EuGH: Personenbezug bei IP-Adressen bejaht – § 15 Abs. 1 TMG ist Europarechtswidrig

Der EuGH hat mit Urteil vom 19.10.2016 – Az: C 582/14 entschieden, dass bei IP-Adressen ein Personenbezug vorliegt, wenn der Website-Betreiber über rechtliche Mittel verfügt, um eine Zuordnung vornehmen zu können. Dies wird stets dann der Fall sein, wenn der Hostprovider die Zuordnung noch vornehmen kann. Weiterhin hat der EuGH entschieden, dass die deutsche Regelung des § 15 Abs. 1 des Telemediengesetzes (TMG) gegen die EG-Datenschutzrichtlinie 95/46 (DSRL) verstößt. Das Urteil war erwartet worden, da bereits die Schlussanträge vom 12.05.2016 in diese Richtung gingen und der EuGH so seine Rechtsprechung fortsetzt. Das Urteil hat weitreichende Folgen im deutschen Recht:

Der EuGH bestätigte seine ständige Rechtsprechung nun hinsichtlich einer deutschen Norm: Der Gesetzgeber hatte keine Befugnis, konkrete Ausgestaltungen der Interessenabwägungsklausel zur Verarbeitung online erhobener Nutzungsdaten zu treffen. Der Gesetzgeber hatte in § 15 Abs. 1 TMG geregelt, dass Nutzungsdaten (IP-Adresse, Timestamps und ähnliches) nur verarbeitet werden durften, soweit es erforderlich war, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen. Andere Zwecke, z.B. Virenschutz oder Onlinetracking, waren derzeit nicht oder nur unter den erhöhten Anforderungen nach § 15 Abs. 3 TMG zulässig.

Der EuGH setzte nun seine Rechtsprechung fort, dass der nationale Gesetzgeber keine strengeren Anforderungen treffen kann, als sie in der DSRL vorgesehen sind. Art. 7 lit. f DSRL sieht vor, dass nach einer Interessenabwägung Daten durch eine verantwortliche Stelle verarbeitet werden können. Innerhalb der DSRL ist zur Verarbeitung von Nutzungsdaten auf die allgemeine Interessenabwägungsklausel abzustellen.

Die Europarechtswidrigkeit des § 15 Abs. 1 TMG führt dazu, dass verantwortliche Stellen weitergehend als bislang Onlinedaten erheben können. Diese Frage wird sich in der Datenschutzgrundverordnung (DSGVO) fortsetzen, da auch dort nur eine allgemeine Interessenabwägungsklausel vorgesehen ist und keine konkreten Regelungen zur Erhebung von Onlinedaten.

Der EuGH urteilte, dass IP-Adressen personenbezogene Daten darstellen, wenn der Nutzer der IP-Adresse über Zusatzwissen verfügt und aufgrund verfügbarer rechtlicher Mittel die Zuordnung zu einer Person vornehmen kann.

Da der Hostprovider die IP-Adresse zu den konkreten Namen und Kontaktdaten des Internetanschlussinhabers zuordnen kann, ist die IP-Adresse für diesen sicherlich personenbezogen. Ein beliebiger Dritter, dem nur die IP-Adresse vorliegt, kann aufgrund des Urteils des EuGH die Information des Hostproviders zugerechnet werden, sodass die IP-Adresse für jemanden ohne konkrete Zuordnungsmöglichkeit nun als personenbezogen gilt. Denn der EuGH betont die Möglichkeit (Rn. 47-49), mit Unterstützung eines Dritten an die Zuordnung der IP-Adresse zu gelangen, um so eine Personenbeziehbarkeit herzustellen. Anbieter von Online-Mediendiensten können mit Hilfe des Hostproviders und einer Behörde wie der Staatsanwaltschaft die betreffende Person bestimmen. Da grundsätzlich jeder deutsche Stelle rechtliche Mittel zur Herausgabe von Zuordnungsdaten zustehen (z.B. über § 101 Abs. 2 Satz 1 Nr. 3 UrhG), muss bei IP-Adressen künftig stets ein Personenbezug bejaht werden.

Das Urteil hat weitreichende Folgen für die Anwendung der Datenschutzgesetze – auch die kommende DSGVO. Da auch unter der DSGVO keine eindeutige Regelung zum Personenbezug getroffen war, aber die Regelungen vergleichbar mit der bisherigen Regelung waren, muss das Urteil auf das künftige Recht übertragen werden.

Folge ist beispielsweise, dass jegliche Kennziffern als personenbezogen gelten, (nur) soweit eine Stelle den Zuordnungsschlüssel innehat und der Schlüssel auf Anfrage zur Verfügung gestellt werden kann. Aufgrund des Urteils sollten bisherige Einordnungen von Datenverarbeitung als anonym statt personenbezogen einer neuen Prüfung unterzogen werden.

Kontakt: Herr Dr. Stefan Drewes, Tel.: +49-228-90248070,