DuD Datenschutz und Datensicherheit 7 | 2011 489

DUD BEST PRACTICE

Moritz Karg, Sven Thomsen

Einsatz von Piwik bei der Reichweitenanalyse

Ein Vorschlag des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD)

Die datenschutzkonforme Ausgestaltung von Reichweitenanalysen bei Internet-Angeboten beschäftigt die Datenschutz-Aufsichtsbehörden auf vielen Ebenen. Abseits der Diskussion rund um geschäftsmäßige Anbieter solcher Analysen haben sich die Autoren mit einer alternativen Lösung zur Reichweitenanalyse auf OpenSource-Basis und der Möglichkeit des Betriebs durch die verantwortliche Stelle befasst.

1 Ausgangssituation

Durch Beschluss vom 27. November 2009 hatte der Düsseldorfer Kreis Vorgaben zur datenschutzkonformen Ausgestaltung von Analyseverfahren zur Reichweiten-messung gemacht1.

Seitdem häufen sich die Anfragen be-züglich der datenschutzkonformen Aus-

1 Siehe https://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/Duessel-dorferKreis/Nov09Reichweitenmessung.html?nn=409242

gestaltung und Anwendung von derarti-gen Analysediensten.

Aufgrund einer konkreten Anfrage analysierten Mitarbeiter des ULD die kos-tenfreie und auf einer OpenSource-Soft-ware basierende Lösung Piwik aus tech-nischer und juristischer Sicht in Hinblick auf die Konformität mit den gesetzlichen Vorgaben gemäß § 15 Abs. 3 TMG und den im Beschluss dargelegten Vorgaben.

Im einzelnen wurde Piwik durch das ULD daraufhin geprüft, ob

� den Betroffenen eine Möglichkeit zum Widerspruch gegen die Erstellung von Nutzungsprofilen eingeräumt wird (vgl. Abschnitt 4.1),

� pseudonymisierte Nutzungsdaten mit dem Träger des Pseudonyms zusam-mengeführt werden können (vgl. Ab-schnitt 4.2),

� eine Analyse des Nutzungsverhaltens mit einer ausschließlichen Verwendung von gekürzten IP-Adressen möglich ist (vgl. Abschnitt 4.3)

� eine Löschung von personenbezogenen Daten bei Bedarf möglich ist (vgl. Ab-schnitt 4.4) und

� der Umgang mit Tracking-Cookies da-tensparsam möglich ist (vgl. Abschnitt 4.5).

2 Was ist Piwik?

Piwik2 erstellt detaillierte Statistiken über die Besucher einer Webseite. Enthalten sind Informationen über die benutzten Suchmaschinen, die benutzten Suchbe-griffe, die verwendeten Sprachen, die Her-kunft der Besucher nach Ländern, die ver-wendeten Browser und ihre Plugins, die Referrer, die Aufenthaltsdauer, Einstiegs-seiten, Ausstiegsseiten, Abbruchquoten, die IP-Adresse und weitere Daten.

Piwik bietet eine Analyse der Nutzung einer oder mehrerer Webseiten in Echt-zeit an. Dies bedeutet, dass aktuelle Besu-cher quasi sofort und nicht erst nach län-gerer Bearbeitungszeit, in den Statisti-ken erscheinen. Piwik ist in der Program-miersprache PHP programmiert und wird quelloffen unter der GNU General Public License (GPL) bereitgestellt. Piwik benö-tigt zum Betrieb eine Datenbank; aktuell wird der Betrieb mit MySQL empfohlen.

Piwik ist kostenfrei erhältlich. Das Pro-gramm kann auf dem Webserver des An-wenders installiert werden und speichert Daten ebenfalls nur auf dem Server des Pi-wik-Verwenders.

Es handelt sich somit um eine soge-nannte Inhouse-Lösung für die Reich-weiten-Analyse. Es ist möglich, diese Lö-sung unter der vollständigen Kontrolle und Steuerung der verantwortlichen Stel-le bzw. des Diensteanbieters umzusetzen.

2 http://piwik.org/

Dr. Moritz Karg

stellvertretender Referatsleiter und Referent für Datenschutz bei Telemedien,

Medien und Telekommunikation im Unabhängigen Landeszentrum für Datenschutz Schleswig-HolsteinE-Mail: mkarg@datenschutzzentrum.de

Sven Thomsen

Referatsleiter Technik im Unabhängigen Landeszentrum für Datenschutz

Schleswig-HolsteinE-Mail: sthomsen@datenschutzzentrum.de

490 DuD Datenschutz und Datensicherheit 7 | 2011

DUD BEST PRACTICE

Eine Weitergabe von Nutzerdaten an Drit-te bzw. Auftragsdatenverarbeiter mit den entsprechenden datenschutzrechtlichen Folgeproblematiken (Übermittlung oder Auftragsdatenverarbeitung) kann umge-gangen werden.

Die Software von Piwik wurde En-de 2010 einem Security Audit inklusive Code-Review unterzogen. Die Ergebnisse sind in die Version 1.1 eingeflossen.3 Mitt-lerweile liegt Piwik in der Version 1.4 vor.

Die Ergebnisse der Analyse des ULD wurden von den Autoren in dem Papier „Hinweise und Empfehlungen zur Ana-lyse von Internet-Angeboten mit Piwik“4 zusammengestellt.

3 Anwendung von Piwik

Aus rechtlicher Sicht weist das ULD in dem Papier darauf hin, dass die Profilbil-dung mittels Reichweitenanalyse trotz des Einsatzes der Lösung Piwik in manchen Konstellationen unzulässig sein und einen Bußgeldtatbestand gemäß § 16 Abs. 2 Nr. 5 TMG darstellen kann.

Die nach § 15 Abs. 3 TMG mögliche Nutzerprofilierung ist nach Auffassung des ULD nicht zu beanstanden, wenn der Diensteanbieter nachweist, dass die Erstel-lung von Nutzungsprofilen für Werbung, Marktforschung oder die bedarfsgerech-te Gestaltung des Dienstes notwendig ist. Nichtwirtschaftlich, gemeinnützig oder freiberuflich tätige Diensteanbieter un-terliegen einer verschärften Nachweis-pflicht, ob die Nutzeranalyse tatsächlich den in § 15 Abs. 3 TMG genannten Zwe-cken dient und erforderlich ist. Dienstean-bieter müssen sich vergegenwärtigen, dass auch durch den Einsatz von Piwik ein um-fassendes Abbild der Nutzung eines Inter-netangebotes durch eine einzelne Person erstellt werden kann.

Das ULD hält eine Beachtung der der-zeit geltenden nationalen datenschutz-rechtlichen Vorgaben beim Einsatz von Piwik für realisierbar.

Die neuen europarechtlichen Vorga-ben zum Opt-In gemäß Artikel 5 Absatz 3 der Datenschutzrichtlinie für elektroni-sche Kommunikation (RL 2002/58/EG) sind mit der betrachteten Version von Pi-wik zur Zeit nicht umsetzbar. Die Ergeb-nisse der Diskussion zu „Opt-In“-Lösun-

3 http://piwik.org/blog/2011/01/professional-security-audit-in-piwik/

4 https://www.datenschutzzentrum.de/tracking/piwik/

gen und deren Umsetzung durch den Ge-setzgeber bleibt abzuwarten. Denn dies könnte eine Änderung des anzuwenden § 15 Abs. 3 TMG nach sich ziehen.

4 Umgang mit Piwik

Neben einer kurzen Einführung und Dar-stellung zu den Hintergründen des Pro-gramms und dessen Entwicklern, erläu-tert das Papier die rechtlichen und vor al-lem technischen Hintergründe des Ein-satzes dieser Lösung. Entgegen der übli-chen Form der Veröffentlichungen geben die Autoren konkrete technische Empfeh-lungen zur Konfiguration nicht nur für den datenschutzkonformen sondern vor allem auch datenschutzfreundlichen Ein-satz dieses Programms. Ein besonderer Schwerpunkt liegt dabei auf den notwen-digen technischen und organisatorischen Maßnahmen. Für einen datenschutzkon-formen Einsatz von Piwik sind zusätzliche Konfigurationsarbeiten möglich, die teil-weise direkt innerhalb von Piwik, teilwei-se aber in der jeweiligen Ablaufumgebung zusätzlich durchzuführen sind.

4.1 Widerspruchsmöglichkeit bereitstellen

Eine zentrale datenschutzrechtliche An-forderung des § 15 Abs. 3 TMG ist die Pflicht zur Ermöglichung eines wirksa-men Widerspruches gegen die Analyse des Nutzungsverhaltens durch den jewei-ligen Nutzer. Der Wiederspruch muss in einer Form erfolgen, in der Einzelne nach dessen Einlegung vollständig anonym den Dienst nutzen können. Technisch re-alisiert Piwik dies durch einen IFrame. In diesem IFrame wird eine Funktion von Pi-wik eingebunden, die ein Deaktivieren der Nachverfolgung des Webseitenbesuchs er-möglicht.

Der Widerspruch wird in Form eines Opt-Out-Cookies realisiert, daher muss nach dem Löschen sämtlicher Cookies nach dem Ende der Nutzung des Brow-sers das Opt-Out erneut erklärt werden. Auf diesen Umstand sollten Nutzerinnen und Nutzer eindeutig und verständlich hingewiesen werden. Anderenfalls könn-te der Eindruck entstehen, ein einmal ein-gelegter Widerspruch wäre in jedem Fall ausreichend. Dieser Hinweis sollte den Besuchern dann beim Erstaufruf der Sei-te und beispielsweise generell in der Da-

tenschutzerklärung auf der Webseite prä-sentiert werden.

Beim Einlegen eines Widerspruchs wird das bestehende Tracking-Cookie je-doch erst ab der Version 1.2 von Piwik ge-löscht. Vorherige Versionen löschen das Tracking-Cookie nicht, erfüllen die ge-setzlichen Anforderungen nicht und sollten daher nicht eingesetzt werden.

Piwik bietet in der Version 1.2 eine zu-sätzliche Möglichkeit, um Widersprüche zu verarbeiten. Hierbei wird ein noch re-lativ neues Verfahren mittels „X-Do-Not-Track“5 – Headern angewendet. Die Auto-ren haben die angemessene und wirksame Umsetzung dieser Funktionen in Piwik noch nicht abschließend testen können.

4.2 Externes Zusammen- führen von Daten verhindern

Wird Piwik eingesetzt, so dürfen die bei der Analyse erhobenen Daten nicht mit Daten über den Träger des Pseud-onyms zusammengeführt werden, wie §§ 13 Abs. 4 Nr. 6, 15 Abs. 3 TMG es for-dern. Grundsätzlich wäre dies durch ei-ne Verknüpfung anderweitig bei der Nut-zung des Dienstes erhobenen Daten mög-lich, z.B. während des Bestellvorganges. Aktuell kann die Zusammenführung dieser Daten nur durch organisatorische Maßnahmen unterbunden werden.

Die Autoren empfehlen, zumindest durch entsprechende Arbeitsanweisun-gen beim Einsatz von Piwik auf dieses Verbot hinzuweisen.

4.3 IP-Adressen kürzen

Piwik unterstützt die datensparsame Verarbeitung personenbezogener Daten durch die Kürzung von IP-Adressen. Das hierfür notwendige Plugin wird bei der aktuellen Piwik-Version bereits mit-geliefert und muss lediglich vom „Super User“ aktiviert werden. Das ULD emp-fiehlt bei der Nutzung von Piwik zumin-dest die letzten beiden Oktette der IP-Ad-resse zu kürzen.

Während der Analyse ist dem ULD auf-gefallen, dass Piwik trotz aktivierter Kür-zung der IP-Adresse für interne Heuristi-ken durchaus auf die ungekürzte IP-Ad-resse zugreift und diese dann für die Be-rechnung von Pseudonymen verwendet.

Die Nutzung der IP-Adresse zur Er-stellung der Pseudonyme kann als eine

5 http://donottrack.us/

DuD Datenschutz und Datensicherheit 7 | 2011 491

DUD BEST PRACTICE

zu rechtfertigende Datenverarbeitung ge-mäß § 15 Abs. 3 TMG gesehen werden. Grundsätzlich ist nach der Auslegung der Aufsichtsbehörden die Verarbeitung per-sonenbezogener Daten, zu der auch die IP-Adresse gehört6, für die Analyse des Nut-zungsverhaltens unzulässig.

Die IP-Adresse wird bei diesem Nut-zungsvorgang nicht zur Analyse des Nutzungsverhaltens, sondern zur Er-stellung des Pseudonyms verwendet. Ei-ne Restrisikoanalyse des ULD ergibt, dass eine Rückrechnung aus dem gebildeten

6  BGH, Urt. v, 13.01.2011, MMR 2011, 341, 343.

Hashwert bei Kenntnis der anderen zu-sätzlich genutzten Parameter und inner-halb der Lebenszeit des Cookies zwar möglich ist, jedoch mit derartigem Auf-wand verbunden wäre, dass das Restrisi-ko in diesem Fall hinnehmbar ist. Diese Form der Nutzung dürfte noch von dem Wortlaut des § 15 Abs. 3 TMG gedeckt sein. Da letztlich ein Herausrechnen der IP-Adresse aus dem Hashwert nur mit er-heblichem Aufwand möglich ist, ist das Gefährdungspotenzial der Verletzung der Persönlichkeitsrechte der Nutzerinnen und Nutzer als äußerst gering einzustufen.

Die Autoren haben gegenüber den Pi-wik-Entwicklern dennoch angeregt, die Handhabung der IP-Adressen innerhalb von Piwik einheitlich zu gestalten und ei-ne aktivierte Kürzung von IP-Adressen systemweit umzusetzen.

4.4 Daten löschen

Eine datenschutzrechtlich gesondert her-auszuhebende Notwendigkeit bei der Nut-zung von Piwik ist die individuelle Lö-schung der Rohdaten aus Nutzungsprofi-len. Derzeit bietet Piwik keine Funktion, die diese Aufgabe innerhalb der Lösung

Abbildung 1 |

492 DuD Datenschutz und Datensicherheit 7 | 2011

DUD BEST PRACTICE

erledigt. Deswegen empfiehlt das ULD, eigene Löschroutinen direkt auf der von Piwik genutzten Datenbank zu implemen-tieren. Die Piwik-Entwickler geben hier-zu in der auf den Webseiten verfügbaren Dokumentation7 entsprechende Hinweise.

Piwik kann zusätzlich so konfiguriert werden, dass die Datenerhebung gemäß den jeweiligen Erfordernissen weiter ein-geschränkt werden kann. So kann die Aufzeichnung des Referrers komplett de-aktiviert werden.

4.5 Lebensdauer von Cookies begrenzen

Eine bei Analysediensten häufig geäußer-te Kritik ist die Lebensdauer der gesetzten Cookies. Diese lassen sich durch entspre-chende Konfiguration des Systems dahin-gehend beeinflussen, dass auch ohne die Mitwirkung der Nutzer besonders detail-lierte Individualprofile vermieden wer-den. In Zusammenarbeit mit einigen Pi-wik-Entwicklern haben die Autoren Emp-fehlungen zur Lebensdauer der Cookies erarbeitet. Piwik ist in den meisten An-wendungsfällen mit Cookie-Lebensdau-ern von unter einer Woche ohne große Einschränkung einsetzbar.

5 Weiteres Vorgehen

Das ULD hat seine Hinweise und Emp-fehlungen für einen datenschutzkonfor-

7 http://piwik.org/faq/troubleshooting/#faq_42

men Einsatz von Piwik am 15. März 2011 veröffentlicht8.

Bereits im Rahmen der Veröffentli-chung wurde darauf hingewiesen, dass ei-ne regelmäßige Aktualisierung der Emp-fehlungen geplant ist.

Nach der Veröffentlichung haben die Autoren durch zahlreiche Rückmeldun-gen und zusätzliche Fragestellungen sehr viele Anregungen erhalten, die bei einer Überarbeitung und Ergänzung der Emp-fehlungen Berücksichtigung finden wer-den.

Bei der Erstellung des Dokuments konnten die aktuellen Entwicklungen rund um die Initiative „Do Not Track“ (vgl. Abschnitt 4.1) nicht berücksichtigt werden. Die Autoren werden die ange-messene und wirksame Umsetzung die-ser mittlerweile in vielen Browsern um-gesetzten Funktion prüfen.

Einige Kern-Entwickler von Piwik ha-ben auf die vom ULD geäußerte Kritik an Piwik und die damit verbundenen Emp-fehlungen und Ergänzungen prompt re-agiert. Teilweise wurden die Anregungen der Autoren bereits direkt in der zum da-maligen Zeitpunkt aktuellen Version 1.2 von Piwik umgesetzt.

Teilweise konnten umfangreichere Än-derungen in Piwik jedoch nicht mehr di-rekt umgesetzt werden. Das ULD wird den konstruktiven Dialog mit den Piwik-Entwicklern weiterhin führen und ins-besondere Vorschläge zur Behandlung von IP-Adressen machen. Ein weiterer

8 https://www.datenschutzzentrum.de/presse/20110315-piwik.htm

Schwerpunkt wird auf dem Umgang mit IPv6-Adressen liegen.

In der Zwischenzeit sind bereits zwei Nachfolgeversionen von Piwik veröf-fentlicht worden. Die Autoren werden die Empfehlungen und Vorgaben für den datenschutzkonformen Einsatz von Pi-wik auf die aktuellen Versionen anpassen und sind bemüht, das Dokument auch bei kommenden neuen Versionen von Piwik zu aktualisieren.

Das ULD hat von kommunalen An-wendern von Piwik detaillierte Anregun-gen und Arbeitsbeispiele zur Umsetzung der Widerspruchsmöglichkeit ohne die Nutzung von IFrames erhalten. Auch die-se werden in eine Überarbeitung des Do-kuments einfließen.

6 Fazit

Die Software Piwik ist aus Sicht des ULD bei datenschutzkonformer Implementie-rung eine mögliche Alternative zu ande-ren Analysediensten, die sich einer di-rekten Kontrolle durch die anwenden-den Stellen entziehen und teilweise mit einer datenschutzrechtlich unzulässigen Grundkonfiguration angeboten werden.

Beim Einsatz von Piwik ist darauf zu achten, dass durch zusätzliche Plugins, eine datensparsame Grundkonfiguration und zusätzliche organisatorische Maß-nahmen das Erheben und Verarbeiten von personenbezogenen Daten minima-lisiert wird.