Die Warnung vor Google Analytics (GA), die der Datenschutzbeauftragten von Berlin, Alexander Dix, und Schleswig-Holstein, Thilo Weichert, vor zwei Tagen ausgegeben haben, ist nicht ohne Wirkung geblieben. Viele Webseiten-Betreiber haben bei den Datenschutzbeauftragten angefragt, ob sie Google Analytics deaktivieren müssten, um datenschutzkonform im Web zu agieren bzw. datenschutzkonforme Webstatistiken erstellen zu lassen. Unter den Webseiten-Betreibern rührt sich Unbehagen, was vermutlich damit zu tun hat, dass Dix und Weichert, Google Analytics als “datenschutzwidriges Service” bezeichnet haben. Ich bin überzeugt, dass es demnächst zu einer Abmahnwelle kommen wird….aber warten wir mal ab, was Google zu dieser Problematik zu sagen hat. Bis Anfang August muss der Konzern dazu Stellung nehmen.

Anbei die Original-Passage aus der Presseaussendung des ULD:

„Das Ziel des ULD ist es nicht, bestimmte, u.U. sinnvolle Auswertungen von Internet-Nutzungsdaten zu vereiteln; wir richten uns auch nicht gegen irgendwelche Unternehmen. Unser einziges Ziel ist es, soweit dies in unserem Einflussbereich ist, datenschutzkonforme Verhältnisse im Internet zu schaffen. Wir werden auch nicht als Nächstes Webseiten-Betreiber in Schleswig-Holstein, die unzulässig Google Analytics oder vergleichbare Werkzeuge einsetzen, mit Bußgeldern überziehen, obwohl wir davon ausgehen, dass in vielen Fällen die Voraussetzungen hierfür vorliegen. Wohl aber müssen wir gegen einen massenhaft stattfindenden Datenschutzverstoß vorgehen, wobei wir zunächst auf Information und Aufklärung setzen. Wir haben Google bis zum 1. August 2008 eine Frist zur Beantwortung zentraler Fragen gesetzt, die uns eine rechtliche Bewertung ermöglicht. Derzeit ist für uns nicht erkennbar, wie – wegen der Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraumes – Google Analytics datenschutzkonform eingesetzt werden kann.

Die gesetzlichen Anforderungen an Werkzeuge zum Tracking und Erstellen von Nutzungs-Statistiken sind eindeutig: Eine personenbezogene Sammlung und Auswertung ist unzulässig. Über eine pseudonyme Auswertung muss der Internetnutzer in allgemein verständlicher Form unterrichtet werden. Außerdem muss er informiert werden, dass er dieser Auswertung widersprechen kann. Dies schließt das Angebot eines Opt-Out-Klicks mit ein. Unterrichtung und Opt-Out-Angebot müssen zu einem Zeitpunkt erfolgen, zu dem noch keine Datenauswertung erfolgt. Schließlich muss beim Einsatz des Tools gewährleistet sein, dass keine übergeordnete Zusammenführung der pseudonymen Daten und deren Reidentifizierung erfolgt. Entsprechende überprüfbare Zusicherungen von Google liegen uns bisher nicht vor. Hinzu kommt bei Google, dass eine nicht mehr weiter nachvollziehbare Datenübermittlung in einen datenschutzrechtlich nicht mehr hinreichend gesicherten Bereich hinein erfolgt. Auch insofern erwarten wir von Google klare und überprüfbare Angaben.

Wir haben bisher nur eine Prüfung von Google Analytics vorgenommen und auch nur, soweit uns dies aktuell technisch möglich war. Es gibt eine Vielzahl von ähnlichen Werkzeugen im Netz, über die wir ebenfalls Erkenntnisse sammeln, über deren Rechtmäßigkeit wir aber derzeit keine Aussagen treffen können. Unser Fokus auf Google Analytics basiert auf der großen Verbreitung dieses Werkzeugs. Wir empfehlen Anbietern, sich um ein Datenschutz-Gütesiegel zu bemühen, was eine erfolgreiche rechtliche wie technische Datenschutzprüfung voraussetzt.“

Google zeigt jedenfalls Nerven. Am kommenden Montag bin ich zu einem Radio-Interview bei einer deutschen Radiostation eingeladen worden. Die Redakteurin wollte auch einen Vertreter Googles einladen und hatte, wie ich prognostiziert hatte, Pech: Sie erlitt eine Abfuhr, es wagte kein Vertreter Googles, sich einem Kritiker zu stellen. Warum auch immer. Der Google-Sprecher sei “wahnsinnig aggressiv” gewesen, hat sie mir per Mail mitgeteilt….mich wundert es nicht, wenn die bunte Fassade der Googleschen Sauberwelt zu bröckeln beginnt und immer mehr Details ans Tageslicht befördert werden…