Archive for April 2011

Datenschutzkonformes Webtracking: Teil 1

Samstag, 16. April 2011

Das Tracken von Webseitenbesuchern ist für Webseitenbetreiber eine wichtige Informationsquelle. Was versucht ein Webseitenbetreiber über seine Besucher herauszufinden?

  1. Durch das Tracken werden vor allem folgende Informationen erfasst:
    • Von welcher Webseite kommt ein Besucher ,
    • mit welchen Suchbegriffen wurde gesucht, wenn der Besuche von einer Suchmaschine kam,
    • handelt es sich um einen neuen Besucher oder kommt dieser zum wiederholten Male,
    • wie verhält sich der Besucher auf der eigenen Webseite:
    • welche Seiten besucht er in welcher Reihenfolge,
    • wie lange bleibt er auf den einzelnen Seiten,
    • an welcher Stelle verlässt der Besucher die Webseite wieder,
    • über welche Fähigkeiten verfügt der Browser,
    • aus welchem Land und aus welcher Stadt kommt der Besucher,
    • wie lautet die IP-Adresse des Besuchers
  2. Einige Seiten gehen noch weiter, sie analysieren auch:
    • Wie bewegt der Besucher auf einer Seite die Maus,
    • wo auf der Seite klickt ein Besucher.
  3. Glücklicheweise nur wenige Seiten versuchen den Besucher über seinen Browser auszuspionieren:
    • Welche anderen Seiten wurden besucht,
    • welche persönlichen Daten sind im Browser gespeichert.

Auf den dritten Punkt, der eindeutig unter den Begriff „ausspionieren“ zu fassen ist, soll hier nicht weiter eingegangen werden. Moderne Browser verhindern solches Verhalten und es ist eindeutig illegal, zu versuchen diese Daten von einem Benutzer zu ermitteln.

Maßstab ist das Bundesdatenschutzgesetz

Bevor die anderen Punkte einzeln betrachtet werden, muss zuerst ein Blick in Blick in das Bundesdatenschutzgesetz geworfen werden, denn dies regelt, welche Datenverarbeitungen für einem Webseitenbetreiber erlaubt sind. Zwar ist auch nach dem Bundesdatenschutzgesetz nahezu jede Datenverarbeitung von personenbezogenen Daten zulässig, wenn die betroffenen Personen zustimmen, jedoch muss diese Zustimmung natürlich wirksam eingeholt werden. Ein solches Einverständnis wird kaum wirksam eingeholt werden, zumal kaum eine Benutzer dem zustimmen würde. Es wird also nachfolgend davon ausgegangen, dass eine solche Zustimmung nicht vorliegt, Dies führt zusammengefasst dazu, dass personenbezogene Daten nicht verarbeitet dürfen.

Was sind also „personenbezogene Daten“, die ja nicht verarbeitet werden dürfen? §3 des BDSG definiert im ersten Absatz: „Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).“

… wird mit Teil 2 fortgesetzt …

Bing „Streetside“: Microsoft möchte „den Bock zum Gärtner machen“

Freitag, 8. April 2011

Die Haare habe ich mir gerade gerauft, als ich in einer Heise-Online-Meldung las, „einen Vorab-Widerspruch sehen die Pläne von Microsoft zur Zeit nicht vor“ und „Die Firma orientiert sich am Datenschutzkodex für Geodatendienste, den der Branchenverband Bitkom ausgearbeitet hat und zu dessen Unterzeichnern Microsoft zählt.“

Das Prinzip lautet also, man

  1. schaffe sich selbst seinen eigenen Kodex,
  2. propagiere diesen in der Presse möglichst als „Standard“ und
  3. stelle dann fast, dass man diesen ja einhalte.

Mein Kommentar dazu: Vom Marketing her ein netter Versuch, trotzdem hahnebüchen.

Interessant ist, wer hinter diesem Kodex steht (laut http://www.bitkom.org/de/themen/50792_66098.aspx):

Der Selbstverpflichtungsentwurf wurde insbesondere von folgenden Unternehmen erarbeitet: Deutsche Post DHL, Deutsche Telekom, ED Encourage Directories, Google, Microsoft, Nokia, Panolife, Panogate sowie als Experten für das Thema Selbstregulierung unterstützt von der Freiwillige Selbstkontrolle Multimedia e.V.

Leider ist sind keine Datenschutzexperten dabei, lediglich Experten „für das Thema Selbstregulierung“.

Dass Microsoft den Begriff Datenschutz nicht verstanden hat, zeigt dann auch das folgende Zitat

Bei Vorab-Einsprüchen hätte man stattdessen erst eine Datenbank mit den Einsprüchen und den Adressen der Protestler aufbauen müssen, was dem Datenschutz wiederum einen Bärendienst erweisen könnte.

Klar kann man mit Daten eine Datenbank aufbauen – muss man aber nicht. Warum muss man die Einsprüche der Protestler erst sammeln? Ist des denn technisch oder organisatorisch nicht möglich, bei einem Einspruch diesen direkt zu überprüfen und den Bilddatensatz zu löschen (oder zu verpixeln)? Doch selbst wenn eine solche Datenbank notwendig wäre, so wäre diese nur von kurzzeitiger Notwendigkeit. Davon abgesehen, ist selbst bei einer Sammlung keine Datenbank notwendig, die Namen und Adressen verknpüft. Schließlich bieten die Möglichkeiten der Pseudonymisierung genügend Möglichkeiten, in Streitfällen die notwendigen Rückschlüsse zu ziehen ohne die Daten gemeinsam zu speichern.