Source: http://www.llrdsc.de/2013/09/
Timestamp: 2017-02-27 09:06:46
Document Index: 291681721

Matched Legal Cases: ['§ 3', '§ 3', '§ 3', '§ 101', '§ 3', '§ 38', '§ 13']

September | 2013 | LLR Data Security and Consulting GmbH
1. Für die Auslegung des Wortes “bestimmbar” in § 3 Abs. 1 BDSG ist der subjektive Ansatz zugrundezulegen. Daher ist die dem Computer einer natürlichen Person dynamisch zugeteilte IP-Adresse für alle anderen an der IP-basierten Kommunikation Beteiligten (mit Ausnahme des die Adresse zuteilenden Internetzugangsdiensteanbieters (i.d.R. Betreiber des Tier-3 Telekommunikationsnetzes, z.B. NetCologne, Deutsche Telekom, etc.)), also insbesondere für die Betreiber von Internetseiten, für sich genommen ohne Weiteres kein personenbezogenes Datum i.S.v. § 3 Abs. 1 BDSG. Dies gilt auch, wenn der Betreiber der Internetseite die IP-Adresse eines auf die Seite zugreifenden Computers gemeinsam mit dem Zugriffszeitpunkt speichert.
3. Dagegen reicht es für den Bezug einer (dynamischen) IP-Adresse zu einer “bestimmbaren” natürlichen Person i.S.v. § 3 Abs. 1 BDSG nicht per se aus, dass die verantwortliche Stelle (hier: der Betreiber der Internetseite) die theoretische Möglichkeit hat, durch ein Auskunftsverfahren i.S.v. § 101 UrhG gegen den die dynamische Zuordnung vornehmenden Internetzugangsdiensteanbieter oder vermittelt durch eine Akteneinsicht im Rahmen eines Strafverfahrens Kenntnis von der Identität der auf die Internetseite zugreifenden Person erlangen zu können. Für die Frage, ob eine natürliche Person in diesem Sinne “bestimmbar” ist, ist nur auf das Kontextwissen abzustellen, welches bei der verantwortlichen Stelle tatsächlich vorhanden ist, sowie ergänzend auf diejenigen Zusatzinformationen, die von der verantwortlichen Stelle mit einem Aufwand beschafft werden können, bei dem es nach der allgemeinen Lebenserfahrung zu erwarten steht, dass die verantwortliche Stelle diesen zur Aufdeckung der Identität auf sich nehmen wird. Weil dies eine Frage des konkreten Einzelfalls ist, entzieht sich die dahingehende Bewertung von (dynamischen) IP-Adressen einer pauschalen Beurteilung, ob es sich um personenbezogene Daten handelt oder nicht.
4. Die getrennte Speicherung von IP-Adresse und Zugriffszeitpunkt in verschiedenen Datenbeständen schließt nicht aus, dass die IP-Adresse – sobald die verantwortliche Stelle Kontextinformationen erlangt - zum personenbezogenen Datum i.S.v. § 3 Abs. 1 BDSG wird, es sei denn, es wäre jedermann in der Position der verantwortlichen Stelle, also objektiv, unmöglich, die IP-Adresse mit dem zur Identifikation benötigten Kontextwissen zusammen zu führen.
Ob eine IP-Adresse ein personenbezogenes Datum ist oder nicht, ist die zentrale Gretchenfrage, die sich jeder Betreiber einer Internetseite stellen muss, der die Benutzung seiner Seite auch nur erfassen, geschweige denn darauf aufbauend auswerten möchte. Das vom Landgericht Berlin erlassene Berufungsurteil festigt die vorhandene Rechtsprechung, die entgegen dem von den Aufsichtsbehörden i.S.v. § 38 BDSG teilweise vertretenen objektiven Ansatz die “Bestimmbarkeit” nach dem subjektiven Ansatz beurteilt, also auf das Wissen, die Möglichkeiten der verantwortlichen Stelle und den vernüftiger Weise zu erwartenden Aufwand abstellt. Dies mindert zwar die Rechtssicherheit, erhöht aber die Gerechtigkeit im Einzelfall. Ob der Anwendungsbereich des Datenschutzrechts – der maßgeblich von der Bewertung von Informationen als personenbezogene Daten abhängt – muss daher immer genau im Einzelfall geprüft werden. Eine rechtssichere pauschale Aussage wird man in der Regel nur dahingehend treffen können, dass bei Zweifelsfällen eher vom ein personenbezogenen Datum und daher von der Anwendbarkeit des Datenschutzrechts ausgegangen werden sollte.
In vielen Fällen ergeben sich jedoch keine Anhaltspunkte für Zweifel. Alle Internetseiten, die nur Inhalte zum Abruf durch Anklicken bereit halten, ohne die Möglichkeit vorzusehen, dass der Nutzer auch nur irgendeine Art von Tastatureingabe machen kann (kein Login, kein Kontaktformular, keine Kommentarmöglichkeit, etc.), setzen den Betreiber der Internetseite so gut wie nie der Gefahr aus, Wissen zu erlangen, welches zur Identifikation eines Nutzers genutzt werden könnte. Für die Anbieter solcher Internetseiten, die kein Kontextwissen über den Nutzer vermitteln, ist durch das vorliegende Urteil klargestellt, dass das deutsche Datenschutzrecht für ihre Tätigkeiten rund um die Internetseite keine Anwendung findet, solange die Betreiber auch sonst kein Kontextwissen erlangen. Dies ergibt sich aus dem wichtigsten Aussagegehalt des Urteils, oben im Leitsatz zu 3. formuliert (aus den Gründen II – 3) b) bb) (1) (b)), dass die theoretische Möglichkeit der Erlangung des Wissens über die der IP-Adresse zuzuordnende Person bei Dritten, insbesondere beim Internetzugangsdiensteanbieter, nicht dafür ausreichend ist, für den Betreiber einer Internetseite die IP-Adresse (eines sonst nicht bekannten Nutzers) zu einem personenbezogenen Datum zu machen. Das bedeutet für derartige Internetseiten die unbeschränkte Möglichkeit des Trackings des Nutzerverhaltens auf der Seite, z.B. mittels Google Analytics. Erklärungen zum Datenschutz i.S.v. § 13 Abs. 1 TMG können denkbar schlank gefasst werden, mit der Auskunft: “Im Zusammenhang mit dem Abruf dieser Internetseite werden keine personenbezogenen Daten erhoben, verarbeitet oder genutzt.”
Teilen:LinkedInGoogleTwitterSend to KindleFacebookDruckenE-Mail	Dieser Beitrag wurde am 6. September 2013 von LLR DSC in Datenschutz, Rechtsprechung, Social Media, Werbung und Marketing veröffentlicht. Schlagworte: bestimmbar, BSI, IP-Adresse, IT-Sicherheit, Personenbezug. Suche nach:
Letzte Beiträge	Entwurf einer E-Privacy-Verordnung
Tag CloudAufsichtsbehörde
Mitgliedschaften	Archive	Februar 2017 (3)