Webtracking: Wieso sind IP-Adressen eigentlich personenbezogene Daten?

Das deutsche Datenschutzrecht stammt aus einer Zeit, als Computer ganze Räume füllten und mit Lochkarten gefüttert wurden. Diese Geschichte merkt man den eingschlägigen Bestimmungen auch an. Es ist daher nicht so einfach, die Vorschriften zu verstehen, die man als gesetzestreuer Datenverarbeiter zu befolgen hat. Ein «Dauerbrenner», der sogar Hobby-Forenbetreiber betrifft und sich bei der Benutzungsanalyse auswirkt, ist die vieldiskutierte Frage, ob IP-Adressen personenbezogene Daten sind.

Grundsatz: Verbot mit Erlaubnisvorbehalt

Es ist hilfreich, das wichtigste Prinzip des deutschen Datenschutzes zu kennen: Das «Verbot mit Erlaubnisvorbehalt» gemäß § 4 I BDSG, demzufolge jeglicher Umgang mit personenbezogenen Daten untersagt ist, solange es keine gesetzliche Erlaubnis oder eine Einwilligung des Betroffenen gibt. Gesetzliche Erlaubnisse gibt es nicht so viele, die Einholung einer Einwilligung macht dagegen Arbeit und kostet alle Beteiligten mindestens Nerven. Darum freut der Datenverarbeiter sich über Angaben, die einfach nicht personenbezogen sind.

Personenbezogene Daten

Zur Klärung des Ob und Wie der Speicherung von Logdateien oder auch des Einsatzes von Tracking-Software wie Google Analytics ist also eine Antwort auf die Frage nach dem Personenbezug von IP-Adressen zu finden. Leute, die nicht viel mit Juristerei und Datenschutz zu tun haben, lesen dann in § 3 I BDSG

«Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).»

und denken sich in etwa:

Außer dem Internetprovider kann doch niemand sagen, wem eine bestimmte IP-Adresse zu einem bestimmten Zeitpunkt zugeordnet war. Ich habe jedenfalls keine Möglichkeit, die genaue Person hinter einer IP-Adresse auszumachen.

Absolute vs. relative Bestimmbarkeit

Diese Gedanken treffen bereits den Kern des Problems: Es kommt darauf an, ob eine Angabe «bestimmt oder bestimmbar» ist. Ist sie es nicht, kann jedermann damit machen, was er will. Die geschilderte Bewertung des «fiktiven Laien» ist allerdings heikel, denn sie steht nicht im Einklang mit der Auffassung der Datenschutzbehörden. Als Verfechter der Theorie der absoluten Bestimmbarkeit gehen die davon aus, dass es genügt, wenn irgendjemand (= Zugangsprovider) in der Lage ist, den genauen Anschluss zu einer IP-Adresse zu benennen.

Wer nun meint, die Datenschützer seien kleinkariert und sollten sich gefälligst der relativen Theorie anschließen, derzufolge eine Bestimmbarkeit ausgeschlossen ist, wenn zur Herstellung des Personenbezugs Zusatzwissen erforderlich wäre, dem muss geantwortet werden, dass die Speicherung von IP-Adressen trotzdem erheblichen Bedenken begegnet:

Auch wenn die Verknüpfung einer dynamischen IP-Adresse zu einem Anschluss nur dem Zugangsprovider möglich ist, so können statische IP-Adressen re… » Vollständiger Artikel