Eigentlich bin ich es ja langsam leid, aber es geht meines Erachtens einfach um zu viel.
Heise meldet das sich der Bundesverband Digitale Wirtschaft (BVDW) um Aufklärung hinsichtlich der von mir schon erwähnten Google Analytics Problematik bemüht. Der Artikel:
Auch der Datenschutz-Blog berichtet seine Ansicht der Sachlage. Diese ist mal wieder “etwas” kontrovers zu meiner, beleuchtet die Sachlage aber auch immer sehr gut.
Im Kern kommt die von mir immer wieder erwähnte Problematik bei der Zuordnung der IP durch den Provider oder den Webseitenbetreiber zum Tragen:
BVDW: Die IP-Adresse könne lediglich einem Standort zugeordnet werden, nicht aber einer natürlichen Person und sei damit für eine Consumer-Analyse irrelevant.
Datenschutz-Blog: Ich betone es zudem nochmals: In Zeiten der Vorratsdatenspeicherung weiterhin zu behaupten, dass eine IP gar keiner Person zugeordnet werden kann, grenzt schon an Dummheit oder Dreistigkeit.
Ich selbst sehe mich weder als dumm oder dreist, ich widerspreche trotzdem.
Eine IP alleine (!) kann immer nur einem Provider zugeordnet werden. Dieser kann als Zugangsprovider dann die IP zusammen mit der Zeitangabe einem Zugangsinhaber zordenen.
Die kann aber nicht der Seitenbetreiber und auch nicht Google oder der Anbieter des WetterkartenplugIns etc. Diese können das nur dann wenn weitere Daten (bspw. in einem Formular) erhoben werden. Das ist aber eine ganz andere Geschichte.
Zudem: In Google Analytics wird keine IP gespeichert. Wohl wird diese aber an Google übertragen um von dort den Codeschnippsel einzubinden. Zu dieser Problematik, wenn die IP generell ein personenbezogenes Datum ist, auch hier etwas mehr.
“Ich selbst sehe mich weder als dumm oder dreist”
Der Aufhänger bei mir war (wie üblich) nur provokation um Reaktionen zu erzielen – wie man sieht mit Erfolg
“Eine IP alleine (!) kann immer nur einem Provider zugeordnet werden. ”
Und wird somit auch direkt einer (juristischen) Person zugeordnet. Wie gesagt: Personenbezogen ist nicht Nutzerbezogen
Ja,
personenbeziehbare Daten sind auch personenbezogene Daten… Schon klar.
Aber wo ist die (vernünftige) Grenze? Auch ein Toastbrot kann letztlich personenbeziehbar sein.
Für den Provider ist der Personenbezug einer IP relativ eindeutig herstellbar – für den Seitenbetreiber und auch für Google nicht.
Ich kann das Toast morgens anhand der Belegung meiner Frau zuordnen. Sonst kann das aber niemand (ich hoffe).
Den provokanten Aufhänger habe ich schon richtig eingeordnet
Grüße
Thomas Werning
“Auch ein Toastbrot kann letztlich personenbeziehbar sein.”
Nein
“Für den Provider ist der Personenbezug einer IP relativ eindeutig herstellbar”
Ja, ebenda kommt ja die (ganz langsam) überholte Begrifflichkeit des “relativ personenbezogenen Datums” her. Und was ist das Ergebnis: Es wird nun diskutiert, dass Provider in Selbstverwaltung den Zugang zum Netz bei Urheberrechtsverstössen abschalten sollen.
Das beantwortet zugleich die Frage, wo die vernünftige Grenze bleibt: Es gibt sie nicht. Die ursprünglich mal sinnvolle Eingrenzung über die “Relativität” als Kriterium ist heute eher schädlich, zumal der auf den es ankommt (der Staat als Ermittlungsbehörde) ohnehin problemlos auflösen kann.
Anderes Beispiel: Nehmen wir an, Google würde die IP zwar kurzzeitig erheben, aber nur um direkt die Landesinfo auszulesen, um danach die IP zu löschen oder zu anonymisieren und die Landesinfo einzeln zu speichern. Wo wäre das Problem?
Ich sehe, in Zeiten von SOAP und nahezu unbegrenztem Speicher einfach gar keine Notwendigkeit, die IP ständig bereit zu halten.
“Den provokanten Aufhänger habe ich schon richtig eingeordnet”
Das ist gut, schaffen leider nicht alle.
Nachtrag:
“Auch ein Toastbrot kann letztlich personenbeziehbar sein.”
Das “Nein” gilt natürlich solange keiner reinbeisst. Der ansonsten daran befindliche Speichel macht es natürlich personenbeziehbar – aber ich denke, darum ging es nicht
grenzt ja fast an ‘nen Chat, aber warum nicht…
> Anderes Beispiel: Nehmen wir an, Google würde die IP
> zwar kurzzeitig erheben, aber nur um direkt die
> Landesinfo auszulesen, um danach die IP zu löschen
> oder zu anonymisieren und die Landesinfo einzeln zu > speichern.
Genau so macht es Google Analytics…
> Wo wäre das Problem?
Das die IP trotzdem an Google übertragen wird und der Webseitenbetreiber nicht nachvollziehen oder bestimmen kann ob und wie Google (oder irgendein anderer dritter Scriptanbieter) mit dieser IP umgeht. Aus meiner Sicht unproblematisch (ist ja nur die IP).
Aus Sicht einiger anderer (durchaus nicht unwichtiger Stimmen) darf die IP eben nicht an Dritte übertragen werden bzw. die Übertragung nicht angestoßen werden.
Und mein Frühstückstoast ist trotzdem stark auf mich bezogen
Gut’s nächtle
Thomas Werning