Viele Webmaster verwenden zur Auswertung des Besucherstroms den Dienst "Google Analytics". In der Tat bietet dieses Tool einige nützliche und interessante Funktionen zur Auswertung und Optimierung von Webseiten. Dazu ist es noch unentgeltlich und kann auch von Webseitenbetreibern mit geringen Programmierkenntnissen recht einfach selber implementiert werden.
Dann erstellt Google Analytics detaillierte Nutzungsprofile, indem jede "Bewegung" eines Surfers protokolliert wird (das nennt sich "Tracking"). Zu jedem Seitenaufruf wird dabei u.a. die vollständige IP-Adresse und die genaue Uhrzeit gespeichert; dabei werden Cookies eingesetzt. Die gesammelten Daten werden dann Google Inc. in den USA zur Auswertung und Aufbereitung weitergeleitet.
Aus Sicht des Datenschutzes ist dies bedenklich und es herrschte lange Zeit herrschte Uneinigkeit, ob die Verwendung von Google Analytics nun zulässig sei oder nicht. Knackpunkt der Diskussion ist die Frage, ob die IP-Adresse zu den persönlichen Daten zählt. Dafür spricht, dass mithilfe der IP-Adresse die Identifizierung des jeweiligen Nutzers grundsätzlich möglich ist, denn die Provider können zu jeder IP-Adresse den Anschlussinhaber benennen, auch wenn diesen Auskunftsanspruch bisher nur die Staatsanwaltschaften haben, sofern sie wegen einer Straftat ermitteln. Die IP-Adresse ist damit in etwa mit einem Autokennzeichen vergleichbar, denn ebenso, wie ein Fahrzeughalter meist den jeweiligen Fahrer benenen kann, kann auch ein Anschlussinhaber oft sagen, wer den Anschluss zu einem bestimmten Zeitpunkt genutzt hat oder haben könnte.
Google reagierte auf diese Diskussionen und verpflichtet die Nutzer des Analysetools mittlerweile, eine vorgefertigte Datenschutzerklärung an prominenter Stelle zu veröffentlichen.
Ende November 2009 haben sich die Datenschutzaufsichtsbehörden der einzelnen Bundesländer jedoch auf eine gemeinsame Linie* in der Auslegung der §§ 11 bis 15 des Telemediengesetzes (= TMG) verständigt. Demnach sind IP-Adressen persönliche Daten, die für die Analyse nur dann verwendet werden dürfen, wenn die Zustimmung der jeweiligen Nutzer vorliegt. Da das für jeden Besucher einer Seite (und nicht nur für registrierte Nutzer) gilt, müsste eine Abfrage bereits vor Betreten der Seite erfolgen, was wenig einladend wirkt.
Üblicherweise verzichtet man also aus praktischen Gründen auf die Abfrage der Zustimmung, zumindest solange sich der Nutzer nicht registriert (sofern dies überhaupt vorgesehen ist). Ohne Zustimmung ist die IP-Adresse jedoch vor der Auswertung so zu kürzen, dass keine Rückschlüsse auf die Identität des Nutzers möglich sind und folglich nur ein sog. pseudonymes Nutzungsprofil erstellt werden kann. Diese Funktion beherrscht Google Analytics jedoch derzeit noch nicht.
Dem Nutzer muss darüber hinaus noch zusätzlich die Möglichkeit eingeräumt werden, die Seite ganz ohne Erstellung eines Nutzungsprofils sowie ohne Kenntnisnahme Dritter besuchen zu können. Dazu ist u.a. eine Widerspruchsoption gegen das Tracking notwendig, die Google Analytics jedoch nicht bietet. Weiterhin heißt das aber auch im Umkehrschluss, dass der Besuch der Seite nicht von der Zustimmung zur Profilerstellung abhängig gemacht werden darf.
Unabhängig davon dürfen die Daten der Profile nicht mit anderen Daten des Nutzers kombiniert werden. Im Falle von Google Analytics ist aber genau dies möglich, wenn der Nutzer gleichzeitig noch bei einem Google-Dienst (dazu gehören z.B. auch Youtube und der Bilderspeicher Picasa) eingeloggt ist. Google könnte dann ausspähen, wo sich der angemeldete Nutzer sonst noch im Netz rumtreibt; nach eigener Aussage wird das aber nicht gemacht.
Die Datenschützer weisen zudem darauf hin, dass die gesammelten Daten zu löschen sind, sobald sie nicht mehr benötigt werden oder wenn der Nutzer dies verlangt.
Desweiteren muss dem Nutzer angezeigt werden, wenn seine Daten zur Auswertung an Dritte weitergeleitet werden. Auch in diesem Fall müssen die deutschen Datenschutzbestimmungen (namentlich § 11 BDSG) eingehalten werden, dabei ist der Betreiber auch für die Einhaltung der Vorschriften durch Dritte verantwortlich. Nun verarbeitet Google die gesammelten Daten aber auf Servern in den USA und wer möchte schon von hier aus überwachen, was Google dort damit anstellt? Immerhin hat Datenschutz in den USA einen sehr geringen Stellenwert und ist kaum reglementiert. Zwar hat sich die Google Inc. in den USA den Bedingungen des Safe-Harbor-Abkommens unterworfen, so dass eine Datenübertragung an das Unternehmen grundsätzlich erlaubt ist. Aber die Einhaltung des Datenschutzes durch Google lässt sich von hier aus nur schlecht überwachen.
Fazit: Insgesamt ist die Verwendung von Google Analytics in seiner jetzigen Form und nach derzeitiger Rechtsauffassung unzulässig. Es bleibt abzuwarten, ob und wann Google ein datenschutzkonformes Analysetool entwickelt. Bis dahin sollte auf den Einsatz von Google Analytics verzichtet werden.
Bei Verstößen schreibt die zuständige Datenschutzbehörde den jeweiligen Betreiber i.d.R. zunächst an und bittet um Behebung des Mangels. Erst wenn dies nicht erfolgreich ist, droht ein Bußgeld sowie ggf. weitere Maßnahmen.
Wer sich als Nutzer selber gegen die Auswertung seines Surfverhaltens durch Google Analytics schützen will, kann z.B. in seinem Browser die Seite google-analytics.com sperren, deren Cookies unterbinden und/oder JavaScript deaktivieren. Je nach Browsertyp muss dazu evtl. ein Werbeblocker installiert werden.
*) Die gemeinsame Erklärung der Aufsichtsbehörden kann hier eingesehen werden:
http://www.lfd.m-v.de/dschutz/beschlue/Analyse.pdf
Ein Mann wie ein Baum - sie nannten ihn Bonsai.