Yandex Metrica und der Datenschutz

Yandex ist die viertgrößte Suchmaschine weltweit nach Google, Baidu und Yahoo und hat zeitweilig sogar Bing in Hinsicht auf die Zahl der Suchanfragen überholt. Tatsächlich ist Yandex nicht nur ein Jahr früher als Google an den Start gegangen, sondern besticht in einigen Punkten auch durch eine technische Überlegenheit gegenüber Google. Es ist also nicht wirklich verwunderlich, dass die Betreiber der Suchmaschine ein eigenes kostenfreies Analysewerkzeug als Konkurrenzprodukt zu Google Analytics anbieten. 

Tatsächlich jedoch ist Metrica weitaus mächtiger als Analytics. Und in genau diesem  vermeintlichen Vorteil findet sich auch der Haken an der Geschichte. Der Einsatz birgt nämlich – zumindest in Deutschland – rechtliche Risiken. Einige Funktionen von Yandex.Metrica sind in der Tat mit dem deutschen Datenschutzrecht nicht in Einklang zu bringen.

Datenschutz bedeutet, die Persönlichkeitsrechte zu schützen

Das deutsche Datenschutzrecht in Form des Bundesdatenschutzgesetzes (BDSG) sieht in der Einhaltung der Datenschutzvorschriften vor allem den Schutz des Einzelnen. Jedem Nutzer muss es möglich sein, ein Internetangebot zu nutzen, ohne dass durch die Sammlung und Nutzung seiner personenbezogenen Daten in seine Persönlichkeitsrechte eingegriffen werden kann. Selbstverständlich gilt dies nicht nur für die digitale Welt. Das Datenschutzgesetz betrifft grundsätzlich alle Lebens- und Geschäftsbereiche. Prinzipien wie die Datensparsamkeit sollten jedem Unternehmer, der mit den Daten seiner Kunden und Interessenten arbeitet, in jedem Falle geläufig sein.

Was sind personenbezogene Daten?

Bei einem Namen, einer Adresse oder einer Telefonnummer wird niemand ernsthaft anzweifeln, dass es sich um personenbezogene Daten handelt. Schließlich kann aus allen diesen Daten – vor allem in deren Kombination – auf eine konkrete Person geschlossen werden. Wer sich jedoch im Internet bewegt, muss dies zwangsläufig mit einem elektronischen Endgerät tun, welchem immer vom Anbieter des Internetzugangs eine IP-Adresse zugeordnet ist. Und auch diese IP-Adresse zählt zu den personenbezogenen Daten. Denn theoretisch (und auch praktisch) ist es möglich, allein anhand dieses Merkmals einen Nutzer recht eindeutig zu identifizieren. 

IP-Adressen werden vollständig gespeichert

Es ist also nicht überraschend, dass die IP-Adresse nur mit expliziter Einwilligung des Nutzers erhoben werden darf, was allein schon Websitebetreiber in ernste Schwierigkeiten bringen kann. Denn jeder Webserver speichert – wenn dies nicht explizit abgeschaltet ist – jeden einzelnen Zugriff auf eine Seite mitsamt der aufrufenden IP-Adresse. Um diesem „Massenphänomen“ entsprechend zu begegnen, sind die meisten Hosting-Anbieter dazu übergegangen, IP-Adressen nur noch anonymisiert in den Logfiles der Webserver zu speichern. Dies bedeutet in den meisten Fällen, dass statt einer IP „aaa.bbb.ccc.ddd“ lediglich die ersten drei Ziffernfolgen „aaa.bbb.ccc“ gespeichert werden.

Yandex.Metrica jedoch speichert die IP-Adresse in ihrer ganzen Schönheit. Aus Sicht des BDSG ist dies allein bereits Grund genug, diesem Dienst eine Absage zu erteilen. Weiter sieht das Gesetz den Abschluss eines Vertrages zur Auftragsdatenverarbeitung vor, wenn die gesammelten Daten durch Dritte ausgewertet werden sollen – was in diesem Falle zutrifft. Dies ist übrigens bei Google Analytics nichts anderes. Auch hier muss ein solcher Vertrag geschlossen werden, der entsprechend von Google bereitgestellt wird.

Der Nutzer muss der Datensammlung widersprechen können

Auch muss ein solcher Dienst eine Widerspruchsmöglichkeit anbieten. Einem Nutzer muss es möglich sein, eine Webseite zu nutzen, ohne dass ein Analysetool die Daten der Nutzung aufzeichnet. In den meisten Datenschutzerklärungen finden sich im Abschnitt „Google Analytics“ Verweise auf Browser-AddOns bzw. eine Funktion, die sofort einen Cookie setzt, der eine weitere Aufzeichnung der Daten durch Analytics verhindert.

Tatsächlich bietet „Metrica“ dies auch an. Mit entsprechenden Erweiterungen für die gängigen Browser kann die Aufzeichnung der Nutzungsdaten in ähnlicher Weise wie bei Google Analytics unterbunden werden. Es steht jedoch außer Frage, dass es die Pflicht eines jeden Websitebetreibers ist, die Nutzer in seiner Datenschutzerklärung auf der Website auf die Nutzung von „Metrica“ hinzuweisen. Entscheidend ist hierbei, dass dieser Hinweistext mit den Datenschutzbehörden abgestimmt sein muss.

Das eigentliche Problem ist der Webvisor

Yandex stellt mit seiner Analysesoftware „Metrica“ eine Funktion zur Verfügung, die aus datenschutzrechtlicher Sicht besonders bedenklich ist. Die Rede ist vom Webvisor, mit dem es möglich ist, das Verhalten eines Nutzers auf einer Website nicht nur in Zahlen zu speichern, sondern auch als Video. In der Tat zeichnet die Funktion auf, was ein Nutzer auf der Seite tut und lässt dabei auch Formulareingaben nicht unberücksichtigt. Ebenfalls als Video wird aufgezeichnet, wo ein Nutzer einen Klick ausführt, wie weit er auf einer Seite nach unten scrollt und wie er seine Maus bewegt. Zusätzlich kann gespeichert werden, welche Textstellen der Nutzer markiert und kopiert. Welche weiteren Daten aufgezeichnet werden sollen oder können, liegt offenbar weitestgehend in der Hand von Yandex, in dessen Datenschutzerklärung es unter Punkt 2 lediglich heißt „(viii) other information“.

Allerdings werden auch Tastatureingaben aufgezeichnet. So kann der Websitebetreiber buchstäblich dabei zusehen, wie der Nutzer ein auf der Website vorgehaltenes Formular ausfüllt. Dass dies auch für Login-Seiten gilt, die letztlich auch nur Formulare darstellen. Zwar gilt die offizielle Aussage, dass Passworteingaben explizit ausgespart werden, doch technisch ist es nur eine Geringfügigkeit, auch diese Tastenanschläge aufzuzeichnen. Natürlich muss nicht extra erwähnt werden, dass solch eine Technologie auch für Googles Analytics und andere Tracking-Tools spielend leicht umgesetzt werden könnte.

Eine Möglichkeit zumindest diesen Punkt zu entschärfen besteht im Abschalten des Webvisor. Dies ist jedoch nicht aus Benutzersicht möglich, sondern nur zentral über die Administrationsoberfläche. Wird jedoch die Videofunktion abgeschaltet, gehen auch alle anderen damit verbundenen Funktionen wie die Aufzeichnung von Klicks, Scolling und Mausbewegungen verloren.

Yandex Metrica ist aus Sicht des Datenschutzes riskant

Metrica ist unbestritten ein technisch fortschrittliches Werkzeug. Und nicht wenige Seitenbetreiber werden – in Anbetracht der vielfältigen Analysemöglichkeiten – feuchte Augen bekommen, wenn sie die Featureliste durchgehen. Aber trotzdem handelt es sich hierbei um ein Tool, bei dessen Einsatz unbedingt mit Bedacht vorzugehen ist.

Die gesetzlich vorgeschriebene Anonymisierung der Nutzerdaten bei Yandex Metrica ist nur sehr rudimentär gewährleistet. Vor allem die IP-Adresse wird vollständig gespeichert und an die auswertenden Server in Russland übertragen. Schon alleine aus diesem Grund ist eine rechtssichere Nutzung von „Metrica“ nur mit ausdrücklicher Einwilligung des Nutzers möglich. Im Grunde müsste also jede Website, die diesen Dienst einsetzt, vor dem Anzeigen der eigentlichen Inhalte eine explizite Abfrage durchführen, ob der Besucher mit der Aufzeichnung seiner Daten einverstanden ist – zugegeben eine höchst unpraktikable Methode.

Fazit: Der Einsatz des Webanalysedienstes Yandex.Metrica birgt erhebliche datenschutzrechtliche Probleme. Vor allem Unternehmen sollten vom Einsatz dieses Tools absehen, solange es noch keine eindeutige rechtliche Grundlage für die Verwendung gibt. Denn momentan ist der Einsatz des Tools datenschutzrechtlich eher bedenklich und dürfte – wenn entsprechende Voraussetzungen erfüllt sind – abmahngefährdet sein.