Source: https://www.frag-einen-anwalt.de/Speicherung-von-IP-Adressen--f31496.html
Timestamp: 2019-11-22 02:19:02+00:00

Document:
Speicherung von IP-Adressen. (Internetrecht, Computerrecht) - frag-einen-anwalt.de
www.frag-einen-anwalt.deInternetrecht, ComputerrechtSpeicherung von IP-Adressen.
08.10.2007 15:28 |
ich habe vier Fragen zur Speicherung von IP-Adressen.
Aus Webmaster-Sicht:
1. Ich nutze ein Statistiktool auf Logfiles Basis. Dieses generiert täglich eine graphische Statistik mit Anzahl der Besuchern, den Zugriff auf die HTML-Seiten usw. Diese Statistiken sind total anonym, d.h. man kann nicht sehen, welche IP was gemacht hat. Allerdings sind in den Logfiles die IP-Adressen der Homepage-Besucher enthalten. Diese Logfiles können aber nach der Generierung der graphischen Auswertung gelöscht werden. Dürfen in den Logfiles überhaupt die IP-Adressen auftauchen?
2. Wenn ich in meiner Datenschutzerklärung angebe, dass IP-Adressen z.B. beim Schreiben von Gästebucheinträgen, beim Aufgeben von Bestellungen usw. gespeichert werden, ist dies legitim? Falls nicht könnte
man ja beliebig Unsinn im Internet verbreiten, ohne dafür belangt werden zu können...Identitätsklau im Internet bliebe dann unbestraft, da man nichts in der Hand hat.
Auch ist es doch gängige Praxis, dass die Polizei anhand der IP-Adressen Leute bei Rufschädigung in Foren ausfindig machen - dies wäre ja dann auch nicht mehr möglich!
3. Ist es legitim, eine IP-Adresse für ca. 5 Minuten in eine Datenbank zu schreiben, damit ein Besucher z.B. ein Gästebuch mit ganz vielen Einträgen innerhalb weniger Sekunden zufluten kann?
(Benutzer schreibt Eintrag => IP wird für 5 Minuten in eine Datenbank geschrieben => Nach Ablauf wird die IP gelöscht => Benutzer kann nun einen weiteren Eintrag schreiben)
Eine Verbindung zwischen Gästebucheintrag und IP-Adresse kann in diesem Fall nicht hergestellt werden.
Aus Provider-Sicht:
4. Besteht die Pflicht, die IP-Adressen in Logfiles unkenntlich zu machen? (Wie sollen dann Hackerangriffe, Spaßbestellungen in Online-Shops usw. nachvollzogen werden können?)
Zunächst möchte ich ein paar Ausführungen vor die Beantwortung Ihrer eigentlichen Fragen stellen.
Maßgebliches Gesetz für die Speicherung von IP-Adressen ist das "Telemediengesetz" (TMG).
Gemäß § 12 Abs. 1 TMG gelten die Vorschriften nur für "personenbezogene Daten". § 3 Abs.1 Bundesdatenschutzgesetz (BDSG) definiert personenbezogene Daten als
"Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener)."
Ein Problem stellt in Bezug auf IP-Adressen dort genannte das Merkmal der Bestimmbarkeit dar. Dabei gilt es zunächst zwischen dynamischen und statischen IP-Adressen zu differenzieren.
- Dynamische IP-Adressen:
Bei der dynamischen IP-Vergabe ist es nicht ohne weiteres möglich, aus den Daten auf die Person Rückschlüsse zu ziehen. Dazu bedarf es einer Einsichtnahme in die jeweiligen Log-Verzeichnisse des Access-Providers.
Etwas anderes gilt nur dann, wenn man die IP durch sonstige Daten z. B. Foren-Registrierungen oder E-Mail-Adressen individualisieren kann. Dann ist sehr wohl von personenbezogenen Daten auszugehen.
- Statische IP-Adressen:
Anders ist dies, wenn es sich um eine statische IP-Nummer handelt. Hier wird im Regelfall eine Identifikation auch ohne Rückgriff auf die Log-Files des Access-Providers möglich sein. Insofern handelt es sich dann um eine "bestimmbare natürliche Person" und somit um personenbezogene Daten.
Beide IP-Adressarten lassen jedoch grundsätzlich die Möglichkeit zu, die Person hinter dieser Adresse zu identifizieren.
Dabei ist es egal, ob dies der Inhaber der gespeicherten Daten auch tatsächlich kann. Zumindest ist nicht ausgeschlossen, dass Dritte (z.B. Polizei oder Staatsanwaltschaft) die Personen hinter den Adressen bestimmen können.
Somit handelt es sich meines Erachtens sowohl bei dynamischen IP-Adressen, als auch bei statischen IP-Adressen immer um personenbezogene Daten einer bestimmbaren Person i.S.d. TMG.
Das oben Erläuterte ist in der Rechtsprechung, soweit hierzu überhaupt Entscheidungen vorliegen, und auch in der Literatur aber sehr umstritten. So wird teilweise auch die Ansicht vertreten, dass eine IP in keinem Fall personenbezogene Daten enthält. Auch wird vertreten, dass dynamische IP’s aufgrund der Tatsache, dass Privatpersonen über den Access-Provider die Identität des Nutzers nicht herausfinden können, nicht als personenbezogene Daten gelten.
Selbst wenn man eine Differenzierung im Bereich statischer und dynamischer IP’s gelten lassen will, so stellt sich aber dann die Frage nach der unmöglichen Antwort, wie ein Webseiten-Betreiber denn auf Anwender-Seite technisch eine derartige Differenzierung hinbekommen will.
Im Zweifel gelten deshalb alle gesammelten IP-Adressen als personenbezogene Daten, weshalb grundsätzlich das TMG seine Anwendung findet.
Das TMG sieht nun aber mehrere erlaubte Gründe für eine Speicherung personenbezogener Daten vor.
- bei Zustimmung des Nutzers (§ 12 TMG).
Hier gilt es aber, die besonderen Pflichten des Webseitenbetreibers nach § 13 TMG genau zu beachten.
- zu Abrechnungszwecken (§ 15 TMG)
- aus Schutzgründen statuiert darüber hinaus § 9 BDSG das Schutzzweck-Prinzip. Danach müssen und dürfen die speichernden Stellen die "technischen und organisatorischen Maßnahmen treffen, die erforderlich sind", um die geltenden Gesetze einzuhalten.
Was dies im Einzelnen bedeutet, ist sehr umstritten. Teilweise wird § 9 BDSG so interpretiert, dass ein Foren-Betreiber die IPs seiner Nutzer loggen darf, um zum Beispiel im Falle von Beleidigungen oder Störungen von Forensoftware den betreffenden Täter verfolgen zu können. Dagegen wird eingewendet, dass ein solches Vorgehen eine Vorrats-Speicherung bedeute, welche illegal wäre.
In diesem Zusammenhang wird auch auf das Urteil des Landgerichts Darmstadt bezüglich der Speicherung von IP-Daten bei Flatratenutzern durch die Deutsche Telekom verwiesen. Eigentlich hätte es hier keiner Speicherung der IP bedurft, da bei einer Flaterate pauschal abgerechnet wird.
Das Regierungspräsidum Darmstadt entschied jedoch dagegen bereits im Jahr 2003:
„…die Speicherung und Verarbeitung der vergebenen dynamischen IP-Adresse durch einen Internet-Zugangsprovider stellt auch insoweit ein geeignetes Mittel zur Erreichung der Sicherheits- und Schutzziele des § 9 BDSG und Anlage hierzu dar, als sie insbesondere zur Einrichtung einer wirksamen Zugriffskontrolle nach Nr, 3 der Anlage zu § 9 BDSG, aber auch für die oft zeit- und personalaufwändige Analyse vergangener Angriffe und anderer Unregelmäßigkeiten (Portscans, Trojaneraktivitäten, Hacker-Attacken usw.) zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung unabdingbar ist, da Angreifer bei ihren Aktivitäten ihre IP-Adresse im Server- oder Firewall-Logfile des "Opfers" hinterlassen und ein Angreifer dann nur anhand dieser Zusatzinformation (Zeitpunkt und IP-Adresse) von seinem Access-Provider ermittelt werden kann.“
Aus diesem Grund vertrete auch ich die Auffassung, dass eine Speicherung von Nutzer-IP’s bei der Betreibung von Forensoftware zulässig ist. Wie lange die Daten jedoch vom jeweiligen Betreiber vorgehalten werden dürfen ist dabei sicherlich Frage des jeweiligen Einzelfalls.
Dieser Auffasssung wird jedoch auch entgegen gehalten, dass der Gesetzgeber Missbrauchsfälle explizit geregelt hat (als ausdrückliche Einschränkung des Datenschutzes). Somit wäre für eine weitere, darüber hinausgehende Auslegung kein Raum mehr.
In diesem Zusammenhang möchte ich aber auch auf das Urteil vom 27.03.2007 (Az. 5 C 314/06) des Amtsgerichts Berlin Mitte hinweisen, welches eine meines Erachtens sehr weitreichende Entscheidung getroffen hat. Ob sich andere Gerichte dieser Meinung anschließen sei aber dahingestellt.
Dieses hat dem Bundesjustizministerium untersagt, „personenbezogene Daten des Klägers, die im Zusammenhang mit der Nutzung des Internetportals "http://www.bmj.bund.de" übertragen wurden, über das Ende des jeweiligen Nutzungsvorgangs hinaus zu speichern“. Die Aufbewahrung solcher Kommunikationsspuren ermöglicht es, das Surf- und Suchverhalten von Internetnutzern detailliert nachzuvollziehen. In einer solchen Vorratsprotokollierung liege aber eine „Verletzung des Rechts auf informationelle Selbstbestimmung“ der Betroffenen, so das Gericht. Insbesondere dürften sogenannte IP-Adressen nicht gespeichert werden, weil „es durch die Zusammenführung der personenbezogenen Daten mit Hilfe Dritter bereits jetzt ohne großen Aufwand in den meisten Fällen möglich [ist], Internetnutzer aufgrund ihrer IP-Adresse zu identifizieren.“
Diese Überlegungen und Informationen vorausgeschickt beantworte ich deshalb Ihre Fragen wie folgt:
1. Dürfen in den Logfiles überhaupt die IP-Adressen auftauchen (zur Verwendung eines Statistik-Tools) ?
Nach dem bisher gesagten scheidet eine Speicherung gemäß § 9 BDSG aus, da hier keinerlei Schutzzweck ersichtlich ist. Eine Speicherung kann somit folglich ihre Legitimation nur durch die Zustimmung des Nutzers nach § 12 TMG finden.
2. Wenn ich in meiner Datenschutzerklärung angebe, dass IP-Adressen z.B. beim Schreiben von Gästebucheinträgen, beim Aufgeben von Bestellungen usw. gespeichert werden, ist dies legitim?
Unter Beachtung von § 12 i.V.m. § 13 TMG wäre dies erlaubt.
Hier lässt sich wieder ein Bezug zu § 9 BDSG herstellen, wenn man die Argumentation des Regierungspräsidiums Darmstadt gelten lassen mag.
4. Besteht die Pflicht für Provider, die IP-Adressen in Logfiles unkenntlich zu machen?
Hier ist zu differenzieren, wofür die Logfiles jeweils benötigt werden. Unter Bezugnahme auf § 9 BDSG lässt sich dies sicherlich in vielen Fällen verneinen.
Abschließend möchte ich bemerken, dass sich sichere Aussagen in Bezug auf Ihre Fragen nicht treffen lassen. Gerichte können in Bezug auf einzelne Fallgestaltungen sehr unterschiedlich entscheiden. Dies auch vor dem Hintergrund, dass zurzeit in Bezug auf Datenschutz und Internet nämlich nach wie vor erhebliche Rechtsunsicherheit besteht.
Mein Rat an Sie lautet daher, sich gut zu überlegen, ob Sie wirklich die IP’s Ihrer Nutzer benötigen.
Sofern dies unabdingbar ist, teilen Sie dem Betroffenen vorab mit, dass Sie dessen IP-Adressen speichern. Schreiben Sie dies dabei deutlich in Ihre Nutzungsbedingungen. (§ 13 TMG beachten !)
Ein Verstoß gegen das TMG kann weitreichende Folgen haben:
Das Amtsgericht Berlin Mitte hat im oben angeführten Urteil festgestellt, dass dynamische IP-Adressen personenbezogene Daten i.S.d § 15 TMG sind und § 15 Abs. 4 TMG Schutzgesetz i.S.d § 823 Abs. 2 BGB ist.
Hieraus folgt, dass jemand bei Verstoß gegen § 15 TMG wegen Unterlassungsansprüchen seitens des Betroffenen in Anspruch genommen werden kann.
Gegebenenfalls sollten Sie Ihre Webseite auch nochmals von einem Anwalt vor Ort überprüfen lassen, da ich im Rahmen dieser Beratung allenfalls eine erste rechtliche Orientierung geben kann.
Nachfrage vom Fragesteller	09.10.2007 | 21:04
Dies bedeutet, dass der Besucher vor dem Absenden eines Gästebucheintrages eine Information bekommen muss, in der steht, dass seine IP gespeichert wird? Zum Beispiel durch das manuelle Setzen eines Haken bei "Ich habe die Datenschutzerklärung gelesen und akzeptiert."
(In der Datenschutzerklärung steht, dass beim Absenden des Gästebucheintrages als Schutz die IP gespeichert wird, um ggf. gegen Einträge, die gegen geltendes Recht verstoßen, vorgehen zu können.)
Antwort auf die Nachfrage vom Anwalt 10.10.2007 | 09:27
gerne werde ich Ihre Frage zu Nr. 2 etwas präziser fassen.
Maßgebliche Pflichten zur Unterrichtung des Nutzers werden in § 13 TMG aufgeführt. Dort heißt es:
Sofern Sie in Ihrem Fall die IP-Daten nur für Gästebucheinträge speichern wollen, sollten Sie meines Erachtens Ihre erwähnte Klausel dahingehend ergänzen, dass die IP-Adresse nur für einen maximalen Zeitraum von 2 Wochen vorgehalten wird.
Dies sollte vor dem Hintergrund erfolgen, dass man der Auffassung sein kann, dass es sich bei der Datenschutzerklärung um Allgemeine Geschäftsbedingungen (AGB) handelt, welche das Nutzungsverhältnis näher ausgestalten. Somit würde die Klausel dann der AGB-Kontrolle unterliegen und sollte, um nicht bereits gegen § 307 BGB zu verstoßen, der Einschränkung einer zeitlichen Aufbewahrung der IP-Adresse unterliegen. Diese sollte sicherheitshalber längstens 2 Wochen betragen. Danach müssten Sie aber auch sicherstellen, dass die IP-Adresse gelöscht wird. Dieses Vorgehen sollte Ihnen eine relativ große Sicherheit davor geben, nicht Gefahr zu laufen, dass die Einwilligung in die Speicherung als unwirksam angesehen werden kann.
Ansonsten sind, wie gesagt, auch die übrigen Vorschriften des § 13 TMG (!) zu beachten, sofern ich Sie Ihnen oben angegeben habe.
Meines Erachtens ist es somit dringend erforderlich, dass der Nutzer die Datenschutzerklärung zuvor mit einem "Haken" versieht und somit bewusst darin einwilligt. Zusätzlich ist darüber hinaus aber auch für eine Protokollierung dieser Erklärung, Widerrufsmöglichkeiten etc. zu sorgen.
Ich kann Ihnen nur empfehlen, Ihre fertige Homepage von einem Anwalt auf Konformität mit oben genannten Bestimmungen prüfen zu lassen, damit Sie nicht Gefahr laufen, sich Unterlassungsansprüchen der Nutzer auszusetzen.
Gerne stehe ich Ihnen hierzu im Rahmen einer Mandatserteilung zur Verfügung.
Kann man anhand der IP Adresse einen Hacker finden?

References: § 12
 § 3
 § 13
 § 9
 § 9
 § 9
 § 9
 § 9
 § 12
 § 12
 § 13
 § 9
 § 9
 § 15
 § 15
 § 823
 § 15
 § 13
 § 307
 § 13