Datenschutz vs. Trackingtools
Bisher galt Piwik im Vergleich zu anderen Trackingtools wie zum Beispiel Google Analytics als „datenschutzfreundlichste“ Variante. Webseitenbetreiber sollten jedoch auch hier ihr besonderes Augenmerk auf die Einhaltung von datenschutzrechtlichen Regelungen richten. Ansonsten riskieren sie, wegen eines Verstoßes gegen Wettbewerbsrecht abgemahnt und mit vermeidbaren Kosten für die Wahrnehmung ihrer rechtlichen Interessen belastet zu werden.
Dies wird aufgrund einer aktuellen Gerichtsentscheidung zum Einsatz von Trackingtools deutlich. Verwender solcher Tools sollten streng darauf achten, ihre Nutzer in ihrer Datenschutzerklärung auf ihr Widerspruchsrecht aufmerksam zu machen.
Das Piwik-Urteil
In einem unter anderem für Piwik-Nutzer wichtigen Urteil hat das Landgericht Frankfurt a.M. am 18. Februar 2014 (AZ: 3-10 O 86-12) entschieden, dass der „heimliche“ Einsatz von Trackingtools ohne einen leicht auffindbaren Hinweis auf die Widerspruchsmöglichkeit gegen § 15 Abs. 3, § 13 Abs. 1 des Telemediengesetzes (TMG) verstößt.
Überdies stelle § 15 Abs. 3 TMG eine Marktverhaltensregel im Sinne von § 4 Nr. 11 des Gesetzes gegen den unlauteren Wettbewerb (UWG) dar, sodaß solche Verstöße abgemahnt werden können.
Hintergrund des Urteils
Dem Urteil liegt folgender Fall zugrunde: ein Webseitenbetreiber hatte Piwik genutzt, die Anonymisierungsfunktion aktiviert und sichergestellt, dass die IP-Adressen entsprechend gekürzt wurden. Dennoch bejahte das Landgericht Frankfurt die Anwendung des TMG und verurteilte den Betreiber dazu, es zu unterlassen, das Webtrackingtool ohne entsprechenden Hinweis auf die Widerspruchsmöglichkeit zu verwenden.
Hinweis auf Widerspruchsmöglichkeit
Das LG Frankfurt a.M. war der Auffassung, dass trotz der aktivierten Anonymisierungsfunktion eine Zuordnung zu einer konkreten Person nicht per se ausgeschlossen sei. Die Veränderung der IP-Adresse führe zwar dazu, dass die erstellten Nutzerprofile für sich genommen keiner konkreten Person zuzuordnen ist.
Jedoch „dürfte zumindest die technische Möglichkeit bestehen, die mit der Software Piwik erstellten Nutzerprofile mit einer Nutzer- oder Abrufstatistik bezogen auf die jeweilige Homepage zu vergleichen und so – mit einer hohen Wahrscheinlichkeit – eine Zuordnung zu den IP-Adressen vorzunehmen“.
Piwik verwende insofern ein internes Kennzeichen, einen sogenannten Hashwert, welcher aus unterschiedlichen Faktoren wie IP-Adresse, Browsertyp, verwendete Plugins, Betriebssystem errechnet wird. Laut Gericht nutze diese Heuristik auch bei aktiviertem AnonymizeIP-Plugin intern die volle IP-Adresse; die IP-Adresse werde jedoch nicht isoliert verarbeitet und gespeichert, sondern gehe mit anderen Daten verknüpft in einen Hashwert ein. Dies stellt nach Ansicht das LG Frankfurt a.M. einen typischen Fall der Pseudonymisierung dar, mit der Folge der Geltung des § 15 Abs. 3 TMG.
Bezüglich der Erstellung von pseudonymen Nutzungsprofilen schreibt das Gesetz nun zwingend vor, Besucher über die Erstellung pseudonymer Nutzungsprofile zu informieren sowie darüber, dass sie der Profilbildung widersprechen können (sogenanntes Opt out).
Erfolgt dies nicht, stellt dies laut Gericht einen Verstoß gegen § 15 Abs. 3 TMG dar. Letzteres sei als sogenannte Marktverhaltensregel im Sinne von § 4 Nr. 11 UWG anzusehen, so dass das Nichtbeachten dieser datenschutzrechtlichen Vorgaben als Wettbewerbsverstoß abgemahnt werden kann.
Kein „Verstecken“ der Datenschutzerklärung
Das LG Frankfurt stellte in seinem Urteil zudem einen Verstoß gegen § 13 Abs. 1 TMG durch den Anbieter fest, der den Dienstanbieter dazu verpflichte, den Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten in allgemein verständlicher Form zu unterrichten.
Bei einem automatisierten Verfahren, das eine spätere Identifizierung des Nutzers ermögliche und eine Erhebung oder Verwendung personenbezogener Daten vorbereite, sei der Nutzer zu Beginn dieses Verfahrens zu unterrichten. Der Inhalt der Unterrichtung müsse für den Nutzer jederzeit abrufbar sein.
Diese Bedingung war im zu entscheidenden Fall aber nicht gegeben. Vielmehr befand sich die Datenschutzerklärung unter der Schaltfläche „Kontakt“. Das LG Frankfurt a.M. sah dies jedoch nicht als ausreichend an, um den Besucher der Website klar, zuverlässig und zu Beginn des Nutzungsvorgangs über sein Widerspruchsrecht zu informieren, weil er nicht damit rechne, dass sich auf der Unterseite ‚Kontakt‘ ein Link zu den Datenschutzhinweisen befinde.
Fazit
Betreiber von Internetseiten sind gut beraten, die bestehenden Vorschriften zum Datenschutz sehr ernst zu nehmen und die Inhalte ihrer Webseite auf deren Einhaltung zu überprüfen. Datenschutzrechtliche Vorgaben erlangen auch im Wettbewerb immer mehr Bedeutung und werden so u.U. auch als Mittel zur „Marktbereinigung“ gegenüber Konkurrenten genutzt.
Als Konsequenz aus dem Urteil des LG Frankfurt a.M. sollten alle User von Piwik & Co. in ihrer Datenschutzerklärung eine eindeutige Klausel zur Funktionsweise des Trackingtools aufnehmen und den Nutzer auf die Möglichkeit zum Widerspruch hinweisen.
Seminartipp: Die Autorin gibt am 15. April ein Seminar für Gründerszene, in dem sie Euch mit den wichtigsten Tipps bezüglich IP / IT Recht vertraut machen wird.