Personenbezogene Daten
Sehr geehrte Damen und Herren,
vor einiger Zeit habe ich Ihnen die hiermit nochmals weitergeleitete E-Mail zugeschickt. Sie enthält einige Fragen zum Umgang mit personenbezogenen Daten (z.B. meiner IP-Adresse) durch Sie. Leider erhielt ich bislang keine Antwort. Ich benutze Ihre Internetseiten und möchte wissen, wie Sie mit meinen dabei etwaig erhobenen personenbezogenen Daten verfahren. Daher bitte ich Sie hiermit nochmals, mir bis zum 10.09.2008 die gewünschten Auskünfte zu erteilen. …
Mit freundlichen Grüßen
Alexander A.
Sehr geehrter Herr A.,
bitte teilen Sie mir Ihre Postanschnrift mit, damit ich Ihnen schreiben kann. An eine E-Mail-Wegwerfadresse werde ich nicht antworten. Sobald ich weiß, wer Sie sind, werde ich gerne prüfen, welche Ihrer neun Fragen beantwortet werden müssen.
liegt die quintessenz in der frage nicht gerade darin, sich einen überblick über die identifizierungsmöglichkeiten zu machen?
das geht doch völlig fehl, wenn dann eine postanschrift verlangt würde und somit umso mehr ein personenbezug hergestellt werden kann, man sich womöglich noch mit irgendwas belastet.
dass man anonymen anfragen gegenüber skeptisch ist, ist nachvollziehbar. aber der sinn und zweck des auskunftsbegehrens wird doch verfehlt.
"aber der sinn und zweck des auskunftsbegehrens wird doch verfehlt."
Unfassbar, in gängigen Kommentierungen zum §34 BDSG ist auch noch ein Abschnitt mit dem Titel "Identifizierung des Betroffenen". Und da wird ebendiese auch noch verlangt. Eine Verschwörung der Rechtsprechung ist da zu wittern.
Spricht eigentlich etwas dagegen, im Impressum, den Umgang mit Logfiles grob anzuschneiden? Also bspw.: "IP-Adressen speichern wir 31 Tage lang gespeichert, um ggf. bei Angriffen oder Spam-Versuchen eine Handhabe zu haben. Anschließend werden IP-Adressen als salted Hash anonymisiert und nur noch zu Statistikzwecken verwendet."
Naja vielleicht sind die Fragen ja berechtigt. Wenn man bedenkt wie Beate Uhse ( http://tinyurl.com/5sdqac ) so mit personenbezogenen Daten umgeht ;)
@2: Ich glaube, der Fragesteller wollte keine Auskunft über die konkret über ihn persönlich gespeicherten Daten, sondern unabhängig von Rechten nach dem BDSG eine allgemeine Beschreibung, wie die Daten verarbeitet und gespeichert werden.
Nein, da ist U.V. nicht besser als der Rest: böse Datensammler sind immer nur die anderen.
Und die Idee, den Nachfragenden, der wissen möchte, welche personenbezogenen Daten erfasst werden, erst einmal um Preisgabe der personenbezogenen Daten zu bitten, ist so genial, da können sich die anderen bösen Datensammler eine Scheibe von abschneiden.
@5: Das mag sein, aber Anfragen "ins Blaue hinein" sind nicht Teil des Auskunftsanspruchs nach §34 BDSG, ebenfalls gängige Rechtsprechung. Es geht wenn, dann nur um konkrete Nachfragen, wenn eine konkrete Annahme der Speicherung vorliegt.
@6: Wie gesagt, siehe oben: Das BDSG sieht es selbst so vor. Es bleibt ja zudem die Frage, ob der Betriber dieses Blogs als Privatperson handelt, dann sind Ansprüche aus dem BDSG ohnehin nicht herzuleiten. (Nur weil er im Impressum seinen FA angibt heisst das noch nichts. Ein Blick ins Impressum legt sogar den Schluss der PP nahe).
@7 (Jens Ferner),
na ja. Man muss ja auch nicht nur die Auskünfte machen, die verpflichtend sind, sondern kann darüber hinaus noch weitere Angaben freiwillig geben. Das ist natürlich jedem seine (moralische?) Entscheidung…
Ich würde gerne hoffen, dass diese Antwort nicht von Herrn Vetter vefasst wurde. Falls doch wäre ich schwer enttäuscht. Wenn jemand ständig über mangelnden Datenschutz bloggt und selber auf Auskunftsanfrsagen so reagiert, hätte er bei mir seine Glaubwürdigkeit verspielt….
Keine Panik – ich hätte für den lawblog Server nicht Tools wie http://code.google.com/p/deip/ gebaut, wenn hier fleissig Daten gesammelt würden. Der einzige Grund für irgendeine Form von Logging ist das reine Abusehandling, und niemand wäre glücklicher als ich wenn sowas nicht nötig wäre. Aber solange es Menschen gibt, die wget -m http://www.lawblog.de oder einminütige RSS-Poll-Intervalle gut finden, muss man eben ab und an eine IP rauskramen und der Firewall zu fressen geben. Heute morgen hatte der arme Server schon wieder ne Load von 16. :-)
In jedem Fall dürfte es vielleicht noch interessant sein, dass Udo seit dem es lawblog.de gibt noch nie in irgendeiner Form ein Logfile oder ähnliches angefordert hat, es gab Jahrelang nicht einmal Monats-Statistiken, und auch heute werden die in erster Linie von mir für Trafficabschätzungen genutzt. Von allen Kunden mit denen ich beruflich zu tun habe ist Udo derjenige, der da sich mit sehr weitem Abstand am korrektesten verhält. Einmal abgesehen davon, dass ich personenbezogene Daten auch nicht ohne weiteres rausrücken würde ;)
Aber ich denke mal, dass Udo da sicher auch selbst noch ein paar Zeilen dazu schreiben wird.
Genau, einfach eine IP nennen und um alle Informationen zu dieser bitten….
Komische Idee haben die Leute. Derjenige welcher eine Auskunft nach BDSG fordert muss sich ja zwangsläufig erstmal identifizieren um belegen zu können das es sich um seine Daten und somit um eine berechtigte Anfrage handelt.
Das dürfte bei der IP schwer fallen, zumal diese ja alleine (bisher) noch kein personenbezogenes Datum ist.
Grüße
Thomas
Einem Domäninhaber mit *.it ist nicht zu trauen !
Was macht eigentlich Herr
<a href="http://www.lawblog.de/index.php/archives/2008/08/22/datenschmutz" rel="nofollow">Livasov</a>? ;-)
@10 Ich finde die IP für die Statistik nützlich. Natürlich nur so lange, bis sie aktualisiert wurde (meist täglich).
Es ist denn flächendeckend die Speicherung von IPs in Statistiken in Deutschland eingestellt oder werden die direkt umkodiert ?
@14: Einzelne IPs bringen beim lawblog für Statistiken absolut nix – der Webserver feiert rund 5 Requests pro Sekunde ab, da wäre die Liste schlichtweg unübersichtlich. Ohne eine gewisse Aggregation kommst Du da nicht weit, ich gruppiere da meistens nach /24.
@10 fh
"nach einer einstellbaren Anzahl von Tagen die IP der Kommentatoren in einem WordPress-Blog durch 127.0.0.1 ersetzt". –aus der Beschreibung von DeIP
Vielen Dank für den aufschlussreichen Kommentar und das Schreiben des Plug-Ins! Wenn Udo das einsetzt wäre allerhöchstens noch die Anzahl Tage interessant, aber eigentlich braucht man das nicht mehr zu wissen.
Ich spende auch gerne einen Euro für einen dickeren Server-Prozessor.
@7
An der Stelle mal der Hinweis auf § 4g Abs. 2 Satz 2:
"[...]macht die Angaben nach § 4e Satz 1 Nr. 1 bis 8 auf Antrag jedermann in geeigneter Weise verfügbar."
Interessant an der Stelle ist das Wort "jedermann" :-)
§ 4g Abs. 2 Satz 2
…BDSG natürlich ;)
Dazu gibt´s ein ganz interessantes Urteil des AG Berlin Mitte:
http://www.telemedicus.info/article/432-Wer-Tracking-betreibt,-kann-abgemahnt-werden.html
Natürlich fraglich, ob diese Rechtsprechung sich durchsetzt. Aber sicher interessant für jeden Webmaster, der solche "Anfragen" erhält.
@15: Ja, ich meinte auch keine Statistik für absolut jeden einzelnen Nutzer. Bei mir wird aggregiert nach Herkunft, aber auch die "schlimmsten" 10 Abrufer werden gelistet, um auch einen Missbrauch feststellen zu können.
Grundsätzlich wäre eine Zusammenführung mit Kundendaten aus einem Shop möglich. Nun ja. Soll man jetzt die Statistiken einstellen?
@20: Ganz ehrlich? Ich halte die "IP speichern ist illegal weil persönliches Datum" in dieser Pauschalität für Schwachsinn, wie es wohl nur jemandem einfallen kann, der keine Ahnung von Technik hat. Abgesehen davon, dass eine IP alles andere als personenbezogen ist, muss man immer an irgendwelchen Stellen die IP nutzen, schliesslich wollen die Daten ja auch sinnvoll irgendwo ankommen ;)
Daher halte ich das eher pragmatisch: Ich nutze die Daten respektive Statistiken soweit es für die technische Durchführbarkeit relevant ist, und ignoriere die Meta-Diskussion dahinter. Mein ganz persönliches Credo ist einfach, Dinge zu tun bei denen ich abends in den Spiegel schauen kann. Also definitv kein Personentracking oder ähnlich widerlicher Kram, auf den vermutlich nur ein BWLer kommen kann, sondern das, was technisch notwendig ist.
Ob man da nun eine IP dazu braucht oder nicht ist mir vollkommen wurscht. Wenn ich die Wahl zwischen Ärger wegen Verstoss gegen irgendeine komische Regel und einer Server-Downtime habe, wähle ich prinzipiell den Weg, der mir die Infrastruktur erhält.
@21
wenn laien eine aussage treffen, die zu pauschal ist, ist diese nicht gleich "Schwachsinn" sondern vielleicht einfach nur falsch. dann kann ein profi kommen und den laien verbessern. das ist ja dann auch kein "Klugscheißen", sondern "Richtigstellen"
@21 fh: Das kommt jetzt so rüber, als ob hier Technik und Gesetzt im Widerspruch stehen würden. Tut es meiner Meinung nach aber nicht. Es ist erlaubt, alles das zu speichern, was technisch notwendig ist, und Abuse-Management ist notwendig. (Die Aussage stammt von unserem Datenschutzbeauftragten, der von der seltenen Sorte ist, Datenschutz wirklich ernst zu nehmen.)
@23 Das kommt dann auch von mir falsch rüber – nur die gern wiederkehrende Aussage "IP-Adressen sind personenbezogene Daten und daher darf man sie nicht speichern", die stösst mir immer wieder sauer auf. (Und @22, nicht alles so ernst nehmen :))
Wenn personengezogene Daten vorliegen, müssen diese ja einer Person zuordbar sein. Also muß man deren Namen wissen. Zudem kann ich ja nicht Person A die gespeicherten persönlichen Daten von Person B aushändigen. Die Auskunft soll auch nicht abstrakt sein, da z.B. eine IP-Adresse an sich noch keine personenbezogenes Datum darstellt. Erst wenn man entweder auf der Website bspw. für den Online-Shop Name, Adresse etc. erhebt oder so patent wie das BKA auf die Telekomdaten zugreifen kann, werden daraus „personenbezogene Daten“.
Beate Uhse schickt ja auch nicht Werbekataloge an IP-Adressen, sondern Postadressen. Wie an Minna Knallenfalls, Alte Freiheit, 42103 Wuppertal. (Keine Panik, das ist nur eine Bronzefigur in der Fußgängerzone.)
Also ich hätte jetzt eine ausführliche Antwort im Blog erwartet …
Und ja, die IP ist ein Persönliches Datum.
Wenn du mir einen Brief schreiben willst, geb ich dir auch meine Addresse. Und möchte trotzdem nicht in deiner Datenbank landen, mit der du irgenwann vielleicht wer weiß was tust.
Danke, der Folgepost ist eine angemessene Reaktion!
Die IP-Adresse *kann* aber personenbezogen sein – auch wenn sie es in den weit überwiegenden Fällen nicht ist.
Man stelle sich vor, daß ich mit fester IP surfe, und hier kommentiere (unter Angabe der E-Mail-Adresse und Website). Schon kann der Sitebetreiber mich eindeutig identifizieren – sofern meine Angaben stimmen.
Ansonsten läßt die IP nur mittelbar Rückschlüsse zu (via Behörden, die beim Provider die Daten verlangen müssen), wenn überhaupt (Anonymisierer, Internet-Cafe, War-Driving, …).
Wenn ich mich recht entsinne, war die Auffassung, daß die IP personenbezogen ist, bislang die vorherrschende, was aber (sinnvollerweise) von einigen Gerichten wohl mittlerweile anders gesehen wird.
Irgendwann wird das BGH dazu entschieden haben. Ich tippe auf "nicht-personenbezogen".