Piwik ist ein Tracking-Tool, das dem Webseitenbetreiber Informationen über die Besucher der Seiten liefert. Piwik ist eine Alternative zu Google Analytics und wirbt mit dem Datenschutz (PIWIG Open Analytics Plattform). Wie bei anderen Tracking Tools erfolgt die Analyse der Besucher über Cookies und IP-Adressen. Anders als Google Analytics erfasst Piwik die IP-Adressen nur gekürzt und somit anonymisiert. Dies wird gemeinhin als datenschutzfreundlich angesehen (vgl. Schwenke, „Piwik als Alternative zu Google Analytics?“, I Law it Blog v. 21.3.2011).
Ansatz des LG Frankfurt:
In einem erbittert geführten Wettbewerbsprozess hat das LG Frankfurt a.M. jetzt entschieden, dass auf Piwik dennoch Paragraph 15 Abs. 3 TMG anwendbar sei (LG Frankfurt a.M., Urt. v. 18.2.2014 – 3-10 O 86/12, demnächst in CR und ITRB). Es handele sich um ein Tool, das Nutzungsprofile unter Pseudonym erstelle. Daher müsse dem Besucher der Website ein Widerspruchsrecht eingeräumt werden. Ãœber dieses Widerspruchsrecht sei der Nutzer gemäß § 13 Abs. 1 TMG in den Datenschutzbestimmungen hinzuweisen.
- Absolutes Verständnis von Personenbezug
Das Urteil setzt den absoluten Begriff des Personenbezugs konsequent um und stützt sich darauf,
„dass das Rückrechnen mit erheblichem Aufwand denkbar ist“.
(LG Frankfurt a.M., Urt. v. 18.2.2014 – 3-10 O 86/12, Seite 12)
Dass der absolute Begriff keineswegs unumstritten ist, geht aus der ausführlichen Urteilsbegründung nicht einmal ansatzweise hervor. Dies wird zu Recht kritisiert (Schulz, „Verstöße gegen Datenschutznormen des TMG sind abmahnfähig“, bvh Blog v. 11.3.2014).
- Ewigkeit des Personenbezugs
In der Konsequenz bedeutet das Urteil, dass eine Anonymisierung kein sicherer Weg ist, der aus dem Datenschutzrecht hinausführt. Da es keine Anonymisierung gibt, die eine De-Anonymisierung sicher ausschließen kann (vgl. Härting, „De-anonymisation is always possible, but what are the consequences?“, CRonline Blog v. 25.3.2013 und Härting, „Datenschutz im 21. Jahrhundert – Teil 7: Auslaufmodell „absolute Anonymität“, was sind die Folgen?“, CRonline Blog v. 28.3.2013), führt eine konsequente Anwendung des absoluten Begriffs des Personenbezugs stets dazu, dass es trotz Anonymisierung beim Personenbezug bleibt.
Was bleibt für den Einsatz von Tracking-Tools?
- Opt Out bei Pseudonym
Die Entscheidung des LG Frankfurt zeigt, dass der absolute Begriff des Personenbezugs dazu führt, dass die Unterscheidung zwischen Anonymisierung und Pseudonymisierung (Paragraph 3 Abs. 6 und 6 a BDSG) bis zur Unkenntlichkeit verschwimmt. Jede auch noch so weitreichende Anonymisierung führt nicht mehr hinaus aus dem Datenschutzrecht, sondern bestenfalls zum Pseudonym, das in Paragraph 15 Abs. 3 TMG auch nur ganz ausnahmsweise einmal privilegiert wird (Opt Out statt Einwilligung).
- Einwilligung bei Pseudonym nach Entwurf für EU-Datenschutz-GVO
In der EU-Datenschutz-GVO ist übrigens keine Privilegierung von pseudonymen Nutzungsprofilen vorgesehen (vgl. Härting, „Mythen der EU-Datenschutzreform: ‚Pseudonyme Nutzung'“, CRonline Blog v. 1.2.2013). Wäre somit das europäische Datenschutzpaket schon in Kraft, hätte das LG Frankfurt mit dem absoluten Begriff des Personenbezugs zu einem anderen Ergebnis kommen müssen: Das bloße Opt-Out hätte nicht ausgereicht; der Einsatz von Piwik würde eine Einwilligung eines jeden Nutzers voraussetzen.
