Die »Expedited Policy Development Process for Whois« (EPDP)-Arbeitsgruppe der Internet-Verwaltung ICANN hat ihren ersten Report für eine DSGVO-kompatible WHOIS-Reform vorgelegt. Bereits jetzt zeichnet sich ab: die Menge an veröffentlichen Informationen wird weiter reduziert.
Zwei Treffen in Los Angeles und Barcelona, mindestens zwei Telefonkonferenzen wöchentlich und rund 1.000 eMails – seit die 50köpfige EPDP-Arbeitsgruppe am 01. August 2018 ihre Tätigkeit aufgenommen hat, wird immer deutlicher, dass es im Lichte der Datenschutzgrundverordnung (DSGVO) mit lediglich kosmetischen Änderungen am WHOIS-System nicht getan ist. Diese Erkenntnis schlägt sich im 130-seitigen Report nieder, den die EPDP-Gruppe am 21. November 2018 veröffentlicht hat. Im Mittelpunkt stehen 22 Empfehlungen, wie man das derzeitige WHOIS-Kompromissmodell (»Temporary Specification for gTLD Registration Data«, kurz: »temp spec«), das spätestens am 25. Mai 2019 ausläuft, in Einklang mit der DSGVO bringen kann. Die erste Empfehlung klingt vergleichsweise banal; sie schlägt konkret die Zwecke vor, zu denen WHOIS-Daten verarbeitet werden dürfen und deckt praktisch die gesamte Spannbreite der Datenerhebung in der Domain Name Industry ab. Dem Grundsatz der Zweckbindung in Art. 5 Abs. 1 lit. b DSGVO dürfte ICANN damit genügen.
Enttäuschend vage ist die zweite Empfehlung, die sich mit der Frage befasst, wer künftig auf den nicht-öffentlichen Teil der WHOIS-Daten zugreifen darf. Zwar denkt man über ein standardisiertes Zugriffsverfahren nach, lässt aber offen, nach welchen Kriterien der Kreis der zugriffsberechtigten Personen bestimmt wird. Vor allem Strafverfolgungsbehörden, aber auch die Markenlobby und IP-Juristen müssen also weiter auf Klarheit hoffen. Beim Umfang der erhobenen WHOIS-Daten sollen nach Ansicht der EPDP-Arbeitsgruppe jegliche Informationen über den Domain-Inhaber (Name, Adresse, Telefon- wie Telefaxnummer und eMail-Adresse) nicht mehr an die Registry übermittelt werden dürfen. Aber auch der Admin-C soll künftig gänzlich entfallen; nicht einmal die Registrare sollen diese Informationen erheben. Die .de-Registry DENIC eG hatte bereits im März 2018 angekündigt, Angaben zu Admin-C, Tech-C und Zone-C nicht mehr zu erfassen und somit auch nicht mehr auszugeben. Die Informationen zum Tech-C hält die Arbeitsgruppe bei gTLDs für zumindest optional möglich. Soweit Daten erhoben werden, sollen sie nur für die Dauer eines Jahres nach Ende des Registrierungsvertrages gespeichert werden.
Vorerst liegt der Report bis zum 21. Dezember 2018 zur öffentlichen Kommentierung aus. Um sowohl den Nutzern als auch sich die Arbeit zu erleichtern, hat ICANN ein neunseitiges Formular zur Verfügung gestellt, das die Kommentierungsmöglichkeiten in mehrere Bereiche unterteilt; eine Teilnahme ist aber erst nach vorheriger Anmeldung möglich. Für 11. Januar 2019 erwartet der ICANN-Vorstand sodann den Abschlussbericht. Gut möglich also, dass beim 64. ICANN-Meeting, das vom 09. bis 14. März 2019 im japanischen Kobe stattfindet, ein DSGVO-kompatibles WHOIS-Modell verabschiedet wird.