GDPR-WHOIS-Redaktion erklärt: Irlands DPC und Rekordbußgelder

Jahrelang konnte jeder nachschauen, wem eine Domain gehört. Ein Name, eine Adresse, eine Telefonnummer und eine E-Mail-Adresse standen in einer öffentlichen Datenbank namens WHOIS. Dann kam die Datenschutz-Grundverordnung (DSGVO) der EU, und ein Großteil dieser Daten verschwand aus der öffentlichen Ansicht. Dieser Beitrag bietet eine GDPR-WHOIS-Redaktion in einfachen Worten erklärt, beleuchtet, warum Irlands Data Protection Commission (DPC) für die Durchsetzung so wichtig ist, und endet mit praktischen Schritten zum Schutz Ihrer eigenen Domain-Daten.

Der Ausgangspunkt ist eine belegte Fallakte, die von Thank Your Robot veröffentlicht wurde und behandelt, wie WHOIS dunkel wurde, Irlands DPC-Vertraulichkeitsgesetz, das LinkedIn-Bußgeld und die größten DPC-Bußgelder. Die uns vorliegende Zusammenfassung ist knapp, daher beschränkt sich dieser Artikel auf das, was diese Zusammenfassung nennt, und auf Berichterstattung, die wir bereits veröffentlicht haben.

Wie die DSGVO WHOIS dunkel machte

WHOIS wurde als offenes Verzeichnis konzipiert. Es listet die Identität und Kontaktdaten des Registranten einer Domain auf, was nach der DSGVO als personenbezogene Daten gilt, wenn der Registrant eine natürliche Person ist. Kommentare aus der Zeit vor Inkrafttreten der DSGVO beschrieben ein zweifaches rechtliches Problem: Die Datenbank war konstruktionsbedingt öffentlich zugänglich, und es stellten sich Fragen darüber, wer sie kontrollierte und auf welcher Rechtsgrundlage die Daten veröffentlicht wurden.

Das praktische Ergebnis, wie eine Branchenanalyse aus dem Jahr 2025 es formulierte, ist, dass die meisten Registrare begannen, Registranteninformationen standardmäßig zu redigieren, um Compliance-Risiken zu vermeiden. Der Zugang zu vollständigen Datensätzen erfordert nun oft eine spezifische Anfrage statt einer einfachen Abfrage.

Es gibt ein Detail, das viele Website-Betreiber übersehen. Eine Diskussion im Community-Forum von Cloudflare merkt an, dass Registry-WHOIS-Server Daten unabhängig von Ihren eigenen Einstellungen redigieren können. Mit anderen Worten: Was Sie öffentlich sehen, kann von mehreren Ebenen abhängen: der Registry, dem Registrar und Ihren eigenen Datenschutzentscheidungen. Die Redaktion ist daher nicht immer etwas, das Sie selbst ein- oder ausschalten.

Die Änderung wurde nicht überall begrüßt. Cybersicherheits-Kommentatoren äußerten 2018 Bedenken, dass der Verlust offener WHOIS-Daten die Untersuchung von Missbrauch erschweren würde. Diese Spannung zwischen Rechenschaftspflicht online und persönlicher Privatsphäre ist noch immer der Kern der Debatte.

Warum Irlands DPC für die Durchsetzung wichtig ist

Die DSGVO ist ein EU-weites Gesetz, aber die Durchsetzung läuft oft über die nationale Aufsichtsbehörde des Landes, in dem ein Unternehmen seinen europäischen Sitz hat. Für viele große Technologieunternehmen ist diese Behörde Irlands DPC. Deshalb prägt die irische Behörde weit über Irland hinaus, wie die Regeln auf die Daten gewöhnlicher Nutzer angewendet werden.

Die Fallakte von Thank Your Robot verweist auch auf Irlands DPC-Vertraulichkeitsgesetz – eine Erinnerung daran, dass die Art und Weise, wie eine Aufsichtsbehörde ihre Untersuchungen führt und was sie darüber offenlegen kann, beeinflusst, wie transparent die Durchsetzung von außen erscheint. Wir können die Bestimmungen des Gesetzes anhand der Zusammenfassung nicht im Detail darlegen, daher konsultieren Sie für Einzelheiten die Originalquelle.

Für einen Einblick in die Prioritäten der Behörde selbst fasst unsere Berichterstattung zum Ireland's DPC 2025 Annual Report die wichtigsten Compliance-Risiken zusammen, die die Kommission benannt hat, basierend auf einer Zusammenfassung der Anwaltskanzlei Arthur Cox.

Was die Rekordbußgelder der DPC zeigen

Die Fallakte hebt das LinkedIn-Bußgeld und die größten DPC-Bußgelder hervor. Diese Sanktionen zeigen, dass die DSGVO nicht nur eine Papierübung ist. Aufsichtsbehörden können und werden großen finanziellen Konsequenzen an den Umgang mit personenbezogenen Daten knüpfen.

Ein Beispiel, das wir ausführlich behandelt haben: Die DPC verhängte ein Bußgeld von 403 Millionen Euro gegen Google wegen der unrechtmäßigen Verarbeitung von Nutzerstandortdaten, nachdem festgestellt wurde, dass das Unternehmen gegen die DSGVO durch seinen Umgang mit diesen Daten zwischen 2018 und 2020 verstoßen hatte. Lesen Sie unseren Bericht darüber, wie Irland Google mit 403 Mio. € wegen Missbrauchs von Standortdaten bestrafte, für die Einzelheiten. Wir haben uns auch angesehen, wie der Fall eine Tracking-Funktion offenlegte, die noch aktiv war, was eine nützliche Erinnerung daran ist, dass ein Bußgeld nicht automatisch eine Praxis beendet.

Der gemeinsame Faden zwischen der WHOIS-Redaktion und diesen Bußgeldern ist dasselbe Prinzip: Personenbezogene Daten sollten nicht ohne einen soliden rechtlichen Grund erhoben, veröffentlicht oder verarbeitet werden. Domain-Registrare reagierten auf dieses Prinzip mit Redaktion. Große Plattformen werden durch Sanktionen zur Rechenschaft gezogen.

Was das für Sie bedeutet

Wenn Sie als natürliche Person eine Domain besitzen, konnten Ihr Name, Ihre Wohnadresse, Ihre Telefonnummer und Ihre E-Mail-Adresse einst für jeden sichtbar sein. Die Redaktion hat diese Exposition verringert, aber sie ist keine Garantie. Wie die Cloudflare-Diskussion zeigt, hängt das Ergebnis von Ihrer Registry, Ihrem Registrar und Ihren Einstellungen ab.

Wenn Sie einfach ein Internetnutzer sind, sind die Rekordbußgelder der DPC ein Zeichen dafür, dass Aufsichtsbehörden bereit sind, Datenschutzregeln gegen sehr große Unternehmen durchzusetzen. Sie beseitigen nicht die Notwendigkeit Ihrer eigenen Vorsicht, aber sie prägen, was Unternehmen mit Ihren Daten tun dürfen.

So halten Sie Ihre Domain-Registrierungsdaten privat

• Prüfen Sie die Datenschutzeinstellungen Ihres Registrars. Suchen Sie nach einer Domain-Privatsphäre- oder WHOIS-Privatsphäre-Option. Registrare wie HostGator beschreiben es als einen Dienst, der Ihre persönlichen Kontaktinformationen aus der öffentlichen WHOIS-Datenbank verbirgt.
• Überprüfen Sie, was tatsächlich öffentlich ist. Führen Sie eine WHOIS-Abfrage für Ihre eigene Domain durch und sehen Sie, was erscheint. Gehen Sie nicht davon aus, dass die Redaktion allein wegen der DSGVO aktiv ist.
• Denken Sie daran, dass Einstellungen und Anzeige unterschiedlich sein können. Registry-Server können Daten redigieren, selbst wenn die Datenschutzfunktion Ihres Registrars deaktiviert ist, sodass ein redigiertes Ergebnis nicht beweist, dass Ihre Einstellung aktiv ist.
• Verwenden Sie dedizierte Kontaktdaten. Eine separate E-Mail-Adresse und eine Geschäfts- oder Weiterleitungsadresse begrenzen, was offengelegt werden könnte, wenn die Redaktion fehlschlägt.
• Halten Sie Ihren Registrar-Datensatz korrekt. Datenschutztools verbergen Daten vor der Öffentlichkeit, aber Sie benötigen weiterhin gültige Kontaktdaten bei Ihrem Registrar.

Fazit

Eine GDPR-WHOIS-Redaktion in einem Satz erklärt: Datenschutzrecht hat Domain-Registrierungsdaten aus der öffentlichen Ansicht gedrängt, und die Durchsetzung durch Aufsichtsbehörden wie Irlands DPC hält den Druck auf Unternehmen aufrecht, die personenbezogene Daten misshandeln. Nehmen Sie sich diese Woche ein paar Minuten Zeit, um die Datenschutz- und Redaktionseinstellungen Ihres Registrars zu prüfen und zu bestätigen, was eine öffentliche Abfrage für Ihre Domains zeigt. Lesen Sie dann über die größten recenten Sanktionen der DPC, beginnend mit unserer Berichterstattung über das Google-Bußgeld von 403 Mio. € wegen Standortdaten und den DPC-Jahresbericht 2025, um zu sehen, wie die Durchsetzung den Schutz Ihrer Daten prägt.