DOS – Datenschutz in Online-Spielen - Unabhängiges ...

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
Datenschutz in Online-Spielen – September 2010
Datenschutzerklärung des Online-Spiels (siehe Abschnitt 9.2.16).
Der Betreiber hat durch technische und organisatorische Vorkehrungen sicherzustellen, dass
der Spieler das Online-Spiel geschützt gegen Kenntnisnahme unberechtigter Dritter in Anspruch
nehmen kann. Möglichst ist somit die Online-Verbindung zu verschlüsseln.
d) Mögliche Lösungen
• In Logfiles ist so weit wie möglich auf personenbeziehbare Daten (insbesondere IP-
Adressen) zu verzichten. In der Praxis sind die IP-Adressen unverzüglich durch ein nicht
zurück auflösbares Kennzeichen zu ersetzen. Sowohl für Apache als auch Microsoft Internet
Information Server existiert Software, die diese Anonymisierung automatisch vornehmen
kann. Beispiele finden Sie hier: http://www.saechsdsb.de/ipmask/.
• Auch der Referer kann ggf. personenbezogene Daten enthalten (z. B. wenn Nutzernamen
/ Formulareinträge über Argumente an den Webserver übermittelt werden) und sollte
dann nicht länger aufbewahrt werden, als für die Erbringung des Spiels erforderlich.
• Eine längere Speicherfrist für IP-Adressen ist zu Abrechnungszwecken und Sicherheitszwecken
ggf. zulässig (s. o.). Die Unterrichtungspflicht des Spiele-Betreibers nach § 13
Abs. 1 TMG ist zu beachten.
• Analysen des Nutzungsverhaltens mit ungekürzten IP-Adressen sind in der Regel nur mit
der bewussten und eindeutigen Einwilligung des Nutzers möglich.
• Für eine Anonymisierung reicht es in der Regel nicht aus, einen Hashwert aus der IP-
Adresse zu bilden. Auch wenn dieser Hashwert nicht zurückgerechnet werden kann, so
besteht die Möglichkeit, eine Vergleichstabelle zu errechnen, mittels derer die ursprüngliche
IP-Adresse eindeutig bestimmt werden kann. Zur Wirksamkeit einer Hashwertberechnung
in diesem Fall muss ein Zufallswert (sog. „Salt“) hinzugerechnet werden, der
regelmäßig geändert und nicht mitgespeichert wird.
• Eine Geolokalisierung mit vollständigen IP-Adressen ist nur mit bewusster und eindeutiger
Einwilligung des Spielers möglich. Liegt diese nicht vor, so muss die IP-Adresse so
gekürzt werden, dass eine Personenbeziehbarkeit ausgeschlossen werden kann.
• Nach dem Ablauf der zulässigen Speicherfristen sollten die IP-Adressen automatisch gelöscht
werden. Hierbei sind auch ggf. vorhandene Backups zu beachten.
• Werden personenbezogene Daten über das Internet verschickt, so sollte möglichst eine
Verschlüsselung (z. B. SSL) eingesetzt werden.
9.2.27 Einbindung in Soziale Netzwerke
a) Funktionalitätsbeschreibung
Online-Spiele können in bestehende Soziale Netzwerke wie Facebook oder StudiVZ eingebunden
werden. Hierbei wird ggf. auf die Struktur des Sozialen Netzwerks bzw. die darin
gespeicherten Kontakte von dem Online-Spiel Zugriff genommen.
Seite 127 / 175