Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) bietet laut einer Pressemitteilung vom 07.05.2012 allen bayerischen Webseitenbetreibern aus dem nicht-öffentlichen Bereich an, ihren Internetauftritt im Hinblick auf den datenschutzkonformen Einsatz von Google Analytics überprüfen zu lassen.

Worum geht es?

Ziel dieser Aktion soll es nach Aussage des Präsidenten des BayLDA, Thomas Kranig, primär sein, datenschutzkonforme Zustände beim Einsatz von Software zur Erfassung des Nutzerverhaltens im Internet zu erreichen. Aus diesem Grund wolle, so seine Aussage, das BayLDA im Rahmen dieser Prüfung bei Feststellung von Verstößen zunächst keine Bußgeldverfahren einleiten, sondern erst dann, wenn ein Webseitenbetreiber sich nach entsprechender Aufforderung durch das BayLDA sein Programm anzupassen, nachhaltig weigere oder nicht reagiere.

Nach den Vorgaben des BayLDA ist Voraussetzung für den datenschutzkonformen Einsatz von Google Analytics, dass

• ein von Google vorbereiteter Datenverarbeitungsauftrag schriftlich abgeschlossen worden ist,
• die Datenschutzerklärung auf der Webseite auf den Einsatz von Google Analytics und die bestehenden Widerspruchsmöglichkeiten hinweist und über die damit verbundenen Datenverarbeitungen aufklärt,
• auf das das von Google bereit gehaltene Browser-Add-On hingewiesen wird, mit dem die Übermittlung von Informationen über den Website-Besuch an Google Analytics unterbunden werden sollen,
• der Webseiten-Betreiber die Anonymisierungsfunktion der Google-Tracking-API in dem auf den Seiten implementierten Code aktivieren, mit der Google Analytics angewiesen wird, nicht die vollständige IP-Adresse des BesuchersNutzer zu speichern oder zu verarbeiten, sondern das letzte Oktett zuvor zu anonymisieren.

Was ist von alledem zu halten?

Die Vorgaben des BayLDA haben das Zeug zum regulatorischen Overkill. Schön wäre es wenigstens, wenn wenigstens für eine erfolgreiche Überprüfung einer Seite eine Art von amtlichem Siegel oder Prüfzertifikat angeboten würde, mit dem der Seitenbetreiber nach all dem Aufwand werben könnte. Mehr noch trifft die Vorgabe, mit Google einen – wohlgemerkt schriftlichen – Datenverarbeitungsauftrag nach § 11 BDSG schließen zu müssen, auf rechtsdogmatische Bedenken: Ein solcher Datenverarbeitungsauftrag ist lediglich erforderlich, wenn personenbezogene Daten im Sinne von § 3 Abs. 1 BDSG verarbeitet werden. Wenn man in der IP-Adresse überhaupt ein personenbezogenes Datum sehen will, entfällt diese rechtliche Einordnung dann, wenn diese Adresse verkürzt wird und so die Zuordnung zu ihrem Inhaber unterbunden wird.

Es bleibt abzuwarten, ob das BayLDA sein angekündigtes Ziel erreichen wird.