In einem lange erwarteten Urteil hat der Europäische Gerichtshof (EuGH) heute den deutschen Datenschutz geschwächt und die Möglichkeit der Vorratsdatenspeicherung von IP-Adressen durch Webseitenbetreiber bestätigt. In seiner Beantwortung zweier Fragen zur Auslegung des Europarechts, die der deutsche Bundesgerichtshof ihm vorgelegt hatte, entschied der EuGH zum einen, dass dynamische IP-Adressen personenbezogene Daten sein können und dem Datenschutzrecht unterliegen. Zum anderen erklärte er aber einen Teil des deutschen Telemediengesetzes für ungültig, nach dem diese und andere personenbezogene Daten außer zu Abrechnungszwecken nur nach Einwilligung der Nutzer gespeichert werden dürften.
Stattdessen müsse nach europäischem Recht eine Interessenabwägung möglich sein zwischen dem „berechtigten Interesse“ von Seitenbetreibern und den Grundrechten von Nutzern. Dem EuGH zufolge kann so ein berechtigtes Interesse vorliegen, wenn Seitenbetreiber dynamische IP-Adressen ihrer Nutzer vorhalten wollen, um „Cyberattacken“ abzuwehren.
Surfprotokollierung mit IP-Adressen als „Vorratsdatenspeicherung von Inhaltsdaten“
Anlass der Entscheidung ist ein Rechtsstreit aus dem Jahr 2008, der in Deutschland durch mehrere Instanzen ging: Der Jurist und Datenschutzaktivist Patrick Breyer verklagte die Bundesregierung auf Unterlassung der Praxis, seine IP-Adresse zu speichern, wenn er auf den Webseiten der Bundesregierung surft. Das zuständige Bundesinnenministerium gab an, diese IP-Adressen speichern zu müssen, um den Betrieb und die Sicherheit der Webseiten zu gewährleisten. Der Bundesgerichtshof, bei dem der Fall schließlich landete, wandte sich 2014 in einem Vorabentscheidungsverfahren an den EuGH, um zwei grundsätzliche Fragen zur Auslegung europäischen Rechts beantwortet zu bekommen, ehe er über den konkreten Fall entscheidet: Sind dynamische IP-Adressen personenbezogene Daten? Und wenn ja, was heißt das für deren Speicherung durch Webseitenbetreiber? [Mehr zu den Hintergründen in unserer Vorberichterstattung: Datenschützer gegen Bundesregierung.]
Breyer, der für die Piratenpartei im schleswig-holsteinischen Landtag sitzt, geht es mit seiner Klage gegen die Bundesregierung um eine grundsätzliche Rückeroberung des Netzes als freien Informations- und Kommunikationsraum, in dem Überwachung nicht das Grundprinzip darstellt:
Solange wir uns schon wegen des Lesens von Internetseiten verdächtig machen können, gibt es keine echte Informations- und Meinungsfreiheit im Internet. Niemand hat das Recht, alles, was wir im Netz sagen, und alles, was wir tun, aufzuzeichnen. Als Generation Internet haben wir das Recht, uns im Netz ebenso unbeobachtet und unbefangen informieren zu können, wie es unsere Eltern aus Zeitung, Radio oder Büchern konnten.
Die Information, wann jemand welche Webseite besucht, geht über reine Kontextinformationen hinaus. Deshalb könne man die Protokollierung des Surfverhaltens mittels IP-Adressen auch als „Vorratsdatenspeicherung von Inhaltsdaten“ bezeichnen, so Breyer. Das Bundesverfassungsgericht hat in seinem Urteil zur Vorratsdatenspeicherung von Kommunikationsmetadaten jedoch explizit festgehalten, dass Kommunikationsinhalte besonders schützenswert sind.
Deutsches Telemediengesetz zu strikt – in Teilen ungültig
Auch wenn der Gerichtshof dem Juristen nun in Teilen Recht gibt, ist die Entscheidung für das Anliegen eines überwachungsfreien Netzes insgesamt ein Rückschlag. Immerhin: Zumindest der seit langem schwelende Streit, ob dynamische IP-Adressen personenbezogene Daten im Sinne des Datenschutzrechts darstellen, ist nun relativ eindeutig entschieden. Laut dem EuGH ist dies nämlich der Fall, wenn ein Seitenbetreiber „über rechtliche Mittel verfügt, die es ihm erlauben, den Nutzer anhand der Zusatzinformationen, über die dessen Internetzugangsanbieter verfügt, bestimmen zu lassen“ [Pressemitteilung, PDF]. Dies ist zumindest in Deutschland klar der Fall, denn Internetzugangsanbieter können hier durch Gerichte verpflichtet werden, Auskunft darüber zu geben, welchem Internetanschlussinhaber sie zu welchem Zeitpunkt eine bestimmte dynamische IP-Adresse zugeordnet hatten.
Eigentlich würde dies zur Folge haben, dass auch dynamische IP-Adressen entsprechend § 15 Absatz 1 des Telemediengesetzes (TMG) nur dann von Seitenbetreibern gespeichert werden dürfen, wenn dies zu Abrechnungszwecken erforderlich ist oder Nutzer ihre Einwilligung gegeben haben. Als Antwort auf die zweite Vorlagefrage wertete der EuGH genau diese Regelung aber als europarechtswidrig und somit ungültig. Die europäische Datenschutzrichtlinie, die noch bis 2018 gültig ist, sieht in Artikel 7 nämlich vor, dass es für das Speichern und Verarbeiten personenbezogener Daten eine Abwägung zwischen dem berechtigten Interesse eines Dienstesanbieters und den Grundfreiheiten und ‑rechten eines Nutzers geben muss. Die enge Auslegung des TMG schränke diesen Grundsatz zu sehr ein.
Neue Rechtsunsicherheit
Der Gerichtshof folgt damit in weiten Teilen der Argumentation des zuständigen Generalanwalts Manuel Campos Sánchez-Bordona. Für die Situation in Deutschland bringt das Urteil erstmal große Verunsicherung. Statt der strikten, aber klaren Vorgaben des Telemediengesetzes soll nun das Prinzip der Interessenabwägung gelten. Aktivist Breyer wird dies zur Folge haben, dass Gerichte mit dieser Abwägungsfrage lange beschäftigt sein werden. Derweil dürfte das Urteil die Kreativität der kommerziellen Tracking-Industrie anregen.
Auch wenn Breyer ein Gutachten des Landgerichts Berlin auf seiner Seite hat, das feststellte, dass die Speicherung von IP-Adressen für die Gewährleistung der Sicherheit von Webseiten nicht notwendig ist: Der EuGH stellt in diesem Zusammenhang explizit klar, dass das Aufrechterhalten des Betriebs einer Webseite und die Abwehr von „Cyberattacken“ als berechtigtes Interesse von Diensteanbietern (in diesem Fall: Seitenbetreibern) gelten kann, die IP-Adressen auf Vorrat zu speichern.
Zur Abwägung dieses Interesses mit den Grundrechten der Seitenbesucher im konkreten Fall sagte der EuGH freilich nichts. Hier wird nun der Bundesgerichtshof entscheiden. Breyer kündigte an, notfalls vor das Bundesverfassungsgericht ziehen zu wollen, falls es keine klare Absage an die Vorratsdatenspeicherung von IP-Adressen geben wird. In einem Pressestatement fordert er aber eine klare politische Lösung der Rechtsunsicherheit:
Die EU schützt Internetnutzer nicht vor einer massenhaften Aufzeichnung ihres Internet-Nutzungsverhaltens und verbietet sogar nationale Gesetze dagegen. Damit werden Internetanbieter uns im Netz weiterhin auf Schritt und Tritt verfolgen und Informationen über unsere privaten Interessen und Vorlieben sammeln und weitergeben. Die EU muss diese inakzeptable Schutzlücke in ihrem Datenschutzrecht schnellstmöglich durch ein neues Gesetz schließen!
Eine ausführliche Einschätzung des Urteils hat Breyer in einem Gespräch mit dem Leiter Digitalpolitik des Bundesverbands Digitale Wirtschaft, Joachim Jobi, gegeben. Ein Mitschnitt des Livestreams ist auf der Seite der Piratenpartei verfügbar.
Update: Reaktion der Bundesdatenschutzbeauftragten
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Andrea Voßhoff, begrüßt das Urteil in einer Pressemitteilung, weil es den langjährigen Streit um die Personenbezogenheit dynamischer IP-Adressen beende. In Hinblick auf die mögliche Ausweitung der Speichergründe enthält sie sich einer Bewertung, will aber den notwendigen Anpassungsprozess des Telemediengesetzes eng begleiten und spricht sich für eine maximal siebentägige Vorratsdatenspeicherung aus:
Der Gesetzgeber ist nun gefordert, das Telemediengesetz an die Vorgaben des EuGH anzupassen. Diesen Prozess werde ich selbstverständlich eng begleiten und mich dafür einsetzen, dass die neue Vorschrift eine Datenspeicherung nur für die vom Gericht definierten Zwecke und für den zur Aufgabenerfüllung zwingend erforderlichen Zeitraum ermöglicht. Analog zur bestehenden Vorschrift im Telekommunikationsgesetz sollten IP-Adressen nicht länger als sieben Tage gespeichert werden.