Bedrohung für Webseitenbetreiber: Abmahnungen bei Nutzung von Google Analytics
Die Voraussetzungen einer Nutzung personenbezogener Daten in Internetdiensten und sozialen Netzwerken sind umstritten. Ein Schlaglicht auf datenschutzrechtliche Fragen werfen aktuelle Abmahnungen gegen Webseitenanbieter, die den Onlinedienst Google Analytics nutzen.
Welche Möglichkeiten bietet Google Analytics?
Google Analytics ermöglicht die Analyse von Webseitenzugriffen (“Social Tracking”). Durch Integration des Dienstes in die Google-Adwords-Benutzeroberfläche lässt sich der Erfolg von AdWords-Kampagnen besser kontrollieren. Google Analytics hält u. a. die tägliche Besucheranzahl einer Seite, die Ausgangswebseiten, von denen ein Besucher zur Website eines Betreibers gelangte, die Verweildauer von Nutzern, die von Ihnen verwendeten Suchbegriffe und ihre Aktionen auf der Webseite fest. Auch erfolgt eine jedenfalls teilweise Speicherung von IP-Adressen, die von einigen Gerichten als personenbezogene Daten bewertet werden.
Google Analytics und das Datenschutzrecht
Da mit den gespeicherten Daten umfassende Benutzerprofile jedes Webseitenbesuchers erstellt werden könnten, ist Google Analytics datenschutzrechtlich umstritten. Gemäß § 12 Absatz 1 Telemediengesetz (TMG) dürfen Diensteanbieter personenbezogene Daten nur bei ausdrücklicher gesetzlicher Ermächtigung oder bei vorheriger Einwilligung des Nutzers erheben und verwenden. Nach einem Monitum von Landesdatenschutzbeauftragten änderte Google die Google-Analytics-Funktionalität im Jahr 2011 für Deutschland dahingehend, dass eine lediglich teilweise Speicherung der IP-Adresse technisch ermöglicht wird und dass ein Webseitenbetreiber, der Google Analytics nutzt, die Firma Google mit der Datenspeicherung vertraglich beauftragen soll.
Abmahnungsfälle gegen Webseitenbetreiber
In einer Abmahnung gegen einen Webseitenbetreiber macht eine Hanauer Rechtsanwaltskanzlei nunmehr geltend, dass eine Aufklärung des Nutzers und dessen ausdrückliche Einwilligung zur Speicherung personenbezogener Daten wie IP-Adresse, Zeitpunkt des Webseitenaufrufs, Zugriffsort, Verweildauer, übertragene Datenmenge und Suchverhalten entgegen § 13 TMG nicht vorgelegen habe. Auch ein Hinweis auf ein Widerspruchsrecht gegen die Datenerfassung im Sinne von §§ 13 I und 15 III TMG und auf eine Möglichkeit zur Verwendung eines Deaktivierungs-Add-Ons sei nicht erfolgt. Aufgrund der Nichtbeachtung datenschutzrechtlicher Bestimmungen sei eine Nutzeridentifikation ohne größeren Aufwand möglich. Dies verstoße gegen das Recht auf informationelle Selbstbestimmung, die das Bundesverfassungsgericht aus dem allgemeinen Persönlichkeitsrecht abgeleitet hat (Artikel 2 Absatz 1 in Verbindung mit Artikel 1 Absatz 1 Grundgesetz).
Die abmahnende Kanzlei erhebt den Anspruch auf Unterlassung der Speicherung von Personaldaten aus §§ 1004, 823 BGB, 3, 4 BDSG, 12, 15 TMG sowie aus den Artikeln 1 und 2 GG. Aus Geschäftsführung ohne Auftrag stehe dem Mandanten der Kanzlei ein Erstattungsanspruch hinsichtlich der Rechtsanwaltskosten zu. Die Hanauer Rechtsanwälte, die ihrer Abmahnung einen Gegenstandswert von 20.000 Euro zugrunde legen, stellen inklusive Auslagenpauschale und 19 Prozent Mehrwertsteuer eine Abmahngebühr von 1.171 Euro in Rechnung, die die Kanzlei ggf. gerichtlich durchsetzen wolle.
Sollte eine derartige Abmahnung rechtlichen Bestand haben, so wäre jeder Webseitenbetreiber bei datenschutzrechtlichen Verstößen potenziell durch – in der Summe ruinöse – Abmahnungen jedes einzelnen Webseitenbesuchers bedroht.
Wann verstößt eine IP-Adressen-Speicherung gegen das Datenschutzrecht?
Wann eine Speicherung von IP-Adressen ohne Einwilligung des Webseitennutzers gegen das Datenschutzrecht verstößt, ist umstritten.
Nach einer “strengeren” Rechtsauffassung liegt ein Verstoß gegen das Datenschutzrecht bereits vor, wenn die hypothetische Möglichkeit zur Herstellung eines Personenbezugs gegeben ist. Verfügt der Zugangsanbieter sowohl über die Bestandsdaten als auch über die IP-Adresse eines Kunden, so wäre eine datenschutzrechtlich bedenkliche Möglichkeit zur Herstellung eines Personenbezugs schon gegeben, wenn der Nutzungszeitpunkt ebenfalls bekannt ist.
In Rechtsprechung und Literatur setzt sich jedoch zunehmend die Auffassung durch, dass ein Rechtsverstoß nur dann vorliegt, wenn der Personenbezug mit den üblicherweise zur Verfügung stehenden Hilfsmitteln und Kenntnissen und ohne größeren Aufwand möglich ist. Dies wäre dann gegeben, wenn der Webseitenbetreiber den Namen des Kunden (z. B. aufgrund einer entsprechend lautenden E-Mail-Adresse) mit einer IP-Adresse verbinden könnte. In diesem Fall wäre eine Speicherung der IP-Adresse ohne Nutzereinwilligung nicht datenschutzgerecht.
Fraglich ist allerdings, wie die Rechtslage bei einer dynamischen, sich also immer wieder ändernden IP-Adresse bewertet werden muss. Der niedersächsische Landesdatenbeauftragte vertritt die Auffassung, dass auch dynamische IP-Adressen datenschutzrechtlich relevant sind, da die Möglichkeit bestehe, dass durch Zusammenführung verschiedener Datenbestände (z. B. aus Logg-Protokollen, Registrierungsdaten und Suchmaschinenanfragen) ein Nutzerbezug hergestellt werden könne.
Wie lassen sich Verstöße gegen das Datenschutzrecht vermeiden?
Um Verstöße gegen das Datenschutzrecht zu vermeiden, sollten Webseitenbetreiber, die Google Analytics verwenden, entsprechend der Empfehlungen von Datenschutzbehörden nachfolgende Voraussetzungen für den Betrieb ihrer Website beachten:
– Durch Installation des Zusatzes “_anonymizeIp” werden die letzten 8 Bits von IP-Adressen gelöscht, so dass Nutzeridentifizierungen nicht mehr möglich sind.
– Die Startseite einer Website muss zwingend einen Link zu einer “Datenschutzerklärung” aufweisen, die Ausführungen zum Datenschutz im Hinblick auf Google Analytics enthält. Insbesondere muss ein Hinweis erfolgen, dass der Nutzer ein Widerspruchsrecht gegen die Erfassung seiner Daten hat und dass er das Widerspruchsrecht durch Installierung eines Deaktivierungs-Add-Ons geltend machen kann.
– Zudem sollte der Webseitenbetreiber mit Google einen den Vorschriften des Bundesdatenschutzgesetzes entsprechenden Vertrag zur Auftragsdatenverarbeitung abschließen. Ein mit den Datenschutzbehörden abgestimmter Vertragstext befindet sich unter http://static.googleusercontent.com/external_content/untrusted_dlcp/www.google.com/de//analytics/terms/de.pdf.
– Wurden Daten bislang ohne Erfüllung dieser Voraussetzungen gespeichert, so liegt nach Einschätzung der Datenschutzbehörden vermutlich ein Rechtsverstoß vor. Altdaten sollten daher ggf. gelöscht werden.
Für weitere Informationen steht die Rechtsanwaltskanzlei Weiß & Partner insbesondere auch Webseitenbetreibern zur Verfügung, die aufgrund der Nutzung von Google Analytics von Abmahnungen betroffen sind.
Weitere Informationen wurden hier zusammengestellt.
Wir beraten Privatpersonen, Freiberufler, kleine und mittelständische Unternehmen zu allen Fragestellungen in diversen Rechtsgebieten wie dem Wettbewerbsrecht, Markenrecht, Urheberrecht, IT-Recht, Internetrecht und Arbeitsrecht.
Die optimale Betreuung des Mandanten ist nicht nur das gemeinsame Ziel, sondern auch unser oberstes Gebot. Die Fähigkeit zur Kommunikation, die Erreichbarkeit gehört für uns ebenso zum Service wie ein enger, aufgeschlossener Kontakt zu den Mandanten.
Sprechen Sie uns an.
Kontakt:
Anwaltskanzlei Weiß & Partner® Rechtsanwälte, Patentanwalt
Frank Weiß
Katharinenstraße 16
73728 Esslingen
071188241006
kanzlei@ratgeberrecht.eu
http://www.ratgeberrecht.eu