IP- Adressen: Das Jahr der Entscheidung

Vor kurzem hat der Bundesgerichtshof dem Europäischen Gerichtshof die Frage vorgelegt, ob es sich bei IP-Adressen um personenbezogene Daten im datenschutzrechtlichen Sinne handelt (BGH-Beschluss vom 25.10.2014, VI ZR 135/13). Damit kommt es endlich zu einer europaweiten, höchstrichterlichen Rechtsprechung zu dem altbekannten Thema der Onlinebranche, ob IP-Adressen personenbezogen sind oder nicht.

Die Frage ist deshalb von kaum zu überschätzender Bedeutung, weil praktisch jede Onlinetechnologie in irgendeiner Form auf IP-Adressen zurückgreift. Adserver benötigen die IP-Adresse, um Werbung auszuliefern, Re-Targeting-Anbieter können ihr Geschäftsmodell praktisch nicht umsetzen, würden sie nicht auf IP-Adressen zurückgreifen, Geotargeting funktioniert ohne die IP-Adresse nicht, usw.

Warum ist diese Frage wichtig?

Warum ist die Frage wichtig, ob IP-Adressen personenbezogen sind oder nicht? Wären sie personenbezogen, würde jede Übertragung, Verarbeitung oder Speicherung einer IP-Adresse der vorherigen Zustimmung der betroffenen Person bedürfen. Sind sie dagegen nicht personenbezogen, kann jedermann im Rahmen seines Geschäftsmodells auf IP-Adressen zurückgreifen, ohne dass dies der Zustimmung z. B. der User z.B. einer Webseite bedarf: Nach § 12 Abs. 1 Telemediengesetz (TMG), darf „… der Diensteanbieter personenbezogene Daten zur Bereitstellung von Telemedien nur erheben und verwenden, soweit dieses Gesetz oder eine andere Rechtsvorschrift, … es erlaubt oder der Nutzer eingewilligt hat.“   (mehr …)

Workshop am 26.02.2015 auf der Social Media Week in Hamburg

Dr. Petra Hansmersmann, LL.M. (New York), wird am 26.02.2015 in dem Workshop „Mobile Marketing & Recht“ einen Überblick über die beim Mobile Marketing relevanten rechtlichen Rahmenbedingungen, insbesondere im Bereich Datenschutz, geben.

Eine Anmeldung für den Workshop ist unter dem folgenden Link möglich:
http://socialmediaweek.org/hamburg/events/mobile-marketing-recht/

Zur rechtlichen Zulassung von iBeacons

Jede neue Technologie ruft erst einmal rechtliche Bedenken auf, ob ihr Einsatz überhaupt datenschutzkonform ist. Für das Offline Targeting mit iBeacons gilt insoweit nichts anderes. Die Ideen für auf iBeacons basierende Geschäftsmodelle erscheinen dabei grenzenlos, da die digitale Verortung eines Kunden innerhalb eines Geschäftes völlig neue Potentiale für eine individuelle Kundenansprache birgt. Es wird wahrscheinlich nicht zu Unrecht erwartet, dass der stationäre Handel sich infolge dieser Technologie in den nächsten Jahren weitgehend verändern wird. Doch wie ist diese Technologie rechtlich einzuordnen?

Der technische Hintergrund

Das Wort „Beacon“ leitet sich von dem englischen Begriff für „Leuchtfeuer“ ab. Die Technologie der iBeacons basiert auf dem Prinzip Sender-Empfänger. In einem Raum werden kleine Sender (Beacons) als Signalgeber platziert, deren einzige Funktion es zunächst einmal ist, in den festgelegten Zeitintervallen Signale, nämlich eine Kombination aus Zahlen und Buchstaben, zu senden. Kommt ein Empfänger, also z. B. ein Besucher, mit einem Smartphone und einer darauf installierten Mobile-App, die für den Empfang von iBeacon-Signalen konfiguriert ist, in die Reichweite eines solchen Senders, empfängt es das Signal der Beacons und übergibt es an die auf dem Gerät installierte App weiter. Diese führt dann eine bestimmte, von der jeweiligen ID abhängige Aktion aus. Sind mehrere Beacons in Reichweite des Endgerätes, kann darüber hinaus die Position des Empfängers innerhalb eines bestimmten Standortes ermittelt werden. Die Datenübertragung selbst geschieht hierbei über die von Nokia bereits im Jahre 2006 entwickelte Bluetooth-Low-Energie (BLE)-Technologie. Datenschutzrechtlich bedeutsam ist dabei, dass jedes iBeacon also lediglich ein Funksignal aussendet, diese Signale aber nicht verarbeitet. Das Signal wird erst von den Smartphones erfasst und durch die darauf installierten Apps weiterverarbeitet. Dies hat zur Folge, dass eine iBeacon selbst keinerlei Kenntnisse über den Aufenthaltsort des jeweiligen Nutzers besitzt, und es bedeutet auch, dass jeder Nutzer die jeweilige App, die iBeacons verarbeitet, bewusst auf seinem Gerät installiert haben muss. Nur dann kann es zu einem Zusammenspiel zwischen einem iBeacon und einer App kommen.

Die datenschutzrechtliche Sicht

Aus der datenschutzrechtlichen Sicht ist daher zwischen dem iBeacon als Sender und der verarbeiteten App als Empfänger zu unterscheiden. (mehr …)

Anordnung gegen Google

Der Hamburger Beauftragte für Datenschutz und Informationsfreiheit hat in der vergangenen Woche gegenüber Google eine Verwaltungsanordnung erlassen. Das US-Unternehmen wird darin verpflichtet, Daten, die bei der Nutzung unterschiedlicher Google-Dienste anfallen, nur unter Beachtung der gesetzlichen Vorgaben zu erheben und zu kombinieren.
Nach Auffassung des Landesdatenschutzbeauftragten greife die bisherige Praxis der Erstellung von Nutzerprofilen durch Google weit über das zulässige Maß hinaus in die Privatsphäre der Google-Nutzer ein. Google wurde durch die Anordnung verpflichtet, technische und organisatorische Maßnahmen zu ergreifen, die sicherstellen, dass deren Nutzer künftig selbst über die Verwendung der eigenen Daten zur Profilerstellung entscheiden können.

(mehr …)

Digitaler Fingerprint – zulässig oder nicht?

Immer mehr Unternehmen setzen für das Targeting digitale Fingerprints ein. Diese Technologie ist bereits seit Ende der 90er Jahre bekannt, aber erst seit ungefähr zwei Jahren setzen immer mehr Technologieanbieter im Onlinemarketing diese Technik ein. Viele versuchten dadurch, dem drohenden Cookie Law zu entgehen, das von den Anwendern bekanntlich verlangte, vor dem Einsatz eines Cookies eine ausdrücklich Einwilligung des jeweiligen Users einzuholen. Dem Wortlaut nach bezog sich das Cookie Law nämlich nicht auf die Technologie des Fingerprintings. Nach der Cookie-Richtlinie der EU (Richtlinie 2009/136/EG) ist eine Einwilligung für den Einsatz von Cookies nur dann erforderlich, wenn diese Cookies auf dem Endgerät des Verbrauchers abgespeichert werden. Ein digitaler Fingerprint wird jedoch nicht auf dem Endgerät des Nutzers abgespeichert, sondern in der Datenbank des Technologieanbieters. Folglich dachten viele, das Cookie Law hierdurch umgehen zu können.
Unter einem Fingerprint versteht man diejenigen Informationen, die zum Zweck der Identifizierung eines Endgerätes gesammelt werden. Typischerweise werden dabei Informationen erfasst, die ein Nutzer im Rahmen der Nutzung einer Webseite ohnehin an den Betreiber einer Webseite überträgt. Bei einem gewöhnlichen Browser gehören hierzu u. a. die IP-Adresse, die Browserkennung (Hersteller und Version, häufig auch das Betriebssystem), die sprachlichen Präferenzen des Browsers bzw. des Nutzers und technische Netzwerkparameter. Zum Teil werden auch Bildschirmauflösungen und Farbtiefe, die Zeitzone und installierte Plug-Ins, einschließlich ihrer Version, erfasst.

(mehr …)