Ist eine IP-Adresse nach DSGVO ein personenbezogenes Datum?
Nach der DSGVO kann eine IP-Adresse ein personenbezogenes Datum sein, denn die Verordnung definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, und eine IP-Adresse macht jemanden in Verbindung mit anderen Informationen häufig identifizierbar. Dieser Artikel bietet allgemeine Hintergrundinformationen für Entwickler und ist keine Rechtsberatung; Ihre Pflichten hängen von Ihrer Situation ab, ziehen Sie bei echten Entscheidungen also eine Datenschutzfachkraft hinzu.
Was die Verordnung tatsächlich sagt
Art. 4 DSGVO definiert personenbezogene Daten weit. Er nennt Online-Kennungen als Beispiele für Informationen, die eine Person identifizieren können, und die Erwägungsgründe erwähnen Kennungen wie IP-Adressen und Cookie-Kennungen, die Geräte hinterlassen. Maßgeblich ist die Identifizierbarkeit: ob die Person von der Organisation, die die Daten hält, oder von jemand anderem mit Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, direkt oder indirekt identifiziert werden kann.
Der Gerichtshof der Europäischen Union hat dies im Fall Breyer (2016) zu dynamischen IP-Adressen behandelt. Vereinfacht entschied das Gericht, dass eine dynamische IP-Adresse für den Betreiber einer Website ein personenbezogenes Datum sein kann, wenn er rechtliche Mittel hat, die zusätzlichen Informationen zu erhalten, etwa die Teilnehmerdaten des Internetanbieters, die den Besucher identifizieren würden. Die praktische Lehre: Die Antwort ist kein festes Ja oder Nein für jede Adresse und jeden Inhaber. Sie hängt vom Kontext ab und davon, was sich noch mit der Adresse verknüpfen lässt.
Warum der Kontext für Entwickler wichtig ist
Eine nackte IP-Adresse in einem Firewall-Log ist eine Sache. Dieselbe Adresse, gespeichert neben einer Nutzer-ID, einer E-Mail-Adresse, einem Sitzungstoken und einem Zeitstempel, ist weit eindeutiger ein personenbezogenes Datum, weil sie an ein bestimmtes Konto gebunden ist. Wenn Sie in der zweiten Kategorie sind, gehen Sie davon aus, dass die Adresse in den Anwendungsbereich fällt, und planen Sie entsprechend.
Hilfreich ist auch, zwei leicht zu verwechselnde Dinge zu trennen: die Adresse selbst und die aus ihr abgeleiteten Fakten. Wenn Sie eine Adresse abfragen, beschreibt die Ausgabe typischerweise ein Netz und keine Person: das Land, die Region auf Stadtebene, die ASN und die Organisation, die den Block betreiben, sowie Flags, etwa ob die Adresse zu einem bekannten VPN oder einem Datacenter gehört. Die IP-Abfrage von ipto liefert Felder wie country, city, asn und org zusammen mit den Flags is_vpn, is_tor, is_abuser, is_datacenter und bogon. Diese beschreiben das Netz, und die Geolokalisierung auf Stadtebene ist ungefähr, wie der Beitrag Warum die Stadtgenauigkeit begrenzt ist erklärt. Doch die Eingabe der Abfrage kann, wenn es die gespeicherte Adresse eines Besuchers ist, in Ihrer Hand weiterhin ein personenbezogenes Datum sein, und der angereicherte Datensatz, der mit einem Nutzerprofil verknüpft ist, wahrscheinlich ebenfalls.
Allgemeine Hinweise zu Protokollierung und Speicherdauer
Die Verordnung legt keine Anzahl von Tagen für die Aufbewahrung von IP-Adressen fest. Stattdessen gelten allgemeine Grundsätze: Sie brauchen eine Rechtsgrundlage für die Verarbeitung, sollten nur erheben, was Sie für einen festgelegten Zweck brauchen (Datenminimierung), und es nicht länger speichern, als für diesen Zweck nötig ist (Speicherbegrenzung). Sicherheitsprotokollierung und Betrugsprävention werden häufig als Zwecke genannt, und die Speicherdauer sollte durch diesen Zweck begründet und dokumentiert sein, nicht aus Gewohnheit gewählt.
- Legen Sie zuerst den Zweck fest. Missbrauchsprävention, Rate Limiting, Debugging und Analytics haben unterschiedliche Rechtfertigungen und unterschiedlich sinnvolle Speicherdauern.
- Kürzen oder hashen Sie, wo volle Genauigkeit unnötig ist. Das Weglassen des letzten IPv4-Oktetts oder der unteren Bits einer IPv6-Adresse verringert die Identifizierbarkeit. Aufsichtsbehörden und Gerichte haben Kürzung und Hashing als risikomindernde Maßnahmen behandelt, doch der Hash eines kleinen Adressraums lässt sich oft umkehren, er ist also keine automatische Anonymisierung.
- Richten Sie automatische Löschung ein. Lassen Sie Rohprotokolle nach Zeitplan ablaufen, statt sich darauf zu verlassen, dass jemand an das Aufräumen denkt.
- Seien Sie transparent. Ihre Datenschutzerklärung sollte angeben, dass Sie Adressen verarbeiten, warum und wie lange. Drittanbieter als Auftragsverarbeiter, an die Sie Adressen senden, sollten durch eine geeignete Vereinbarung abgedeckt sein.
- Beachten Sie Übermittlungen. Das Senden von Besucheradressen an eine externe API ist eine Offenlegung gegenüber einer anderen Partei, bedenken Sie also, wohin die Daten gehen. Wer ein Netz selbst abfragt, ohne Besucherdaten, umgeht die Frage.
Netzabfragen ohne personenbezogene Daten nutzen
Viele nützliche Fragen lassen sich zu einem Netz beantworten, ohne irgendetwas einer Person zuzuordnen. Die ASN-Abfrage nimmt eine AS-Nummer und liefert den registrierten Inhaber, die Organisation, das Land und die Anzahl der Bereiche, wobei keine Besucheradresse im Spiel ist. Für Adressen liefert IP-WHOIS über RDAP Registerinformationen zum Blockinhaber, also organisatorische Daten darüber, wer die Zuteilung hält, und der Bogon-Checker sagt Ihnen, ob eine Adresse privat oder reserviert ist und damit nicht von einem öffentlichen Besucher stammen kann.
Wenn Sie Rechtsordnungen außerhalb Europas vergleichen, bietet der Beitrag Datenschutzgesetze zu IP-Adressen in verschiedenen Ländern eine allgemeine Orientierung. Der kostenlose Tarif von ipto erlaubt 1.000 Anfragen pro Tag ohne Anmeldung, und die API-Dokumentation listet die Felder auf, sodass Sie nur das speichern können, was Sie wirklich brauchen.