Der IP-Krieg: Das Ende des Onlinemarketings

Denkt man das konsequent zu Ende, was deutsche Datenschützer derzeit sporadisch praktizieren, so wird damit nichts Geringeres als das werbefinanzierte Internet, ja, die Grundfesten des Webs an sich in Frage gestellt. Konkret besteht der deutsche Datenschutz-Krimi, der die Branche beschäftigt, aus drei Kapiteln:

1. Der Kampf gegen die Übermittlung von IP-Adressen
2. Der Streit um Google Analytics
3. Die zunehmende Tendenz zum Cookie-Verbot (die durch eine im Mai umzusetzende EU-Regelung akute Brisanz erhält)

Kapitel 1: Der Kampf gegen die IP-Adressen-Übermittlung

Es ist bislang nur ein Einzelfall, der jedoch durch sein Bedrohungspotenzial für Unverständnis und Kopfschütteln in der gesamten Branche sorgt.Der niedersächsische Datenschutzbeauftragte Joachim Wahlbrink hatte Ende vergangenen Jahres den Betreiber eines kleinen Forums   ins Visier genommen, nachdem eine Nutzerin den Datenschutz auf dessen Webseite beanstandet hatte. Wahlbrink ging dem Fall nach und forderte Forenbetreiber Matthias Reincke nun auf, von seiner Seite schnellstmöglich alle Elemente zu entfernen, die die IP-Adresse des Nutzers verarbeiten. Konkret ging es um ein Zählpixel der Infonline  , eine Werbung von Amazon   sowie sämtliche AdSense-Elemente auf der Seite. Zusätzlich sollte Reincke einen Auftrag zur Datenauftragsverarbeitung mit seinem Webhoster Hosteurope    abschließen, um nachzuweisen, dass dieser keine personenbezogenen Daten im Auftrag von Reincke weiterverarbeite oder speichere.

Hintergrund des Ganzen ist die unter Datenschützern verbreitete Auffassung, dass die Übermittlung der IP-Adresse an sich, die Übertragung personenbezogener Daten darstellt, was nach Datenschutzgesetz nicht zulässig ist. Das hatte bisher noch nicht zu vergleichbaren Konsequenzen geführt, wie im Falle des niedersächsischen Datenschützers. Das Paradox daran ist, dass das Gesetz zwar im Kern nur dazu gedacht ist, die Speicherung persönlicher Nutzerdaten zu unterbinden, damit diese nicht von Werbetreibenden mit Ads und Angeboten bombardiert werden: So ist es beispielsweise unzulässig, einer IP-Adresse einen Nutzernamen oder eine Mailadresse zuzuordnen. Darauf verzichten seriös agierende Publisher in der Tat auch, weswegen es bisher keine Probleme wie im Fall von Reincke gegeben hat.

Treibt man es weiter, ist jedoch die IP-Adresse per se ein schützenswertes Gut, das nicht verwendet werden darf. Denn theoretisch ließe sich jeder IP-Adresse ja ein personenbezogenes Datum zuordnen: Damit ist sie zwar nicht an sich persönlich, aber sie ist "personenbestimmbar", wie der entsprechende Wortlaut im Bundesdatenschutzgesetz es formuliert. Mit anderen Worten: Man könnte die IP personalisieren, also darf sie nicht weitergegeben werden. Das ist die implizite Konsequenz des Gesetzes, die der niedersächsische Datenschützer an Reincke exemplarisch ausführt.

Fassungslosigkeit in der Branche

Die Konsequenz aus dieser Rechtsauffassung ist, dass sämtliche Seiteninhalte illegal sind, die für ihre Auslieferung die IP-Adresse des Besuchers benötigen. Das betrifft zum Beispiel eingebundene Videos von Youtube  , da das Videoportal ja irgendwo her wissen muss, an welchen Rechner es das eingebettete Video streamen soll. Es betrifft aber auch Like-Buttons, Zählpixel und: Werbebanner! Damit sind alle betroffen, die auf ihren Seiten Elemente von Dritten anbieten. Das ist fast das komplette Internet, trifft aber besonders hart die Werbebranche, speziell Publisher, die von der Monetarisierung ihrer Inhalte über Onlinewerbung leben.

Dementsprechend ist die Branche fassungslos: "Das ist Unsinn, was der Datenschützer da fordert!", erklärt Christian Bennefeld vom Webanalyse-Dienstleister eTracker   unumwunden. "Es stellt die Grundfesten des Internets in Frage. Ein nationaler Alleingang, fremde Elemente auf andere Webseiten zu verbieten, ist Quatsch." Wenn überhaupt, argumentiert Bennefeld, sollte sich der Datenschutzbeauftragte lieber die großen Unternehmen ansehen, statt sich auf den Forenbetreiber zu stürzen: "Die Frage stattdessen müsste lauten: Was machen die eingebundenen Seiten und Anbieter, also Amazon und IVW   und AdSense nach der technisch notwendigen Verwendung der IP zur Inhaltsauslieferung. Wenn die IP anschließend sofort weggeschmissen wird, besteht überhaupt kein Problem." Dirk Wippern von Infonline reagiert verwundert: "Wenn es zukünftig verboten ist, Fremdcontent auf Webseiten einzubinden, ist die gesamte Onlinebranche betroffen. Es ist sicher nicht im Sinne der Datenschützer, die deutsche Internetwirtschaft massiv zu schädigen. Hier wünsche ich mir mehr Augenmaß."

Nun wäre es eine Option, die übermittelte IP-Adresse zu verkürzen: Entfernt man etwa die letzten drei Bits ist diese soweit anonymisiert, dass die IP-Adresse nicht präziser als auf einen Zielkreis von über 250 Nutzern zugeordnet werden kann. Das reicht den Datenschützern. Und das Arbeiten mit verkürzten IPs wäre für die meisten Dienste kein Problem: Sie würden dennoch ausreichend präzise funktionieren, um Inhalte an Seiten auszuliefern.

Das große Problem dabei: Die Publisher können nicht handeln. Sie haben keinen Einfluss darauf, ob die Lieferanten von Bannern, Zählpixeln und Like-Buttons die IP-Adressen verkürzen und was sie mit den Adressen tun. "Die einzige Möglichkeit für den Publisher wäre es, sämtlichen Lieferanten von Fremdinhalten vertraglich zu untersagen, dass sie die Nutzerdaten verwenden", sagt Bennefeld. Das wären dann die sogenannten Verträge zur Auftragsdatenverarbeitung, die es als Musterexemplare auf diversen Datenschützer-Homepages zum Download gibt. Mit ihnen erklärt ein Webseitenbetreiber, dass er keine illegalen Datenauswertungen bei den Unternehmen in Auftrag gibt, die seine Seite mit Inhalten bestücken. Kommt es doch zu Verstößen, fällt die Verantwortung auf den Auftraggeber, den Publisher zurück.

Knackpunkt hier: Google, Amazon und Co werden mit kleinen Publishern keine Aufträge nach deutschem Recht abschließen - mal abgesehen davon, dass es nicht machbar sein dürfte, für jeden einzelnen fremd gelieferten Seiteninhalt pünktlich vor der Implementierung in die Seite einen Vertrag abzuschließen.

Das werbefinanzierte Web befindet sich im rechtlichen Schwebezustand

Die tröstliche Nachricht dabei ist: Der niedersächsische Datenschutzbeauftragte hat ausdrücklich gegenüber Heise Online   erklärt, nur auf Beanstandung von Nutzern hin, gegen Webseiten vorzugehen. Keine Anzeige bedeutet kein Problem für den Publisher. Doch dieser Zustand ist nicht wünschenswert, besagt er de facto doch, dass sich das gesamte werbefinanzierte Web nun in einem labilen Zustand befindet. Nur solange keiner beanstandet, darf die Seite weiterlaufen.

Für die Branche drohen also im Falle einer Nutzerbeschwerde Konsequenzen, die je nach Dienstleistung von einer leichten Beeinträchtigung bis zum Ende des Geschäftsmodells reichen. Datenverarbeiter, Retargeting-Dienstleister und Publisher sind unterschiedlich betroffen und haben auch unterschiedliches Vermögen, sich zu wehren.

• Datensammler - wie die IVW.
  Sie können immerhin aktiven Einfluss darauf nehmen, ob sie eine gekürzte oder eine vollständige IP-Adresse speichern und verarbeiten. Würde ihre Dienstleistung also beansprucht, nehmen die die Kürzung des Zahlencodes vor und anonymisieren ihn auf diese Weise.
  Konsequenz: Die Datenlage würde unpräziser. Vereinzelte Unschärfen bei der Abgrenzung von Unique Usern und der Lokalisierung des Rechners wären die Folge. Diese könnten aber, laut Infonline, durch eine Umprogrammierung der Auswertungssysteme egalisiert werden.
• Retargetingdienstleister:
  Sie können dem Internetnutzer ganz einfach mit einer Werbeanzeige ein Opt-out anbieten: Ein kleines anklickbares "i" in der Bannerleiste, das dem Beworbenen Informationen über die Verwendung seiner Daten sowie die Möglichkeit gibt, die Verwendung seiner IP-Adresse und das Setzen von Cookies kategorisch zu untersagen. Damit wäre Retargeting unbedenklich. Tatsächlich verwenden mehr und mehr Retargeting-Dienstleister bereits eine entsprechende Funktion, um sich abzusichern.
• Publisher und Affiliates:
  Sie sind die Verlierer. Denn tatsächlich läuft es in den meisten Szenarien darauf hinaus, dass die Webseite nicht mehr werbefinanziert weiterbetrieben werden kann. Doch auch sie sind nicht gänzlich machtlos.

Was Publisher tun können, um sich gegen Beanstandungen zu wappnen

"Die Problematik hat einen großen Vorteil: Es betrifft theoretisch jeden", sagt Rechtsanwalt Martin Bahr , dessen Kanzlei   sich vorwiegend mit Fragen zu den Neuen Medien auseinandersetzt. Daher konstatiert er nüchtern: "Das ganze Datenschutzrecht hat einen Knall - danach ist das komplette Web 2.0 nicht gesetzeskonform." Die entsprechenden Regelungen führen sich also durch die Totalität, mit der sie das Netz an sich in Frage stellen, selbst ad absurdum. Dass jeder betroffen ist, erhöht die Ausgangschancen für eine Anfechtung entsprechender Datenschutzbeschwerden vor Gericht, sagt Bahr: "Wenn ein Webmaster nicht die Werbung von seiner Seite nehmen möchte und deshalb einen Bußgeldbescheid vom zuständigen Datenschützer bekommt - dann schätze ich die Chancen, dagegen gerichtlich vorzugehen für sehr gut ein."
Die Nachteile liegen jedoch auf der Hand: Das entsprechende Risiko und die anfallenden Anwaltskosten auf sich zu nehmen, ist eher ein Lösungsmodell für Profis und große Betreiber. Am schlimmsten trifft es hier wiederum kleine Forenbetreiber wie Reincke - doch auch der hat bereits erklärt, notfalls ebenfalls zu prozessieren.

Vor dieser Ultima Ratio dürften aber Publisher glücklicherweise nur in seltenen Fällen - wie wiederum dem von Matthias Reincke - Gebrauch machen müssen. Es gibt mehrere Faktoren, die beeinflussen, ob es überhaupt soweit kommt:

• Zunächst mal muss überhaupt eine Anzeige vorliegen.
• Dann spielt der Standort des Servers eine Rolle - da Datenschutz Ländersache ist, handeln die Länder auch entsprechend unterschiedlich. Der Hamburger Datenschützer Johannes Caspar , bekannt aus der Debatte um die Rechtmäßigkeit von GoogleAnalytics, gilt als dialogorientieter, moderater Datenschützer. "In Schleswig-Holstein und Niedersachsen dagegen legen die Datenschützer gerne mal die Axt an", sagt Bahr. Die Konsequenzen aus einer Nutzerbeschwerde müssen also nicht automatisch auf das Schlimmste (Entfernen der Ads oder Bußgeld) hinauslaufen.
• Und es bleibt die Möglichkeit, vielleicht doch über entsprechende Verträge einzelne, beanstandete Inhalte juristisch abzusichern oder vielleicht sogar auf problematischen Content zu verzichten.

Je nachdem, wie diese Faktoren zusammenspielen, wird der Fall für einen Publisher also umso komplexer.

Die Verlagerung des Servers in ein anderes Bundesland oder gar einen anderen Staat, also die Flucht vor dem deutschen Recht, kann also eine Webseite retten. Aber mal abgesehen davon, dass dieser Weg nicht immer eine realistische Option ist - der gegenwärtige Zustand der Unsicherheit, will Dominik Johnson von explido Webmarketing   per se nicht gefallen: "Es kann ja nicht sein, dass der Datenschutz zum Standortnachteil eines Bundeslandes wird", sagt Johnson. "Es muss eine einheitliche Lösung her, die von der Branche an einem runden Tisch erarbeitet wird."
Der Betreiber des Affiliate-Infoportals 100partnerprogramme   , Karsten Windfelder , rät jedem betroffenen Publisher im Zweifelsfall zu prozessieren. Seiner Ansicht nach haben sich auf Datenschutzebene die Wertigkeiten auf bizarre Weise verschoben: "Man sollte erwarten, dass sich die Datenschützer einmal Google vornehmen, anstatt sich mit hunderttausenden Bloggern auseinanderzusetzen. Das wäre für alle Beteiligten einfacher."
Der Name des Suchmaschinenanbieters erinnert jedoch nur an einen weiteren Konflikt, der die Branche beschäftigt.