Zusammenfassung

  • Am 17. Mai 2018 beschloss der ICANN-Vorstand eine befristete Spezifikation, die Pflichten für gTLD-Registrierungsdaten rechtzeitig zum DSGVO-Termin am 25. Mai änderte. Sie band Registries und Registrare, musste aber alle 90 Tage bestätigt werden und durfte insgesamt höchstens ein Jahr gelten.
  • Das Ablaufdatum war ebenso wichtig wie die Notfallbefugnis. Es zwang die dauerhafte Regel durch das beschleunigte GNSO-Verfahren, den Vorstandsbeschluss, eine Übergangspolitik und schließlich die seit August 2025 geltende Registration Data Policy.

Die Uhr begann vor den Regeln zu laufen. Am 17. Mai 2018 genehmigte der ICANN-Vorstand die Temporary Specification for gTLD Registration Data. Sie trat am 25. Mai in Kraft, am selben Tag, an dem die DSGVO anwendbar wurde. Zwischen institutioneller Entscheidung und betrieblicher Pflicht lagen acht Tage.

Ohne gemeinsame Änderung drohte ein Konflikt im Vertragssystem. Registries und Registrare mussten Registrierungsdaten bereits nach ICANN-Verträgen und -Richtlinien erheben, veröffentlichen, übertragen und aufbewahren. Die DSGVO veränderte die Bedingungen für rechtmäßige Verarbeitung personenbezogener Daten. Hätte jede Vertragspartei allein reagiert, wären unvereinbare Veröffentlichungs-, Schwärzungs- und Übertragungspraktiken entstanden.

Der Vorstand beanspruchte kein unbegrenztes Datenschutzmandat. Er nutzte das Verfahren für befristete Richtlinien in Registry Agreement und Registrar Accreditation Agreement. Dabei stellte er fest, dass die sofortige Einführung für Stabilität oder Sicherheit von Registrar- oder Registry-Diensten, DNS oder Internet notwendig und so eng wie möglich zugeschnitten sei. Das Verfahren verlangte außerdem eine Zweidrittelmehrheit.

Die Spezifikation wirkte unmittelbar. Sie erhielt die Erhebung von Registrierungsdaten, beschränkte aber die öffentliche Anzeige der meisten personenbezogenen Daten. Sie ließ Antragswege für Personen mit legitimen und verhältnismäßigen Zwecken sowie Kontakt über anonymisierte E-Mail oder Webformulare bestehen. In ihrem Vertragsbereich verdrängte sie widersprechende Anforderungen ab dem Inkrafttreten.

Das Instrument enthielt jedoch seine Grenze. Die erste Laufzeit betrug 90 Tage. Für die Fortgeltung musste der Vorstand die Annahme alle 90 Kalendertage erneut bestätigen; insgesamt durfte die Übergangsregel ein Jahr nicht überschreiten. Der Beschluss vom 21. August 2018 zeigt die Uhr in Betrieb: Der Vorstand bestätigte Notwendigkeit und enge Begrenzung erneut und verlängerte um weitere 90 Tage.

Die Konstruktion trennte Befugnisse. Der Vorstand konnte die Brücke eröffnen und erneuern. Registries und Registrare setzten Pflichten um und trafen einzelne Offenlegungsentscheidungen nach geltendem Recht. Doch das Notfallinstrument konnte sich nicht selbst verewigen. Dauerhafte Konsenspolitik brauchte das Verfahren der Generic Names Supporting Organization.

Der GNSO Council leitete am 19. Juli 2018 einen Expedited Policy Development Process ein. Das Team sollte entscheiden, ob die Spezifikation unverändert oder modifiziert Konsenspolitik werden sollte, vereinbar mit DSGVO und weiterem Datenschutzrecht. Der Abschlussbericht der ersten Phase erschien am 20. Februar 2019. Am 15. Mai 2019 nahm der Vorstand die Empfehlungen mit ausdrücklich benannten Ausnahmen an.

Die Übergabe geschah nicht augenblicklich. Ab Mai 2019 verpflichtete eine Interim Registration Data Policy die Vertragsparteien, Maßnahmen im Einklang mit der Spezifikation fortzuführen, während der detaillierte Text entstand. Die Registration Data Policy wurde im Februar 2024 veröffentlicht, begann im August ihre Übergangsphase und trat am 21. August 2025 in Kraft. Die offizielle Seite vermerkt zudem eine Aktualisierung vom Mai 2026 zu Fristen dringender rechtmäßiger Offenlegungsanträge.

Die lange Umsetzung macht den ursprünglichen Notfallbeschluss nicht zu dauerhaftem Vorstandsrecht. Die Autoritätsquelle wechselte: Vom Vorstand angenommene GNSO-Empfehlungen lieferten die Grundlage der Konsenspolitik, das Übergangsinstrument sicherte Kontinuität, und die Umsetzung machte Empfehlungen vollziehbar.

Die Konstruktion ist über WHOIS hinaus relevant. Das Instrument von 2018 konnte Verträge vor einer gesetzlichen Frist ändern, war aber an schriftliche Gründe, qualifizierte Mehrheit, regelmäßige Prüfung, absolute Laufzeitgrenze und sofortigen Übergang in ein Gemeinschaftsverfahren gebunden. Seine Legitimität lag nicht in der Behauptung, der Notfall habe jeden Konflikt gelöst. Sie lag darin, zugleich durchsetzbar und tatsächlich befristet zu sein.

Quellen