« Grenzüberschreitendes | Home | Ironie des Schicksals … »
Diese Website benutzt Google Analytics …
von Michael J. Erner | 17. Februar 2008
… einen Webanalysedienst der Google Inc… . So beginnt der aktuelle Textvorschlag, den Google Webseitenbetreiber als „Datenschutzhinweis“ an die Nutzer einer Webseite bei der Verwendung des Nutzertrackingtools “Google Analytics” empfiehlt. Es gibt eine Reihe Tracking-Anbieter (z.B. intellitxt.com, revsci.net, websidestory.com, oder etracking.de, ligatus.de, ivwbox.de, …), die alle angeben, es sei ihnen ein Anliegen, die Privatsphäre der Nutzer zu schützen und Datenschutz zu gewährleisten. Schaut man genauer hin, könnten hieran durchaus Zweifel aufkommen.
Der Textvorschlag von Google für das hauseigene System lautet weiter: „Google Analytics, verwendet sog. “Cookies”, Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglicht. Die durch den Cookie erzeugten Informationen über Ihre Benutzung diese Website (einschließlich Ihrer IP-Adresse) wird an einen Server der Google in den USA übertragen und dort gespeichert. Google wird diese Informationen benutzen, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten für die Websitebetreiber zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen zu erbringen. Auch wird Google diese Informationen gegebenenfalls an Dritte übertragen, sofern dies gesetzlich vorgeschrieben oder soweit Dritte diese Daten im Auftrag von Google verarbeiten. Google wird in keinem Fall Ihre IP- Adresse mit anderen Daten der Google in Verbindung bringen. Sie können die Installation der Cookies durch eine entsprechende Einstellung Ihrer Browser Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website voll umfänglich nutzen können. Durch die Nutzung dieser Website erklären Sie sich mit der Bearbeitung der über Sie erhobenen Daten durch Google in der zuvor beschriebenen Art und Weise und zu dem zuvor benannten Zweck einverstanden.“
Diese Erklärung, die auch für andere Trackingtools gelten kann, basiert auf den Bestimmungen des Telemediengesetzes, das eine Speicherung von Nutzerverhalten verbietet. Die hierbei erfolgende Speicherung von IP-Adressen beim Zugriff auf Internetseiten ist auch nicht von der Anfang des Jahres in Kraft getretenen Vorratsdatenspeicherung abgedeckt. Wer, wann, mit welcher IP-Adresse im Internet war, muss nach den Regeln des Telekommunikationsgesetz (TKG) zwar beim Zugangsanbieter gespeichert werden. Für die Speicherung beim Anbieter ist jedoch nicht das TKG, sondern das Telemediengesetz (TMG) einschlägig. Die hier zu diskutierende Problematik ergibt sich aus folgenden Erwägungen:
- Google trifft keine Aussage zur Löschung von Daten
- Google stellt Daten für die US-Behörden bereit (aufgrund gesetzlicher Verpflichtung)
- Die Daten werden schon verdeckt erhoben, bevor der Nutzer davon erfahren kann.
- Bei Abweisung von Cookies müssen Nutzungseinschränkungen in Kauf genommen werden.
- Der Hinweis auf die Verwendung von Cookies ist nur die halbe Wahrheit, da die Analyse mittels Scripten erfolgt, die prinzipiell weitergehende Analysen eines PC und seines Nutzers ermöglichen.
- Eine Einverständniserklärung zur Datenerhebung durch Google soll alleine schon durch die Nutzung der Webseite abgegeben worden sein
Darüber hinaus gibt es viele Möglichkeiten für Google, gesetzte Cookies oder andere Browser-Features (Web-Bugs, Daten im temporären oder persistenten Speicher) personenbeziehbar zu machen. Z.B. durch weitere genutzte Google-Services (Suchmaschine, Toolbar, Mail, …). Mit diesen Wiedererkennungsmöglichkeiten können umfassende Nutzer-Profile gebildet werden. Um diese Möglichkeiten einzuschränken, obliegt es also in erster Linie dem Nutzer selbst, sich vor Nutzung einer Webseite anzuschauen, ob ein Trackingtool im Hintergrund läuft, oder nicht. Vogel friss, oder stirb? Normale Internet-Surfer haben üblicherweise keine festen IP-Adressen. Private Anwender bekommen bei fast jedem Login eine neue IP. Firmen haben zwar oft feste IP-Nummern, aber via Webproxy greifen dahinter viele Nutzer auf das Internet zu. Sofern man nicht ein festes Cookie mit Verfallsdatum unendlich, eventuell noch kombiniert z.B. mit einem Google-Account auf dem Rechner abgelegt hat, ist die Zuordnung von einer definierten Person zu einen definierten Webseiten-Aufruf faktisch nicht möglich. Die Webtracking-Dienstleister können in dieser Konstellation einen einzelnen Nutzer nicht isolieren und arbeiten deshalb mit statistischen Durchschnittswerten. Anders verhält sich das, wenn ein Einzelkaufmann oder Freiberufler eine feste IP-Adresse hat und Name und Firmenbezeichnung identisch sind.
Natürlich ist Otto-Normalnutzer sich über diese Dinge oftmals nicht im Klaren. Die Löschung von Cookies ist den meisten fremd, genau so wie die Akzeptanz jedes Cookies. „Man kann ja sonst nicht arbeiten …“. Aber dies ist nun mal die freie Entscheidung des Individuums. Dass damit dessen Surfverhalten absolut gläsern wird, müsste sich das Individuum selbst zuschreiben. Aber selbst dies ist immer noch nicht eindeutig. Denn trotz Cookie muss ein Tracking-Anbieter immer noch nicht notwendigerweise wissen, wie Otto-Normalinternetnutzer wirklich heißt und wo er genau wohnt. Nur wenn Cookies “geshared” werden, bzw. Cookies von anderen Websites ausgelesen werden, kann man ggf. solche Infos (Name, Wohnort etc.) abfragen.
Bundesjustizministerin Brigitte Zypries dürfte sich mit diesen Fragen näher beschäftigt haben. Heise hat letzte Woche über ein Urteil des Amtsgerichts Berlin Mitte berichtet, worin dem Bundesjustizministerium für die Aufbewahrung personenbezogener Daten über Besuche auf der Webseite des BMJ jenseits des konkreten Nutzungsvorgangs schwere Strafen angekündigt werden. Bei Zuwiderhandlung droht ein Ordnungsgeld von bis zu 250.000 Euro und ersatzweise gar eine bis zu sechsmonatige Inhaftierung von Bundesjustizministerin Brigitte Zypries (SPD) persönlich. Zum Urteil
Herrn Schäuble scheint das nicht zu interessieren. Auf der Webseite des Bundesministerium des Inneren findet sich folgender Hinweis:
“Bei jedem Zugriff auf unsere Server werden Daten für statistische und Sicherungszwecke gespeichert. Wir erfassen hier lediglich für eine begrenzte Zeit die IP-Adresse Ihres Internet Service Providers, Datum und Uhrzeit sowie die Website, die Sie bei uns besuchen. Diese Daten werden ausschließlich zur Verbesserung unseres Internetdienstes genutzt und nicht auf Sie zurückführbar ausgewertet. Wir behalten uns das Recht vor, im Falle von schweren Verstößen gegen unsere Nutzungsbedingungen und bei unzulässigen Zugriffen bzw. Zugriffsversuchen auf unsere Server unter Zuhilfenahme einzelner Datensätze eine Herleitung zu personenbezogenen Daten zu veranlassen.”
Topics: Gesetz, Rechtsprechung |
Am 18. Februar 2008 um 07:04 Uhr
Entscheidend ist wohl der Hinweis, dass gemäß § 13 TMG eine
v o r h e r i g e Einwilligung des Nutzers zur Speicherung seiner Daten erforderlich ist. - Dies ist bereits aufgrund der technischen Gegebenheiten im Web i.d.R. nicht der Fall, da bereits beim http-get die wesentlichen Informationen zur IP bzw. zur Konfiguration des Client PC ausgetauscht werden.
Der geneigte Blogleser sei jedoch darauf hingewiesen, dass datenschutz-
freundliche(re) Tools durchaus verfügbar sind, die sich beispielsweise einer Anonymisierung v o r der Speicherung/Auswertung bedienen.
Ach ja, richtig problematisch wird die Verwendung von Hosting Services, bei denen man keinen Einfluß auf das Logging hat (die typischen Massen-Hoster)…think about it!
Peer Reymann
Am 29. März 2008 um 14:08 Uhr
Servus Herr Erner,
zuerst Dank für den Denkanstoß.
Auch ich wollte ein sog. tracking tool auf meiner Webseite platzieren und bin dabei auf Google gestoßen. Wie so häufig wollte ich bei der Registrierung auch hier die AGB einfach als gelesen bestätigen und auf “weiter” klicken, habe mich dann aber eines Besseren besonnen.
Nach ein wenig Recherche bin ich über Ihren Beitrag gestolpert. Durch den Beitrag angeregt habe ich meine Anmeldung zu Google Analytics zurückgestellt.
Die Praktik von Google ist an dieser Stelle sehr löchrig.
“Man soll sich einen Account anlegen. Diesen kann man mit einer anonymen Emailadresse verbinden. Dann wird man nach der zu analysierenden Webseite und Land befragt und soll anschließend seinen Namen, Vorname, Name der Firma und eine Telefonnummer angeben. Hier akzeptiert Google aber auch eine Registrierung ohne die Angabe der personenbezogenen Daten“.
Eine Registrierung und somit auch die Zustimmung der AGB kann also hier anonym erfolgen, bzw. kann jeder meine Webseite bei Google Analytics registrieren. Wenn ich als Websiteinhaber dann diesen besagten Disclaimer nicht auf meiner Webseite einbaue, dann kann Google mich auch noch abstrafen oder gar Geld verlangen.
Mir Ihrer Erlaubnis werde ich diesen Blog in meinem Blog verlinken, da ich die Themen Datensicherheit und Privatsphäre nicht nur geschäftlich zu beachten habe sondern eher ein Verfechter dieser bin.
Freundliche Grüße
Richard Sedellke
Am 29. März 2008 um 14:51 Uhr
Hallo Herr Sedellke,
zunächst dürfen Sie gerne dieses Blog verlinken, dazu bedarf es auch nicht zwingend meines Einverständnisses. Das hier ist eine öffentliche Quelle und kann insofern auch von Dritten für die von Ihnen beschriebenen Zwecke genutzt werden.
Weiters würde ich gerne Ihren Hinweis differenzieren, Google könnte Sie bei nicht vertragsgemäßer Nutzung des Systems “Google Analytics” in die Haftung nehmen. Sollte ein Webnutzer feststellen, dass sein Surfverhalten von bspw. Ihnen als Webseitenbetreiber mittels Google Analytics dahingehend analysiert wird, dass ein Rückschluss auf die Person des Nutzers möglich wird, ohne dass der Nutzer VOR dem Aufsuchen Ihrer Webseite darüber wirksam in Kenntnis gesetzt wird (wie schon von Herrn Reymann beschrieben, optimal wäre hier ein Opt-In zur Nutzung der “belasteten” Webseite) und der Nutzer deswegen Google in die Haftung zu nehmen gedenkt, weil Google das System entwickelt hat, würde Google auf Basis der bestehenden AGB zum Ausgleich an Sie verweisen, da Sie als Betreiber der Webseite verantwortlich sind.
Schließlich setzen Sie die Software ein, und nicht Google. In den AGB heißt es hierzu: “Sie sind ferner verpflichtet, an prominenten Stellen Ihrer Websites eine sachgerechte Datenschutzpolicy zu dokumentieren (und sich an diese zu halten). Auch werden Sie alle zumutbaren Anstrengungen unternehmen, die Aufmerksamkeit der Nutzer Ihrer Website auf eine [entsprechende] Erklärung zu lenken …” Einen Hersteller von Schusswaffen kann man auch nicht für die Benutzung durch die Käufer verantwortlich machen, allenfalls für das Produkt, wenn “das Ding nach hinten losgeht”.
Viele Grüße
M. Erner
Am 31. März 2008 um 22:55 Uhr
Weniger ist mir die Verantwortlichkeit ein Dorn im Auge als vielmehr die gängige Praxis, dass ich zum Beispiel die Webseite http://www.m-j-e.net/ bei Google Analytics anmelden kann ohne das Sie als Website-Inhaber/Betreiber etwas davon wissen, geschweige denn Ihr Einverständnis dazu gegeben haben.
Da nehme ich dann doch lieber Abstand. Zudem habe eine elegante Lösung gefunden die meine Bedürfnisse befriedigt und dem Datenschutz konform ist.
In diesem Sinne wünsche ich Ihnen eine erfolgreiche und “sichere” Woche.
Am 3. April 2008 um 19:09 Uhr
@Richard
Man muss die Website bzw. das Tracken der Daten erst noch aktivieren (durch Meta-Tag oder Datei).
Ein Aktivieren durch Fremde ist somit erstmal nicht möglich
Am 12. Oktober 2008 um 20:56 Uhr
[...] davon, dass ein einzelner Nutzer mit einer festen IP-Adresse auch für einen Webseitenbetreiber identifizierbar ist, hat die Fa. Logistep AG Aufsehen im Zusammenhang mit einer Auswertung von IP-Adressen und [...]