Datenschutzbeauftragte: Protokollierung von IP-Adressen ist unzulässig

Die Datenschutz-Aufsichtsbehörden für den nicht-öffentlichen Bereich (Liste) reden Tacheles mit den Anbietern von Internetportalen und -diensten: Am 26./27.11.2009 stimmten sie einem Antrag (pdf) Mecklenburg-Vorpommerns zu, wonach die IP-Adressen von Internetnutzern auch für Anbieter von Internetdiensten ein personenbeziehbares Datum darstellen, das dem Datenschutzrecht unterliegt. Ohne bewusste, eindeutige Einwilligung des Nutzers dürften IP-Adressen daher nur gekürzt zur statistischen Analyse des Nutzungsverhaltens verwendet werden.

Inhalt des Beschlusses

Wörtlich heißt es in dem Beschluss des Düsseldorfer Kreises, in dem die Vertreter der obersten Aufsichtsbehörden der Länder sowie der Bundesbeauftragte für den Datenschutz zusammengeschlossen sind:

Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen. Jede darüber hinausgehende Nutzung bedarf der Einwilligung der Betroffenen.

Die Analyse des Nutzungsverhaltens unter Verwendung vollständiger IP-Adressen (einschließlich einer Geolokalisierung) ist aufgrund der Personenbeziehbarkeit dieser Daten daher nur mit bewusster, eindeutiger Einwilligung zulässig. Liegt eine solche Einwilligung nicht vor, ist die IP-Adresse vor jeglicher Auswertung so zu kürzen, dass eine Personenbeziehbarkeit ausgeschlossen ist.

Der letzte Absatz ist insofern missverständlich als nicht nur die ungekürzte Auswertung der IP-Adressen von Internetnutzern sondern schon deren ungekürzte Protokollierung illegal (§§ 13, 15 TMG) ist und mit einem Bußgeld von bis zu 50.000 Euro (§ 16 TMG) bestraft wird.

Mit der Forderung nach einer Kürzung der IP-Adresse stellen die Aufsichtsbehörden klar, dass eine bloße Verschlüsselung der ungekürzten IP-Adressen (z.B. MD5-Verfahren, mod_scrambleIP) nicht genügt, weil diese – zumindest für eine gewisse Zeit – durch Rückrechnung umkehrbar ist.

Soweit das Telemediengesetz die Erstellung von Nutzungsprofilen unter Verwendung von Pseudonymen erlaubt (§ 15 Abs. 3 TMG), stellen die Aufsichtsbehörden klar:

Die IP-Adresse ist kein Pseudonym im Sinne des Telemediengesetzes.

Bewertung

Dass die Aufsichtsbehörden die bei Webseitenanbietern anfallenden IP-Adressen als personenbezogene Daten ansehen, entspricht der inzwischen nahezu einhelligen Meinung in Fachkreisen (ebenso Amtsgericht Berlin, Landgericht Berlin, Verwaltungsgericht Wiesbaden, schweizerisches Bundesverwaltungsgericht, oberstes schwedisches Verwaltungsgericht, Bundesjustizministerium, Bundesdatenschutzbeauftragter; anders nur ein vereinzeltes Urteil des AG München).

Dass die Anbieter von Internetportalen sicherzustellen haben, dass “die anfallenden personenbezogenen Daten über den Ablauf des Zugriffs oder der sonstigen …