Worum geht's?
IP-Adressen zählen seit einer Entscheidung des EuGH seit 2016 zu den personenbezogenen Daten. Das bedeutet, dass sie besonders schützenswert sind und unter die DSGVO fallen. Für Unternehmer bedeutet dies weitreichende Einschränkungen. Wir gehen der Frage auf die Spur, wann Sie als Webseitenbetreiber die IP-Adresse Ihrer Nutzer speichern und verarbeiten dürfen und wann dies nicht erlaubt ist.
1. Was ist eine IP-Adresse?
Jeder Nutzer, der im Internet unterwegs ist, bewegt sich in der Regel nicht unsichtbar durch die Weiten des WWW. Denn jedes Gerät - egal ob Smartphone, Tablet, Notebook oder PC - bekommt vom Provider eine IP-Adresse zugewiesen. Bekannte nationale Provider (auch Telekommunikationsanbieter oder TK-Anbieter genannt) sind beispielsweise die Deutsche Telekom AG oder Vodafone.
“IP” ist eine Abkürzung für Internet Protocol. Durch die begrenzte Anzahl an IP-Adressen, vergibt der Provider die IP-Adressen dynamisch. So kann nach einer gewissen Zeit die gleiche IP-Adresse einem anderen Anschluss zugeordnet werden.
Neben dynamischen IP-Adressen gibt es allerdings auch statische IP-Adressen, die sich nicht ändern. Dies ist beispielsweise bei Unternehmenswebsites der Fall. Auch Websites von EC-Zahlungsdiensten oder Cloud-Dienste nutzen feste IP-Adressen für einen reibungsloseren Ablauf.
IP-Adressen lassen sich nochmal untergliedern in die heute geläufige IPv4-Adresse und die IPv6-Adresse, welche die IPv4 in der Zukunft ablösen soll. Die IPv4 besteht aus 32 Bits. Das sind vier dezimale Zahlen zwischen 0 und 255, die durch Punkte voneinander getrennt sind.
Beispiel: 16.234.98.3
Die IPv6-Adressen wurden erfunden, um die IPv4-Adressen früher oder später abzulösen, weil durch den steigenden Bedarf die Nutzung von IPv4-Adressen irgendwann erschöpft sein wird.
INTERESSANT
IP-Adressen werden von Behörden auch zur internationalen Strafverfolgung bei Internetkriminalität verwendet. So können Ermittlungen zu Straftaten, bei denen digitale Spuren hinterlassen worden sind, angestellt werden. Dazu fragen die zuständigen Behörden den TK-Anbieter zur IP-Adresse des Straftäters an. Dazu wird ein Zeitstempel benötigt, damit der richtige Absender ausfindig gemacht werden kann.
2. EuGH stellt klar: IP-Adresse ist personenbezogenes Datum
In einem Urteil des Europäischen Gerichtshofs (EuGH) aus dem Jahr 2016 (Az. C-582/14) entschieden die Richter, dass sowohl statische als auch dynamische IP-Adressen zu den personenbezogenen Daten zählen.
Eine IP-Adresse kann zu einer Person zurückverfolgt werden. Aus diesem Grund spielt hier die Datenschutzgrundverordnung (DSGVO) eine entscheidende Rolle bei der Verarbeitung von IP-Adressen. Denn personenbezogene Daten dürfen Webseitenbetreiber nur erheben, verarbeiten oder speichern, wenn dies notwendig ist. Um den Datenschutz in Ihrem Unternehmen zu dokumentieren, lohnt sich ein System zum Datenschutzmanagement.
Genau hier kommt es zum Problem: Viele Tools speichern IP-Adressen automatisch ab. Was bedeutet das für Webseitenbetreiber?
3. Was dürfen Sie als Unternehmen mit der IP-Adresse machen?
Zunächst einmal: Sie dürfen die IP-Adresse Ihres Nutzers speichern. Allerdings nur, sofern die IP-Adresse für die Funktionsfähigkeit der Website erforderlich ist. Unter anderen Umständen dürfen personenbezogene Daten - und damit auch die IP-Adresse - nur gespeichert werden, wenn eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt.
Dies ist bei einer ausdrücklichen Einwilligung des Nutzers der Fall. Diese können Sie ganz einfach durch einen Cookie Banner einholen. Ein Cookie Consent Tool erfasst alle Tools, die Sie für Ihre Website nutzen, und holt für die einwilligungspflichten Tools eine Genehmigung der Nutzer ein. Dieser muss der Nutzer aktiv zustimmen. Das bedeutet, dass die Einwilligung nicht bereits vorausgewählt sein darf, sondern aktiv angeklickt werden muss.
LESEEMPFEHLUNG
Wie genau ein Cookie Banner laut DSGVO aussehen muss und inwiefern Ihnen ein Cookie Consent Tool dabei hilft, lesen Sie in unserem Artikel “Die 6 (wahrscheinlich) besten Cookie Consent Tools”.
4. Was darf mit der IP-Adresse nicht gemacht werden?
Grundsätzlich dürfen Unternehmen personenbezogene Daten speichern, sofern sie die Einwilligung des Nutzers für den jeweiligen Zweck haben. Wollen Sie beispielsweise Marketing- oder Websiteanalysen Ihrer Nutzer durchführen, können Sie dies tun, sofern die Nutzer diesem Zweck der Datenverarbeitung beispielsweise in Ihrem Cookie Banner zugestimmt haben.
Gibt ein Nutzer keine Einwilligung zur Verarbeitung seiner Daten ab, dürfen Sie diese auch nicht speichern. Es sei denn, es passiert, wie oben bereits erwähnt, aus Gründen der Funktionalität der Online-Dienste oder Ihrer Website.
WUSSTEN SIE’S SCHON?
Spannend ist in diesem Zusammenhang auch die Vorratsdatenspeicherung. Durch diese sollte es Behörden ermöglicht werden, personenbezogene Daten ohne direkten Anlass für eine gewisse Frist zu speichern. So können die Behörden bei einem begründeten Verdacht auf die Daten zugreifen.
Die Vorratsdatenspeicherung wurde allerdings in Deutschland ausgesetzt. Der EuGH entschied in einem Urteil von 2022 (Az. C-793/19, C-794/19 u. a.), dass eine gezielte und zeitlich begrenzte Speicherung von Daten bei einer ernsten Bedrohung der nationalen Sicherheit (z. B. Terrorverdacht) möglich sei.
5. Wie lange ist die IP-Speicherung für Access-Provider erlaubt?
Nach einigen BGH- und OLG-Urteilen aus den vergangenen Jahren (beispielsweise Urteil des OLG Köln vom 14.12.2015, Az. 12 U 16/13) dürfen Access-Provider die Daten ihrer Kunden für bis zu sieben Tage speichern, sofern dies der Abwehr von Gefahren und der Beseitigung von Störungen dient.
Bereits 2014 kam der Bundesgerichtshof zu einer ähnlichen Entscheidung (Urteil vom 03.07.2014, Az. III ZR 391/13). Argumentiert hatte der klagende Access-Provider damit, dass ohne die Speicherung zu befürchten ist, dass andere Provider wegen bestimmter Schadprogramme, Versand von Spam-Mails oder „Denial-of-Service-Attacken“ ganze IP-Adressbereiche sperren, weil die Gefahrenquelle nicht eindeutig zugeordnet werden kann. Der Service des Providers wäre dadurch nachhaltig gestört. Um das zu vermeiden, müssen die IP-Adressen für einige Tage gespeichert werden.
6. Fazit
Für Sie als Websitebetreiber ist eine Speicherung der IP-Adressen Ihrer Nutzer nicht rechtswidrig, sofern Sie sich an die DSGVO halten. Diese besagt, dass eine Speicherung personenbezogener Daten zu erforderlichen Zwecken, wie der Funktionalität der Webseite, möglich ist. Für jegliche andere Datenverarbeitung und Datenspeicherung benötigen Sie eine Einwilligung des Nutzers.
Access-Provider dürfen die IP-Adressen nicht unbegrenzt speichern. Für bis zu 7 Tage ist die Speicherung aber zulässig, wenn damit Gefahren abgewehrt werden sollen. Die Gefahr, die durch die Speicherung abgewehrt werden soll, muss dabei nicht aktuell sein. Es reicht aus, dass die Gefahr bzw. die Störung möglich ist.
