Website-Betreiber sind irritiert: 50.000 Euro Strafe für den Einsatz von Google Analytics?

Google Analytics ist die Prothese des Suchriesen. Solange wir uns auf Google.de bewegen, wird jeder Schritt protokolliert: Wir suchen nach „EMI“, klicken auf den Eintrag zu „emimusic.de“ und schon weiß die Maschine, dass wir uns für mehr oder minder tolle Musik interessieren. Geben wir jedoch „www.emimusic.de“ direkt in das Adressfeld ein, umgehen wir das Scanradar und Google guckt in die Röhre – könnte man zumindest meinen. Im Impressum der EMI-Seite finden wir dann nämlich folgenden Hinweis:

Diese Website benutzt Google Analytics, einen Webanalysedienst der Google Inc. Google Analytics verwendet sog. Cookies, Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglicht. Die durch den Cookie erzeugten Informationen über die Benutzung diese Website (einschließlich Ihrer IP-Adresse) wird an einen Server von Google in den USA übertragen und dort gespeichert.

Und schwupps hat Google den verloren geglaubten User wieder eingefangen und kann mit dem Datensammeln fortfahren. Das kann ja wohl nicht angehen, monieren nun deutsche Datenschützer und fordern etwas, was noch kein Land auf diesem Planeten vorher gefordert hat: Das Verbot des Scan-Tools Google Analytics! Laut einem neuen Bericht der „Zeit“ formiert sich gerade eine neue Front rund um den Datenschutzbeauftragten Peter Schaar.

Bund und Länder wollen gemeinsam an einem Strang ziehen, um den 1,8 Millionen Seiten zuleibe zu rücken, die in Deutschland Google Analytics einsetzen – das sind 13 Prozent aller Seiten, die die Denic jemals registriert hat. In Berlin scharrt man bereits mit den Hufen, noch würden die Quelltexte der Seiten lediglich anlassbezogen geprüft, dies könne sich jedoch „jederzeit ändern“ und dann bestünde das Risiko, dass „scharf geschossen“ würde. Und was das heißt, ist bislang noch unklar. Klar ist jedoch die Rechtsgrundlage: „Im Falle der Erhebung, Verwendung oder Nicht-Löschung personenbezogener Daten kann, wenn insoweit gegen § 15 TMG verstoßen wird, nach § 16 Abs.3 TMG ein Bussgeld von bis zu 50.000 € verhängt werden.“

IP-Adressen: privat oder anonym?

Um die Empörung zu verstehen, müssen wir uns erst einmal ansehen, was Google mittels Analytics da eigentlich sammelt: Namen? Nein. Adressen? Nein. Kontonummern? Nein. Grob gesagt werden das Klickverhalten und die IP-Adresse des Urhebers gespeichert. Streng genommen handelt es sich dabei um eine eindeutige 32-Bit-Adresse, die jedem Gerät zugewiesen wird, sobald es sich mit dem Internet verbindet. Mein Provider weiß ganz genau, wer gerade mit der Nummer 61.72.467.234 unterwegs ist, wie der Nutzer heißt, wo er wohnt und bei welcher Bank er sein Konto hat. Zu „Abrechnungszwecken“ wurde diese Information ursprünglich gespeichert, dank der Vorratsdatenspeicherung und der gesetzlich vorgeschriebenen Hysterie spielen heute auch juristische Faktoren eine Rolle.

Die zentrale Frage in diesem Streit lautet eigentlich: Ist die IP-Adresse ein anonymes Datum – oder eine personenbezogene Information? Immerhin verfügt eine Institution (der Zugangsanbieter) über den Schlüssel, um alle Ziffernkombinationen auf Knopfdruck mit einem Namen zu verbinden. Und fest steht, dass Google die IP-Adresse für anderthalb Jahre speichert.

Der nun enbrandte Streit ist nicht sonderlich neu, tatsächlich hatte das Amtsgericht Berlin Mitte bereits im März 2007 festgestellt, dass eine Speicherung von IP-Adressen der Besucher nur dann zulässig ist, wenn diese ausdrücklich ihr Einverständnis dazu geben. Wie das logistisch zu bewerkstelligen sein soll, ließen die Richter offen. Da eigentlich daraufhin nichts passierte, knöpften sich Datenschützer wenige Monate später erneut Website-Betreiber vor. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) ließ im Juli vergangenen Jahres in Person von Dr. Thilo Weichert verlauten:

Wir waren verblüfft und schockiert, wie weit Google Analytics auch in Schleswig-Holstein verbreitet ist. Renommierte Medien- und Internetunternehmen gehören zu deren Nutzern ebenso wie viele Anbieter aus der Tourismus- und der Dienstleistungsbranche; ja politische Parteien, öffentliche Stellen des Landes und Hochschulen setzen den kostenlosen, aber datenschutzwidrigen Service ein.

Immerhin waren sie so „verblüfft und schockiert“, dass wiederum mehr als ein Jahr ins Land gehen musste, bis der Faden wieder aufgegriffen wurde. Und das war dann gestern.

Kleinstes Steinchen im Mosaik

Google versichert zwar bis heute, „in keinem Fall Ihre IP-Adresse mit anderen Daten von Google in Verbindung zu bringen“, jedoch bleibt natürlich immer ein schaler Beigeschmack bei der ganzen Sache – als Kölner ist man ja einiges gewohnt („Ma kennt sisch, ma hilft sisch.“). Der Suchriese hält sich jedenfalls alle Türchen offen, um dies eines Tages zu ändern.

Tja, wie soll man dazu stehen? Ich weiß es nicht. Die IP-Adresse ist tatsächlich das letzte Steinchen im Mosaik und – im Vergleich zu den übrigen – mittlereweile sogar das kleinste. Womit gehen wir ins Netz und wann? Was interessiert uns, worum geht es in unseren Mails? Welche Musikvideos schauen wir uns bei YouTube an, nach welchen Rezepten suchen wir? Da entsteht bereits die Silhouette eines ganzen Menschen. Google ist nicht böse. Goggle hat nur Interesse daran, den Nutzer bis ins kleinste Detail kennenzulernen, um ohne Streuverlust den Beschuss mit Werbeanzeigen aufzunehmen. Der Name des Nutzers oder seine wahre Identität – die sind vor diesem Hintergrund für die Suchmaschine völlig belanglos.

Basic Thinking setzt übrigens nicht Google Analytics, sondern eTracker ein, um einen Überblick darüber zu haben, wer hier ab und zu vorbeikommt. Hier gibt es eine klare Trennung zwischen dem Klickverhalten und dem Nutzer, der dahintersteht, zudem werden die IP-Adressen nur stark verkürzt gespeichert. Mehr dazu findet ihr bei uns im Impressum.

(André Vatter)