Schlagwort: IP-Adresse
7. März 2023
Der Schutz von IP-Adressen gewinnt in der datenschutzrechtlichen Praxis zunehmend an Bedeutung, insbesondere bei der Einbindung von Drittdiensten in Webseiten und der Nutzung von IP-Adressen im Zensus 2022. Es wird jedoch oft pauschal angenommen, dass dynamische IP-Adressen personenbeziehbar sind, was nicht zwingend der Fall ist. Es wird unterstellt, dass dynamische IP-Adressen personenbeziehbar nach Art. 4 Nr. 1 DS-GVO seien. Findet sich eine Begründung, wird auf das Urteil des EuGH in der Rs. Breyer verwiesen.
Da IP-Adressen bei jeder Internet-Kommunikation unvermeidlich sind und ihre Bedeutung mit dem Auslaufen von cookiebasiertem Tracking weiter zunehmen wird, ist es wichtig, den angeblichen Personenbezug von dynamischen IP-Adressen kritisch zu hinterfragen.
Was steht in der DS-GVO?
Im Gesetzestext der DS-GVO wird nicht explizit auf IP-Adressen eingegangen, jedoch werden sie im Erwägungsgrund 30 erwähnt, wo deutlich wird, dass sie nur in Kombination mit anderen Informationen einen Personenbezug ermöglichen können. Nach Erwägungsgrund 26 sollen dabei nur Zusatzinformationen berücksichtigt werden, die “nach allgemeinem Ermessen wahrscheinlich genutzt werden”, wobei objektive Faktoren wie Kosten und Zeitaufwand zu berücksichtigen sind. Der europäische Verordnungsgeber betrachtet den möglichen Personenbezug von IP-Adressen also differenziert.
Rechtsprechung und Aufsichtsbehörden undifferenziert
In einigen Fällen gehen Gerichte und Datenschutzaufsichtsbehörden reflexartig davon aus, dass eine IP-Adresse einen Personenbezug hat. Zum Beispiel hat das LG München I in einem Fall, der die Google-Fonts-Abmahnwelle ausgelöst hat, entschieden, dass die dynamische IP-Adresse für einen Webseitenbetreiber ein personenbezogenes Datum darstelle, unabhängig davon, ob auch Google die konkrete Möglichkeit hat, die IP-Adresse mit dem Kläger zu verknüpfen. Ähnlich haben auch andere Gerichte im Zusammenhang mit dem Zensus 2022 entschieden. Deutsche Datenschutzaufsichtsbehörden haben seit vielen Jahren die Ansicht vertreten, dass IP-Adressen stets personenbezogene Daten darstellen, und geben in der Regel keine Begründung dafür an. Dies ist auch in der finalen Fassung der DSK-Orientierungshilfe Telemedien der Fall.
Das Breyer-Urteil des EuGH
Das Urteil des EuGH in der Rs. Breyer aus dem Jahr 2016 wurde von vielen als bahnbrechend angesehen, da es den Personenbezug von IP-Adressen anerkannte. Dieses Urteil wurde jedoch oft missverstanden und es ist weniger klar und differenzierter, als es oft angenommen wurde. Der EuGH wurde von der Vorlagefrage des BGH geleitet, die sich auf die Verarbeitung von IP-Adressen durch Webseitenbetreiber bezieht. Der BGH wollte wissen, ob eine IP-Adresse, die von einem Webseitenbetreiber im Zusammenhang mit einem Zugriff auf seine Webseite gespeichert wird, als personenbezogenes Datum anzusehen ist, wenn der Internetzugangsanbieter über das zur Identifizierung der betroffenen Person erforderliche Zusatzwissen verfügt.
Die Vorlagefrage des BGH war relativ eng und bezog sich nur auf die Verarbeitung von IP-Adressen durch Webseitenbetreiber, die diese selbst erhoben haben. Es wurde unterstellt, dass der Internetzugangsanbieter über das erforderliche Zusatzwissen verfügt, um die betroffene Person zu identifizieren. Allerdings blieb die Vorlagefrage unklar, da es unklar war, ob mit der “betroffenen Person” der Inhaber des Internetanschlusses oder der konkrete Nutzer gemeint war, der die betreffende Webseite aufgerufen hatte. In der Praxis fallen diese Gruppen oft auseinander, zum Beispiel bei offenen WLAN-Netzwerken oder wenn sich mehrere Familienmitglieder oder WG-Bewohner einen Internetanschluss teilen.
Es war unklar, ob der BGH den Anschlussinhaber oder den konkreten Nutzer im Sinn hatte, was zu einer Uneinigkeit zwischen dem BGH und dem EuGH führte. Der EuGH interpretierte die Vorlagefrage offenbar dahingehend, dass die “betroffene Person” der Nutzer sei, der die Webseite abgerufen hat. Es scheint, als hätten der BGH in seinem Vorlagebeschluss und der EuGH in seinem Urteil in dieser entscheidenden Frage aneinander “vorbeigeredet”.
Die Frage der Zugänglichkeit der Zusatzinformationen war ebenfalls ein strittiger Punkt zwischen dem BGH und dem EuGH. Der BGH erwähnte in seinem Vorlagebeschluss, dass dem Webseitenbetreiber kein direkter Auskunftsanspruch gegenüber dem Internetzugangsbetreiber zustehe und dass die Zusatzinformationen des Internetzugangsanbieters für den Webseitenbetreiber als nicht zugänglich anzusehen seien. Der EuGH war jedoch der Ansicht, dass es für den Anbieter von Online-Mediendiensten rechtliche Möglichkeiten gebe, um die fraglichen Informationen vom Internetzugangsanbieter zu erlangen und die Strafverfolgung einzuleiten. Das Urteil des EuGH betont, dass die Identifizierung “praktisch durchführbar” sein müsse.
Insgesamt war das Urteil des EuGH in der Rs. Breyer weniger klar und differenzierter als oft angenommen. Es gibt immer noch offene Fragen bezüglich des Personenbezugs von IP-Adressen und der Zugänglichkeit von Zusatzinformationen.
Fazit
Das Breyer-Urteil des Europäischen Gerichtshofs (EuGH) hat zu einer umfangreichen Diskussion darüber geführt, ob dynamische IP-Adressen als personenbezogene Daten zu betrachten sind. In diesem Zusammenhang ist es wichtig zu betonen, dass das Urteil des EuGH auf den Kontext des Vorlagebeschlusses beschränkt ist und lediglich eines von vielen praktischen Szenarien betrifft, in denen IP-Adressen eine Rolle spielen. Die Entscheidung ist somit mit Vorsicht zu genießen. Eine Übertragung auf die Identifizierbarkeit des konkreten Nutzers erscheint zweifelhaft, wenn dieser nicht zugleich der Anschlussinhaber ist.
Das Urteil ist nicht ohne Einzelfallprüfung auf Situationen übertragbar, in denen IP-Adressen von anderen Verantwortlichen als dem Webseitenbetreiber verarbeitet werden. Ob auch Drittanbietern nach deutschem Recht die rechtlichen Auskunftsansprüche zustehen, haben weder der Bundesgerichtshof noch der EuGH entschieden. Auch die Frage, ob derartige Ansprüche nach anderen anwendbaren Rechtsordnungen bestehen, wenn die Drittanbieter außerhalb Deutschlands sitzen, ist offen. Die Möglichkeit für Drittanbieter, den Personenbezug auf Grundlage eigener Zusatzinformationen herzustellen, kann nicht einfach unterstellt werden, sondern muss im Einzelfall begründet werden. Erhebliche Zweifel am Personenbezug von IP-Adressen bestehen daher auch beim sog. „Server Side Tracking“.
In Konstellationen, in denen IP-Adressen in anderem Kontext als einem http-Request verarbeitet werden, liegt ein Personenbezug noch ferner. Eine Identifizierbarkeit ist kaum mehr denkbar, wenn die Stelle, die IP-Adressen verarbeitet, nicht über die bei einem http-Request übermittelten weiteren Informationen verfügt. Somit ist eine fundierte Begründung notwendig ist, um festzustellen, ob dynamische IP-Adressen personenbezogene Daten darstellen. Ohne eine solche erscheint die Wertung in vielen Fällen rechtlich angreifbar.
Klar ist, dass die Frage, ob dynamische IP-Adressen personenbezogene Daten darstellen, stets einer fundierten Begründung bedarf. Ohne eine solche erscheint die Wertung in vielen Fällen rechtlich angreifbar.
30. Dezember 2021
Die 2016 mit prominenter Unterstützung eingereichte Verfassungsbeschwerde gegen die Vorratsdatenspeicherung wird mit einem Ende vergangener Woche gestellten Antrag angepasst auf die Gesetzesreform des TKG von Anfang Dezember. Nach der Gesetzesreform befinden sich die angegriffenen Regelungen nun in den Paragrafen 176 und 177 TKG. Von den Beschwerdeführern wird geltend gemacht, dass die ursprünglich angegriffenen Regelungen im Rahmen der Novellierung des TKG nicht in dem Sinne aufgehoben wurden, als dass sie ersatzlos entfallen wären – im Gegenteil seien die Regelungen lediglich “verschoben” worden. In der Konsequenz handele es sich bei der Novellierung um eine bewusste Perpetuierung der ursprünglichen Rechtslage und damit um nach Auffasung der Beschwerdeführer verfassungswidrige Regelungen.
Zu einigen Punkten der Ausgangsbeschwerdeschrift nehmen die Beschwerdeführer noch einmal ergänzend Stellung. Im Fokus liegt dabei insbesondere die umstrittene Vorratsdatenspeicherung von IP-Adressen: Der Europäische Gerichtshof (EuGH) hält Vorgaben zum flächendeckenden Aufbewahren von Telekommunikationsdaten auf Vorrat unverhältnismäßig und sieht darin einen Verstoß gegen die europäischen Grundrechte. Für das flächendeckende Aufbewahren von IP-Adressen allerdings nimmt der EuGH eine Ausnahme vor. Da die IP-Adresse eines Nutzers für sich genommen nicht auf den Kommunikationspartner schließen lasse, bringe die Vorratsdatenspeicherung von IP-Adressen im Vergleich zu der Erfassung von Verbindungs- und Standortdaten weniger schwerwiegende Grundrechtseingriffe mit sich und sei deshalb “milderes” Mittel im Vergleich zu einer Erfassung von Verbindungs- und Standortdaten.
Dieser Annahme tritt die erweiterte Argumentation der Beschwerdeführer vehement entgegen. Warum die Identifizierbarkeit eines Teilnehmers anhand einer IP-Adresse unter geringeren Voraussetzungen möglich sein soll als bei anderen Kennungen sei schlechthin nicht zu rechtfertigen. Dies verdeutliche bereits ein simples Beispiel. Ruft jemand mit unterdrückter Rufnummer einen bekannten Zielanschluss an, so darf dies nicht auf Vorrat gespeichert werden. Erfolge der Anruf dagegen über einen anonymen Internetdienst, wäre der Anrufer dagegen über seine IP-Adresse identifizierbar. Zudem sei nicht die IP-Adresse selbst entscheidend sondern ihre Nutzbarkeit. Mit ihrer Hilfe lasse sich nicht nur auf einen Kommunikationspartner schließen sondern die gesamte Internetnutzung rekonstruieren und so ein detailliertes Persönlichkeitsprofil erstellen – anders als bei anderen Verbindungdaten. Nach dieser Argumentation wäre die Speicherung von IP-Adressen mitnichten weniger eingriffsintensiv, sondern geradezu das Ende der Anonymität im Internet.
Die meisten EU-Mitgliedstaaten wollen laut einem diplomatischen Bericht das EuGH-Urteil ausschöpfen. Der neue Bundesjustizminister Marco Buschmann (FDP) hingegen will die Vorratsdatenspeicherung „endgültig aus dem Gesetz streichen“. Die FDP schlägt stattdessen das sogenannte Quick Freeze Verfahren vor. In solchen Fällen werden Vorratsdaten erst nach einem konkreten Anfangsverdacht und einer gerichtlichen Anordnung „eingefroren“ und Ermittlungsbehörden zur Auswertung übergeben. Ein solches Vorgehen wäre, so Buschmann, “ein Gewinn für Freiheit und Sicherheit zugleich.”
30. Januar 2019
Mit Beschluss vom 20.12.2018 hat die 3. Kammer des Zweiten Senats des Bundesverfassungsgericht entschieden, die Verfassungsbeschwerde eines E-Mail-Anbieters gegen eine von der Staatsanwaltschaft Stuttgart angeordnete Erhebung und Übermittlung von IP-Adressen nicht zuzulassen. Im Rahmen einer ordnungsgemäß veranlassten Telekommunikationsüberwachung sollte der E-Mail-Anbieter wegen mutmaßlicher Verstöße gegen das Betäubungsmittel- und das Kriegswaffenkontrollgesetz eines Nutzers die IP-Adressen des betreffenden Nutzers der Staatsanwaltschaft zur Verfügung stellen.
Im Rahmen der Verfassungsbeschwerde führte der E-Mail-Anbieter aus, dass ihm dies nicht möglich sei, da die IP-Adressen aus Gründen der Datenvermeidung und der Datensparsamkeit lediglich anonymisiert gespeichert würden. Nach Auffassung des E-Mail-Anbieters sei es technisch nicht erforderlich, die IP-Adressen mit Personenbezug zu speichern und er sei hierzu auch nicht per Gesetz verpflichtet. Die § 100 Abs. 3 S. 2 StPO a.F. iVm § 7 Abs. 1 S. 2 Nr. 4 Telekommunikationsüberwachungsverordnung würden lediglich dazu verpflichten, bereits vorhandene Daten an die Strafverfolgungsbehörden zu übermitteln. Da die IP-Adressen aber schon nicht in der notwendigen Form protokolliert werden würde, seien schon keine Daten zur Übermittlung vorhanden.
Dieser Ansicht folgte das Bundesverfassungsgericht jedoch nicht. Um eine E-Mail einem Empfänger zuordnen zu können, müsse die IP-Adresse zumindest vorübergehend für die Dauer der Kommunikation zwischengespeichert werden. Damit seien die Daten jedoch bei dem Anbieter vorhanden. Der E-Mail-Anbieter müsse seine Dienste so einrichten, dass er im Falle ordnungsgemäß angeordneter Überwachungsmaßnahmen die angefragten IP-Adressen in verwertbarer Form an die Strafverfolgungsbehörden weitergeben könne. Hierzu verpflichte schon § 110 Abs. 1 Nr. 1 TKG, nach dem Anbieter öffentlicher Telekommunikationsdienste auf eigene Kosten technische Einrichtungen zur Umsetzung gesetzlich vorgesehener Maßnahmen zur Überwachung der Telekommunikation vorhalten und organisatorische Vorkehrungen für deren unverzügliche Umsetzung treffen müssen.
10. August 2016
Einem Bericht der Süddeutschen Zeitung zufolge, standen auf dem Online-Reiseportal www.cosmita.com jahrelang Informationen ungeschützt im Internet. Die Nutzer dieses Portals konnten darüber Ihre Reiseunterlagen einsehen, Sitzplatzreservierungen sowie Essensbestellungen für den Flug vornehmen und sonstige Reisepläne an Freunde und Verwandte versehden. Zur Einsicht und Bearbeitung dieser Informationen benötigte der Nutzer nur seinen Flug-Buchungscode und seinen Nachnamen oder den eines Mitreisenden.
Diese recht einfache Zugriffsmöglichkeit auf die Daten des Reiseportals haben sich zuletzt auch Kriminelle zu eigen machen und damit die oberen bereits genannten personenbezogene Daten von mehreren Millionen Reisenden abgreifen können. Weitergehende technische Kenntnisse waren dafür nicht erforderlich. Jeder wäre in der Lage gewesen, diese Informationen abzurufen. Recherchen der Süddeutschen Zeitung haben ergeben, dass der Auslöser hierfür ein seit 2011 bestehendes Datenleck bei dem Ticket-Großhändler Aerticket gewesen sei. Aerticket stelle für mehrere tausend Großkunden, wie unter anderem die Unister-Töchter www.fluege.de, Flug 24, Ab in den Urlaub, Tickets aus. Etwa ein Viertel davon seien von dem Datenleck betroffen und damit einsehbar gewesen. Nach Angaben der Süddeutschen Zeitung zufolge, sei die Sicherheitslücke umgehend nach Kenntnis geschlossen worden.
Aerticket verteidige sich derzeit mit der Behauptung, dass die über fünf Jahre bestehende Sicherheitslücke gar nicht von Kriminellen entdeckt worden sei. Die Sicherheitsexperten des Ticket-Großhändlers hätten geprüft, ob eine überdurchschnittlich hohe Anzahl an Zugriffen von einzelnen IP-Adressen aus einem bestimmten WLAN-Netz zu verzeichnen gewesen seien. Dies sei jedoch zumindest in den vergangenen eineinhalb Jahren nicht der Fall gewesen. Nun läge der Fall beim Berliner Datenschutzbeauftragten zur abschließenden Prüfung. Diese könne sich jedoch noch einige Monate hinziehen. Die Konsequenzen seien noch nicht bekannt.
29. Oktober 2014
Im Rechtsstreit um die Speicherung dynamischer IP-Adressen (die Ziffernfolgen, die bei jeder Einwahl vernetzten Computern zugewiesen werden, um deren Kommunikation im Internet zu ermöglichen) durch die Bundesregierung hat der Bundesgerichtshof (BGH) dem Europäischen Gerichtshof (EuGH) nun die folgende Frage zur Auslegung der EG-Datenschutz-Richtlinie vorgelegt: Die Brüsseler Richter sollen u. a. entscheiden, ob IP-Adressen “personenbezogene Daten” sind.
In dem damit ausgesetzten Revisionsverfahren geht es um eine Klage des Piratenpolitikers Patrick Breyer gegen die Bundesrepublik Deutschland. Der Schleswig-Holsteinische Landtagsabgeordnete will dem Bund verbieten lassen, IP-Adressen von Besuchern von Websites des Bundes über die Dauer der Nutzung hinaus zu speichern. Der EuGH soll nun klären, ob IP-Adressen überhaupt als “personenbezogene Daten” gelten, die vom europäischen Datenschutzrecht geschützt werden, auch wenn keine weiteren Informationen zur Identität des Anschlussinhabers vorliegen. Der Bund argumentiert bislang, ihm lägen selbst keine Informationen vor, die eine Identifizierung anhand der IP-Adresse ermöglicht. Diese Informationen habe nur der jeweilige Zugangsanbieter, der darüber nicht ohne Weiteres Auskunft geben dürfe.
Die Bundesbeauftragte für den Datenschutz, Andrea Voßhoff, begrüßte die gestrige Entscheidung des BGH. “Die gemeinsamen europäischen Rechtsgrundlagen, vor allem die in Arbeit befindliche Datenschutzgrundverordnung, erfordern eine einheitliche Auslegung und ein harmonisiertes Vorgehen bei grundlegenden Fragen.”, so Voßhoff in einer Pressemitteilung.
20. August 2012
Der Bundesgerichtshof (BGH) hat in einem Beschluss vom 19. April 2012 (Az. I ZB 80/11) den Auskunftsanspruch von Rechteinhabern bei Urheberrechtsverletzungen bekräftigt. Dem Beschluss zufolge müssen Internetprovider den Rechteinhabern Namen und Anschrift eines Nutzers mitteilen, wenn mit der dazugehörigen IP-Adresse „ein urheberrechtlich geschütztes Musikstück offensichtlich unberechtigt in eine Online-Tauschbörse eingestellt [wurde]“. Durch die Entscheidung kehrt der BGH von der bisherigen Rechtsprechungspraxis (vgl. nur die vorinstanzlichen Entscheidungen des LG Köln (Az. 213 O 337/11) und des OLG Köln (Az. 6 W 237/11)) ab, wonach ein gewerbliches Element zu der Rechtsverletzung treten muss, um einen Auskunftsanspruch begründen zu können. Die gesetzliche Grundlage des Auskunftsanspruchs der Rechteinhaber in § 101 Abs. 2 Satz 1 Nr. 3 im Gesetz über Urheberrecht und verwandte Schutzrechte (UrhG) spricht ebenfalls von einem „gewerblichen Ausmaß“, in dem die Rechtsverletzung erfolgt sein muss. Der BGH führt in der Begründung zu dieser Problematik recht kurz aus, dass der Auskunftsanspruch “kein gewerbliches Ausmaß der Rechtsverletzung voraus [setze], sondern […] unter Abwägung der betroffenen Rechte des Rechtsinhabers, des Auskunftspflichtigen und der Nutzer sowie unter Berücksichtigung des Grundsatzes der Verhältnismäßigkeit in aller Regel ohne weiteres begründet [sei]”. Der BGH führt weiter aus, dass sich weder aus dem Wortlaut der Bestimmung, noch aus der Systematik des Gesetzes die Voraussetzung des gewerblichen Elements ergebe. Diese widerspräche dem Ziel des Gesetzes, Rechtsverletzungen im Internet wirksam zu bekämpfen.
In der Opposition und der Netzgemeinde ist das Urteil weitestgehend auf Unverständnis gestoßen. Kritisiert wird insbesondere, dass der Beschluss im klaren Gegensatz zum Willen des Gesetzgebers stehe. Dieser habe, so Lars Klingbeil, netzpolitischer Sprecher der SPD-Bundestagsfraktion, den Auskunftsanspruch der Rechteinhaber „… ausdrücklich und aus guten Gründen auf Verletzungen des Urheberrechts in gewerblichen Ausmaß begrenzt”.
Daneben wird beklagt, dass mit dem Beschluss das ohnehin schon durch die Rechtsprechung aufgeweichte Kriterium des “gewerblichen Ausmaßes” endgültig gekippt werde. Oliver Süme vom eco-Verband der deutschen Internetwirtschaft e.V. rechnet damit, dass dies zu einer erheblichen Steigerung der Auskunftsersuchen an die Provider führen werde, die bereits zum jetzigen Zeitpunkt, nach erwirktem Gerichtsbeschluss, jeden Monat die Nutzerdaten zu 300.000 Internetverbindungen an die Rechteinhaber herausgeben. Zudem könne durch den Verzicht auf das gewerbliche Element die Intention des Gesetzgebers, Eingriffe in das Fernmeldegeheimnis an hohen Hürden zu messen, nicht mehr zur effektiven Durchsetzung verholfen werden.
Der Beschluss des BGH zeigt deutlicher als je zuvor, dass die angekündigte Novelle des Urheberrechts in kürzester Zeit angegangen werden sollte, um damit bei allen Beteiligten für die notwendige Rechtssicherheit im Umgang mit urheberrechtsgeschützten Inhalten sorgen zu können.
24. Oktober 2011
Wie heise online berichtet, plant die irische Datenschutzbehörde eine Überprüfung der europäischen Facebook-Niederlassung in der kommenden Woche. Anlass hierfür gaben auch die Beschwerden des österreichischen Studenten, der seine bei Facebook gespeicherten Daten angefordert hatte. Auf der ihm anschließend übersandten CD mit einem 1200 Seiten starken Dokument fanden sich unter anderem Einträge und Daten, die er längst gelöscht hatte.
Die Überprüfung von Facebook in Dublin soll nach dem Bericht etwa eine Woche dauern. Zuständig ist der irische „Data Protection Comissioner“, weil Facebook allein in Irland die „Facebook Ireland Limited“ als Niederlassung für Europa betreibt.
Inzwischen hat sich auch der Wissenschaftliche Dienst des Bundestages mit Facebook beschäftigt. Genauer ging es um die Anfrage eines FDP-Bundestagsabgeordneten, ob das Unabhängige Landeszentrum für Datenschutz (ULD) in Schleswig-Holstein Nutzern der Social-Plugins von Facebook zu Recht vorwerfe, gegen deutsches Datenschutzrecht zu verstoßen.
Das eindeutige Fazit der Wissenschaftler lautet, dass wegen deutlicher Unsicherheiten im geltenden Datenschutzrecht keinesfalls eindeutig von einem Verstoß ausgegangen werden könne. Die Rechtsauffassung des ULD sei vertretbar, die Behauptung eines eindeutigen Verstoßes aber unzutreffend.
Problematisch sei besonders der Personenbezug von Cookies und IP-Adressen. Die Anforderungen an die Bestimmbarkeit einer Person seien sehr umstritten und von der Rechtsprechung nicht einheitlich geklärt. Diese Kontroverse würde aber vom ULD ausgeblendet. Nicht nachvollziehbar sei auch die Begründung einer Auftragsdatenverarbeitung nach §11 BDSG, aus der sich die angeprangerte Verantwortlichkeit der Webseitenbetreiber für die von Facebook erstellen Statistiken ergeben könnte. (ssc)
14. März 2011
Immer wieder taucht die Frage auf, ob Dienste wie Google Analytics datenschutzkonform sind. Dies richtet sich entscheidend nach den Regelungen des TMG (Telemediengesetz).
Die dabei maßgeblichen Kriterien hat der Düsseldorfer Kreis (eine informelle Vereinigung der obersten Datenschutzaufsichtsbehörden für den nicht-öffentlichen Bereich) bereits im November 2009 herausgearbeitet. Festzuhalten ist dabei vor allem, dass Nutzungsprofile nur bei Verwendung von Pseudonymen erstellt werden dürfen. Eine IP-Adresse ist dabei kein Pseudonym im Sinne des Telemediengesetzes.
Der Düsseldorfer Kreis hält im Einzelnen folgende Vorgaben aus dem TMG für beachtlich:
- Den Betroffenen ist eine Möglichkeit zum Widerspruch gegen die Erstellung von Nutzungsprofilen einzuräumen. Derartige Widersprüche sind wirksam umzusetzen.
- Die pseudonymisierten Nutzungsdaten dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden. Sie müssen gelöscht werden, wenn ihre Speicherung für die Erstellung der Nutzungsanalyse nicht mehr erforderlich ist oder der Nutzer dies verlangt.
- Auf die Erstellung von pseudonymen Nutzungsprofilen und die Möglichkeit zum Widerspruch müssen die Anbieter in deutlicher Form im Rahmen der Datenschutzerklärung auf ihrer Internetseite hinweisen.
- Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen. Jede darüber hinausgehende Nutzung bedarf der Einwilligung der Betroffenen.
- Die Analyse des Nutzungsverhaltens unter Verwendung vollständiger IP-Adressen (einschließlich einer Geolokalisierung) ist aufgrund der Personenbeziehbarkeit dieser Daten daher nur mit bewusster, eindeutiger Einwilligung zulässig. Liegt eine solche Einwilligung nicht vor, ist die IP-Adresse vor jeglicher Auswertung so zu kürzen, dass eine Personenbeziehbarkeit ausgeschlossen ist.
Was bedeutet dies nun für Google Analytics? Google selber gibt in den Bedingungen für Google Analytics unter Punkt 8.1 an, die IP-Adresse in die USA zu übertragen und dort zu speichern. Die Schlussfolgerung liegt damit auf der Hand: Ohne Einwilligung des Websitenutzers zu dieser Übertragung und Speicherung ist der Einsatz von Google Analytics nicht datenschutzkonform.
Diese Einschätzung teilt auch das ULD (Unabhängiges Landeszentrum für Datenschuzt Schleswig-Holstein) und hat prägnant festgestellt, “dass „Google Analytics“ nach deutschem Recht nicht datenschutzkonform eingesetzt werden kann.”
Auf Grund dieser Kritik hat Google mittlerweile die Funktion “_anonymizeIp()” hinzugefügt. Mit Hilfe dieser Funktion wird das letzte Oktett der IP-Adresse vor der Speicherung durch Google abgeschnitten. Wird diese Funktion verwendet, erfolgt die Analyse des Nutzungsverhaltens somit nicht mehr unter Verwendung der vollständigen IP-Adresse des Nutzers. Formell scheint damit auf den ersten Blick den Anforderungen des Düsseldorfer Kreises insofern Genüge getan sein. Das ULD fordert jedoch an anderer Stelle die Löschung der letzten beiden Oktette und begründet diese Ansicht mit den Ausführungen der Artikel29-Datenschutzgruppe in deren Arbeitspapier WP 148:
„Bei der Anonymisierung von Daten sollte jegliche Möglichkeit der Identifizierung von Personen ausgeschlossen werden. Auszuschließen ist selbst das Kombinieren der anonymisierten Informationen eines Suchmaschinenbetreibers mit Informationen, die ein anderer Beteiligter gespeichert hat (beispielsweise ein Internet-Diensteanbieter). Derzeit schneiden einige Suchmaschinenbetreiber IPv4-Adressen ab, indem sie die letzte Achtergruppe entfernen, womit sie effektiv Informationen über den Internet-Diensteanbieter oder das Teilnetz des Benutzers speichern, ohne die Person direkt zu identifizieren. Die Aktivität könnte dann von einer beliebigen der 254 IP-Adressen ausgehen. Dies ist für eine Anonymisierungsgarantie möglicherweise aber nicht immer ausreichend.“
Weiterhin ist zu beachten, dass die Nutzer auch eine wirksame Möglichkeit haben müssen, der Erstellung von Nutzungsprofilen zu widersprechen. Dazu bietet Google für Microsoft Internet Explorer, Google Chrome, Mozilla Firefox, Apple Safari und Opera ein Browser-AddOn an, welches Google Analytics für alle mit dem Browser aufgerufenen Seiten blockiert.
Sowohl zur Frage, ob die “_anonymizeIp()” Funktion ausreichend ist, als auch bezüglich der Frage, ob die Installation eines Browser-AddOns eine wirksame Widerspruchsmöglichkeit gegen die Erstellung von Nutzerprofilen darstellt, steht eine Stellungnahme der Datenschuztbehörden noch aus.
Unternehmen, die dem Online-Datenschutz Rechnung tragen und dennoch das Nutzungsverhalten der Besucher ihres Webangebotes mit Google-Analytics auswerten möchten, muss daher geraten werden, zumindest die Funktion “_anonymizeIp()” zu verwenden.
Wer nicht unbedingt auf Google-Analytics angewiesen ist, kann auch auf Websiteanalysetools wie das Open-Source Tool Piwik auszuweichen. Für Piwik existiert sogar eine Anleitung des ULD, die explizit beschreibt, wie dieses datenschutzkonform verwendet werden kann. (se)
