Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) kündigt heute auf seiner Homepage an, dass man Webseiten von Betreibern mit Sitz in Bayern auf die rechtskonforme Integration des Analysetools Omniture von Adobe überprüft hat bzw. derzeit überprüft. Sollte ein gesetzeskonformer Einsatz nach Ansicht der Datenschützer eventuell nicht gewährleistet sein, so wird man Post der Aufsichtsbehörde erhalten. Dies stellt jedoch noch nicht die Feststellung eines definitiven Verstoßes gegen Datenschutzgesetze dar, wie die Behörde erklärt. Vielmehr wird das angeschriebene Unternehmen darum gebeten darzulegen, wie es das Analysetool nutzt.
Rechtliche Anforderungen
Auf der Seite des BayLDA werden für Webseitenbetreiber die, aus der Sicht der Datenschützer erforderlichen Voraussetzungen für einen rechtskonformen Einsatz des Analysetools genannt.
Abschluss eines schriftlichen Auftragsdatenverarbeitungsvertrages mit Adobe
Der Webseitenbetreiber agiert hier als „verantwortliche Stelle“ im Sinne des § 3 Abs. 7 BDSG. Adobe verarbeitet die erhaltenen Daten für den Webseitenbetreiber und für dessen Analysezwecke. Daher handelt Adobe als Auftragsdatenverarbeiter. Nach § 11 BDSG ist eine solche Verarbeitung jedoch an gewisse Voraussetzungen geknüpft, unter anderen auch an den Abschluss eines Vertrages. Der entsprechende Vertrag für Omniture wird von Adobe bereitgehalten und kann auch nach Aussage des BayLDA genutzt werden.
Anbieten einer Widerspruchsmöglichkeit für Nutzer
Nach § 15 Abs. 3 TMG darf ein Webseitenbetreiber „für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht.“ Er hat den Nutzer jedoch bereits zu Beginn des Nutzungsvorgangs, also bei seinem ersten Besuch der Webseite, auf dieses Widerspruchsrecht hinzuweisen.
Das BayLDA rät dazu, diesen Widerspruch über den Einsatz eines Opt-out Cookies von Adobe zu ermöglichen. Für die Datenschützer ist es dabei ausreichend, wenn dazu auf die entsprechende Seite von Adobe verwiesen wird.
Aufklärung der Nutzer im Rahmen der Datenschutzhinweise
Diese Pflicht resultiert aus § 13 Abs. 1 TMG. Danach ist der Besucher einer Website „zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten … in allgemein verständlicher Form zu unterrichten“. Und: „Der Inhalt der Unterrichtung muss für den Nutzer jederzeit abrufbar sein.“
Wichtig ist also, dass Informationen zur Verarbeitung von Daten bereits beim ersten Besuch der Webseite leicht auffindbar sind. Das BayLDA sieht Formulierungen wie „Datenschutzerklärung“ und Datenschutzhinweise“ als ausreichend an.
Technische Einstellung des Servers, so dass eine Kürzung der IP-Adresse von Webseitenbesuchern erfolgt
Die IP-Adressen der Webseitenbesucher müssen technisch anonymisiert werden, bevor sie durch Adobe verarbeitet werden dürfen. IP-Adressen an sich stellen nämlich nach Ansicht der Datenschutzbehörden „personenbezogene Daten“ dar, welche so nicht ohne eine Rechtsgrundlage für Analysezwecke verarbeitet werden dürften.
Begrenzung der Cookie-Laufzeit auf 24 Monate
Diese Laufzeitbegrenzung wurde durch das BayLDA direkt mit Adobe bereits verhandelt und ist nun die Voreinstellung beim Einsatz von Omniture.
In erfreulich klarer und praxistauglicher Weise klärt das BayLDA über die Hintergründe der rechtlichen Anforderungen von Omniture auf. Auch andere Analysetools, wie etwa Google Universal Analytics, müssen entsprechend rechtskonform zur Nutzung eingebunden werden. Hierzu hatte ich bereits einmal gebloggt.
Fazit
Bayerische Webseitenbetreiber sollten, falls noch nicht geschehen, die Hinweise des BayLDA beachten und so für einen rechtskonformen Einsatz von Omniture sorgen. Nach den Aussagen der Datenschutzbehörde muss aber niemand damit rechnen, sofort einen Bußgeldbescheid zu erhalten. Vielmehr sucht die Behörde hier den Dialog und versucht äußerst praxisnah, Datenschutzrecht und Internetalltag zu vereinen.