Die Speicherung von IP-Adressen durch Webseitenbetreiber ist noch immer höchst umstritten. Für Datenschutzbehörden scheint jedoch inzwischen festzustehen, dass IP-Adressen personenbezogene Daten sind, die dem Datenschutzrecht unterliegen. Zunehmend werden daher aufsichtsrechtliche Maßnahmen eingeleitet. Doch wann ist eine IP-Adresse tatsächlich personenbezogen?
Lesen Sie hier, was bei der Speicherung von IP-Adressen zu beachten ist.
Die Zulässigkeit der Speicherung von IP-Adressen durch Webseitenbetreiber wird vor allem aufgrund zweier gegensätzlicher Entscheidungen des AG Berlin-Mitte (Urt. v. 27.03.2007 – 5 C 314/06) und des AG München (Urt. v. 30.09.2008 – 133 C 5677/08) äußerst kontrovers diskutiert.
Während das AG Mitte IP-Adressen prinzipiell für personenbezogene Daten i. S. d. § 3 Abs. 1 Bundesdatenschutzgesetz (BDSG) befand und die automatische Speicherung durch Webseitenbetreiber untersagte, verneinte das AG München einen Personenbezug bei dynamischen IP-Adressen, da die notwendige Bestimmbarkeit der Person hinter der Adresse nicht ohne Weiteres gegeben ist.
Sind IP-Adressen tatsächlich personenbezogene Daten?
Die unterschiedlichen Entscheidungen der Gerichte spiegeln einen Meinungsstreit unter Juristen über den Personenbezug von IP-Adressen wider. Vor allem Datenschützer gehen dabei von der sog. objektiven Personenbeziehbarkeit aus, nach der die theoretische Möglichkeit eines Personenbezugs, auch unter Mitwirkung von Dritten, genügt, um die IP-Adresse unter die Definition des § 3 Abs. 1 BDSG fallen zu lassen.
Die derzeit noch herrschende Meinung vertritt hingegen die Ansicht des sog. relativen Personenbezugs, der die Mitwirkungsmöglichkeit Dritter außer Acht lässt und die Personenbeziehbarkeit allein anhand der Fähigkeiten und Kenntnisse der verarbeitenden Stelle prüft.
IP-Speicherung bei der Bestellung nur mit Einwilligung
Eindeutig ist die Rechtslage allerdings, wenn Webseitenbetreiber IP-Adressen mit personenbezogenen Daten zusammenführen und so den direkten Personenbezug selbst herstellen, z. B. wenn Shopbetreiber bei einer Bestellung die IP-Adresse des Kunden zusammen mit dessen Bestelldaten speichern.
Hier läge in jedem Fall ein Verstoß gegen Datenschutzbestimmungen vor, sofern nicht zuvor die ausdrückliche Einwilligung des Kunden zur Speicherung eingeholt wurde. Ein solcher Verstoß kann mit Bußgeldern geahndet werden und Unterlassungsklagen der Betroffenen nach sich ziehen.
Dürfen IP-Adressen in Logfiles gespeichert werden?
Unklarheit herrscht hingegen in den Fällen, in denen IP-Adressen automatisch in Server Logfiles protokolliert oder von Tracking-Tools zur anonymisierten Analyse des Nutzerverhaltens gespeichert werden.
Legt man den relativen Personenbezug zu Grunde, wäre die IP-Adresse in diesen Fällen kein personenbezogenes Datum, da dem Webseitenbetreiber allein anhand der IP-Adresse die Zuordnung zu einer bestimmten Person grundsätzlich nicht möglich ist.
Da die IP-Adresse jedoch ebenfalls in den Logfiles des Internet Providers gespeichert wird, wäre über diesen die Ermittlung des Anschlussinhabers und damit die Zuordnung zu einer bestimmten Person möglich. Geht man nun von der objektiven Personenbeziehbarkeit aus, wären IP-Adressen aufgrund dieser Möglichkeit personenbezogene Daten und die Speicherung demnach nur nach ausdrücklicher Einwilligung zulässig.
Diese Auffassung wird offenbar auch von den Datenschutzbehörden vertreten, die vermehrt Webseiten diesbezüglich überprüfen, insbesondere hinsichtlich der Verwendung von Tracking-Tools, die IP-Adressen speichern.
Unser Tipp für Shopbetreiber:
Bis zu einer höchstrichterlichen Klärung durch den BGH sollten daher Shopbetreiber, die auf Nummer sicher gehen wollen, vor der Speicherung von IP-Adressen generell eine ausdrückliche Einwilligung, z. B. über eine Opt-In-Checkbox, einholen oder ganz auf die Speicherung verzichten. Bei der Verwendung von Tracking-Tools sollte sichergestellt werden, dass diese keine IP-Adressen speichern.
Eine datenschutzrechtlich sichere Methode, Besucherverhalten zu analysieren, bietet beispielsweise das Tool von etracker.
Siehe auch hier im Blog:
Wenn wir keine IP-Adressen in den Logfiles speichern dürfen, wie sollen wir uns dann bitte gegen Angreifer, die tausende von Verbindungen gleichzeitig starten, verteidigen können?
Datenschützer haben einfach keine Ahnung von der Materie! Der einzige der weiß, welche Person hinter der IP steht, ist der Provider. Und selbst der kann sich nicht 100% sicher sein.
Ich z.B. bin gerade in einem Netzwerk online, dass nach außen eine IP-Adresse hat, im Hintergrund jedoch 6 Familien die selbe IP-Adresse nutzen.
Wenn viele Verbindungen von einer IP zu einer Webseite aufgebaut werden (Crawling Produktbildern oder ähnlichem), so könnte man auch den Hash der IP-Adresse abspeichern, darüber lässt sich beim nächsten Request wieder prüfen ob die gleiche IP-Adresse nun innerhalb eines Zeitfensters bereits 2000 Requests abgesetzt hat oder nicht.
Ich kenne mindestens einen Anbieter von Online-Zahlungen (Kreditkarte), der bei Transaktionen die IP-Nummer des Shop-Kunden übermittelt haben möchte (vermutlich für eine Länder-Zuordnung im Zusammenhang mit der Verhinderung von Mißbrauch). Was nun? Zumindestens zwischenspeichern muss ich die Information.
Sie finden die Antwort im Beitrag: Es ist ja nicht generell verboten, IP-Adressen zu speichern, sondern nur, dies automatisch und ungeachtet der konkreten Situation zu tun. Wählt der Kunde nun eine Zahlungsart aus, für die die IP-Adresse benötigt wird, kann ohne Weiteres seine Einwilligung zur Speicherung der IP eingeholt werden, z.B. so wie wir es hier im Blog machen, wenn Sie einen Kommentar hinterlassen (“Mit Klick auf “Senden” erkläre ich mich mit der Speicherung meiner IP-Adresse … einverstanden.”)
Der Server loggt aber automatisch jeden Zugriff auf jede Datei inkl. der IP.
Soll jetzt jeder Provider seine tausenden Server umkonfigurieren, nur weil so ein paar Datenschützer meinen, dass eine IP eine personenbezogene Information ist?
Dann können wir auch gleich alle Webseiten außerhalb von Deutschland sperren, weil in keinem anderen Land es eine so dämliche Regelung gibt und jeder Besuch auf YouTube und Co die IP in den Logs speichert.
Wie üblich schaffen auch hier die Gerichte es nicht, rechtssicherheit herzustellen. Eine einfache Lösung wäre eine entsprechende Datenschutzerklärung, in der der Besucher auf die Speicherung hingeiwesen wir. Dann kann er selbst entscheiden ob er auf der seite bleibt oder nicht. Ein verbleiben käme einer zustimmung der speicherung gleich.
Ich denke das die Bedenken des Gerichts (unabhängig vom derzeitigen Softwarestand diverser Server) in Berlin berechtigt sind.
Das Gericht in München geht bei seiner Entscheidung von der Annahme aus, das dynamische IP Adressen keine personenbezogene Daten sind, da dies nur durch die mithilfe dritter gegeben wäre. Aber.. woher weiß das gericht, das es sich bei der gespeicherten IP Adresse tatsächlich um eine dynamische, und nicht um eine statische Adresse handelt. Im umkehrschluss der Gerichstansicht ist demnach die Speicherung von statischen IP Adressen nicht erlaubt..
So, und nun kommen die Programmierer… wie – ohne tracing- wollt ihr eine synamische von einer statischen adresse im protokoll trennen..?
@airdreamer: Nein, das ist keine “einfache Lösung”, da eine Information ja gerade keine Einwilligung ist. Diese muss nach dem Gesetz immer ausdrücklich erfolgen, so dass die Gerichte hier keinen Spielraum haben, andere Lösungen vorzuschlagen. Wenn man IP-Adressen als personenbezogene Daten einstuft, ist für das Tracking halt eine Einwilligung erforderlich, die nicht durch das Nutzen der Website erteilt werden kann.
Hi,
würde es nicht reichen, die IP ein paar mal durch md5 rasen zu lassen, garniert mit dem user_agent? aus dem hash dann wieder eine ip basteln und schon ist die echte ip nicht mehr nachvollziehbar?
Beim einbinden von sozialen Addons – wie dem Facebook Button Namens I Like oder gefällt mir ist Vorsicht geboten, denn: Dadurch, dass ein jeder Betreiber eienr Webseite (selbst bei ausdrücklciher distanzierung gegen Linkhaftung) mithaftend und verantwortlich gegenüber den eingebundenen Links seiner Internetpräsenz ist, haftet ein jeder Betreiber für folgende Aktion: Faceboook speichert und verarbeitet personenbezogene Daten und fordert bei seienr Registrierung und seinem Login (somit) jeweils nur echte Daten zur Angabe. Ebenso wird die aktuelle IP Adresse eines jeden eingeloggten und nicht eingeloggten Nutzers gespeichert und verarbeitet. Desweiteren werden diese Daten als komplette Datensätze gewinnbringend verkauft. Da ein jeder Betreiber somit ebenfalls als Störer haftet ist vorsicht geboten. Ebenso reicht es längst nicht mehr aus Besucher seiner Präsenz auf die Weitergabe der Daten an Facebook zu informieren.
Einfach mit in die AGB schreiben. Ohne akzeptierte AGB keine Bestellannahme.
Das ist in keinem Fall ausreichend, wenn man die Einwilligung benötigt. Einwilligungen müssen separat und ausdrücklich eingeholt werden, also mittels separater Checkbox.