IP-Adressen anonymisieren – wann, wie und warum?
Seit dem Breyer-Urteil des Europäischen Gerichtshofs gelten auch dynamisch vergebene IP-Adressen als personenbezogene Daten und fallen damit unter das Datenschutzrecht. Diese Wertung wurde auch von der Datenschutzgrundverordnung (DSGVO) übernommen, die am 25. Mai 2018 in Kraft tritt und in allen EU-Mitgliedstaaten den Begriff der personenbezogenen Daten neu definiert.
Das hat zur Folge, dass an die Verarbeitung von IP-Adressen im Wesentlichen dieselben Anforderungen gestellt werden wie zum Beispiel an das Speichern von E-Mail-Adressen. Weil IP-Adressen aber natürlich für jede Übermittlung von Webinhalten erforderlich sind, kennt das Datenschutzrecht aber auch Ausnahmen von dem Grundsatz, dass personenbezogene Daten nur nach vorheriger Zustimmung des betroffenen Nutzers verarbeitet werden dürfen.
Der Prozess der Anonymisierung bietet die Möglichkeit, IP-Adressen so zu verarbeiten, dass das Datenschutzrecht gar keine Anwendung mehr findet. Denn schutzbedürftig sind nur diejenigen Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. „Anonymisierung“ bedeutet also, die IP-Adresse so zu ändern, dass ein Rückschluss auf die Nutzeridentität nicht mehr möglich ist. Um dieses Ziel zu erreichen gibt es zwei Möglichkeiten: das Kürzen und das so genannte Hashing.
Das Kürzen von IP-Adressen (englisch: „trunkating“) erfolgt durch Entfernen des letzten Zeichenblocks einer IP-Adresse. Bei einer IPv4-Adresse würde dieser dann zum Beispiel durch eine Null oder einer andere Zahl ersetzt werden (Beispiel: aus 217.91.101.31 wird 217.91.101.0). Das „Hashing“ (deutsch: „zerhacken“) erfolgt durch die Verschlüsselung der IP-Adresse unter Verwendung eines speziellen Algorithmus. Derzeit entspricht der so genannte SHA-256-Algorithmus dem Stand der Technik. Da die Anzahl von IP-Adressen auch nach Einführung des IPv6-Protokolls endlich ist, reicht die einfache Hashfunktion jedoch allein nicht aus, um die Anonymisierung der Daten zu gewährleisten. Deshalb ist nach dem „Hashing“ noch ein weiterer Schritt erforderlich, das sogenannte „Salting“, eine weitere Verschlüsselungstechnik. Nur so wird eine vollständige Anonymisierung erreicht.
Zusammenfassend bedeutet das: Wenn IP-Adressen zum frühestmöglichen Zeitpunkt wirksam anonymisiert werden, unterliegt deren weitere Verarbeitung nicht dem Datenschutzrecht und es sind keinerlei besondere Vorschriften zu beachten. Bevor jedoch eine solche Anonymisierung stattgefunden hat, gilt die Datenschutzgrundverordnung freilich uneingeschränkt. Eine Ausnahme vom Verbot der Verarbeitung von IP-Adressen, bei der die Verarbeitung der (vollständigen) IP-Adresse unter bestimmten Umständen zulässig sein kann, ist beispielsweise die Verhinderung von Klickbetrug.