Prof. Dr. Louisa Specht-Riemenschneider / Dr. Ruben Plum-Schneider
ZD 2026, 181 Seit der EuGH vor 10 Jahren in der Rs. Breyer zum Personenbezug dynamischer IP-Adressen auch für Webseitenbetreiber urteilte (EuGH ZD 2017, 24 mAnm Kühling/Klar = MMR 2016, 842 mAnm Moos/Rothkegel - Breyer), nachdem dieser für Internetzugangsanbieter bereits längere Zeit feststand (EuGH ZD 2012, 29 mAnm Meyerdierks - Scarlet Extended), _£streiten wir um den Personenbezug von Daten. Zugegebenermaßen taten wir das auch schon vorher, aber die Intensität ist seitdem doch eine andere.
Noch unter Geltung der Datenschutzrichtlinie (RL 95/46/EG) urteilte der EuGH in der Rs. Breyer (EuGH ZD 2017, 24 mAnm Kühling/Klar = MMR 2016, 842 mAnm Moos/Rothkegel), dass für einen Personenbezug auch eine indirekte Identifizierbarkeit ausreicht, die IP-Adresse also selbst keine unmittelbare Identifizierung der Person zulassen muss, sondern bei der Entscheidung, ob eine Person bestimmbar ist, alle Mittel berücksichtigt werden sollten, die vernünftigerweise eingesetzt werden können, um die betreffende Person zu bestimmen (Rn. 39 ff.), und zwar auch dann, wenn sie in den Händen Dritter liegen (Rn. 43 ff.). In casu bejahte der EuGH auf Grundlage dieser Kriterien eine Identifizierungsmöglichkeit einer hinter einer IP-Adresse stehenden Person durch einen Webseitenbetreiber auf Grundlage eines rechtlichen Anspruchs zur Erlangung der beim Internetzugangsanbieter zu dieser IP-Adresse gespeicherten Klardaten (Rn. 47). Er dachte dabei wohl an eine Akteneinsicht gem. § 406e StPO aF in Erkenntnisse der Erhebung von Verkehrsdaten gem. § 100g StPO aF (Mantz/Spittka NJW 2016, 3579 (3583)), aus denen sich der hinter einer IP-Adresse stehende Anschlussinhaber ableiten lässt.
Diese Argumentation gilt bis heute fort, wurde das Judiz des EuGH in der Rs. Breyer (ZD 2017, 24 mAnm Kühling/Klar = MMR 2016, 842 mAnm Moos/Rothkegel) doch nahezu 1:1 in Erwägungsgrund 26 S. 3 DS-GVO aufgenommen. Und damit konnte in der Praxis auch lange und gut gearbeitet werden, wie nicht zuletzt die Entscheidungen des EuGH zum Personenbezug von Pressemitteilungen (EuGH Urt. v. 7.3.2024 - C-479/22 P - OC/Kommision) und Werbe-IDs (EuGH ZD 2024, 328 mAnm Halim/Marosi = MMR 2024, 390 mAnm Keppeler/Schneider - IAB Europe) belegen. Man könnte sagen, es handelt sich um einen beschränkt-objektiven (statt vieler Specht/Müller-Riemenschneider ZD 2014, 71 (74)), bzw. um einen erweitert-relativen Ansatz (statt vieler Schantz/Wolff, Das neue Datenschutzrecht, 2017, Rn. 278), wenn man in der Terminologie der vertretenen Theorien bleiben möchte.
Zwei neuere Urteile des EuGH und der Digital Omnibus der EU-Kommission (COM(2025) 837 final) haben allerdings nochmal Schwung in die Debatte gebracht:
So hatte der EuGH 2023 über den Personenbezug von Fahrzeugidentifikationsnummern (FIN) zu entscheiden, die durch den Kfz-Hersteller Scania auf einer Webseite für Werkstätten bereitgestellt wurden (EuGH ZD 2024, 173 mAnm Hanloser - FIN). Im Einklang mit der Rs. Breyer (EuGH ZD 2017, 24 mAnm Kühling/Klar = MMR 2016, 842 mAnm Moos/Rothkegel) stellte der EuGH zunächst fest, dass die FIN für alle Akteure Personenbezug aufweist, die mit ihr den Halter des zugehörigen Fahrzeugs identifizieren können (Rn. 48). Dies umfasst zB Werkstätten, die für einen bekannten Kunden die FIN zwecks Ersatzteilbeschaffung verarbeiten - beschränkt-objek_£tiver bzw. erweitert-relativer Ansatz, soweit so gut.
Für Diskussionen sorgt indes die beiläufige Ausführung des EuGH, dass die FIN auch „mittelbar für die Fahrzeughersteller, die die FIN bereitstellen, ein personenbezogenes Datum (darstellt), selbst wenn die FIN für sich genommen für die Fahrzeughersteller kein persönliches Datum darstellt“ (Rn. 49).
Also einmal personenbezogen, immer personenbezogen?
Muss sich Scania die Identifizierungsmöglichkeit einzelner Werkstätten zurechnen lassen, die sie im Einzelnen gar nicht kennen und auf deren Inanspruchnahme Scania gar keinen Anspruch hat? Ein solcher gänzlich objektiver Ansatz würde zahlreiche Folgeprobleme aufwerfen, insbesondere die Bindung an die DS-GVO mit all ihren Verpflichtungen, obgleich Scania selbst keine Identifizie-rung vornehmen kann und nicht weiß, wer dies alles könnte. Zwar positioniert sich der EuGH in der darauffolgenden Rs. SRB klar für einen beschränkt-objektiven bzw. erweitert-relativen Personenbezug, indem er festhält, dass „pseudonymisierte Daten ... nicht in jedem Fall und für jede Person als personenbezogene Daten betrachtet werden“ müssen (EuGH ZD 2025, 631 Rn. 86 mAnm Roßnagel und mAnm Baumgartner = MMR 2025, 875 mAnm Monreal - SRB, sowie Grosmann/Luh EuZW 2025, 1112 f.). Der Gerichtshof erwähnt aber auch dort einen „indirekten“ Personenbezug unter Bezugnahme auf seine Entscheidung in der Rs. FIN (s. Verweis in EuGH ZD 2025, 631 Rn. 84 mAnm Roßnagel und mAnm Baumgartner = MMR 2025, 875 mAnm Monreal - SRB) - und verwirrt damit die Rechtsanwender.
Man muss ein bisschen genauer lesen, um die Frage, wie es denn nun um den Personenbezug steht, zu beantworten. Denn letztlich verweist der EuGH in der Rs. FIN und in der Rs. SRB in seinen Ausführungen zum Personenbezug auf die Schlussanträge des Generalanwalts aus der Rs. FIN (GA Sánchez-Bordona SA v. 4.5.2023 - C-319/22; Bezugnahme auf Rn. 34 der FIN-Schlussanträge in Rn. 49 des FIN-Urteils; Bezugnahme auf Rn. 49 des FIN-Urteils in Rn. 84 des SRB-Urteils). Und der Generalanwalt verweist wiederum für die Terminologie des mittelbaren Personenbezugs auf den dem Verfahren zugrunde liegenden Vorlagebeschluss des LG Köln v. 4.5.2022 - 84 O 223/20. Die Lektüre des Vorlagebeschlusses wiederum zeigt unmissverständlich: Es besteht allein in dem Umfang ein Personenbezug für den Hersteller zur Debatte, in dem dieser eine „vernünftige tatsächliche oder rechtliche Möglichkeit zur Verfügung (hat), anhand der FIN Rückschlüsse auf eine natürliche Person zu ziehen“ (S. 79 des Vorlagebeschlusses).
Es geht dem Generalanwalt und dem EuGH insoweit keineswegs um eine automatische Zurechnung des Personenbezugs iSe objektiven Ansatzes, sondern allein um die konsequente Anwendung der beschränkt-objektiven bzw. erweitert-relativen Theorie, die wir seit der Rs. Breyer kennen.
Das zeigt sich auch in der Conclusio des Generalanwalts zum Thema Personenbezug in der Rs. FIN: Er führt dort aus, dass FIN nur dann „personenbezogene Daten iSv Art. 4 Nr. 1 DS-GVO sind, sofern derjenige, der Zugang zu ihnen hat, über Mittel verfügen kann, die es ihm bei vernünftiger Betrachtung ermöglichen, sie zur Identifizierung des Eigentümers des jeweiligen Fahrzeugs zu nutzen“ (GA Sánchez-Bordona SA v. 4.5.2023 - C-319/22 Rn. 42). Weiter heißt es: „Es ist Sache des vorlegenden Gerichts, zu prüfen, ob dem im konkreten Fall so ist“ (GA Sánchez-Bordona SA v. 4.5.2023 - C-319/22 Rn. 42). Nur wenn ein Hersteller also ebenfalls über ausreichende Identifizierungsmittel iSv Erwägungsgrund 26 S. 3 DS-GVO verfügt, ist die FIN für ihn personenbezogen, zB beim Bestehen von vertraglichen oder gesetzlichen Auskunftsansprüchen des Herstellers gegen eine Werkstatt.
Letztlich geht es bei der Frage, ob ein Verantwortlicher einen Personenbezug herstellen kann, also um nichts anderes als um Wissenszurechnung (vgl. idS bereits EuGH ZD 2017, 24 Rn. 43 ff. mAnm Kühling/Klar = MMR 2016, 842 mAnm Moos/Rothkegel - Breyer; ausführlich dazu auch Roßnagel Anmerkung zu ZD 2025, 631 und Baumgartner Anmerkung zu ZD 2025, 631 sowie Grosmann/Luh EuZW 2025, 1112 f.). Das Wissen Dritter ist als Mittel zur Identifizierung des Betroffenen durch den Verantwortlichen zurechenbar, wenn und soweit sich der Verantwortliche diesem wahrscheinlich bedienen wird (idS auch Golland ZRP 2026, 2).
Damit kommt es nicht darauf an, wessen Sicht bei der Bestimmung des Personenbezugs zugrunde zu legen ist - die des Verantwortlichen oder die jedermanns. Es kommt stets und einzig auf die Sicht des Verantwortlichen an und es stellt sich allein die Frage, ob das Wissen Dritter ein Mittel ist, das nach allgemeinem Ermessen vom Verantwortlichen wahrscheinlich genutzt wird, um die betroffene Person zu identifizieren.
Die Rs. SRB sagt dazu: Verbotene Mittel werden nicht berücksichtigt. Und auch dann, wenn Daten verschlüsselt sind und der Schlüssel dem Verantwortlichen nicht zugänglich ist (zu den genauen Umständen der Rs. SRB vgl. EuGH ZD 2025, 631 Rn. 23 mAnm Roßnagel und mAnm Baumgartner = MMR 2025, 875 mAnm Monreal - SRB), er also nicht über Mittel verfügt, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die betroffene Person zu identifizieren, liegt ein Personenbezug nicht vor. Auch kein mittelbarer Personenbezug:
„Wie in den Rn. 75 bis 77 des vorliegenden Urteils ausgeführt, kann die Pseudonymisierung also je nach den Umständen des Einzelfalls andere Personen als den Verantwortlichen tatsächlich an einer Identifizierung der betroffenen Person hindern, sodass letztere für die anderen Personen nicht oder nicht mehr identifizierbar ist.“ (EuGH ZD 2025, 631 Rn. 87 mAnm Roßnagel und mAnm Baumgartner = MMR 2025, 875 mAnm Monreal - SRB)
Mitte 2025 hat der BGH dem EuGH erneut Fragen zum Personenbezug vorgelegt und dabei insbesondere danach gefragt, ob für einen Personenbezug bereits die abstrakte Identifizierungsmöglichkeit durch einen Dritten genügt (BGH ZD 2026, 94 mAnm Voigt/Horn = MMR 2026, 203 mAnm Ligocki/Wellmann). Worum es ging? Um IP-Adressen - vielleicht schließt sich also mit diesem Urteil endlich der Kreis zur Rs. Breyer aus dem Jahr 2016.
Professorin Dr. Louisa Specht-Riemenschneider ist Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) in Bonn.
Dr. Ruben Plum-Schneider ist Persönlicher Referent der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) in Bonn.