Unter der Abkürzung IP versteckt sich das “Internet-Protokoll”. Eine IP-Adresse ist im Grunde genommen eine Binärzahl, die entweder aus 32 Stellen (IPv4) oder 128 Stellen (IPv6) besteht. Diese Binärzahl wird unter der Herrschaft von IPv4 in vier Oktetten dargestellt, getrennt durch einen Punkt: Zum Beispiel “192.168.10.1”. Bei IPv6 wird es einiges komplizierter. Die Notation erkläre ich an dieser Stelle nicht, das würde den Rahmen sprengen. Wer sich interessiert, dem sei zum Einstieg Wikipedia empfohlen und zur Vertiefung die RFC 2460. Eine IPv6-Adresse wird hexadezimal notiert und sieht z.B. beim local loopback so aus: “0:0:0:0:0:0:0:1”.
Mit Hilfe dieser IP-Adresse können Pakete von A nach B geschickt werden. Da IPv4-Adressen anzahlmässig beschränkt sind und langsam zur Neige gehen, werden sie im Privatbereich dynamisch vergeben. Das heisst, Sie erhalten von Ihrem Internetprovider sporadisch und unbemerkt eine neue IP-Adresse, meistens auch dann, wenn Sie Ihr Modem vom Strom nehmen und wieder anschliessen (wobei es heute ja eigentlich keine Modems mehr sind). Mit IPv6 hätten Sie dagegen grundsätzlich immer dieselbe gerätespezifische Adresse, wobei es gewisse Privacymechanismen in IPv6 gibt, die Ihnen Ihre Adresse etwas zerwürfeln kann. Damit wäre es dann nicht immer wirklich die gleiche Adresse. IPv6 hat also das Potential, dass man im Internet eindeutig identifiziert wird. Das liegt daran, dass sich die Adressgenerierung unter IPv6 unter anderem an der MAC-Adresse orientiert, die jedem Netzwerkinterface einzigartig zugewiesen wird (Spoofing einmal weggedacht).
Als erstes Fazit lässt sich also sagen: IPv4-Adressen sind im Vergleich zu IPv6-Adressen weniger wahrscheinlich Personendaten. Damit sind wir aber noch nicht viel weiter.
Was ist sind Personendaten / was ist ein Personendatum? Nach CH-DSG 3.a sind Personendaten “alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen”, nach EU-DSGVO 4.I erster Teilsatz “alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person […] beziehen”. Bei einer IP-Adresse haben wir es vermutlich nie mit einer “bestimmten” Person zu tun. Es kommt also die Umschreibung “bestimmbare” Person zum Zuge, oder wie es die EU ausdrückt, eine “identifizierbare”. Damit also eine IP-Adresse zum Personendatum wird, müssen weitere Daten beigezogen werden. Denken Sie an einen Webshop, der IP-Adressen bei Seitenzugriffen standardmässig in seine Logfiles schreibt. Mit der Kombinationsmöglichkeit der Daten aus dem Webshop und den IP-Adressen aus den Logfiles wird die IP-Adresse zu einem Datensatz, der die dahinterstehende Person bestimmbar/identifizierbar macht.
Da IPv6 eine eindeutige und weltweite Identifizierung eher zulässt, als IPv4, muss man etwas weiter differenzieren: Falls Ihr Smartphone dereinst über eine IPv6-Adresse verfügt und die Privacymechanismen von IPv6 nicht nutzt, so ist Ihr Smartphone und damit letztlich Sie selbst bestimm- resp. identifizierbar. Sobald öffentlich bekannt ist, welche IPv6-Adresse Sie mit Ihrem Smartphone benutzen, laufen Sie mit einem Namensschild im Internet herum.
Im Erwägungsgrund 30 zur DSGVO steht dazu:
1Natürlichen Personen werden unter Umständen Online-Kennungen wie IP-Adressen und Cookie-Kennungen, die sein Gerät oder Software-Anwendungen und ‑Tools oder Protokolle liefern, oder sonstige Kennungen wie Funkfrequenzkennzeichnungen zugeordnet.
2Dies kann Spuren hinterlassen, die insbesondere in Kombination mit eindeutigen Kennungen und anderen beim Server eingehenden Informationen dazu benutzt werden können, um Profile der natürlichen Personen zu erstellen und sie zu identifizieren.
Als zweites Fazit lässt sich also sagen: Eine IP-Adresse für sich alleine ist bloss ein Adressierungselement im Internet-Protokoll. Mehr noch nicht. Erst die Kombination mit anderen Daten lässt eine IP-Adresse zum Personendatum werden.
In der Schweiz gab es im Jahr 2010 den sog. Logistep-Entscheid (veröffentlichert BGE 136 II 508, unveröffentlichter Entscheid 1C_285/2009) des Bundesgerichts. Darin kam das Bundesgericht zum Schluss, dass es sich bei den von Logistep gesammelten IP-Adressen um Personendaten im Sinne des Datenschutzgesetzes handle, da auf Grund des Geschäftsmodells von Logistep die Bestimmbarkeit der betreffenden Personen gegeben gewesen sei. Konkret ging es darum, dass Logistep systematisch P2P-Netze nach urheberrechtlich geschützen Inhalten durchforstete und unter anderem die IP-Adressen von Urherberrechtsverletzern speicherte. Die Urheberrechtsinhaber stellten dann Strafanträge und lieferten den Strafverfolgern die IP-Adressen. In den Strafverfahren wurden dann die Internetserviceprovider (ISP) behördlich aufgefordert, die Namen der Anschlussinhaber zu edieren, die im einschlägigen Zeitpunkt die ermittelte IP-Adresse benutzten. Dieses vorgehen bewirke, so das Bundesgericht, dass es sich bei den von Logistep ermittelten Daten um Personendaten handelte. Die Personen seien bestimmbar gewesen.
Ich sehe das kritisch. Erstens haben die Urheberrechtsinhaber mit grösster Sicherheit eine Anzeige gegen unbekannt gestellt. Das zeigt schon einmal auf, dass die IP-Adressen zu Beginn des Strafverfahrens noch keine Personendaten waren. Es musste der Aufwand betrieben werden, eine Strafanzeige einzureichen, danach musste die Staatsanwaltschaft die Anschlussinhaberdaten herausverlangen. Der Aufwand scheint mir als praktizierender Strafrechtler nicht allzu gering. Dazu kommt, dass Logistep die gesammelten Daten an die Urheberrechtsinhaber weitergab und – soweit ersichtlich – danach nicht mehr in das weitere Geschehen involviert war. Warum sollen die IP-Adressen bei Logistep Personendaten sein? Anders wäre die Fragestellung eventuell, wenn man die IP-Adressen bei den Urheberrechtsinhabern datenschutzrechtlich einzuordnen hätte. Aber auch bei den Urheberrechtsinhabern würde ich nicht davon ausgehen, dass sie Personendaten bearbeiten, weil die Bestimmbarkeit noch nicht gegeben ist.
Gegen meinen zuletzt genannten Einwand, dass die IP-Adressen bei Logistep ja keine Personendaten sind und nicht gleichzusetzen sind mit den Daten, die dann bei den Urheberrechtsinhabern entstehen, findet sich im Urteil des Bundesgerichts die Erwägung, “[v]ielmehr genügt es, wenn [die IP-Adressen] nach Übergabe der entsprechenden Daten für die Urheberrechteinhaber [zu Personendaten] werden. Trifft dies zu (dazu sogleich), so gelangt das Datenschutzgesetz indessen auch auf die Beschwerdegegnerin selbst zur Anwendung. Anders zu entscheiden würde bedeuten, das Datenschutzgesetz nur auf die einzelnen Empfänger anzuwenden, nicht aber auf die Person, welche die betreffenden Daten beschafft und sie verbreitet. Dies würde dem Zweck des Gesetzes zuwiderlaufen.”. Das kann man so sehen oder auch nicht.
Interessant ist sodann die Frage nach der Bestimmbarkeit selbst. Die DSGVO spricht von Identifizierbarkeit, das DSG von Bestimmbarkeit, gemeint ist dasselbe. Das Bundesgericht hält zu dieser Bestimmbarkeit in E. 3.2 zweiter Absatz fest:
Bestimmbar ist die Person, wenn aufgrund zusätzlicher Informationen auf sie geschlossen werden kann. Für die Bestimmbarkeit genügt jedoch nicht jede theoretische Möglichkeit der Identifizierung. Ist der Aufwand derart gross, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird, liegt keine Bestimmbarkeit vor (BBl 1988 II 444 f. Ziff. 221.1). Die Frage ist abhängig vom konkreten Fall zu beantworten, wobei insbesondere auch die Möglichkeiten der Technik mitzuberücksichtigen sind, so zum Beispiel die im Internet verfügbaren Suchwerkzeuge. Von Bedeutung ist indessen nicht nur, welcher Aufwand objektiv erforderlich ist, um eine bestimmte Information einer Person zuordnen zu können, sondern auch, welches Interesse der Datenbearbeiter oder ein Dritter an der Identifizierung hat (BELSER, a.a.O., N. 6 zu Art. 3 DSG; ROSENTHAL, a.a.O., N. 24 f. zu Art. 3 DSG).
Den Einwand, nur aufgrund des Tätigwerdens der Strafverfolgungsbehörden käme heraus, wer die Inhaber der einzelnen IP-Adressen sind und deshalb lägen keine Personendaten vor, liess das Bundesgericht nicht gelten. Mit diesem Argument würde verkannt, dass “die Notwendigkeit des Tätigwerdens eines Dritten so lange unmassgeblich ist, als insgesamt der Aufwand des Auftraggebers für die Bestimmung der betroffenen Person nicht derart gross ist, dass nach der allgemeinen Lebenserfahrung nicht mehr damit gerechnet werden könnte, dieser werde ihn auf sich nehmen.”
Die Grenze der Bestimmbarkeit wird damit vom Bundesgericht auf den unbestimmten Rechtsbegriff der “allgemeinen Lebenserfahrung” gelegt. Keine Personendaten liegen vor, wenn der Aufwand nach allgemeiner Lebenserfahrung nicht auf sich genommen wird, um die Person hinter der IP-Adresse zu bestimmen. Das lässt Raum für sehr viel Argumentationsspielraum.
Als drittes Fazit lässt sich also sagen: Je mehr Aufwand betrieben werden muss, um die Person hinter einer IP-Adresse zu eruieren, je weniger muss man von Personendaten ausgehen. Ist der Zweck des Sammelns von IP-Adressen aber gerade die Identifikation von Personen, so rückt der betriebene Aufwand wieder in den Hintergrund. In solchen Fällen zieht das Bundesgericht dann den Sinn und Zweck des Datenschutzes generell hinzu.
Für den “gewöhnlichen” Personendatenbearbeiter, der nicht wie Logistep detektivisch unterwegs ist, lässt sich sogleich als viertes Fazit sagen: IP-Adressen in Logfiles von Servern, die ausschliesslich Informationen anbieten und keine Benutzerdaten speichern/gespeichert haben, sind keine Personendaten. Sobald die Benutzer des Servers dagegen ein Angebot nutzen und auf dem Server Informationen über diese Benutzer gespeichert werden, liegen Personendaten vor.
Konkret:
- Sie pflegen eine Internetpräsenz z.B. als Visitenkarte und stellen dem Benutzer Informationen zu sich und Ihrem Angebot zur Verfügung. Die Benutzer werden nicht getrackt oder sonstwie ausgewertet? Die IP-Adressen in Ihren Logfiles sind keine Personendaten.
- Sie bieten einen Webshop mit Benutzeraccounts an? Die IP-Adressen in Ihren Logfiles sind Personendaten.
Rechtsanwalt Roman Kost ist Spezialist für Informationssicherheit und Datenschutz. Als Anwalt vertritt er Sie unter anderem im Bereich des Hackerstrafrechts, sämtlichen Belangen der IT und der Informationssicherheit sowie des Datenschutzes.
Tel: 041 440 33 43 Signal: 041 440 33 43 Email:
Web: https://ra-kost.ch LinkedIn Xing