Der Österreichische Rechtsanwalt Dr. Thomas Schweiger, LL.M. (Duke) beantwortet hier die Frage wie Webseitenbetreiber in Österreich mit dem Web Analytics Tool Google Analytics in Zukunft verfahren können. Google Analytics ist in Deutschland ins Licht der Datenschützer geraten. Es stellt sich die Frage, ob die Aussagen aus Deutschland auch auf Österreich übertragbar sind. Das Resultat welches Sie hier nachlesen können,war für mich verblüffend.

Google Analytics in Österreich
Von Dr. Thomas Schweiger, LL.M. (Duke)

Nach jüngsten Stellungnahmen der Datenschützer und Reaktionen von Google Inc. ist es nun in Deutschland möglich, Google Analytics datenschutzkonform zu verwenden, wenn gewisse Voraussetzungen erfüllt sind, und auch die bereits vor dem schriftlichen Vertrag, der mit Google Inc. abzuschließen ist, erstellten Daten gelöscht werden.

Bei Google Analytics werden Nutzerdaten bei Google Inc. gespeichert, sobald jemand eine Website, die dieses Tool verwendet, besucht. Insbesondere werden auch die „IP-Adresse“ und z.B. auch der von dieser Person verwendete Internetbrowser, die vermutliche Lokalisierung gespeichert und dem Websitebetreiber über das Tool zur Verfügung gestellt.

Wenn sohin der Webseitenbetreiber Zugriff auf den Datenstamm der Internetuser bei Providern hat, dann kann er einer IP-Adresse einen Anschlussinhaber eindeutig zuordnen. Da davon auszugehen ist, dass nahezu jeder Internetuser einen konkreten Computer vorwiegend verwendet, kann damit ein Personenbezug hergestellt werden. Die Person, die die Homepage zu einem bestimmten Zeitpunkt aufgerufen hat, wird „entschlüsselt“ und steht für den Webseitenbetreiber fest.

Es stellt sich nun die Frage,

ob die Ermittlung, Speicherung und Verwendung der von Google Analytics verwendeten Datenarten für den Webseitenbetreiber ein datenschutzrechtliches Problem darstellt.

Nach § 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, das Recht auf Geheimhaltung seiner personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Dieses Recht ist gegen jedermann, d.h. auch gegen Webseitenbetreiber durchsetzbar. Es ist eindeutig, dass die IP-Adresse, wenn sie einem bestimmten Anschlussinhaber zugeordnet ist, ein personenbezogenes Datum darstellt; dies trifft auch auf sein Nutzerverhalten beim Besuch einer Homepage zu.

Und hier ist nach dem österreichischen Recht die Analyse auch schon wieder weitgehend beendet. Der Webseitenbetreiber kann zwar erkennen, welche IP-Adresse, mit welchem Browser und aus welcher Stadt bei ihm „gesurft“ ist, aber er kann nicht – mit rechtlichen zulässigen Mitteln – feststellen, welcher Anschlussinhaber hinter dieser IP-Adresse steckt.

Es stellt sich daher die Frage,

ob er beim Provider anfragen kann, welchem Anschlussinhaber eine IP-Adresse zugeordnet ist.

Dazu hat der OGH in einem Fall von Urheberrechtsverletzung im Jahr 2009 bereits entschieden, dass der Internetserviceprovider (derzeit) nicht verpflichtet ist, die Daten des Anschlussinhabers, dem eine IP-Adresse zugeordnet ist, herauszugeben. Dies wird u.a. damit begründet, dass nur eine rechtswidrige Verarbeitung der Verkehrsdaten eine Erfüllung des Auskunftsersuchens i.S.d. § 87b (3) UrhG ermöglichen würde. Es fehlt an einer gesetzlichen Regelung, dass die Ermittlung und Speicherung der IP-Adressen als Verkehrsdaten zur Auskunftserteilung zulässig wäre. Das Auskunftsersuchen scheiterte daher an der Löschungsverpflichtung sowie dem Speicherverbot im Telekommunikationsgesetz.

Für Auskunftsersuchen über IP-Adressen zur reinen Aufklärung, welcher Anschlussinhaber zu einer bestimmten Zeit eine Website besucht hat, fehlt es jeglicher gesetzlicher Grundlage. Es kann sohin die Zuordnung einer IP-Adresse zu einem Anschlussinhaber nur vom konkreten Internetserviceprovider vorgenommen werden, sodass die Verwendung von Google Analytics durch den „eigenen“ Provider des Nutzers unzulässig erscheint.

Verwenden andere Webseitenbetreiber Google Analytics, dann ist dies aus österreichischer Sicht datenschutzrechtlich zulässig.

Die österreichische Rechtslage kennt die sogenannten indirekt personenbezogenen Daten. Das sind Daten, die von demjenigen, der die Daten ermittelt, nicht unmittelbar einer Person zugeordnet werden können. Nur ein Dritter (im konkreten Fall der Internetserviceprovider) ist in der Lage, diesen Personenbezug herzustellen. Wenn es mit rechtlich zulässigen Mitteln nicht möglich ist, den Personenbezug von der IP-Adresse (oder anderen ermittelten Daten) zum Nutzer bzw. Anschlussinhaber herzustellen, dann ist die Ermittlung, Speicherung und Verwendung der indirekt personenbezogenen Daten zulässig. Die Datenanwendung muss dem Datenverarbeitungsregister nicht gemeldet werden und auch die Rechte auf Richtigstellung, Löschung oder Auskunft stehen dem mutmaßlichen Betroffenen nicht zu.

Daraus ist ersichtlich, dass die Verwendung (d.h. die Ermittlung, Speicherung, Auswertung oder Weitergabe) von „indirekt personenbezogenen Daten“, die sich aus der Verwendung von Google Analytics ergeben, in Österreich nach datenschutzrechtlichen Kriterien als zulässig zu beurteilen ist.

Selbst wenn man davon ausgeht, dass die Daten durch den Webseitenbetreiber an Google Inc. übermittelt werden, ist dies nicht problematisch, da Google Inc. dem Safe-Harbour-Abkommen unterliegt, sodass Übermittlungen in die USA genehmigungsfrei zulässig sind.

Das österreichische Datenschutzgesetz ist dann anwendbar, wenn der Sitz des Auftraggebers, der die Datenanwendung in Betrieb hat, d.h. auf seiner Website Google Analytics verwendet, in Österreich ist; die Datenermittlung, -speicherung und sonstige Verwendung erfolgt dann in Österreich.

FAZIT

Verwendet ein österreichisches Unternehmen für das Webtracking auf seiner Website Google Analytics, dann ist es nicht notwendig, die für Deutschland entwickelte Vorgehensweise zu wählen, da nur indirekt personenbezogene Daten ermittelt, gespeichert und verarbeitet werden.

Dr. Thomas Schweiger, LL.M. (Duke)

Huemerstraße 1 + Kaplanhofstraße 2 | 4020 Linz | Österreich
TEL. +43 732 796900-0 | office@s-m-p.at | www.s-m-p.at