ENOM empfiehlt "Gated Whois" in Zeiten der DSGVO

Der US-Registrar Enom Inc. wagt einen ersten Ausblick, wie die Vorgaben der Datenschutzgrundverordnung (DSGVO) umgesetzt werden können: der Großteil der WHOIS-Informationen würde demnach in Zukunft ersatzlos gestrichen.

Am 25. Mai 2018 tritt die DSGVO in allen EU-Mitgliedstaaten in Kraft. Unklar ist, inwieweit die DSGVO Änderungen im Registrierungsverfahren für Domain-Namen einschließlich der WHOIS-Daten notwendig macht. Für Enom ist Anknüpfungspunkt Artikel 5 DSGVO; er regelt die Grundsätze für die Verarbeitung personenbezogener Daten. Hierzu gehört, dass personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und verarbeitet werden dürfen; zugleich müssen sie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Das öffentlich einsehbare WHOIS ist nach Einschätzung von Enom in der aktuellen Form mit diesen Grundsätzen nicht zu vereinbaren, da es keinen Grund gibt, jedermann im Detail mitzuteilen, wer Inhaber, Ansprechpartner oder technischer Kontakt für eine Domain ist. Allerdings gibt es auch berechtigte Gründe, zu erfahren, wer Inhaber einer Domain ist, beispielsweise um Rechtsverletzungen zu verfolgen; dieses Dilemma gilt es zu lösen.

Die Lösung liegt für Enom in einem »gated WHOIS system«. Mit anderen Worten: je nachdem, wer eine Domain registriert hat oder ihre Inhaber-Daten abfragt, ändert sich der Umfang der einsehbaren Informationen. Die wohl einschneidendste Änderung betrifft den Fall, dass eine in der EU ansässige, natürliche Person eine Domain registriert hält; in diesem Fall darf nach Einschätzung von Enom nicht einmal die eMail-Adresse veröffentlicht werden, über die der Inhaber zu erreichen ist. Eine Kontaktaufnahme für Dritte, etwa um die Domain zu kaufen, wäre daher künftig ausgeschlossen. Anders wäre es bei Unternehmen oder Organisationen mit Sitz in der EU; hier wäre es nach Ansicht von Enom zulässig, sowohl den Namen, die Adresse als auch die eMail-Adresse im WHOIS zu veröffentlichen. Unternehmen könnten sich jedoch schützen, indem sie sich eines Privacy- bzw. Proxy-Services bedienen; dann blieben Namen und Adresse verborgen, und es würde lediglich die eMail-Adresse des Service-Anbieters im WHOIS auftauchen. Uneinig ist sich Enom noch, ob man diese Beschränkungen nur auf Personen mit Sitz innerhalb der EU anwendet, oder auch solche außerhalb der EU; das werde man erst in den kommenden Monaten klären. Parallel beabsichtigt Enom, das »Whois ID Protect« zu etablieren, damit beispielsweise Strafverfolgungsbehörden, Sicherheitseinrichtungen oder Rechtsanwälte einen – wenn auch beschränkten – Zugang zu WHOIS-Daten erhalten.

Im nächsten Schritt will Enom nun klären, wie das Problem der Einwilligung des Domain-Inhabers zur Erhebung und Verarbeitung seiner Daten gelöst wird. Eine besondere Hürde stellt dabei Artikel 7 DSGVO auf; demnach hat die betroffene Person das Recht, ihre Einwilligung in die Verarbeitung der personenbezogenen Daten jederzeit zu widerrufen. Nicht auszuschließen ist, dass Registrare in diesem Fall gezwungen wären, die Vertragsbeziehung zum Domain-Inhaber fristlos zu kündigen. Die Auswirkungen der DSGVO auf die Domain Name Industry dürfte noch zahlreiche dieser und ähnlicher Fragen aufwerfen.