteren Aufregungen unter den Nutzern. In der Folge kam es zur widerwilligen Löschung oder zum totalen Boykott unter Berufung auf nicht immer nachvollziehbare Stellungnahmen sogenannter „Experten“.
Die teilweise sehr heftig und gegensätzlich geführten Diskussionen hatten jedoch einen Vorteil – das Thema verbreitete sich sehr schnell über die elektronischen Medien und sollte daher eine breite Zielgruppe angesprochen haben. Dies sehen wohl die Landesdatenschutzbehörden ebenso und werden nun aktiv.
Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA ) teilte am 7. Mai 2012 mit, den Einsatz des Webtracking-Tools „Google Analytics“ auf 13.404 Websites mit Betreibern aus Bayern mittels einer eigens entwickelten Software überprüft zu haben. Auf knapp 2.500 Websites sei „Google Analytics“ im Einsatz, davon lediglich drei Prozent datenschutzkonform. Die verbliebenen 2.371 Website-Betreiber erhielten im Anschluss Gelegenheit zur Stellungnahme und Anpassung unter Androhung von Bußgeldern.
Die Landesdatenschutzbehörde Nordrhein-Westfalen (LDI) hat zwar noch keine offizielle Pressemeldung herausgegeben, doch das Feedback von Unternehmen mit Sitz in NRW ist eindeutig. Das LDI hat sich der Vorgehensweise der bayerischen Kollegen angeschlossen und bereits mit dem Versand von Schreiben bei nicht datenschutzkonformem Einsatz von „Google Analytics“ durch Unternehmen mit Sitz in NRW begonnen.
Weitere Durchgänge in Bayern und NRW sowie gleichgeartete Aktionen der Schutzbehörden der anderen Bundesländer sind zu erwarten. Zwar hat die bayerische Landesdatenschutzbehörde klargestellt, es ginge nicht um die Erzielung von Bußgeldern, doch sind diese nicht ausgeschlossen. Ziel dieser Aktion sei es primär, datenschutzkonforme Zustände beim Einsatz von Software zur Erfassung des Nutzerverhaltens im Internet zu erreichen. Aus diesem Grund werde das BayLDA im Rahmen dieser Prüfung bei Feststellung von Verstößen zunächst keine Bußgeldverfahren einleiten, sondern erst dann, wenn ein Website-Betreiber sich nach entsprechender Aufforderung durch das BayLDA sein Programm anzupassen, nachhaltig weigert oder nicht reagiert.
Wer sich die ganze Aufregung ersparen will, setzt besser auf die ebenfalls kostenfreie Lösung „PIWIK“ – dieses „Open Source Tool“ wurde bereits frühzeitig durch die schleswig-holsteinische Landesdatenschutzbehörde (ULD) bewertet und samt einer einfachen Konfigurationsanleitung für den beanstandungsfreien Einsatz auf Websites freigegeben.

Weitere Informationen zum Thema:

Sitzung des Düsseldorfer Kreises am 26./27. November 2009 in Stralsund
Datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internet-Angeboten

ask datenschutz, 20.09.2011
Aufatmen bei Webseitenbetreibern — Google Analytics datenschutzkonform beanstandungsfrei einsetzbar

Piwik
Open source web analytics

ask datenschutz, 08.05.2012
ULD gibt Hinweise und Empfehlungen zum Einsatz des Webanalyse-Tools PIWIK