Internet-Law

Erst gestern habe ich hier über die Schieflage des geltenden Datenschutzrechts geschrieben. Heute berichtet der Kollege Jens Ferner über einen Gesetzesantrag der hessischen Landesregierung, der über den Bundesrat eingebracht werden soll. Der Gesetzesentwurf sieht die Änderungen der datenschutzrechtlichen Vorschriften des Telemediengesetzes vor. Der Vorschlag zielt auf soziale Netzwerke und Internetforen ab.

Neu eingefügt werden soll der Begriff des Nutzerkontos in § 2 Nr. 4 TMG. Unabhängig davon, worauf die Regelung abzielt, ist der Gesetzeswortlaut so formuliert, dass jegliches Nutzerkonto bei einem registrierungspflichtigen Dienst umfasst ist. Betroffen sind damit soziale Medien, Online-Shops und Dienstleister aller Art ebenso wie Blogs und Diskussionsforen, die für die Kommentierung eine Registrierung verlangen.

Daran schließen sich dann neue Belehrungs- und Verhaltenspflichten der Diensteanbieter an, die durch eine Ausweitung von § 13 TMG erreicht werden sollen sowie eine Neuregelung in § 13a TMG für Dienste mit nutzergeneriertem Content. Der Kollege Jens Ferner hat eine Reihe von Kritikpunkten bereits genannt.

Die Sinnhaftigkeit von Regelungen wie des geplanten § 13a Abs. 1 S. 1 TMG muss man ernsthaft in Frage stellen. Dort soll folgendes geregelt werden:

„Soweit der Diensteanbieter dem Nutzer die Möglichkeit bietet, den Telemediendienst durch eigene Inhalte mit personenbezogenen Daten zu erstellen und zu gestalten und diese Inhalte anderen Nutzern zugänglich zu machen (Telemediendienst mit nutzergenerierten Inhalten), hat der Diensteanbieter die Sicherheitseinstellungen auf der höchsten Sicherheitsstufe, die dieser Telemediendienst zum Schutz der Privatsphäre bietet, voreinzustellen.“

Die Regelung ist nicht geeignet, ein einheitliches Schutzniveau zu etablieren, sondern regelt nur dass die „höchste Sicherheitsstufe“ – die damit beliebig ausgestaltet sein kann – per Default eingestellt sein muss.

§ 13a Abs. 2 S. 3 TMG, wonach dem Nutzer die Möglichkeit geboten werden muss, die Aufnahme der von ihm erstellten Inhalte in externe Suchmaschinen – also primär Google – zu unterbinden, dürfte Blogger und Betreiber von Meinungsforen vor Probleme stellen. Hier könnte dann evtl. Satz 4 wieder helfen, der anordnet, dass Satz 3 nicht gelten soll, wenn der Zweck des Telemediendienstes bei objektiver Betrachtung die Auffindbarkeit oder Auslesbarkeit von Inhalten mittels externer Suchmaschinen umfasst. Das legt zumindest die Begründung nahe, die davon spricht, das Satz 4 „z. B. Diensteanbieter von Diskussionsforen und Blogs wie Twitter“ betrifft. Dass Twitter ein Blog ist, war mir allerdings neu.

Diskussionsbedürftig erscheint auch die Regelung in § 13a Abs. 2:

Der Diensteanbieter des Telemediendienstes mit nutzergenerierten Inhalten hat den Nutzer

1. über mögliche Risiken für personenbezogene Daten und damit verbundene Beeinträchtigungen seiner Persönlichkeitsrechte und

2. darüber, dass durch das Zugänglichmachen von personenbezogenen Daten, insbesondere von Foto-, Video-, Ton- oder Textinhalten, weder die Persönlichkeitsrechte noch sonstige Rechte einer anderen natürlichen Person verletzt werden dürfen,

in für den Nutzer verständlicher Form, leicht erkennbar, unmittelbar erreichbar und ständig verfügbar zu unterrichten.

Über welche konkreten Risiken für personenbezogene Daten – gibt es überhaupt Risiken für personenbezogene Daten? – aufgeklärt und unterrichtet werden soll und in welchem Umfang, besagt der Gesetzesvorschlag nämlich nicht. Rechtsunsicherheit ist damit vorprogrammiert.

Dass die Nichtbeachtung dieser reichlich diffusen Vorschläge natürlich wettbewerbsrechtliche Abmahnungen nach sich ziehen kann – auch wenn manche Gerichte datenschutzrechtliche Vorschriften bislang nicht als Marktverhaltensregeln im Sinne des UWG betrachten – sollte man ebenfalls im Auge haben.

Dieser Vorschlag schafft Rechtsunsicherheit und die Notwendigkeit, die Datenschutzerklärungen – die heute schon kaum jemand liest – aufzublähen.

Die sehr instruktiven Vorträge auf dem heutigen LawCamp zum Datenschutz haben mir erneut vor Augen geführt, woraus das fortwährende Spannungsverhältnis zwischen Internetkommunikation einerseits und dem geltenden Datenschutzrecht – nach Lesart der Datenschutzbehörden – resultiert.

Das heutige Datenschutzrecht fußt, trotz zahlreicher Änderungen, letztlich auf Vorstellungen aus den 70’er und 80’er Jahren, die von Großrechnern in Rechenzentren geprägt sind. Heute geht es allerdings um die zeitgemäße Nutzung des Internets, die u.a. durch Social Media, durch Affiliate-Programme und Cloud-Computing bestimmt wird. Darauf sind die Vorschriften des BDSG nicht ausgerichtet, weshalb sie auch keine Antworten auf die hieraus resultierenden Fragestellungen bieten. Würde man das geltende Datenschutzrecht tatsächlich eng und konsequent anwenden, dann müsste Deutschland offline gehen. Würde man das Massenhosting den Anforderungen der Auftragsdatenverarbeitung nach § 11 BDSG unterwerfen, wie einige Datenschutzbehörden meinen, und jede Datenübermittlung an die USA tendenziell als Rechtsverstoß betrachten, wie der Düsseldorfer Kreis meint, dann würde es in Deutschland keine Websites mehr geben und Google und Facebook wären nicht verfügbar.

Wenn die Vertreterin des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) Ninja Marnau auf die Frage, ob Sie denn eine datenschutzkonforme Lösung für das Cloud Computing darstellen könne, ernsthaft antwortet, man würde daran arbeiten, was allerdings noch ca. drei Jahre dauert, dann ist damit eigentlich alles gesagt. Die Datenschützer haben keine Antwort auf die Frage, wie man das Internet tatsächlich zeitgemäß und datenschutzkonform nutzen kann. Sie scheitern zudem an ihren eigenen hohen Maßstäben, was die Inkonsequenz ihrer eigenen Positionen unterstreicht.

Man wird früher oder später an einem Reality-Check nicht vorbeikommen. Wollen wir eine konsequente Beibehaltung des bisherigen Datenschutzrechts und -niveaus oder wollen wir das Internet zeitgemäß nutzen? Beides gleichzeitig ist nicht denkbar, was offenbar aber noch nicht alle verstanden haben. Die derzeitige Situation ist dadurch gekennzeichnet, dass das Datenschutzrecht nicht fit für das Internetzeitalter ist und viele real existierenden Dienste, die von Millionen Bürgern und Unternehmen genutzt werden, nicht datenschutzkonform sind. Jedenfalls nicht, wenn man das Verständnis der berufsmäßigen Datenschützer zugrunde legt.

Das führt zur Entstehung von Post-Privacy-Bewegungen, die weit über das Ziel hinaus schießen, aber letztlich zu Recht den derzeitigen Zustand beklagen. Wir können uns also weiterhin etwas vormachen oder endlich eine offene Bestandsaufnahme durchführen.

In der aktuellen Ausgabe der juristischen Fachzeitschrift Computer & Recht (CR 2011, 203) ist ein Aufsatz des Informatikers und öffentlich bestellten und vereidigten IT-Sachverständigen Holger Morgenstern mit dem Titel „Zuverlässigkeit von IP-Adressen-Ermittlungssoftware“ erschienen. Der Beitrag befasst sich mit der Frage, wie zuverlässig sog. Anti-Piracy-Software arbeitet bzw. welche technischen Anforderungen an solche Programme zu stellen sind, damit von einem „gerichtsfesten“ digitalen Nachweis gesprochen werden kann.

Der Autor erläutert zunächst allgemein, dass bei elektronischen Beweisen der sog. S-A-P Prozess (Sicherung, Analyse, Präsentation) zu beachten ist. Wichtig sei es insoweit vor allem, die Originaldaten möglichst vollständig und ohne jede Veränderung in einer forensischen Kopie zu speichern und damit jederzeit überprüfbar zu halten. Morgenstern ist der Ansicht, dass die (ihm) bisher bekannt gewordenen Gutachten zur Zuverlässigkeit entsprechender Programme diesen Anforderungen nicht genügen.

Schließlich setzt sich Morgenstern auch mit der sog. Hash-Wert-Methode kritisch auseinander und vertritt insoweit die Auffassung, dass ohne einen kompletten Download der betreffenden Datei nicht zuverlässig festgestellt werden kann, ob die mutmaßliche Datei tatsächlich dem Original entspricht. Der Autor verweist hierzu u.a. darauf, dass auch für aktuelle, verbesserte Hash-Wert-Verfahren zahlreiche praktisch relevante Kollisionen dokumentiert seien.

Der lesenswerte Aufsatz wird nunmehr sicherlich Eingang in anwaltliche Schriftsätze finden und künftig häufig zitiert werden.

Vor dem Hintergrund, dass das OLG Köln unlängst die Ansicht vertreten hat, der als Anschlussinhaber Ermittelte habe die Möglichkeit, die Korrektheit der Ermittlung mit Nichtwissen zu bestreiten, gewinnt der Aufsatz zusätzliche Bedeutung. Die Konsequenz wäre nämlich die, dass der Rechteinhaber die Zuverlässigkeit der von ihm eingesetzten Anti-Piracy-Software konkret darlegen und unter Beweis stellen muss und zwar anhand der Kriterien, die Holger Morgenstein in seinem Aufsatz skizziert. Die meisten Programme die derzeit in der Praxis im Einsatz sind, dürften diesen Anforderungen nicht genügen.

Die Zuverlässigkeit der Ermittlung des Anschlussinhabers sowie die Problematik der Abwehr unberechtigter Abmahnungen habe ich hier schon mehrfach thematisiert. Die meisten Gerichte unterstellen die Zuverlässigkeit der Ermittlung mehr oder minder unkritisch, weshalb es für Betroffene derzeit (noch) kaum möglich ist, sich gegen eine schon aus technischen Gründen unberechtigte Inanspruchnahme zur Wehr zu setzen. Gerichtliche Sachverständigengutachten zu dieser Frage sind mir bislang nicht bekannt, was nicht zuletzt daran liegt, dass die enormen Kosten eines solchen Gutachtens regelmäßig in keinem Verhältnis zur wirtschaftlichen Bedeutung der Streitigkeit stehen.

Wie Spiegel Online berichtet, hat die EU-Kommission schwere Fehler bei der Umsetzung des Swift-Abkommens eingeräumt. Die USA speichern offenbar Daten europäischer Bankkunden auf Vorrat und verschweigen die Zahl der Zugriffe. Dass eine unkontrollierte Datenübermittlung an die USA stattfindet, ergab sich schon aus einem Bericht von Europol vom 01.03.2011.

Diese Erkenntnis ist freilich wenig überraschend, weil genau diese Entwicklung im Swift-Abkommen selbst so angelegt ist. Wer den US-Behörden faktisch unkontrollierten Zugriff auf Bankdaten europäischer Bürger einräumt, muss sich anschließend nicht darüber wundern, dass die Amerikaner davon exzessiv Gebrauch machen. Manchmal fragt man sich ganz ernsthaft, ob die Mitglieder der EU-Kommission und der Parlamentsmehrheit tatsächlich so naiv sind oder nur so tun.

Der Abgeordenete Alexander Alvaro (FDP), der jetzt so vehement die Aussetzung des SWIFT-Abkommens fordert, hatte dem Abkommen zuvor im Europarlament zugestimmt und damit genau den Zustand herbeigeführt, den er jetzt beklagt.

Die Bundesregierung plant offenbar nach britischem (Three Strikes-Out) und französischem (Hadopi) Vorbild, einen Mechanismus zu etablieren, der Zugangsprovider dazu verpflichtet, im Falle von Urheberrechtsverletzungen auf Geheiß von Rechteinhabern Warnhinweise an ihre Kunden zu verschicken.

Das Bundesministerium für Wirtschaft und Technologie (BMWi) hat einen Dienstleistungsauftrag über eine „Vergleichende Studie über Modelle zur Versendung von Warnhinweisen durch Internet-Zugangsanbieter an Nutzer bei Urheberrechtsverletzungen“ ausgeschrieben.

Der BGH hat mit Urteil vom 29. März 2011 (Az.: VI ZR 111/10) entschieden, dass bei Persönlichkeitsrechtsverletzungen ein deutlicher Inlandsbezug bestehen muss, damit ein Gerichtsstand in Deutschland gegeben ist. Weder der Standort des Servers in Deutschland noch ein deutscher Wohnsitz des Klägers stellen nach Ansicht des BGH einen ausreichenden Anknüpfungspunkt für die Begründung eines inländischen Gerichtsstands dar.

Im konkreten Fall ging es darum, dass ein Bekannter des Klägers von den USA aus einen in russischer Sprache und kyrillischer Schrift abgefassten Bericht veröffentlicht hat, in dem sich der Beklagte u. a. über die Lebensumstände und das äußere Erscheinungsbild des Klägers geäußert hat.

Der u.a. für das Urheberrecht zuständige 6. Zivilsenat des Oberlandesgerichts Köln lässt mit einer neuen Entscheidung (Beschluss vom 24.03.2011, Az.: 6 W 42/11) aufhorchen, auch wenn es zunächst nur um die Frage der Gewährung von Prozesskostenhilfe geht.

In der Sache ist die Beklagte als Inhaberin eines Internetanschlusses wegen der öffentlichen Zugänglichmachung eines Computerspiels über ein P2P-Netzwerk auf Unterlassung, Schadensersatz und Erstattung von Anwaltskosten in Anspruch genommen worden. Die Beklagte hat sich damit verteidigt, sie selbst habe das Filesharing nicht betrieben und ihr zwischenzeitlich verstorbener Ehemann hätte den Anschluss ebenfalls genutzt. Sie gibt außerdem an, sie habe die Frage der Rechtsverletzung mit ihrem Mann vor seinem Tod nicht mehr besprechen können.

Das OLG Köln führt nunmehr – im Gegensatz zur bisherigen Rechtsprechung des Landgerichts Köln – aus, dass die Rechtsverteidigung der Beklagten Aussicht auf Erfolg hat und Prozesskostenhilfe zu gewähren ist. Die Begründung des Oberlandesgerichts ist aus mehreren Gründen bemerkenswert.

Das Gericht nimmt zunächst an, dass die vom BGH postulierte Vermutung, wonach der Anschlussinhaber auch der Rechtsverletzer sei, bereits dann als widerlegt anzusehen ist, wenn dargelegt werden kann, dass auch der Ehemann den Internetanschluss nutzt, weil es damit ernsthaft möglich erscheint, dass der Ehemann die Rechtsverletzung begangen hat. Damit scheidet eine Haftung als Täter aus.

Außerdem führt das OLG Köln aus, dass der als Störer in Anspruch genommene erfolgreich mit Nichtwissen bestreiten kann, dass seine Ermittlung als Anschlussinhaber über die Zuordnung einer IP-Adresse korrekt war. Insoweit scheint der Senat dazu zu tendieren, dass der Rechteinhaber die Richtigkeit seiner Ermittlung grundsätzlich unter Beweis stellen muss und insoweit auch den Feststellungen im Rahmen des Auskunftsverfahrens nach § 101 UrhG keine indizielle Wirkung zukommt.

Der Senat bezeifelt schließlich, ob eine Störerhaftung überhaupt in Betracht kommt, weil bisher ungeklärt sei, ob auch Ehegatten verpflichtet werden können, ihr Internetnutzungsverhalten gegenseitig zu kontrollieren.

Schließlich weist das OLG auch darauf hin, dass nach wie vor ungeklärt sei, ob der Anspruch auf Erstattung von Anwaltskosten in solchen Fällen nach § 97a Abs. 2 UrhG auf EUR 100,- gedeckelt sei.

Es handelt sich, wie gesagt, nicht um eine abschließende Sachentscheidung. Das Gericht hatte zunächst nur die Frage zu klären, ob für die Gewährung von Prozesskostenhilfe hinreichende Erfolgsaussichten bestehen. Das hat das OLG bejaht.

Das eigentliche Klageverfahren wird nunmehr bei der 28. Zivilkammer des Landgerichts Köln fortgesetzt. Insoweit ist äußerst spannend, inwieweit das Landgericht wegen des Beschlusses des OLG seine bisherige Rechtsprechung ändern wird. Gegebenfalls wird das Oberlandesgericht im Wege der Berufung in diesem Verfahren auch noch zur Sache entscheiden müssen.

Ob sich hiermit eine Wende in der Rechtsprechung anbahnt, bleibt abzuwarten. Dass die Annahme einer Mithaftung des Anschlussinhabers für das Nutzungsverhalten von Ehegatten und Familienangehörigen bereits nach der Störerdogmatik des BGH als zweifelhaft zu betrachten ist, habe ich schon mehrfach dargelegt. Viele Gerichte haben das bislang allerdings anders gesehen.

Aber bereits die Prämisse des BGH, es würde eine Vermutung dahingehend bestehen, dass der Anschlussinhaber auch Rechtsverletzer sei, begegnet aus tatsächlichen Gründen durchgreifenden Bedenken. In einem deutschen Haushalt leben statistisch gesehen 2,04 Personen. Das bedeutet, dass die Wahrscheinlichkeit mit einer Abmahnung eines privaten Anschlussinhabers auch den tatsächlichen Rechtsverletzer in Anspruch zu nehmen, weniger als 50 % beträgt. Nimmt man die geschäftlich genutzten Internetanschlüsse hinzu, ergibt sich eine noch niedrigere Quote, da dort im Durchschnitt mehrere berechtigte Nutzer auf das Internet zugreifen.

Damit stellt sich letztlich auch die verfassungsrechtlich nicht ganz uninteressante Frage, ob es zum Schutz eines Rechteinhabers gerechtfertigt ist, Personen als Störer in Anspruch zu nehmen, von denen in statistischer Hinsicht bereits feststeht, dass sie in mindestens jedem zweiten Fall nicht Rechtsverletzer sind. Damit wird nämlich ebenfalls in erheblichem Umfang in fremde Rechtsposition eingegriffen. Der Schutz der Inhaber von urheberrechtlichen Nutzungsrechten geht letztlich so weit, dass es die Gerichte billigend in Kauf nehmen, in großem Umfang Nichtverletzer in Anspruch zu nehmen, womit wiederum in deren geschützte Rechtspositionen eingegriffen wird.  Ob dieses Endergebnis aber tatsächlich von unserer Rechtsordnung gebilligt wird, muss zur Diskussion gestellt werden. Die Gerichte werden sich stärker mit der Tragweite ihrer Entscheidungen in solchen Fällen befassen müssen.

Der Bundesdatenschutzbeauftragte Peter Schaar hat letzten Freitag ein neues Programm namens Prividor vorgestellt, das Datenschutzverletzungen auf Websites aufspüren soll, u.a. den Einsatz von Tracking-Tools. Das impliziert die Behauptung, Tracking würde eine Datenschutzverletzung darstellen und wirft die Frage auf, ob das was Schaar vorhat, nicht ebenfalls Tracking ist.

Die deutschen Datenschutzbehörden haben sich in letzter Zeit bereits mehrfach als Steinewerfer im Glashaus entpuppt, die nicht in der Lage sind, ihre eigenen hochgesteckten Standards einzuhalten.

Bevor die Datenschutzbeauftragten von Bund und Ländern in einem rechtlichen Graubereich Fakten schaffen – Tracking ist nämlich keineswegs unstreitig und in jedem Fall datenschutzwidrig – wäre der (europäische) Gesetzgeber gut beraten, klare Regelungen zu schaffen und den Irrweg, den er mit der „Cookie-Richtlinie“ beschritten hat, wieder zu verlassen. Ein gewisse Entspannung würde dem Datenschutzrecht gut tun und könnte dazu führen, dass die Regelungen endlich auch in der Praxis funktionieren.

Die EU-Kommission will Fluggesellschaften verpflichten, die bei jeder Flugbuchung erfassten Fluggastdaten verdachtsunabhängig an Behörden der Mitgliedstaaten weiterzuleiten. Betroffen davon sind alle Flüge die zwischen einem Drittland und mindestens einem Mitgliedstaat der EU stattfinden, also Flüge in den EU-Raum oder aus dem EU-Raum.

Die geplante Richtlinie stellt wiederum eine Form der Vorratsdatenspeicherung dar und ist heftig umstritten. Nach der Kritik des Bundesrates hat jetzt das Centrum für Europäische Politik (CEP) den Richtlinenentwurf analysiert und kommt zu dem Schluss, dass die Richtlinie gegen das europäische Grundrecht auf Datenschutz verstoßen würde und als verdachtsunabhängige Rasterfahndung zudem gegen das deutsche Grundrecht auf informationelle Selbstbestimmung. Den Nutzen bewertet das CEP demgegenüber als vernachlässigbar.

Dieser Richtlinienentwurf ist ein weiterer Beleg dafür, in welch bedenklicher Art und Weise die EU-Kommission den Abbau von Grund- und Bürgerrechten vorantreibt.

Die ICANN wird eine neue Top-Level-Domain „.xxx“ für pornografische Inhalte einführen. Mittlerweile hat nach Saudi-Arabien auch Indien angekündigt, diese TLD zu filtern bzw. zu blockieren. Eine entsprechende jugendschutzrechtliche Diskussion könnte auch hierzulande drohen und damit die Kontroverse um behördliche Sperrungsverfügungen neu anheizen. Erste Gehversuche in diese Richtung hatte vor ca. 10 Jahren die Bezirksregierung Düsseldorf unternommen. Für Sperrungsanordnungen aus Gründen des Jugendschutzes ergibt sich aus §§ 20 Abs. 4 JMStV, 59 Abs. 4 RStV eine, wenn auch nicht unumstrittene rechtliche Grundlage.

Mir stellt sich allerdings die Frage, warum Anbieter von einschlägigem Content (ausschließlich) unter der TLD „.xxx“ agieren sollten, wenn sie wissen, dass einige Staaten diese Top-Level-Domain komplett ausfiltern werden.