Archiv des Monats Juli 2005

Wie unabhängig sind staatliche Datenschutz-Aufsichtsbehörden?

Zur Heise-Meldung „Regierungspräsidium Darmstadt bestreitet Befangenheit beim Datenschutz“ vom 30.07.2005:

Hallo, Herr …,

danke für die interessante Mail. Meine Meinung dazu:

Man muss natürlich vorab verstehen, dass die empfindliche Reaktion von Frau Hillenbrand-Beck auch damit zusammen hängen kann, dass hier Arbeitsplätze oder zumindest Einsatzfelder bestimmter Beschäftigter auf dem Spiel stehen. Eine Übertragung des Datenschutzes auf die unabhängigen Datenschutzbeauftragten hätte natürlich organisatorische Änderungen zur Folge.

Frau Hillenbrand-Beck verkennt in ihrem Schreiben leider vollkommen die Bedeutung der Unabhängigkeit von Datenschutzbeauftragten. Der Vergleich mit „Umwelt-, Pharmazie-, Lebensmittel- oder Bauaufsicht“ zeigt, dass man sich der herausragenden Bedeutung des Datenschutzes als Grundlage einer freiheitlichen Gesellschaft überhaupt nicht bewusst ist. Wenn es eines letzten Beweises bedurft hätte, dann zeigt diese Einstellung, wie wichtig es ist, den Datenschutz denjenigen Behörden zu entziehen, die hierarchisch in die Staatsverwaltung eingegliedert sind und sich nur als austauschbarer Teil derselben begreifen.

Schon das Bundesverfassungsgericht schrieb in seinem legendären Volkszählungsurteil, dass „die Beteiligung unabhängiger Datenschutzbeauftragter von erheblicher Bedeutung für einen effektiven Schutz des Rechts auf informationelle Selbstbestimmung“ ist. Hier wird die Unabhängigkeit also ganz klar als Grundvoraussetzung für einen effektiven Schutz der Bürgerrechte genannt.

Frau Jutta Limbach, ehemals Verfassungsrichterin, bemerkte zur Bedeutung der Unabhängigkeit der Datenschutzbehörden: „Die Unabhängigkeit ist den Datenschützern nicht um ihrer selbst willen, sondern im Interesse der Bürger und Bürgerinnen eingeräumt worden. Weisungsfreiheit und Gesetzesunterworfenheit sollen die Freiheit gegenüber politischem und gesellschaftlichem Druck verbürgen. Das Amtsverständnis der Datenschutzbeauftragten sollte von der Einsicht geprägt sein, dass es sich um ein Mandat der Bürger handelt. Das schützt nicht nur vor der Deformation zur Bürokratie. Diese Geisteshaltung bewahrt auch vor der Gefahr vorauseilender Selbstzensur in einer Zeit, die den Datenschutz gern als Täterschutz oder gar als Standortnachteil begreift.“ (Quelle: http://www.bfd.bund.de/aktuelles/limbachrede.pdf)

Ich stehe also keineswegs allein mit der Forderung, dass die Datenschutzbehörden nur dem Schutz der persönlichen Daten der Bürger verpflichtet sein dürfen und nicht (auch) Staatsinteressen. Dass die hierarchischen Aufsichtsbehörden „auf Eingaben von Bürgern erfahrungsgemäß eher lethargisch reagieren“, ist eine Folge ihrer Eingliederung in den Staatsapparat. Diese Tendenz entspricht meiner persönlichen Erfahrung ebenso wie die Tatsache, dass Datenschutz in hierarchischen Behörden oft mehr unter dem Aspekt der Sicherheit und des Wirtschaftsstandorts gesehen wird als unter seiner Bedeutung für die Freiheitsrechte der Bürger.

Richtig ist, dass die Unabhängigkeit der Datenschutzbehörden einen effektiven Datenschutz oder Engagement nicht garantieren kann. Auch schützt die Unabhängigkeit nicht vor Fehleinschätzungen, wie etwa die Auffassung des Hessischen Datenschutzbeauftragten im Hinblick auf die Speicherung von IP-Adressen zeigt. Dennoch trägt die Unabhängigkeit erheblich und entscheidend dazu bei, einen wirksamen Schutz unserer persönlichen Daten zu gewährleisten. Die Unabhängigkeit ist eine international anerkannte Grundvoraussetzung eines effektiven Datenschutzes.

Wenn jetzt die Gesellschaft für Datenschutz und Datensicherung e.V. schreibt, es „lässt sich aus Sicht des betrieblichen Datenschutzes eine Lethargie bei den in Rede stehenden Aufsichtsbehörden nicht bestätigen“, so zeigt dies, dass die GDD eben den „betrieblichen Datenschutz“ vertritt, also die Wirtschaft, und nicht den Bürger. Aus Sicht der Bürger bleibt es dabei, dass die hierarchischen Behörden auf Eingaben erfahrungsgemäß leider eher lethargisch reagieren.

Dass im T-Online-Verfahren vom Hessischen Innenministerium Druck ausgeübt wurde, habe ich von verschiedenen Seiten unter vorgehaltener Hand erfahren. Ob es stimmt, weiß ich nicht aus eigener Wahrnehmung. Fatal ist aus meiner Sicht aber schon die Gefahr einer „vorauseilenden Selbstzensur“ mit Blick auf die vorgesetzte Behörde. Bei der IP-Speicherung liegt ja das besondere Interesse des Innenministeriums an dem Verfahrensausgang auf der Hand. Wenn das Regierungspräsidium die verdachtslose, generelle IP-Vorratsspeicherung durch T-Online tatsächlich ohne Einflussnahme genehmigt haben sollte, ist das umso schlimmer und zeugt von mangelndem Respekt des Regierungspräsidiums selbst vor dem Recht der Nutzer auf Privatsphäre.

Dass eine generelle IP-Vorratsspeicherung unzulässig ist, meinen übrigens – neben dem von Ihnen genannten Bundesdatenschutzbeauftragten und dem Datenschutzzentrum Schleswig-Holstein – auch der Landesdatenschutzbeauftragte Brandenburgs (http://www.lda.brandenburg.de/sixcms/detail.php?id=132519&template=allgemeintb11_lda), der Datenschutzbeauftragte Hamburgs (http://fhh.hamburg.de/stadt/Aktuell/weitere-einrichtungen/datenschutzbeauftragter/aktuelles/pressemeldung-2003-01-28-pdf,property=source.pdf) und der Landesdatenschutzbeauftragte Nordrhein-Westfalens (http://www.ldi.nrw.de/pressestelle/presse_7_1_02_2.html). Wohlgemerkt handelt es sich dabei ausnahmslos um unabhängige Datenschutzbeauftragte. Auch ein Entwurfspapier des „Arbeitskreises Medien“ aller Datenschutzstellen Deutschlands hält die IP-Speicherung für unzulässig (http://www.datenschutz.hessen.de/TB31/K25P03.htm).

Beste Grüße,

Kommentieren

Zwingt „Bedrohung“ durch Kriminalität zur Massenüberwachung? [korrigiert]

Aus einer Email vom 25.07.2005:

Die Totalregistrierung von Kommunikation und Bewegungen (Handy-Positionsdaten) der gesamten Bevölkerung ist und bleibt vollkommen unverhältnismäßig.

Man setzt hier sehr sensible Daten staatlichen Zugriffen, aber auch missbräuchlichen Zugriffen Privater aus (Politiker, die Hunziger angerufen haben, könnten mit solchen Daten z.B. zum Rücktritt gezwungen werden). Zugleich werden die Aktivitäten derjenigen Personen behindert, die aus Sorge um ein Bekanntwerden ihrer Kommunikation auf die Telefonnutzung verzichten müssten (z.B. Journalisten mit anonymen Kontakten, Organisatoren von Demonstrationen).

Wenn wir den Strafverfolgern alles geben, was sie für ihre Arbeit für nützlich halten, haben wir am Ende den totalen Überwachungs- und Polizeistaat und doch keine Sicherheit. Selbst in totalitären Staaten hat es immer Kriminalität gegeben. In der EU sterben durch Straftaten (inkl. Terrorismus) etwa 6.255 Menschen pro Jahr. Gemessen an der Gesamtzahl der EU-Bevölkerung (450 Mio.) ist das 1 Mensch von 70.000! Das Risiko, Opfer eines Terroranschlags oder Verbrechens zu werden, ist also verschwindend gering. Die Anzahl der Opfer ist im Laufe der Zeit ungefähr konstant geblieben, und zwar unabhängig von den jeweiligen staatlichen Ermittlungsbefugnissen (ergo: neue Befugnisse bringen nichts). Zum Vergleich: Durch Selbstmord sterben pro Jahr 57.926 Menschen, durch Stürze 52.920 Menschen, bei Unfällen (besonders Verkehrsunfällen) 163.710 Menschen, sogar an Grippe 7.752 Menschen (Quelle aller Zahlen: Eurostat). Kriminalität und Terrorismus ist eine Gefahr, mit der wir leben müssen, genauso wie mit anderen Gefahren auch.

Die Kriminalität muss durch gezielte Maßnahmen so gut es geht eingedämmt werden. Symbolischer Aktionismus des Gesetzgebers kann die Zahl der Straftaten aber leider nicht senken. Die Ängste der Bürger für immer neue Einschränkungen der Grundrechte auszunutzen und nicht einhaltbare Sicherheitsversprechen zu machen, ist unverantwortlich.

Die Strafverfolger fragen im Übrigen nur 0,0004% der insgesamt anfallenden Verkehrsdaten ab, also 1 Datensatz von 250.000. Das zeigt noch einmal, wie unverhältnismäßig es ist, deswegen sämtliche Kommunikation und Bewegungen der Bevölkerung auf Vorrat zu speichern.

Korrektur vom 20.01.2008:

Bevölkerungszahl korrigiert.

Kommentare (1)

Kommission: Deutschland verstößt gegen Datenschutz-Richtlinie

Pressemitteilung vom 22.07.2005:

Kommission: Deutschland verstößt gegen Datenschutz-Richtlinie
Datenschutzbehörden müssen vom Staat unabhängig sein

Die Europäische Kommission meldete heute die Einleitung eines Vertragsverletzungsverfahrens gegen Deutschland. Es verstoße gegen Europarecht, dass die deutschen Datenschutz-Aufsichtsbehörden einer staatlichen Aufsicht unterliegen.

Die EG-Datenschutz-Richtlinie aus dem Jahr 1995 schreibt die „völlige Unabhängigkeit“ der Behörden vor, die die Einhaltung des Datenschutzes kontrollieren. In Deutschland behalten die Regierungen der Länder dagegen mit Hilfe von „Fach-, Rechts- und Dienstaufsicht“ die Oberhand, kritisierte die Kommission. Deutschland erhält nun Gelegenheit, sich zu dem Vorwurf zu äußern.

Das Verfahren eingeleitet hatte der Jurist Patrick Breyer. Er argumentiert, der Staat sei aus Gründen der inneren Sicherheit an einer möglichst breiten Datenspeicherung interessiert. Deshalb dürften Datenschutzbehörden nur dem Schutz der persönlichen Daten der Bürger verpflichtet sein. Daneben sei zu beobachten, dass staatliche Aufsichtsbehörden auf Eingaben von Bürgern „eher lethargisch“ reagierten, während sich Datenschutzbeauftragte in der Regel sehr engagiert für die Bürgerrechte einsetzten.

Breyer zufolge wurden staatliche Aufsichtsrechte in der Vergangenheit wiederholt zu „massiven Eingriffen“ in die Arbeit der Datenschutz-Aufsichtsbehörden genutzt. Auf Druck des Hessischen Innenministeriums wurde beispielsweise die generelle Vorratsspeicherung von IP-Adressen durch den Internetprovider T-Online für rechtmäßig erklärt. Inzwischen ist gerichtlich festgestellt, dass eine solche verdachtsunabhängige
Vorratsspeicherung unzulässig ist.

Update:

Siehe auch Heise-Meldung „EU-Kommission pocht auf Unabhängigkeit der Datenschutzbehörden“ vom 23.07.2005

Siehe auch Heise-Meldung „Regierungspräsidium Darmstadt bestreitet Befangenheit beim Datenschutz“ vom 30.07.2005

Kommentieren

Datenspeicherung durch Google

Mail an mailbox(a)datenschutz.hamburg.de versandt:

Sehr geehrte Damen und Herren,

auf http://futurezone.orf.at/futurezone.orf?read=detail&id=270876 lese ich, dass der Suchmaschinenbetreiber Google personenbezogene Daten über Nutzer (insbesondere IP-Adresse und Suchanfragen) so lange speichert, „wie wir es für nützlich halten“. In der Datenschutzerklärung (http://www.google.de/privacy.html) heißt es: „Google registriert und speichert mit jeder Suchanfrage Informationen wie Tageszeit, Browser-Typ, Browser-Sprache und IP-Adresse.“

Ich halte die Speicherung personenbezogener Daten für unzulässig, weil nicht erforderlich. Personalisierte Angebote können, wie auch auf der obigen Seite dargestellt, über Cookies realisiert werden. Im Übrigen ist ein Personenbezug (insbesondere mittels der IP-Adresse herstellbar) nicht erforderlich.

Zudem muss die Nutzerinformation angeben, wie lange die Daten typischerweise gespeichert werden. Das TDDSG schreibt eine Information über den „Umfang“ der Datenverarbeitung vor, also auch über den zeitlichen Umfang.

Ich bitte Sie, Google zu einer Stellungnahme aufzufordern. Die Adresse:
Google Germany GmbH
ABC-Strasse 19
20354 Hamburg
Deutschland
Tel: 040/80-81-79-000
Fax: 040/49-21-90-77

Mit freundlichen Grüßen,

Kommentieren

Rechtsgutachten IP-Speicherung durch Internet-Zugangsprovider

Ein Rechtsgutachten zur Zulässigkeit der Speicherung dynamisch vergebener IP-Adressen durch Internet-Zugangsprovider ist hier abrufbar.

Kommentieren

Data retention and human rights

Sent e-mail to EU data protection officer:

Dear Mr Hustinx,

the Commission is currently drafting a directive on the retention of telecommunications traffic data, and you will probably be asked to issue an opinion in regard to this proposal.

I have dealt with the matter of data retention academically and have written an essay on its proportionality, which I am attaching to this e-mail for your information. Let me briefly put forward the legal grounds for why, in my opinion, blanket data retention violates the ECHR, no matter for what duration the data is to be retained:

The citizens‘ right to privacy is not limited to requiring safeguards against misuse of data. Instead, disproportionate or excessively intrusive interferences are illegal altogether.

In the case of traffic data, it is disproportionate to retain everybody’s communications data just because a minuscule fraction of communications (about 0.0004% according to a German estimate) could be important to the authorities later on. Data retention cannot be expected to lower crime rates (there is no indication whatsoever to that effect). On the other hand, the end of anonymous telecommunications would seriously hamper confidential communications (e.g. communications with doctors, lawyers, journalists, political dissidents, …) because everybody would have to fear their communications being traced or exposed later on.

In all, the harm data retention would do is clearly disproportionate in comparison to its potential benefits. Therefore, data retention is incompatible with Article 8 of the European Convention on Human Rights. The disproportionality of data retention has been confirmed by the following: Art. 29 Data Protection Working Party, Opinion 5/2002, http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2002/wp64_en.pdf and Opinion 9/2004, http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp99_en.pdf; Covington & Burling, Memorandum of laws concerning the legality of data retention with regard to the rights guaranteed by the European Convention on Human Rights, dated 10/10/2003, http://www.statewatch.org/news/2003/oct/Data_Retention_Memo.pdf, 3; Recommendation of the European Parliament on the Strategy for Creating a Safer Information Society by Improving the Security of Information Infrastructures and Combating Computer-related Crime (2001/2070(COS)), dated 06/09/2001, document reference A5-0284/2001; Statement of the European Data Protection Commissioners, dated 11/09/2002, http://www.fipr.org/press/020911DataCommissioners.html.

I am pleased to find that in 2001, you agreed in saying: „The routine retention of traffic data beyond the requirements of billing purposes in order to permit possible access to law enforcement bodies is an improper invasion of the right to privacy guaranteed to individuals by Article 8 ECHR.“ (http://www.paris-conference-2001.org/fr/Contribution/hustinx_contrib.html)

You have probably read Mr Alvaro’s two papers on data retention (www2.europarl.eu.int/registre/commissions/libe/projet_rapport/2005/357618/LIBE_PR(2005)357618_EN.pdf and http://www.europarl.eu.int/meetdocs/2004_2009/documents/DT/553/553885/553885en.pdf). I agree with these papers in the following points:

  • data retention is neither appropriate nor necessary and is unreasonably harsh towards those concerned.
  • individuals involved in organised crime and terrorism will easily find a way to prevent their data from being traced.
  • data retention is incompatible with Article 8 of the European Convention on Human Rights.
  • data retention’s objectives could be achieved simply by implementing the Council of Europe’s Convention on Cybercrime and improving crossborder cooperation in the area in question.
  • the shortcomings in connection with data storage for a specified purpose should be eliminated, instead of introducing data retention, and cross-border cooperation should be improved.
  • the data storage/retention period should be limited, throughout Europe, to a maximum of six months.
  • the extent of data to be stored/retained should not go beyond what is commercially necessary.

Also, in case of prepaid products, anonymous communications must remain possible.

I hope that your opinion will follow the lines of the Article 29 Group’s and the European Parliament’s opinions in speaking out strongly and unambigously against any kind of blanket retention of traffic data. Your opinion can help stop the creation of unparalleled, massive databases on millions of innocent citizen’s communications and movements.

Yours sincerely,

Kommentieren


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: