Jusletter IT

Am 12. Mai 2016 legte Generalanwalt Sánchez-Bordona dem Europäischen Gerichtshof seine Schlussanträge zu der Frage vor, ob eine dynamische IP-Adresse, mit der auf die Internetseite einer öffentlichen Stelle zugegriffen wird, für diese personenbezogene Daten darstellen, wenn der Internetzugangsanbieter über das zur Identifizierung des Betroffenen erforderliche Zusatzwissen verfügt. Diese Vorlagefrage ist über den konkreten Anlassfall hinaus von besonderem Interesse, da der EuGH damit über die grundsätzliche Frage des Datenschutzrechtes entscheiden könnte, wann Daten als personenbezogen anzusehen sind: Nach der relativen Methode, auf Grundlage des Wissens des für die Verarbeitung Verantwortlichen, oder nach der objektiven Methode, wenn dem für die Verarbeitung Verantwortlichen oder auch einem Dritten die Bestimmung des Betroffenen möglich ist.

Internetprotokoll (IP)-Adressen dienen der Identifizierung eines Geräts in Computernetzwerken, die auf dem Internetprotokoll basieren. Die Adressierung ermöglicht den Geräten, Datenpakete auszutauschen und somit zu kommunizieren. So werden z.B. bei jedem Abruf einer Website IP-Adressen benötigt. Wenn man eine Internetadresse (www.name.com) eingibt, wird diese von einem Domain Name System (DNS)-Server in die zugehörige IP-Adresse übersetzt.¹ Das anfragende Gerät fordert von der IP-Adresse der Website die Übersendung von Daten an, der Server der Website weiß anhand der vom anfragenden Gerät verwendeten IP-Adresse, wohin die Daten zu senden sind.

In der zurzeit noch überwiegend genutzten Version 4 des Internet Protokolls (IPv4) werden 32-Bit-Adressen verwendet.² Damit ist die Darstellung von ca. 4,3 Milliarden verschiedenen Adressen möglich. Die Zuordnung der Geräte im Netzwerk muss eindeutig, d.h. z.B. einmalig im gesamten Internet, sein. Es war frühzeitig erkennbar, dass die Anzahl von IPv4-Adressen nicht ausreichen wird, da nicht einmal für jeden Menschen ein Gerät direkt an das Internet angeschlossen werden könnte. Aus diesem Grund wurde eine Umstellung auf die Version 6 des Internet Protokolls (IPv6) beschlossen, die 128-Bit-Adressen verwendet, mit denen die Darstellung von 2¹²⁸ (ca. 340 Sextillionen) Adressen möglich ist.

Um der Knappheit von IPv4-Adressen zu entgehen, vergeben Internetzugangsanbieter in den meisten Fällen keine statischen, sondern dynamische IP-Adressen. Statische IP-Adressen sind fest zugeordnete, sich nicht ändernde IP-Adressen. Bei jeder Einwahl des Geräts wird diesem dieselbe IP-Adresse zugewiesen. Statische IP-Adressen werden häufig von Unternehmen verwendet, können aber auch natürlichen Personen zugewiesen sein. Dynamische IP-Adressen hingegen werden bei jedem Einwahlvorgang eines Geräts ins Internet neu vergeben und wechseln zumeist darüber hinaus alle 24 Stunden. Da in der Regel nicht alle Kunden eines Internetzugangsanbieters gleichzeitig Zugang zum Internet wünschen, können IP-Adressen auf diese Art effizienter vergeben werden.

Eine weitere Form, der Knappheit von IPv4-Adressen zu begegnen, ist die Network Address Translation (NAT). Dabei werden interne IPv4-Adressen, die von Geräten in einem privaten Netzwerk verwendet werden, durch die NAT einer öffentlichen IP-Adresse zugeordnet, womit die Geräte aus dem privaten Netzwerk in der Lage sind, mit Geräten aus dem öffentlichen Netzwerk zu kommunizieren. Das bekannteste Beispiel ist wohl der WLAN-Router, der allen Geräten des WLAN Zugang zum Internet bietet. Findet die Adressen-Übersetzung dynamisch statt,³ ist jedem Gerät des lokalen Netzwerks in der Folge dieselbe öffentliche IP-Adresse zugeordnet. Die NAT kann aber auch bereits vom Internetzugangsanbieter vorgenommen werden (Large Scale NAT), sodass schon den Kunden keine öffentlichen IPv4-Adressen sondern private IPv4-Adressen des Internetzugangsanbieters zugewiesen werden. Beim Kunden kann eine zweite NAT stattfinden, wenn dieser mehrere Geräte seines privaten Netzwerks über die private IPv4-Adresse des Internetzugangsanbieters kommunizieren lässt. Durch die Network Address Translation ist es also nicht notwendig, jedem Gerät, das im Internet kommunizieren möchte, eine eigene öffentliche IP-Adresse zuzuweisen. Vielmehr teilen sich durch die NAT mehrere Geräte eine öffentliche IP-Adresse.

Personenbezogene Daten sind gemäß Art. 2 lit. a) der EU-Richtlinie 95/46/EG⁴ (Datenschutzrichtlinie) «alle Informationen über eine bestimmte oder bestimmbare natürliche Person; als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind». Auch nach dem im Einklang mit der Richtlinie erlassenen Datenschutzgesetz 2000 (DSG) und dem deutschen Bundesdatenschutzgesetz (BDSG) liegen personenbezogene Daten dann vor, wenn ein Betroffener bestimmt oder bestimmbar ist.⁵ Erwägungsgrund 26 der Datenschutzrichtlinie konkretisiert: «Bei der Entscheidung, ob eine Person bestimmbar ist, sollten alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen.»

In Anbetracht dieser Rechtslage herrscht weitestgehend Einigkeit darüber, dass statische IP-Adressen personenbezogene Daten sind, wenn diese einer natürlichen Person zugeordnet sind, weil die immer gleiche numerische Zahl einer Person zugeordnet ist, welche durch eine WHOIS-Abfrage zu eruieren ist.⁶ Ebenfalls unstrittig ist der Personenbezug von dynamischen IP-Adressen beim Internetzugangsanbieter, der die Adressen zuteilt und aufgrund des Vertrages mit dem Kunden weiß, welcher Person ein Anschluss zugeordnet ist.⁷ Für Websitebetreiber sind dynamische IP-Adressen jedenfalls dann personenbezogene Daten, wenn sich der Nutzer durch einen Login mit personenbezogenen Daten identifiziert.⁸

Hinsichtlich der Frage, ob dynamische IP-Adressen für einen Websitebetreiber personenbezogene Daten darstellen, wenn der Internetzugangsanbieter über das zur Identifizierung der betroffenen Person erforderliche Zusatzwissen verfügt, können nur dynamische IP-Adressen in Kombination mit einer zeitlichen Zuordnung gemeint sein, da ohne einen Zeitstempel die Zuordnung zu einer Person jedenfalls nicht möglich wäre. Es ist unstrittig, dass dynamische IP-Adressen beim Websitebetreiber keine Daten über eine «bestimmte» Person darstellen.⁹ Es kommt also darauf an, ob durch die dynamische IP-Adresse eine Person «bestimmbar» ist.

Die Artikel 29-Datenschutzgruppe bewertet dynamische IP-Adressen als Daten, die sich auf eine bestimmbare Person beziehen. Sie führt aus, es sei Internetzugangsanbietern und Verwaltern lokaler Netzwerke ohne großen Aufwand möglich, Internet-Nutzer zu identifizieren. Für Websitebetreiber gelte, dass der für die Verarbeitung Verantwortliche insbesondere dann vom Vorhandensein der Mittel ausgehe, die zur Identifizierung der betreffenden Personen vernünftigerweise eingesetzt werden könnten, wenn der Zweck der Verarbeitung der IP-Adressen in der Identifizierung von Computer-Nutzern bestehe.¹⁰

Eine Ausnahme sieht die Artikel 29-Datenschutzgruppe in Fällen, in denen IP-Adressen aus technischen oder organisatorischen Gründen keine Identifizierung des Nutzers zulassen. Dies gelte z.B. für IP-Adressen, die einem Computer in einem Internet-Café zugewiesen seien, in dem keine Identifizierung der Kunden gefordert werde. Auch in diesem Fall seien die IP-Adressen aber wie personenbezogene Daten zu behandeln, wenn der Websitebetreiber nicht mit Sicherheit erkennen könne, dass die Daten zu nicht bestimmbaren Benutzern gehören.¹¹

Der Begriff «öffentliche IP-Adresse» wird in § 92 Abs. 3 Z 16 des Telekommunikationsgesetzes 2003 (TKG) definiert als «einmalige numerische Adresse aus einem Adressblock, der durch die Internet Assigned Numbers Authority (IANA) oder durch eine regionale Vergabestelle einem Anbieter eines Internet-Zugangsdienstes zur Zuteilung von Adressen an seine Kunden zugewiesen wurde, die einen Rechner im Internet eindeutig identifiziert und im Internet geroutet werden kann». Öffentliche IP-Adressen sind gemäß § 92 Abs. 3 Z 16 TKG Zugangsdaten¹² und somit eine besondere Art der Verkehrsdaten¹³. Ist eine öffentliche IP-Adresse einem Teilnehmer für die Dauer des Vertrages zur ausschließlichen Nutzung zugewiesen, handelt es sich zugleich um Stammdaten¹⁴. Die datenschutzrechtlichen Bestimmungen des TKG gelten für die Verarbeitung und Übermittlung von personenbezogenen Daten in Verbindung mit der Bereitstellung öffentlicher Kommunikationsdienste in öffentlichen Kommunikationsnetzen.¹⁵ Die Rechtslage für Internetzugangsanbieter ist somit eindeutig.¹⁶

Die Frage, ob IP-Adressen für einen Websitebetreiber personenbezogene Daten darstellen, wurde in Österreich eindeutig beantwortet. Die Datenschutzkommission sprach aus, dass IP-Adressen für einen Dritten jedenfalls «bestimmbare» und damit personenbezogene Daten darstellen, wenn der Zweck der Speicherung nicht eindeutig jegliche Identifizierungsabsicht ausschließe.¹⁷ Werde die Identifizierungsabsicht ausgeschlossen, lägen «indirekt personenbezogene Daten»¹⁸ vor. Bereits zuvor hatte die DSK in einer Empfehlung die von einer Leistungsverwertungsgesellschaft ermittelten dynamischen IP-Adressen als personenbezogene Daten angesehen.¹⁹ Begründet wurde diese Ansicht im Wesentlichen damit, dass eine Identifizierung der Nutzer mittels IP-Adresse in dem vorliegenden Fall tatsächlich stattgefunden habe,²⁰ weshalb die Betroffenen «bestimmbar» gewesen seien. Auch der Rechtsprechung des Verfassungsgerichtshofes lässt sich entnehmen, dass er dynamische IP-Adressen als personenbezogene Daten qualifiziert.²¹

In Deutschland wird die Frage nach dem Personenbezug von IP-Adressen seit geraumer Zeit diskutiert. Dabei dient dieses Thema als Kristallisationspunkt für die grundsätzliche Frage des Datenschutzrechts, wann überhaupt personenbezogene Daten vorliegen. In der Lehre wurden in diesem Zusammenhang unterschiedliche Theorien zur «Bestimmbarkeit» einer Person aufgestellt. Nach dem Ansatz des relativen Personenbezugs ist eine Person als bestimmbar anzusehen, wenn eine Identifizierung mit den Mitteln des für die Verarbeitung Verantwortlichen ohne unverhältnismäßigen Aufwand durchgeführt werden kann.²² Der Ansatz des objektiven Personenbezugs hält demgegenüber eine Person bereits dann für bestimmbar, wenn ein Dritter über das nötige Wissen verfügt, um die Person zu identifizieren, selbst wenn der Dritte dieses Wissen noch nicht mit dem für die Verarbeitung Verantwortlichen geteilt hat.²³ Dementsprechend sind dynamische IP-Adressen, die vom Internetzugangsanbieter einem Anschluss zugeordnet werden können, nach dem objektiven Ansatz auch für einen Websitebetreiber personenbezogene Daten, nach dem relativen Ansatz hingegen nicht.²⁴ Die gegensätzlichen Positionen finden sich nicht nur in der Lehre, sondern auch in der Rechtsprechung.²⁵ Der Bundesgerichtshof ersuchte schließlich den EuGH um Vorabentscheidung.²⁶

Der Kläger macht einen Unterlassungsanspruch gegen die Bundesrepublik Deutschland geltend, mit dem er die Unterlassung der Speicherung seiner IP-Adresse über das Ende des Abrufs einer Website der Beklagten hinaus erwirken möchte, soweit die Speicherung nicht im Störungsfall zur Wiederherstellung der Seite erforderlich ist. Die von Einrichtungen der Beklagten bereitgestellten Websites erfassen Namen der abgerufenen Dateien bzw. Seiten, in Suchfelder eingegebene Begriffe, den Zeitpunkt des Abrufs, die übertragene Datenmenge, Informationen über den Erfolg des Abrufs und die IP-Adresse des zugreifenden Rechners. Diese Daten werden über den jeweiligen Nutzungsvorgang hinaus zum Zweck der Abwehr von Angriffen und zur strafrechtlichen Verfolgung von Angreifern gespeichert.²⁷ Voraussetzung für den Unterlassungsanspruch ist u.a., dass es sich bei der IP-Adresse des Klägers um personenbezogene Daten handelt.

Generalanwalt Sánchez-Bordona geht – auch in Hinblick auf die Diskussion in Deutschland – zunächst auf die Frage ein, ob Erwägungsgrund 26 der Datenschutzrichtlinie dahingehend auszulegen sei, dass wenn irgendein Dritter zusätzliche Daten erlangen kann, die zur Identifizierung einer Person verbunden werden können, personenbezogene Daten vorliegen.²⁸ Seine Einschränkung auf Mittel, die vernünftigerweise von bestimmten Dritten eingesetzt werden könnten,²⁹ klärt diese Frage nicht eindeutig. In der Folge geht der Generalanwalt aber davon aus, dass der für die Verarbeitung Verantwortliche vernünftige Mittel einsetzen können muss, um eine Person zu bestimmen. Darunter seien auch Anfragen an Dritte zu verstehen, an die sich der für die Verarbeitung Verantwortliche vernünftigerweise wenden könnte.³⁰ Im vorliegenden Fall handele es sich beim Internetzugangsanbieter um den Dritten, an den zuerst zu denken sei.³¹

Der Generalanwalt geht also insofern von einem relativen Ansatz aus, als der für die Verarbeitung Verantwortliche den Bezugspunkt des Anwendungsbereichs des Datenschutzrechts darstellen soll. Dabei bezieht er aber auch die Möglichkeit des für die Verarbeitung Verantwortlichen mit ein, sich an Dritte wenden zu können.

Im Folgenden behandelt der Generalanwalt die Frage, was als «Mittel, dass vernünftigerweise eingesetzt werden könnte» i.S.d. Erwägungsgrundes 26 der Datenschutzrichtlinie zu verstehen ist. Er führt aus, ein vernünftiges Mittel liege für den Verarbeiter nicht vor, wenn zwar ein Dritter die notwendigen Informationen habe, der Kontakt mit diesem Dritten aber faktisch einen sehr hohen personellen und wirtschaftlichen Aufwand erfordern würde oder wenn er praktisch nicht durchführbar oder gesetzlich verboten wäre.³² Für Generalanwalt Sánchez-Bordona hängt die Frage, ob ein vernünftiges Mittel vorliegt, sich Daten vom Dritten zu beschaffen, somit wesentlich auch davon ab, dass die Möglichkeit «im Rahmen des Gesetzes realisierbar» ist.³³ Es müsse z.B. die Speicherung und Weitergabe der Daten (hier des Internetzugangsanbieters) gesetzlich möglich sein.³⁴

Dabei sieht der Generalanwalt jede rechtlich zulässige Möglichkeit der Erlangung des Zusatzwissens als vernünftiges Mittel an, unabhängig davon, wie beschränkt sie in ihrer Anwendung ist.³⁵ Ob der Zugang zu personenbezogenen Daten de facto durch eine Verletzung der Vorschriften über den Datenschutz möglich ist, könne keine Rolle spielen.³⁶ Dem Generalanwalt zufolge sind somit nur rechtlich zulässige Mittel als vernünftig i.S.d. Erwägungsgrundes 26 der Datenschutzrichtlinie anzusehen und alle rechtlich zulässigen Mittel haben als vernünftig zu gelten.

Dem Argument der deutschen Regierung, der Internetzugangsanbieter dürfe die Informationen nicht ohne Weiteres, sondern nur im Einklang mit den Datenschutzvorschriften zugänglich machen,³⁷ begegnet der Generalanwalt mit der Aussage, der Internetzugangsanbieter könne natürlich berechtigt sein, die Herausgabe der Daten zu verweigern, aber auch das Gegenteil sei möglich.³⁸ Er unterstreicht damit noch einmal, dass es nur darauf ankommen soll, ob überhaupt jemals ein rechtlich zulässiges Mittel vorliegt, mit dem die Bestimmung einer Person vorgenommen werden könnte, wovon er im Anlassfall auszugehen scheint.³⁹

Entgegen den Ansichten der deutschen Regierung soll es zudem nicht auf den tatsächlichen Gebrauch einer Möglichkeit zur Identifizierung einer Person ankommen, sondern nur darauf, ob ein Mittel zur Identifizierung zur Verfügung stünde.⁴⁰ Dem Generalanwalt zufolge ist das Potenzial der Daten entscheidend «– allein oder in Verbindung mit anderen Daten – der Identifizierung einer natürlichen Person zu dienen».⁴¹ Der Websitebetreiber muss sich demnach alle Mittel zurechnen lassen, mit deren Hilfe die Bestimmung einer Person vernünftigerweise möglich sein könnte.⁴² Die Vorlagefrage ist für den Generalanwalt folglich dahingehend zu beantworten, dass die dynamische IP-Adresse für den Websitebetreiber personenbezogene Daten darstellen.⁴³

Dem Generalanwalt kommt die Aufgabe zu, das Unionsrecht auszulegen. Im Anlassfall ist aber auch entscheidend, ob nach nationalem Recht die Abfrage von zusätzlichen Informationen durch den Websitebetreiber beim Internetzugangsanbieter zulässig ist. Die deutsche Regierung bringt diesbezüglich vor, eine Abfrage sei nicht ohne Weiteres möglich. Der Generalanwalt geht ohne genauere Prüfung der nationalen Rechtslage trotzdem davon aus, dass eine rechtlich zulässige Möglichkeit zur Erlangung der Daten besteht. Da es für den Anwendungsbereich des Datenschutzrechts im Anlassfall darauf ankommen könnte, unter welchen Voraussetzungen eine Auskunftserteilung des Internetzugangsanbieters an den Websitebetreiber zulässig ist, folgt eine kurze Übersicht über die rechtlichen Voraussetzungen der Auskunftserteilung in Österreich und Deutschland.

Die rechtliche Zulässigkeit einer Abfrage von Informationen über dynamische IP-Adressen durch den Dienstanbieter beim Internetzugangsanbieter hängt wesentlich davon ab, ob die anfragende Stelle privat oder staatlich ist.

Für die Auskunftserteilung an Private kommt in Österreich das Urhebergesetz (UrhG) oder das E-Commerce-Gesetz (ECG) in Frage. Der OGH entschied im Jahr 2009, ein Dritter könne nicht auf Grundlage von § 87b Abs. 3 UrhG⁴⁴ die Herausgabe von Informationen über die Identität von Nutzern, denen Urheberrechtsverstöße vorgeworfen werden, beim Internetzugangsanbieter verlangen, weil der Internetzugangsanbieter dazu unrechtmäßigerweise Verkehrsdaten verarbeiten müsste.⁴⁵ Die Auskunftspflicht nach § 18 Abs. 4 ECG⁴⁶ richtet sich dem Gesetzeswortlaut nach an Host-Provider. Der OGH nahm allerdings bereits eine analoge Anwendung des § 18 Abs. 4 ECG auf Telekommunikationsunternehmen, die ein öffentliches Kommunikationsnetz betreiben, an.⁴⁷ Auch in diesem Fall ist aber eine Auskunftserteilung des Internetzugangsanbieters unzulässig, wenn er dazu Verkehrsdaten verarbeiten müsste.⁴⁸ Für Private gibt es demnach keine rechtlich zulässige Möglichkeit, die Inhaber dynamischer IP-Adressen direkt vom Internetzugangsanbieter zu erfragen.

Die Sicherheitsbehörden dürfen gemäß § 53 Abs. 3a Z 3 des Sicherheitspolizeigesetzes (SPG) von Betreibern öffentlicher Telekommunikationsdienste und sonstigen Dienstanbietern i.S.d. § 3 Z 2 ECG Auskunft über Namen und Anschrift eines Benutzers, dem eine IP-Adresse zu einem bestimmten Zeitpunkt zugewiesen war, verlangen, wenn diese Daten wesentliche Voraussetzungen zur Abwehr einer allgemeinen Gefahr oder im Rahmen der ersten allgemeinen Hilfeleistungspflicht benötigt werden.⁴⁹ Im Rahmen des polizeilichen Staatsschutzes dürfen diese Auskünfte gemäß § 11 Abs. 1 Z 5 des Polizeilichen Staatsschutzgesetzes (PStSG) zur erweiterten Gefahrenerforschung und zum Schutz vor verfassungsgefährdeten Angriffen zu Gruppierungen, Einzelpersonen sowie deren jeweiligen Kontakt- und Begleitpersonen eingeholt werden, wenn die Erfüllung der Aufgabe durch den Einsatz anderer Ermittlungsmaßnahmen aussichtslos wäre. In der Strafprozessordnung (StPO) werden Anbieter von Kommunikationsdiensten dazu verpflichtet, auf Anordnung der Staatsanwaltschaft gemäß § 76a Abs. 2 Z 1 StPO Auskunft darüber zu geben, wem zu welchem Zeitpunkt eine öffentliche IP-Adresse zugeordnet war, und an einer «Auskunft über Daten einer Nachrichtenermittlung» i.S.d. § 134 Z 2 StPO auf Anordnung der Staatsanwaltschaft mit gerichtlicher Bewilligung mitzuwirken. Gemäß § 18 Abs. 2 ECG haben Dienstanbieter (u.a. Access-Provider) auf Anordnung eines befugten Gerichts Informationen über Nutzer ihrer Dienste zur Verhütung, Ermittlung, Aufklärung oder Verfolgung gerichtlich strafbarer Handlungen bereitzustellen. Die Verarbeitung von Verkehrsdaten ist für Betreiber öffentlicher Kommunikationsdienste in § 99 Abs. 5 TKG geregelt, der auf die genannten Bestimmungen der StPO, des SPG und des PStSG verweist.

Staatlichen Stellen ist es folglich im Rahmen gesonderter Tatbestände möglich, Informationen über den Inhaber einer dynamischen IP-Adresse beim Internetzugangsanbieter zu erfragen. Für die Zugangsanbieter besteht aber keine Speicherpflicht⁵⁰, somit können die Daten nur abgefragt werden, wenn sie tatsächlich vorhanden sind. Private könnten durch eine Anzeige und eine folgende Akteneinsicht⁵¹ die fraglichen Informationen erhalten.

Auch in Deutschland ist danach zu unterscheiden, ob die anfragende Stelle staatlich oder privat ist. Im Falle von Urheberrechtsverletzungen⁵² kann der Rechteinhaber vom Internetzugangsanbieter gemäß § 101 Abs. 2 Z 3 des deutschen Urheberrechtsgesetzes (dUrhG) Auskunft über den Rechtsverletzer verlangen. Die Auskunftserteilung unterliegt allerdings einem Richtervorbehalt, weil dazu Verkehrsdaten verarbeitet werden müssen.⁵³

Strafverfolgungsbehörden dürfen gemäß § 100j Abs. 1 u. 2 der deutschen Strafprozessordnung (dStPO) Auskunft über Bestandsdaten vom Internetzugangsanbieter anhand einer zu einem bestimmten Zeitpunkt vergebenen IP-Adresse verlangen, soweit dies für die Erforschung des Sachverhalts oder die Ermittlung des Aufenthaltsortes eines Beschuldigten erforderlich ist. Die Telekommunikationsdienste haben dem gemäß § 113 Abs. 1 des deutschen Telekommunikationsgesetzes (dTKG) nachzukommen.⁵⁴ Seit Wiedereinführung der Vorratsdatenspeicherung sind Telekommunikationsdienste dazu verpflichtet, zugewiesene IP-Adressen mit Datum und Uhrzeit für 10 Wochen zu speichern.⁵⁵ Die Erhebung dieser Verkehrsdaten ist bei Tatverdacht für gesondert aufgezählte schwere Straftatbestände zulässig, soweit die Erforschung des Sachverhalts oder die Ermittlung des Aufenthaltsortes des Beschuldigten auf andere Weise wesentlich erschwert oder aussichtslos wäre und die Erhebung der Daten in einem angemessenen Verhältnis zur Bedeutung der Sache steht.⁵⁶

Im Unterschied zur österreichischen Rechtslage sind Informationen über zugewiesene IP-Adressen also beim Internetzugangsanbieter verpflichtend zu speichern und eine direkte Abfrage durch Private ist nicht vollkommen ausgeschlossen. Die Auskunftserteilung an Private unterliegt aber einem Richtervorbehalt. Ansonsten ist es nur Behörden erlaubt, vom Internetzugangsanbieter bei Vorliegen gesondert normierter Tatbestandsvoraussetzungen Auskunft zu verlangen. Der Weg über eine Anzeige und folgende Akteneinsicht ist auch in Deutschland möglich.

Der Generalanwalt nimmt eine sinnvolle Abgrenzung des Anwendungsbereichs dahingehend vor, dass Ausgangspunkt der Beurteilung eines Personenbezugs nur der für die Verarbeitung Verantwortliche sein kann. Dieser kann sich selbstverständlich aber auch im Rahmen seiner Möglichkeiten an Dritte wenden, um zusätzliche Informationen zu erhalten. Dem Wortlaut des Erwägungsgrundes 26 nach wäre auch ein objektiver Ansatz denkbar, womöglich sogar naheliegender⁵⁷ gewesen. Wie der Generalanwalt allerdings richtig erkennt, würde der objektive Ansatz durch seine Schutzrichtung die Ausuferung des Anwendungsbereichs anlegen.⁵⁸

Der Generalanwalt nimmt den Personenbezug von Daten immer dann an, wenn es dem für die Verarbeitung verantwortlichen unter Einsatz aller Mittel vernünftigerweise möglich wäre, eine Person zu bestimmen, unabhängig davon, ob er tatsächlichen die Bestimmung der Person vornehmen möchte. Diese Ansicht ist insbesondere in Hinblick auf Erwägungsgrund 26 nachvollziehbar (Vgl. «[…] alle Mittel, […], die vernünftigerweise […] eingesetzt werden könnten»). Die Auslegung der deutschen Regierung, die auf eine tatsächliche Verknüpfung der Daten beim Internetzugangsanbieter abstellt, ist mit der Datenschutzrichtlinie nur schwer zu vereinbaren, weil auch Informationen über eine «bestimmbare» Person geschützt sein sollen.⁵⁹ Erhält der Websitebetreiber die notwendigen Informationen vom Zugangsanbieter, ist darin jedenfalls bereits der Prozess der Bestimmung einer Person zu sehen.

Es zeigt sich, dass die Auslegung des Generalanwalts zwar auf einen relativen Personenbezug von Daten abstellt, da diese Mittel aber nicht tatsächlich eingesetzt werden müssen, sondern Bestimmbarkeit bereits vorliegt, wenn die Mittel potenziell eingesetzt werden könnten, ergibt sich trotz des relativen Ansatzes ein sehr weitgehender Anwendungsbereich des Datenschutzrechts. Meines Erachtens müsste die Auslegung des Generalanwalts aber auch dazu führen, dass die Beurteilung, ob ein Personenbezug vorliegt, abhängig von den Möglichkeiten der einzelnen für die Verarbeitung Verantwortlichen vorzunehmen wäre. Ein großer Technologiekonzern müsste sich demnach andere Mittel als vernünftig zurechnen lassen als ein kleines (technologiefernes) Startup.

Entscheidend für den Anwendungsbereich des Datenschutzrechts ist zudem, welche Mittel als vernünftig i.S.d. Erwägungsgrundes 26 der Datenschutz-Richtlinie gelten sollen. Der Generalanwalt trifft eine Aussage darüber, dass nur legale Mittel in Frage kommen, was begrüßenswert ist.⁶⁰ Eine Auslegung, die einen Rechtsbruch als «Mittel, das vernünftigerweise eingesetzt werden könnte» bezeichnet würde, widerspräche m.E. den Grundlagen des Rechtsstaates. Der Schutz vor einer Privilegierung rechtswidrigen Verhaltens muss dabei in der Rechtsordnung selbst angelegt sein, wie es derzeit durch einschlägige (Verwaltungs-) Straftatbestände geschieht.⁶¹

Der Generalanwalt plädiert aber auch dafür, alle legalen Mittel grundsätzlich als vernünftig anzusehen, unabhängig davon, wie eingeschränkt ihr tatsächlicher Anwendungsbereich ist. Diese Ansicht teilt der deutsche BGH offensichtlich nicht, demzufolge es nicht ausreichen soll, dass etwa die Staatsanwaltschaft die zusätzlichen Informationen vom Internetzugangsanbieter fordern dürfte.⁶² Die Auskunftserteilung ist weder in Österreich noch in Deutschland auf direktem Wege an einen Privaten (bzw. einen staatlichen Websitebetreiber) möglich. Über eine Anzeige und folgende Akteneinsicht im Strafverfahren könnte eine dynamische IP-Adresse allerdings einer Person zugeordnet werden. Dem Generalanwalt genügt diese rechtlich zulässige Möglichkeit offensichtlich, um alle dynamischen IP-Adressen als personenbezogene Daten beim Websitebetreiber anzusehen. Der BGH⁶³ und in diesem Sinne wohl auch die deutsche Regierung⁶⁴ weisen hingegen darauf hin, dass im Anlassfall eine Auskunftserteilung rechtlich nicht zulässig ist.

Mag es im konkreten Fall für den Websitebetreiber nicht zulässig sein, eine Auskunft vom Internetzugangsanbieter zu verlangen, muss trotzdem beachtet werden, dass der Websitebetreiber die dynamischen IP-Adressen nicht nur speichert, sondern auch dazu verwendet, strafrechtlich relevantes Verhalten zu verfolgen. Dem Prozess der Speicherung und der Prüfung strafbarer Handlungen werden alle auf die Website zugreifenden IP-Adressen unterworfen, um bei Vorliegen der Tatbestandsmerkmale eine Identifizierung der dahinterstehenden Person zu ermöglichen. Es ist somit nicht im Voraus erkennbar, welche IP-Adressen einer Identifizierung zugeführt werden dürfen und welche nicht. Insofern kommt es zu einer Erhebung personenbezogener Daten, selbst wenn ex-post betrachtet nur eine geringe Anzahl der erhobenen IP-Adressen einen Auskunftsanspruch gewähren. Es kann zudem nur schwer argumentiert werden, ein Strafverfahren anzustrengen bzw. alle rechtlich zur Verfügung stehenden Mittel auszuschöpfen sei unvernünftig oder erfordere unverhältnismäßigen Aufwand. Der Auslegung des Generalanwalts ist deshalb m.E. zu folgen.

Unabhängig vom Anlassfall ist darauf hinzuweisen, dass zwar Bestimmbarkeit bereits vorliegt, wenn die potenzielle Möglichkeit besteht, Mittel zur Identifizierung einer Person anzuwenden, aber Erwägungsgrund 26 sich nur auf solche Mittel beziehen kann, die nach Erhebung der Daten eingesetzt werden könnten. Es wäre nämlich bspw. abwegig, anzunehmen, dynamische IP-Adressen seien schon deshalb personenbezogene Daten, weil die durchaus vernünftige Möglichkeit besteht, ein Anmeldesystem für die Website zu programmieren. Gleiches muss m.E. auch gelten, wenn ein Internetzugangsanbieter keine Speicherung der LogFiles vornimmt,⁶⁵ weil er dazu nicht verpflichtet ist. In diesem Sinne kommt es schließlich doch auch darauf an, welche Mittel tatsächlich eingesetzt werden.

Auch nach der EU-Datenschutz-Grundverordnung (DS-GVO) ist die Verarbeitung personenbezogener Daten Anknüpfungspunkt für den sachlichen Anwendungsbereich des Datenschutzrechts. Personenbezogene Daten sind demnach alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann.⁶⁶ Erwägungsgrund 26 DS-GVO führt aus: «Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind.» IP-Adressen finden explizit Erwähnung in Erwägungsgrund 30⁶⁷, ihre Einordnung wird aber offen gelassen.

Der Anwendungsbereich der DS-GVO könnte m.E. gegenüber der Datenschutz-Richtlinie sowohl weiter als auch enger verstanden werden. Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, könnten im Gegensatz zu vernünftigen Mitteln u.U. auch rechtswidrige Mittel sein. Auf der anderen Seite kommt es bei Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden zwar weiterhin auf eine potenzielle Möglichkeit der Identifizierung einer Person an, diese Möglichkeit muss aber immerhin nach allgemeinem Ermessen wahrscheinlich genutzt werden. Nach der Datenschutz-Richtlinie genügte die abstrakte Möglichkeit, dass die Mittel vernünftigerweise verwendet werden könnten. Die Formulierungen unterscheiden sich zwar im Detail, trotzdem kann m.E. davon ausgegangen werden, dass die Entscheidung des EuGH zu m Verfahren C-582/14 in der Sache Breyer das Verständnis des Personenbezugs von Daten auch für den Anwendungsbereich der DS-GVO maßgeblich beeinflussen wird.

Die Diskussion um den Anwendungsbereich des Datenschutzrechts wird im Anlassfall vor dem EuGH anhand von dynamischen IPv4-Adressen geführt. Die Entscheidung könnte aber über den Anlassfall hinaus für weitere technische Entwicklungen Bedeutung haben.

Wie bereits erwähnt, wird aufgrund der begrenzten Anzahl von IPv4-Adressen eine Umstellung auf IPv6-Adressen vorgenommen. IPv6-Adressen bestehen aus zwei Teilen: dem Global Routing Präfix und dem Interface Identifier. Das Präfix wird vom Internetzugangsanbieter vergeben. Aufgrund des größeren Adressrahmens wäre es denkbar, dass dieser Teil unter Anwendung von IPv6 statisch vergeben würde.⁶⁸ Damit wäre die Identifizierung eines Nutzers für Websitebetreiber deutlich vereinfacht, weil schon eine einmalige Identitätspreisgabe genügen würde, um das betreffende Gerät mit einer Person dauerhaft zu verbinden. Eine solche Entwicklung wäre aus datenschutzrechtlicher Sicht in Hinblick auf die Privatsphäre von Betroffenen bedenklich. Große Internetzugangsanbieter in Deutschland erklärten diesbezüglich bereits, auch IPv6-Adressen dynamisch vergeben zu wollen.⁶⁹

Der Interface Identifier wird von dem verwendeten Gerät erzeugt, wodurch Geräte eindeutig bezeichnet und wiedererkannt werden könnten. Um eine Identifizierung dieser Art zu verhindern, wurden allerdings Privacy Extensions entwickelt.⁷⁰ Ob IPv6-Adressen personenbezogene Daten darstellen, hängt von der konkreten technischen Umsetzung ab, wobei eine Orientierung an den Überlegungen zu IPv4-Adressen angebracht erscheint.

Der Begriff «Internet der Dinge» soll eine Entwicklung beschreiben, in der immer mehr Gegenstände des täglichen Lebens Daten selbständig erheben und in der Lage sind, in einem Netzwerk zu kommunizieren. Diese «intelligenten Gegenstände» könnten die Umgebung der Menschen auf deren Bedürfnisse abstimmen und somit unterstützend wirken (ohne aufzufallen). Bereits heute sind umfassende Datenerhebungen bspw. durch Smartphones, Autos, smart homes oder diverse Wearables bekannt. Die große Anzahl von neuen Sensoren führt zu einem exponentiellen Anstieg verfügbarer Daten.⁷¹ Diese Entwicklung wird sich im Internet der Dinge weiter verstärken. Zahlreiche Dienste sind insbesondere auf Grundlage von intensiven Datenerhebungen denkbar, bei denen die Daten miteinander verknüpft oder mit Hintergrunddatenbanken⁷² abgeglichen werden.

Wesentliches datenschutzrechtliches Problem dieser Entwicklung ist die Möglichkeit der Erstellung präziser Persönlichkeitsprofile⁷³ – diese sind allerdings häufig essenzieller Bestandteil oder sogar Voraussetzung für die Erbringung des gewünschten Dienstes.⁷⁴ Es könnten zudem durch die umfassende Datenerhebung auch zahlreiche Informationen zu Dritten verarbeitet werden, die den fraglichen Dienst gar nicht nutzen (wollen). Die Artikel 29-Datenschutzgruppe sieht deshalb die Gefahr, dass durch das Internet der Dinge in Zukunft die Möglichkeit, anonym zu bleiben, begrenzt werden könnte.⁷⁵ Diese Gefahr vergrößere sich auch dadurch, dass De-anonymisierungen durch die schiere Anzahl von erhobenen Daten begünstigt werden, weshalb laut Artikel 29-Datenschutzgruppe u.U. sogar Daten, die erst nach Anwendung von Anonymisierungstechniken verarbeitet werden, als personenbezogen anzusehen sein sollen (!).⁷⁶

Die Vorlagefrage in der Rechtssache Breyer ist auch für den Anwendungsbereich des Datenschutzrechts im Internet der Dinge interessant. Viele der erhobenen Daten werden nämlich zunächst keine Informationen über eine bestimmte Person darstellen, es wird somit entscheidend darauf ankommen, ob Bestimmbarkeit vorliegt.

Im Internet der Dinge zeigt sich noch einmal deutlich, dass der objektive Ansatz zu einer Ausuferung des datenschutzrechtlichen Anwendungsbereichs führen würde. Müsste sich jeder für die Verarbeitung Verantwortliche auch das Wissen anderer Datenverarbeiter zurechnen lassen, würden nahezu alle erhobenen Daten personenbezogen sein, weil die große Anzahl einzelner Daten in Verbindung mit (allen) anderen erhobenen Daten die Identifizierung einer Person sehr wahrscheinlich ermöglichen würde.

Nach der Ansicht des Generalanwalts käme es dann zu einer Erhebung personenbezogener Daten, wenn der für die Verarbeitung Verantwortliche eine Verknüpfung der Daten vernünftigerweise vornehmen könnte. Es ist dabei durchaus denkbar, dass sogar der Betreiber eines Systems selbst nicht immer zuverlässig einschätzen kann, ob er aus einer Kombination nicht personenbezogener Daten Personen identifizieren könnte.⁷⁷ In diesem Fall ist das Konzept des Generalanwalts wohl insofern tragfähig, als abhängig von den Möglichkeiten des jeweiligen für die Verarbeitung Verantwortlichen festgelegt wird, ob Bestimmbarkeit vorliegt – dazu wäre etwa eine Risikoanalyse der Datenverarbeitung denkbar.⁷⁸

Besonderes Augenmerk wird seit geraumer Zeit auf Big Data-Analysen gelegt. Darunter werden Verfahren zur Strukturierung und Auswertung großer Datenbestände verstanden, die sich häufig aus unterschiedlichsten Quellen speisen. Für den Anwendungsbereich des Datenschutzrechts ist «Big Data» eine Herausforderung, weil aufgrund der Verfahren Verbindungen zwischen einzelnen zunächst nicht personenbezogenen Daten hergestellt werden können, die im Ergebnis personenbezogene Informationen enthalten. Damit können nahezu alle Daten dazu dienen, eine Person in Verbindung mit anderen Daten zu identifizieren. Selbst anonymisierte Daten können durch die Zusammenführung mit anderen Daten aus unterschiedlichsten Quellen (bspw. im Internet veröffentlichte Daten) wieder de-anonymisiert werden.⁷⁹

Einige Autoren sehen bereits eine Unterscheidung zwischen personenbezogenen und anonymen Daten als nicht mehr möglich an.⁸⁰ Andere ziehen zumindest in Erwägung die Entwicklung zum Anlass zu nehmen, dem objektiven Ansatz zu folgen.⁸¹ Auch der Generalanwalt befürwortet einen präventiven Schutz des Datenschutzrechts mit Blick auf zukünftige Entwicklungen.⁸² Die Artikel 29-Datenschutzgruppe weist allerdings darauf hin, dass Verarbeitungen zu Big Data-Analysen nicht immer personenbezogene Daten umfassen.⁸³ Vertreter des strikt relativen Ansatzes zeigen auf, warum auch nach diesem Modell keine Schutzlücke für Betroffene durch Big Data zu entstehen droht.⁸⁴

Die Gefährdung von Big Data geht im Wesentlichen von Wahrscheinlichkeitsvoraussagen aus, die Betroffene diskriminieren könnten.⁸⁵ Verschärfen kann sich dieses Problem dadurch, dass die Berechnungen der Analysen für den Menschen nicht mehr nachvollziehbar sind.⁸⁶ Eine Abgrenzung des datenschutzrechtlichen Anwendungsbereichs wird – ohne einen strikten Zweckbindungsgrundsatz, der allerdings schon an sich Big Data Analysen entgegensteht – in der Folge nur schwer möglich sein, weil es im Vorhinein kaum feststellbar sein wird, welche Daten zur Identifizierung einer Person dienen könnten und welche nicht.

Das Urteil des EuGH in der Sache Breyer wird über den Anlassfall hinaus für den Anwendungsbereich des Datenschutzrechts wegweisend sein – dies sowohl für zukünftige technische Anwendungen als auch im Hinblick auf die Auslegung der DS-GVO.

Die von Generalanwalt Sánchez-Bordona in seinen Schlussanträgen vorgelegte Auslegung der Datenschutzrichtlinie ist überzeugend. Ob die zugrundeliegenden Vorschriften sinnvoll sind, ist eine andere Frage. Denn der Ansicht des Generalanwalts zu folgen bedeutet auch, den Anwendungsbereich des Datenschutzrechts äußerst weit zu ziehen. Nahezu allen Daten kommt das Potenzial zu, in Verbindung mit anderen Daten (in der Zukunft) der Identifizierung einer natürlichen Person zu dienen, wenn es nicht auf den konkreten Fall ankommen soll, sondern darauf, dass solche Daten jemals zur Bestimmung einer Person führten.

Die Konsequenz wäre, dass wenn ein Datensatz aus tausenden von Daten der gleichen Art (bspw. dynamische IP-Adressen) eine Information über eine bestimmte oder bestimmbare Person darstellte, alle Daten dieser Art für jeden für die Verarbeitung Verantwortlichen, dem dieselben Mittel zur Verfügung stehen, als personenbezogen anzusehen wären. Diese Ansicht mag für den Schutz der Privatsphäre von Betroffenen erstrebenswert sein. Es ist aber zu bedenken, dass dadurch der Anwendungsbereich des Datenschutzrechts auch dann eröffnet ist, wenn sich eine Gefahr für die Privatsphäre einer Person gegenüber dem für die Verarbeitung Verantwortlichen nicht realisiert, weil er die zur Bestimmung notwendigen Mittel gar nicht einsetzt und etwa auch nicht vorhat, dies jemals zu tun.

---

 

Herr Mag. iur. Maurits Haas ist Dissertant der Arbeitsgruppe Rechtsinformatik an der Universität Wien und juristischer Mitarbeiter der Rechtsanwaltskanzlei Lichtenberger & Partner Rechtsanwälte GbR.