Datenschutzgesetze zu IP-Adressen im Ländervergleich
Datenschutzgesetze zu IP-Adressen unterscheiden sich von Land zu Land, doch immer mehr behandeln eine IP-Adresse als personenbezogenes Datum, sobald sie sich vernünftigerweise mit einer Person verknüpfen lässt. Das bedeutet, dass Logging, Analytics und Geolokalisierung von IPs unter Datenschutzvorschriften fallen können. Dieser Artikel ist allgemeiner Hintergrund für Entwickler, keine Rechtsberatung, und die Einzelheiten jedes Gesetzes sollten mit einer qualifizierten Juristin oder einem Juristen geklärt werden.
Warum Datenschutzgesetze IPs als personenbezogene Daten behandeln
Eine IP-Adresse allein ist nur eine Zahl, aber selten steht sie allein. Ihre Server-Logs verbinden sie mit Zeitstempeln, URLs, User-Agents und oft mit Kontokennungen, und der Internetanbieter, der sie vergeben hat, kann sie einem Teilnehmer zuordnen. Viele Aufsichtsbehörden argumentieren daher, dass eine Adresse ein personenbezogenes Datum ist, wenn irgendjemand irgendwo die Mittel hat, die dahinterstehende Person zu identifizieren. Wechselnde Zuweisung ändert daran wenig: Eine Adresse, die zwischen Kunden rotiert, ist in den Aufzeichnungen des Anbieters zu einem bestimmten Zeitpunkt dennoch mit einem Kunden verknüpft.
Deshalb sind auch die technischen Grenzen von IP-Daten für die rechtliche Analyse relevant. Eine Abfrage liefert ein Land, eine Schätzung auf Stadtebene, einen Netzinhaber und Reputations-Flags, aber keinen Namen. Wie das aussieht, sehen Sie, wenn Sie eine Adresse durch die IP-WHOIS-Abfrage laufen lassen, die den Registereintrag des Blocks zeigt, in der Regel eine Organisation wie einen ISP statt einer Einzelperson. Die rechtliche Frage betrifft, was sich mit der Adresse in Kombination mit anderen Daten tun ließe, nicht nur, was eine einzelne Abfrage offenlegt.
Die Europäische Union und das Vereinigte Königreich
In der EU definiert die DSGVO personenbezogene Daten weit, und die EU-Rechtsprechung hat IP-Adressen, die zwischen Sitzungen wechseln, für Websitebetreiber als personenbezogene Daten behandelt, wenn diese rechtliche Mittel haben, die identifizierenden Informationen vom Anbieter zu erhalten. Die UK GDPR verfolgt denselben Ansatz. In der Praxis heißt das: Die Verarbeitung von Besucher-IPs braucht eine Rechtsgrundlage, einen festgelegten Zweck, Grenzen für die Speicherdauer und angemessene Sicherheit. Gängige Maßnahmen sind das Kürzen des letzten Oktetts einer IPv4-Adresse vor der Speicherung, Hashing mit rotierendem Salt und kurze Aufbewahrungsfristen für Rohprotokolle. Unser Beitrag DSGVO und IP-Adressen als personenbezogene Daten geht darauf tiefer ein.
Für das Speichern oder Auslesen von Informationen auf dem Gerät eines Nutzers, etwa Cookies, gelten im Rahmen des ePrivacy-Regimes gesonderte Regeln. Betrugsprävention und Netzwerksicherheit werden oft als legitime Zwecke für die Verarbeitung von IPs angeführt, weshalb Sicherheitswerkzeuge und Datenschutzrecht weniger im Widerspruch stehen, als es zunächst scheint, doch Zweck und Verhältnismäßigkeit müssen weiterhin dokumentiert werden.
Die Vereinigten Staaten und andere Regionen
Die Vereinigten Staaten haben kein einzelnes Bundesgesetz zu IP-Adressen. Stattdessen gibt es einen Flickenteppich aus Landesgesetzen, von denen CCPA und CPRA in Kalifornien am bekanntesten sind, und mehrere weitere Bundesstaaten haben umfassende Datenschutzgesetze verabschiedet. Diese zählen Online-Kennungen, einschließlich IP-Adressen, in der Regel zu den personenbezogenen Informationen und geben Einwohnern Rechte wie Auskunft, Löschung und Widerspruch gegen bestimmte Weitergaben oder gezielte Werbung. Branchenregeln, etwa für Daten von Kindern oder Gesundheitsdaten, bringen weitere Anforderungen.
- Brasilien hat das LGPD, das der DSGVO im Aufbau ähnelt und Informationen zu einer identifizierbaren Person abdeckt.
- Kanada wendet PIPEDA und einige Provinzgesetze an, und Aufsichtsbehörden haben IP-Adressen im Kontext als personenbezogene Informationen behandelt.
- China hat ein Gesetz zum Schutz personenbezogener Informationen mit Regeln zu Einwilligung und grenzüberschreitender Übermittlung.
- Indien hat ein Datenschutzgesetz erlassen, und wer sich darauf stützt, sollte den aktuellen Umsetzungsstand seiner Regeln prüfen.
- Japan, Südkorea und Australien haben jeweils eigene Regime mit unterschiedlichen Schwellen dafür, was als personenbezogene Information gilt.
Da Gesetze oft geändert werden, betrachten Sie jede Zusammenfassung, auch diese, als Ausgangspunkt und prüfen Sie den aktuellen Text für jeden Markt, den Sie bedienen.
Praktische Engineering-Gewohnheiten, die überall taugen
Unabhängig von der Jurisdiktion verringern einige Gewohnheiten das Risiko. Erheben Sie nur die IP-Daten, die Sie für einen dokumentierten Zweck brauchen. Führen Sie die benötigte Anreicherung, etwa Land, ASN oder ein VPN-Flag, zum Anfragezeitpunkt durch und speichern Sie das abgeleitete Feld statt der Rohadresse, wenn die Rohadresse nicht erforderlich ist. Bewahren Sie Rohprotokolle nur für einen kurzen, festgelegten Zeitraum auf. Kontrollieren Sie, wer sie lesen darf. Halten Sie fest, wo die Verarbeitung stattfindet, denn Regeln zur grenzüberschreitenden Übermittlung können greifen, wenn Logs oder Abfragen eine Region verlassen.
Hilfreich ist auch, die genutzten Signale zu trennen. Prüfungen auf Länderebene für Lizenz- oder Steuerzwecke brauchen weit weniger Präzision als eine Personalisierungsfunktion auf Stadtebene, und eine Sicherheitsprüfung wie ein Reputationswert braucht gar keinen Standort. Die IP-Abfrage von ipto liefert Land, Stadt, ASN, Organisation und Flags wie is_vpn, is_tor und is_abuser, sodass Sie nur das grobe Feld speichern können, das Ihr Anwendungsfall braucht. Für die Missbrauchsbearbeitung liefert der IP-Abuse-Checker einen Wert und eine Risikostufe, ohne dass ein personenbezogenes Profil angehängt wird. Einzelheiten zu den Anfrage- und Antwortfeldern stehen in der API-Dokumentation.
Sagen Sie Ihren Nutzern schließlich, was Sie tun. Eine klare Datenschutzerklärung, die IP-Adressen unter den erhobenen Daten nennt, mit Zweck und Speicherdauer, erfüllt eine Anforderung in vielen Regimen und ist die am vielseitigsten wiederverwendbare Compliance-Arbeit über Ländergrenzen hinweg.
Hilfreich ist auch zu sehen, was eine Abfrage über einen Besucher tatsächlich offenlegt. Der VPN- und Proxy-Checker zeigt, warum der scheinbare Standort eines Besuchers nicht dort sein muss, wo er sich befindet, was bei standortbasierten Regeln wichtig ist. Nichts davon ersetzt Rechtsberatung für Ihre Situation.