Rechtliche Zulässigkeit von Webtracking-Tools

  •  

Herr RA Dr. Martin Schirmbacher von der renommierten Kanzlei HÄRTING Rechtsanwälte aus Berlin nahm sich ganz spontan über eine Stunde Zeit, um mir Fragen rund um die rechtliche Zulässigkeit von Webtracking-Tools zu beantworten.

RA Dr. Schirmbacher

Herr Dr. Schirmbacher, Webtracking-Tools wie zum Beispiel Google Analytics sind ja sehr in das Fadenkreuz der Justiz gerückt. Würden Sie bitte kurz für meine Leser erläutern, was ein Webtracking-Tool ist?

Tracking-Tools erlauben es dem Website-Betreiber, die Besucherbewegungen auf seiner Website zu protokollieren. Dazu wird analysiert, von welchen Websites die Besucher auf die Website kommen, unter Umständen welche Suchbegriffe sie bei Suchmaschinen eingegeben haben, wie lange sie bleiben und welchen Weg sie über die Website nehmen. Zusätzlich gespeichert werden können Informationen über den eingesetzten Browser, die Spracheinstellungen und die IP-Adresse, mit der der Nutzer die Website ansurft.

Die Einzelheiten sind je nach eingesetztem Tool unterschiedlich. Google Analytics ist ein von Google kostenlos angebotener Tracking-Dienst, der - das ist der Anstoß der Aufregung - auch die IP-Adresse des Nutzers speichert.

Was ist an der Speicherung der IP-Adresse denn so problematisch?

Das Bundesdatenschutzgesetz lässt die Erhebung und Speicherung personenbezogener Daten nur zu, wenn das von einer gesetzlichen Vorschrift explizit erlaubt wird oder eine Einwilligung des Nutzers vorliegt. Nach § 15 Abs. 1 Telemediengesetz (TMG) der Diensteanbieter personenbezogene Daten eines Nutzers ohne dessen Einwilligung nur erheben und verwenden darf, „soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen". Die Verwendung dieser Daten über das Ende des Nutzungsvorgangs hinaus ist nur erlaubt, „soweit sie für Zwecke der Abrechnung mit dem Nutzer erforderlich sind" (§ 15 Abs. 4 TMG).

Beides liegt beim Tracking von User-Daten nicht vor, so dass eine Erhebung, Speicherung und Verarbeitung personenbezogener Daten unzulässig ist, wenn der Betroffene in die Erhebung und Auswertung nicht zuvor eingewilligt hat. Eine Einwilligung ist aber nur erforderlich, wenn tatsächlich personenbezogene Daten erhoben werden.

Stellt man sich auf den Standpunkt, dass IP-Adressen für den Website-Betreiber Personenbezug haben, dürfen die IP-Adressen nicht über den bloßen Verbindungsaufbau hinaus gespeichert werden.

Dazu habe ich eine ganz heiße Frage: Haben IP-Adresse nun Personenbezug oder nicht?

Daran scheiden sich die juristischen Geister. Die inzwischen wohl überwiegende Zahl der Fachjuristen ist der Meinung, dass die theoretische Möglichkeit einer Identifizierung des Betroffenen aus der IP-Adresse, gleich ob das die Mitwirkung eines Dritten, illegale Methoden oder unverhältnismäßigen Aufwand erfordert, genügt.

Das Amtsgericht München und mit ihm einige andere Juristen stehen dagegen auf dem Standpunkt, dass sich die Bestimmbarkeit nach den Möglichkeiten der Person oder Stelle richtet, die die Daten erhoben hat, den Nutzer zu identifizieren. Dies führt dazu, dass das gleiche Datum für einen Dienstleister Personenbezug haben kann, weil er aus der Information einen Rückschluss auf eine konkrete Person ziehen kann, während das Datum für andere Dienstleister neutral ist, weil sie keine Möglichkeit haben, die dahinterstehende Person zu identifizieren.

Je nachdem welcher Ansicht man bei der Auslegung der maßgeblichen Vorschrift des § 3 Bundesdatenschutzgesetz ist, hält man die Speicherung für erlaubt oder nicht.

Wie wird dieser Streit ausgehen?

Das ist schwer vorherzusagen. Weil den deutschen Vorschriften zum Teil europäische Richtlinien zugrunde liegen, wird letztlich der EuGH entscheiden müssen. Die Texte der Richtlinien legen eine restriktive Auslegung nahe, so dass Personenbezug wohl angenommen werden wird.

Liegt die Gefahr der Speicherung von IP-Adressen nicht vielmehr in der Möglichkeit der Verknüpfung mit anderen Diensten?

In der Tat: Personenbezug liegt natürlich vor, wenn der Websitebetreiber den Nutzer über Log-Ins oder Cookies wieder erkennt und so seine Identität feststellen kann. Hier dürfte auch die größte - nicht unberechtigte - Angst der Gegner des Webtracking liegen. Führte Google die Tracking-Daten mit GMail-Daten oder Informationen aus der Toolbar zusammen, ist durchaus denkbar, dass eindeutig identifizierbare Profile entstehen. In einem solchen Fall liegt aber Personenbezug ohne Zweifel vor, so dass dies stets nur bei gesetzlicher Grundlage oder eben einer Einwilligung zulässig ist.

Kann man eine Einwilligung nicht in eine Datenschutzerklärung aufnehmen?

Nein! Eine Datenschutzerklärung ist zwar erforderlich, weil § 13 Abs. 1 TMG eine Informationspflicht festschreibt. Eine Einwilligung setzt aber eine Erklärung des Nutzers voraus. Wird die Einwilligung in der Datenschutzerklärung versteckt, erklärt sich der Nutzer nicht. Er wird lediglich informiert.

Das klingt aus meiner laienhaften Sicht wirklich hart! Was sind die rechtlichen Risiken?

Wer sich an Datenschutzbestimmungen nicht hält, riskiert Bußgelder der zuständigen Behörden, wobei bisher solche Bußgelder nicht bekannt geworden sind. Außerdem kann es sein, dass ein Verstoß gegen Datenschutzrecht als Wettbewerbsverstoß angesehen wird, so dass Verbraucherschutzverbände und auch Konkurrenten mit Abmahnungen und Unterlassungsklagen dagegen vorgehen können.

Welche Alternativen zu Google Analytics würden Sie empfehlen?

Herr Kratz, wollen Sie mich auf den Arm nehmen ... das ist nun wirklich Ihr Job ;-)

Herr Dr. Schirmbacher, haben Sie recht herzlichen Dank für Ihre Zeit und die vielen Informationen! Und zur Diskussion der Google Analytics Alternativen, habe ich soeben folgenden Thread in der XING E-Marketing Gruppe eröffnet: http://goo.gl/FRcn

RA Dr. Martin Schirmbacher

Martin Schirmbacher ist Fachanwalt für IT-Recht und seit Jahren in der auf Medien und Technologie spezialisierten Rechtsanwaltskanzlei HÄRTING Rechtsanwälte (www.haerting.de) tätig. Er prüft dort unter anderem Online-Geschäftskonzepte seiner Mandanten und zeigt Wege zur rechtssicheren Ausgestaltung der Geschäftsidee. Einer seiner Schwerpunkte ist das Online-Marketing. Unter http://www.haerting.de/de/3_lawraw/faqs/onlinemarketing.php hat er ein A-Z des Online-Marketing zusammengestellt.

Er ist unter twitter.com/mschirmbacher, schirmbacher@haerting.de und https://www.xing.com/profile/Martin_Schirmbacher zu erreichen.

Noch mehr Lesestoff zu "Digitale Findbarkeit"

  •