In Teil 2 von 4 unserer Datenschutz-Serie beschäftigen wir uns mit dem Praxisbezug des Themas. Wie kann die Theorie also Teil des täglichen Arbeitens werden? Der bereits veröffentliche Teil beschäftigt sich mit den Unterschieden in den Bereichen Datenschutz, Datensicherheit, IT- und Informationssicherheit. In Zukunft geht es um die Themen der technischen Umsetzung und die Aufarbeitung technischer Schulden.
Einleitung
Bei dem Zugriff eines Nutzers auf eine Webseite oder bei der Verwendung eines Online-Dienstes gibt es unterschiedliche Systeme, in denen eine IP-Adresse protokolliert werden kann. Dass es sich bei IP-Adressen um personenbezogene Daten handelt, lässt sich aus dem Erwägungsgrund 30 der DSGVO entnehmen.
Was ist hierbei zu beachten?
Es gilt, das Interesse beider Parteien an der Protokollierung der IP-Adresse zu beurteilen und geeignete Maßnahmen abzuleiten. Dies setzt jedoch voraus, dass einem Unternehmen bekannt ist, in welchen Systemen die IP-Adresse des Nutzers zu welchem Zweck gespeichert wird, um geeignete Maßnahmen zur Löschung der Informationen zu ergreifen. Einerseits hat ein betroffener Nutzer ein Interesse an der Löschung der IP-Adresse, siehe Art. 5 Abs. 1e DSGVO. Das Unternehmen ist demnach verpflichtet, diese IP-Adresse nach dem Entfallen des Verarbeitungszweckes (= Zweckbindung) zu löschen. Dem gegenüber steht ein berechtigtes Interesse des Unternehmens, die Daten für den Schutz der eigenen Infrastruktur und den Schutz der Daten Dritter vorzuhalten, siehe Art. 6 Abs. 1f DSGVO, um bei missbräuchlicher Nutzung der eigenen Webseite diese Informationen an die Strafverfolgungsbehörden weiterleiten zu können.
Wenn über das temporäre Verarbeitung von IP-Adressen gesprochen wird, dann endet die Diskussion meistens bei den Logfiles des Webservers, was jedoch ein wenig zu kurz gegriffen ist. Häufig befinden sich weitere Systeme in der Kommunikationskette, die bei Löschung der IP-Adresse ebenfalls berücksichtigt werden müssen. Eine Firewall beispielsweise kann die freigegebenen und blockierten Verbindungen durchaus länger als nötig speichern, eine Datenbank im Backend der Webseite kombiniert vielleicht die Session des Benutzers mit der IP-Adresse in einer eigenen Tabelle, ein IDS/IPS System sammelt Daten zur Erkennung von Angriffsmustern, im internen Ticket-System wurde die IP-Adresse im Rahmen eines Bug-Reports notiert und ein Reverse Proxy wurde möglicherweise falsch konfiguriert und speichert alle Informationen für unbegrenzte Zeit. Besonders anspruchsvoll wird es bei der Erstellung von Backups bzw. bei der Wiederherstellung aus einem Backup, denn auch aus diesen müsste die IP-Adresse entfernt werden.
Selbstverständlich lassen wir Sie mit diesem Thema nicht allein. Autor Steffen Hoyer beschäftigt sich im nächsten Teil unter anderem mit den Möglichkeiten der technischen Umsetzung. Bis dahin können Sie uns selbstverständlich unverbindlich kontaktieren.
