{"id":2209,"date":"2014-10-28T19:07:22","date_gmt":"2014-10-28T18:07:22","guid":{"rendered":"http:\/\/www.cr-online.de\/blog\/?p=2209"},"modified":"2015-08-24T11:45:04","modified_gmt":"2015-08-24T10:45:04","slug":"bgh-bestaetigt-webserver-logfiles-nicht-nach-%c2%a7-100-abs-1-tkg-erlaubt","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2014\/10\/28\/bgh-bestaetigt-webserver-logfiles-nicht-nach-%c2%a7-100-abs-1-tkg-erlaubt\/","title":{"rendered":"BGH best\u00e4tigt: Webserver-Logfiles nicht nach \u00a7 100 Abs. 1 TKG erlaubt"},"content":{"rendered":"

Das heutige BGH-Urteil zur IP-Adressen-Speicherung<\/a>\u00a0enth\u00e4lt neben dem Offensichtlichen eine weitere wichtige Aussage: WWW-Server-Betreiber k\u00f6nnen sich nicht auf \u00a7 100 Abs. 1 TKG berufen, wenn sie die IP-Adressen ihrer Besucher loggen wollen. Damit best\u00e4tigt der BGH insoweit das Urteil der Vorinstanz gegen eine in der Praxis verbreitete Ansicht.<\/p>\n

Die Vorlageentscheidung<\/strong><\/p>\n

Der BGH (Beschl. v. 28.10.2014 – VI ZR 135\/13) hat entschieden, dem EuGH zwei Fragen vorzulegen: Erstens die bis heute ungekl\u00e4rte Grundfrage des Datenschutzrechts: Sind Daten personenbezogen, wenn zwar die speichernde Stelle keinen Betroffenen ermitteln kann, dies aber einem Dritten m\u00f6glich ist? Zweitens die Frage, ob es europarechtskonform ist, dass \u00a7 15 Abs. 1 TMG die Verwendung personenbezogener Daten ausschlie\u00dflich zu dem Zweck erlaubt, die Inanspruchnahme von Telemedien zu erm\u00f6glichen und abzurechnen.<\/p>\n

WWW-Logging gegen St\u00f6rungen von Telekommunikationsanlagen?<\/strong><\/p>\n

Viele Betreiber von WWW-Seiten loggen die IP-Adressen ihrer Besucher – sei es zwecks User-Tracking, sei es, um die Serverauslastung zu verfolgen oder Angriffe zu erkennen. Das BGH-Urteil „Speicherung dynamischer IP-Adressen“ (BGH, Urt. v. 13.1.2011 \u2013 III ZR 146\/10, CR 2011, 178<\/a><\/a>\u00a0m. Anm. W\u00fcstenberg<\/em>, CR 2011, 254<\/a><\/a>;\u00a0hierzu R\u00f6ssel<\/em>, ITRB 2011, 122<\/a>; Breyer<\/em>, MMR 2011, 573<\/a>) wird teilweise dahin ausgelegt, dass eine siebent\u00e4gige anlassunabh\u00e4ngige Vorratsdatenspeicherung durch Provider stets zul\u00e4ssig sei – und zwar auch f\u00fcr Betreiber von Webservern. Rechtsgrundlage soll \u00a7 100 Abs. 1 TKG sein.<\/p>\n

BGH best\u00e4tigt LG Berlin: nein<\/strong><\/p>\n

Bereits die Vorinstanz hatte diese Ansicht ausdr\u00fccklich und gut begr\u00fcndet abgelehnt (LG Berlin, Urt. v. 31.1.2013 – 57 S 87\/08, CR 2013, 471<\/a><\/a>; zu den praktischen Konsequenzen aus diesem Urteil ausf\u00fchrlich Gerlach<\/em>, CR 2013, 478<\/a><\/a>). Indem der BGH dem EuGH die Frage der Europarechtswidrigkeit des \u00a7 15 Abs. 1 TMG vorgelegt hat, hat er diese Ansicht best\u00e4tigt. Denn eine Vorlage an den EuGH darf nur erfolgen, wenn die Vorlagefrage entscheidungserheblich ist – also im vorliegenden Fall keine andere Erlaubnisnorm als \u00a7 15 Abs. 1 TMG in Betracht kommt. Insbesondere nicht \u00a7 100 Abs. 1 TKG.<\/p>\n

Logfile-Frage bleibt dennoch offen<\/strong><\/p>\n

Trotzdem bleibt weiter offen, ob die Apache-Standard-Konfiguration zur illegalen Erhebung und Verwendung personenbezogener Daten f\u00fchrt – weil \u00a7 15 Abs. 1 TMG nach Ansicht des BGH Art. 7 Buchstabe f der Datenschutz-Richtlinie widersprechen k\u00f6nnte, der f\u00fcr die Frage der Zul\u00e4ssigkeit der Verarbeitung personenbezogener Daten eine Interessenabw\u00e4gung fordert. Zwar sei daran erinnert, dass \u00a7 15 TMG eine Reihe von Ausnahmen vom strikten Abs. 1 enth\u00e4lt, so dass man durchaus gut vertreten kann, dass der Gesetzgeber eben genau diese erforderliche Abw\u00e4gung vorgenommen hat und sich dabei im Rahmen dessen bewegt hat, was Art. 5 der Datenschutz-Richtlinie ihm zugesteht. Letztlich wird der EuGH entscheiden m\u00fcssen, ob er dies nur f\u00fcr eine zul\u00e4ssige n\u00e4here Bestimmung der Grunds\u00e4tze der Richtlinie h\u00e4lt oder f\u00fcr eine unzul\u00e4ssige „zus\u00e4tzliche Bedingung […], mit denen die Tragweite eines in Art. 7 der Richtlinie 95\/46 enthaltenen Grundsatzes ver\u00e4ndert wird“ (vgl.\u00a0EuGH, Urt. v. 24.11.2011 – C\u2011468\/10 und C\u2011469\/10, CR 2012, 28<\/a>\u00a0(31) Rz 35 m.Anm. Freund<\/em><\/a>).<\/p>\n

Aber auch, wenn der EuGH \u00a7 15 TMG als europarechtswidrig ans\u00e4he, blieben zwei Fragen offen:<\/p>\n

    \n
  1. Ist ein komplettes Logfile mit IP-Adressen wirklich „erforderlich zur Verwirklichung [eines] berechtigten Interesses“ (Art. 7 Buchstabe f der Datenschutz-Richtlinie)?
    \nBei einem Webserver kommt es doch (nur) darauf an, die Quelle eines Angriffs zu identifizieren. Eine \u00d6ffnung des \u00a7 15 TMG w\u00e4re aus Sicht der IT-Sicherheit im Grundsatz begr\u00fc\u00dfenswert. Aber die \u00fcblichen Speicherdauern sind erforderlich – wof\u00fcr bitte? (Die Abw\u00e4gung mag beim errorlog oder bei der Nutzung von Programmen wie\u00a0    Fail2ban<\/a>\u00a0anders aussehen, weil hierf\u00fcr nur illegitime Zugriffe ausgewertet werden.) Die selbe Frage stellt sich, wie Jenny<\/em> in Plath, BDSG, \u00a7 100 TKG Rz 4<\/a>, zu Recht anmerkt, nat\u00fcrlich auch bei \u00a7 100 Abs. 1 TKG, wo jeder Dienst einzeln betrachtet werden sollte.<\/li>\n
  2. Wieso soll sich eigentlich die Bundesrepublik Deutschland auf eine ggf. europarechtswidrige Umsetzung der Richtlinie berufen k\u00f6nnen, die sie gerade selbst verschuldet h\u00e4tte?
    \nNach Treu und Glauben (\u00a7 242 BGB, das Verfahren ist schlie\u00dflich zivilrechtlich) h\u00e4tte das zumindest ein Geschm\u00e4ckle. Und zwar so eins, dass es nicht ausreichend w\u00e4re, den Kl\u00e4ger rein bez\u00fcglich der Verfahrenskosten auf einen Staatshaftungsanspruch wegen falscher Richtlinienumsetzung zu verweisen.<\/li>\n<\/ol>\n","protected":false},"excerpt":{"rendered":"

    Das heutige BGH-Urteil zur IP-Adressen-Speicherung\u00a0enth\u00e4lt neben dem Offensichtlichen eine weitere wichtige Aussage: WWW-Server-Betreiber k\u00f6nnen sich nicht auf \u00a7 100 Abs. 1 TKG berufen, wenn sie die IP-Adressen ihrer Besucher loggen wollen. Damit best\u00e4tigt der BGH insoweit das Urteil der Vorinstanz gegen eine in der Praxis verbreitete Ansicht. Die Vorlageentscheidung Der BGH (Beschl. v. 28.10.2014 – […]<\/p>\n","protected":false},"author":36,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[34,9,51,35,144,30,87],"tags":[357,363,20,358,301,191,360,359,362,361],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/2209"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/36"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=2209"}],"version-history":[{"count":7,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/2209\/revisions"}],"predecessor-version":[{"id":2636,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/2209\/revisions\/2636"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=2209"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=2209"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=2209"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}