Wenn es um Internetriesen wie Facebook oder Google geht, sind die Hamburger Datenschützer streng. Doch beim Web-Auftritt der Aufsichtsbehörde selbst lag mindestens einige Monate lang etwas im Argen: Dort kam ein Tracking-Dienst zum Einsatz, der die Informationen der Nutzer nicht gesetzeskonform verarbeitete. Am Donnerstagabend zog die Behörde Konsequenzen und ließ die Website vorerst abschalten. Der Fall zeigt, dass bei den Statistik-Diensten noch viel Klärungsbedarf besteht.
Hamburgs Datenschutz-Website ist offline
Die Datenschützer haben mit www.datenschutz-hamburg.de eine eigene Adresse, der Internet-Auftritt lief aber über die Seite Hamburg.de. Und über die technische Infrastruktur entscheide nicht seine Behörde, sondern der Betreiber, erklärte der Hamburger Datenschutzbeauftragte Johannes Caspar.
Caspars Behörde begann nach eigenen Angaben im März 2010, das Portal Hamburg.de zu überprüfen. Am Montag dieser Woche sei klar geworden: Ein Tracking-Programm, das auch auf der Datenschützer-Seite zum Einsatz kam, verstößt gegen das Telemedienrecht. Da es nicht gelungen sei, mit dem Betreiber von Hamburg.de eine "zeitnahe Umsetzung unserer Rechtsauffassung zu erreichen", habe man den Internet-Auftritt vorerst eingestellt. Derzeit wird auf www.datenschutz.de umgeleitet.
INFOnline erhebt volle IP-Adresse der Nutzer
Was genau ist das Problem? Die Betreiber von Hamburg.de haben einen Dienstleister damit beauftragt, Statistiken über Besucher der Website zu erstellen. Solch eine Auslagerung ist ein gängiges Verfahren in der Branche, braucht es dafür doch viel technisches Know-how. In diesem Fall kommt der Dienst INFOnline zum Einsatz, der die Daten aggregiert und anonymisiert an die IVW weiterreicht.
Die IVW - kurz für Informationsgemeinschaft zur Feststellung der Verbreitung von Werbeträgern - ist eine wichtige Adresse in der Medienlandschaft. Als Gemeinschaftsunternehmen der Branche erhebt sie die Reichweite von Zeitungen, Magazinen und Online-Portalen und liefert Medienhäusern wichtige Daten fürs Werbegeschäft.
An sich ist das unproblematisch. Doch der Dienst INFOnline erhebt nach Caspars Angaben die vollen IP-Adressen der Nutzer - also jener Zahlenfolge, die einen Computer im Internet eindeutig identifiziert und somit auch ermöglicht, ein Nutzerprofil anzulegen. Das verstößt gegen die Vorgaben des Düsseldorfer Kreises, eines informellen Zusammenschlusses der Datenschutzbeauftragten. Zum anderen bieten INFOnline und IVW keine Widerspruchsmöglichkeit an.
Dazu kommt, dass die Datenschutzerklärung auf Hamburg.de offenbar veraltet ist. IVW und INFOnline werden dort nicht erwähnt. Dagegen widmen sich drei Absätze den "Social Plugins" von Facebook, mit der Website-Betreiber den "Gefällt mir"-Daumen des Online-Netzwerks einbinden können. Diesen Dienst warf Hamburg.de jedoch bereits im Juni 2010 auf Caspars Drängen hinaus - aus Datenschutzgründen.
Tracking-Dienste halten sich nicht an Datenschutz-Vorgaben
Die Diskussion erinnert an den Streit um Google Analytics - der Dienst anonymisiere die IP-Adressen bestimmter Nutzer nicht, erklärte Johannes Caspar diese Woche und ließ Gespräche mit dem Unternehmen platzen. Der Datenschützer sieht trotzdem Unterschiede: "Anders als Google hat der Hersteller des auch auf hamburg.de zum Einsatz kommenden Tracking-Tools deutlich gemacht, die rechtlichen Vorgaben anzuerkennen und auch umzusetzen." Das soll bis Juli geschehen. "Es braucht einen gewissen Zeitraum zur Umstellung. Ich bin bereit, das abzuwarten", so Caspar. Daher sehe er zunächst davon ab, gegen die Software vorzugehen.
Google Analytics und INFOnline sind keine Einzelfälle und weisen auf ein generelles Problem: Viele Tracking-Dienste im Netz halten sich derzeit nicht an die strengen Vorgaben der Datenschützer. Das hat auch eine Untersuchung der Düsseldorfer Datenschutz-Dienstleisters Xamit im vergangenen Jahr deutlich gemacht.
Die Verantwortung für die Datenerhebung tragen zwar nicht die Software-Hersteller, sondern die Website-Betreiber, beispielsweise Hamburg.de. Dennoch sieht Caspar die Anbieter der Tracking-Dienste in der Pflicht. "Ich hoffe, dass auch Google hinsichtlich der Software Analytics weiterhin daran arbeitet, die Vorgaben des Düsseldorfer Kreises umzusetzen", betonte er.