Residential Proxies und DSGVO: ein Compliance-Überblick

Dies ist keine Rechtsberatung. Es ist ein praktischer Überblick, der Compliance- und Rechtsteams helfen soll, bessere Fragen zum Proxy-Einsatz unter der DSGVO zu stellen. Die richtigen Antworten hängen von Ihren Daten, Zwecken und Ihrer Rechtsordnung ab, behandeln Sie dies also als Ausgangspunkt für ein Gespräch mit qualifizierten Anwälten und Ihrem Datenschutzbeauftragten, nicht als Ersatz dafür.

Wenn ein Datenerfassungsprojekt die Rechtsprüfung erreicht, kommt die Proxy-Ebene meist mit zwei Missverständnissen im Gepäck. Engineering nimmt manchmal an, Proxies seien ein neutrales Klempner-Detail, das Compliance nicht sehen muss. Compliance nimmt manchmal an, Proxies seien ein Umgehungswerkzeug und müssten ein Warnsignal sein. Beides ist falsch, und die Wahrheit ist nützlicher als beides.

Ein Proxy ist eine rechtmäßige Routing-Technologie. Er ändert, von welcher IP-Adresse eine Anfrage ausgeht, und sonst nichts. Er anonymisiert die von Ihnen erfassten Daten nicht, er reduziert Ihre Pflichten als Verantwortlicher nicht, und er macht eine andernfalls unrechtmäßige Verarbeitung nicht rechtmäßig. Was er tut, ist, eine Handvoll spezifischer Fragen aufzuwerfen, die der DSGVO wichtig sind: ob die beteiligten IP-Adressen personenbezogene Daten sind, wer Verantwortlicher und wer Auftragsverarbeiter ist, ob Daten Grenzen überschreiten, und wie Ihr Anbieter die IPs bezieht, über die er Sie routet.

Dieser Text geht diese Fragen in der Reihenfolge durch, in der eine Compliance-Prüfung sie meist braucht. Für das breitere rechtliche Bild jenseits des Datenschutzes behandelt ist Web Scraping legal die anderen Rahmenwerke (Vertrag, Urheberrecht, Datenbankrechte, Computermissbrauch).

Zuerst: das Missverständnis, das man früh beseitigen sollte

Ein Proxy zu nutzen, reduziert Ihre DSGVO-Exposition nicht.

Wenn Ihre Erfassung personenbezogene Daten sammelt, sind Ihre Pflichten identisch, ob die Anfrage von Ihrer Büro-IP oder einem Residential-Exit in Frankfurt ausging. Die DSGVO knüpft an Ihre Verarbeitung personenbezogener Daten an, nicht an den Netzwerkpfad der Anfrage. Ein Proxy ist keine Pseudonymisierungsmaßnahme, keine Anonymisierungstechnik, und keine mildernde Maßnahme für eine Datenschutz-Folgenabschätzung.

Das früh klarzustellen verhindert die zwei Fehlermodi: Teams, die Proxies als Compliance-Abkürzung behandeln (das sind sie nicht), und Teams, die sie reflexhaft verbieten, während das eigentliche Risiko in dem liegt, was erfasst wird (was der Proxy weder schafft noch heilt).

Frage 1: Ist eine IP-Adresse ein personenbezogenes Datum?

Oft ja. In Breyer (C-582/14) entschied der EuGH, dass eine dynamische IP-Adresse ein personenbezogenes Datum darstellen kann, wenn derjenige, der sie hält, über rechtliche Mittel verfügt, die vernünftigerweise eingesetzt werden könnten, um die dahinterstehende Person zu identifizieren. Aufsichtsbehörden behandeln IP-Adressen seither in den meisten praktischen Kontexten allgemein als personenbezogene Daten.

Warum das für den Proxy-Einsatz zählt, in zwei Richtungen:

• Die IPs, die Sie erfassen. Wenn Ihr Scraping IP-Adressen erfasst (in Logs, in Seiteninhalten, in API-Antworten), sind das wahrscheinlich personenbezogene Daten im Anwendungsbereich.
• Die IPs, über die Sie routen. Eine Residential-Exit-IP gehört zum Heimanschluss einer echten Person. Diese IP, und die Verknüpfung des Traffics mit ihr, sind Daten über eine identifizierbare Person, weshalb die Bezugsquelle des Anbieters (Frage 5) eine echte Compliance-Frage ist und nicht nur eine ethische.

Frage 2: Welche Rollen liegen vor, und brauchen Sie einen AVV?

Das ist die Frage, die Compliance-Teams am dringendsten beantwortet brauchen, und die am häufigsten übersprungen wird.

Nach der DSGVO bestimmt ein Verantwortlicher die Zwecke und Mittel der Verarbeitung; ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. In einem typischen Erfassungs-Setup sind Sie der Verantwortliche für die personenbezogenen Daten, die zu erfassen Sie entscheiden, und warum.

Die Rolle des Anbieters ist stärker sachverhaltsabhängig, als das Marketing von Anbietern meist zugibt. Je nach Ausgestaltung und je nachdem, welche personenbezogenen Daten der Anbieter in Ihrem Auftrag verarbeitet, kann ein Proxy-Anbieter als Auftragsverarbeiter auftreten, oder als eigenständig Verantwortlicher für seine eigenen operativen Daten (seine Netzwerk-Logs, seine Peer-Beziehungen, seine Abrechnung). Nehmen Sie es nicht an, stellen Sie es fest und halten Sie es schriftlich fest:

• Kartieren Sie, welche personenbezogenen Daten der Anbieter tatsächlich in Ihrem Auftrag verarbeitet, falls überhaupt, und welche er für eigene Zwecke verarbeitet.
• Halten Sie die Rollen schriftlich fest. Ist der Anbieter für einen Teil Auftragsverarbeiter, verlangt Artikel 28 einen schriftlichen Vertrag mit bestimmten Inhalten, einen AVV.
• Fordern Sie die Dokumentation des Anbieters an. Ein seriöser Anbieter sollte Ihnen seine Rolle nennen, wo einschlägig einen AVV bereitstellen oder erörtern, und seine Unterauftragsverarbeiter benennen können.

Kann ein Anbieter Rollenfragen nicht klar beantworten, ist das selbst schon ein Prüfungsbefund.

Frage 3: Kommen internationale Übermittlungen ins Spiel?

Kapitel V beschränkt Übermittlungen personenbezogener Daten außerhalb des EWR ohne geeigneten Mechanismus (Angemessenheitsbeschluss, Standardvertragsklauseln und so weiter).

Proxy-Architekturen machen es lohnend, das zu prüfen statt anzunehmen, weil Traffic bewusst in gewählten Ländern austritt und die eigene Infrastruktur und Supportfunktionen des Anbieters anderswo sitzen können. Zwei verschiedene Flüsse zu bewerten:

1. Personenbezogene Daten, die Sie über Exits senden oder empfangen, in verschiedenen Rechtsordnungen.
2. Personenbezogene Daten, die der Anbieter über Ihr Konto und Ihren Traffic verarbeitet, und wo dieser Anbieter (und seine Unterauftragsverarbeiter) niedergelassen ist und speichert.

Ob ein bestimmter Fluss eine “Übermittlung” ist, die einen Mechanismus erfordert, ist eine rechtliche Feststellung für Ihre Anwälte, keine technische. Was Ihr Team tun kann, ist eine präzise Datenflusskarte zu erstellen, damit die Anwälte sie bewerten können. Beachten Sie die praktische Asymmetrie: einen EU-Exit zu wählen, hält die Verarbeitung nicht schon dadurch im EWR, wenn der Anbieter oder seine Unterauftragsverarbeiter außerhalb sitzen.

Frage 4: Rechtsgrundlage, Transparenz, und die schwierige

Berührt Ihre Erfassung personenbezogene Daten, gelten die Kernpflichten vollumfänglich.

Rechtsgrundlage (Art. 6). Sie brauchen eine. Für Erfassung im öffentlichen Web ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f) der übliche Kandidat, was eine dokumentierte Abwägung erfordert, die Ihr Interesse gegen die Rechte und vernünftigen Erwartungen der Personen wägt. “Es war öffentlich verfügbar” ist keine Rechtsgrundlage, und es ist das häufigste Missverständnis in diesem Bereich.

Transparenz (Art. 14) ist die schwierige. Erfassen Sie personenbezogene Daten indirekt, nicht bei der Person, verlangt Artikel 14 grundsätzlich, sie zu informieren, typischerweise binnen eines Monats. Es gibt eine Ausnahme, wenn dies einen unverhältnismäßigen Aufwand erfordern würde (Art. 14 Abs. 5 lit. b), die bei großflächiger Erfassung häufig herangezogen und von Aufsichtsbehörden intensiv geprüft wurde. Durchsetzungsmaßnahmen in diesem Bereich drehten sich wiederholt genau um diesen Punkt, wenn Ihr Plan sich also auf diese Ausnahme stützt, lassen Sie das ordentlich bewerten und dokumentieren Sie die Begründung.

Die Grundsätze des Artikels 5. Zweckbindung (für festgelegte Zwecke erfassen), Datenminimierung (nur was Sie brauchen, was meist heißt, personenbezogene Felder nicht zu erfassen, für die Sie keine Verwendung haben), Speicherbegrenzung (Löschkonzept), und Richtigkeit.

Betroffenenrechte (Art. 15 bis 22). Halten Sie personenbezogene Daten, können Personen Auskunft, Löschung, Widerspruch und mehr verlangen, und Sie brauchen einen praktikablen Prozess, dem nachzukommen, auch für gescrapte Daten.

Besondere Kategorien (Art. 9) haben eine deutlich höhere Hürde, und eine DSFA (Art. 35) kann bei großflächiger oder systematischer Verarbeitung erforderlich sein. Beides sind Anwaltsfragen.

Frage 5: Wie bezieht Ihr Anbieter seine IPs?

Das ist die proxy-spezifische Due-Diligence-Frage, und sie verdient echtes Gewicht in einer Compliance-Prüfung.

Residential-IPs gehören echten Menschen. Diese Personen sind Betroffene, und wie sie Teil eines Proxy-Netzwerks wurden, zählt: ob sie klar informiert wurden, echte und informierte Einwilligung gaben, verstanden, welcher Traffic über ihren Anschluss laufen würde, und ob sie widerrufen können. Ein Netzwerk, das auf unklarer oder vergrabener Einwilligung aufbaut, ist ein Compliance-Risiko, das als Kunde auf Sie durchschlägt, sowohl in Due-Diligence- als auch in Reputationshinsicht.

Was Sie jeden Anbieter fragen sollten, uns eingeschlossen:

• Wie werden Peers gewonnen, und was genau wird ihnen gesagt? Ist die Einwilligung ausdrücklich, informiert und widerrufbar?
• Was ist die eigene Datenschutzdokumentation des Anbieters? Bei Shifter sind das unsere Datenschutzerklärung und unsere Geschäftsbedingungen.
• Welche Rolle nimmt der Anbieter ein, und kann er einen AVV liefern, wo er als Auftragsverarbeiter handelt?
• Wer sind die Unterauftragsverarbeiter, und wo sitzen sie?
• Was verbietet die Richtlinie zur akzeptablen Nutzung, und wie wird sie durchgesetzt? Ein Anbieter, der alles erlaubt, ist ein Anbieter, dessen Netzwerk für alles genutzt wird.

Uns ist lieber, Sie stellen diese Fragen und bekommen dokumentierte Antworten, von uns und von jedem anderen, den Sie prüfen, als dass Sie eine Marketingaussage für bare Münze nehmen. Die Ethik der Residential-Proxy-Beschaffung behandelt dasselbe Feld von der Beschaffungsseite.

Eine praktische Prüfliste

Für ein Compliance-Team, das ein proxy-gestütztes Erfassungsprojekt bewertet:

• Berührt die Erfassung überhaupt personenbezogene Daten? Viele Projekte (Preise, Lagerbestände, öffentliche Produktspezifikationen) lassen sich so zuschneiden, dass sie das vermeiden, was mit Abstand die sauberste Position ist.
• Dokumentierte Rechtsgrundlage, mit Abwägungsprüfung, falls Sie sich auf Art. 6 Abs. 1 lit. f stützen.
• Artikel-14-Position bewertet und dokumentiert, einschließlich jeder Berufung auf die Ausnahme des unverhältnismäßigen Aufwands.
• Datenflusskarte: welche personenbezogenen Daten, wo erfasst, über welche Rechtsordnungen geroutet, wo gespeichert.
• Übermittlungsbewertung für alles, was den EWR verlässt, mit Mechanismus, wo erforderlich.
• Rollen schriftlich festgehalten mit dem Anbieter; AVV vorhanden, wo er als Auftragsverarbeiter handelt.
• Anbieter-Due-Diligence zu IP-Beschaffung und Einwilligung, Unterauftragsverarbeitern, und AUP-Durchsetzung.
• Minimierung angewandt: personenbezogene Felder von der Erfassung ausgeschlossen, sofern nicht wirklich erforderlich.
• Löschkonzept und Löschung tatsächlich umgesetzt, nicht nur geschrieben.
• Betroffenenrechte-Prozess, der gescrapte Daten erreichen kann.
• DSFA, wo die Verarbeitung großflächig, systematisch oder risikoreich ist.

Das beste Ergebnis auf dieser Liste ist meist die erste Zeile: das Projekt so zuzuschneiden, dass es gar keine personenbezogenen Daten erfasst. Die meiste kommerzielle Erfassung, Preise, Verfügbarkeit, Katalogdaten, Wettbewerbsbeobachtung, braucht sie nicht, und personenbezogene Felder wegzulassen entfernt den Großteil der Risikofläche, statt sie zu verwalten.

Wo Proxies wirklich helfen, und wo nicht

Sie helfen nicht bei: Ihrer Rechtsgrundlage, Ihren Transparenzpflichten, Ihren Aufbewahrungspflichten, oder Ihrem Status als Verantwortlicher. Nichts davon ändert sich durch Netzwerk-Routing.

Sie helfen bei: Richtigkeit, die eine unterschätzte Compliance-Dimension hat. Art. 5 Abs. 1 lit. d verlangt, dass personenbezogene Daten richtig sind. Geo-personalisierte Seiten liefern verschiedenen Standorten verschiedene Inhalte, also erzeugt das Erfassen der Daten eines Marktes aus dem falschen Land schlicht falsche Datensätze. Treibt Ihr Datensatz Entscheidungen über Menschen oder Märkte, ist die Erfassung vom richtigen Beobachtungspunkt eine Datenqualitätspflicht ebenso wie eine technische Präferenz. Das ist das ehrliche Argument für Residential Proxies im Compliance-Kontext: Korrektheit, nicht Verschleierung.

FAQ

Macht ein Residential Proxy mein Scraping DSGVO-konform? Nein. Ein Proxy ändert die IP, von der eine Anfrage kommt, mehr nicht. Ihre Pflichten als Verantwortlicher, Rechtsgrundlage, Transparenz, Minimierung, Aufbewahrung, Betroffenenrechte, sind so oder so identisch. Compliance bestimmt sich danach, was Sie erfassen und warum, nicht nach dem Netzwerkpfad.

Sind IP-Adressen personenbezogene Daten nach der DSGVO? Oft ja. Die Breyer-Entscheidung des EuGH hielt fest, dass dynamische IP-Adressen personenbezogene Daten sein können, wo der Inhaber über vernünftigerweise einsetzbare Mittel zur Identifizierung verfügt. Behandeln Sie IPs als personenbezogene Daten, sofern Sie keine durchdachte Grundlage für das Gegenteil haben.

Brauche ich einen AVV mit meinem Proxy-Anbieter? Verarbeitet der Anbieter personenbezogene Daten in Ihrem Auftrag, verlangt Artikel 28 einen schriftlichen Vertrag. Ob das der Fall ist, hängt von der Ausgestaltung ab, stellen Sie die Rollen also ausdrücklich fest, statt sie anzunehmen, und fordern Sie die Dokumentation des Anbieters an.

Ist “die Daten waren öffentlich verfügbar” eine Rechtsgrundlage? Nein. Öffentliche Verfügbarkeit ist keine der Grundlagen des Artikels 6. Sie brauchen weiterhin eine Rechtsgrundlage, meist berechtigtes Interesse mit dokumentierter Abwägung, und öffentliche Verfügbarkeit ist ein Faktor in dieser Bewertung, kein Ersatz dafür.

Kann ich DSGVO-Probleme ganz vermeiden? Oft, indem Sie keine personenbezogenen Daten erfassen. Preise, Verfügbarkeit und Katalogdaten erfüllen den Geschäftszweck meist ohne personenbezogene Felder. Personenbezogene Daten aus dem Projekt herauszuschneiden ist die sauberste verfügbare Compliance-Position.

Fazit

Die DSGVO-Fragen, die Residential Proxies aufwerfen, sind enger, als Teams befürchten, und spezifischer, als sie erwarten. Ein Proxy anonymisiert nichts und schrumpft Ihre Pflichten nicht, also ruht der Kern Ihrer Compliance-Position darauf, welche personenbezogenen Daten Sie erfassen, Ihrer Rechtsgrundlage, und Ihren Transparenz-, Minimierungs- und Aufbewahrungspraktiken. Was die Proxy-Ebene hinzufügt, ist eine kurze Liste konkreter Punkte: IP-Adressen sind wahrscheinlich personenbezogene Daten, Rollen mit Ihrem Anbieter müssen schriftlich festgehalten werden, grenzüberschreitende Flüsse müssen kartiert werden, und die IP-Beschaffung des Anbieters verdient echte Due Diligence.

Arbeiten Sie diese Liste ab, schneiden Sie personenbezogene Daten heraus, wo der Geschäftszweck es zulässt, und dokumentieren Sie die Begründung. Wenn Sie uns zu diesen Fragen bewerten, sind unsere Datenschutzerklärung und unsere Geschäftsbedingungen der Ausgangspunkt, und unser Team kann Rollen und Dokumentation für Ihren konkreten Anwendungsfall durchgehen. Und weil nichts davon Rechtsberatung ist: lassen Sie Ihre Schlussfolgerungen von qualifizierten Anwälten prüfen, bevor Sie sich darauf verlassen.