Die Frage liegt auf der Hand, wird kontrovers diskutiert und wurde von mir bisher nur im Rahmen anderer Ausführungen aufgegriffen. Ich möchte hier kurz darlegen, warum ich letztendlich zum Schluss komme, dass IP-Adresse immer personenbezogen sind, und warum man als Webmaster auf der Hut sein sollte.
Update:Diese Frage wird von mir inzwischen auf der Webseite IP-Adressen-Recht.de ausführlich und aktuell behandelt. Dort gibt es auch aktuelle Infos zum Thema.
Bis vor kurzem war es noch relativ kontrovers diskutiert, inzwischen aber scheint -jedenfalls im Internet- sich die Auffassung durchzusetzen, eine IP immer als personenbezogen anzusehen. Das Problem dabei: Sobald man diesen Schritt geht, läuft man Gefahr, viele (private) Webmaster einem rigiden Datenschutz zu unterwerfen, was weder im Interesse der Nutzer noch Betreiber sein kann. Oder vielleicht doch?
Die Datenschutzbeauftragten
Als gute Anlaufstelle bei ersten grundlegenden Fragen empfand ich immer die Webseiten der Datenschutzbeauftragten von Niedersachsen und Hessen. Diese kommen interessanterweise beide zum Schluss, dass IP-Adresse, gleich ob dynamisch oder statisch und gleich von wem erhoben, immer personen bezogen sind. Dazu hier die Links:
>Niedersachsen
>Hessen
Das alleine sollte schon Sorgenfalten verursachen. Aber ich möchte es im Detail ergründen - und auch erklären.
Keine Unterscheidung nach Anbieter
Der normale Webmaster mit seinem Blog wird sich natürlich an den Kopf fassen und (zu Recht) fragen, wie denn eine IP, die er beim besten Willen doch keiner Person zuordnen kann, personenbezogen sein kann. Und so sagt auch der Landesdatenschuzbeauftragte von Nidersachsen:
"Die Frage kann nur differenziert nach den jeweiligen Beteiligten im Internet beantwortet werden (Access Providern, Content Providern, Hosting Services)."
Es ist verlockend, die IP je nach Anbieter zu beurteilen und so den Webmaster im Allgemeinen aussen vor zu lassen - es ist nunmal am Ende ein Unterschied, ob da ein Access-Provider nur in seine Datenbank sehen muss, oder ob diese Möglichkeit nicht zur Verfügung steht. Doch ist schon diese Sichtweise falsch: Es geht hier gar nicht um den Anbieter. Die Datenschutzgesetz wollen, wie der Name sagt, Daten betroffener Nutzer schützen - sie stehen im Mittelpunkt der Betrachtung und für den Nutzer an sich ist es am Ende unerheblich, von wem seine Individualisierung durchgeführt wurde. Denn schlussendlich kann die vom Webmaster evt,. erhobene IP ja eben doch zur Individualisierung führen - zwar nicht durch den Webmaster, wohl aber durch den Access-Provider, der durch die Staatsanwaltschaft, aber inzwischen auch durch andere "zuständige Stellen", etwa zur Durchsetzung der Rechte am geistigen Eigentum, wie in §14 TMG ja nun eindrücklich festgehalten ist:
"Auf Anordnung der zuständigen Stellen darf der Diensteanbieter im Einzelfall Auskunft über Bestandsdaten erteilen, soweit dies für Zwecke der Strafverfolgung, zur Erfüllung der gesetzlichen Aufgaben der Verfassungsschutzbehörden des Bundes und der Länder, des Bundesnachrichtendienstes oder des Militärischen Abschirmdienstes oder zur Durchsetzung der Rechte am geistigen Eigentum erforderlich ist."
Wer sich nun den Fall vorstellt, dass eine "zuständige Stelle" (man achte auf "Stelle", dadurch das hier nicht "Behörde" steht, werden private Stellen nicht ausgenommen!) die Durchsetzung von rechten am geistigen Eigentum geltend macht, beim Content-Provider eine IP-Liste eionholt und diese per Access-Provider individualisiert, merkt schnell, warum diese Unterscheidung nach Anbieter sinnlos ist: Die jeweils persönlichen technischen Fähigkeiten ändern am Ende nichts an der objektiven Beschaffenheit, eine Individualisierung herbeizuführen.
Das Gesetz befragen
Bei Fragen zum Medienrecht versteift man sich zu schnell auf die speziellen Normen wie das TMG - hilfreicher ist bei der vorliegenden Frage aber ein Blick in das Bundesdatenschutzgesetz: Dieses spricht von §3 I Nr.1 ausdrücklich davon, dass Daten personenbezogen sind, wenn Sie "einer bestimmten oder bestimmbaren natürlichen Person" zuzuordnen sind. Das BDSG fasst also durch das "bestimmbar" ausdrücklich den Fall ein, dass eine Bestimmung nur mittelbar möglich ist.
Anschlussinhaber != Nutzer?
Interessant und für den laien sicherlich naheliegend ist dann das Argument, Anschlussinhaber (dem die IP zugeordnet wird) und eigentlicher Nutzer können ja auseinanderfallen. Das aber kann in meinen Augen keine Rolle spielen: Das BDSG spricht ja gerade ausdrücklich davon, dass die Daten "einer Person" zugeordnet werden können und nicht unbedingt dem aktuellen Nutzer. Andernfalls gine es ja auch um "Nutzerbezogene Daten" und nicht um "Personenbezogene Daten". Auch wenn es nicht gefallen mag - notfalls sind Gerichte schnell bereit, auf den Anschlussinhaber abzustellen (Dazu auch dieses Urteil beachten).
Vielleicht doch ein Ausweg?
Ich sehe die Frage, ob eine IP personenbezogen ist oder nicht, als geklärt an - so wie wohl die Datenschutzbeauftragten inzwischen auch. Wahrscheinlich ist es auch ein Fehler, weiterhin Energie darauf zu verwenden, das zu widerlegen, es wäre wohl ein Kampf gegen Windmühlen, zumal man sich gerade in der heutigen Zeit bewusst sein sollte, welches Risiko die eigene IP in manchen Logfiles bedeuten könnte. Eventuell ist der erstmal so weite Schutzbereich hierbei gar nicht so schlecht.
Einen Ausweg könnte eine andere Überlegung bringen: Die, was unter "Nutzungs- " und "Bestandsdaten" zu erfassen ist. Hier gibt es in der Tat gesetzliche Erlaubnistatbestände zur Erhebung und Verarbeitung von personenbezogenen Daten. Ich sehe bei den §§14, 15 TMG in der Tat die (vorgesehene) Möglichkeit, je nach Art des Anbieters eine andere Auslegung anzuwenden, so dass ein Content-Provider anders mit Daten arbeiten kann als ein Access-Provider. Durch eine weite Auslegung der §§14, 15 TMG könnte man jedenfalls ein elegantes Gegengewicht zum ansonsten restriktiv gehandhabten Datenschutz entwickeln.
Für die Webmater, die nun sorgevoll daran denken, dass ja (möglicherweise) in den Logfiles des Servers/Webspace IP Adressen erfasst werden, habe ich folgendes Argument, dass als Ausweg dienen könnte:
Server-Anwendungen (Apache, IIS etc.) sind keine Telemediendienste, sondern Verteildienste nach §2 Nr.4 TMG, so dass man bei deren Bereithaltung kein Diensteanbieter im Sinne des §2 Nr.1 TMG ist und somit die Datenschutzbestimmungen des TMG (die sich auf eben diese Diensteanbieter beziehen) nicht (vollständig) greifen, da §11 III TMG hier eine Ausnahme vorsieht:
Bei Telemedien, die überwiegend in der Übertragung von Signalen über Telekommunikationsnetze bestehen, gelten für die Erhebung und Verwendung personenbezogener Daten der Nutzer nur § 12 Abs. 3, § 15 Abs. 8 und § 16 Abs. 2 Nr. 2 und 5.
Anmerkung von Jens Ferner, 10.12.2007: Zur Diskussion
Es wird weiterhin heftig debattiert, ob eine IP nun personenbezogen ist oder nicht. Ich vertrete weiterhin die Meinung, dass dies eine überaltete Diskussion ist und wir alle gut daran tun, eine IP als personenbezogenes Datum zu werten. Der fachlichen und sachlichen Diskussion stelle ich mich immer gerne und freue mich weiterhin über Zuschriften.
