Im ersten Teil erklärte ich, das eine der Hauptursachen für fremdschaminduzierenden und datenschutzhomöopathischen Aktionismus der sonst eher arbeits- oder erfolglosen Datenschützer die Betrachtung von IP-Adressen als persönliches/personenbezogenes/personenbeziehbares Datum ist. Heute gehts darum, ob und wie man das ändern kann.
Warum sind IP-Adressen überhaupt personenbezogen? Technisch sind das ja schlicht "Maschinenadressen", ein halbwegs passender Auto-Vergleich (ohne gehts wohl wirklich nie...) würde leicht schief liegend von "Nummernschildern" sprechen. Der Trick ist, das die Interpretation, bzw. der vermeintliche Personenbezug eine rein (formal)juristische Betrachtung ist. Und die ist nichtmal unumstritten, man kann zwar Stand heute davon sprechen, das die "herrschende Meinung" in Deutschland den Personenbezug bejaht, abweichende Meinungen gibt es aber und in USA und der Schweiz(?) gibt es Urteile, die einen so strengen Personenbezug, wie in Deutschland mit der neunschwänzigen Privacy-Knute durchgepeitscht, nicht erkennen wollen.
Im BDSG selber kommen "IP-Adressen" nicht vor, die Überlegung, was man damit in Bezug aufs BDSG anstellt kommt also von Datenschützern, Anwälten und Richtern. Eine enge/strenge Auslegung des BDSG erlaubt diese Interpretation, kann doch der Provider die verteilten IP-Adressen mit seiner Kundendatenbank abgleichen und so zumindest den "Halter" der IP-Adresse ermitteln. Und da kommt der erste Haken: Er kann auch nur den Halter ermitteln. Der Provider hat keine Möglichkeit anhand der IP-Adresse festzustellen, welche natürliche Person sich tatsächlich dahinter verbirgt, ja nicht einmal ob es eine, zwei oder viele sind. Gemeinsam genutzte Zugänge in WGs, das Internetcafe, das Smartphone per UMTS, das Firmennetzwerk usw. Beim "Halter" des Anschlusses ist Ende mit Personenbezug. Ja, aber warum ist denn dann mein Datenschutz in Gefahr? Ich nutze doch das WLAN meiner Vermieterin. Auf mich kommt nicht mal deren Provider.
Der Ritt auf der Personenbeziehbarkeit von IP-Adressen zeigt hier ein paar geschickte Volten. Man läßt für die Frage ob IP-Adressen personenbeziehbar sind nämlich außer acht, ob ein Bezug zum tatsächlichen Nutzer hergestellt werden kann. Nein, dem gemeinen Datenschützer genügt, wenn irgendeine Person mit der IP-Adresse in Verbindung gebracht werden kann. Das klingt jetzt ein wenig nach Parallelwelt, ist aber tatsächlich Realität. Die Datenschützer wissen sehr genau, das man maximal an den Halter rankommt. Nebenbei: Der Bereich "Störerhaftung" ist ähnlich lustig, und wenn man den Halter aus der unmittelbaren straf- bzw. zivilrechtlichen Verantwortung für den Anschluß entlassen würde, würde auch das Abmahnunwesen keinen mehr haben, den sie stellvertretend für den filesharenden "Kinofreund" an die Kandare packen könnten.
OK, Luftholen. Technisch sind IP-Adressen also "Nummernschilder" (das mancher jeden Tag ne neue kriegt, kann hier ohne Belang bleiben). Praktisch kann so der Provider den Halter einer IP-Adresse ermitteln, also wer den Zugang bestellt hat und wer ihn bezahlt. Rechtlich wird das BDSG so ausgelegt, das IP-Adressen personenbezogen bzw. personenbeziehbar, weil irgendeine Person (eben der Halter) ermittelt werden kann. Das das in der Mehrzahl der Fälle nicht der tatsächliche Nutzer ist, interessiert juristisch zunächst nicht. Achja, und ohne IP-Adressen funktioniert das Internet nicht. Wir können sie also nicht einfach weglassen und das Problem so "lösen". Gut, wissen wir also "was so geht". Was geht denn nicht?
Da nur der Provider die Zuordnung IP-Adresse Halter vornehmen kann, kann das also Google, Amazon, Facebook oder die Webseite der Kneipe um die Ecke nicht. Die sehen eine IP und können daraus vielleicht grob die Gegend schätzen wo die herkommt (wenn die Geo-Infos korrekt sind), ob es eine statische oder dynamische ist und den Provider. bei festen kann man es vielleicht noch aufs Unternehmen einschränken (wenn das den IP-Block selbst bestellt und nicht auch nur vom Provider delegiert bekommen hat). Ein Webseitenbetreiber kann alleine anhand der IP-Adresse idR keine natürliche Person identifizieren. Er braucht dazu Logindaten (wenn ich mich registriert habe), abschalt- und filterbare Cookies oder ähnliches.
Die IP-Adresse alleine nützt ihm jedenfalls nix. Nicht mal um den Halter rauszubekommen, das kann wiederum nur der Provider. Was geht noch nicht? Der Provider kennt zwar meine IP-Adresse (gut, die meiner Vermieterin), aber er weiß nicht, wo ich mich denn so rumtreibe. Das wiederum wissen nur die jeweiligen Webseiten. Übrigens eine große Angst, die durch AK Vorrat et al geschürt ist, das der IP-Speicherungsteil der Vorratsdatenspeicherung "Surfprotokolle" erlauben würde, eine Argumentation (leider) auf dem Niveau einer Uschi von der Leyen, aber darum solls hier nicht gehen.
Nochmal Luftholen. Webseitenbetreiber können mich also allein anhand meiner IP nicht (sicher) identifizieren und benötigen dafür mehr Daten, etwa die, die ich bei der Registrierung (idR freiwillig) angegeben habe. Und wenn sie die haben, dann brauchen sie die IP auch nicht mehr. Provider dagegen haben zwar meine IP, wissen aber nicht wo ich mich rumtreibe. Warum baut nun trotzdem ein Großteil der aktuellen Datenschutzdebatte auf der Personenbeziehbarkeit von IP-Adressen auf? AdSense, GoogleAnalytics, Like-Buttons, eingebundene Youtubevideos oder Flickr-Bilder, alles "böse", weil der jeweilige Betreiber meine IP "übermittelt" bekommt, am schlimmsten noch in den unsicheren Drittstaat USA.
Warum läßt man den (strengen/engen) Personenbezug denn an der Stelle nicht einfach weg? Das würde die Lage doch dramatisch vereinfachen. Analytics und Co wären "legal", Intrusion-Detection-Systeme von Krankenkassen könnten IP-basiert Angreifer blocken und die Daten schützen, Datenschützer müssten sich nicht mit Karnickelzuchtforen rumschlagen, die an einer Ecke AdSense schalten, man müsste nicht über Abmahnungen(!) für Datenschutzverletzungen Dritter(!!!) nachdenken usw., selbst die Polizei würde so "grundrechtsschonende" Ermittlungsansätze bekommen (wieder ein Autovergleich: Tempo- oder Parkverstöße gehen auch über den Halter und keiner schreit "Datenschutz!").
Die Speicherung von IP-Adressen ist (auch im Sinne des Datenschutzes in Form von Security) teilweise sogar notwendig. Firewalls, Abwehr von Denial-of-Service-Angriffen, IDS-Systeme etc. Die brauchen (neben anderem) alle IP-Adressen und müssen die auch aufheben, zum Vergleich, für Statistiken und Heuristiken usw. Für die würde es einfacher, wenn sie nicht wegen der Erfassung und Speicherung von "personenbezogenen Daten" in Form von IP-Adressen ständig in der Gefahr schwebten auf die Nase zu bekommen. Und technisch funktioniert das Internet ohne Übermittlung und Austausch von IP-Adressen eh nicht. Es "nützt" ja auch nichts, IP-Adressen zu verteufeln, denn etwa Tracking, auch personalisiert oder persönliche Werbung funktionieren heutzutage ganz prima ohne IP-Adressen (siehe den "Digitalen Fußabdruck" aus Teil 1) aus, läßt man IPs ausm Tracking raus hat man kaum was gewonnen:
Ja, man könnte sich glatt auf echte Datenschutzprobleme stürzen. Die tolle Personenkennziffer etwa, die wir alle in Form der SteuerID bekommen haben, obwohl das BVerfG (ja, genau das, was auch die hochgelobte informationelle Selbstbestimmung postulierte) eine solche ID nach den Erfahrungen von DDR und 3. Reich ablehnte. ELENA, dem "Hosen runter"-Programm für Arbeitnehmer. HartzIV, dem Datenstrip für Langzeitarbeitslose. SWIFT, Fluggastdatenübermittlung, Rasterfahndung und Kommunikationsüberwachung. Und so weiter. Wir latschen fröhlich den Weg in den Überwachungsstaat (und Dresden zeigt, das der echt nicht weit weg von uns ist) und verlieren uns unterwegs in der Zerstreuung der Streits, ob GoogleMail denn in Deutschland verboten werden müsste, weil die ja meine IP kennen.
Kann man denn das mit dem Personenbezug so einfach ändern? Ginge das denn? Ja klar ginge das. Der strenge/enge Personenbezug ist ja eine rein juristische Auslegung des BDSG, die mit der Technik (oder boshaft: mit dem echten Leben) kaum Überschneidungen hat. Die kann man ändern und nicht pauschal jede IP-Adresse, die meinen Router kreuzt, als streng geheimzuhaltendes Personendatum überqualifizieren. It's that easy. Wir haben echt größere Probleme als uns um "Übermittlung von IPs nach USA" zu streiten.
Die sollten wir angehen.
Nachtrag: Um Missverständnisse zu vermeiden: Die Idee, den Personenbezug bei IP-Adressen abzuschwächen bezieht sich ausschließlich auf die nackten Nummern, wie sie etwa in Mail- und Webserverlogs gespeichert werden. Die dann tatsächliche Zusammenführung eines solchen "nackten" Datensatzes mit einem aus den Logfiles des Providers ergeben dann natürlich "echte" personenbezogene Daten und diese Zusammenführung muss selbstverständlich geschützt, verhindert, verboten oder zumindest mit hohen gesetzlichen Hürden versehen werden. Denn dann hat man die Surfprotokolle, die Bewegungsprofile, den gläsernen Menschen, die Möglichkeiten zur staatlichen Überwachung und Generalverdächtigung der Bürger, gegen die AK Vorrat et al, Piratenpartei, die handvoll vernünftiger Netzpolitiker der "großen" Parteien und nicht zuletzt die vielbeschworene "Netzgemeinde" protestieren.
Und dieser Part von "1984" (um neben einem Auto- auch noch den unvermeidlichen Orwellvergleich hinzubekommen) darf tatsächlich nicht Wirklichkeit werden, und das ist, da lehn ich mich mal ausm Fenster, auch innerhalb der Spackeria Konsens.
