IP-Geolokalisierung und Datenschutz: eine praxisnahe DSGVO-Checkliste

# IP-Geolokalisierung und Datenschutz: eine praxisnahe DSGVO-Checkliste

EU-Aufsichtsbehörden betrachten IP-Adressen als personenbezogene Daten, sobald sie einer Person zugeordnet werden können. Standortdaten, die daraus abgeleitet werden, fallen damit in dieselbe Kategorie. Das bedeutet nicht, dass Geolokalisierung tabu ist. Es bedeutet nur: Unternehmen müssen bewusst und sauber damit umgehen.

Rechtsgrundlage wählen und dokumentieren

Für Betrugsprävention und Netzwerksicherheit ist das berechtigte Interesse in der Regel die passende Grundlage; Erwägungsgrund 47 erkennt solche Zwecke ausdrücklich an. Bei Personalisierung lässt sich das berechtigte Interesse ebenfalls vertreten, solange die Verarbeitung grob genug bleibt und Nutzerinnen und Nutzer sie übersteuern können. Halten Sie die Interessenabwägung einmal sauber fest. Spätestens bei einer Prüfung wird man danach fragen.

Nicht nur die Speicherfrist minimieren, sondern auch das Datenfeld

Die entscheidende Frage lautet: Welches ist das gröbste Datenfeld, das den Zweck noch erfüllt? Meist reicht das Land. Wenn Sie nur das Land benötigen, speichern Sie weder Stadt noch Koordinaten. Allein diese Entscheidung reduziert einen Großteil des Risikos.

Entscheidungen speichern, nicht Abfragen

Es gibt selten einen guten Grund, für jeden Nutzer ein Protokoll aufgelöster Standorte aufzubewahren. Speichern Sie stattdessen das Ergebnis: Regel ausgelöst, Währung angezeigt, Challenge gestartet. Die zugrunde liegenden Eingaben sollten nur zusammengefasst werden. So bleibt die Nachvollziehbarkeit erhalten, ohne unnötige Haftungsrisiken aufzubauen.

Guarda wendet dieses Prinzip auch intern an: Lookups werden live aufgelöst, die Ergebnisse aber nicht auf unserer Seite gespeichert. Wir zählen Nutzung, nicht Menschen.

In der Datenschutzerklärung klar benennen

Ihre Datenschutzerklärung sollte erklären, dass Sie aus IP-Adressen einen ungefähren Standort ableiten, zu welchem Zweck das geschieht und wie lange etwaige Daten gespeichert werden. Ein klarer Absatz genügt.

Betroffenenrechte praktikabel machen

Wenn Sie einen Standortdatensatz einer Person zuordnen können, müssen Sie ihn auch exportieren und löschen können. Wer Entscheidungen statt Rohdaten speichert, macht daraus keinen Sonderprozess, sondern eine einfache Routine.

Auftragsverarbeiter und Datenübermittlungen

Ein Geolokalisierungsanbieter, der IP-Adressen Ihrer Nutzer erhält, ist ein Auftragsverarbeiter. Prüfen Sie, wo der Anbieter tätig ist, führen Sie ihn in Ihren Verzeichnissen auf und stellen Sie sicher, dass ein AVV beziehungsweise DPA vorliegt. Ein Anbieter, der Ihre Lookups dauerhaft speichert, erfordert deutlich mehr Klärung als einer, der das nicht tut.

Die Checkliste

• [ ] Rechtsgrundlage dokumentiert
• [ ] Gröbstes ausreichendes Datenfeld im Einsatz
• [ ] Entscheidungen gespeichert, rohe Lookups nicht
• [ ] Speicherfrist definiert und technisch durchgesetzt
• [ ] Datenschutzerklärung aktualisiert
• [ ] Anbieter mit DPA gelistet

Sechs Zeilen, und Geolokalisierung ist kein Compliance-Dauerproblem mehr.