(Fakten) Alle Jahre wieder… Google Analytics

Wieder einmal wird, diesmal in der Zeit, über Google Analytics  im Zusammenhang mit angeblichen Datenschutzverstößen berichtet.

Wieder einmal werden viele Punkte aufgezählt, zitiert und wiedergegeben die meiner Meinung nach falsch sind.

Ich möchte auf einige Punkte die mir immer wieder auffallen mal in wenigen Sätzen eingehen und freue mich auf Ergänzungen und Anregungen.

  

Datenverarbeitung in den USA

Die Goolge INc. Ist dem Safe Harbour Abkommen beigetreten. Dadurch ist eine Datenverarbeitung in den USA erlaubt bzw. gleichgestellt mit jeglicher Verarbeitung innerhalb der EU (also auch Deutschland).

Quelle: http://web.ita.doc.gov/safeharbor/SHList.nsf/f6cff20f4d3b8a3185256966006f7cde/9d486b16464df0648525709b006df57c?OpenDocument&Highlight=2,google

Ist aber auch nur dann relevant, wenn personenbezogene Daten verarbeitet werden.

 

 IP-Adresse

Google Analytics speichert, meines Wissens nach, keine IP Adressen.

Anders als in verschieden weiteren Web Analytics Lösungen, oftmals als besonderes datenschutzgerecht beschrieben, kann der Seitenbetreiber in Google Analytics keine IP Adressen einsehen oder sich gar nachträglich anzeigen lassen.

 Die IP Adresse ist noch nicht definitiv als personenbezogenes Datum deklariert (aber die Tendenz scheint dahin zu gehen.) Ich persönlich halte die IP nur für relativ personenbezogen (etwa wie ein KFZ-Kennzeichen). http://www.werning.com/blog/2009/07/relative-oder-absolute-bestimmbarkeit-datenschutz-ip-adressen-google-analytics/

Was geschieht technisch?

Die IP wird zwangsläufig an den Google Server übertragen um von dort den Javascript-Code abzurufen welcher in der jeweiligen Seite eingebunden ist.

Die IP wird in Google Analytics nicht angezeigt, wahrscheinlich auch nicht gespeichert.

[
Update 07.12.2009
Nur zum Verständnis, damit miene ich die Speicherung (Auswertungsmöglichkeit) in Google Analytics. Google selbst speichert sehr wahrscheinlich die IP-Adresse in den „Rohdaten“ bis halt diese Rohdaten (wohl nach max. 60 Tagen) gelöscht werden. Auf diese Daten kann der Seitenbetreiber aber nicht zugreifen und Google selbst sichertz zu, diese nicht mit anderen Daten in Verbindung zu bringen: „Google wird in keinem Fall Ihre IP-Adresse mit anderen Daten von Google in Verbindung bringen.“
]

Wohl aber scheint Google die Abrufe des JavaScripts zu protokollieren und hier auch die IP des abrufenden Internetzuganges zu speichern.

 

Da es keine personenbezogenen Daten innerhalb der Google Analyticsdaten gibt (zumindest konnte ich bisher keine erkennen) kann auch eine Löschung oder Auskunftsanforderung nicht gestellt werden.  Wie möchte denn jemand seinen Auskunfts- oder Löschungsanspruch deutlich machen bzw. sich identifizieren?

Ich kann mir nur den (theoretischen) Fall vorstellen, dass jemand sein eigener Provider ist und dort auch seinen Namen als Kennung einsetzt und sich nur alleine darüber ins Internet einwählt. Bei diesem Aufwand und technischer Anforderung würde ich aber a) von einer freiwilligen Preisgabe und b) einer öffentlichen Quelle sprechen.

Die Forderung,  Google selbst solle eine striktere Anonymisierung von IP-Adressen betreiben halte ich für völlig abwegig. Die IP wird in Google Analytics nicht gespeichert, kann also nicht anonymisiert werden. Zum Abrufen des JavaScripts kann die IP natürlich auch nicht verändert werden da sonst die Kommunikation nicht funktioniert.

Anzumerken ist, dass ich auf Nachfrage bei einer Aufsichtsbehörde für Datenschutz den Hinweis erhalten habe, dass eine Übermittlung der IP an einen Dritten (Server) generell als nicht erlaubt angesehen wird. Dies betrifft dann nicht nur Google Analytics sondern jegliche Einbindung von externen Scripten (Bilder, Banner, Routenplaner, Videos, JavaScript, RSS-Feeds, …) da  nicht sichergestellt ist, inwieweit hier durch den Dritten (Server) evtl. Protokollierungen stattfinden.

 

Cookie

Jeder kann selbst bestimmen (informationelle Selbstbestimmung) ob und welche Cookies der Browser setzen darf.

 Google setzt verschiedene Cookies ein. Diese werden hier ausführlich erklärt: http://code.google.com/apis/analytics/docs/concepts/gaConceptsCookies.html

Wenn der Benutzer Cookies nicht deaktiviert hat, wird ein entsprechender Cookie gesetzt.

[
Update 04-12-2009:
Google Analytics verwendet sogenannte „First Party-Cookies“. Demzufolge kann Google dieses Cookie nur dann auswerten, wenn sich Nutzer auf der jeweiligen Website befindet. Google hat keinen Zugriff auf dieses Cookie, wenn Nutzer andere  Websites besuchen oder eine andere Google Website wie Google.de.
]

Unsicherheit:

Viele Datenschützer und Aufsichtsbehörden empfehlen, Cookies regelmäßig (oder gar automatisch täglich oder beim Schließen des Browsers) zu löschen. Gleichzeitig wird auf Lösungen mit sog. „Widerspruchscookies“ hingewiesen die einen Cookie setzen um nicht erfasst zu werden. In Kombination müsste also so ein Widerspruchscookie jedesmal !! für jeden Analysedienst neu angefordert werden. Absolut nicht praktikabel, zumal bei jedem Besuch dieser erfasst wird bevor der Widerspruchscookie gesetzt ist.

Es wird derzeit eine neue EU-Richtlinie hinsichtlich der Verarbeitung von Cookies diskutiert: http://register.consilium.europa.eu/pdf/de/09/st03/st03674.de09.pdf

In der Anmerkung wird geschrieben, dass die Einwilligung auch in der Einstellung des Browser gesehen werden kann, dabei wird auf die Richtlinie 95/46/EG verwiesen.  

Dies halte ich für die vernünftige und auch im Sinne des Selbstbestimmungsrechtes richtige Vorgehensweise.

 

Verknüpfung mit anderen Google-Informationen

Die Verknüpfung mit anderen Google-Informationen betrifft nicht den Besucher der Internetseite sondern den Betreiber einer Internetseite welcher ein Googlekonto benötigt. 

Bei der Einrichtung eines Google Konto wird Nutzer über die Verknüpfungen informiert und muss diesen ausdrücklich zustimmen.

Ein Hauptargument der Google Analytics „Gegner“ ist immer wieder der Hinweis, Google würde diese Daten mit anderen Informationen verknüpfen. Hingewiesen wird hierbei immer auf folgenden Absatz in den Nutzungsbedingungen:

„Google Inc. räumt sich ausdrücklich, in seinen beim Einsatz zu akzeptierenden Regularien das Recht ein, die über den einzelnen Nutzer mittels einer eindeutigen Kennung gewonnenen Daten mit anderen, bereits gespeicherten Daten“ etwa aus Google Mail „zu verknüpfen und diese Informationen an Dritte weiterzugeben.“ Quelle: https://www.datenschutzzentrum.de/material/tb/tb31/kap07.htm

Dies steht allerdings in den Nutzungsbedingungen für ein Google Konto und hat nichts mit dem Besuch einer Internetseite zu tun die Google Analytics einsetzt. Es sei denn, der Besucher der Seite ist in seinem Google Account eingeloggt (bspw. Toolbar, Webprotokoll, …).

Dann aber hat der Nutzer diesem Absatz in den Nutzungsbedingungen ausdrücklich zugestimmt. Gleiches gilt für den Betreiber einer Internetseite die Google Analytics verwendet. Um Google Analytics verwenden zu können, muss der Seitenbeteiber ein Google Konto einrichten und entsprechend den Nutzungsbedingungen zustimmen.

Bei Google steht in den Hinweisen welche der Seitenbetreiber für die Seitenbesucher einstellen soll: „Google wird in keinem Fall Ihre IP-Adresse mit anderen Daten von Google in Verbindung bringen.“ Quelle: http://www.google.com/intl/de_ALL/analytics/tos.html

Hier muss ich Google natürlich vertrauen, sich an diese Zusage zu halten und diese nicht irgendwann zu ändern. Das muss ich allerdings immer bei einem Seitenbesuch, insbesondere dann, wenn tatsächlich personenbezogene Daten eingegeben werden (Shop, Acccount, …).

 

Die Google „Datenschutzhinweise“

Google forder in seinen Analytics Nutzungsbedingungen den Seitenbetreiber auf, einen Datenschutzhinweis an „prominenter“ Stelle einzubinden. Das ist keine Einwilligungserklärung!

Dieser Datenschutzhinweis ist aufgrund der Google Nutzungsbedingungen erforderlich. Hat aber, wenn die IP personenbezogen ist oder andere personenbezogene Daten anfallen, nichts mit einer Datenschutzerklärung im Sinne einer Einwilligung nach BDSG zu tun.

Diese muss unmittelbar vor der Datenerhebung stattfinden und den Betroffenen vor der Datenerhebung ausführlich informieren.

 

Warum überhaupt irgendwelche Analysetools?

„Web Analytics (auch Web Controlling, Web-Analyse, Datenverkehrsanalyse, Traffic-Analyse, Clickstream-Analyse, Webtracking) ist die Sammlung und Auswertung des Verhaltens von Besuchern auf Websites. Typischerweise wird untersucht, woher die Besucher kommen, welche Bereiche aufgesucht werden und wie oft welche Seiten gesehen werden. Für professionell betriebene Websites wird diese Analyse vor allem zur Optimierung der Website und zur besseren Erreichung von Zielen der Website (z. B. Häufigkeit von Besuchen, Vermehrung von Seitenaufrufen, Bestellungen, Newsletter-Abonnements) eingesetzt.“ Quelle: http://de.wikipedia.org/wiki/Web_Analytics

Es geht jedoch nicht um das Verhalten einer einzelnen, identifizierbaren Person sondern um das Verhalten der relevanten Masse auf der Internetseite.

 

Warum überhaupt Google Analytics?

Eine schnelle und einfache Auswertung. Grafisch nett aufbereitet und ohne technisches Hintergrundwissen zu bedienen und zu verstehen.

 

Was spricht gegen GA?

Die Auswertungsdaten liegen nicht auf dem eigenen Server. Der Seitenbetreiber hat keinen Zugriff auf die Rohdaten. Der Seitenbetreiber gibt Informationen über seine Internetseite preis.

 

Was gibt es für Alternativen?

Urchin Software von Google: http://www.google.com/urchin/de-DE/index.html

Ähnlich bzw. fast genauso wie Google Analytics nur auf dem eigenen Server installierbar.

 

Piwik – eine open source Lösung http://piwik.org/

Wird oft als datenschutzgerechte Alternative empfohlen. Hier ist aber zu beachten: Der einzige Unterschied liegt in der Erfassung der Daten auf dem eigenen Server. Für eine datenschutzgerechte Konfiguration (bspw. keine Speicherung der IP) muss der Betreiber hier selbst sorgen (und der Seitenbesucher muss diesem vertrauen).                

 

Webalizer http://www.mrunix.net/webalizer/

Wandelt die Serverlogfiles, welche der Provider meist automatisch anlegt, grafisch auf.

 

Es gibt noch weitere, meist kostenpflichtige Lösungen wie bspw.

http://www.etracker.com/de/

http://www.econda.de/

http://www.w3solutions.de/

 

 

Weitere Infos zu dem Thema:

Google Datenschutz-Center : http://www.google.com/intl/de/privacy.html

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein zu Tracking : https://www.datenschutzzentrum.de/tracking/

Google Analytics : http://www.google.com/intl/de/analytics/

Werning.com/blog -> Gogle Analytics : http://www.werning.com/blog/tag/google-analytics/

datenschutzbeauftragter-online  -> Gogle Analytics : http://www.datenschutzbeauftragter-online.de/datenschutz-artikel-hier-zu-google-analytics/

Ergänzung: 08-12-2009
Marco Hassler beschreibt in seinem Blog eine Interessante Möglichkeit, ein Opt-Out für (Google) Web Analytics selbst zu erstellen.
http://www.web-analytics-nutzen.de/web_analytics/2009/11/opt-out-tracking-code.html

 

Mein persönliches Fazit:

Ich schätze es wird darauf hinauslaufen, dass Google Analytics einen schlechten Ruf  erhält. Je nach Thema der betriebenen Internetseite wird ein Einsatz von Google Analytics (leider) als unseriös angesehen (werden) und ist daher nicht immer zu empfehlen. Ich werde, in Teilbereichen, auf piwik umschwenken, auch wenn ich das im Allgemeinen keineswegs für eine datenschutzgerechte(re) Lösung halte.

Was mich persönlich jedoch verwundert ist, dass bisher immer nur über Google (Analytics) gesprochen wird. Macht sich wirklich keiner bewusst, welche Auswirkung ein generelles Verbot (nicht erlaubt ist in meinen Augen = illegal = verboten) von Cookies oder der Einbindung von Drittscripten hat? Voraussetzung ist für mich hierbei natürlich immer, dass keine personenbezogene Profile erstellt oder verknüpft werden.

 

Ich freue mich auf Anregungen und Diskussionen zu diesem Thema, getrau dem Motto: Gewinn ist das Ziel der Diskussion, nicht der Sieg. 

Wichtige Aktualisierung/Ergänzung zum Thema: Verbot von externen (JS)-Scripts !? http://www.werning.com/blog/?p=314