Server-basierte Daten: Logdateianalyse

Die Software zum Betrieb von Websites, ein sogenannter Webserver wie Apache oder MS IIS, produziert gewöhnlich ein fortlaufendes Protokoll aller Aktivitäten der Software. Diente dies zunächst vor allem zur Aufzeichnung und Behebung von Fehlern im Betrieb, entdeckte man schnell die Möglichkeit, mithilfe dieser Logdatei Ergebnisse zur Beliebtheit der Website, zur Häufigkeit von Seitenabrufen und zur Aktivität der Website-Besucher zu sammeln. Da diese Protokolle direkt von der eigenen Software angelegt werden, zeigen sie ein Abbild der Server- und Benutzer-Aktivitäten. Zur Auswertung der Protokolle – pure Text-Dateien, die zeilenweise Aktivitäten der Software wiedergeben – wird gewöhnlich eine Software genutzt, die Statistiken erstellt, Daten zuordnet und in Grafiken und Tabellen anschaulich macht.

Client-basierte Daten: Tags und Pixel

Seit etwa 1996 gibt es ein weiteres, einfaches Verfahren zur Datensammlung: Direkt in den Quellcode der Website selbst werden unsichtbare Minibilder (1-Pixel-Grafiken), sogenannte Zähl- oder Trackingpixel, integriert. Ein Abruf dieser Grafik kann jetzt für genau einen Seitenabruf stehen. Die Pixel-Datei braucht sich dabei nicht auf demselben Server wie die eigentlichen Inhalte der Website zu befinden. So können Application Service Provider (ASP) die Sammlung, Speicherung und Auswertung der Daten übernehmen. Neben den noch immer genutzten 1-Pixel-Bildern wird heute von fast allen Lösungen zusätzlich JavaScript-Code zur Datenerhebung eingesetzt. Diese „JavaScript-Tags“ werden ebenso in den Quellcode der Seite integriert, können aber zusätzliche Informationen über den abrufenden Client (gewöhnlich den Browser) sammeln – z. B. grafische Auflösung des genutzten Monitors, Farbtiefe, im Browser installierte Plugins etc. Neuere Tools erlauben auch die Aufnahme der Mausbewegungen (Mouse Tracking) oder Tastatureingaben der Website-Besucher. Die Entstehung von client-basierten Webtrackings wurde als Netzwerkgraph visualisiert und eine Versechsfachung in den Jahren 2005–2015 festgestellt.

Vor- und Nachteile

Alle diese Analysen haben mit starken Unsicherheiten im Datenbestand zu kämpfen. Keine Art der Analyse kann für sich beanspruchen, den Datenverkehr und das Verhalten des Nutzers fehlerfrei abzubilden. Die folgende Tabelle vergleicht die beim Server und Client vorhandenen Daten sowie die Fehlerrisiken.

Zusammenfassend lässt sich feststellen, dass das clientseitige Verfahren in Kombination mit 1-Party-Cookies heute das gebräuchlichste und – pragmatisch gesehen – das beste ist. Die Datenqualität ist stark genug, um auf dieser Grundlage belastbare Entscheidungen treffen zu können. Die Kosten für ein gleichwertig zuverlässiges System auf Basis von Protokolldateien (engl. log files) (und Cookies) liegen meist deutlich höher und kommen am ehesten dort in Frage, wo die Daten sensible Informationen enthalten.

Weitere Verfahren

Für die Netzwerk-Protokoll-Analyse (NPA, Network Sniffer) wird ein spezieller Decoder zwischen die eigenen Webserver und der Verbindung zum Internet eingesetzt. Dieser sammelt nun den gesamten Datenverkehr in diesem Netzwerk. Beim URL-Rewriting wird ein Proxy zwischen Webserver und Internet installiert, der in speziellen Logdateien die Datenverkehrsdaten speichert und dabei gleichzeitig zusätzliche Informationen (Session-IDs) in die URL schreibt. Sogenannte Hybrid-Verfahren verarbeiten mehr als eine Datenquelle gleichzeitig. Besonders die integrierte Auswertung von Tag-Daten und Server-Daten stellt eine besonders reichhaltige und zuverlässige, aber auch aufwändige Art der Datenverkehrsanalyse dar.

Gesetzliche Regelung

Die Rechtslage bei der Nutzung einiger Daten ist in Deutschland umstritten. Rechtlicher Anstoß für die Kritik war bis etwa 2009 meist das Speichern der IP-Adresse und das Verwenden von Cookies. Das Bundesdatenschutzgesetz lässt die Erhebung und die Speicherung von personenbezogenen Daten nur dann zu, wenn dies von einer gesetzlichen Vorschrift explizit erlaubt wird oder eine eindeutige und vorherige Einwilligung des Nutzers vorliegt. Relevant ist dabei die Regelung in § 15 Telemediengesetz (TMG). Demnach dürfen personenbezogene Daten von Besuchern einer Internetseite ohne die Einwilligung des Nutzers nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von geschäftsmäßigen Angeboten im Internet zu ermöglichen und abzurechnen. Die Verwendung dieser Daten über das Ende des Nutzungsvorgangs ist nur erlaubt, soweit die Daten „für Zwecke der Abrechnung mit dem Nutzer erforderlich sind“. Nach § 13 Telemediengesetz (TMG) haben Anbieter von Internetportalen sicherzustellen, dass „die anfallenden personenbezogenen Daten über den Ablauf des Zugriffs oder der sonstigen Nutzung unmittelbar nach deren Beendigung gelöscht“ werden.

Nutzungsprofile

Diensteanbieter dürfen für Zwecke der Werbung (z. B. Abrechnung von Anzeigenklicks), der Marktforschung (z. B. Erhebung des Nutzerinteresses, um anschließend Webseiten zu optimieren) oder zur bedarfsgerechten Gestaltung der Telemedien (Nutzer gestaltet z. B. den Abruf einer TV-Programm-Webseite nach seinem Geschmack: bevorzugtes Genre, Anordnung der Sender) Nutzungsprofile erstellen, sofern der Nutzer dem nicht widerspricht (§ 15 Abs. 3 TMG). Ein solches Nutzungsprofil kann z. B. Angaben über den Zeitpunkt des Seitenbesuchs und die besuchte Seite enthalten, darf aber keine identifizierenden Merkmale wie die IP-Adresse enthalten, sondern nur ein Pseudonym. Das Profil darf ohne Zustimmung des Nutzers nicht mit anderen Daten über den Träger des Pseudonyms zusammengeführt werden. Damit der Nutzer sein Widerspruchsrecht wahrnehmen kann, ist er spätestens zu Beginn des Seitenbesuchs auf sein Widerspruchsrecht hinzuweisen. Die Datenschutzaufsichtsbehörden halten einen Link unter der Bezeichnung „Datenschutz“, der die Unterrichtung und die Widerspruchsmöglichkeit anbietet, für beanstandungsfrei.

Personenbezug

Umstritten ist, ob die IP-Adresse eines Internetnutzers in Verbindung mit dem Nutzungszeitpunkt einen Personenbezug herstellen kann. Das Amtsgericht München lehnte den Personenbezug einer dynamischen IP-Adresse, die durch den Betreiber eines Internetdienstes gespeichert worden war, in einem ergänzenden Hinweis (obiter dictum) ab (Urt. v. 30. September 2008 – 133 C 5677/08, MMR 2008, 860). Es folgte damit einigen juristischen Kommentatoren (Gola/Schomerus, § 3 Rn. 10), die IP-Adressen nur für „relativ“ personenbezogen halten, so dass die Speicherung von IP-Adressen bei Content-Anbietern zulässig und erst ihre Übermittlung unzulässig sei.

Das Amtsgericht Berlin-Mitte hat demgegenüber einen Personenbezug angenommen und es dem Betreiber eines Internetportals verboten, die IP-Adressen seiner Nutzer über die Dauer des Nutzungsvorgangs hinaus aufzubewahren (Urt. v. 27. März 2007 – 5 C 314/06, DuD 2007, 856–858, bestätigt durch Landgericht Berlin, Urt. v. 6. September 2007 – 23 S 3/07, MMR 2007, 799–800). Unter Zuhilfenahme weiterer Daten, wie sie etwa bei Internet-Zugangsanbietern gespeichert werden, sei die Ermittlung des genutzten Internetanschlusses und dessen Inhabers möglich. Dem schloss sich das Verwaltungsgericht Wiesbaden an (Beschl. v. 27. Februar 2009 – 6 K 1045/08, MMR 2009, 428–432). Auch das Amtsgericht Wuppertal sah die IP-Adresse als personenbezogenes Datum an. Im europäischen Ausland haben das schweizerische Bundesverwaltungsgericht, das oberste schwedische Verwaltungsgericht und der französische Verfassungsgerichtshof unter Bezugnahme auf die auch in Deutschland geltende europäische Datenschutzrichtlinie 95/46/EG den Personenbezug von IP-Adressen bejaht. Gleicher Meinung sind das Bundesjustizministerium, der Bundesdatenschutzbeauftragte, die Datenschutzbeauftragten des Bundes und der Länder sowie die Datenschutzbeauftragten aller EU-Staaten. Der deutsche Bundesgerichtshof hatte noch nicht über die Frage zu entscheiden, hat jedoch in einer Entscheidung aus dem Jahr 2009 ein „Recht des Internetnutzers auf Anonymität“ anerkannt.

Abklärung der Einhaltung des Datenschutzes nötig

Wer als deutscher Anbieter eines Internetdienstes externe Dienste wie Webanalysedienste in sein Angebot einbindet, haftet für die Einhaltung des deutschen Datenschutzrechts (sog. Auftragsdatenverarbeitung). Insbesondere bei amerikanischen Unternehmen, die in Deutschland agieren, sollte der Verwender eines Analytic-Tools die Einhaltung des deutschen Datenschutzrechts durch das ausländische Unternehmen sicherstellen, da es in den USA keine dem deutschen Recht vergleichbaren Datenschutzregelungen gibt (vgl. §§ 11, 4b Absätze 2 und 3 BDSG). Die Speicherung oder Übermittlung personenbezogener Daten ist jenseits gesetzlicher Erlaubnisse nur mit Einwilligung der Internetnutzer zulässig (§§ 4, 4a BDSG). Eine Einwilligung muss „bewusst“ erfolgen (§ 13 II TMG) und darf nicht gegen § 307 II BGB verstoßen. Es wird die Auffassung vertreten, dass es ein wesentlicher Grundgedanke des Telemediengesetzes ist, den Nutzer vor einer verdachtslosen Protokollierung seines Nutzungsverhaltens zu schützen. Abweichende Einwilligungsklauseln seien deswegen unwirksam nach § 307 II BGB.

Das Telemediengesetz in Deutschland lässt eine Verarbeitung von personenbezogenen Daten nach § 12 I TMG nur zu, wenn der Benutzer vorher zugestimmt hat oder eine gesetzliche Ermächtigung vorliegt. Durch den Einsatz eines externen Tools werden aber viele Daten des Seitenbesuchers an einen Dritten (Dienstanbieter) übermittelt. Sofern der Benutzer nicht vorher eingewilligt hat, ist dies unzulässig, da keine Rechtsgrundlage ersichtlich ist, die dies erlauben soll.

Am 26./27. November 2009 haben die obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich (Düsseldorfer Kreis) einige Grundsätze für den Umgang mit Google Analytics und anderen Webtracking-Verfahren beschlossen. Nach Auffassung der Aufsichtsbehörden dürften personenbezogene Daten eines Nutzers ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen. Die Analyse des Nutzungsverhaltens unter Verwendung der IP-Adressen einschließlich einer Geolokalisierung sei aufgrund der Personenbeziehbarkeit dieser Daten nur mit bewusster, eindeutiger Einwilligung zulässig. Liegt eine solche Einwilligung nicht vor, sei die IP-Adresse vor jeglicher Auswertung so zu kürzen, dass eine Personenbeziehbarkeit ausgeschlossen ist.

Bußgelder

Gegen Anbieter, die gegen die oben genannten Datenschutzgesetze verstoßen, können die Datenschutz-Aufsichtsbehörden Bußgelder verhängen.

Der Berliner Datenschutzbeauftragte hat inzwischen eine besondere Bußgeldstelle in seiner Behörde eingerichtet, um in Zukunft verstärkt Sanktionen verhängen zu können. In Einzelfällen ist die Protokollierung der IP-Adressen von Nutzern einer Website ohne deren Einwilligung bereits verboten worden.