Bundesverwaltungsgericht: IP-Adressen unterliegen dem Datenschutz

Mit Urteil vom 27.05.2009 (Az. A-3144/2008) hat sich das schweizerische Bundesverwaltungsgericht der inzwischen ganz überwiegenden Meinung angeschlossen, wonach IP-Adressen nicht nur bei dem Internet-Zugangsanbieter, sondern allgemein personenbeziehbar sind und deswegen dem Datenschutzrecht unterliegen (ebenso Amtsgericht Berlin, Landgericht Berlin, Verwaltungsgericht Wiesbaden, Bundesjustizministerium und der Bundesdatenschutzbeauftragte; anders nur ein nicht rechtskräftiges Urteil des AG München). In Deutschland ist es Anbietern von Websites nach § 15 Telemediengesetz verboten, IP-Adressen über die Dauer des Nutzungsvorgangs hinaus zu speichern oder – z.B. durch Nutzung von Google Analytics – speichern zu lassen, weil sich dadurch die Internetnutzung jedes Bürgers nachverfolgen ließe.

Aus dem Urteil des Bundesverwaltungsgerichts vom 27.05.2009 (Hervorhebungen von mir):

2.2.1 Unter Personendaten (Daten) fallen nach Art. 3 Bst. a DSG alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Darunter ist jede Art von Information zu verstehen, die auf die Vermittlung oder die Aufbewahrung von Kenntnissen ausgerichtet ist, ungeachtet, ob es sich dabei um eine Tatsachenfeststellung oder um ein Werturteil handelt. Unerheblich ist auch, ob eine Aussage als Zeichen, Wort, Bild, Ton oder Kombinationen aus diesen auftritt und auf welcher Art von Datenträger die Informationen gespeichert sind. Entscheidend ist, dass sich die Angaben einer oder mehreren Personen zuordnen lassen (URS BELSER, in: Maurer-Lambrou/Vogt [Hrsg.], Datenschutzgesetz, Basler Kommentar, 2. Aufl., Basel 2006, Rz. 5 zu Art. 3 DSG).

Eine Person ist dann bestimmt, wenn sich aus der Information selbst ergibt, dass es sich genau um diese Person handelt. Bestimmbar ist sie dann, wenn aus dem Kontext einer Information auf sie geschlossen werden kann. Für die Bestimmbarkeit genügt aber nicht jede theoretische Möglichkeit der Identifizierung. Ist der Aufwand für die Bestimmung der betroffenen Personen derart gross, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird, liegt keine Bestimmbarkeit vor (vgl. Botschaft des Bundesrates vom 23. März 1988 zum DSG, Bundesblatt [BBl] 1988 II, S. 444 f.). Ob eine Person bestimmbar ist, muss anhand objektiver Kriterien im konkreten Fall beurteilt werden, wobei insbesondere auch die Möglichkeiten der Technik, wie zum Beispiel die beim Internet verfügbaren Suchwerkzeuge, mitzuberücksichtigen sind. Entscheidend ist nicht, ob derjenige, der die Daten bearbeitet, den für eine Identifizierung erforderlichen Aufwand betreiben kann oder will, sondern ob damit gerechnet werden muss, dass ein Dritter, der ein Interesse an diesen Angaben hat, bereit ist, eine Identifizierung vorzunehmen (BELSER, a.a.O., Rz. 6 zu Art. 3 DSG; DAVID ROSENTHAL, in: Rosenthal/Jöhri, Handkommentar zum Datenschutzgesetz, Zürich 2008, Rz. 24 f. zu Art. 3 DSG). […]

2.2.3 Hinsichtlich der Qualifikation von IP-Adressen als Personendaten rechtfertigt sich eine vergleichende Betrachtung der Rechtslage in der Europäischen Union: Die Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten (nachfolgend Datenschutzgruppe) wurde durch Art. 29 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 eingesetzt und ist ein unabhängiges EU-Beratungsgremium für Datenschutzfragen. In ihrer am 20. Juni 2007 angenommenen Stellungnahme 4/2007 zum Begriff „personenbezogene Daten“ stuft die Datenschutzgruppe mit Verweis auf ein früheres Arbeitspapier (Arbeitsdokument WP 37, Privatsphäre im Internet – Ein integrierter EU-Ansatz zum Online-Datenschutz, angenommen am 21. November 2000, insbesondere S. 17) IP-Adressen als Daten ein, die sich auf eine bestimmbare Person beziehen. Internet-Zugangsanbieter und Verwalter von lokalen Netzwerken könnten ohne grossen Aufwand Internetnutzer identifizieren, denen sie IP-Adressen zugewiesen hätten, da sie in der Regel in Dateien systematisch Datum, Zeitpunkt, Dauer und die dem Internetnutzer zugeteilte dynamische IP-Adresse einfügen würden. Dasselbe lasse sich von den Internet-Dienstanbietern sagen, die in ihren HTTP-Servern Protokolle führen würden. In diesen Fällen bestehe kein Zweifel, dass man von personenbezogenen Daten im Sinne von Art. 2 Bst. a der Richtlinie 95/46/EG reden könne.

Weiter wird in der Stellungnahme zum Begriff „personenbezogene Daten“ ausdrücklich auf jene Fälle hingewiesen, in denen der Zweck der Verarbeitung von IP-Adressen in der Identifizierung der Computernutzer besteht, beispielsweise durch Inhaber von Urheberrechten zur strafrechtlichen Verfolgung wegen Verletzung von Rechten an geistigem Eigentum. Vor allem in diesen Fällen gehe der für die Verarbeitung Verantwortliche vom Vorhandensein der Mittel aus, die zur Identifizierung der betreffenden Personen „vernünftigerweise eingesetzt werden könnten“, zum Beispiel von den Gerichten, bei denen Beschwerde eingelegt worden sei. Andernfalls sei die Erhebung der Informationen nicht sinnvoll. Einen Sonderfall würden IP-Adressen bilden, die unter bestimmten Umständen aus verschiedenen technischen und organisatorischen Gründen keine Identifizierung des Nutzers gestatten würden, wie beispielsweise bei einem Computer in einem Internet- Café, in dem keine Identifizierung der Kunden gefordert werde. Es könne argumentiert werden, dass hier keine personenbezogenen Daten vorlägen, da der Nutzer unter Einsatz vernünftiger Mittel nicht identifiziert werden könne. In diesem Fall sei jedoch zu berücksichtigen, dass ein Internet-Dienstanbieter in der Regel nicht wissen könne, ob eine bestimmte IP-Adresse die Identifizierung ermögliche oder nicht. Wenn der Internet-Dienstanbieter also nicht mit absoluter Sicherheit erkennen könne, dass die Daten zu nicht bestimmbaren Benutzern gehören würden, müsse er sicherheitshalber alle IP-Informationen wie personenbezogene Daten behandeln (Stellungnahme, S. 19 f.).

2.2.4 Bei IP-Adressen handelt es sich um technische Informationen, die eine eindeutige Identifizierung eines Rechners zulassen. Dabei können statische IP-Adressen, die einem Rechner fest zugeteilt sind, wie die Beklagte in ihrer Duplik selber darlegt, vergleichbar einer Telefonnummer als Personendaten qualifiziert werden. Im Ergebnis muss dasselbe aber auch für dynamische IP-Adressen gelten: Zwar können weder die Beklagte noch die Urheberrechtsinhaber selber die hinter einer IP-Adresse stehende Person bestimmen. Der Provider muss diese Information nur im Zusammenhang mit der Verfolgung von Straftaten und nur gegenüber Behörden offenlegen. Die Person ist daher lediglich anhand der IP-Adresse nicht bestimmbar (ROSENTHAL, a.a.O., Rz. 27 zu Art. 3 DSG). Wird jedoch eine Straftat verübt, ändert sich die Situation. Nicht nur steigt das Interesse an der Bestimmung der Person hinter der IP-Adresse, mit der Einleitung einer Strafuntersuchung erhält der Urheberrechtsinhaber auch indirekt das Mittel in die Hand, die Person zu identifizieren. Dadurch werden die betreffenden Aufzeichnungen automatisch zu Personendaten auch bezüglich der so ermittelbaren bzw. ermittelten Person und nicht mehr nur des registrierten Inhabers der IP-Adresse (ROSENTHAL, a.a.O., Rz. 27 zu Art. 3 DSG). Wie die Praxis zeigt, sind gerade Urheberrechtsinhaber bereit, strafrechtlich vorzugehen, um die Identifizierung der Daten von Internetnutzern zu erwirken. Sie können, objektiv betrachtet, ein konkretes Interesse an der entsprechenden Information für sich beanspruchen. Daher ist auch damit zu rechnen, dass ein in seinen Rechten verletzter Urheberrechtsinhaber den nötigen Aufwand auf sich nimmt, diese Daten zu identifizieren. Ob sodann ein Strafverfahren zum gewünschten Erfolg führt oder allenfalls im konkreten Fall vorzeitig eingestellt wird, ändert dagegen nichts an der grundsätzlichen Bestimmbarkeit der Daten. In diesem Sinne erachtet auch die Datenschutzgruppe der Europäischen Union dynamische IP-Adressen als personenbezogene Daten gemäss Art. 2 Bst. a der Richtlinie 95/46/EG, deren Definition von Personendaten sehr ähnlich ist mit derjenigen in Art. 3 Bst. a DSG.

IP-Adressen sind folglich entgegen der Ansicht der Beklagten als Personendaten im Sinne des DSG anzusehen.

Das Urteil im Volltext (pdf)

1 Stern2 Sterne3 Sterne4 Sterne5 Sterne (1 Bewertungen, durchschnittlich: 5,00 von 5)
Loading...
9.034mal gelesen

Beitrag per E-Mail versenden Beitrag per E-Mail versenden Seite drucken Seite drucken

Verwandte Artikel

Weitere Artikel zum Thema Datenschutz im Privatsektor, Juristisches, Metaowl-Watchblog, Surfprotokollierung

3 Kommentare »


  1. Betreff? — 6. Juni 2009 @ 17.54 Uhr

    Wo bleiben denn nur die Abmahnanwälte, die Websitebetreiber mit Google Analytics abmahnen? Hier könnte man einerseits Geld verdienen, andererseits endlich mal was nützliches tun…

    Webmaster: Guter Gedanke. Leider ist das Datenschutzrecht nicht wettbewerbsrelevant. Wettbewerber können Datenschutzverstöße daher nicht abmahnen (lassen). Wir fordern, das zu ändern.


  2. SchweizBVerwG: IP-Adresse ist personenbezogenes Datum « Offene Netze und Recht — 8. Juni 2009 @ 10.57 Uhr

    [...] Das SchweizBVerwG formuliert dies in sehr angenehmer Deutlichkeit. Es ist damit auf einer Linie mit der h.M. in der deutschen Literatur und Rechtsprechung (s. dazu mit weiteren Nachweisen hier und hier). [...]


  3. Shamie — 19. November 2010 @ 17.03 Uhr

    Wie die Praxis zeigt, sind gerade Urheberrechtsinhaber bereit, strafrechtlich vorzugehen, um die Identifizierung der Daten von Internetnutzern zu erwirken. Sie können, objektiv betrachtet, ein konkretes Interesse an der entsprechenden Information pokerspiel für sich beanspruchen. Daher ist auch damit zu rechnen, dass ein in seinen Rechten verletzter Urheberrechtsinhaber den nötigen Aufwand auf sich nimmt, diese Daten zu identifizieren.

RSS-feed für Kommentare zu diesem Beitrag · TrackBack-URI

Kommentieren Sie diesen Artikel


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: