Entscheidung der Datenschutzbehörden: Nutzung von Google Analytics ohne Zustimmung der Besucher unzulässig

Das Thema „Datenschutzrechtliche Zulässigkeit von Google Analytics“, welches von informierten Kreisen schon Mitte 2007 entsprechend diskutiert worden ist, kocht aufgrund eines aktuellen Artikels in der Zeit Online gerade wieder hoch. Und tatsächlich haben sich die Datenschutzbehörden das Thema „Analyse-Werkzeuge“, welche zur Messung des Nutzungsverhaltens von Webseitenbesuchern dienen, aktuell stark auf die Fahnen geschrieben. Die datenschutzrechtliche Beurteilung hängt maßgeblich von der Frage ab, ob IP-Adressen, die von entsprechenden Tools gespeichert bzw. teilweise auch an den jeweiligen Anbieter weitergeleitet werden, personenbezogene Daten im Sinne des TMG sind oder nicht (siehe hierzu meinen Beitrag Ist die Nutzung von Google Analytics und Co rechtswidrig? ). Nun hat der sogenannte "Düsseldorfer Kreis", als informelle Vereinigung der obersten Aufsichtsbehörden, die in Deutschland die Einhaltung des Datenschutzes im nicht-öffentlichen Bereich überwachen, sich zu dieser Frage eindeutig positioniert und eine Entscheidung getroffen, die aufgrund der weiten Verbreitung von Google Analytics und anderen betroffenen Analysewerkzeugen eine grosse Zahl von Webseitenbetreibern tangieren dürfte. Unter dem sperrigen Titel “Datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internet-Angeboten“ hat dieser Düsseldorfer Kreis im Rahmen seiner Sitzung am 26. Und 27.November in Stralsund Folgendes beschlossen: Im Einzelnen sind folgende Vorgaben aus dem TMG zu beachten: • Den Betroffenen ist eine Möglichkeit zum Widerspruch gegen die Erstellung von Nutzungsprofilen einzuräumen. Derartige Widersprüche sind wirksam umzusetzen. • Die pseudonymisierten Nutzungsdaten dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden. Sie müssen gelöscht werden, wenn ihre Speicherung für die Erstellung der Nutzungsanalyse nicht mehr erforderlich ist oder der Nutzer dies verlangt. • Auf die Erstellung von pseudonymen Nutzungsprofilen und die Möglichkeit zum Widerspruch müssen die Anbieter in deutlicher Form im Rahmen der Datenschutzerklärung auf ihrer Internetseite hinweisen. • Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von TOP 27 Sitzung des Düsseldorfer Kreises am 26./27. November 2009 in Stralsund Telemedien zu ermöglichen und abzurechnen. Jede darüber hinausgehende Nutzung bedarf der Einwilligung der Betroffenen. • Die Analys…