Freitag, den 04. März 2011 um 16:12 Uhr
Das unter Webmastern sehr gern verwendete Webseiten-Tracking Tool "Google Analytics" sieht sich vermehrt datenschutzrechtlicher Kritik ausgesetzt. Zuletzt etwa war das Büro des niedersächsischen Ladensdatenschutzbeauftragten gegen einen Webseiten-Betreiber vorgegangen, der unter anderem Google Analytics auf seiner Webseite im Einsatz hatte. Die erneute datenschutzrechtliche Kritik an Google Analytics soll daher zum Anlass genommen werden, sich einmal nach einer Webtracking-Alternative zu Google Analytics umzusehen. An dieser Stelle muss der Hinweis auf Piwik kommen.
Bei Piwik handelt es sich um ein Open Source Projekt, das sich zum Ziel setzt, eine ebenfalls kostenlose (GPL-Lizenzierung) Alternative zum Tracking Tool des Suchmaschinengiganten Google anzubieten. Der direkte Vergleich mit Google Analytics wird gesucht. So heißt es schon auf der Startseite der PiWik-Projektseite:
"Piwik aims to be an open source alternative to Google Analytics"
Die Funktionen von PiWik sind wie die von Google Analytics ebenfalls sehr umfangreich. Hiervon kann man sich in der Online-Demo von PiWik zu Genüge überzeugen. Benötigt zum Betrieb von Piwik wird ein Webspace mit PHP (min. 5.1) und MySQL. Den kann man für ein paar Euro im Monat mieten oder gleich auf dem eigenen Server einrichten, wenn man einen hat. Die Funktionen von Piwik sind gut und mit denen von Google Analytics vergleichbar. Die Einrichtung von Piwik ist unkompliziert.
Fraglich und vorliegend von Interesse ist aber, ob Piwik auch aus datenschutzrechtlicher Sicht die (bessere) Alternative zu Google Analytics darstellt. Zur Beantwortung dieser Frage muss vorallem geprüft werden, wie Piwik mit den IP-Adressen der Webseitenbesucher umgeht.
Fakt und datenschutzrechtlich ein riesen Vorteil ist schon einmal, dass - soweit bekannt - Piwik keine IP-Adressen oder sonstige Nutzerverhalten mit Personenbezug an Dritte überträgt. Die Nutzerdaten werden regelmäßig nur vom Webseiten-Betreiber erfasst. Google Analytics hingegen überträgt die Daten an Google, dabei sehr wahrscheinlich auch an Länder außerhalb der EU, was datenschutzrechtlich nochmals Probleme aufwirft. Zwar gibt es das "Safe Harbor" Abkommen, welches grundsätzlich auch eine EU-Datenschutzrecht konforme Übertragung von Personendaten in die USA ermöglicht. Aber datenschutzrechtlich ist es allemal besser, wenn keine Übertragung an Dritte erfolgt. Insofern also schon einmal ein dickes Plus für Piwik.
Darüber hinaus kann Piwik (wohl) so eingestellt werden, dass bei IP-Adressen vor der Speicherung in der Datenbank eine Anonymisierung, beispielsweise durch Nullung des letzten Ziffern-Oktetts der IP-Adresse, erfolgt. Bei ausreichender Nullung geht der Personenbezug der IP-Adresse verloren. Noch einmal ein dickes Plus für Piwik.
Die mögliche Nullung der IP-Adressen ist ein hervorragendes Feature, das sicherlich viele Kritiker von Webtracking zufrieden stellen wird. Allerdings stellt sich aus datenschutzrechtlicher Sicht die Frage, ob eine Nullung der IP-Adressen vor der Speicherung in der Datenbank den datenschutzrechtlichen Erfordernissen überhaupt genügt. Denn wenn eine Nullung zwar vor der Speicherung der IP-Adressen in der Datenbank, aber nach erst nach diversen Bearbeitungsschritten erfolgt, findet noch immer ein datenschutzrechtlicher relevanter Datenverarbeitungsvorgang statt.
Die Vorschrift des Artikel 2 lit b) der europäischen Datenschutz Richtlinie (Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkeh) lautet (Hervorhebung durch den Autor):
Artikel 2
Begriffsbestimmungen
Im Sinne dieser Richtlinie bezeichnet der Ausdruck
(...)
b) "Verarbeitung personenbezogener Daten" ("Verarbeitung") jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten;
(...)
Man könnte nun argumentieren, dass bereits die Erhebung der IP-Adresse, deren Nullung und insbesondere die Nutzung für diverse Statistik-Dienste, bereits eine Verarbeitung personenbezogener Daten im Sinne von Artikel 2 lit b) der Datenschutz-Richtlinie darstellt.
Und in welchen Fällen eine solche Verarbeitung rechtlich zulässig ist, bestimmt Artikel 7 der europäischen Datenschutz-Richtlinie (Hervorhebung durch den Autor):
Artikel 7
Die Mitgliedstaaten sehen vor, daß die Verarbeitung personenbezogener Daten lediglich erfolgen darf, wenn eine der folgenden Voraussetzungen erfuellt ist:
a) Die betroffene Person hat ohne jeden Zweifel ihre Einwilligung gegeben;
b) die Verarbeitung ist erforderlich für die Erfuellung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder für die Durchführung vorvertraglicher Maßnahmen, die auf Antrag der betroffenen Person erfolgen;
c) die Verarbeitung ist für die Erfuellung einer rechtlichen Verpflichtung erforderlich, der der für die Verarbeitung Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich für die Wahrung lebenswichtiger Interessen der betroffenen Person;
e) die Verarbeitung ist erforderlich für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt und dem für die Verarbeitung Verantwortlichen oder dem Dritten, dem die Daten übermittelt werden, übertragen wurde;
f) die Verarbeitung ist erforderlich zur Verwirklichung des berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person, die gemäß Artikel 1 Absatz 1 geschützt sind, überwiegen.
Von einer rechtlich wirksamen Einwilligung zur Erhebung personenbezogener Daten (hier der IP-Adresse), wie sie Art. 7 lit. a) vorsieht, kann nicht ausgegangen werden, wenn ein Besucher eine Website erstmals besucht. Auch die in Art. 7 lit. b) bis e) genannten Gründe sind nicht einschließlich. Ein Rettungsanker könnte allerdings die Regelung des Art. 7 lit. f) sein, der eine Verarbeitung personenbezogener Daten dann zulässt, wenn das berechtigte Interesse des Anbieters gegenüber den Interessen der betroffenen Person überwiegen. Es sprechen gute Gründe dafür, bei einer umgehenden Nullung und anonymisierten Speicherung hier von einer Berechtigung nach Art. 7 lit. f) auszugehen.
Piwik ist nicht nur in technischer Hinsicht eine tolle Alternative zum Webtracking Tool Google Analytics. Auch im Hinblick auf den Datenschutz ist es sinnvoll, auf Piwik zurückzugreifen. Denn bei Piwik findet - soweit das ersichtlich war - keine Übertragung von personenbezogenen Daten an Dritte bzw. ins Ausland statt. Ferner besteht nunmehr die Möglichkeit, IP-Adressen zu nullen. Beides erfüllt wesentliche datenschutzrechtliche Forderungen der Kritiker von Google Analytics.
Sie betreiben eine Website, die auch die hiesigen Besucher interessieren könnte? Gerne können die Websites wechselseitig vorgestellt (verlinkt) werden.