Europäisches DNS: Datenschutz gemäß GDPR

Europäisches DNS bezeichnet einen Domain Name System-Dienst, der von Europa aus betrieben wird und europäischem Recht unterliegt. Das Domain Name System, kurz DNS, wandelt eine Domain wie den Namen einer Website in die Netzwerkinformationen um, die benötigt werden, um sie zu erreichen. Ein DNS resolver ist der Dienst, der diese Abfrage ausführt. Da er jede Anfrage verarbeitet, kann der Anbieter sehen, welche Domains ein Nutzer aufrufen möchte. Deshalb sind sein Standort und seine rechtlichen Verpflichtungen wichtige Aspekte des Datenschutzes.

Die General Data Protection Regulation (GDPR) ist das wichtigste europäische Datenschutzgesetz. Sie begrenzt, welche Daten Organisationen erheben dürfen, verlangt eine legal basis für die Verarbeitung von personal data und räumt Menschen Rechte an den sie betreffenden Informationen ein. personal data sind Informationen, die mit einer identifizierbaren Person verbunden sind, während die Verarbeitung das Erheben, Verwenden, Speichern oder Weitergeben dieser Informationen umfasst. Eine legal basis ist eine anerkannte Rechtfertigung für diese Verarbeitung, statt Daten einfach deshalb zu erheben, weil sie später nützlich sein könnten.

Ein in Europa ansässiger DNS resolver unterliegt der GDPR. Dadurch erhalten Nutzer einen festgelegten rechtlichen Rahmen dafür, wie personal data behandelt werden müssen und welche Rechte sie daran haben. Ein resolver, der unter einer anderen jurisdiction tätig ist, befolgt stattdessen die dort geltenden Gesetze. In manchen jurisdictions können lokale Vorschriften einen Anbieter dazu verpflichten, Informationen zu erheben oder herauszugeben. Die Wahl eines europäischen resolver ist daher eine Möglichkeit, records von Domain-Abfragen dem Schutz eines strengeren Datenschutzgesetzes zu unterstellen.

Diese Entscheidung ist wichtig, weil DNS-Anfragen ein aussagekräftiges Bild der Online-Aktivitäten einer Person vermitteln können. Der Anbieter kann Anfragen nach Domains sehen, die mit Nachrichten, Gesundheit, Finanzen, Arbeit, Unterhaltung oder anderen Interessen verbunden sind. Ein DNS record ist nicht unbedingt eine vollständige Liste der einzelnen aufgerufenen Seiten, doch eine Sammlung von Domain-Anfragen kann dennoch sensible Muster offenlegen. Bei Unternehmen können dieselben records erkennen lassen, auf welche Online-Dienste, Anbieter und Arbeitsplattformen Beschäftigte zuzugreifen versuchen.

jurisdiction ist nur ein Teil der Entscheidung. Ein Sitz in Europa bedeutet nicht automatisch, dass ein Anbieter keine records aufbewahrt. Nutzer sollten gesondert prüfen, ob er über eine no-log policy verfügt, also über eine ausdrückliche Verpflichtung, keine records von DNS-Anfragen zu speichern. Sie sollten außerdem prüfen, ob der Anbieter erklärt, welche Informationen er erhebt, warum er sie verarbeitet, wie lange er sie aufbewahrt und ob er sie weitergibt. Die Governance der GDPR schafft rechtliche Pflichten, ist für sich allein jedoch kein Beleg für einen no-log-Dienst.

Auch Encryption ist wichtig. Encrypted DNS schützt eine Anfrage während der Übertragung zwischen dem Gerät eines Nutzers und dem DNS-Dienst und erschwert es anderen Beteiligten entlang dieser Verbindung, sie zu lesen oder zu verändern. Encryption beseitigt jedoch nicht die Notwendigkeit, dem Anbieter zu vertrauen, der die Anfrage verarbeitet. Der Dienst muss die angeforderte Domain weiterhin verarbeiten, weshalb seine Logging-Praktiken und seine rechtliche jurisdiction relevant bleiben. Ein starker Datenschutz hängt daher von der Kombination aus geltendem Recht, begrenzter Datenerhebung, klaren Aufbewahrungspraktiken und Encryption während der Übertragung ab.

Um festzustellen, wo ein Anbieter ansässig ist, sollte man sich nicht allein auf seine Werbeaussagen oder seine Webadresse verlassen. Prüfen Sie in seiner Datenschutzerklärung und seinen Geschäftsbedingungen, welche juristische Person den Dienst betreibt, wo sie registriert ist und welchem Recht die Vereinbarung unterliegt. Ein europäisch wirkender Domainname oder eine in Europa befindliche Infrastruktur belegt nicht zwangsläufig, dass der Betreiber selbst seinen rechtlichen Sitz in Europa hat. Wenn die Dokumente die verantwortliche juristische Person und die jurisdiction nicht eindeutig nennen, fragen Sie den Anbieter direkt, bevor Sie DNS-Anfragen an ihn senden.

Leser sollten das gesamte Datenschutzbild bewerten, statt eine einzelne Bezeichnung als Garantie zu betrachten. Bestätigen Sie die jurisdiction des Betreibers, lesen Sie seine Bedingungen zur Datenverarbeitung, achten Sie auf eine ausdrückliche no-log policy und verwenden Sie Encrypted DNS, sofern verfügbar. Als praktische Option bietet AEU DNS privates, sicheres DNS für alle. Die entscheidende Frage bleibt überprüfbar: Wer verarbeitet die Domain-Anfragen, welches Recht gilt für diese Organisation, welche Informationen bewahrt sie auf und ist die Verbindung während der Übertragung dieser Anfragen geschützt?