Die aktualisierten Bestimmungen treten am 3. Oktober 2010 in Kraft.

Hier erhalten Sie weitere Informationen zu den Updates oder lesen Sie hier die neuen Bestimmungen.

Einen guten Überblick und Zugriff auf die Datenschutz-Tools erhält man übrigens über das Google Datenschutz-Center:
http://www.google.com/intl/de/privacy.html

Wahrscheinlich ein Fehler, da die Straße direkt an der Grenze zur Schweiz (aber wohl eindeutig in Deutschland) liegt.

Größere Kartenansicht

Der vorliegende Gesetzentwurf sieht vor, die §§ 28 und 29 BDSG um eine Konkretisierung des Begriffs der „allgemeinen Zugänglichkeit“ von Daten für den Fall der digitalen Abbildung von Straßenpanoramen zu ergänzen.
Der Gesetzesentwurf: http://www.bundesrat.de/cln_161/SharedDocs/Drucksachen/ (PDF)

Dazu auch: http://www.werning.com/blog/2010/05/kritische-berichte-zu-den-kritischen-berichten…

Wieder einmal wird, diesmal in der Zeit, über Google Analytics  im Zusammenhang mit angeblichen Datenschutzverstößen berichtet.

Wieder einmal werden viele Punkte aufgezählt, zitiert und wiedergegeben die meiner Meinung nach falsch sind.

Ich möchte auf einige Punkte die mir immer wieder auffallen mal in wenigen Sätzen eingehen und freue mich auf Ergänzungen und Anregungen.

Datenverarbeitung in den USA

Die Goolge INc. Ist dem Safe Harbour Abkommen beigetreten. Dadurch ist eine Datenverarbeitung in den USA erlaubt bzw. gleichgestellt mit jeglicher Verarbeitung innerhalb der EU (also auch Deutschland).

Quelle: http://web.ita.doc.gov/safeharbor/SHList.nsf/f6cff20f4d3b8a3185256966006f7cde/9d486b16464df0648525709b006df57c?OpenDocument&Highlight=2,google

Ist aber auch nur dann relevant, wenn personenbezogene Daten verarbeitet werden.

 IP-Adresse

Google Analytics speichert, meines Wissens nach, keine IP Adressen.

Anders als in verschieden weiteren Web Analytics Lösungen, oftmals als besonderes datenschutzgerecht beschrieben, kann der Seitenbetreiber in Google Analytics keine IP Adressen einsehen oder sich gar nachträglich anzeigen lassen.

 Die IP Adresse ist noch nicht definitiv als personenbezogenes Datum deklariert (aber die Tendenz scheint dahin zu gehen.) Ich persönlich halte die IP nur für relativ personenbezogen (etwa wie ein KFZ-Kennzeichen). http://www.werning.com/blog/2009/07/relative-oder-absolute-bestimmbarkeit-datenschutz-ip-adressen-google-analytics/

Was geschieht technisch?

Die IP wird zwangsläufig an den Google Server übertragen um von dort den Javascript-Code abzurufen welcher in der jeweiligen Seite eingebunden ist.

Die IP wird in Google Analytics nicht angezeigt, wahrscheinlich auch nicht gespeichert.

[
Update 07.12.2009
Nur zum Verständnis, damit miene ich die Speicherung (Auswertungsmöglichkeit) in Google Analytics. Google selbst speichert sehr wahrscheinlich die IP-Adresse in den "Rohdaten" bis halt diese Rohdaten (wohl nach max. 60 Tagen) gelöscht werden. Auf diese Daten kann der Seitenbetreiber aber nicht zugreifen und Google selbst sichertz zu, diese nicht mit anderen Daten in Verbindung zu bringen: "Google wird in keinem Fall Ihre IP-Adresse mit anderen Daten von Google in Verbindung bringen."
]

Wohl aber scheint Google die Abrufe des JavaScripts zu protokollieren und hier auch die IP des abrufenden Internetzuganges zu speichern.

Da es keine personenbezogenen Daten innerhalb der Google Analyticsdaten gibt (zumindest konnte ich bisher keine erkennen) kann auch eine Löschung oder Auskunftsanforderung nicht gestellt werden.  Wie möchte denn jemand seinen Auskunfts- oder Löschungsanspruch deutlich machen bzw. sich identifizieren?

Ich kann mir nur den (theoretischen) Fall vorstellen, dass jemand sein eigener Provider ist und dort auch seinen Namen als Kennung einsetzt und sich nur alleine darüber ins Internet einwählt. Bei diesem Aufwand und technischer Anforderung würde ich aber a) von einer freiwilligen Preisgabe und b) einer öffentlichen Quelle sprechen.

Die Forderung,  Google selbst solle eine striktere Anonymisierung von IP-Adressen betreiben halte ich für völlig abwegig. Die IP wird in Google Analytics nicht gespeichert, kann also nicht anonymisiert werden. Zum Abrufen des JavaScripts kann die IP natürlich auch nicht verändert werden da sonst die Kommunikation nicht funktioniert.

Anzumerken ist, dass ich auf Nachfrage bei einer Aufsichtsbehörde für Datenschutz den Hinweis erhalten habe, dass eine Übermittlung der IP an einen Dritten (Server) generell als nicht erlaubt angesehen wird. Dies betrifft dann nicht nur Google Analytics sondern jegliche Einbindung von externen Scripten (Bilder, Banner, Routenplaner, Videos, JavaScript, RSS-Feeds, …) da  nicht sichergestellt ist, inwieweit hier durch den Dritten (Server) evtl. Protokollierungen stattfinden.

Cookie

Jeder kann selbst bestimmen (informationelle Selbstbestimmung) ob und welche Cookies der Browser setzen darf.

 Google setzt verschiedene Cookies ein. Diese werden hier ausführlich erklärt: http://code.google.com/apis/analytics/docs/concepts/gaConceptsCookies.html

Wenn der Benutzer Cookies nicht deaktiviert hat, wird ein entsprechender Cookie gesetzt.

[
Update 04-12-2009:
Google Analytics verwendet sogenannte "First Party-Cookies". Demzufolge kann Google dieses Cookie nur dann auswerten, wenn sich Nutzer auf der jeweiligen Website befindet. Google hat keinen Zugriff auf dieses Cookie, wenn Nutzer andere  Websites besuchen oder eine andere Google Website wie Google.de.
]

Unsicherheit:

Viele Datenschützer und Aufsichtsbehörden empfehlen, Cookies regelmäßig (oder gar automatisch täglich oder beim Schließen des Browsers) zu löschen. Gleichzeitig wird auf Lösungen mit sog. “Widerspruchscookies” hingewiesen die einen Cookie setzen um nicht erfasst zu werden. In Kombination müsste also so ein Widerspruchscookie jedesmal !! für jeden Analysedienst neu angefordert werden. Absolut nicht praktikabel, zumal bei jedem Besuch dieser erfasst wird bevor der Widerspruchscookie gesetzt ist.

Es wird derzeit eine neue EU-Richtlinie hinsichtlich der Verarbeitung von Cookies diskutiert: http://register.consilium.europa.eu/pdf/de/09/st03/st03674.de09.pdf

In der Anmerkung wird geschrieben, dass die Einwilligung auch in der Einstellung des Browser gesehen werden kann, dabei wird auf die Richtlinie 95/46/EG verwiesen.  

Dies halte ich für die vernünftige und auch im Sinne des Selbstbestimmungsrechtes richtige Vorgehensweise.

Verknüpfung mit anderen Google-Informationen

Die Verknüpfung mit anderen Google-Informationen betrifft nicht den Besucher der Internetseite sondern den Betreiber einer Internetseite welcher ein Googlekonto benötigt. 

Bei der Einrichtung eines Google Konto wird Nutzer über die Verknüpfungen informiert und muss diesen ausdrücklich zustimmen.

Ein Hauptargument der Google Analytics „Gegner“ ist immer wieder der Hinweis, Google würde diese Daten mit anderen Informationen verknüpfen. Hingewiesen wird hierbei immer auf folgenden Absatz in den Nutzungsbedingungen:

“Google Inc. räumt sich ausdrücklich, in seinen beim Einsatz zu akzeptierenden Regularien das Recht ein, die über den einzelnen Nutzer mittels einer eindeutigen Kennung gewonnenen Daten mit anderen, bereits gespeicherten Daten” etwa aus Google Mail “zu verknüpfen und diese Informationen an Dritte weiterzugeben.” Quelle: https://www.datenschutzzentrum.de/material/tb/tb31/kap07.htm

Dies steht allerdings in den Nutzungsbedingungen für ein Google Konto und hat nichts mit dem Besuch einer Internetseite zu tun die Google Analytics einsetzt. Es sei denn, der Besucher der Seite ist in seinem Google Account eingeloggt (bspw. Toolbar, Webprotokoll, …).

Dann aber hat der Nutzer diesem Absatz in den Nutzungsbedingungen ausdrücklich zugestimmt. Gleiches gilt für den Betreiber einer Internetseite die Google Analytics verwendet. Um Google Analytics verwenden zu können, muss der Seitenbeteiber ein Google Konto einrichten und entsprechend den Nutzungsbedingungen zustimmen.

Bei Google steht in den Hinweisen welche der Seitenbetreiber für die Seitenbesucher einstellen soll: “Google wird in keinem Fall Ihre IP-Adresse mit anderen Daten von Google in Verbindung bringen.” Quelle: http://www.google.com/intl/de_ALL/analytics/tos.html

Hier muss ich Google natürlich vertrauen, sich an diese Zusage zu halten und diese nicht irgendwann zu ändern. Das muss ich allerdings immer bei einem Seitenbesuch, insbesondere dann, wenn tatsächlich personenbezogene Daten eingegeben werden (Shop, Acccount, …).

Die Google „Datenschutzhinweise“

Google forder in seinen Analytics Nutzungsbedingungen den Seitenbetreiber auf, einen Datenschutzhinweis an „prominenter“ Stelle einzubinden. Das ist keine Einwilligungserklärung!

Dieser Datenschutzhinweis ist aufgrund der Google Nutzungsbedingungen erforderlich. Hat aber, wenn die IP personenbezogen ist oder andere personenbezogene Daten anfallen, nichts mit einer Datenschutzerklärung im Sinne einer Einwilligung nach BDSG zu tun.

Diese muss unmittelbar vor der Datenerhebung stattfinden und den Betroffenen vor der Datenerhebung ausführlich informieren.

Warum überhaupt irgendwelche Analysetools?

„Web Analytics (auch Web Controlling, Web-Analyse, Datenverkehrsanalyse, Traffic-Analyse, Clickstream-Analyse, Webtracking) ist die Sammlung und Auswertung des Verhaltens von Besuchern auf Websites. Typischerweise wird untersucht, woher die Besucher kommen, welche Bereiche aufgesucht werden und wie oft welche Seiten gesehen werden. Für professionell betriebene Websites wird diese Analyse vor allem zur Optimierung der Website und zur besseren Erreichung von Zielen der Website (z. B. Häufigkeit von Besuchen, Vermehrung von Seitenaufrufen, Bestellungen, Newsletter-Abonnements) eingesetzt.“ Quelle: http://de.wikipedia.org/wiki/Web_Analytics

Es geht jedoch nicht um das Verhalten einer einzelnen, identifizierbaren Person sondern um das Verhalten der relevanten Masse auf der Internetseite.

Warum überhaupt Google Analytics?

Eine schnelle und einfache Auswertung. Grafisch nett aufbereitet und ohne technisches Hintergrundwissen zu bedienen und zu verstehen.

Was spricht gegen GA?

Die Auswertungsdaten liegen nicht auf dem eigenen Server. Der Seitenbetreiber hat keinen Zugriff auf die Rohdaten. Der Seitenbetreiber gibt Informationen über seine Internetseite preis.

Was gibt es für Alternativen?

Urchin Software von Google: http://www.google.com/urchin/de-DE/index.html

Ähnlich bzw. fast genauso wie Google Analytics nur auf dem eigenen Server installierbar.

Piwik – eine open source Lösung http://piwik.org/

Wird oft als datenschutzgerechte Alternative empfohlen. Hier ist aber zu beachten: Der einzige Unterschied liegt in der Erfassung der Daten auf dem eigenen Server. Für eine datenschutzgerechte Konfiguration (bspw. keine Speicherung der IP) muss der Betreiber hier selbst sorgen (und der Seitenbesucher muss diesem vertrauen).                

Webalizer http://www.mrunix.net/webalizer/

Wandelt die Serverlogfiles, welche der Provider meist automatisch anlegt, grafisch auf.

Es gibt noch weitere, meist kostenpflichtige Lösungen wie bspw.

http://www.etracker.com/de/

http://www.econda.de/

http://www.w3solutions.de/

Weitere Infos zu dem Thema:

Google Datenschutz-Center : http://www.google.com/intl/de/privacy.html

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein zu Tracking : https://www.datenschutzzentrum.de/tracking/

Google Analytics : http://www.google.com/intl/de/analytics/

Werning.com/blog -> Gogle Analytics : http://www.werning.com/blog/tag/google-analytics/

datenschutzbeauftragter-online  -> Gogle Analytics : http://www.datenschutzbeauftragter-online.de/datenschutz-artikel-hier-zu-google-analytics/

Ergänzung: 08-12-2009
Marco Hassler beschreibt in seinem Blog eine Interessante Möglichkeit, ein Opt-Out für (Google) Web Analytics selbst zu erstellen.

http://www.web-analytics-nutzen.de/web_analytics/2009/11/opt-out-tracking-code.html

Mein persönliches Fazit:

Ich schätze es wird darauf hinauslaufen, dass Google Analytics einen schlechten Ruf  erhält. Je nach Thema der betriebenen Internetseite wird ein Einsatz von Google Analytics (leider) als unseriös angesehen (werden) und ist daher nicht immer zu empfehlen. Ich werde, in Teilbereichen, auf piwik umschwenken, auch wenn ich das im Allgemeinen keineswegs für eine datenschutzgerechte(re) Lösung halte.

Was mich persönlich jedoch verwundert ist, dass bisher immer nur über Google (Analytics) gesprochen wird. Macht sich wirklich keiner bewusst, welche Auswirkung ein generelles Verbot (nicht erlaubt ist in meinen Augen = illegal = verboten) von Cookies oder der Einbindung von Drittscripten hat? Voraussetzung ist für mich hierbei natürlich immer, dass keine personenbezogene Profile erstellt oder verknüpft werden.

Ich freue mich auf Anregungen und Diskussionen zu diesem Thema, getrau dem Motto: Gewinn ist das Ziel der Diskussion, nicht der Sieg. 

Wichtige Aktualisierung/Ergänzung zum Thema: Verbot von externen (JS)-Scripts !? http://www.werning.com/blog/?p=314

Zuletzt habe ich dies in der sehr guten Ausführung „Reibt sich Google Analytics am Datenschutzrecht?” von RA Dr. Martin Schirmbacher gelesen: http://www.shopbetreiber-blog.de/2009/07/16/reibt-sich-google-analytics-am-datenschutzrecht/

Hieraus habe ich auch die beiden Nachfolgenden Definitionen für mich abgeleitet.

Die relative Bestimmbarkeit meint, dass eine Person oder Stelle, die die Daten erhoben hat, den Nutzer identifizieren kann, weil neben der IP weitere Daten erhoben werden, während eine andere Person oder Stelle, welche nur die IP erhebt, genau dies nicht kann. Dies führt dazu, dass das gleiche Datum (hier die IP) für einen Dienstleister Personenbezug haben kann, weil er aus der Information einen Rückschluss auf eine konkrete Person ziehen kann, während das Datum für andere Dienstleister neutral ist, weil sie keine Möglichkeit haben, die dahinterstehende Person zu identifizieren.

Beispiel:
Accessprovider weist die IP seinen Kundendaten zu
= personenbezug hergestellt

Im Bestellformular werden Adressdaten UND die IP erfasst
= personenbezug hergestellt
 
Ein Statistikprogramm erfasst (kurzzeitig) die IP
= KEIN direkter personenbezug hergestellt

Dazu auch das AG München „IP-Adresse ist kein personenbezogenes Datum” (Urteil vom 30.9.2008, Az. 133 C 5677/08): „Nach diesseitiger Auffassung stellen die IP-Adressen deswegen keine personenbezogenen Daten dar, weil ihnen die notwendige Bestimmbarkeit fehlt. Bestimmbarkeit ist dann gegeben, wenn die datenspeichernde Stelle die hinter der Einzelangabe stehende Person mit den ihr normalerweise zur Verfügung stehenden Kenntnissen und Hilfsmitteln und ohne unverhältnismäßigen Aufwand bestimmen kann (vgl. Gola/Schunerus, BDSG, § 3 Rdnr. 10).
…
Diese Möglichkeit steht der Beklagten nicht ohne weiteres zu. Die Beklagte könnte den Nutzer nur mit Hilfe des Access-Provider ermitteln, der aber mangels Rechtsgrundlage … diese Angaben nicht zur Verfügung stellen darf. Die theoretisch mögliche, aber illegale Möglichkeit einer Identifikation des Nutzers durch den Access-Provider und Weitergabe der Daten … kann vorgeschilderter Definition der Bestimmbarkeit der personenbezogenen Daten nicht entsprechen.”

http://www.telemedicus.info/urteile/Datenschutzrecht/Tracking-von-IP-Adressen/524-AG-Muenchen-Az-133-C-567708-IP-Adresse-ist-kein-personenbezogenes-Datum.html

Für die absolute Bestimmbarkeit genügt die theoretische Möglichkeit einer Identifizierung des Betroffenen, wonach „bei der Entscheidung, ob eine Person bestimmbar ist, alle Mittel berücksichtigt werden sollten, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen” (AG Berlin-Mitte (Urteil vom 27.3.2007, Az. 5 C 314/06)).

Hierbei ist es wohl auch egal, ob dies durch illegale Methoden oder unverhältnismäßigen Aufwand geschieht.

Interessant ist hierbei ein Blick wie unterschiedlich die Länder dies Auslegen:

Die schwedischen Verwaltungsgerichte sind der Meinung, dass IP-Adressen nicht nur bei dem Internet-Zugangsanbieter, sondern allgemein personenbeziehbar sind und deswegen dem Datenschutzrecht unterliegen.

Das britische und das irische Datenschutzgesetz finden nur Anwendung, wenn der Verantwortliche den Personenbezug selbst herstellen kann.

Das österreichische Datenschutzgesetz bestimmt in § 4 Nr. 1 sogar ausdrücklich die Anwendbarkeit auf „nur indirekt personenbezogene” Daten, bei denen der Verantwortliche „die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann”.

Das deutsche Datenschutzgesetz ist nicht so eindeutig formuliert.

In Artikel 2 der Richtlinie 95/46/EG (http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L0046:DE:HTML) des Europäischen Parlaments heißt es: „…als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann…”

Die Frage ist aber, ob diese indirekte Bestimmung auch die theoretischen Möglichkeiten einschließen soll oder ob nur die normalerweise zur Verfügung stehenden Möglichkeiten (ohne unverhältnismäßigen Aufwand) gemeint sind.

Diese Datei findet Ihr hier:
XP: C:\Dokumente und Einstellungen\Username\LokaleEinstellungen\Anwendungsdaten\Google\Chrome\User Data

Vista: C:\Users\Username\AppData\Local\Google\Chrome\User Data

Dort die beiden Zeilen:
“client_id”: “Buchstaben- und Zahlenfolge”,
“client_id_timestamp”: “Zahlenfolge”,
suchen und die Buchstaben und Zahlen entfernen.

Das sollte dann so aussehen:
“client_id”: “”,
“client_id_timestamp”: “”,
suchen und die Buchstaben und Zahlen entfernen.

Damit die ID entfernt bleibt und nicht gleich eine neue angelegt wird muss die Datei Local State noch schreibgeschützt werden.

update:

Sobald Chrome nach dem Neustart merkt, das nicht mehr auf die Datei zugegriffen werden kann, wird eine Kopie unter dem Namen “Local State.tmp” im gleichen Verzeichnis angelegt.

Also selbes Spiel von vorn – Datei “Local State.tmp” im Editor öffnen, Nummern löschen, abspeichern, Schreibschutz aktivieren.

Das sollte dann genügen.

Google sagt immer mal wieder das die Daten aus verschiedenen Quellen nicht zusammengeführt werden – und selbsternannte Datenschützer sagen dann: “Aber sie könnten….”.

Ja, sie hätten die technische Möglichkeit – ebenso wie die Briefzusteller, die Banken, der Zugangsprovider, …

Der Ausschuss für Handel und Energie im US-Repräsentantenhaus hat inzwischen die Antworten von 25 der insgesamt 33 in Sachen “Datenschutz” angeschriebenen Unternehmen veröffentlicht. Eines davon stammt von Google

Dort wird u.A. gefragt, ob es dem Unternehmen möglich wäre, die Internet-Nutzung eines Anwenders über mehrere Dienste oder Anwendungen hinweg in Verbindung zu bringen, um maßgeschneiderte Internet-Werbung zu liefern.

Hier müsste nun Google Analytics erwähnt werden, wenn diese Daten für Werbezwecke genutzt würden. Die Antwort von Google ist, wie eigentlich schon bekannt sein sollte: “Google setzte keine Daten für Werbezwecke in Beziehung, die mit unseren verschiedenen Produkten gewonnen wurden”.

Man muss es Google einfach glauben. Alternativ hat ja auch jeder die Möglichkeit Google nicht zu nutzen und auf eine andere Suchmaschine zu wechseln. (welche?)

Ich für meinen Teil vertraue Google da ebenso (viel oder wenig) wie meinem Briefzusteller und meiner Bank. Diese Unternehmen können es sich ebensowenig wie Google leisten das Vertrauen der Nutzer zu verlieren.

ABER: Man sollte natürlich wissen welche Daten wo und wie preisgegeben werden. Das bedeutet aber sich selber aktiv zu informieren und nicht auf “Schützer” zu setzen die schnell zu “Zensoren” werden könnten.

Antwort an den Ausschuss für Handel und Energie im US-Repräsentantenhaus

Bericht der Washington Post

Das Problem: Datenschützer prüfen die Rechtmäßigkeit von Google Analytics.

Schreiben an Google und Pressemeldungen des ULD

Meldung zum Datenschutz bei Google Analytics von Google

Folgende Funktionen sind mit Google Insights for Search möglich:
- Angaben ähnlicher und stark wachsender Keywords
- Vergleichen von Suchvolumina multipler Suchbegriffe
- Vergleichen von Keyword-Kategorien
- Geografische und zeitliche Vergleiche von Suchgriffen

Google gibt seinen Nutzern etwas mehr Einblick in das Zustandekommen seiner Suchergebnisse und verrät, inwiefern diese speziell auf den Benutzer zugeschnitten wurden.

Die Informatione wird nun schon einem Teil der Nutzern angezeigt und stetig erweitert.

Mehr auf http://www.golem.de/0808/61462.html

Trackingtools die personenbezogene Daten erfassen sind natürlich aus Datenschutzsicht genauestens zu prüfen und in der Regel nicht verwendbar.

Für die Nutzung eines solchen Trackingtools ist die Einbindung eines Scriptes in die eigene Webseite notwendig. Bei Aufruf der Webseite wird nun auch eine Verbindung zum Anbieter des Trackingtools aufgebaut und diesem –notwendigerweise- auch die IP des Seitenbesuchers übermittelt.
Unabhängig davon ob die IP nun innerhalb des Trackingtools gespeichert wird kann diese IP in den (Server)Logdateien des Trackingtoolanbieters gespeichert werden.

Diese eventuell mögliche Speicherung der IP wird vielfach als Datenschutzverstoß gesehen und als Hauptargument aufgeführt warum ein solches Trackingtool gegen den Datenschutz verstoße.
Das Problem wäre dann also die Übertragung der IP bzw. das Anstoßen eines Verbindungsaufbaus zu einem anderen Server als nur zum Server der besuchten Webseite.
Diese Ausführung findet sich auch in verschiedenen Aussagen wieder.

Die Aussagen des ULD:
„Durch den Einsatz von Google Analytics wird für die Medienanbieter kostenlos eine Statistik über die Mediennutzung erstellt. Zugleich wird mit dem Einsatz dieses Werkzeuges eine Übermittlung der Nutzerdaten einschließlich der IP-Adresse, der Cookie- und weiterer Rechnerdaten an Google in den USA vorgenommen, was dem Unternehmen ermöglicht, diese Angaben mit Nutzungsdaten zu kombinieren, die über andere Google-Dienste erfasst werden. Bei diesen Daten handelt es sich oft bzw. in der Regel um personenbezogene Daten. Google kann offensichtlich eine Identifizierung zumindest einzelner Nutzenden vornehmen, z.B. wenn diese auch Sign-In-Services von Google mit Cookies nutzen.“
Quelle: http://www.datenschutzzentrum.de/tracking/20080702-anschreiben-google-analytics.pdf

Oder die allgemeineren Aussagen einzelner Aufsichtsbehörden:
Meine Frage:
„Durch die Einbindung eines beliebigen Fremdcodes eines Dritten in die eigene Internetseite wird die IP diesem immer bekanntgegeben.
Ob und wie dieser die IP nun weiter verarbeiten wird ist nicht mehr von dem eigentlichen Seitenbetreiber steuerbar.
Halten Sie die grundsätzliche Einbindung eines Fremdcodes für problematisch oder “nur” die Speicherung der IP Adresse durch einen Dritten?“
Die Antwort der Aufsichtsbehörde:
„Grundsätzlich halten wir Datenschützer den Einsatz jeglicher Fremdcodes auf Rechner Dritter für problematisch.“

Daraus ergibt sich genau die Aussage welche von vielen scheinbar einfach unbedacht übernommen wird:
„Die IP Adresse ist generell ein personenbezogenes Datum“

Diese Aussage ist meines Erachtens so pauschal nicht haltbar. Die Tendenz einiger Gerichte scheint zwar in diese Richtung zu gehen, ein höchstrichterliches Urteil steht derzeit aber noch aus.
Vielfach werden in dieser Diskussion Gerichtsurteile als Quelle angegeben welche sich auf die IP des Accessproviders beziehen. Der Accessprovider speichert die IP in Verbindung mit den Anschlussdaten und kann daher natürlich direkt einen Personenbezug herstellen. Dies kann der Webseitenbetreiber nicht. Dieser muss dazu weitere Daten direkt beim Nutzer erheben. Beispielsweise durch ein Kontaktformular oder eine Bestellung. Werden an dieser Stelle personenbezogene Daten erhoben so muss der Betroffene über die Datenerhebung aufgeklärt werden. Das gilt unabhängig davon ob die IP erfasst wird oder nicht.

Was wäre wenn die IP generell als personenbezogenes Datum gilt?
Für das Tracking der Seitenbesucher würde dies bedeuten ein Tool zu nutzen welches auf dem eigenen Server installiert wird, keine IP überträgt und speichert.
Für den Seitenbetreiber bleibt es, bis auf den zusätzlichen Pflegeaufwand, was die Auswertungen angeht wie bisher.

Was bedeutet es aber generell für die Webseitenbetreiber?
Ist die IP generell ein personenbezogenes Datum so darf diese ohne Zustimmung weder erhoben, gespeichert oder übertragen werden.
Wenn als „Übertragung“ schon das Einbinden eines Codes von einem weiteren Server gilt (so die Ausführungen in den Diskussionen um Google Analytics) so betrifft das alle Services welche einen zentralen Code zur Einbindung zur Verfügung stellen.
Beispielsweise Seiten mit Flash, Videos, Nachrichtenticker, Routenplaner, Bannersysteme, Bezahlsysteme, Adsenseprogramme, Adwords- und Affilateprogramme, etc.
Das dies vielen noch nicht klar ist stellt man spätestens beim Besuch der Webseiten fest welche von einigen Diskutierenden betrieben werden, welche sehr stark gegen Trackingtools, insbesondere Google Analytics, schreiben aber eben genau solche Scripte eingebunden haben.

Mein Fazit:
Die teilweise drastisch falsche Darstellung was über Google (Analytics) möglich ist sowie die teilweise unreflektierte Übernahme von Meinungen und Argumenten sorgt für eine Stimmung welche eine sehr kontraproduktive Entwicklung verursacht.
Dies sowohl für den Datenschutz als auch für die allgemeine Internetbranche in Deutschland.
Es gibt Entwicklungen, gerade im Bereich Onlinemarketing, die eben nicht mit „alten“ Maßstäben zu messen sind. Natürlich ist es wichtig auf diese Entwicklung ein sehr wachsames (Datenschutz)auge zu haben. Ebenso wichtig ist es aber hier steuernd und sachlich einzugreifen und die User aufzuklären.
Sinnvoll ist es also dafür zu sorgen eine datenschutzgerechte Lösung zu finden und nicht pauschal zu versuchen die Lösungen zu verhindern.

Weitere Links zum Thema:
Schreiben und Pressemeldungen des ULD
Meldung zum Datenschutz bei Google Analytics von Google

Update:
http://www.werning.com/blog/2009/07/relative-oder-absolute-bestimmbarkeit-datenschutz-ip-adressen-google-analytics