Wann dürfen IP-Adressen ohne Einwilligung gespeichert werden?

§ 176 Abs. 1 TKG: Telekommunikationsprovider (Anbieter öffentlich zugänglicher Telekommunikationsdienste, z.B. Telekom) sind berechtigt und verpflichtet IP-Adressen 10 Wochen lang zu speichern (ursprünglich in § 113 a, b TKG geregelt).

Diese gesetzliche Regelung wurde durch das EuGH-Urteil vom 20.09.2022 als verfassungswidrig erkannt (siehe LiiDU-Unterlagen vom 21.09.2022). Im vorliegenden Fall hatten die Telekom und ein anderer Access-Provider gegen die oben genannten Regelungen aus dem deutschen TKG geklagt, die sie verpflichtet hatten, Verkehrs- und Standortdaten (und auch IP-Adressen) ihrer Kunden auf langen Vorrat zu speichern. Da bei einer solchen Speicherung sehr genaue Rückschlüsse auf das Privatleben von Personen gezogen werden könnten, stellt eine solche Speicherung einen Grundrechtseingriff dar.

Höhere deutsche Gerichte haben seit Jahren entschieden, dass so ein Eingriff nur gerechtfertigt werden kann, wenn er z.B. der Bekämpfung schwerer Kriminalität und Verhütung schwerer Bedrohungen der öffentlichen Sicherheit dient. Jetzt hat der Europäische Gerichtshof noch hinzugefügt, dass so ein Grundrechtseingriff auch gerechtfertigt werden kann, wenn die nationale Sicherheit bedroht ist.

Urteil des Oberlandesgerichts Frankfurt am Main (Az. 13 U 105/07) und BGH-Entscheidung aus 2014.

Regelung für Webseitenbetreiber

Webseitenbetreiber dürfen IP-Adressen nur dann speichern, wenn es eine Rechtsgrundlage dafür gibt. Dieser Grundsatz ergibt sich aus der Datenschutzgrundverordnung, wo in Art. 6 DSGVO geregelt ist, dass eine Speicherung von personenbezogenen Daten (IP-Adresse = personenbezogenes Datum) ohne Rechtsgrundlage nicht erlaubt ist.

Rechtsgrundlage nach Art. 6 DSGVO

Eine Rechtsgrundlage würde nach Art. 6 DSGVO z.B. nur bei expliziter Einwilligung des Nutzers bzw. bei einem Vertragsverhältnis vorliegen. Alternativ kann in Betracht kommen, dass die Speicherung der IP-Adresse unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann, vgl. § 25 TTDSG. Beispiel hier wäre der Warenkorb-Cookie beim E-Commerce oder Spracheinstellungen. Nicht dazu gehören würden alle Analyse-/Werbe- oder Tracking-Tools, da sie aus Sicht des Nutzers nicht notwendig sind.

Access-Provider

Etwas anderes gilt für Access-Provider: die dürfen nach diversen BGH- und OLG-Entscheidungen IP-Adressen für bis zu 7 Tage speichern. Hintergrund für diese Entscheidungen ist die Nachverfolgbarkeit bei Betrugsfällen. Wenn z.B. zu Lasten eines Anbieters einer Website ein Betrug begangen wird, kann seitens des Webseitenbetreibers beim Provider Auskunft nach § 22 TTDSG verlangt und die mit der IP-Adresse verknüpfte physische Adresse herausverlangt werden.

Stand: Dezember 2022