Die schwedischen Verwaltungsgerichte haben sich der inzwischen ganz überwiegenden Meinung angeschlossen, wonach IP-Adressen nicht nur bei dem Internet-Zugangsanbieter, sondern allgemein personenbeziehbar sind und deswegen dem Datenschutzrecht unterliegen (ebenso Amtsgericht Berlin [1], Landgericht Berlin [2], Verwaltungsgericht Wiesbaden [3], das schweizerische Bundesverwaltungsgericht [4], das deutsche Bundesjustizministerium [5] und der Bundesdatenschutzbeauftragte [5]; anders nur ein nicht rechtskräftiges Urteil des AG München [6]).
Am 16. Juni 2009 (Az. 3978-07) hat das oberste schwedische Verwaltungsgericht – der dem Bundesverwaltungsgericht vergleichbare Regeringsrätten [7] – ein Rechtsmittel gegen eine Entscheidung des Stockholmer Kammarrätt (Oberverwaltungsgericht) zurückgewiesen. Nach dessen nunmehr rechtskräftiger Entscheidung vom 8. Juni 2007 (Az. 285-07) sind IP-Adressen allgemein personenbezogene Daten im Sinne der EG-Datenschutzrichtlinie 95/46/EG [8].
Das Stockholmer Oberverwaltungsgericht begründete diese Entscheidung wie folgt:
- Da das schwedische Datenschutzgesetz der Umsetzung der Richtlinie 95/46/EG [8] diene, sei es in deren Licht auszulegen.
- Nach Art. 2 finde die Richtlinie 95/46/EG [8] Anwendung auf personenbezogene Daten. Personenbezogene Daten seien danach „alle Informationen über eine bestimmte oder bestimmbare natürliche Person (‚betroffene Person‘); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind“.
- Erwägungsgrund 26 der Richtlinie 95/46/EG [8] besage, bei der Entscheidung, ob eine Person bestimmbar ist, sollten alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen. Die Schutzprinzipien finden keine Anwendung auf Daten, die derart anonymisiert sind, daß die betroffene Person nicht mehr identifizierbar ist.
- In Verbindung mit den Daten des Internet-Zugangsanbieters könne die Person ermittelt werden, über deren Internetanschluss die Nutzung erfolgt sei. Der Anschlussinhaber könne eine natürliche Person sein.
- Dass sich nicht ermitteln lässt, wer diesen Internetzugang tatsächlich genutzt hat, ändere an dem Personenbezug nichts, weil die IP-Adresse jedenfalls auf die Person des Anschlussinhabers rückschließen lasse.
- Dass der Kläger – das schwedische „Anti-Piracy-Office“ – die Rückführung der von ihm gespeicherten IP-Adresse auf die Person des Anschlussinhabers nicht selbst auf legale Weise vornehmen könne, sei nach dem Erwägungsgrund 26 der Richtlinie unerheblich. Im Übrigen sammele der Kläger die IP-Adressen von Tauschbörsenteilnehmern gerade zu dem Zweck, die Teilnehmer identifizieren zu lassen.
- IP-Adressen seien auch nicht anonymisiert in einer Weise, in der die betroffene Person nicht mehr identifizierbar sei.
- Dass das nationale Recht einiger EG-Staaten einen engeren Begriff des Personenbezugs aufweisen mag, sei unerheblich.
Der Kläger hatte insoweit angeführt, dass das britische und das irische Datenschutzgesetz nur Anwendung finden, wenn der Verantwortliche den Personenbezug selbst herstellen kann. Dagegen sieht beispielsweise das deutsche Bundesdatenschutzgesetz eine solche Einschränkung nicht vor. Das österreichische Datenschutzgesetz [9] bestimmt in § 4 Nr. 1 sogar ausdrücklich die Anwendbarkeit auf „nur indirekt personenbezogene“ Daten, bei denen der Verantwortliche „die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann“.
Siehe auch:
- Die Urteil der schwedischen Gerichte (schwedisch) [10]
- Personenbezug: Keine Relativierung des Datenschutzes [ergänzt] [11] (14.12.2007)
Ergänzung vom 24.11.2011:
Heute hat der Europäische Gerichtshof in Bezug auf einen Internet-Zugangsanbieter entschieden (Az. C-70/10 [12]): „Zum einen steht nämlich fest, dass die Anordnung, das streitige Filtersystem einzurichten, eine systematische Prüfung aller Inhalte sowie die Sammlung und Identifizierung der IP-Adressen der Nutzer bedeuten würde, die die Sendung unzulässiger Inhalte in diesem Netz veranlasst haben, wobei es sich bei diesen Adressen um personenbezogene Daten handelt, da sie die genaue Identifizierung der Nutzer ermöglichen.“
Zuvor hatte sich bereits der Generalanwalt ausführlicher mit der Frage beschäftigt und war zu demselben Ergebnis gekommen [13].