- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Tracking und Gesetz: Spuren im Netz

Zu Härting, NJW-aktuell 3/2010, S. 10: „Spuren im Netz“ [1].

Der Standpunkt von Niko Härting bedarf der Ergänzung, weil er die gesetzlichen Vorgaben zur Behandlung von Internet-Nutzungsdaten eher verschleiert als erhellt. Dies mag damit zusammen hängen, dass Härtings Kanzlei [2] Internetunternehmen vertritt, die ein kommerzielles Interesse an einer möglichst genauen Durchleuchtung unserer Internetnutzung haben.

Dem Telemediengesetz zufolge haben Anbieter von Internetdiensten dafür Sorge zu tragen, dass „die anfallenden personenbezogenen Daten über den Ablauf des Zugriffs oder der sonstigen Nutzung unmittelbar nach deren Beendigung gelöscht“ werden (§ 13 TMG [3]). Die obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich zitieren in ihrem Beschluss [4] vom 26./27.11.2009 den § 15 I TMG [5], wonach Diensteanbieter personenbezogene Daten eines Nutzers nur erheben und verwenden dürfen, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen. Die Analyse des Nutzungsverhaltens unter Verwendung – also auch Speicherung (§ 3 BDSG [6]) – vollständiger IP-Adressen sei „aufgrund der Personenbeziehbarkeit dieser Daten daher nur mit bewusster, eindeutiger Einwilligung zulässig.“ Da das Surfen im Netz keine solche Einwilligung darstellt, ist die Protokollierung der IP-Adressen von Internetnutzern – beispielsweise durch Einsatz von „Google Analytics“ – nach Auffassung und Praxis der Aufsichtsbehörden unzulässig (ebenso AG Berlin Mitte, MMR 2007, 799 [7]; VG Wiesbaden, MMR 2009, 428 [8]). Wer diese Rechtslage ignoriert, muss mit Bußgeldern rechnen (§ 16 TMG [9]).

In der Tat hat das AG München in einem von Härting zitierten obiter dictum die abweichende Auffassung vertreten, zeitweilig (dynamisch) vergebene IP-Adressen seien für Anbieter von Internetdiensten nicht personenbezogen und dürften von diesen daher unbegrenzt auf Vorrat gespeichert werden (MMR 2008, 860 [10]). Das Gericht hat sich einer älteren Literaturauffassung angeschlossen, derzufolge Daten nur personenbezogen seien, wenn die jeweils speichernde Stelle selbst den Betroffenen identifizieren könne (Gola/Schomerus, BDSG, § 3, Rn. 9; Schaffland/Wiltfang, BDSG, § 3, Rn. 17; Bergmann/Möhrle/Herb, Datenschutzrecht, § 3, Rn. 16).

Die inzwischen ganz herrschende Meinung folgt diesen Stimmen zu Recht nicht: Erstens stammt die „datenschutzrechtliche Relativitätstheorie“ aus einer Zeit, zu welcher der Begriff des Personenbezugs noch nicht europarechtlich vorgegeben war. Europaweit ist man sich inzwischen einig, dass IP-Adressen unter Geltung der Datenschutzrichtlinie 95/46/EG [11] als personenbezogene Daten einzuordnen sind (AG Berlin-Mitte und VG Wiesbaden a.a.O.; ebenso Entscheidungen des Schweizerischen Bundesverwaltungsgerichts, des Obersten Schwedischen Verwaltungsgerichts, des Französischen Verfassungsgerichtshofs sowie Stellungnahmen der Datenschutzbeauftragten aller EU-Staaten, Nachweise bei http://daten-speicherung.de/?p=1870 [12]). Zweitens ist jedenfalls der Personenbezug fester (statischer) IP-Adressen, die auf natürliche Personen registriert sind, unbestritten. Da sich solche IP-Adressen nicht zuverlässig abgrenzen und von einer Speicherung ausnehmen lassen, lässt sich das Gesetz nach allen Meinungen nur einhalten, wenn jede IP-Adresse im Einklang mit dem Datenschutzrecht behandelt wird.

Aus demselben Grund kommt § 15 III TMG [5] als Rechtsgrundlage für eine Aufzeichnung von IP-Adressen nicht in Betracht: Da sich Nutzer, die von ihrem gesetzlichen Widerspruchsrecht Gebrauch machen, bei anmeldefreien Diensten nicht zuverlässig und geräteunabhängig abgrenzen und von einer Profilerstellung ausnehmen lassen, lässt sich das Gesetz nur einhalten, wenn die Aufzeichnung von IP-Adressen allgemein unterbleibt. Dementsprechend stellen die Aufsichtsbehörden in ihrem Beschluss [4] vom 26./27.11.2009 klar, dass IP-Adressen kein Pseudonym im Sinne des § 15 III TMG [5] sind und dass ihre Speicherung nur ausreichend verkürzt – also anonymisiert – zulässig ist.

Aus dem Verbot einer personenbezogenen Vorratsspeicherung unseres Surfverhaltens ohne unsere Einwilligung leitet der Bundesgerichtshof das „Recht des Internetnutzers auf Anonymität“ ab (NJW 2009, 2888 [13], 2893). Das verfassungsrechtlich garantierte Verbot der Sammlung personenbezogener Daten auf Vorrat gewährleistet im Bereich des Internet, dass höchstpersönliche und vertrauliche Tatsachenberichte und Meinungen unbefangen und ohne Furcht vor Nachteilen ausgetauscht, gesucht und veröffentlicht werden können. Das Speicherverbot verhindert etwa, dass Ermittlungsbehörden aus unserer Internetnutzung einen falschen Verdacht ableiten und Maßnahmen gegen Unschuldige veranlassen. In Zeiten, in denen immer wieder vertraulichste Daten wie etwa von Kindern und Erotikkunden verloren gehen, ist das Datenspeicherungsverbot zudem das einzige Mittel zur wirksamen Verhinderung einer rechtswidrigen Zweckentfremdung unserer Daten durch Dritte. Die Internetwirtschaft kommt mit dieser Rechtslage seit langem zurecht, zumal immer mehr Analysedienste angeboten werden, die die gesetzlichen Vorgaben erfüllen (siehe http://daten-speicherung.de/?p=1870 [12]).

Der Gesetzgeber sollte die gesetzliche Regelung in dem Sinne verbessern, dass der Personenbezug von IP-Adressen klargestellt und die Durchsetzung des „Rechts auf Anonymität“ verbessert wird. So sollte eine Klagebefugnis für Verbraucher- und Datenschutzverbände sowie für Wettbewerber eingeführt werden, damit unser Recht auf anonyme Internetnutzung nicht länger massenhaft verletzt wird. Nur auf diese Weise ist zu gewährleisten, dass das Informationszeitalter ein freies und sicheres Zeitalter sein wird.

Erschienen in NJW-aktuell 11/2010, S. 18.