Admincamp Der Admin und das BDSG. - was kann, darf, muss ich mit IP-Daten machen?!?

Transkript

1 Der Admin und das BDSG - was kann, darf, muss ich mit IP-Daten machen?!? 1

2 Grundsätzlich spricht das Bundesdatenschutzgesetz von Datensparsamkeit 3a Datenvermeidung und Datensparsamkeit Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen sind an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere sind personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert. 2

3 und wenn es sich um personenbezogene Daten handelt, dann ist das nur erlaubt, wenn... 4 Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung (1) Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, soweit ein Gesetz dies erlaubt oder anordnet oder der Betroffene eingewilligt hat. (...) 3

4 aber wie sieht es in der Praxis aus? Was wird in der Regel gespeichert? Mailadressen IP Komplette Profile der Nutzer Logfiles Buchungsdaten 4

5 IP-Adressen? Die meisten Daten, die gespeichert werden, sind IP-Adressen! Egal ob Buchung, Login, Datenschutz, Sicherheit, Statistik, Werbung, Marketing diese werden immer gespeichert. Sind die denn personenbezogen?.. wenn ja, was heißt das denn für mich als Admin?.. wie kann man gesetzliche Vorschriften umsetzen? auf diese Fragen werden wir heute genauer eingehen! 5

6 Warum können IP Adressen problematisch sein isd BDSG? Nach BDSG ist Speicherung und Weitergabe von Daten immer problematisch bei IP-Adressen daher besonders interessant: - Werden die IP-Adressen länger als nötig gespeichert? wie ist das also mit dem Löschen?..wie lange werden die IP-Daten gespeichert? - Werden die IP-Adressen u.u. auch an Dritte weitergegeben? z.b. in Zusammenarbeit mit Drittanbietern, insbesondere aus dem Ausland, Cloud, Blacklisting, Geo-IP-Anbieter, Statistiken, Analysedatenbanken, Marketingfirmen, etc. 6

7 Ja, aber das ist halt so......aber DARF man IP-Adressen überhaupt speichern? Vorsicht! 3 BDSG sagt Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person 7

8 Selbst die Juristen sind sich da nicht ganz einig, wie IP-Adressen * einzuordnen sind: -keine Bestimmbarkeit der Person keine Möglichkeit, auf Providerdaten zuzugreifen und somit die Person hinter er IP zu identifizieren * = dynamische IP-Adressen - sehr wohl personenbezogen es kommt auf die objektive Möglichkeit an, auf die Daten von Dritten zuzugreifen Vergleich: Über das KfZ-Schild kann ich objektiv gesehen- auch den Halter ausfindig machen... 8

9 Selbst die Juristen sind sich da nicht ganz einig, wie IP-Adressen einzuordnen sind: überwiegende Ansicht geht von personenbezogenen Daten aus! Nur dann Erhebung, Verarbeitung + Nutzung zulässig, soweit Betroffener eingewilligt hat - Wurden IHRE Benutzer darüber aufgeklärt? - Haben diese ausdrücklich EINGEWILLIGT? - Einwilligung VOR Nutzung? 9

10 ...ist das überhaupt praktikabel? Bei IP-Adressen-Erfassung von Webseiten in der Regel möglich, den Nutzer zu informieren Sie dürfen: - nach 14 TMG die Daten nur gegenüber Behörden und Rechteinhabern herausgeben - nach 15 TMG nur personenbezogene Daten sammeln, wenn dies erforderlich ist, um den Dienst zu ermöglichen /abzurechnen (Aufbewahrungsfristen) - Wurden IHRE Benutzer darüber aufgeklärt? - Haben diese ausdrücklich EINGEWILLIGT? - Einwilligung VOR Nutzung? 10

11 ...ist das überhaupt praktikabel? Bei IP-Adressen-Erfassung von in der Regel nicht möglich, den Nutzer zu informieren Sie dürfen: - nach 28BDSG die Daten nur speichern, soweit für die Begründung, Durchführung oder Beendigung von Rechtsgeschäften erforderlich ist - soweit es zur Wahrung berechtigter Interessen erforderlich ist und kein schutzwürdiges Interesse des Betroffenen überwiegt - soweit Rechtsgeschäft oder rechtsgeschäftsähnlich kein Problem, alle anderen Fälle problematisch 11

12 ...ist das überhaupt praktikabel? Unpraktikabel im Sinne von kaum umsetzbar ist es definitiv in Bezug auf die Weitergabe von IP-Adressen an Dritte, siehe - Google Analytics (Exkurs ->aktuelle Veränderungen bei Google) - Clouds - Versanddienstleister - Partnerprogramme, die unerkannt sein können... - soweit diese in Drittstaten sind und nicht unter deutsche bzw. EU Gesetzgebung fallen ist eine Aufklärung des Nutzers oft schon nicht mehr möglich!!!! IMMER BEACHTEN: Weitergabe und Speicherung 12 der IP ohne Einwilligung rechtswidrig!

13 Inwieweit ist speichern erlaubt? Soweit IP-Adressen gespeichert werden: - Zu Abrechnungszwecken: je nach Abrechnungszeitraum und Einwendungsfrist. => 97 Abs. 3 TKG : Daten dürfen bis zu sechs Monate nach Versendung der Rechnung gespeichert werden dürfen. Wurde vom Betroffenen eine Einwendung erhoben (z. B. Bestreiten einer Geldforderung), so verlängert sich diese Frist bis zur Erledigung der Einwendung. 13

14 Inwieweit ist speichern erlaubt? Soweit IP-Adressen gespeichert werden: - Zu eigenen Sicherheitszwecken: bei Aufsichtsbehörden wird eine Speicherfrist von maximal 7 Tagen nicht beanstandet. Achtung: strenge Zweckbindung vgl. 31 BDSG 14

15 Inwieweit ist speichern erlaubt? Soweit IP-Adressen gespeichert werden: - Zur Vermarktung / Dienstverbesserung (= Statistiken): 96 Abs. 3 TKG grundsätzlich Einwilligung des Betroffenen MUSS vorliegen 15

16 Lösungsansätze: - so wenig wie möglich IP- Adressen speichern, regelmäßig löschen - so weit wie möglich den Nutzer informieren - wenn möglich nicht nur aufklären, sondern auch Einverständnis in Form von Checkboxen etc. einholen - so weit wie möglich die Weitergabe von IP-Adressen aktiv verhindern - zwar abschreckend, jedoch die einzige Möglichkeit, ansatzweise rechtssicher zu arbeiten 16

17 Ich bedanke mich für Ihre Aufmerksamkeit! Rechtsanwaltskanzlei NEUBAUER Königswinter Str Köln Tel: 0221/ Fax: 0221/ Mitglied bei Rechtsanwälte in internationaler Kooperation 17