Um den Datenschutz und die Aufklärungsmoral auf deutschen Websites, die Tracking-Analysen durchführen, ist es nicht besonders gut bestellt. Die XAMIT Bewertungsgesellschaft mbH hat eine äußerst umfassende Studie durchgeführt und 655.000 Webseiten von insgesamt 14.000 deutschen Unternehmen, Gemeinden und Institutionen daraufhin untersucht, ob Besucher auf die Erhebung und Weiterverwendung personengebundener Daten hingewiesen werden.
Die (erstaunliche?) Antwort: Nein!
99% aller Websites, die Besucher mit Marktführer Google Analytics tracken, lassen die Nutzer darüber im Dunkeln, obwohl sie zur Kennzeichnung verpflichtet sind.
Tracking-Software sammelt User-Daten …
Google & Co. speichern Nutzerdaten. Beim Besuch einer Website, die zum Beispiel Google Analytics verwendet, wird dem User eine ID-Nummer zugewiesen. Über diese ID ist Google theoretisch in der Lage, ein umfassendes Bewegungs- und Nutzungsprofil zu erstellen. Unter Umständen kann dieses Profil sogar personalisiert werden.
Leicht fällt Datenerhebern die persönliche Identifikation über statische IP-Nummern, wie sie etwa bei Unternehmen die Regel sind, die gemietete Standleistungen verwenden. Eine kostenlose Anfrage bei RIPE genügt. Bei normalen Breitbandverbindungen, wie sie privat genutzt werden, ist die Vergabe der IP-Nummer zumeist dynamisch. Hier greifen allerdings Cookies und können die Wege im Web trotz sich ändernder IPs nachvollziehen. Und selbst wenn eine Website gar keine Cookies verwendet – Google Analytics setzt sie.
Greift der Nutzer nun z.B. auf ein Kontaktformular oder einen anmeldepflichtigen Google-Dienst (Google Apps, Google AdWords, Google Maps usw.) zu oder gibt sonst wo seine persönlichen Daten an, ist es soweit: Datensammler können theoretisch leicht herausfinden, wer Sie sind und was Sie so im Web unternehmen. Eigentlich ist die Zusammenführung von Namen und IP-Nummer nur mit Einverständnis des Nutzers erlaubt (§ 15 Abs. 3 TMG). Doch wer kontrolliert das? Eigentlich niemand.
Die XAMIT-Studie fasst das treffend zusammen:
"Gespeicherte IP + ausgefülltes Kontaktformular = Möglichkeit zur Personalisierung bzw. zum gläsernen User."
… und User müssen darüber informiert werden
Webmaster müssen auf ihrer Website darauf hinweisen, dass Web-Tracking-Software Nutzerdaten sammelt, die zur Profilerstellung verwendet werden können. Das schreibt Google in § 8.1 der Nutzungsbedingungen vor. 99% aller Websites, die den Dienst verwenden, ignorieren dies, obwohl Google sogar auf die Übernahme eines vorgefertigten Wortlautes besteht:
"Diese Website benutzt Google Analytics, einen Webanalysedienst der Google Inc. (Google) Google Analytics verwendet sog. Cookies, Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglicht. Die durch den Cookie erzeugten Informationen über Ihre Benutzung dieser Website (einschließlich Ihrer IP-Adresse) wird an einen Server von Google in den USA übertragen und dort gespeichert. Google wird diese Informationen benutzen, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten für die Websitebetreiber zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen zu erbringen. Auch wird Google diese Informationen gegebenenfalls an Dritte übertragen, sofern dies gesetzlich vorgeschrieben oder soweit Dritte diese Daten im Auftrag von Google verarbeiten. Google wird in keinem Fall Ihre IP-Adresse mit anderen Daten der Google Inc. in Verbindung bringen. Sie können die Installation der Cookies durch eine entsprechende Einstellung Ihrer Browser Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website voll umfänglich nutzen können. Durch die Nutzung dieser Website erklären Sie sich mit der Bearbeitung der über Sie erhobenen Daten durch Google in der zuvor beschriebenen Art und Weise und zu dem zuvor benannten Zweck einverstanden."
eTracker, eine weitere verbreitete Analyse-Software, setzt keine Kennzeichnung voraus, empfiehlt sie aber immerhin ausdrücklich. Dies ignorieren 88% der Verwender von eTracker.
Ob in Nutzungsbedingungen vorgeschrieben oder nicht – Webseiten-Betreiber, die nicht auf die Erhebung und Nutzung von personengebundenen Daten hinweisen, begeben sich rechtlich auf dünnes Eis, denn sie verstoßen gegen das Telemediengesetz (§13 Abs. 1 TMG). Und: Die Haftung und die Verantwortung für gesammelte Daten liegen beim Betreiber, nicht beim Datensammler.
Generell gilt: Wer Google Analytics & Co. nutzt, muss an sichtbarer und prominenter Stelle darauf hinweisen. Damit begibt sich ein Webseiten-Betreiber zwar quasi in eine Vorreiterrolle, aber das gehört zu einer fairen und offenen Beziehung zwischen Betreiber und User. Ob ein versteckter Hinweis im Impressum eine solche Stelle ist, sei dahingestellt.
Gern ist //SEIBERT/MEDIA Ihnen dabei behilflich, Ihre Impressumsangaben um diese Kennzeichnungen zu erweitern. Bitte sprechen Sie mit uns.
- Hinweis: //SEIBERT/MEDIA bietet keine Rechtsberatung an. Als Rechtsberatung ist auch dieser Artikel nicht zu verstehen.
Mehr über die Creative-Commons-Lizenz erfahren
muss ich diesen datenschutzhinweis auch einbauen wenn mein publikum eher internationaler (englischsprachig) natur ist?
wenn ja.. habt ihr da ne vorlage parat? 🙂
Wie am Ende des Artikels angemerkt, bietet //SEIBERT/MEDIA keine Rechtsberatung an. In den Terms Of Services von Google sind die zitierten Rechtshinweise vielsprachig zu finden (einfach mal googeln 😉
Viele denken immer noch, dass das Internet ein Rechtsfreier Raum ist, aber langsam sickert es durch, dass es auch hier Regeln gibt wie im richtigen Leben auch 😉
Ralph
Einer dieser Abmahnanwälte hat einen bekannten Website-Betreiber wegen fehlendem Analytics-Hinweis abgemahnt. 🙁 – Mein Tweet: http://twitter.com/mseibert/status/1638262418
>Generell gilt: Wer Google Analytics & Co. nutzt, muss an sichtbarer und prominenter Stelle darauf hinweisen. Damit begibt sich ein Webseiten-Betreiber zwar quasi in eine Vorreiterrolle, aber das gehört zu einer fairen und offenen Beziehung zwischen Betreiber und User. Ob ein versteckter Hinweis im Impressum eine solche Stelle ist, sei dahingestellt.<
Hier wird ja auch sehr vorbildlich vorangegangen, Erwähnung irgendwo im impressum und keien anonymisierung der IP's.
Also zwischen 2008 und heute hat das Thema ja noch einmal weiter an Dynamik gewonnen. In großen Teilen kommt mir das ganze wie eine große Hetzjagd deutscher Neider auf Google vor.
Die Ausgestaltung des Impressums ist den Treibern dabei nach meinem Dafürhalten eigentlich gar nicht wichtig. Es geht häufig mehr darum, Google Analytics ganz abschalten zu lassen.
Ich nehme gerne in Kauf, dass wir selbst nicht diejenigen sind, die diesen Treibern blind folgen.
Das ist ja OK, aber dann verstehe ich nicht, wieso man dem Leser des Artikels etwas nahelegt, was man selbst für übertrieben hält.
Sebastian: Ich verstehe Dein Argument. Allerdings ist es tatsächlich so, dass wir als Unternehmen deutlich weniger Angst vor Abmahnungen haben, als unsere Kunden.
//SEIBERT/MEDIA ist tatsächlich noch nie abgemahnt worden. Tatsächlich haben wir allerdings mehrmals im Monat den Fall eines Kunden hier vorliegen, bei dem wir unterstützen sollen.
Wenn ich dann vorschlage, dass die Sache ausgefochten werden soll, wollen die Kunden das oft nicht. Genau davon leben viele “Abmahnanwälte”. Ich würde mich natürlich nicht darüber freuen, hätte aber die Bereitschaft solche Fälle durchzukämpfen. Unsere Kunden haben diese Bereitschaft meist nicht.
Und so kommt es vor, dass man Dinge vorschlägt, die man selbst nicht so umfangreich einhält.
Ist das nachvollziebar?
Ja, das ist nachvollziehbar.