Server-Log-Dateien

Server-Log-Dateien sind automatische Protokolle, die dein Hosting-Anbieter oder Server bei jedem Seitenaufruf erstellt. Sie enthalten technische Informationen wie IP-Adresse, Browsertyp, aufgerufene Seite, Zeitpunkt der Anfrage und den zuvor besuchten Verweis (Referrer).

Typische Inhalte eines Server-Logs

Warum werden sie gespeichert?

Server-Log-Dateien dienen vor allem der technischen Sicherheit und Fehlerbehebung: Sie helfen, Angriffe zu erkennen, Serverprobleme zu diagnostizieren und Missbrauch nachzuvollziehen. Rechtsgrundlage ist in der Regel das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, nicht eine Einwilligung.

Wie lange dürfen sie gespeichert werden?

Es gibt keine feste gesetzliche Frist. Üblich und von Aufsichtsbehörden meist akzeptiert sind sieben bis vierzehn Tage. Eine längere Speicherung solltest du konkret begründen können, etwa mit einem erhöhten Sicherheitsbedürfnis nach vorangegangenen Angriffen.

Server-Logs und Server-Log-Analyse-Tools

Manche Website-Betreiber werten Server-Log-Dateien zusätzlich für einfache Besucherstatistiken aus, statt ein separates Analyse-Tool einzusetzen. Diese sogenannte Server-Log-Analyse gilt datenschutzrechtlich milder als klassisches Tracking mit Cookies, weil keine individuelle Kennung über mehrere Besuche hinweg gebildet wird. Trotzdem bleibt die IP-Adresse personenbezogen und muss weiterhin in der Datenschutzerklärung erwähnt werden, inklusive Zweck und Speicherdauer.

Unterschied zu Cookies

Server-Log-Dateien entstehen automatisch bei jedem Aufruf, unabhängig davon, ob der Besucher zustimmt. Ein Cookie-Banner ist dafür nicht nötig, weil keine Informationen auf dem Endgerät des Nutzers gespeichert werden, anders als bei einem klassischen Tracking-Cookie. Die Erwähnung in der Datenschutzerklärung bleibt aber Pflicht, weil weiterhin personenbezogene Daten verarbeitet werden.

Praxisbeispiel

Ein Hosting-Anbieter speichert für seine Kunden standardmäßig Server-Log-Dateien für sieben Tage, danach werden sie automatisch gelöscht. Ein Website-Betreiber übernimmt diese Angabe wörtlich in seine Datenschutzerklärung, nachdem er die tatsächliche Einstellung beim Hoster überprüft hat, statt eine allgemeine Formulierung zu kopieren, die nicht zur eigenen Konfiguration passt.