In Ihrem Auftrag hat der Hamburger Datenschutzbeauftragte Johannes Caspar mit Google über Änderungen der Software verhandelt. Diese Gespräche hat er jetzt nach über einem Jahr eingestellt, weil es nicht zu Ergebnissen kam. Thilo Weichert, Datenschutzbeauftragter in Schleswig-Holstein, findet die Reaktion seines Hamburger Kollegen völlig richtig:
Einspielung
"Im Prinzip ist dieser Dienst so, obwohl er von 80 Prozent der Web-Seiten-Betreiber in Deutschland genutzt wird, definitiv nicht rechtskonform und da mussten wir dann irgendwann mal die Notleine ziehen."
Es bestehe unter allen Datenschutzbeauftragten der Länder Einigkeit in der Frage, dass Google mit Analytics gegen deutsches Recht verstoße, sagt Weichert. Per Meyerdierks, Datenschutzbeauftragter bei Google Deutschland, argumentiert in einer Stellungnahme gegenüber dem Deutschlandfunk, man habe doch Änderungen am Produkt vorgenommen, um den Forderungen der Datenschützer nachzukommen. Der Dienst könne durch den Nutzer deaktiviert oder die IP-Adressen gekürzt werden. Diese Möglichkeit gebe es für unterschiedliche Browser. Eine Einstellung solcher Feinheiten in den Browsern sei den Nutzern nicht zuzumuten, sagt Weichert. Im Test der Hamburger Datenschutzbehörde habe sich noch dazu ergeben, dass das Verfahren nicht solide funktioniere, ergänzt Caspar. Thilo Weichert geht in Schleswig-Holstein schon seit einiger Zeit gegen Webseiten-Betreiber vor, die Google Analytics einsetzen. Nicht mit der großen rechtlichen Keule des Bußgelds, aber mit der Aufforderung, die Nutzung einzustellen.
"Unsere Erfahrung ist, dass bisher jeder Webseitenbetreiber den wir auf den rechtswidrigen Zustand hingewiesen haben, dann auch umgehend die Nutzung von Google Analytics eingestellt hat."
Seim Hamburger Kollege Caspar ist da vorsichtiger. Es gebe iele Webseitenbetreiber, die gar nicht anders können, als diese Software einzusetzen und er halte es für schwierig, dort rechtlich die Keule rauszuholen, sagte er im Gespräch gegenüber dem Deutschlandfunk. Welche Haltung sich durchsetzt, könnte sich auf der nächsten Sitzung der Landesdatenschützer im April zeigen. Eine der Hauptfragen ist in der Debatte, ob komplette IP-Adressen personenbezogene Daten sind oder nicht.. IP-Adressen sind bestimmten Internet-Zugängen zugeordnet. Weichert sieht seine Auffassung, dass es sich dabei um personenbezogene Daten handelt, durch das Bundesverfassungsgericht gedeckt:
"Wir haben vor kurzem eine Entscheidung des Bundesverfassungsgerichts gehabt zur Vorratsdatenspeicherung, wo das Bundesverfassungsgericht ausdrücklich klarstellt, dass die IP-Adresse ein personenbeziehbares Datum ist."
Diese Auffassung des Datenschützers aus Schleswig-Holstein will Oliver Süme nicht so stehen lassen. Süme arbeitet für den Verband der Internet-Untenehmen Eco und ist dort für rechtliche Fragen verantwortlich.
"Das Urteil des Bundesverfassungsgericht lässt nach meiner Meinung keinen Rückschluss darauf zu, dass in diesem Umfeld, von dem wir hier beim Einsatz von Google Analytics sprechen, die IP-Adresse personenbezogen sein muss."
Es komme darauf an, wo die IP-Adressen entstehen, argumentiert Süme. Ein Inhalte-Anbieter könne sie in der Regel nicht einer Person zuordnen. Inhalteanbieter sind beispielsweise Medienunternehmen, aber auch unabhängige Portale, Blogger oder Web-Shops. Die wüssten nicht, zu wem eine IP-Adresse gehört. Das könne nur dasjenige Unternehmen sagen, das dem Kunden den Zugang zum Internet vermittelt und deshalb seine Vertragsdaten hat, sagt Süme. Das sind sogenannte Zugangs-Provider. Weicherts Ansatz, nun gegen Webseiten-Betreiber vorzugehen, kann Süme nicht viel abgewinnen. Die könnten oft gar nicht sagen, welche Daten abgezogen werden.
Der Hamburger Datenschutzbeauftragte Caspar kann das nur bestätigen: Er hat über neun Monate gebraucht, um von einen Softwareanbieter zu erfahren, ob er komplette IP-Adressen abgreift. Das war dummerweise die Software, die die Seite Hamburg.de der Senatsverwaltung verwendet. Dort hatte auch der Datenschützer Caspar seine digitale Heimat. Bis Donnerstag dieser Woche. Nun ist er offline und arbeitet an einem Netzauftritt, der den eigenen Anforderungen genügt.
Einspielung
"Im Prinzip ist dieser Dienst so, obwohl er von 80 Prozent der Web-Seiten-Betreiber in Deutschland genutzt wird, definitiv nicht rechtskonform und da mussten wir dann irgendwann mal die Notleine ziehen."
Es bestehe unter allen Datenschutzbeauftragten der Länder Einigkeit in der Frage, dass Google mit Analytics gegen deutsches Recht verstoße, sagt Weichert. Per Meyerdierks, Datenschutzbeauftragter bei Google Deutschland, argumentiert in einer Stellungnahme gegenüber dem Deutschlandfunk, man habe doch Änderungen am Produkt vorgenommen, um den Forderungen der Datenschützer nachzukommen. Der Dienst könne durch den Nutzer deaktiviert oder die IP-Adressen gekürzt werden. Diese Möglichkeit gebe es für unterschiedliche Browser. Eine Einstellung solcher Feinheiten in den Browsern sei den Nutzern nicht zuzumuten, sagt Weichert. Im Test der Hamburger Datenschutzbehörde habe sich noch dazu ergeben, dass das Verfahren nicht solide funktioniere, ergänzt Caspar. Thilo Weichert geht in Schleswig-Holstein schon seit einiger Zeit gegen Webseiten-Betreiber vor, die Google Analytics einsetzen. Nicht mit der großen rechtlichen Keule des Bußgelds, aber mit der Aufforderung, die Nutzung einzustellen.
"Unsere Erfahrung ist, dass bisher jeder Webseitenbetreiber den wir auf den rechtswidrigen Zustand hingewiesen haben, dann auch umgehend die Nutzung von Google Analytics eingestellt hat."
Seim Hamburger Kollege Caspar ist da vorsichtiger. Es gebe iele Webseitenbetreiber, die gar nicht anders können, als diese Software einzusetzen und er halte es für schwierig, dort rechtlich die Keule rauszuholen, sagte er im Gespräch gegenüber dem Deutschlandfunk. Welche Haltung sich durchsetzt, könnte sich auf der nächsten Sitzung der Landesdatenschützer im April zeigen. Eine der Hauptfragen ist in der Debatte, ob komplette IP-Adressen personenbezogene Daten sind oder nicht.. IP-Adressen sind bestimmten Internet-Zugängen zugeordnet. Weichert sieht seine Auffassung, dass es sich dabei um personenbezogene Daten handelt, durch das Bundesverfassungsgericht gedeckt:
"Wir haben vor kurzem eine Entscheidung des Bundesverfassungsgerichts gehabt zur Vorratsdatenspeicherung, wo das Bundesverfassungsgericht ausdrücklich klarstellt, dass die IP-Adresse ein personenbeziehbares Datum ist."
Diese Auffassung des Datenschützers aus Schleswig-Holstein will Oliver Süme nicht so stehen lassen. Süme arbeitet für den Verband der Internet-Untenehmen Eco und ist dort für rechtliche Fragen verantwortlich.
"Das Urteil des Bundesverfassungsgericht lässt nach meiner Meinung keinen Rückschluss darauf zu, dass in diesem Umfeld, von dem wir hier beim Einsatz von Google Analytics sprechen, die IP-Adresse personenbezogen sein muss."
Es komme darauf an, wo die IP-Adressen entstehen, argumentiert Süme. Ein Inhalte-Anbieter könne sie in der Regel nicht einer Person zuordnen. Inhalteanbieter sind beispielsweise Medienunternehmen, aber auch unabhängige Portale, Blogger oder Web-Shops. Die wüssten nicht, zu wem eine IP-Adresse gehört. Das könne nur dasjenige Unternehmen sagen, das dem Kunden den Zugang zum Internet vermittelt und deshalb seine Vertragsdaten hat, sagt Süme. Das sind sogenannte Zugangs-Provider. Weicherts Ansatz, nun gegen Webseiten-Betreiber vorzugehen, kann Süme nicht viel abgewinnen. Die könnten oft gar nicht sagen, welche Daten abgezogen werden.
Der Hamburger Datenschutzbeauftragte Caspar kann das nur bestätigen: Er hat über neun Monate gebraucht, um von einen Softwareanbieter zu erfahren, ob er komplette IP-Adressen abgreift. Das war dummerweise die Software, die die Seite Hamburg.de der Senatsverwaltung verwendet. Dort hatte auch der Datenschützer Caspar seine digitale Heimat. Bis Donnerstag dieser Woche. Nun ist er offline und arbeitet an einem Netzauftritt, der den eigenen Anforderungen genügt.