Deutsche Rechtsunsicherheit um Google AnalyticsWie legal ist Web-User-Tracking?
Analysen legal nutzen
Deutsche Rechtsunsicherheit um Google Analytics
Ungefähr ein Jahr nach diversen Gerichtsurteilen veröffentlichte die IT-Recht-Kanzlei Ende März einen Artikel zum Datenschutzrecht und der Verwendung von Google Analytics. Der Artikel löste einige Unruhe unter Website-Betreibern aus und warf viele Fragen auf. Wie legal ist die Auswertung von Surf-Daten? Anwalt Max Lion Keller und sein Praktikant Daniel Huber haben die offenen Fragen nun beantwortet.
1. Um welche konkreten Fälle ging es bei den beschriebenen Urteilen? Wer wurde da von wem verklagt und warum?
Die beiden Urteile des Amtsgerichts Berlin Mitte (Urteil vom 27.03.2007, Az. 5 C 314/06) und des Landgerichts Berlin (Urteil vom 06.09.2007, Az. 23 S 3/07) betreffen denselben Sachverhalt in zwei gerichtlichen Instanzen.
Ein Internetnutzer, der die Internetseite des Bundesjustizministeriums mehrmals aufgesucht hatte, über den ansonsten im veröffentlichten Volltext der Urteile nichts gesagt wird, verklagte die Bundesrepublik Deutschland als Rechtsträgerin des Bundesjustizministeriums.
Das Bundesjustizministerium hatte für 14 Tage u.a. die IP-Adressen der Besucher der Internetseite des Ministeriums gespeichert. Der Kläger war der Auffassung, dass IP-Adressen personenbezogene Daten im Sinne des Datenschutzrechts darstellen und begehrte Unterlassung der Speicherung dieser Daten für die Zukunft sowie Löschung aller bisher gesammelten Daten. Die Gerichte gaben dem Kläger recht, so dass das Ministerium keine IP-Adressen mehr speichern durfte, ohne die für personenbezogene Daten geltenden gesetzlichen Bestimmungen zu beachten.
2. Ist der generelle Einsatz von Programmen wie Google-Analytics problematisch?
Ja und Nein. Es kommt darauf an, welche Daten von diesen Programmen erfasst werden. Wenn diese Software lediglich anonyme Daten zwecks Statistikauswertung erfasst und verarbeitet, so ist dies unproblematisch. Die Schwierigkeiten fangen dann an, wenn personenbezogene Daten erhoben werden. Denn dabei müssen die einschlägigen, strengen Datenschutzbestimmungen für die Verwendung personenbezogener Daten beachtet werden. Dies bedeutet insbesondere, dass die Daten nur verwendet werden dürfen, wenn der Betroffene darin – vorher – ausdrücklich einwilligt oder ausnahmsweise eine gesetzliche Sonderbefugnis greift, die die Verwendung der Daten auch ohne vorherige Einwilligung gestattet. Nun stuften die beiden Berliner Gerichte IP-Adressen als personenbezogene Daten ein, so dass die Einbeziehung von IP-Adressen durch Analysesoftware wie Google Analytics nun rechtlich äußerst problematisch ist.
Wenn nun auch der Bundesgerichtshof die Rechtsauffassung der beiden Berliner Gerichte bestätigen sollte, müssten Programme wie Google Analystics in Deutschland ohne die Verwendung der IP-Adresse auskommen bzw. die Nutzer dieser Programme müssten ihre Internetseiten technisch so gestalten, dass sie die Besucher ihrer Website vor Erhebung der Daten um ihre Einwilligung bitten. Bejaht das BVG also die bisherigen Urteile, dürfte fawt kein Webseitenbetreiber mehr ein Tool wie Google Analytics bverwenden, ohne die Daten danach juristisch nachvollziehbar weiter zu anonymisieren.
Haftungsfragen und Gestzeskollisionen
Deutsche Rechtsunsicherheit um Google Analytics
3. Inwiefern kann man Anbieter wie Google dafür zur Verantwortung ziehen?
Im Prinzip geht es nicht um Google, sondern um den jeweiligen Verwender der Software. In den betreffenden Urteilen geht es um deutsches Datenschutzrecht. Die gesetzlichen Bestimmungen oder zumindest die Rechtsauffassungen der Gerichte sind in anderen Ländern sicher nicht so streng wie in Deutschland. Somit wirft die Verwendung von Software wie Google Analytics in solchen Ländern keine derartigen rechtlichen Probleme auf.
4. Welcher Strafrahmen droht bei einer Verurteilung?
An erster Stelle geht es den Betroffenen – wie in den beiden Verfahren vor den Berliner Gerichten – um den Löschungs- und Unterlassungsanspruch – sie wollen verhindern, dass mit ihren Daten (weiter) gesetzeswidrig verfahren wird.
Das Bundesdatenschutzgesetz (BDSG) enthält zudem Bußgeldvorschriften, die bei bestimmten Verstößen gegen das BDSG Bußgelder in einer Höhe von bis zu 250.000 Euro vorsehen. Zudem greift bei besonders krassen Verstößen – und wenn sich der Täter an den Verstößen finanziell bereichert – eine Strafvorschrift, die eine Gefängnisstrafe von bis zu zwei Jahren oder eine Geldstrafe vorsieht.
Wer vorsätzlich oder fahrlässig gegen §15 I Telemediengesetz (TMG) verstößt, wo insbesondere der Umgang mit personenbezogenen Daten im Internet geregelt ist, handelt nach § 16 II Nr. 5 TMG ordnungswidrig, was gemäß § 16 III TMG mit einer Geldbuße bis zu 50.000 Euro geahndet werden kann.
Kurz und gut:
Wer nicht einzelne IP-Adressen und die Zeitpunkte ihrer Zugriffe zur finanziellen Bereicherung nutzt, sondern Daten wie sie von Google Analytics kommen, nur in einer anonymisierten Form auswertet, hat nichts zu befürchten. Betreiber, die solche Auswertungen und ihre Ausnutzung im Dunkeln durchführen, sind allerdings schwer “festzunageln”.
Wenn das BVG allerdings den Berliner Urteilen vom vergangenen Jahr zustimmt und der Bundestag zudem diese Woche das neue “Gesetz zur Verbesserung der Durchsetzung von Rechten des geistigen Eigentums” verabschiedet, dürften neue juristische Fehden aufziehen: Bereichert sich durch das neue Auskunfts-Gesetz nicht die Musikindustrie, die Daten aus Logfiles (also auch die umstrittenen IP-Adressen und ihre Zuordnung zu Personen) nun nutzen darf? Dann wiederum verstöße diese durch Nutzung ihrer neuen Rechte womöglich gegen das Telemediengesetz. Gesetz gegen Gesetz? Für die Gerichte und die politiker dürften jedenfalls aufregende Zeiten bevorstehen.