IP-Adressen sind personenbezogene Daten. Dies ergibt sich aus Erwägungsgrund 30 DSGVO, der Online-Kennungen wie IP-Adressen ausdrücklich nennt, und wurde vom EuGH bestätigt (C-582/14, Breyer).
Zulässigkeit
Die Speicherung von IP-Adressen ist unter bestimmten Voraussetzungen zulässig:
IT-Sicherheit: Die kurzfristige Speicherung in Server-Logfiles zur Gewährleistung der IT-Sicherheit (Erkennung und Abwehr von Angriffen) kann auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) gestützt werden. Erwägungsgrund 49 DSGVO nennt IT-Sicherheit ausdrücklich als berechtigtes Interesse. Die Speicherdauer muss auf das erforderliche Minimum begrenzt werden, in der Regel wenige Tage bis maximal wenige Wochen.
Technische Notwendigkeit: Ohne IP-Adresse kann der Server die Website nicht ausliefern. Die kurzfristige Verarbeitung für die Auslieferung stützen Sie auf Art. 6 Abs. 1 lit. f DSGVO.
Analyse und Tracking: Die dauerhafte Speicherung oder Auswertung von IP-Adressen zu Analysezwecken (z. B. Erstellung von Nutzungsprofilen) erfordert in der Regel eine Einwilligung, nach § 25 Abs. 1 TDDDG jedenfalls dann, wenn dafür auf das Endgerät zugegriffen wird, etwa über Cookies.
Datenminimierung
Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) verlangen, dass IP-Adressen nicht länger als nötig gespeichert werden. Wo möglich, sollte eine IP-Anonymisierung oder -Kürzung eingesetzt werden.
Wie lange Ihre Server und Tools IP-Adressen speichern, lässt sich in einem Datenschutz-Audit prüfen.