Sind Residential Proxys legal? Was Sie wissen müssen

Die Frage kommt meist von jemandem, der eine Risikobewertung durchführt, statt von einem Anwalt, und sie wird gestellt, als wäre die Antwort binär. Das ist sie nicht, aber sie ist auch nicht so undurchsichtig, wie es das Internet klingen lässt. Traffic über einen Vermittler zu leiten ist eine gewöhnliche technische Praxis mit langer Geschichte und ohne generelles Verbot an irgendeiner Stelle, die kommerziell relevant wäre. Das Risiko liegt stattdessen an zwei Stellen: was Sie über den Proxy tun, und woher der Proxy-Anbieter seine Adressen bezogen hat.

Es lohnt sich, das vorab klar festzuhalten: Dies sind allgemeine Informationen und keine Rechtsberatung, und wenn Sie eine Entscheidung mit echter Haftungsrelevanz treffen, hängt die Antwort von Ihrer Rechtsordnung, Ihrer Branche und Ihrem Sachverhalt ab, weshalb Sie das mit einem Anwalt abklären sollten.

Die Kurzfassung

Die Nutzung eines Residential Proxy ist in den meisten Rechtsordnungen legal. Unternehmen nutzen Vermittler routinemäßig, und Proxys speziell für Ad-Verification, Markenschutz, Preis- und Marktforschung, Lokalisierungstests, Sicherheitsforschung und Qualitätssicherung, von denen nichts exotisch oder rechtlich verdächtig ist.

Drei Dinge verändern die Analyse, und keines davon betrifft eigentlich den Proxy selbst:

• Was Sie aufrufen und wie. Öffentliche Daten verhalten sich anders als Daten hinter einer Authentifizierung.
• An welche Vereinbarungen Sie gebunden sind. Nutzungsbedingungen sind Verträge, und ein Proxy entbindet Sie nicht von einem, den Sie akzeptiert haben.
• Wie das Netzwerk aufgebaut wurde. Ob die Haushalte, die Ihren Traffic tragen, dem zugestimmt haben.

Das Werkzeug ist neutral. Die Aktivität und die Lieferkette sind die Stellen, an denen Haftung ansetzt.

Die Unterscheidungen, die es tatsächlich entscheiden

Öffentlich versus authentifiziert. Informationen zu sammeln, die eine Seite jedem Besucher zeigt, wird ganz anders behandelt als der Zugriff auf etwas hinter einem Login oder einer Paywall. Das Umgehen einer Zugangskontrolle ist der Punkt, an dem Computer-Missbrauchsgesetze relevant zu werden beginnen, und das ist eine andere Risikokategorie als das zügige Lesen einer öffentlichen Seite. Die Rahmenbedingungen werden ausführlicher behandelt in is web scraping legal.

Vertrag versus Gesetz. Die Nutzungsbedingungen einer Seite können automatisierten Zugriff verbieten. Ein Verstoß dagegen ist in den meisten Kontexten eine vertragliche Angelegenheit und keine strafrechtliche, aber „nur ein Vertragsbruch“ ist immer noch eine echte Gefährdung: Er kann ein Konto beenden, einen Anspruch auslösen oder Grundlage für eine einstweilige Verfügung sein. Wenn Sie die Bedingungen akzeptiert haben, etwa durch eine Registrierung, sind Sie eindeutiger gebunden als ein Besucher, der das nie getan hat, und ein Proxy ändert daran nichts.

Geografische Beschränkung versus geografische Variation. Eine Seite über einen deutschen Exit anzufragen, um die deutsche Version einer öffentlichen Seite zu sehen, bedeutet, sich etwas anzusehen, das der Herausgeber der Öffentlichkeit in Deutschland zur Verfügung stellt. Einen Exit zu nutzen, um eine Beschränkung zu umgehen, die tatsächlich für Sie gelten soll, etwa Lizenzierungs- oder Sanktionskontrollen, ist eine andere Handlung. Die Unterscheidung betrifft Absicht und Wirkung, und das ist die Grenze, die in bypassing geolocation restrictions legally gezogen wird.

Personenbezogene Daten versus alles Übrige. Wenn das, was Sie sammeln, personenbezogene Daten umfasst, gilt Datenschutzrecht für Sie als Verantwortlichen unabhängig von Ihrer Erhebungsmethode, und der Proxy anonymisiert nichts. Diese Analyse ist gesondert und wird dargelegt in residential proxies and GDPR compliance.

Wo der Proxy selbst Risiko erzeugt

Das ist der Teil, der wirklich spezifisch für Residential-Netzwerke ist, und der Teil, den die meisten Risikobewertungen übersehen.

Die Adressen in einem Residential-Pool gehören echten Haushalten. Wenn diese Haushalte über klare Offenlegung mit einem echten Vorteil und einer funktionierenden Opt-out-Möglichkeit einbezogen wurden, ist die Lieferkette solide. Wenn sie über versteckte Zustimmung, gebündelte Installationsprogramme oder kompromittierte Geräte einbezogen wurden, dann läuft Ihr Traffic durch Verbindungen, deren Eigentümer nie zugestimmt haben, und das ist ein Lieferkettenproblem, das auf Sie als Kunden zurückfällt, nicht nur auf den Anbieter.

Das ist aus drei praktischen Gründen wichtig: Due-Diligence-Prozesse bei Lieferanten sind genau darauf ausgelegt, dies zu erkennen, Datenschutzpflichten enden nicht an der Grenze Ihres Anbieters, und diese Branche hat öffentliche Vorfälle hervorgebracht, bei denen sich herausstellte, dass Netzwerke auf Software aufgebaut waren, deren Ausführung Nutzer nicht verstanden hatten. Als Kunde in einem solchen Fall genannt zu werden, ist ein Reputationsereignis unabhängig von Ihrem eigenen Verhalten.

Es lohnt sich daher, dies direkt zu fragen und die Antwort zu dokumentieren, und die Einzelheiten dazu, wie gute Beschaffung aussieht, finden sich in how providers ethically source their IPs.

Gewöhnliche geschäftliche Nutzungen

Zur Einordnung: Die gängigen Anwendungen sind unauffällig:

Ad-Verification, um zu bestätigen, dass Kampagnen korrekt ausgespielt werden und in jedem Markt nicht betrügerisch bedient werden. Markenschutz, um Fälschungen und nicht autorisierte Verkäufer zu finden. Preis- und Marktforschung zu öffentlich gelisteten Preisen. Lokalisierungs- und QA-Tests, um das eigene Produkt so zu prüfen, wie es Nutzer in anderen Regionen erleben. Sicherheitsforschung und Threat Intelligence innerhalb eines autorisierten Rahmens. SEO- und SERP-Monitoring aus den Märkten, in denen Sie im Wettbewerb stehen.

Was sie gemeinsam haben, sind öffentliche Daten, ein legitimer geschäftlicher Zweck und keine Umgehung von Zugangskontrollen. Diese Kombination ist der Normalfall und macht den größten Teil des Marktes aus.

Nutzungen, die nicht vertretbar sind

Ebenso lohnt es sich, hier direkt zu sein, da dasselbe Werkzeug beidem dient.

Der Zugriff auf Konten, die Ihnen nicht gehören oder für die Sie nicht autorisiert sind. Das Umgehen von Zugangskontrollen, Paywalls oder Lizenzbeschränkungen, die Sie binden sollen. Betrug, einschließlich der Erstellung von Konten zum Missbrauch von Werbeaktionen, Klickbetrug oder Credential Stuffing. Das Sammeln personenbezogener Daten ohne Rechtsgrundlage. Volumina, die den Dienst, von dem Sie sammeln, beeinträchtigen, was von Belästigung zu Eingriff in ein Computersystem abrutschen kann. Und das Ignorieren einer ausdrücklichen Aufforderung aufzuhören, etwa einer Unterlassungsaufforderung, in der Annahme, dass eine rotierende Adresse Sie unauffindbar macht.

Ein Proxy macht nichts davon legal. Er macht die Zuordnung langsamer, was nicht dasselbe ist, und in einem Streitfall ist eine Schlussfolgerung vorsätzlicher Umgehung für Sie nicht hilfreich.

Risiko in der Praxis reduzieren

Sechs Dinge, die Ihre Position wesentlich verbessern, von denen die meisten gewöhnliche gute Praxis sind.

Sammeln Sie öffentliche Daten. Halten Sie Authentifizierung aus Ihrer Erhebung heraus, wo immer es das Geschäftsmodell erlaubt.

Lesen Sie die Nutzungsbedingungen der Seiten, von denen Sie abhängen, und halten Sie fest, zu welchem Schluss Sie gekommen sind. Eine dokumentierte Entscheidung ist ein viel besserer Nachweis als eine Annahme.

Respektieren Sie Robots-Anweisungen und halten Sie ein moderates Tempo. Über gute Umgangsformen hinaus betrifft das direkt, ob Ihre Aktivität als Eingriff in einen Dienst charakterisiert werden könnte, und es hält die Erfolgsraten ohnehin hoch, siehe rate limiting and throttling.

Behandeln Sie personenbezogene Daten bewusst, mit einer Rechtsgrundlage, Datenminimierung und Aufbewahrungsfristen, falls solche Daten betroffen sind.

Prüfen Sie Ihren Anbieter hinsichtlich der Beschaffung und bewahren Sie die Antwort auf.

Stoppen Sie, wenn man Sie dazu auffordert. Wenn eine Seite eine rechtliche Forderung sendet, eskalieren Sie das intern, statt darum herumzuarbeiten.

Was zu dokumentieren ist

Für ein Unternehmen, das das Risiko bewertet, ist der nützliche Output ein kurzes Protokoll: was Sie sammeln und aus welchen Quellen, ob etwas davon personenbezogene Daten sind und auf welcher Rechtsgrundlage, was die Nutzungsbedingungen dieser Quellen besagen und wie Sie zu Ihrem Schluss gekommen sind, wie Ihre Tempo- und Robots-Richtlinie aussieht, wer Ihr Anbieter ist und wie er Adressen bezieht, und wer die Entscheidung intern verantwortet. Das braucht einen Nachmittag und ist das, was eine spätere Frage beantwortbar macht.

Das Fazit

Residential Proxys sind in den meisten Rechtsordnungen legal zu nutzen, und das Werkzeug selbst ist nicht das, was Gefährdung erzeugt. Risiko haftet an der Aktivität, daher sind die entscheidenden Fragen, ob die Daten öffentlich sind, ob Sie an Bedingungen gebunden sind, die Sie akzeptiert haben, ob Sie eine Zugangskontrolle umgehen oder lediglich regionale Variation beobachten, und ob personenbezogene Daten betroffen sind. Dann gibt es die Frage, die für dieses Produkt einzigartig ist: ob die Haushalte, die Ihren Traffic tragen, zugestimmt haben, was eine Lieferkettenangelegenheit ist, die Sie als Kunden erreicht. Sammeln Sie öffentliche Daten, respektieren Sie Nutzungsbedingungen und Robots, halten Sie ein moderates Tempo, prüfen Sie die Beschaffung Ihres Anbieters, dokumentieren Sie die Entscheidungen, und stoppen Sie, wenn man Sie dazu auffordert. Diese Kombination deckt die überwältigende Mehrheit der kommerziellen Nutzung ab, und nichts davon ist rechtlich exotisch.

Nichts von dem oben Genannten ist Rechtsberatung, und die Einzelheiten hängen von Ihrer Rechtsordnung und Ihrem Sachverhalt ab. Für die Seite der Datenerhebung siehe is web scraping legal; zum Datenschutz residential proxies and GDPR; und zur Sicherheitsdimension are residential proxies safe. Das Produkt selbst ist residential proxies, mit per-GB pricing.