Praxisrelevanter Streit um personenbezogene Daten – der EuGH ist am Zug
Von Dr. Marc Störing
In einem vielbeachten EuGH-Verfahren zur Reichweite des Datenschutzes liegen die Schlussanträge vor (Az.C-582/14). Folgte ihnen der Europäische Gerichtshof, wäre die Reichweite des Datenschutzrechts weit und hätte reichlich unklare Grenzen.
Personenbezogenheit von IP-Adressen: Speicherung erlaubt?
Der Bundesgerichtshof (BGH) hatte dem EuGH zwei Fragen vorgelegt. Ein Datenschutzrechtler hatte die Bundesrepublik Deutschland wegen der Speicherung von IP-Adressen der Besucher auf bestimmten Websites des Bundes verklagt. Der Kläger sah in dieser Speicherung eine Verletzung von datenschutzrechtlichen Vorgaben aus dem Telemediengesetz.
Relative oder absolute Bestimmbarkeit
Der EuGH muss nun erst einmal die Gretchenfrage des Datenschutzrechts klären: Wann unterfallen Daten dem Datenschutzrecht? Entscheidend ist dabei die Bedeutung des Begriffs der sogenannten personenbezogenen Daten aus der europäischen Datenschutzrichtlinie (RL 95/46/EG). Ein Websitesbetreiber kann nicht die Person hinter den IP-Adressen identifizieren. Aber der Access-Provider wäre in der Lage, die von ihm dynamisch vergebene IP-Adresse einem Anschlussinhaber zuzuordnen.
Ob IP-Adressen deshalb aber auch für den Websitesbetreiber datenschutzrechtlich relevant sind, hängt nun von der Frage ab, ob es allein auf die Fähigkeiten des Websitesbetreibers ankommt oder ob das Wissen Dritter auch eine Rolle spielt. Rechtsexperten sprechen hier vom relativen oder absoluten Ansatz bei der Frage der Personenbeziehbarkeit. Einerseits wären viele Daten beim relativen Ansatz nicht vom Datenschutzrecht und seinen Einschränkungen erfasst. Andererseits würde der absolute Ansatz zu einer extrem weiten Anwendung des Datenschutzrechts führen.
Dazu haben sich in verschiedenen Ländern ganz unterschiedliche Positionen herausgebildet. Selbst innerhalb Deutschlands ist die Frage hochumstritten: Während die meisten Rechtsexperten hier den relativen Ansatz für richtig halten, gehen die deutschen Aufsichtsbehörden eher vom absoluten Begriff der personenbezogenen Daten aus.
Unterfallen sodann dynamisch vergebene IP-Adressen dem Datenschutz, muss der EuGH die Frage klären, aus welchen Gründen eine Speicherung erlaubt sein kann oder darf.
Generalanwalt schlägt Mittelweg ein
Nach Einschätzung des Generalanwalts unterfallen Daten auch bereits dann dem Datenschutz, wenn nur ein Dritter in der Lage wäre, den Bezug zu einer Person herzustellen. Damit erteilt er dem relativen Ansatz eine Absage, sieht aber auch die Problematik einer uferlosen Reichweite des Datenschutzes. Somit schlägt er letztlich einen Mittelweg ein: Es sei nicht jedes Wissen eines hypothetischen, unbekannten und unerreichbaren Dritten relevant. Zu beachten sei allerdings zumindest das Wissen auch solcher Akteure, die „vernünftigerweise durchführbar oder praktikabel“ die Zusatzinformationen zum Personenbezug liefern könnten.
Folgte der Gerichtshof den Schlussanträgen des Generalanwalts, wären IP-Adressen als personenbezogene Daten anzusehen. Hostanbieter, Tracking-Provider, App-Anbieter, aber letztlich auch jeder Homepage- oder Webshopbetreiber müssten ihren Umgang mit IP-Adressen kritisch hinterfragen und eigene Interessen genauer definieren. Einige Geschäftsmodelle müssten sich gar neu erfinden.
Sprengkraft birgt der Antrag des Generalanwalts aber vor allem im Hinblick auf die zweite Vorlagefrage. § 15 Abs. 1 des Telemediengesetzes erlaubt eine Speicherung nur, wenn Daten für die Nutzung oder Abrechnung eines Onlineangebots erforderlich sind. Andere Interessen des Betreibers spielen keine Rolle. Diese Einschränkung hält der Generalanwalt allerdings für europarechtswidrig. Deutschland dürfe nicht einschränken, was die europäische Datenschutzrichtlinie weiter erlaube. Es müsse eine allgemeine Interessenabwägung in nationale Datenschutzvorschriften hineingelesen werden. Damit wären jedoch zahlreiche nationale Datenschutzvorschriften schlicht europarechtswidrig. Für die Rechtssicherheit wäre das ein nahezu katastrophaler Zustand.
marc.stoering@osborneclarke.com
