Neues Datenschutz-Problem bei Web-Analyse-Tools?

Der sogenannte "Düsseldorfer Kreis", die informelle Vereinigung der obersten Aufsichtsbehörden, welche in Deutschland die Einhaltung des Datenschutzes im nicht-öffentlichen Bereich überwachen, hat am 27.11.2009 einen umstrittenen Beschluss gefasst: Nach Ansicht des Gremiums ist es rechtswidrig, IP-Adressen durch Web-Analyse-Tools, wie etwa Google Analytics, zu speichern, ohne zuvor die ausdrückliche Zustimmung des Nutzers einzuholen. Zulässig sei dies nur, wenn der Nutzer zuvor aktiv, also im Rahmen einer Opt-In-Erklärung, seine Zustimmung zur Speicherung seiner IP-Adresse erteilt hat.

Der Entscheidung liegt die Annahme zugrunde, dass IP-Adressen selbst personenbezogene Daten im Sinne des Datenschutzgesetzes darstellen. Hierüber wird allerdings unter Juristen noch heftig gestritten. So gibt es denn auch gegenläufige Gerichtsentscheidungen zu dieser Frage. Den Datenschützern ist vor allem das Erstellen von Nutzungsprofilen ein "Dorn im Auge". Mit diesem Verfahren erfassen Internetbetreiber Daten über das Verhalten der Besucher ihrer Webseiten - und erhalten so etwa Auskunft über die Seitenbesuche, die Zahl und Art der aufgerufenen Webseiten und die Besuchsdauer auf der Seite. Auch Daten über den benutzten Browser, das Betriebssystem, das zuvor besuchte Webportal und die ungefähre Lage des benutzten Internetanschlusses können die Betreiber aufzeichnen. Zu Auswertungszwecken nutzen heute allein in Deutschland über 13 Prozent aller Webseiten den Dienst "Google Analytics". Die Analyse-Verfahren sind nach Auffassung des Düsseldorfer Kreises nur dann datenschutzkonform, wenn entweder die IP-Adressen so gekürzt werden, dass ein Rückschluss auf eine konkrete natürliche Person nicht mehr möglich ist oder wenn das Verfahren vollständig pseudonymisiert ist.

Verwender von IP-Adressen-basierten Web-Analyse-Tools könnten also künftig ins Visier der Datenschutzbehörden geraten. Ob es zur Verhängung von Bußgeldern kommt, kann derzeit nicht vorhergesagt werden.

Auch wenn die Entscheidung des Düsseldorfer Kreises keine Bindungswirkung für die Gerichte entfaltet, ist zu empfehlen, entweder im verwendeten Analyse-Tool die Speicherung der IP-Adressen zu deaktivieren oder, falls dies nicht möglich ist, das Tool durch ein anderes zu ersetzen, dass ohne die Speicherung der IP-Adressen auskommt. Für die meisten Internetbetreiber dürfte es dagegen kaum vertretbar sein, vom Nutzer vor Beginn der Speicherung per Opt-in die Zustimmung zur Speicherung seiner IP-Adresse zu erhalten. Allein ein Hinweis auf die Speicherung, egal wie deutlich, reicht wohl nicht aus.