AG München: IP-Adressen in Log Files sind keine personenbezogenen Daten

@ Jens Ferner:

Korrigieren Sie mich, falls ich falsch liege - aber soweit ich mich erinnere hat der BGH in der Darmstädter Sache damals lediglich eine Kostenentscheidung bzw. eine rein revisionsrechtliche Entscheidung getroffen und sich nicht inhaltlich mit der Sache befasst. Dann könnte man den BGH aber nicht als "Vertreter" dieser Ansicht zitieren, oder?

@ Jörn Erbguth: Eine Ausweitung der Regelung aus § 100 TKG wie von Ihnen vorgeschlagen auch auf Website-Betreiber und andere im TMG, aber nicht im TKG erfasste Anbieter könnte durchaus eine äußerst praktible Lösung darstellen. Noch steht aber wohl die Mehrheit in Literatur und Rechtsprechung - trotz der beiden Urteile aus Berlin, von dem sich wiederum nur das untere inhaltlich geäußert hat - auf dem Standpunkt, dass der Personenbezug relativ zu betrachten ist. Weil Website-Betreiber keinen Zugriff auf die Daten des jeweiligen Providers zur Herstellung des Personenbezugs haben und letzterem eine entsprechende "Hilfe" zudem gesetzlich verboten ist, verstößt das Speichern von IP-Adressen im Rahmen einer Webpräsenz nach dieser Auffassung nicht gegen das Bundesdatenschutzgesetz. Die Gegenmeinung sammelt allerdings derzeit stetig Anhänger. Man darf gespannt sein, ob (!) und vor allem wie die Bundesregierung diese Frage bei der geplanten Novellierung des BDSG berücksichtigt.

Ich stimme Ihnen im Übrigen zu - bei aller Liebe zum Datenschutz und der Datensparsamkeit darf man es nicht dergestalt übertreiben, dass eine vernünftige Schutzpolitik bezüglich der eigenen Infrastruktur und der angebotenen Dienste nicht mehr möglich ist. Denn gerade letzteres dient schließlich auch dem Nutzer.

@pab

mich würde interessieren, wie Sie zur Protokollierung der um die letzten 8 Bit maskierten IP-Adresse stehen. Ist dies aus Ihrer Sicht zulässig?

Natürlich lässt sich eine Protokollierung technisch jederzeit abschalten. Die Problematik besteht jedoch darin, dass dadurch das System unsicher wird. Wäre es aus Ihrer Sicht denn wenigstens zulässig im unmittelbaren zeitlichen Zusammenhang zu einem Angriff zu protokollieren? Falls auch dies nicht zulässig wäre, sähe ich zumindest darin einen Eingriff in Art 14 GG. Schließlich muss ein Website-Betreiber sein Angebot schützen dürfen, in dem er angreifende Requests gezielt protokolliert und ggf. zurückverfolgt. Ohne IP-Adressprotokollierung ist dies nicht möglich.

Als Analogie fällt mir folgendes ein: Angenommen Firewalls würden verboten um dem Bundestrojaner einen einfachen Zugriff auf die Systeme zu ermöglichen. Technisch möglich wäre dies. Der Betrieb ohne Firewall wäre jedoch unsicher und nach heutigen Maßstäben grob fahrlässig.

Beim Urteil des LG Darmstadt (25 S 118/2005) geht es nicht um die Protokollierung von IP-Adressen auf Seiten des Website Providers, sondern um die Protokollierung der Zuordnung IP-Adresse zu Kunde auf Seiten des Zugangsproviders - also genau den Daten, die benötigt werden um die nicht personenbezogenen IP-Adressen einer Person zuzuordnen.

Wenn man der Argumentation "IP-Adressen seien personenbezogene Daten, da sie mit Hilfe des Providers Personen zugeordnet werden können" folgen würde, würde dies bedeuten, dass es auch keine "pseudonyme Nutzung" mehr gibt. Jedes Pseudonym lässt sich mit Hilfe von IP-Adressen oder E-Mail Accounts einer natürlichen Person zuordnen. Auch wenn diese Auflösung schwierig und dem Anbieter der pseudonymen Nutzung nicht ohne weiteres möglich ist, so ist sie doch ähnlich wie bei den IP-Adressen durch den Abgleich mit anderen Daten generell machbar. Damit wären auch Pseudonyme personenbezogen. Als Konsequenz müssten alle Regeln, die Pseudonyme beim Datenschutz privilegieren (oder schlechter stellen - je nach Sichtweise), hinterfragt werden.
Umgekehrt würde ich IP-Adressen analog zu Pseudonymen sehen. Die Protokollierung der Requests zusammen mit den IP-Adressen aus Sicherheitsgründen würde ich daher direkt unter die in § 15 Abs. 3 TMG aufgeführten Zwecke subsumieren (Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien) oder zumindest als ein Minus gegenüber diesen Zwecken als mindestens erlaubt ansehen.