Source: https://www.delegedata.de/2017/03/aufsichtsbehoerde-website-hosting-bedarf-eines-vertrags-zur-auftragsdatenverarbeitung/
Timestamp: 2017-03-27 06:30:27+00:00

Document:
de lege data | Aufsichtsbehörde: Website-Hosting bedarf eines Vertrags zur Auftragsdatenverarbeitung
Posted on 7. März 2017 by Carlo Piltz	In seinem kürzlich vorgestellten Tätigkeitsbericht für die Jahre 2015/2016 (pdf) berichtet das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) über Anfragen von Unternehmen, wie Dienstleistungen von Website-Hostern datenschutzrechtlich einzuordnen sind und welche gesetzlichen Anforderungen erfüllt werden müssen (S. 39).
7 thoughts on “Aufsichtsbehörde: Website-Hosting bedarf eines Vertrags zur Auftragsdatenverarbeitung”	Arno Nym	7. März 2017 at 17:56	“Reines Website-Hosting ohne weitere Leistungen mit pb Daten unterliegen (nur) dem TKom/TMedien-Recht.” (S. 40)
Antworten	Carlo Piltz	7. März 2017 at 18:37	Hallo Nym, danke für den Kommentar und den berechtigten Hinweis. Zu der Frage gibt es ja auch schon reichlich Ausführungen in der Literatur. Aus dem Bauch heraus: je nachdem. § 100 TKG. Oder wir nehmen § 15 TMG unter Beachtung des EuGH-Urteils. Wobei man evtl. auch fragen kann, ob denn nicht das Loggen eine Leistung in Bezug auf pb Daten ist. BG
Antworten	Unbefugter	7. März 2017 at 18:40	@Nym: IMHO ist keine RGL erforderlich. Für Websitehoster wird es sich bei IP-Adressen spätestens seit EuGH iS Breyer nicht um pbD handeln. Der Anwendungsbereich des DS-Rechts ist gar nicht eröffnet.
Antworten	Arno Nym	8. März 2017 at 08:35	@Unbefugter. Den Einwand verstehe ich nicht richtig. Der EuGH hat doch klargestellt, dass es ausreicht, wenn die Strafverfolgungsbehörden die IP Adresse zuordnen können. Warum sollte sich ein Webhoster bei einem Verdacht wg. Computersabotage nach § 303b StGB nicht an die StA wenden können?
Antworten	Unbefugter	8. März 2017 at 15:42	@Nym: Wie das Urteil auszulegen ist, ist zumindest mir nicht so recht klar. Soweit es eines konkreten Verdachts bedarf, sind die Daten für den Hoster bis dahin nicht pb. Die andere, m.E. mit der Aussage des EuGH nicht zu vereinbarende Auffassung stellt darauf ab, dass irgendwann einmal ein Verdacht aufkommen kann und schon deshalb die Daten pb sind. Also alle immer. Folgt man der erstgenannten Auffassung, erstarken die Daten also erst bei der konkreten Möglichkeit der Akteneinsicht zu solchen mit Personenbezug. Dann liegen erstmals pb Daten vor und werden zum Zwecke der Strafverfolgung verarbeitet. Mit dem vorangegangenen (Quasi-)ADV-Verhältnis hat das aber nichts zu tun.
Antworten	Mathias	8. März 2017 at 14:10	Dabei stellt sich mir die Frage, ob ein vServer, der bei einem Hoster steht, auch unter diesen ADV fällt? Wahrscheinlich aber schon oder?
Antworten	Carlo Piltz	8. März 2017 at 17:17	Ja, auch eine interessante Frage. Auch da wird es stark von den Gegebenheiten abhängen (zB ob Zugriff auf Daten exisitiert bzw. nicht ausgeschlossen werden kann; wenn ja, welche Daten; etc). Beste Grüße.

References: § 100
 § 15
 EuGH 
 EuGH 
 § 303
 EuGH