Archiv des Monats Mai 2006

EuGH: Keine Rechtsgrundlage für Vorratsdatenspeicherung?

Mail an einige Bundestagsabgeordnete:

Sehr geehrte …,

gestern hat der Europäische Gerichtshof entschieden (http://snipurl.com/r4e3), dass die EG-Rechtsakte zur Fluggastdatenübermittlung mangels Rechtsgrundlage nichtig sind. Diese Entscheidung ist 1:1 auf die Richtlinie zur Vorratsspeicherung von Kommunikationsdaten übertragbar und sollte daher Anlass geben, gegen diese Richtlinie Nichtigkeitsklage zu erheben.

Der Gerichtshof stützt seine Entscheidung darauf, dass die Fluggastdatenübermittlung „nicht für die Erbringung einer Dienstleistung erforderlich ist, sondern zum Schutz der öffentlichen Sicherheit und zu Strafverfolgungszwecken als erforderlich angesehen wird.“ Ein EG-Beschluss zu Strafverfolgungszwecken konnte aber „nicht rechtsgültig auf der Grundlage von Artikel 95 EG erlassen werden“. Daran ändere es nichts, dass die Fluggastdaten bei Privatunternehmen gespeichert sind und dass unterschiedliche Regelungen über Auskunftspflichten Wettbewerbsverzerrungen verursachen könnten.

Ganz genauso ist es doch mit der Richtlinie zur Vorratsdatenspeicherung. Auch die Vorratsspeicherung von Verkehrsdaten ist „nicht für die Erbringung einer Dienstleistung [der TK-Unternehmen] erforderlich“ sondern angeblich „zum Schutz der öffentlichen Sicherheit und zu Strafverfolgungszwecken“. Damit kommt die Binnenmarktkompetenz (Art. 95 EG) als Rechtsgrundlage auch für die Vorratsdatenspeicherung nicht in Frage.

Ich halte es aufgrund dieser Entscheidung des Europäischen Gerichtshofs für sicher, dass eine Klage gegen die Vorratsspeicherungsrichtlinie Erfolg haben wird. 130 Abgeordnete der Opposition haben einen entsprechenden Gruppenantrag bereits vorgelegt (BT-Drs. 16/1622), über den voraussichtlich noch am morgigen Donnerstag abgestimmt werden wird. Der Antrag fordert die Bundesregierung auf,
1. gegen die Richtlinie zur Vorratsdatenspeicherung Nichtigkeitsklage zu erheben und
2. bis zur Entscheidung des Europäischen Gerichtshofs von einer Umsetzung der Richtlinie in nationales Recht abzusehen.

Da die Richtlinie zur Vorratsdatenspeicherung einerseits für die künftige Gestaltungsbefugnis des Deutschen Bundestags auf dem Gebiet des Strafrechts, andererseits aber auch für die Privatsphäre der Bürger und für das Berufsgeheimnis von Abgeordneten, Rechtsanwälten, Journalisten und anderen Berufsgruppen von höchster Relevanz ist, bitte ich Sie, diesen Gruppenantrag auch von Seiten der Koalitionsfraktionen zu unterstützen und fraktionsübergreifend für die Klage vor dem Europäischen Gerichtshof zu stimmen.

Mit freundlichen Grüßen, …

Die relevanten Passagen der EuGH-Entscheidung von gestern (http://snipurl.com/r4e3) lauten wie folgt:

„56 Daraus folgt, dass die Übermittlung der PNR-Daten an das CBP eine Verarbeitung darstellt, die die öffentliche Sicherheit und die Tätigkeiten des Staates im strafrechtlichen Bereich betrifft.

57 Es trifft zwar zu, dass die PNR-Daten von den Fluggesellschaften ursprünglich im Rahmen einer unter das Gemeinschaftsrecht fallenden Tätigkeit erhoben worden sind, nämlich im Rahmen des Verkaufs eines Flugscheins, der zu einer Dienstleistung berechtigt; die Datenverarbeitung, die in der Angemessenheitsentscheidung Berücksichtigung findet, ist jedoch von ganz anderer Art. Denn diese Entscheidung bezieht sich, wie in Randnummer 55 des vorliegenden Urteils ausgeführt, auf eine Datenverarbeitung, die nicht für die Erbringung einer Dienstleistung erforderlich ist, sondern zum Schutz der öffentlichen Sicherheit und zu Strafverfolgungszwecken als erforderlich angesehen wird.

58 In Randnummer 43 des von der Kommission in ihrer Klagebeantwortung angeführten Urteils Lindqvist hat der Gerichtshof entschieden, dass die in Artikel 3 Absatz 2 erster Gedankenstrich der Richtlinie beispielhaft aufgeführten Tätigkeiten jedenfalls spezifische Tätigkeiten der Staaten oder der staatlichen Stellen sind und mit den Tätigkeitsbereichen von Einzelpersonen nichts zu tun haben. Aus der Tatsache, dass es private Wirtschaftsteilnehmer sind, die die PNR-Daten zu gewerblichen Zwecken erhoben haben und in einen Drittstaat übermitteln, folgt jedoch nicht, dass diese Übermittlung nicht in den Anwendungsbereich dieser Bestimmung fällt. Die Übermittlung findet nämlich in einem von staatlichen Stellen geschaffenen Rahmen statt und dient der öffentlichen Sicherheit.

[…]

69 Der Beschluss 2004/496 konnte folglich nicht rechtsgültig auf der Grundlage von Artikel 95 EG erlassen werden.“

Siehe auch Zypries: EuGH-Fluggastdaten-Urteil hat Auswirkung auf VDS

Kommentieren

Bedrohung durch Kriminalität?

Fragt man die Deutschen nach der Entwicklung der Kriminalität in ihrem Land, so vermuten sie mehrheitlich einen dramatischen Anstieg der Delikte während der letzten zehn Jahre – seien das Mord oder Körperverletzung, Einbrüche oder Autodiebstähle. Dies ist das Ergebnis einer repräsentativen Befragung von 2000 Bürgern, die das Institut TNS Infratest 2004 durchgeführt hat. Die polizeiliche Kriminalstatistik spricht dagegen eine ganz andere Sprache: Wohnungseinbrüche und Banküberfälle sind seit 1993 um etwa 45 Prozent zurückgegangen, Morde haben um 41 Prozent abgenommen und Autodiebstähle sogar um 70 Prozent. Zugleich ist die polizeiliche Aufklärungsquote angestiegen, von etwa 44 auf 53 Prozent. (Quelle). Die Gesamtzahl der registrierten Straftaten pro Einwohner bewegt sich seit Jahren in derselben Bandbreite. (Quelle)

Zum Ausmaß unserer vielbeschworenen „Bedrohung“ durch Kriminalität ist folgendes zu sagen:

21% der befragten Europäer berichteten, 1999 Opfer einer Straftat geworden zu sein. Hauptsächlich handelte es sich um Vermögensdelikte (Diebstahl usw.). Etwa 2,4% wurden Opfer von Gewaltkriminalität (z.B. Körperverletzung, Raub, Vergewaltigung). (Quelle). Bei den meisten Fällen von Gewaltkriminalität handelt es sich um leichtere Formen ohne bleibende Schäden. Von Gewaltkriminalität betroffen sind hauptsächlich junge Männer. Ältere Menschen sind selten betroffen. Die Aufklärungsquote liegt in Deutschland bei 72%. (Quelle)

Weiter gibt es eine Statistik der Weltgesundheitsorganisation, die den Verlust gesunder Lebenszeit durch vorzeitigen Tod, Krankheit oder Behinderung misst. Dieser Statistik zufolge beruht der Verlust gesunder Lebenszeit für Westeuropäer zu 92% auf Krankheiten, zu 2% auf Verkehrsunfällen, zu 1% auf Stürzen, zu 1,7% auf Suizid und gerade einmal zu 0,2% auf Gewalt. Straftaten sind der Statistik zufolge für die Gesundheit der Bevölkerung in etwa so schädlich wie versehentliche Vergiftungen, Karies, Rückenschmerzen oder Durchfall. (Quelle)

Die großen Risiken für unsere Gesundheit sind andere als Kriminalität: Bluthochdruck, Tabak, Alkohol, Cholesterin, Übergewicht, Fehlernäherung und Bewegungsmangel sind die Hauptrisikofaktoren. Würde man z.B. den Tabakkonsum nur um 2% zurückfahren, dann würde man der Gesundheit der Bevölkerung einen größeren Dienst erweisen als durch die Verhinderung sämtlicher Gewalttaten einschließlich Terrorismus. (Quelle)

Was Straftaten angeht, die die Gesundheit nicht tangieren: Der allergrößte Teil verlorenen Vermögens beruht auf falschem Verhalten der Menschen, z.B. auf falschem Kauf- oder Anlageverhalten. Nur ein kleiner Teil der Vermögensverluste ist auf ein singuläres Ereignis zurückzuführen. Unter den singulären Schadensursachen spielen Naturkatastrophen eine große Rolle, aber auch die bewusste Vernichtung eigener Vermögenswerte, z.B. durch Entsorgung von Vermögensgegenständen. Straftaten verursachen vermutlich weit unter 1% der gesamten Vermögensverluste der Bevölkerung. Schon kleinere Verbesserungen des Verbraucherschutzes dürften das Vermögen der Bevölkerung besser schützen als die Verhinderung sämtlicher Vermögensdelikte. Gegen Vermögenskriminalität kann man sich außerdem recht gut versichern.

Insgesamt hält sich unsere „Bedrohung“ durch Kriminalität also in überschaubaren Grenzen, besonders im Vergleich zu anderen Lebensrisiken. Leider ist die Risikowahrnehmung der meisten Menschen in diesem Punkt verzerrt. Die oben genannten Fakten sind nicht bekannt. Da ist noch eine Menge Aufklärungsarbeit zu leisten, nicht nur gegenüber der Bevölkerung, sondern auch den Medien und Politikern.

Die dauernde Sicherheitsdebatte schadet meines Erachtens nicht nur den Bürgerrechten und – durch Einschüchterungseffekte – der Demokratie. Sie schadet auch, indem sie von den Versäumnissen und der falschen Prioritätensetzung der Politik ablenkt. Während die herrschende Politik (d.h. die beiden Volksparteien CDU/CSU und SPD) versucht, durch eine lückenlose Überwachung und Kontrolle der Bevölkerung möglichst auch noch den letzten Straftäter zu bestrafen, nimmt sie bewusst in Kauf, dass tausende von Menschen jedes Jahr an den Folgen z.B. von Tabak, Alkohol und Verkehrsunfällen sterben. Zugunsten des Profits einzelner Wirtschaftszweige (Tabakindustrie, Brauereien, Autoindustrie) bleibt die Politik untätig, wo sie Krankheit und Tod unzähliger Menschen leicht verhindern könnte und müsste. Auch bei der Bekämpfung von Arbeitslosigkeit und Armut – seit einigen Jahren die wichtigsten Sorgen der Menschen – hat die herrschende Politik in den letzten Jahren beständig versagt, wie die Statistiken zeigen.

Übrigens ist die Hochrüstung der Sicherheitsbehörden (Biometrie, Telefonüberwachung, Data-Mining-Systeme) für die Sicherheitsindustrie ein Milliardengeschäft. Ein Schelm, wer böses dabei denkt.

Kommentare (5)

Jetzt Nichtigkeitsklage gegen Vorratsspeicherungsrichtlinie erheben!

Email an den Abgeordneten Herrn Dr. Krings (CDU):

Sehr geehrter Herr Dr. Krings,

vor einiger Zeit haben wir zum Thema Vorratsdatenspeicherung miteinander korrespondiert.

Vor dem Hintergrund der gestrigen Rasterfahndungsentscheidung des Bundesverfassungsgerichts fragt es sich, ob Sie und Ihre Fraktion an der Ablehnung einer Nichtigkeitsklage gegen die Vorratsspeicherungsrichtlinie festhalten wollen. Das Bundesverfassungsgericht hat ja bereits 2003 entschieden: „Insofern genügt es verfassungsrechtlichen Anforderungen nicht, dass die Erfassung der Verbindungsdaten allgemein der Strafverfolgung dient (siehe oben aa). Vorausgesetzt sind vielmehr eine Straftat von erheblicher Bedeutung, ein konkreter Tatverdacht und eine hinreichend sichere Tatsachenbasis“ (https://www.bundesverfassungsgericht.de/entscheidungen/rs20030312_1bvr033096.html, Abs-Nr. 75). In der gestrigen Rasterfahndungsentscheidung wird nunmehr ausdrücklich „das außerhalb statistischer Zwecke bestehende strikte Verbot der Sammlung personenbezogener Daten auf Vorrat“ postuliert und bekräftigt (https://www.bundesverfassungsgericht.de/entscheidungen/rs20060404_1bvr051802.html, Abs-Nr. 105). Beide Entscheidungen beziehen sich nicht auf Inhaltsdaten, sondern sind bereits auf Verbindungsdaten anwendbar.

Meiner Ansicht nach ist die Bundesregierung daher aus den Grundrechten verpflichtet, eine Nichtigkeitsklage gegen die grundrechtswidrige und auch gegen die Kompetenzverteilung des EG-Vertrags verstoßende Vorratsspeicherungsrichtlinie zu erheben.

Selbst wenn Sie weiterhin die Auffassung vertreten sollten, eine allgemeine, verdachtslose Vorratsdatenspeicherung sei mit den Grundrechten vereinbar, ist eine Nichtigkeitsklage erforderlich, um die künftige Gestaltungsbefugnis des Deutschen Bundestags auf dem Gebiet des Strafrechts zu bewahren. Sie werden auf dem Gebiet des Strafrechts und der Strafverfolgung bald nur noch EG-Richtlinien umzusetzen haben, wenn Sie nicht jetzt die Kompetenzverteilung durch den EuGH klarstellen lassen. Wenn eine Vorratsdatenspeicherung zulässig ist, können Sie sie ja auch ohne Richtlinie einführen. Aus diesem Grund haben Sie durch eine Nichtigkeitsklage nichts zu verlieren.

Ich bitte Sie und Ihre Fraktion daher, den Gruppenantrag der 118 Kollegen aus der Opposition zu unterstützen, der die Bundesregierung auffordert, gegen die Richtlinie zur Vorratsdatenspeicherung Nichtigkeitsklage zu erheben. Die Abstimmung wird voraussichtlich am Freitagmorgen, den 02.06., um 01.45 h als letzter Tagesordnungspunkt stattfinden.

Mit freundlichen Grüßen,

Kommentieren

Datenspeicherung bei Ebay [ergänzt am 18.11.2009]

Ich hatte von Ebay Auskunft über die zu meiner Person gespeicherten Daten verlangt, soweit ich sie nicht ohnehin auf „Mein Ebay“ abrufen kann. Ebay verweigerte insbesondere eine Auskunft über den gespeicherten „Clickstream“, weil dies einen unverhältnismäßigen Aufwand mit sich brächte. Die zuständige Aufsichtsbehörde (Innenministerium Brandenburg) entschied, dass der Aufwand von Ebay darzulegen wäre, sah aber keinen Anlass zum Einschreiten.

Daraufhin sandte ich am 17.07.2005 die folgende Mail an das Innenministerium Brandenburg:

Sehr geehrter Herr …,

ich danke für Ihre ausführliche Stellungnahme vom 08.07.2005 zu der Frage meines Auskunftsersuchens gegenüber Ebay. Da es sich um Fragen allgemeinen Interesses handelt, wäre es sicherlich sinnvoll, Ihre Ausführungen in Ihren Tätigkeitsbericht aufzunehmen.

1. Inhaltlich stimme ich Ihnen zu, dass § 4 Abs. 7 TDDSG den § 34 BDSG nicht verdrängt. Auch halte ich die dort in Bezug genommenen Ausnahmetatbestände für richtlinienkonform. Ich argumentiere lediglich, dass diese eng auszulegen sind und dass der Verwender den Nachweis eines evtl. unverhältnismäßigen Aufwandes erbringen muss.

Es freut mich, dass auch Sie der Auffassung sind, dass der Aufwand von Ebay darzulegen wäre. Da dies bisher nicht geschehen ist, gehe ich davon aus, dass Sie das Unternehmen zur Auskunfterteilung anweisen werden.

2. Die Ansicht von Ebay, dass Buchführungspflichten nach dem HGB oder der AO eine Aufbewahrung der Transaktionsdaten gebieten, halte ich für unzutreffend. Dies zeigt sich schon am Vergleich mit einem Buchladen: Zwar müssen in Handelsbüchern die Warenbestände und die Zahlungsflüsse festgehalten und diese Daten aufbewahrt werden. Nicht nach dem HGB erforderlich ist es hingegen, die Information aufzubewahren, welcher Kunde wann welche Bücher gekauft hat. Ansonsten würde jeder Buchladen gegen das Gesetz verstoßen, denn normalerweise wird die Identität der Kunden in Buchläden nicht aufgezeichnet. Nur weil dies im Bereich des Fernabsatzes wegen des Erfordernisses der postalischen Versendung zwangsläufig anders ist, dürfen die Kunden in ihrer Privatsphäre hier nicht stärker beeinträchtigt werden als sonst.

Dass Ebay die per Email verschickten Abrechnungen nach dem HGB aufbewahrt, sehe ich ein. Nicht geboten oder erforderlich ist aber die Aufbewahrung der Transaktionsdatensätze selbst. Hierbei handelt es sich nicht um Belege. Umgekehrt begründet die Aufbewahrung dieser Datensätze die besondere Gefahr, dass auf Jahre hinaus das Konsumverhalten der Nutzer nachvollziehbar und analysierbar bleibt. Diese Gefahr besteht bei Rechnungen und Belegen nicht im gleichen Maße, weil diese nicht automatisiert verarbeitet und Interessenprofile erstellt werden können.

3. Hinsichtlich der IP-Adressen ist es richtig, dass Ebay nicht dargelegt hat, dass diese Daten nicht personenbezogen gespeichert würden. Eine anonymisierte Speicherung würde für das Unternehmen auch keinen Sinn machen, so dass davon nicht ausgegangen werden kann. Ich gehe daher davon aus, dass Sie Ebay auch insoweit zur Auskunfterteilung verpflichten werden.

4. Richtig ist es auch, dass Sie die Datenschutz-Information des Unternehmens kritisch untersuchen. Die Pflicht zur Information über den „Umfang“ der Speicherung gebietet insbesondere auch eine Information über den zeitlichen Umfang der Speicherung und Aufbewahrung. Ebay teilt jedoch für keinen einzigen Datentyp mit, wie lange dieser (jedenfalls typischerweise) gespeichert wird. Ob eine Speicherung einen Monat oder zehn Jahre lang erfolgt, ist daher für Nutzer nicht zu erkennen. Dies ist mit der gesetzlichen Informationspflicht und ihrem Zweck nicht zu vereinbaren.

Bei Fragen stehe ich gerne zu Ihrer Verfügung.

Mit freundlichen Grüßen, …

Am 21.05.2006 versandte ich die folgende Mail:

Sehr geehrter Herr …,

vielen Dank für Ihre Zwischennachricht. Es freut mich, dass Sie trotz Ebays Verzögerungstaktik am Ball bleiben. Ich bin zuversichtlich, dass es am Ende der seit 2003 (!) laufenden Bemühungen noch gelingen wird, zu erfahren, welche Daten Ebay über mich speichert.

1. Nur für den Fall, dass Sie erwägen, einen Auskunftsanspruch abzulehnen, bitte ich Sie, mir zuvor die neuerliche Stellungnahme Ebays zuzusenden, damit ich mich dazu äußern kann (§ 28 VwVfG). Nur auf diese Weise habe ich die Möglichkeit, falsche Tatsachenbehauptungen Ebays zu widerlegen.

2. Im Übrigen weise ich zu der Frage, ob der mit einer Auskunfterteilung verbundene Aufwand unverhältnismäßig wäre, noch auf das Urteil des Landgerichts Ulm vom 1.12.2004 (Az. 1 S 89/04, MMR 2005, S. 265) hin, in dem es heißt: „Zwar kann sich, soweit es um die Benachrichtigungspflicht geht, der von der Forschungsstelle zu betreibende Aufwand ggf. schon aus der Vielzahl der Fälle ergeben (Gola/Schomerus, a.a.O., § 33 Rdnr. 36). Die Auskunftspflicht besteht jedoch auch in einem solchen Falle, denn Auskunftsersuchen sind erfahrungsgemäß die seltene Ausnahme (Gola/Schomerus, a.a.O., § 34 Rdnr. 18).“

Offensichtlich hat Ebay noch nie einem einzigen seiner Nutzer umfassende Auskunft erteilt. Der mit einer erst- und einmaligen Auskunfterteilung seit dem zehnjährigen Bestehen von Ebay verbundene Aufwand ist dem Unternehmen durchaus zumutbar.

Ohnehin setzt sich ein Unternehmen mit 12.500 Mitarbeitern (http://investor.ebay.com/faq.cfm) und einem Jahresgewinn von zuletzt 1,089 Mrd. US$ (in Zahlen: 1.089.000.000,00 US$, siehe http://investor.ebay.com/news/Q405/EBAY0118-123321.pdf) dem Vorwurf der Lächerlichkeit aus, wenn es behauptet, es verursache ihm einen unverhältnismäßigen Aufwand, einem seiner 180 Millionen Kunden (http://investor.ebay.com/news/Q405/EBAY0118-123321.pdf) Auskunft über die zu seiner Person bzw. seinem Pseudonym gespeicherten Daten zu erteilen.

3. Ferner muss nochmals hervorgehoben werden, dass die Frage der Verhältnismäßigkeit des Aufwands nur unter den Voraussetzungen des § 33 Abs. 2 Nr. 2 BDSG überhaupt zum Tragen kommen kann. Schon diese Voraussetzungen sind nicht gegeben.

a) Es gibt keine Aufbewahrungsvorschriften für den Klickstream. Die Normen des HGB und der AO können schon deshalb nicht einschlägig sein, weil der Klickstream finanziell vollkommen irrelevant ist, jedenfalls über die ohnehin gespeicheren Rechnungen hinaus. Würde man dies anders sehen, müsste jedes Internetunternehmen in Deutschland den Klickstream seiner Kunden aufzeichnen und jahrelang aufbewahren; jede andere Praxis wäre rechtswidrig. Dies kann nicht ernsthaft vertreten werden.

b) Auch dienen die Daten nicht „ausschließlich der Datensicherung oder der Datenschutzkontrolle“. Als Zweck der Datenspeicherung nennt Ebay selbst: „Sie [die Daten] helfen uns, das Navigationsverhalten unserer Mitglieder besser zu verstehen. Weiterhin helfen Sie uns bei der Durchsetzung unserer AGB, bei der Unterbindung betrügerischen Verhaltens und werden unter Umständen für Beweiszwecke benötigt.“ (http://pages.ebay.de/help/policies/privacy-appendix.html) Die Daten dienen mithin nach eigenen Angaben Ebays keineswegs „ausschließlich der Datensicherung oder der Datenschutzkontrolle“.

Zu behaupten, die Daten dienten der Datensicherung, wäre im Übrigen schon deshalb widersinnig, weil es in Wahrheit die grenzenlose Datensammelei selbst ist, die ein Sicherheitsrisiko für die Nutzerdaten darstellt. Zumal amerikanische Behörden mit der Begründung der Terrorismusbekämpfung schrankenlos auf die dort gespeicherten Daten zugreifen dürfen (sog. „National Security Letters“, http://www.datenschutz.de/news/detail?nid=1359). Schon daraus, dass die amerikanischen Behörden routinemäßig die über bestimmte Nutzer gespeicherten Daten von Ebay anfordern, ergibt sich, dass dies nicht gerade in meinem Fall unverhältnismäßigen Aufwand verursachen kann.

4. Schließlich darf nicht außer Acht bleiben, dass Ebay selbst bestimmt, wieviele Daten es über seine Nutzer speichert. Es kann nicht angehen, dass Ebay zuerst Datenberge anhäuft und sich dann darauf beruft, diese seien so umfangreich, dass keine Auskunft mehr erteilt werden könne. Dann soll Ebay eben seine Datensammlungspraxis einschränken.

5. Falls sich Ebay auf den Aufwand beruft, der mit der Durchsuchung externer Datenträger verbunden sei, muss sich das Unternehmen ganz besonders die Frage stellen lassen, weshalb es Daten in dieser Form überhaupt speichert. Denn auf externen Datenträgern stehen die Daten auch nicht mehr praktikabel zu den o.g. Eigenzwecken Ebays zur Verfügung.

6. Um den Aufwand Ebays zu minimieren, erkläre ich mich ausdrücklich mit einer Auskunfterteilung per Email oder CD-Rom einverstanden. Ein Ausdruck ist nicht erforderlich.

7. Falls Sie trotz allem zu der Auffassung gelangen sollten, dass Unverhältnismäßigkeit anzunehmen sei, soll Ebay wenigstens über einen repräsentativen Teil der Daten Auskunft erteilen. Beispielsweise über die Daten der sechs am längsten zurückliegenden Monate (damit ich endlich auch die Speicherdauer erfahre). Eine solche repräsentative Teilauskunft wird Ebay in jedem Fall zumutbar sein.

Ich stelle vorsorglich noch einmal den Gegenstand meines Auskunftsersuchens klar: Sämtliche zu meiner Person oder meinem Pseudonym gespeicherte Daten mit Ausnahme derjenigen, die ich über „Mein Ebay“ selbst einsehen kann. Zu beauskunften sind damit u.a. der gespeicherte Klickstream einschließlich eingegebener Suchworte sowie verschickte oder empfangene Nachrichten und Emails.

Mit freundlichen Grüßen,

Bislang erhielt ich noch keine Auskunft über die bei Ebay gespeicherten Daten.

Ergänzung vom 18.11.2009:

Der Bundesfinanzhof hat entschieden, dass nach der Abgabenordnung nur Daten aufzubewahren sind, die „für die Besteuerung […] von Bedeutung sind“ (Az. VIII R 80/06). Bei Surfprotokollen ist das offensichtlich nicht der Fall.

Kommentare (3)

IP-Speicherung auf heise.de

Mail vom 29.04.2006 an datenschutz(a)mi.niedersachsen.de:

Sehr geehrte Damen und Herren,

auf der Website des Heise Verlags Hannover (www.heise.de) werden die IP-Adressen sämtlicher Besucher über die Dauer des Nutzungsvorgangs hinaus gespeichert, und zwar in Verbindung mit den betrachteten Seiten. Dies halte ich für unzulässig.

Die Website des Heise Verlags ist ein Mediendienst nach § 2 Nr. 4 MDStV. Der Verlag hält diesen Mediendienst zur Nutzung bereit und ist daher Diensteanbieter (§ 3 Nr. 1 MDStV).

IP-Adressen sind personenbezogene Daten des Nutzers im Sinne des § 19 Abs. 2 MDStV. Dies ist zumindest für statische IP-Adressen unstreitig. Aber auch sonst kann die Person des Nutzers bestimmbar sein, etwa wenn der Nutzer über die o.g. Webseite seine persönlichen Daten in ein Formular einträgt. Der Heise Verlag bietet auf der o.g. Webseite Dienste an, die eine Registrierung voraussetzen, so dass dem Verlag die Identität des Nutzers bekannt ist. Folgerichtig ordnet der Heise Verlag die IP-Adresse in seiner Datenschutzerklärung (http://www.heise.de/privacy/) selbst unter „personenbezogene Daten“ ein und räumt ein, dass diese Daten „möglicherweise eine Identifizierung zulassen“.

Der Verlag darf das Nutzungsdatum „IP-Adresse“ nach § 19 Abs. 5 MDStV über das Ende des Nutzungsvorgangs hinaus nur verarbeiten und nutzen, soweit es für Zwecke der Abrechnung mit dem Nutzer erforderlich ist. Da die Nutzung der Website kostenlos ist, ist die Speicherung von IP-Adressen nicht zur Abrechnung erforderlich. Es liegt auch keine Einwilligung der Nutzer vor, so dass die Speicherung von IP-Adressen durch den Heise Verlag gegen § 19 Abs. 2 und 5 MDStV verstößt.

§ 19 Abs. 2 MDStV bestimmt eindeutig, dass Diensteanbieter Nutzungsdaten „nur erheben, verarbeiten und nutzen [dürfen], soweit dies erforderlich ist, um die Inanspruchnahme von Mediendiensten zu ermöglichen und abzurechnen.“ Eine solche Erforderlichkeit ist bei IP-Adressen nicht gegeben, jedenfalls nicht über das Ende eines Seitenaufrufs hinaus. Dass die Speicherung von IP-Adressen nicht erforderlich ist, um die Inanspruchnahme einer Webseite zu ermöglichen, ergibt sich schon daraus, dass eine Vielzahl von Webseiten keine IP-Adressen speichern (vgl. auch http://www.datenschutzzentrum.de/material/themen/presse/20040630-urheber.htm).

Die vom Heise Verlag in seiner Datenschutzerklärung (http://www.heise.de/privacy/) angegebenen Zwecke der Speicherung dieser Daten (Gründen der Datensicherheit, um die Stabilität und die Betriebssicherheit des Systems zu gewährleisten) decken sich nicht mit den gesetzlich zulässigen Verarbeitungszwecken (siehe oben). Im Übrigen ist eine Vorratsspeicherung der IP-Adressen sämtlicher Nutzer auch zu den vom Verlag angeführten Zwecken nicht erforderlich. Zur Abwehr von ddos-Angriffen genügt es, im Fall eines Angriffs festzustellen, von welchen IP-Adressen dieser ausgeht. Die generelle Speicherung aller IP-Adressen von Besuchern ist dazu nicht erforderlich und vollkommen unverhältnismäßig.

Ich bitte Sie daher, die Speicherung von IP-Adressen durch den Heise Verlag über das Ende des Nutzungsvorgangs hinaus zu untersagen. Bitte halten Sie mich über das weitere Verfahren auf dem Laufenden.

Mit freundlichen Grüßen, …

Antwort vom 18.05.2006:

Sehr geehrte…,

ich danke Ihnen für Ihre Nachricht und bin Ihrem Anliegen nachgegangen. Sie machen geltend, daß der Heiseverlag unrechtmäßig die IP-Adresse beim Aufruf einer Internetseite speichern würde. Auf der von Ihnen unten zitierten Seite macht der Heiseverlag folgende Ausführungen:

„In Verbindung mit Ihrem Zugriff werden auf unseren Servern Daten für Sicherungszwecke gespeichert, die möglicherweise eine Identifizierung zulassen (zum Beispiel IP-Adresse, Datum, Uhrzeit und betrachtete Seiten). Es findet keine personenbezogene Verwertung statt. Die statistische Auswertung anonymisierter Datensätze bleibt vorbehalten.

IP-Adressen speichern wir über einen Zeitraum von 28 Tagen. Die Speicherung erfolgt aus Gründen der Datensicherheit, um die Stabilität und die Betriebssicherheit unseres Systems zu gewährleisten.“

§ 28 I Nr. 2 Bundesdatenschutzgesetz (BDSG) regelt, daß eine Erhebung zulässig ist, „soweit es zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt“.

Diese Datenerhebung zur Sicherstellung des ordnungsgemäßen Betriebes läßt sich im übrigen auch aus § 19 II Satz 1 MDStV herleiten: Danach dürfen Nutzungsdaten ohne Einwilligung erhoben werden, „soweit dies erforderlich ist, um die Inanspruchnahme von Mediendiensten zu ermöglichen […]“. Es muß heute davon ausgegangen werden, daß öffentlich zugängliche Systeme ständigen Attacken aus dem Internet ausgesetzt sind. Um diese abwehren zu können, ist es erforderlich, Quelle und Zielrichtung des Angriffs zu ermitteln, ansonsten wird eine dauerhafte Bereitstellung eines solchen Dienstes in Frage gestellt.

Außerdem ergibt sich nach § 4 IV Nr. 3 Teledienstedatenschutzgesetz (TDDSG) die Verpflichtung des Heiseverlages sicherzustellen, daß nicht Unbefugte in die Rechnersysteme eindringen und sich Zugang zu den darauf gespeicherten personenbezogenen Daten verschaffen:

„Der Diensteanbieter hat durch technische und organisatorische Vorkehrungen sicherzustellen, dass […] der Nutzer Teledienste gegen Kenntnisnahme Dritter geschützt in Anspruch nehmen kann“.

Hinzu kommt, daß diese Daten nach § 31 BDSG einer besonderen Zweckbindung unterliegen:

„Personenbezogene Daten, die ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage gespeichert werden, dürfen nur für diese Zwecke verwendet werden.“

Vor diesem Hintergrund ist nach § 28 I Nr. 2 BDSG abzuwägen zwischen Ihrem Interesse, die IP-Adresse, die lediglich ein personenbeziehbares Datum, aber noch kein personenbezogenes Datum darstellt, nicht speichern zu lassen und dem Interesse des Heiseverlages an Geschäftsgeheimnissen (den gespeichterten Kundendaten), sowie dem der Kunden, daß deren Daten dort sicher gespeichert und vor Mißbrauch geschützt sind.

Hinzu kommt, daß die Information, daß unter einer bestimmten IP-Adresse zu einem Zeitpunkt eine Seite abgerufen wurde, der strikten Zweckbindung des § 31 BDSG unterliegt und diese Daten nach 28 Tagen gelöscht werden.

Vor diesem Hintergrund vermag ich kein überwiegende Interesse Ihrerseits erkennen. Hinzu kommt, daß Sie es Ihnen sogar möglich wäre, die IP-Adresse Ihres Rechners zu verschleiern, indem Sie einen entsprechenden Anonymisierungsdienst wie z. B. unter http://www.datenschutzzentrum.de/projekte/anon/index.htm angeboten, nutzten.

Ich hoffe, Ihnen mit diesen Informationen gedient zu haben.

Mit freundlichen Grüßen …

Kommentare (1)

Pressemitteilung: US-Abhörskandal erfordert Umdenken auch in Europa

In den letzten Tagen ist bekannt geworden, dass der amerikanische Geheimdienst NSA die Telefon-Verbindungsdaten von 200 Millionen Amerikanern sammelt. Es handelt sich dabei um die “größte Datenbank der Welt”. Die gespeicherten Kommunikationsdaten werden automatisch auf Auffälligkeiten geprüft; “soziale Netzwerke” der Gesprächsteilnehmer werden offengelegt.

Die EU-Staaten haben im Februar 2006 ebenfalls eine systematische und verdachtslose Vorratsspeicherung der Verbindungsdaten der gesamten Bevölkerung beschlossen. In Deutschland hätten nicht nur Strafverfolger Zugriff auf die Kommunikationsdaten, sondern auch Geheimdienste aufgrund des “Terrorismusbekämpfungsgesetzes”. Auch die Musikindustrie soll auf die Daten zugreifen dürfen, so der Entwurf eines “Gesetzes zur Verbesserung der Durchsetzung von Rechten des geistigen Eigentums”. Daneben hätten ausländische Staaten wie die USA aufgrund internationaler Verträge (z.B. “Cybercrime-Konvention”) Zugriffsrechte, wie die EU-Kommission kürzlich bestätigt hat.

Sollten die Pläne zur Vorratsdatenspeicherung umgesetzt werden, sind Missbräuche der Daten zu erwarten. Zahlreiche Beispiele in der Vergangenheit zeigen, dass sich der Missbrauch geheimer Überwachungsbefugnisse nicht verhindern lässt. Bekannt geworden ist etwa die Bespitzelung kritischer Journalisten und Aktivisten in Deutschland, politischer Gegenspieler in Frankreich sowie von Menschenrechts- und Umweltverbänden in Großbritannien und den USA. Auch die regierungsinterne und andere sicherheitsrelevante Kommunikation wäre nicht mehr vor unbefugtem Zugriff geschützt, wie der Abhörskandal in Griechenland vor drei Monaten gezeigt hat.

Der Jurist Patrick Breyer vom bundesweiten Arbeitskreis Vorratsdatenspeicherung erklärt dazu: “Die einzige Möglichkeit, um Missbräuche unserer Kommunikationsdaten im In- und Ausland effektiv zu verhindern, ist der Verzicht auf die verdachtslose Vorratsdatenspeicherung. Andernfalls werden sich regierungskritische Personen verstärkt auf Überwachung, Durchsuchungen, Befragungen und Grenzzurückweisungen einstellen müssen – mit entsprechenden Folgen für unsere demokratische Gesellschaft.”

Bettina Winsemann (Twister) von der Datenschutzinitiative STOP1984 schließt sich der Einschätzung an: “Für eine freie und demokratische Gesellschaft ist eine Vorratsdatenspeicherung nicht vorstellbar. Datenvorräte, die, einmal angelegt, bei Bedarf abgesucht werden können, wecken hierzulande Assoziationen mit den Stasi-Akten der DDR. Für eine weitere Fortentwicklung des demokratischen Staates ist es wichtig, dass der Bürger sich frei und unbeobachtet in seiner Kommunikation fühlen kann. Eine verdachtslose Vorratsdatenspeicherung lähmt den demokratischen Prozess, da dessen wichtigster Bestandteil, den Bürger, unter Pauschalverdacht gestellt wird und elektronische “Akten” über ihn angelegt werden. Eine solche Beobachtung würde sich auf die Meinungsfreiheit und Willensbildung mehr als negativ auswirken.”

Der Politikwissenschaftler Ralf Bendrath vom Netzwerk Neue Medien kritisiert die geplanten Auskunftspflichten an die Musikindustrie: “In den USA gerät die Regierung gerade unter Feuer, weil sie im Zuge der Terrorismusbekämpfung Millionen unverdächtiger Amerikaner bespitzelt. Hierzulande will die Bundesregierung das gleiche sogar privaten Unternehmen bei mutmaßlichen Bagatelldelikten erlauben. Dieses Vorhaben liegt jenseits aller legitimen Strafverfolgungsbedürfnisse und schädigt das Vertrauen der Verbraucher in das Internet nachhaltig.”

Bürgerrechtler wie der ehemalige Bundesinnenminister Gerhart Baum (FDP) haben bereits eine Verfassungsbeschwerde gegen die geplante Totalprotokollierung der Telekommunikation in Europa angekündigt.

Der Arbeitskreis Vorratsdatenspeicherung ist ein bundesweiter Zusammenschluss von Bürgerrechtlern, Datenschützern und Internet-Nutzern, der die Arbeit gegen die geplante Vollprotokollierung der Telekommunikation koordiniert. http://www.vorratsdatenspeicherung.net

Die Initiative STOP1984 ist ein offener bundesweiter Zusammenschluss von Verfechtern der informationellen Selbstbestimmung und Gegnern von Überwachung. http://www.stop1984.de

Das Netzwerk Neue Medien e.V. setzt sich für den Erhalt und Ausbau von Bürgerrechten im digitalen Zeitalter ein. http://www.nnm-ev.de

KONTAKT für Nachfragen (Telefon und Email in dieser öffentlichen Fassung gelöscht):
Patrick Breyer, AK VDS
Bettina Winsemann (Twister)
Ralf Bendrath, NNM e.V.
padeluun, FoeBuD e.V.

Kommentare (1)


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: