Source: https://www.mll-news.com/logistep-urteil-bundesgericht-qualifiziert-ip-adressen-nicht-grundsatzlich-als-personendaten/
Timestamp: 2020-08-09 08:00:09+00:00

Document:
Logistep-Urteil: Bundesgericht qualifiziert IP-Adressen NICHT grundsätzlich als Personendaten - MLL-News
Logistep-Urteil: Bundesgericht qualifiziert IP-Adressen NICHT grundsätzlich als Personendaten
Im September hat das Schweizer Bundesgericht bekanntlich die Tätigkeit der Logistep und damit das Sammeln von IP-Adressen durch private Unternehmen in P2P-Netzwerken zwecks Weitergabe an die Inhaber verletzter Urheberrechte als Verletzung des Schweizer Datenschutzrechts qualifiziert und untersagt (siehe dazu unser Beitrag vom 8. September 2010). Nun liegt die Begründung dieses im Ergebnis bereits bekannten Urteils vom 8. September 2010 vor. Eine genaue Lektüre des Urteils macht klar: Das höchste Schweizer Gericht sieht in IP-Adressen nicht generell Personendaten im Sinne des Datenschutzgesetzes („DSG“). Eine abstrakte Feststellung, ob es sich bei dynamischen IP-Adressen um Personendaten im Sinne des DSG handle oder nicht, sei nicht möglich, vielmehr müsse der Personenbezug vor dem Hintergrund der konkreten Umstände des Einzelfalls beurteilt werden. Diese Präzisierung dürfte zumindest für die Online-Werbebranche von beträchtlicher Bedeutung sein.
Zur Erinnerung: Logistep sammelt in sog. Peer-to-Peer-Datentauschnetzen („P2P-Netze“) IP-Adressen der Downloader urheberrechtlich geschützter Werke und übergibt diese Daten den jeweiligen Rechteinhabern. Die betroffenen Downloader können die konkrete Datensammlung sowie deren Zweck nicht erkennen. Die Rechteinhaber leiten in der Folge unter anderem Strafanzeige gegen Unbekannt ein und verschaffen sich die Identitätsdaten des Inhabers des betroffenen Internetanschlusses im Rahmen des strafrechtlichen Akteneinsichtsrechts. Die so erlangte Identität wird sodann zur Geltendmachung von Schadenersatzforderungen verwendet. Das Bundesverwaltungsgericht (Vorinstanz) hatte zwar IP-Adressen ebenfalls als Personendaten qualifiziert und das Sammeln der Daten als Verstoss gegen den in Art. 4 DSG verankerten Grundsatz der Zweckbindung und Erkennbarkeit der Datenbearbeitung gesehen. Allerdings erachtete es diesen Verstoss als gerechtfertigt durch ein überwiegendes öffentliches und privates Interesse an der Durchsetzung des Urheberrechtsschutzes. Gegen dieses Urteil hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte („EDÖB“) Beschwerde erhoben u.a. mit dem Argument, eine Verletzung der Grundsätze in Art. 4 DSGkönne aufgrund des Gesetzeswortlautes nicht durch einen Rechtfertigungsgrund im Sinne von Art. 13 DSG geheilt werden. Logistep ihrerseits argumentierte vor Bundesgericht u.a., dass IP-Adressen grundsätzlich nicht als Personendaten zu qualifizieren seien. Insbesondere sei für Logistep der Personenbezug nicht erkennbar, da erst die Rechteinhaber die weitergegebenen Anschlussdaten durch die Strafanzeige mit einer Identität verbinden könnten. Aus Mangel dieses Personenbezugs sei das DSG auf ihre Tätigkeit schon gar nicht anwendbar, weshalb auch keine unrechtmässige Datenbearbeitung gegeben sein könne.
In seinem begründeten Urteil vom 8. September 2010 hebt das Bundesgericht das Urteil des Bundesverwaltungsgerichts auf, hält aber fest, dass IP-Adressen im konkreten Fall der Geschäftstätigkeit von Logistep klarerweise als Personendaten im Sinne des DSG zu qualifizieren sind. Personendaten im Sinne des DSG seien alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 lit. a DSG). Entscheidend sei, dass sich die Angabe einer oder mehreren Personen zuordnen lassen. Dem sei Genüge getan, wenn sich aus der Angabe oder Information selbst ergibt, dass es sich genau um diese Person handelt, resp. im Sinne der Bestimmbarkeit, wenn aufgrund zusätzlicher Informationen auf diese genaue Person geschlossen werden kann. Das Bundesgericht betont aber auch, dass nicht schon jede theoretische Möglichkeit der Identifizierung genügen kann. Sei der Aufwand derart gross, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden müsse, dass ein Interessent diesen auf sich nehmen werde, liege keine Bestimmbarkeit vor (E. 3.2 Urteil). Diese Frage sei im konkreten Einzelfall zu beurteilen, wobei die jeweils vorhandenen technischen Möglichkeiten mit zu berücksichtigen seien. Hier betont das Bundesgericht sodann, dass nicht nur von Bedeutung sei, welcher Aufwand objektiv erforderlich sei, sondern auch, welches Interesse der Datenbearbeiter oder ein Dritter (hier Logistep oder die Rechteinhaber) an der Identifizierung haben. Dies sei nur vor dem Hintergrund der konkreten Umstände des Einzelfalls zu beurteilen. Unter Verweis auf Schweizer und deutsche datenschutzrechtliche Literatur hält das Bundesgericht hier fest:
„Eine abstrakte Feststellung, ob es sich (insbesondere bei dynamischen) IP-Adressen um Personendaten handelt oder nicht, ist somit nicht möglich“.
Ob eine Information aufgrund zusätzlicher Angaben mit einer bestimmten Person in Verbindung gebracht werden kann, sei aus der Sicht des jeweiligen Inhabers der Information (hier also zu Beginn Logistep) zu beurteilen. Im Falle der Weitergabe der Information (hier der IP-Adresse) sei dabei ausreichend, dass der Empfänger (hier also der Rechteinhaber) die betroffene Person (hier also den Downloader) zu identifizieren vermöge. Vorliegend sei nicht vorausgesetzt, dass die Urheberrechtsverletzer schon für Logistep bestimmbar seien. Vielmehr genüge es, wenn sie es nach der Übergabe der Daten für die Rechteinhaber und Kunden von Logistep werden. Wenn dies zutreffe, dann gelange das DSG auch auf die Datenbearbeitung durch Logistep selbst zur Anwendung. Das Bundesgericht hält dann eindeutig fest, dass für die Geschäftstätigkeit von Logistep die Bestimmbarkeit der betroffenen Personen grundsätzlich zu bejahen sei. „Auf ihr beruht ganz eigentlich das Geschäftsmodell der Beschwerdegegnerin“ (also Logistep). Etwas salopp geht das Bundesgericht sodann mit einem weiteren Einwand von Logistep um: Es sei wohl davon auszugehen, dass in vielen Fällen der Urheberrechtsverletzer nicht ausfindig gemacht werden könne, so insbesondere dann, wenn verschiedene Personen zu einem Computer oder einem Netzwerk Zugang haben. Es sei jedoch ausreichend, dass die Bestimmbarkeit in Bezug auf zumindest einen Teil der von Logistep gesammelten Informationen gegeben sei. Man wird den Eindruck nicht los, dass hier ein zentraler Einwand der Logistep erstaunlich leichtfertig abgewendet wird. Ob bestimmt oder bestimmbar: das DSG verlangt einen Bezug zu einer genau bestimmten Person, damit ein Personenbezug gegeben ist. Dies betont auch das Bundesgericht in E. 3.2. Man hätte eigentlich erwartet, dass sich das Bundesgericht hier eingehender mit der Frage auseinandersetzt, weshalb genau dieses Erfordernis erfüllt sein soll, wenn eben nicht ausgeschlossen werden kann, dass die unzweifelhafte Identität des Downloaders im Fall eines konkreten illegalen Downloads nicht festgestellt werden kann, da ein PC oder Internetanschluss eben in aller Regel nicht direkt und unzweifelhaft einer bestimmten Person zugeordnet werden kann.
Das Bundesgericht stellt seine Auslegung des Begriffs des Personenbezugs im Zusammenhang mit IP-Adressen sodann auch in den Kontext der Rechtslage in der Europäischen Union und sieht sich dort insbesondere durch die Stellungnahme der Art. 29 Data Protection Working Party bestätigt. Auch diese stufe IP-Adressen als Daten ein, die sich auf eine bestimmbare Person beziehen und damit personenbezogene Daten im Sinne von Art. 2 lit. a der Richtlinie 95/46/EG darstellen.
Der vorliegend gegebene Personenbezug führe weiter zur grundsätzlichen Anwendbarkeit des DSG, so das Bundesgericht weiter. Der in Art. 4 DSG verankerte Grundsatz, dass das Sammeln von Daten und der damit verfolgte Zweck für die Betroffenen im Moment der Sammlung erkennbar sein müsse, stelle „das ethische und rechtspolitische Fundament des Datenschutzgesetzes“ dar, weshalb „nicht ohne zwingenden Grund gegen sie verstossen werden können“ solle. Dies führe zwar nicht dazu, dass die Geltendmachung eines Rechtfertigungsgrundes grundsätzlich ausgeschlossen sei wie der EDÖB verlangt, ein solcher dürfe aber im konkreten Fall nur mit grosser Zurückhaltung angenommen werden. Das Bundesverwaltungsgericht als Vorinstanz sah das überwiegende Interesse an der Durchsetzung des Urheberrechts als gegeben an, da es für die in ihren Rechten verletzten Rechteinhaber ohne die Sammlung von IP-Adressen nicht möglich sei, die Verletzer zu identifizieren und gegen diese Schadenersatz- und Unterlassungsansprüche geltend zu machen. Ein milderes geeignetes Mittel sei nicht ersichtlich.
Das oberste Schweizer Gericht sieht dies nun ganz anders: das Sammeln der IP-Adressen durch Logistep stelle eine Persönlichkeitsverletzung dar, denn es verstosse gegen die fundamentalen Grundsätze der Zweckbindung und der Erkennbarkeit jeder Datenbearbeitung (Art. 4 Abs. 3 und 4 DSG). Logistep verfolge ein eigenes wirtschaftliches Interesse. Die dabei angewandte Methode führe allgemein und über den konkreten Fall hinaus wegen fehlender gesetzlicher Reglementierung in diesem Bereich zu einer Unsicherheit in Bezug auf die im Internet angewendeten Methoden wie auch in Bezug auf Art und Umfang der gesammelten Daten und deren Bearbeitung. Insbesondere seien die Speicherung und die mögliche Verwendung der Daten ausserhalb eines ordentlichen Gerichtsverfahrens nicht klar bestimmt. Daran ändere auch das Interesse der Auftraggeber der Logistep nichts. Sodann stellt das Bundesgericht im Fall der Methoden und Tätigkeit von Logistep die Durchsetzung des DSG eindeutig über das Interesse an der Durchsetzung des Urheberrechts (E. 6.3 Urteil):
„Mithin vermag auch das Interesse an der wirksamen Bekämpfung von Urheberrechtsverletzungen die Tragweite der Persönlichkeitsverletzung und der mit der umstrittenen Vorgehensweise einhergehenden Unsicherheiten über die Datenbearbeitung im Internet nicht aufzuwiegen. Ein überwiegendes privates oder öffentliches Interesse ist umso mehr zu verneinen, als dieses nur zurückhaltend bejaht werden darf.“
An der Eindeutigkeit dieser Gewichtung vermag auch der abschliessende Hinweis des Bundesgerichts nichts zu ändern, im vorliegenden Fall ginge es nicht darum, dem Datenschutz generell den Vorrang gegenüber dem Schutz des Urheberrechts einzuräumen. Eindeutig zuzustimmen ist jedoch dem Hinweis, dass es Sache des Gesetzgebers und nicht des Richters sei, die allenfalls notwendigen Massnahmen zu treffen, um einen den neuen Technologien entsprechenden Urheberrechtsschutz zu gewährleisten.
Interessant ist sodann das Urteilsdispositiv. Darin wird nämlich Logistep jede Datenbearbeitung im Bereiche des Urheberrechts sowie die Weitergabe der schon gesammelten Daten an betroffene Rechteinhaber verboten. Das Urteil beschränkt sich nicht auf das Sammeln in der Schweiz oder von Schweizer IP-Adressen. Zumindest solange Logistep seinen Sitz in der Schweiz hat, dürfte somit das Weiterführen der Geschäftstätigkeit einen Verstoss gegen dieses letztinstanzliche und damit rechtskräftige Urteil darstellen. Was dies in Bezug auf eine allfällige zivil- und strafrechtliche Haftung von Logistep und ihren verantwortlichen Personen (auch für ihre Tätigkeit ausserhalb der Schweiz) bedeutet, bleibt abzuwarten.
Die Begründung des Personenbezugs von IP-Adressen im nun vorliegenden Urteil des Bundesgerichts ist insofern begrüssenswert, als klargestellt wird, dass IP-Adressen nicht abstrakt und generell als Personendaten zu behandeln sind. Hier überzeugt der Standpunkt des Schweizer Bundesgerichts insbesondere auch im Vergleich mit dem kürzlich ergangenen ersten Urteils eines deutschen Gerichtes zu dieser Frage (vgl. dazu den Gastbeitrag von Martin Schirmbacher vom 6.12.2010). Auch das OLG Hamburg beurteilt die Frage des Personenbezugs aufgrund des notwendigen und zu erwartenden Aufwandes zur Bestimmung der hinter einer IP-Adresse liegenden Identität. Im Ergebnis lehnte es den Personenbezug aber im Licht dieses Aufwandes ganz grundsätzlich und abstrakt ab. Die Argumentation des Schweizer Bundesgerichts vermag rechtlich und argumentativ bedeutend besser zu überzeugen, insbesondere auch aufgrund des Hinweises, dass ja gerade der Erfolg des Geschäftsmodells der Logistep zeige, dass durchaus zu erwarten ist, dass der Aufwand zur endgültigen Identifikation regelmässig kein Hindernis für die Bestimmbarkeit darstelle. Allerdings bleibt ein zentrales Argument gegen den Personenbezug im Rahmen der Bestimmbarkeit sowohl im Schweizer höchstrichterlichen wie auch im deutschen Urteil unterer Instanz nahezu unberücksichtigt: Die Tatsache, dass eine IP-Adresse eben in der Regel nicht den rechtsgenügenden Beweis der Zuordnung eines illegalen Downloades darstellt – könnte eine Qualifikation als Personendatum im Sinne des DSG durchaus grundsätzlich ausschliessen. Ein Fahrzeugkennzeichen stellt auch nur insofern ein Personendatum dar, als es den Halter eines Fahrzeugs identifiziert und gerade noch nicht den jeweiligen Fahrer in einer konkreten Verkehrssituation.
Jedoch geht es bei der Frage der Personenbezogenheit der von Logistep gesammelten Daten eben nicht um die Person des Urheberrechtsverletzers. Vielmehr kommt es einzig darauf an, dass die IP-Adressen von Logistep in Vertretung der Rechteinhaber mit dem Ziel gesammelt werden, den konkreten Personenbezug zum Anschlussinhaber herzustellen. Den Nachweis, dass dieser mit dem Verletzer identisch ist, obliegt dann dem Rechteinhaber im Urheberrechtsprozess, resp. Strafverfahren gegen den Anschlussinhaber. Deshalb ist es hier in der Tat aus der Sicht des Datenschutzrechts unmassgeblich, ob der Verletzer mit dem Anschlussinhaber identisch ist, denn die IP-Adresse identifiziert die für einen Internetzugang verantwortliche Person. Man kann wohl tatsächlich nicht abstreiten, dass der Aufwand, diesen Personenbezug herzustellen für Logistep in Vertretung der Rechteinhaber offensichtlich nicht so hoch ist, dass man damit nach allgemeiner Lebenserfahrung nicht rechnen muss.
Von grosser Bedeutung ist die Frage des Personenbezugs für die Online-Werbebranche. Hier dürfte das Urteil aufatmen lassen. Denn in den meisten Konstellationen des Online-Marketings, in welchen IP-Adressen bearbeitet werden, dürfte es an diesem Zweck resp. Interesse, die Identität des Anschlussinhabers eindeutig festzustellen, mangeln. Vielmehr wird eine solche Datenbearbeitung in erster Linie der Zustellung von auf den Anschlussinhaber zugeschnittener Werbung dienen. Hierfür wird die Feststellung der hinter der IP-Adresse stehenden Person – anders als im Falle von Logistep – häufig nicht von Interesse sein.
Urteil des Schweizer Bundesgerichts vom 8. September 2010 (BGE 136 II 508)
Stellungnahmen der Art. 29 Data Protection Working Party
Beitrag BR-News vom 8. September 2010 (Logistep)
BR-News: Gastbeitrag von Martin Schirmbacher vom 6.12.2010 (Urteil OLG Hamburg zum Personenbezug von IP-Adressen)
Beitrag BR-News vom 10. September 2010 (Urheberrechtsverletzungen in P2P-Netzwerken)
Art. 3 DSG
Art. 4 DSG
DSG-Revision: FAQ Teil 2
HGer Zürich urteilt in Sachen Viagogo: erfolglose Klage wegen Verstoss gegen Impressumspflicht und Irreführungsverbot im UWG
ISO lanciert Standard zur Vertrauenswürdigkeit von AI-Systemen
E-Mail und Datenschutz: DSK veröffentlicht Orientierungshilfe zum Mindestschutz von Personendaten auf dem Transportweg

References: Art. 4
 Art. 4
 Art. 13
 Art. 29
 Art. 2
 Art. 4
 Art. 29

Art. 3

Art. 4