Berlin - Wenn es um Internetriesen wie Facebook oder Google geht, sind die Hamburger Datenschützer streng. Doch bei der Web-Präsenz der Aufsichtsbehörde selbst lag monatelang etwas im Argen: Dort kam ein Tracking-Dienst zum Einsatz, der die Nutzerinformationen nicht gesetzeskonform verarbeitet. Die Datenschützer betreiben den Service zwar nicht selbst, peinlich ist es trotzdem: Erst vor ein paar Tagen brach Behördenchef Johannes Caspar die Gespräche mit Google über dessen Analyse-Dienst Analytics ab - aus ähnlichen Gründen. Beide Fälle zeigen, dass die Datenschützer bei den Statistik-Diensten noch viel zu tun haben. Am Donnerstagabend zog die Behörde Konsequenzen und ließ die Website vorerst abschalten.

Caspar wurde das Problem am 10. Januar bekannt. Seit März 2010 habe man das Portal des Seiten-Betreibers überprüft und jetzt festgestellt, dass die eingesetzte Analyse-Software nicht den Vorgaben des Telemedienrechts entspreche. Die Adresse datenschutz-hamburg.de  lief bisher über das Portal der Hansestadt, Hamburg.de. Mittlerweile wird auf die Adresse datenschutz.de  umgeleitet.

"Über die technische Infrastruktur unserer Seite entscheiden daher nicht ich oder meine Mitarbeiter." Zuständig seien die Verantwortlichen des Unternehmens, kommentierte er einen Bericht des IT-Fachanwalts und Bloggers Thomas Stadler , der als erster über den Fall geschrieben hatte. Man verhandele als Aufsichtsbehörde sowohl mit Hamburg.de als auch mit dem Statistik-Dienstleister.

Was genau ist das Problem? Die Betreiber von Hamburg.de haben einen Dienstleister damit beauftragt, Statistiken über Besucher der Website zu erstellen. Solch eine Auslagerung ist ein gängiges Verfahren in der Branche, braucht es dafür doch viel technisches Know-how. In diesem Fall kommt der Dienst INFOnline zum Einsatz, der die Daten aggregiert und anonymisiert an die IVW weiterreicht.

Die IVW - kurz für Informationsgemeinschaft zur Feststellung der Verbreitung von Werbeträgern - ist eine wichtige Adresse in der Medienlandschaft. Als Gemeinschaftsunternehmen der Branche erhebt sie die Reichweite von Zeitungen, Magazinen und Online-Portalen und liefert Medienhäusern wichtige Daten fürs Werbegeschäft.

Drei Absätze über "Social Plugins"

An sich ist das unproblematisch. Doch der Dienst INFOnline erhebt nach Caspars Angaben die vollen IP-Adressen der Nutzer - also jener Zahlenfolge, die einen Computer im Internet eindeutig identifiziert und somit auch ermöglicht, ein Nutzerprofil anzulegen. Das verstößt gegen die Vorgaben des Düsseldorfer Kreises, eines informellen Zusammenschlusses der Datenschutzbeauftragten. Zum anderen bieten INFOnline und IVW keine Widerspruchsmöglichkeit an.

Dazu kommt, dass die Datenschutzerklärung auf Hamburg.de offenbar veraltet ist. Von IVW oder INFOnline ist dort nicht die Rede. Stattdessen widmen sich drei Absätze den "Social Plugins" von Facebook, mit der Website-Betreiber den "Gefällt mir"-Daumen des Online-Netzwerks einbinden können. Diesen Dienst warf Hamburg.de jedoch bereits im Juni 2010 raus - aus Datenschutzgründen.

Erstmal abwarten

Die Diskussion erinnert an den Streit um Google Analytics - der Dienst anonymisiere die IP-Adressen bestimmter Nutzer nicht, erklärte Johannes Caspar diese Woche und ließ Gespräche mit dem Unternehmen platzen. Der Datenschützer sieht trotzdem Unterschiede: "Anders als Google hat der Hersteller des auch auf hamburg.de zum Einsatz kommenden Tracking-Tools deutlich gemacht, die rechtlichen Vorgaben anzuerkennen und auch umzusetzen." Das soll bis Juli geschehen. "Es braucht einen gewissen Zeitraum zur Umstellung. Ich bin bereit, das abzuwarten", so Caspar.

Google Analytics und INFOnline sind keine Einzelfälle und weisen auf ein generelles Problem: Viele Tracking-Dienste im Netz halten sich derzeit nicht an die strengen Vorgaben der Datenschützer. Das hat auch eine Untersuchung der Düsseldorfer Datenschutz-Dienstleisters Xamit im vergangenen Jahr deutlich gemacht.

Die Verantwortung für die Datenerhebung tragen zwar nicht die Software-Hersteller, sondern die Website-Betreiber, beispielsweise Hamburg.de. Dennoch sieht Caspar die Anbieter der Tracking-Dienste in der Pflicht. "Ich hoffe, dass auch Google hinsichtlich der Software Analytics weiterhin daran arbeitet, die Vorgaben des Düsseldorfer Kreises umzusetzen", betonte er.