ELENA-Zentralstelle speichert Daten aber verweigert Auskunft

Der Kollege Vetter verweist auf ein Gustostück im Zusammenhang mit dem umstrittenen Elektronischen Entegltnachweis hin. Man speichert zwar seit 01.01.2010 munter Arbeitnehmerdaten, teilt aber gleichzeitig mit, dass man vor 2012 den Betroffenen keine Auskunft über die gespeicherten Daten erteilen will.

Auf diese Auskunft haben die Betroffenen allerdings nicht nur Anspruch nach dem Gesetz (§ 103 Absatz 4 SGB IV). Dieses Auskunftsrecht ist vielmehr ein Ausfluss des Grundrechts auf informationelle Selbtbestimmung. Hier maßt sich also eine Behörde wieder einmal an, ein Gesetz nicht anzuwenden und verletzt damit auch gleichzeitig das Grundrecht der betroffenen Bürger.

Tausende Bürger entschließen sich auch gerade dazu, ELENA vor dem Bundesverfassungsgericht anzugreifen.

Verfassungsbeschwerde gegen ELENA

Der Arbeitskreis Vorratsdatenspeicherung und der FoeBuD e.V. haben eine Verfasungsbeschwerde gegen den sog. elektronischen Entgeltnachweis (ELENA) angekündigt. Ähnlich wie bei den Verfassungsbeschwerden gegen die Vorratsdatenspeicherung wird es die Möglichkeit geben, sich als Beschwerdeführer anzuschließen. Das soll ab morgen über das Petitions-Tool von FoeBuD möglich sein. Voraussetzung ist allerdings, dass man abhängig Beschäftigter ist, also Arbeitnehmer oder Beamter.

Diese Verfassungsbeschwerden dürften gerade nach dem Urteil des Bundesverfassungsgerichts zur Vorratsdatenspeicherung durchaus gute Erfolgsaussichten haben. Vielleicht wäre der Bundestag deshalb besser beraten, selbst tätig zu werden, um nicht gleich wieder von Karlsruhe abgewatscht zu werden.

Update: Hier ist der Link zum Beschwerde-Tool von FoeBuD

EuGH: Deutsche Aufsichtsbehörden für den Datenschutz dürfen nicht staatlicher Aufsicht unterstehen

Der Europäische Gerichtshof hat heute entschieden, dass die deutschen Aufsichtsbehörden für die Überwachung des Datenschutzes im nichtöffentlichen Bereich nicht unabhängig genug sind und nicht wie bislang staatlicher Aufsicht unterstellt sein dürfen. Der EuGH folgt hierbei überraschend nicht dem Schlussantrag des Generalanwalts.

Betroffen davon sind nicht die Datenschutzbeauftragten der Länder und des Bundes, die den öffentlichen Bereich überwachen, sondern Behörden wie z.B. das Bayerische Landesamt für Datenschutzaufsicht, das bei der Regierung von Mittelfranken angesiedelt ist.

Der Tenor der Entscheidung lautet:

Die Bundesrepublik Deutschland hat gegen ihre Verpflichtungen aus Art. 28 Abs. 1 Unterabs. 2 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr verstoßen, indem sie die für die Überwachung der Verarbeitung personenbezogener Daten durch nichtöffentliche Stellen und öffentlich-rechtliche Wettbewerbsunternehmen zuständigen Kontrollstellen in den Bundesländern staatlicher Aufsicht unterstellt und damit das Erfordernis, dass diese Stellen ihre Aufgaben "in völliger Unabhängigkeit" wahrnehmen, falsch umgesetzt hat.

URTEIL DES GERICHTSHOFS vom 9. März 2010 (Az.: C?518/07)

Das Internet und der Datenschutz

Rechtsanwalt Stephan Hansen-Oest, sicherlich einer der versiertesten Datenschutzrechtler unter den Anwälten, analysiert die neue Entscheidung des OLG Köln zur Verwendung von Fotos aus sozialen Netzwerken durch Personensuchmaschinen.

Und er schließt mit einer interessanten These, nämlich, dass § 29 BDSG auch mithilfe einer verfassungskonformen Auslegung nicht mehr den Anforderungen des Internetzeitalters genügt. Hansen-Oest spricht dabei etwas an, was man von Datenschützern eher selten hört, nämlich, dass die konsequente Anwendung einer datenschutzrechtlichen Norm (§ 29 Abs. 2 BDSG) dazu führen müsste, das Internet in Deutschland partiell abzuschalten. Und seine Schlussfolgerung trifft genau ins Schwarze: Der Gesetzgeber ist gehalten, Regelungen für Internetdienste zu treffen, die im Hinblick auf die Verwendung personenbezogener Daten einen Ausgleich zwischen dem Recht auf informationelle Selbstbestimmung, dem Recht auf Informationsfreiheit und dem Recht auf Meinungsfreiheit schaffen.

Ich bin mir nur nicht so sicher, ob die Datenschutz-Szene, die in diesem Bereich auch die Gesetzgebung maßgeblich beeinflusst, das auch erkannt hat.

Ilse, Angie und das Netz

Bundeslandwirtschaftsministerin Aigner gibt sich in ihrer Warnung vor Google, Apple und Microsoft gewohnt kompetent und differenziert. Die Bundeskanzlerin hat demgegenüber endlich erkannt, dass das Internet kein rechtsfreier Raum ist. Aber das wissen wir doch längst Angie. Ach und übrigens liebe Ilse, Orwell hätte sich vermutlich so einiges nicht träumen lassen, einschließlich der Überwachungsgesetze die die Union in den letzten 10 - 15 Jahren so mitgetragen hat.

Vielleicht sitzen die beiden jetzt bei einer Tasse Tee im Kanzleramt und machen sich Gedanken über das GBI (große, böse Internet).

Neuer Anlauf für das Swift-Abkommen

Nachdem das sog. Swift-Abkommen zwischen der EU und den USA gescheitert ist, weil das Europaparlament in einem beeindruckenden Akt parlamentarischer Selbstbehauptung gegen das Abkommen votiert hatte, haben die Innenminister der EU am 25.02.2010 beschlossen, einen zweiten Anlauf zum Abschluss eines Swift-Abkommens zu unternehmen.

Wie Beck-Aktuell meldet, will die Bundesregierung hierbei auf ein hohes Datenschutzniveau achten, was Bundesjustizministerin Sabine Leutheusser-Schnarrenberger im Rat der EU-Justizminister betont hat.

Das klingt allerdings nur nach dem üblichen politischen Sprachgebrauch und lässt offen, wie sich die neue Vereinbarung von der alten konkret unterscheiden wird.

Was mir außerdem überhaupt nicht einleuchten will, ist, warum die Vereinbarung nicht auf Gegenseitigkeit abgeschlossen wird. Wenn die USA Bankdaten von europäischen Bürgern für die Terrorismusbekämpfung anfordern kann, warum sollen dann die EU-Staaten nicht umgekehrt dasselbe Recht erhalten? Es wäre interessant zu sehen, ob der US-Kongress dem wohl zustimmen würde.

Nacktscanner und der Saunabesuch

Der Journalist und Blogger Jeff Jarvis - den ich persönlich für stark überschätzt halte - macht sich über den deutschen Datenschutz und unsere Vorstellung von "Privacy" lustig und versteht nicht, wie man nackt in eine Sauna gehen, gleichzeitig aber gegen Nacktscanner sein kann.

Und ich verstehe nicht, wie man angezogen in eine Sauna gehen aber mit Körperscannern keinerlei Probleme haben kann. In dem einen Fall geht es um Prüderie und in dem anderen Fall um die Verteidigung von Grundrechten. Das hat aber insofern etwas miteinander zu tun, als sowohl der Saunabesuch ohne Badehose wie auch die Ablehnung von Nacktscannern eine liberale Haltung zum Ausdruck bringen.

Europaparlament stoppt Swift-Abkommen

Das Europaparlament löst sich aus der Umklammerung des Rates und lehnt das bereits mit den USA vereinbarte Swift-Abkommen, das die Weitergabe von Bankdaten europäischer Bürger an die USA vorsieht, mit deutlicher Mehrheit ab.

Wie man hörte, sind viele Abgeordnete von Lobbyisten der US-Administration in den letzten Tagen massiv bedrängt worden. Umso erstaunlicher ist das deutliche Signal des Parlaments für ein unabhängiges und freiheitliches Europa.

Vielleicht ist das sogar die Geburtsstunde eines neuen Europa, eines Europa der Bürger, das sich gegen Lobbyisten, Technokraten und Überwachungsbefürworter zur Wehr zu setzen vermag.

Untergeschobene Zustimmung zur Zusendung von Werbung in Teilnahmeerklärung für Gewinnspiel

Nach zwei Urteilen des Landgerichts Berlin vom 18.11.2009 dürfen Teilnahmecoupons für Gewinnspiele keine Erklärungen enthalten, durch die die Teilnehmer gleichzeitig einer Werbung per Telefon oder E-Mail zustimmen.

Das Gericht hat offenbar Verstöße gegen das UWG und das Bundesdatenschutzgesetz angenommen und klargestellt, dass Einwilligungsklauseln zur Weitergabe persönlicher Daten nur zulässig sein können, wenn sie vom übrigen Text deutlich abgehoben sind. Sie müssen außerdem klar beschreiben, von wem die Daten für welche Zwecke verarbeitet und genutzt werden. Telefon- und E-Mail-Werbung ist nur dann statthaft, wenn der Kunde eine gesonderte Einwilligungserklärung unterschreibt oder durch Ankreuzen eines Kästchens aktiv zustimmt.

Urteile des LG Berlin vom 18.11.2009, Az. 4 O 89/09 (Axel-Springer-Verlag) und 4 O 90/09 (Ullstein-Verlag) - nicht rechtkskräftig

Quelle: Pressemitteilung Verbraucherzentrale Bundesverband vom 09.02.2010

LG Köln: Zulässigkeit der Verwendung von Google Street View

Das Landgericht Köln hatte sich mit Urteil vom 13.01.2010 (28 O 578/09) mit Frage der Zulässigkeit der Verwendung von Google Street View zu befassen. Die Klägerin ist Eigentümerin eines Hauses, die Beklagte betreibt ein Internetportal "Bilderbuch-Köln" auf dem sie Gebäude und Häuser der Stadt Köln abbildet, wobei es ihr erklärtes Ziel ist, in absehbarer Zeit dort jedes Kölner Gebäude abzubilden. Die Fotos stammen von Google Street View. Die Gebäude können bei der Beklagten auch über eine Adresssuche gefunden werden. Die Klägerin meint, dass dies eine unzulässige Veröffentlichung personenbezogener Daten sei und im übrigen ihr allgemeines Persönlichkeitsrecht verletzt wird. Das Landgericht Köln hat die Klage abgewiesen.

Das Gericht geht zunächst davon aus, dass ein Eingriff in das allgemeine Persönlichkeitsrecht ausscheidet, weil die veröffentlichten Fotos nur das abbilden, was jedermann von der Straße aus ohnehin sehen kann.

Mit Blick auf den geltend gemachten Verstoß gegen Datenschutzrecht geht das Landgericht Köln davon aus, dass sich die Beklagte auf das Medienprivileg des § 41 BDSG berufen kann, weil sie u.a. auch Informationen zur Architektur und Stadtgeschichte anbietet. Abgesehen davon sei eine Verwendung des Google-Bildmaterials nach § 29 Abs. 2 BDSG zulässig, insbesondere wegen der Bedeutung der Meinungs- und Informationsfreiheit.

Datenschutz: CCC fordert Gesetzgeber auf einen Datenbrief einzuführen

Der Chaos Computer Club fordert zur Stärkung des Rechts auf informationelle Selbstbestimmung die Einführung eines sog. Datenbriefs. Danach soll jede speichernde Stelle (öffentlich und nicht-öffentlich) verpflichtet sein, den Bürger von sich aus regelmäßig über die gespeicherten personenbezogenen Daten zu informieren.

Der CCC wörtlich:

"Wenn eine Firma, Behörde oder Institution personenbezogene Daten über jemanden erhebt, speichert oder übermittelt, muß der Betroffene regelmäßig über die über ihn gespeicherten Daten informiert werden. Das betrifft auch Daten, die über ihn beispielsweise durch "Anreicherung" mit anderen Datenquellen erzeugt werden, also Profile, Scoring-Werte, Annahmen über Vorlieben, interne Kundenklassenzuordnungen usw. Natürlich sind diese Daten zum Teil hochdynamischer Natur, das ändert jedoch nichts daran, daß der Betroffene ein Recht auf regelmäßigen kostenlosen Einblick hat."

Eine innovative Idee, an der vermutlich aber gerade staatliche Stellen keinen Gefallen finden werden.

(via netzpolitik.org)

SWIFT: Hoffen auf das EU-Parlament

Nachdem der Rat der EU den USA bereits grünes Licht für das umstrittene Swift-Abkommen, das US-Behörden Zugriff auf die Bankdaten europäischer Bürger gewährt, signalisiert hat, hat das Parlament die Möglichkeit ein Zeichen zu setzen. Und eine Überraschung scheint möglich, denn selbst Unionsabgeordnete haben angekündigt, gegen das Abkommen zu stimmen. Das SWIFT-Abkommen wird derzeit im Innenausschuss des Europaparlaments beraten.

ELENA: Datenschutzbeauftragter sieht derzeit keine ausreichende Rechtsgrundlage für Datenübermittlung

Das ELENA-Verfahrensgesetz - ELENA steht für elektronischen Entgeltnachweis - vom 28.03.2009 sieht vor, dass Arbeitgeber ab Januar 2010 moantlich bestimmte Daten zu ihren Angestellten an die sog. zentrale Speicherstelle übermitteln müssen. Die gesetzliche Regelung hierzu ist in §§ 95 ff. SGB IV enthalten. Welche Daten übermittelt werden müssen, ist im Gesetz in § 97 Abs. 1 SGB IV geregelt. Die Vorschrift verweist zusätzlich auf § 95 SGB IV, weshalb auch die dort genannten Nachweise und Belege zu übermitteln sind. § 97 Abs. 6 SGB IV enthält außerdem noch eine Verordnungsermächtigung. Danach soll das Arbeitsminsisterium das Nähere zu Inhalt und Form der vom Arbeitgeber nach Absatz 1 zu übermittelnden Meldung durch eine Rechtsverordnung bestimmen.

Ob diese gesetzliche Regelung dem Wesentlichkeitsgebot entspricht oder vielmehr der Gesetzgeber selbst die Daten exakt hätte definieren müssen, ist nur eine der offenen verfassungsrechtlichen Fragen.

ELENA stellt im Grunde eine Vorratsdatenspeicherung von riesigem Ausmaß dar, die die derzeit beim Bundesverfassungsgericht verhandelte Vorratsdatenspeicherung bei weitem in den Schatten stellt. Die vom Arbeitnehmer monatlich zu übermittelnden Daten von ca. 40 Millionen Bürgern werden nämlich dauerhaft zentral gespeichert, damit sie im Bedarfsfalle abrufbar sind.

Die verfassungsgerichtliche Überprüfung des Datenmonsters ELENA wird wohl unausweichlich sein. Hierbei wird vermutlich nicht nur der Umstand der Speicherung personenbezogener Daten auf Vorrat thematisiert werden, sondern auch die Tatsache, dass der betroffene Arbeitnehmer nicht konkret weiß, welche Daten der Arbeitgeber übermittelt, bzw. was sich aus den übermittelten Dokumenten ergibt. Gerade dies steht in einem erheblichen Spannungsverhältnis zum Grundrecht auf informationelle Selbstbestimmung.

Der Datenschutzbeauftragte von Schleswig-Holstein ist übrigens der Ansicht, dass vor dem Erlass der sog. ELENA-Datensatzverordnung keine ausreichende Rechtsgrundlage dafür besteht, von den Arbeitgebern eine Datenübermittlung zu verlangen. Es wird interessant werden zu sehen, ob gegen Arbeitgeber, die sich einer Datenübermittlung verweigern, mit Bußgeldbescheiden vorgegangen wird.

Das ELENA-Verfahren ist übrigens ein Projekt der rot-grünen Bundesregierung. Das Gesetz wurde schließlich im Frühjahr letzten Jahres mit den Stimmen der großen Koalition beschlossen, Grüne und FDP haben sich enthalten. Auch daran sieht man einmal mehr, dass keine Partei ein Garant für die Wahrung der Grundrechte ist. Der systematische Grundrechtsabbau ist bei praktisch allen Parteien Programm und gerade auch Grüne und FDP bilden da keine Ausnahme.

Facebook speichert alles?

Seit einer Woche kann man bei The Rumpus ein Interview mit einem anonymen Facebook-Mitarbeiter lesen, aus dem sich u.a. ergibt, dass Facebook so ziemlich alles dauerhaft speichert und zusammenführt, was die Nutzer an Daten hinterlassen. Die spannende Frage war also die, ob das Interview echt ist, zumal mir das Interview an einigen Stellen eher unstimmig erscheint. Facebook hat Presseanfragen der Süddeutschen Zeitung zu diesem Thema jedenfalls nicht beantwortet (wie Johannes Boie heute in der Print-Ausgabe schreibt). Die Frage der Echtheit des Interviews wird deshalb wohl offen bleiben. Und vermutlich ist die Facebook-Strategie, auf das Thema gar nicht einzugehen, aus Sicht des Unternehmens äußerst sinnvoll. Dass man bei Facebook die Mechanismen der Netzkommunikation verstanden hat, kann auch nicht überraschen.

Die Datenerhebung ist allgegenwärtig, selbst auf der Skipiste

Passend zur Jahreszeit ein Datenschutzthema für die Freunde des Wintersports. Die Handlung spielt in Österreich - sie wäre in Deutschland natürlich keinesfalls denkbar - und ist leider nicht frei erfunden.

Seit der Zugang zu Skiliften über Chipkarten erfolgt, wird jede einzelne Liftfahrt des Skifahrers erfasst und gespeichert. Als Nebenprodukt dieser Datenspeicherung bieten die österreichischen Skigebiete den Skifahrern einen interssanten Service namens Skiline an. Man kann dort online seine Skipassnummer, die auf der Chipkarte steht, eingeben und erhält anschließend eine genaue Auswertung der einzelnen Liftfahrten die man unternommen, der Höhenmeter die man überwunden und der Pistenkilometer die man zurückgelegt hat. Das ist beeindruckend. Der Anbieter fragt für diesen Service allerdings den Namen und eine E-Mail-Adresse ab. Wozu eigentlich? Gab es da nicht irgendwann die rechtliche Vorstellung, dass man Webservices grundsätzlich auch anonym nutzen darf, sofern es für die Datenerhebung keinen zwingenden Grund gibt? Und für diese Datenerhebung gibt es nun wirklich keinen Anlass, denn die Liftkarte kauft man sich schließlich immer noch anonym an der Kasse des Skilifts.

Aber, der Anbieter von Skiline - nach eigenen Worten das Facebook für Skifahrer - hätte gerne auch noch die Adressdaten des Wintersportlers, denn eine Anmeldung zur Community bringt selbstverständlich weitere erhebliche Vorteile. Zusätzliche Daten wie Alter, Geschlecht, Skifahrer oder Snowboarder werden dann abgefragt, die Angaben sind allerdings freiwillig. Erst in den Nutzungsbedingungen - die man selbst anklicken muss - heißt es dann, dass man sein "Einverständnis" dazu erteilt, sich einen Newsletter zusenden zu lassen und seine (personenbezogenen) Daten an ein Unternehmen in Österreich und ein weiteres in der Schweiz weiterzugeben. Wie diese Daten von diesen Unternehmen genutzt und verarbeitet werden, erfährt der Nutzer freilich nicht.

Dass so etwas innerhalb der EU möglich ist und dann noch im Kontext eines Massensports, mithin also mit einer entsprechenden Breitenwirkung, ist mehr als erstaunlich. Die für den Datenschutz zuständigen Aufsichtsbehörden sind in Österreich offenbar noch schläfriger als hierzulande.

Für mich ist das erneut ein schönes Beispiel dafür, wie im Datenschutz Theorie und Praxis auseinanderklaffen. In der Theorie werden die Anforderungen an den Datenschutz laufend erhöht, was aber in der Praxis niemanden wirklich kümmert. Der Datenschutz läuft Gefahr so zu enden, wie die Prohibition. Und das wäre vor allen Dingen für den Bürger eine Katastrophe. Deshalb muss das nächste Datenschutz-Audit ein allgemeiner Reality-Check sein und zwar EU-weit.

P.S. Ich habe das ganze Prozedere natürlich im Wege des Selbstversuchs getestet, einen Namen und eine E-Mail-Adresse bei Skiline angegeben und zu meiner Überraschung festgestellt, dass ich gestern im Zillertal 23 Liftfahrten unternommen, 103 Pistenkilometer zurückgelegt und 12.700 (!) Höhenmeter überwunden habe. Meine Freundin sagt immer, Skifahren sei ein perverser Sport. Und vermutlich hat sie Recht.

Leutheusser-Schnarrenberger droht Google

Umstrittene Dienste wie Google Street View und Google Earth seien "rechtlich unbedingt prüfenswert", sagte Justizminsterin Leutheusser-Schnarrenberger dem Spiegel. Und wenn Googles Umgang mit personenbezogenen Daten sich nicht verbessere, sei womöglich sogar der Gesetzgeber gefordert, so die Ministerin.

Das gerade eine liberale Bundesministerin derart gezielt auf ein einziges Unternehmen losgeht, überrascht mich dann doch. Es gibt sicher viele gute Gründe Google zu kritisieren. Andererseits unterscheiden sich die Praktiken von Google auch nicht wesentlich von denen anderer Unternehmen. Dass man sich in ganz Europa derzeit speziell auf Google eingeschossen hat, muss deshalb noch andere Gründe haben und die dürften eher wirtschaftlicher Natur sein. Vermutlich hat auch die Einflussnahme verschiedenster Lobbyisten, u.a. der Content-Industrie, ihre Wirkung nicht verfehlt.

Vielleicht sollte man aber auch einmal darüber nachdenken, warum es gerade Google gelungen ist, in weniger als 10 Jahren von einer Klitsche zu einem Weltkonzern aufzusteigen. Im Jahre 1998 hatten andere Unternehmen sicherlich bessere Startvoraussetzungen. Dass Google es dennoch geschafft hat, alle anderen zu überholen, liegt schlicht daran, dass man es bei Google verstanden hat, die Bedürfnisse der Internetnutzer in Dienste umzusetzen.

Die Politik wäre deshalb gut beraten, sich nicht von den Lobbyisten leiten zu lassen. Denn schließlich haben neben den Verlagen noch eine ganze Reihe von Unternehmen Angst vor Google, unter ihnen auch Weltkonzerne wie Microsoft und Apple. Und deren Lobbyisten geht es nicht um den Datenschutz. Zumal gerade die beiden genannten Unternehmen bestimmt keine Vorbilder im Bereich des Datenschutzes sind und deshalb ebenso viel Kritik verdient haben wie Google. Und es ist auch nicht Sache des Gesetzgebers, den Markterfolg von Google zu Gunsten weniger erfolgreicher Unternehmen zu beschneiden.

Die Nacktscanner und Schäubles Geschwätz von gestern

Ende Oktober 2008 hat der damalige Bundesinnenminister Wolfgang Schäuble das Vorhaben zur Einführung von "Nacktscannern" an Flughäfen noch heftig als Unfug kritisiert und mitteilen lassen: "Da kann ich Ihnen mit aller Klarheit sagen, dass wir diesen Unfug nicht mitmachen". Ein gutes Superwahljahr später lässt sein Nachfolger im Amt des Innenministeriums Thomas de Maizière wissen, dass er "Körperscanner" durchaus für möglich hält und befürwortet.

Unabhängig von der Nackscanner-Thematik, sollten manche Politiker öfter an ihr Geschwätz von gestern erinnert und auch daran gemessen werden.

Datenschützer Weichert fordert zu Unrecht schärfere Anti-Spam-Regelung

Wie Heise Online berichtet, fordert der Landesdatenschutzbeauftragte Schleswig-Holsteins Thilo Weichert schärfere Gesetze gegen Werbe-E-Mails. Weichert verlangt, dass Werbe- oder Infomails an geschäftliche Adressen nur mit Einwilligung des Empfängers zulässig sein sollen, was bislang nur bei Mails an private Adressen erforderlich sei. Im geschäftlichen Bereich, so Weichert, werde eine mutmaßliche Einwilligung in den Empfang der Mails unterstellt.

Hat der oberste Datenschützer Schleswig-Holsteins vielleicht die letzte UWG-Novelle verpasst? Das was Weichert fordert, steht nämlich längst im Gesetz. § 7 Abs. 2 Nr. 3 UWG besagt, dass bei Werbung unter Verwendung elektronischer Post (E-Mail) eine ausdrückliche Einwilligung des Adressaten vorliegen muss. Die mutmaßliche Einwilligung ist, entgegen Weichert, weder in der Werbung gegenüber Unternehmern noch gegenüber Verbrauchern ausreichend. In richtlinienkonformer Auslegung der Vorschrift wird überwiegend zudem davon ausgegangen, dass diese Einwilligung für den "konkreten Fall" erteilt werden muss, so dass auch pauschale (ausdrückliche) Einwilligungen nicht ausreichend sind.

Bei der unverlangten E-Mail-Werbung ist also nicht die gesetzliche Regelung das Problem, sondern vielmehr ein diesbezügliches Vollzugsdefizit. Und das wiederum sollte Herrn Weichert ja aus dem Datenschutzrecht bekannt sein.

Der nackte Bürger

Um die Bürgerrechte ist es in diesem Land und in Europa allgemein nicht zum Besten bestellt. Der wachsende und zunehmend organisierte Widerstand vieler Bürger gegen den Kontrollwahn und die Datensammelwut des Staates macht allerdings Hoffnung und hat bei Themen wie Netzsperren und Vorratsdatenspeicherung auch durchaus Wirkung gezeigt. Und diese neue Bürgerrechtsbewegung ist angesichts dessen, was kommen wird, nötiger denn je. Elena, ACTA und Nacktscanner sind nur einige der Schlagworte für die Themen, die die Bürgerrechte 2010 gefährden werden.

In einem Kommentar zum Thema Nacktscanner - man sagt neuerdings verharmlosend Körperscanner - hat der wackere Heribert Prantl in der SZ vom 30.12.2009 die gesamte sicherheitspolitische Doktrin exakt auf den Punkt gebracht.

"Es gibt in der Sicherheitspolitik eine Veralltäglichung des zunächst Unvorstellbaren: Wer hätte vor 25 Jahren geglaubt, dass die Polizei eines Tages ganz legal in Wohnungen einbrechen und dort elektronische Wanzen anbringen darf? Wer hätte gedacht, dass dem Lausch- der Spähangriff und dann auch noch der Zugriff auf die Computer folgen würde? Nirgendwo werden aus Absurditäten so schnell Normalitäten wie auf dem Gebiet der inneren Sicherheit. Präventive Logik ist expansiv."

Überwachung und exzessive Datenerhebung geschieht aber nicht nur aus Gründen der öffentlichen Sicherheit, sondern vermeintlich auch zum Zwecke des Bürokratieabbaus. Das - wohlgemerkt rot-grüne - Projekt Elena startet am 01.01.2010 und will verschiedene Daten (Einkommen, Fehl- und Streiktage, Abmahnungen, Kündigungsgründe) von 40 Millionen Arbeitnehmern und Beamten zentral speichern und damit verschiedenen Stellen und Behörden zum Abruf zur Verfügung stellen. Der Staat schafft dadurch ein neues bürokratisches Monster und begründet dies mit Bürokratieabbau. Die informationelle Selbstbestimmung einer Mehrheit von Bürgern wird damit praktisch beseitigt. Der Bürger hat längst keine Möglichkeit mehr in Erfahrung zu bringen, wer was über ihn weiß bzw. in der Lage ist, sich bestimmte personenbezogene Daten zu beschaffen. Damit befindet sich auch der Datenschutz am Scheideweg. Einerseits wird ein absurd hohes Datenschutzniveau propagiert, während der Staat andererseits Bankdaten seiner Bürger an die USA übermittelt und zudem Einkommens- und Beschäftigungsdaten seiner Bürger zentral erfasst und für Behörden zum Abruf bereitstellt.

Postbank soll Klausel über Datenweitergabe nicht länger verwenden dürfen

Der Verbraucherzentrale Bundesverband hat die Deutsche Postbank AG abgemahnt und verlangt die Abgabe einer Unterlassungserklärung, in der sich die Postbank verpflichten soll, eine datenschutzrechtliche Klausel, die der Postbank die Weitergabe von Kundendaten an freie Finanzberater der Postbank Finanzberatung AG sowie an andere Gesellschaften der Postbank-Gruppe ermöglicht, nicht weiter zu verwenden.

Die Verbraucherschüzter haben der Postbank eine Frist zur Abgabe einer Unterlassungserklärung bis 22.12.2009 gesetzt.

Auf Auskunftsersuchen betroffener Kunden hat die Postbank bislang überwiegend dahingehend geantwortet, dass im konkreten Fall keine Daten weiter gegeben worden sind, was der Betroffene natürlich nicht überprüfen kann.

Die Schufa und der Weihnachtsmann

Es gibt Dinge, die sind einfach unglaublich. Der Bundesdatenschutzbeauftragte Peter Schaar schildert in seimem Blog, wie die Schufa gerade in Fußgängerzonen mit gelben Weihnachtsmännern versucht, Menschen dazu zu bewegen, sich bei der Schufa zu registrieren. Geben Sie der Schufa Ihre Daten und zahlen Sie auch noch dafür. Denn schließlich ist bald Weihnachten.

Datenschutzrechtlich bedenklich: Google personalisiert Suchergebnisse

Google personalisiert seit heute die Suchergebnisse und zeichnet dazu das Nutzerverhalten auf und speichert es. Google unterscheidet dabei zwischen aktiviertem und deaktiviertem Google-Konto.

Eine Zustimmung des Nutzers holt Google hierfür nicht ein, vielmehr besteht lediglich die Möglichkeit des Opt-Out. Die offizielle Mitteilung von Google klingt wie meistens beschönigend unspektakulär.

Man muss kein Prophet sein um sagen zu können, dass das speziell in Deutschland zu datenschutzrechtlichen Diskussionen führen wird.

Update:
Der Ausgewogenheit halber möchte ich darauf hinweisen, dass es auch unter denjenigen, die wirklich etwas davon verstehen, zahlreiche Google-Fans gibt, die zu Recht auf die Vorzüge solcher Featurers hinweisen. Der von mir sehr geschätzte Stefan Münz, der diesem Thema einen ausführlichen Blogeintrag gewidmet hat, gehört zu diesen Menschen.

Und das aktuell zu beobachtende Google-Bashing ist sicherlich ein Stück weit unfair, weil Google auch nichts anderes macht, als sagen wir mal Amazon. Andererseits sollte man es m.E. dem Nutzer überlassen, welche Features er nutzen und aktivieren will. Und das erfordert ein Opt-In-Konzept.

Datenschützer beschließen Kriterien für Analyse-Tools wie Google Analytics

Die obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich treffen sich als "Düsseldorfer Kreis" einmal jährlich. Die Aufsichtsbehörden stimmen bei diesem Arbeitstreffen ihre Positionen ab.

Beim diesjährigen Treffen am 26./27.11.09 wurde u.a. Beschlüsse zur datenschutzkonformen Ausgestaltung von Analyse-Tools wie Google Analytics gefasst und zur Internetveröffentlichung sportgerichtlicher Entscheidungen.

Zu Google-Analytics und ähnlichen Tools vertreten die Datenschützer u.a. folgende Ansicht:

"Die Analyse des Nutzungsverhaltens unter Verwendung vollständiger IP-Adressen (einschließlich einer Geolokalisierung) ist aufgrund der Personenbeziehbarkeit dieser Daten daher nur mit bewusster, eindeutiger Einwilligung zulässig. Liegt eine solche Einwilligung nicht vor, ist die IP-Adresse vor jeglicher Auswertung so zu kürzen, dass eine Personenbeziehbarkeit ausgeschlossen ist."

Außerdem ist man der Meinung, dass eine nicht anonymisierte Veröffentlichung sportgerichtlicher Entscheidungen im Internet nicht ohne weiteres zulässig ist.

Die Beschlüsse sind nicht verbindlich, die einzelnen Aufsichtsbehörden sind bei ihren Entscheidungen nicht an diese Beschlüsse gebunden.

Die Antwort der Postbank

Der "Zentrale Datenschutz" der Postbank hat nunmehr doch auf mein Auskunftsersuchen nach § 34 BDSG reagiert. Es dürfte sich um die Textbausteine handeln, die vermutlich allgemein versandt worden sind.

Im Fettdruck findet sich am Ende des Schreibens aber dann noch folgender Satz:

In Ihrem konkreten Fall haben unsere Ermittlungen ergeben, dass im zurückblickbaren Zeitraum keine Zugriffe auf Ihre Daten durch Finanzberater (Berater der Postbank Finanzberatung AG) stattgefunden haben.

Mit einer solchen Antwort war eigentlich zu rechnen. Denn hätte man die Auskunft verweigert, wäre das angreifbar gewesen. Die Richtigkeit dieser Auskunft ist für den Betroffenen aber nicht überprüfbar.

EU wird nun doch die Weiterleitung von Bankdaten ihrer Bürger an die USA zulassen

Es fällt mir schwer zu glauben, wie unglaublich verantwortungslos und rechtswidrig unsere Regierung sowie der gesamte Rat der EU mit Blick auf das von den USA geforderte Swift-Abkommen agiert. Aber eigentlich musste man damit rechnen, dass diese Bundesregierung einknickt. Die USA können damit - selbstverständlich nur zur Terrorbekämpfung - auf die Daten europäischer Bankkunden zugreifen. Damit ist der Datenschutz in Europa nur noch Makulatur.

Weiter Streit um Google Analytics

Wie Zeit Online berichtet, wollen Datenschutzbehörden von Bund und Ländern die Betreiber von Websites, notfalls auch durch Sanktionen, dazu bewegen, auf das Statistik-Tool Google Analytics zu verzichten, weil man deren Einsatz nach deutschem Recht für unzulässig hält.

Interessant hieran ist in jedem Fall, dass man sich gerade an Google Analytics festbeißt, nachdem Tracking-Technologien insgesamt weit verbreitet sind und vielfach eingesetzt werden, z.B. im Bereich des Affiliate-Marketing.

Wenn man deutsches Datenschutzrecht nach Lesart der Datenschutzbeauftragten strikt anwenden würde, dann müsste man Deutschland und vermutlich die ganze EU ohnehin vom Internet abkoppeln. Denn Daten fließen nicht innerhalb von Landesgrenzen und die Datenübermittlung in Länder außerhalb der EU - auch ohne ausdrückliche Zustimmung des Betroffenen - geschieht laufend. Wenn Google keine Daten in den USA verarbeiten darf, dann dürfen es andere auch nicht. Man sollte sich vor Augen führen, welche Auswirkungen das - zu Ende gedacht - auf die Funktionsfähigkeit des Netzes bzw. die Nutzbarkeit in Deutschland haben müsste.

Die entscheidende Frage ist letztlich die, ob das deutsche und europäische Datenschutzrecht wirklich netzkompatibel ist bzw. ob und wie man es netzkompatibel gestalten kann, ohne das bisherige Datenschutzniveau in Frage zu stellen. Eine offene Untersuchung des status quo würde vermutlich zu interessanten Ergebnissen führen.

Die konkrete Diskussion um Analytics könnte Google selbst durch eine striktere Anonymisierung von IP-Adressen und eine Änderung der Nutzungsbedingungen entschärfen. Google sollte zudem auf eine gerichtliche Klärung der Fragen um Analytics hinwirken, damit der Nutzer weiß woran er ist.

Bei der ganzen Diskussion sollte man aber auch nicht vergessen, dass die Datenschützer häufig wenig realitätsnahe Grundsatzpositionen einnehmen, die rechtlich nicht zutreffend sein müssen.

Google Analytics datenschutzrechtlich unzulässig?

Wie Heise berichtet, hält der Bundesdatenschutzbeauftragte Peter Schaar Webtracking allgemein und speziell das gängige Statistiktool "Google Analytics" datenschutzrechtlich für unzulässig, was zur Folge hätte, dass dieses und andere Tools die ähnlich arbeiten von deutschen Seitenbetreibern nicht verwendet werden dürften. Diese Ansicht ist nicht gänzlich neu und auch in der juristischen Literatur bereits vertreten worden (vgl. z.B. Ott, K&R, 2009, 308). Diese Rechtsauffassung fußt freilich u.a. auf der umstrittenen Annahme, IP-Adressen seien personenbezogene Daten.

Die Frage ist aber ohnehin, ob dem Webtracking in Europa nicht durch eine neue EU-Richtlinie generell der Gar ausgemacht wird.

Die Aussagen von Schaar zeigen jedenfalls deutlich, wie weit die Auslegung des Datenschutzrechts und die tatsächliche Praxis im Internet auseinanderklaffen. Dass das Webtracking trotz des europäischen Datenschutzrechts nicht verschwinden wird, dürfte keine gewagte Prognose sein. Das Datenschutzrecht leidet unter einem beträchtlichen und zunehmenden Vollzugsdefizit, das gerade bei Fragen wie Webtracking oder Cookies durch ein Akzeptanzproblem verstärkt wird.

Postbank antwortet auf mein Auskunftsverlangen nicht

Vor einigen Wochen habe ich den Datenskandal bei der Postbank zum Anlass genommen, die Postbank als Kunde anzuschreiben und um Auskunft zu bitten, inwieweit meine personenbezogene Daten an Handelsvertreter oder sonstige Dritte weitergegeben worden sind. Weder die Postbank noch ihr betrieblicher Datenschutzbeauftragter, den ich gesondert angeschrieben hatte, haben hierauf geantwortet.

Aus diesem Grund habe ich bei der Postbank jetzt schriftlich nachgehakt:

Sehr geehrte Damen und Herren,

mit obigem Schreiben haben ich Sie als Kunde der Postbank um Auskunft nach § 34 BDSG darüber ersucht, welche Daten zu meiner Person von Ihnen an freie Handelsvertreter oder andere Dritte weitergegeben worden sind. Dieses Schreiben haben Sie leider nicht beantwortet, die gesetzte Frist zur Erfüllung Ihrer gesetzlichen Auskunftspflicht haben Sie verstreichen lassen. Auch eine E-Mail an Ihren betrieblichen Datenschutzbeauftragten blieb unbeantwortet.

Dies zeigt mir, dass Sie den Schutz der Daten Ihrer Kunden nicht ernst nehmen und ihr innerbetriebliches Datenschutzkonzept weder funktioniert noch den gesetzlichen Anforderungen entspricht.

Ich fordere Sie nochmals und letztmals außergerichtlich auf, die in meinem Schreiben vom 27.10.09 näher erläuterte Auskunft bis spätestens zum 01.12.2009 zu erteilen. Nach Ablauf dieser Frist haben Sie damit zu rechnen, dass ich meinen gesetzlichen Auskunftsanspruch gerichtlich geltend machen werde.

Ihren Datenschutzbeauftragten werde ich ebenfalls erneut informieren, sowie über mein Blog auch die Öffentlichkeit.

Es erscheint mir unerträglich, dass Sie zunächst in großem Stil rechtswidrig Kundendaten weitergeben und anschließend berechtigte Auskunftsverlangen einfach ignorieren.

Mit freundlichen Grüßen
Thomas Stadler

Stoppt Leutheusser-Schnarrenberger die geplante Weitergabe von Bankdaten an die USA?

Bundesjustizministerin Leutheusser-Schnarrenberger sagte der Berliner Zeitung, es wäre unglücklich, wenn das sog. Swift-Abkommen, das den US-Behörden Zugriff auf die Daten europäischer Bankkunden ermöglichen soll, noch schnell nach den alten Regeln und damit ohne Mitbestimmung des EU-Parlaments umgesetztgesetzt würde.

Die Bundesregierung hat ihren EU-Botschafter deshalb angeblich angewiesen, dem Abkommen in der jetzigen Form nicht zuzustimmen.

Das wäre zumindest mal eine positive Nachricht und eine Haltung für die die neue Justizministerin Lob verdient hat.

Quelle: Deutschlandradio

Einigung über die Weitergabe von Bankdaten europäischer Bürger an die USA

Während sich das EU-Parlament datenschutzrechtlich primär mit Keksen beschäftigen darf, versucht der Rat der EU noch schnell eine Einigung über die Weitergabe von Bankdaten an die USA zu erreichen und zwar bevor der Vertrag von Lissabon in Kraft tritt. Denn ab diesem Zeitpunkt müsste das EU-Parlament zustimmen. Ein ausgearbeiteter Entwurf des Rats, der auf den 10.11.09 datiert, liegt bereits vor, netzpolitik.org hat ihn geleakt.

Mittlerweile zeigt sich auch immer mehr, dass die Obama-Administration vor allem beim Thema "Terrobekämpfung" und Bürgerrechte nicht ansatzweise gewillt ist, von der von Bush eingeschlagenen Hardliner-Linie abzuweichen.

Die Bundesregierung, speziell die neue Justizministerin Leutheusser-Schnarrenberger, kann den Abschluss dieser Vereinbarung verhindern und exakt das muss von ihr auch verlangt werden.

Cookies nur noch mit Einwilligung des Nutzers?

In Fefes Blog war gestern folgendes zu lesen: "Kurze Durchsage der EU: Web-Cookies sind ab jetzt genehmigungspflichtig".

Damit meint er wohl den im Rahmen des Telekompakets erarbeiteten Richtlinienvorschlag (2007/0248/COD) der u.a. eine Ergänzung der Richtlinie 2002/58/EC (Datenschutzrichtlinie für elektronische Kommunikation) in seinem Artikel 5(3) vorsieht. Das Verfahren ist m.W. noch nicht abgeschlossen, da die 3. Lesung im EU-Parlament noch nicht stattgefunden hat. Allerdings handelt es sich bei der letzten Textfassung um denjenigen Kompromiss zu dem alle Seiten Zustimmung signalisert haben, weshalb mit Widerstand des Parlaments nicht mehr zu rechnen ist. Die aktuelle (deutschsprachige) Vorschlagsfassung zur Änderung von Artikel 5 Abs. 3 der Richtlinie lautet:

Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat . Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann .

Diese Neufassung ist kritikwürdig, zumal ein früherer Entwurf die durchaus sinnvolle Regelung enthielt, dass die Browsereinstellungen die notwendige Zustimmung des Nutzers indizieren. Die Regelung zielt in der Tat auf sog. Cookies ab und ist auch hierzulande bereits in der Presse diskutiert worden, ohne, dass es zu einem großen Aufschrei gekommen wäre.

Diese Änderung wird vermutlich vermehrte Belehrungen durch PopUp-Fenster und/oder spezielle Landing-Pages zur Folge haben, was bei Internetnutzern erfahrungsgemäß wenig beliebt ist.

Ob damit der beabsichtigte Zweck, ein höheres Datenschutzniveau im Web zu gewährleisten, erreicht werden kann, darf bezweifelt werden. Die User werden diese Belehrungen nämlich überwiegend genervt wegklicken bzw. zügig durch den OK-Button bestätigen, ohne die Information überhaupt wahrgenommen zu haben.

Das Datenschutzrecht ist, wenn es funktionieren soll, aber letztendlich auf die Akzeptanz derjenigen angewiesen, die es schützen möchte. Ein Umstand, den professionelle Datenschützer oft nicht hinreichend beachten. Die Entwicklung im Netz hat dazu beigetragen, dass die gesetzlichen Regelungen und das tatsächliche Datenschutzniveau immer weiter auseinanderdriften, weil sowohl diejenigen die Daten verarbeiten als auch diejenigen, deren Daten geschützt werden wollen, nicht in ausreichendem Maße Verständnis für derartige Regelungen aufbringen. Dass man dieses Dilemma nicht auflöst, sondern eher verstärkt, indem man die gesetzlichen Anforderungen immer weiter verschärft, ist bei den politischen Entscheidern offenbar immer noch nicht angekommen.

Die fast logische Konsequenz ist, dass die neuen Regeln immer weniger beachtet werden.

Vielleicht sollte man sich deshalb, gerade bei einem Thema wie dem Datenschutz, das wirklich jeden betrifft, stärker mit der Frage beschäftigen, was sich die Menschen für eine Regelung wünschen, bzw. ob sie mit dem derzeitigen Rechtszustand zufrieden sind. Gerade auf Ebene der EU muss man lernen, die Menschen nicht nur eindimensional als Verbraucher, sondern vielmehr als Bürger wahrzunehmen.

Und es gibt ehrlich gesagt auch ganz andere datenschutzrechtliche Probleme in Europa. Solange es die EU erlaubt, dass Bankdaten ihrer Bürger in die USA übermittelt werden, mutet eine gesetzliche Regelung zu Cookies als eher lächerlich an.

Diese neuen Regeln werden die Nutzer vor allen Dingen nerven, die Seitenbetreiber mit zusätzlichen Pflichten belasten und insgesamt die Useability beeinträchtigen.

Es gibt sicher Gründe, die "Kekse" als nicht ganz unbedenklich einzustufen. Aber der Nutzer hat durch Änderung seiner Browsereinstellungen auch die Möglichkeit selbst zu steuern, ob und in welchem Umfang er Cookies akzeptieren will. Vielleicht sollte die EU einfach stärker auf die Aufklärung und auf mündige Bürger - nicht Verbraucher - setzen. Durch Regelungen wie diese wird eine möglicherweise gute Absicht in ihr Gegenteil verkehrt und der bestehende Unmut gegenüber den Institutionen der EU nur noch verstärkt.

Update:

Weil offenbar z.T. immer noch die Vorstellung existiert, dass die Browsereinstellungen des Nutzers für eine Einwilligung reichen würden, nochmal der Hinweis dass die Formulierung

"sofern der betreffende Teilnehmer oder Nutzer nicht zuvor seine Einwilligung gegeben hat, wobei zu berücksichtigen ist, dass die Browser-Einstellung eine vorherige Einwilligung darstellt"

die in einem früheren Entwurf noch vorhanden war, in der letzten Fassung wieder gestrichen worden ist. Dadurch wird deutlich, dass die Browsereinstellung gerade nicht als Einwilligung ausreichen soll. Und auch nach allgemeinen juristischen Auslegungskriterien wird hierin schwerlich eine Einwilligung im datenschutzrechtlichen Sinne gesehen werden können. Im Widerspruch hierzu scheint Erwägungsgrund 66 darauf hinzudeuten, dass die Browsereinstellung des Nutzers vielleicht doch als Einwilligung angesehen werden können. Dieser Erwägungsgrund verweist freilich wiederum auf die Datenschutzrichtlinie und dort ist unter Einwilligung eine (ausdrückliche) Willensbekundung zu verstehen, was mit Default-Einstellungen des Browsers schwierig in Einklang zu bringen ist. Handwerklich aber einmal mehr schlecht gemacht.

OLG Hamburg: Personensuchmaschinen verarbeiten keine personenbezogenen Daten

Seit kurzem wird die Frage der datenschutzrechtlichen Zulässigkeit von Personensuchmaschinen wie Yasni diskutiert.

Das OLG Hamburg hat nun mit Beschluss vom 23.10.09 (Az.: 7 W 119/09) u.a. ausgeführt, dass Yasni selbst gar keine Daten verarbeitet, sondern nur die Fundstellen zu anderweitig bereits im Netz abrufbaren Daten bereitstellt.

Demgegenüber hat Jens Ferner unlängst die Ansicht vertreten, dass Personensuchmaschinen personenbezogene Daten erheben und zugleich wegen § 12 TMG auch gegen das geltende Datenschutzrecht verstoßen, weil es keine Rechtsvorschrift gebe, die eine solche Datenverarbeitung zur Bereitstellung des Dienstes gestatten würde.

Beide Ansichten halte ich für unzutreffend. Yasni verarbeitet entgegen der Ansicht des OLG Hamburg sehr wohl personenbezogene Daten. Wenn ich mir z.B. den Eintrag zu meiner Person bei Yasni anschaue, dann finde ich dort zu meinem Namen u.a. die Berufsbezeichnung Rechtsanwalt, den Namen und Telefonnummer unserer Kanzlei, sowie mehrere Fotos. Diese personenbezogenen Daten werden von Yasni somit also gesammelt, im Rahmen eines Profils gespeichert und zum Abruf bereitgehalten. Ein klassischer Fall von Datenerhebung und -verarbeitung.

Ist das aber auch zulässig? Was das Foto betrifft, kann dies nur mit einem klaren Nein beantwortet werden, weil ich eine Zustimmung nach § 22 KUG nicht erteilt habe. Ansonsten kann - entgegen der Ansicht von Ferner - aber grundsätzlich schon auf die Gestattung des § 28 oder 29 BDSG zurückgegriffen werden, die u.a. eine Datenverarbeitung für eigene Geschäftszwecke erlaubt bzw. zum Zwecke einer Übermittlung, wenn die Daten allgemein zugänglich sind. Die §§ 12 ff. TMG sind insoweit nicht anwendbar, weil die hier in Rede stehenden Daten nicht von einem Nutzer zum Zwecke der Bereitstellung des Dienstes erhoben worden sind. Derjenige, dessen Daten bei Yasni präsentiert werden, ist nicht der Nachfrager und damit insoweit nicht Nutzer. Diese Daten werden aber auch nicht deshalb erhoben, um dem Nutzer den Dienst bereitzustellen. Nachdem das TMG diese Konstellation also gar nicht regelt, kann und muss auf das allgemeinere BDSG zurückgegriffen werden.

Es bleibt aber die Frage, ob bei einer Zusammenstellung von personenbezogenen Daten, wie man sie beispielsweise bei Yasni findet, nicht im Einzelfall wegen des entstehenden Persönlichkeitsprofils davon auszugehen ist, dass hier die schutzwürdigen Interessen der betroffenen Person so hoch zu bewerten sind, dass eine Datenverarbeitung ohne ausdrückliche Zustimmung unzulässig ist. Diese Fragen werden in Zukunft noch zu diskutieren sein.

Die Entscheidung des OLG Hamburg enthält daneben auch durchaus interessante Ausführungen zur Haftung des Suchmaschinenbetreibers. Anders als unlängst das Landgericht Köln geht das OLG Hamburg nicht von einem Zueigenmachen der von der Personensuchmaschine zusammengestellten Informationen aus.

Update:
Ich wurde darauf hingewiesen, dass die Bilder bei Yasni, die sich in der rechten Spalte befinden, im Wege eines Inline-Links einbezogen werden und nicht auf dem Server von Yasni liegen. Das ändert allerdings meine rechtliche Einschätzung nicht, da sich diese Darstellung nicht von einer solchen unterscheidet, bei der die Bilddatei auf dem eigenen Server liegt. Tim-Berners-Lee hat das übrigens als "Embedded-Link" bezeichnet und zu Recht darauf hingewiesen, dass man insoweit nicht von einem normalen, referenzierenden Link sprechen kann.

Quelle: Insolvenzverwalter will Kundendaten verscherbeln

Endlich hat der Insolvenzverwalter von Quelle doch noch etwas gefunden, das sich versilbern lässt. Die Daten von 8 Millionen Kunden.

Nur gut, dass die Lobbyisten bei der jüngsten Novelle des Bundesdatenschutzgesetzes die Abschaffung des Listenprivileg (§ 28 Abs. 3 S. 2 BDSG) gerade noch abwenden konnten. Denn sonst würde die notleidende Insolvenzmasse von Quelle noch schlechter dastehen. Vielleicht bekommt der Insolvenzverwalter jetzt aber auch massenhaft Schreiben von Quellekunden, die der Weitergabe ihrer Daten widersprechen. Zu wünschen wäre es ihm.

Die Verbraucherzentrale bietet den Kunden ein entsprechendes Musterschreiben.

Auskunftsverlangen gegenüber der Postbank

Wie bereits in meinem gestrigen Blogbeitrag angekündigt, habe ich als vom Datenskandal der Postbank betroffener Kunde Auskunftsansprüche nach dem Bundesdatenschutzgesetz geltend gemacht:

Auskunftsverlangen nach § 34 BDSG

Sehr geehrte Damen und Herren,

als Kunde der Postbank habe ich mit Befremden zur Kenntnis genommen, dass Sie Presseberichten zufolge, 4000 freien Handelsvertretern unmittelbaren Zugriff auf Kundenkonten ermöglicht haben. Hierbei ist der Einblick in sämtliche Kontobewegungen möglich gewesen.

Ihr Unternehmen hat dies heute im Grundsatz bestätigt und mit dem ungeheuerlichen Hinweis verbunden, dass diese Praxis bislang nicht beanstandet worden sei. In diesem Zusammenhang weise ich darauf hin, dass Ihr Verhalten sowohl einen eklatanten Verstoß gegen geltendes Datenschutzrecht darstellt, als auch eine Verletzung des bestehenden Girovertrags.

Aus diesem Grunde sehe ich mich gezwungen, von meinem Auskunftsrecht nach § 34 BDSG Gebrauch zu machen und fordere Sie auf, mir bis spätestens zum 06.11.2009 einzeln aufgeschlüsselt mitzuteilen, welche Daten zu meiner Person Sie zu welchem Zeitpunkt an freie Handelsvertreter oder andere Dritte weitergegeben haben und wer (namentlich benannt) die Empfänger dieser Daten waren. Außerdem haben Sie mitzuteilen und aufzulisten, welche Personen (vollständig namentlich benannt) die nicht Angestellte oder Arbeitnehmer der Postbank sind, Zugriff auf meine Bank- und Kontodaten hatten.

Bereits jetzt mache ich Sie darauf aufmerksam, dass ich eine pauschale Antwort dergestalt, dass Sie keine Daten weitergegeben haben, nicht akzeptieren werde, da meine Kontozugangsdaten an diese "freien Handelsvertreter" in jedem Fall übermittelt worden sein müssen, weil diese andernfalls gar nicht in die Lage versetzt worden wären, auf Kundenkonten zuzugreifen.

Sollten Sie keine ausreichende Auskunft erteilen, haben Sie mit einer gerichtlichen Inanspruchnahme zu rechnen.

Vorsorglich widerspreche ich einer Weitergabe meiner personenbezogenen Daten an Dritte ausdrücklich.

Eine Kopie dieses Schreibens geht auch an Ihren betrieblichen Datenschutzbeauftragten.

Mit freundlichen Grüßen

Nachtrag:
Der Kollege Vetter hat die Postbank ebenfalls zur Auskunft aufgefordert

Systematische Datenschutzverstöße bei der Postbank?

Dieser Bericht von Heise hat mich aufgeschreckt, weil ich selbst ein Girokonto bei der Postbank habe. Heise berichtet, die Postbank würde 4000 freien Handelsvertretern Zugriff auf Girokontodaten der Kunden gewähren. Die freien Mitarbeiter hätten Einsicht in alle Kontobewegungen, berichtet Heise unter Berufung auf Stiftung Warentest.

Ich werde das zum Anlass nehmen, gegenüber der Postbank von meinem Auskunftsanspruch nach § 34 Bundesdatenschutzgesetz Gebrauch zu machen. Danach kann man als Betroffener Auskunft über die Empfänger verlangen, an die Daten weitergegeben werden (§ 34 Abs. 1 S. 1 Nr. 2 BDSG).

Google und Bing wollen auch Twitter und Facebook durchsuchen

Gerade noch hat man sich über die Lücken bei SchülerVZ aufgeregt und schon kündigt Microsoft an, dass seine Suchmaschine Bing künftig auch die Statusmeldungen von Facebook-Nutzern indizieren und auffindbar machen will. Und Twitter-Postings wollen sowohl Google als Microsoft demnächst erfassen.

Ich vermute relativ stark, dass Microsoft und Google hierzu Verträge mit Facebook, Twitter und Co. abschließen, nachdem deren Inhalte bislang nicht in den Suchmaschinen auftauchen. Datenschutzrechtliche Bedenken scheint man, wie bei amerikanischen Unternehmen üblich, keine zu haben.

Eigentlich sollten soziale Netzwerke die Daten ihrer Nutzer - auch die in der Community frei einsehbaren Profildaten - besser schützen. Die Entwicklung scheint freilich in die gegenteilige Richtung zu gehen, was, wenn man nur die wirtschaftlichen Interessen der beteiligten Player betrachtet, natürlich auch nahe liegt. Peter Schaar, bitte übernehmen Sie.

Datenklau bei SchülerVZ - eine rechtliche Bewertung

Das soziale Netzwerk SchülerVZ ist in den letzten Tagen in die Schlagzeilen geraten, weil dort offenbar in großem Umfang Nutzerdaten kopiert und weitergegeben worden sind. In den Nachrichtenmedien wird von Datenklau gesprochen, was den Eindruck erweckt, als hätte sich jemand mit Hackermethoden Nutzerdaten verschafft.

Das ist freilich nicht der Fall. Es handelt sich um frei zugängliche Daten, die jedes Mitglied der Community von SchülerVZ aufrufen kann, weil die Daten vorher von dem Berechtigten selbst eingestellt worden sind. Nachdem SchülerVZ auch keine ausreichenden Vorkehrungen gegen eine automatisierte Erhebung dieser Daten ergreift, ist es möglich, diese Daten mit Crawlern zu erfassen. Das wurde auch in der Vergangenheit, teilweise im Rahmen studentischer Projekte, schon vorgeführt. Es sind also weder besondere technische Fähigkeiten erforderlich noch werden geschützte Zugänge geknackt.

Das Problem resultiert primär daraus, dass die VZ-Gruppe, der Betreiber von Plattformen wie Schüler- und StudiVZ nicht ansatzweise für die Datensicherheit sorgt, die man als Nutzer eigentlich erwarten darf.

Wie ist nun das Vorgehen des "Datendiebs" rechtlich zu bewerten? Eine Strafbarkeit wegen Ausspähens von Daten (§ 202a StGB) scheidet nach meiner Einschätzung aus. Strafbar macht sich danach nämlich nur, wer sich Daten verschafft, die nicht für ihn bestimmt sind und die gegen unberechtigten Zugriff besonders gesichert sind.

Wenn der Täter Mitglied von SchülerVZ ist, dann kann er die Daten, wie jeder andere Nutzer auch, bestimmungsgemäß einsehen. Die Daten sind also für ihn bestimmt. Dass er sie möglicherweise zweckwidrig verwendet, ändert daran nichts. Auch eine Sicherung gegen unberechtigten Zugriff gibt es bei SchülerVZ offenbar nicht. Die Daten sind vielmehr ohne weiteres mittels sog. Bots erfassbar.

Das Verhalten des "Täters" verstößt möglicherweise gegen Bestimmungen des Datenschutzrechts. Wobei man sich insoweit vor Augen führen sollte, dass Personensuchmaschinen wie Yasni auch nicht anders agieren. Und das Verhalten des Täters verstößt schließlich auch gegen die Nutzungsbedingungen von SchülerVZ, was allerdings nur ein zivilrechtliches Fehlverhalten im Verhältnis zum Plattformbetreiber darstellt.

Die Datenschützer sollten m.E. nicht immer nur darauf hinweisen, dass die Bürger und Nutzer mit ihren Daten vorsichtiger umgehen müssen. Denn das ist angesichts des Umstandes, dass Millionen von Menschen mittlerweile Profile bei Facebook, MySpace, Xing, Lokalisten etc. haben, wenig zielführend. Vielmehr sollten die Betreiber von sozialen Netzwerken verpflichtet werden, die Daten ihrer Nutzer gegen automatisierte Erfassung effektiv zu schützen.

Opt-Out-Day

Die Piratenpartei ruft unter dem Motto "OptOutDay" am heutigen Tag dazu auf, bei seinem Einwohnermeldeamt vorstellig zu werden und dieses aufzufordern den eigenen Namne aus dort geführten offenen Listen zu streichen, um die Weitergabe personenbezogener Daten, wie zum Beispiel Adresse oder Geburtsdatum an Dritte zu unterbinden.

Neues Datenschutzrecht für das Internet?

Der schleswig-holsteinische Datenschutzbeauftragte Thilo Weichert fordert offenbar ein eigenes Datenschutzgesetz für das Internet. Hintergrund ist das gestern bekannt gewordene Gutachten, wonach sich mehr als 1/4 der Arbeitgeber vor einem Vorstellungsgespräch im Internet über ihren Bewerber informieren.

Dass die Unternehmer dies machen, ist wenig überraschend, weshalb ich die öffentliche Aufregung hierüber auch ich nicht wirklich nachvollziehen kann. Schließlich hat ein Arbeitgeber ein durchaus legitimes Interesse daran, sich über die Person und Qualifikation eines Bewerbers zu informieren. Hierbei greift er auch nur auf frei zugängliche Informationen zurück, die die Betroffenen oftmals selbst ins Netz gestellt haben.

Ob es Aufgabe des Datenschutzrechts sein kann, derartige Recherchen zu reglementieren, wage ich zu bezweifeln. Vielmehr sind es Forderungen wie die des Landesdatenschutzbeauftragten Weichert, die den Datenschutz immer wieder in Misskredit bringen und Wasser auf die Mühlen derjenigen gießen, die das Datenschutzrecht ohnehin für deutlich überzogen halten.

Die Verweigerung des Zugangs zu personenbezogenen Daten, die der Betroffene selbst und freiwillig öffentlich zugänglich gemacht hat, würde außerdem einen datenschutzrechtlichen Paradigmenwechsel bedeuten, weil man sich in vielen Fällen über den ausdrücklichen Willen des Betroffenen hinwegsetzen müsste. Es gibt schlicht eine ganze Menge Menschen, die sich bewusst im Netz präsentieren, auch um auf ihre beruflichen Qualifikationen aufmerksam zu machen. Sollen solche Informationen von möglichen Arbeitgebern auch nicht mehr recherchiert werden dürfen, obwohl der Betroffene seine Daten vielleicht gerade auch zu diesem Zweck ins Netz gestellt hat?

Die Frage, ob das Internet spezielle eigene datenschutzrechtliche Regelungen, die es ansatzweise im TMG bereits gibt, benötigt, ist durchaus diskutabel. Eine Einflussnahme auf die Zulässigkeit einer Recherche von fremden Inhalten, die für jeden Nutzer frei zugänglich sind, gehört aber nicht zu den regelungsbedürftigen Aspekten.

Experten warnen vor Missbrauch von auf "Vorrat" gespeicherten Daten

Das Missbrauchspotential der Vorratsdatenspeicherung ist enorm. Zu dieser Einschätzung sind praktisch alle vom Bundesverfassungsgericht im Rahmen der anhängigen Verfassungsbeschwerden befragten Sachverständigen gelangt, wie der AK Vorrat berichtet.

Verbraucherzentrale Bundesverband mahnt Facebook & Co. wegen deren Nutzungsbedingungen ab

Die Verbraucherzentrale Bundesverband (vzbv) hat nach einer eigenen Pressemitteilung vom 14.07.09 gegen die sozialen Netzwerke MySpace, Facebook, Lokalisten, wer-kennt-wen.de und Xing Unterlassungsverfahren eingeleitet.

Der Verband forderte die Anbieter auf, Voreinstellungen für die Nutzung personenbezogener Daten schon bei der Registrierung nutzerfreundlich zu gestalten. Die Nutzer müssen nach Ansicht der Verbraucherschützer auch selbst darüber entscheiden können, ob ihre Daten über Suchmaschinen aufzufinden sind. Auch urheberrechtliche Klauseln wurden beanstandet, vor allem wegen den z.T. sehr umfangreichen Nutzungsrechten an Inhalten und Bildern die von den Nutzern eingestellt werden.

Urteil spickmich.de ist online

Der Volltext der Entscheidung des BGH vom 23.06.09 (Az.: VI ZR 196/08) zum Lehrerbewertungsportal "spickmich.de" ist jetzt bei Telemedicus online.

Brief zum Stopp der Datenübermittlung an die USA

Der Bundesrat entscheidet in seiner morgigen Sitzung auch über das bereits vom Bundestag beschlossene Gesetz, nach dem US-Behörden direkten Zugriff auf Daten beim BKA erhalten sollen.

Patrick Breyer vom Arbeitskreis Vorratsdatenspeicherung hat den Bundesrat in einem offenen Brief aufgefordert, das vom Bundestag beschlossene Gesetz zu stoppen. Darauf ist aus aktuellem Anlass hinzuweisen.

EU-Datenschutzgruppe gibt Empfehlungen zum Datenschutz in sozialen Netzwerken

Die Art. 29 Datenschutzgruppe, ein unabhängiges Beratungsgremium in Fragen des Datenschutzes, hat eine Stellungnahme/Empfehlung zum Datenschutz in Social Networks veröffentlicht.

Das Expertengremium befasst sich in seinem Papier u.a. mit dem Schutz von Rechten Dritter und fordert insoweit, dass der Plattformbetreiber von seinen Nutzern verlangen soll, dass Bilder von Dritten und Informationen über Dritte nur mit deren Zustimmung eingestellt werden.

Außerdem soll die Homepage des Betreibers einen Link zu einer Beschwerdestelle anbieten, an die sich Mitglieder und Dritte in Fragen des Datenschutzes wenden können.

Diese Empfehlungen sind nicht verbindlich. Die EU-Kommissarin für die Informationsgesellschaft und Medien Reding unterstützt diese Forderungen allerdings grundsätzlich und hat die großen Social Networks bereits im April 2009 aufgefordert,speziell jugendliche Nutzer besser zu schützen. Frau Reding sagte wörtlich:
"Ich vertrete die Auffassung, dass zumindest die Online-Profile von Minderjährigen unbedingt standardmäßig als privat eingestuft und für Internet-Suchmaschinen unzugänglich sein müssen. Die Europäische Kommission hat bereits Betreiber von Websites zur sozialen Vernetzung aufgefordert, mit Profilen von Minderjährigen im Wege der Selbstkontrolle sorgsam umzugehen. Ich bin bereit, neue Regeln dafür aufzustellen, falls dies erforderlich ist."

US-Behörden sollen direkten Zugriff auf Daten beim BKA erhalten

Die Bundesregierung hat ohne Beteiligung des Bundestags und unter Ausschluss der Öffentlichkeit mit den USA ein völkerrechtliches Abkommen über den gegenseitigen Austausch von Daten abgeschlossen.

Der Vertrag beinhaltet den automatisierten gegenseitigen Zugriff auf daktyloskopische Daten und DNA-Profile zu Strafverfolgungszwecken und zur Gefahrenabwehr. Zudem soll auch ein Austausch von Informationen zu Personen erfolgen, die in Verdacht stehen, künftig terroristische Straftaten zu begehen. Dazu werden personenbezogene Daten wie u.a. Name, Geburtsdatum, Staatsangehörigkeit und Fingerabdrücke dieser Personen ausgetauscht.

Der deutsche Staat übermittelt also personenbezogene Daten von Bürgern in die USA, die (nur) in dem Verdacht stehen, dass sie terroristische Straftaten begangen haben oder künftig begehen werden. Wer weiß, wie schnell ein Anfangsverdachte bejaht ist, der wird eine Vorstellung davon haben, was das bedeutet. Eigentlich müssten die Datenschützer auf die Barrikaden gehen. Weiß Herr Schaar was hier gespielt wird?

Der Bundestag, der vor Abschluss dieses völkerrechtlichen Vertrags nicht informiert und beteiligt worden ist, soll dies heute nur noch abnicken, wozu es sicherlich auch kommen wird. Man fragt sich langsam, ob dieses Parlament überhaupt nicht etwas zu sagen hat.

Quellen:
NDR Info
Antrag der FDP-Fraktion vom 07. 05. 2008

Niggemeier beklagt sich über den Datenschutz

Der Blogger und Journalist Stefan Niggemeier beklagt sich darüber, dass er einerseits vom Landgericht Hamburg dazu verpflichtet worden ist, Kommentare in seinem Blog vorab zu prüfen, wenn er nicht zuvor die Identität des Kommentierenden festgestellt hat und andererseits vom Berliner Datenschutzbeauftragten beanstandet wird, dass er in seinem Blog die Identität der kommentierenden Nutzer überprüft und insoweit Daten erhebt(IP- und E-Mail-Adresse).

Ob Niggemeier den richtigen Ansatz gewählt hat, möchte ich bezweifeln, auch wenn sein Ärger verständlich ist. Denn die Ursache seines Dilemmas ist eine falsche Entscheidung des Landgerichts Hamburg und nicht das so oft gescholtene Datenschutzrecht. Der Betreiber eines Weblogs muss die Kommentare Dritter in seinem Blog nicht laufend überprüfen. Eine Handlungspflicht besteht frühestens ab dem Zeitpunkt, in dem der Blogger von einem Rechtsverstoß in Kenntnis gesetzt wird. Dass das einige Instanzgerichte immer noch nicht begriffen haben, ist bedauerlich und trägt zur Rechtsunsicherheit bei, kann aber kaum dem Datenschutzrecht angelastet werden.

Die Ausführungen des Berliner Datenschutzbeauftragten sind rechtlich auch keineswegs unzutreffend. Ein Diensteanbieter darf personenbezogene Daten eines Nutzers nach § 14 TMG nur erheben und verwenden, wenn das für die Begründung, Ausgestaltung oder Änderung des Vertragsverhältnisses mit dem Nutzer erforderlich ist. Aber das wird auf denjenigen, der nur einen Kommentar hinterlassen will, schwerlich zutreffen. Das Datenschutzrecht geht vom Grundsatz der Datensparsamkeit aus und dafür gibt es gerade im Netz sehr viele gute Gründe.

Das populäre Datenschutz-Bashing ist in diesem Fall nicht angebracht.

BDSG-Novellle soll vom Bundestag beschlossen werden

Beim Streit um die Abschaffung des sog. Listenprivilegs haben sich die Lobbyisten der Werbewirtschaft letztlich durchgesetzt, nachdem für den Fall der Abschaffung des Listenprivilegs wieder einmal der Untergang des Abendlandes beschworen wurde. Die Abstimmung im Bundestag soll am morgigen 03.07.09 stattfinden.

Das Listenprivileg des § 28 III Nr. 3 BDSG besagt, dass listenmäßig zusammengefasste Daten über Angehörige einer Personengruppe, die sich auf eine Angabe über die Zugehörigkeit des Betroffenen zu dieser Personengruppe, auf die Berufs-, Branchen- oder Geschäftsbezeichnung, Namen, Titel, akademische Grade, Anschrift und Geburtsjahr beschränken, auch ohne Zustimmung des Betroffenen übermittelt werden dürfen, wenn dabei kein überwiegendes schutzwürdiges Interesse des Betroffenen verletzt wird.

Die eigentlich naheliegende Forderung, dass jegliche Nutzung personenbezogener Daten zu Werbzwecken einer Zustimmung des Betroffenen bedarf, konnte sich somit nach langem Streit nicht durchsetzen.

BGH: Bewertungsportal "spickmich.de" ist zulässig

Der BGH hat mit Urteil vom 23. Juni 2009 (VI ZR 196/08) die Revision gegen ein Urteil des OLG Köln zurückgewiesen und die grundsätzliche Zulässigkeit der Bewertung von Lehrern über das Internet bestätigt. Ein Sieg der Meinungsfreiheit.
Quelle: Pressemitteulung des BGH vom 23.06.09

BGH verhandelt heute "spickmich.de"

Der Bundesgerichtshof (Az.: VI ZR 196/08) verhandelt heute die Revision gegen eine Entscheidung des OLG Köln, in der es um die Zulässigkeit des Portals "spickmich.de" geht, auf dem Lehrer (durch Schüler) bewertet und benotet werden. Das OLG Köln hat diese Form der öffentlichen Bewertung im Netz für zulässig erachtet.

Kläger ist der Philologenverband des Landes NRW. Es ist bezeichnend, dass gerade die Berufsgruppe, die täglich Menschen benotet und bewertet offenbar selbt nicht damit zu Recht kommt, von anderen bewertet zu werden.

Es wird erwartet, dass der BGH grundsätzliche Ausführungen zum Spannungsverhältnis von Persönlichkeitsschutz und öffentlicher Bewertung von Personen im Internet macht. Auch datenschutzrechtliche Aspekte werden wohl thematisiert werden.
Quelle: Pressemitteilung des BGH 60/2009

Keine wirksame Einwilligung in Telefonwerbung durch allgemein gehaltene Klausel

Das OLG Köln (Urteil vom 29.04.2009 - 6 U 218/08) hat sich mit der Frage befasst unter welchen Voraussetzungen eine datenschutzrechtliche Einwilligungserklärung in Telefon- und E-Mail-Werbung der Inhaltskontrolle des AGB-Rechts standhält.

Zumindest eine allgemein gehalte Klausel, die die Bewerbung aller möglichen Waren und Dienstleistungen durch einen nicht überschaubaren Kreis von Unternehmen ermöglicht, ist nach Auffassung des Oberlandesgerichts zu beanstanden.
Quelle: justiz.nrw.de

Google Street View: Hamburger Datenschutzbeauftragter bereitet Löschungsanordnung vor

Der Streit um Google Street View scheint zu eskalieren. Der hanseatische Datenschutzbeauftragte teilt in einer Presseerklärung mit, Google würde sich weiterhin weigern, KFZ-Kennzeichen und Gesichter von Personen auch in den Rohdaten unkenntlich zu machen.

Der Datenschutzbeauftragte Caspar bereitet deshalb eine Löschungsanordung gegen Google auf Grundlage des Bundesdatenschutzgesetzes vor. Caspar ermunterte außerdem die zuständigen Landesbehörden zu prüfen, ob die rechtswidrigen Kamerafahrten künftig untersagt werden müssen.

Empfehlungen der Kommission zur RFID-Technologie

Die EU Kommission hat zu dem Themenbereich RFID und Datenschutz eine Empfehlung an die Mitgliedsstaaten ausgesprochen.

Danach soll bei der Verwendung von RFID-Chips ein striktes Opt-In-Verfahren gelten, um den Schutz der Privatsphäre zu gewährleisten. Die Grundsätze der Kommission lauten:

- Den Verbrauchern sollte bekannt sein, welche Artikel in den Geschäften mit RFID-Chips ausgestattet sind. Beim Kauf solcher Artikel sollten die Chips noch im Geschäft automatisch, umgehend und kostenfrei deaktiviert werden, es sei denn, sie sollen auf ausdrücklichen Wunsch des Käufers entsprechend dem Opt-in-Prinzip funktionsfähig bleiben. Ausnahmen sind zulässig, etwa um unnötige Belastungen der Einzelhändler zu vermeiden, wenngleich zuvor mögliche Beeinträchtigungen der Privatsphäre zu untersuchen sind.

- Unternehmen und Behörden, die RFID-Chips verwenden, sollten den Verbrauchern einfache und klare Informationen bereitstellen, damit sie verstehen, wann welche personenbezogenen Daten (z. B. Name, Adresse, Geburtsdatum) zu welchem Zweck verwendet werden. Zudem sollten die Geräte, mit denen die Daten aus den RFID-Chips ausgelesen werden, klar gekennzeichnet sowie Anlaufstellen genannt werden, bei denen die Bürger nähere Informationen erhalten können.

- Einzelhandelsverbände und -organisationen sollten die Verbraucher durch ein europaweit einheitliches Zeichen über die Präsenz von RFID-Chips an Produkten informieren.

- Unternehmen und Behörden sollten vor der Verwendung von RFID-Chips Folgenabschätzungen zum Datenschutz durchführen. Diese werden von den nationalen Datenschutzbehörden überprüft und sollen die Sicherheit und den Schutz personenbezogener Daten gewährleisten.
Quelle: Pressemitteilung der Kommission vom 12.05.09

Bewusstseinswandel beim Datenschutz

Eine neue Studie von TNS-Infratest, die am 30.01.09 vorgestellt wurde, hat einen Bewusstseinswandel der Internetnutzer beim Datenschutz in Richtung einer größeren Freizügigkeit im Umgang mit persönlichen Daten festgestellt.

Das ist wenig erstaunlich, zumal wenn ich lese, dass diese Studie von Microsoft in Auftrag gegeben worden ist. Denn die sind ja bekanntlich beim Datenschutz ganz weit vorn. ;-)

Quelle: magnus.de

Heute ist Datenschutztag

Zum dritten Mal findet heute der Europäische Datenschutztag statt, in Berlin mit einer zentralen Veranstaltung der Datenschutzbeauftragten von Bund und Ländern. Kernpunkt ist diesmal die Frage "Wieviel darf mein Arbeitgeber über mich wissen?"

Suchmaschinen müssen sich an Vorgaben des Datenschutzes anpassen

Die sog. Art29-Gruppe der Datenschutzbeauftragten der EU hat nach einem zweitägigen Meeting für April 2009 einen Report zu Suchmaschinen, speziell zur Dauer der Speicherung von Suchanfragen, angekündigt.

Wie die Herald Tribune berichtet, besteht unter den Datenschützern Konsens, dass von Google und Co. Änderungen und Anpassungen gefordert werden sollen, damit die Einhaltung der Vorgaben des europäischen Datenschutzes gewährleistet ist.
Quelle: European privacy advocates to issue report in April (Herald Tribune vom 20.01.2009)