Internetverwaltung ICANN verliert vor Gericht WHOIS-Domain-Datenbank nicht DSGVO-konform

In der europäischen Datenschutzgrundverordnung (DSGVO) ist der Grundsatz der Datensparsamkeit verankert. Diesem kommt die Internetverwaltung ICANN mit ihrer Domain-Registrierungsdatenbank WHOIS nicht nach.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Insider Research

peoplefone GmbH

Wer eine Internetadresse registrieren will, kommt an der US-amerikanische Internetverwaltung Internet Corporation for Assigned Names and Numbers (ICANN) nicht vorbei. Diese hatte Mai 2018, ein Gerichtsverfahren gegen die EPAG Domainservices GmbH, ein zur Tucows-Gruppe gehörender Registrar mit Sitz in Bonn, eingeleitet. Grund dazu gab die unterschiedliche Interpretation von Tucows und ICANN bezüglich der Auslegung der Datenschutz-Grundverordnung (DSGVO).

Der Registrar-Akkreditierungsvertrag der ICANN in der Fassung von 2013 verpflichtetet zur Erhebung überflüssiger und nicht DSVO-konformer Daten. So wurden bisher beispielsweise personenbezogene Daten von Personen verlangt, zu denen kein direkter Bezug besteht, wie die Admin- und Tech-Kontakte –also der technischen sowie administrativen Domainverwaltung.

Anhand der bei ICANN gespeicherten Daten konnte bisher zudem ein Domaininhaber ganz einfach über eine WHOIS-Abfrage ermittelt werden, indem der Rechteinhaber auf der Website des Registrars die entsprechende Web-Adresse eingab. Sofort erhielt man Informationen über die Identität des Domaininhabers und den Ansprechpartner für technische und administrative Belange dieser Domain. Kurz: Die WHOIS-Domain-Datenbank verstößt in seiner ursprünglichen Form gegen die DSGVO. Entsprechend hat die Tuscows-Gruppe ihr Formular den europäischen Datenschutzrichtlinien angepasst.

Gerichtsurteil

Die ICANN zog deshalb vor Gericht mit dem Argument, dass die Fragmentierung der WHOIS-Datenbank eine potenzielle Gefahr bedeute. Beispielsweise könnten Cyberkriminelle davon profitieren, erklärte die Organisation. Die ICANN forderte deshalb eine Ausnahme von der Datenschutz-Grundverordnung. „Wir prüfen alle verfügbaren Möglichkeiten, einschließlich rechtlicher Schritte in Europa, um auch weiterhin diese wichtige globale Informationsressource koordinieren zu können“, erklärte ICANN-Präsident Göran Marby diesen Schritt.

Das Bonner Landgericht hat nun einen Antrag auf einstweilige Anordnung gegen den hierzulande beheimateten Registrar EPAG zurückgewiesen. Damit ist EPAG nicht mehr verpflichtet, Kontaktdaten von Tech-C und Admin-C zu erheben.

Dem Beschluss des Landgerichts zufolge gelang es der ICANN nicht, glaubhaft darzulegen, dass das Speichern jener Daten, die über die Information des Domaininhabers hinausgehen, erforderlich sei. Man könne beim in der DSGVO verankerten Grundsatz der Datensparsamkeit nicht erkennen, wozu zusätzliche Daten erhoben werden. Die ICANN habe zudem eingeräumt, dass Domains registriert werden können, wenn diese drei Datensätze identisch sind.

Beendet scheint der Streit über die Umsetzung der DSGVO wohl noch nicht. Die ICANN scheint ihre Diskussionen sowohl mit der EU-Kommission als auch mit dem europäischen Datenschutzbeauftragten fortsetzen zu wollen.

Interessierte finden den Beschluss des Landgericht Bonn zum einstweiligen Verfügungsverfahren hier als PDF.

Ist der EU-US-Privacy-Shield in Gefahr?

Datenübermittlungen in die USA ein No-Go?

(ID:45526544)