- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Personenbezug: Keine Relativierung des Datenschutzes [ergänzt]

Der gesetzliche Datenschutz gilt nur für personenbezogene Daten (§ 1 [1] Bundesdatenschutzgesetz). Von großer Bedeutung ist daher die Frage, wann eine Information als „personenbezogen“ im Sinne des Gesetzes anzusehen ist und wann nicht.

Bestimmbarkeit des Betroffenen

Laut Bundesdatenschutzgesetz sind personenbezogene Daten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (§ 3 BDSG [2]). „Bestimmbar“ bedeutet [3] dabei „zuordnungsfähig“, „ermittelbar“, „feststellbar“.

Das Amtsgericht Berlin hat in einem neueren Urteil [4] den Begriff der Bestimmbarkeit getreu seiner sprachlichen Bedeutung angewandt. Das Gericht hat entschieden, dass die von einem Internet-Zugangsanbieter temporär zugewiesene Internetkennung (dynamische IP-Adresse) nicht nur bei dem Internet-Zugangsanbieter, sondern auch bei Anbietern von Telemedien im Internet ein personenbezogenes Datum darstelle. Welcher Nutzer sich hinter einer IP-Adresse verbirgt, ist in der Tat auch im zuletzt genannten Fall bestimmbar – zwar nicht anhand der dem Inhalteanbieter vorliegenden Daten, aber mithilfe weiterer Daten, nämlich der Einwahlprotokolle des Internet-Zugangsanbieters.

Das Gericht hat seine Entscheidung wie folgt begründet:

Dynamische IP-Adressen stellen in Verbindung mit den weiteren von der Beklagten ursprünglich gespeicherten Daten personenbezogene Daten im Sinne des § 15 TMG [5] dar, da es sich um Einzelangaben über bestimmbare natürliche Personen im Sinne des § 3 Abs. 1 [2] Bundesdatenschutzgesetz handelt. Die EG-Richtlinie 95/46/EG [6] (Datenschutzrichtlinie-Erwägungsgründe) bestimmt unter Ziffer 26, dass bei der Entscheidung, ob eine Person bestimmbar ist, alle Mittel berücksichtigt werden müssen, die vernünftiger Weise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden können, um die betreffende Person zu bestimmen. Nach zutreffender Ansicht des Hessischen Datenschutzbeauftragten (aaO [7]) ist es durch die Zusammenführung der personenbezogenen Daten mit Hilfe Dritter bereits jetzt ohne großen Aufwand in den meisten Fällen möglich, Internetnutzer aufgrund ihrer IP-Adresse zu identifizieren. Eine Verneinung des Personenbezuges von dynamischen IP-Adressen mit der Folge der Nichtanwendbarkeit des TDDSG und TDSV, beziehungsweise jetzt des TMG und des TKG, hätte zur Folge, dass diese Daten ohne Restriktionen an Dritte z.B. den Access-Provider übermittelt werden könnten, die ihrerseits die Möglichkeit haben, den Nutzer aufgrund der IP-Adresse zu identifizieren, was mit dem Grundgedanken des Datenschutzrechts nicht vereinbar ist. Abgesehen davon wird die Rechtsauffassung der Beklagten insoweit nicht geteilt, als vorgetragen wird, dass eine Bestimmbarkeit der Person nur gegeben sei, wenn der Betroffene mit legalen Mitteln identifiziert werden könne. Zu Recht weist der Kläger darauf hin, dass das Datenschutzrecht gerade vor dem Missbrauch von Daten schützen soll, so dass eine derartige Einschränkung des Begriffs der Bestimmbarkeit von Personen seitens des Gerichts als nicht gerechtfertigt erachtet wird.

„Relativer Personenbezug“

Einige juristische Kommentatoren sind demgegenüber der Auffassung, personenbezogen sei ein Datum nur, wenn gerade die jeweils speichernde Stelle den Nutzer identifizieren könne (Gola/Schomerus, BDSG, § 3, Rn. 9; Schaffland/Wiltfang, BDSG, § 3, Rn. 17; Bergmann/Möhrle/Herb, Datenschutzrecht, § 3, Rn. 16). Der Personenbezug sei „relativ“: Ein und dasselbe Datum könne personenbezogen oder „anonym“ sein – je nach dem, wer über das Datum verfüge.

Bernhard Kloos begründet [8] diese Meinung etwa im Fall von IP-Adressen wie folgt:

Unter personenbezogenen Daten versteht man Einzelangaben über bestimmbare natürliche Personen (§ 3 Abs. 1 BDSG [2]). Bei der Prüfung, ob eine Person bestimmbar ist, müssen alle Mittel berücksichtigt werden, die vernünftigerweise vom Verantwortlichen für die Verarbeitung eingesetzt werden können, um die betroffene Person zu bestimmen. Erforderlich ist somit eine wertende Betrachtung. Es kommt dabei auf die Kenntnisse, Mittel und Möglichkeiten der speichernden Stelle an. Sie muss den Bezug mit den ihr normalerweise zur Verfügung stehenden Hilfsmitteln und ohne unverhältnismäßigen Aufwand durchführen können; der Begriff des Personenbezugs ist damit relativ (Gola/Schomerus, BDSG, 8. Auflage, § 3, Rn. 9).

Viele Datenschutzbeauftragte (z.B. Artikel-29-Datenschutzgruppe (4/2007), Landesdatenschutzbeauftragte Niedersachsen und Hessen) halten dynamische IP-Adressen für personenbezogen. Für den Access-Provider, d.h. denjenigen der sie im Rahmen des Nutzungsvorgangs vergibt, erscheint dies geradezu offensichtlich. Alle anderen Dienstanbieter können den Personenbezug jedoch nur in Zusammenarbeit mit einem Access-Provider herstellen.

Somit haben dynamische IP-Adressen relativen Personenbezug (ähnlich Simitis, BDSG, 6.Auflage, § 3, Rn. 63). Für den Access-Provider oder mit ihm kooperierende Unternehmen entsteht der Personenbezug regelmäßig unmittelbar (z.B. bei konzernweitem Datenabgleich). Für andere, allgemeine Anbieter von Telemedien entsteht der Personenbezug erst dann, wenn er wiederhergestellt wird, z.B. im Verlauf eines Ermittlungs- und Strafverfahrens.

Nach dieser Meinung soll das Datenschutzrecht auf „relativ personenbezogene“ Daten grundsätzlich nicht anwendbar sein, insbesondere nicht auf ihre Speicherung. Anzuwenden sei das Datenschutzrecht erst, wenn die Daten an eine Stelle übermittelt werden sollen, die den Betroffenen mit eigenen Mitteln identifizieren kann. Dieser Übermittlungsvorgang und die anschließende Verarbeitung seien nur nach den Regelungen des Datenschutzrechts zulässig (Gola/Schomerus, BDSG, § 3 Rdnr. 10 und 44a).

Diskussion

Im folgenden soll am Beispiel von IP-Adressen gezeigt werden, warum die Theorie eines „relativen Personenbezugs“ nicht dem geltenden Recht entspricht.

Nach § 3 Abs. 1 [2] Bundesdatenschutzgesetz sind personenbezogene Daten „Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person“. Es genügt danach, wenn die Person des Betroffenen „bestimmbar“ ist. Keineswegs fordert das Gesetz, dass der Betroffene gerade durch die speichernde Stelle bestimmbar sein muss. Das Datenschutzrecht soll auch davor schützen, dass eine Identifizierung erst durch die Zusammenführung mit weiteren Daten erfolgt, wie sie etwa im Fall von IP-Adressen bei dem Internet-Zugangsanbieter vorhanden sind. Auch ohne Auskunftsanspruch des Inhalteanbieters gegen den Zugangsanbieter kann es zu einer solchen Zusammenführung kommen, nämlich indem der Internet-Zugangsanbieter oder aber der Inhalteanbieter freiwillig die entsprechenden Daten an die jeweils andere Stelle übermittelt.

Ein personenbezogenes Datum liegt danach schon dann vor, wenn die Herstellung des Personenbezugs einer beliebigen Person möglich ist. Diese Auslegung ist auch europarechtlich geboten. § 3 Abs. 1 BDSG [2] ist insoweit richtlinienkonform auszulegen. Die Richtlinie 95/46/EG [6] zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten bestimmt ausdrücklich:

26. Die Schutzprinzipien müssen für alle Informationen über eine bestimmte oder bestimmbare Person gelten. Bei der Entscheidung, ob eine Person bestimmbar ist, sollten alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen.

Zu berücksichtigen sind also auch die Daten, die Dritten zur Verfügung stehen, etwa dem Internet-Zugangsanbieter.

Falsch ist die Auffassung, eine Bestimmbarkeit des Betroffenen liege nur vor, wenn der Betroffene mit legalen Mitteln identifiziert werden könne. Das Datenschutzrecht soll gerade vor dem Missbrauch von Daten schützen (§ 1 Abs. 1 BDSG [1]), wie er in der Praxis leider tagtäglich vorkommt [9]. Man braucht nur die Tätigkeitsberichte der Datenschutzbeauftragten zu lesen, um festzustellen, dass Staat und Wirtschaft immer wieder unter Verstoß gegen Datenschutzrecht Daten übermitteln. Der Einzelne wäre schutzlos gestellt, würde man eine unbeschränkte Speicherung seiner Daten mit dem Argument zulassen, seine Person könne von der momentan speichernden Stelle mit legalen Mitteln nicht bestimmt werden.

Diese Auffassung würde ein Eldorado für Kreditauskunfteien, Detekteien, Werbeunternehmen usw. eröffnen. Diese könnten dann nämlich unbegrenzt sensible Daten über jegliche Personen ansammeln und weitergeben, solange sie nicht den Namen der Betroffenen, sondern nur deren Personalausweisnummer, Kundennummer, Kontonummer o.ä. speicherten. Sie könnten sich dann darauf berufen, dass sie selbst die Betroffenen mit legalen Mitteln nicht bestimmen könnten. Dies wäre mit dem Grundrecht auf informationelle Selbstbestimmung offensichtlich unvereinbar.

Bei der Auslegung des Begriffs der Bestimmbarkeit darf das Risiko einer unbefugten Bestimmung des Betroffenen nicht unbeachtet bleiben. Das Datenschutzrecht und die dort vorgesehenen Löschungspflichten dienen gerade dazu, dieses Missbrauchsrisiko von vornherein auszuschließen. Das Bundesverfassungsgericht stellt in seinem Beschluss vom 27.10.2006 [10] ausdrücklich auf die Möglichkeit eines rechtswidrigen Datenmissbrauchs durch Dritte ab, wenn es ausführt:

Auch das Risiko eines Missbrauchs der Verkehrsdaten durch das Telekommunikationsunternehmen oder durch Dritte, die sich unbefugt Zugang zu ihnen verschaffen, ist nicht völlig auszuschließen.

Die relativierende Auffassung findet dementsprechend auch keinen Anhaltspunkt im Gesetz. § 3 Abs. 1 BDSG [2] stellt – bewusst – weder darauf ab, ob der Betroffene gerade von der speichernden Stelle bestimmbar ist, noch schränkt er die Beurteilung der Bestimmbarkeit auf legale Mittel ein. Vielmehr heißt es in der EG-Datenschutzrichtlinie ausdrücklich, es müssten „alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten“. Dies ist die zutreffende und verbindliche Definition der Bestimmbarkeit im Sinne des Datenschutzrechts.

Schließlich vergessen die Vertreter der relativierenden Auffassung den praxisrelevantesten, legalen Fall, in dem „relativ“ personenbezogene Daten der Person eines Nutzers zugeordnet werden können. Möglich ist dies nämlich stets staatlichen Stellen, die über entsprechende Zwangsbefugnisse verfügen. Im Internet ermöglicht § 113 TKG [11] die Identifizierung von Internetnutzern: Besteht der Verdacht einer Ordnungswidrigkeit, einer Straftat, einer Gefahr oder halten die Geheimdienste dies für erforderlich, so hat der Internet-Zugangsanbieter der zuständigen Stelle unverzüglich Auskunft über den Namen des Nutzers einer IP-Adresse zu erteilen (§ 113 [11] Telekommunikationsgesetz; dazu LG Stuttgart, MMR 2005, 628 [12] ff.; MMR 2005, 624 [13] ff.; LG Hamburg, MMR 2005, 711 [14]; LG Würzburg, NStZ-RR 2006, 46 [15]).

Konsequenz der Verneinung des Personenbezugs von Internet-Nutzungsprotokollen wäre, dass das Internet-Nutzungsverhalten inhaltlich und zeitlich unbegrenzt protokolliert werden dürfte. Die Löschungspflichten in § 15 [5] des Telemediengesetzes wären praktisch bedeutungslos. Schon die Befürchtung eines Missbrauchs dieser Datenhalden würde die Informations- und Meinungsfreiheit im Internet unangemessen beeinträchtigen. Im Volkszählungsurteil [16]hat das Bundesverfassungsgericht zutreffend ausgeführt:

Wer damit rechnet, daß etwa die Teilnahme an einer Versammlung oder einer Bürgerinitiative behördlich registriert wird und daß ihm dadurch Risiken entstehen können, wird möglicherweise auf eine Ausübung seiner entsprechenden Grundrechte (Art. 8 [17], 9 GG [18]) verzichten. Dies würde nicht nur die individuellen Entfaltungschancen des Einzelnen beeinträchtigen, sondern auch das Gemeinwohl, weil Selbstbestimmung eine elementare Funktionsbedingung eines auf Handlungsfähigkeit und Mitwirkungsfähigkeit seiner Bürger begründeten freiheitlichen demokratischen Gemeinwesens ist.

Auch im Internet wäre eine unbefangene Ausübung der Informations- und Meinungsäußerungsfreiheit unmöglich, wenn jeder Klick und jede Eingabe personenbeziehbar registriert werden dürfte.

Nicht nachvollziehbar ist zuletzt die Auffassung, das Datenschutzrecht gelte zwar nicht für die Speicherung, wohl aber für die Übermittlung „relativ“ personenbezogener Daten an eine Stelle mit Zusatzwissen. Die gesetzlichen Regelungen sowohl der Datenspeicherung wie auch der Datenübermittlung beziehen sich gleichermaßen auf personenbezogene Daten. Es ist in sich widersprüchlich, dass ein und dasselbe Datum personenbezogen sein soll, wenn es übermittelt werden soll, nicht aber, wenn es gespeichert werden soll.

Ergebnis

Heutzutage bestehen weitgehende Möglichkeiten der Zuordnung von Informationen zu einer Person. So erlaubt es im Bereich von Telefongesprächen beispielsweise die Stimmenanalyse, Gesprächsteilnehmer zu identifizieren. Grundsätzlich ist daher jedes hinreichend spezifische Datum personenbezogen. Dem steht nicht entgegen, dass eine Herstellung des Personenbezugs unter Umständen nur unter großem Aufwand möglich sein kann. Es können nämlich stets besondere Umstände eintreten – beispielsweise bevorstehende terroristische Anschläge –, die Kostenerwägungen zurücktreten lassen. Zudem besteht das Risiko zufällig vorliegender Zusatzkenntnisse, etwa wenn eine Person demjenigen, der über die Daten verfügt, persönlich bekannt ist. Die Wahrscheinlichkeit der Herstellung eines Personenbezuges kann daher erst im Rahmen der Rechtfertigung des Eingriffs in das Recht auf informationelle Selbstbestimmung eine Rolle spielen. Anwendung findet das Datenschutzrecht in jedem Fall.

Ergänzung vom 17.07.2008:

In einem Aufsatz „Zur Personenbezogenheit von IP-Adressen [19]“ (KuR 2008, 288) setzt sich Frau Pahlen-Brandt ebenfalls mit der Frage auseinander, wann ein personenbezogenes Datum vorliegt. Für die Anwendung des Datenschutzrechts auch auf nur mit Zusatzwissen zuzuordnende Daten führt sie weitere Argumente ins Feld:

Wenn die Übermittlungsregelungen des Datenschutzrechts nur für die Übermittlung der Daten an Personen mit dem erforderlichen Zusatzwissen gälten, wäre kein effektiver Schutz gewährleistet. Denn woher soll man wissen, ob der Empfänger über das erforderliche Zusatzwissen verfügt? Wer kontrolliert das? Muss man sich darauf verlassen, was der Empfänger sagt? Und wie wäre zu verhindern, dass der Empfänger die Daten an eine Person mit Zusatzwissen weiter übermittelt? Pahlen-Brandt: „Der Schutz des informationellen Selbstbestimmungsrechts wäre hier allein dem Käufer überlassen, der aus einem Verstoß gegen Datenschutzbestimmungen Nutzen ziehen könnte.“