Schaar: BMI und BSI halten IP-Adressen nicht für personenbezogene Daten

Der Bundesbeauftragte für den Datenschutz Peter Schaar hat heute den Tätigkeitsbericht für 2009 und 2010 vorgestellt. Darin fasst er die aktuellen datenschutzrechtlichen Themen der letzten beiden Jahre zusammen. Neben den “Klassikern” wie Google StreetView, DE-Mail, Zugangserschwerungsgesetz findet man auch einige interessante Aussagen zu immer noch nicht geklärten Streitfragen. So etwa zum Personenbezug von IP-Adressen.

Auf Seite 49 des Bericht heißt es:

Nach Auffassung des BMI und des BSI handelt es sich bei IP-Adressen dann nicht um personenbezogene Daten, wenn sie beim Anbieter einer Website als Nutzungsdaten anfallen. Sie dürften deshalb dort beliebig lange gespeichert und sowohl für Statistik- als auch für Datensicherheitszwecke verwendet werden.

BMI und BSI vertreten damit den relativen Personenbezug und gehen, zu Recht, davon aus, dass die IP-Adresse für den Anbieter einer Website nicht nachvollziehbar und ein reines Nutzungsdatum ist. Dem kann sich der Bundesbeauftragte für den Datenschutz nicht anschließen. Es heißt weiter:

Demgegenüber gehe ich davon aus, dass IP-Adressen – jedenfalls im Regelfall – als personenbezogene Daten anzusehen sind, weil mit Hilfe weiterer Informationen ein Personenbezug herstellbar ist. Dies entspricht auch der Position der Artikel-29-Gruppe der europäischen Datenschutzbehörden. In ihrem Positionspapier vom 20. Juni 2007 (WP 136 – http://ec.europa.eu) stellte sie fest, dass IP-Adressen – unabhängig davon, ob sie beim Zugangsvermittler oder beim Internet-Anbieter anfallen – als personenbezogenanzusehen sind, da sie sich auf eine bestimmbare Person beziehen.

Bei dieser – zugegeben verkürzten – Darstellung beißt sich sprichwörtlich die Katze in den Schwanz.

Zunächst bleibt völlig unklar, was die Ausnahme von Schaars Regelfall sein soll, in dem sich IP-Adressen mit zusätzlichen Informationen einer bestimmten Person zuzuordnen ist. Eine IP-Adresse ist …