Wer eine professionelle Webpräsenz betreiben will, muss sie auch fortlaufend analysieren und optimieren.

Web-Controlling ja, aber …

Doch die Webanalysen dürfen nicht zu weit gehen. So ist eine Registrierung und Auswertung des individuellen Besucherverhaltens auf einer Website unzulässig, wenn hierüber keine ausreichende Information stattfindet und die Nutzer nicht eingewilligt haben.

Vorsicht bei der Webanalyse per Google Analytics

Die Nutzung des weit verbreiteten Webanalyse-Dienstes Google Analytics kann jedoch zu solch einer unzulässigen Besucheranalyse führen. Google Analytics erfasst die vollständige IP-Adresse des Website-Besuchers, speichert sie und wertet sie aus, ohne eine Einwilligung einzuholen.

Personenbezug befürchtet

Über die vollständige IP-Adresse lässt sich aber nach herrschender Meinung der Datenschutz-Aufsichtsbehörden ein Personenbezug herstellen.

Das verstößt gegen die Vorgaben des Telemediengesetzes (TMG). Denn Anbieter von Telemedien dürfen gemäß § 15 Abs. 3 TMG zum Zweck der Werbung, der Marktforschung und der bedarfsgerechten Gestaltung von Telemedien Nutzungsprofile nur unter Verwendung von Pseudonymen erstellen. Dazu zählen vollständige IP-Adressen nicht.

Aufsichtsbehörden warnen

Nach dem Beschluss des Düsseldorfer Kreises und damit der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich vom 27.11.2009 haben mehrere Aufsichtsbehörden deutliche Warnungen ausgesprochen, Google Analytics weiterhin in der bisherigen Form zu nutzen.

So erklärte der Landesbeauftragte für den Datenschutz Rheinland-Pfalz am 07.01.10, dass Google Analytics zur Analyse der Webseiten-Nutzung seiner Ansicht nach nicht datenschutzkonform sei.

Die Hauptkritikpunkte an der Webanalyse mit Google Analytics

In der Kritik steht,

• dass die derzeitige Konfiguration von Google Analytics keine wirksame Wahrnehmung des Rechts auf Widerspruch, Information und Auskunft sowie keine Löschung der Daten auf Verlangen der Betroffenen ermöglicht,
• dass unklar ist, welche Nutzerdaten zu welchen Zwecken konkret erhoben werden und wie lange sie bei der Google Inc. mit Sitz in den USA gespeichert bleiben,
• dass Google sich ausdrücklich das Recht einräumt, die über den einzelnen Nutzer mittels einer eindeutigen Kennung gewonnenen Daten mit anderen bereits gespeicherten Daten zu verknüpfen und diese Informationen an Dritte weiterzugeben.

Unzulässiger Einsatz bei Krankenkassen weitgehend abgestellt

Bei einer stichprobenartigen Überprüfung stellte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Peter Schaar, im Februar 2010 fest, dass Webauftritte von mehr als hundert gesetzlichen Krankenkassen unzulässige Webanalyse-Dienste einsetzten. Der Einsatz dieser Analysedienste wurde inzwischen weitgehend eingestellt.

Peter Schaar äußerte seine Befürchtung, dass auch in vielen anderen Bereichen datenschutzwidrige Webanalyse-Dienste genutzt werden, und mahnte die Wirtschaft zur Einhaltung der Datenschutzbestimmungen.

Bald drohen Kontrollen und Bußgelder

Website-Betreiber sollten die Warnungen ernst nehmen und reagieren. „Bis Anfang Mai (2010) werden wir ... auf weitere Kontrollen der Webseitenbetreiber verzichten ... Webseitenbetreiber, die ab diesem Zeitpunkt weiterhin unzulässige Analysesoftware einsetzen, müssen mit einem Bußgeld bis zu 50.000 Euro rechnen“, so der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Prof. Dr. Johannes Caspar Anfang Februar 2010. 

Auch der Landesbeauftragte für den Datenschutz Rheinland-Pfalz, Edgar Wagner, hat den Handlungsbedarf bereits unterstrichen.

Alternative Webanalyse-Tools sind schon vorhanden

Somit dürfte es zu einer Umorientierung auf dem Markt der Webanalyse-Werkzeuge oder aber zu einer Änderung bei Google Analytics kommen. Alternativen zu Google Analytics sind in jedem Fall verfügbar.

Als DSB sollten Sie die Suche und Auswahl des Webanalyse-Dienstes unbedingt begleiten, um eine Berücksichtigung des Beschlusses der Aufsichtsbehörden sicherzustellen.

Worauf müssen Sie bei der Webanalyse achten?

Dazu zeigen wir Ihnen am Beispiel des Webanalyse-Dienstes etracker (http://www.etracker.de), worauf Sie achten sollten (siehe Kasten).

etracker wurde bereits in 2006 von dem Hamburgischen Datenschutzbeauftragten positiv geprüft und wirbt nun mit einer Konformität zu dem Beschluss des Düsseldorfer Kreises vom 27.11.2009.

Webanalysen sind technisch auch ohne IP-Adressen möglich

Dieses Beispiel macht deutlich, dass Webanalysen keine Benutzer-Identifizierung voraussetzen, sondern auch ohne vollständige IP-Adressen ihre Aussagekraft behalten. Allerdings sollten die Nutzer von etracker die Option „Erweiterte Datenschutzkonformität“ einsetzen.

Offen bleibt jedoch, warum die Datenschutzkonformitäts-Option den Zusatz „Erweitert“ trägt. Denn aus Sicht des Datenschutzes geht es ohne Verkürzung der IP-Adresse bei Webanalysen nicht, wenn keine informierte Einwilligung seitens der Besucher vorliegt.

Oliver Schonschek
Oliver Schonschek ist freier IT-Jourmalist.