Schlagwort-Archive: BDSG

Störerhaftung für Datenschutzverstöße Dritter (ZD 2014, 62) – online

In eigener Sache:

Mittlerweile ist mein in Heft 2/2014 der Zeitschrift für Datenschutz (ZD) auf S. 62-66 erschiener  Aufsatz mit dem Titel “Störerhaftung für Datenschutzverstöße Dritter – Sperre durch DS-RL und DS-GVO?” auch online abrufbar (PDF, 0,25 MB).

Der Aufsatz befasst sich mit der Frage, ob z.B. der Betreiber einer Webseite als Störer für Datenschutzverstöße bspw. von Google haften kann. Ausgangspunkt des Aufsatzes sind zwei Entscheidungen: Zum einen die Google Fanpages-Entscheidung des VG Schleswig vom 9.10.2013 (dazu die Meldung des Unabhängigen Datenschutzzentrums Schleswig-Holstein), zum anderen die Entscheidung des LG Potsdam zur Störerhaftung des Admin-C einer Domain für die Datenschutzverstöße des tatsächlichen Domaininhabers.

Aus dem Beitrag:

Soweit ersichtlich ist die Haftung für Datenschutzverstöße Dritter nach den Grundsätzen der Störerhaftung bisher kaum thematisiert worden. Mit einer Entscheidung des LG Potsdam auf der einen und des VG Schleswig auf der anderen Seite ist die Frage im Jahr 2013 in der Zivil- und der Verwaltungsgerichtsbarkeit unterschiedlich beurteilt worden. Der folgende Beitrag geht der Frage einer (zivilrechtlichen) Störerhaftung für die Datenschutzverstöße Dritter vor dem Hintergrund der EG-Datenschutzrichtlinie und der geplanten EU-Datenschutzgrundverordnung nach und beleuchtet die möglichen Folgen einer solchen Haftung für Internet Service Provider.

  1. Einleitung

Die Störerhaftung für Inhalte und Handlungen Dritter ist seit einigen Jahren immer wieder Gegenstand von gerichtlichen Verfahren im Zusammenhang mit Inhalten im Internet. Meist standen dabei aber Verletzungen von gewerblichen Schutzrechten, des Namensrechts oder des allgemeinen Persönlichkeitsrechts im Vordergrund.[1] Die Frage einer Störerhaftung für Datenschutzverstöße Dritter hingegen ist bisher in Rechtsprechung und Literatur eher stiefmütterlich behandelt worden. Die Entscheidungen des LG Potsdam[2] und des VG Schleswig[3] haben diese Frage nun aufgeworfen. In der Literatur wird – jeweils ohne tiefergehende Begründung – eine Störerhaftung für Datenschutzverstöße teils bejaht,[4] teils – für die öffentlich-rechtliche Haftung als Zweckveranlasser – verneint.[5]

  1. Urteil des LG Potsdam

Das LG Potsdam hat mit Urteil vom 31.7.2013 den Admin-C einer Domain als Störer verurteilt. …

Download des Beitrags (PDF, 0,25 MB)

S. auch

Lesetipp: Narayanan/Felten, No silver bullet: De-identification still doesn’t work – zur Frage der effektiven Anonymisierung von Daten

Im Juli 2014 haben Arvind Narayanan (@random_walker) und Edward Felten (@EdFelten) (beide Princeton University) ein Paper mit dem Titel „No silver bullet: De-identification still doesn’t work“ veröffentlicht, das im Wesentlichen eine Replik auf ein Paper von Cavoukian/Castro (Big Data and Innovation, Setting the Record Straight: Deidentification Does Work) darstellt. Cavoukian und Castro hatten in ihrem Paper im Kern dargestellt, dass es wirksame Techniken gibt, die eine Anonymisierung von Datensätzen ermöglichen. Narayanan und Felten wenden sich sehr überzeugend gegen diese Theorie.

1. Hintergrund

Zunächst kurz zum Hintergrund:

Wir befinden uns vermutlich noch am Anfang des Big Data-Zeitalters. Über jede einzelne Person werden immer mehr und immer genauere Daten erhoben und gespeichert (näher z.B. Kurz/Rieger, Die Datenfresser, 2012). Wer sich die Daten von/über Malte Spitz ansieht, die im Zuge der Kritik an der (deutschen und europäischen) Vorratsdatenspeicherung erhoben wurden, erhält eine leichte Idee davon. Man stelle sich zusätzlich vor, dass auch alle anderen Tätigkeiten von uns digital erfasst werden. Wenn sich alle diese Daten zusammenführen ließen und dann auch noch jeweils einer einzelnen Person zugeordnet werden kann, entsteht ein sehr genaues Bild über diese eine Person. Diesen Zustand soll unser Datenschutzrecht verhindern bzw. die Kontrolle über den Vorgang zumindest teilweise der jeweiligen Person erhalten.

Sollen nun Daten ohne konkrete Einwilligung oder gesetzlichen Erlaubnistatbestand erhoben und genutzt werden, bleibt dem Verarbeitungswilligen nur die Variante, die Daten dem Schutz des Datenschutzrechts vollständig zu entziehen. Das ist – möchte man meinen – eigentlich ganz einfach: Die Daten müssen ja „einfach nur“ anonymisiert werden. Wie das geht, sagt uns (in der Theorie) z.B. § 3 Abs. 6 BDSG:

Anonymisieren ist das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.

Es gibt eine Menge Literatur dazu (s. nur Simitis-Scholz, BDSG, 8. Aufl. 2014, § 3 Rn. 205 ff.), wie § 3 Abs. 6 BDSG zu verstehen ist. In dieser wird u.a. darauf hingewiesen, dass man klar zwischen Anonymisierung und Pseudonymisierung unterscheiden muss. Und Daten, die – wie es hier Narayanan und Felten darstellen de-anonymisiert werden können, sind schlicht nur pseudonymisierte und damit personenbezogene Daten.

2. Broken Promises of Privacy

Im Jahr 2009 hat Paul Ohm (@paulohm) in einem denkwürdigen Aufsatz namens „Broken promises of privacy: Responding to the surprising failure of anonymization” dargestellt, dass sich (eigentlich anonymisierte) Daten immer häufiger “de-anonymisieren” lassen – und zwar ohne so erheblichen Aufwand, dass von einer effektiven Anonymisierung nach § 3 Abs. 6 BDSG gesprochen werden kann. Die Frage und Möglichkeit der De-Anonymisierung ist daher eine tatsächliche Frage, die unmittelbar erhebliche rechtliche Konsequenzen nach sich zieht.

Vermutlich weil ein großes Interesse daran besteht, mit solche „anonymisierten“ Daten weiter zu arbeiten, gibt es auch Stimmen, die die Effektivität der Anonymisierung bzw. die Ineffektivität von Angriffen hiergegen hervorheben – wie z.B. den von Narayanan und Felten kritisierten Aufsatz von Cavoukian und Castro.

Narayanan und Felten zeigen in ihrem Aufsatz nun eindrucksvoll auf, dass die Ergebnisse von Cavoukian und Castro nicht nur auf Sand gebaut, sondern vermutlich einfach schlicht falsch sind. Hier nur ein paar Zitate aus dem Paper:

Let’s be clear about why the authors of the study didn’t actually re-identify anyone: because they didn’t set out to. …

The [Netflix]-study shows in detail that if someone knows just a little bit about the movie preferences of a user in the Netflix dataset (say, from Facebook or a water-cooler conversation), there’s an upwards of 80% chance of identifying that user’s record in the dataset. …

They mostly ignore the possibility of re-identification by a spouse, friend, nosey neighbor, or investigator based on specific knowledge about the victim, as well as a data-broker applying re-identification based on their existing datasets to enrich their dossiers …

The authors claim that data brokers’ databases “are often incomplete, making it difficult to positively identify someone with a high degree of confidence.” This is cold comfort to a person who is re-identified because they do appear in the database. And it doesn’t consider that a realistic adversary often can just buy access to another database if the first one doesn’t meet their needs. …

It is very tempting to look for an assurance that (say) only 1% of individuals in a dataset can be re-identified. But there is simply no scientific basis for interpreting re-identification probabilities of de-identified high-dimensional datasets as anything more than (weak) lower bounds, and we urge the reader to be wary of false promises of security.

Was kann man also Personen und Unternehmen, die große Datenmengen erheben, nutzen und weitergeben möchten, raten? Die einzig (noch?) effektive Methode scheint eine Aggregation von Daten: Wenn Daten so zusammengewürfelt werden, dass sie immer eine Gruppe von Personen betreffen, entzieht sie des Personenbezugs. Allerdings darf die Gruppe nicht zu klein geraten – und dadurch wird natürlich die Nützlichkeit der Daten stark eingeschränkt (s. näher zu Anonymisierungstechniken Simitis-Scholz, BDSG, 8. Aufl. 2014, § 3 Rn. 205 ff.). Sehr interessant fand ich in diesem Zusammenhang, dass Narayanan und Felten auch zeigen, dass die Technik , die bisher als halbwegs effektiv angesehen wurde, nämlich die Veränderung von Daten, so dass sie ungenauer werden (z.B. statt eines Datums nur das Jahr) angesichts der zunehmenden Datenmengen von Angreifern ebenfalls versagt.

Indeed, a key finding of the de Montjoye et al. study is that the main technique one might hope to use — making the data more coarse-grained — has only a minimal impact on uniqueness. …

making the adversary’s auxiliary dataset more specific has the equal and opposite impact! Of course, with high-dimensional datasets, there are strong limits to how much the data can be generalized without destroying utility, whereas auxiliary information has the tendency to get more specific, accurate, and complete with each passing year.

Wer sich mit Anonymisierungstechniken beschäftigt und selbst Daten anonymisieren möchte, oder mit anonymisierten Daten arbeiten will (oder jemanden berät, der das tut), sollte sich im Übrigen darüber klar sein, dass es (rechtlich) völlig unbeachtlich ist, ob sich nur ein kleiner Teil der Daten einer bestimmten Person zuordnen lässt. Denn für jeden einzelnen dieser Fälle liegt aller Voraussicht nach eine unzulässige Datenverarbeitung vor. Dementsprechend kann man eigentlich nur empfehlen, „anonymisierte“ Daten, bei denen man nicht ganz und absolut sicher ist, ob sie wirklich anonym sind, als personenbezogene Daten zu behandeln.

3. Fazit

Obwohl der Aufsatz von Narayanan und Felten nur eine „Replik“ darstellt, ist er absolut lesenswert. Er enthält zudem eine Reihe von weiterführenden Links und Hinweisen. Es empfieht sich auch, das Paper von Cavoukian und Castro zu lesen. Im Übrigen hat auch Cory Doctorow die Diskussion zusammengefasst.
(Bild: Chris HartmanCC BY 2.0)

 

Aufsatz „Störerhaftung für Datenschutzverstöße Dritter – Sperre durch DS-RL und DS-GVO?“ (ZD 2014, 62) erschienen

In eigener Sache:

In Heft 2/2014 der Zeitschrift für Datenschutz (ZD) ist auf S. 62-65 mein Aufsatz mit dem Titel „Störerhaftung für Datenschutzverstöße Dritter – Sperre durch DS-RL und DS-GVO?“ erschienen.

Der Aufsatz, der ursprünglich den Titel „Die (zivilrechtliche) mittelbare Störerhaftung für Datenschutzverstöße Dritter – Verstoß gegen EG-Datenschutzrichtlinie und EU-Datenschutzgrundverordnung oder zulässige mitgliedsstaatliche Ausgestaltung“ tragen sollte (was aber zu lang war), befasst sich mit der Frage, ob z.B. der Betreiber einer Webseite als Störer für Datenschutzverstöße bspw. von Google haften kann.

Ausgangspunkt des Aufsatzes sind zwei Entscheidungen: Zum einen die Google Fanpages-Entscheidung des VG Schleswig vom 9.10.2013 (dazu die Meldung des Unabhängigen Datenschutzzentrums Schleswig-Holstein), zum anderen die Entscheidung des LG Potsdam zur Störerhaftung des Admin-C einer Domain für die Datenschutzverstöße des tatsächlichen Domaininhabers. Ich hatte damals per Twitter eine kurze Diskussion u.a. mit @carlopiltz zu der Entscheidung des LG Potsdam geführt. Das VG Schleswig-Holstein hatte nämlich eine Störerhaftung der Betreiber von Fanpages unter Hinweis auf die EG-Datenschutzrichtlinie abgelehnt. Die EG-Datenschutzrichtlinie sei insofern abschließend. Das LG Potsdam hat ohne nähere Konkretisierung die Gegenauffassung vertreten.

Diesen Konflikt wollte ich – angeregt durch die Diskussion auf Twitter – in dem Aufsatz aufarbeiten. Ich bin daher der Frage nachgegangen, ob die EG-Datenschutzrichtlinie wirklich Ansprüche aus Störerhaftung sperrt, und wie dies nach dem aktuellen Entwurf für eine Datenschutz-Grundverordnung zu beurteilen wäre. Mehr in ZD 2014, 62 ff. …

Redtube-Abmahnungen und Datenschutzstrafrecht

Ulf Buermeyer (@vieuxrenard) hat auf heise-online eine sehr lesenswerte strafrechtliche Analyse der Redtube-Abmahnungen vorgenommen. Er kommt zu dem Ergebnis, dass eine Strafbarkeit der abmahnenden Anwälte der Kanzlei Urmann + Collegen wegen (versuchten und vermutlich in vielen Fällen auch vollendeten Betruges) vorliegen kann.

Aus strafrechtlicher Perspektive bedeutet das: Wenn man die urheberrechtliche Lage so einschätzt wie dargestellt, dann enthalten Abmahnungen wegen Streaming von legalen Portalen schon deswegen objektiv eine Täuschung. […]

Und je unzuverlässiger die Daten, umso eher wird sich ein Gericht davon überzeugen können, dass der Abmahnanwalt wenigstens ahnte, dass etwas nicht mit rechten Dingen zuging, er also wenigstens bedingt vorsätzlich handelte.

Er bezeichnet die beschriebenen Massenabmahnungen zusätzlich treffend als den „Enkeltrick des Internet-Zeitalters“. Er hofft, …

dass gegen Streaming-Abmahner engagiert ermittelt wird, denn hier geht es um ein Massenphänomen, das erheblichen gesellschaftlichen Schaden anrichtet. Bei unberechtigten Abmahnungen werden unter Missbrauch des Urheberrechts abwegige Vorwürfe erhoben; dadurch wird das Urheberrecht insgesamt weiter diskreditiert. Es ist kein Geheimnis, dass breite Kreise der Bevölkerung manche Aspekte des deutschen Urheberrechts ohnehin für fragwürdig halten. Windige Abmahnungen wegen Streamings sind daher blankes Gift für die gesellschaftliche Akzeptanz dieses Rechts.

Außerdem richten Streaming-Abmahnungen erheblichen wirtschaftlichen Schaden an – sie sind quasi der „Enkeltrick“ des Internet-Zeitalters: Die Hintermänner setzen gezielt auf die Unbedarftheit ihrer Opfer und versuchen, sie zu unbegründeten Zahlungen bringen, zumal wenn es um peinliche Vorwürfe geht. Diese Masche sollte entsprechend energisch verfolgt werden.

Die Analyse von Ulf Buermeyer bietet einen Anlass, auch über den Tellerrand des Strafgesetzbuches hinauszublicken und einen Blick ins Nebenstrafrecht zu werfen, namentlich ins Datenschutzstrafrecht.

1. Der Sachverhalt

Um eine strafrechtliche Analyse vornehmen zu können, ist zunächst festzuhalten, auf welcher Grundlage dieser erfolgt. Dies gestaltet sich allerdings sehr schwierig, da in Bezug auf die Redtube-Abmahnungen noch sehr vieles im Dunkeln liegt. Der nachfolgende Sachverhalt beruht auf den bisher bekannten Tatsachen, erhebt aber keinen Anspruch auf Richtigkeit und Vollständigkeit. Er dient lediglich der Vorbereitung der nachfolgenden juristischen Analyse.

a. Die Beteiligten
Vorliegend gab es – soweit ersichtlich – vier Beteiligte:
  • den angeblichen Rechteinhaber, The Archive AG,
  • das Unternehmen, das die IP-Adressen ermittelt haben will, itGuard Inc.,
  • den Rechtsanwalt, der beim LG Köln nach § 101 UrhG Auskunft über die hinter den IP-Adressen stehenden Anschlussinhaber beantragt (und in großem Umfang erhalten) hat (RA Sebastian), und
  • die Anwaltskanzlei, die die Abmahnungen versandt hat (nachfolgend „U+C“).

Bisher ist nicht erkennbar, dass Redtube irgendwie involviert war. Im Gegenteil hat Redtube erklärt, dass sie keine IP-Adressen weitergegeben hätten. Mittlerweile hat Redtube auch gegen

b. Die „Tathandlungen“

Zu unterscheiden sind verschiedene mögliche „Tathandlungen“:

  • die Ermittlung der IP-Adressen – wie auch immer dies erfolgt sein soll,
  • die Übermittlung der IP-Adressen an RA Sebastian,
  • die Übermittlung der IP-Adressen an das LG Köln zusammen mit einem Antrag nach § 101 UrhG,
  • die Übermittlung der IP-Adressen mitsamt der beauskunfteten Informationen des LG Köln an U+C und
  • die Aussprache der Abmahnung durch U+C,

sowie verschiedene Formen der Beteiligung, z.B. eine mittelbare Täterschaft, Anstiftung oder Beihilfe zu den einzelnen „Tathandlungen“.

c. „Tathergang“

Nach dem bisherigen Stand soll ein Unternehmen mit Hilfe der Software „GladII“ die IP-Adressen ermittelt haben. Dabei bleibt weiter völlig unklar, wie dies passiert sein soll. Es gibt Theorien, dass die IP-Adressen ermittelt wurden durch

Zu dem gesamten Vorgang hat sich mittlerweile RA Urmann in einem Interview geäußert. Auch RA Sebastian hat eine Pressemitteilung herausgegeben.

2. Mögliche Straftatbestände und (kurze) Analyse

Ulf Buermeyer ist schon auf den Straftatbestand des Betruges nach § 263 StGB eingegangen. Aus dem Datenschutzstrafrecht kommen verschiedene Tatbestände nach §§ 43, 44 BDSG in Betracht. Denken könnte man zudem auch an Straftaten aus dem Telekommunikationsbereich, namentlich §§ 89 Abs. 1, 148 TKG, denken.

Aus dem StGB kommt auch eine Strafbarkeit wegen des Ausspähens von Daten nach § 202a StGB, des Abfangens von Daten nach § 202b StGB, beim Einsatz von Trojanern auch Datenveränderung und Computersabotage nach §§ 303a, 303b StGB in Betracht. Diese sind aber nicht Gegenstand dieses Beitrages.

Nun zum Datenschutzstrafrecht:

a. Personenbezogene Daten

Als erste Frage ist zu klären, ob es sich bei den IP-Adressen in den verschiedenen Stadien um personenbezogene Daten nach § 3 BDSG handelt. Man könnte daran zweifeln, weil z.B. das LG Berlin dynamische IP-Adressen i.d.R. nicht als personenbezogen ansieht – außer beim Access Provider. Die Datenschutzaufsichtsbehörden sehen das allerdings anders. Ermittelt wurden die IP-Adressen durch die itGuard Inc. Diese hatte zunächst noch keine weiteren Informationen, insbesondere die später durch die Gerichtsbeschlüsse erwirkten Daten der jeweiligen Anschlussinhaber. Man könnte die Daten also bei itGuard Inc. als nicht personenbezogen ansehen. Dann wäre nach der Auffassung des LG Berlin zumindest die Sammlung der Daten nicht datenschutzrechtlich relevant.

Zu beachten ist jedoch, dass die Daten später durch die (vom LG Köln angeordnete) Auskunft der Telekom einzelnen Personen zugeordnet wurden und zugeordnet werden sollten, so dass die IP-Adressen in einem späteren Stadium zu personenbezogenen Daten wurden.

Dabei ist nach allgemeiner Auffassung die Übermittlung von nicht-personenbezogenen Daten an jemanden, der Zusatzwissen hat, und dadurch einen Personenbezug herstellen kann, also Übermittlung i.S.v. § 3 Abs. 4 Nr. 3 BDSG anzusehen.

Es kann davon ausgegangen werden, dass itGuard Inc. und The Archive AG wussten, dass der Empfänger einen Personenbezug herstellen will – das war ja gerade der Zweck der Datensammlung! Daher dürfte die Weitergabe der Daten unter das BDSG fallen. Im Ergebnis sind die IP-Adressen somit für alle Beteiligten als personenbezogene Daten anzusehen.

Im Übrigen ist nach dem Vorgenannten auch der Umstand „Nutzer XY hat zum Zeitpunkt Z den Film ABC angesehen“ ebenfalls ein personenbezogenes Datum.

b. Ungerechtfertigte Nutzung der Daten

Nach § 4 BDSG ist jede Verwendung von Daten unzulässig, sofern sie nicht gerechtfertigt ist. In Betracht kommt im Grunde hier nur eine Rechtfertigung nach § 28 BDSG. Im Einzelnen wären das § 28 Abs. 1 Nr. 1 BDSG, weil durch die Abmahnung möglicherweise ein Rechtsverhältnis nach den Grundsätzen der Geschäftsführung ohne Auftrag begründet werden soll, § 28 Abs. 2 Nr. 2 BDSG zur Wahrung berechtigter Interessen eines Dritten bzw. zur Verfolgung von Straftaten.

Grundsätzlich wird man davon ausgehen können, dass die Verwendung von IP-Adressen nach diesen Regeln gerechtfertigt ist, wenn dies zur Verfolgung der Rechte des Rechteinhabers dient. Bestehen allerdings von vornherein kein Rechte, wie dies im Fall der Redtube-Abmahnungen nahe liegt, dann können auch die Rechtfertigungstatbestände nicht greifen. Auch kann in einem solchen Fall kein Rechtsverhältnis durch die Abmahnung entstehen. Im Falle der Redtube-Abmahnungen war die Datennutzung daher vermutlich nicht durch § 28 BDSG gerechtfertigt.

Es ist darauf hinzuweisen, dass – anders als RA Urmann  in seinem Interview geäußert hat – die Gerichtsbeschlüsse des LG Köln (s. Pressemeldung des LG Köln) keinesfalls zu einer Rechtfertigung führen. Das LG Köln hat lediglich auf Grundlage des Vortrages von RA Sebastian geprüft, ob die Voraussetzungen von § 101 Abs. 9 UrhG vorliegen und danach in der Mehrzahl der Fälle (Beispiel eines ablehnenden Beschlusses hier) der Telekom Gegenüber die Herausgabe der Daten angeordnet. Dafür, dass die rechtlichen und tatsächlichen Voraussetzungen der Datenherausgabe tatsächlich vorliegen, ist weiterhin der Antragsteller, hier The Archive AG, verantwortlich.

c. Ordnungswidrigkeit, § 43 BDSG

In Betracht kommen auf dieser Grundlage zunächst verschiedene Ordnungswidrigkeitstatbestände nach § 43 BDSG, wonach

(2) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig
1. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet,
4. die Übermittlung von personenbezogenen Daten, die nicht allgemein zugänglich sind, durch unrichtige Angaben erschleicht, …

Datei fällt unter das „Verarbeiten“ in § 43 Abs. 2 Nr. 1 BDSG auch die Übermittlung.

Der Vorsatz und die Fahrlässigkeit beziehen sich auch auf das Tatbestandsmerkmal „unbefugt“. Nach derzeitigem Stand dürfte hier jedenfalls Fahrlässigkeit in Betracht kommen, vermutlich auch Vorsatz mindestens in Form des sog. bedingten Vorsatzes, weil die Beteiligten die fehlende Befugnis für möglich gehalten und billigend in Kauf genommen haben (vgl. dazu auch die Ausführungen von Ulf Buermeyer).

d. Strafbarkeit, § 44 BDSG

Nächste Stufe ist die Strafbarkeit nach § 44 BDSG, der in Abs. 1 lautet:

(1) Wer eine in § 43 Abs. 2 bezeichnete vorsätzliche Handlung gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

Hier dürfte folgendes gelten:

  • Die itGuards Inc. wird für ihre Dienste bezahlt worden sein => (+)
  • The Archive AG wollte – davon können wir ausgehen – mit den Abmahnungen Geld verdienen und sich dadurch bereichern => (+)
  • RA Sebastian ist für seine Tätigkeit bezahlt worden und wollte seiner Mandantin helfen, sich zu bereichern => (+)
  • Die Kanzlei U+C ist für ihre Tätigkeit bezahlt worden und wollte ihrer Mandantin helfen, sich zu bereichern => (+)
3. Telekommunikations-Strafnormen (§§ 89, 148 TKG)

Eine Strafbarkeit nach §§ 89, 148 TKG scheidet aus, da nicht ersichtlich ist, dass die Beteiligten eine Funkanlage i.S.v. § 89 TKG eingesetzt haben.

4. jeweils: Beteiligung

Wenn man davon ausgeht, dass die Beteiligten um den gesamten Vorgang wussten, dürften sie jeweils für ihre Tathandlung Täter sein. Alternativ kommt – mit entsprechendem Vorsatz – auch eine Strafbarkeit als Gehilfe (§ 27 StGB) oder „mittelbarer Täter“ (dazu Ulf Buermeyer) in Betracht.

 

(Bild von tpsdave, Quelle: http://pixabay.com/en/hawaii-volcano-hot-fire-night-142138/, Lizenz: CC0)

 

 

 

 

Handynummern sind personenbezogene Daten: Belege durch Metaphone-Sample

Studenten der Stanford University haben im November 2013 eine Studie ins Leben gerufen, um zu belegen, dass Metadaten (speziell Telefoniedaten) im Rahmen von Überwachungsprogrammen relevant sind. Hierfür haben sie die Android-App „Metaphone“ entwickelt, die nach der Beschreibung folgendes tut:

MetaPhone is a project to understand call and text privacy. Researchers at Stanford University’s Department of Computer Science are studying metadata to estimate the reach of National Security Agency surveillance.

This study is open to all members of the public 18 or older. An Android smartphone and a Facebook account are required to participate. Participation ordinarily takes under five minutes.

Additional details and contact information are available on the study website. In the course of the study, you will provide mobile phone and social network data to Stanford researchers. Please carefully review the study explanation before electing to participate. The study is entirely voluntary and does not guarantee any benefits.

Rund 6 Wochen später haben die Initiatoren die bisher gesammelten Daten mit öffentlichen Verzeichnissen abgeglichen. Dabei haben sie herausgefunden, dass sie allein mit den – öffentlich zugänglichen – Quellen Yelp, Google Places und Facebook 27,1% der gesammelten Telefonnummern ihren jeweiligen Inhabern zuordnen konnten:

So, just how easy is it to identify a phone number?

Trivial, we found. We randomly sampled 5,000 numbers from our crowdsourced MetaPhone dataset and queried the Yelp, Google Places, and Facebook directories. With little marginal effort and just those three sources—all free and public—we matched 1,356 (27.1%) of the numbers. Specifically, there were 378 hits (7.6%) on Yelp, 684 (13.7%) on Google Places, and 618 (12.3%) on Facebook.

Zusätzlich haben die Studenten aus ihrem Datensatz 100 zufällig ausgewählte Nummern mit einer kommerziellen Datenquelle abgeglichen und erzielten 74 Treffer. Zusammen mit den öffentlichen Quellen kamen sie auf eine Trefferrate von 91%!

What about if an organization were willing to put in some manpower? To conservatively approximate human analysis, we randomly sampled 100 numbers from our dataset, then ran Google searches on each. In under an hour, we were able to associate an individual or a business with 60 of the 100 numbers. When we added in our three initial sources, we were up to 73.

How about if money were no object? We don’t have the budget or credentials to access a premium data aggregator, so we ran our 100 numbers with Intelius, a cheap consumer-oriented service. 74 matched.1 Between Intelius, Google search, and our three initial sources, we associated a name with 91 of the 100 numbers.

Dazu muss gesagt werden, dass die Argumentation in den USA etwas anders ist als hier in Deutschland, da der „Privacy“-Begriff nicht mit der deutschen Definition der „personenbezogenen Daten“ nach § 3 Abs. 1 BDSG übereinstimmt. Nach § 3 Abs. 1 BDSG sind personenbezogene Daten nämlich „Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person.“ Auf Telefonnummern trifft das in der Regel zu.

Interessant ist die Studie trotzdem auch aus der deutschen Sicht. In Bezug auf IP-Adressen brennt nämlich noch immer der Streit, ob der Personenbezug relativ oder absolut zu bestimmen ist. Absolut heißt hierbei, dass Daten, die auch nur eine Person (bspw. der Access Provider) einer konkreten Person zuordnen kann, unter § 3 Abs. 1 BDSG fallen, während nach dem relativen Begriff zu unterscheiden ist: Wer selbst nicht mit zumutbarem Aufwand die Daten einer konkreten Person zuordnen kann, operiert danach nicht mit personenbezogenen Daten (so zuletzt LG Berlin, Urt. v. 31.1.2013; dazu s. auch meine Anmerkung in der Zeitschrift für Datenschutz (ZD), Heft 12/2013, S. 625 ff.).

Die Metaphone-Studie zeigt nun, dass die öffentlichen Quellen immer relevanter werden – wenn durch Zugriff auf öffentliche Quellen die zu den Daten gehörige Person bestimmt werden kann, handelt es sich für jedermann um personenbezogene Daten, der Streit zwischen relativem und absolutem Personenbezug wird daher im Ergebnis immer weniger relevant.

Dementsprechend düster ist auch das Fazit des Blog-Eintrags:

If a few academic researchers can get this far this quickly, it’s difficult to believe the NSA would have any trouble identifying the overwhelming majority of American phone numbers.

Das gilt selbstverständlich auch für große kommerzielle Unternehmen wie Google, Facebook etc. Um es mit dem Bundesverfassungsgericht zu formulieren: Es gibt (praktisch) keine nicht-personenbezogenen Daten mehr.

(via @FBorgesius)

LG Berlin, Urt. v. 31.1.2013: Allein (dynamische) IP-Adresse mit Zugriffszeitpunkt beim Webseiten-Betreiber kein personenbezogenes Datum

Leitsätze (des Verfassers):
1. Soweit der Betreiber einer Webseite nur (dynamische) IP-Adressen ohne den zugehörigen Zeitpunkt des Zugriffs speichert, stellt die IP-Adresse kein personenbezogenes Datum i.S.v. §§ 12 TMG, 3 BDSG dar.

2. Speichert der Betreiber einer Webseite die (dynamische) IP-Adresse mit dem zugehörigen Zeitpunkt des Zugriffs, ist diese nur dann personenbezogen, wenn dem Anbieter die Bestimmung der Person des Nutzers technisch und rechtlich möglich ist, z.B. weil der Nutzer in einem Formular auf der Webseite Klarnamen oder E-Mail-Adresse angegeben hat (relativer Personenbezug).

3. Die Herstellbarkeit eines Personenbezugs bezogen auf ein ansonsten nicht-personenbezogenes Datum in einem Ermittlungs- oder Strafverfahren oder einem Auskunftsverfahren nach § 101 UrhG führt grundsätzlich nicht dazu, dass das Datum für sich bereits als personenbezogen anzusehen ist.

4. Es schließt den Personenbezug der (dynamischen) IP-Adresse nicht aus, wenn die vom Nutzer in einem Formular angegebenen zu einem Personenbezug führenden Daten und die IP-Adresse getrennt gespeichert werden.

5. Der Erlaubnistatbestand des § 100 TKG ist nur auf Telekommunikationsdiensteanbieter und nicht auf Telemediendiensteanbieter anwendbar.

LG Berlin, Urt. v. 31.1.2013 – 57 S 87/08 (Volltext)

In dem Rechtsstreit des …

gegen

die Bundesrepublik Deutschland,

hat die Zivilkammer 57 des Landgerichts Berlin in Berlin – Mitte, Littenstraße 12-17, 10179 Berlin, auf die mündliche Verhandlung vom 31.01.2013 durch die Vorsitzende Richterin am Landgericht …, den Richter … und die Richterin am Landgericht …
für Recht erkannt:

Auf die Berufung des Klägers wird unter Zurückweisung seines Rechtsmittels im Übrigen das am 13. August 2008 verkündete Urteil des Amtsgerichts Tiergarten – 2 C 6/08 – geändert:
Die Beklagte wird verurteilt, es zu unterlassen, die Internetprotokolladresse (IP-Adresse) des zugreifenden Hostsystems des Klägers, die im Zusammenhang mit der Nutzung öffentlich zugänglicher T elemedien der Beklagten im Internet – mit Ausnahme des Internetportals ..http://www.bmj.bund.de.. – übertragen wird, in Verbindung mit dem Zeitpunkt des jeweiligen Nutzungsvorganges über das Ende des jeweiligen Nutzungsvorganges hinaus zu speichern oder durch Dritte speichern zu lassen,

– sofern der Kläger während eines Nutzungsvorganges selbst seine Personalien, auch in Form einer die Personalien des Klägers ausweisenden E-Mail-Anschrift, angibt und
– soweit die Speicherung nicht im Störungsfall zur Wiederherstellung der Verfügbarkeit des Telemediums erforderlich ist.

Im Übrigen wird die Klage abgewiesen.
Die Kosten des Rechtsstreits in beiden Instanzen werden gegeneinander aufgehoben.
Das Urteil ist vorläufig vollstreckbar.
Der Kläger kann die Vollstreckung durch Sicherheitsleistung in Höhe des jeweils aufgrund des Urteils vollstreckbaren Betrages abwenden, sofern nicht die Beklagte zuvor Sicherheit in gleicher Höhe leistet.
Die Beklagte kann die Vollstreckung durch Sicherheitsleistung in Höhe von 5.000,00 €
sofern nicht der Kläger zuvor Sicherheit in gleicher Höhe leistet.

Gründe

A.

Die Beklagte betreibt eine Vielzahl allgemein zugänglicher Internetportale, auf denen aktuelle Informationen von Bundesbehörden und sonstigen Bundesorganen und – einrichtungen vorgehalten und für jedermann zum Abruf bereitgestellt sind. Dabei hält sie nach dem unbestrittenen Klägervortrag „bei den meisten Portalen“ jeden Zugriff auf ihre verschiedenen Informationsangebote in einer Protokolldatei fest. Auf diese Weise verfährt sie unstreitig jedenfalls bei den im Schriftsatz der Beklagten vom 22.03.2010 auf Seiten 21 bis 23 (BI. 124ft. I Band II d. A.), auf den Bezug genommen wird, aufgeführten Portalen.

In den Protokolldateien speichert sie – auch über das Ende des jeweiligen Nutzungsvorganges hinaus ­

  • den Namen der abgerufenen Datei bzw. Seite,
  • einen ggfs. von dem Nutzer in das Suchfeld eingegebenen Begriff,
  • das Datum und die Uhrzeit des Abrufs,
  • die übertragene Datenmenge,
  • die Meldung, ob der Abruf erfolgreich war,
  • die Internet-Protokoll-Adresse (IP-Adresse) des zugreifenden Hostsystems.

Bei der dynamischen IP-Adresse handelt es sich um eine Nummernfolge, die dem Internetnutzer ­ sobald er eine Internetverbindung herstellt – für die Dauer des jeweiligen Nutzungsvorgangs von seinem Zugangsanbieter (Acces-Provider) zugewiesen wird. Sie ermöglicht die Kommunikation vernetzter Geräte – Server und Privatcomputer – im Internet. Bei Abruf einer Seite wird dem Server, auf dem die Seite gespeichert ist, die Adresse des abrufenden Computers mitgeteilt, so dass die Daten über das Internet von dem einen an den anderen Rechner geleitet werden können. Die Zuweisung einer IP-Adresse ist somit aus technischen Gründen zur Übermittlung der abgerufenen Daten an den jeweiligen Internetnutzer erforderlich; sie stellt sicher, dass die abgerufenen Daten an ihn gesendet werden. Eine dynamische IP-Adresse wird zu einem bestimmten Zeitpunkt jeweils nur einem einzigen Nutzer zugewiesen. Die Zuweisung erfolgt aus dem Adresskontingent des Zugangsanbieters.

Die Beklagte verfolgt bei der Speicherung der IP-Adressen über das Ende des jeweiligen Nutzungsvorganges hinaus nach ihren eigenen Angaben u.a. folgende Ziele: 1. Abwehr von Angriffen, 2. Grundlage für die Strafverfolgbarkeit von Angriffen durch Identifizierung des Angreifers und 3. Abschreckungswirkung aufgrund der Strafverfolgbarkeit.

Die Beklagte verzichtet bei einigen der von ihr betriebenen Internetportale darauf, die IP- Adresse der jeweiligen Nutzer zu speichern. Auf die nicht abschließende Aufzählung im Schriftsatz des Klägers vom 26. März 2010 (BI. 166 I Band 11 d.A.) der einzelnen Behörden, die von der Speicherung der IP-Adressen absehen, wird Bezug genommen. Die Beklagte begründet dies damit, dass der „Angriffsdruck“ auf diese Seiten geringer sei.

Der Kläger hat in der Vergangenheit bereits verschiedene andere Internetportale der Beklagten aufgerufen und auch Suchwörter in die Suchmaske eingegeben. Dabei wurde die ihm jeweils zugewiesene IP-Adresse durch die Beklagte und ihre Behörden als Webseitenbetreiber über das Ende des jeweiligen Nutzungsvorganges hinaus gespeichert.

Der Kläger ist der Auffassung, mit der Speicherung der ihm jeweils zugewiesenen IP- Adresse über den Nutzungsvorgang hinaus verstoße die Beklagte gegen § 15 Abs. 4 Telemediengesetz vom 16. Februar 2007 (TMG). Da sie Diensteanbieter im Sinne dieser Vorschrift sei, sei es ihr nicht erlaubt, Nutzungsdaten – zu denen nach § 15 Abs. 1 TMG auch die personenbezogenen Daten eines Nutzers gehörten – über das Ende des Nutzungsvorgangs hinaus zu verwenden. Eine Ausnahme gelte nach den gesetzlichen Vorgaben lediglich, wenn und soweit diese Daten zum Zwecke der Abrechnung mit dem Nutzer erforderlich seien. Zu diesem Zweck speichere die Beklagte die IP-Adresse aber nicht; daher verletze sie mit der Speicherung der ihm jeweils zugewiesenen IP-Adressen sein Recht auf informelle Selbstbestimmung, das Bestandteil seines allgemeinen Persönlichkeitsrechts gemäß Art. 1 und 2 GG sei. Ihm stehe daher gegen die Beklagte ein Unterlassungsanspruch zu, der zum einen auf §§ 1004 Abs. 1 Satz 2, 823 Abs. 1 BGB und daneben auf §§ 1004 Abs. 1 Satz 2, 823 Abs. 2 Satz 1 BGB in Verbindung mit § 15 Abs. 4 TMG beruhe; § 15 Abs. 4 TMG sei ein Schutzgesetz im Sinne von § 823 Abs. 2 BGB.

Bei den ihm von seinem Zugangsanbieter (… Telekommunikation GmbH) beim Aufruf von Webseiten jeweils zugewiesenen IP-Adressen handele es sich um personenbezogene Daten im Sinne von § 15 Abs. 1 TMG und § 3 Abs. 1 BDSG. Rechtfertigende Gründe, die eine Speicherung dieser Adressen über den Nutzungsvorgang hinaus ausnahmsweise zulässig machen könnten, seien nicht ersichtlich. Insbesondere sei der Tatbestand der Ermächtigungsnorm des § 15 Abs. 4 TMG nicht erfüllt. Die Ermächtigungsnorm des § 100 TKG sei nicht einschlägig.

Im übrigen sei die Speicherung der IP-Adressen auch nicht zur Gewährleistung und Aufrechterhaltung der IT-Sicherheit und der Funktionsfähigkeit der Telemedien- und Telekommunikationsnetze der Beklagten erforderlich. Dies ergebe sich bereits daraus, dass die Beklagte eine Vielzahl von Internetportalen betreibe, ohne die jeweiligen IP-Adressen aufzuzeichnen.

Das Amtsgericht Tiergarten hat mit dem am 13. August 2008 verkündeten Urteil die Unter­ lassungsklage wegen seiner fehlenden sachlichen Zuständigkeit als unzulässig abgewiesen und den Streitwert auf 35.000,– € festgesetzt. Der Kläger hat gegen das ihm am 16. August 2008 zugestellte Urteil mit dem am 12. September 2008 eingegangenen Schriftsatz Berufung eingelegt und zugleich gegen die Streitwertfestsetzung des Amtsgerichts Beschwerde erhoben. Auf die Beschwerde hat das Landgericht den Gebührenstreitwert auf 4.000,– € herabgesetzt. Die hiergegen durch die Beklagte erhobene Rechtsbeschwerde hat der Bundessgerichtshof mit Beschluss vom 29. Oktober 2009 als unzulässig verworfen.

Der Kläger verfolgt mit der Berufung seinen erstinstanzlichen Klageantrag weiter und beantragt zuletzt, die Beklagte unter Aufhebung des am 13. August 2008 verkündeten Urteils des Amtsgerichts Tiergarten

zu verurteilen, es zu unterlassen. die Internetprotokolladresse (IP-Adresse) des zugreifenden Hostsystems des Klägers, die im Zusammenhang mit der Nutzung öffentlich zugänglicher Telemedien der Beklagten im Internet – mit Ausnahme des Internetportals http://www.bjm.bund.de – übertragen wird über das Ende des jeweiligen Nutzungsvorgangs hinaus zu speichern oder durch Dritte speichern zu lassen, soweit die Speicherung nicht im Störungsfall zur Wiederherstellung der Verfügbarkeit des Telemediums erforderlich ist,

hilfsweise,
sie zu verurteilen, es zu unterlassen, die Internetprotokolladresse (IP-Adresse) des zugreifenden Hostsystems des Klägers, die im Zusammenhang mit der Nutzung öffentlich zugänglicher Telemedien der Beklagten im Internet – mit Ausnahme des Internetportals http://www.bmLbund.de – übertragen wird in Verbindung mit dem Zeitpunkt des jeweiligen Nutzungsvorgangs über das Ende des jeweiligen Nutzungsvorgangs hinaus zu speichern oder durch Dritte speichern zu lassen, soweit die Speicherung nicht im Störungsfall zur Wiederherstellung der Verfügbarkeit des Telemediums erforderlich ist,

hilfsweise (sinngemäß),
die Verurteilung zur Unterlassung jedenfalls auf die im Schriftsatz der Beklagten vom 22. März 2010, dort Seite 21 – 23 (BI. 124 und 125/ Band 11) genannten Webseiten zu erstrecken.

Die Beklagte beantragt,
die Berufung zurückzuweisen.

Sie rügt zunächst die Zuständigkeit der ordentlichen Gerichtsbarkeit. Gegenstand des Klagebegehrens sei eine öffentlich-rechtliche Streitigkeit, weshalb der Verwaltungsrechtsweg nach § 40 Abs. 1 VwGO eröffnet sei. Die Beklagte komme mit ihren Informationsangeboten ihrer öffentlich rechtlichen Informationspflicht nach. Das von dem Kläger beanstandete Verhalten stehe in einem öffentlich-rechtlichen Funktionszusammenhang, weshalb keine bürgerlich-rechtliche Streitigkeit vorliege.

Das Amtsgericht habe die Klage zu Recht als unzulässig abgewiesen, weil der Streitwert 5.000,-­ EUR übersteige. Der Kläger betreibe den Rechtsstreit als Musterprozess; zudem müssten bei der Festsetzung des Zuständigkeitsstreitwerts die hohe Anzahl der Server, auf die sich das Unterlassungsbegehren beziehe, und die damit zusammenhängenden wirtschaftlichen Auswirkungen auf die Parteien Berücksichtigung finden.

Die Beklagte meint, sie sei nicht passivlegitimiert. Der Kläger verlange die beantragte Unterlassung von der gesamten Bundesrepublik Deutschland. Dieser Antrag schließe nicht nur Telemedienangebote im Geschäftsbereich des Bundesministeriums des Innern ein, sondern auch die Geschäftsbereiche anderer Ministerien. Gemäß Art. 65 Abs. 1 Satz 2 GG liege die Vertretungskompetenz jedoch für den jeweiligen Geschäftsbereich bei den einzelnen Bundesministerien. Das Bundesministerium des Innern sei nicht in der Lage, gegenüber anderen Verfassungsorganen, wie z. B. dem Bundestag, Weisungen zu erteilen und damit ein mögliches Unterlassungsurteil um- und durchzusetzen. Daher könne eine Verurteilung nur insoweit erfolgen, als die Vertretungsbefugnis reiche. Im vorliegenden Fall sei der Klageantrag daher unbegründet, soweit er auf Telemedienangebote außerhalb des Geschäftsbereichs des Bundesministerium des Innern gerichtet sei.

Die Klage sei schließlich unbegründet, weil dynamische IP-Adressen keine personenbezogenen Daten seien. Diese müssten sich auf bestimmte oder bestimmbare Personen beziehen. Sofern sich ein unmittelbarer Bezug zu einer bestimmten Person nicht herstellen lasse, seien die Daten nur dann personen bezogen, wenn die betroffene Person bestimmbar sei. Dies treffe auf dynamische IP-Adressen nicht zu. Nur der Zugangsanbieter der IP-Adresse könne zusammen mit einer Zeitangabe (Datum und Uhrzeit) eine IP-Adresse einem seiner Kunden zuordnen. Der Beklagten sei es dagegen nicht möglich, mit den ihr zur Verfügung stehenden Informationen die zum Datenabruf verwendete IP-Adresse zu individualisieren. Aus den öffentlich zugänglichen Datenbanken könne lediglich ermittelt werden, aus welchem Adressbereich eines Zugangsanbieters eine IP-Adresse stamme. Da eine Individualisierung zudem nur aufgrund einer konkreten Zeitangabe (Datum und Uhrzeit) erfolgen könne, sei allenfalls dem Hilfsantrag des Klägers, in keinem Fall aber seinem Hauptantrag stattzugeben.

Gegen die Qualifizierung von dynamischen IP-Adressen als personenbezogene Daten im Sinne von § 15 Abs. 1 TMG spreche ferner, dass der Zugangsanbieter nicht ohne weiteres berechtigt sei, die gespeicherten Daten weiterzugeben. Nach § 88 Abs. 3 Satz 3 TKG dürfe er nur Daten weitergeben, wenn und soweit das Telekommunikationsgesetz oder eine andere gesetzliche Vorschrift dies bestimme. Dem Datenaustausch zwischen Zugangsanbieter und der speichernden Stelle seien somit enge gesetzliche Grenzen gesetzt.

Die Speicherung der IP-Adressen sei zur Gewährleistung und Aufrechterhaltung der IT- Sicherheit und der Funktionsfähigkeit der Telemedien- und Telekommunikationsnetze der Beklagten erforderlich. Zur Erkennung und Abwehr von sog. DOS-Angriffen („denial of service“, d.h. ein Lahmlegen der T elekommunikationsinfrastruktur durch gezieltes und koordiniertes Fluten einzelner Webserver mit einer Vielzahl von Anfragen) setze die Beklagte ein Anomalisierungserkennungssystem ein, bei dem bestimmte Kennzahlen des normalen Datenverkehrs aufgezeichnet und Abweichungen als mögliche Angriffe eingestuft würden. Zur Anomalieerkennung müssten insbesondere die IP-Adressen über einen gewissen Zeitraum gesichert und ausgewertet werden, da sich Anomalien erst in einer Rückschau erkennen ließen. Diese Analyse könne mehrere Wochen dauern (BI. 129 – 134/ Band II d. A).

Die Beklagte behauptet, die Speicherung und Verwendung von IP-Adressen sei unverzichtbare Grundlage für die mittelbar wirksame IT-Sicherheitsmaßnahme der Protokollierung (BI. 132/ Band 11 d. A).

Die Zulässigkeit der Speicherung beruhe schließlich auch auf § 100 Abs. 1 TKG und auf § 5 des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG).

Das Gericht hat Beweis erhoben durch Einholung eines schriftlichen Sachverständigengutachtens mit Beschluss vom 20.05.2010 (BI. 17 / Band 111 d. A) in der geänderten Fassung des Beschlusses vom 22.03.2011 (BI. 101, Band 111 d.A.). Hinsichtlich des Ergebnisses der Beweisaufnahme wird auf das Sachverständigengutachten vom 29.07.2011 (BI. 103 ff. / Band 111 d. A) Bezug genommen. Mit Beschluss vom 04.01.2012 (BI. 144/ Band 111 d. A) hat die Kammer eine Erläuterung und Ergänzung des Sachverständigengutachtens angeordnet. Auf die Erläuterungen des Sachverständigen zum Gutachten vom 07.05.2012 (BI. 152 ff. / Band 111 d. A) wird Bezug genommen.

Wegen der weiteren Einzelheiten des Parteivorbringens wird ergänzend auf den Tatbestand des angefochtenen Urteils, auf den vorgetragenen Inhalt der gewechselten Schriftsätze nebst Anlagen sowie auf die Sitzungsniederschriften in beiden Instanzen verwiesen.

B.

Die statthafte, form- und fristgerecht eingelegte Berufung des Klägers ist teilweise begründet, denn die zulässige Klage ist nur in dem aus dem Tenor ersichtlichen Umfang begründet.

I. Zulässigkeit der Klage

1) Rechtsweg

Der Rechtsweg zu den ordentlichen Gerichten ist eröffnet (§ 13 GVG). Ob eine Streitigkeit öffentlich- oder bürgerlichrechtlich ist, richtet sich, wenn – wie hier – eine ausdrückliche Rechtswegzuweisung des Gesetzgebers fehlt, nach der Natur des Rechtsverhältnisses, aus dem der Klageanspruch hergeleitet wird. Dabei kommt es regelmäßig darauf an, ob die an der Streitigkeit Beteiligten zueinander in einem hoheitlichen Verhältnis der Über- und Unterordnung stehen und ob sich der Träger hoheitlicher Gewalt der besonderen, ihm zugeordneten Rechtssätze des öffentlichen Rechts bedient oder ob er sich den für jedermann geltenden zivilrechtlichen Regelungen unterstellt (GmS-OGB v. 29.10.1987, NJW 1988, 2295, 2296). Maßgebend ist danach der Gegenstand der Streitigkeit. Stehen sich die Parteien in einem Gleichordnungsverhältnis gegenüber, sind die Rechtsverhältnisse als öffentlich-rechtlich zu qualifizieren, wenn die das Rechtsverhältnis beherrschenden Rechtsnormen überwiegend den Interessen der Allgemeinheit dienen, wenn sie sich nur an Hoheitsträger wenden oder wenn die Beklagte als Träger öffentlicher Aufgaben bei der Erledigung dieser Aufgaben einem Sonderrecht unterworfen ist und nicht Rechtssätzen, die für jedermann gelten (GmS- OGB v. 10.7.1989, NJW 1990,1527).

Unter Heranziehung dieser Grundsätzen liegt keine öffentlich-rechtliche Streitigkeit vor. Der Kläger wendet sich mit seinem Klageantrag nicht gegen ein hoheitliches Handeln der Beklagten. Die Beklagte nimmt zwar eine öffentlich-rechtliche Aufgabe wahr, indem sie Informationen auf Webseiten zur Verfügung stellt. Bei der technischen Ausgestaltung (nicht der inhaltlichen Ausgestaltung) ihrer Informationsangebote ist sie aber an gesetzliche Regelungen (Telemediengesetz, Bundesdatenschutzgesetz usw.) gebunden, bei denen es sich nicht um Rechtssätze handelt, die speziell auf sie als Trägerin öffentlicher Gewalt zugeschnitten wären. Die Zulässigkeit der Speicherung von temporär zugewiesenen dynamischen IP-Adresse ist nicht durch Rechtsvorschriften geregelt, die ausschließlich auf die Beklagte als Trägerin öffentlicher Gewalt zugeschnitten wären. Vielmehr handelt es sich um Rechtssätze, die für jedermann gelten. Der von dem Kläger geltend gemachte Unterlassungsanspruch ist daher bürgerlich-rechtlicher Natur.

2) Prozessfähigkeit der Beklagten
Die Beklagte wird im Prozess gemäß § 51 Abs. 1 ZPO von dem Bundesministerium des Innern vertreten. Die Bundesrepublik wird durch den jeweils zuständigen Bundesminister, der nach Art. 65 Satz 2 GG im Rahmen der vom Bundeskanzler bestimmten Richtlinien der Politik seinen Geschäftsbereich selbständig und eigenverantwortlich leitet, innerhalb seines Ressorts vertreten (Entscheidung des Bundesgerichtshofs vom 15.06.1967, 111 ZR 137/64, zit. nach juris). Nach dem Organisationsplan des Bundesministerium des Innern ist die Abteilung IT-D für die IT-Steuerung des Bundes sowie IT-Infrastrukturen und das IT-Sicherheitsmanagement des Bundes zuständig. Die hier zu entscheidende Streitfrage unterfällt damit dem Ressort des Bundesministerium des Innern.

3) Zuständigkeit des Amtsgerichts
Das Amtsgericht hat die Klage zu Unrecht mit der Begründung als unzulässig abgewiesen, der Streitwert der Klage übersteige den in § 23 Nr. 1 GVG benannten Wert von 5.000,– €. Der Zuständigkeitsstreitwert beträgt lediglich 4.000,– €. Wegen der weiteren Einzelheiten der Wertfestsetzung wird auf den Beschluss der Kammer vom 7. April 2009 (BI. 35 – 39 I Band 11 d. A) Bezug genommen.

4) Bestimmtheit der Anträge
Der Klageantrag ist im Haupt- und ersten Hilfsantrag auch ohne Angabe der jeweils von der Klägerin betriebenen Webseiten im Sinne von § 253 Abs. 1 ZPO hinreichend bestimmt, da die Vollstreckungsfähigkeit einer den Klageantrag stattgebenden Entscheidung geWährleistet ist. Hauptantrag und erster Hilfsantrag erstrecken sich auf sämtliche öffentlich zugängliche Telemedien der Beklagten im Internet mit Ausnahme des Internetportals http://www.bmj.bund.de. Die Vollstreckung des Unterlassungstitels richtet sich nach § 890 ZPO. Der Schuldner ist wegen jeder Zuwiderhandlung auf Antrag des Gläubigers zu einem Ordnungsgeld zu verurteilen. Die Vollstreckung eines Urteils, dessen Tenor dem Klageantrag entspricht, wäre daher möglich. Denn hinsichtlich jeder Webseite, bezüglich derer der Kläger einen Antrag nach § 890 ZPO stellen würde, stünde eindeutig fest, ob diese Webseite durch die Beklagte als Diensteanbieter im Sinne von § 15 Abs. 1 und 4 TMG betrieben wird. Die Bestimmung des Anbieters ist durch Kenntnisnahme öffentlich zugänglicher Quellen möglich.

II. Begründetheit der Klage

Die Klage ist im ersten Hilfsantrag teilweise begründet.

Der Kläger hat gegen die Beklagte einen Anspruch auf Unterlassung im tenorierten Umfang aus §§ 1004 Abs. 1 Satz 2 BGB analog, 823 Abs. 1, Abs. 2 BGB i. V. m. Art 1 Abs. 1, 2 Abs. 1 GG, 4 Abs. 1 BDSG, 12 Abs. 1 TMG. Ein weitergehender Unterlassungsanspruch besteht nicht.

1) Passivlegitimation
Die Beklagte ist passivlegitimiert. Der Anspruch richtet sich gegen den verantwortlichen Betreiber des jeweiligen Internetportals. Dies ist für die streitgegenständlichen Internetportale die Beklagte. Die Beklagte hat nicht behauptet, sie sei nicht verantwortliche Betreiberin der streitgegenständlichen Portale. Auf die Weisungsbefugnis des Bundesministerium des Innern als des im Prozess berufenen Vertreters gegenüber sämtlichen betroffenen Organen der Beklagten kommt es indes nicht an. Denn die Beklagte wird durch die Verurteilung unmittelbar zur Unterlassung verpflichtet. Wie sie diese Verpflichtung praktisch umsetzt, ist ihr überlassen.

2) Unterlassungsanspruch
Der Kläger kann von der Beklagten aus §§ 1004 Abs. 1 Satz 2 BGB analog, 823 Abs. 1, Abs. 2 BGB i. V. m. Art 1 Abs. 1, 2 Abs. 1 GG, 4 Abs. 1 BDSG, 12 TMG verlangen, es zu unterlassen, die Internetprotokolladresse (IP-Adresse) seines zugreifenden Hostsystems, die im Zusammenhang mit der Nutzung öffentlich zugänglicher Telemedien der Beklagten im Internet – mit Ausnahme des Internetportals ..http://www.bmj.bund.de.. – übertragen wird, in Verbindung mit dem Zeitpunkt des jeweiligen Nutzungsvorganges über das Ende des jeweiligen Nutzungsvorganges hinaus zu speichern oder durch Dritte speichern zu lassen, sofern der Kläger während eines Nutzungsvorganges selbst seine Personalien, auch in Form einer die Personalien des Klägers ausweisenden E-Mail-Anschrift, angibt und soweit die Speicherung nicht im Störungsfall zur Wiederherstellung der Verfügbarkeit des Telemediums erforderlich ist.

a) § 12 TMG
Unter den genannten Bedingungen ist die dynamische IP-Adresse des Klägers in Verbindung mit dem Zeitpunkt des jeweiligen Nutzungsvorgangs ein personenbezogenes Datum im Sinne des § 12 TMG.

aa) Anwendbarkeit der §§ 11 ff. TMG
Die §§ 11 ff. TMG sind vorliegend einschlägig, da es um die Erhebung und Verwendung von Daten eines Nutzers eines Telemediendienstes geht. Nach § 1 Abs. 1 Satz 1 TMG stellen alle elektronischen Informations- und Kommunikationsdienste einen Teledienst dar, soweit diese – wie vorliegend der Fall – nicht als Telekommunikationsangebote (im Sinne des § 3 Nr. 24 TKG, § 3 Nr. 25 TKG) einzuordnen sind (s. auch weiter unten).

bb) personenbezogenes Datum
Nach der Legaldefinition des § 3 BDSG sind personenbezogene Daten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Die EG-Datenschutzrichtlinie 95/46/EG definiert in Art. 2 a) personenbezogene Daten als alle Informationen über eine bestimmte oder bestimmbare natürliche Person. Als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifziert werden kann, insbesondere durch Zuordnung einer Kennummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind. Im Erwägungsgrund Ziffer 26 zu dieser Richtlinie heißt es, dass bei der Entscheidung, ob eine Person bestimmbar ist, alle Mittel berücksichtigt werden sollten, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen. Die Schutzprinzipien sollen keine Anwendung auf Daten finden, die derart anonymisiert sind, dass die betroffene Person nicht mehr identifizierbar ist.

In der Literatur wird „Bestimmtheit“ angenommen, wenn sich die Daten direkt auf eine bestimmte Person beziehen, wenn sie also einen unmittelbaren Rückschluss auf die Identität einer Person zulassen. „Bestimmbarkeit“ wird angenommen, wenn die konkrete Person nicht allein durch die Daten identifiziert, jedoch mit Hilfe anderer Informationen und Zusatzwissen ein Personenbezug hergestellt werden kann (Krüger, Maucher, MMR 2011,433 ff., 434).

Auf dieser Grundlage ist allgemein anerkannt, dass die IP-Adresse in der Hand des Zugangsanbieters („Acces-Provider“), der über die Bestands- und Vertragsdaten seiner Kunden und über die seinen Kunden für den jeweiligen Internetzugriff zugewiesenen IP-Adresse verfügt, ein personenbezogenes Datum ist (Urteil des BVerfG vom 02.03.2010 zur Vorratsdatenspeicherung, 1 BvR 256/08, 1 BvR 263/08, 1 BvR 586/08, zit. nach juris; Urteil des BGH vom 12.05.2010, I ZR 121/08, zit. nach juris; Urteil des BGH vom 13.01.2011, 111 ZR 146/10, zit. nach juris).
Ob das auch für einen Internetseitenbetreiber gilt, der über Personaldaten der Nutzer in der Regel nicht verfügt, ist noch nicht höchstrichterlich entschieden. Die Antwort richtet sich nach der Auslegung des Begriffs „bestimmbar“.

Insoweit gibt es zwei Ansätze. Nach dem absoluten Verständnis reicht es aus, dass irgendein Dritter, beispielsweise der Zugangsanbieter, über das notwendige Zusatzwissen zur Herstellung des Personenbezugs verfügt. Auf die Möglichkeiten der die Daten verarbeitenden Stelle, an dieses Zusatzwissen zu gelangen, kommt es danach nicht an. Nach diesem Verständnis ist in der Konsequenz das „gesamte Weltwissen“ einzubeziehen.

Nach dem relativen Verständnis kommt es auf das Zusatzwissen der konkret verarbeitenden Stelle bzw. auf ihre (technische und ggfs. rechtliche) Möglichkeit an, sich dieses zu verschaffen.

Eine Analyse der wesentlichen Stimmen in Rechtsprechung und Literatur ergibt, dass im Ergebnis immer auf den relativen Begriff abgestellt wird, indem die Frage gestellt wird, ob und wie die Zuordnung für die verarbeitende Stelle mittels anderer Daten möglich ist. So wird darauf abgestellt, ob der Personenbezug „ohne großen Aufwand“ (Amtsgericht Berlin-Mitte, Urteil vom 27.03.2007, 5 C 314/06, zit. nach juris; Arbeitskreis Medien; Orientierungshilfe zum Umgang mit personenbezogenen Daten bei Internetdiensten, Abschnitt 3.1, abrufbar unter: http.llwww.datenschutz.hessen.de/_old_contentltb31/k25p03.htm). „mit normalen Mitteln“ (Beschluss des Hanseatischen Oberlandesgerichts Hamburg vom 03.11.2010, 5 W 126/10, zit. nach juris) oder „mit den normalerweise zur Verfügung stehenden Kenntnissen und Hilfsmitteln und ohne unverhältnismäßigen Aufwand“ (AG München, Urteil vom 30.09.2008, 133 C 5677/08, Rn. 22 – 24, zit. nach juris) möglich ist. Die Artikel-29-Datenschutzgruppe geht in ihrer Stellungnahme 4/2007, Seite 17/18, davon aus, dass die rein hypothetische Möglichkeit nicht reiche, wenn sie nicht bestehe oder vernachlässigbar sei, wobei alle relevanten Kontextfaktoren zu berücksichtigen seien.

Auch die Kammer folgt dem relativen Ansatz. Nach Auffassung der Kammer führt das absolute Verständnis zu einer uferlosen und damit unpraktikablen Ausdehnung des Datenschutzes, die vom Gesetzgeber so nicht gewollt ist. Nach dem absoluten Verständnis genügt eine rein theoretische Möglichkeit der Herstellung des Personenbezugs. Nach der relativen Theorie muss die Herstellung des Personenbezugs auch praktisch möglich sein. Es überzeugt nicht, schon bei einer rein theoretischen Bestimmbarkeit der Person diese unter den Schutz der informationellen Selbstbestimmung zu stellen, da eine rein theoretische Möglichkeit des Betroffenseins die schutzwürdigen Belange der Person gerade nicht berührt, so wie eine nur theoretische Gefahr keiner Abwehr bedarf. Etwas, das nur theoretisch bestimmbar ist, ist eben nicht tatsächlich bestimmbar.

Nach dem hier vertretenen relativen Ansatz muss die Bestimmung der Person technisch und rechtlich möglich sein und darf zudem nicht einen Aufwand erfordern, der außer Verhältnis zum Nutzen der Information für die verarbeitende Stelle steht. Es hat eine Abwägung im Einzelfall zu der Frage zu erfolgen, ob der Datenschutz erforderlich ist bzw. wie weit er reichen soll. Bei der Abwägung ist insbesondere zu berücksichtigen,

– welche Hürden bestehen, bevor die verarbeitende Stelle an die Zusatzinformation herankommt,
– ob und welche Missbrauchszenarien eine Rolle spielen,
– ob der Schutz des Klägers auch ohne den von ihm geforderten, umfassenden Datenschutz ausreichend ist,
– wie der gesellschaftliche Anspruch auf Strafverfolgung auch von Straftaten im Internet im Verhältnis zum Schutz des Klägers in Ansehung seines Anspruches auf Anonymität im Internet zu bewerten ist,
– wie groß die Gefahr ist, dass gegen tatsächlich unbeteiligte Anschlussinhaber ermittelt wird.

In Fällen, in denen der Nutzer seinen Klarnamen, z. B. auch durch eine entsprechende E-Mail­ Adresse, offen legt, etwa um während einer Kommunikationssitzung eine Broschüre zu bestellen, ist nach den genannten Parametern ein Personenbezug der dynamischen IP-Adresse zu bejahen, da das Kriterium der Bestimmbarkeit erfüllt ist (vgl. insoweit auch den Landesbeauftragten für den Datenschutz in Niedersachsen in seiner Darstellung auf der Homepage http://www.lfd.niedersachsen.de. dort zur Überschrift: Speicherung und Weitergabe von Internetadressen, dort Abs. 2). Zwar besteht die IP-Adresse selbst nur aus Ziffern; jedoch kann die Beklagte durch Abgleich der IP-Adresse in Verbindung mit dem Zeitpunkt des jeweiligen Zugriffs und mit dem Zeitpunkt der unter dem Klarnamen erfolgten Kontaktaufnahme, den Klarnamen des Nutzers mit der jeweiligen IP-Adresse verknüpfen. Die Beklagte kann jedenfalls in dem Augenblick der Eingabe/Sendung die im Web-Server gespeicherte IP-Adresse dem Nutzer selbst und ohne Einbeziehung des Zugangsanbieters zuordnen und ist sodann vielfach in der Lage, das Surfverhalten des Nutzers während dessen Besuch auf ihrem Portal unter der bekannten IP-Adresse nachzuvollziehen.

Der Einwand der Beklagten, die dynamische IP-Adresse könne zu jedem Zeitpunkt einem anderen Nutzer zugeordnet sein, so dass durch einen Abgleich gerade keine sichere Kenntnis des Surf­ Verhaltens des seine Klardaten preisgebenden Nutzers möglich sei, überzeugt nicht. Zum einen wird die dynamische IP-Adresse in der Regel nicht in kurzen Zeitintervallen (sekündlich oder minütlich) neu vergeben, sondern bleibt dem jeweiligen Computer für einen längeren Zeitraum, in der Regel bis zur Beendigung der Internet-Verbindung, zugeordnet. Zum anderen ist nicht ausgeschlossen, dass ein thematischer Bezug zwischen dem Anlass der Kontaktaufnahme mit Klardaten und der unter der jeweiligen IP-Adresse zuvor und danach durchgeführten Surf-Session hergestellt werden kann.

Die Beklagte wendet weiter ein, dass sie die Formulareingaben teilweise nicht zusammen mit der IP-Adresse und dem Zeitpunkt des Serverzugriffes erfasse und speichere. Formulareingaben und Serverzugriffe würden getrennt erfasst, gespeichert und verarbeitet. Die Formulareingaben würden nicht in einer Protokolldatei erfasst. Die getrennten Daten seien nachträglich nicht mehr zusammenführbar. Der Kläger habe daher allenfalls einen Anspruch darauf, dass Formulareingaben getrennt von IP-Adressen erfasst werden, was problemlos möglich sei.

Unter Anwendung obiger Parameter zur Bestimmbarkeit ist jedoch von einer leichten und direkten Möglichkeit der Beklagten auszugehen, die Daten zu verknüpfen. Denn beide Daten befinden sich – wenn auch an unterschiedlichen Stellen ihrer Organisation – in ihrer Verfügungsgewalt. Dabei kommt es auch nicht darauf an, ob die Beklagte den Abgleich vornehmen will oder nicht.

Dass die Zusammenführung der getrennt gespeicherten Daten technisch möglich ist, hat der Kläger dargestellt, dem ist die Beklagte schriftsätzlich nicht mehr entgegengetreten.

cc) Erlaubnistatbestand
Der Umgang mit personenbezogenen Daten greift in das Grundrecht auf informationelle Selbstbestimmung ein, das sich aus Art. 1 Abs. 1 GG i. V. m. Art. 2 Abs. 1 GG ableitet (vgl. BVerfGE 65, 1 ff.). Danach ist grundsätzlich jeder Umgang mit personenbezogenen Daten einer natürlichen Person verboten. Gemäß § 12 TMG darf der Diensteanbieter personenbezogene Daten zur Bereitstellung von Telemedien (§ 12 Abs. 1 TMG) sowie für andere Zwecke (§ 12 Abs. 2 TMG) nur erheben und verwenden, soweit das TMG oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat. Beides ist vorliegend nicht der Fall.

(1) Einwilligung
Die Beklagte ist der Meinung, der Kläger würde in die Erhebung und Verwendung seiner personenbezogenen Daten einwilligen, wenn er ihr unter Angabe seiner Klardaten eine Email oder ein auf dem Internetportal zur Verfügung gestelltes Formular übersende.

Die mit der Preisgabe der Klardaten verbundene Einwilligung des Klägers ist in diesem Fall jedoch inhaltlich beschränkt auf den mit der jeweiligen Email bzw. dem jeweiligen Formular verbundenen Zweck. Sie stellt keine Einwilligung im datenschutzrechtlichen Sinne dahin dar, dass auch die von ihm verwendete IP-Adresse in Verbindung mit dem Zeitpunkt des Zugriffs erhoben und gespeichert wird (vgl. zur Zweckbindung der Einwilligung: Roßnagel-Bizer/Hornung, Beck’scher Kommentar zum Recht der Telemediendienste 2013, § 12 TMG Rn. 68). Darüber hinaus fehlt es an dem erforderlichen Hinweis des Anbieters gemäß § 4a Abs. 1 Satz 2 BDSG (vgl. Roßnagel, aaO, § 12 TMG Rn. 72 ff.) sowie der erforderlichen Form (vgl. Roßnagel, aaO, § 12 TMG Rn. 76 ff.).

(2) § 15 Abs. 4 TMG
Gemäß § 15 Abs. 4 TMG dürfen personenbezogene Daten (Nutzungsdaten) über das Ende des Nutzungsvorganges hinaus nur verwendet werden, soweit sie für Zwecke der Abrechnung mit dem Nutzer erforderlich sind. Ein solcher Zweck wird vorliegend nicht geltend gemacht und ist auch nicht ersichtlich. Die Speicherung von IP-Nummern ist für Abrechnungszwecke in der Regel nicht erforderlich (Roßnagel, aaO, § 15 TMG Rn. 74).

(3) § 15 Abs. 1 TMG
Gemäß § 15 Abs. 1 TMG ist die Erhebung und Verwendung von personenbezogenen Daten (Nutzungsdaten) erlaubt, wenn dies für die Ermöglichung der Inanspruchnahme des Telemediums erforderlich ist.

Die Registrierung (als Erhebung) und Speicherung (als Verwendung) der IP-Adresse des Klägers durch die Beklagte bis zum Ende des Nutzungsvorganges ist in diesem Sinne für die Inanspruchnahme des Telemediums erforderlich, weil die IP-Adresse den Empfänger der von der Web-Seite der Beklagten ausgehenden Datenpakete bestimmt.

Jedoch ist die hier im Streit stehende Speicherung der IP-Adresse über das Ende des Nutzungsvorganges hinaus (als Verwendung personenbezogener Daten) nicht erforderlich für die Ermöglichung oder Inanspruchnahme des Telemediums.

Es ist schon fraglich, ob § 15 Abs. 1 TMG überhaupt Verwendungen von personenbezogenen Daten über das Ende des Nutzungsvorganges hinaus erlaubt oder § 15 Abs. 4 TMG für diese Verwendungen von Daten abschließend ist. Denn § 15 Abs. 4 TMG erlaubt die weitere Verwendung von Daten, die unter den Voraussetzungen des § 15 Abs. 1 TMG erhoben und verwendet wurden (Roßnagel, aaO, § 15 TMG Rn. 72). Der Diensteanbieter hat die bei der Inanspruchnahme von Telemedien gespeicherten Nutzungsdaten frühestmöglich, spätestens unmittelbar nach Ende der jeweiligen Nutzung zu löschen. Ausgenommen hiervon sind lediglich solche Nutzungsdaten, die für Abrechnungszwecke (§ 15 Abs. 4 TMG) erforderlich sind (Roßnagel, aaO, § 15 TMG Rn. 54).

Diese Frage kann jedoch dahinstehen, da die Speicherung der IP-Adresse über das Ende des Nutzungsvorgangs hinaus für die Ermöglichung des Angebots nicht erforderlich ist.

Ein starkes Indiz für die Nichterforderlichkeit ist in tatsächlicher Hinsicht, dass die Beklagte den Zugriff auf viele ihrer Seiten auch ohne Speicherung der IP-Adresse ermöglicht.

Dies ist unstreitig, nachdem der Kläger konkrete Internetportale der Beklagten benannt hat, bei denen sie darauf verzichtet, die IP- Adresse der jeweiligen Nutzer zu speichern (vgl. die Aufzählung der einzelnen Webseiten im Schriftsatz des Klägers vom 26. März 2010 (BI. 166 / Band 11 d. A). Dies hat die Beklagte mit Schriftsatz vom 28.06.2010 (BI. 35 ff / Band 111 d. A) zwar pauschal bestritten und vorgetragen, dass „etwa“ das Bundeskriminalamt keine IP-Adressen von Besuchern seiner Webseiten speichere, dass jedoch das Zentrum für Informationsverarbeitung und Informationstechnik als IT-Dienstleister aus dem Geschäftsbereich des Finanzministeriums die Webseiten des Bundeskriminalamtes hoste und die IP-Adressen speichere. „Einige Behörden der Bundesverwaltung“ hätten den Betrieb von Webservern auch an private Dienstleister ausgelagert, bei denen „davon auszugehen“ sei, dass sie eine Speicherung von IP-Adressen vornähmen (BI. 42f. Band 111 d. A). Jedoch trifft die Beklagte in diesem Zusammenhang eine sekundäre Darlegungslast, da nur sie einen Einblick in die Speicherpraxis ihrer Behörden hat. Dieser Darlegungslast hat sie mangels substantiierten Vortrags, dass bei den vom Kläger konkret benannten Portalen die IP-Adresse von Externen gespeichert werde, nicht genüge getan. Hinzu kommt, dass der Kläger im Schriftsatz vom 01.10.2010 (BI. 61ff. / Band 111 d. A) auf eine Erklärung des Bundesdatenschutzbeauftragten aus dem Jahr 2008 Bezug nimmt, nach der mehrere der genannten Anbieter ausdrücklich erklärt hätten, keinen externen Serverbetreiber einzuschalten. Dies wiederum hat die Beklagte nicht bestritten, was bedeutet, dass sie ihr (ohnehin unsubstantiiertes) „Bestreiten“ nicht aufrecht erhält.

Jedenfalls aber ist unstreitig, dass im Rahmen der vom Bundesministerium der Justiz betriebenen Internetseiten eine Speicherung der IP-Adressen der Nutzer nicht vorgenommen wird.

In rechtlicher Hinsicht ist der Begriff der Erforderlichkeit eng auszulegen (vgl. Spindler-Schuster, Recht der elektronischen Medien, 2. Auflage, § 15 Rn. 5). Nach Auffassung der Kammer umfasst er nicht den sicheren Betrieb der Seite, für den die Speicherung der IP-Adresse über das Ende des Nutzungsvorganges hinaus unter Umständen erforderlich ist. Denn ansonsten wäre die Einführung eines Erlaubnistatbestandes zwecks Abwehr von Angriffen zum Schutz der Systeme entsprechend § 100 TKG, die die Bundesregierung zunächst durch Einführung eines § 15 Abs. 9 TMG beabsichtigt hatte, gar nicht erforderlich gewesen. Bedeutsam ist in diesem Zusammenhang ein Vergleich mit der Systematik des TKG: § 96 Abs. 1 Nr. 5 TKG regelt den Umgang mit zum Zweck des Aufbaus und der Aufrechterhaltung der Telekommunikation erforderlichen Daten; in § 100 TKG ist die Abwehr von Gefahren geregelt (Scheurle/Mayen Büttgen, Telekommunikationsgesetz Kommentar, 2. Auflage 2008, § 96 Rn. 7). Dies bedeutet, dass in dem Zweck der Aufrechterhaltung der Telekommunikation nicht die Gefahrenabwehr enthalten sein kann.

(4) § 100 TKG
Die Datenschutzregeln des Telekommunikationsgesetzes, §§ 91 ff. TKG, sind vorliegend nicht anwendbar, da es bei dem hier streitgegenständlichen Diensteangebot der Beklagten nicht um die geschäftsmäßige Erbringung von Telekommunikationsdiensten geht. § 100 TKG räumt nur dem Anbieter von Telekommunikationsleistungen Befugnisse zur Erhebung und Verwendung personenbezogener Daten von Teilnehmern und Nutzern ein.

Diensteanbieter ist nach der Legaldefinition des § 3 Nr. 6a TKG jeder, der ganz oder teilweise geschäftsmäßig Telekommunikationsdienste erbringt oder an der Erbringung solcher Dienste mitwirkt. Ein Telekommunikationsdienst ist nach der Legaldefinition des § 3 Nr. 24 TKG ein (in der Regel gegen Geld) erbrachter Dienst, der ganz oder überwiegend in der Übertragung von Signalen über Telekommunikationsnetze besteht.

Die Beklagte ist hinsichtlich der hier im Streit stehenden Nutzung eines Telemediums durch den Kläger jedoch nur Anbieter eines Telemediums, nicht jedoch einer Telekommunikationsdienstleistung. Ein Telekommunikationsangebot (im Sinne des § 3 Nr. 24 TKG) liegt nicht vor.

Soweit die Beklagte sich darauf beruft, dass sie auch Telekommunikationsleistungen anbiete, die sie ihren Behörden und Dienststellen zur Nutzung zur Verfügung stelle, weshalb sie Gefahren für ihre IT-Systeme abwehren müsse, führt dies nicht zur Anwendbarkeit des § 100 TKG. Es mag sein, dass die Beklagte gegenüber ihren Behörden und Dienststellen auch Telekommunikationsdienste anbietet. Jedoch stellt dies kein geschäftsmäßiges Erbringen von Telekommunikationsdiensten im Sinne von § 3 Nr. 10 TKG dar, da das Angebot nicht Dritten außerhalb der Behörden zur Verfügung steht. Darüber hinaus gibt § 100 Abs. 1 TKG nach seinem Wortlaut und Sinn und Zweck nur Eingriffsbefugnisse gegenüber den Teilnehmern und Nutzern der Telekommunikationsdienstleistungen und nicht den Nutzern anderer (Telemedien-) Dienstleistungen, um die es vorliegend geht. Der Begriff des „Nutzers“ ist in § 3 Nr. 14 TKG legaldefiniert als eine Person, die einen Telekommunikationsdienst in Anspruch nimmt. Dies ist der Kläger auch nach dem Sachvortrag der Beklagten nicht.

Die analoge Anwendung von § 100 TKG auf den Anbieter von Telemediendienstleistungen ist ausgeschlossen, da es sich bei § 15 TMG um eine abschließende Regelung handelt. Eine Regelungslücke liegt nicht vor. Dies ergibt sich zum einen eindeutig aus dem Wortlaut des § 15 Abs. 1 TMG: „Der Diensteanbieter … darf personenbezogene Daten eines Nutzers nur erheben und verwenden, …“. Zu anderen folgt dies daraus, dass der Gesetzentwurf ursprünglich vorsah, in § 15 Abs. 9 TMG eine dem § 100 TKG inhaltlich entsprechende Regelung aufzunehmen, was jedoch ersatzlos gestrichen wurde.

Auch ist das betroffene Rechtsgut der informationellen Selbstbestimmung grundrechtlich geschützt (Art. 1 Abs. 1, 2 Abs. 1 GG), so dass hinsichtlich eines Erlaubnistatbestandes ein Analogieverbot besteht.

(5) § 904 BGB analog
Die Zulässigkeit der Datenspeicherung ergibt sich auch nicht aus einer analogen Heranziehung des Rechtsgedankens des § 904 BGB. Eine Analogie verbietet sich aus den gleichen zu § 100 TKG (s.o.) ausgeführten Gründen.

(6) § 5 BSIG
§ 5 BSIG enthält eine dem § 100 TKG entsprechende Regelung der Speicherung von Protokolldaten zur Abwehr von Schadprogrammen für die Kommunikationstechnik des Bundes. § 5 BSIG betrifft Daten, die bei dem Betrieb von Kommunikationstechnik anfallen (Protokolldaten). Kommunikationstechnik ist nach der Legaldefinition des § 2 Abs. 3 BSIG die Informationstechnik, die von einer Bundesbehörde betrieben wird und der Kommunikation oder dem Datenaustausch der Bundesbehörden untereinander oder mit Dritten dient. Hiervon werden die Telekommunikationsdienste erfasst, die die Beklagte ihren Behörden und Dienststellen zur Nutzung zur Verfügung stellt.

Im vorliegenden Fall geht es jedoch um das Betreiben von öffentlichen Internetseiten durch die Beklagte. Diese werden von der Beklagten nicht betrieben, um dem Kläger und anderen Nutzern zur Kommunikation mit den jeweiligen Bundesbehörden zu dienen.

Im übrigen dürfen Daten gemäß § 5 Abs. 1 Satz 1 BSIG ohne besondere Anhaltspunkte für einen Verdacht nur zur automatisierten Auswertung betreffend Störungen erhoben werden, also in Abgrenzung zu § 5 Abs. 2 BSIG (längstens drei Monate) nur für kurze Zeit (§ 5 Abs. 1 Satz 2 BSIG), während die Beklagte die IP-Adressen auf Vorrat und über Monate speichert.

b) Wiederholungsgefahr
Wiederholungsgefahr im Sinne von § 1004 Abs. 1 Satz 2 BGB ist gegeben, da die Beklagte nicht dargelegt hat, ihre Praxis, die IP-Adressen der Nutzer in Protokolldateien zu speichern, in Zukunft aufgeben zu wollen.

c) keine Beschränkung auf zweiten Hilfsantrag
Der Unterlassungsanspruch des Klägers gegen die Beklagte bezieht sich auf sämtliche von der Beklagten betriebenen Internetportale mit Ausnahme desjenigen des BMJ, ohne dass diese im Tenor konkret zu bezeichnen wären. Der Anspruch erstreckt sich zum einen auch auf die Portale, bei denen die IP-Adresse nicht gespeichert wird, da bei diesen die Beklagte von ihrer bisherigen Übung jederzeit wieder abweichen könnte. Zum anderen erfasst der Anspruch auch Portale, die in der nicht abschließenden Aufzählung im Schriftsatz der Beklagten vom 22. März 2010, dort Seite 21 – 23 (BI. 124 ff. / Band“ d. A.), gegebenenfalls nicht aufgeführt sind. Drittens wird die Beklagte zukünftig mit Sicherheit neue Seiten und Telemedienangebote kreieren, hinsichtlich derer auch ein Unterlassungsanspruch des Klägers besteht.

3) Kein weitergehender Unterlassungsanspruch
a) Hauptantrag
Der Kläger hat keinen Anspruch auf Unterlassung der Speicherung der IP-Adresse als solcher, das heißt ohne Zeitpunkt des Zugriffes. Der Hauptantrag ist insoweit unbegründet.

Der Kläger kann nur die Unterlassung der Speicherung der IP-Adresse in Verbindung mit dem Zeitpunkt des jeweiligen Nutzungsvorgangs verlangen. Soweit die Beklagte nur die IP-Adressen ohne den zugehörigen Zeitpunkt des Zugriffs speichert, stellt die IP-Adresse als solche kein personenbezogenes Datum im Sinne von §§ 12 TMG, 3 BDSG dar. Denn ohne den Zeitpunkt des Zugriffes kann ein Bezug zwischen den unter Angabe der Personalien stattgefundenen Kontakten des Klägers mit der Beklagten und der jeweiligen IP-Adresse auch unter Ausschöpfung aller technischen Möglichkeiten nicht hergestellt werden, s.o.

b) kein Anspruch des Klägers als anonymer Surfer
Soweit der Kläger während eines Besuchs auf einem Internetportal der Beklagten seinen Klarnamen nicht angibt, kann nur der Zugangsanbieter die IP-Adresse einem bestimmten Anschlussinhaber zuordnen. Der Betreiber der Internetseite (Beklagte) selbst verfügt nicht über das dazu erforderliche Zusatzwissen. Er kann den Personenbezug nur durch Auskunftserteilung durch den Zugangsanbieter, welchem Anschlussinhaber zu welchem Zeitpunkt eine bestimmte IP­ Adresse zugeordnet war, herstellen.
In diesem Fall handelt es sich bei der IP-Adresse des Klägers in Verbindung mit dem Zeitpunkt des Zugriffes in den Händen der Beklagten nach Auffassung der Kammer nicht um ein personenbezogenes Datum.

aa) sachliches oder persönliches Verhältnis einer Person
Soweit die Beklagte sich darauf beruft, dass der Nutzer, also die konkret auf die Internetseite der Beklagte zugreifende Person, sich unter keinen Umständen ermitteln lasse, sondern – auch nach Auskunftserteilung des Zugangsanbieters – nur die Person des Anschlussinhabers, bezüglich dessen kein sachliches oder persönliches Verhältnis vorliege, teilt die Kammer diese Auffassung nicht.

Die Beklagte beruft sich diesbezüglich auf das Urteil des Bundesgerichtshofs vom 12.05.2010 (I ZR 121/08, zit. nach juris).
In dieser Entscheidung ging es um die Haftung des dortigen Beklagten für einen Urheberrechtsverstoß, der erwiesenermaßen nicht von ihm, jedoch von seinem (ungesicherten) WLAN-Anschluss aus durch einen unbekannten Dritten, gegen den dortigen Kläger verübt worden ist. Die IP-Adresse des beklagten Anschlussinhabers wurde von einem privaten Unternehmen, das den Musiktitel des Urheberrechtsträgers im Internet für diesen überwacht hatte, festgestellt. Die Identität des Beklagten als Anschlussinhaber wurde von der Staatsanwaltschaft ermittelt durch Einholung einer Auskunft vom Zugangsanbieter nach strafprozessualen Befugnissen. Der BGH hat die Haftung des Anschlussinhabers auf Schadensersatz verneint. Zwar treffe den Anschlussinhaber eine sekundäre Darlegungslast dahingehend, dass er selbst nicht der Handelnde war, jedoch habe der Beklagte dieser·im konkreten Fall genüge getan. Eine Zurechnung der Handlung des Täters zum Beklagten hat der BGH aus rechtlichen Gründen abgelehnt und dies begründet wie folgt: „die IP-Adresse … ist keinem konkreten Nutzer zugeordnet, sondern nur einem Anschlussinhaber, der grundsätzlich berechtigt ist, beliebigen Dritten Zugriff auf seinen Internetanschluss zu gestatten. Die IP-Adresse gibt deshalb bestimmungsgemäß keine zuverlässige Auskunft über die Person, die zu einem konkreten Zeitpunkt einen bestimmten Internetanschluss nutzt. Damit fehlt die Grundlage dafür, den Inhaber eines WLAN-Anschlusses im Wege einer unwiderleglichen Vermutung so zu behandeln, als habe er selbst gehandelt“. Hintergrund der Entscheidung ist die Abgrenzung von dem Fall, in dem der Inhaber eines Mitgliedskontos bei Ebay sein Konto nicht hinreichend vor Zugriffen Dritter gesichert hat und sich so behandeln lassen muss, als habe er selbst gehandelt. Der Unterschied besteht darin, dass der Inhaber eines WLAN-Anschlusses beliebigen Dritten die Nutzung des Anschlusses erlauben darf, ohne für diese die deliktische Verantwortung zu übernehmen.

Diese Entscheidung enthält keine Aussage dazu, ob es sich bei der IP-Adresse um ein personenbezogenes Datum handelt oder nicht. Es geht nur um die Frage der Zurechnung einer Verletzungshandlung zu dem Inhaber des Anschlusses, von dem aus gehandelt worden ist. Der Satz in dem Urteil des Bundesgerichtshofs „IP-Adresse lässt bestimmungsgemäß keine zuverlässige Auskunft über die Person des Nutzers zu einem bestimmten Zeitpunkt zu“ ist nur in diesem Zusammenhang zu verstehen.

Die Tatsache, dass über die IP-Adresse allenfalls der Anschlussinhaber, nicht der Nutzer, ermittelt werden kann, schließt richtigerweise ein personenbezogenes Datum nicht aus. Denn der Inhaber des Anschlusses ist jedenfalls ermittelbar. Und auch die Inhaberschaft eines Anschlusses, von dem aus verbotene Handlungen begangen werden, ist ein sachliches oder persönliches Verhältnis im Sinne des Datenschutzrechtes. Denn der Bundesgerichtshof nimmt in dem genannten Urteil gerade eine sekundäre Darlegungslast des Anschlussinhabers sowie eine Verantwortlichkeit als Störer an. Da sich an die Anschlussinhaberschaft somit rechtliche Folgen knüpfen, ist sie als solches auch ein sachliches Verhältnis im Sinne des Datenschutzrechts.

Das Vorliegen eines sachlichen oder persönlichen Verhältnisses der Anschlussinhaberschaft ergibt sich indirekt auch aus der Entscheidung des Bundesgerichtshof vom 13.01.2011 (111 ZR 146/10, zit. nach juris). In dieser Entscheidung hat der BGH das Merkmal des personenbezogenen Datums der IP-Adresse im Verhältnis des Anschlussinhabers zum Zugangsanbieter bejaht. Dies setzt voraus, dass es sich bei der Anschlussinhaberschaft um ein sachliches oder persönliches Verhältnis handeln.

Im übrigen ist, nachdem die Anzahl der Nutzer, die an einem bestimmten Rechner Zugang haben, begrenzt und in den meisten Fällen überschaubar ist, auch von der Bestimmbarkeit der Person des Nutzers auszugehen.

bb) Bestimmbarkeit
Nach Auffassung der Kammer fehlt es in den Fällen, in denen der Kläger anonym surft, aber an der Voraussetzung der Bestimmbarkeit des Anschlussinhabers bzw. Nutzers.

In Rechtsprechung und Literatur ist diese Frage streitig.
Nach einem Urteil des Amtsgerichts München (Urteil vom 30.09.2008, aaO) stellt die IP-Adresse für den Web-Seiten-Betreiber kein personenbezogenes Datum dar, weil dieser zu der Identifizierung des hinter der IP-Adresse stehenden Anschlussinhabers Informationen benötige, die ihm nicht zur Verfügung stünden. Auch das Landgericht Wuppertal verneint ein personenbezogenes Datum, weil der Zugangsanbieter, der das Datum abrufe, mit dem ihm zur Verfügung stehenden Mitteln, nicht identifiziert werden könne (LG Wuppertal, Beschluss vom 19.10.2010, Rn. 10, 25 Os 10 Js 1977/08 – 177110, 25 Os 177/10, zit. nach juris). Mit gleicher Argumentation verneint das Hanseatische Oberlandesgericht Hamburg einen Personenbezug (Urteil vom 03.11.2010, Rn. 9, 5 W 126/10, zit. nachjuris).

Die gegenteilige Ansicht vertritt das Amtsgericht Berlin-Mitte (Urteil vom 27.3.2007 – 5 C 314/06, Rn. 14, zit. nach juris). Es stützt sich auf die EG-Richtlinie 95/46/EG, die unter Ziffer 26 bestimmt, dass bei der Entscheidung, ob eine Person bestimmbar sei, alle Mittel berücksichtigt werden müssten, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden können, um die betreffende Person zu bestimmen. Nach Ansicht des Amtsgerichts Mitte sei es durch die Zusammenführung der personenbezogenen Daten mit Hilfe Dritter ohne großen Aufwand in den meisten Fällen möglich, Internetnutzer aufgrund ihrer IP­ Adressen zu identifizieren. Eine Verneinung des Personenbezugs von dynamischen IP-Adressen habe zur Folge, dass diese Daten ohne Restriktion an Dritte, z. B. den Zugangsanbieter, übermittelt werden könnten, die ihrerseits die Möglichkeit hätten, den Nutzer aufgrund der IP­ Adresse zu identifizieren, was mit dem Grundgedanken des Datenschutzrechts nicht vereinbar sei. Mit der gleichen Begründung geht auch der Arbeitskreis Medien (aaO, Abschnitt 3.1) von einem personenbezogenen Datum aus. Der Auffassung des Amtsgerichts Mitte hat sich das Verwaltungsgericht Wiesbaden in einem Beschluss vom 27.02.2009 (6 K 1045/08.WI, Rn. 39, zit. nach juris) angeschlossen.

Diese Argumentation überzeugt indes nicht. Das Amtsgericht Mitte lässt es für den Personenbezug genügen, dass die Zusammenführung der Daten ohne großen Aufwand – gemeint ist allein in technischer Hinsicht – möglich ist. Es mag zutreffen, dass die Zusammenführung technisch ohne großen Aufwand möglich ist; jedoch kann dies nicht für einen Personenbezug ausreichen. Das Amtsgericht Mitte lässt unberücksichtigt, dass die Zusammenführung rechtlich nur unter bestimmten Voraussetzungen möglich ist. Es zieht nicht in die Erwägung mit ein, dass der Zugangsanbieter der Beklagten aus (datenschutz-)rechtlichen Gründen die Daten grundsätzlich nicht übermitteln darf und praktisch in der Regel auch kein eigenes Interesse an dieser Datenübermittlung hat, so dass eine Übermittlung in der Praxis die Ausnahme bleibt.

Die Ansicht des Amtsgerichts Mitte, dass die Daten ohne Restriktion von der Beklagten an den Zugangsanbieter übermittelt werden könnten, der seinerseits eine Identifizierung der Person vornehmen könne, trifft ebenfalls nicht zu, weil die Übermittlung von Daten auch dann dem Datenschutzrecht unterfällt, wenn die Daten zwar nicht für den Übermittelnden, aber für den Empfänger, personenbezogene Daten sind bzw. werden. Dabei ist es allgemein anerkannt und höchstrichterlich entschieden, dass auf Seiten des Zugangsanbieters ein personenbezogenes Datum gegeben ist (Urteil des BGH vom 13.01.2011, 111 ZR 146/10, zit. nach juris; Urteil des EuGH vom 24.11.2011, C-70/10, Rn. 51, zit. nach juris). Das Amtsgericht Mitte stellt nicht darauf ab, ob der Betroffene mit legalen Mitteln identifiziert werden kann, mit dem Argument, dass das Datenschutzrecht gerade vor dem Missbrauch von Daten schützen solle. Diese Schlussfolgerung ist insofern unzutreffend, als bei der Identifizierung einer Person mit illegalen Mitteln ein Verstoß gegen Datenschutzrecht bereits erfolgt ist, und dieses den Betroffenen bereits hinreichend schützt.

Nach Auffassung der Kammer setzt die Bestimmbarkeit voraus, dass die Person nicht nur theoretisch, sondern auch praktisch bestimmbar ist. Dies bedeutet, dass die Bestimmung der Person technisch und rechtlich möglich sein muss, und zwar mit einem Aufwand, der nicht außer Verhältnis zum Nutzen der Bestimmung der Person aus Sicht der verarbeitenden Stelle steht.

Die Kammer schließt sich dabei dem Ansatz des Schweizerischen Bundesgerichts in dessen Urteil vom 08.09.2010 (Aktenzeichen 1C_285/2009) an, das darauf abstellt, ob der Aufwand derart groß ist, dass nach der allgemeinen Lebenserfahrung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird, was abhängig vom konkreten Fall zu beantworten sei. Dabei seien die Möglichkeiten der Technik mit zu berücksichtigen. Dies sei jedoch nicht auf die Frage beschränkt, welcher Aufwand objektiv erforderlich sein, um eine bestimmte Information einer Person zuordnen zu können, sondern erfasse auch die Frage, welches Interesse der Datenbearbeiter oder ein Dritter an der Identifizierung habe.

Maßgeblich für die Bestimmung der Reichweite des Datenschutzrechts sind dabei die bereits aufgezählten Parameter. Deren Würdigung spricht vorliegend gegen die Annahme der Bestimmbarkeit der Person.

(1) Bedingungen der legalen Kenntniserlangung durch die Beklagte
Maßgeblich ist hier erstens, unter welchen Voraussetzungen und mit welcher Maßgabe der Zugangsanbieter über Zusatzinformation verfügt, und zweitens, unter welchen Voraussetzungen und mit welcher Maßgabe die Beklagte Kenntnis von diesen Zusatzinformationen erlangen kann.

(a) Bei dem Zugangsanbieter vorhandene Zusatzinformationen
Die Speicherung von IP-Adressen nebst Zeitpunkt des Zugriffs durch den Zugangsanbieter ist zulässig, soweit dies zum Aufbau und zur Aufrechterhaltung der Telekommunikation sowie zur Entgeltabrechung notwendig ist (§ 96 Abs. 1 Satz 1 Nr. 5, Satz 2 und 3, 97 Abs. 1 Satz 1 TKG) und soweit es zum Erkennen, Eingrenzen und Beseitigen von Störungen oder Fehlern an Telekommunikationsanlagen erforderlich ist (§ 100 Abs. 1 TKG).

Der Bundesgerichtshof hat mit Urteil vom 13.01.2011 entschieden, dass es sich bei den IP­ Adressen in der Hand des Zugangsanbieters um Verkehrsdaten im Sinne von § 96 TKG handelt (Urteil des BGH vom 13.01.2011, aaO, Rn. 23) und dass die tatsächlichen Voraussetzungen für die Befugnis des beklagten Zugangsanbieters, der die Speicherung anlässlich des Verfahrens auf sieben Tage begrenzt hatte, gemäß §§ 96 Abs. 1 Satz 2 I. V. m. §§ 97 Abs. 1 Satz 1, Abs. 2 Nr. 1 und § 100 Abs. 1 TKG durch das Berufungsgericht nicht rechtsfehlerfrei festgestellt worden seien, weil es kein Sachverständigengutachten zur Frage der technischen Erforderlichkeit eingeholt habe. Ob die Speicherung für die Abrechnung erforderlich sei, hänge von der jeweiligen Tarifvereinbarung des Kunden sowie den technischen Bedingungen ab.

Lägen die tatsächlichen Voraussetzungen des 100 Abs. 1 TKG jedoch vor, so erlaube die Norm auch die präventive Erhebung und Verwertung von Daten, da eine abstrakte Gefahr von Störungen und Fehlern an Telekommunikationsanlagen genüge. Die auf sieben Tage begrenzte Speicherung der dynamischen IP-Adresse genüge der Verhältnismäßigkeit (BGH; Urteil vom 13.01.2011, aaO, Rn. 27, 28; vgl. dazu auch den offenen Brief des Bundesdatenschutzbeauftragten an den Arbeitskreis Vorratsdatenspeicherung vom 16.3.2007, zitiert nach der Veröffentlichung im Internet).

Daraus folgt, dass ein Zugangsanbieter die IP-Adressen der Kunden jedenfalls für sieben Tage präventiv speichern darf, soweit dies tatsächlich technisch erforderlich ist, um Störungen und Fehler an der Anlage zu erkennen und zu beseitigen. Eine Speicherung darf auch erfolgen, soweit dies nach der Tarifvereinbarung des Klägers mit seinem Zugangsanbieter und in technischer Hinsicht für die Abrechung erforderlich ist.

Im Ergebnis ist davon auszugehen, dass der Zugangsanbieter des Klägers nur für einen begrenzten Zeitraum die an ihn zu verschiedenen Zeitpunkten jeweils vergebenen IP-Adressen gemäß §§ 96, 97, 100 TKG legal speichert.

Eine Speicherung nach Maßgabe des § 113 a TKG ist nicht zu berücksichtigen, weil diese Vorschrift vom Bundesverfassungsgericht für unvereinbar mit Art. 10 Abs. 1 GG, und damit für nichtig erklärt worden ist und eine entsprechende Speicherung – jedenfalls derzeit – mangels Rechtsgrundlage unzulässig ist (BVerfG zur Vorratsdatenspeicherung, Urteil vom 02.03.2010, 1 BvR 256/08, 1 BvR 263/08, 1 BvR 586/08, zit. nach juris).

Zu beachten ist jedoch, dass das Bundesverfassungsgericht die Speicherungspflicht des Diensteanbieters nicht schlechthin für verfassungswidrig hält, sondern nur in der Ausgestaltung der §§ 113 a, 113 b TKG, die dem Verhältnismäßigkeitsgrundsatz nicht genüge tun.

(b) Kenntnisnahme durch die Beklagte
Der Zugangsanbieter ist datenschutzrechtlich daran gehindert, die relevanten Daten an Dritte zu übermitteln. Diese stellen nämlich in ihrer Hand ein personenbezogenes Datum dar, s.o. Die Übermittlung dieser Daten an Dritte ist damit grundsätzlich verboten und nur in den folgenden gesetzlich normierten Fällen erlaubt:

– Die Strafverfolgungsbehörden dürfen unter der Voraussetzung des § 100 g Abs. 1 StPO diese Daten bei dem jeweiligen Zugangsanbieter erheben, wodurch – sobald die Beklagte von dem Ermittlungsergebnis Kenntnis erlangt – der Personenbezug der IP-Adresse in der Hand der Beklagten entstünde.
§ 100 g Abs. 1 StPO setzt aber voraus, dass der Betroffene einer Straftat von auch im Einzelfall erheblicher Bedeutung, insbesondere einer in § 100 a Abs. 2 StPO bezeichneten Straftat, oder einer mittels Telekommunikation begangenen Straftat, deren Aufklärung ansonsten aussichtslos wäre, verdächtig ist. Im letzten Fall muss zusätzlich die Verhältnismäßigkeit im Einzelfall vorliegen, § 100 g Abs. 1 Satz 2 StPO. Das Vorliegen der Voraussetzungen wird richterlich überprüft, § 100 g Abs. 2, 100 b StPO.

Nach Auffassung der Kammer kann die HersteIlbarkeit des Personenbezugs bezogen auf ein ansonsten nicht-personenbezogenes Datum in einem Ermittlungs- oder Strafverfahren unter Beachtung der o.g. Grundsätze grundsätzlich nicht dazu führen, die Bestimmbarkeit der Person hinsichtlich dieses Datums zu bejahen und das Datum per se unter den Schutz des Datenschutzrechts zu stellen. Denn im Rahmen eines Strafverfahrens ist das Recht der informationellen Selbstbestimmung des Beschuldigten grundsätzlich in dem Ausmaß eingeschränkt, wie es für die Durchführung des Strafverfahrens erforderlich ist. Insoweit überwiegt regelmäßig – was sich schon aus dem Sinn und Zweck der StPO ergibt – das Strafverfolgungsinteresse der Allgemeinheit gegenüber dem allgemeine Persönlichkeitsrecht des jeweils Beschuldigten.

Soweit der Kläger hier argumentiert, dem Staat sei es verboten, alleine zu Zwecken der hypothetischen Strafverfolgung präventiv, d. h. noch ohne konkreten Straftatverdacht, Daten zu erheben, die im Falle einer tatsächlich begangenen Straftat zu personenbezogenen Daten ergänzt werden könnten, überzeugt dies nicht. Ebenfalls nicht überzeugend ist die Argumentation der Artikel-29-Datenschutzgruppe in der Stellungnahme 4/2007 (Seite 19), die darauf abstellt, dass es gerade der Zweck der Verarbeitung von IP-Adressen durch den Web-Seiten-Betreiber sei, den Nutzer zu identifizieren, woraus sich ergebe, dass dieser gerade vom Vorhandensein der Mittel ausgehe, die zur Identifizierung der betreffenden Person vernünftigerweise eingesetzt werden könnten.

Denn nach dem Urteil des Bundesverfassungsgerichts vom 02.03.2010 (aaO) ist ein Gesetz, das die anlasslose, präventive Speicherung personenbezogener Daten durch den Zugangsanbieter, die nur dem Zweck einer späteren Strafverfolgung durch den Staat dient, erlaubt, nicht schlechthin verfassungswidrig, sondern der Grundsatz der Verhältnismäßigkeit ist zu beachten. Überträgt man diese Grundsätze auf die vorliegende Fragestellung, so wird der Grundsatz der Verhältnismäßigkeit in der hier zu entscheidenden Konstellation dadurch gewahrt, dass die Beklagte von der Identität des Anschlussinhabers nur dann erfahren kann, wenn wegen einer Straftat von besonderer Bedeutung ermittelt wird oder wegen einer mittels Telekommunikation begangenen Straftat, wobei der Grundsatz der Verhältnismäßigkeit im Einzelfall gewahrt sein muss, was richterlich überprüft wird.

– Die Beklagte erhält (derzeit) auch keine Kenntnis von IP-Adressen nach Maßgabe der §§ 113 b TKG, 100 g StPO, da diese Vorschrift – § 100 g StPO, soweit er die Erhebung von gemäß § 113 a TKG gespeicherten Daten zulässt – für verfassungswidrig erklärt worden ist (BVerfG aaO). Jedoch ist nach dem Urteil des Bundesverfassungsgerichts die Speicherungspflicht des Dienstanbieters nicht schlechthin verfassungswidrig. Eine verfassungsgemäße Speicherung und Verwendung der gespeicherten Daten kommt nach dem Urteil des Bundesverfassungsgerichts aber jedenfalls nur in Betracht für überragend wichtige Aufgaben des Rechtsgüterschutzes, das heißt zur Ahndung von Straftaten, die überragend wichtige Rechtsgüter bedrohen oder zur Abwehr von Gefahren für solche Rechtsgüter (BVerfG, aaO, Rn. 227 ff.). Sollte der Gesetzgeber in Zukunft eine dieser und sämtlichen weiteren Maßgaben des Bundesverfassungsgerichts Rechnung tragenden Speicherungspflicht normieren, so wäre die Bestimmbarkeit der Person des Klägers hinsichtlich der Speicherung seiner IP-Adresse und des Zeitpunkt des Zugriffes durch die Beklagte angesichts dieser Begrenzung der Möglichkeit der Beklagten, das für den Personenbezugs erforderliche Zusatzwissen zu erlangen, zu verneinen.

– Soweit § 113 TKG (manuelles Auskunftsverfahren) Behörden die Abfrage von Kunden- und Bestandsdaten gem. §§ 95, 111 TKG ermöglicht (worunter nach streitiger Rechtsprechung und Literatur grundsätzlich auch Auskunftsansprüche hinsichtlich des Anschlussinhabers einer bestimmten IP-Adresse fallen können, die der Zugangsanbieter unter Nutzung und Auswertung von Verkehrsdaten zu ermitteln hätte, vgl. BVerfG aaO Rdn. 254 ff), gelten zunächst weniger strenge verfassungsrechtliche Voraussetzungen. Da nämlich ein gesteigertes Interesse an der Möglichkeit besteht, Kommunikationsverbindungen im Internet zum Rechtsgüterschutz oder zur Wahrung der Rechtsordnung den jeweiligen Akteuren zuordnen zu können, das Internet also keinen rechtsfreien Raum bilden darf, begegnet die Zulassung solcher – mittelbar auf Verkehrsdaten zurückgreifende – Auskünfte auch unabhängig von begrenzenden Rechtsgüter­ oder Straftatenkataloge für die Verfolgung von Straftaten (nicht Ordnungswidrigkeiten) auch ohne Richtervorbehalt grundsätzlich keinen verfassungsrechtlichen Bedenken (vgl. BVerfG aaO, Rdn. 45, 260, 261, 279).

Die Vorschrift ist zudem nunmehr verfassungskonform dahin auszulegen, dass sie für sich allein und ohne konkrete Abrufnorm noch keine Auskunftspflichten des T elekommunikationsunternehmen begründet und dass sie eine Zuordnung dynamischer IP­ Adressen nicht (mehr) erlaubt (BVerfG vom 24.1.2012, BvR 1299/05, Rdn. 164 ff, 174).

Demnach ist spätestens ab dem 1.7.13 entweder ohne zwischenzeitlich geschaffene bzw. zu schaffende Regelungen/Abrufnormen (vgl. BT-DrS 17/12034 vom 9.1.13, in die Ausschüsse überwiesen) eine Auskunftserteilung von hinter einer IP-Adresse stehenden Anschlussinhabern über § 113 TKG nicht mehr möglich oder nur unter Beachtung der engeren Voraussetzungen der neu zu schaffenden und den Anforderungen des Bundesverfassungsgerichts entsprechenden Regelungen möglich.

Für die Übergangszeit kann wegen der Bedeutung für die Aufklärung von Gefahren und Straftaten aber noch die bisherige Handhabung hingenommen werden.

– Die Beklagte kann unter bestimmten Voraussetzungen auch gemäß § 101 Abs. 2 Satz 1 Nr. 3, Abs. 9 UrhG als Betroffene einer Urheberechtsverletzung und Inhaberin eines zivilrechtlichen Auskunftsanspruches von dem Zugangsanbieter Auskunft verlangen. Zwar erscheint eine Konstellation schwer vorstellbar, in der ein Nutzer öffentlicher Internetseiten der Beklagten einen Urheberechtsverstoß zu deren Lasten begeht. Diese zivilrechtliehe Auskunftsrecht steht aber ähnlich wie die Datenerhebung gem. § 100 g StPO durch Ermittlungsbehörden (s.o.) unter einem „Richtervorbehalt“, sofern die Auskunft nur unter Verwendung von Verkehrsdaten erteilt werden kann, § 101 Abs. 9 UrhG, denn dann ist eine vorherige richterliche Anordnung durch das ausschließlich zuständige Landgericht erforderlich, das über die Zulässigkeit der Verwendung von Verkehrsdaten zu befinden hat. Mithin hat es auch das Vorliegen der Voraussetzungen eines Auskunftsanspruchs, nämlich eine Urheberechtsverletzung in gewerblichem Ausmaß i.S.v. § 101 Abs. 1 UrhG festzustellen.

Eine solche Sachlage kann im Rahmen der Wertung und Abwägung der dargestellten gegensätzlichen Interessen nicht anders betrachtet werden als eine solche im Rahmen eines Ermittlungs- bzw. Strafverfahrens gegen einen Beschuldigten, wobei sich bei Urheberechtsverletzungen beides in der Regel überschneiden wird.

(2) Die Gefahr des Missbrauchs
Die theoretische Möglichkeit, dass der Provider der Beklagten unbefugt Auskunft erteilt, besteht grundsätzlich, so wie unrechtmäßiges Verhalten nie ausgeschlossen werden kann. Jedoch kann dies kein Grund sein, Daten, die für sich genommen keinen Personenbezug haben, unter den Schutz des Datenschutzrechtes zu stellen. Zum einen kann eine solche illegale Handlung nicht als normalerweise und ohne großen Aufwand durchzuführende Methode angesehen werden (so zutreffend Urteil des AG München, aaO, Rn. 24). Zum anderen werden in den Fällen des Missbrauchs und illegalen Verhaltens die datenschutzrechtlichen Belange des Betroffenen zwingend schon dadurch ausreichend geschützt, dass der Missbrauch als solcher gegen geltendes Datenschutzrecht verstößt (nämlich gegen das grundsätzliche Verbot, personenbezogene Daten ohne Rechtsgrundlage anderen Stellen zu übermitteln) oder gar eine strafbare Handlung darstellt (206 StGB). Vor diesem Hintergrund besteht kein Bedürfnis den Schutz schon derart vorzuverlagern, dass die Beklagte die IP-Adressen von vorne herein nicht speichern darf. Hinzu kommt, dass der Zugangsanbieter die relevanten Daten nur sieben Tage lang speichert. Dieser Zeitraum mag dafür ausreichen, dass die Staatsanwaltschaft mit oder – bei Gefahr im Verzug – ohne richterlichen Beschluss (§§ 100 g Abs. 1 Satz 1, Abs. 2 Satz 1, 100 b Abs. 1 Satz 2 StPO) die relevanten Daten beim Zugangsanbieter erhebt. Eine illegale Datenübermittlung wird durch den kurzen zur Verfügung stehenden Zeitraum von sieben Tagen praktisch jedoch deutlich erschwert, wenn nicht gar unmöglich gemacht.

(3) Interessenabwägung
Ein ausgewogenes Verhältnis zwischen dem gesellschaftliche Anspruch auf Strafverfolgung auch von Straftaten und Urheberechtsverletzungen im Internet und dem Schutz des Klägers in Ansehung seines Anspruches auf Anonymität im Internet besteht nur dann, wenn die Beklagte als Webseitenbetreiberin Daten, die zunächst ohne Personenbezug sind, speichern darf, deren Personenbezug dann – und nur in diesem Falle – hergestellt werden kann, wenn der Verdacht einer Straftat nach oben genannten Maßgaben besteht. Dann müssen die datenschutzrechtlichen Belange des Klägers zurücktreten. Wäre dies anders, so könnten Straftaten im Internet aufgrund der Anonymität der Nutzer grundsätzlich nicht verfolgt werden.

(4) Gefahr der Ermittlung gegen Unbeteiligte
Die Gefahr, dass ein Ermittlungsverfahren gegen eine unschuldige Person geführt wird, besteht ganz allgemein und in allen Lebensbereichen. Dies ist die notwendige Begleiterscheinung der Strafverfolgung nach der StPO, kann aber kein Grund dafür sein, von der Verfolgung bestimmter Straftaten abzusehen oder deren Verfolgung zu erschweren oder von vorne herein unmöglich zu machen.

In gleicher Weise ist nicht ersichtlich, weshalb vorliegend die Identifizierung von Anschlussinhabern unmöglich gemacht werden sollte, weil theoretisch ein Unbeteiligter verdächtigt werden könnte. Die Gefahr der Verdächtigung eines Unbeteiligten im Rahmen einer mit technischen Mitteln durchgeführten IP-Nummern-Zuordnung ist jedenfalls nicht größer als in der „realen“ Welt außerhalb des Internets, in der Beschuldigte beispielsweise aufgrund von Zeugenaussagen einer Straftat verdächtigt werden.

III. Beweisaufnahme/Sachverständigengutachten
Nach alldem war der Rechtsstreit aus Rechtsgründen entscheidungsreif, auf die in anderer Besetzung beschlossene und nachfolgend in noch mal anderer Besetzung durchgeführte Beweisaufnahme kam es nicht an.

IV. Nebenentscheidungen
Die Kostenentscheidung folgt aus §§ 97 Abs. 1, 92 Abs. 1 ZPO.

Der Ausspruch über die vorläufige Vollstreckbarkeit beruht auf § 708 Nr. 10, 711 ZPO.

Aufgrund der grundsätzlichen Bedeutung der Sache war die Revision zuzulassen, § 543 Abs. 2 Nr. 1 ZPO. Auch erfordert die Fortbildung des Rechts eine Entscheidung des Revisionsgerichts, § 543 Abs. 2 Nr. 2 ZPO.

Neues zum Personenbezug von IP-Adressen

Heise-Online berichtet unter dem Titel „Mehr Infos aus IP-Adressen“ über das Tracking anhand von IP-Adressen.

Die Microsoft-Research-Methode geht aber noch deutlich weiter: Sie kann ermitteln, ob es sich bei der Adresse um den Arbeitsplatz eines Users, seinen Heim-PC oder seinen Reiselaptop handelt.

Im zugehörigen Artikel der Technology Review mit dem Titel „Der Trick mit dem Tracking“ wird das Verfahren näher erläutert:

Forscher bei Microsoft Research im Silicon Valley haben nun aber eine Methode entdeckt, bei der selbst ein Eintrag auf einem solchen „Do Not Track“-Verzeichnis nichts mehr hilft: Sie können Nutzer allein anhand ihrer Internet-Adresse (IP) durch das Netz verfolgen und ihren genauen Wohnort ermitteln. Zwar ist es schon lange möglich, aus einer einzelnen IP die Stadt des Nutzers festzustellen. Die Microsoft-Research-Methode geht aber noch deutlich weiter: Sie kann ermitteln, ob es sich bei der Adresse um den Arbeitsplatz eines Users, seinen Heim-PC oder seinen Reiselaptop handelt.

Dafür nutzten die Forscher statistische Modelle, die sie mithilfe von Log-Dateien von Software-Update- und E-Mail-Diensten aufgebaut haben. Die Quelle dieser Dateien gaben sie jedoch nicht preis. Das Datenmaterial analysierten die Wissenschaftler dann bezüglich verschiedener Indikatoren wie der Zeit des Online-Gehens oder Art des Rechners (Laptop oder stationärer PC). Laut Aussage der Forscher lässt sich die Vorgehensweise auch leicht auf Log-Dateien übertragen, die bei Providern und Suchmaschinen anfallen.

Datenschutz

Der Artikel wirft auch kurz die datenschutzrechtliche Problematik dieses Verfahrens auf.

Für den deutschen Streit um den Personenbezug hat dies aber weitere Konsequenzen:

Unter den Schutz des BDSG fallen Daten, die personenbezogen oder personenbeziehbar sind, also alle Daten, die entweder zu einer Person gehören, oder aus denen sich ein Rückschluss auf die Person ziehen lässt.

Was ist mit IP-Adressen?

In Rechtsprechung und Literatur ist die Frage, ob IP-Adressen personenbezogene Daten sind, stark umstritten. Eine klar hM lässt sich mittlerweile nicht mehr ausmachen, zumal einige Gerichte in letzter Zeit IP-Adressen als nicht personenbezogen angesehen haben(z.B. das OLG Hamburg, Beschl. v. 3.11.2010 – 5 W 126/10, s. auch hier).

Die Forschungsarbeit der Microsoft Research zeigt eindrücklich, dass diese Tendenz falsch ist. Denn die Forscher können mit den IP-Adressen jedenfalls mindestens sehr nah an die Person heran. Sie können darüber hinaus sogar feststellen, welchen Rechner diese benutzen. Mit entsprechenden Daten, die nicht nur den Provider, sondern offenbar auch anderen, z.B. Suchmaschinenbetreibern, vorliegen, kann also ein eindeutiger Personenbezug hergestellt werden.

Ergebnis

Nach dem BDSG sind IP-Adressen damit personenbeziehbar und damit auch personenbezogen und unterfallen dem vollen Schutz des BDSG mit all seinen Konsequenzen.

Lesetipp: Gramespacher/Wichering, Anm. zu LG Wuppertal: Schwarzsurfen, K&R 2010, 840

In der aktuellen Dezember-Ausgabe der Kommunikation & Recht ist eine Anmerkung von Gramespacher und Wichering zum Schwarzsurfen-Beschluss des LG Wuppertal (Beschl. v. 19.10.2010 – 25 Qs-10 Js 1977/08-177/10; s. dazu auch hier; und zum Urteil des AG Zeven hier) erschienen (K&R 2010, 840-842).

Hier nur kurz ein paar interessante Zitate aus der m.E. guten Anmerkung:

Diverse „Freifunk-Projekte“ legen vielmehr nahe, das Einwählen in offen betriebene WLAN-Netzwerke auch unter dem Gesichtspunkt eines – möglicherweise – „sozialadäquaten Verhaltens“ zu betrachen. Die Mitbenutzung eines offenen Netzwerks stellt nicht generell einen Missbrauch dar. …

Genauso ist danach zu fragen, ob ein unverschlüsselt betriebenes WLAN-Netzwerk heute nicht vielmehr auf eine bewusste Entscheidung des Betreibers schließen lässt und sogar von einem altruistischen Austauschgedanken geleitet wird. …

Es kann nicht generell davon ausgegangen werden, dass „offene Netze“ Rechtsverletzungen über das Internet generell Vorschub leisten und die vorhandenen Instrumentarien des Straf- und auch Zivilrechts gegenwärtig hiermit überfordert sind. …

Die Autoren verweisen in diesem Zusammenhang wiederholt auf einen Beitrag von Oliver Garcia.

AG Wuppertal, Beschl. v. 3.8.2010 – 26 Ds-10 Js 1977/08-282/08: Schwarz-Surfen (doch) nicht strafbar (inkl. Volltext)

Das AG Wuppertal hat offenbar seine Ansicht  bzgl. der Strafbarkeit des Schwarz-Surfens korrigiert und kommt nun in einem ablehnenden Eröffnungsbeschluss (Volltext s.u.) zum Ergebnis, dass eine Strafbarkeit nicht gegeben ist.

Dabei hatte das AG Wuppertal mit Teilen der Literatur mit einem Urteil aus dem Jahre 2007 (AG Wuppertal, Urteil vom 3. 4. 2007 – 22 Ds 70 Js 6906/06) noch die Auffassung vertreten, dass die Nutzung eines offenen WLAN durch Dritte nach §§ 89, 148 TKG, §§ 43 II Nr. 3, 44 BDSG strafbar sei. Dem war anschließend das AG Zeven gefolgt (s. dazu hier; Bericht über eine weitere „öffentliche Festnahme“ hier).

Nun hat das AG Wuppertal auf die immer wieder geäußerte Kritik reagiert und seine Ansicht geändert:

Diese Ansicht überspannt jedoch den Schutz- und Strafbereich der hier in Betracht kommenden Strafvorschriften.

(im einzelnen s.u. sowie die Besprechung von Jens Ferner)

Damit läuft eine Rechtsfrage wieder auf ihre (richtige) Klärung zu. Vor allem könnte dies auch Auswirkungen auf das noch laufenden Ermittlungsverfahren gegen Google haben, wobei man allerdings nicht vergessen darf, dass in jenem Fall Daten tatsächlich gespeichert wurden, ohne dazu hier eine Bewertung vorzunehmen. Aber jedenfalls die beim Schwarz-Surfen üblicherweise automatisch zugewiesene IP-Adresse wird vom AG Wuppertal nicht mehr als „abgefangene Nachricht“ nach § 89 TKG eingestuft.

Links:

Update: Das Aktenzeichen lautet „26 Ds-10 Js 1977/08-282/08“, nicht wie ursprünglich angegeben „20 Ds-10 Js 1977/08-282/08“. Danke an RA Gramespacher (www.miur.de) für den Hinweis.

Volltext

AG Wuppertal, Beschl. v. 3.8.2010 – 26 Ds-10 Js 1977/08-282/08

Amtsgericht Wuppertal

Beschluss

In der Strafsache
gegen […]
wegen Ausspähen von Daten

(Tenor:)

Der Antrag auf Eröffnung des Hauptverfahrens wird aus rechtlichen Gründen abgelehnt.
Die Kosten des Verfahrens und die notwendigen Auslagen des Angeschuldigten hat die Staatskasse zu tragen.

Gründe
Nach den Ergebnissen des vorbereitenden Verfahrens erscheint der Angeschuldigte einer Straftat nicht hinreichend verdächtig. Hinreichender Tatverdacht im Sinne des §203 StPO ist zu bejahen, wenn bei vorläufiger Tatbewertung auf Grundlage des Ermittlungsergebnisses die Verurteilung in einer Hauptverhandlung wahrscheinlich ist.

Dies ist vorliegend nicht der Fall. Eine Strafbarkeit des Angeschuldigten ist nicht ersichtlich. Vorgeworfen wird ihm, sich am 26.08.2008 und am 27.o8.2oo8 mit seinem Laptop mittels einer drahtlosen Netzwerkverbindung in das offene Funknetzwerk des Zeugen I. eingewählt zu haben, um ohne Erlaubnis und ohne Zahlung eines Entgeltes die Internetnutzung zu erlangen.
Dieses Verhalten ist jedoch nicht strafbar.

Es erfüllt weder den Tatbestand des unbefugten Abhörens von Nachrichten nach §89 I 1 TKG noch des unbefugten Abrufens oder Verschaffens personenbezogener Daten nach §§44, 43 II Nr.3 BDSG.

Zwar wurde in der Entscheidung des Amtsgerichts Wuppertal vom 03.04.2010 (NStZ 2008, 161) ein solches Verhalten als strafbar gesehen. Danach sei der WLAN-Router eine elektrische Sende- und Empfangseinrichtung und damit eine Funkanlage im Sinne des §89 TKG. Die aufgrund der Internetnetzung abgehörte “Nachricht” sei in der Zuweisung einer IP-Adresse durch den Router zu sehen. Das Verhalten sei unbefugt, weil die IP-Adresse nicht für den Angeklagten bestimmt gewesen sei.

Zudem sei eine Strafbarkeit nach §44 i.V.m. §43 II Nr.3 BDSG gegeben, da durch Zugriff auf den Router personenbezogene Daten abgerufen würden. Da der Angeklagte des Nichtvorhandensein einer Flatrate des “Opfers” zumindestens billigend in Kauf nehme, handele er auch in Bereicherungs- bzw. Schädigungsabsicht.

Diese Ansicht überspannt jedoch den Schutz- und Strafbereich der hier in Betracht kommenden Strafvorschriften.

Eine Strafbarkeit nach §89 S.1 TKG ist nicht gegeben. Als “Nachricht” kommt hier allenfalls die automatische Zuweisung einer IP-Adresse an den Computer in Betracht (so AG Wuppertal, NStZ 2008, 161). Hierbei ist aber bereits äußerst fraglich, ob die Zuweisung einer IP-Adresse eine “Nachricht” im Sinne dieser Vorschrift darstellt (vgl. Popp, jurisPR-ITR 16/2008 Anm.4). Dass der Angeschuldigte andere Nachrichten des Zeugen I. unbefugt empfangen haben könnte, lässt sich nach dem Ermittlungsergebnis gerade nicht feststellen (BL. 79 d.A.). Jedenfalls ist durch das vorgeworfene Nutzen des Internetzugangs kein “abhören” im Sinne des §89 TKG gegeben. Dies ergibt sich bereits aus dem Wortlaut der Vorschrift. Unter Abhören ist das unmittelbare Zuhören oder das Hörbarmachen für andere, aber auch das Zuschalten einer Aufnahmevorrichtung zu verstehen. Dies erfordert jedenfalls einen zwischen anderen Personen stattfindenden Kommunikationsvorgang, den der Täter als Dritter mithört (vgl. Bär MMR 2005, 434, 440). Es müsste ein bewusster und gezielter Empfang fremder Nachrichten und das bewusste und gezielte Wahrnehmen fremder Nachrichten durch den Täter gegeben sein, um von einem Abhören von Nachrichten sprechen zu können. Dies ist bei dem Nutzer eines fremden WLAN nicht der Fall.

Für einen solchen bewussten und gezielten Empfang von Nachrichten durch den Angeschuldigten gibt es keine Anhaltspunkte. Dem Angeschuldigten kam es ausweislich der Anklage und des Ermittlungsergebnisses nur darauf an, durch Einwählen in das Netzwerk des Zeugen dessen Internetzugang mitbenutzen zu können. Das dabei notwendige Empfangen der IP-Adresse stellt kein Abhören fremder Nachrichten dar, denn hierdurch wird die Vertraulichkeit fremder Kommunikation nicht angegriffen (vgl. Popp, jurisPR-ITR 16/2008 Anm.4). Die IP-Adresse ist im Übrigen auch für den Angeschuldigten bestimmt gewesen, da er der einzige Teilnehmer der Internetverbindung gewesen ist. Damit ist er nicht Mithörer eines fremden Datenaustauschs (vgl. Bär MMR 2005, 434, 440).

Auch ist der Tatbestand des §44 I i.V.m. §43 II Nr.3 BDSG nicht erfüllt. Der Angeschuldigte hat ausweislich der Anklage und des Ermittlungsergebnisses keine personenbezogenen Daten abgerufen oder sich verschafft. In Betracht kommen auch hier allenfalls die IP-Daten. Die IP-Daten sind jedoch keine personenbezogenen Daten im Sinne des §3 I  BDSG (vgl. auch Popp, jurisPR-ITR 16/2008 Anm.4). Personenbezogene Daten sind hiernach alle Informationen über persönliche und sachliche Verhältnisse, die einer natürlichen Person zuzuordnen und nicht allgemein zugänglich sind.  Die IP-Adresse wird frei an den jeweiligen, das Netzwerk nutzenden Computer vergeben. Die Daten waren im Zeitpunkt des Empfangs durch den Angeschuldigten für diesen – als Nutzer des Computers der sich in das netzwerk einwählt – bestimmt und somit der Schutzbereich der Datendelikte nicht berührt (vgl. Popp, JurisPR-ITR 16/2008 Anm.4). Wer sich in ein WLAN einwählt, kann grds. nicht erkennen, wer der Betreiber des WLANs ist (MMR 2008, 632, 635). Dass dies bei dem Angeschuldigten  anders sein sollte, ist nicht ersichtlich und wäre nach dem derzeitigen Ermittlungsstand nicht nachweisbar (vgl. Aktenvermerk Bl. 79 d.A.).

Eine Strafbarkeit nach §202b StGB ist nicht gegeben, da die empfangenen IP-Daten für den Angeschuldigten als Nutzer des Netzwerks bestimmt sind (vgl. hierzu MMR 2008, 632, 634).

Telemedicus zur Personenbeziehbarkeit von durch Google aus WLANs mitgeschnittenen Daten – Daten doch personenbezogen iSd BDSG?

Auf Telemedicus hat Adrian Schneider die datenschutzrechtliche Komponente zum neuen Vorfall analysiert, bei dem Google eingestanden hat, für Google Street View nicht nur die Daten eines WLAN sondern auch Nutzdaten aus den Netzen erfasst zu haben (dazu nähere Informationen bei heise-online).

Dabei kommt Adrian Schneider zu folgendem Ergebnis:

„Denn datenschutzrechtlich ist selbst in einem solch gravierenden Fall die Rechtslage nicht eindeutig. Die Aufsichtsbehörden müssten nachweisen, dass tatsächlich „personenbezogene Daten” durch Google erhoben wurden, um etwa ein Bußgeld gegen den Konzern verhängen zu können. Doch das wird bei reinen Datenfragmenten nur in seltenen Einzelfällen gelingen – wenn überhaupt.“

Allerdings muss man sich dabei auch die Möglichkeiten vor Augen führen, die Google mit den erhobenen Daten beabsichtigt hat: Google hat die Daten zum WLAN-Knoten (nicht die Nutzdaten) schließlich erhoben, um eine Karte von WLANs für ganz Deutschland zu erstellen. Diese nutzt Google (zumindest in anderen Ländern) bereits zur Geolokalisierung. Das hat zur Folge, dass Google auch in der Lage sein dürfte, die sehr genaue Position eines WLAN-Knotens festzustellen.

Für einen Personenbezug nach BDSG reicht es aber aus, dass die Person bestimmbar ist (zum Personenbezug von Geodaten s. Forgo/Krügel, MMR 2010, 17). Ausreichend dafür ist, dass mit nicht unverhältnismäßigem Aufwand ein Personenbezug herstellbar ist (Gola/Schomerus, § 3 BDSG Rn. 10, 44). Dies dürfte jedenfalls bei Ein-Personen-Haushalten der Fall sein. Sowohl die WLAN-Knoten-Informationen als auch die Nutzdaten können also möglicherweise (z.B. zusammen mit dem Telefonbuch, oder was auch immer Google zur Verfügung hat) auf eine Person bezogen werden. Damit unterfallen die gesamten Daten dem BDSG und sind rechtswidrig erhoben worden (eine Analyse für die separierten WLAN-Knoten-Informationen findet sich auch bei Telemedicus hier). Es ist auch kaum davon auszugehen, dass Google die Datenfragmente nicht mit Bezug zum erfassten WLAN gespeichert hat.

Die Datenschutzbehörden sollten sich also von Google erklären lassen, welche Verknüpfungsmöglichkeiten Google geplant hat und mit seinen Ressourcen realisieren könnte.

Noch eine allgemeine Bemerkung am Ende: Bei den technischen Möglichkeiten und Ressourcen, die Google hat, ist die Rechnung nach dem BDSG relativ einfach: Sobald Google ein Datum hat, das auf eine Person beziehbar ist (z.B. bei einem GMail-Account), sind alle Daten, die Google mit Rechenkraft oder unter Rückgriff auf andere Quellen eindeutig in Bezug zu diesem Datum setzen kann, personenbezogen.