Trackingsoftware

Hamburger Datenschutzbeauftragter schaltet sich selbst ab

Hamburgs Datenschutzbeauftragter, Johannes Caspar, hat seinen Internetauftritt abschalten lassen, da auf der Seite "unzulässige Trackingsoftware" zum Einsatz kam.

Nach seiner erneuten Kritik an Google Analytics und der Drohung, mit Bußgeldern und gegebenenfalls einem Musterprozess gegen Nutzer von Googles Webanalysedienst vorzugehen, ist der Hamburger Datenschutzbeauftragte Johannes Caspar selbst in die Kritik geraten. Rechtsanwalt Thomas Stadler wies darauf hin, dass auch auf dem Onlineauftritt des Hamburger Datenschutzbeauftragten unter datenschutz-hamburg.de "Tracking-Technologie eingesetzt und dort kräftig getrackt" werde.

Stadler spielte auf das in den Seiten integrierte IVW-Pixel an, mit dem die Informationsgemeinschaft zur Feststellung der Verbreitung von Werbeträgern die Reichweiten vieler deutscher Websites misst, auch die von Golem.de. Die Teilnahme am Messverfahren der IVW ist für größere Websites, die sich über Werbevermarktung finanzieren, auf dem deutschen Markt praktisch obligatorisch.

Da die Website des Hamburger Datenschutzbeauftragten Teil des offiziellen Auftritts der Stadt Hamburg ist, der vom Axel Springer Verlag betrieben wird, findet sich dort auch das IVW-Pixel.

Und so argumentierte Caspar in einem Kommentar im Blog von Rechtsanwalt Stadler: "Über die technische Infrastruktur unserer Seite entscheiden daher nicht ich oder meine Mitarbeiter, sondern dieses Unternehmen." Er räumte ein, dass die Konfiguration nicht den Anforderungen seiner Behörde entspricht und ihm das schon länger bewusst ist. Stadler erwidert: "Als Diensteanbieter und damit auch datenschutzrechtlich verantwortliche Stelle berufen Sie sich auf die Verantwortung eines Vordienstleisters. Einem Unternehmen, das Ihrer Behörde gegenüber so argumentiert, würden Sie das wohl kaum durchgehen lassen."

Stadler kommt zu dem Schluss, dass sich Caspars Behörde, gemessen an ihren eigenen Maßstäben, selbst nicht datenschutzkonform verhält: "Die Diskussion zeigt aber auch, dass das geltende Datenschutzrecht auf viele aktuelle Fragen keine befriedigenden Antworten mehr bietet."

Doch Caspar hat offenbar eine Antwort gefunden: Er schaltet den Internetauftritt komplett ab. Die Domain datenschutz-hamburg.de leitet nun auf datenschutz.de weiter. Dort heißt es: "Aufgrund des Einsatzes von unzulässiger Trackingsoftware auf den Seiten von hamburg.de hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit heute seinen dortigen Internetauftritt abgeschaltet."

IVW verspricht Datenschutzkonformität bis Juli 2011

Mit der IVW beziehungsweise deren technischem Dienstleister Infonline verhandelt Caspar nach eigenen Angaben schon ebenso lange wie mit Google. Die IVW habe zugesagt, ihr System bis Juli 2011 datenschutzgerecht zu gestalten.

Was das bedeutet, erläutert Dirk Wippen von Infonline in einem Kommentar in Stadlers Blog: Demnach verwendet die SZM-Box, die die Zählpixel ausliefert, die IP-Adresse für zwei Verarbeitungsschritte: zum einen, um den Nutzer einem Staat und Bundesland zuzuordnen und zum anderen, um zusammen mit dem User Agent daraus einen eindeutigen Hashwert zu erstellen. Dazu wird die IP-Adresse maximal zehn Minuten in der SZM-Box gespeichert. Danach wird sie aus deren Flash-Speicher gelöscht und nirgendwo im System gespeichert oder weiterverarbeitet.

Die eigentliche Aggregation der Daten findet auf anderen Systemen statt, die die einzelnen SZM-Boxen abfragen. Die SZM-Boxen sind dabei physikalisch von den weiteren Aggregations- und Speichersystemen im SZM-Verfahren getrennt. Die IP-Adressen werden an die aggregierenden Systeme nicht weitergegeben.

Das aber ist nach Ansicht der Datenschützer nicht erlaubt. Daher soll das IVW-System so verändert werden, dass die IP-Adressen zukünftig vor den beiden beschriebenen Verarbeitungsschritten um das letzte Oktett gekürzt werden.