Das Unabhängige Landeszentrum für Datenschutz (ULD), Kiel, hat nach einem uns vorliegenden Schreiben vom 28.12.2009 ein Schleswig-Holsteiner Unternehmen aufgefordert, den Einsatz von Google Analytics unverzüglich einzustellen und Google zur Löschung der auf diese Weise gewonnenen Daten schriftlich aufzufordern. Sollte das Unternehmen nicht kooperieren, wäre ein Bußgeldbescheid in Erwägung zu ziehen. Zu den Rechtsgründen, die gegen eine datenschutzrechtlich legitime Verwendung von Google Analytics sprechen soll, führt das ULD – allgemeinverbindlich – aus:
„Der Umgang mit unter Pseudonym gespeicherten Nutzungsdaten unterfällt dem Anwendungsbereich datenschutzrechtlicher Regelungen. Daher sind an die Erstellung von Nutzungsprofilen weitere Voraussetzungen geknüpft, die beim Einsatz des Analysedienstes Google Analytics nicht eingehalten werden können und damit derzeit durch Sie nicht beachtet werden. Dazu zählen:
1. Nichtumsetzung des Widerspruchsrechtes
Die Nutzer Ihres Dienstes haben das Recht zum Widerspruch gegen die Erstellung eines Nutzungsprofils. Dieses Recht muss serverseitig umgesetzt werden. Derzeit sieht der Analysedienst eine derartige Möglichkeit nicht vor. Auch in Ihrer Internetdarstellung fehlt die Umsetzung des Widerspruchsrechts.
2. Trennung der Profildaten von den Daten über den Träger des Pseudonyms
Der Dienst Google Analytics gibt keine Garantie, dass das erstellte Nutzungsprofil nicht mit Angaben, die zur Identifizierung des Nutzers geeignet sind, verknüpft wird. Ausdrücklich räumt sich die Google Inc. in ihren Datenschutzbedingungen das Recht zur Kombination ein: „Informationen, die Sie zur Verfügung stellen – Wenn Sie sich für ein Google-Konto oder andere Google-Services oder Werbung anmelden, die eine Registrierung erfordern, bitten wir Sie um personenbezogene Daten, wie Ihren Namen, Ihre E-Mail-Adresse und Ihr Kontopasswort. Für bestimmte Services, wie etwa unsere Werbeprogramme, bitten wir Sie um Kreditkarten- oder Kontoinformationen für die Bezahlung, die wir in verschlüsselter Form auf sicheren Servern aufbewahren. Möglicherweise kombinieren wir die von Ihnen bei der Verwendung Ihres Kontos bereitgestellten Informationen mit Informationen aus anderen Google-Services oder Services von Drittanbietern. Auf diese Weise verbessern sich für Sie die Funktionalität und die Servicequalität. Bei bestimmten Services geben wir Ihnen die Möglichkeit, das Kombinieren solcher Informationen zu deaktivieren.“ http://www.google.de/intl/de/privacypolicy.html 18. Dezember 2009). Unter diesen rechtlichen Bedingungen ist derzeit nicht auszuschließen, dass Nutzer Ihres Angebotes, die bei einem weiteren Dienst der Google Inc. angemeldet sind, z.B. Google Mail, durch die Google Inc. unter dem auf Ihrer Seite erstellten Nutzungsprofil identifiziert werden können.
3. Löschung der Nutzungsdaten
Derzeit räumt sich die Google Inc. das Recht ein, auch nach Beendigung des Dienstes durch Sie die Daten weiterzunutzen, Ziff. 16 Absatz 6 in Verbindung mit Ziff. 8.1 Absatz 2 der Nutzungsbedingungen Google Analytics . Stand 17. Dezember 2009). Die Nutzungsdaten sind jedoch gemäß § 35 Abs. 2 Nr. 3 Bundesdatenschutzgesetz (BDSG) zu löschen, wenn sie für eigene Zwecke verarbeitet wurden und deren Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist. Dies ist in der Regel der Fall, wenn Sie die Nutzung des Dienstes auf Ihrer Seite einstellen. Auch sieht, soweit dem ULD bekannt, die Konfiguration der Analysesoftware derzeit keine Löschungsmöglichkeit der gesammelten Daten vor.
4. Hinweis auf Einsatz von Google Analytics
Auf Ihrer Webseite fehlt der deutliche Hinweis über den Einsatz von Google Analytics.
5. Übermittlung der Daten in die USA
Die erhobenen Nutzungsdaten werden zum Zweck der Auswertung in die USA übermittelt, siehe Ziff. 8.1 Nutzungsbedingungen Google Analytics. Die Übersendung der Nutzungsdaten in die USA stellt eine Übermittlung dar, für deren Zulässigkeit eine Rechtsgrundlage oder die Einwilligung des Nutzer erforderlich ist, § 12 Abs. 1 TMG. § 15 Abs. 3 TMG rechtfertigt nur die Erstellung von Nutzungsprofilen. Eine Übermittlung in die USA ist davon jedoch nicht umfasst. Eine Einwilligung Ihrer Nutzer zur Übermittlung holen Sie derzeit nicht ein. Die Übermittlung in die USA ist daher datenschutzrechtlich unzulässig.
6. Analyse des Nutzungsverhaltens unter Verwendung der IP-Adresse
Der Dienst Google Analytics nutzt die über ihre Internetpräsenz erhobenen IP-Adressen zur Geolokalisierung Ihrer Nutzer. Eine derartige Verarbeitung der vollständigen IP-Adresse zum Zweck der Analyse des Nutzungsverhaltens ist nach Auffassung sämtlicher Aufsichtsbehörden für den Datenschutz des Bundes und der Länder nicht vom Telemediengesetz erlaubt und daher datenschutzrechtlich unzulässig.
Aus den genannten Gründen kommt das ULD zu der Einschätzunq, dass unter der momentanen rechtlichen und technischen Ausgestaltung des Dienstes „Google Analytics“ der Einsatz auf Ihrer Internetpräsenz nicht datenschutzkonform ist. Ich bitte Sie daher, unverzüglich den Einsatz von Google Analytics auf Ihrer Internetpräsenz einzustellen und die Google Inc. schriftlich zur Löschung der datenschutzrechtswidrig erlangten Nutzungsdaten aufzufordern. Bitte bestätigen Sie mir die Einstellung und Löschungsaufforderung bis zum … schriftlich (nicht per E-Mail).“