· E-Commerce
Google Analytics darf nur mit IP-Anonymisierung verwendet werden
von Diplom-Wirtschaftjurist Martin Rätze, Kanzlei Wienke & Becker, Köln
| Google Analytics dürfte das am häufigsten eingesetzte Webanalyse-Tool auf dem Markt sein. Hintergrund ist wohl nicht nur seine sehr einfache Handhabung, sondern auch der Umstand, dass es für jeden Website-Betreiber kostenlos zur Verfügung steht. Das LG Dresden (11.1.19, 1a O 1582/18) hat sich mit der Nutzung genauer beschäftigt und entschieden, dass der Einsatz von Google Analytics ohne Anonymisierung der IP-Adresse des Nutzers eine Verletzung seines allgemeinen Persönlichkeitsrechts darstellt. Website-Betreiber können die IP-Adresse anonymisieren, indem sie den Codeschnipsel „anonymizeIP“ in den Quellcode der Website integrieren. |
Einsatz von Google Analytics
Die Beklagte setzte auf ihrer Website das Tracking-Tool Google Analytics ein. Damit werden Daten von Website-Besuchern gesammelt, z. B. wie sie sich auf der Website bewegen, wie lange sie verweilen etc. Diese Daten werden an Google weitergegeben und dort umfangreich ausgewertet. Die Auswertung wird wiederrum dem Website-Betreiber in großen Teilen zur Verfügung gestellt. Grundsätzlich erhält Google auch die IP-Adresse des Besuchers. IP-Adressen sind datenschutzrechtlich personenbezogene Daten, weil sie einen Rückschluss auf die Identität der natürlichen Person zulassen.
Nach Auseinandersetzungen mit den Datenschutzbehörden vor einigen Jahren hatte Google die Möglichkeit geschaffen, über den Zusatz „anonymizeIP“ die IP-Adressen der Nutzer zu kürzen, sodass eine Zuordnung zu einer natürlichen Person nicht mehr möglich ist. Damit handelt es sich dann bei der IP-Adresse nicht mehr um ein personenbezogenes Datum. In dem entschiedenen Fall verwendete die Beklagte diese Erweiterung aber gerade nicht. Ein Verbraucher fühlte sich dadurch in seinem allgemeinen Persönlichkeitsrecht verletzt und verlangte Unterlassung dieser Praxis. Eine Unterlassungserklärung gab die Beklagte aber nicht ab.
Verstoß gegen Datenschutz- und allgemeines Persönlichkeitsrecht
Das Gericht stellt fest, dass der Einsatz von Google Analytics ohne IP-Anonymisierung gegen das Datenschutzrecht verstößt und damit ‒ quasi automatisch ‒ auch das allgemeine Persönlichkeitsrecht des Klägers verletzt. Diese Verletzung sei zudem rechtswidrig erfolgt, weil es keine Rechtfertigung zur Weitergabe der IP-Adresse an Google gab. Dies hätte z. B. in Form einer Einwilligung geschehen können (etwa über einen Cookie-Banner).
Eine Einwilligung holte die Beklagte aber gerade nicht ein. Diese würde voraussetzen, dass der Besucher der Website eine bewusste und eindeutige Erklärung abgibt. Dabei müsse er Kenntnis vom Erklärungsinhalt haben. Zwar schreibe das Gesetz keine bestimmte Erklärungsform vor. Allerdings müsse die Erklärung aktiv erfolgen, z. B. durch Setzen eines Häkchens. Nicht ausreichend sei aber ein Hinweis auf die AGB des Website-Betreibers, in denen eine entsprechende Erklärung vorgehalten werde. Aber selbst dies war im vorliegenden Fall nicht erfolgt. Der Nutzer hatte lediglich die Seite aufgerufen. Darin sei keine ‒ auch nicht konkludente ‒ Einwilligung zu sehen.
Pflicht liegt beim Website-Betreiber
Die Beklagte argumentierte, dass der Besucher der Website ‒ also auch der Kläger ‒ selbst die Möglichkeit gehabt hätte, die Weiterleitung seiner IP-Adresse an Google zu verhindern, wenn er entsprechende Einstellungen in seinem Browser vorgenommen hätte. Alternativ hätte er einfach einen Werbeblocker installieren und aktivieren können. Auch hätte er einen Brave Browser oder einen VPN-Tunnel nutzen können, um die Weiterleitung zu verhindern.
Diesen Argumenten folgte das Gericht (selbstverständlich) nicht, da dies die rechtskonforme Datenverarbeitung auf die Ebene der Nutzer verlagern würde, obwohl dies eine gesetzliche Pflicht der Website-Betreiber ist. Das Gesetz kenne keine Pflicht, dass die Nutzer ihre eigene IP-Adresse verschleiern müssten. Das Datenschutzrecht soll gerade vor einer Beeinträchtigung des allgemeinen Persönlichkeitsrechts schützen. Das Gericht stellte daher klar und eindeutig fest, dass die Beklagte ihre Website so einrichten muss, dass der Datenschutz und die daraus für die Besucher folgenden Rechte gewährleistet werden. Es verurteilte die Beklagte deshalb zur Unterlassung.
Entscheidung wirft Fragen auf
Sind die Argumente des Gerichts zur Unzulässigkeit der Weiterleitung der IP-Adresse ohne Einwilligung durchaus nachvollziehbar, vermisst man in der Entscheidung allerdings Ausführungen dazu, weshalb hier ein Unterlassungsanspruch gegeben sein soll. Man kann nämlich mit guten Argumenten vertreten, dass die DS-GVO die individuellen Rechtsbehelfe der betroffenen Personen abschließend regelt und gerade keinen Unterlassungsanspruch kennt. Es wäre wünschenswert gewesen, wenn sich das Gericht mit dieser Problematik auseinandergesetzt hätte.
Über 200.000 Beschwerden anhängig
Unabhängig davon sollten Website-Betreiber sich intensiver mit dem Thema Google Analytics und Einwilligung beschäftigen. Aktuell sind bei mehreren deutschen Datenschutz-Aufsichtsbehörden eine Vielzahl von Beschwerden anhängig. In manchen Medienberichten ist die Rede davon, dass ein einziger Aktivist rund 200.000(!) Beschwerden wegen der Verwendung von Google Analytics ohne aktive Einwilligung der Besuchenden eingereicht hat. Diese Vielzahl von Beschwerden dürfte dazu führen, dass die Aufsichtsbehörden hier tätig werden. Es bleibt zu hoffen, dass einige der betroffenen Unternehmen die Frage der Zulässigkeit von Google Analytics (ohne Einwilligung) gerichtlich klären lassen werden, damit hier endlich Rechtssicherheit herrscht.
Weiterführender Hinweis
