Vielleicht sollte hier auch zwischen Anschluss-Inhaber (IP-Adresse) und Nutzer (eigentlich keine Person, sondern ein Endgerät, also Metadaten), sowie Besucher der Webseite (die ggfs. identifizierbare Person, die tatsächlich das Endgerät genutzt und die Webseite aufgerufen hat) unterschieden werden.

Die von Ihnen zitierten Paragraphen zum Telekommunikationsrecht treffen nur auf Provider von IP-Adressen zu, also die Internetzugangsanbieter, d.h.Telekommunikationsanbieter. Für diese sind die IP-Adressen (wie oben in den Kommentaren auch schon ausführlich erwähnt) direkt personenbezogene Daten (da sie ja die Anschlüsse stellen) und die Metadaten werden als Verkehrsdaten (§ 3 Nr. 70 TKG) bezeichnet. Für Webseitenbetreiber hingegen, gilt nicht das Telekommunikationsrecht, sondern das Telemedienrecht (TMG). Für den Datenschutz bedeutet das, dass das TTDSG anwendbar ist. Dort sind Rechtsgrundlagen für Telekommunikation (Teil 2) und Telemedien (Teil 3) getrennt aufgeführt. Daher sind die Metadaten (IP-Adresse und Co.) für die Webseitenbetreiber auch keine Verkehrsdaten, sondern Nutzungsdaten (§ 2 Abs. 2 Nr. 3 TTDSG). Beim EuGH-Urteil zur IP-Adresse kam es genau darauf an. Denn hier war die Frage, ob es auch für Webseitenbetreiber (die ja keinen Zugriff auf die Anschlussdaten haben) ein personenbezogenes Datum ist. Der EuGH hat es dann aufgrund der potentiellen Möglichkeit der Herstellung des Personenebzugs bejaht, weil ggfs. aufgrund einer strafrechtichen Anzeige durch den Webseitenbetreiber eine Strafverfolgung durch die Polizei einen Personenbezug herstellen kann. Der Personenbezug wird laut EuGH daher (entgegen der allgemeinen Auslegung in den Medien) am datenschutzrechtlich Verantwortlichen und dessen Möglichkeiten zur Herstellung eines Personenbezugs festgemacht. IP-Adressen sind daher eben nicht per se personenbezogen. Würden Sie z.B. von einen Unternehmen nur zu Analysezwecken verwendet und das Unternehmen wäre nicht der Webseitenbetreiber und hat auch sonst keine rechtliche oder tatsächliche Möglichkeit den Personenbezug herzustellen, wären es keine personenbezogenen Daten. Das hat der EuG (Vorinstanz zum EuGH) vor kurzem nochmal klar gestellt und hat sich darin insbesonder auf das IP-Adressen-Urteil bezogen: https://www.heuking.de/de/news-events/newsletter-fachbeitraege/artikel/urteil-des-eug-zur-abgrenzung-von-pseudonymisierten-und-anonymisierten-daten.html

Als mögliche Rechtsgrundlage kommt neben Art. 6 Abs. 1 lit. c DSGVO iVm. Art. 32 DSGVO auch Art. 6 Abs. 1 lit. c DSGVO iVm. § 19 Abs. 4 S. 1 Nr. 2 TTDSG in Betracht. Das Problem der Erforderlichkeit bei anlassloser Speicherung bleibt dann aber. Wenn es dafür nicht erforderlich ist, fehlt natürlich wieder die Rechtsgrundlage. Da aber aktuell noch der BGH und der BfDI (oben dargestellt) der Ansicht sind, eine Nicht-anonymisierte Speicherung für 7 Tage wäre erforderlich um Gefahren für die Funktionsfähigkeit entgegenzuwirken, ist es zumindest rechtlich derzeit noch kein Problem. Es ist aber eben eigentlich auch kein rechtliches, sondern ein Tatsachen-Problem. Es ist offensichtlich stark strittig, ob hier ein tatsächlicher Nutzen besteht. Insofern danke für Ihre ausführliche Beschreibung. Da sind Sie derzeit aber leider in einer Mindermeinung. Allerdings könnte man zumindest rechtlich argumentieren, dass die BGH-Entscheidung hier eben den Internetzugangsanbieter und nicht den Webseitenbetreiber betraf und damit auch die Funktionsfähigkeit von Telekommunikationsanlagen und nicht von Webseiten bzw. Webservern. Auch die Aussage des BfDI bezog sich nur darauf.

Danke für Ihre Rückmeldung, Herr Greifeneder Ja, Sie haben recht mit Ihrem Hinweis. Ein Nutzer hat eine IP-Adresse, die diesem über ein Gerät zugeteilt wird. Der Halbsatz ist sicher sinnvoll. Ich habe den Artikel entsprechend ergänzt.

Ich erlaube mir abschließend noch einen Hinweis auf eine möglerweiae missverständlich Formulierung im Text zu IP-Adressen: "Jeder Nutzer hat eine IP-Adresse." Nach meinem Verständnis werden IP-Adressen Geräten zugeteilt. Hinter einer IP-Adresse eines Routers können dann auch mehrere Benutzer stecken.

Danke für Ihre Anmerkungen!

zum 1. Punkt (Abgrenzung(;
Wahrscheinlich sind wir einer Meinung. Ich hatte öffentliche Server erwähnt, insb. Web Server. "Öffentlich" wird nun noch mal ganz oben im Beitrag ergänzt.

zum 2. Punkt (Zufallsfund EncroChat):
Hierzu habe ich folgende Info:
Das Kammergericht Berlin entschied auf Beschwerde der Staatsanwaltschaft und ordnet die „EncroChat“-Daten als Zufallsfunde im Sinne des § 100e Abs. 6 Nr. 1 StPO ein.
Das Thema tut hier ach nichts zur Sache. Es ist nur eine Randnotiz zur Illustration.

zum 3. Punkt (Hashing):
Ja, kann man besser schreiben. Ich passe den Beitrag an, soweit es mir als Nichtmathematiker möglich ist.

Danke und viele Grüße

Drei Anmerkungen:
Eine Abgrenzung scheint mir zu fehlen: IP-Adressen von Server-Systemen, die nicht Personen zugeordnet werden können, sollte man – etwa bei Aufrufen von Webservices – auch bedenkenlos loggen dürfen. Wie man feststellt, ob eine IP-Adresse nicht-personenbezogen ist, müsste man beschreiben; aber ich hätte keine Bedenken, die IP-Adresse 172.217.16.67 – die mir "ping google.de" ausgegeben hat – vollständig anlasslos zu protokollieren.

Der Satz "Allerdings wurde (nur?) aufgrund der Tatsache, dass es sich um einen Zufallsfund handele, der Fund der Nachrichten in den entschlüsselten Handys als Beweis zugefallen." ist (mir) unverständlich: "der Fund wurde zugefallen"?

Der Abschnitt "Verschlüsselung …" ist m.E. ein Durcheinander aus Hashing und Verschlüsselung. Wenn das Ziel ist, DOCH (eine Zeitlang) den ursprünglichen Datenwert zu rekonstruieren, dann ist "Verschlüsseln" das richtige – dann ist aber die Aussage "Das Ergebnis ist ein Zielwert, der nicht eindeutig sein muss. Mehrere verschiedene Eingabewerte können also durchaus auf denselben Zielwert abgebildet werden." zumindest stark irreführend – sowas würde man von keiner Verschlüsselung erwarten; und der Link zum Perfekten Hashing ist dann inhaltlich daneben. Wenn das Ziel nicht Rekonstruktion, sondern nur Matching ist, dann nennt man das eben Hashing und NICHT Verschlüsseln – und dann stimmt der Satz mit der Nicht-Eindeutigkeit und ist auch relevant. Das Wort "asymmetrisch" würde ich da aber nicht nennen, weil es nur mit Verschlüsseln verbunden wird – auch wenn man es prinzipiell auf Hashen anwenden könnte. Wenn die Rekonstruktion garantiert unmöglich sein soll (d.h. die Daten keinesfalls als p.b. gelten sollen), was hier wohl der Fall sein soll, dann muss man ein kryptographisches Hashverfahren verwenden (was aber, noch einmal betont, kein Verschlüsselungsverfahren ist).

Was Datenschutzbehörden sagen, ist keine zivilrechtliche Betrachtung, soweit ich weiß, sondern eine reine Behördenbetrachtung, die dazu noch dem Opportunitätsprinzip unterliegt.

Was Herr Schaar damals meinte, deckt sich mit dem, was ich damals meinte. Durch meine Untersuchung sehe ich es aber anders. Sofern es keine erwiesene Notwendigkeit gibt, IP-Adressen anlasslos zu protokollieren, kann man m.E. nicht anderer Meinung als ich sein.

Dass (auch) dynamische IP-Adressen personenbezogene Daten sind, war eigentlich auch schon unter der Geltung der EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) klar, da es auch dort schon nur auf die Personenbeziehbarkeit ankam.

Die benannten Sachverständigengutachten stammen aus dem Instanzenzug des Breyer-Prozesses.

Dort ging es um die Frage, ob eine dynamische IP-Adresse auch für einen Webseiten-Betreiber ein personenbezogenes Datum sei, da dieser einen Personenbezug nur durch Hinzunahme von ergänzenden Daten herstellen könne, die er erst noch von Dritten ( z. B. der Staatsanwaltschaft) bekommen müsse.

Demgegenüber richtete sich das von mir benannte BGH-Verfahren gegen die Deutsche Telekom AG, für die dynamische IP-Adressen in jedem Falle personenbezogene Daten sind.

Folglich ging es in diesem Verfahren vorrangig nicht um den Personenbezug von dynamischen IP-Adressen, sondern um die Frage der Zulässigkeit und Höchstdauer der Speicherung von dynamischen IP-Adressen zur Erkennung und Beseitigung von Netzstörungen und Fehlern.

Wie dem Urteil zu entnehmen ist, hatte der damalige Bundesbeauftragte für den Datenschutz und Informationsfreiheit (Peter Schaar) für die vorgenannten Zwecke – trotz dynamischer IP-Adressen als personenbezoegener Daten – eine 80-tägige Speicherfrist für unzulässig, aber eine siebentägige Speicherfrist für noch angemessenen gehalten.

Dem folgte das Gericht.

Auch ist MIR bis heute keine Datenschutzaufsichtsbehörde bekannt, die die Entscheidung des BGH unter Geltung der DSGVO für nicht mehr anwendbar hielte.

Aber selbstverständlich kann man das heute auch anders sehen.

Danke, Herr Seidlitz. Ich glaube aber, das sind veraltete Angaben:

Ist unter den von Ihnen genannten Belegen einer dabei mit Datum nach dem EuGH-Urteil von 2016 ("Breyer"), wonach auch dynamische IP-Adressen personenbezogene Daten sind?

a) Zu den Voraussetzungen für die Befugnis, dynamische IP-Adressen zum Zweck der Entgeltermittlung und Abrechnung gemäß § 97 Abs. 1 Satz 1, Abs. 2 Nr. 1 TKG zu speichern.

b) Die Befugnis zur Speicherung von IP-Adressen zum Erkennen, Eingrenzen oder Beseitigen von Störungen oder Fehlern an Telekommunikationsanlagen gemäß § 100 Abs. 1 TKG setzt nicht voraus, dass im Einzel- fall bereits Anhaltspunkte für eine Störung oder einen Fehler vorliegen. Es genügt vielmehr, dass die in Rede stehende Datenerhebung und -verwendung geeignet, erforderlich und im engeren Sinn verhältnismäßig ist, um abstrakten Gefahren für die Funktionstüchtigkeit des Telekommunikationsbetriebs entgegenzuwirken.

http://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=en&Datum=Aktuell&nr=54979&anz=1&pos=0&Frame=4&.pdf

bestätigt von:

BGH, Urteil vom 03.07.2014, III ZR 391/13

Online-Dienstanbieter dürfen dynamische IP-Adressen anlasslos zur Erkennung und Beseitigung von Netzstörungen und Fehlern 7 Tage speichern

http://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=en&nr=68350&pos=0&anz=1

In diesem Zusammenhang ebenfalls interessant folgende hier:

https://www.daten-speicherung.de/index.php/klage-gegen-surfprotokollierung/

zu findende Sachverständigengutachten:

http://www.daten-speicherung.de/wp-content/uploads/Surfprotokollierung_2011-07-29_Sachverst_an_LG.pdf

http://www.daten-speicherung.de/wp-content/uploads/Surfprotokollierung_2012-04-30_Sachverst_an_LG.pdf

http://www.daten-speicherung.de/wp-content/uploads/Surfprotokollierung_2012-11-30_Privatgutachten_Bekl_an_LG.pdf