eRecht24 - Portal zum Internetrecht von Rechtsanwalt Sören Siebert

Tracking, Analysetools und Webcontrolling: Was ist datenschutzrechtlich erlaubt?

Um die Nutzerzahlen einer Website, die Bestellrate in Onlineshops oder den Erfolg einer Marketing-Kampagne auszuwerten, nutzen Webmaster und Agenturen Tracking-Tools und Analysedienste. Neben serverbasierten Tools zum automatisierten Tracking von Zugriffen gibt es auf dem Markt eine Vielzahl professioneller Dienste, die umfangreiche Auswertungen von Nutzerzugriffen ermöglichen. Nicht alles was dabei technisch möglich ist, ist aber rechtlich erlaubt.

Was ist Tracking überhaupt?

Unter dem englischen Begriff Tracking (dt.: Nachverfolgung) wird im Netz das Erheben und Auswerten von Nutzerverhalten verstanden. Das Tracking kann dabei verschiedenen Zielen dienen:

•    die Angebote auf der Website besser an die eigenen Zielgruppe anpassen zu können
•    Klickpfade der Nutzer nachzuvollziehen und Abbruchraten zu minimieren
•    Präferenzen hinsichtlich bestimmter Hersteller und Produkte feststellen zu können
•    Rückschlüsse auf die verwendete Software der Nutzer(welche Browser, welche Plug-ins usw.) zu ziehen
•    Anhaltspunkte für die Programmierung, Suchmaschinenoptimierung und Gestaltung der Bestellvorgänge zu gewinnen

Je nach Anspruch gibt es hierfür verschiedene Programme, von kostenfreien Programmen mit geringen Grundfunktionen bis hin zu professionellen Profi-Tracking-Tools zur Aufzeichnung und Auswertung des Nutzerverhaltens.

Nachdem der Seitenbetreiber einen spezifischen Tracking-Code auf allen aufzuzeichnenden und auszuwertenden Seiten seiner Website in den Quellcode eingefügt hat, beginnt das Tracking-Tool automatisch, das Nutzerverhalten aufzuzeichnen und auszuwerten. Eine entsprechende Statistik kann sich der Webmaster dann – je nach Tracking-Tool – schon wenige Minuten nach der Aufzeichnung oder sogar live ansehen.

Da durch den Einsatz von Tracking-Tools das Nutzerverhalten sehr detailliert aufgezeichnet werden kann, müssen hier insbesondere datenschutzrechtliche Vorgaben eingehalten werden, um einem Missbrauch der Daten vorzubeugen.

Rechtliche Grundlagen zur Aufzeichnung und Auswertung des Nutzerverhaltens

Die rechtlichen Regelungen zu dieser Thematik finden sich zum einen im vierten Abschnitt (Datenschutz) des Telemediengesetzes (TMG). Zum anderen enthält das Bundesdatenschutzgesetz (BDSG) zahlreiche Vorgaben zum Umgang mit personenbezogenen Daten, die um Umfeld von Tracking und Auswertung von Nutzerzugriffen beachtet werden müssen.

Durch die zahllosen Datenskandale der letzten Monate ist es in der Vergangenheit auch im Zusammenhang mit Tracking-Tools zu einer verstärkten rechtlichen Auseinandersetzung gekommen, insbesondere was die Speicherung von Nutzer-IP-Adressen ohne ausdrückliche Einwilligung des Internetnutzers angeht. Einige Anbieter von Tracking-Tools haben sich dabei ganz bewusst dafür entschieden, Lösungen anzubieten, die den strengen Datenschutzvorgaben in Deutschland genügen. 

Dauerstreitthema: Speicherung von IP-Adressen

Insbesondere zu der Frage, ob die Speicherung und Auswertung der IP-Adressen datenschutzrechtlich erlaubt ist, tobt seit Jahren ein Streit zwischen Datenschützern und Unternehmen aus dem Marketingumfeld. Datenschützer etwa in den jeweiligen Datenschutzbehörden, gehen seit Jahren davon aus, dass IP-Adressen personenbezogene Daten sind, und zwar unabhängig davon, ob es sich um dynamische oder statische IP-Adressen handelt.

Die Gegner halten (juristisch vereinfacht) dagegen, dass man über eine IP-Adresse zwar einen Internet-Anschluss und ggf. auch einen Anschlussinhaber ermitteln kann. Nicht ermittelt werden kann über eine IP-Adresse aber, welche Person tatsächlich gehandelt hat.

Zudem gab es viele Jahre lang zu dieser Frage keine Rechtsprechung. Auch aktuell kann man nicht von einer einheitlichen Linie der Gerichte sprechen. Es stehe zwei konträre Urteile des Landgerichts Berlin (Urteil vom 06.09.2007, Az. 23 S 3/07) sowie des Amtsgerichts München (Urteil vom 30.09.2008, Az. 133 C 5677/08) im Raum.

Während die Richter des Landgerichts Berlin die Speicherung von IP-Adressen ohne Einwilligung der Internetnutzer als unrechtmäßig zurückwiesen und mit dem Urteil dem Bundesjustizministerium die Speicherung von IP-Adressen bei Zugriff auf die eigene Internetseite untersagt wurde, war das Amtsgericht München der Ansicht, dass die Speicherung von IP-Adressen ohne Einwilligung der Nutzer keinen Verstoß gegen die datenschutzrechtlichen Bestimmungen darstellt.

Wie kommt es zu den unterschiedlichen Urteilen der Gerichte?

Der Hauptunterschied bei beiden genannten Urteilen liegt in der Frage, wie die Gerichte das Kriterium „IP-Adresse“ kategorisiert haben. So haben die Richter des LG Berlin mit ihrem Urteil bejaht, dass es sich bei einer IP-Adresse um personenbezogene Daten handelt, die gemäß Bundesdatenschutzgesetz (BDSG) nur mit der ausdrücklichen Einwilligung der Internetnutzer gespeichert werden dürfen und auch nicht mit entsprechenden, von Tracking-Tools erstellten Nutzerprofilen in Verbindung gebracht werden dürfen.

Das AG München hingegen vertritt in ihrer Urteilsbegründung die Auffassung, dass es sich bei IP-Adressen um keine personenbezogenen Daten handelt, da es an dieser Stelle an einer notwendigen Bestimmbarkeit des Anschlussinhabers mangelt. Zwar ist eine Zuordnung des Anschlussinhabers zur IP-Adresse theoretisch über den Internet-Provider möglich, de facto mangelt es dem Internetseiten-Betreiber jedoch an der Rechtsgrundlage, entsprechende Informationen vom Provider zu erhalten. In der Folge wies das AG München eine entsprechende Klage auf Unterlassung ab.

IP-Tracking nur mit Zustimmung der Nutzer?

Die Frage der Zulässigkeit der Speicherung von IP-Adressen ohne Einwilligung der Nutzer im Rahmen von Tracking-Tools ist weiter hoch umstritten. Wenn man IP-Adressen als personenbezogene Daten ansieht, bedeutet dies in der Praxis, dass eine Speicherung und Verarbeitung nur mit vorheriger und ausdrücklicher Zustimmung jedes einzelnen Nutzers rechtskonform möglich ist. Sofern der Internetnutzer, etwa im Rahmen der Bestellung in einem Online-Shop, der Speicherung personenbezogener Daten zugestimmt hat, ist dies rechtlich also kein Problem.

Die Praxis sieht aber anders aus. Daten wie die IP-Adresse werden bereits beim „Betreten“ der Internetseite erfasst, ohne dass der Besucher die Gelegenheit hat, eine entsprechende Datenschutzerklärung durchzulesen und sein notwendiges Einverständnis zur Erfassung, Speicherung und Auswertung seiner IP-Adresse zu geben.

Google-Analytics und Google Universal Analytics

Eines der am häufigsten genutzten Tracking-Tools sind Google Analytics und die neue geräteübergreifende Variante Google Universal Analytics. Zum einen deshalb, weil sich Google mit dem Verarbeiten von Datenmengen technisch unbestritten gut auskennt. Zum anderen, da das Tool kostenlos ist. Auch Google Analytics speichert IP-Adressen von Seitenbesuchern und übermittelt diese in die USA.  Aus diesem Grund verpflichtet Google seine Nutzer, auf deren Internetseite eine entsprechende Datenschutzerklärung zu veröffentlichen, in der auf die entsprechende Verwendung hingewiesen wird.

Ob eine einfache Erklärung des Seitenbetreibers genügt, ist aber hoch umstritten. Wenn man der Auffassung folgt, dass IP-Adressen personenbezogene Daten sind, wäre hier eine ausdrückliche Einwilligung der Nutzer erforderlich. In der Konsequenz bedeutet dies, dass nach Auffassung der Datenschützer eine Vielzahl der momentan angebotenen Tracking- und Analysetools rechtswidrig sind. Allerdings scheinen sich die deutschen Datenschutzbehörden momentan auf Google eingeschossen zu haben. Dies betrifft nicht nur den Streit um Google Street View, sondern auch Google-Analytics.

Google arbeitet momentan an einem Browser-Plug-In, das es dem Nutzer selbst ermöglicht, das Tracking seiner Daten über Google-Analytics zu unterbinden. Ob dies genügt, die Datenschutzbedenken auszuräumen, muss man abwarten.

Praxis-Tipp:

Hier bleiben für Seitenbetreiber und Marketing-Agenturen drei Möglichkeiten:

1. Die Tracking-Tools werden weiter genutzt, man nimmt das Risiko von Datenschutzverstößen bewusst in Kauf.
   Nachteil: Es können Abmahnungen und Bußgelder seitens der Datenschutzbehörden drohen.
2. Es wird auf die Erhebung personenbezogene Daten wie der IP-Adresse verzichtet.
   Nachteil: Ein Aussagekräftiges Tracking ist in diesem Fall oft nicht möglich.
3. Es werden Tools genutzt, die etwa optionale Anonymisierung von IP-Adressen, den geltenden Datenschutzanforderungen genügen.
   Nachteil: Es gibt momentan noch relativ wenige Anbieter, die rechtssichere Tracking- und Analysesoftware anbieten.

Fazit:

Die Mehrzahl der momentan genutzten Tracking-Dienste ist nach der strengen Auffassung der Datenschutzbehörden rechtlich unzulässig. Praktisch sind Abmahnungen und Gerichtsverfahren  in diesem Bereich aber noch selten. Zum einen deshalb, weil Webseitenbetreiber und Marketing-Unternehmen alle mit den selben Problemen konfrontiert sind und gewissermaßen in einem Boot sitzen.

Zum anderen sind die Datenschutzbehörden personell schlecht ausgestattet schreiten in der Regel erst dann ein, wenn Sie auf entsprechende Verstöße aufmerksam gemacht werden. Allerdings ist es nicht so, dass die Datenschutzbehörden gar nicht tätig werden. In einigen Fällen wurde bereits gegen Seitenbetreiber vorgegangen, die unzulässig IP-Adressen speichern. Hier können dann Bußgelder bis zu 50.000 Euro drohen.

In der Zukunft wird das Thema rechtssicheres Tracking aber eine immer größere Rolle spielen. Und zwar nicht nur aus rechtliche Gründen, sondern weil die Nutzer durch die Datenskandale der jüngsten Vergangenheit deutlich mehr Wert auf rechtskonformen Umgang mit Ihren Daten legen als noch vor einigen Jahren.

Autoren: Florian Skupin

Rechtsanwalt Sören Siebert

Andere Leser interessierte auch:

Facebook, Google, Foren & Co.: So löschen Sie Ihren Account

In der Praxis kommt es immer wieder dazu, dass Nutzer Ihren Account bei Facebook, Google & Co.

Google Analytics und Google Universal Analytics rechtssicher nutzen: Was Webseitenbetreiber jetzt tun müssen

Google Analytics war bisher für Datenschützer ein rotes Tuch. Dann hat sich der Suchmaschinenkon

Datenschutz: Rechtliche Risiken bei der Nutzung von Google Analytics und GoogleAdSense?

eRecht24 bieten kostenlosen Disclaimer für Google Analytics und GoogleAdSense. Google steht in D

Facebook und Datenschutz: Abmahnungen von Seitenbetreibern wegen Einbindung des Like-Buttons?

Der "Gefällt-mir" oder „Like“-Button von Facebook findet sich auf immer mehr Blogs, Webseiten

Datenschutz auf Facebook: 10 Tipps, wie Sie Ihre persönlichen Daten schützen können

Facebook, das mit mehr als 1 Milliarde Mitgliedern größte Social Network, bietet seinen Usern vi

Viren, Trojaner, Phishing und Co: 10 Regeln zum Schutz Ihrer Daten

Unsere Computer und Daten sind unzähligen Gefahren im Internet ausgesetzt. Schon der Verlust von