IP-Adressen gelten als personenbezogene Daten, wenn die Identität des Nutzers festgestellt werden kann.
In seinem Urteil 136 II 508 vom 08.09.2010 hatte das Bundesgericht unter anderem zu entscheiden, ob IP-Adressen Personendaten im Sinne von Art. 3 lit. a DSG sind und ob die Bestimmungen des DSG anwendbar sind. Ein Unternehmen suchte in Peer-to-Peer-Netzwerken (P2P) nach Urheberrechtsverletzungen und zeichnete unter anderem die IP-Adresse der verwendeten Internetverbindung auf, um diese anschliessend an die Urheberrechtsinhaber weiterzuleiten, damit diese ihre Schadenersatzansprüche geltend machen konnten. Der EDÖB stellte fest, dass diese Bearbeitungsmethode die Persönlichkeit einer Vielzahl von Personen verletzte, und empfahl dem Unternehmen, die Datenbearbeitung sofort einzustellen, solange keine ausreichende Rechtsgrundlage für eine zivilrechtliche Verwendung der gesammelten Daten bestehe. Das Unternehmen lehnte die Empfehlung des EDÖB ab.
Zu der Entscheidung des Bundesgerichts:
Nach Art. 3 lit. a DSG sind Personendaten alle Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen. Die Form, in der die Informationen vorliegen, ist dabei unerheblich. “Eine Person ist bestimmt, wenn aus der Information selbst hervorgeht, dass es sich genau um diese Person handelt. Eine Person ist identifizierbar, wenn es möglich ist, aufgrund zusätzlicher Informationen auf sie zu schließen”. (BGE 136 II 508 S. 514) Die Bestimmbarkeit muss nach der allgemeinen Lebenserfahrung unter Berücksichtigung der Technik, des Aufwands und der Interessen der Datenverarbeiter erreichbar sein. “Bei der Übermittlung von Informationen reicht es in dieser Hinsicht aus, dass der Empfänger in der Lage ist, die betroffene Person zu identifizieren.” (ATF 136 II 508 S. 515)
Mithilfe der IP-Adresse ist jeder Computer, der mit dem Internet verbunden ist, identifizierbar. Nach Ansicht des Gerichts beruht im vorliegenden Fall das Geschäftsmodell des Unternehmens auf der Möglichkeit, IP-Adressen zur Identifizierung von Personen zu verwenden. Nach Ansicht des Gerichts ist der Personenbezug einer IP-Adresse daher gegeben, wenn Urheberrechtsverletzer für die Urheberrechtsinhaber nach Erhalt der entsprechenden Daten identifizierbar sind. Das Gericht kommt zu dem Schluss, dass IP-Adressen daher als personenbezogene Daten im Sinne von Art. 3 Buchst. a DSG zu qualifizieren sind.