Vor gut einer Woche stellten wir unser Rechercheergebnis zur Benutzerverfolgung auf staatlichen Websites vor. Dabei verglichen wir die Vorgaben des Telemediengesetzes und der Datenschutzbeauftragten mit der Umsetzung auf Websites staatlicher Behörden.

Neun der 35 untersuchten Websites hatten bis zum Zeitpunkt der Recherche ein Trackingtool installiert, boten allerdings keine Widerspruchsmöglichkeit an. Wie das Rechercheergebnis (pdf) darlegt, steht diese Vorgehensweise im klaren Widerspruch zur Vorgabe der Datenschutzbeauftragten von Bund und Ländern auf Grundlage des Telemediengesetzes. Diese neun Websites sind Angebote des Bundestages, der Ministerien der Verteidigung und für Familie, Senioren, Frauen und Jugend und des Bundesverwaltungsgerichts. Das Verteidigungsministerium hat bisher keine Stellungnahme abgegeben.

Alle betroffenen Betreiber haben wir auf unsere Einschätzung hingewiesen und um eine Stellungnahme oder gegebenenfalls um Richtigstellung gebeten. Die Reaktionen fielen sehr gemischt aus und warfen einige Fragen auf.

Definition eines Nutzungsprofils und Nachprüfbarkeit

Das Bundesministerium für Familie, Senioren, Frauen und Jugend (BMFSFJ) setzt einen Tracker der Init AG ein. Uns ist nicht bekannt, wie die Erhebungen dieses Trackers aussehen. Auf unsere Anfrage antwortete das Ministerium:

Die vom BMFSFJ eingesetzte Statistik-Software erstellt keine individuellen Nutzungsprofile. Einzelne Merkmale, insb. die Browserart (Attribut User-Agent) und Betriebssystem, werden zwar erfasst, aber keinem User zugeordnet. Es werden lediglich die kumulierten Zugriffe auf einzelne Dokumente gezählt.
– Bundesministerium für Familie, Senioren, Frauen und Jugend am 20.07.2015

Auch werden laut Aussage des Ministeriums keine IP-Adressen gespeichert. Über Hinweise aus der Leserschaft, wie der Tracker der Init AG arbeitet, würden wir uns freuen.

„Do Not Track“-Header als Widerspruchsmöglichkeit

Viele der untersuchten Websites akzeptieren den „Do Not Track“-Header als Widerspruchsmöglichkeit. Dazu schrieb der Berliner Datenschutzbeauftragte im Jahr 2011:

[…] so sind sich die deutschen Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich einig, dass das Setzen der entsprechenden Option durch eine Nutzerin oder einen Nutzer der Erklärung eines Widerspruchs im Sinne von § 15 Abs. 3 TMG gleichkommt. Solche Widersprüche sind von Anbietern von Telemedien zu beachten. Technische Verfahren sind so umzugestalten, dass solche Widersprüche erkannt und umgesetzt werden.

Grundsätzlich ist die Anerkennung des „Do Not Track“-Headers auch sehr begrüßenswert. Es stellen sich lediglich einige Fragen, die es in diesem Zusammenhang zu beantworten gilt:

1. Ist diese Form des Widerspruch den Nutzern hinreichend bekannt? Ist davon auszugehen, dass das Gros der Internetnutzer mit dieser Option umzugehen weiß? Schon im Oktober 2012 sorgte sich die ehemalige EU-Kommissarin für die Digitale Agenda, Neelie Kroes, um die zu langsam fortschreitende Standardisierung und mangelnde Information der Browsernutzer.
2. Der „Do Not Track“-Header ist noch kein W3C-konformer Standard. Ist wirklich davon auszugehen, dass jeder Internetnutzer Kenntnis davon hat und in der Lage ist, ihn zu setzen? Ist es dabei akzeptabel, dass noch zahlreiche Browser im Einsatz sind, die das Setzen des Headers nicht ermöglichen?
3. Das Telemediengesetz spricht von einem Erlaubnis der Erhebung von Nutzungsdaten, sofern der Nutzer nicht widerspricht. Ist es ein aktiver Widerspruch, wenn der Header bereits standardmäßig gesendet wird, wie es beim Internet Explorer 10 der Fall ist? Sind Anbieter immer noch verpflichtet, das als eindeutige Willenserklärung zu verstehen oder wird die Eindeutigkeit des Widerspruchs damit verwässert? (vgl. Telemedicus: Warum „Do not Track“ den Datenschutz nicht retten wird.)

Insbesondere beim Einsatz von Programmen wie Piwik, die weitere Alternativen zum Opt-out anbieten, sollten diese zumindest ergänzend eingesetzt werden. Denn „Do not Track“ ist definitiv nicht als Standard etabliert.

Hinweis auf Widerspruchsmöglichkeit

Eindeutiger wird es beim Hinweis auf die Widerspruchsmöglichkeit.

Der Diensteanbieter hat den Nutzer auf sein Widerspruchsrecht im Rahmen der Unterrichtung nach § 13 Abs. 1 hinzuweisen.
– § 15 Abs. § TMG

§ 13 TMG spricht von einer Unterrichtung zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung. Zu Beginn des Benutzervorgangs informierte lediglich das Bundesministerium für Ernährung und Landwirtschaft über das Tracking. Zugegebenermaßen ist es aber auch wenig realistisch, auf jeder Unterseite einer Website darauf hinzuweisen. Doch zumindest ein Hinweis in der Datenschutzerklärung oder auf vergleichbaren Seiten ist leicht umzusetzen.

Auf die Frage, wo der Nutzer auf seine Widerspruchsmöglichkeit hingewiesen wird, antwortete der Bundestag:

In der Datenschutzerklärung für die Apps des Deutschen Bundestages ist ein entsprechender Hinweis bereits enthalten. In der für bundestag.de geltenden Datenschutzerklärung wird dieser Hinweis ebenfalls enthalten sein.
– Bundestag am 14.07.2015

Wir konnten nach gründlicher Lektüre der Datenschutzhinweise der Bundestags-Website keinen Hinweis auf Widerspruchsmöglichkeiten entdecken. Für den Fall von Änderungen hier eine Archiv-Version des Datenschutzhinweise des Bundestages. Der Vollständigkeit halber ist an dieser Stelle zu erwähnen, dass die Datenschutzerklärung laut Auskunft des Bundestages derzeit aufgrund der Umstellung auf Piwik überarbeitet und die neue Version in Kürze freigeschaltet wird.

Das Bundesverwaltungsgericht zeigte sich einsichtiger.

Ihre Recherchen sind insoweit korrekt, als dass ein expliziter Hinweis auf die Widerrufsmöglichkeit für das Tracking derzeit nicht besteht.
– Bundesverwaltungsgericht am 20.07.2015

Auf die Frage, welche Maßnahmen unternommen werden würden, um den Missstand zu beheben, antwortete das Bundesverwaltungsgericht:

Wir werden in Kürze eine Widerspruchsmöglichkeit unmittelbar im Rahmen der Datenschutzerklärung einbinden, die nicht nur auf die bloße Widerspruchsmöglichkeit hinweist, sondern auch ein unmittelbares „Opt-out“ ermöglicht.
– Bundesverwaltungsgericht am 20.07.2015

Eine sehr lobenswerte Reaktion, die von mehr beanstandeten Institutionen wünschenswert gewesen wäre.

Fazit

Die Regelungen des Telemediengesetzes sind immer noch teils uneindeutig, teils schwierig realisierbar. So ist es unklar, wie ein Widerspruch auszusehen hat und wie sich ein aktiver „Do Not Track“-Header als Standardeinstellung eines Browsers auf die Aussagekraft des Widerspruchs nach deutschem Recht auswirkt. Das zeigt sich auch am Ergebnis dieser Recherche. Selbst staatliche Organe erfüllen, aus offenbar unterschiedlichen Gründen, nicht die Vorgaben des Telemediengesetzes. Das ist ein schlechtes Signal für Website-Betreiber, die sich mit der Thematik auseinandersetzen.

Uneinsichtigkeit und fehlende Auseinandersetzung mit dem Thema sind aber auch Gründe für die erkannten Mängel. Die Antwort des Bundestages, dass in der Datenschutzerklärung ein Hinweis auf die Widerspruchsmöglichkeit „ebenfalls enthalten sein“ wird, obwohl das nachweislich nicht ist, ist ein zumindest befremdliches Verhalten.

Lobenswert ist, dass – zumindest bei einigen Institutionen – die Mängel eingesehen werden und die Behebung angekündigt wird.

Ich hoffe, Sie entnehmen meinen Antworten, dass wir uns mit dem Inhalt Ihrer E‑Mail auseinander gesetzt haben und sofern erforderlich, selbstverständlich auch entsprechende Anpassungen vornehmen werden.
– Bundesverwaltungsgericht am 21.07.2015

Das entnehmen wir der E‑Mail. Liebe Grüße an das Bundesverwaltungsgericht.

Wir werden die Angelegenheit weiter beobachten.

Nachtrag
Das Bundesministerium der Verteidigung meldete sich am 28.07 ebenfalls zurück. Die Antwort legten wir in einem gesondertem Artikel dar.