- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Datenschutzbeauftragte: Protokollierung von IP-Adressen ist unzulässig [ergänzt am 19.02.2010]

Die Datenschutz-Aufsichtsbehörden für den nicht-öffentlichen Bereich (Liste [1]) reden Tacheles mit den Anbietern von Internetportalen und -diensten: Am 26./27.11.2009 stimmten sie einem Antrag (pdf) [2] Mecklenburg-Vorpommerns zu, wonach die IP-Adressen von Internetnutzern auch für Anbieter von Internetdiensten ein personenbeziehbares Datum darstellen, das dem Datenschutzrecht unterliegt. Ohne bewusste, eindeutige Einwilligung des Nutzers dürften IP-Adressen daher nur gekürzt zur statistischen Analyse des Nutzungsverhaltens verwendet werden.

Inhalt des Beschlusses

Wörtlich heißt [2] es in dem Beschluss des Düsseldorfer Kreises, in dem die Vertreter der obersten Aufsichtsbehörden der Länder sowie der Bundesbeauftragte für den Datenschutz zusammengeschlossen sind [3]:

Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen. Jede darüber hinausgehende Nutzung bedarf der Einwilligung der Betroffenen.

Die Analyse des Nutzungsverhaltens unter Verwendung vollständiger IP-Adressen (einschließlich einer Geolokalisierung) ist aufgrund der Personenbeziehbarkeit dieser Daten daher nur mit bewusster, eindeutiger Einwilligung zulässig. Liegt eine solche Einwilligung nicht vor, ist die IP-Adresse vor jeglicher Auswertung so zu kürzen, dass eine Personenbeziehbarkeit ausgeschlossen ist.

Der letzte Absatz ist insofern missverständlich als nicht nur die ungekürzte Auswertung der IP-Adressen von Internetnutzern sondern schon deren ungekürzte Protokollierung illegal (§§ 13 [4], 15 TMG [5]) ist und mit einem Bußgeld von bis zu 50.000 Euro (§ 16 TMG [6]) bestraft wird. Der erste zitierte Absatz macht dies deutlich („Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen.“)

Mit der Forderung nach einer Kürzung der IP-Adresse stellen die Aufsichtsbehörden klar, dass eine bloße Verschlüsselung der ungekürzten IP-Adressen (z.B. MD5-Verfahren, mod_scrambleIP) nicht genügt, weil diese – zumindest für eine gewisse Zeit – durch Ausprobieren [7] umkehrbar ist.

Soweit das Telemediengesetz die Erstellung von Nutzungsprofilen unter Verwendung von Pseudonymen erlaubt (§ 15 Abs. 3 TMG [5]), stellen die Aufsichtsbehörden klar:

Die IP-Adresse ist kein Pseudonym im Sinne des Telemediengesetzes.

Bewertung

Dass die Aufsichtsbehörden die bei Webseitenanbietern anfallenden IP-Adressen als personenbezogene Daten ansehen, entspricht der inzwischen nahezu einhelligen Meinung in Fachkreisen (ebenso Amtsgericht Berlin [8], Landgericht Berlin [9], Verwaltungsgericht Wiesbaden [10], Amtsgericht Wuppertal [11], schweizerisches Bundesverwaltungsgericht [12], schweizerisches Bundesgericht [13], oberstes schwedisches Verwaltungsgericht [14], französischer Verfassungsgerichtshof [15] [Abs. 27], Bundesjustizministerium [16], Bundesdatenschutzbeauftragter [16], Datenschutzbeauftragte des Bundes und der Länder [17], die Datenschutzbeauftragten aller EU-Staaten [1 [18], 2 [19], 3 [20]]; anders nur ein vereinzeltes Urteil des AG München [21]).

Dass die Anbieter von Internetportalen sicherzustellen haben, dass „die anfallenden personenbezogenen Daten über den Ablauf des Zugriffs oder der sonstigen Nutzung unmittelbar nach deren Beendigung gelöscht“ werden (§ 13 TMG [4]) und dass damit die Aufbewahrung von Nutzer-IP-Adressen in „Logfiles“ unzulässig ist, steht ebenfalls schon lange im Gesetz und ist weitgehender Konsens (ebenso Amtsgericht Berlin [8], Verwaltungsgericht Wiesbaden [10], Bundesjustizministerium [16], Bundesdatenschutzbeauftragter [16]). Selbst der Bundesgerichtshof hat inzwischen ein „Recht des Internetnutzers auf Anonymität“ anerkannt (Az. VI ZR 196/08 [22]).

Vor dem Hintergrund, dass personenbeziehbare Logfiles gleichwohl weit verbreitet sind und ihre Erstellung sogar die Voreinstellung US-amerikanischer Software zur Bereitstellung von Internetportalen darstellt, steht zu hoffen, dass die Aufsichtsbehörden nach ihrer Einigung jetzt endlich Bußgelder gegen Anbieter von Internetportalen und -diensten verhängen werden, die sich nicht an das Protokollierungsverbot halten. Der Berliner Datenschutzbeauftragte hat bereits eine besondere Bußgeldstelle in seiner Behörde eingerichtet, um in Zukunft verstärkt Sanktionen verhängen zu können. Bildblogger Stefan Niggemeier ist die Protokollierung von IP-Adressen bereits verboten worden [23]. Update vom 20.01.2011: Auch einem niedersächsischen Forenbetreiber ist es so ergangen [24].

Jeder Internetnutzer kann zu einem vorratsspeicherfreien Internet beitragen, indem er deutschen Anbietern, die die IP-Adressen von Surfern aufzeichnen, der für den Sitz des Anbieters zuständigen Aufsichtsbehörde [1] meldet. Außerdem sollte man sich mithilfe eines Anonymisierungsdienstes [25] und geeigneter Software [26] vor einer identifizierbaren Aufzeichnung seines Surfverhaltens schützen.

Jeder Anbieter eines Internetportals oder -dienstes kann sein Angebot rechtskonform und protokollierungsfrei gestalten, indem er den Anleitungen [27] des Netzwerks „Wir speichern nicht! [28]“ folgt. Wer einen Webhoster nutzt, der rechtswidrig IP-Adressen protokolliert (nachfragen!), sollte von ihm Abhilfe innerhalb einer Frist von z.B. zwei Wochen verlangen. Stellt der Webhoster die Protokollierung nicht ab, kann man fristlos kündigen und zu einem speicherfreien Webhoster [29]wechseln. Wer einen Analysedienst nutzt oder externe Medien eines Anbieters einbindet, der wie Google Analytics, Youtube oder nahezu jeder amerikanische Anbieter rechtswidrig IP-Adressen protokolliert, muss die Einbindung entfernen oder anonymisieren [30]. Eine Einbindung stellt juristisch eine „Auftragsdatenverarbeitung“ dar. Der deutsche Anbieter bleibt dafür verantwortlich, dass sein „Auftragnehmer“ das deutsche Datenschutzrecht einhält, wovon man bei ausländischen Diensten natürlich nicht ausgehen kann.

Dass auch datenschutzkonforme Statistiken erstellt werden können, zeigt etwa der Anbieter eTracker [31], der das Siegel „Wir speichern nicht!“ des Arbeitskreis Vorratsdatenspeicherung tragen darf [32]. eTracker kann ohne ungekürzte Protokollierung von IP-Adressen eingesetzt werden. Es ist zu hoffen, dass weitere Statistikanbieter diesem Vorbild folgen werden und sich dadurch weitere Alternativen zu dem illegalen [33] Dienst „Google Analytics“ finden werden.

Weitere Informationen für Diensteanbieter:

Ergänzung vom 19.02.2010:

Weitere datenschutzkonforme Analysedienste finden sich hier [35].

Ergänzung vom 17.12.2011:

Laut „XAMIT DATENSCHUTZBAROMETER 2011“ verwenden [36] 74,4% der Webpräsenzen Statistikdienste, die die Kriterien des Düsseldorfer Kreises verfehlen. Der Einsatz illegaler Statistikdienste nimmt zu.

Der Hamburger Datenschutzbeauftragte erläutert [37], wie sich Google Analytics beanstandungsfrei einsetzen lässt. Die Erläuterungen gelten entsprechend für andere Statistikdienste.