Wichtig für Shopbetreiber: Datenschützer bricht Verhandlungen über Google Analytics ab
Der Hamburgische Datenschutzbeauftragte Johannes Caspar hat die nunmehr seit September 2009 stattfindenden Verhandlungen mit Google über den Webtracking-Dienst „Google Analytics“ abgebrochen. Caspar begründete den Abbruch laut einem Bericht der Frankfurter Allgemeinen Zeitung (FAZ) mit mangelndem Entgegenkommen auf der Seite von Google.
Unter Web-Tracking bzw. Web-Analytics versteht man die Analyse des Verhaltens von Benutzern auf einer Internetseite.
Der Hintergrund: IP-Adresse als personenbezogenes Datum
Die ständige Zusammenkunft der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich („Düsseldorfer Kreis“) hatte auf ihrer Sitzung am 26. und 27. November 2009 beschlossen, „dass bei Erstellung von Nutzungsprofilen durch Web-Seitenbetreiber die Bestimmungen des Telemediengesetzes (TMG) zu beachten sind“ (Beschluss als PDF). Diese lapidare Feststellung hat für Betreiber von Internetangeboten, insbesondere Web-Shops, in Deutschland weitreichende Folgen.
Grundlage der Einschätzung der Aufsichtsbehörden war die rechtliche Beurteilung von IP-Adressen. Es war umstritten, ob diese numerische Kennzeichnung von Netzwerkteilnehmern zu den personenbezogenen Daten zu zählen ist. Schließlich weiß in der Regel nur der jeweilige Internetprovider, welchem Kunden zu welcher Zeit eine dynamische IP-Adresse zugewiesen war. Nach Einschätzung der Vertreter der einen Meinung ist die IP-Adresse deshalb auch nicht personenbezogen, da an die Providerdaten der normale Betreiber einer Internetseite nicht herankommt.
Die Vertreter der Gegenansicht – und hierzu gehören auch die Aufsichtsbehörden – meinen, dass das Bundesdatenschutzgesetz eine andere Beurteilung erfordert: nach § 3 Abs. 1 Bundesdatenschutzgesetz (BDSG) sind alle Daten personenbezogen, die Hinweis auf eine gestimmte oder bestimmbare natürliche Personen geben können. Dabei kommt es nicht darauf an, ob derjenige, der Daten erhebt, den Personenbezug selbst herstellen kann. Personenbezogen sind nach Ansicht der Aufsichtsbehörden alle Daten, die auch bei Herstellung einer Querverknüpfung mit bei Dritten gespeicherten Daten Aufschluss auf eine existierende Person geben können – hierzu gehören daher auch IP-Adressen.
Widerspruchsrecht des Nutzers
Wenn es sich bei IP-Adressen um personenbezogene Daten handelt, ist dem Betroffenen ein Widerspruchsrecht einzuräumen. Die Betroffenen müssen der Erhebung ihrer IP-Adresse zu Zwecken der Optimierung von Internetangeboten einfach widersprechen können. Der Widerspruch muss zuverlässig umgesetzt werden. Und genau hier sah der Hamburgische Datenschutzbeauftragte das Problem: für Google Analytics hatte der Anbieter zwar Browser-Plugins bereitgestellt, mit denen die Erfassung der IP-Adressen vermieden werden können sollte. Diese Plugins sind jedoch nicht für jeden Browser verfügbar und die durch das Plugin erfolgte Sperrwirkung verhältnismäßig leicht zu umgehen.
Bereits im Vorfeld wurde die von Google angebotene Web-Analytics-Lösung kritisch beurteilt. Das unabhängige Landeszentrum für Datenschutz Schleswig-Holstein stellt zu diesem Thema seit längerem umfangreiche Informationen zur Verfügung.
Seitenbetreiber ist verantwortlich
Die Analyse des Nutzerverhaltens ist für die Anpassung von Internetangeboten an die Anforderungen und Bedürfnisse der Nutzer unerlässlich. Für den Betreiber des Internetangebots lauern hier jedoch erhebliche rechtliche Gefahren. Anders als in von einigen Anbietern bereitgestellten vorformulierten Datenschutztexten angedeutet, ist nämlich keineswegs der Betreiber des Tracking-Dienstes, sondern vielmehr der Betreiber der Internetseite für die Datenerhebung und Datenverarbeitung im Rahmen des Trackings verantwortlich. Es handelt sich dabei um eine Datenverarbeitung, die der Tracking-Dienst im Auftrag des Betreibers der Internetseite durchführt. Für derartige Auftragsdatenverarbeitungen existieren detaillierte Regelungen in § 10 BDSG, die von allen inländischen Betreibern von Websites einzuhalten sind. Diese Vorschrift fordert beispielsweise, dass eine schriftliche Vereinbarung zur Datenverarbeitung vorliegt. Der Auftragnehmer darf dabei mit den personenbezogenen Daten nur das machen, was der Betreiber der Internetseite vorgibt. Die Einhaltung dieser Weisungen hat der Auftraggeber zu kontrollieren.
Rechtskonforme Alternativen verfügbar
Die Einhaltung dieser Vorgaben im Bereich des Web-Tracking ist durchaus möglich. So bietet beispielsweise der Hamburger Anbieter „etracker“ den Abschluss einer schriftlichen Vereinbarung an und stellt eine einfache Möglichkeit bereit, den Rechner (oder besser gesagt: den Internetbrowser) des Nutzers von der Datenerfassung auszuschließen. Außerdem wird eine Funktion bereitgestellt, die IP-Adressen der Nutzer nur verkürzt zu speichern. Da auch der Provider auf Basis einer derart verkürzten Adresse keine Zuordnung zu einem bestimmten Nutzer vornehmen kann, handelt es sich bei diesen Datensätzen auch nicht um personenbezogene Daten.
Profis wählen Anbieter umsichtig aus
Wie in vielen anderen Bereichen gilt auch beim Web-Tracking: nicht alles, was kostenlos oder verbreitet ist, ist auch richtig und rechtlich einwandfrei. Insbesondere im Bereich des E-Commerce müssen sensible Daten wie beispielsweise Zahlungsinformationen über das Internet übermittelt werden. Die Auswahl zuverlässiger Partner und die Beachtung der rechtlichen Vorgaben sollte dabei im Online-Business genauso selbstverständlich sein wie im Offlinebereich. Dies liegt nicht zuletzt auch im Interesse der E-Commerce-Anbieter. Denn sie haften, wenn auf ihren Internetseiten – und zwar auch durch vom Anbieter herangezogene Dritte – erhobene Daten in falsche Hände geraten oder entgegen den gesetzlichen Vorschriften verarbeitet werden. Wir raten daher zu einer sorgfältigen und professionellen Auswahl der für die Optimierung und den Betrieb des Internetangebots herangezogenen Dienstleister. Nicht alles, was umsonst ist, ist auch gut. Offene Flanken im Datenschutz sind nicht nur peinlich, sondern möglicherweise auch geschäftsschädigend.
Bei der Auswahl sollte auch ein besonderes Augenmerk auf den denkbaren Ernstfall gelegt werden. Die Rechtsfolgen der Einbeziehung von Allgemeinen Geschäftsbedingungen ausländischer Anbieter sind oftmals nur schwer absehbar. Wer beispielsweise der Einbeziehung US-amerikanischen Rechts zustimmt, kann die Rechtsfolgen der Einbeziehung dieser Normen oftmals nur schwer absehen. Darüber hinaus ist die Geltendmachung und Durchsetzung von Ansprüchen vor ausländischen Gerichten alleine aufgrund der unterschiedlichen Verfahrensvorschriften oftmals erschwert und mit möglicherweise hohen Kosten verbunden. Ein verlässlicher Ansprechpartner im Inland bietet hier taktische und kaufmännische Vorteile.
Nicht nur der gute Ruf steht auf dem Spiel
Verstöße gegen die Datenschutzvorschriften können nicht nur das Risiko von Bußgeldern und Imageschäden verursachen. Erfahrungsgemäß ist insbesondere in größeren Unternehmen die Anpassung der Geschäftsprozesse und Systeme in der Folge von Datenschutzverstößen mit wesentlichem Aufwand und damit auch wesentlichen Kosten verbunden. Eine umsichtige Planung und regelmäßige Selbstkontrolle sind daher meistens auch auf der Kostenseite günstiger als kurzfristige Ersparnisse durch die Wahl der „billigsten“ Lösung.
Sie haben Fragen zum Datenschutz und möchten Rechtsverstöße vermeiden? Wir bieten kompetente und praxiserprobte Beratung und Lösungen für E-Commerce-Anbieter. Sprechen Sie uns gerne an!