whos_online <=> Datenschutz?

[webald]

In Ticket #518 kommt der Wunsch auf zusätzlich noch das Device des Zugreifenden zu speichern und das darüber hinaus auch in der Bestellung mit zu notieren.

In meinen Augen ist whos_online unnötig (logisch, ob Codetechnisch benötigt ist nicht geprüft) und ein Verstoß gegen den Datenschutz, da IP, letzter Zugriff, sowie besuchte Seiten zusammen mit der Kunden-ID uund Session gespeichert werden. Für die Funktion des Shops ist das unnötig, für Analysen gibt es anonymisierende Tools.

Nebenbei werden 2 SQL-Abfragen bei jedem Seitenaufruf gespart.

Meinungen?

Linkback: https://www.modified-shop.org/forum/index.php?topic=33085.0

[hbauer]

volle Zustimmung.

[Godzilla]

In meinen Augen ist whos_online [...] ein Verstoß gegen den Datenschutz, da IP, letzter Zugriff, sowie besuchte Seiten zusammen mit der Kunden-ID und Session gespeichert werden.

Um eine Kunden-ID zu erhalten muss man erst eine Datenschutzerklärung als gelesen markiert haben. Damit ist geregelt, dass es in dieser Form zu keinem "Verstoß gegen den Datenschutz" kommt.

gesendet von meinem Iphone

[webald]

Ich glaube nicht, dass die Speicherung der IP dadurch zulässig wird indem man das in die Datenschutzbestimmungen aufnimmt und den Kunden abnicken lässt.

Außerdem werden dort doch auch Gäste geloggt, die einer solchen Erklärung nicht zugestimmt haben.

[Godzilla]

Ich glaube nicht, dass die Speicherung der IP dadurch zulässig wird indem man das in die Datenschutzbestimmungen aufnimmt und den Kunden abnicken lässt.

Die EU-Kommission sieht das im Bezug auf das Bundesdatenschutzgesetz aber so.

Außerdem werden dort doch auch Gäste geloggt, die einer solchen Erklärung nicht zugestimmt haben.

Und auf welche "Person" will ich dann diese IP "beziehen"?
Oder anders formuliert:

Sind IP-Adressen personenbezogen?

Bei der Beurteilung eines möglichen Personenbezugs ist entscheidend, ob die dahinter stehende Person bestimmbar ist oder nicht (§3 Abs. 1 BDSG).

Im Hinblick auf IP-Adressen werden zwei Meinungen vertreten, die bei dieser Frage zu unterschiedlichen Ergebnissen kommen.

Eine Theorie vertritt den „objektiven“ Begriff der Personenbeziehbarkeit. Hierbei reicht es aus, dass eine theoretische Möglichkeit besteht, einen Personenbezug herzustellen. Es ist dabei nicht unbedingt notwendig, dass z.B. der Webseitenbetreiber selbst diese Möglichkeit nutzen kann. Auch die Möglichkeiten eines Dritten (z.B. ISP) reichen aus, damit die Daten für den Webseitenbetreiber Personenbezug haben.

Die Theorie des „relativen“ Personenbezugs hingegen prüft die Personenbeziehbarkeit anhand der Verhältnisse der jeweiligen verarbeitenden Stelle, z.B. des Webseitenbetreibers. Kenntnisse und Fähigkeiten von Dritten sind hierbei nicht relevant, so dass reine IP-Adressen in diesem Fall für den Webseitenbetreiber keinen Personenbezug aufweisen.

https://www.datenschutzbeauftragter-info.de/ip-adressen-personenbezogene-daten/

Solange ich die IP der Gäste nicht an Google und Co. weiterleite, damit die daraus einen Personenbezug herstellen und ich personenbezogene Daten erst erfasse und speichere, wenn der ehemalige anonyme Gast die Datenschutzerklärung als gelesen markiert hat und dann diese Daten sendet, liegt auch kein Verstoß gegen den Datenschutz vor.

Ansonsten könnte ich ja nun einen Bad-Bot auf alle deutschen Online-Shops hetzen und sobald der Bot irgendwo geblockt wird, habe ich den Nachweis, dass da "IP-Adressen" (angeblich "illegal") gespeichert und mit dann dementsprechend auch illegalen IP-Bannlisten abgeglichen werden.

Zwischenfrage:
Darf man denn nun eigentlich eine IP-Adresse, die in der whos_online negativ aufgefallen ist, in einer htaccess-Datei speichern oder ist das nicht illegal, weil das nicht nur eine Speicherung ist sondern auch noch eine Speicherung (und Verarbeitung!) an einem weniger sicheren Ort als eine Datenbank?

[p3e]

Nein, die muss bleiben! Die whos_online ist für den Support des Shopbetreibers wichtig! Die IP kann ja gerne anonymisiert werden.
Wenn ein Kunde (Shopbesucher) unseren Support anruft, irgendwo eine Frage hat oder im Shop nicht weiter kommt, ist es für den Support eine große Hilfe, in der whos_online zu schauen, wo der Kunde wirklich genau ist und was im Warenkorb liegt.

[marsbewohner]

Ich denke auch das durch bestehende Regelungen und VErträge die Nutzung/Verarbeitung der IP ja klar geregelt ist. Es geht IMHO auch weniger darum hier ein weiteres Shoppingprofil zu erstellen (dafür gibt es weitaus bessere Tools), aber wie p3e schreibt wäre es für den Support hilfreich.

Wer sich damit nicht wohl fühlt könnte die IP bei registrierten Usern ja anonymisieren, aber bei Gästen (gebetene wie ungebetene) ist es durchaus Hilfreich, auch in Verbindung mit dem benutzen Device. Wie oft rufen User beim Support an und haben Problem X, da könnte es auf diesem Weg wesentlich leichter eingegrenzt werden als heute - und der Browser Agent hat ja nihts mit der IP zu tun.