Ashio whistleblowing software

Oct 14, 2026

IP-Tracking und Datenschutz: Was Websitebetreiber dürfen

Der Betreiber der Website überprüft die Speicherung von Zugriffsdaten.

Kurzantwort: Ja, aber nur unter engen Voraussetzungen und mit dokumentierter Rechtsgrundlage. IP-Adressen gelten nach EuGH und BGH häufig als personenbezogene Daten. Sie brauchen Einwilligung oder ein sauber abgewogenes berechtigtes Interesse. Tracking per Pixel kann zusätzlich nach §25 TDDDG einwilligungspflichtig sein. Zur Störungsbeseitigung gelten kurze Speicherfristen, meist höchstens sieben Tage.

Kurz gesagt:

  • Auch dynamische Internetprotokolladressen gelten als personenbezogen, wenn Sie sie rechtlich mithilfe zusätzlicher Informationen einem Besucher zuordnen können; halten Sie diese Einordnung schriftlich fest.
  • Für Sicherheitsprotokolle kann ein dokumentiertes berechtigtes Interesse genügen, sofern die Speicherung erforderlich bleibt und die Rechte der Betroffenen nicht überwiegen.
  • Zählpixel und Geräteabdruckverfahren können zusätzlich § 25 TDDDG auslösen, wenn die Internetprotokolladresse vom Endgerät stammt; eine Rechtsgrundlage nach der DSGVO ersetzt die nötige Einwilligung nicht.
  • Für die Störungsbeseitigung sollten automatische Löschroutinen Internetprotokolladressen meist binnen sieben Tagen entfernen; eine längere Aufbewahrung verlangt einen eigenen dokumentierten Zweck, etwa einen Sicherheitsvorfall.
  • Kürzen oder maskieren Sie Adressen bereits serverseitig vor dem Speichern, beschränken Sie den Zugriff auf Protokolle und prüfen Sie Übermittlungen ins Ausland.
Ashio
Meldungen vertraulich erfassen
Ashio bietet Unternehmen einen sicheren, anonymen Meldekanal mit Identitätsschutz und Audit-Trail zur Verwaltung von Meldungen.

Inhaltsverzeichnis

Wann ist eine IP-Adresse ein personenbezogenes Datum?

Der europäische Gerichtshof hat in der Rechtssache C-582/14 entschieden: Auch eine dynamische IP-Adresse kann personenbezogen sein, sobald der Websitebetreiber rechtlich die Möglichkeit hat, sie mit Zusatzwissen des Internetzugangsanbieters zu verknüpfen. Der Bundesgerichtshof hat das im Verfahren VI ZR 135/13 aufgegriffen, wie activemind zusammenfasst. Entscheidend ist also der relative Personenbezug: Es kommt darauf an, wer mit welchen Mitteln identifizieren könnte.

Für Sie heißt das:

  • Die Speicherung von IP-Adressen in Server-Logfiles fällt in der Regel unter die DSGVO.
  • Ob ein Personenbezug besteht, hängt vom Kontext ab, etwa davon, welche Zusatzdaten Ihnen vorliegen.
  • Sie sollten Ihre Einordnung schriftlich festhalten, statt sie nur im Kopf zu haben.
  • Wer die Frage mit „betrifft uns nicht“ beantwortet, sollte die Einordnung sorgfältig prüfen.

Auf Nummer sicher gehen Sie, wenn Sie IP-Adressen grundsätzlich wie personenbezogene Daten behandeln.

Einwilligung oder berechtigtes Interesse: Welche Rechtsgrundlage passt?

Ohne Rechtsgrundlage nach Art. 6 DSGVO dürfen Sie keine IP-Adressen verarbeiten. Für Tracking und Marketing führt in der Praxis kaum ein Weg an der Einwilligung vorbei. Sie muss informiert, freiwillig und nachweisbar sein.

Das berechtigte Interesse trägt vor allem bei Sicherheit und Störungsbeseitigung. Die Bundesnetzagentur führt aus, dass Art. 6 Abs. 1 lit. f DSGVO die Speicherung dafür rechtfertigen kann, wenn sie eng begrenzt bleibt. Der europäische Datenschutzausschuss verlangt dafür eine detaillierte Abwägung, wie seine Leitlinien 1/2024 zeigen. Dokumentieren Sie in dieser Reihenfolge:

  1. Welches Interesse verfolgen Sie konkret?
  2. Ist die Verarbeitung dafür erforderlich, oder geht es auch mit weniger Daten?
  3. Wie fällt die Abwägung gegen die Rechte der Betroffenen aus?
  4. Welche Schutzmaßnahmen mindern das Risiko?

Das Ergebnis fällt nicht automatisch zu Ihren Gunsten aus.

Profi-Tipp: Legen Sie die Abwägung als eigenes Dokument mit Datum und Verantwortlichem ab. Bei einer Aufsichtsanfrage zählt, was Sie vorlegen können.

Wann löst IP-Tracking eine Einwilligung nach §25 TDDDG aus?

Neben der DSGVO schützt Art. 5 Abs. 3 der ePrivacy-Richtlinie das Endgerät der Nutzer, in Deutschland umgesetzt in §25 TDDDG. Das betrifft nicht nur Cookies. Der Europäische Datenschutzausschuss stellt in seinen Leitlinien 2/2023 klar, dass auch Pixel, Fingerprinting und IP-Only-Tracking erfasst sein können, solange nicht sicher auszuschließen ist, dass die IP-Adresse vom Endgerät stammt.

Praktisch bedeutet das:

  • Schon das bloße Auslesen von IP-Adressen, die vom Endgerät kommen, kann nach Maxkorn unter §25 TDDDG fallen.
  • Zählpixel erzeugen Serverlogs und damit personenbezogene Daten. Der BfDI zu Zählpixeln hält dafür vielfach eine Einwilligung für nötig.
  • Eine Ausnahme kann greifen, wenn der Zugriff unbedingt erforderlich ist, etwa für den technischen Betrieb. Die BfDI-Orientierungshilfe erläutert die Voraussetzungen.
  • Die DSGVO-Rechtsgrundlage ersetzt die ePrivacy-Einwilligung nicht. Beide Ebenen sind getrennt zu prüfen.

Wie lange dürfen Sie IP-Adressen speichern?

Für die Fehler- und Störungsbeseitigung wird die Speicherung der IP-Adresse als berechtigtes Interesse anerkannt, aber nur kurz. Üblicherweise nennen Aufsichtsstellen höchstens sieben Tage, so die Bundesnetzagentur. Auch die BfDI-FAQ zum Internet bestätigt: zulässig, aber zeitlich begrenzt.

Alles, was darüber hinausgeht, braucht eine eigene, klare Rechtsgrundlage. Richten Sie automatische Löschroutinen ein und halten Sie den Zweck jeder Speicherung fest. Prüfen Sie bei Sicherheitsvorfällen oder gesetzlichen Pflichten gesondert, welche Aufbewahrung zulässig ist, und dokumentieren Sie den Grund.

Wie minimieren Sie den Personenbezug technisch?

Die Aufsichtsbehörden halten die Speicherung vollständiger IP-Adressen für Standardanalysen oft für unverhältnismäßig. Der BfDI zur Logfile-Analyse empfiehlt stattdessen, die Adresse sofort zu kürzen oder zu maskieren, etwa serverseitig. Wichtige Bausteine:

  • IP-Adresse serverseitig kürzen oder vor der Weitergabe an Analyse-Tools hashen.
  • Zugriff auf Logfiles auf wenige Personen beschränken und die Daten verschlüsseln.
  • Mit jedem Drittanbieter einen Auftragsverarbeitungsvertrag schließen und Übermittlungen in Drittländer prüfen.
  • Bei hohem Risiko eine Datenschutz-Folgenabschätzung durchführen.
  • Maßnahmen dokumentieren und regelmäßig überprüfen.

Profi-Tipp: Kürzen Sie die IP, bevor sie überhaupt auf die Platte geschrieben wird. Was nie gespeichert wurde, müssen Sie später weder löschen noch beauskunften.

Welche Schritte gehören auf Ihre Checkliste?

Arbeiten Sie diese Schritte der Reihe nach ab:

  1. Rechtsgrundlage klären: Einwilligungs-Workflow aufsetzen oder die Interessenabwägung dokumentieren, bei Bedarf mit Ihrem Datenschutzbeauftragten.
  2. IP-Maskierung aktivieren.
  3. Löschfristen automatisieren, zum Beispiel nach sieben Tagen.
  4. Logs absichern und Zugänge begrenzen.
  5. Datenschutzerklärung aktualisieren, sodass sie Zweck, Rechtsgrundlage und Speicherdauer nennt.
  6. Auftragsverarbeitungsverträge und Drittlandabsicherungen prüfen.
  7. Datenschutz-Folgenabschätzung durchführen, falls Anzeichen für ein hohes Risiko vorliegen.
Bereich Mindestmaßnahme
Rechtsgrundlage Dokumentierte Abwägung oder nachweisbare Einwilligung
Technik Serverseitige Kürzung der IP-Adresse
Speicherdauer Automatische Löschung, für Störungsbeseitigung meist höchstens 7 Tage
Transparenz Aktuelle Datenschutzerklärung

Warum wir auf datenschutzfreundliche Voreinstellungen setzen

Aus unserer Sicht ist der sicherste Umgang mit IP-Adressen der, sie gar nicht erst zu erfassen. Datenschutzfreundliche Voreinstellungen senken das Risiko bei Aufsichtsbehörden und stärken das Vertrauen der Nutzer. Eine ehrliche, verständliche Datenschutzerklärung und technische Minimierung wiegen mehr als jede nachträgliche Rechtfertigung. Bei sensiblen Anwendungen wie Hinweisgebermeldungen lohnt sich ein System, das ohne IP-Erfassung auskommt.

Anonyme Meldekanäle ohne IP-Erfassung

Wer Hinweise von Beschäftigten entgegennimmt, steht vor einem Dilemma: Jede erfasste IP-Adresse kann die Anonymität gefährden und zugleich DSGVO- und ePrivacy-Fragen aufwerfen. Wir bei Ashio setzen auf einen anderen Ansatz: Unsere Plattform erfasst nach unseren Angaben keine IP-Adressen und setzt keine Cookies. Das kann dazu beitragen, die Identität der Melder zu schützen. Die Daten werden nach unseren Angaben auf Servern in der Schweiz gespeichert, mehr dazu auf unserer Seite zu Sicherheit und DSGVO-Konformität. Wenn Ihr Anwendungsfall anonyme Meldungen sind, schauen Sie sich unsere anonyme Meldesoftware an. Unser Tarif Basic kostet 29 € pro Monat.

Anonyme Meldekanäle ohne IP-Erfassung — overview diagram

FAQ

Ist es illegal, eine IP-Adresse zu tracken?

Nicht grundsätzlich, aber es braucht eine Rechtsgrundlage nach der DSGVO. Je nach Methode kann zusätzlich eine Einwilligung nach §25 TDDDG nötig sein. Ob das Tracking unzulässig ist, hängt von der konkreten Methode und den anwendbaren Rechtsgrundlagen ab.

Sind IP-Adressen personenbezogene Daten?

Häufig ja. Nach der EuGH-Entscheidung C-582/14 und dem BGH-Urteil VI ZR 135/13 gilt das auch für dynamische IP-Adressen, wenn der Betreiber rechtlich die Möglichkeit hat, sie mit Zusatzwissen einer Person zuzuordnen.

Darf ich meine IP-Adresse weitergeben?

Ihre eigene IP-Adresse dürfen Sie selbst weitergeben. Anders ist es, wenn Sie als Betreiber die IP-Adressen Ihrer Besucher an Dritte übermitteln. Dafür brauchen Sie eine Rechtsgrundlage und meist einen Auftragsverarbeitungsvertrag.

Wie lange darf ich IP-Adressen speichern?

Für die Störungsbeseitigung nennen Aufsichtsstellen üblicherweise höchstens sieben Tage. Eine längere Speicherung brauchen Sie nur bei klarer Rechtsgrundlage, etwa bei einem dokumentierten Sicherheitsvorfall.

Quellen

Empfehlungen