Gemäß der Düsseldorfer Xamit Bewertungsgesellschaft nutzen ca. 13 Prozent der deutschen Webseitenbetreiber  zur Auswertung des Surfverhaltens Ihrer Nutzer das Analysetool Google Analytics, wie Zeit online in einem Artikel berichtet. Darunter sind sicherlich auch etliche Blogbetreiber der deutschen Blogosphäre, zumindest mein Blog gehört auch dazu.

Analytics stellt einem faszinierend detaillierte Informationen über die Besucher der Webseite zusammen, die weit über das hinaus gehen, was man aus der Vergangenheit so kannte. Wenn man sich die Mühe gibt, das Tool entsprechend zu konfigurieren, kann man den exakten "Weg" jedes Besuchers durch die einzelnen Pages der Seite nachvollziehen. Wo wurde geklickt, was wurde wie lange angeschaut, wo wurde die Seite wieder verlassen. Um diese diese Informationen in einer solchen Tiefe ermitteln zu können, arbeitet Analytics mit Cookies, die jeden Besucher anhand seiner IP-Adresse identifizieren und bei weiteren Besuchen wiedererkennen. Aber weil das Google noch nicht reicht, werden die so ermittelten Daten flugs auf die Reise in die USA geschickt, und dort auf den Servern des Suchmaschinen-Giganten gespeichert.

Google Analytics datenschutzrechtlich am Rande der Legalität?

Bei den deutschen Datenschützern steht Analytics schon seit Jahren im Focus. Hauptkritikpunkte sind zum einen die Erfassung der IP-Adresse, die in der deutschen Rechtssprechung zwar nicht einheitlich, aber doch in einigen Fällen den personenbezogenen Daten nach dem Telemediengesetz (TMG) zugerechnet wird. In diesem Fall greift in Deutschland das äußerst strenge Datenschutzgesetz. Und zum anderen ist den Datenschützern die Speicherung der Daten deutscher Internetnutzer in den USA ein Dorn im Auge.

Nun gibt es seit vergangenen Freitag einen Beschluss des sogenannten Düsseldorfer Kreis. Bei Erstellung von Nutzungsprofilen durch Webseitenbetreiber dürfen gemäß den Bestimmungen des TMG nur Pseudonyme verwendet werden. Und die IP-Adresse ist aus Sicht der Datenschützer kein Pseudonym im Sinne des TMG. Ob dies aber tatsächlich so ist, ist aus juristischer Sicht derzeit noch strittig. Ein Grundsatzurteil steht aus.

Dunkle Wolken am Himmel des deutschen E-Commerce

Geht es jedoch nach dem Willen der obersten Datenschutzbehörden, ist künftig die Verwendung von Google Analytics dann rechtswidrig, wenn der Besucher der Webseite vor deren Betreten nicht dieser Verwendung zustimmt. Wie dies umgesetzt werden mag, überlasse ich dem technisch versierten Leser. Fakt ist, dass ein bloßer Hinweis zum Datenschutz auf der Webseite dann nicht mehr ausreichen würde. Bis der Besucher ihn zur Kenntnis nimmt, sind seine Daten längst erfasst und gespeichert.

Bußgelder sollen allerdings vorerst noch keine verhängt werden, bis das weitere Vorgehen entschieden ist. Langfristig jedoch sind rechtliche Schritte gegen Webseitenbetreiber, die ohne Einwilligung des Nutzers seine IP-Adresse speichern, nicht ausgeschlossen. Ich bin gespannt, wie Google auf diese Entwicklung reagieren wird.

Der Beschluss des Düsseldorfer Kreis im Volltext.

Datenschutzaufsicht gegenüber privaten Stellen: der Düsseldorfer Kreis

Nach dem Ort ihres ersten Zusammentreffens 1977 in Düsseldorf benennen sich die obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich als "Düsseldorfer Kreis". Die Treffen des Düsseldorfer Kreises finden seitdem unter dem jährlich wechselnden Vorsitz einer Aufsichtsbehörde für den Datenschutz in der Privatwirtschaft statt. Bei den Treffen des Düsseldorfer Kreises handelt es sich um Arbeitstreffen, bei denen ein Austausch über bundesweit aktuelle Fragen des Datenschutzes in der Wirtschaft stattfindet. Die Aufsichtsbehörden versuchen dabei, ihre Standpunkte abzustimmen. Gleichwohl stellen die Beschlüsse keine verbindlichen Ergebnisse dar, sondern die Aufsichtsbehörden sind unabhängig von den Standpunkten des Düsseldorfer Kreises in ihrem Zuständigkeitsbereich entscheidungsbefugt.

Im Jahre 2007 lag der Vorsitz beim Hamburgischen Datenschutzbeauftragten und im Jahr 2008 beim Hessischen Ministerium des Inneren und für Sport. Dieses Jahr hat der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern den Vorsitz inne.