Google Analytics und der deutsche Datenschutz

Google Analytics ist das kostenlose Tool von Google, Besucherzahlen auf einer Website festzustellen. Es wird über einige Zeilen Javascript-Code in die Website eingebunden und sammelt von da an Informationen über die Besucher. Die Detailgenauigkeit ist verblüffend, es zeigt an, woher die Besucher kamen und was sie sich auf der Website angeschaut haben.

Diese genauen Daten erreicht Google Analytics unter anderem mit der Speicherung und Auswertung der IP-Adresse. Es ist aber umstritten, ob nicht die IP-Adresse ein personenbezogenes Datum ist und so die Speicherung und Verarbeitung eine vorherige Einwilligung braucht. Sollte das so sein, so stellt die Speicherung und Verarbeitung der Daten ohne vorherige Einwilligung der Website-Besucher einen Datenschutzverstoß dar.

Grundsätzlich dürfen alle Daten, die personenbezogene Daten im Sinne des § 3 Abs. 1 BDSG sind nur – bis auf genau geregelte Ausnahmen – mit der vorherigen Einwilligung des Betroffenen verwendet werden. Sollten die IP-Adressen dazu gehören, so müsste man den Website-Benutzer noch bevor er in den Bereich gelangt, in dem die IP-Adresse aufgezeichnet wird, darauf hinweisen und in um sein Einverständnis bitten. Der einfache Hinweis versteckt auf der Website reicht dazu nicht aus, es bedarf einer ausdrücklichen Erklärung, §4a BDSG. Die Anforderungen an diese Einwilligung gelten dann auch für Google Analytics, welches die IP-Adresse aufzeichnet.

Das AG Berlin Mitte hat IP-Adressen als personenbezogene Daten eingestuft und führt dazu aus:

Dynamische IP-Adressen stellen in Verbindung mit den weiteren von der Beklagten ursprünglich gespeicherten Daten personenbezogene Daten im Sinne des § 15 TMG dar, da es sich um Einzelangaben über bestimmbare natürliche Personen im Sinne des § 3 Abs. 1 Bundesdatenschutzgesetz handelt. [...]

Nach zutreffender Ansicht des Hessischen Datenschutzbeauftragten (aaO) ist es durch die Zusammenführung der personenbezogenen Daten mit Hilfe Dritter bereits jetzt ohne großen Aufwand in den meisten Fällen möglich, Internetnutzer aufgrund ihrer IP-Adresse zu identifizieren. Eine Veneinung des Personenbezuges von dynamischen IP-Adressen mit der Folge der Nichtanwendbarkeit des TDDSG und TDSV, beziehungsweise jetzt des TMG und des TKG, hätte zur Folge, dass diese Daten ohne Restriktionen an Dritte z.B. den Access-Provider übermittelt werden könnten, die ihrerseits die Möglichkeit haben, den Nutzer aufgrund der IP-Adresse zu identifizieren, was mit dem Grundgedanken des Datenschutzrechts nicht vereinbar ist.

AG Berlin Mitte 5 C 314/06

Das AG München hat den Standpunkt vertreten, IP-Adressen seien keine personenbezogenen Daten und führt unter Bezugnahme auf das obige Urteil aus:

Anders als vom Amtsgericht Berlin entschieden, sind nach hiesiger Auffassung dynamische IP-Adresse keine personenbezogenen Daten im Sinne …