IP-Speicherung auf heise.de

Mail vom 29.04.2006 an datenschutz(a)mi.niedersachsen.de:

Sehr geehrte Damen und Herren,

auf der Website des Heise Verlags Hannover (www.heise.de) werden die IP-Adressen sämtlicher Besucher über die Dauer des Nutzungsvorgangs hinaus gespeichert, und zwar in Verbindung mit den betrachteten Seiten. Dies halte ich für unzulässig.

Die Website des Heise Verlags ist ein Mediendienst nach § 2 Nr. 4 MDStV. Der Verlag hält diesen Mediendienst zur Nutzung bereit und ist daher Diensteanbieter (§ 3 Nr. 1 MDStV).

IP-Adressen sind personenbezogene Daten des Nutzers im Sinne des § 19 Abs. 2 MDStV. Dies ist zumindest für statische IP-Adressen unstreitig. Aber auch sonst kann die Person des Nutzers bestimmbar sein, etwa wenn der Nutzer über die o.g. Webseite seine persönlichen Daten in ein Formular einträgt. Der Heise Verlag bietet auf der o.g. Webseite Dienste an, die eine Registrierung voraussetzen, so dass dem Verlag die Identität des Nutzers bekannt ist. Folgerichtig ordnet der Heise Verlag die IP-Adresse in seiner Datenschutzerklärung (http://www.heise.de/privacy/) selbst unter „personenbezogene Daten“ ein und räumt ein, dass diese Daten „möglicherweise eine Identifizierung zulassen“.

Der Verlag darf das Nutzungsdatum „IP-Adresse“ nach § 19 Abs. 5 MDStV über das Ende des Nutzungsvorgangs hinaus nur verarbeiten und nutzen, soweit es für Zwecke der Abrechnung mit dem Nutzer erforderlich ist. Da die Nutzung der Website kostenlos ist, ist die Speicherung von IP-Adressen nicht zur Abrechnung erforderlich. Es liegt auch keine Einwilligung der Nutzer vor, so dass die Speicherung von IP-Adressen durch den Heise Verlag gegen § 19 Abs. 2 und 5 MDStV verstößt.

§ 19 Abs. 2 MDStV bestimmt eindeutig, dass Diensteanbieter Nutzungsdaten „nur erheben, verarbeiten und nutzen [dürfen], soweit dies erforderlich ist, um die Inanspruchnahme von Mediendiensten zu ermöglichen und abzurechnen.“ Eine solche Erforderlichkeit ist bei IP-Adressen nicht gegeben, jedenfalls nicht über das Ende eines Seitenaufrufs hinaus. Dass die Speicherung von IP-Adressen nicht erforderlich ist, um die Inanspruchnahme einer Webseite zu ermöglichen, ergibt sich schon daraus, dass eine Vielzahl von Webseiten keine IP-Adressen speichern (vgl. auch http://www.datenschutzzentrum.de/material/themen/presse/20040630-urheber.htm).

Die vom Heise Verlag in seiner Datenschutzerklärung (http://www.heise.de/privacy/) angegebenen Zwecke der Speicherung dieser Daten (Gründen der Datensicherheit, um die Stabilität und die Betriebssicherheit des Systems zu gewährleisten) decken sich nicht mit den gesetzlich zulässigen Verarbeitungszwecken (siehe oben). Im Übrigen ist eine Vorratsspeicherung der IP-Adressen sämtlicher Nutzer auch zu den vom Verlag angeführten Zwecken nicht erforderlich. Zur Abwehr von ddos-Angriffen genügt es, im Fall eines Angriffs festzustellen, von welchen IP-Adressen dieser ausgeht. Die generelle Speicherung aller IP-Adressen von Besuchern ist dazu nicht erforderlich und vollkommen unverhältnismäßig.

Ich bitte Sie daher, die Speicherung von IP-Adressen durch den Heise Verlag über das Ende des Nutzungsvorgangs hinaus zu untersagen. Bitte halten Sie mich über das weitere Verfahren auf dem Laufenden.

Mit freundlichen Grüßen, …

Antwort vom 18.05.2006:

Sehr geehrte…,

ich danke Ihnen für Ihre Nachricht und bin Ihrem Anliegen nachgegangen. Sie machen geltend, daß der Heiseverlag unrechtmäßig die IP-Adresse beim Aufruf einer Internetseite speichern würde. Auf der von Ihnen unten zitierten Seite macht der Heiseverlag folgende Ausführungen:

„In Verbindung mit Ihrem Zugriff werden auf unseren Servern Daten für Sicherungszwecke gespeichert, die möglicherweise eine Identifizierung zulassen (zum Beispiel IP-Adresse, Datum, Uhrzeit und betrachtete Seiten). Es findet keine personenbezogene Verwertung statt. Die statistische Auswertung anonymisierter Datensätze bleibt vorbehalten.

IP-Adressen speichern wir über einen Zeitraum von 28 Tagen. Die Speicherung erfolgt aus Gründen der Datensicherheit, um die Stabilität und die Betriebssicherheit unseres Systems zu gewährleisten.“

§ 28 I Nr. 2 Bundesdatenschutzgesetz (BDSG) regelt, daß eine Erhebung zulässig ist, „soweit es zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt“.

Diese Datenerhebung zur Sicherstellung des ordnungsgemäßen Betriebes läßt sich im übrigen auch aus § 19 II Satz 1 MDStV herleiten: Danach dürfen Nutzungsdaten ohne Einwilligung erhoben werden, „soweit dies erforderlich ist, um die Inanspruchnahme von Mediendiensten zu ermöglichen […]“. Es muß heute davon ausgegangen werden, daß öffentlich zugängliche Systeme ständigen Attacken aus dem Internet ausgesetzt sind. Um diese abwehren zu können, ist es erforderlich, Quelle und Zielrichtung des Angriffs zu ermitteln, ansonsten wird eine dauerhafte Bereitstellung eines solchen Dienstes in Frage gestellt.

Außerdem ergibt sich nach § 4 IV Nr. 3 Teledienstedatenschutzgesetz (TDDSG) die Verpflichtung des Heiseverlages sicherzustellen, daß nicht Unbefugte in die Rechnersysteme eindringen und sich Zugang zu den darauf gespeicherten personenbezogenen Daten verschaffen:

„Der Diensteanbieter hat durch technische und organisatorische Vorkehrungen sicherzustellen, dass […] der Nutzer Teledienste gegen Kenntnisnahme Dritter geschützt in Anspruch nehmen kann“.

Hinzu kommt, daß diese Daten nach § 31 BDSG einer besonderen Zweckbindung unterliegen:

„Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage gespeichert werden, dürfen nur für diese Zwecke verwendet werden.“

Vor diesem Hintergrund ist nach § 28 I Nr. 2 BDSG abzuwägen zwischen Ihrem Interesse, die IP-Adresse, die lediglich ein personenbeziehbares Datum, aber noch kein personenbezogenes Datum darstellt, nicht speichern zu lassen und dem Interesse des Heiseverlages an Geschäftsgeheimnissen (den gespeichterten Kundendaten), sowie dem der Kunden, daß deren Daten dort sicher gespeichert und vor Mißbrauch geschützt sind.

Hinzu kommt, daß die Information, daß unter einer bestimmten IP-Adresse zu einem Zeitpunkt eine Seite abgerufen wurde, der strikten Zweckbindung des § 31 BDSG unterliegt und diese Daten nach 28 Tagen gelöscht werden.

Vor diesem Hintergrund vermag ich kein überwiegende Interesse Ihrerseits erkennen. Hinzu kommt, daß Sie es Ihnen sogar möglich wäre, die IP-Adresse Ihres Rechners zu verschleiern, indem Sie einen entsprechenden Anonymisierungsdienst wie z. B. unter http://www.datenschutzzentrum.de/projekte/anon/index.htm angeboten, nutzten.

Ich hoffe, Ihnen mit diesen Informationen gedient zu haben.

Mit freundlichen Grüßen …

1 Stern2 Sterne3 Sterne4 Sterne5 Sterne (noch nicht bewertet)
Loading...
6.238mal gelesen

Beitrag per E-Mail versenden Beitrag per E-Mail versenden Seite drucken Seite drucken

Verwandte Artikel

Weitere Artikel zum Thema Datenschutz im Privatsektor, Internet-Unternehmen

1 Kommentar »


  1. Brauche sowas auch — 28. Februar 2007 @ 16.17 Uhr

    Wo krigt man so ein Programm her??
    Bräuchte es für meine Hompage, weil mein Chef mich drum gebeten hat, für mehr sicherheit zu sorgen.

RSS-feed für Kommentare zu diesem Beitrag · TrackBack-URI

Kommentieren Sie diesen Artikel


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: