Schlagwort: Speicherung
10. Februar 2022
Die Europäische Strafverfolgungsbehörde Europol muss personenbezogene Daten von Verdächtigen, welchen eine Verbindung zu Straftaten nicht nachgewiesen werden kann, nach sechs Monaten löschen. Laut einer Pressemitteilung des Europäischen Datenschutzbeauftragten (EDPS) kam Europol dieser Verpflichtung nicht nach.
Der europäische Datenschutzbeauftragte Wiewiórowski hat Europol aufgefordert Daten von Verdächtigen in großem Umfang zu löschen. Konkret betroffen seien Datensätze, welche Europol von den Ermittlungsbehörden der EU-Staaten übermittelt wurden. Aufgrund der Masse an übermittelten Daten dauere der Prozess der Analyse bei Europol jedoch meist Jahre. Hinsichtlich der Speicherfristen entspräche die Behörde jedoch nicht ihren eigenen Regelungen. Diese bestimmen die Löschung personenbezogener Daten von Verdächtigen nach spätestens sechs Monaten, sofern den Betroffenen keine Verbindung zu einer kriminellen Aktivität nachgewiesen werden kann.
Auf die Strafverfolgungsbehörde warten arbeitsintensive zwölf Monate. Zunächst soll die Behörde innerhalb von sechs Monaten eine Voranalyse und Filterung der gespeicherten Datensätze vornehmen. Mit diesem Vorgehen werden zugleich “die Risiken für die Rechte und Freiheiten von Personen auf ein Minimum reduziert”. In den nachfolgenden sechs Monaten soll dann die Umsetzung der Löschpflicht zu einer Vereinbarkeit mit den datenschutzrechtlichen Regularien folgen.
Europol kritisierte die Anordnung des EDPS in einer Pressemitteilung, da die Behörde durch den Beschluss des EDPS in der Fähigkeit beeinträchtigt werde, große und komplexe Datensätze auszuwerten. Gerade in Fällen mit komplexen und umfangreichen Datensätzen nehme dies oftmals mehr als sechs Monate in Anspruch.
Die Entscheidung des EDPS war für Europol jedoch bereits absehbar. Bereits im September 2020 verwarnte der Datenschutzbeauftragte die Behörde aufgrund ihres Umgangs mit der Speicherung personenbezogener Daten.
17. Mai 2017
In seinem Urteil vom 16.05.2017 (Az. VI ZR 135/13) hat sich der Bundesgerichtshof (BGH) unter anderem mit den Fragen befasst, ob eine dynamische IP-Adresse ein personenbezogenes Datum darstellt und ob ein Webseitenbetreiber die IP-Adressen der Nutzer länger speichern darf als diese tatsächlich auf der Seite verweilen.
Anlass für dieses BGH-Urteil war, dass das Bundesministerium für Justiz und Verbraucherschutz die IP-Adressen aller Besucher seiner Webseite für eine Zeitspanne von 14 Tagen speicherte. In dieser Speicherung sah ein schleswig-holsteinischer Abgeordneter der Piratenpartei eine unzulässige Überwachung der Internetnutzer und erhob Klage gegen die Bundesrepublik als Betreiberin der Webseite. Die Bundesregierung argumentierte, dass die Speicherung nötig sei, um den sicheren Betrieb der Webseiten zu ermöglichen. Nur so könne man gegebenenfalls Hackerangriffe abwehren und die Angreifer identifizieren um strafrechtliche Schritte einleiten zu können.
Maßgeblich für die Entscheidung war die Frage, ob auch dynamische IP-Adressen personenbezogene Daten darstellen. Um im Internet agieren zu können, bekommt jedes internetfähige Endgerät vom jeweiligen Internetprovider eine eigene IP-Adresse zugewiesen. Bei diesen IP-Adressen unterscheidet man zwischen statischen und dynamischen Adressen. Im Gegensatz zu statischen IP-Adressen können sich dynamische IP-Adressen alle paar Stunden oder Tage ändern. Der Webseitenbetreiber selbst kann die Nutzer einer solchen dynamischen IP-Adresse in aller Regel nicht identifizieren. Lediglich die Internetprovider (bspw. Telekom oder Vodafon) sind hierzu in der Lage, da sie dem Nutzer die dynamische IP-Adresse zuweisen. Wenn dynamische IP-Adressen nicht als personenbezogene Daten anzusehen sind, ist eine Speicherung grundsätzlich als zulässig anzusehen. Sofern man sie jedoch als personenbezogene Daten qualifiziert, ist eine Speicherung nur nach den Maßgaben des Datenschutzrechts zulässig.
Nach § 3 Abs. 1 Bundesdatenschutzgesetz (BDSG) sind personenbezogene Daten “Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).” Ähnlich wird dies auch in der EG-Datenschutzrichtlinie 95/46/EG definiert. Gerade bei dynamischen IP-Adressen drängt sich die Frage auf, ob auch diese eine hinreichende Bestimmbarkeit im Sinne der oben genannten Norm aufweisen. Diese Frage hat der BGH vor einiger Zeit dem Europäischen Gerichtshof (EuGH) zur Entscheidung vorgelegt. Der EuGH hat dargelegt, dass eine dynamische IP-Adresse dann ein personenbezogenes Datum darstellt, wenn es dem Webseitenbetreiber möglich ist, mit Hilfe rechtlicher Mittel die betroffene Person hinter der dynamischen IP-Adresse zu bestimmen oder bestimmen zu lassen. In seinem Urteil folgte der BGH dieser Leitlinie und stellte fest, dass dynamische IP-Adressen für die Bundesrepublik als Webseitenbetreiber ein personenbezogenes Datum darstellen, da mit Hilfe der Strafverfolgungsbehörden der Nutzer identifiziert werden könne.
Zur Frage der Speicherung einer dynamischen IP-Adresse als personenbezogenes Datum über das Ende des Nutzungsvorgangs hinaus führte der BGH weiter aus, dass eine solche Speicherung durch den Webseitenbetreiber ohne Einwilligung des Nutzers nur unter den Voraussetzungen des § 15 Abs. 1 Telemediengesetz (TMG) zulässig sei. Diese Norm sei europarechtskonform dahingehend auszulegen, dass die Erhebung und Verwendung erforderlich sein müsse, um die generelle Funktionsfähigkeit des Dienstes zu gewährleisten. Im vorliegenden Fall konnte der BGH kein abschließendes Urteil dazu treffen, ob die Speicherung der IP-Adresse des Nutzers über das Ende des Nutzungsvorgangs hinaus durch das Bundesministerium für Justiz und Verbraucherschutz erforderlich war, um die generelle Funktionsfähigkeit des Dienstes zu gewährleisten. Bei der Frage der Erforderlichkeit sollen aber in einer Abwägung insbesondere das Gefahrenpotential und der „Angriffsdruck“ zu berücksichtigen sein. In einem nächsten Schritt sollen dann das Interesse an der Aufrechterhaltung und der Funktionsfähigkeit des Online-Mediendienstes mit den jeweiligen Grundrechten und Grundfreiheiten des Nutzers der Seite abgewogen und in Einklang gebracht werden.
5. August 2014
Auch im zweiten Berufungsverfahren hat der Bundesgerichtshof (BGH) keine Einwände gegen die Praxis von Internet Service Providern (ISP), Verbindungsdaten von Internetnutzern eine Woche lang zu speichern. Dies hat der BGH Anfang Juli in einem jetzt veröffentlichten Urteil (AZ.: III ZR 391/13) entschieden. Die siebentägige Speicherung sei nötig, um Netzstörungen und Fehler an Telekommunikationsanlagen (TK-Anlagen) abzuwehren und stehe im Einklang mit dem Telekommunikationsgesetz (TKG).
Geklagt hatte ein DSL-Kunde der Telekom mit dem Ziel, dass Verbindungsdaten sofort nach dem Ende der Online-Sitzung gelöscht werden. Wie heise.de berichtet, beziehen sich die Karlsruher Richter in ihrer jetzt vorliegenden Begründung unter anderem auf die Ausführungen der vorgehenden Instanz, wonach der von ihr gehörte Experte “nachvollziehbar dargelegt” habe, dass bei der Telekom monatlich mehr als 500.000 Missbrauchsmeldungen eingingen. Von diesen stünden allein 162.000 im Zusammenhang mit Spam. 164.000 hätten einen potenziell direkten Einfluss auf die Infrastruktur und die Dienste der Telekom.
Da auch die europarechtlichen Datenschutzregelungen eine Ausnahme von Löschungspflichten für Verbindungsdaten zum Verhüten, Ermitteln, Feststellen und Verfolgen von Missbräuchen der Kommunikationssysteme vorsehen, sei eine zeitlich begrenzte Speicherung nicht grundsätzlich augeschlossen. Dies müsse erst recht für das Erkennen, Eingrenzen oder Beseitigen von hieraus resultierenden Störungen der TK-Anlagen des Netzbetreibers gelten, so der BGH.
Weiter führten die Karlsruher Richter aus, dass das jüngste Urteil des Europäischen Gerichtshofs (EuGH) zur Vorratsdatenspeicherung keinen Anlass begründe, ihren Standpunkt zu ändern. Die Urteilsbegründung sei nicht auf die Speicherung bei der Telekom übertragbar, die nicht für Zwecke der Strafverfolgung, sondern im Interesse des Netzbetreibers erfolge.
18. September 2013
Mit Urteil vom 28.08.2013 (13 U 105/07) entschied das OLG Frankfurt, dass eine siebentägige, anlasslose Speicherung von IP-Adressen durch die Telekom zulässig ist.
Die Telekom speichert IP-Adressen, um Störungen der Telekommunikationsanlagen erkennen und beseitigen zu können. Damit sei der Erlaubnistatbestand des § 100 Abs.1 TKG erfüllt, so die Richter, weil es technisch noch keine andere Möglichkeit gäbe, Störungen adäquat einzugrenzen und Maßnahmen hiergegen einleiten zu können.
Die meisten dieser Störungen, so ein gerichtlich bestellter Sachverständiger, stünden im Zusammenhang mit Spams und seien somit oft ausschlaggebend für unerwünschte Werbung, Informationsdiebstähle im Rahmen von Accountmissbräuchen, Hacking, Portscans und Website-Schadcodes.
Durch das Abuse-Handling der Telekom können Großteile solcher Missbräuche früh – teilweise sogar im Vorfeld – erkannt und behoben werden. Im Umkehrschluss sahen die Richter es als begründet an, dass Missbrauchsfälle ohne ein solches Handling in weit höherer Zahl auftreten würden.
