Der Ein­satz des auch bei Pres­se­spre­chern belieb­ten, gebüh­ren­frei­en Markt­for­schungs- und Web­ana­ly­se-Tools „Goog­le-Ana­ly­tics“ sei nach Ansicht des Lan­des­be­auf­trag­ten für den Daten­schutz Rhein­land-Pfalz in der gegen­wär­ti­gen recht­li­chen und tech­ni­schen Aus­ge­stal­tung nicht daten­schutz­kon­form. Kern sei­ner Kri­tik ist die Über­mitt­lung von voll­stän­di­gen IP-Adres­sen an den US-Kon­zern, der ver­däch­tigt wird, die­se mit bei ihm vor­han­de­nen Daten des Nut­zers zusam­men­zu­füh­ren, der dage­gen nicht wider­spre­chen kann. Recht­lich ist die Situa­ti­on aber weni­ger ein­deu­tig, als die Daten­schüt­zer behaup­ten: Kon­flik­te sind daher vor­pro­gram­miert.

In den kürz­lich vom Daten­schutz­be­auf­trag­ten Rhein­land-Pfalz ver­öf­fent­lich­ten  Hin­wei­sen zum Ein­satz von Goog­le Ana­ly­tics bei Inter­net-Ange­bo­ten wird die Kri­tik im wesent­li­chen mit der Über­mitt­lung von voll­stän­di­gen IP-Adres­sen an das US-Unter­neh­men begrün­det: „Die Ana­ly­se des Nut­zungs­ver­hal­tens unter Ver­wen­dung voll­stän­di­ger IP-Adres­sen (ein­schließ­lich einer Geo­lo­ka­li­sie­rung) ist auf­grund der Per­so­nen­be­zieh­bar­keit die­ser Daten daher nur mit bewuss­ter, ein­deu­ti­ger Ein­wil­li­gung zuläs­sig. Liegt eine sol­che Ein­wil­li­gung nicht vor, ist die IP-Adres­se vor jeg­li­cher Aus­wer­tung so zu kür­zen, dass eine Per­so­nen­be­zieh­bar­keit aus­ge­schlos­sen ist“.

Die Fra­ge, ob IP-Adres­sen als per­so­nen­be­zo­ge­ne Daten oder als Pseud­ony­me ver­stan­den wer­den kön­nen, ist jedoch umstrit­ten: Wäh­rend der infor­mel­le Gesprächs­kreis der Daten­schüt­zer, der sog. „Düs­sel­dor­fer Kreis“ bereits seit gerau­mer Zeit eine sehr weit­rei­chen­de Auf­fas­sung ver­tritt, dass IP-Adres­sen als „per­so­nen­be­zieh­ba­re“ Daten gel­ten müss­ten und daher nicht als Pseud­ony­me ver­stan­den wer­den kön­nen (So auch: AG Mit­te Urteil. v. 27.3.2007 – 5 C 314/06), wur­de die­ses gericht­lich jedoch in der Ver­gan­gen­heit auch schon anders beur­teilt (AG Mün­chen, Urteil vom 30. 9. 2008, Az. 133 C 5677/08).

Auch sonst erscheint die Auf­fas­sung des „Düs­sel­dor­fer Kreis“ als zu weit­ge­hend, da letzt­lich jedes tech­ni­sche Datum auf eine Per­son bezo­gen wer­den kann, wenn alle Umstän­de der Kom­mu­ni­ka­ti­on sowie die per­sön­li­chen Stamm­da­ten bekannt sind.

Die­ses ist jedoch ein theo­re­ti­sches Pro­blem. Ent­schei­dend ist im vor­lie­gen­den Fall der Umstand, sich der kon­kre­te Per­so­nen­be­zug näm­lich nicht allein aus der Kennt­nis der IP-Adres­se her­lei­ten lässt, son­dern, dass es stets wei­te­rer Anga­ben bedarf um die IP-Adres­se auf eine bestimm­te Per­son zurück­zu­füh­ren. Da Goog­le-Ana­ly­tics aus­schließ­lich die IP-Adress­se des Web­sei­ten Besu­chers erhebt und – jeden­falls nach Anga­ben des Unter­neh­mens – kei­ne wei­te­ren per­sön­li­chen Daten erhebt oder mit die­sem Datum kom­bi­niert, darf man davon aus­ge­hen, dass die Aus­wer­tung auf Grund anony­mer Daten erfolgt, da fak­tisch kei­ne Mög­lich­keit besteht, den Bezug zu einer benenn­ba­ren Per­son (dem kon­kre­ten Besu­cher der Sei­te) her­zu­stel­len. Die Nut­zung von Goog­le Ana­ly­tics in Deutsch­land ist dann aber nicht gesetz­wid­rig. 

Beim Ein­satz von Goog­le Ana­ly­tics oder ähn­li­chen Web­ana­ly­se Sys­te­men, die IP-Adres­sen spei­chern, ist der Web­site-Betrei­ber aber in jedem Fall ver­pflich­tet, einen ent­spre­chen­den Hin­weis bezüg­lich der Erfas­sung und Nut­zung der Daten auf der Web­sei­te zu plat­zie­ren – da sich die­ses aber auch schon aus den Nut­zungs­be­din­gun­gen von Goog­le, soll­te die­ses nicht über­se­hen wer­den!

Fazit: Die Dis­kus­si­on um die recht­li­che Ein­ord­nung von IP-Adres­sen dürf­te noch eine Wei­le andau­ern. Der von den Daten­schutz­be­auf­trag­te ver­wen­de­te Begriff der „per­so­nen­be­zieh­bar­keit“ von IP-Adres­sen erweist sich bei nähe­rer Betrach­tung als „Kampf­be­griff“ gegen Goog­le und schießt über das (gerecht­fer­tig­te) Ziel hin­aus, Goog­le zu mehr daten­schutz­recht­li­cher Trans­pa­renz zu zwin­gen. Wer es aus Web Ana­ly­se Sicht braucht, soll­te Goog­le Ana­ly­tics des­we­gen noch nicht abschal­ten. Den­noch soll­te sich Goog­le um eine Lösung bemü­hen, damit nicht die Nut­zer des Diens­tes den Rechts­streit aus­tra­gen müs­sen, falls es tat­säch­lich zu ers­ten Buß­geld­ver­fah­ren kom­men soll­te. Wer will, kann aber auch mit Diens­ten wie  ana­ly­tics-anonym sel­ber die IP-Adres­se vor Über­mitt­lung an Gog­le anony­mi­sie­ren las­sen.