{"id":1198,"date":"2009-06-06T16:23:12","date_gmt":"2009-06-06T14:23:12","guid":{"rendered":"http:\/\/www.daten-speicherung.de\/?p=1198"},"modified":"2011-05-14T23:09:17","modified_gmt":"2011-05-14T21:09:17","slug":"bundesverwaltungsgericht-ip-adressen-unterliegen-dem-datenschutz","status":"publish","type":"post","link":"https:\/\/www.daten-speicherung.de\/index.php\/bundesverwaltungsgericht-ip-adressen-unterliegen-dem-datenschutz\/","title":{"rendered":"Bundesverwaltungsgericht: IP-Adressen unterliegen dem Datenschutz"},"content":{"rendered":"<p>Mit <a href=\"http:\/\/www.webcitation.org\/query?url=http%3A%2F%2Fwww.bvger.ch%2Fpubliws%2Fdownload%3FdecisionId%3D78743967-caa9-4509-9c25-35f1295be613&#038;date=2011-05-14\">Urteil<\/a> vom 27.05.2009 (Az. A-3144\/2008) hat sich das schweizerische Bundesverwaltungsgericht der inzwischen ganz &#252;berwiegenden Meinung angeschlossen, wonach IP-Adressen nicht nur bei dem Internet-Zugangsanbieter, sondern allgemein <strong>personenbeziehbar sind<\/strong> und deswegen dem Datenschutzrecht unterliegen (ebenso <a href=\"http:\/\/www.daten-speicherung.de\/index.php\/urteil-vorratsspeicherung-von-kommunikationsspuren-verboten\/#ag\">Amtsgericht Berlin<\/a>, <a href=\"http:\/\/www.linksandlaw.de\/urteil113-sperrpflicht-host-provider.htm\">Landgericht Berlin<\/a>,  <a href=\"http:\/\/www.vorratsdatenspeicherung.de\/content\/view\/301\/79\/lang,de\/\">Verwaltungsgericht Wiesbaden<\/a>, <a href=\"http:\/\/www.daten-speicherung.de\/index.php\/bundesjustizministerium-surfprotokollierung-durch-webseitenbetreiber-illegal\/\">Bundesjustizministerium<\/a> und der <a href=\"\/index.php\/bundesjustizministerium-surfprotokollierung-durch-webseitenbetreiber-illegal\/\">Bundesdatenschutzbeauftragte<\/a>; anders nur ein nicht rechtskr&#228;ftiges Urteil des <a href=\"http:\/\/www.retosphere.de\/offenenetze\/2008\/10\/08\/ag-munchen-ip-adresse-nicht-personenbezogen\/\">AG M&#252;nchen<\/a>). In Deutschland ist es Anbietern von Websites nach <a href=\"http:\/\/dejure.org\/gesetze\/TMG\/15.html\" title=\"&sect; 15 TMG: (weggefallen)\">\u00a7 15<\/a> Telemediengesetz <a href=\"http:\/\/www.wirspeichernnicht.de\/content\/view\/4\/21\/\">verboten<\/a>, IP-Adressen &#252;ber die Dauer des Nutzungsvorgangs hinaus zu speichern oder &#8211; z.B. durch Nutzung von Google Analytics &#8211; speichern zu lassen, weil sich dadurch die Internetnutzung jedes B&#252;rgers nachverfolgen lie&#223;e.<\/p>\n<p>Aus dem <strong><a href=\"http:\/\/www.webcitation.org\/query?url=http%3A%2F%2Fwww.bvger.ch%2Fpubliws%2Fdownload%3FdecisionId%3D78743967-caa9-4509-9c25-35f1295be613&#038;date=2011-05-14\">Urteil<\/a> des Bundesverwaltungsgerichts<\/strong> vom 27.05.2009 (Hervorhebungen von mir):<\/p>\n<blockquote><p>2.2.1 Unter Personendaten (Daten) fallen nach Art. 3 Bst. a DSG <strong>alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen<\/strong>. Darunter ist jede Art von Information zu verstehen, die auf die Vermittlung oder die Aufbewahrung von Kenntnissen ausgerichtet ist, ungeachtet, ob es sich dabei um eine Tatsachenfeststellung oder um ein Werturteil handelt. Unerheblich ist auch, ob eine Aussage als Zeichen, Wort, Bild, Ton oder Kombinationen aus diesen auftritt und auf welcher Art von Datentr&#228;ger die Informationen gespeichert sind. Entscheidend ist, dass sich die Angaben einer oder mehreren Personen zuordnen lassen (URS BELSER, in: Maurer-Lambrou\/Vogt [Hrsg.], Datenschutzgesetz, Basler Kommentar, 2. Aufl., Basel 2006, Rz. 5 zu Art. 3 DSG).<\/p>\n<p>Eine Person ist dann bestimmt, wenn sich aus der Information selbst ergibt, dass es sich genau um diese Person handelt. Bestimmbar ist sie dann, wenn aus dem Kontext einer Information auf sie geschlossen werden kann. F&#252;r die Bestimmbarkeit gen&#252;gt aber nicht jede theoretische M&#246;glichkeit der Identifizierung. Ist der Aufwand f&#252;r die Bestimmung der betroffenen Personen derart gross, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird, liegt keine Bestimmbarkeit vor (vgl. Botschaft des Bundesrates vom 23. M&#228;rz 1988 zum DSG, Bundesblatt [BBl] 1988 II, S. 444 f.). Ob eine Person bestimmbar ist, muss anhand objektiver Kriterien im konkreten Fall beurteilt werden, wobei insbesondere auch die M&#246;glichkeiten der Technik, wie zum Beispiel die beim Internet verf&#252;gbaren Suchwerkzeuge, mitzuber&#252;cksichtigen sind. <strong>Entscheidend ist nicht, ob derjenige, der die Daten bearbeitet, den f&#252;r eine Identifizierung erforderlichen Aufwand betreiben kann oder will, sondern ob damit gerechnet werden muss, dass ein Dritter, der ein Interesse an diesen Angaben hat, bereit ist, eine Identifizierung vorzunehmen<\/strong> (BELSER, a.a.O., Rz. 6 zu Art. 3 DSG; DAVID ROSENTHAL, in: Rosenthal\/J&#246;hri, Handkommentar zum Datenschutzgesetz, Z&#252;rich 2008, Rz. 24 f. zu Art. 3 DSG). [&#8230;]<\/p>\n<p>2.2.3 Hinsichtlich der Qualifikation von IP-Adressen als Personendaten rechtfertigt sich eine vergleichende Betrachtung der Rechtslage in der Europ&#228;ischen Union: Die Gruppe f&#252;r den Schutz von Personen bei der Verarbeitung personenbezogener Daten (nachfolgend <strong>Datenschutzgruppe<\/strong>) wurde durch Art. 29 der Richtlinie <a target=\"_blank\" href=\"http:\/\/eur-lex.europa.eu\/LexUriServ\/LexUriServ.do?uri=CELEX:31995L0046:DE:HTML\">95\/46\/EG<\/a> des Europ&#228;ischen Parlaments und des Rates vom 24. Oktober 1995 eingesetzt und ist ein unabh&#228;ngiges EU-Beratungsgremium f&#252;r Datenschutzfragen. In ihrer am 20. Juni 2007 angenommenen <a href=\"http:\/\/ec.europa.eu\/justice_home\/fsj\/privacy\/docs\/wpdocs\/2007\/wp136_de.pdf\">Stellungnahme 4\/2007 zum Begriff &#8222;personenbezogene Daten&#8220;<\/a> stuft die Datenschutzgruppe mit Verweis auf ein fr&#252;heres Arbeitspapier (<a href=\"http:\/\/ec.europa.eu\/justice_home\/fsj\/privacy\/docs\/wpdocs\/2000\/wp37de.pdf\">Arbeitsdokument WP 37<\/a>, Privatsph&#228;re im Internet \u2013 Ein integrierter EU-Ansatz zum Online-Datenschutz, angenommen am 21. November 2000, insbesondere S. 17) IP-Adressen als Daten ein, die sich auf eine bestimmbare Person beziehen. Internet-Zugangsanbieter und Verwalter von lokalen Netzwerken k&#246;nnten ohne grossen Aufwand Internetnutzer identifizieren, denen sie IP-Adressen zugewiesen h&#228;tten, da sie in der Regel in Dateien systematisch Datum, Zeitpunkt, Dauer und die dem Internetnutzer zugeteilte dynamische IP-Adresse einf&#252;gen w&#252;rden. Dasselbe lasse sich von den Internet-Dienstanbietern sagen, die in ihren HTTP-Servern Protokolle f&#252;hren w&#252;rden. In diesen F&#228;llen bestehe kein Zweifel, dass man von personenbezogenen Daten im Sinne von Art. 2 Bst. a der Richtlinie <a target=\"_blank\" href=\"http:\/\/eur-lex.europa.eu\/LexUriServ\/LexUriServ.do?uri=CELEX:31995L0046:DE:HTML\">95\/46\/EG<\/a> reden k&#246;nne.<\/p>\n<p>Weiter wird in der Stellungnahme zum Begriff &#8222;personenbezogene Daten&#8220; ausdr&#252;cklich auf jene F&#228;lle hingewiesen, in denen der Zweck der Verarbeitung von IP-Adressen in der Identifizierung der Computernutzer besteht, beispielsweise durch Inhaber von Urheberrechten zur strafrechtlichen Verfolgung wegen Verletzung von Rechten an geistigem Eigentum. Vor allem in diesen F&#228;llen gehe der f&#252;r die Verarbeitung Verantwortliche vom Vorhandensein der Mittel aus, die zur Identifizierung der betreffenden Personen &#8222;vern&#252;nftigerweise eingesetzt werden k&#246;nnten&#8220;, zum Beispiel von den Gerichten, bei denen Beschwerde eingelegt worden sei. Andernfalls sei die Erhebung der Informationen nicht sinnvoll. Einen Sonderfall w&#252;rden IP-Adressen bilden, die unter bestimmten Umst&#228;nden aus verschiedenen technischen und organisatorischen Gr&#252;nden keine Identifizierung des Nutzers gestatten w&#252;rden, wie beispielsweise bei einem Computer in einem Internet- Caf\u00e9, in dem keine Identifizierung der Kunden gefordert werde. Es k&#246;nne argumentiert werden, dass hier keine personenbezogenen Daten vorl&#228;gen, da der Nutzer unter Einsatz vern&#252;nftiger Mittel nicht identifiziert werden k&#246;nne. In diesem Fall sei jedoch zu ber&#252;cksichtigen, dass ein Internet-Dienstanbieter in der Regel nicht wissen k&#246;nne, ob eine bestimmte IP-Adresse die Identifizierung erm&#246;gliche oder nicht. <strong>Wenn der Internet-Dienstanbieter also nicht mit absoluter Sicherheit erkennen k&#246;nne, dass die Daten zu nicht bestimmbaren Benutzern geh&#246;ren w&#252;rden, m&#252;sse er sicherheitshalber alle IP-Informationen wie personenbezogene Daten behandeln<\/strong> (Stellungnahme, S. 19 f.).<\/p>\n<p>2.2.4 Bei IP-Adressen handelt es sich um technische Informationen, die eine eindeutige Identifizierung eines Rechners zulassen. <strong>Dabei k&#246;nnen statische IP-Adressen, die einem Rechner fest zugeteilt sind, wie die Beklagte in ihrer Duplik selber darlegt, vergleichbar einer Telefonnummer als Personendaten qualifiziert werden. Im Ergebnis muss dasselbe aber auch f&#252;r dynamische IP-Adressen gelten: <\/strong>Zwar k&#246;nnen weder die Beklagte noch die Urheberrechtsinhaber selber die hinter einer IP-Adresse stehende Person bestimmen. Der Provider muss diese Information nur im Zusammenhang mit der Verfolgung von Straftaten und nur gegen&#252;ber Beh&#246;rden offenlegen. Die Person ist daher lediglich anhand der IP-Adresse nicht bestimmbar (ROSENTHAL, a.a.O., Rz. 27 zu Art. 3 DSG). Wird jedoch eine Straftat ver&#252;bt, &#228;ndert sich die Situation. Nicht nur steigt das Interesse an der Bestimmung der Person hinter der IP-Adresse, mit der Einleitung einer Strafuntersuchung erh&#228;lt der Urheberrechtsinhaber auch indirekt das Mittel in die Hand, die Person zu identifizieren. Dadurch werden die betreffenden Aufzeichnungen automatisch zu Personendaten auch bez&#252;glich der so ermittelbaren bzw. ermittelten Person und nicht mehr nur des registrierten Inhabers der IP-Adresse (ROSENTHAL, a.a.O., Rz. 27 zu Art. 3 DSG). Wie die Praxis zeigt, sind gerade Urheberrechtsinhaber bereit, strafrechtlich vorzugehen, um die Identifizierung der Daten von Internetnutzern zu erwirken. Sie k&#246;nnen, objektiv betrachtet, ein konkretes Interesse an der entsprechenden Information f&#252;r sich beanspruchen. Daher ist auch damit zu rechnen, dass ein in seinen Rechten verletzter Urheberrechtsinhaber den n&#246;tigen Aufwand auf sich nimmt, diese Daten zu identifizieren. Ob sodann ein Strafverfahren zum gew&#252;nschten Erfolg f&#252;hrt oder allenfalls im konkreten Fall vorzeitig eingestellt wird, &#228;ndert dagegen nichts an der grunds&#228;tzlichen Bestimmbarkeit der Daten. In diesem Sinne erachtet auch die Datenschutzgruppe der Europ&#228;ischen Union dynamische IP-Adressen als personenbezogene Daten gem&#228;ss Art. 2 Bst. a der Richtlinie <a target=\"_blank\" href=\"http:\/\/eur-lex.europa.eu\/LexUriServ\/LexUriServ.do?uri=CELEX:31995L0046:DE:HTML\">95\/46\/EG<\/a>, deren Definition von Personendaten sehr &#228;hnlich ist mit derjenigen in Art. 3 Bst. a DSG.<\/p>\n<p><strong>IP-Adressen sind folglich entgegen der Ansicht der Beklagten als Personendaten im Sinne des DSG anzusehen.<\/strong><\/p><\/blockquote>\n<p><a href=\"http:\/\/www.webcitation.org\/query?url=http%3A%2F%2Fwww.bvger.ch%2Fpubliws%2Fdownload%3FdecisionId%3D78743967-caa9-4509-9c25-35f1295be613&#038;date=2011-05-14\">Das Urteil im Volltext (pdf)<\/a><\/p>","protected":false},"excerpt":{"rendered":"<p>Mit Urteil vom 27.05.2009 (Az. A-3144\/2008) hat sich das schweizerische Bundesverwaltungsgericht der inzwischen ganz &#252;berwiegenden Meinung angeschlossen, wonach IP-Adressen nicht nur bei dem Internet-Zugangsanbieter, sondern allgemein personenbeziehbar sind und deswegen dem Datenschutzrecht unterliegen (ebenso Amtsgericht Berlin, Landgericht Berlin, Verwaltungsgericht Wiesbaden, Bundesjustizministerium und der Bundesdatenschutzbeauftragte; anders nur ein nicht rechtskr&#228;ftiges Urteil des AG M&#252;nchen). In Deutschland [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2,15,13,20],"tags":[21,28,29],"class_list":["post-1198","post","type-post","status-publish","format-standard","hentry","category-datenschutz-im-privatsektor","category-juristisches","category-metaowl-watchblog","category-surfprotokollierung","tag-ip-retention","tag-telemediengesetz","tag-telemedienrecht"],"_links":{"self":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts\/1198","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/comments?post=1198"}],"version-history":[{"count":3,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts\/1198\/revisions"}],"predecessor-version":[{"id":3127,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts\/1198\/revisions\/3127"}],"wp:attachment":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/media?parent=1198"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/categories?post=1198"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/tags?post=1198"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}