Entscheidet BGH nebenbei, dass IP-Adressen personenbezogene Daten sind?

Ein Dauerbrenner im Datenschutz ist die Frage, ob IP-Adressen als personenbezogene Daten anzusehen sind. Zunächst waren es naturgemäß die Datenschutzbehörden, die diese Frage mit JA beantworteten. Auch die Rechtsprechung schien sich dieser Auffassung langsam aber sicher anzuschließen. Im Jahr 2014 wollte der Bundesgerichtshof (BGH) eine endgültige Klärung und legte die Frage dem Europäischen Gerichtshof (EuGH) vor (wir haben berichtet).

Auf den ersten Blick scheint der BGH diese Frage nun in zwei anderen Verfahren plötzlich und eher beiläufig selbst beantwortet zu haben – und zwar mit JA. Nach genauerer Betrachtung sollte die Sache aber wohl doch nicht so heiß gegessen werden, wie sie nun teilweise gekocht wird. 

Im vergangenen Herbst hatte der BGH zwei aufsehenerregende Urteile zur Störerhaftung von Access-Providern erlassen (Urteile vom 26.11.2015 – I ZR 3/14 und I ZR 174/14). Diese hatten mit Datenschutzrecht zunächst wenig zu tun. Inzwischen liegen jedoch auch die Entscheidungsgründe vor, und nebenbei trifft der BGH dabei folgende etwas kuriose Feststellung:

Personenbezogene Daten im Sinne des § 3 Abs. 1 BDSG sind unter anderem die IP-Adressen, weil der Access-Provider einen Bezug zwischen den IP-Adressen und der Person des Nutzers herstellen kann.

Nun ist diese Aussage natürlich zunächst schon einmal falsch. Nicht einmal der Access-Provider kann eine IP-Adresse auf einen konkreten Nutzer zurückführen, sondern lediglich auf den Anschlussinhaber. Diese müssen nicht identisch sein. Der BGH meint also mit “Nutzer” wohl “Anschlussinhaber”.

Aber auch dann sollte der kurze Satz – so verbindlich er auch klingt – nicht pauschal so gewertet werden, dass IP-Adressen generell Personenbezug haben sollen. In den beiden Fällen, die den Urteilen zu Grunde lagen, waren die Beklagten nämlich gerade Access-Provider. Offensichtlich wollte der BGH nur zum Ausdruck bringen, dass IP-Adressen im konkreten Fall, nämlich für die beiden Access-Provider, personenbezogene Daten darstellen.

Es wäre jedenfalls befremdlich, wollte der BGH die Entscheidung des EuGH, die er selbst vorgelegt hat, nun plötzlich doch vorwegnehmen. Der EuGH hat nämlich noch nicht entschieden. Im Vorfeld zeichnen sich jedoch zwei Lager ab.

Die Vertreter des sogenannten “absoluten Personenbezugs” (darunter die EU-Kommission, die portugiesische und die österreichische Regierung) scheinen in der Mehrheit zu sein. Sie sind der Auffassung, es komme nicht nur darauf an, ob die verantwortliche Stelle selbst die betroffene Person identifizieren kann, sondern es seien auch die Möglichkeiten Dritter zu berücksichtigen. Sprich: IP-Adressen sind generell personenbezogen, da jedenfalls der Access-Provider einen Personenbezug (zum Anschlussinhaber) herstellen kann.

Dem stehen die Vertreter des “relativen Personenbezugs” entgegen (insbesondere der BGH selbst in seinem Vorlagebeschluss und die deutsche Bundesregierung). Sie sind der Meinung, es komme nur darauf an, ob die erhebende oder verarbeitende Stelle selbst einen Personenbezug herstellen kann. Es wäre danach jeweils im konkreten Fall zu entscheiden, ob die IP-Adressen personenbezogen sind. Ist die verantwortliche Stelle ein normaler Diensteanbieter, wäre dies häufig nicht der Fall.

Nach unserer Auffassung ist der relative Ansatz vorzugswürdig, da er eine angemessene Beurteilung jedes Einzelfalls ermöglicht. Der einfache Website-Betreiber kann mit einer IP-Adresse regelmäßig nichts anfangen. Der Access-Provider hingegen schon. Es wirkt ausufernd, wollte man jegliche Daten per se als personenbezogen ansehen, nur weil irgendjemand theoretisch die Möglichkeit hätte, einen Personenbezug herzustellen.

Jedoch ist zu beachten, dass beispielsweise für die Betreiber von einfachen Online-Shops oder sozialen Medien selbst nach dem relativen Ansatz IP-Adressen als personenbezogen anzusehen sein könnten. Nämlich dann, wenn man davon ausgeht, dass IP-Adressen grundsätzlich etwa mit Adressdaten von eingeloggten Kunden bzw. Nutzern verknüpft werden können. Abgrenzungsschwierigkeiten sind vorprogrammiert, was wiederum für den absoluten Ansatz spräche.

Es bleibt abzuwarten, wie der EuGH die Frage beurteilt.