Der BGH hat mit Urteil vom 16.05.2017, Az. VI ZR 135/13, entschieden, unter welchen Voraussetzungen die Betreiber von Websites IP-Adressen unter IT-sicherheitsbezogenen Gesichtspunkten speichern dürfen. Im Ergebnis soll dies zulässig sein, wenn eine solche Speicherung unter dem Gesichtspunkt der Abwehr von etwaigen Gefahren durch Cyberattacken erforderlich ist. Als Folge müsste dann gegebenenfalls auch das Persönlichkeitsrecht des Nutzers zurückstehen.
Sachverhalt:
Der Kläger verlangt von der beklagten Bundesrepublik Deutschland Unterlassung der Speicherung von dynamischen IP-Adressen. Bei mehreren Internetportalen des Bundes werden Zugriffe in Protokolldateien mit dem Ziel festgehalten, Angriffe abzuwehren und die strafrechtliche Verfolgung von Angreifern zu ermöglichen. Dabei werden u. a. der Name der abgerufenen Seite, der Zeitpunkt des Abrufs und die IP-Adresse des zugreifenden Rechners über das Ende des jeweiligen Nutzungsvorgangs hinaus gespeichert. Mit seiner Klage begehrt der Kläger, die Beklagte zu verurteilen, es zu unterlassen, ihm zugewiesene IP-Adressen über das Ende des jeweiligen Nutzungsvorgangs hinaus zu speichern.
Das Amtsgericht hatte die Klage abgewiesen. Auf die Berufung des Klägers hatte das Landgericht den Unterlassungsanspruch nur zum Teil gewährt. Gegen dieses Urteil haben beide Parteien die vom Berufungsgericht zugelassene Revision eingelegt.
Der BGH hatte das Verfahren ausgesetzt und dem EuGH Fragen zur Auslegung der EG-Datenschutz-Richtlinie zur Vorabentscheidung vorgelegt. Nachdem der EuGH die Fragen beantwortet hatte, hat der BGH nunmehr über die Revisionen der Parteien entschieden. Im Ergebnis hat der BGH das Urteil des Berufungsgerichts aufgehoben und die Sache zurückverwiesen.
Entscheidung:
Unter Verweis auf eine richtlinienkonforme Auslegung von § 12 Abs. 1 und 2 TMG i. V. m. § 3 Abs. 1 BDSG stellte der BGH fest, dass eine dynamische IP-Adresse, die von einem Anbieter von Online-Mediendiensten beim Zugriff einer Person auf eine Internetseite, die dieser Anbieter allgemein zugänglich mache, gespeichert werde, für den Anbieter ein personenbezogenes Datum darstelle.
Als personenbezogenes Datum dürften IP-Adressen nur unter den Voraussetzungen gemäß § 15 Abs. 1 TMG gespeichert werden. Diese Vorschrift sei entsprechend der Auslegung durch den EuGH richtlinienkonform dahin anzuwenden, dass ein Anbieter von Online-Mediendiensten personenbezogene Daten eines Nutzers auch ohne dessen Einwilligung über das Ende eines Nutzungsvorgangs hinaus erheben und verwenden dürfe, soweit die Erhebung und Verwendung erforderlich seien, um die generelle Funktionsfähigkeit der Dienste zu gewährleisten. Dabei bedürfe es einer Abwägung mit dem Interesse und den Grundrechten und -freiheiten der Nutzer.
Die konkrete Güterabwägung ließ der BGH im Ergebnis mangels hinreichender Sachverhaltsklärung offen. Es wurden in den Vorinstanzen keine hinreichenden Feststellungen dazu getroffen, ob die Speicherung der IP-Adressen des Klägers über das Ende eines Nutzungsvorgangs hinaus erforderlich war, um die Funktionsfähigkeit der jeweils in Anspruch genommenen Dienste zu gewährleisten. Erst wenn insbesondere Feststellungen zum „Angriffspotential“ auf die betroffenen Dienste vorlägen, müsse das Berufungsgericht die nach dem Urteil des EuGH gebotene Abwägung zwischen dem Interesse der Beklagten an der Aufrechterhaltung der Funktionsfähigkeit ihrer Online-Mediendienste und dem Interesse oder den Grundrechten und -freiheiten des Klägers vornehmen. Als Orientierungsgrundlage wies der BGH insoweit jedenfalls auf die Aspekte der Generalprävention und der Strafverfolgung hin.
Auswirkungen:
Die Auswirkungen der BGH-Entscheidung dürften sich mit Blick auf die bereits durch die EuGH-Entscheidung vorgezeichnete Richtung im Rahmen halten. Festzuhalten ist jedenfalls, dass (auch) im Bereich des TMG eine Interessenabwägung im Einzelfall eine mögliche Rechtfertigung für eine Verarbeitung personenbezogener Daten bilden können muss. Der – wie bislang – vollständige Verzicht im TMG auf Aspekte der Interessenabwägung im Einzelfall ist insoweit hinfällig und wäre ohnehin spätestens mit den Neuregelungen der DS-GVO „erledigt“, die insgesamt namentlich die Rechtfertigung zur Datenverarbeitung auf Basis einer Interessenabwägung in den Fokus rückt (vgl. Art. 6 Abs. 1 Satz 1 lit. f) DS-GVO).
Quelle: Pressemitteilung des BGH Nr. 74/2017 vom 16.05.2017
