Internet-Law

Unter dem Titel „Die naive Datenkuh“ – die Autorin meint damit den naiven Verbraucher und keinesfalls sich selbst – wird im Tagesspiegel wieder einmal über datenhungrige Unternehmen berichtet und über Nutzer, die diesen Hunger allzu leichtfertig bedienen.

Natürlich darf in diesem Kontext in diesen Tagen auch ein Hinweis auf das Buch „Die Datenfresser“ von Constanze Kurz und Frank Rieger nicht fehlen. Der Artikel selbst ist inhaltlich kaum der Rede Wert, überrascht aber schließlich mit einem interessanten Vorschlag in Richtung des Gesetzgebers. Die Autorin fordert nämlich ein Auskunftsrecht per Gesetz, mit dem jeder bei einem Unternehmen abfragen kann, welche persönlichen Daten zu seiner Person gespeichert sind.

Vielleicht wird es den einen oder anderen überraschen, aber dieses Auskunftsrecht gibt es längst. Geregelt ist es in § 34 BDSG. Ein Mindestmaß an journalistischer Recherche wäre gelegentlich wirklich von Vorteil.

Im Netzpolitik-Blog der Grünen ist gerade ein Beitrag von Konstantin v. Notz und Nils Leopold zur Debatte um Datenschutz, Privatsphäre und Post-Privacy erschienen.

Auch wenn der Beitrag zutreffend erkennt, dass das geltende Datenschutzrecht den Anforderungen des Internets nicht gewachsen ist, verfängt er sich, was die Lösungsmöglichkeiten angeht, allzu sehr in dem Datenschutzgeblubber, das man von professionellen Datenschützern zu oft hört und vermeidet es,  die wirklichen Knackpunkte überhaupt anzusprechen.

Die These, wonach es keinen Anlass zu einer pauschalen Absenkung der Datenschutzstandards mit Blick auf das Internet gibt, wird leider nicht untermauert. Eine realistische Betrachtung müsste nämlich die Frage stellen, wie beispielsweise Phänomene wie Cloud Computing und streng genommen das gesamte Massenhosting , ohne Absenkung des gesetzlichen Datenschutzniveaus, mit dem geltenden Recht in Einklang zu bringen sind. Ähnliche Fragen stellen sich bei den Themen Tracking oder Geolocation. Auch gängige Werbeformen wie Partnerprogramme oder Affiliate-Marketing sind streng genommen nicht datenschutzkonform.

Meine These lautet daher, dass die Nutzung von Internet und Mobilfunk in der Art und Weise wie sie die meisten von uns praktizieren, mit dem geltenden Datenschutzrecht nicht in Einklang steht und ohne Absenkung bzw. Modifikation des Datenschutzniveaus auch nicht in Einklang zu bringen ist.

Die aktuelle Krise des Datenschutzes, die auch von Notz und Leopold ansprechen, hat seine Ursache gerade darin, dass das Netz nur deshalb funktioniert, weil deutsche und europäische Vorgaben des Datenschutzes nicht eingehalten werden. Das geltende Datenschutzrecht funktioniert im Netz nicht und das Netz funktioniert nur deshalb, weil es das europäische Datenschutzrecht vielfach ignoriert. The Net routes around it. Dieses Datenschutzdilemma gilt es endlich aufzuzeigen und offen zu diskutieren.

Der richtige Ansatz kann deshalb nur darin bestehen, alles auf den Prüfstand zu stellen. Das bedeutet, dass man auch eine Absenkung des Datenschutzniveaus und eine punktuelle Preisgabe bisheriger Positionen in Betracht ziehen muss. Nur mit einem solchen Ansatz kann es uns gelingen, auch in Zukunft einen gewissen Datenschutz zu gewährleisten, der dann auch tatsächlich umgesetzt wird. Das würde nämlich – zwar nicht in normativer, allerdings in faktischer Hinsicht – sogar zu einer Verbesserung Datenschutzniveaus führen.

Es wird außerdem auf Dauer auch im Datenschutz keinen europäischen Sonderweg geben, sofern wir auch in Zukunft das Internet so nutzen wollen, wie wir es bisher tun und wie es die Amerikaner sicherlich auch weiterhin tun werden.

Der Europäische Gerichtshof hat im letzten Jahr entschieden, dass die deutschen Aufsichtsbehörden für die Überwachung des Datenschutzes im nichtöffentlichen Bereich nicht mehr staatlicher Aufsicht unterstellt sein dürfen.

Das betrifft u.a. die bayerische Datenschutzaufsicht, die für den öffentlichen Bereich (Behörden, staatliche Stellen) dem Landesbeauftragten für den Datenschutz unterliegt und im nichtöffentlichen Bereich (Unternehmen, Vereine, Verbände) bislang beim Landesamt für Datenschutzaufsicht angesiedelt war. Das Landesamt war bis dato Teil der Regierung von Mittelfranken und unterstand damit der Aufsicht und der Weisung der Staatsregierung.

Mit Wirkung zum 01.05.2011 wird das Landesamt in eine selbständige Landeszentralbehörde umorganisiert, die keinerlei staatlicher Aufsicht unterliegen und künftig auch haushaltsrechtlich selbständig geführt werden soll. So heißt es zumindest in einer Pressemitteilung des bayerischen Innenministeriums.

Der Forderung der Opposition, die Datenschutzaufsicht für den öffentlichen und nichtöffentlichen Bereich – wie in anderen Bundesländern – zusammenzufassen und insgesamt beim Landesdatenschutzbeauftragten anzusiedeln, will die Landesregierung nicht nachkommen. Obwohl dies sicherlich in sachlicher Hinsicht die richtige Maßnahme wäre.

Der alle zwei Jahre erscheinende Tätigkeitsbericht des Bundesdatenschutzbeauftragten ist heute veröffentlicht worden. Das mehr als 200 Seiten starke Papier beschäftigt sich mit einer ganzen Fülle von Fragen. Zwei Themen, die im Netz viel diskutiert werden, habe ich mir näher angeschaut, nämlich das Cloud Computing und die Qualifizierung von IP-Adressen.

Cloud Computing wird von Peter Schaar als Auftragsdatenverarbeitung nach § 11 BDSG betrachtet und ist nach der Ansicht Schaars  in seiner Reinform – als ein offenes, globales Modell – mit dem geltenden Datenschutzrecht schwer in Einklang zu bringen. Unabhängig davon, sind die Anforderungen des § 11 BDSG, der eine schriftliche Vereinbarung über die Auftragsdatenverarbeitung und die Einhaltung der dort genannten strengen Voraussetzungen erfordert, zumindest im Massengeschäft kaum zu erfüllen. Oder um es deutlicher zu sagen: Cloud Computing geht nach unserem Datenschutzrecht eigentlich nicht. Nachdem manche Landesdatenschutzbehörden auch das Hosting als Fall des § 11 BDSG betrachten, wäre auch dieses Massengeschäft foglich datenschutzwidrig. Siehe hierzu auch meinen Beitrag „Das Datenschutzproblem„.

Der Bundesdatenschutzbeauftragte befasst sich auch mit der Kontroverse um den Personenbezug von IP-Adressen. Schaar räumt zumindest ein, dass die durchgehende und absolute Qualifizierung von IP-Adressen als personenbezogene Daten nicht einhellige Ansicht ist. Er weist darauf hin, dass das BMI und das BSI IP-Adressen dann nicht als personenbezogen betrachten, wenn sie beim Anbieter einer Website als Nutzungsdaten anfallen. Nach dieser Ansicht dürfen sie deshalb dort beliebig lange gespeichert und sowohl für Statistik- als auch für Datensicherheitszwecke verwendet werden.

Das wird auch von einigen Gerichten so gesehen. An dieser Stelle muss man natürlich berücksichtigen, dass speziell das BMI ein Interesse an dieser Rechtsauslegung hat, weil damit natürlich auch eine Vorratsdatenspeicherung ein Stück weit überflüssig wird. Daten die unbeschränkt lang in zulässiger Weise gespeichert werden, stehen damit natürlich auch für einen Zugriff von Polizei- und Sicherheitsbehörden grundsätzlich zur Verfügung.

Erst gestern habe ich hier über die Schieflage des geltenden Datenschutzrechts geschrieben. Heute berichtet der Kollege Jens Ferner über einen Gesetzesantrag der hessischen Landesregierung, der über den Bundesrat eingebracht werden soll. Der Gesetzesentwurf sieht die Änderungen der datenschutzrechtlichen Vorschriften des Telemediengesetzes vor. Der Vorschlag zielt auf soziale Netzwerke und Internetforen ab.

Neu eingefügt werden soll der Begriff des Nutzerkontos in § 2 Nr. 4 TMG. Unabhängig davon, worauf die Regelung abzielt, ist der Gesetzeswortlaut so formuliert, dass jegliches Nutzerkonto bei einem registrierungspflichtigen Dienst umfasst ist. Betroffen sind damit soziale Medien, Online-Shops und Dienstleister aller Art ebenso wie Blogs und Diskussionsforen, die für die Kommentierung eine Registrierung verlangen.

Daran schließen sich dann neue Belehrungs- und Verhaltenspflichten der Diensteanbieter an, die durch eine Ausweitung von § 13 TMG erreicht werden sollen sowie eine Neuregelung in § 13a TMG für Dienste mit nutzergeneriertem Content. Der Kollege Jens Ferner hat eine Reihe von Kritikpunkten bereits genannt.

Die Sinnhaftigkeit von Regelungen wie des geplanten § 13a Abs. 1 S. 1 TMG muss man ernsthaft in Frage stellen. Dort soll folgendes geregelt werden:

„Soweit der Diensteanbieter dem Nutzer die Möglichkeit bietet, den Telemediendienst durch eigene Inhalte mit personenbezogenen Daten zu erstellen und zu gestalten und diese Inhalte anderen Nutzern zugänglich zu machen (Telemediendienst mit nutzergenerierten Inhalten), hat der Diensteanbieter die Sicherheitseinstellungen auf der höchsten Sicherheitsstufe, die dieser Telemediendienst zum Schutz der Privatsphäre bietet, voreinzustellen.“

Die Regelung ist nicht geeignet, ein einheitliches Schutzniveau zu etablieren, sondern regelt nur dass die „höchste Sicherheitsstufe“ – die damit beliebig ausgestaltet sein kann – per Default eingestellt sein muss.

§ 13a Abs. 2 S. 3 TMG, wonach dem Nutzer die Möglichkeit geboten werden muss, die Aufnahme der von ihm erstellten Inhalte in externe Suchmaschinen – also primär Google – zu unterbinden, dürfte Blogger und Betreiber von Meinungsforen vor Probleme stellen. Hier könnte dann evtl. Satz 4 wieder helfen, der anordnet, dass Satz 3 nicht gelten soll, wenn der Zweck des Telemediendienstes bei objektiver Betrachtung die Auffindbarkeit oder Auslesbarkeit von Inhalten mittels externer Suchmaschinen umfasst. Das legt zumindest die Begründung nahe, die davon spricht, das Satz 4 „z. B. Diensteanbieter von Diskussionsforen und Blogs wie Twitter“ betrifft. Dass Twitter ein Blog ist, war mir allerdings neu.

Diskussionsbedürftig erscheint auch die Regelung in § 13a Abs. 2:

Der Diensteanbieter des Telemediendienstes mit nutzergenerierten Inhalten hat den Nutzer

1. über mögliche Risiken für personenbezogene Daten und damit verbundene Beeinträchtigungen seiner Persönlichkeitsrechte und

2. darüber, dass durch das Zugänglichmachen von personenbezogenen Daten, insbesondere von Foto-, Video-, Ton- oder Textinhalten, weder die Persönlichkeitsrechte noch sonstige Rechte einer anderen natürlichen Person verletzt werden dürfen,

in für den Nutzer verständlicher Form, leicht erkennbar, unmittelbar erreichbar und ständig verfügbar zu unterrichten.

Über welche konkreten Risiken für personenbezogene Daten – gibt es überhaupt Risiken für personenbezogene Daten? – aufgeklärt und unterrichtet werden soll und in welchem Umfang, besagt der Gesetzesvorschlag nämlich nicht. Rechtsunsicherheit ist damit vorprogrammiert.

Dass die Nichtbeachtung dieser reichlich diffusen Vorschläge natürlich wettbewerbsrechtliche Abmahnungen nach sich ziehen kann – auch wenn manche Gerichte datenschutzrechtliche Vorschriften bislang nicht als Marktverhaltensregeln im Sinne des UWG betrachten – sollte man ebenfalls im Auge haben.

Dieser Vorschlag schafft Rechtsunsicherheit und die Notwendigkeit, die Datenschutzerklärungen – die heute schon kaum jemand liest – aufzublähen.

Die sehr instruktiven Vorträge auf dem heutigen LawCamp zum Datenschutz haben mir erneut vor Augen geführt, woraus das fortwährende Spannungsverhältnis zwischen Internetkommunikation einerseits und dem geltenden Datenschutzrecht – nach Lesart der Datenschutzbehörden – resultiert.

Das heutige Datenschutzrecht fußt, trotz zahlreicher Änderungen, letztlich auf Vorstellungen aus den 70’er und 80’er Jahren, die von Großrechnern in Rechenzentren geprägt sind. Heute geht es allerdings um die zeitgemäße Nutzung des Internets, die u.a. durch Social Media, durch Affiliate-Programme und Cloud-Computing bestimmt wird. Darauf sind die Vorschriften des BDSG nicht ausgerichtet, weshalb sie auch keine Antworten auf die hieraus resultierenden Fragestellungen bieten. Würde man das geltende Datenschutzrecht tatsächlich eng und konsequent anwenden, dann müsste Deutschland offline gehen. Würde man das Massenhosting den Anforderungen der Auftragsdatenverarbeitung nach § 11 BDSG unterwerfen, wie einige Datenschutzbehörden meinen, und jede Datenübermittlung an die USA tendenziell als Rechtsverstoß betrachten, wie der Düsseldorfer Kreis meint, dann würde es in Deutschland keine Websites mehr geben und Google und Facebook wären nicht verfügbar.

Wenn die Vertreterin des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) Ninja Marnau auf die Frage, ob Sie denn eine datenschutzkonforme Lösung für das Cloud Computing darstellen könne, ernsthaft antwortet, man würde daran arbeiten, was allerdings noch ca. drei Jahre dauert, dann ist damit eigentlich alles gesagt. Die Datenschützer haben keine Antwort auf die Frage, wie man das Internet tatsächlich zeitgemäß und datenschutzkonform nutzen kann. Sie scheitern zudem an ihren eigenen hohen Maßstäben, was die Inkonsequenz ihrer eigenen Positionen unterstreicht.

Man wird früher oder später an einem Reality-Check nicht vorbeikommen. Wollen wir eine konsequente Beibehaltung des bisherigen Datenschutzrechts und -niveaus oder wollen wir das Internet zeitgemäß nutzen? Beides gleichzeitig ist nicht denkbar, was offenbar aber noch nicht alle verstanden haben. Die derzeitige Situation ist dadurch gekennzeichnet, dass das Datenschutzrecht nicht fit für das Internetzeitalter ist und viele real existierenden Dienste, die von Millionen Bürgern und Unternehmen genutzt werden, nicht datenschutzkonform sind. Jedenfalls nicht, wenn man das Verständnis der berufsmäßigen Datenschützer zugrunde legt.

Das führt zur Entstehung von Post-Privacy-Bewegungen, die weit über das Ziel hinaus schießen, aber letztlich zu Recht den derzeitigen Zustand beklagen. Wir können uns also weiterhin etwas vormachen oder endlich eine offene Bestandsaufnahme durchführen.

Wie Spiegel Online berichtet, hat die EU-Kommission schwere Fehler bei der Umsetzung des Swift-Abkommens eingeräumt. Die USA speichern offenbar Daten europäischer Bankkunden auf Vorrat und verschweigen die Zahl der Zugriffe. Dass eine unkontrollierte Datenübermittlung an die USA stattfindet, ergab sich schon aus einem Bericht von Europol vom 01.03.2011.

Diese Erkenntnis ist freilich wenig überraschend, weil genau diese Entwicklung im Swift-Abkommen selbst so angelegt ist. Wer den US-Behörden faktisch unkontrollierten Zugriff auf Bankdaten europäischer Bürger einräumt, muss sich anschließend nicht darüber wundern, dass die Amerikaner davon exzessiv Gebrauch machen. Manchmal fragt man sich ganz ernsthaft, ob die Mitglieder der EU-Kommission und der Parlamentsmehrheit tatsächlich so naiv sind oder nur so tun.

Der Abgeordenete Alexander Alvaro (FDP), der jetzt so vehement die Aussetzung des SWIFT-Abkommens fordert, hatte dem Abkommen zuvor im Europarlament zugestimmt und damit genau den Zustand herbeigeführt, den er jetzt beklagt.

Der Bundesdatenschutzbeauftragte Peter Schaar hat letzten Freitag ein neues Programm namens Prividor vorgestellt, das Datenschutzverletzungen auf Websites aufspüren soll, u.a. den Einsatz von Tracking-Tools. Das impliziert die Behauptung, Tracking würde eine Datenschutzverletzung darstellen und wirft die Frage auf, ob das was Schaar vorhat, nicht ebenfalls Tracking ist.

Die deutschen Datenschutzbehörden haben sich in letzter Zeit bereits mehrfach als Steinewerfer im Glashaus entpuppt, die nicht in der Lage sind, ihre eigenen hochgesteckten Standards einzuhalten.

Bevor die Datenschutzbeauftragten von Bund und Ländern in einem rechtlichen Graubereich Fakten schaffen – Tracking ist nämlich keineswegs unstreitig und in jedem Fall datenschutzwidrig – wäre der (europäische) Gesetzgeber gut beraten, klare Regelungen zu schaffen und den Irrweg, den er mit der „Cookie-Richtlinie“ beschritten hat, wieder zu verlassen. Ein gewisse Entspannung würde dem Datenschutzrecht gut tun und könnte dazu führen, dass die Regelungen endlich auch in der Praxis funktionieren.

Die EU-Kommission will Fluggesellschaften verpflichten, die bei jeder Flugbuchung erfassten Fluggastdaten verdachtsunabhängig an Behörden der Mitgliedstaaten weiterzuleiten. Betroffen davon sind alle Flüge die zwischen einem Drittland und mindestens einem Mitgliedstaat der EU stattfinden, also Flüge in den EU-Raum oder aus dem EU-Raum.

Die geplante Richtlinie stellt wiederum eine Form der Vorratsdatenspeicherung dar und ist heftig umstritten. Nach der Kritik des Bundesrates hat jetzt das Centrum für Europäische Politik (CEP) den Richtlinenentwurf analysiert und kommt zu dem Schluss, dass die Richtlinie gegen das europäische Grundrecht auf Datenschutz verstoßen würde und als verdachtsunabhängige Rasterfahndung zudem gegen das deutsche Grundrecht auf informationelle Selbstbestimmung. Den Nutzen bewertet das CEP demgegenüber als vernachlässigbar.

Dieser Richtlinienentwurf ist ein weiterer Beleg dafür, in welch bedenklicher Art und Weise die EU-Kommission den Abbau von Grund- und Bürgerrechten vorantreibt.

Mit arbeitsrechtlichen Fragen beschäftigte ich mich hier ja eher selten, aber das Bundearbeitsgericht hat gestern eine höchst interessante Entscheidung (Urteil vom 23. März 2011, Az.: 10 AZR 562/09) mit datenschutzrechtlicher Komponente verkündet, die berichtenswert ist.

Das BAG geht davon aus, dass die Bestellung zum betrieblichen Datenschutzbeauftragten nach § 4 f Abs. 3 Satz 4 BDSG in entsprechender Anwendung von § 626 BGB aus wichtigem Grund widerrufen werden kann. Allerdings stellt nach Ansicht des Gerichts weder die Entscheidung des Arbeitgebers, zukünftig die Aufgaben eines Beauftragten für den Datenschutz durch einen externen Dritten wahrnehmen zu lassen, noch die Mitgliedschaft im Betriebsrat einen solchen wichtigen Grund dar.

Quelle: Pressemitteilung des BAG Nr. 22/11 vom 23.03.2011