Was machen Server-Log-Dateien?
Server-Log-Dateien protokollieren die Aktivitäten von Usern auf Webseiten. Seitenbetreiber erheben diese Daten, um ihre Dienste bereitzustellen, den Datenschutz zu kontrollieren und Angriffe zu erkennen und sich davor zu schützen. Das gewährt ihnen § 31 Bundesdatenschutzgesetz (BDSG).
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Warum sind Server-Log-Dateien datenschutzrechtlich relevant?
Server-Log-Dateien speichern Informationen wie
- das Datum und die Uhrzeit des Webseitenbesuchs,
- den Browsertyp,
- das Betriebssystem und
- die IP-Adresse des Users.
Bei einigen Daten, die Server-Log-Dateien erheben, handelt es sich um personenbezogene Daten. Das ist beispielsweise bei IP-Adressen der Fall. Diese sind durch die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) besonders geschützt. Seitenbetreiber müssen daher datenschutzrechtliche Pflichten beachten.
Server-Log-Dateien datenschutzkonform verwenden
Webseitenbetreiber müssen verschiedene datenschutzrechtliche Vorgaben beachten, wenn sie Server-Log-Dateien verwenden:
Zweckbindung einhalten
Seitenbetreiber dürfen die Daten aus den Server-Log-Dateien nur verwenden, um ihre Dienste bereitzustellen, den Datenschutz zu kontrollieren und um sich vor Angriffen zu schützen. Das heißt: Sie dürfen die Log-Dateien beispielsweise nicht nutzen, um das Verhalten ihrer Webseitenbesucher zu analysieren. Zudem dürfen sie die gesammelten Daten nicht mit anderen Daten verbinden.
IP-Adressen anonymisieren
Webseitenbetreiber sollten die IP-Adressen der User anonymisiert in den Logfiles speichern. Auf diese Weise erheben sie keine personenbezogenen Daten.
Daten regelmäßig löschen
Seitenbetreiber dürfen die Protokolldateien nur so lange speichern, wie sie diese für den vorgesehenen Zweck benötigen. Sie sind dabei verpflichtet, vor der Aufnahme der Userdaten festzulegen, wann sie die Daten wieder löschen wollen. Das Gesetz gibt dazu keine Fristen vor. In der Regel sollten Seitenbetreiber die Daten jedoch maximal 7 Tage behalten. Erlauben gesetzliche Anforderungen eine längere Speicherung, können sie die Files darüber hinaus aufbewahren.
Datenschutzerklärung anpassen
Webseitenbetreiber müssen User in ihrer Datenschutzerklärung darüber aufklären, dass sie Server-Log-Dateien anlegen. Dabei sollten sie erklären, welche Daten sie erheben und warum sie diese speichern.
Datenschutzfreundliche Alternative: Eigenes Hosting
Hosten Unternehmen ihre Seite selbst, haben sie die volle Kontrolle, welche Daten sie von ihren Webseitenbesuchern erheben. Unternehmen, die also möglichst wenig Daten von Nutzern sammeln wollen, sollten auf ein eigenes Hosting setzen.
Rechtsprechung zu Server-Log-Dateien
Für Server-Log-Dateien ist diese Rechtsprechung relevant:
Europäischer Gerichtshof zur Erhebung von IP-Adressen
Der Europäische Gerichtshof (EuGH) entschied am 19.10.2016: IP-Adressen sind personenbezogene Daten, wenn Strafverfolger die Person hinter einer IP ermitteln können. Es reicht nicht aus, wenn Seitenbetreiber das rein theoretisch können. Das heißt für die Praxis: Webseitenbetreiber dürfen über Server-Log-Dateien nur dann IP-Adressen erheben, wenn sie dafür die Einwilligung der User besitzen (Az. C-582/14).
Bundesgerichtshof zur Erhebung von IP-Adressen
Der Bundesgerichtshof (BGH) entschied im Mai 2017: Dynamische IP-Adressen sind personenbezogene Daten, wenn Seitenbetreiber rein theoretisch die Person hinter der IP ermitteln können (Az. VI ZR 135/13).
Landgericht Berlin zur Erhebung von IP-Adressen
Das Landgericht (LG) Berlin kam im September 2007 zu dem Ergebnis: Webseitenbetreiber dürfen IP-Adressen nicht speichern, wenn sie über keine Einwilligung der Nutzer verfügen (Az. 23 S 3/07).
