Heute hat der Hessische Landesdatenschutzbeauftragte, Prof. Ronellenfitsch, seinen Tätigkeitsbericht für das Jahr 2014 vorgestellt.

Unter anderem behandelt der Tätigkeitsbericht ein Prüfverfahren hinsichtlich der „Fraport App“, die von der Fraport AG als eine Hilfe für Flugreisende und andere Besucher des Flughafens in Frankfurt am Main angeboten wird. Mit der App ist es u.a. möglich, sich den eigenen Standort auf dem Flughafen anzeigen zu lassen. Beabsichtigt war zunächst, mobile Geräte durch auf dem Gelände verteilte WLAN-Hotspots mit MAC- und IP-Adressen zu erfassen, sofern ihre WLAN-Schnittstelle aktiv war.

Der Datenschutzbeauftragte stellt in seinem Bericht drei Szenarien dar, wie die MAC- und IP-Adresse von Besuchern des Flughafens über WLAN-Hotspots erhoben werden können. Hierzu gehört gerade auch die Situation, dass die Fraport App nicht auf einem Gerät installiert ist und genutzt wird, sondern Besucher sich direkt mit einem WLAN-Hotspot verbinden. Dann bekommt der Nutzer eine dynamische IP-Adresse zugeteilt. Die Erfassung der dynamischen IP-Adresse stellt nach Auffassung des hessischen Datenschutzbeauftragten

kein datenschutzrechtliches Problem dar.

Diese Ansicht dürfte einige Beobachter zumindest überraschen. Denn eigentlich gehen die deutschen Datenschutzbehörden schon lange und beständig davon aus, dass IP-Adressen grundsätzlich einen Personenbezug aufweisen (vgl. etwa die Orientierungshilfe des Düsseldorfer Kreises zu Apps, PDF) und bei ihrem Umgang daher die Vorgaben des Datenschutzrechts zu beachten sind (z.B. Informationen zum Datenumgang bereitstellen oder eine Rechtsgrundlage für die Verarbeitung der IP-Adresse vorweisen zu können). Erst kürzlich hat etwa die bayerische Aufsichtsbehörde klargestellt, dass jeder Webseiten- oder App-Betreiber aufgrund des Personenbezugs von IP-Adressen eine Datenschutzerklärung vorhalten muss, um über den Umgang mit der IP-Adresse aufzuklären (hierzu mein Beitrag).

Die Auffassung des hessischen Landesdatenschützers scheint (erfreulicherweise) nun zumindest aber von einer pauschalen „Vorverurteilung“ einer IP-Adresse als personenbezogenes oder personenbeziehbares Datum abzurücken.

In seinem Tätigkeitsbericht führt der Landesdatenschützer aus, dass WLAN-Netzwerkbetreiber eine unmittelbare Identifikation anhand der IP-Adresse grundsätzlich nur bei statischen IP-Adressen vornehmen können. Die am Flughafen Frankfurt bereitgestellten WLAN-Hotspots werden aber über die Vergabe von dynamischen IP-Adressen betrieben.

Der Landesdatenschutzbeauftragte:

Eine Identifikation ist nur möglich, wenn die Nutzer während einer Sitzung selbst personenbezogene oder personenbeziehbare Daten hinterlassen. Dies ist nach den vorliegenden Dokumenten nicht der Fall. Deshalb sind dynamische IP-Adressen in diesem Szenario keine personenbeziehbaren Daten.

Die Auffassung des Landesdatenschützers verdient Zustimmung. Zum einen, weil sie von einer pauschalen Einordnung von IP-Adressen als personenbezogenes oder –beziehbares Daten abrückt. Zum anderen, weil sie eben gerade auf den Kontext und die konkrete Situation abstellt. Natürlich kann sich eine IP-Adresse zu einem personenbezogenen Datum „verwandeln“, wenn zu ihr personenbezogene Daten hinzugespeichert werden (z. B. wenn der Nutzer weitere Informationen eingibt). Dann muss selbstverständlich auch das Datenschutzrecht für den Umgang mit der IP-Adresse gelten.