IP-Adressen und Ihre Formulare

Die DSGVO definiert personenbezogene Daten in Artikel 4 Nr. 1 als Informationen über eine identifizierte oder identifizierbare Person und nennt „eine Online-Kennung“ als eine Möglichkeit, eine Person zu identifizieren. Erwägungsgrund 30 nennt IP-Adressen als Beispiel für eine solche Kennung.

Der Gerichtshof der Europäischen Union hat den schwierigeren Fall in Breyer gegen Bundesrepublik Deutschland (C-582/14) am 19. Oktober 2016 entschieden. Ein Website-Betreiber kann in der Regel nicht erkennen, wer hinter einer dynamischen IP-Adresse steht. Der Gerichtshof entschied, dass die Adresse für den Betreiber dennoch ein personenbezogenes Datum ist, wenn er über rechtliche Mittel verfügt, die Person mithilfe zusätzlicher Daten zu identifizieren, die beim Internetanbieter vorliegen, etwa über die Behörden nach einem Angriff. Der Fall wurde nach der alten Richtlinie 95/46 entschieden, die darin ausgelegte Begriffsbestimmung wurde jedoch in die DSGVO übernommen.

Die praktische Lesart für Formularbetreiber: Behandeln Sie die IP-Adressen, die Ihre Formulare erheben, als personenbezogene Daten, und planen Sie entsprechend.

• Webserver- und Proxy-Protokolle für die Seite, auf der das Formular angezeigt wird.
• Das Formular-Backend, das die Adresse oft zusammen mit der Einsendung für Rate Limits und Missbrauchsprüfungen speichert.
• Ein CDN oder eine Firewall vor einem dieser beiden.
• Ein CAPTCHA oder eine Bot-Prüfung, mit der der Browser des Besuchers direkt kommuniziert.
• Analysetools auf der Seite, falls vorhanden.

Jedes davon ist eine eigene Kopie mit eigener Aufbewahrungsdauer und oft eigenem Speicherort. Wenn Sie Ihr Verzeichnis der Verarbeitungstätigkeiten führen, listen Sie alle auf, nicht nur das Formular-Backend.

Eine verbreitete Abkürzung ist, einen SHA-256-Hash der Adresse zu speichern. Er sieht unlesbar aus, aber der IPv4-Adressraum umfasst nur etwa 4,3 Milliarden Adressen. Jede davon zu hashen dauert auf üblicher Hardware wenig Zeit, danach lässt sich jeder gespeicherte Hash direkt wieder seiner Adresse zuordnen.

Ein schlüsselbasierter Hash (ein HMAC mit geheimem Schlüssel) schließt diese Lücke für alle, die den Schlüssel nicht besitzen. In DSGVO-Begriffen ist das Pseudonymisierung nach Artikel 4 Nr. 5: Die Daten lassen sich ohne zusätzliche, getrennt aufbewahrte Informationen nicht mehr einer Person zuordnen. Erwägungsgrund 26 stellt klar, dass pseudonymisierte Daten weiterhin personenbezogene Daten sind. Ein schlüsselbasierter Hash ist daher eine gute Schutzmaßnahme nach Artikel 25 und 32, aber kein Ausweg aus der Verordnung.

Spam- und Missbrauchsschutz ist der übliche Grund, warum ein Formular eine IP-Adresse speichert. Erwägungsgrund 49 stuft die Verarbeitung, die für die Netz- und Informationssicherheit unbedingt erforderlich ist, als berechtigtes Interesse ein, was auf Artikel 6 Absatz 1 Buchstabe f verweist. Diese Rechtsgrundlage erfordert eine Interessenabwägung, und die Abwägung spricht dafür, so wenig wie möglich und so kurz wie möglich zu speichern.

Ein Rate Limit braucht die Adresse für Minuten, nicht für Monate. Wenn nichts anderes davon abhängt, gibt es wenig Grund, die IP-Adresse länger mit einer Einsendung verknüpft zu speichern als die Nachricht selbst. Was Sie auch wählen, nennen Sie es in Ihrer Datenschutzerklärung.

• Schlüsselbasierter Hash beim Empfang. Die Adresse des Absenders wird mit HMAC-SHA-256 und einem geheimen serverseitigen Salt gehasht, bevor etwas gespeichert wird. Die Roh-IP-Adresse wird nicht auf die Festplatte geschrieben.
• Verwendet für das Rate Limit. Der Hash ist die Grundlage, nach der das Rate Limit pro IP-Adresse und pro Formular zählt. Standardmäßig sind das 50 Einsendungen pro Minute und Adresse, und Sie können pro Formular einen niedrigeren oder höheren Wert festlegen.
• Löschung nach 24 Stunden. Im Datenschutz-Center kann ein Workspace-Inhaber oder Administrator festlegen, dass ein Formular den Hash 24 Stunden nach jeder Einsendung löscht. Ein Bereinigungslauf erfolgt alle 15 Minuten. Ohne diese Einstellung wird der Hash so lange gespeichert wie die Einsendung selbst.
• Anonyme gehostete Formulare. Ein gehostetes Formular, das auf anonym eingestellt ist, speichert überhaupt keinen IP-Hash zusammen mit seinen Einsendungen.
• Server-Protokolle. Webserver-Zugriffsprotokolle speichern nur eine gekürzte Adresse, wie in der Datenschutzerklärung beschrieben.

Eine Ausnahme liegt außerhalb der Server von Formward. Wenn Sie Cloudflare Turnstile für ein Formular aktivieren, kommuniziert der Browser des Besuchers mit Cloudflare, einem US-Unternehmen. Cloudflare sieht Challenge-Daten wie die IP-Adresse und Browser-Signale, aber keine Formularantworten. Turnstile ist standardmäßig deaktiviert und im Verzeichnis der Unterauftragsverarbeiter aufgeführt. Das Honeypot-Feld _gotcha und das Rate Limit funktionieren auch ohne Turnstile.