EuGH-Schlussanträge zu Tracking im Internet: Daten­spei­che­rung nach Inter­es­sen­ab­wä­gung zulässig

2/2: Speicherung der IP-Adresse über den Nutzungsvorgang hinaus

Zur zweiten Frage des BGH gibt es keine gefestigte Linie in Rechtsprechung und Praxis. Sie betrifft das Verhältnis des TMG zur DS-RiLi, die mit dem Wirksamwerden der EU-Datenschutzgrundverordnung im Jahr 2018 aufgehoben wird. Sie richtet sich im vorliegenden Fall auch an den Staat, weil dieser als Betreiber von Onlinediensten wie eine Privatperson handelt.

§ 15 Abs. 1 TMG ist für den Sánchez-Bordona mit Art. 7 f DS-RiLi unvereinbar. § 15 TMG gestattet die Speicherung der für den GA personenbezogenen dynamischen IP-Adresse zur "Ermöglichung einer konkreten Verbindung" (…) und ist "nach deren Beendigung" zu löschen. Abweichend davon verlangt Art. 7 f. DS-RiLi eine Abwägung der Interesses des Diensteanbieters an der Speicherung des personenbezogenen Datums mit den Grundrechten des Betroffenen.

Genau diese Einzelfallabwägung schneidet § 15 TMG ab und übernimmt sie nicht in das deutsche Recht, sondern greift der Abwägung per gesetzlicher Wertung für den Generalanwalt unzulässig vor. Für den GA dürfen die Mitgliedstaaten mit Blick auf eine mögliche Grundrechtsverkürzung bestimmte Datenverarbeitungsvorgänge nicht pauschal ausschließen, sondern nur die Voraussetzungen einer rechtmäßigen Verarbeitung personenbezogener Daten festlegen.

Schritt in Richtung Vollharmonisierung des Datenschutzes

Was würde das für die Praxis bedeuten? Die Einordnung der dynamischen IP-Adresse als personenbezogenes Datum wird insbesondere durch die Datenschutzaufsicht schon jetzt  als gesetzt betrachtet und die Praxis orientiert sich daran.

Die Folgeproblematik ist aber neu. Sie würde den deutschen Gesetzgeber des TMG in die Schranken weisen. Sie würde zudem die Interessenabwägung, die mit Wirkung von Art. 6 I. f Datenschutzgrund-Verordnung ab Sommer 2018 ohnehin das gesamte europäische Datenschutzrecht prägen wird, bereits jetzt in das TMG transportieren. Ob das Bundesverfassungsgericht hier Abhilfe schaffen würde, ist fraglich, denn die Argumentation des GA entspricht dem Gedanken der Vollharmonisierung des Datenschutzrechts und ist plausibel, auch wenn sie deutsche Rechtsklarheit europäischer Einzelfallabwägung opfert.

Fraglich ist auch, ob Karlsruhe noch rechtzeitig entscheiden könnte. Denn im Sommer 2018 wird nicht nur die DS-RiLi aufgehoben, sondern auch deutsches Datenschutzrecht durch eine EU-Verordnung abgelöst. Der oberste gesetzliche Richter über den Datenschutz ist dann nicht mehr das Bundesverfassungsgericht, sondern ohnehin der EuGH.

Knackpunkt: Reichweite der Interessenabwägung

Offen lässt Sánchez-Bordona, welche Kriterien in die Interessenabwägung einzubringen sind. Im Streit stehen Maßnahmen zum Erhalt der Funktionsfähigkeit des Telemediums. Was aber erhält einen Onlinedienst funktionsfähig und legitimiert die Speicherung einer IP-Adresse? Dass damit auf jeden Fall Maßnahmen gegen Sicherheitsangriffe gemeint sind, diskutiert der GA in den Schlussanträgen.

Dass er damit aber auch andere Maßnahmen, wie etwa das Ermitteln der Urheber von Beleidigungen und Hassposts oder Urheberrechtsverletzungen meinen könnte, legen seine Ausführungen nahe. Darin ist von Daten als "weiteres Beweismittel [die Rede], mit dem der Inhaber der Internetseite vom Staat die Verfolgung eines rechtswidrigen Verhaltens auf Antrag verlangen kann".

Folgt der EuGH dem GA, dann erhält deutsches Datenschutzrecht an einer zentralen Stelle eine deutliche europarechtliche Prägung in Richtung Vollharmonisierung. Dass damit, wie Kläger Breyer kritisiert, der Überwachungsstaat ausgerufen ist, kann man bezweifeln. In Datenschutzfragen ersetzt Einzelfallgerechtigkeit nach europäischen Standards dann eben Sonderwertungen der Mitgliedstaaten. Daran werden wir uns grundsätzlich gewöhnen müssen, auch wenn der EuGH dem Generalanwalt hier nicht folgen sollte.

Der Autor Prof. Dr. Rolf Schwartmann ist Leiter der Kölner Forschungsstelle für Medienrecht an der TH Köln und Vorsitzender der Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V.