Gerichtshof der Europäischen Union, Urteil vom 19.10.2016
- C-582/14 -
Webseiten-Betreiber darf zur Abwehr von Cyberattacken dynamische IP-Adressen speichern
EuGH zu den Voraussetzungen für eine zulässige Speicherung von dynamischen IP-Adressen
Der Gerichtshof der Europäischen Union hat entschieden, dass der Betreiber einer Website ein berechtigtes Interesse daran haben kann, bestimmte personenbezogene Daten der Nutzer zu speichern, um sich gegen Cyberattacken zu verteidigen. Die dynamische Internetprotokoll-Adresse eines Nutzers stellt für den Betreiber der Website ein personenbezogenes Datum dar, wenn er über rechtliche Mittel verfügt, die es ihm erlauben, den betreffenden Nutzer anhand der Zusatzinformationen, über die dessen Internet­zugangs­anbieter verfügt, bestimmen zu lassen.
Im zugrunde liegenden Verfahren klagte Herr Patrick Breyer vor deutschen Gerichten dagegen, dass die von ihm abgerufenen Websites von Einrichtungen des Bundes seine Internetprotokoll-Adressen ("IP-Adressen")* aufzeichnen und speichern. Von diesen Einrichtungen werden außer dem Zeitpunkt des Zugriffs auch die IP-Adressen der Nutzer aufgezeichnet und gespeichert, um sich gegen Cyberattacken zu wappnen und eine Strafverfolgung zu ermöglichen. Der deutsche Bundesgerichtshof möchte vom Gerichtshof wissen, ob in diesem Zusammenhang auch "dynamische" IP-Adressen für den Betreiber der Website personenbezogene Daten darstellen, so dass sie den für solche Daten vorgesehenen Schutz genießen. Eine "dynamische" IP-Adresse ist eine IP-Adresse, die sich bei jeder neuen Internetverbindung ändert. Anders als statische IP-Adressen erlauben dynamische IP-Adressen es nicht, anhand allgemein zugänglicher Dateien eine Verbindung zwischen einem Computer und dem vom Internetzugangsanbieter verwendeten physischen Netzanschluss herzustellen. Somit verfügt ausschließlich der Internetzugangsanbieter von Herrn Breyer über die zu dessen Identifizierung erforderlichen Zusatzinformationen.
Bundesgerichtshof erbittet Vorabentscheidung des EuGH zur Frage der Zulässigkeit der Speicherung von dynamischen IP-Adressen
Der Bundesgerichtshof möchte ferner wissen, ob der Betreiber einer Website zumindest grundsätzlich die Möglichkeit haben muss, personenbezogene Daten der Nutzer zu erheben und zu verwenden, um die generelle Funktionsfähigkeit seiner Website zu gewährleisten. Er weist insoweit darauf hin, dass die einschlägige deutsche Regelung** von der deutschen Lehre überwiegend dahin ausgelegt werde, dass die Daten am Ende des jeweiligen Nutzungsvorgangs zu löschen seien, soweit sie nicht für Abrechnungszwecke benötigt würden.
Anbieter von Online-Mediendiensten kann sich im Fall von Cyberattacken zur Einleitung einer Strafverfolgung an zuständige Behörden wenden
Mit seinem Urteil antwortet der Gerichtshof zunächst, dass eine dynamische IP-Adresse, die von einem "Anbieter von Online-Mediendiensten" (d. h. vom Betreiber einer Website, hier den Einrichtungen des Bundes) beim Zugriff auf seine allgemein zugängliche Website gespeichert wird, für den Betreiber ein personenbezogenes Datum*** darstellt, wenn er über rechtliche Mittel verfügt, die es ihm erlauben, den Nutzer anhand der Zusatzinformationen, über die dessen Internetzugangsanbieter verfügt, bestimmen zu lassen. Der Gerichtshof führt hierzu aus, dass es in Deutschland offenbar rechtliche Möglichkeiten gibt, die es dem Anbieter von Online-Mediendiensten**** erlauben, sich insbesondere im Fall von Cyberattacken an die zuständige Behörde zu wenden, um die fraglichen Informationen vom Internetzugangsanbieter zu erlangen und anschließend die Strafverfolgung einzuleiten.
Unionsrecht steht aktueller Regelung zur Speicherung von Daten entgegen
Zweitens antwortet der Gerichtshof, dass das Unionsrecht (Richtlinie 95/46) einer Regelung eines Mitgliedstaats entgegensteht, nach der ein Anbieter von Online-Mediendiensten personenbezogene Daten eines Nutzers dieser Dienste ohne dessen Einwilligung nur erheben und verwenden darf, soweit ihre Erhebung und ihre Verwendung erforderlich sind, um die konkrete Inanspruchnahme der Dienste durch den betreffenden Nutzer zu ermöglichen und abzurechnen, ohne dass der Zweck, die generelle Funktionsfähigkeit der Dienste zu gewährleisten, die Verwendung der Daten über das Ende eines Nutzungsvorgangs hinaus rechtfertigen kann.
Verarbeitung personenbezogener Daten bei berechtigtem Interesse des Webseiten-Betreibers nicht zu beanstanden
Die Verarbeitung personenbezogener Daten ist nach dem Unionsrecht u. a. rechtmäßig, wenn sie zur Verwirklichung des berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, erforderlich ist, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Die deutsche Regelung schränkt nach ihrer in der Lehre überwiegend vertretenen Auslegung die Tragweite dieses Grundsatzes ein, indem sie es ausschließt, dass der Zweck, die generelle Funktionsfähigkeit des Online-Mediums zu gewährleisten, Gegenstand einer Abwägung mit dem Interesse oder den Grundrechten und Grundfreiheiten der Nutzer sein kann.
Der Gerichtshof hebt in diesem Zusammenhang hervor, dass die Einrichtungen des Bundes, die Online-Mediendienste anbieten, ein berechtigtes Interesse daran haben könnten, die Aufrechterhaltung der Funktionsfähigkeit der von ihnen allgemein zugänglich gemachten Websites über ihre konkrete Nutzung hinaus zu gewährleisten.
* - IP-Adressen sind Ziffernfolgen, die mit dem Internet verbundenen Computern zugewiesen werden, um deren Kommunikation im Internet zu ermöglichen. Beim Abruf einer Website wird die IP-Adresse des abrufenden Computers an den Server übermittelt, auf dem die abgerufene Website gespeichert ist. Dies ist erforderlich, um die abgerufenen Daten an den richtigen Empfänger übertragen zu können.
** - § 15 Telemediengesetz (TMG) vom 26. Februar 2007 (BGBl. 2007 I S. 179).
*** - Im Sinne der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31).
**** - Für den vorliegenden Fall, in dem die fraglichen Websites von Einrichtungen des Bundes betrieben werden, weist der Gerichtshof darauf hin, dass diese Einrichtungen, ungeachtet ihres Status als Behörden, als Einzelne handeln.
Quelle: Gerichtshof der Europäischen Union/ra-online
Amtsgericht Tiergarten, Urteil vom 13.08.2008
[Aktenzeichen: 2 C 6/08]
Landgericht Berlin, Urteil vom 31.01.2013
[Aktenzeichen: 57 S 87/08]
Bundesgerichtshof erbittet Vorabentscheidung des EuGH zur Zulässigkeit der Speicherung von dynamischen IP-Adressen
(Bundesgerichtshof, Urteil vom 28.10.2014
[Aktenzeichen: VI ZR 135/13])
Nachinstanz:
Dynamische IP-Adressen dürfen als personenbezogene Daten nur unter bestimmten Voraussetzungen gespeichert werden
EuGH: Internetdienstleister muss kein Filtersystem zur Vermeidung unzulässiger Downloads einrichten
(Gerichtshof der Europäischen Union, Urteil vom 24.11.2011
[Aktenzeichen: C-70/10])
Datenschutzrecht | EU-Recht | Internetrecht
Datenspeicherung | IP-Adressen | personenbezogene Daten | Webseite | Webseitenbetreiber
Wenn Sie einen Link auf diese Entscheidung setzen möchten, empfehlen wir Ihnen folgende Adresse zu verwenden: https://www.kostenlose-urteile.de/EuGH_C-58214_Webseiten-Betreiber-darf-zur-Abwehr-von-Cyberattacken-dynamische-IP-Adressen-speichern.news23309.htm