Rechtsrisiken beim Einsatz von Google Analytics & Co.

Was ist erlaubt, was nicht?

∅ 3.8 / 14 Bewertungen

Was ist erlaubt, was nicht?

Wann ist die Verwendung personenbezogener Daten erlaubt?

Viele Websiten-Betreiber, die Analysesoftware wie Google Analytics verwenden, fragen sich, welche Daten sie nun überhaupt noch erheben können. Klar ist, dass personenbezogene Daten grundsätzlich immer dann verwendet werden dürfen, wenn der Betroffene einwilligt.

Eine Einwilligung im juristischen Sinne liegt jedoch nur dann vor, wenn der Betroffene der Verwendung seiner Daten ausdrücklich vor der Erhebung und Verwendung seiner Daten zustimmt. Es ist somit logisch, dass zu dem Zeitpunkt, zu dem der Nutzer einer Website z.B. bei Aufruf der Seite dazu aufgefordert wird, der Verwendung seiner Daten zu Analysezwecken zuzustimmen, im Hintergrund noch keine personenbezogenen Daten gesammelt bzw. gespeichert werden dürfen.

Außerdem muss die Einwilligung ausdrücklich erfolgen. Allein ein Hinweis auf der Homepage (oder sogar nur in den AGB) dahingehend, dass der Nutzer mit der weiteren Nutzung der Website zeige, dass er der Erhebung und Verwendung seiner Daten zustimme, genügt somit nicht.

§ 15 TMG sieht jedoch Ausnahmen vor, in denen die Erhebung und Verwendung personenbezogener Daten auch ohne ausdrückliche Einwilligung erlaubt ist.

So darf nach § 15 III TMG der Diensteanbieter für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Dabei hat der Diensteanbieter jedoch den Nutzer auf sein Widerrufsrecht im Rahmen der Unterrichtung nach § 13 I TMG hinzuweisen. Außerdem dürfen diese Nutzungsprofile nicht mit den Daten über den Träger des Pseudonyms zusammengeführt werden.

Nach § 15 IV TMG darf der Diensteanbieter Nutzungsdaten (also gerade auch personenbezogene Daten) über das Ende des Nutzungsvorgangs hinaus verwenden, soweit sie für Zwecke der Abrechnung mit dem Nutzer erforderlich sind.

Ist der generelle Einsatz von Programmen wie Google-Analytics nun problematisch?

Ja und Nein. Es kommt darauf an, welche Daten von diesen Programmen erfasst werden.

Wenn diese Software lediglich anonyme Daten zwecks Statistikauswertung erfasst und verarbeitet, so ist dies unproblematisch.

Die Schwierigkeiten fangen dann an, wenn personenbezogene Daten erhoben werden. Denn dabei müssen die strengen Datenschutzbestimmungen für die Verwendung personenbezogener Daten beachtet werden. Dies bedeutet insbesondere, dass die Daten nur verwendet werden dürfen, wenn der Betroffene darin - vorher - ausdrücklich einwilligt oder ausnahmsweise eine gesetzliche Sonderbefugnis greift, die die Verwendung der Daten auch ohne vorherige Einwilligung gestattet. Nun stuften die beiden Berliner Gerichte IP-Adressen als personenbezogene Daten ein, so dass die Einbeziehung von IP-Adressen durch Analysesoftware wie Google Analytics rechtlich äußerst problematisch ist.

Andere Länder, andere Sitten

Frage: Inwiefern kann man Anbieter wie Google dafür zur Verantwortung ziehen? Antwort: Gar nicht. Denn im Prinzip geht es nicht um Google, sondern um den jeweiligen Verwender der Software. Die gesetzlichen Bestimmungen oder zumindest die Rechtsauffassungen der Gerichte sind in anderen Ländern nicht so streng wie in Deutschland, weshalb die Verwendung von Software wie Google Analytics außerhalb Deutschlands für weniger Probleme sorgt.

Welcher Strafrahmen droht bei einer Verurteilung?

An erster Stelle geht es den Betroffenen - wie in den beiden Verfahren vor den Berliner Gerichten - um den Löschungs- und Unterlassungsanspruch. Die Kläger wollten verhindern, dass mit ihren Daten (weiter) gesetzeswidrig verfahren wird.

"Formell" enthält das Bundesdatenschutzgesetz (BDSG) Bußgeldvorschriften, die bei bestimmten Verstößen Bußgelder in einer Höhe von bis zu 250.000 Euro vorsehen. Zudem greift bei besonders krassen Verstößen - und wenn sich der Täter an den Verstößen finanziell bereichert - eine Strafvorschrift, die eine Gefängnisstrafe von bis zu zwei Jahren oder eine Geldstrafe vorsieht. Auch das Telemediengesetz droht bei Ordnungswidrigkeiten Geldbußen bis zu 50.000 Euro an.

Soweit die Theorie. In der Praxis darf bezweifelt werden, ob derartige Bußgelder gegenüber (kleinen) Webseitenbetreibern verhängt werden. Bis dato gibt es unseres Wissens nach keine derartigen Verurteilungen.

Wie geht es weiter?

Es bleibt abzuwarten, wie sich weitere Gerichte zu dieser Thematik äußern werden.

Einer endgültigen Klärung bedarf insbesondere die Frage, ob IP-Adressen personenbezogene Daten sind. Nach derzeitigem Stand muss davon ausgegangen werden, dass dies so ist. Dies hat zur Folge, dass diese Daten tatsächlich nur innerhalb der engen Grenzen der Datenschutzgesetze, insbesondere des Bundesdatenschutzgesetzes und des § 15 Telemediengesetz, erhoben und verarbeitet werden dürfen.

Darüber hinaus wird diskutiert, ob es für die Erhebung und Speicherung von IP-Adressen und weiteren personenbezogenen Daten möglicherweise zusätzliche, vom Gesetzgeber (noch) nicht bedachte Gründe, wie z. B. die Abwehr von elektronischen Angriffen auf die Internetseite (Hackerangriffe) oder Spam gibt, die die Speicherung dieser Daten rechtfertigen würden.

Fazit

Für die beiden Berliner Gerichte stellen IP-Adressen personenbezogene Daten dar, die in aller Regel - nämlich dann, wenn keine gesetzliche Ausnahme nach § 15 TMG vorliegt - nur mit Einwilligung der Betroffenen erhoben werden dürfen. Dies hat zur Folge, dass Analysesoftware wie Google Analytics u.a. nicht zur Analyse des Nutzungsverhaltens verwendet werden darf, wenn dabei auch die IP-Adresse verarbeitet wird. Um auf der sicheren Seite zu sein, sollten die Webseitenbetreiber darauf achten, dass die von ihnen verwendete Analysesoftware ohne die Verwendung der IP-Adresse auskommt.

Allerdings haben die beiden Urteile der Berliner Gerichte keine allgemeine Gültigkeit. Denn wie das Urteil des AG München, wonach IP-Adressen keine personenbezogenen Daten sind, zeigt, ist die Rechtsprechung längst nicht einheitlich. Hier fehlt letztlich noch eine höchstrichterliche Entscheidung, um endgültig Klarheit zu schaffen.

Bis dahin gilt: Wer personenbezogene Daten wie IP-Adressen weiterhin im Rahmen von Nutzungs-Analysesoftware auswertet, bewegt sich auf dünnem Eis. Eine konkrete Abmahngefahr besteht derzeit nicht - was aber nicht heißt, dass sich das nicht künftig ändern könnte.