{"id":1870,"date":"2009-11-28T17:26:58","date_gmt":"2009-11-28T15:26:58","guid":{"rendered":"http:\/\/www.daten-speicherung.de\/?p=1870"},"modified":"2014-06-04T07:19:48","modified_gmt":"2014-06-04T05:19:48","slug":"datenschutzbeauftragte-protokollierung-von-ip-adressen-ist-unzulaessig","status":"publish","type":"post","link":"https:\/\/www.daten-speicherung.de\/index.php\/datenschutzbeauftragte-protokollierung-von-ip-adressen-ist-unzulaessig\/","title":{"rendered":"Datenschutzbeauftragte: Protokollierung von IP-Adressen ist unzul&#228;ssig [erg&#228;nzt am 19.02.2010]"},"content":{"rendered":"<p>Die Datenschutz-Aufsichtsbeh&#246;rden f&#252;r den nicht-&#246;ffentlichen Bereich (<a href=\"http:\/\/www.bfdi.bund.de\/cln_111\/DE\/AnschriftenUndLinks\/AufsBehoerdFuerDenNichtOeffBereich\/AufsBehoerdFuerDenNichtOeffBereich_node.html\">Liste<\/a>) reden Tacheles mit den Anbietern von Internetportalen und -diensten: Am 26.\/27.11.2009 stimmten sie einem <a href=\"https:\/\/www.datenschutz-mv.de\/datenschutz\/themen\/beschlue\/Analyse.pdf\">Antrag (pdf)<\/a> Mecklenburg-Vorpommerns zu, wonach die IP-Adressen von Internetnutzern auch f&#252;r Anbieter von Internetdiensten ein personenbeziehbares Datum darstellen, das dem Datenschutzrecht unterliegt. Ohne bewusste, eindeutige Einwilligung des Nutzers d&#252;rften <strong>IP-Adressen daher nur gek&#252;rzt <\/strong>zur statistischen Analyse des Nutzungsverhaltens verwendet werden.<\/p>\n<p><strong>Inhalt des Beschlusses<\/strong><\/p>\n<p>W&#246;rtlich <a href=\"https:\/\/www.datenschutz-mv.de\/datenschutz\/themen\/beschlue\/Analyse.pdf\">hei&#223;t<\/a> es in dem Beschluss des D&#252;sseldorfer Kreises, in dem die Vertreter der <strong>obersten Aufsichtsbeh&#246;rden<\/strong> der L&#228;nder sowie der Bundesbeauftragte f&#252;r den Datenschutz zusammengeschlossen <a href=\"http:\/\/www.datenschutz.bremen.de\/sixcms\/media.php\/13\/jahresbericht_25.pdf#page=12\">sind<\/a>:<\/p>\n<blockquote><p>Personenbezogene Daten eines Nutzers d&#252;rfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die <strong>Inanspruchnahme von Telemedien<\/strong> zu erm&#246;glichen und abzurechnen. Jede dar&#252;ber hinausgehende Nutzung bedarf der Einwilligung der Betroffenen.<\/p>\n<p>Die Analyse des Nutzungsverhaltens unter Verwendung vollst&#228;ndiger IP-Adressen (einschlie&#223;lich einer Geolokalisierung) ist aufgrund der Personenbeziehbarkeit dieser Daten daher nur mit bewusster, eindeutiger Einwilligung zul&#228;ssig. Liegt eine solche Einwilligung nicht vor, <strong>ist die IP-Adresse vor jeglicher Auswertung so zu k&#252;rzen, dass eine Personenbeziehbarkeit ausgeschlossen ist<\/strong>.<\/p><\/blockquote>\n<p>Der letzte Absatz ist insofern missverst&#228;ndlich als nicht nur die ungek&#252;rzte Auswertung der IP-Adressen von Internetnutzern sondern <strong>schon deren ungek&#252;rzte Protokollierung illegal <\/strong>(<a href=\"http:\/\/dejure.org\/gesetze\/TMG\/13.html\" title=\"&sect; 13 TMG: (weggefallen)\">\u00a7\u00a7 13<\/a>, <a href=\"http:\/\/dejure.org\/gesetze\/TMG\/15.html\" title=\"&sect; 15 TMG: (weggefallen)\">15 TMG<\/a>) ist und mit einem Bu&#223;geld von bis zu 50.000 Euro (<a href=\"http:\/\/dejure.org\/gesetze\/TMG\/16.html\" title=\"&sect; 16 TMG: (weggefallen)\">\u00a7 16 TMG<\/a>) bestraft wird. Der erste zitierte Absatz macht dies deutlich (&#8222;Personenbezogene Daten eines Nutzers d&#252;rfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu erm&#246;glichen und abzurechnen.&#8220;)<\/p>\n<p>Mit der Forderung nach einer K&#252;rzung der IP-Adresse stellen die Aufsichtsbeh&#246;rden klar, dass eine blo&#223;e <strong>Verschl&#252;sselung der ungek&#252;rzten IP-Adressen<\/strong> (z.B. MD5-Verfahren, mod_scrambleIP) nicht gen&#252;gt, weil diese &#8211; zumindest f&#252;r eine gewisse Zeit &#8211; durch <a href=\"http:\/\/de.wikipedia.org\/wiki\/Brute-Force-Methode\">Ausprobieren<\/a> umkehrbar ist.<\/p>\n<p>Soweit das Telemediengesetz die Erstellung von <strong>Nutzungsprofilen <\/strong>unter Verwendung von Pseudonymen erlaubt (<a href=\"http:\/\/dejure.org\/gesetze\/TMG\/15.html\" title=\"&sect; 15 TMG: (weggefallen)\">\u00a7 15 Abs. 3 TMG<\/a>), stellen die Aufsichtsbeh&#246;rden klar:<\/p>\n<blockquote><p>Die <strong>IP-Adresse ist kein Pseudonym<\/strong> im Sinne des Telemediengesetzes.<\/p><\/blockquote>\n<p><strong>Bewertung<\/strong><\/p>\n<p>Dass die Aufsichtsbeh&#246;rden die bei Webseitenanbietern anfallenden IP-Adressen als personenbezogene Daten ansehen, entspricht der inzwischen <strong>nahezu einhelligen Meinung<\/strong> in Fachkreisen (ebenso <a href=\"http:\/\/daten-speicherung.de\/index.php\/urteil-vorratsspeicherung-von-kommunikationsspuren-verboten\/#ag\">Amtsgericht Berlin<\/a>, <a href=\"http:\/\/www.linksandlaw.de\/urteil113-sperrpflicht-host-provider.htm\">Landgericht Berlin<\/a>, <a href=\"http:\/\/www.vorratsdatenspeicherung.de\/content\/view\/301\/79\/lang,de\/\">Verwaltungsgericht Wiesbaden<\/a>, <a href=\"http:\/\/www.jurpc.de\/rechtspr\/20080110.htm\">Amtsgericht Wuppertal<\/a>, <a href=\"http:\/\/www.webcitation.org\/query?url=http%3A%2F%2Fwww.bvger.ch%2Fpubliws%2Fdownload%3FdecisionId%3D78743967-caa9-4509-9c25-35f1295be613&amp;date=2011-05-14\">schweizerisches Bundesverwaltungsgericht<\/a>, <a href=\"http:\/\/jumpcgi.bger.ch\/cgi-bin\/JumpCGI?id=08.09.2010_1C_285\/2009\">schweizerisches Bundesgericht<\/a>, <a href=\"http:\/\/www.daten-speicherung.de\/?p=1218\">oberstes schwedisches Verwaltungsgericht<\/a>, <a href=\"http:\/\/www.conseil-constitutionnel.fr\/conseil-constitutionnel\/francais\/les-decisions\/2009\/decisions-par-date\/2009\/2009-580-dc\/decision-n-2009-580-dc-du-10-juin-2009.42666.html\">franz&#246;sischer Verfassungsgerichtshof<\/a> [Abs. 27], <a href=\"http:\/\/daten-speicherung.de\/index.php\/bundesjustizministerium-surfprotokollierung-durch-webseitenbetreiber-illegal\/\">Bundesjustizministerium<\/a>, <a href=\"http:\/\/daten-speicherung.de\/index.php\/bundesjustizministerium-surfprotokollierung-durch-webseitenbetreiber-illegal\/\">Bundesdatenschutzbeauftragter<\/a>, <a href=\"http:\/\/www.datenschutz.rlp.de\/downloads\/oh\/dsb_info_egovernment.pdf\">Datenschutzbeauftragte des Bundes und der L&#228;nder<\/a>, die Datenschutzbeauftragten aller EU-Staaten [<a href=\"http:\/\/ec.europa.eu\/justice_home\/fsj\/privacy\/docs\/wpdocs\/2000\/wp37de.pdf\">1<\/a>, <a href=\"http:\/\/ec.europa.eu\/justice_home\/fsj\/privacy\/docs\/wpdocs\/2002\/wp58_de.pdf\">2<\/a>, <a href=\"http:\/\/ec.europa.eu\/justice_home\/fsj\/privacy\/docs\/wpdocs\/2007\/wp136_de.pdf\">3<\/a>]; anders nur ein vereinzeltes Urteil des <a href=\"http:\/\/www.retosphere.de\/offenenetze\/2008\/10\/08\/ag-munchen-ip-adresse-nicht-personenbezogen\/\">AG M&#252;nchen<\/a>).<\/p>\n<p>Dass die Anbieter von Internetportalen sicherzustellen haben, dass &#8222;die anfallenden personenbezogenen Daten &#252;ber den Ablauf des Zugriffs oder der sonstigen Nutzung unmittelbar nach deren Beendigung gel&#246;scht&#8220; werden (<a href=\"http:\/\/dejure.org\/gesetze\/TMG\/13.html\" title=\"&sect; 13 TMG: (weggefallen)\">\u00a7 13 TMG<\/a>) und dass damit die Aufbewahrung von Nutzer-IP-Adressen in <strong>&#8222;Logfiles&#8220; unzul&#228;ssig <\/strong>ist, steht ebenfalls schon lange im Gesetz und ist weitgehender Konsens (ebenso <a href=\"http:\/\/daten-speicherung.de\/index.php\/urteil-vorratsspeicherung-von-kommunikationsspuren-verboten\/#ag\">Amtsgericht Berlin<\/a>, <a href=\"http:\/\/www.vorratsdatenspeicherung.de\/content\/view\/301\/79\/lang,de\/\">Verwaltungsgericht Wiesbaden<\/a>, <a href=\"http:\/\/daten-speicherung.de\/index.php\/bundesjustizministerium-surfprotokollierung-durch-webseitenbetreiber-illegal\/\">Bundesjustizministerium<\/a>, <a href=\"http:\/\/daten-speicherung.de\/index.php\/bundesjustizministerium-surfprotokollierung-durch-webseitenbetreiber-illegal\/\">Bundesdatenschutzbeauftragter<\/a>). Selbst der Bundesgerichtshof hat inzwischen ein &#8222;Recht des Internetnutzers auf Anonymit&#228;t&#8220; anerkannt (Az. <a href=\"http:\/\/dejure.org\/dienste\/vernetzung\/rechtsprechung?Text=VI%20ZR%20196\/08\" title=\"BGH, 23.06.2009 - VI ZR 196\/08: Lehrerbewertungen im Internet\">VI ZR 196\/08<\/a>).<\/p>\n<p>Vor dem Hintergrund, dass personenbeziehbare Logfiles gleichwohl weit verbreitet sind und ihre Erstellung sogar die Voreinstellung US-amerikanischer Software zur Bereitstellung von Internetportalen darstellt, steht zu hoffen, dass die Aufsichtsbeh&#246;rden nach ihrer Einigung jetzt endlich <strong>Bu&#223;gelder gegen Anbieter von Internetportalen<\/strong> und -diensten verh&#228;ngen werden, die sich nicht an das Protokollierungsverbot halten. Der Berliner Datenschutzbeauftragte hat bereits eine besondere Bu&#223;geldstelle in seiner Beh&#246;rde eingerichtet, um in Zukunft verst&#228;rkt Sanktionen verh&#228;ngen zu k&#246;nnen. Bildblogger Stefan Niggemeier ist die Protokollierung von IP-Adressen bereits verboten <a href=\"http:\/\/www.daten-speicherung.de\/?p=1736\">worden<\/a>. Update vom 20.01.2011: Auch einem nieders&#228;chsischen Forenbetreiber ist es so <a href=\"http:\/\/www.heise.de\/newsticker\/meldung\/Datenschutz-im-Internet-Harte-Linie-gegen-Website-Betreiber-1193121.html\">ergangen<\/a>.<\/p>\n<p>Jeder <strong>Internetnutzer <\/strong>kann zu einem vorratsspeicherfreien Internet beitragen, indem er deutschen Anbietern, die die IP-Adressen von Surfern aufzeichnen, der f&#252;r den Sitz des Anbieters <a href=\"http:\/\/www.bfdi.bund.de\/cln_111\/DE\/AnschriftenUndLinks\/AufsBehoerdFuerDenNichtOeffBereich\/AufsBehoerdFuerDenNichtOeffBereich_node.html\">zust&#228;ndigen Aufsichtsbeh&#246;rde<\/a> meldet. Au&#223;erdem sollte man sich mithilfe eines <a href=\"http:\/\/www.daten-speicherung.de\/index.php\/test-internet-anonymisierungsdienste\/\">Anonymisierungsdienstes<\/a> und geeigneter <a href=\"https:\/\/www.datenschutzzentrum.de\/tracking\/schutz-vor-tracking.html\">Software<\/a> vor einer identifizierbaren Aufzeichnung seines Surfverhaltens sch&#252;tzen.<\/p>\n<p>Jeder <strong>Anbieter <\/strong>eines Internetportals oder -dienstes kann sein Angebot rechtskonform und protokollierungsfrei gestalten, indem er den <a href=\"http:\/\/www.wirspeichernnicht.de\/content\/blogsection\/5\/24\/\">Anleitungen<\/a> des Netzwerks &#8222;<a href=\"http:\/\/www.wirspeichernnicht.de\">Wir speichern nicht!<\/a>&#8220; folgt. Wer einen Webhoster nutzt, der rechtswidrig IP-Adressen protokolliert (nachfragen!), sollte von ihm Abhilfe innerhalb einer Frist von z.B. zwei Wochen verlangen. Stellt der Webhoster die Protokollierung nicht ab, kann man fristlos k&#252;ndigen und zu einem <a href=\"http:\/\/www.wirspeichernnicht.de\/content\/view\/18\/24\/\">speicherfreien Webhoster <\/a>wechseln. Wer einen Analysedienst nutzt oder externe Medien eines Anbieters einbindet, der wie Google Analytics, Youtube oder nahezu jeder amerikanische Anbieter rechtswidrig IP-Adressen protokolliert, muss die Einbindung entfernen oder <a href=\"http:\/\/www.wirspeichernnicht.de\/content\/view\/35\/24\/\">anonymisieren<\/a>. Eine Einbindung stellt juristisch eine &#8222;Auftragsdatenverarbeitung&#8220; dar. Der deutsche Anbieter bleibt daf&#252;r verantwortlich, dass sein &#8222;Auftragnehmer&#8220; das deutsche Datenschutzrecht einh&#228;lt, wovon man bei ausl&#228;ndischen Diensten nat&#252;rlich nicht ausgehen kann.<\/p>\n<p>Dass auch <strong>datenschutzkonforme Statistiken<\/strong> erstellt werden k&#246;nnen, zeigt etwa der Anbieter <a href=\"http:\/\/www.etracker.de\/\">eTracker<\/a>, der das Siegel &#8222;Wir speichern nicht!&#8220; des Arbeitskreis Vorratsdatenspeicherung tragen <a href=\"http:\/\/www.wirspeichernnicht.de\/content\/view\/10\/22\/\">darf<\/a>. eTracker kann ohne ungek&#252;rzte Protokollierung von IP-Adressen eingesetzt werden. Es ist zu hoffen, dass weitere Statistikanbieter diesem Vorbild folgen werden und sich dadurch weitere Alternativen zu dem <a href=\"https:\/\/www.datenschutzzentrum.de\/tracking\/20090123_GA_stellungnahme.pdf\">illegalen<\/a> Dienst &#8222;Google Analytics&#8220; finden werden.<\/p>\n<p><strong>Weitere Informationen f&#252;r Diensteanbieter:<\/strong><\/p>\n<ul>\n<li><a href=\"http:\/\/www.wirspeichernnicht.de\/content\/view\/4\/21\/\">Was spricht gegen eine Protokollierung?<\/a><\/li>\n<li><a href=\"http:\/\/www.wirspeichernnicht.de\/content\/view\/4\/21\/\">Anhand einer IP-Adresse k&#246;nnen Anbieter den Nutzer doch ohnehin nicht identifizieren?<\/a><\/li>\n<li><a href=\"http:\/\/www.wirspeichernnicht.de\/content\/view\/4\/21\/\">Ist ohne Protokollierung ein sicherer Betrieb meiner Webseite m&#246;glich?<\/a><\/li>\n<li><a href=\"http:\/\/www.wirspeichernnicht.de\/content\/view\/4\/21\/\">Ist die Protokollierung nicht f&#252;r statistische Auswertungen erforderlich?<\/a><\/li>\n<li><a href=\"http:\/\/www.wirspeichernnicht.de\/content\/view\/4\/21\/\">Was habe ich als Anbieter davon, wenn ich die Protokollierung deaktiviere?<\/a><\/li>\n<li>Netzwerk &#8222;<a href=\"http:\/\/www.wirspeichernnicht.de\">Wir speichern nicht!<\/a>\u201c<\/li>\n<\/ul>\n<p>Erg&#228;nzung vom 19.02.2010:<\/p>\n<p>Weitere datenschutzkonforme Analysedienste finden sich <a href=\"https:\/\/www.datenschutzzentrum.de\/tracking\/\">hier<\/a>.<\/p>\n<p>Erg&#228;nzung vom 17.12.2011:<\/p>\n<p>Laut &#8222;XAMIT DATENSCHUTZBAROMETER 2011&#8220; <a href=\"http:\/\/www.xamit-leistungen.de\/downloads\/Files.php?f=XamitDatenschutzbarometer2011.pdf#page=24\">verwenden<\/a> 74,4% der Webpr&#228;senzen Statistikdienste, die die Kriterien des D&#252;sseldorfer Kreises verfehlen. Der Einsatz illegaler Statistikdienste nimmt zu.<\/p>\n<p>Der Hamburger Datenschutzbeauftragte <a href=\"http:\/\/www.datenschutz-hamburg.de\/uploads\/media\/GoogleAnalytics_Hinweise_Webseitenbetreiber_in_Hamburg.pdf\">erl&#228;utert<\/a>, wie sich Google Analytics beanstandungsfrei einsetzen l&#228;sst. Die Erl&#228;uterungen gelten entsprechend f&#252;r andere Statistikdienste.<\/p>","protected":false},"excerpt":{"rendered":"<p>Die Datenschutz-Aufsichtsbeh&#246;rden f&#252;r den nicht-&#246;ffentlichen Bereich (Liste) reden Tacheles mit den Anbietern von Internetportalen und -diensten: Am 26.\/27.11.2009 stimmten sie einem Antrag (pdf) Mecklenburg-Vorpommerns zu, wonach die IP-Adressen von Internetnutzern auch f&#252;r Anbieter von Internetdiensten ein personenbeziehbares Datum darstellen, das dem Datenschutzrecht unterliegt. Ohne bewusste, eindeutige Einwilligung des Nutzers d&#252;rften IP-Adressen daher nur gek&#252;rzt zur [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2,4,15,13,20],"tags":[21],"class_list":["post-1870","post","type-post","status-publish","format-standard","hentry","category-datenschutz-im-privatsektor","category-internet-unternehmen","category-juristisches","category-metaowl-watchblog","category-surfprotokollierung","tag-ip-retention"],"_links":{"self":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts\/1870","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/comments?post=1870"}],"version-history":[{"count":5,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts\/1870\/revisions"}],"predecessor-version":[{"id":5200,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts\/1870\/revisions\/5200"}],"wp:attachment":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/media?parent=1870"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/categories?post=1870"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/tags?post=1870"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}