Es sollten eigentlich nur die technischen Merkmale erfasst werden, da aber meines Wissens nur nach gerichtlicher Anordnung eingesehen werden dürfen:

Dazu gehört die MAC-Adresse, eine individuelle Kennung für das Gerät des Nutzers oder bestimmte Komponenten. Außerdem die zugehörige IP-Adresse und die verwendeten Ports. Das sind Angaben, die zur Abwicklung des Datenverkehrs nötig sind.

Der Anbieter kann auch das übertragene Datenvolumen und die Nutzungszeiten erfassen. Wann hat sich jemand eingewählt, für wie lange? Daraus können sich Muster ergeben.

Dann kann der Anbieter – wiederum rein technisch betrachtet – möglicherweise noch näher in den Datenverkehr hineinschauen. Er kann zum Beispiel erfassen, was ein Nutzer abruft, welche Dienste er nutzt, etwa E-Mail oder Whatsapp, oder ob er sich Programme herunterlädt.

Was er nicht sehen kann, vor allem bei https, Daten die du in der jeweiligen Seite eintippst. Das kann ein Username, Passwörter oder ein solcher Text hier sein.