Google Analytics „Das spottet jeder Beschreibung“

Es ist ein faustischer Pakt, den Google mit unzähligen Betreibern von Websites geschlossen hat. Google stellt ihnen eine Software zur Verfügung, mit der sie die Besucher ihrer Seiten beobachten können. So sehen sie, wo jemand wohnt, welche Seite er vorher angeschaut hat, wie er sich im Internetangebot bewegt, wohin er weiterklickt, wann er aussteigt und sogar, wann er wiederkommt. Selbst wenn Monate dazwischen liegen.

Das Programm „Google Analytics“ liefert sehr nützliche Statistiken, und viele Seitenbetreiber lieben es. Sie „optimieren“ damit ihren Internetauftritt. Google verteilt die Software kostenlos, aber nicht ohne Hintergedanken. Denn die Informationen werden automatisch nach Amerika geschickt und in Googles Rechenzentren verarbeitet. So erhält der Internetkonzern Zugriff auf die Daten von Hunderten von Millionen Nutzern aus aller Welt. Die meisten wissen gar nichts davon.

Dienste gegen Daten

Das ist der Unterschied zu vielen anderen Google-Angeboten. Bei ihnen gilt: Dienste gegen Daten. Google bietet zum Beispiel ein kostenloses Mailprogramm mit unbegrenztem Speicherplatz. Wer es nutzen will, muss sich gefallen lassen, dass eine Maschine seine Mails nach werberelevanten Begriffen durchsucht. Google bietet auch eine praktische Browsererweiterung an. Wer die „Google Toolbar“ einsetzt, gibt aber alle Websites preis, die er aufruft. Und Googles Suchmaschine speichert jeden Begriff, den man eintippt, und jeden Link, auf den man klickt, dazu Datum, Uhrzeit und Informationen über den verwendeten Computer. Meistens kommt also der Nutzer zu Google, aber bei „Google Analytics“ ist es umgekehrt.

Es lauert auf Websites, die man gar nicht mit Google in Verbindung bringen würde: Versandhändler, Blogs oder Online-Medien. Zahlen über die Verbreitung des Programms will Google nicht bekanntgeben. Eine Untersuchung der F.A.Z. zeigt, dass von den hundert beliebtesten Websites der Deutschen 28 „Google Analytics“ einsetzen. In Amerika übermitteln laut einer Studie vom vergangenen Jahr sogar 92 der 100 populärsten Seiten Informationen an Google.

Datenschützer grämen sich seit langem über „Google Analytics“. Einer von ihnen ist Thilo Weichert, der Datenschutzbeauftragte von Schleswig-Holstein. Das Programm „spottet jeder Beschreibung“, sagt er. „In der jetzigen Form ist der Einsatz in Deutschland rechtswidrig.“ 28 Betreiber von Websites in Schleswig-Holstein hat Weichert schon aufgefordert, das Programm abzuschalten - mit Erfolg. In Nordrhein-Westfalen wurden 150 Unternehmen abgemahnt. Aber in vielen anderen Bundesländern tut sich nichts dergleichen. Theoretisch könnten die Aufsichtsbehörden ein Bußgeld bis zu 100.000 Euro verhängen. Aber das ist noch nirgendwo geschehen, wie eine Umfrage dieser Zeitung in den Ländern zeigt.

„Google Analytics“ liest IP-Adressen aus

Im Mittelpunkt der Kritik an „Google Analytics“ steht, dass die Software IP-Adressen ausliest und speichert. Die IP-Adresse, eine Zahlenkolonne, ist so etwas wie ein Nummernschild: Jeder braucht eins, und leicht lässt sich mit ihm ein Computer im Internet identifizieren. Die obersten Datenschutzbehörden der Bundesländer haben im vergangenen November entschieden, dass diese Adresse eine personenbezogene Information ist.

Wer sie verwenden will, muss einen triftigen Grund vorweisen. Marktforschung gehört nicht dazu. Oder er muss die ausdrückliche Einwilligung des Betroffenen einholen. Das geschieht auf den Websites, die „Google Analytics“ einsetzen, praktisch nie. Manche Seiten weisen zwar auf die Software hin, versteckt irgendwo in den „Nutzungsbedingungen“. Aber wenn der Nutzer die liest, hat die Software längst mit ihrer Arbeit begonnen.

Google verweist darauf, dass die IP-Adresse nicht den Namen des Nutzers verrät und mit jeder Internetverbindung erneuert werde. Wer am Computer sitzt, könne die Firma nicht herausfinden. Dafür brauchte sie die Daten des Internetanbieters, der allein wisse, welchem Kunden er welches „Nummernschild“ zugewiesen hat. Die Datenschützer beruhigt das nicht. Denn die bloße Möglichkeit, dass die Daten zusammengeführt werden, reiche aus. Zudem könnte Google die IP-Adressen mit den Daten seiner personalisierten Dienste kombinieren. Wer also ein E-Mail-Konto bei Google besitzt, dessen Name und IP-Adresse sind Google dann auch bekannt. Google beteuert zwar, diese Daten nicht zusammenzuführen. Aber in seinen Datenschutzbestimmungen behält es sich genau das vor.

Bald entscheiden die Datenschützer

Zwölf Jahre ist das Unternehmen jetzt alt, und wenn man die Datenschützer fragt, dann benimmt es sich auch so: wie ein Teenager. Zugeständnisse beim Schutz der Privatsphäre macht Google erst nach langen Diskussionen. „Kooperation stelle ich mir anders vor“, sagt der Hamburger Datenschutzbeauftragte Johannes Caspar. „Bei Google muss man immer zuwarten.“ Nach viel Kritik an „Google Analytics“ hat das Unternehmen nachgebessert. Website-Betreiber können das Programm nun so einstellen, dass IP-Adressen von vornherein anonymisiert werden. Gelöscht werden sie aber nicht. Nur die letzten drei Stellen sollen weg. Nicht alle Datenschützer halten das für ausreichend.

Internetsurfer können zudem ein kleines Programm herunterladen, das die Aufzeichnung ihrer Daten verhindern soll. Auch das ist typisch Google: Wer seine Daten vor der Verwertung schützen will, soll selbst dafür sorgen. Um Erlaubnis wird er nicht gefragt.

Ob die Änderungen ausreichen, um „Google Analytics“ für den Einsatz in Deutschland freizugeben, wird bei einem Treffen des „Düsseldorfer Kreises“ in der kommenden Woche entschieden. In dem Gremium kommen die deutschen Datenschutzbeauftragten zusammen. Dem Vernehmen nach, sind die Zweifel noch groß und zu viele Fragen offen. Natürlich gibt es zahlreiche andere Dienste, die am Rande oder jenseits der Legalität Nutzerdaten sammeln. Das Web ist voll davon. Aber „Google Analytics“ hat in Deutschland einen Marktanteil von fast 80 Prozent, Googles Suchmaschine sogar von 90 Prozent. Niemand sonst häuft so viele Daten an. Und wer soll überprüfen, ob das Unternehmen daraus wirklich keine personalisierten Profile bildet? Der Staat? „16,4 feste Mitarbeiter“ habe er zu Verfügung, sagt der Hamburger Datenschutzbeauftragte Johannes Caspar.

Dann rechnet er vor, für welche Aufgaben wie viele Stellen abzuziehen sind. „Am Ende bleiben drei bis vier Mitarbeiter übrig, die sich um Google, Facebook und eine Reihe weiterer Firmen kümmern sollen“, sagt Caspar. „Es ist schwierig, das alles umzusetzen.“ Die Aufarbeitung des Fotoprojekts „Street View“ und der illegalen Sammlung von Daten aus Funknetzwerken „wirft uns nach hinten“. Mehr oder weniger deutlich sagen auch die Beauftragten der anderen Bundesländer, dass ihr Kampf für den Datenschutz unter Personalmangel leide. Mit einer Datenschutzüberprüfung muss ein Unternehmen in Deutschland, statistisch betrachtet, nur alle 39.400 Jahre rechnen.