Das ist bei 1&1 Web Analytics datenschutzrechtlich problematisch

Unternehmen erheben und speichern über 1&1 Web Analytics Daten wie zum Beispiel den Userstandort. Zwar anonymisiert 1&1 die IP direkt nach der Übermittlung und verarbeitet sie ohne Personenbezug. 1&1 kann so aber dennoch den Ort des Nutzers feststellen. Damit handelt es sich bei der IP-Adresse um personenbezogene Daten. Unternehmen dürfen diese nur erheben und weitergeben, wenn sie verschiedene Pflichten aus der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) beachten.

1&1 Web Analytics datenschutzkonform verwenden

Um nicht gegen den deutschen Datenschutz zu verstoßen, müssen Unternehmen diese Pflichten erfüllen:

Nutzer-Einwilligung einholen

Um über 1&1 Web Analytics personenbezogene Daten erheben und an den Anbieter 1&1 weitergeben zu dürfen, müssen Unternehmen die Einwilligung der User einholen. In Praxis eignet sich dafür vor allem ein Cookie Consent Tool. Dies fragt die Datenpräferenzen der Nutzer über einen Cookie Banner ab.

Vertrag zur Auftragsdatenverarbeitung abschließen

Seitenbetreiber müssen mit 1&1 einen Vertrag zur Auftragsdatenverarbeitung (AV-Vertrag) nach Art. 28 DSGVO abschließen. Sie können über diesen regeln, dass und wie sie die Userdaten an 1&1 weitergeben. Dabei sollten sie konkret festhalten,

welche Nutzerdaten 1&1 speichert,
wie lange 1&1 die Nutzerdaten speichert,
zu welchem Zweck 1&1 die Daten verarbeitet und
welche sonstigen Rechte und Pflichten beide Parteien haben.

Datenschutzerklärung anpassen

Webseitenbetreiber, die 1&1 Web Analytics nutzen, müssen in ihrer Datenschutzerklärung konkret auf die Verwendung des Tools hinweisen. Dazu müssen sie erklären,

dass sie über 1&1 Web Analytics personenbezogene Daten erheben,
welche Daten genau sie sammeln,
warum sie diese Daten sammeln,
was sie mit den Daten machen,
wie lange sie diese Daten speichern,
dass sie für die Datenweitergabe mit 1&1 einen AV-Vertrag geschlossen haben und
dass User der Datenerhebung jederzeit widersprechen können.

Rechtsprechung zu 1&1 Web Analytics

Für 1&1 Web Analytics ist diese Rechtsprechung relevant:

Landgericht Hamburg zur Erwähnung von Google Analytics in Datenschutzerklärung

Das Landgericht Hamburg hat in einem Urteil am 10.03.2016 entschieden: Webseitenbetreiber dürfen nur Google Analytics verwenden, wenn sie darüber ausführlich in ihrer Datenschutzerklärung informieren (312 O 127/16). Am 09.08.2016 hat das Gericht diese Entscheidung in einem Beschluss noch einmal bestätigt (Az. 406 HKO 120/16). Diese Rechtsprechung lässt sich auch auf den Analysedienst von 1&1 übertragen. Das heißt: Webseitenbetreiber, die in ihrer Datenschutzerklärung nicht auf den Einsatz von 1&1 Web Analytics verweisen, erfüllen nicht die Voraussetzungen der DSGVO.

Bundesgerichtshof zur Erhebung von IP-Adressen

Sobald Seitenbetreiber theoretisch die Person hinter einer dynamischen IP-Adresse feststellen können, handelt es sich um personenbezogene Daten. Zu diesem Schluss kam der Bundesgerichtshof im Mai 2017 (Az. VI ZR 135/13).

Europäischer Gerichtshof zur Erhebung von IP-Adressen

Der Europäische Gerichtshof geht davon aus, dass IP-Adressen dann personenbezogene Daten sind, wenn Strafverfolger die Person dahinter ausmachen können (Urteil vom 19.10.2016, Az. C-582/14).

Landgericht Berlin zur Erhebung von IP-Adressen

Das Landgericht Berlin stellte im September 2007 fest: Seitenbetreiber dürfen IP-Adressen nur speichern, wenn sie dafür die Erlaubnis der Nutzer haben (Az. 23 S 3/07).