smartmetrics

Datenschutz in der Web Analytics – ein brandheißes Thema?

In den Medien herrscht derzeit große Aufregung. Denn in der Web Analytics soll es mit dem Datenschutz  nicht zum Besten stehen. Im Wesentlichen geht es in der aktuellen Debatte um IP-Adressen und deren Anwendung. Der Vorwurf lautet, sehr grob formuliert: Mit Hilfe von IP-Adressen könne man anonyme (und damit erlaubte) Daten, die aus der Web Analytics gewonnen werden, Personen zuordnen. Und diese Personalisierung ist verboten. Die kurz gefasste Schlussfolgerung der Medien: Weil die Verknüpfung von IP-Adressen mit anderen Daten in der Web Analytics ein Leichtes ist, öffnet sie dem Rechtsbruch Tür und Tor.

Kein Wunder also, dass derzeit zahlreiche Web-Analytics-Anwender nach einer solchen Lektüre besorgt bei uns, bei Agenturen und Rechtsanwälten um Rat fragen. Unser Tipp: Gelassen bleiben. Die aktuelle Diskussion entbehrt aus unserer Sicht jeder sachlichen Grundlage, und zwar aus mehreren Gründen:

1. Es ist nicht Aufgabe des Tools, vor Missbrauch zu schützen! Derzeit entsteht der Eindruck, dass es Tools wie Google Analytics sind, die den Datenschutz unterwandern. etracker etwa wirbt mit einem selbst entworfenen Bundesdatenschutzgesetz-Siegel und auch WiredMinds will mit einem Datenschutz-Zertifikat punkten. Diese Siegel sollen belegen, dass ihre Tools datenschutzkonform sind. Mit Verlaub: Was für ein Unsinn. Selbstverständlich können auch mit etracker IP-Adressen generiert werden. Es ist nicht die Software, die den Datenschutz verletzt, sondern immer der Anwender! Ein WA-Betreiber wollte sich kürzlich von seinem Toolanbieter schriftlich bestätigen lassen, dass sein Produkt rechtskonform ist. Die Antwort kam prompt: Der Toolanbieter fühlt sich nicht zuständig und unterschrieb gar nichts. Zu Recht: Das wäre so, als würde ein Koch den Herdhersteller dafür verantwortlich machen, dass er keine giftige Suppe kocht. Stattdessen läuft die Sache umgekehrt: Große Toolanbieter wie Omniture und coremetrics sichern sich vor ihren Kunden ab. Diese müssen schriftlich bestätigen, dass sie im Umgang mit dem erworbenen Tool den Datenschutz einhalten werden.
2. Auch ohne IP-Adresse kann der Datenschutz verletzt werden! Durch geschickte Kombination von Daten mit zusätzlichen Informationen - etwa aus dem Warenwirtschaftssystem – können personalisierte Daten generiert werden, man muss nur filigran genug messen. Zum Missbrauch braucht es also keine IP-Adressen. Deshalb wäre es für die aktuelle Diskussion sehr sachdienlich, die Perspektive zu erweitern.
3. Google Analytics wird zu unrecht an den Pranger gestellt. Vor allem das kostenlose Tool Google Analytics wird in den Medien angegriffen, weil es den Datenschutz nicht einhalten soll. Fakt aber ist: Google Analytics liefert keine IP-Adressen an seine Anwender aus. Ob Google allerdings dennoch IP-Adressen sammelt und diese bloß nicht weiterleitet, ist eine interessante Frage – die Google leider nicht beantwortet.
4. Die aktuelle Diskussion hätte bereits vor vielen Jahren geführt werden können. Es gibt derzeit keine neue oder veränderte Gesetzgebung, die eine erhitzte Diskussion wie die aktuelle rechtfertigen würde. Die Datenschutzrichtlinie der EU, nach der Website-Besucher über die Verwendung von Cookies informiert werden sollen, ist gerade erst in Planung und es wird dauern, bis diese in Kraft tritt und in die deutsche Gesetzgebung einfließt.

Was empfehlen wir derzeit unseren Kunden? Das, was wir seit jeher empfehlen:

• Seid Euch Eurer Verantwortung bewusst! Holt zwei Rechtsexperten: einen Medienrechtler, einen für Datenschutz. Mit deren Rat sollen die WA-Projekte so aufgebaut und durchgeführt werden, dass das Generieren personenbezogener Daten nicht möglich ist.
• Website-Besuchern muss die Möglichkeit angeboten werden, das Verfolgen anhand von Cookies zu unterbinden. Ein guter Platz dafür sind die Datenschutzbedingungen, die gut erreichbar sein sollten. Gutes Beispiel: unser Kunde Weltbild
• Personenbezogenen Daten sind für effiziente Webanalyse nicht nötig. Es reichen Cluster, die anhand soziografischer Informationen wie Geschlecht und PLZ gebildet werden, um gute Analysen durchführen zu können.
• Und: Bitte gesunden Menschenverstand einschalten und die Originaltexte lesen – nicht nur Medienberichte. Selbst einige Rechtsanwälte lassen sich derzeit von der hitzigen Debatte anstecken und scheinen nicht immer klar zu sehen. Als Lektüre empfehlen wir den Beschluss des „Düsseldorfer Kreises“ (ein Zusammenschluss der Datenschutz-Aufsichtsbehörden der Länder). Darin werden kompakt und lesbar essentielle Grundlagen der Web Analytics zusammengefasst, zum Beispiel:
  • Man darf Web Analytics Tools einsetzen, um anonymisierte Profile zu bilden.
  • Man darf diese Profile aber nicht in einen Personenbezug bringen.
  • Dies ist gestattet, wenn der Betroffene zustimmt - was etwa beim Online-Kauf über die AGBs geregelt ist.

Fazit: Datenschutz in der Web Analytics ist ein wichtiges Thema – aber ganz bestimmt kein aktuelles. Und es muss anders darüber diskutiert werden als es aktuell der Fall ist. Es wäre an der Zeit, dass Verbände wie der BVDW, die BITKOM und auch der OVK sich einschalten und Medien, Anwälten und auch Toolherstellern fachlich belegen, dass ihr IP-Adressen-Getöse zur falschen Zeit stattfindet, den Kern nicht trifft, und, gelinde gesagt, Unsinn ist.

---