Empfehlungen 
zur Speicherung von Verkehrsdaten an 
niedersächsischen Hochschulen

Datenschutzbeauftragte Niedersächsischer Hochschulen
16. Februar 2006

Nach den gegenwärtigen rechtlichen Vorgaben ist beim Erbringen von elektronischen Informations- und Kommunikationsdiensten zwischen verschiedenen Diensten zu unterscheiden. Ausdrücklich wird in diesem Zusammenhang auf die „Checkliste für Rechenzentren“ des DFN (URL http://www.dfn.de/content/beratung/rechtimdfn/rz-checkliste) verwiesen, der nähere Einzelheiten zu diesem Thema zu entnehmen sind.

Soweit Rechenzentren Telekommunikationsdienste erbringen und eine private Nutzung durch Mitarbeiterinnen und Mitarbeiter sowie Studierende nicht ausdrücklich ausgeschlossen ist, sind die Vorschriften des Telekommunikationsgesetzes (TKG) zu beachten. Insbesondere die Wahrung des Fernmeldegesetzes, (§§ 88 ff. TKG) sowie Vorgaben zu Datensicherheit und Datenschutz (§§ 109, 91 TKG). Grundsätzlich ist das in Artikel 10 Grundgesetz garantierte Fernmeldegeheimnis (§§ 88 Abs. 1, 2, 3 TKG) zu wahren.

Während sich das TKG auf die „Transportebene“ der Telekommunikation bezieht, gilt für den Schutz personenbezogener Daten bei der Nutzung der Teledienste das Teledienstedatenschutzgesetz (TDDSG). Teledienste sind alle elektronischen Informations- und Kommunikationsdienste, die für eine individuelle Nutzung von Inhalten mittels Telekommunikation bestimmt sind. Für den Bereich des Deutschen Forschungsnetzes und damit für die dieses Netz nutzenden Hochschulen sind damit insbesondere das „World Wide Web“ sowie sämtliche Datendienste betroffen.

Aus datenschutzrechtlicher Sicht werden folgende Empfehlungen gegeben, um einerseits die Datensicherheit und andererseits den Datenschutz bei der elektronischen Kommunikation an niedersächsischen Hochschulen zu gewährleisten.

1.	Unvollständige Liste von an Hochschulen üblicherweise genutzten Diensten: 

WWW, DHCP, Proxy, Mail-Eingang, Internet-Router, VPN-Gateway, Lizenz-Server. Darüber hinaus zeichnet in der Regel jede Client-Server-Konfiguration Logfiles auf.

2.	Die Speicherung personenbezogener bzw. personenbeziehbarer Logfiles ist nur

- zu Abrechnungszwecken, 
- zur Überprüfung missbräuchlicher Nutzung in begründeten Verdachtsfällen,
- zur Abwehr und Erkennung von Störungen, 
- mit der Zustimmung der Betroffenen oder 
- durch richterliche bzw. staatsanwaltliche Anordnungen zulässig. 

Darüber hinaus gehende Speicherungen sind grundsätzlich unzulässig. Sofern solche Daten notwendigerweise automatisch gespeichert werden (z.B. zur Aufrechterhaltung von Verbindungen), sind diese frühest möglich zu löschen.

3.	Zu Abrechnungszwecken gespeicherte personenbezogene Logfiles sind nach ihrer Zweckerfüllung sofort zu löschen bzw. zu anonymisieren.

4.	Sofern statistische Auswertungen erwünscht sind, haben diese anonymisiert zu erfolgen, beispielsweise durch Löschung der letzten oder beiden letzten Zahlenblöcke der IP-Adressen. Die IP-Adressen müssen dabei um soviel Stellen gekürzt werden, dass ein Personenbezug ausgeschlossen ist.

5.	Logfiles von Mail-Eingangs- und Mail-Ausgangs-Servern sind nicht zu speichern. Auch der Wunsch einzelner E-Mail-Nutzer nach nachträglicher Überprüfung, ob und wann eine wichtige E-Mail zugestellt wurde, kann eine Speicherung aller E-Mail-Verbindungsdaten nicht rechtfertigen. E-Mails können grundsätzlich den Anspruch an rechtsverbindlicher und rechtssicherer Zustellung nicht erfüllen. Für die Übermittlung wichtiger Mitteilungen und Unterlagen sollten andere Wege genutzt werden.

6.	Die Speicherung von MAC-Adressen bzw. Nutzerkennungen ist grundsätzlich unzulässig. 

Wenn diese Daten zur Aufrechterhaltung einer Verbindung während der Verbindung notwendig gespeichert werden müssen, sind sie im Rahmen der technischen Möglichkeiten sofort zu löschen, wenn die Verbindung nicht mehr besteht. Für statistische Zwecke wird eine Regelung wie nach 4.) vorgeschlagen.

7.	Überprüfungen auf Funktionsfähigkeit (beispielsweise eines Proxy-Servers) sind rechtlich zulässig. Der Umfang der gespeicherten Daten ist auf das unbedingt notwendige Maß zu reduzieren. In solchen Fällen sollte ein Filterprogramm nur die Fehler protokollieren (Error-Log). Diese sind sofort nach Zweckerfüllung zu löschen.

8.	Sofern zu Abrechnungszwecken gewünscht, sollte eine Speicherung von Verbrauchsdaten durch Internet-Router akkumuliert auf Institutsbasis soweit anonymisiert werden, wie die Daten für Abrechnungszwecke benötigt werden.

9.	Lizenzgeber geben in der Regel eine Speicherung vor, um die maximale gleichzeitige Nutzung des Lizenzprogramms zu überprüfen bzw. zu begrenzen. Eine Protokollierung kann deshalb wahrscheinlich nicht abgestellt werden. Oft werden diese Lizenzprogramme institutsübergreifend genutzt und auf der Grundlage der Nutzungsdauer abgerechnet. In diesem Fall ist die Speicherung zulässig. Die Speicherdauer ergibt sich aus der Lizenzdauer (i.d.R. ein Jahr, daraus ergibt sich eine maximale Speicherdauer von zwei Jahren). Ist die Speicherung von Abrechnungsdaten nicht notwendig, muss geprüft werden, ob die Logfiles zeitnah gelöscht werden können, weil die Lizenzprogramme oft über längere Zeiträume ohne Unterbrechung genutzt werden. Sollte eine zeitnahe Löschung nicht möglich sein, ist zu prüfen, ob die Daten anonymisiert werden können.