Google Analytics: Datenkrake oder nützliches Werkzeug?

Matthias Ebneter, Rechtsanwalt bei Rentsch & Partner in Zürich (Bild: privat).

ZDNet: Ab wann ist denn die Anonymität, juristisch gesehen, aufgehoben? Welche Rolle spielt hier die IP-Adresse?

Matthias Ebneter: Spätestens dann, wenn an sich anonyme Daten oder Nutzerprofile mit einer konkreten Person verknüpft werden, sind diese Daten nicht länger anonym, sondern personenbezogen. In der Rechtsprechung und von Datenschützern wird jedoch die – umstrittene – Auffassung vertreten, dass es sich bereits bei der IP-Adresse um eine personenbezogene Information handle. Denn die IP-Adresse erlaube – wenn auch nur mittelbar – den Rückschluss auf die Person, die unter ihr Zugang zum Internet hatte. Google Analytics setzt zusätzlich das besagte „utma“-Cookie ein, um wiederkehrende Besucher erkennen und identifizieren zu können.

Interessanterweise verpflichtet sich Google in den aktuellen Nutzungsbedingungen auch nur, die IP-Adresse eines Besuchers nicht mit anderen Daten von Google in Verbindung zu bringen. Über das „utma“-Cookie – und die darin gespeicherte eindeutige Identifikationsnummer oder „unique visitor id“ – wird dort jedoch nichts gesagt.

ZDNet: Ein weiterer Kritikpunkt ist doch, dass die Daten nach den Angaben von Google auf Servern von Google und verbundenen Unternehmen ins Ausland übermittelt, dort analysiert und gespeichert werden. Gerade die USA verfügen aus europäischer Sicht aber doch nicht über einen angemessenen gesetzlichen Schutz von Personendaten.

Matthias Ebneter: Das stimmt zwar grundsätzlich. Allerdings geht man davon aus, dass Firmen in den USA, die dem „Safe Harbour„-Abkommen beigetreten und in der entsprechenden Liste des U.S. Department of Commerce verzeichnet sind, einen angemessenen Schutz bieten. „Safe Harbor“ ist eine besondere Datenschutzvereinbarung zwischen der Europäischen Union und den Vereinigten Staaten, die es europäischen Unternehmen ermöglicht, personenbezogene Daten legal in die USA zu übermitteln. Google ist laut seiner aktuellen Datenschutzerklärung beim „Safe Harbor“-Programm des US-Handelsministeriums registriert.

ZDNet: Ist der Missbrauch nun nur ein rein theoretisches Szenario oder verbirgt sich dahinter eine reale Gefahr?

Matthias Ebneter: Die Diskussionen um Google Analytics gründen zu einem großen Teil auf der potenziellen Missbrauchsgefahr und setzen – wie erwähnt – im Grundsatz voraus, dass es sich bei den über Google Analytics gesammelten Daten um personenbezogene Daten handelt. Ein erhebliches Problem besteht darin, dass Nutzer nicht genügend über die Datenerhebung mit Google Analytics informiert werden.

Jede Person hat gemäß dem Grundrecht auf informationelle Selbstbestimmung die Befugnis, selbst darüber zu bestimmen, ob und welche persönlichen Informationen über sie gesammelt, verarbeitet, gespeichert und weitergegeben werden. Entsprechend ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten nur zulässig, soweit das Bundesdatenschutzgesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat.

Eine vergleichbare Regelung findet sich im Telemediengesetz. Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Er ist vor der Datenerhebung auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung hinzuweisen und die Nutzung der Daten darf nur in dem vom Bundesdatenschutzgesetz und anderen Rechtsvorschriften beschränken Rahmen erfolgen. Unter anderem muss gewährleistet sein, dass der Betroffene seine Rechte wahrnehmen kann.

Bildergalerie

Online-Nutzer fürchten Online-Datensammler

zur Bildergalerie