Personenbezug: Keine Relativierung des Datenschutzes [ergänzt]
Der gesetzliche Datenschutz gilt nur für personenbezogene Daten (§ 1 Bundesdatenschutzgesetz). Von großer Bedeutung ist daher die Frage, wann eine Information als „personenbezogen“ im Sinne des Gesetzes anzusehen ist und wann nicht.
Bestimmbarkeit des Betroffenen
Laut Bundesdatenschutzgesetz sind personenbezogene Daten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (§ 3 BDSG). „Bestimmbar“ bedeutet dabei „zuordnungsfähig“, „ermittelbar“, „feststellbar“.
Das Amtsgericht Berlin hat in einem neueren Urteil den Begriff der Bestimmbarkeit getreu seiner sprachlichen Bedeutung angewandt. Das Gericht hat entschieden, dass die von einem Internet-Zugangsanbieter temporär zugewiesene Internetkennung (dynamische IP-Adresse) nicht nur bei dem Internet-Zugangsanbieter, sondern auch bei Anbietern von Telemedien im Internet ein personenbezogenes Datum darstelle. Welcher Nutzer sich hinter einer IP-Adresse verbirgt, ist in der Tat auch im zuletzt genannten Fall bestimmbar – zwar nicht anhand der dem Inhalteanbieter vorliegenden Daten, aber mithilfe weiterer Daten, nämlich der Einwahlprotokolle des Internet-Zugangsanbieters.
Das Gericht hat seine Entscheidung wie folgt begründet:
Dynamische IP-Adressen stellen in Verbindung mit den weiteren von der Beklagten ursprünglich gespeicherten Daten personenbezogene Daten im Sinne des § 15 TMG dar, da es sich um Einzelangaben über bestimmbare natürliche Personen im Sinne des § 3 Abs. 1 Bundesdatenschutzgesetz handelt. Die EG-Richtlinie 95/46/EG (Datenschutzrichtlinie-Erwägungsgründe) bestimmt unter Ziffer 26, dass bei der Entscheidung, ob eine Person bestimmbar ist, alle Mittel berücksichtigt werden müssen, die vernünftiger Weise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden können, um die betreffende Person zu bestimmen. Nach zutreffender Ansicht des Hessischen Datenschutzbeauftragten (aaO) ist es durch die Zusammenführung der personenbezogenen Daten mit Hilfe Dritter bereits jetzt ohne großen Aufwand in den meisten Fällen möglich, Internetnutzer aufgrund ihrer IP-Adresse zu identifizieren. Eine Verneinung des Personenbezuges von dynamischen IP-Adressen mit der Folge der Nichtanwendbarkeit des TDDSG und TDSV, beziehungsweise jetzt des TMG und des TKG, hätte zur Folge, dass diese Daten ohne Restriktionen an Dritte z.B. den Access-Provider übermittelt werden könnten, die ihrerseits die Möglichkeit haben, den Nutzer aufgrund der IP-Adresse zu identifizieren, was mit dem Grundgedanken des Datenschutzrechts nicht vereinbar ist. Abgesehen davon wird die Rechtsauffassung der Beklagten insoweit nicht geteilt, als vorgetragen wird, dass eine Bestimmbarkeit der Person nur gegeben sei, wenn der Betroffene mit legalen Mitteln identifiziert werden könne. Zu Recht weist der Kläger darauf hin, dass das Datenschutzrecht gerade vor dem Missbrauch von Daten schützen soll, so dass eine derartige Einschränkung des Begriffs der Bestimmbarkeit von Personen seitens des Gerichts als nicht gerechtfertigt erachtet wird.
„Relativer Personenbezug“
Einige juristische Kommentatoren sind demgegenüber der Auffassung, personenbezogen sei ein Datum nur, wenn gerade die jeweils speichernde Stelle den Nutzer identifizieren könne (Gola/Schomerus, BDSG, § 3, Rn. 9; Schaffland/Wiltfang, BDSG, § 3, Rn. 17; Bergmann/Möhrle/Herb, Datenschutzrecht, § 3, Rn. 16). Der Personenbezug sei „relativ“: Ein und dasselbe Datum könne personenbezogen oder „anonym“ sein – je nach dem, wer über das Datum verfüge.
Bernhard Kloos begründet diese Meinung etwa im Fall von IP-Adressen wie folgt:
Unter personenbezogenen Daten versteht man Einzelangaben über bestimmbare natürliche Personen (§ 3 Abs. 1 BDSG). Bei der Prüfung, ob eine Person bestimmbar ist, müssen alle Mittel berücksichtigt werden, die vernünftigerweise vom Verantwortlichen für die Verarbeitung eingesetzt werden können, um die betroffene Person zu bestimmen. Erforderlich ist somit eine wertende Betrachtung. Es kommt dabei auf die Kenntnisse, Mittel und Möglichkeiten der speichernden Stelle an. Sie muss den Bezug mit den ihr normalerweise zur Verfügung stehenden Hilfsmitteln und ohne unverhältnismäßigen Aufwand durchführen können; der Begriff des Personenbezugs ist damit relativ (Gola/Schomerus, BDSG, 8. Auflage, § 3, Rn. 9).
Viele Datenschutzbeauftragte (z.B. Artikel-29-Datenschutzgruppe (4/2007), Landesdatenschutzbeauftragte Niedersachsen und Hessen) halten dynamische IP-Adressen für personenbezogen. Für den Access-Provider, d.h. denjenigen der sie im Rahmen des Nutzungsvorgangs vergibt, erscheint dies geradezu offensichtlich. Alle anderen Dienstanbieter können den Personenbezug jedoch nur in Zusammenarbeit mit einem Access-Provider herstellen.
Somit haben dynamische IP-Adressen relativen Personenbezug (ähnlich Simitis, BDSG, 6.Auflage, § 3, Rn. 63). Für den Access-Provider oder mit ihm kooperierende Unternehmen entsteht der Personenbezug regelmäßig unmittelbar (z.B. bei konzernweitem Datenabgleich). Für andere, allgemeine Anbieter von Telemedien entsteht der Personenbezug erst dann, wenn er wiederhergestellt wird, z.B. im Verlauf eines Ermittlungs- und Strafverfahrens.
Nach dieser Meinung soll das Datenschutzrecht auf „relativ personenbezogene“ Daten grundsätzlich nicht anwendbar sein, insbesondere nicht auf ihre Speicherung. Anzuwenden sei das Datenschutzrecht erst, wenn die Daten an eine Stelle übermittelt werden sollen, die den Betroffenen mit eigenen Mitteln identifizieren kann. Dieser Übermittlungsvorgang und die anschließende Verarbeitung seien nur nach den Regelungen des Datenschutzrechts zulässig (Gola/Schomerus, BDSG, § 3 Rdnr. 10 und 44a).
Diskussion
Im folgenden soll am Beispiel von IP-Adressen gezeigt werden, warum die Theorie eines „relativen Personenbezugs“ nicht dem geltenden Recht entspricht.
Nach § 3 Abs. 1 Bundesdatenschutzgesetz sind personenbezogene Daten „Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person“. Es genügt danach, wenn die Person des Betroffenen „bestimmbar“ ist. Keineswegs fordert das Gesetz, dass der Betroffene gerade durch die speichernde Stelle bestimmbar sein muss. Das Datenschutzrecht soll auch davor schützen, dass eine Identifizierung erst durch die Zusammenführung mit weiteren Daten erfolgt, wie sie etwa im Fall von IP-Adressen bei dem Internet-Zugangsanbieter vorhanden sind. Auch ohne Auskunftsanspruch des Inhalteanbieters gegen den Zugangsanbieter kann es zu einer solchen Zusammenführung kommen, nämlich indem der Internet-Zugangsanbieter oder aber der Inhalteanbieter freiwillig die entsprechenden Daten an die jeweils andere Stelle übermittelt.
Ein personenbezogenes Datum liegt danach schon dann vor, wenn die Herstellung des Personenbezugs einer beliebigen Person möglich ist. Diese Auslegung ist auch europarechtlich geboten. § 3 Abs. 1 BDSG ist insoweit richtlinienkonform auszulegen. Die Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten bestimmt ausdrücklich:
26. Die Schutzprinzipien müssen für alle Informationen über eine bestimmte oder bestimmbare Person gelten. Bei der Entscheidung, ob eine Person bestimmbar ist, sollten alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen.
Zu berücksichtigen sind also auch die Daten, die Dritten zur Verfügung stehen, etwa dem Internet-Zugangsanbieter.
Falsch ist die Auffassung, eine Bestimmbarkeit des Betroffenen liege nur vor, wenn der Betroffene mit legalen Mitteln identifiziert werden könne. Das Datenschutzrecht soll gerade vor dem Missbrauch von Daten schützen (§ 1 Abs. 1 BDSG), wie er in der Praxis leider tagtäglich vorkommt. Man braucht nur die Tätigkeitsberichte der Datenschutzbeauftragten zu lesen, um festzustellen, dass Staat und Wirtschaft immer wieder unter Verstoß gegen Datenschutzrecht Daten übermitteln. Der Einzelne wäre schutzlos gestellt, würde man eine unbeschränkte Speicherung seiner Daten mit dem Argument zulassen, seine Person könne von der momentan speichernden Stelle mit legalen Mitteln nicht bestimmt werden.
Diese Auffassung würde ein Eldorado für Kreditauskunfteien, Detekteien, Werbeunternehmen usw. eröffnen. Diese könnten dann nämlich unbegrenzt sensible Daten über jegliche Personen ansammeln und weitergeben, solange sie nicht den Namen der Betroffenen, sondern nur deren Personalausweisnummer, Kundennummer, Kontonummer o.ä. speicherten. Sie könnten sich dann darauf berufen, dass sie selbst die Betroffenen mit legalen Mitteln nicht bestimmen könnten. Dies wäre mit dem Grundrecht auf informationelle Selbstbestimmung offensichtlich unvereinbar.
Bei der Auslegung des Begriffs der Bestimmbarkeit darf das Risiko einer unbefugten Bestimmung des Betroffenen nicht unbeachtet bleiben. Das Datenschutzrecht und die dort vorgesehenen Löschungspflichten dienen gerade dazu, dieses Missbrauchsrisiko von vornherein auszuschließen. Das Bundesverfassungsgericht stellt in seinem Beschluss vom 27.10.2006 ausdrücklich auf die Möglichkeit eines rechtswidrigen Datenmissbrauchs durch Dritte ab, wenn es ausführt:
Auch das Risiko eines Missbrauchs der Verkehrsdaten durch das Telekommunikationsunternehmen oder durch Dritte, die sich unbefugt Zugang zu ihnen verschaffen, ist nicht völlig auszuschließen.
Die relativierende Auffassung findet dementsprechend auch keinen Anhaltspunkt im Gesetz. § 3 Abs. 1 BDSG stellt – bewusst – weder darauf ab, ob der Betroffene gerade von der speichernden Stelle bestimmbar ist, noch schränkt er die Beurteilung der Bestimmbarkeit auf legale Mittel ein. Vielmehr heißt es in der EG-Datenschutzrichtlinie ausdrücklich, es müssten „alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten“. Dies ist die zutreffende und verbindliche Definition der Bestimmbarkeit im Sinne des Datenschutzrechts.
Schließlich vergessen die Vertreter der relativierenden Auffassung den praxisrelevantesten, legalen Fall, in dem „relativ“ personenbezogene Daten der Person eines Nutzers zugeordnet werden können. Möglich ist dies nämlich stets staatlichen Stellen, die über entsprechende Zwangsbefugnisse verfügen. Im Internet ermöglicht § 113 TKG die Identifizierung von Internetnutzern: Besteht der Verdacht einer Ordnungswidrigkeit, einer Straftat, einer Gefahr oder halten die Geheimdienste dies für erforderlich, so hat der Internet-Zugangsanbieter der zuständigen Stelle unverzüglich Auskunft über den Namen des Nutzers einer IP-Adresse zu erteilen (§ 113 Telekommunikationsgesetz; dazu LG Stuttgart, MMR 2005, 628 ff.; MMR 2005, 624 ff.; LG Hamburg, MMR 2005, 711; LG Würzburg, NStZ-RR 2006, 46).
Konsequenz der Verneinung des Personenbezugs von Internet-Nutzungsprotokollen wäre, dass das Internet-Nutzungsverhalten inhaltlich und zeitlich unbegrenzt protokolliert werden dürfte. Die Löschungspflichten in § 15 des Telemediengesetzes wären praktisch bedeutungslos. Schon die Befürchtung eines Missbrauchs dieser Datenhalden würde die Informations- und Meinungsfreiheit im Internet unangemessen beeinträchtigen. Im Volkszählungsurteil hat das Bundesverfassungsgericht zutreffend ausgeführt:
Wer damit rechnet, daß etwa die Teilnahme an einer Versammlung oder einer Bürgerinitiative behördlich registriert wird und daß ihm dadurch Risiken entstehen können, wird möglicherweise auf eine Ausübung seiner entsprechenden Grundrechte (Art. 8, 9 GG) verzichten. Dies würde nicht nur die individuellen Entfaltungschancen des Einzelnen beeinträchtigen, sondern auch das Gemeinwohl, weil Selbstbestimmung eine elementare Funktionsbedingung eines auf Handlungsfähigkeit und Mitwirkungsfähigkeit seiner Bürger begründeten freiheitlichen demokratischen Gemeinwesens ist.
Auch im Internet wäre eine unbefangene Ausübung der Informations- und Meinungsäußerungsfreiheit unmöglich, wenn jeder Klick und jede Eingabe personenbeziehbar registriert werden dürfte.
Nicht nachvollziehbar ist zuletzt die Auffassung, das Datenschutzrecht gelte zwar nicht für die Speicherung, wohl aber für die Übermittlung „relativ“ personenbezogener Daten an eine Stelle mit Zusatzwissen. Die gesetzlichen Regelungen sowohl der Datenspeicherung wie auch der Datenübermittlung beziehen sich gleichermaßen auf personenbezogene Daten. Es ist in sich widersprüchlich, dass ein und dasselbe Datum personenbezogen sein soll, wenn es übermittelt werden soll, nicht aber, wenn es gespeichert werden soll.
Ergebnis
Heutzutage bestehen weitgehende Möglichkeiten der Zuordnung von Informationen zu einer Person. So erlaubt es im Bereich von Telefongesprächen beispielsweise die Stimmenanalyse, Gesprächsteilnehmer zu identifizieren. Grundsätzlich ist daher jedes hinreichend spezifische Datum personenbezogen. Dem steht nicht entgegen, dass eine Herstellung des Personenbezugs unter Umständen nur unter großem Aufwand möglich sein kann. Es können nämlich stets besondere Umstände eintreten – beispielsweise bevorstehende terroristische Anschläge –, die Kostenerwägungen zurücktreten lassen. Zudem besteht das Risiko zufällig vorliegender Zusatzkenntnisse, etwa wenn eine Person demjenigen, der über die Daten verfügt, persönlich bekannt ist. Die Wahrscheinlichkeit der Herstellung eines Personenbezuges kann daher erst im Rahmen der Rechtfertigung des Eingriffs in das Recht auf informationelle Selbstbestimmung eine Rolle spielen. Anwendung findet das Datenschutzrecht in jedem Fall.
Ergänzung vom 17.07.2008:
In einem Aufsatz „Zur Personenbezogenheit von IP-Adressen“ (KuR 2008, 288) setzt sich Frau Pahlen-Brandt ebenfalls mit der Frage auseinander, wann ein personenbezogenes Datum vorliegt. Für die Anwendung des Datenschutzrechts auch auf nur mit Zusatzwissen zuzuordnende Daten führt sie weitere Argumente ins Feld:
Wenn die Übermittlungsregelungen des Datenschutzrechts nur für die Übermittlung der Daten an Personen mit dem erforderlichen Zusatzwissen gälten, wäre kein effektiver Schutz gewährleistet. Denn woher soll man wissen, ob der Empfänger über das erforderliche Zusatzwissen verfügt? Wer kontrolliert das? Muss man sich darauf verlassen, was der Empfänger sagt? Und wie wäre zu verhindern, dass der Empfänger die Daten an eine Person mit Zusatzwissen weiter übermittelt? Pahlen-Brandt: „Der Schutz des informationellen Selbstbestimmungsrechts wäre hier allein dem Käufer überlassen, der aus einem Verstoß gegen Datenschutzbestimmungen Nutzen ziehen könnte.“
13.698mal gelesen |
![]() |
![]() |
Verwandte Artikel
- Datenschutz im Internet: Zwangsidentifizierung und Surfprotokollierung bleiben verboten (3.12.2018)
- Complaint against use of Cloudflare by the EU Council (28.6.2018)
- Bundesgerichtshof begründet Grundsatzurteil zu Surfprotokollierung und IP-Adressen (27.6.2017)
- Nackt im Netz durch Surfprotokollierung? Klage geht nach BGH-Urteil in neue Runde (17.5.2017)
- Brief an die Bundesdatenschutzbeauftragte zur Surfprotokollierung ()
Strafbares Verhalten ist ein "vernünftiges" Mittel? — 18. Februar 2008 @ 14.17 Uhr
Es wird hier immer wieder der 26. Erwägungsgrund des Richtlinie 95/46/EG zitiert. Dort ist geregelt, dass alle Mittel berücksichtigt werden sollen, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten.
Die Auskunft druch den Access-Provider gegenüber einem Webseitenbetreiber über den Kunden, dem zu einem bestimmten Zeitpunkt eine bestimmte IP-Addresse zugewiesen wurde, ist gemäß § 206 StGB wegen Verletzung des Fernmeldegeheimnisses mit bis zu 5 Jahren Freiheitsstrafe betraft.
Der Webseitenbetreiber, der um Auskunft bittet, macht sich der Anstiftung strafbar und sieht sich ebenfalls mit bis zu 5 Jahren Freiheitsstrafe bedroht.
Ein für beide Seiten strafbares Verhalten (5Jahre!) als Mittel zu berücksichtigen welches „vernünftiger Weise eingesetzt werden könnte“ ist ebenso zynisch, wie der Hinweis, dass der „Internet-Zugangsanbieter (…) freiwillig die entsprechenden Daten an die jeweils andere Stelle übermittelt“.
Daten-Speicherung.de – minimum data, maximum privacy » Bundesjustizministerium: Surfprotokollierung durch Webseitenbetreiber illegal — 2. Mai 2009 @ 18.33 Uhr
[...] bestätigt das Ministerium auch, dass IP-Adresse und Zeitstempel personenbezogene Daten sind, weil sie über die beim Zugangsanbieter gespeicherten Daten eine Identifizierung und [...]