Source: https://www.offenenetze.de/tag/personenbezug/page/2/
Timestamp: 2019-06-18 15:11:56
Document Index: 389779709

Matched Legal Cases: ['§ 3', '§ 43', '§ 44', '§ 823', '§ 98', '§ 3', '§ 3', '§ 3', '§ 101', '§ 101', '§ 3', '§ 97', '§ 97', '§ 97', 'BGH', 'BGH', 'BGH', 'BGH', 'BGH', '§ 97', 'BGH', '§ 101', '§ 3', 'EuG', 'EuG', 'EuG', 'Art. 8', 'EuG', 'EuG', 'Art. 15', 'Art. 3', 'Art. 15', 'Art. 3', 'Art. 8', 'EuG', 'EuG', 'EuG', 'Art. 15', 'EuG', 'EuG', '§ 3', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'BGH', 'Art. 10', 'Art. 1', 'Art. 2', 'BGH', '§ 101', '§ 3', 'BGH', 'BGH', '§ 96', '§ 113', '§ 4', '§ 4', '§ 113', '§ 101']

Personenbezug | Offene Netze und Recht | Seite 2
Schlagwort-Archive: Personenbezug
Wie heute berichtet wird, plant Telefonica (u.a. O2), die Standortdaten seiner Kunden als Produkt namens „Smart Steps“ in Form von Bewegungsprofilen an gewerbliche Kunden zu verkaufen.
Dieser Beitrag wurde am Oktober 30, 2012 von blackhole in Aktuelles veröffentlicht. Schlagworte: anonym, Anonymisierung, Anonymität, Bewegungsprofil, Datenschutz, Personenbezug, Schutzgesetz, Standortdaten, Telefonica, § 3 BDSG, § 43 BDSG, § 44 BDSG, § 823 BGB, § 98 TKG.
Nach einer Meldung des Blogs Torrentfreak (inklusive Volltext) ist in den letzten Tagen mehrfach über eine Entscheidung des United States District Court of the Eastern District of New York berichtet worden (s. nur hier und hier). Teilweise wurde auch schon der Zusammenhang mit der deutschen Diskussion des Personenbezugs von IP-Adressen diskutiert (s. Blog Datenschutzbeauftragter-info).
In diesem Beitrag soll (1) die Bedeutung des Urteils für die deutsche Diskussion um den Personenbezug von IP-Adressen und (2) der Zusammenhang mit Verfahren wegen der Verbreitung von urheberrechtlich geschützten Werken durch Filesharing in Deutschland beleuchtet werden.
Auszüge der Entscheidung des Gerichts
Zunächst einige Auszüge aus der Bewertung der Tatsachen durch das Gericht:
The putative defendants are identified only by Internet Protocol („IP“) addresses. …
This Order addresses (1) applications by plaintiffs in three of these actions for immediatediscovery, consisting of Rule 45 subpoenas directed at non-party Internet Service Providers(„ISPs“)to obtain identifying information about subscribers to the named IP addresses …
BitTorrent also uses a „tracker“ computer that tracks thepieces of the files as those pieces are shared among various computers. This tracking feature [allows] the plaintiffs to identify the IP addresses from which the films were downloaded, the subscribers towhich have become the defendants in these actions. …
The complaints assert that the defendants – identified only by IP address – were theindividuals who downloaded the subject „work“ and participated in the BitTorrent swarm.However, the assumption that the person who pays for Internet access at a given location is thesame individual who allegedly downloaded a single sexually explicit film is tenuous, and one thathas grown more so over time. An IP address provides only the location at which one of anynumber of computer devices may be deployed, much like a telephone number can be used for anynumber of telephones. …
Thus, it is no more likely that the subscriber to an IP address carried out a particular computerfunction – here the purported illegal downloading of a single pornographic film – than to say anindividual who pays the telephone bill made a specific telephone call.
Some of these IP addresses could belong to businesses or entities which provide accessto its employees, customers and sometimes (such as is common in libraries or coffee shops) members of the public.
In sum, although the complaints state that IP addresses are assigned to „devices“ and thus by discovering the individual associated with that IP address will reveal „defendants“ trueidentity,”this is unlikely to be the case. Most, if not all, of the IP addresses will actually reflect a wireless router or other networking device, meaning that while the ISPs will provide the name of its subscriber, the alleged infringer could be the subscriber, a member of his or her family, an employee, invitee, neighbor or interloper.
(Hervorhebungen durch Verfasser)
1. Die Frage des Personenbezugs von IP-Adressen
a. Personenbezug und Bestimmbarkeit
In der deutschen Literatur ist bereits seit längerer Zeit umstritten, ob IP-Adressen ein personenbezogenes Datum i.S.d. § 3 BDSG darstellen. Dabei muss man sich den Gesetzestext vor Augen führen. § 3 Abs. 1 BDSG lautet:
Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person
Für den Personenbezug reicht es demnach aus, dass eine Person „bestimmbar“ ist. Über gerade dieses Merkmal herrscht Streit. Teilweise wird der sogenannte „relative Personenbezug“ vertreten (so z.B. AG München, Urteil vom 30.09.2008 – 133 C 5677/08). Danach soll ein Datum nur dann personenbezogen sein, wenn derjenige, der das Datum speichert, den Personenbezug selbst herstellen kann, z.B. weil in seiner Datenbank auch den Namen des Betroffenen gespeichert ist. Kein Personenbezug soll vorliegen, wenn nur ein Dritter diesen Identitätsbezug herstellen kann (daher „relativ“).
Auf der anderen Seite vertreten vor allem die Datenschutzaufsichtsbehörden den sogenannten „absoluten“ Personenbezug (ebenso LG Berlin, K&R 2007, 601; LG Hamburg CR 2005, 136, 140; AG Berlin Mitte K&R 2007, 600; Hoeren, Skript Internetrecht (Stand September 2008), 439; Kitz, GRUR 2003, 1014, 1018; Nordemann/Dustmann, CR 2004, 380, 386; Tinnefeld in: Roßnagel, Handbuch Datenschutzrecht, Kap. 4.1 Rn. 21; Spindler/Dorschel, CR 2005, 38, 44; Wüstenberg, TKMR 2003, 105, 107). Danach soll ein Datum, das sich auf eine bestimmbare Person bezieht, in jedem Fall ein personenbezogenes Datum sein, also auch dann, wenn nur ein Dritter diesen Identitätsbezug herstellen kann.
Dies hat in Bezug auf IP-Adressen erhebliche Auswirkungen. Denn wie im Fall des US-Gerichts kennt der Rechtsinhaber nur die IP-Adresse und den Zeitpunkt der Nutzung. Der Access Provider hingegen kann auf Anfrage aus IP-Adresse und Zeitpunkt der Nutzung in seiner Nutzungsdatenbank (sofern er eine solche ausreichend lange vorhält), klar bestimmen, wer zu diesem Zeitpunkt diese IP-Adresse genutzt hat.
Nach der Theorie des absoluten Personenbezugs ist die IP-Adresse bereits beim Rechtsinhaber ein personenbezogenes Datum nach § 3 Abs. 1 BDSG, nach der Theorie des relativen Personenbezugs hingegen nicht.
Ich will hier auf den Streit und das jeweilige Für und Wider nicht näher eingehen. Allerdings ist das Merkmal „bestimmbar“ nach allgemeiner Auffassung so definiert, dass ein Personenbezug gegeben ist, wenn ohne unzumutbaren Aufwand die Identität der Person herausgefunden werden kann.
Nach meiner Meinung ist vor diesem Hintergrund der Streit wenigstens bei Filesharing-Fällen nicht so beachtlich. Denn die zehntausendfachen Anfragen nach § 101 UrhG belegen, dass es für Rechtsinhaber relativ unproblematisch ist, die erforderliche Auskunft zu erhalten. Wenn also der Rechtsinhaber eine IP-Adresse erhebt, ist ziemlich sicher, dass er die Identität des Anschlussinhabers ermitteln kann. Demnach kann – durch Rückgriff auf die Daten des Access Providers mittels § 101 UrhG – mit nicht unzumutbarem Aufwand aus der IP-Adresse auf die Identität des Anschlussinhabers geschlossen werden, auch wenn dafür auf Daten eines Dritten zugegriffen werden muss.
Die IP-Adresse ist also ein personenbezogenes Datum nach § 3 Abs. 1 BDSG.
b. Die Entscheidung des US-Gerichts
Nun hat das US-Gericht in seiner Entscheidung, wie sich auch aus den Auszügen oben ergibt, scheinbar relativ eindeutig geurteilt, dass eine IP-Adresse eine Person nicht identifiziert. Es stellt sich die Frage, ob dies auf die obige Diskussion des Personenbezugs von IP-Adressen irgendeine Auswirkung hat. Das Blog Datenschutzbeauftragter-info hat dies überschrieben mit: „Klarheit durch neues Urteil?“
Eine solche Klarheit bringt die Entscheidung des US-Gerichts nach meiner Auffassung aber nicht.
Denn das Gericht hat sich mit der Frage beschäftigt, ob sich aus der IP-Adresse eindeutig auf den Täter einer hinter einer IP-Adresse tätigen Rechtsverletzung schließen lässt und hat diese Frage verneint.
Dies hat aber keinerlei Einfluss darauf, dass sich aus der IP-Adresse auf den Anschlussinhaber schließen lässt. Das Gericht hat diesen Umstand auch erkannt und erläutert, dass es zwischen dem „Subscriber“ eines Internet-Anschlusses und dem Täter („alleged infringer“) unterscheidet:
… while the ISPs will provide the name of its subscriber, the alleged infringer could be the subscriber, a member of his or her family, an employee, invitee, neighbor or interloper.
2. Zusammenhang mit Verfahren wegen der Verbreitung von urheberrechtlich geschützten Werken durch Filesharing
Dennoch ist der Entscheidung des US-Gerichts – auch mit Blick auf die rechtliche Situation in Deutschland – zuzustimmen. Denn auch in Deutschland ist die vom US-Gericht aufgeworfene und beantwortete Frage relevant, z.B. in Verfahren wegen der Verletung urheberrechtlich geschützter Werke.
Bei Verfahren wegen der Verletzung von Urheberrechten über das Internet muss zwischen zwei Anspruchskomplexen unterschieden werden: (a) Anspruch auf Schadensersatz nach § 97 Abs. 2 UrhG und (b) Anspruch auf Unterlassung nach §§ 97 Abs. 1 UrhG, 1004 BGB nach den Grundsätzen der sogenannten Störerhaftung.
In § 97 Abs. 1, 2 UrhG heißt es:
(1) Wer das Urheberrecht oder ein anderes nach diesem Gesetz geschütztes Recht widerrechtlich verletzt …
(2) Wer die Handlung vorsätzlich oder fahrlässig vornimmt, ist dem Verletzten zum Ersatz des daraus entstehenden Schadens verpflichtet.
Schadensersatzhaftung ist eine klassische Täterverantwortlichkeit. Der Rechtsinhaber muss belegen können, dass der angebliche Verletzer sein Urheberrecht verletzt hat – und zwar vorsätzlich oder fahrlässig und zusätzlich schuldhaft. Dafür muss er den Täter konkret benennen und darlegen, dass dieser Täter die Urheberrechtsverletzung begangen hat.
Hier setzt die Entscheidung des US-Gerichts an: Mittels der IP-Adresse kann nicht der Täter einer Urheberrechtsverletzung (mit ausreichender Sicherheit) identifiziert werden.
Ebenso argumentiert grundsätzlich auch der BGH (BGH MMR 2010, 565 – Sommer unseres Lebens m. Anm. Mantz):
Der IP-Adresse kommt keine mit einem eBay-Konto vergleichbare Identifikationsfunktion zu. Anders als letzteres ist sie keinem konkreten Nutzer zugeordnet, sondern nur einem Anschlussinhaber, der grds. dazu berechtigt ist, beliebigen Dritten Zugriff auf seinen Internetanschluss zu gestatten. Die IP-Adresse gibt deshalb bestimmungsgemäß keine zuverlässige Auskunft über die Person, die zu einem konkreten Zeitpunkt einen bestimmten Internetanschluss nutzt. Damit fehlt die Grundlage dafür, den Inhaber eines WLAN-Anschlusses im Wege einer unwiderleglichen Vermutung so zu behandeln, als habe er selbst gehandelt (vgl. BGH, a.a.O. – Halzband). Es ginge deshalb zu weit, die nicht ausreichende Sicherung eines WLAN-Anschlusses mit der unsorgfältigen Verwahrung der Zugangsdaten für ein eBay-Konto gleichzusetzen. Dies würde die WLAN-Nutzung im Privatbereich auch mit unangemessenen Haftungsrisiken belasten, weil der Anschlussinhaber bei Annahme einer täterschaftlichen Verantwortung unbegrenzt auf Schadensersatz haften würde, wenn außenstehende Dritte seinen Anschluss in für ihn nicht vorhersehbarer Weise für Rechtsverletzungen im Internet nutzen.
Allerdings wendet der BGH (und der Folge die deutschen Instanzgerichte) auch im Rahmen der Schadensersatzhaftung die sogenannte sekundäre Darlegungslast an. Es spreche eine Vermutung dafür, dass der Anschlussinhaber auch die Rechtsverletzung begangen hat. Diese Vermutung muss der Anspruchsgegner durch geeigneten Vortrag (z.B. Urlaub) entkräften. Insofern dürften das US-Gericht und die deutsche Rechtsprechung (häufig) zu sich widersprechenden Ergebnissen kommen. So hat z.B. das LG Magdeburg, Urteil vom 11.05.2011 – 7 O 1337/10, BeckRS 2011, 14490, unter Bezugnahme auf das vorgenannte BGH-Urteil erkannt:
Der Kläger hat einen Anspruch auf Schadensersatz gemäß §§ 97 Abs. 1,2, 19 a UrhG. … Weil das geschützte Filmwerk der Öffentlichkeit von einer IP-Adresse aus zugänglich gemacht wurde, die zum fraglichen Zeitpunkt dem Beklagten zugeteilt war, spricht eine tatsächliche Vermutung dafür, dass der Beklagte für die Rechtsverletzung verantwortlich ist. Den Beklagten, der geltend macht, eine andere Person habe die Rechtsverletzung begangen, traf daher eine sekundäre Darlegungslast (vgl. BGH, Urteil vom 12.05.2010, Aktenzeichen I ZR 121/08 – Sommer unseres Lebens – zitiert nach juris). Dieser sekundären Darlegungslast ist der Beklagte nicht nachgekommen. Er hat nicht ausgeschlossen, dass sein erwachsener Sohn … der mit dem PC des Beklagten vertraut war, weil er den Router installiert hatte, oder andere Besucher der Familie am Silvestertag 2009 in der Wohnung des Beklagten waren.
Eine solche sekundäre Darlegungslast kennt das US-Recht (nach meinem Wissen) nicht, wobei zu beachten ist, dass in den USA nur ausnahmsweise der Beklagte Beweis erbringen muss – was durch die Möglichkeit einer Discovery zu Gunsten des Klägers ausgeglichen wird. Dennoch könnte im Ergebnis die Entscheidung des US-Gerichts als weiteres Argument gegen die Annahme einer Schadensersatzhaftung angeführt werden. Ob dem Erfolg zuteil wird, muss sich zeigen.
b. Störerhaftung
Auf der anderen Seite wendet die Rechtsprechung die sogenannte „Störerhaftung“ auch auf Urheberrechtsverletzungen an. Danach soll eine Haftung auf Unterlassen (nicht auf Schadensersatz) des Anschlussinhabers bestehen, wenn er ihm obliegende Prüf- und Überwachungspflichten verletzt hat und er dadurch jedenfalls an einer Rechtsverletzung (wenn auch möglicherweise unbewusst) mitgewirkt hat.
Auch hier zeigt sich erneut der Zusammenhang: Aus der IP-Adresse lässt sich zwar ggf. nicht auf den Täter schließen – aber jedenfalls auf den Anschlussinhaber. Gäbe es in den USA ein Institut ähnlich der Störerhaftung, hätte das US-Gericht dementsprechend vermutlich geurteilt:
Eine IP-Adresse identifiziert zwar nicht den Täter einer Urheberrechtsverletzung, aber auf jeden Fall den Anschlussinhaber.
Dieser Beitrag wurde am Mai 10, 2012 von blackhole in Urteile und Beschlüsse veröffentlicht. Schlagworte: Access Provider, Auskunftsanspruch, Filesharing, IP-Adresse, LG Magdeburg, Personenbezug, Prüfungs- und Überwachungspflichten, Sekundäre Darlegungslast, Sommer unseres Lebens, Störerhaftung, USA, § 101 UrhG, § 3 BDSG.
EuGH, Urt. v. 24.11.2011 – C-70/10: Scarlet vs. SABAM: Filterpflichten – kurze Bewertung
Der EuGH hat kürzlich im Rahmen der Beantwortung einer Vorlagefrage Stellung zu der Frage genommen, ob ein Gericht einem Access Provider auferlegen kann, zur Verhinderung von Urheberrechtsverletzungen seiner Kunden bei Nutzung von Filesharing-Netzwerken ein Filtersystem einzurichten (EuGH, Urteil v. 24.11.2011, Az. C?70/10, Volltext hier). Ich hatte kurz über die Vorlage berichtet (s. hier).
Die Vorlagefrage Nr. 1 lautete dabei:
Können die Mitgliedstaaten aufgrund der Richtlinien 2001/29 und 2004/48 in Verbindung mit den Richtlinien 95/46, 2000/31 und 2002/58, ausgelegt im Licht der Art. 8 und 10 der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten, dem nationalen Richter erlauben, in einem Verfahren zur Hauptsache allein aufgrund der Vorschrift, dass „[s]ie [die nationalen Gerichte] … ebenfalls eine Unterlassungsanordnung gegen Vermittler erlassen [können], deren Dienste von einem Dritten zur Verletzung eines Urheberrechts oder verwandter Rechte genutzt werden“, gegen einen Anbieter von Internetzugangsdiensten die Anordnung zu erlassen, auf eigene Kosten zeitlich unbegrenzt für sämtliche Kunden generell und präventiv ein Filtersystem für alle eingehenden und ausgehenden elektronischen Kommunikationen, die mittels seiner Dienste insbesondere unter Verwendung von „Peer-to-Peer“-Programmen durchgeleitet werden, einzurichten, um in seinem Netz den Austausch von Dateien zu identifizieren, die ein Werk der Musik, ein Filmwerk oder audiovisuelles Werk enthalten, an denen der Kläger Rechte zu haben behauptet, und dann die Übertragung dieser Werke entweder auf der Ebene des Abrufs oder bei der Übermittlung zu sperren?
Das Urteil ist im Hinblick auf die Praxis deutscher Gerichte, die im Rahmen der Störerhaftung Pflichten zur Verhinderung von Verletzungen aufzuerlegen, sehr aufschlussreich und gibt – wenn auch in relativ engem Rahmen – dieser Rechtsprechung Grenzen auf.
2. Rechtsrahmen
Zunächst ist zu bemerken, dass der EuGH für das Urteil die einschlägigen europäischen Richtlinien in Bezug nimmt:
E-Commerce-RL 2000/31/EG
Urheberrechts-RL 2001/29/EG
Enforcement-RL 2004/48/EG
Datenschutz-RL 95/46/EG
Datenschutz-RL für elektronische Kommunikation 2002/58/EG
Nachfolgend die hervorzuhebenden Ausführungen des EuGH als Zitat:
Folglich müssen diese Regelungen u. a. Art. 15 Abs. 1 der Richtlinie 2000/31 beachten, wonach es nationalen Stellen untersagt ist, Maßnahmen zu erlassen, die einen Diensteanbieter verpflichten würden, die von ihm in seinem Netz übermittelten Informationen allgemein zu überwachen.
Insoweit hat der Gerichtshof bereits entschieden, dass ein solches Verbot sich u. a. auf innerstaatliche Maßnahmen erstreckt, die einen vermittelnden Dienstleister wie einen Provider verpflichten würden, sämtliche Daten jedes Einzelnen seiner Kunden aktiv zu überwachen, um jeder künftigen Verletzung von Rechten des geistigen Eigentums vorzubeugen. Im Übrigen wäre eine solche allgemeine Überwachungspflicht nicht mit Art. 3 der Richtlinie 2004/48 zu vereinbaren, wonach die Maßnahmen im Sinne dieser Richtlinie gerecht und verhältnismäßig sein müssen und nicht übermäßig kostspielig sein dürfen (vgl. Urteil L’Oréal u. a., Randnr. 139).
Somit würde eine solche präventive Überwachung eine aktive Beobachtung sämtlicher elektronischen Kommunikationen im Netz des betreffenden Providers erfordern und mithin jede zu übermittelnde Information und jeden dieses Netz nutzenden Kunden erfassen.
Angesichts des Vorstehenden ist festzustellen, dass die dem betroffenen Provider auferlegte Anordnung, das streitige Filtersystem einzurichten, ihn verpflichten würde, eine aktive Überwachung sämtlicher Daten, die alle seine Kunden betreffen, vorzunehmen, um jeder künftigen Verletzung von Rechten des geistigen Eigentums vorzubeugen. Daraus folgt, dass diese Anordnung den Provider zu einer allgemeinen Überwachung verpflichten würde, die nach Art. 15 Abs. 1 der Richtlinie 2000/31 verboten ist.
Deshalb würde eine solche Anordnung zu einer qualifizierten Beeinträchtigung der unternehmerischen Freiheit des Providers führen, da sie ihn verpflichten würde, ein kompliziertes, kostspieliges, auf Dauer angelegtes und allein auf seine Kosten betriebenes Informatiksystem einzurichten, was im Übrigen gegen die Voraussetzungen nach Art. 3 Abs. 1 der Richtlinie 2004/48 verstieße, wonach die Maßnahmen zur Durchsetzung der Rechte des geistigen Eigentums nicht unnötig kompliziert oder kostspielig sein dürfen.
Darüber hinaus würden sich die Wirkungen dieser Anordnung nicht auf den betroffenen Provider beschränken, weil das Filtersystem auch Grundrechte der Kunden dieses Providers beeinträchtigen kann, nämlich ihre durch die Art. 8 und 11 der Charta geschützten Rechte auf den Schutz personenbezogener Daten und auf freien Empfang oder freie Sendung von Informationen.
Denn es ist unbestritten, dass die Antwort auf die Frage der Zulässigkeit einer Übertragung auch von der Anwendung gesetzlicher Ausnahmen vom Urheberrecht abhängt, die von Mitgliedstaat zu Mitgliedstaat variieren. Ferner können bestimmte Werke in bestimmten Mitgliedstaaten gemeinfrei sein oder von den fraglichen Urhebern kostenlos ins Internet eingestellt worden sein.
Was lässt sich aus dem Urteil des EuGH ableiten – und wie wirkt sich dies für die Betreiber offener Netze aus?
Man sollte bei der Lektüre des Urteils jeweils im Hinterkopf behalten, dass der EuGH allein auf die Vorlagefrage geantwortet hat. Die Vorlagefrage ist durch das vorlegende Gericht sehr eng formuliert worden, was sich insbesondere daran zeigt, dass die einzelnen Komponenten der Vorlagefrage durch ein „und“ verknüpft sind:
ein System der Filterung
Bricht man eine der Voraussetzungen aus der Vorlagefrage heraus (z.B. die Kostentragung des Access Providers), ist die Antwort (zumindest formell) wieder offen.
b. Abwägungsfragen
Trotz dieses engen Fokus zeigt das Urteil des EuGH doch deutlich, dass das Gericht aus unterschiedlichen Richtungen zu seinem Ergebnis gelangt ist. Zunächst sieht es Filterpflichten als Verstoß gegen das Verbot der allgemeinen Überwachungsplicht in Art. 15 E-Commerce-RL. Es weist dann darauf hin, dass der Schutz geistigen Eigentums nicht schrankenlos gewährleistet sei und daher mit gewissen Grenzen gewährt wird. Erst dann kommt die Erwägung, dass ein Filtersystem aufwändig und kostspielig sei und daher auch massiv in die Rechte der Access Provider eingreifen würde.
Zum anderen spielen nach der Auffassung des Gerichts die Grundrechte der betroffenen Kunden eine relevante Rolle.
Und letztlich bezieht das Gericht die Informationsfreiheit ein.
Nach Ansicht des Gerichts ist im Rahmen einer Abwägung dieser betrachteten Rechtspositionen eine Filterpflicht ein Verstoß gegen das „angemessene Gleichgewicht“.
Die obige Aufzählung sollte vor allem verdeutlichen, dass es sich um eine relativ komplexe Abwägung handelt. Das Gericht geht nicht im Einzelnen auf die Gewichtung der jeweiligen Rechtspositionen ein, sondern bleibt knapp und eher oberflächlich. Daraus kann man den Schluss ziehen, dass die (konkret gestellte) Frage für das Gericht sehr eindeutig und leicht zu beantworten war. Denn hätte das Gericht dem Schutz der Rechtsinhaber trotz Schranken einen höheren Stellenwert eingeräumt, wäre es auf das Verhältnis der einzelnen Rechtspositionen zueinander vermutlich viel näher eingegangen und hätte eine umfassende (Einzel-)Abwägung vorgenommen. Zählt man die Pro- und Contra-Punkte (wie oben dargestellt) durch, würde es 3:1 für ein Verbot von Filterpflichten stehen.
Für die Frage, ob ein sogenanntes Quick-Freeze (dazu s. LG München, Beschl. v. 20.8.2011 – 21 O 7841/11 und hier) zulässig wäre, hilft das Urteil aufgrund des engen Rahmens nicht unbedingt weiter. Die für eine solche Vorlagefrage abzuwägenden Rechte hat das Gericht allerdings klar herausgearbeitet.
d. Offene Netze
Das Gericht hatte vorliegend über einen „klassischen“ Access Provider zu entscheiden. Das Konzept der offenen Netze hatte es vermutlich nicht vor Augen. Es dürfte allerdings kaum mehr in Frage gestellt werden, dass es sich beim Betreiber eines offenen Netzes um einen Access Provider handelt (Mantz, Rechtsfragen offener Netze, 2008, S. 49 mwN). Damit ist das Urteil des EuGH vollständig auf offene Netze anzuwenden.
Der Betreiber eines offenen Netzes kann schließlich auch all die vom Gericht angeführten Rechtspositionen für sich verbuchen, insbesondere Informationsfreiheit, Rechte seiner Kunden und last but not least die Kostenlast, die bei Mini-Netzwerken natürlich einen besonders starken Eingriff bedeuten würde. Diesen Grundsatz stellt schließlich auch die TKÜV auf, die Access Provider mit weniger als 10.000 Nutzern freistellt (s. zur alten Fassung der TKÜV Mantz, Rechtsfragen offener Netze, 2008, S. 61 f.).
Die Klarheit der Abwägung spricht letztlich auch dafür, dass bereits weniger stark eingreifende Pflichten zumindest bei kleinen Providern eher als unzulässig einzustufen sein können.
Für die Betreiber von offenen Netzwerken ist damit zumindest soweit die Vorlagefrage reicht, Rechtsklarheit geschaffen worden.
5. Exkurs: Personenbezug von IP-Adressen
Für einige Diskussion hat die Frage gesorgt, ob der EuGH im Urteil en passant die Frage beantwortet hat, ob IP-Adressen Personenbezug aufweisen.
a. Relativ oder absolut?
Zur Erinnerung: Nach § 3 Abs. 1 BDSG sind personenbezogene Daten „Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person“.
Dabei ist in Rechtsprechung und Literatur umstritten, ob IP-Adressen „per se“ als personenbezogen zu betrachten sind (sogenannter „absoluter Personenbezug“) oder nur für denjenigen, der aufgrund des Zugriffs auf andere Daten, z.B. die Kundendatenbank eine Identifizierung vornehmen kann (sogenannter „relativer Personenbezug“), was zur Folge hätte, dass IP-Adressen für den Access Provider personenbezogen sind, für einen Dritten aber nicht. Die Diskussion hat vor allem in Deutschland aber teilweise keine so große Relevanz als über die Auskunftsansprüche der Enforcement-RL der Zugriff auf die zur Identifizierung nötigen Daten beim Access Provider unter geringen Voraussetzungen möglich ist, was die hunderttausendfach erteilten Auskunftsersuchen belegen.
b. Die Ausführungen des Gerichts
Im Urteil des EuGH spricht für einen absoluten Personenbezug (zunächst) der folgende Satz:
Die Diskussion mit Bezug auf das Urteil des EuGH (s. z.B. bei Rechtsanwalt Michael Seidlitz hier) stellt die Äußerung des EuGH in einen größeren Kontext und gestattet die Frage, ob der EuGH den Satz eventuell nur auf Nutzer des Access Providers Scarlet bezogen wissen wollte. Denn für diesen sind die Daten ohnehin (relativ) personenbezogen.
Der Generalanwalt des EuGH hatte diesbezüglich in seinem Schlussantrag formuliert (s. http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:62010C0070:DE:NOT):
75. Eine zweite Schwierigkeit besteht darin, zu bestimmen, ob es sich bei IP-Adressen um personenbezogene Daten handelt. Der Gerichtshof hatte sich bisher nur mit Fällen zu befassen, bei denen es um Daten ging, die mit IP-Adressen verbundene namentlich genannte Personen betrafen(56) . Er hatte hingegen noch nicht die Gelegenheit, zu prüfen, ob IP-Adressen als solche als personenbezogene Daten eingestuft werden können(57).
78. Somit können IP-Adressen als personenbezogene Daten eingestuft werden, soweit sich anhand ihrer eine Person identifizieren lässt, durch Verweis auf eine Kennung oder irgendein anderes Merkmal, das die Person kennzeichnet(63).
Vor diesem Hintergrund kann man zumindest davon ausgehen, dass der EuGH sich des Streits um den Personenbezug bewusst war, als er die Gründe formulierte.
Es stellt sich zunächst die Frage, welchen Bezugspunkt der EuGH hier verwendet hat. Er spricht von der Identifizierung derjenigen Nutzer, „die die Sendung unzulässiger Inhalte in diesem Netz veranlasst haben“. „In diesem Netz“, das ist das Netz des Access Providers Scarlet. In einem Filesharing-Netzwerk gibt es eine Vielzahl von Personen, die an der Übertragung teilnehmen. Beschränkt man dies gedanklich auf Quelle und Senke, sind beides Nutzer, die die Sendung „veranlasst haben“, unabhängig davon, welcher von beiden im Netz des Betreibers ist. Es könnte allerdings mehr dafür sprechen, dass der EuGH den Nutzer im Netz von Scarlet meinte, denn nur er kann dafür sorgen, dass der Filesharing-Verkehr tatsächlich im Netz von Scarlet landet – er wäre daher der „Veranlasser“.
Allerdings hätte der EuGH vor diesem Hintergrund zum Personenbezug im Grunde keinen Ton verlieren müssen. Denn dass Scarlet seine Nutzer zu jedem Zeitpunkt identifizieren kann, stand und steht außer Frage. Dafür werden nicht einmal die IP-Adressen benötigt. Im System von Scarlet erfolgt eine solche Identifizierung vermutlich viel eher über die Anschlussnummer oder sogar eine weiter Identifikationsnummer. Insofern könnte es sich auch eine gewollte Klarstellung durch den EuGH in Richtung eines absoluten Personenbezugs handeln.
Man sollte weiter nicht übersehen, dass der EuGH seine Ausführungen auf den ersten Blick offen formuliert hat. Die Argumentationslast dafür, dass das Urteil des EuGH nicht für die Theorie des absoluten Personenbezugs spricht, liegt daher auf Seiten der Vertreter der (engeren) relativen Theorie.
Dieser Beitrag wurde am Dezember 5, 2011 von blackhole in Aktuelles, Urteile und Beschlüsse veröffentlicht. Schlagworte: Abwägung, Access Provider, Angemessenheit, Datenschutz, Datenschutz-RL, E-Commerce-RL, Enforcement-RL, EuGH, Filesharing, Filterpflichten, IP-Adresse, Personenbezug.
Karg bespricht in der MMR 2011, S. 345 ff. das Urteil des III. Senat des BGH, in dem der Personenbezug von IP-Adressen und zusätzlich die Einordnung als Verkehrsdaten anerkannt wird:
Einen Absatz später verdeutlichte er, in welche Grundrechte durch die Speicherung der IP-Adresse eingegriffen wird bzw. welche durch das TKG geschützt werden. Seiner Auffassung nach sind das Fernmeldegeheimnis Art. 10 Absatz 1 GG und außerdem das Recht auf informationelle Selbstbestimmung Art. 1 Absatz 1 i.V.m. Art. 2 Absatz 1 GG als besondere Ausprägung des allgemeinen Persönlichkeitsrechts (BVerfG NJW 1984, NJW Jahr 1984 Seite 418, NJW Jahr 1984 Seite 421?f.) betroffen. Dies lässt letztlich nur den Schluss zu, IP-Adressen als personenbezogene Daten i.S.d. §?3 Absatz 1 BDSG anzusehen. Denn anderenfalls wäre zumindest der Schutzbereich des Rechts auf informationelle Selbstbestimmung nicht eröffnet.
IP-Adressen sind sensible Daten, deren Auswertung nur unter der aktiven Beteiligung der Judikative zulässig sein darf.
Dieser Beitrag wurde am Mai 11, 2011 von blackhole in Artikel etc. veröffentlicht. Schlagworte: BGH, IP-Adresse, Karg, Personenbezug, Verkehrsdaten, § 101 UrhG.
Neues zum Personenbezug von IP-Adressen
Heise-Online berichtet unter dem Titel „Mehr Infos aus IP-Adressen“ über das Tracking anhand von IP-Adressen.
Die Microsoft-Research-Methode geht aber noch deutlich weiter: Sie kann ermitteln, ob es sich bei der Adresse um den Arbeitsplatz eines Users, seinen Heim-PC oder seinen Reiselaptop handelt.
Im zugehörigen Artikel der Technology Review mit dem Titel „Der Trick mit dem Tracking“ wird das Verfahren näher erläutert:
Forscher bei Microsoft Research im Silicon Valley haben nun aber eine Methode entdeckt, bei der selbst ein Eintrag auf einem solchen „Do Not Track“-Verzeichnis nichts mehr hilft: Sie können Nutzer allein anhand ihrer Internet-Adresse (IP) durch das Netz verfolgen und ihren genauen Wohnort ermitteln. Zwar ist es schon lange möglich, aus einer einzelnen IP die Stadt des Nutzers festzustellen. Die Microsoft-Research-Methode geht aber noch deutlich weiter: Sie kann ermitteln, ob es sich bei der Adresse um den Arbeitsplatz eines Users, seinen Heim-PC oder seinen Reiselaptop handelt.
Dafür nutzten die Forscher statistische Modelle, die sie mithilfe von Log-Dateien von Software-Update- und E-Mail-Diensten aufgebaut haben. Die Quelle dieser Dateien gaben sie jedoch nicht preis. Das Datenmaterial analysierten die Wissenschaftler dann bezüglich verschiedener Indikatoren wie der Zeit des Online-Gehens oder Art des Rechners (Laptop oder stationärer PC). Laut Aussage der Forscher lässt sich die Vorgehensweise auch leicht auf Log-Dateien übertragen, die bei Providern und Suchmaschinen anfallen.
Der Artikel wirft auch kurz die datenschutzrechtliche Problematik dieses Verfahrens auf.
Für den deutschen Streit um den Personenbezug hat dies aber weitere Konsequenzen:
Unter den Schutz des BDSG fallen Daten, die personenbezogen oder personenbeziehbar sind, also alle Daten, die entweder zu einer Person gehören, oder aus denen sich ein Rückschluss auf die Person ziehen lässt.
Was ist mit IP-Adressen?
In Rechtsprechung und Literatur ist die Frage, ob IP-Adressen personenbezogene Daten sind, stark umstritten. Eine klar hM lässt sich mittlerweile nicht mehr ausmachen, zumal einige Gerichte in letzter Zeit IP-Adressen als nicht personenbezogen angesehen haben(z.B. das OLG Hamburg, Beschl. v. 3.11.2010 – 5 W 126/10, s. auch hier).
Die Forschungsarbeit der Microsoft Research zeigt eindrücklich, dass diese Tendenz falsch ist. Denn die Forscher können mit den IP-Adressen jedenfalls mindestens sehr nah an die Person heran. Sie können darüber hinaus sogar feststellen, welchen Rechner diese benutzen. Mit entsprechenden Daten, die nicht nur den Provider, sondern offenbar auch anderen, z.B. Suchmaschinenbetreibern, vorliegen, kann also ein eindeutiger Personenbezug hergestellt werden.
Nach dem BDSG sind IP-Adressen damit personenbeziehbar und damit auch personenbezogen und unterfallen dem vollen Schutz des BDSG mit all seinen Konsequenzen.
Dieser Beitrag wurde am Januar 28, 2011 von blackhole in Aktuelles, Artikel etc. veröffentlicht. Schlagworte: BDSG, Datenschutz, heise-online, IP-Adresse, Microsoft, Personenbezug, Technology Review.
Auf Telemedicus hat Adrian Schneider die datenschutzrechtliche Komponente zum neuen Vorfall analysiert, bei dem Google eingestanden hat, für Google Street View nicht nur die Daten eines WLAN sondern auch Nutzdaten aus den Netzen erfasst zu haben (dazu nähere Informationen bei heise-online).
Dabei kommt Adrian Schneider zu folgendem Ergebnis:
„Denn datenschutzrechtlich ist selbst in einem solch gravierenden Fall die Rechtslage nicht eindeutig. Die Aufsichtsbehörden müssten nachweisen, dass tatsächlich „personenbezogene Daten” durch Google erhoben wurden, um etwa ein Bußgeld gegen den Konzern verhängen zu können. Doch das wird bei reinen Datenfragmenten nur in seltenen Einzelfällen gelingen – wenn überhaupt.“
Allerdings muss man sich dabei auch die Möglichkeiten vor Augen führen, die Google mit den erhobenen Daten beabsichtigt hat: Google hat die Daten zum WLAN-Knoten (nicht die Nutzdaten) schließlich erhoben, um eine Karte von WLANs für ganz Deutschland zu erstellen. Diese nutzt Google (zumindest in anderen Ländern) bereits zur Geolokalisierung. Das hat zur Folge, dass Google auch in der Lage sein dürfte, die sehr genaue Position eines WLAN-Knotens festzustellen.
Für einen Personenbezug nach BDSG reicht es aber aus, dass die Person bestimmbar ist (zum Personenbezug von Geodaten s. Forgo/Krügel, MMR 2010, 17). Ausreichend dafür ist, dass mit nicht unverhältnismäßigem Aufwand ein Personenbezug herstellbar ist (Gola/Schomerus, § 3 BDSG Rn. 10, 44). Dies dürfte jedenfalls bei Ein-Personen-Haushalten der Fall sein. Sowohl die WLAN-Knoten-Informationen als auch die Nutzdaten können also möglicherweise (z.B. zusammen mit dem Telefonbuch, oder was auch immer Google zur Verfügung hat) auf eine Person bezogen werden. Damit unterfallen die gesamten Daten dem BDSG und sind rechtswidrig erhoben worden (eine Analyse für die separierten WLAN-Knoten-Informationen findet sich auch bei Telemedicus hier). Es ist auch kaum davon auszugehen, dass Google die Datenfragmente nicht mit Bezug zum erfassten WLAN gespeichert hat.
Die Datenschutzbehörden sollten sich also von Google erklären lassen, welche Verknüpfungsmöglichkeiten Google geplant hat und mit seinen Ressourcen realisieren könnte.
Noch eine allgemeine Bemerkung am Ende: Bei den technischen Möglichkeiten und Ressourcen, die Google hat, ist die Rechnung nach dem BDSG relativ einfach: Sobald Google ein Datum hat, das auf eine Person beziehbar ist (z.B. bei einem GMail-Account), sind alle Daten, die Google mit Rechenkraft oder unter Rückgriff auf andere Quellen eindeutig in Bezug zu diesem Datum setzen kann, personenbezogen.
Dieser Beitrag wurde am Mai 16, 2010 von blackhole in Aktuelles veröffentlicht. Schlagworte: BDSG, Datenschutz, Google, Personenbezug, Streetview, wlan.
Zum Schutz der IP-Adresse und zum Recht auf Anonymität
Im Blog des AK Vorratsdatenspeicherung ist ein kurzer Beitrag als Antwort auf Härting, NJW-aktuell 3/2010, S. 10: „Spuren im Netz“, erschienen.
Darin belegt er erneut, dass die IP-Adresse ein personenbezogenes Datum ist, und setzt sich kurz mit der entgegenstehenden mM auseinander, der sich Härting angeschlossen hatte (s. zur IP-Adresse und Personenbezug ausführlich hier und hier und hier).
Weiter behandelt der Beitrag kurz das vom BGH statuierte Recht auf Anonymität (BGH NJW 2009, 2888, 2893; eingehend Mantz, Rechtsfragen offener Netze, 2008, S. 67 ff.).
Ein lesenswerter Beitrag, der auch in NJW-aktuell 11/2010, S. 18 erschienen ist.
Dieser Beitrag wurde am März 29, 2010 von blackhole in Artikel etc. veröffentlicht. Schlagworte: AK Vorrat, Anonymität, Datenschutz, IP-Adresse, Personenbezug.
Berliner Datenschutzbeauftragter verbietet IP-Logging
Wie Daten-Speicherung.de berichtet, hat der Berliner Datenschutzbeauftragte dem Blogger Niggemeier untersagt, IP-Adressen seiner Nutzer ohne Einwilligung zu speichern.
Der Berliner Datenschutzbeauftragte sieht also – mit der wohl h.M. – IP-Adressen als personenbezogene Daten an. Diese Auffassung gilt natürlich auch gegenüber Bloggern.
Auf Daten-Speicherung.de finden sich weitere Hintergründe und eine Auseinandersetzung mit den Argumenten des Anwalts von Niggemeier.
Zur Problematik von IP-Adressen s. näher
Dieser Beitrag wurde am November 9, 2009 von blackhole in Aktuelles veröffentlicht. Schlagworte: Datenschutz, Datenschutzbeauftragter, IP-Adresse, Personenbezug, tmg.
Lesetipp: Maaßen, Urheberrechtlicher Auskunftsanspruch und Vorratsdatenspeicherung, MMR 2009, Heft 8, S. 511
In der aktuellen MMR (Heft 8 ) ist ein sehr interessanter Aufsatz von Stefan Maaßen mit dem Titel „Urheberrechtlicher Auskunftsanspruch und Vorratsdatenspeicherung“ erschienen.
Auf den urheberrechtlichen Auskunftsanspruch (hier) und die Problematik der Vorratsdatenspeicherung (hier) wurde schon des öfteren in diesem Blog hingewiesen.
Maaßen analysiert zunächst den aktuellen Stand der Rechtsprechung und weist auf die unterschiedlichen von den Gerichten angelegten Maßstäbe hin (dazu s. auch schon hier; ferner Mantz, K&R 2009, 21 m.w.N.; weitere Aufsätze zum Thema hier).
Anschließend geht der Autor auf die datenschutzrechtliche Problematik ein.
„Entscheidend ist insoweit, dass in jedem Einzelfall eine Abwägung zwischen dem Datenerhebungsinteresse und den schutzwürdigen Belangen des Betroffenen zu erfolgen hat. Die Praxis der Rechteinhaber, die IP-Adressen in einem automatisierten, softwaregestützten Verfahren zu erheben, genügt diesen Anforderungen schon deswegen nicht, weil eine Einzelfallabwägung nicht erfolgt. I.Ü. dürften die schutzwürdigen Belange des Dritten überwiegen. Denn zum Zeitpunkt der Erhebung ist nicht bekannt, ob der Anschlussinhaber als Verletzer oder Störer einer Urheberrechtsverletzung in Anspruch genommen werden kann. So ist denkbar, dass es sich bei dem Anschlussinhaber um den Betreiber eines Hot Spots oder den Inhaber eines unbefugt genutzten nicht-öffentlichen Internetzugangs handelt, die nicht Störer i.S.d. Urheberrechts sind. Die bloße Möglichkeit, dass die Datenerhebung zur Durchsetzung urheberrechtlicher Ansprüche erforderlich ist, vermag einen von privater Stelle initiierten und automatisiert durchgeführten Eingriff in das Recht auf informationelle Selbstbestimmung des betroffenen Anschlussinhabers jedenfalls nach gegenwärtiger Gesetzeslage nicht zu rechtfertigen und könnte sogar ein zivilprozessuales Beweisverwertungsverbot zur Folge haben.“
Zudem schließt sich der Autor der wohl mittlerweile h.M. an, dass eine Herausgabe von Daten, die nur für die Vorratsdatenspeicherung und zu keinem anderen Zweck (insb. nicht § 96 TKG wg. einer Flatrate) gespeichert wurden, *nicht* herausgegeben werden dürfen.
„Wenn der Provider keine auch nur kurzfristige Speicherung von Verkehrsdaten für eigene Zwecke vornimmt, sondern allein seiner Pflicht zur Vorratsdatenspeicherung aus § 113a TKG nachkommt, ist die Erfüllung des urheberrechtlichen Auskunftsanspruchs rechtlich unmöglich.“
S. zu dieser Thematik auch Gietl/Mantz, CR 2008, 810; Jenny, CR 2008, 82; Hoeren, NJW 2008, 3099.
Speicherung auf Zuruf (LG Hamburg)
Interessant sind weiter die Ausführungen zu einem Urteil des LG Hamburg zur Speicheranordnung zum Zweck späterer Auskunftserteilung (LG Hamburg, Urteil vom 11.03.2009 – 308 O 75/09, JurPC Web-Dok. 124/2009). Dieses hatte eine Verpflichtung des Provider zur Speicherung „auf Zuruf“ angenommen und mit einem gesetzlichen Schuldverhältnis begründet, das durch die rechtsverletzende Inanspruchnahme des Providers zwischen Rechteinhaber und Provider entstehen soll. Nach meiner Auffassung resultiert diese Ansicht gerade in einer Umkehr der gesetzlichen Regelungen in TKG und BDSG, nach denen eine Speicherung nur aufgrund einer gesetzlichen Grundlage und nicht aufgrund eines wie auch immer gearteten gesetzlichen Schuldverhältnisses gespeichert werden darf (zur fehlenden Verpflichtung zur Erhebung von Daten bei Access Providern, die ähnlich der Pflicht zur Datenspeicherung zu bewerten ist s. auch eingehend Mantz, Rechtsfragen offener Netze, S. 273 ff., Download hier). Selbst wenn man ein solches gesetzliches Schuldverhältnis annehmen würde, würde die Speicherung vermutlich trotzdem unter dem Vorbehalt der Einwilligung nach §§ 4, 4a BDSG stehen, denn ein „gesetzliches Schuldverhältnis“ ist noch lange keine „gesetzliche Regelung“ i.S.d. § 4 BDSG.
Maaßen steht dieser Lösung des LG Hamburg ebenfalls kritisch gegenüber und bezweifelt weiter, ob eine Umsetzung dieses „Hamburger Modells“ überhaupt verfassungsrechtlich zulässig wäre.
Im Fazit schließlich verweist Maaßen darauf, dass ohne eine gesetzliche Regelung nichts geht.
„Um den berechtigten Interessen der Rechteinhaber an einer effektiven Durchsetzung ihrer Ansprüche Rechnung zu tragen, sind gesetzliche Vorgaben erforderlich, welche den Umgang mit IP-Adressen auf eine tragfähige datenschutzrechtliche Grundlage stellen. Eine Ausweitung des § 113b TKG dürfte aus verfassungsrechtlichen Gründen als Lösung ausscheiden.“
Dieser Beitrag wurde am August 12, 2009 von blackhole in Artikel etc. veröffentlicht. Schlagworte: Access Provider, Auskunftsanspruch, Gewerbliches Ausmaß, IP-Adresse, LG Hamburg, Maaßen, Personenbezug, Rechtsdurchsetzung, UrhG, Vorratsdatenspeicherung, § 101 UrhG.