Archiv zur Kategorie Internet-Unternehmen

Deutschland muss Datenschutz in der Telekommunikation verbessern

Aus einem Schreiben an die Vertragsverletzungsabteilung der EU-Kommission vom 19.02.2010:

Nichtumsetzung der Richtlinie 2002/58/EG in Deutschland

Sehr geehrte Damen und Herren,

Deutschland hat die Richtlinie 2002/58/EG (bereits in ihrer ursprünglichen Fassung) in mehreren Punkten nicht ordnungsgemäß umgesetzt:

1. Art. 5 Abs. 3 RiL 2002/58/EG ist im deutschen Recht nicht ordnungsgemäß umgesetzt. Zwar sehen TKG und TMG Informationspflichten vor (etwa § 13 Abs. 1 S. 2 TMG). Sie machen die Zulässigkeit der „Speicherung von Informationen oder den Zugriff auf Informationen, die im Endgerät eines Teilnehmers oder Nutzers gespeichert sind“, aber nicht von einer ordnungsgemäßen Information abhängig, wie es Art. 5 Abs. 3 RiL 2002/58/EG vorschreibt. Ein Formulierungsvorschlag zur ordnungsgemäßen Richtlinienumsetzung findet sich auf Seite 34 meiner ausführlichen Stellungnahme gegenüber dem Bundestag (http://www.daten-speicherung.de/data/Forderungen_Telemedienrecht_26-02-2009_publ.pdf).

2. § 100 des Telekommunikationsgesetzes verstößt gegen Art. 6 Abs. 1 RiL 2002/58/EG, soweit er die generelle Aufbewahrung von Verkehrsdaten zu Zwecken der Störungs- und Missbrauchsbekämpfung über das Verbindungsende hinaus legalisiert. Anders als die Vorgängervorschrift des § 9 TDSV (http://www.netlaw.de/gesetze/tdsv.htm) erlaubt § 100 TKG die Erhebung und Speicherung von Verkehrsdaten zur Störungs- und Missbrauchsbekämpfung nicht mehr nur „im Einzelfall“. Eine generelle, bedarfsunabhängige Vorratsspeicherung sämtlicher Verkehrsdaten, damit sie im Bedarfsfall zur Störungs- und Missbrauchsbekämpfung zur Verfügung stehen, ist nicht mehr „in einer demokratischen Gesellschaft notwendig, angemessen und verhältnismäßig“ im Sinne des Art. 15 Abs. 1 RiL 2002/58/EG. Der Bundesrat hat dazu ausgeführt (BR-Drs. 62/09, 10): „Dies erscheint insbesondere deshalb veranlasst, weil die zu § 100 Absatz 1 TKG ergangene Rechtsprechung in verfassungsrechtlich bedenklicher Weise die vorbeugende Speicherung von IP-Adressen zur Störungseingrenzung und -beseitigung zulässt, ohne dass tatsächliche Anhaltspunkte bei einem bestimmten Nutzer vorliegen (vgl. LG Darmstadt, Urteil vom 06.06.2007 – 10 O 562/03 –, CR 2007, 574).“ Zwar wird die Vorschrift von anderen Teilen der Rechtsprechung und Literatur einschränkend dahin ausgelegt, dass sie tatsächliche Anhaltspunkte bei einem bestimmten Nutzer voraus setzte (etwa LG Darmstadt, Urteil vom 07.12.2005, 25 S 118/2005). Die ordnungsgemäße Umsetzung von Richtlinien erfordert aber, dass der Gesetzgeber solche Fragen normenklar selbst regelt.

Dazu muss § 100 TKG einschränkend formuliert werden, wobei Absatz 1 etwa wie folgt formuliert werden könnte:

(1) Liegen dem Diensteanbieter im Einzelfall zu dokumentierende tatsächliche Anhaltspunkte vor, dass bestimmte Nutzer seine zur Bereitstellung seines Dienstes genutzten technischen Einrichtungen stören, darf er Bestands- und Verkehrsdaten dieser Nutzer nur erheben, speichern und nutzen, soweit dies zur Beseitigung der Störung erforderlich ist; eine Verwendung der Daten für andere Zwecke ist unzulässig. Der Diensteanbieter hat die Daten unverzüglich zu löschen, wenn die Voraussetzungen nach Satz 1 nicht mehr vorliegen oder die Daten zur Störungsbeseitigung nicht mehr benötigt werden. Der betroffene Nutzer ist zu unterrichten, sobald dies ohne Gefährdung des mit der Maßnahme verfolgten Zweckes möglich ist.“

Absatz 3 könnte in Anlehnung an § 15 TMG wie folgt formuliert werden:

(3) Liegen dem Diensteanbieter im Einzelfall zu dokumentierende tatsächliche Anhaltspunkte vor, dass seine Dienste von bestimmten Nutzern in der Absicht in Anspruch genommen werden, das Entgelt nicht oder nicht vollständig zu entrichten, darf er Bestands- und Verkehrsdaten dieser Nutzer nur verwenden, soweit dies zur Geltendmachung seiner Ansprüche gegen die Nutzer erforderlich ist. Der Diensteanbieter hat die Daten unverzüglich zu löschen, wenn die Voraussetzungen nach Satz 1 nicht mehr vorliegen oder die Daten für die Rechtsverfolgung nicht mehr benötigt werden. Der betroffene Nutzer ist zu unterrichten, sobald dies ohne Gefährdung des mit der Maßnahme verfolgten Zweckes möglich ist.“

3. Art. 13 Abs. 2 RiL 2002/58/EG ist in § 95 Abs. 2 S. 2 TKG nicht korrekt umgesetzt: Emailwerbung ist nach der Richtlinie nur zulässig, wenn das Unternehmen die Emailadresse „im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung […] erhalten hat“. Es reicht also – anders als in § 95 TKG vorgesehen – beispielsweise nicht, wenn sich ein Kunde wegen einer Reklamation per Email an das Unternehmen wendet, denn in einem solchen Fall kann von einem Einverständnis mit Werbung nicht ausgegangen werden.

Die Richtlinie erlaubt eine Nutzung von E-Mail-Adressen zu Werbezwecken ferner nur, wenn Kunden „die Möglichkeit erhalten, eine solche Nutzung ihrer elektronischen Kontaktinformationen bei deren Erhebung und bei jeder Übertragung gebührenfrei und problemlos abzulehnen“. Das nach § 95 Abs. 2 S. 2 TKG bestehende Widerspruchsrecht ermöglicht dies nicht. Vielmehr setzt ein Widerspruch voraus, mit dem Anbieter umständlich in Verbindung zu treten, indem man eine Kontaktmöglichkeit sucht und eine gesonderte Nachricht verfasst.

Schließlich ist Emailwerbung nach der Richtlinie nur für „eigene ähnliche Produkte oder Dienstleistungen“ zulässig. Die beworbenen Produkte müssen also denjenigen vergleichbar sein, für die sich der Verbraucher im Rahmen eines Verkaufsgesprächs interessiert hat. § 95 TKG setzt auch dies nicht um.

Einen Formulierungsvorschlag zur ordnungsgemäßen Umsetzung des Art. 13 Abs. 2 RiL 2002/58/EG in das deutsche Recht findet sich auf Seite 64 meiner Stellungnahme gegenüber dem Bundestag (http://www.daten-speicherung.de/data/Forderungen_Telemedienrecht_26-02-2009_publ.pdf).

Da das Bundeswirtschaftsministerium zurzeit eine „TKG-Novelle 2010″ vorbereitet, in deren Rahmen das 2009 beschlossene „Telekom-Paket“ umgesetzt werden soll, würde es mich freuen, wenn Sie darauf dringen könnten, dass im Zuge dieser Novelle auch die vorbestehenden Umsetzungsdefizite beseitigt werden.

Mit freundlichem Gruß,

Kommentare (2)

Anonym mit Paypal zahlen

Beim Lesen der Datenschutzbestimmungen des Internet-Bezahldiensts Paypal kommen dem datenschutzgeneigten Onlinekäufer Tränen in die Augen: Unter anderem behält sich Paypal vor, in weitem Umfang Kunden- und Transaktionsdaten nicht nur unbefristet in den USA zu speichern, sondern auch an internationale Behörden, Auskunfteien und Adresshändler zu übermitteln. Geschäftssitz ist Luxemburg, so dass Paypal mit deutschem Datenschutzrecht und Aufsichtsbehörden nicht zu fassen ist. Trotzdem ist Paypal weltweit das verbreitetste Zahlungssystem.

Es ist aber möglich, sich mit Fantasiedaten und Wegwerf-E-Mail-Adresse anonym anzumelden. Da Paypal die IP-Adresse des Nutzers aufzeichnet, deren Zuordnung zum Internetanschluss dank Vorratsdatenspeicherung 6 Monate gespeichert wird, empfiehlt es sich, Paypal grundsätzlich nur über einen Anonymisierungsdienst zu betreten. Nach der Anmeldung drängt Paypal zwar darauf, den Account anhand einer Bankverbindung oder einer Kreditkarte abzugleichen, was die Anonymität aufheben würde. Das lässt sich aber überspringen. Doch wie anonym Guthaben auf das Konto schaffen?

Beispiel PaysafecardDie russische „Online-Wechselstube“ http://www.psc2wm.com/ bietet an, unter anderem Paysafecard- und Ukash-Guthaben nicht nur auf Webmoney- (das russische Paypal-Pendant), sondern auch auf Paypal-Konten zu wechseln und einzuzahlen. Paysafecard und Ukash sind Gutscheincodes, die in vielen Tankstellen, Callshops und Supermärkten ganz ähnlich wie Handyguthaben anonym zu kaufen sind (Paysafecard unter anderem bei: Rossmann, Netto Markendiscount, Woolworth, Aral, Total, Agip, Shell, Westfalen und vielen Lotto-Annahmestellen, Callshops und Handyautomaten; Ukash unter anderem bei: Woolworth, Agip, Aral, Avia, Esso, OMV, Q1, Westfalen und vielen Lotto-Annahmestellen und Callshops). So gelang es mir probeweise, 10 € anonymes Ukash-Guthaben auf ein ebenfalls anonym angemeldetes Paypal-Konto einzuzahlen. Leider schlugen die Gebühren nicht unerheblich zu Buche: Bei Ukash war der Wechselkurs des Diensts etwa 15% ungünstiger als der der Deutschen Bundesbank, bei der Ausgangswährung Paysafecard sogar 25%. Außerdem werden bei unter 50 € Ausgangsguthaben weitere 10% an Gebühr einbehalten, so dass von 10 € Ukash nur 11,01 US$ (statt 14,83 US$) blieben. Von diesen zog Paypal, wo das Geld innerhalb von 30 Minuten von „CISBill Systems“ ankam, nochmals 3,9% plus 0,50 US$ „Einzahlungsgebühr“ ab. Von den einstmals 10 € Ukash wurden somit nur 6,97 € bei Paypal gutgeschrieben, was einen Verlust von gut 30% bedeutet (ein wenig könnte man wohl sparen, wenn man sein Paypal-Konto in US$ führt). Dennoch ist es grundsätzlich möglich.

Von Paypal ist bekannt, dass es nach nicht nachvollziehbaren Kriterien Identitätsüberprüfungen durchführt, bei denen das Paypal-Konto unvermittelt eingefroren wird und Kopien des Personalausweises, einer Meldebescheinigung oder einer Stromrechnung verlangt werden. Die Computerzeitschrift c’t berichtet exemplarisch von einem Fall, in dem Paypal „ohne Angabe von Gründen den unbescholtenen Verkäufer“ überprüfte, „die Betrüger ließ das eBay-Unternehmen hingegen gewähren“. Weiterhin wird von Fällen berichtet, in denen Paypal-Guthaben spurlos verschwand oder Buchungen nachträglich ohne ersichtlichen Grund storniert wurden. Bei Paypal könne der Kunde „willkürliche Entscheidungen (…) nur hinnehmen“ (c’t 17/2007, S. 68). Es empfiehlt sich deshalb auch unabhängig vom Datenschutz, Paypal nach Kräften entweder ganz zu meiden oder zumindest keine nennenswerten Geldbeträge anzuvertrauen oder Geld länger auf einem Paypal-Konto zu parken.

Jonas

Kommentare (4)

Bußgeldverfahren gegen Datenkrake eBay eingeleitet

Seit 2004 weigert sich eBay, Auskunft über den von jedem Nutzer gespeicherten Klickstream zu geben. eBay zeichnet das Surfverhalten („Navigationsverhalten“) jedes Nutzers auf unbegrenzte Zeit in identifizierbarer Form auf und weiß daher, für welche Produkte sich jeder Nutzer im Laufe seines Lebens interessiert hat.

Auskunft über die gespeicherten Daten verweigert das Unternehmen. Nach Einschaltung der zuständigen Aufsichtsbehörde leugnete das Unternehmen zunächst, dass überhaupt ein Auskunftsanspruch besteht. Die Aufsichtsbehörde wies diese Argumente aber zurück und leitete ein Bußgeldverfahren gegen das Unternehmen wegen verweigerter Auskunfterteilung (§ 38 BDSG) ein. eBay droht eine Geldbuße von bis zu fünfzigtausend Euro (§ 43 BDSG).

Nun hat sich eBay auf die Argumentation verlegt, die deutschen Aufsichtsbehörden seien überhaupt nicht zuständig. Aus der E-Mail der Aufsichtsbehörde vom 14.01.2010:

Sehr geehrter Herr […],

entschuldigen Sie bitte die verzögerte Antwort auf Ihre E-Mail. Ungeachtet der Frage, ob Betroffene über Bußgeldverfahren nach dem BDSG informiert werden, teile ich Ihnen nachfolgend den aktuellen Sachstand mit:

Zwischenzeitlich wurde die Zuständigkeit der hiesigen Aufsichtsbehörde für den Datenschutz im nicht-öffentlichen Bereich in Frage gestellt.

Hintergrund:

Durch die Verlagerung der eBay-Europazentrale von der Schweiz nach Luxembourg am 1. Januar 2007 traten neue Allgemeine Geschäftsbedingungen und eine neue Einwilligung in die Verarbeitung der personenbezogenen Daten in Kraft.

Je nach Wohnsitz oder Sitz des eBay-Mitglieds ist seither folgende Gesellschaft der Vertragspartner.

eBay-Mitglieder mit Wohnsitz oder Sitz:

  • in der EU eBay Europe S.à r.l., 22-24 Boulevard Royal, 2449 Luxembourg
  • außerhalb der EU mit Ausnahme der USA eBay International AG, Helvetiastraße 15-17, 3005 Bern, Schweiz
  • in den USA eBay Inc., 2145 Hamilton Ave., San Jose, CA 95125, USA

Nach weiteren internen Umstrukturierungen und Veränderungen der Datenverarbeitung im Jahr 2009 war nun zu prüfen, welchen Stellenwert der eBay-Standort in Kleinmachnow im Lichte des § 1 Abs. 5 BDSG / Art 4 der EU Datenschutz-Richtlinie (in Verbindung mit dem Erwägungsgrund 19) hat. Grundsätzlich gilt für alle Aktivitäten einer Niederlassung einer in einem Mitgliedstaat ansässigen verantwortlichen Stelle innerhalb des EU/EWR-Raumes das Datenschutzrecht des Ortes der Niederlassung. Die Existenz einer Niederlassung vor Ort ist aber ohne Bedeutung, wenn die konkrete Aktivität nicht von dieser, sondern vom Ausländischen Hauptsitz ausgeht oder wenn die Niederlassung nur als Auftragsverarbeiter fungiert.

Nach Meinung von eBay ist zuständige Behörde für die Kontrolle und materiell rechtliche Prüfung datenschutzrechtlicher Belange der deutschen eBay-Mitglieder die

Commission nationale pour la protection des données
41, avenue de la gare
L-1611 Luxembourg
4. Stock
Telefon: 352 26 10 60 – 1
Fax: 352 26 10 60 – 29.

Nach Auskunft von eBay sei die Luxemburgische Gesellschaft verantwortliche Stelle, und grundsätzlich der Vertrags- und Ansprechpartner für die deutschen Nutzer. Die Datenverarbeitung erfolge durch oder im Auftrag der Luxemburgischen Gesellschaft. Der eBay Standort in Kleinmachnow verarbeite Kundendaten (nur) im Auftrag. Nur hinsichtlich der Arbeitnehmerdaten liege eine eigenverantwortliche Verarbeitung vor.

Gegenwärtig ist die Prüfung zu Fragen der Zuständigkeit noch nicht abgeschlossen.

Mit freundlichen Grüßen
Im Auftrag

[…]

Ministerium des Innern
Aufsichtsbehörde für den Datenschutz im nicht-öffentlichen Bereich
Referat II/3
Henning-von-Tresckow Str. 9-13
14467 Potsdam

Da sich eBay nicht an das deutsche Recht gebunden hält, das die praktizierte Surfprotokollierung verbietet (§ 15 TMG), und weil außerdem sämtliche Personendaten an die USA ausgeliefert werden, wo sie dem Zugriff verschiedener Geheimdienste unterliegen, kann von der Nutzung von eBay nur abgeraten werden.

Kommentare (8)

Datenschutzbeauftragte: Protokollierung von IP-Adressen ist unzulässig [ergänzt am 19.02.2010]

Die Datenschutz-Aufsichtsbehörden für den nicht-öffentlichen Bereich (Liste) reden Tacheles mit den Anbietern von Internetportalen und -diensten: Am 26./27.11.2009 stimmten sie einem Antrag (pdf) Mecklenburg-Vorpommerns zu, wonach die IP-Adressen von Internetnutzern auch für Anbieter von Internetdiensten ein personenbeziehbares Datum darstellen, das dem Datenschutzrecht unterliegt. Ohne bewusste, eindeutige Einwilligung des Nutzers dürften IP-Adressen daher nur gekürzt zur statistischen Analyse des Nutzungsverhaltens verwendet werden.

Inhalt des Beschlusses

Wörtlich heißt es in dem Beschluss des Düsseldorfer Kreises, in dem die Vertreter der obersten Aufsichtsbehörden der Länder sowie der Bundesbeauftragte für den Datenschutz zusammengeschlossen sind:

Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen. Jede darüber hinausgehende Nutzung bedarf der Einwilligung der Betroffenen.

Die Analyse des Nutzungsverhaltens unter Verwendung vollständiger IP-Adressen (einschließlich einer Geolokalisierung) ist aufgrund der Personenbeziehbarkeit dieser Daten daher nur mit bewusster, eindeutiger Einwilligung zulässig. Liegt eine solche Einwilligung nicht vor, ist die IP-Adresse vor jeglicher Auswertung so zu kürzen, dass eine Personenbeziehbarkeit ausgeschlossen ist.

Der letzte Absatz ist insofern missverständlich als nicht nur die ungekürzte Auswertung der IP-Adressen von Internetnutzern sondern schon deren ungekürzte Protokollierung illegal (§§ 13, 15 TMG) ist und mit einem Bußgeld von bis zu 50.000 Euro (§ 16 TMG) bestraft wird. Der erste zitierte Absatz macht dies deutlich („Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen.“)

Mit der Forderung nach einer Kürzung der IP-Adresse stellen die Aufsichtsbehörden klar, dass eine bloße Verschlüsselung der ungekürzten IP-Adressen (z.B. MD5-Verfahren, mod_scrambleIP) nicht genügt, weil diese – zumindest für eine gewisse Zeit – durch Rückrechnung umkehrbar ist.

Soweit das Telemediengesetz die Erstellung von Nutzungsprofilen unter Verwendung von Pseudonymen erlaubt (§ 15 Abs. 3 TMG), stellen die Aufsichtsbehörden klar:

Die IP-Adresse ist kein Pseudonym im Sinne des Telemediengesetzes.

Bewertung

Dass die Aufsichtsbehörden die bei Webseitenanbietern anfallenden IP-Adressen als personenbezogene Daten ansehen, entspricht der inzwischen nahezu einhelligen Meinung in Fachkreisen (ebenso Amtsgericht Berlin, Landgericht Berlin, Verwaltungsgericht Wiesbaden, Amtsgericht Wuppertal, schweizerisches Bundesverwaltungsgericht, oberstes schwedisches Verwaltungsgericht, französischer Verfassungsgerichtshof [Abs. 27], Bundesjustizministerium, Bundesdatenschutzbeauftragter, Datenschutzbeauftragte des Bundes und der Länder, die Datenschutzbeauftragten aller EU-Staaten [1, 2, 3]; anders nur ein vereinzeltes Urteil des AG München).

Dass die Anbieter von Internetportalen sicherzustellen haben, dass „die anfallenden personenbezogenen Daten über den Ablauf des Zugriffs oder der sonstigen Nutzung unmittelbar nach deren Beendigung gelöscht“ werden (§ 13 TMG) und dass damit die Aufbewahrung von Nutzer-IP-Adressen in „Logfiles“ unzulässig ist, steht ebenfalls schon lange im Gesetz und ist weitgehender Konsens (ebenso Amtsgericht Berlin, Verwaltungsgericht Wiesbaden, Bundesjustizministerium, Bundesdatenschutzbeauftragter). Selbst der Bundesgerichtshof hat inzwischen ein „Recht des Internetnutzers auf Anonymität“ anerkannt (Az. VI ZR 196/08).

Vor dem Hintergrund, dass personenbeziehbare Logfiles gleichwohl weit verbreitet sind und ihre Erstellung sogar die Voreinstellung US-amerikanischer Software zur Bereitstellung von Internetportalen darstellt, steht zu hoffen, dass die Aufsichtsbehörden nach ihrer Einigung jetzt endlich Bußgelder gegen Anbieter von Internetportalen und -diensten verhängen werden, die sich nicht an das Protokollierungsverbot halten. Der Berliner Datenschutzbeauftragte hat bereits eine besondere Bußgeldstelle in seiner Behörde eingerichtet, um in Zukunft verstärkt Sanktionen verhängen zu können. Bildblogger Stefan Niggemeier ist die Protokollierung von IP-Adressen bereits verboten worden.

Jeder Internetnutzer kann zu einem vorratsspeicherfreien Internet beitragen, indem er deutschen Anbietern, die die IP-Adressen von Surfern aufzeichnen, der für den Sitz des Anbieters zuständigen Aufsichtsbehörde meldet. Außerdem sollte man sich mithilfe eines Anonymisierungsdienstes und geeigneter Software vor einer identifizierbaren Aufzeichnung seines Surfverhaltens schützen.

Jeder Anbieter eines Internetportals oder -dienstes kann sein Angebot rechtskonform und protokollierungsfrei gestalten, indem er den Anleitungen des Netzwerks „Wir speichern nicht!“ folgt. Wer einen Webhoster nutzt, der rechtswidrig IP-Adressen protokolliert (nachfragen!), sollte von ihm Abhilfe innerhalb einer Frist von z.B. zwei Wochen verlangen. Stellt der Webhoster die Protokollierung nicht ab, kann man fristlos kündigen und zu einem speicherfreien Webhoster wechseln. Wer einen Analysedienst nutzt oder externe Medien eines Anbieters einbindet, der wie Google Analytics, Youtube oder nahezu jeder amerikanische Anbieter rechtswidrig IP-Adressen protokolliert, muss die Einbindung entfernen oder anonymisieren. Eine Einbindung stellt juristisch eine „Auftragsdatenverarbeitung“ dar. Der deutsche Anbieter bleibt dafür verantwortlich, dass sein „Auftragnehmer“ das deutsche Datenschutzrecht einhält, wovon man bei ausländischen Diensten natürlich nicht ausgehen kann.

Dass auch datenschutzkonforme Statistiken erstellt werden können, zeigt etwa der Anbieter eTracker, der das Siegel „Wir speichern nicht!“ des Arbeitskreis Vorratsdatenspeicherung tragen darf. eTracker kann ohne ungekürzte Protokollierung von IP-Adressen eingesetzt werden. Es ist zu hoffen, dass weitere Statistikanbieter diesem Vorbild folgen werden und sich dadurch weitere Alternativen zu dem illegalen Dienst „Google Analytics“ finden werden.

Weitere Informationen für Diensteanbieter:

Ergänzung vom 19.02.2010:

Weitere datenschutzkonforme Analysedienste finden sich hier.

Kommentare (24)

Berliner Datenschutzbeauftragter verbietet IP-Logging auf Webservern des Bildbloggers Niggemeier

Der Berliner Datenschutzbeauftragter hat dem Bildblogger Stefan Niggemeier bezüglich dessen Seite www.stefan-niggemeier.de untersagt, IP-Adressen von Nutzern ohne deren Einwilligung zu speichern und somit heimlich Nutzungsprofile zu erstellen. Außerdem hat der Datenschutzbeauftragte unter Bußgeldandrohung eine fehlende Unterrichtung über die Erhebung, Verwendung und Verarbeitung von Nutzerdaten auf Niggemeiers Webseite gerügt. Ferner sei es unzulässig, in Foren E-Mail-Adressen als Pflichtfeld abzufragen. Dies geht aus mehreren Schreiben der Behörde, zuletzt vom 26.10.2009 hervor (Az. 521.4501).

Niggemeiers Standpunkt

Niggemeier hatte sich gegen die Umsetzung der datenschutzrechtlichen Vorgaben auf seiner Seite zunächst gewehrt und einen Rechtsanwalt beauftragt. Dieser argumentierte ohne Erfolg, IP-Adressen seien keine personenbezogenen Daten. Eine Absage erteilte der Datenschutzbeauftragte auch der Auffassung, die Speicherung werde dadurch legalisiert, dass es sich dabei um eine Standardeinstellung der Blog-Software Wordpress handele. Schließlich biss Niggemeier auch mit seiner einen gewissen Unterhaltungswert nicht entbehrenden Argumentation auf Granit, wegen des sogenannten Medienprivilegs dürfe Niggemeier unter dem Deckmantel redaktioneller Arbeit um das Telemedienrecht herum nach Herzenslust die Daten seiner Leser ausrecherchieren. In seinem Blog äußerte Niggemeiers Rechtsanwalt zudem sein Bedauern darüber, dass es bei Beanstandungen des Datenschutzbeauftragten nicht möglich sei, Anspruchsteller durch Abmahnungen und Klagen praktisch mundtot zu machen – ein Vorgehen, das Niggemeier als Betroffener noch kritisiert hatte. Nicht von Erfolg gekrönt war offenbar auch sein „Rechtsgedanke“, die Datenschutzbehörden gäben doch regelmäßig an überlastet zu sein und sollten sich daher stattdessen um wichtigere Verfahren wie jenes der Deutschen Telekom oder des Discounters Lidl kümmern (die beide nicht in den Zuständigkeitsbereich des Berliner Datenschutzbeauftragten fallen; im selben Absatz wird aber kritisiert, die Landesdatenschutzbeauftragten maßten sich „durch eine extensive Auslegung der Datenschutzgesetze“ Zuständigkeiten an).

Gericht oder nicht Gericht

Niggemeier trug vor, das LG Hamburg mit seiner berüchtigt strengen Haftungsrechtsprechung habe eine einstweilige Verfügung gegen ihn erlassen, Forumsbeiträge zu überwachen (Az. 324 O 794/07 – von IP-Adressen ist darin allerdings keine Rede). Könne er auch den Nutzer anhand der IP-Adresse nicht ohne Weiteres identifizieren, so wolle er doch zumindest Nutzer mit einer bestimmten IP-Adressen sperren können. Dazu hielt es Niggemeier für angezeigt, alle seine Nutzer unter Generalverdacht zu stellen und deren Daten vorsorglich, heimlich und auf unbekannte Zeit zu speichern. Laut einem neueren Blogeintrag Niggemeiers ist die einstweilige Verfügung jedoch seit Monaten hinfällig, nachdem die Gegenseite ihren Antrag in höherer Instanz zurückgenommen hat. Von der Unverhältnismäßigkeit dieser Datensammlung abgesehen ist demnach schon nicht ersichtlich, zur Erfüllung welcher noch bestehenden gerichtlichen Überwachungsanordnungen Niggemeiers Datenprotokollierung erforderlich sein könnte.

IP-Adressen sind im Übrigen über Proxys oder Anonymisierungsdienste, meist auch schon durch Neueinwahl leicht austauschbar und somit selbst zum Sperren von Nutzern kaum geeignet. Vor einiger Zeit habe ich einen Test zahlreicher Anonymisierungsdienste veröffentlicht, von denen jeder einzelne diese Fähigkeit hat. Vielmehr dürfte eine solche Sperre in vielen Fällen den nächsten Zuteilungsnehmer der IP-Adresse und somit völlig Unbeteiligte treffen.

Erst auf die Bußgeldandrohung des Datenschutzbeauftragten reagierte Niggemeier und versah sein Forum mit einer Einwilligungsklausel und seine Webseite mit einer Datenschutzerklärung, was die Datenspeicherung wenigstens transparent macht.

Nicht so wichtig

Offenbar ist die Einhaltung des Datenschutzes und somit auch ein gewisses ethisches Verhalten von Medien Niggemeier nicht so wichtig – wenn es um ihn selbst geht. Eine Reihe von Fragen vom 30.10.2009 in dieser Sache beantwortete Niggemeier nicht. Zum Beispiel die Frage, warum auf seiner Seite Bildblog die Datenschutzerklärung Stand heute nach wie vor ordnungswidrig und wider besseres Wissen fehlt und die Nutzer insoweit nicht wissen, welche Daten von ihnen gesammelt werden. Von einer Speicherung ist insoweit auszugehen, als Niggemeiers Anwalt ja die Auffassung vertritt, dass jede Speicherung dadurch legalisiert werde, dass sie in der Wordpress-Software so eingestellt sei. Möglicherweise also ein neuer Fall für den Berliner Landesdatenschutzbeauftragten – wenn er sich mal wieder nicht grenzüberschreitend um das baden-württembergische Unternehmen Lidl kümmert.

Jonas

Siehe auch:

Kommentare (13)

Entscheidet der Europäische Gerichtshof über die Vorratsdatenspeicherung? [ergänzt am 04.02.2010]

In zwei vielbeachteten Entscheidungen aus dem Februar diesen Jahres (Az.6 K 1045/08.WI und 6 K 1352/08.WI) über die Klagen dreier Landwirte aus Hessen hat das Verwaltungsgericht Wiesbaden die Auffassung vertreten, die Veröffentlichung von Subventionsempfängern im Internet sowie die Vorratsdatenspeicherung seien grundrechtswidrig; auch sei die Aufzeichnung des Surfverhaltens in „logfiles“ unzulässig. Das Verwaltungsgericht unter Vorsitz von Hans-Hermann Schild hat die Fragen dem Gerichtshof der Europäischen Gemeinschaften (EuGH) zur Entscheidung vorgelegt (Az. C-92/09 und C-93/09).

In ihrer hier erstmals veröffentlichten Stellungnahme (pdf) gegenüber dem EuGH vom 23.06.2009 hält die Europäische Kommission die Fragen für teils unzulässig, teils unbegründet. Die Veröffentlichung von Name, Wohnort und Zuwendungshöhe von Millionen Subventionsempfängern – hauptsächlich Bauern – im Internet sei aus Transparenzgründen erforderlich und auch verhältnismäßig. Die Prüfung der Vereinbarkeit der Richtlinie 2006/24/EG zur Vorratsdatenspeicherung mit den Grundrechte der betroffenen Bevölkerung habe „nichts ergeben […], was die Gültigkeit der Richtlinie 2006/24/EG […] in Frage stellen würde“. Die Frage nach der Zulässigkeit der Aufzeichnung des Surfverhaltens durch Anbieter von Internetportalen sei „unzulässig“ und „nicht zu beantworten“. Die Regierungen Griechenlands, Schwedens und der Niederlande kommen in eigenen Stellungnahmen (pdf) zu ähnlich negativen Ergebnissen.

Demgegenüber unterstützen die Kläger in einer 57-seitigen Stellungnahme (pdf) vom 11.10.2009 die Auffassung des vorlegenden Verwaltungsgerichts. Die Veröffentlichung unzähliger Namen von Landwirten im Internet trage zur Transparenz von Agrarbeihilfen nichts bei und schaffe jedenfalls „keinen gerechten Ausgleich“ mit den Grundrechten der Betroffenen. Die globale und pauschale Aufzeichnung des Telekommunikationsverhaltens der gesamten Bevölkerung (Vorratsdatenspeicherung) verstoße gegen die in der Europäischen Menschenrechtskonvention garantierten Grundrechte auf Datenschutz und freie Meinungsäußerung. Die „flächendeckende und unterschiedslose“ Vorratsdatenspeicherung dringe noch weit tiefer in unser Privatleben ein als die vom Menschenrechtsgerichtshof bereits verworfene britische DNA-Datenbank (Az. 30562/04 und 30566/04). Sie sei „verzichtbar für die Strafverfolgung“ und begründe einen unzumutbaren Eingriff in die Rechte der Betroffenen. Ein Verbot sei auch deshalb erforderlich, weil „die globale Speicherung von Daten allein für eine mögliche künftige staatliche Verwendung“ sonst „allmählich alle Lebensbereiche erfassen“ würde. In der Aufzeichnung der IP-Adressen der Benutzer einer Homepage ohne deren ausdrückliche Einwilligung sehe das Verwaltungsgericht zu Recht einen Verstoß gegen die EG-Datenschutzrichtlinie. Anbieter von Internetportalen hätten kein berechtigtes Interesse an einer anlasslosen, globalen und pauschalen Surfprotokollierung. Jedenfalls müsse das Interesse der Betreiber an einem Vorgehen gegen einzelne missbräuchlich handelnde Personen „hinter das Recht auf informationelle Selbstbestimmung der unzähligen rechtmäßig handelnden Nutzer zurücktreten“.

Auf Anfrage des Gerichtshofes haben die Kläger eine mündliche Verhandlung beantragt. Der Europäische Gerichtshof hat über diesen Antrag noch nicht entschieden.

Gestern meldete die taz, das Bundesverfassungsgericht werde voraussichtlich im Dezember 2009 über die Sammelbeschwerde von über 34.000 Menschen gegen die Vorratsdatenspeicherung mündlich verhandeln. Das Bundesverfassungsgericht könne in der Folge den Europäischen Gerichtshof mit der Frage befassen, ob die EG-Richtlinie zur Vorratsdatenspeicherung mit unseren Grundrechten vereinbar ist. Mit Urteil vom 10.02.2009 (Az. C‑301/06) hatte der EuGH eine Klage Irlands gegen die Richtlinie zur Vorratsdatenspeicherung abgewiesen, jedoch angemerkt, „dass sich die von Irland erhobene Klage allein auf die Wahl der Rechtsgrundlage bezieht und nicht auf eine eventuelle Verletzung der Grundrechte als Folge von mit der Richtlinie 2006/24 verbundenen Eingriffen in das Recht auf Privatsphäre.“

Weitere Informationen:

Ergänzung vom 14.11.2009:

Der Europäische Gerichtshof hat den Schriftsatz der Beschwerdeführer vom 11.10.2009 mit der Begründung zurückgeschickt, das schriftliche Verfahren sei bereits abgeschlossen. Beschäftigen wird er sich aber mit dem Antrag auf Durchführung einer mündlichen Verhandlung. In deren Rahmen können die wichtigsten Argumente noch mündlich vorgebracht werden.

Ergänzung vom 18.11.2009:

Mit Beschluss vom 27.10.2009 ist das Verfahren an die mit 13 Richtern besetzte Große Kammer des EuGH verwiesen worden. Die Verfahrensordnung des Gerichtshofs sieht eine Entscheidung durch die Große Kammer vor, wenn „die Schwierigkeit oder die Bedeutung der Rechtssache oder besondere Umstände eine Verweisung an die Große Kammer erfordern.“

Zur zuständigen Generalanwältin ist Eleanor Sharpston bestimmt worden, die sich schon in anderem Zusammenhang für eine bürgerfreundliche Auslegung des Grundrechts auf Privatsphäre (Art. 8 EMRK) ausgesprochen hat.

Der Europäische Gerichtshof hat Termin zur mündlichen Verhandlung anberaumt für Dienstag, den 02.02.2010, 9.30 Uhr (rue du Fort Niedergrünewald, Luxemburg). Die mündliche Verhandlung ist öffentlich.

Ergänzung vom 04.02.2010:

Übersicht der veröffentlichten Verfahrensdokumente:

Kommentare (3)

Internetsperren umgehen

In meinem vorigen Beitrag wurde dargelegt, weshalb es gute Gründe gibt, die vom Bundestag beschlossenen Internetsperren zu umgehen. Hier wird erklärt, wie das technisch möglich ist.

Dabei beschränke ich mich nicht nur auf die hinreichend bekannte Änderungsmöglichkeit der genutzten DNS-Server. Denn seit Einführung der seit 2009 überwiegend praktizierten Vorratsdatenspeicherung empfiehlt sich für nicht netzexhibitionistisch veranlagte Surfer ohnehin die Benutzung von Internet-Anonymisierungsdiensten. Diese habe ich auf ihre Sperrfestigkeit und die Speicherpraxis von DNS-Abfragen (also Domaineingaben ihrer Nutzer) befragt. Dabei habe ich mich, wie nach meinem Test von Internet-Anonymisierungsdiensten vom Januar 2009 vielfach angeregt, auf vorratsspeicherfreie Anonymisierungsdienste beschränkt.

Stufe 1: Änderung des DNS-Servers

Nach § 2 Abs. 2 des beschlossenen Zugangserschwerungsgesetzes müssen Provider zumindest DNS-Anfragen, können aber auch URLs und IP-Adressen blockieren. „DNS“ bedeutet in diesem Zusammenhang „Domain Name System“. DNS-Server sind dafür verantwortlich, eingegebene Domains (z.B. www.wolfgang-schaeuble.de) ähnlich einem Telefonbuch in die tatsächliche IP-Adresse des Zielservers (z.B. 213.218.169.222) zu übersetzen, unter der dieser nur erreichbar ist. Die IP-Adresse kann man übrigens auch direkt in das Adressfeld des Browsers eingeben und wird, soweit unter der IP-Adresse nur eine einzelne Website erreichbar ist, zur selben Seite wie bei Eingabe der Internetadresse gelangen. Theoretisch könnte man also ohne DNS-Server auskommen, müsste die IP-Adresse dazu aber erst einmal kennen beziehungsweise mühsam bei den internationalen Registrys in Erfahrung bringen. In der Praxis ist man daher auf DNS-Server angewiesen, und zumindest solche DNS-Server der größeren Internetprovider werden künftig kraft Gesetzes die sogenannte Namensauflösung einer Domain in die zugehörige IP-Adresse verweigern. Allerdings ist der für die jeweilige Internetverbindung verwendete DNS-Server leicht austauschbar. Das heißt, der eigene Computer zieht einfach nicht mehr den korrupten DNS-Server des eigenen Providers zu Rate, sondern den eines Dritten, wahlweise außerhalb des deutschen Territoriums. Geht man davon aus, dass die Provider aus Kostengründen bis auf Weiteres nur DNS-Server und damit quasi nur die „Umleitung“, nicht aber die IP-Adressen selbst sperren werden, lassen sich die Sperren leicht umgehen.

Öffentliche DNS-Server zum Eintragen sind etwa hier, hier oder hier zu finden. Bei unbekannten IP-Adressen empfiehlt es sich, bei der regionalen Registry durch Eingabe der IP-Adresse des DNS-Servers in das WhoIs-Feld herauszufinden, wer der Betreiber des DNS-Servers ist. Wer etwa T-Online-Kunde ist und den andernorts empfohlenen DNS-Server 195.50.140.71 verwenden möchte, wird so herausfinden, dass es sich dabei um einen Server von Arcor handelt, mit dem er lediglich vom Regen in die Traufe gelangt. Zu bedenken ist bei der Auswahl fremder DNS-Servers ferner, dass der amtlichen Regierungsbegründung zufolge auch Staaten wie

  • Finnland und
  • Italien kraft Gesetzes;
  • Norwegen,
  • Dänemark und
  • Schweden kraft Sperrvertrags;
  • USA kraft Selbstverpflichtung;
  • Großbritannien,
  • Niederlande,
  • Schweiz,
  • Neuseeland,
  • Südkorea,
  • Kanada und
  • Taiwan auf unbekannter Rechtsgrundlage

staatlich gesperrte DNS-Server verwenden (obwohl zumindest keiner der von mir befragten Anonymisierungsdienste in diesen Ländern von entsprechenden Verpflichtungen weiß), so dass auch deren Benutzung nicht risikolos ist. Es ist mir auch nicht bekannt, inwieweit in diesen Ländern Anfragen oder Anfrageversuche der „falschen“ Seiten, was durchaus nicht kriminell motiviert sein muss, zur Strafverfolgung genutzt werden und fix eine polizeiliche Hausdurchsuchung nach sich ziehen können. Liegt der gewählte DNS-Server andererseits zu weit ab vom Schuss, können die Anfragen entsprechend länger dauern.

Benutzer von Anonymisierungs- oder sonstigen VPN-Diensten mit PPTP-Einwahl unter Windows sollten bedenken, dass sich Windows aus irgendeinem Grund trotz aktiver VPN-Verbindung teils nach wie vor der DNS-Server der Originalverbindung (z.B. T-Online) bedient, man also unnötig von Sperren betroffen sein könnte. Das sollte man überprüfen, auch nach der Änderung der DNS-Server, statt sich in falscher Sicherheit zu wiegen. Manchmal erkennt man den tatsächlich verwendeten DNS-Server daran, dass man bei URL-Vertippern zu einer anbieterspezifischen Fehlermeldung oder Suchmaschine umgeleitet wird. Ansonsten kann man unter Windows in der Dos-Box „nslookup“ eingeben. Die Zuteilungsnehmer der dann angezeigten IP-Adressen können wie oben beschrieben über die Registrys ermittelt werden.

Bild1/2: durchklicken.
Screenshot 1: Anleitung zur Änderung des DNS-Servers unter Windows

Bild2/2: durchklicken und anstelle der Zahlen 1.2.3.4 und 5.6.7.8 den gewünschten DNS- und gegebenenfalls Ersatz-DNS-Server eintragen.
Screenshot 2: Anleitung zur Änderung des DNS-Servers unter Windows

Der österreichische Anonymisierungsdiensteanbieter Surfonym empfiehlt gar, einen eigenen DNS-Server zu betreiben und hat dazu eine Anleitung veröffentlicht. Der Vorteil dessen liegt darin, dass man seine Daten dann keinem zentralen DNS-Server eines Dritten mehr anvertrauen muss, der theoretisch URL-Anfragen sperren oder mitschneiden könnte. Andererseits übernimmt ein fremder DNS-Server eine gewisse Pseudonymisierungsfunktion: Der Rootserver, an den jeder DNS-Server seine Anfragen rückreicht, sieht im einen Fall nur die IP-Adresse des anfragenden Dritt-DNS-Servers, im anderen ist diese aber, wenn man den DNS-Server selbst betreibt, die eigene. Zwar soll die Betreiberin der Rootserver, ICANN, derzeit wegen der großen Datenmengen (wohl praktisch alle URL-Eingaben weltweit) angeblich nicht die Absicht haben, Anfragen zu speichern. 1961 hatte aber auch niemand hat die Absicht, eine Mauer zu errichten.

Anfragen bei den Pressestellen der Internetanbieter

  • United Internet,
  • Arcor,
  • Hansenet,
  • Versatel,
  • QSC,
  • Manitu,
  • Kabel Deutschland und
  • Kabel BW

ergaben übereinstimmend, dass bislang weder DNS- noch IP-Sperrungen vorgenommen würden (was zumindest bei großen Providern mit Sitz in NRW auf Grund der Büssow’schen Sperrverfügungen erstaunlich erscheint). Nach Inkrafttreten der Sperrverpflichtung wolle man bis auf Weiteres nur auf DNS-Ebene sperren. Bislang würden DNS-Anfragen auch nicht vorratsgespeichert. Skepsis scheint bei Unitymedia angebracht: Dort sperre man zwar nichts. Unitymedia beschränkte sich hinsichtlich der DNS-Speicherung aber auf die etwas kärgliche Aussage, es würden „keine personenbezogenen Daten gespeichert“. Das ist nicht selten ein Euphemismus dafür, dass doch IP-Adressen gespeichert werden (deren Personenbezug geleugnet wird, weil das Speichern wegen des Personenbezugs in der Regel rechtswidrig ist). T-Online will zwar nicht speichern, bekennt sich aber als Sperrer rechtswidriger Inhalte zumindest auf den eigenen Servern. Der Geschäftsführer des Internetproviders Manitu äußerte auf Anfrage, heute wie künftig nichts zu speichern und nichts zu sperren; inwieweit das Vorhaben rechtlich Bestand haben wird, wird sich zeigen. Das Sperrgesetz sieht im Übrigen vor, Anbieter mit weniger als 10.000 Nutzern von der Verpflichtung auszunehmen (§ 2 Abs. 1), was man bei der Auswahl des DNS-Servers ebenfalls berücksichtigen sollte. Letztlich wird es aber wohl ohnehin keine Möglichkeit geben, alle DNS-Betreiber zu ermitteln, um die Sperrpflicht vollständig durchzusetzen.

Stufe 2: Anonymisierungsdienst

Wie lange sich die Internetprovider auf DNS-Filter beschränken und der nach eigener Einschätzung netzignorante Gesetzgeber nicht neuerlich auf dumme Gedanken kommt, ist ungewiss. Speziell Unternehmen des staatsnahen Telekom-Konzerns (der zu rund 32% der Bundesrepublik gehört) haben in der Vergangenheit Jahre lang eine Vorratsdatenspeicherung (wenn auch, hoffentlich, nicht von DNS-Anfragen) betrieben, ohne dazu verpflichtet oder auch nur berechtigt gewesen zu sein, oder die Aktivierung von Prepaidkarten ohne Not von der Vorlage eines Ausweises abhängig gemacht (zur Umgehung siehe Alternativanbieter sowie unseren Kartentausch). Es ist also nicht gesagt, dass alle Provider bei den Mindestanforderungen bleiben werden. Letztlich empfiehlt sich schon heute und allein zur Umgehung der Vorratsdatenspeicherung die Benutzung eines Internet-Anonymisierungsdiensts. Damit surft man im Internet nicht nur unter nicht zuordenbarer IP-Adresse, sondern es wird auch der DNS-Server des Anonymisierungsanbieters benutzt und IP- und URL-Sperren des Internet-Zugangsproviders laufen leer. Auch bekommt der Internetprovider praktisch den gesamten Datenverkehr mit dem Anonymisierungsdienst nur noch in verschlüsselter Form zu Gesicht. Das schadet auch unabhängig von Sperr- und Vorratsdatenspeichergesetzen nichts, da der Bundesnachrichtendienst bekanntlich gemäß §§ 1, 5 G10-Gesetz ohne gerichtliche Anordnung den gesamten dort auflaufenden Telekommunikationsverkehr direkt beim Provider abhören, aufzeichnen, nach Stichworten durchsuchen und weiterübermitteln kann, wobei schon der Verdacht auf Drogendelikte als Anlass genügt. In den USA haben Geheimdienste noch weitergehende Befugnisse.

Anlässlich des Sperrgesetzes habe ich daher alle im Januar getesteten, vorratsspeicherfreien Anonymisierungsdienste befragt, welche DNS-Server dort für die Nutzer zum Einsatz kommen und welche Praxis hinsichtlich der Speicherung von DNS-Anfragen und der Filterung jeweils gilt. Die Speicherung von DNS-Anfragen ist auch insofern relevant, als sich durch sie Surfprofile erstellen ließen, die in ihrer Aussagekraft die bisher auf Vorrat gespeicherten Verbindungsdaten deutlich übersteigen – jede Menge Stoff also für den geneigten Symbol- und Überwachungsgesetzgeber im Lauf der kommenden Legislaturperioden. Offen ist noch, ob dies unter der Überschrift „Terrorismus-“ oder „Kinderpornografiebekämpfung“ stattfinden wird. Bei der aktuellen Einschränkung durch das Sperrgesetz haben sich Bundesregierung und Gesetzgeber für Letzteres entschieden, so dass turnusmäßig als nächstes wieder die Terrorbekämpfung an der Reihe sein könnte.

a. ANON/Jondonym

Bei den Mixkaskaden von ANON/Jondonym ist der letzte Mix für die Wahl des DNS-Servers verantwortlich. In der Regel, aber nicht immer, komme der DNS-Server des jeweiligen Hosters zur Anwendung, so Jondos-Geschäftsführer Rolf Wendolsky, so dass Sperrungen nicht ausgeschlossen erscheinen. Es empfähle sich zumindest, darauf zu achten, dass der letzte Mix der Kaskade keiner eines sperrpflichtigen Staats ist. Leider gibt es zur Zeit keine Kaskade, deren letzter Mixserver nicht in einem der obigen gefährdeten Länder steht. Speicher- und – bis auf die Jondos-eigene empfohlene Sperrliste – sperrfreie DNS-Server erwarten die Nutzer bis auf Weiteres bei den Endmixen

  • „Jupiter“ (=Kaskade „Zeitwort-Speedpartner-Galaxyconsult“),
  • „Saturn“ (=Kaskade „Opossum-Unsu-Saturn“),
  • „GPF“ (=Kaskade „Jondos-GPF“),
  • „Exarkun“ (=Kaskade „Euklid-Rose-Exarkun“),
  • „Secure Internet 1″ (=Kaskade „Pimenidis-Behrens-Secure Internet“) und
  • „Nicole“ (=Kaskade „Circinus-Benda-Nicole“), wobei die beiden Letztgenannten aus der Schweiz auch die von Jondos empfohlenen Seiten nicht sperren.

Einige andere Mixbetreiber haben nicht geantwortet. Das Ausweichen auf fremde DNS-Server ist für Nutzer des Diensts leider nicht ohne Weiteres vorgesehen oder höchstens per aufwändiger SOCKS-Applikation, was ein Nachteil ist. Demnach bietet Jondonym zwar gute Anti-Sperr-Maßnahmen an, man muss aber die richtigen Kaskaden kennen und verwenden und kann sich nicht generell darauf verlassen. Andererseits ist eine dezentrale Netzarchitektur einem zentralistischen System letzten Endes überlegen.

Informationsfreiheits-Note: +.

b. Perfect Privacy

Der internationale Anonymisierungsdienst Perfect Privacy stellt seinen Nutzern automatisch von ihm selbst betriebene, sperr- und speicherfreie DNS-Server bereit. Nur ersatzweise kämen DNS-Server lokaler Netzbetreiber zum Einsatz, die nicht zwingend Perfect-Privacys Datenschutzstandards erfüllten. Allerdings sei ein Ausfall der eigenen DNS-Server selten und es sei wegen der großen Datenmenge bei DNS-Servern derzeit unüblich Zugriffe zu speichern. Damit ist Sperrfestigkeit bei Perfect Privacy insoweit gegeben, als die eigenen DNS-Server nicht ausfallen. Perfect Privacy weist darauf hin, dass Nutzer jederzeit andere DNS-Server eintragen können, und dass ein großer Teil der internationalen Netzbetreiber offene DNS-Server betreibt. OpenVPN-Nutzer sollten dazu in die .ovpn-Datei die Zeile „dhcp-option DNS x.x.x.x“ einfügen sollten, wobei „x.x.x.x“ für die IP-Adresse des DNS-Servers steht. Die Zeile kann auch mehrfach hintereinander eingefügt werden, wobei jene Server ersatzweise zum Einsatz kommen.

Informationsfreiheits-Note: +.

c. Linkideo

Der Low-cost-Anonymisierer Linkideo aus Jersey betreibt keine eigenen DNS-Server, sondern verwendet die DNS-Server seiner Hoster. Über Logging- und Sperrpraxis sei ihm nichts bekannt, bisher seien ihm keine Einschränkungen bekannt geworden. In meinem Test stellte ich Server in den Niederlanden, Großbritannien und den USA fest. Alle diese Länder sind sperrgefährdet. Linkideo-Nutzer, die auf eine Einwahl per PPTP angewiesen sind, können und sollten für die Verbindung abweichende DNS-Server einstellen.

Informationsfreiheits-Note: O.

d. Xerobank

Beim panamaischen Anonymisierungsspezialist Xerobank kommen nur eigene, selbst betriebene DNS-Server des jeweils letzten Mixservers zur Anwendung. Diese seien nach außen hin verschlüsselt und speicherfrei. Irgendeine Form von Sperrung finde nicht statt und werde strikt abgelehnt. Damit bleiben Xerobank-Nutzer von Sperrungen verschont. Ein Wechsel der DNS-Server sei für OpenVPN-Nutzer unter den gleichen Voraussetzungen wie bei Perfect Privacy möglich. Xerobank hält die eigenen DNS-Server aber für sicherer. Alles Genannte gilt in gleicher Weise für das Light-Produkt „ShadowVPN“.

Informationsfreiheits-Note: ++.

e. Trackbuster

Eigene DNS-Server betreibt auch der Anonymisierungsdienst Trackbuster, der seit einigen Wochen die Vorratsdatenspeicherung ausgesetzt hat und derzeit mit Hilfe einer Mannheimer Anwaltskanzlei daran arbeitet, dies rechtlich durchzusetzen. Wie auch bei den anderen Anbietern sind die DNS-Server nicht von Nichtkunden nutzbar. Eine Speicherung oder irgendeine Form von Sperrung finde nicht statt. Sperrfestigkeit erscheint zur Zeit gegeben, da der Anbieter zwar in Deutschland sitzt und operiert, derzeit aber nur eine dreistellige Zahl von Kunden hat. Die Verwendung eigener DNS-Server ist wie oben geschildert möglich.

Informationsfreiheits-Note: +.

f. Surfonym

Surfonym betreibt eigene DNS-Server in Österreich, die soft- und hardwaremäßig in der Kontrolle des Anbieters sind und nichts sperren oder speichern und ebenfalls nur für Kunden zugänglich sind. Für staatliche Sperrungen bleibt bei Surfonym sonach nach aktueller Kenntnis kein Raum. Die Verwendung eigener DNS-Server ist Kunden möglich.

Informationsfreiheits-Note: ++.

Keine Antwort erreichte mich vom Schweizer Anonymisierungsdienst Ivacy.

Jonas

Kommentare (5)

Umfrage: Internetnutzer nutzen Selbstdatenschutz

Eine aktuelle Umfrage unter über 100.000 Internetnutzern hat ergeben:

  • 79% der Nutzer halten einen Online-Shop nur dann für „sicher“, wenn der Datenschutz klar und deutlich gewährleistet ist.
  • Über die Hälfte der Internet-Nutzer fürchten den Missbrauch ihrer persönlichen Daten beim Online-Einkauf.
  • Nicht einmal 10% der Nutzer glauben, dass Internetunternehmen die Datenschutzbestimmungen einhalten.
  • Zwei von drei Nutzern glauben, dass ihre Daten zu Werbezwecken missbraucht werden.
  • Jeder vierte Internet-Nutzer ist zum Schutz seiner Daten immer oder vorwiegend unter Fantasienamen im Netz unterwegs.
  • Jeder fünfte Internetnutzer macht Fantasieangaben bei Online-Registrierungen.
  • Fantasieangaben werden aus den folgenden Gründen gemacht:
    • 66% wollen auf diese Weise die Zusendung unerwünschter Werbung verhindern.
    • 62% wollen auf diese Weise einen Verkauf ihrer Daten verhindern.
    • 58% wollen auf diese Weise ein Internetangebot anonym nutzen.
    • 53% wollen sich dagegen wehren, dass unangemessen viele Daten abgefragt werden.
    • 41% wollen im Internet überall anonym bleiben.

Anmerkungen:

  • Die meisten Internetnutzer sind sich bewusst, dass nur nicht angegebene Daten sichere Daten sind.
  • Es ist legal, gegenüber Unternehmen Fantasieangaben zu machen, wenn man kostenlose oder vorausbezahlte Leistungen ohne Angabe überflüssiger Daten nutzen möchte oder wenn kostenpflichtige Dienste Informationen abfragen, die nicht zur Abrechnung erforderlich sind.
  • Eine plausible Fantasieidentität kann man von fakenamegenerator.com erzeugen lassen.
  • Zugangsdaten zu anmeldepflichtigen Angeboten kann man bei bugmenot.com tauschen.
  • Internetnutzer müssen zur Selbsthilfe greifen, weil Forderungen und Vorschläge für eine gesetzliche Stärkung des Rechts auf Anonymität im Internet bisher ohne Erfolg geblieben sind.
  • Die bisherige Möglichkeit, Fantasieangaben zu machen, ist durch den elektronischen Personalausweis gefährdet. Es besteht die Gefahr, dass man Internetangebote künftig nur noch mit elektronischem Personalausweis nutzen kann. Um einen Ausweiszwang zu verhindern, müssen wir den elektronischen Personalausweis boykottieren, damit er sich nicht durchsetzt. Bei der Beantragung eines neuen Personalausweises muss man dazu angeben, dass man den „elektronischen Identitätsnachweis“ nicht nutzen will.
  • Übrigens braucht man keinen Personalausweis, wenn man einen Reisepass hat. Man muss auch keines von beiden Dokumenten bei sich führen.

Kommentieren

Schwedische Gerichte: IP-Adressen unterliegen dem Datenschutz

Die schwedischen Verwaltungsgerichte haben sich der inzwischen ganz überwiegenden Meinung angeschlossen, wonach IP-Adressen nicht nur bei dem Internet-Zugangsanbieter, sondern allgemein personenbeziehbar sind und deswegen dem Datenschutzrecht unterliegen (ebenso Amtsgericht Berlin, Landgericht Berlin, Verwaltungsgericht Wiesbaden, das schweizerische Bundesverwaltungsgericht, das deutsche Bundesjustizministerium und der Bundesdatenschutzbeauftragte; anders nur ein nicht rechtskräftiges Urteil des AG München).

Am 16. Juni 2009 (Az. 3978-07) hat das oberste schwedische Verwaltungsgericht – der dem Bundesverwaltungsgericht vergleichbare Regeringsrätten – ein Rechtsmittel gegen eine Entscheidung des Stockholmer Kammarrätt (Oberverwaltungsgericht) zurückgewiesen. Nach dessen nunmehr rechtskräftiger Entscheidung vom 8. Juni 2007 (Az. 285-07) sind IP-Adressen allgemein personenbezogene Daten im Sinne der EG-Datenschutzrichtlinie 95/46/EG.

Das Stockholmer Oberverwaltungsgericht begründete diese Entscheidung wie folgt:

  • Da das schwedische Datenschutzgesetz der Umsetzung der Richtlinie 95/46/EG diene, sei es in deren Licht auszulegen.
  • Nach Art. 2 finde die Richtlinie 95/46/EG Anwendung auf personenbezogene Daten. Personenbezogene Daten seien danach „alle Informationen über eine bestimmte oder bestimmbare natürliche Person (‚betroffene Person‘); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind“.
  • Erwägungsgrund 26 der Richtlinie 95/46/EG besage, bei der Entscheidung, ob eine Person bestimmbar ist, sollten alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen. Die Schutzprinzipien finden keine Anwendung auf Daten, die derart anonymisiert sind, daß die betroffene Person nicht mehr identifizierbar ist.
  • In Verbindung mit den Daten des Internet-Zugangsanbieters könne die Person ermittelt werden, über deren Internetanschluss die Nutzung erfolgt sei. Der Anschlussinhaber könne eine natürliche Person sein.
  • Dass sich nicht ermitteln lässt, wer diesen Internetzugang tatsächlich genutzt hat, ändere an dem Personenbezug nichts, weil die IP-Adresse jedenfalls auf die Person des Anschlussinhabers rückschließen lasse.
  • Dass der Kläger – das schwedische „Anti-Piracy-Office“ – die Rückführung der von ihm gespeicherten IP-Adresse auf die Person des Anschlussinhabers nicht selbst auf legale Weise vornehmen könne, sei nach dem Erwägungsgrund 26 der Richtlinie unerheblich. Im Übrigen sammele der Kläger die IP-Adressen von Tauschbörsenteilnehmern gerade zu dem Zweck, die Teilnehmer identifizieren zu lassen.
  • IP-Adressen seien auch nicht anonymisiert in einer Weise, in der die betroffene Person nicht mehr identifizierbar sei.
  • Dass das nationale Recht einiger EG-Staaten einen engeren Begriff des Personenbezugs aufweisen mag, sei unerheblich.

Der Kläger hatte insoweit angeführt, dass das britische und das irische Datenschutzgesetz nur Anwendung finden, wenn der Verantwortliche den Personenbezug selbst herstellen kann. Dagegen sieht beispielsweise das deutsche Bundesdatenschutzgesetz eine solche Einschränkung nicht vor. Das österreichische Datenschutzgesetz bestimmt in § 4 Nr. 1 sogar ausdrücklich die Anwendbarkeit auf „nur indirekt personenbezogene“ Daten, bei denen der Verantwortliche „die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann“.

Siehe auch:

Kommentare (4)

Bundesjustizministerium: Surfprotokollierung durch Webseitenbetreiber illegal [2. Ergänzung]

In einem erstmals an dieser Stelle veröffentlichten Schreiben vom 02.02.2009 bestätigt das Bundesjustizministerium, dass Betreiber von Internetportalen die Kennungen (IP-Adressen) der Besucher „nicht über den Zeitraum der Inanspruchnahme (Besuch der Webseite) hinaus“ speichern dürfen. IP-Adresse und Nutzungszeitpunkt stellten personenbezogene Nutzungsdaten dar, die dem Telemediengesetz unterliegen, so das Schreiben des Ministeriums.

Staatliche Surfprotokollierung

Das Bundesjustizministerium zeichnete ursprünglich – wie viele andere Ministerien – in personenbeziehbarer Form auf, welche Seiten die Nutzer seines Portals interessierten. 2007 wurde das Ministerium unter Strafandrohung verurteilt, diese illegale, globale und pauschale Surfprotokollierung zu unterlassen.

Das Bundeskriminalamt setzte dagegen zunächst seine Praxis fort, die Betrachter von Fahndungsausschreibungen auf der BKA-Homepage aufzuzeichnen und Ermittlungen gegen Personen einzuleiten, die „mit signifikanter Zugriffsfrequenz“ auf die offiziellen Informationen etwa über die „militante gruppe“ (mg) zugriffen. Zuletzt 16 BKA-Seiten waren mit einer derartigen Spionagefunktion versehen. Bei den nachverfolgten Internetnutzern handelte es sich allerdings massenhaft um Behörden und Pressevertreter. Auch die Ermittlung der Identität privater Besucher der Seiten führte bei der Suche nach Mitgliedern der Vereinigungen nicht weiter.

Logfiles verboten

Mit dem nun veröffentlichten Schreiben setzt das Bundesjustizministerium der Homepageüberwachung zur Strafverfolgung ein Ende. Das Ministerium bestätigt in dem Schreiben vom 02.02.2009, dass die staatliche Homepageüberwachung mangels Rechtsgrundlage illegal war.

Im Einklang mit dem Amtsgericht Berlin, dem Landgericht Berlin und dem Verwaltungsgericht Wiesbaden bestätigt das Ministerium auch, dass IP-Adresse und Zeitstempel personenbezogene Daten sind, weil sie über die beim Zugangsanbieter gespeicherten Daten eine Identifizierung und Überwachung des Anschlussinhabers ermöglichen.

Um sich als Nutzer vor Internetüberwachung zu schützen, sollte man einen protokollierungsfreien Anonymisierungsdienst einsetzen. Wie Internet-Anbieter eine Erfassung ihrer Besucher verhindern können, erläutert die Aktion „Wir speichern nicht!“.

Bundesregierung plant Surfprotokollierung

Unterdessen treibt die Bundesregierung ein Vorhaben voran, das die Protokollierung des Surfverhaltens im Internet zukünftig legalisieren soll: das geplante „Gesetz zur Stärkung der Sicherheit in der Informationstechnik des Bundes“. Dieser Gesetzentwurf des Bundesinnenministers soll jedem Anbieter von Internetdiensten – damit auch dem BKA – das Recht geben, das Lese-, Schreib- und Suchverhalten seiner Besucher ohne Anlass aufzuzeichnen – vorgeblich zum „Erkennen“ von „Störungen“. Mit Hilfe der über alle Internetnutzer gespeicherten Daten würden Rückschlüsse auf unsere persönlichen Interessen, Lebenssituation und Schwächen möglich. Die Surfprotokolle sollen ohne richterliche Anordnung an Polizei, Bundeskriminalamt, Geheimdienste sowie an die Unterhaltungsindustrie herausgegeben werden dürfen.

Der Arbeitskreis Vorratsdatenspeicherung betreibt eine Protestkampagne gegen den Vorstoß, der zurzeit im Bundestag beraten wird. In Kürze wird der Innenausschuss des Bundestages eine öffentliche Anhörung zu dem Vorhaben durchführen. Es bestehen gute Chancen, dass das Vorhaben noch verhindert oder abgeschwächt wird.

Schreiben des Bundesjustizministeriums

Das Schreiben des Bundesjustizministeriums vom 02.02.2009, das auch als eingescanntes pdf-Dokument verfügbar ist, im Wortlaut:

RB3 -zu 4104/8 – 1 – R5 39/2008

Berlin, 2, Februar 2009

Betreff: Homepageüberwachung
Hier: Maßnahmen des Bundeskriminalamtes im Rahmen von strafrechtlichen Ermittlungsverfahren der Länder

Das Bundeskriminalamt (BKA) betreibt eine Internetseite (www.bka.de), auf der u. a. Fahndungsausschreibungen eingestellt werden. Hierbei wird das BKA nicht nur in eigener Sache, sondern auch für Ermittlungsbehörden der Länder tätig. Gegenwärtig ist dies – soweit zugleich eine Homepageüberwachung erfolgt – in 16 Verfahren der Fall (vgl. beigefügte tabellarische Aufstellung). Bei der Homepageüberwachung werden mit technischen Maßnahmen (u. a. sogenannten Cookies1 und Web Bugswww.bka.de), die URL des Web Bug GIFs, den Zeitpunkt, an dem der Web Bug "angeschaut" wurde, den vom "Nutzer eingesetzten Browsertyp (z. B. Internet Explorer) sowie die Informationen eines zuvor gesetzten Cookies an einen Server des Webseitenbetreibers.“ href=“#“>2) bei ausgewählten Fahndungsseiten die Zugriffe von Internetnutzern in einer Weise registriert, die Schlüsse darauf zulässt, ob von einem bestimmten Computer oder Anschluss aus auffällig oft eine bestimmte Fahndungsmeldung abgerufen wurde (= sog. Homepageüberwachung). Durch die dabei erfolgende Registrierung der zugreifenden IP-Adresse und die sich anschließende Bestandsdatenauskunft nach den §§ 161, 163 StPO i. V. m. § 113 TKG können Name und Anschrift des jeweiligen Anschlussinhaber ermittelt werden. Dahinter steht die Annahme, dass insbesondere die gesuchte Person an Informationen über die Fahndung nach ihr interessiert ist und deshalb die sie betreffende Fahndungsseite wiederholt aufrufen wird, so dass die Registrierung dieser Vorgänge zum Auffinden der Person beitragen kann.

Das Bundesministerium des Innern und das Bundesministerium der Justiz haben Fragen der Zulässigkeit der Homepageüberwachung geprüft und sind hierbei zu dem Ergebnis gelangt, dass die Homepageüberwachung durchgreifenden Bedenken begegnet. Die wesentlichen Gesichtspunkte hierbei sind:

  • Die Homepageüberwachung führt zu einer Speicherung und Verwendung personenbeziehbarer und damit personenbezogener Daten im Sinne des § 3 Abs. 1 BDSG, mithin zu einem Eingriff in das Grundrecht auf informationelle Selbstbestimmung, der dem Gesetzesvorbehalt unterliegt. Darüber hinaus erscheint auch das durch Art. 5 Abs. 2 Satz 1 GG geschützte Recht, sich aus allgemein zugänglichen Quellen ungehindert zu unterrichten, beeinträchtigt.
  • Der Umstand, dass bei der Homepageüberwachung eine große Anzahl von Daten – sämtliche Internetzugriffe auf eine bestimmte Seiten der Homepage – erhoben, gespeichert und ausgewertet werden, lässt eine spezielle Befugnisnorm für dieses Vorgehen erforderlich erscheinen. Eine solche ist indessen nicht ersichtlich. Allenfalls könnte eine Anwendbarkeit der §§ 100a, 100b und 100g StPO in Erwägung gezogen werden. In den bislang bekannt gewordenen Fällen mangelt es aber schon an einer entsprechenden gerichtlichen Anordnung (§ 100b Abs. 1 StPO). Ohne etwaigen gerichtlichen Entscheidungen zu dieser Frage vorgreifen zu wollen, erscheint es auch zweifelhaft, ob diese Regelungen eine – gegenüber einer gewöhnliche Telekommunikationsüberwachung anders geartete – Homepageüberwachung rechtfertigen können (BKA als Nachrichtenmittler im Sinne von § 10Oa Abs. 3 StPO? Einsatz technischer Mittel, wie Cookies und Web Bugs, von TKÜ-Befugnis umfasst? Verhältnismäßigkeit?).
  • Die allgemeinen Befugnisse nach den §§ 161, 163 StPO bieten lediglich für solche Ermittlungshandlungen, die weniger intensiv in Grundrechte eingreifen, eine geeignete Rechtsgrundlage. Aus grundrechtlicher Sicht können diese Ermittlungsgeneralklauseln nicht die Speicherung einer großen Anzahl von – auch durch Artikel 5 Abs. 1 Satz 1 GG geschützten – Daten erlauben, die bei den Zugriffen auf eine Homepage an den Homepagebetreiber übermittelt werden, um diese Daten als Ermittlungsansatz verwenden zu können. Es bedürfte, wie bereits ausgeführt, einer spezialgesetzlichen Norm, die – im Hinblick auf das Grundrecht, sich aus allgemein zugänglichen Quellen ungehindert unterrichten zu dürfen – zudem den Voraussetzungen des Artikels 5 Abs. 2 GG genügen müsste.
  • Selbst wenn man aber die §§ 161, 163 StPO hinsichtlich der Homepageüberwachung als in Betracht kommende Befugnisnormen ansehen wollte, könnten diese die Homepageüberwachung im Ergebnis nicht rechtfertigen. Denn § 160 Abs. 4 StPO bestimmt, dass eine (strafprozessuale) Maßnahme unzulässig ist, soweit besondere gesetzliche Verwendungsregelungen, entgegenstehen. Solche entgegenstehenden Verwendungsregelungen finden sich im Teiemediengesetz (TMG):
    Das Betreiben der (Fahndungs)Webseite ist ein Telemediendienst im Sinne des § 1 Abs. 1 TMG. Nach § 15 Abs. 1 Satz 1 TMG dürfen personenbezogene Daten eines Nutzers (Nutzungsdaten) nur erhoben und gespeichert werden, soweit dies erforderlich ist, um die Inanspruchnahme des Telemediendienstes zu ermöglichen und abzurechnen. Nutzungsdaten sind nach § 15 Abs. 1 Satz 2 TMG insbesondere Merkmale zur Identifikation des Nutzers, wie z. B. die IP-Adresse, Angaben über Beginn und Ende sowie des Umfangs der jeweiligen Nutzung (Zeitpunkte des Besuchs der Fahndungswebseite) und Angaben über die vom Nutzer in Anspruch genommenen Telemedien (Fahndungsseite).
    Zur Inanspruchname des Dienstes müssen diese Daten vorliegend nicht über den Zeitraum der Inanspruchnahme (Besuch der Webseite) hinaus gespeichert oder verwendet werden. Auch eine Abrechnung im Sinne des § 15 Abs. 1 Satz 1 TMG kommt bei unentgeltlich betriebenen Fahndungswebseiten nicht in Betracht. Da auch eine nach § 12 TMG grundsätzlich mögliche, nach § 13 TMG indessen an mehrere Voraussetzungen geknüpfte Einwilligung der Nutzer in die Erhebung und Verwendung der Daten regelmäßig nicht vorliegen wird, ist die Verwendung der vorgenannten Daten gemäß § 15 Abs. 4 TMG über das Ende des Nutzungsvorgangs hinaus nicht zulässig.

Aufgrund dieser rechtlichen Überlegungen veranlasst der Generalbundesanwalt keine Maßnahmen zur Homepageüberwachung.

Das Bundesministerium des Innern hat parallel zu diesem Schreiben das Bundeskriminalamt über die vorstehenden rechtlichen Gesichtspunkte informiert und das Unterlassen von Maßnahmen zur Homepageüberwachung veranlasst.

Ich rege an, dass Sie die Strafverfolgungsbehörden in Ihrem Zuständigkeitsbereich entsprechend unterrichten.

Im Auftrag

Das Ministerium gab das Schreiben auf Anfrage nach dem Informationsfreiheitsgesetz frei.

Ergänzung vom 05.05.2009:

Auch der Bundesdatenschutzbeauftragte schreibt in seinem Tätigkeitsbericht 2007/2008 (Seite 96):

Das Telemediengesetz setzt dem Anbieter einer Website für die Verwendbarkeit der technischen Nutzungsdaten (Protokolldaten), die der Nutzer beim Besuch eines Internet-Angebots hinterlässt, enge Grenzen. Erlaubt ist ihm danach die Verarbeitung für die technische Durchführung des Dienstes und für Abrechnungszwecke. Darüber hinaus dürfen die Nutzungsdaten im Einzelfall nur dann verwendet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte für eine Leistungserschleichung vorliegen. Eine Verarbeitungsbefugnis für Datensicherheitszwecke oder – vorsorglich – für Strafverfolgungszwecke besteht nicht. Ebenso wenig zulässig ist die von einer Vielzahl der Website-Anbieter durchgeführte statistische Auswertung der Nutzungsdaten, da hierbei die IP-Adressen der Besucher, die als personenbezogene Daten anzusehen sind, verwendet werden.

Die Praxis vieler Anbieter steht im Widerspruch zu diesen strengen gesetzlichen Vorgaben. So speichern und verwenden manche Anbieter Nutzungsdaten zu Datensicherheitszwecken und für statistische Auswertungen. Vorschläge, das Problem dadurch zu lösen, dass man IP-Adressen kurzerhand zu nicht personenbezogenen Daten erklärt, was dann für die gesamten Nutzungsdaten gelten würde, hätte fatale datenschutzrechtliche Konsequenzen. Damit wäre jede beliebige Verwendung der Nutzungsdaten unabhängig von der Zweckbestimmung für den Anbieter und letztlich sogar für jedermann möglich (vgl. Nr. 7.11). Unter Verwendung der beim Zugangsprovider vorhandenen Informationen ist jedoch immer ein Personenbezug herstellbar. Ebenso, wenn von einem Internet-Anbieter formularmäßig auch persönliche Daten, z. B. bei einer Bestellung, erhoben werden. Allein schon aus diesen Gründen sind IP-Adressen im Regelfall als personenbezogene Daten anzusehen. Dafür spricht aber vor allem, dass Strafverfolgungsbehörden gerade die IP-Adressen, die bei Internet-Anbietern anfallen, dazu verwenden, die Identität mutmaßlicher Täter zu ermitteln (s. u. Nr. 7.10).

Ich habe im Jahr 2008 eine Umfrage bei den Bundesbehörden durchgeführt, um einen Eindruck über die dortige Speicherungspraxis bezüglich der Internet-Nutzungsdaten zu gewinnen. Anlass war das Urteil des Amtsgerichts Berlin-Mitte vom 27. März 2007 (5 C 314/06) – bestätigt durch das Landgericht Berlin als Berufungsinstanz durch Urteil vom 6. September 2007 (23 S 3/07) –, das dem Bundesministerium der Justiz untersagt, Nutzungsdaten über das Ende des Nutzungsvorgangs hinaus zu speichern. Meine Umfrage umfasste auch die Frage, ob und wie die Bundesbehörden statistische Auswertungen der Zugriffe auf ihre Websites durchführen. Das Ergebnis ist in jeder Hinsicht gemischt: Einige Behörden verzichten ganz auf die Speicherung der Nutzungsdaten, andere führen Datensicherheitsgründe für ein teils mehrmonatiges Vorhalten der Protokolldaten an. In vielen Fällen werden statistische Untersuchungen durchgeführt, um das Angebot zu optimieren. Nur in wenigen Fällen stehen Gesetz und Praxis in Einklang.

Angesichts dieser Situation halte ich einen verbindlichen Leitfaden zur rechtskonformen Verarbeitung von Nutzungsdaten für die Bundesbehörden für erforderlich.

Unabhängig davon gibt es Bestrebungen, das Telemediengesetz zu ändern und eine dem Telekommunikationsgesetz entsprechende Regelung aufzunehmen, die eine Verarbeitung der Nutzungsdaten „zum Erkennen, Eingrenzen und Beseitigen von Störungen und Fehlern“ erlaubt. Ich bin von der Notwendigkeit einer zusätzlichen Speicherung nicht überzeugt. Zunächst ist zu prüfen, ob nicht bereits verwendete, erforderlichenfalls zu optimierende Mittel (Firewalls) zur Verhinderung und Abwehr von Angriffen genügen.

Was die Verarbeitung für statistische Zwecke betrifft, soll jedoch alles beim Alten bleiben. Deshalb kann ich den Website-Anbietern nur raten, die Nutzungsdaten vor der Auswertung in geeigneter Weise zu anonymisieren, wie das auch bei den Besucherdaten meiner eigenen Website geschieht. Auch wenn dadurch das Ergebnis der Auswertung ein wenig verzerrt wird, reichen die anonymen Daten zur Optimierung des Internet-Angebots aus.

Der Tätigkeitsbericht enthält auch interessante Details zur früheren Homepageüberwachung durch das Bundeskriminalamt (Seite 96). Ein Auszug:

Bei der Homepage-Überwachung werden Zugriffe auf Fahndungsseiten auf dem Webserver des BKA mit einem separaten Auswertungsserver protokolliert. Außerdem werden „Cookies“ oder „Web-Bugs“ auf dem Computer des Nutzers gespeichert. Damit wird es möglich, einen Nutzer wiederzuerkennen, wenn er die Seiten mehrfach mit zeitlichem Abstand betrachtet. Die Zugriffe werden u. a. mit Angaben über die Anzahl der aufgerufenen Seiten, Zeitpunkt und IP-Adresse der ersten und der letzten Nutzung sowie Informationen zum Provider aufgelistet. Zudem können weitere Informationen, etwa die aufgerufene Seite, aufgeführt werden. Damit wird eine exakte Rekonstruierung der Nutzung jedes einzelnen Absenders möglich. Die Nutzungsdaten bleiben auf dem Auswertungsserver bis zum Abschluss des jeweiligen Falles bzw. bis zur Beendigung der Maßnahme gespeichert.

2. Ergänzung vom 29.06.2009:

Der Focus veröffentlicht weitere Informationen zur Surfprotokollierung durch das Bundeskriminalamt.

Kommentare (7)

« Vorherige Einträge
 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: