Ist die IP-Adresse ein personenbezogenes Datum? Die Rechtslage

Ja, in aller Regel. Eine IP-Adresse gilt als personenbezogenes Datum, wenn der Verantwortliche sie mit vertretbarem Aufwand einer Person zuordnen kann. Der EuGH hat das auch für dynamische Adressen bestätigt. Für Besucheridentifikation heißt das: Auch die reine Firmenerkennung per IP braucht eine Rechtsgrundlage und transparente Information.

Was die DSGVO unter „personenbezogen" versteht

Art. 4 Nr. 1 DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist, wer direkt oder indirekt bestimmt werden kann, etwa über eine Kennnummer oder Online-Kennung. Erwägungsgrund 30 nennt ausdrücklich Online-Kennungen wie IP-Adressen und Cookie-Kennungen, die in Verbindung mit anderen Informationen Profile erzeugen und Personen identifizieren können.

Entscheidend ist nicht, ob der Seitenbetreiber selbst den Namen kennt, sondern ob Mittel bestehen, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die Person zu bestimmen. Das ist die sogenannte relative Betrachtungsweise.

Kernaussage: Wer eine IP-Adresse verarbeitet, sollte standardmäßig davon ausgehen, dass die DSGVO gilt. Die Frage ist dann nicht ob, sondern auf welcher Rechtsgrundlage.

Was der EuGH entschieden hat

Im Urteil Breyer (C-582/14) ging es um dynamische IP-Adressen, die ein Anbieter beim Zugriff auf seine Seiten speicherte. Der Gerichtshof sah sie als personenbezogen für den Anbieter an, sofern rechtliche Möglichkeiten bestehen, über den Zugangsanbieter an die Identität des Nutzers zu gelangen, etwa im Fall von Cyberangriffen über Strafverfolgungsbehörden. Der genaue Wortlaut steht im Urteilstext auf EUR-Lex.

Das Urteil erging noch zur Datenschutzrichtlinie, wird aber auch unter der DSGVO herangezogen, weil Art. 4 und Erwägungsgrund 30 in dieselbe Richtung weisen. Eine Garantie für jeden Einzelfall ist das nicht, deshalb zählt die konkrete Konstellation.

Dynamisch, statisch, Firmennetz: ein Überblick

Adresstyp	Typische Quelle	Personenbezug	Praktische Folge
Dynamisch, Privatanschluss	Heim-DSL, Glasfaser	Meist ja	Rechtsgrundlage nötig, Firmenerkennung ergibt nur „Provider"
Mobilfunk (CGNAT)	Handy-Netz	Möglich, schwer zuordenbar	Kaum nutzbar für Firmenerkennung
Statisch, Unternehmen	Büroanschluss	Eher gering, aber möglich	Hier funktioniert Firmenerkennung am besten
Rechenzentrum, VPN	Cloud, Proxy	Unklar	Meist Bot oder Anonymisierung, Firma nicht erkennbar
Einzelunternehmer mit fester IP	Homeoffice-Business	Ja, wegen Nähe zur Person	Behandeln wie personenbezogen

Gerade die dritte Zeile erklärt, warum Firmenerkennung rechtlich freundlicher ist als sie zunächst scheint: Die Adresse eines Konzernnetzes mit Hunderten Nutzern bezeichnet eine Organisation, nicht eine Person. Rechtsfrei wird die Verarbeitung dadurch nicht, aber die Abwägung fällt leichter aus. Die Einordnung finden Sie auch im Beitrag Besucheridentifizierung nach DSGVO.

Was daraus für die Praxis folgt

Drei Konsequenzen sind in jedem Projekt relevant.

1. Rechtsgrundlage: Für die Verarbeitung der IP-Adresse zur Firmenerkennung brauchen Sie eine Grundlage, meist das berechtigte Interesse, siehe die Checkliste zur Interessenabwägung.
2. Zweckbindung und Datensparsamkeit: Die Adresse sollte nur so lange gespeichert werden, wie sie für die Auflösung nötig ist. Behalten Sie das Ergebnis auf Firmenebene, nicht die Rohadresse.
3. Transparenz: Die Datenschutzerklärung muss die Verarbeitung nennen.

BusinessMCP weist in seiner Dokumentation darauf hin, dass die IP-Adresse während der Verarbeitung kurz personenbezogen ist und Umsetzungsdetails deshalb zählen. Einen Überblick über die Position des Anbieters bietet der Leitfaden zu Visitor Identification und GDPR. Das ist eine Herstellerdarstellung, die Sie als Ausgangspunkt, nicht als Rechtsgutachten lesen sollten.

Hilft Kürzen oder Hashen der IP-Adresse?

Kürzen (zum Beispiel das letzte Oktett entfernen) senkt das Identifikationsrisiko, ist aber für Firmenerkennung problematisch: Die Zuordnung zu einer Organisation beruht auf Adressblöcken. Bei zu starker Kürzung entsteht ein Netz, das mehrere Organisationen umfassen kann, und das Ergebnis wird unzuverlässig. Hashing schützt Rohdaten, wenn die Adresse nicht mehr benötigt wird, nachdem die Auflösung stattgefunden hat. Ein Hash ist aber nicht automatisch anonym, weil sich der kleine Adressraum von IPv4 durchprobieren lässt.

Sinnvoll ist eine Kombination:

• Auflösung zeitnah durchführen, möglichst serverseitig
• Rohadresse danach löschen oder nur kurz aufbewahren
• Ergebnis auf Firmenebene speichern
• Zugriff auf Rohlogs beschränken und Löschfristen festlegen

Server-Logs und Sicherheit

Unabhängig von Marketing verarbeiten fast alle Webserver IP-Adressen in Logs. Das ist in der Regel durch das berechtigte Interesse an Betrieb und Sicherheit gedeckt, wenn die Aufbewahrung begrenzt bleibt. Trennen Sie diesen Zweck sauber von der Vertriebsnutzung: Daten, die für die Sicherheit erhoben wurden, dürfen nicht ohne Weiteres für Marketing wiederverwendet werden. Dokumentieren Sie beide Zwecke getrennt.

Häufige Missverständnisse

• „Wir speichern nur die Firma, also gilt die DSGVO nicht." Die Verarbeitung der Adresse findet davor statt.
• „Die Adresse gehört einem Unternehmen, also ist sie kein Personendatum." Bei kleinen Unternehmen kann der Bezug zu Inhabern bestehen.
• „Ein Cookie-Banner genügt." Das regelt den Endgerätezugriff, nicht die Rechtsgrundlage für die IP-Verarbeitung; mehr dazu im Beitrag zu Cookieless Tracking.

Zum Ausprobieren, wie ein Auflösungsergebnis aussieht, ohne eigene Systeme aufzubauen, können Sie eine Adresse aus Ihren Logs im kostenlosen Reverse-IP-Lookup prüfen. Bedenken Sie dabei, dass auch diese Eingabe einer Datenverarbeitung entspricht; nutzen Sie dafür keine Adressen von Privatpersonen.

Betroffenenrechte bei IP-Adressen

Wenn die IP-Adresse personenbezogen ist, gelten auch die Rechte der Betroffenen: Auskunft, Berichtigung, Löschung und Widerspruch. In der Praxis ist die Umsetzung schwierig, weil Sie eine Person anhand einer IP-Adresse oft gar nicht eindeutig identifizieren können. Art. 11 DSGVO sieht deshalb vor, dass Sie nicht verpflichtet sind, zusätzliche Informationen zu beschaffen, nur um Betroffenenrechte erfüllen zu können. Wer eine Anfrage erhält und die Person nicht zuordnen kann, sollte das dokumentieren und den Betroffenen darauf hinweisen. Der Widerspruch nach Art. 21 verdient besondere Beachtung, weil er sich gegen eine auf berechtigtes Interesse gestützte Verarbeitung richtet. Eine technische Umsetzung, etwa über einen Opt-out, den Sie tatsächlich respektieren, gehört in jedes Konzept, wie wir in der Checkliste zur Interessenabwägung beschreiben.

Praxisbeispiel: dieselbe Adresse, drei Situationen

Eine IP-Adresse ist nie nur eine Zahl, sondern steht in einem Kontext. Drei Fälle zeigen, warum die Bewertung schwankt.

1. Zugriff aus einem Konzernnetz mit tausenden Mitarbeitern: Die Adresse bezeichnet ein Netz, in dem sich viele Menschen verbergen. Der Bezug zu einer einzelnen Person ist schwach, aber der Zugangsanbieter kennt den Anschlussinhaber, und das Unternehmen kennt seine Mitarbeiter. Für den Seitenbetreiber ist eine Identifizierung unwahrscheinlich.
2. Zugriff über den privaten Glasfaseranschluss eines Freiberuflers: Hier ist die Adresse nahe an der Person. Eine Firmenerkennung würde den Namen des Providers liefern, und wer die Adresse zusätzlich mit anderen Daten verknüpft, bewegt sich auf Personenebene.
3. Zugriff über ein VPN eines Anbieters: Die Adresse gehört dem VPN-Betreiber und sagt nichts über den Nutzer. Trotzdem werden die Daten verarbeitet, und die Frage des Personenbezugs bleibt formal bestehen.

Die Folge: Es gibt keine Regel, die jede Adresse gleich behandelt. Deshalb ist der Grundsatz, Daten sparsam zu halten und nicht mit Personenprofilen zu verknüpfen, der robusteste Weg.

Was für Websitebetreiber praktisch zu tun ist

Aus der Rechtslage folgt eine kurze Aufgabenliste:

• IP-Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten aufführen, getrennt nach Zwecken (Betrieb, Sicherheit, Vertriebsanalyse).
• Aufbewahrungsdauer für Server-Logs festlegen und technisch durchsetzen.
• Bei externen Diensten prüfen, ob die IP-Adresse an Dritte geht, und einen Vertrag abschließen, siehe AVV für Tracking-Tools.
• Bei Diensten außerhalb der EU Drittlandtransfer prüfen.
• Datenschutzerklärung entsprechend ergänzen.

Wer einen Dienst zur Firmenerkennung einsetzt, sollte außerdem klären, ob die Rohadresse beim Anbieter gespeichert wird. Die Beschreibung auf Website Visitor Identification zeigt beispielhaft, welche Angaben ein Anbieter zu Verfahren und Ebene macht; sie ersetzt keine eigene Prüfung. Eine Einordnung für das Gesamtprojekt gibt der Beitrag Besucheridentifizierung nach DSGVO. Hinweis: Dies ist keine Rechtsberatung, und Gerichte sowie Aufsichtsbehörden können im Einzelfall anders entscheiden.