EuGH-Urteil IP-Adresse = personenbezogene Daten

Hallo
Weder Zeta noch der Betreiber, Hier geht es um den Webhoster! Nur der Webhoster kann die IP-Adressen speicher wer sich auf einer Website austobt.
In Deinem Fall https://community.zeta-producer.com/www.hp-mosaik.de ist 1und1 der Webhoster. Somit kann auch nur dieser diese IP-Adressen speichern.
Anders ist es wenn der Betreiber gleichzeitig auch Webhoster ist und einen eigenen Webserver betreibt Dann kann auch der Betreiber diese Daten speichern, die auf den Webserver zugreifen.
Und ob er diese speichern darf, nuss oder nicht sagt eben dieses Urteil.

Kurzum: Solange der Betreiber einer Website nicht der Webhoster ist geht dieses Thema an ihm völlig vorbei.
Und Zeta als Softwarehersteller von Zeta-Producer sowieso.

Hallo Rick,

erstmal die kurze Antwort: Die Entscheidung betrifft dich als Seitenbetreiber. Grundsätzlich ist immer der Anbieter der Leistung für die Einhaltung rechtlicher Vorschriften verantwortlich. Der Seitenbesucher hat keinen Einfluss darauf, bei welchem Hoster die Seite gehostet wird. Lediglich der Seitenbetreiber hat ein Rechtsverhältnis mit dem Hoster und kann daher über die Vertragsgestaltung Einfluss darauf nehmen, dass der Hoster gesetzliche Vorgaben erfüllt.

Langform: das ist so ein typisches "ja, aber" Urteil, mit dem kaum jemand etwas anfangen kann. Zum einen werden IP-Adressen auch als personenbezogene Daten anerkannt, die grundsätzlich nur nach Zustimmung gespeichert werden dürfen, zum anderen wird aber auch ein berechtigtes Interesse der Seitenbetreiber und die Zulässigkeit der Speicherung für den ordnungsgemäßen Betrieb der Seite eingeräumt.
Wir als Seitenbetreiber kommen an drei Stellen mit IP-Adressen in Berührung:

1. Bei unserem Hoster werden die Zugriffe von verschiedenen IP-Adressen auf unsere Seite protokolliert. Hier ist nach meiner Auffassung die Speicherung der IP-Adresse weitgehend unproblematisch, da für jede Webseite die Notwendigkeit besteht, sich beispielsweise vor DDOS-Attacken oder der missbräuchlichen Verwendung der Seite (Spam über Kontaktformulare oder im Gästebuch, Angriffe auf geschützte Bereiche, Login-Versuche ins Online-CMS) zu schützen. Ohne eine Protokollierung der IP-Adresse können diese Angriffe nicht erkannt, abgewehrt und auch strafrechtlich nicht verfolgt werden.

2. Sofern wir Analyse-Tools wie Google-Analytics, Piwik oder andere benutzen, werden ebenfalls IP-Adressen gespeichert. Für den ordnungsgemäßen Betrieb der Seite ist die Erfassung der IP-Adresse hier aber nicht notwendig. Gleichzeitig ist hier aber eine viel größere Nähe zur Verknüpfung mit einer realen Person gegeben. Für die Verwendung von Google Analytics dürfte dahin weiterhin gelten, nur mit "anonymize_ip" und Anbieten des OPT-OUT beim Betreten der Seite.

3. Bei Verwendung von Widgets für Soziale Netzwerke (Google, Facebook, Twitter) werden IP-Adressen direkt an die sozialen Netzwerke übertragen. Gleiches passiert auch bei Verwendung externer Lösungen über HTML-Quelltext mit Ausnahme solcher "Zwei Click" oder "Ein Click" -Lösungen wie beispielsweise Shariff. Hier sind wir als Seitenbetreiber die Übermittler der IP-Adresse des Seitenbesuchers, also unmittelbar verantwortlich. Aus meiner Sicht ergibt sich für Betreiber deutscher Webseiten, entsprechende Widgets oder HTML-Quelltexte nicht zu verwenden. Meines Wissens gibt es für die sozialen Netzwerke keine entsprechenden OPT-OUT-Scripte, die beispielsweise über das "Infobanner" angeboten werden können.

Zeta bietet den "Zeta Producer" weltweit an. Aus meiner Sicht besteht bei Zeta lediglich Handlungsbedarf dahingehend, dass beispielsweise im Handbuch oder aber auch in den Vorlagen im Bereich "Impressum" ein Hinweis aufgenommen werden sollte, dass Seitenbetreiber die jeweiligen Datenschutzbestimmungen des Landes beachten sollten, in dem sie ihre Dienste anbieten.

Disclaimer: Vorstehende Aussagen stellen lediglich meine persönliche Einschätzung dar. Es handelt sich nicht um eine Rechtsauskunft oder Rechtsberatung. (Sorry, aber muss leider sein)

Hallo Hanabi,

wie Du schon selber sagst (persönliche Meinung) ist das Thema nicht ganz einfach.

Aber ganz einfach ist die Aussage wer überhaupt den direkten IP-Verkehr "mitschneiden" kann:
Das ist einzig und allein der Webhoster, der den Webserver betreibt, Betreiber über deren Knoten die IP-Pakete laufen und die "Gesellschaften" die sonst noch Einblick auf diese Datenpakete haben wie BND, Polizei, NSA, etc.
Und um den direkten IP-Verkehr geht es hier.

1.) Solange der Webhoster in dem Land ist, um dessen Gesetz es sich handelt, ist auch dieser der rechtliche Ansprechpartner.
Denn nur er kann die IP-Adressen speichern, dem Betreiber diese Daten zur Verfügung stellen oder für Google und Konsorten weitergeben.
Im Beispiel von 1und1 ist ganz klar dieser in der Pflicht, da in Deutschland und somit in der EU.

2.) Bei Webhostern wie Tuvalu (.tv), etc. ist der Betreiber in der Pflicht um dessen Website, Herkunft und Gesetz es sich handelt.

3.) Ebenso wenn der Betreiber direkt einen Webserver ins Internet stellt.

PS.: Bei 1) und 3) können die IP-Adressen einfach geloggt werden. Bei 2) ist man meist in einem Grauzonenland. Hier greift sich die Rechtssprechung den einfachsten Beteiligten.

Disclaimer: Meine Meinung

IP-Adressen kann natürlich nicht nur der Serverbetreiber protokollieren, sondern auch der Eigentümer der Website. Wir haben z.B. früher in Formular-Emails am Ende der Mail auch die IP-Adresse des Formular-Absender angehängt. Dies machen wir aus Datenschutzgründen bei Formularen nicht mehr.

Da @Rick aber überhaupt nicht darauf eingegangen ist, auf was er sich hier eigentlich bezieht (was meint er evtl. ändern zu müssen, um was zu erfüllen), können wir leider keine hilfreiche Aussage machen.

Aber ZP kann diese Adressen nur verwenden weil der Webhoster z.B. innherhalb seines php den Zugriff auf diese IP-Adressen dem Anwender zur Verfügung stellt!!!
Macht er das nicht, hat auch ZP keine Chance auf diese Adressen.
Ich will damit sagen, wenn auf dem Webserver jeglicher Zugriff auf IP-Adressen untersagt ist, kann man mit Webprogrammierung keinerlei Daten speichern.

Grundsätzlich geht diese Diskussion ins Uferlose, wie auch die Gesetzgebung hier offensichtlich Probleme hat.

Hallo Rick,

wenn ich nichts übersehen habe, nutzt Du weder Google-Analytics noch Facebook, Twitter oder andere Soziale Medien. Es werden von deiner Seite auch keine Cookies auf dem Rechner des Besuchers abgelegt. Du brauchst daher auch kein Info-Banner einblenden. Im Datenschutz hast Du übrigens noch den Passus zu Google-Analytics und zu Facebook zu stehen. Wenn Du nicht beabsichtigst, diese beiden in nächster Zeit noch einzubinden, können die beiden Einträge entfernt werden. Datenschutzerklärungen werden dadurch nicht unbedingt besser, aber kürzer.

PS (1): Mein Provider hat für den 13.11.2016 insgesamt 2356 IP-basierte Zugriffe gespeichert. Auf Basis dieses LOG-Protokolls kann ich sehen, von welcher IP-Adresse aus wann welche Inhalte abgerufen wurden. Da für die Nutzung der Seite die Speicherung der IP-Adresse nicht notwendig ist, verstoße ich anscheinend gegenwärtig gegen §15 TMG, welcher aber durch das EuGH-Urteil als unvereinbar mit europäischem Recht gilt und entsprechend angepasst werden muss. Ich werde jetzt trotzdem mal eine Anfrage an unseren Provider stellen.

PS (2):In dem Log vom 13.11.2016 sind 3 Login-Versuche auf eine (tatsächlich gar nicht) vorhandene Wordpress-Installation sowie ein Versuch einer Statusabfrage des Servers zu finden.