Datenschutzkonforme Nutzung von Google Analytics nur durch anonymisierte IP

Für die meisten dürfte dieser Fakt nichts Neues sein: Wer Google Analytics auf seiner Homepage einbaut, muss sicherstellen, dass die IP-Adresse des Besuchers anonymisiert wird. Von Datenschützern wurde der Einsatz von Google Analytics als datenschutzrechtlich unzulässig eingestuft. Daher hat Google die Möglichkeit eingeführt, die IP anonymisiert zu übermitteln. Dies passiert durch den Quellcode-Zusatz „anonymisiert”. Es ersetzt die letzten Ziffern der IP-Adresse durch eine null und anonymisiert die IP so vor dem Versenden an Google (mehr dazu). 

Der Betreiber einer Homepage musste nun erfahren, was es bedeutet, diesen Quellcode-Zusatz nicht einzubinden.

Gezielte Suche nach Rechtsverstößen ist kein Rechtsmissbrauch

Geklagt hat ein Verbraucher vor dem Landgericht Dresden (Urteil vom 11.01.2019, Aktenzeichen: 1a O 1582/18). Bei dem Verbraucher handelt es sich um eine Person, die ein Tool entwickelt hat, was einzig und allein dem Zweck dient, solcherlei Datenschutzverstöße im Zusammenhang mit der Nutzung von Google Analytics aufzudecken.

Das Gericht sah hier allerdings kein Hindernis: „Allein das Aufsuchen und Aufrufen von Webseiten, die wie die der Beklagten, Google Analytics ohne den Zusatz anonymisiert im Quellcode verwendet, um sodann auf die Rechtsverletzung aufmerksam zu machen, macht das Handeln des Klägers noch nicht rechtsmissbräuchlich.” Ein Rechtsmissbrauch würde laut § 8 Abs. 4 UWG dann vorliegen, „wenn sie vorwiegend dazu dient, gegen den Zuwiderhandelnden einen Anspruch auf Ersatz von Aufwendungen oder Kosten der Rechtsverfolgung entstehen zu lassen.” Die Verfolgung solcher sachfremden Interessen und Ziele konnte das Gericht hier nicht sehen.

Verletzung des allgemeinen Persönlichkeitsrechts

Die Nutzung von Google Analytics ist datenschutzrechtlich bedenklich: Bei der Nutzung des Dienstes wird die IP-Adresse des Nutzers an das Unternehmen Google weitergeleitet. Darin wird ein schwerer Eingriff in das allgemeine Persönlichkeitsrecht gesehen. Dass der Nutzer selber durch Einstellungen im Browser dafür sorgen kann, dass die IP-Adresse anonymisiert wird, spielt keine Rolle: „Eine Verpflichtung dem Verletzten aufzuerlegen, sich vor einer vermuteten Rechtsverletzung selbst durch Vorkehrungen zu schützen, um eine tatsächliche Rechtsverletzung zu verhindern, widerspricht den vorgenannten Grundsätzen des Datenschutzes. Dies hätte zur Folge, dass der Datenschutz leerlaufen würde und sich die Dienstanbieter ihrer datenschutzrechtlichen Pflichten entziehen könnten.”

Verstoß gegen Bundesdatenschutzgesetz

Da sich das Urteil auf einen Fall vor Inkrafttreten der DSGVO bezieht, hat das Landgericht Dresden teilweise auf das Bundesdatenschutzgesetz abgestellt. Allerdings ist die fehlende Anonymisierung der IP-Adresse auch nach der Datenschutzgrundverordnung rechtswidrig. Wie die Kanzlei Bahr ganz richtig feststellt, hätte das Gericht aufgrund des auf die Zukunft gerichteten Unterlassungsanspruchs auf die DSGVO abstellen müssen. Das Urteil an sich bringt keinerlei neuen Erkenntnisse; allerdings wird es vielleicht noch einmal ins Gedächtnis rufen, wie Google Analytics datenschutzrechts konform eingesetzt wird.