Source: http://www.laurentmeister.eu/tag/datenschutz/page/3/
Timestamp: 2019-04-20 09:08:43+00:00

Document:
Datenschutz – Seite 3 – Laurent Meister
Ein gutes Beispiel ist die gestern bekannt gewordene „Lösung“ im Streit um Google Analytics. Wie gestern schon geschrieben ist das Einlenken des hamburgischen Datenschutzbeauftragten zu begrüßen, doch nach der ersten Freude und einem genauen Blick in die Vorgaben, reibt man sich verwundert die Augen. Die „Lösung“ wirft mehr datenschutzrechtliche Fragen auf, als dass sie sie lösen würde. Hier ein paar Punkte, warum die vorgeschlagene Lösung als Datenschutzirrsinn bezeichnet werden kann:
Nach Aussage von Google und dem Landesdatenschutzbeauftragten wird bei der IP-Adresse „das letzte Oktett der IP-Adresse vor jeglicher Speicherung gelöscht (…), so dass darüber keine Identifizierung des Nutzers mehr möglich ist.“ Das ist, der Definition aus § 3 Abs. 6 BDSG folgend, eine Anonymisierung. Mit erfolgter Anonymisierung ist ein Personenbezug nicht mehr herstellbar und daher keine datenschutzrechtliche Zulässigkeit für die weitere Verarbeitung erforderlich. Es verwundert, warum dann allerdings gleichzeitig eine Vereinbarung über die Auftragsdatenverarbeitung mit Google abschlossen werden soll. Einzig einleuchtende Begründung hierfür, wäre die Tatsache, dass die Anonymisierung nicht auf der jeweiligen Webseite direkt erfolgt, sondern nach Übermittlung an Google aber bevor die anonymisierte IP-Adresse für Google Analytics verarbeitet wird. Schaut man in die Mustervereinbarung von Google, erfährt man überrascht, dass sich diese nicht nur auf den Anonymisierungsvorgang bezieht sondern die Analyse durch Google Analytics insgesamt. Da „Kundendaten“ neben der IP-Adresse auch Cookie-Informationen enthält, stellt sich die Frage, welchen Personenbezug durch diese Cookies hergestellt werden kann und warum, in Abweichung der IP-Adresse, hier keine Anonymisierung vor der Erhebung, Verarbeitung und Nutzung erforderlich sein soll.
Am überraschensten erscheint jedoch, dass die Mustervereinbarung die Zustimmung der Aufsichtsbehörde erhalten hat, da sie wohl den Anforderungen aus § 11 Abs. 2 BDSG nicht gerecht wird. So vermisst man Angaben über Dauer der Auftragsdatenverarbeitung und die Art der verarbeiteten Daten ist nur vage umschrieben und führt nur „insbesondere“ konkrete Beispiele auf. Auch die Anforderungen an die Kontrollrechte entsprechen nicht der bisherigen Auffassung und der Intention des Gesetzgebers. Es bleibt daher abzuwarten, ob sich diese Erleichterung der Kontrollrechte wirklich durchsetzt.
Dies seien nur ein paar Punkte, um aufzuzeigen, dass das „Ergebnis“ in Sachen Google Analytics nicht passt und unbefriedigend ist. Es bleibt abzuwarten, ob sich die anderen Aufsichtsbehörden diesem Irrsinn anschließen und damit statt einer Durchsetzung der strengen Vorgaben des Datenschutzrechts eine Aufweichung derselben einleiten.
Veröffentlicht am 15. September 2011 20. September 2011
Es ist eine kleine, jedenfalls unerwartete Sensation. Der Hamburgische Datenschutzbeauftragte Caspar bestätigt, dass Google Analytics nach weiteren Anpassungen datenschutzkonform nutzbar ist. Damit geht ein langes Ringen zwischen Google und den Datenschützern zu ende.
Was war der Vorwurf und wie ist er nun gelöst worden?
Google Analytics wurden drei Dinge vorgeworfen: Einerseits IP-Adressen ohne die nach Ansicht der Aufsichtsbehörden erforderlichen Einwilligung in die USA zu übermitteln. Andererseits war der Vorwurf, Google würde Profile im Sinne von § 15 Abs. 3 TMG erstellen ohne eine ausreichende Widerrufsmöglichkeit zu bieten. Schließlich sei Google Analytics ein klassischer Fall der Auftragsdatenverarbeitung der den Anforderungen des § 11 BDSG nicht genüge.
Bereits vor einigen Monaten hatte Google nachgebessert und ein Opt-Out Plugin sowie eine Anonymisierungsmöglichkeit vorgestellt. Beide waren jedoch weiterhin als unzureichend angesehen worden, da einerseits nicht alle Browser erfasst wurden und die IP-Adressen erst nach Übermittlung in die USA anonymisiert wurden.
Nun hat Google anscheinend drei Dinge geändert:
Google bietet nun für alle gängigen Browser AddOns an
Die Daten werden in Europa anonymisiert
Google schließt mit Kunden eine schriftliche Vereinbarung über die Auftragsdatenverarbeitung nach § 11 BDSG
Das klingt alles schön und gut. Der reinen Lehre folgend wid man sich jedenfalls hinsichtlich der ersten Lösung verwundert die Augen reiben. Sowohl Google als auch der Landesdatenschutzbeauftragte geben zu, dass alle gängigen Desktop-Browser eine Opt-Out Lösung bieten (IE, Firefox, Chrome, Safari und Opera). Da weder Spartenbrowser noch Smartphones und TabletPCs hiervon erfasst sind, ist jedenfalls mit solchen Geräten ein Widerspruch nach § 15 Abs. 3 TMG weiterhin nicht möglich. Erstaunlich, dass dies jedoch hier als vernachlässigbar angesehen wird.
Die Vereinbarung zur Auftragsdatenverarbeitung ist zudem ein noch nie dagewesenes Novum. Wie Kollege Ferner schreibt, bleibt abzuwarten, ob dies eine abschreckende Hürde für Nutzer darstellt.
Update 13:40: Der Kollege Stadler hat sich bereits die Zeit genommen, die Vereinbarung zur Auftragsdatenverarbeitung genau anzuschauen und auch deren Erforderlichkeit hinterfragt. Da eine Anonymisierung allerdings erst NACH einer Übermittlung an Google (unklar bleibt ob Google Deutschland, Google Inc. oder eine andere Gesellschaft des Konzerns gemeint ist) erfolgt, ist insoweit weiterhin eine Datenschutzerklärung und wohl auch die Vereinbarung zur Auftragsdatenverarbeitung erforderlich.
Update: Einer vertieften Analyse habe ich einen gesonderten Blogpost gewidmet.
Am Donnerstag stellte der heise-Verlag für seine Internetangebote den „2-Klick-Button“ vor. Mit dem 2-Klick-Button soll, so heise, eine „datenschutzfreundliche“ Einbindung von Social-Media-PlugIns möglich sein. Das Prinzip ist einfach und alles andere als neu. Auf dieser Seite wird derzeit ebenfalls eine 2-Klick Lösung getestet, die der Kollege Jens Ferner bereits vor Monaten vorgestellt hat, lange bevor das ULD sich zur datenschutzrechtlichen Problematik des Facebook Like-Buttons geäußert hat. Die grafisch ansprechende Lösung des heise-Verlags wurde im Netz, dank der selbstüberzeugten Beschreibung, als die heilbringende Lösung gefeiert. Doch die Reaktion von Facebook kam prompt. Die Umsetzung widerspreche den Plattform-Richtlinien. Der heise-Verlag (und viele Nutzer) reagierten ungläubig, wenn nicht gar eingeschnappt. Schließlich habe der 2-Klick-Button zur Lösung eines datenschutzrechtlichen Problems beigetragen. Aber ist das wirklich so? „Ist der 2-Klick-Button wirklich datenschutzkonform?“ weiterlesen

References: § 3
 § 11
 § 15
 § 11
 § 11
 § 15