BGH zweifelt am Personenbezug von IP-Adressen: EuGH-Vorlage

Die Frage des Personenbezugs von dynamischen IP-Adressen ist umstritten. Während die deutschen Datenschutzbehörden IP-Adressen per se als personenbezogene Daten einstufen, sind die Instanzgerichte sowie die Kommentarliteratur mehrheitlich der Auffassung, dass IP-Adressen für Websitebetreiber nur Personenbezug aufweisen, wenn diese über Zusatzwissen verfügen (z. B. weil Nutzer sich beim Betreiber mit ihrer E-Mail-Adresse oder ihrem Klarnamen registrieren).

Der Bundesgerichtshof (BGH) hat mit Urteil vom 28.10.2014 (Az. VI ZR 135/13) dem Europäischen Gerichtshof (EuGH) u.a. die Frage vorgelegt, ob IP-Adressen auch für Websitebetreiber ohne Zusatzwissen personenbezogene Daten darstellen. Gemäß Pressemitteilung ist dies aus Sicht des Gerichts nämlich fraglich. Von Verena Grentzenberg

Zum Hintergrund

Websitebetreiber erhalten vom Browser der Besucher ihrer Website verschiedene technische Daten, darunter auch die dem Endgerät des Nutzers von dessen jeweiligem Access Provider zugewiesene IP-Adresse. Diese IP-Adresse wird vom Access Provider in der Regel dynamisch vergeben, nämlich den Geräten der Nutzer bei jeder neuen Verbindung mit dem Internet, jedoch mindestens einmal innerhalb von 24 Stunden neu zugewiesen.

Der Kläger, ein Kieler Landtagsabgeordneter der Piratenpartei, macht einen Unterlassungsanspruch gegen die Bundesrepublik Deutschland wegen der Speicherung von IP-Adressen geltend. Dabei geht es konkret um solche IP-Adressen, welche vom Besucher von Websites des Bundes über das Ende des Nutzungsvorgangs hinaus gespeichert werden.

Das Amtsgericht Tiergarten wies die Klage ab; das Landgericht (LG) Berlin gab dem Kläger hingegen teilweise Recht und verurteilte die BRD in eingeschränktem Maße zur Unterlassung und Speicherung (Urteil vom 31.01.2013 – Az. 57 S 87/08). Die Unterlassungspflicht bestehe jedoch nur, so das LG, wenn der Nutzer auch seine Personalien, wie beispielsweise Name oder E-Mail-Adresse, angebe, da anderenfalls kein personenbezogenes Datum vorliege. Beide Parteien haben gegen dieses Urteil beim BGH Revision eingelegt.

Der BGH hat nunmehr entschieden, das Verfahren auszusetzen und dem EuGH zwei Fragen zur Auslegung der EG-Datenschutz-Richtlinie zur Vorabentscheidung vorzulegen. Zunächst möchte der BGH, wie oben erwähnt, wissen, ob die Europäische Datenschutzrichtlinie (95/46/EG, kurz Datenschutz-RL) dahingehend auszulegen ist, dass eine IP-Adresse, die ein Diensteanbieter im Zusammenhang mit einem Zugriff auf seine Internetseite speichert, für diesen schon dann ein personenbezogenes Datum darstellt, wenn lediglich ein Dritter (wie der Access Provider) über das zur Identifizierung der betroffenen Person erforderliche Zusatzwissen verfügt.

Weiterhin möchte der BGH wissen, ob die die Datenschutz-Richtlinie einer Vorschrift des deutschen Rechts entgegen steht, wonach der Diensteanbieter personenbezogene Daten eines Nutzers ohne dessen Einwilligung nur erheben und verwenden darf, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen (vgl. § 15 Abs. 1 Telemediengesetz, TMG). Sofern IP-Adressen Personenbezug aufweisen, wäre eine Speicherung von IP-Adressen etwa aus Sicherheitsgründen hiernach nämlich nicht möglich. Einzig verbleibende Rechtsgrundlage wäre in diesem Fall eine Einwilligung der Betroffenen. Die Datenschutz-RL sieht hingegen grundsätzlich vor, dass eine Datenverarbeitung auch auf berechtigte Interessen der verantwortlichen Stelle gestützt werden kann, sofern schutzwürdige Interessen der Betroffenen nicht überwiegen (Art. 7 lit. f Datenschutz-RL).

Zur endgültigen Klärung der Frage des Personenbezugs dynamischer IP-Adressen bleibt die Entscheidung des EuGH abzuwarten. Sollte das Gericht den generellen Personenbezug  dieses Datums verneinen, wird dies Auswirkungen auf die datenschutzrechtliche Bewertung zahlreicher Internettechnologien haben. So bietet z. B. Google das Google Analytics Tool aktuell in einer speziell an die Vorgaben der deutschen Datenschutzbehörden angepassten Version auch ohne Speicherung der vollständigen IP-Adresse an.

Kommentare sind geschlossen.