Archiv zur Kategorie Datenschutz im Privatsektor

Deutschland muss Datenschutz in der Telekommunikation verbessern

Aus einem Schreiben an die Vertragsverletzungsabteilung der EU-Kommission vom 19.02.2010:

Nichtumsetzung der Richtlinie 2002/58/EG in Deutschland

Sehr geehrte Damen und Herren,

Deutschland hat die Richtlinie 2002/58/EG (bereits in ihrer ursprünglichen Fassung) in mehreren Punkten nicht ordnungsgemäß umgesetzt:

1. Art. 5 Abs. 3 RiL 2002/58/EG ist im deutschen Recht nicht ordnungsgemäß umgesetzt. Zwar sehen TKG und TMG Informationspflichten vor (etwa § 13 Abs. 1 S. 2 TMG). Sie machen die Zulässigkeit der „Speicherung von Informationen oder den Zugriff auf Informationen, die im Endgerät eines Teilnehmers oder Nutzers gespeichert sind“, aber nicht von einer ordnungsgemäßen Information abhängig, wie es Art. 5 Abs. 3 RiL 2002/58/EG vorschreibt. Ein Formulierungsvorschlag zur ordnungsgemäßen Richtlinienumsetzung findet sich auf Seite 34 meiner ausführlichen Stellungnahme gegenüber dem Bundestag (http://www.daten-speicherung.de/data/Forderungen_Telemedienrecht_26-02-2009_publ.pdf).

2. § 100 des Telekommunikationsgesetzes verstößt gegen Art. 6 Abs. 1 RiL 2002/58/EG, soweit er die generelle Aufbewahrung von Verkehrsdaten zu Zwecken der Störungs- und Missbrauchsbekämpfung über das Verbindungsende hinaus legalisiert. Anders als die Vorgängervorschrift des § 9 TDSV (http://www.netlaw.de/gesetze/tdsv.htm) erlaubt § 100 TKG die Erhebung und Speicherung von Verkehrsdaten zur Störungs- und Missbrauchsbekämpfung nicht mehr nur „im Einzelfall“. Eine generelle, bedarfsunabhängige Vorratsspeicherung sämtlicher Verkehrsdaten, damit sie im Bedarfsfall zur Störungs- und Missbrauchsbekämpfung zur Verfügung stehen, ist nicht mehr „in einer demokratischen Gesellschaft notwendig, angemessen und verhältnismäßig“ im Sinne des Art. 15 Abs. 1 RiL 2002/58/EG. Der Bundesrat hat dazu ausgeführt (BR-Drs. 62/09, 10): „Dies erscheint insbesondere deshalb veranlasst, weil die zu § 100 Absatz 1 TKG ergangene Rechtsprechung in verfassungsrechtlich bedenklicher Weise die vorbeugende Speicherung von IP-Adressen zur Störungseingrenzung und -beseitigung zulässt, ohne dass tatsächliche Anhaltspunkte bei einem bestimmten Nutzer vorliegen (vgl. LG Darmstadt, Urteil vom 06.06.2007 – 10 O 562/03 –, CR 2007, 574).“ Zwar wird die Vorschrift von anderen Teilen der Rechtsprechung und Literatur einschränkend dahin ausgelegt, dass sie tatsächliche Anhaltspunkte bei einem bestimmten Nutzer voraus setzte (etwa LG Darmstadt, Urteil vom 07.12.2005, 25 S 118/2005). Die ordnungsgemäße Umsetzung von Richtlinien erfordert aber, dass der Gesetzgeber solche Fragen normenklar selbst regelt.

Dazu muss § 100 TKG einschränkend formuliert werden, wobei Absatz 1 etwa wie folgt formuliert werden könnte:

(1) Liegen dem Diensteanbieter im Einzelfall zu dokumentierende tatsächliche Anhaltspunkte vor, dass bestimmte Nutzer seine zur Bereitstellung seines Dienstes genutzten technischen Einrichtungen stören, darf er Bestands- und Verkehrsdaten dieser Nutzer nur erheben, speichern und nutzen, soweit dies zur Beseitigung der Störung erforderlich ist; eine Verwendung der Daten für andere Zwecke ist unzulässig. Der Diensteanbieter hat die Daten unverzüglich zu löschen, wenn die Voraussetzungen nach Satz 1 nicht mehr vorliegen oder die Daten zur Störungsbeseitigung nicht mehr benötigt werden. Der betroffene Nutzer ist zu unterrichten, sobald dies ohne Gefährdung des mit der Maßnahme verfolgten Zweckes möglich ist.“

Absatz 3 könnte in Anlehnung an § 15 TMG wie folgt formuliert werden:

(3) Liegen dem Diensteanbieter im Einzelfall zu dokumentierende tatsächliche Anhaltspunkte vor, dass seine Dienste von bestimmten Nutzern in der Absicht in Anspruch genommen werden, das Entgelt nicht oder nicht vollständig zu entrichten, darf er Bestands- und Verkehrsdaten dieser Nutzer nur verwenden, soweit dies zur Geltendmachung seiner Ansprüche gegen die Nutzer erforderlich ist. Der Diensteanbieter hat die Daten unverzüglich zu löschen, wenn die Voraussetzungen nach Satz 1 nicht mehr vorliegen oder die Daten für die Rechtsverfolgung nicht mehr benötigt werden. Der betroffene Nutzer ist zu unterrichten, sobald dies ohne Gefährdung des mit der Maßnahme verfolgten Zweckes möglich ist.“

3. Art. 13 Abs. 2 RiL 2002/58/EG ist in § 95 Abs. 2 S. 2 TKG nicht korrekt umgesetzt: Emailwerbung ist nach der Richtlinie nur zulässig, wenn das Unternehmen die Emailadresse „im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung […] erhalten hat“. Es reicht also – anders als in § 95 TKG vorgesehen – beispielsweise nicht, wenn sich ein Kunde wegen einer Reklamation per Email an das Unternehmen wendet, denn in einem solchen Fall kann von einem Einverständnis mit Werbung nicht ausgegangen werden.

Die Richtlinie erlaubt eine Nutzung von E-Mail-Adressen zu Werbezwecken ferner nur, wenn Kunden „die Möglichkeit erhalten, eine solche Nutzung ihrer elektronischen Kontaktinformationen bei deren Erhebung und bei jeder Übertragung gebührenfrei und problemlos abzulehnen“. Das nach § 95 Abs. 2 S. 2 TKG bestehende Widerspruchsrecht ermöglicht dies nicht. Vielmehr setzt ein Widerspruch voraus, mit dem Anbieter umständlich in Verbindung zu treten, indem man eine Kontaktmöglichkeit sucht und eine gesonderte Nachricht verfasst.

Schließlich ist Emailwerbung nach der Richtlinie nur für „eigene ähnliche Produkte oder Dienstleistungen“ zulässig. Die beworbenen Produkte müssen also denjenigen vergleichbar sein, für die sich der Verbraucher im Rahmen eines Verkaufsgesprächs interessiert hat. § 95 TKG setzt auch dies nicht um.

Einen Formulierungsvorschlag zur ordnungsgemäßen Umsetzung des Art. 13 Abs. 2 RiL 2002/58/EG in das deutsche Recht findet sich auf Seite 64 meiner Stellungnahme gegenüber dem Bundestag (http://www.daten-speicherung.de/data/Forderungen_Telemedienrecht_26-02-2009_publ.pdf).

Da das Bundeswirtschaftsministerium zurzeit eine „TKG-Novelle 2010″ vorbereitet, in deren Rahmen das 2009 beschlossene „Telekom-Paket“ umgesetzt werden soll, würde es mich freuen, wenn Sie darauf dringen könnten, dass im Zuge dieser Novelle auch die vorbestehenden Umsetzungsdefizite beseitigt werden.

Mit freundlichem Gruß,

Kommentare (2)

Autoren müssen dem Verlag nicht ihre Steuernummer offenbaren

Ein Verlag schrieb an einen Autor:

unsere Buchhaltung hat uns mehrmals darauf hingewiesen, dass in der Honorarabrechnung auch bei nicht umsatzsteuerpflichtigen Autoren eine Steuernummer anzugeben ist (siehe Anhang).

Gemäß § 14 (4) Nr. 2 UStG muss eine Rechnung „die dem leistenden Unternehmer vom Finanzamt erteilte Steuernummer oder die ihm vom Bundeszentralamt für Steuern erteilte Umsatzsteuer-Identifikationsnummer“ enthalten. Diese Regelung gilt auch für Rechnungen von Kleinunternehmern, von deren Umsätzen keine Umsatzsteuer erhoben wird gemäß § 19 (1) S. 4 UStG.

Aus der Antwort vom 09.01.2010:

ich bitte um Ihr Verständnis für meinen Widerstand in der Frage der Steuernummer. Ich will Ihnen keine unnötigen Umstände bereiten, sehe es aber als grundsätzliche Frage an, ob Autoren gegenüber Verlagen ihre Steuernummer offen legen müssen.

Meines Erachtens ergibt sich das nicht aus § 14 UStG. Erstens gilt die Vorschrift nur für Dokumente, mit denen über eine Leistung abgerechnet wird. Eine Honorarabrechnung des Verlags stellt keine Rechnung in diesem Sinne dar. Ihr Verlag erbringt keine Leistung mir gegenüber, wenn er das Entgelt für einen von mir verfassten Aufsatz auszahlt. Die Leistung erbringe ich und nicht der Verlag. Eine Abrechnung des Verlags über das ausgezahlte Entgelt ist nicht erforderlich und wird auch von anderen Verlagen nicht erstellt. Zweitens hat auch eine Rechnung nur „die dem leistenden Unternehmer vom Finanzamt erteilte Steuernummer“ zu enthalten, also die Steuernummer des Ausstellers der Rechnung – und nicht etwa die Steuernummer ihres Empfängers.

Das Honorar ist daraufhin ohne Angabe der Steuernummer ausgezahlt worden.

Kommentare (1)

Was änderte das SWIFT-Abkommen? [ergänzt am 17.02.2010]

Aus einer E-Mail vom 08.02.2010:

der Zugriff auf Bankdaten ist bisher in Art. 4 des US-EU-Rechtshilfeübereinkommens geregelt: eur-lex.europa.eu/…
Danach dürfen nur Bankdaten von Personen übermittelt werden, die in Straftaten „verwickelt“ sind. Die Übermittlung erfolgt nicht direkt durch eine Bank, sondern nur nach Prüfung des Ersuchens durch die europäische Rechtshilfestelle. Art. 9 sieht eine Zweckbindung vor und erlaubt es nicht, die erhobenen Daten in Massendatenbanken aufzunehmen (z.B. Terrorliste, No-Fly-Liste) oder an Drittstaaten weiterzugeben.

Das SWIFT-Abkommen aus 2009 (register.consilium.europa.eu/…) dagegen beschränkt die Abfrage von Daten keineswegs auf Personen, die an Straftaten beteiligt waren, sondern erlaubt auch die Anforderung der Daten völlig unverdächtiger und ungefährlicher Personen, wenn die US-Behörden die Daten für ihre vagen Terror-Suchoperationen zu benötigen meinen. Außerdem erfolgt keine Prüfung durch eine Rechtshilfestelle. Die Verwendung der Daten ist nicht auf ein bestimmtes Ermittlungsverfahren wegen einer bestimmten Straftat beschränkt; das neue Abkommen erlaubt die Aufnahme der erhobenen Daten in Massendatenbanken (z.B. Terrorliste, No-Fly-Liste) und die Weitergabe an Drittstaaten.

Nimmt man dazu, dass das bisherige Rechtshilfeabkommen durch das neue Abkommen nicht abgelöst, sondern nur ergänzt würde, ist offensichtlich, dass die Ratifizierung des neuen Abkommens weniger Daten- und Grundrechtsschutz für uns bedeuten würde (es würden unvergleichlich viel mehr Daten bei weniger Prüfung und weniger Verwendungsbeschränkungen ausgeliefert).

Schon das Rechtshilfeübereinkommen aus 2003 enthält nicht die erforderlichen Grundrechtssicherungen.

Siehe auch:

Parlamentsdokumente zum SWIFT-Abkommen (englisch)

Ergänzung vom 17.02.2010:

Europarlamentarier haben einen Vergleich des SWIFT-Abkommens mit dem bestehenden US-EU-Rechtshilfeabkommen erstellt und im EP verteilt, um nachzuweisen, dass es keine von Rat und Kommission behauptete Verschlechterung des Datenschutzes gibt, wenn das SWIFT-Abkommen scheitert:

Rechtsschutz und Datenschutz bei der Kooperation mit den USA

Was passiert im Falle einer Ablehnung des SWIFT-Abkommens?

Im Vorfeld der Abstimmung über das Übergangsabkommen zur SWIFT-Bankdatenweitergabe kursiert u.a. in der Rats-Erklärung vom 9.2.20101 das Gerücht, das allgemeine Rechtshilfeabkommen zwischen der EU und den USA beinhalte ein geringeres Niveau an Datenschutz im Vergleich zum Interims-Abkommen über TFTP/SWIFT. Dies ist nicht der Fall.

Das Rechtshilfeabkommen2 erlaubt einen Zugriff auf weitere Datentypen als das SWIFT-Abkommen3, da es auch andere Arten von Finanztransaktionen behandelt. Die angefragten Daten sind aber hinsichtlich der Spezifizierung des Personenkreises, des nötigen Anfangsverdachtes, der Übertragung überschüssiger Daten unbeteiligter Dritter, der Zweckbindung und der Weitergabe der Daten an Drittstaaten und andere Behörden besser geschützt als nach dem SWIFT-Abkommen.

Da das Rechtshilfeabkommen durch das neue SWIFT-Abkommen nicht abgelöst, sondern ergänzt würde, ist offensichtlich, dass die Ratifizierung des neuen Abkommens weniger Daten- und Grundrechtsschutz für EU-Bürger bedeuten würde: Es würden mehr Daten bei weniger Prüfung und weniger Verwendungsbeschränkungen ausgeliefert.

Art der abgefragten Bankdaten: Der Zugriff auf Bankdaten ist in Art. 4 des Rechtshilfeabkommens geregelt. Dabei handelt es sich laut Abs. 1 um die Information, ob „eine Person Inhaber eines oder mehrerer Bankkonten ist“, erfragt werden können darüber hinaus auch „Informationen im Besitz von nicht dem Bankenwesen angehörenden Finanzeinrichtungen und nicht mit Bankkonten verbundene finanzielle Transaktionen. Übermittelt werden laut Abs. 6 „Aufzeichnungen über die (…) ermittelten Bankguthaben oder Transaktionen“. Das Bankgeheimnis ist mit Abs. 5 insofern aufgehoben. Damit ist es weiterhin möglich, Daten über Finanztransaktionen mit US-Strafverfolgungsbehörden auszutauschen. Dies kann über die SWIFT-Transaktionen hinausgehen und z.B. auch SEPA-Überweisungen, Kreditkartentransaktionen oder Transaktionen via Western Union betreffen. Insofern ist was die Datentypen betrifft ein Zugriff im Vergleich mit dem SWIFT-Abkommen möglicherweise erweitert. Dies lässt sich allerdings nicht mit Bestimmtheit sagen, da die betroffenen Finanzdienstleister laut Art. 3 des SWIFT-Abkommens nicht explizit genannt werden, sondern in einem geheimen Anhang spezifiziert werden, der sich der Kontrolle des Parlaments entzieht.

Betroffener Personenkreis: Nach Art. 4 des Rechtshilfeabkommens dürfen nur Bankdaten von Personen übermittelt werden, die „einer Straftat verdächtigt oder wegen einer solchen angeklagt“ sind, darüber hinaus Daten über „verurteilte oder in sonstiger Weise in Straftaten verwickelte“ Personen. Das SWIFT-Abkommen dagegen erlaubt auch die Anforderung der Daten völlig unverdächtiger und ungefährlicher Personen, wenn die US-Behörden die Daten für ihre Terror-Suchoperationen zu benötigen meinen. Damit ist mit dem Rechtshilfeabkommen eine deutlich engere Beschränkung des betroffenen Personenkreises als in dem SWIFT-Abkommen vorgesehen. Mit dem SWIFT-Abkommen können auch Daten über unverdächtige Personen ohne jeden Bezug zu einer Straftat abgefragt werden.

Begrenzung der Daten: Nach Art. 4 des Rechtshilfeabkommens müssen die Auskunftsersuchen sich auf bestimmte Personen beziehen, und nur über diese Personen dürfen Daten übermittelt werden. Eine überschüssige Datenweitergabe durch Pakete („Bulk“), die auch Daten über unbeteiligte Dritte beinhaltet, ist damit im Gegensatz zum Art. 4(6) des SWIFT-Abkommens ausgeschlossen.

Zweckbindung der Daten: Art. 9 des Rechtshilfeabkommens sieht eine Zweckbindung vor. Die Daten dürfen nur für kriminalpolizeiliche Ermittlungen, für Strafverfahren und zur Abwendung einer unmittelbaren und ernsthaften Bedrohung [der] öffentlichen Sicherheit“ verwendet werden. Beim SWIFT-Abkommen ist die Verwendung der Daten nicht auf ein bestimmtes Ermittlungsverfahren wegen einer bestimmten Straftat beschränkt. Die Daten können laut Art. 5(2)(b) abgefragt werden, solange aufgrund von „Informationen“ ein „Bezug“ zum Terrorismus angenommen wird. Damit ist besteht beim SWIFT-Abkommen eine wesentlich geringere Schwelle für Datenabfragen.

Weitere Verwendung und Weitergabe: Nach Art. 9 des Rechtshilfeabkommens ist es nicht erlaubt, die erhobenen Daten an andere Behörden oder an Drittstaaten weiterzugeben. Das SWIFT-Abkommen erlaubt dagegen in Art. 5(2)(h) die Weitergabe von aus den Daten gewonnenen „terroristischen Anhaltspunkte“. Diese beinhalten üblicherweise auch personenbezogene Daten. Diese können ohne weiteren Rechtsschutz und ohne eine Informationspflicht an die betroffenen Personen an „die für Strafverfolgung, öffentliche Sicherheit und Terrorismusbekämpfung zuständigen Behörden in den Vereinigten Staaten, in der Europäischen Union oder in Drittstaaten zur Verwendung für die Zwecke der Ermittlung, Aufdeckung, Verhütung oder Verfolgung von Terrorismus oder Terrorismusfinanzierung“ weitergegeben werden. Damit ist eine Aufnahme personenbezogener Daten in Massendatenbanken (z.B. Terrorliste, No-Fly-Liste) möglich. Eine Kontrolle ihrer weiteren Verwendung in Drittstaaten, einschließlich Diktaturen, mit denen die USA bei der Terrorbekämpfung zusammenarbeiten, dürfte kaum möglich sein.

Fußnoten:

1 Council Presidency: Council of the European Union (COREPER): Draft Declaration on the EU-US-Agreement on the Transfer of Financial Messaging Data for Purposes of the Terrorist Finance Tracking Programme, 9.2.2010

2 Abkommen zwischen der Europäischen Union und den Vereinigten Staaten von Amerika über Rechtshilfe 19.7.2003, OJ L 181/34, http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:2003:181:0034:0042:DE:PDF

3 Abkommen zwischen der Europäischen Union und den Vereinigten Staaten von Amerika über die Verarbeitung von Zahlungsverkehrsdaten und deren Übermittlung aus der Europäischen Union an die Vereinigten Staaten für die Zwecke des Programms zum Aufspüren der Finanzierung des Terrorismus, 30.11.2009, OJ L 8/11, http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:2010:008:0011:0016:DE:PDF

Kommentieren

Anonym mit Paypal zahlen

Beim Lesen der Datenschutzbestimmungen des Internet-Bezahldiensts Paypal kommen dem datenschutzgeneigten Onlinekäufer Tränen in die Augen: Unter anderem behält sich Paypal vor, in weitem Umfang Kunden- und Transaktionsdaten nicht nur unbefristet in den USA zu speichern, sondern auch an internationale Behörden, Auskunfteien und Adresshändler zu übermitteln. Geschäftssitz ist Luxemburg, so dass Paypal mit deutschem Datenschutzrecht und Aufsichtsbehörden nicht zu fassen ist. Trotzdem ist Paypal weltweit das verbreitetste Zahlungssystem.

Es ist aber möglich, sich mit Fantasiedaten und Wegwerf-E-Mail-Adresse anonym anzumelden. Da Paypal die IP-Adresse des Nutzers aufzeichnet, deren Zuordnung zum Internetanschluss dank Vorratsdatenspeicherung 6 Monate gespeichert wird, empfiehlt es sich, Paypal grundsätzlich nur über einen Anonymisierungsdienst zu betreten. Nach der Anmeldung drängt Paypal zwar darauf, den Account anhand einer Bankverbindung oder einer Kreditkarte abzugleichen, was die Anonymität aufheben würde. Das lässt sich aber überspringen. Doch wie anonym Guthaben auf das Konto schaffen?

Beispiel PaysafecardDie russische „Online-Wechselstube“ http://www.psc2wm.com/ bietet an, unter anderem Paysafecard- und Ukash-Guthaben nicht nur auf Webmoney- (das russische Paypal-Pendant), sondern auch auf Paypal-Konten zu wechseln und einzuzahlen. Paysafecard und Ukash sind Gutscheincodes, die in vielen Tankstellen, Callshops und Supermärkten ganz ähnlich wie Handyguthaben anonym zu kaufen sind (Paysafecard unter anderem bei: Rossmann, Netto Markendiscount, Woolworth, Aral, Total, Agip, Shell, Westfalen und vielen Lotto-Annahmestellen, Callshops und Handyautomaten; Ukash unter anderem bei: Woolworth, Agip, Aral, Avia, Esso, OMV, Q1, Westfalen und vielen Lotto-Annahmestellen und Callshops). So gelang es mir probeweise, 10 € anonymes Ukash-Guthaben auf ein ebenfalls anonym angemeldetes Paypal-Konto einzuzahlen. Leider schlugen die Gebühren nicht unerheblich zu Buche: Bei Ukash war der Wechselkurs des Diensts etwa 15% ungünstiger als der der Deutschen Bundesbank, bei der Ausgangswährung Paysafecard sogar 25%. Außerdem werden bei unter 50 € Ausgangsguthaben weitere 10% an Gebühr einbehalten, so dass von 10 € Ukash nur 11,01 US$ (statt 14,83 US$) blieben. Von diesen zog Paypal, wo das Geld innerhalb von 30 Minuten von „CISBill Systems“ ankam, nochmals 3,9% plus 0,50 US$ „Einzahlungsgebühr“ ab. Von den einstmals 10 € Ukash wurden somit nur 6,97 € bei Paypal gutgeschrieben, was einen Verlust von gut 30% bedeutet (ein wenig könnte man wohl sparen, wenn man sein Paypal-Konto in US$ führt). Dennoch ist es grundsätzlich möglich.

Von Paypal ist bekannt, dass es nach nicht nachvollziehbaren Kriterien Identitätsüberprüfungen durchführt, bei denen das Paypal-Konto unvermittelt eingefroren wird und Kopien des Personalausweises, einer Meldebescheinigung oder einer Stromrechnung verlangt werden. Die Computerzeitschrift c’t berichtet exemplarisch von einem Fall, in dem Paypal „ohne Angabe von Gründen den unbescholtenen Verkäufer“ überprüfte, „die Betrüger ließ das eBay-Unternehmen hingegen gewähren“. Weiterhin wird von Fällen berichtet, in denen Paypal-Guthaben spurlos verschwand oder Buchungen nachträglich ohne ersichtlichen Grund storniert wurden. Bei Paypal könne der Kunde „willkürliche Entscheidungen (…) nur hinnehmen“ (c’t 17/2007, S. 68). Es empfiehlt sich deshalb auch unabhängig vom Datenschutz, Paypal nach Kräften entweder ganz zu meiden oder zumindest keine nennenswerten Geldbeträge anzuvertrauen oder Geld länger auf einem Paypal-Konto zu parken.

Jonas

Kommentare (4)

Bußgeldverfahren gegen Datenkrake eBay eingeleitet

Seit 2004 weigert sich eBay, Auskunft über den von jedem Nutzer gespeicherten Klickstream zu geben. eBay zeichnet das Surfverhalten („Navigationsverhalten“) jedes Nutzers auf unbegrenzte Zeit in identifizierbarer Form auf und weiß daher, für welche Produkte sich jeder Nutzer im Laufe seines Lebens interessiert hat.

Auskunft über die gespeicherten Daten verweigert das Unternehmen. Nach Einschaltung der zuständigen Aufsichtsbehörde leugnete das Unternehmen zunächst, dass überhaupt ein Auskunftsanspruch besteht. Die Aufsichtsbehörde wies diese Argumente aber zurück und leitete ein Bußgeldverfahren gegen das Unternehmen wegen verweigerter Auskunfterteilung (§ 38 BDSG) ein. eBay droht eine Geldbuße von bis zu fünfzigtausend Euro (§ 43 BDSG).

Nun hat sich eBay auf die Argumentation verlegt, die deutschen Aufsichtsbehörden seien überhaupt nicht zuständig. Aus der E-Mail der Aufsichtsbehörde vom 14.01.2010:

Sehr geehrter Herr […],

entschuldigen Sie bitte die verzögerte Antwort auf Ihre E-Mail. Ungeachtet der Frage, ob Betroffene über Bußgeldverfahren nach dem BDSG informiert werden, teile ich Ihnen nachfolgend den aktuellen Sachstand mit:

Zwischenzeitlich wurde die Zuständigkeit der hiesigen Aufsichtsbehörde für den Datenschutz im nicht-öffentlichen Bereich in Frage gestellt.

Hintergrund:

Durch die Verlagerung der eBay-Europazentrale von der Schweiz nach Luxembourg am 1. Januar 2007 traten neue Allgemeine Geschäftsbedingungen und eine neue Einwilligung in die Verarbeitung der personenbezogenen Daten in Kraft.

Je nach Wohnsitz oder Sitz des eBay-Mitglieds ist seither folgende Gesellschaft der Vertragspartner.

eBay-Mitglieder mit Wohnsitz oder Sitz:

  • in der EU eBay Europe S.à r.l., 22-24 Boulevard Royal, 2449 Luxembourg
  • außerhalb der EU mit Ausnahme der USA eBay International AG, Helvetiastraße 15-17, 3005 Bern, Schweiz
  • in den USA eBay Inc., 2145 Hamilton Ave., San Jose, CA 95125, USA

Nach weiteren internen Umstrukturierungen und Veränderungen der Datenverarbeitung im Jahr 2009 war nun zu prüfen, welchen Stellenwert der eBay-Standort in Kleinmachnow im Lichte des § 1 Abs. 5 BDSG / Art 4 der EU Datenschutz-Richtlinie (in Verbindung mit dem Erwägungsgrund 19) hat. Grundsätzlich gilt für alle Aktivitäten einer Niederlassung einer in einem Mitgliedstaat ansässigen verantwortlichen Stelle innerhalb des EU/EWR-Raumes das Datenschutzrecht des Ortes der Niederlassung. Die Existenz einer Niederlassung vor Ort ist aber ohne Bedeutung, wenn die konkrete Aktivität nicht von dieser, sondern vom Ausländischen Hauptsitz ausgeht oder wenn die Niederlassung nur als Auftragsverarbeiter fungiert.

Nach Meinung von eBay ist zuständige Behörde für die Kontrolle und materiell rechtliche Prüfung datenschutzrechtlicher Belange der deutschen eBay-Mitglieder die

Commission nationale pour la protection des données
41, avenue de la gare
L-1611 Luxembourg
4. Stock
Telefon: 352 26 10 60 – 1
Fax: 352 26 10 60 – 29.

Nach Auskunft von eBay sei die Luxemburgische Gesellschaft verantwortliche Stelle, und grundsätzlich der Vertrags- und Ansprechpartner für die deutschen Nutzer. Die Datenverarbeitung erfolge durch oder im Auftrag der Luxemburgischen Gesellschaft. Der eBay Standort in Kleinmachnow verarbeite Kundendaten (nur) im Auftrag. Nur hinsichtlich der Arbeitnehmerdaten liege eine eigenverantwortliche Verarbeitung vor.

Gegenwärtig ist die Prüfung zu Fragen der Zuständigkeit noch nicht abgeschlossen.

Mit freundlichen Grüßen
Im Auftrag

[…]

Ministerium des Innern
Aufsichtsbehörde für den Datenschutz im nicht-öffentlichen Bereich
Referat II/3
Henning-von-Tresckow Str. 9-13
14467 Potsdam

Da sich eBay nicht an das deutsche Recht gebunden hält, das die praktizierte Surfprotokollierung verbietet (§ 15 TMG), und weil außerdem sämtliche Personendaten an die USA ausgeliefert werden, wo sie dem Zugriff verschiedener Geheimdienste unterliegen, kann von der Nutzung von eBay nur abgeraten werden.

Kommentare (8)

Datenschutzbeauftragte: Protokollierung von IP-Adressen ist unzulässig [ergänzt am 19.02.2010]

Die Datenschutz-Aufsichtsbehörden für den nicht-öffentlichen Bereich (Liste) reden Tacheles mit den Anbietern von Internetportalen und -diensten: Am 26./27.11.2009 stimmten sie einem Antrag (pdf) Mecklenburg-Vorpommerns zu, wonach die IP-Adressen von Internetnutzern auch für Anbieter von Internetdiensten ein personenbeziehbares Datum darstellen, das dem Datenschutzrecht unterliegt. Ohne bewusste, eindeutige Einwilligung des Nutzers dürften IP-Adressen daher nur gekürzt zur statistischen Analyse des Nutzungsverhaltens verwendet werden.

Inhalt des Beschlusses

Wörtlich heißt es in dem Beschluss des Düsseldorfer Kreises, in dem die Vertreter der obersten Aufsichtsbehörden der Länder sowie der Bundesbeauftragte für den Datenschutz zusammengeschlossen sind:

Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen. Jede darüber hinausgehende Nutzung bedarf der Einwilligung der Betroffenen.

Die Analyse des Nutzungsverhaltens unter Verwendung vollständiger IP-Adressen (einschließlich einer Geolokalisierung) ist aufgrund der Personenbeziehbarkeit dieser Daten daher nur mit bewusster, eindeutiger Einwilligung zulässig. Liegt eine solche Einwilligung nicht vor, ist die IP-Adresse vor jeglicher Auswertung so zu kürzen, dass eine Personenbeziehbarkeit ausgeschlossen ist.

Der letzte Absatz ist insofern missverständlich als nicht nur die ungekürzte Auswertung der IP-Adressen von Internetnutzern sondern schon deren ungekürzte Protokollierung illegal (§§ 13, 15 TMG) ist und mit einem Bußgeld von bis zu 50.000 Euro (§ 16 TMG) bestraft wird. Der erste zitierte Absatz macht dies deutlich („Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen.“)

Mit der Forderung nach einer Kürzung der IP-Adresse stellen die Aufsichtsbehörden klar, dass eine bloße Verschlüsselung der ungekürzten IP-Adressen (z.B. MD5-Verfahren, mod_scrambleIP) nicht genügt, weil diese – zumindest für eine gewisse Zeit – durch Rückrechnung umkehrbar ist.

Soweit das Telemediengesetz die Erstellung von Nutzungsprofilen unter Verwendung von Pseudonymen erlaubt (§ 15 Abs. 3 TMG), stellen die Aufsichtsbehörden klar:

Die IP-Adresse ist kein Pseudonym im Sinne des Telemediengesetzes.

Bewertung

Dass die Aufsichtsbehörden die bei Webseitenanbietern anfallenden IP-Adressen als personenbezogene Daten ansehen, entspricht der inzwischen nahezu einhelligen Meinung in Fachkreisen (ebenso Amtsgericht Berlin, Landgericht Berlin, Verwaltungsgericht Wiesbaden, Amtsgericht Wuppertal, schweizerisches Bundesverwaltungsgericht, oberstes schwedisches Verwaltungsgericht, französischer Verfassungsgerichtshof [Abs. 27], Bundesjustizministerium, Bundesdatenschutzbeauftragter, Datenschutzbeauftragte des Bundes und der Länder, die Datenschutzbeauftragten aller EU-Staaten [1, 2, 3]; anders nur ein vereinzeltes Urteil des AG München).

Dass die Anbieter von Internetportalen sicherzustellen haben, dass „die anfallenden personenbezogenen Daten über den Ablauf des Zugriffs oder der sonstigen Nutzung unmittelbar nach deren Beendigung gelöscht“ werden (§ 13 TMG) und dass damit die Aufbewahrung von Nutzer-IP-Adressen in „Logfiles“ unzulässig ist, steht ebenfalls schon lange im Gesetz und ist weitgehender Konsens (ebenso Amtsgericht Berlin, Verwaltungsgericht Wiesbaden, Bundesjustizministerium, Bundesdatenschutzbeauftragter). Selbst der Bundesgerichtshof hat inzwischen ein „Recht des Internetnutzers auf Anonymität“ anerkannt (Az. VI ZR 196/08).

Vor dem Hintergrund, dass personenbeziehbare Logfiles gleichwohl weit verbreitet sind und ihre Erstellung sogar die Voreinstellung US-amerikanischer Software zur Bereitstellung von Internetportalen darstellt, steht zu hoffen, dass die Aufsichtsbehörden nach ihrer Einigung jetzt endlich Bußgelder gegen Anbieter von Internetportalen und -diensten verhängen werden, die sich nicht an das Protokollierungsverbot halten. Der Berliner Datenschutzbeauftragte hat bereits eine besondere Bußgeldstelle in seiner Behörde eingerichtet, um in Zukunft verstärkt Sanktionen verhängen zu können. Bildblogger Stefan Niggemeier ist die Protokollierung von IP-Adressen bereits verboten worden.

Jeder Internetnutzer kann zu einem vorratsspeicherfreien Internet beitragen, indem er deutschen Anbietern, die die IP-Adressen von Surfern aufzeichnen, der für den Sitz des Anbieters zuständigen Aufsichtsbehörde meldet. Außerdem sollte man sich mithilfe eines Anonymisierungsdienstes und geeigneter Software vor einer identifizierbaren Aufzeichnung seines Surfverhaltens schützen.

Jeder Anbieter eines Internetportals oder -dienstes kann sein Angebot rechtskonform und protokollierungsfrei gestalten, indem er den Anleitungen des Netzwerks „Wir speichern nicht!“ folgt. Wer einen Webhoster nutzt, der rechtswidrig IP-Adressen protokolliert (nachfragen!), sollte von ihm Abhilfe innerhalb einer Frist von z.B. zwei Wochen verlangen. Stellt der Webhoster die Protokollierung nicht ab, kann man fristlos kündigen und zu einem speicherfreien Webhoster wechseln. Wer einen Analysedienst nutzt oder externe Medien eines Anbieters einbindet, der wie Google Analytics, Youtube oder nahezu jeder amerikanische Anbieter rechtswidrig IP-Adressen protokolliert, muss die Einbindung entfernen oder anonymisieren. Eine Einbindung stellt juristisch eine „Auftragsdatenverarbeitung“ dar. Der deutsche Anbieter bleibt dafür verantwortlich, dass sein „Auftragnehmer“ das deutsche Datenschutzrecht einhält, wovon man bei ausländischen Diensten natürlich nicht ausgehen kann.

Dass auch datenschutzkonforme Statistiken erstellt werden können, zeigt etwa der Anbieter eTracker, der das Siegel „Wir speichern nicht!“ des Arbeitskreis Vorratsdatenspeicherung tragen darf. eTracker kann ohne ungekürzte Protokollierung von IP-Adressen eingesetzt werden. Es ist zu hoffen, dass weitere Statistikanbieter diesem Vorbild folgen werden und sich dadurch weitere Alternativen zu dem illegalen Dienst „Google Analytics“ finden werden.

Weitere Informationen für Diensteanbieter:

Ergänzung vom 19.02.2010:

Weitere datenschutzkonforme Analysedienste finden sich hier.

Kommentare (24)

Vorschläge zur Verbesserung des europäischen Datenschutzes gegenüber Privaten

Im Rahmen einer Anhörung der EU-Kommission habe ich Vorschläge unterbreitet, wie man den europäischen Schutz von Daten bei Privatpersonen und Unternehmen verbessern könnte:

I. Verbesserter Datenschutz

1. Einführung eines Rechts auf anonyme Nutzung von Diensten der Informationsgesellschaft

Begründung: Nur im Schutz der Anonymität sind sensible Recherchen und Tätigkeiten im Internet überhaupt möglich (z.B. Recherchen von Journalisten oder Menschen in einer Notlage wie Drogenabhängige). Werbefinanzierten Anbietern ist eine anonyme Zugangsmöglichkeit nicht unzumutbar, weil sie für diese Zugänge ein (zusätzliches) Entgelt erheben können, welches die entgangenen Einnahmen aus personenbezogener Werbung ausgleicht. Die Abrechnung kann über anonyme vorausbezahlte Guthabenkarten erfolgen (z.B. „paysafecard“).

Formulierungsvorschlag: „Der Diensteanbieter hat dem Nutzer die Inanspruchnahme von Diensten der Informationsgesellschaft und ihre Bezahlung anonym zu ermöglichen, soweit dies technisch möglich und zumutbar ist. Die anonyme Bereitstellung ist zumutbar, wenn Dienste dieser Art am Markt anonym angeboten werden, es sei denn, dass die besonderen Verhältnisse des Diensteanbieters entgegen stehen. Der Nutzer ist über die Möglichkeit der anonymen Inanspruchnahme zu informieren.“ (vgl. § 13 Abs. 6 TMG)

2. Einführung eines Rechts darauf, Dienste der Informationsgesellschaft nutzen zu können, ohne dass der Anbieter jeden Klick oder jede Eingabe personenbeziehbar aufzeichnet.

Begründung: Wie oben. Es besteht kein Widerspruch zur Richtlinie zur Vorratsdatenspeicherung, weil diese nur TK-Anbieter betrifft.

Formulierungsvorschlag: „Der Diensteanbieter darf personenbezogene Daten eines Nutzers nur verarbeiten, soweit dies erforderlich ist, um die Inanspruchnahme des Dienstes zu ermöglichen und abzurechnen (Nutzungsdaten).“ (vgl. § 15 Abs. 1 TMG)

3. Klarstellung, dass IP-Adressen personenbezogene Daten sind.

Begründung: Unternehmen wie Google behaupten bis heute, das von ihnen aufgezeichnete Nutzerverhalten sei nicht personenbezogen, obwohl zumindest staatliche Behörden die Identität des Nutzers anhand seiner IP-Adresse problemlos in Erfahrung bringen können. Die bestehende Rechtsunsicherheit über den Personenbezug von IP-Adressen beeinträchtigt den Datenschutz im Internet.

Formulierungsvorschlag: „Nutzungsdaten sind insbesondere Merkmale zur Identifikation des Nutzers einschließlich Internet-Protocol-Adressen, Angaben über Beginn und Ende sowie des Umfangs der jeweiligen Nutzung und Angaben über die vom Nutzer in Anspruch genommenen Dienste der Informationsgesellschaft.

4. Information über die Aufbewahrungsdauer personenbezogener Daten.

Begründung: Nur wenn der Betroffene darüber informiert ist, wie lange einzelne Anbieter seine Daten typischerweise aufbewahren, kann er eine wirklich freie Entscheidung darüber treffen, ob und welchen Anbieter einer Leistung er in Anspruch nehmen will. Nur auf diese Weise kann ein Wettbewerb um datensparsame Angebote entstehen. Dass sich die Unterrichtung auch auf „die mögliche Dauer der Datenspeicherung“ erstrecken muss, meint auch die Artikel 29-Datenschutzgruppe (Dokument WP 37 vom 21.11.2000, 65). Ohne Zeitabgabe kann der Nutzer nicht erkennen, ob eine Speicherung einen Monat oder zehn Jahre lang erfolgt.

Formulierungsvorschlag für Artikel 10 RiL 95/46/EG – neu -:
„Die Mitgliedstaaten sehen vor, daß die Person, bei der die sie betreffenden Daten erhoben werden, vom für die Verarbeitung Verantwortlichen oder seinem Vertreter zumindest die nachstehenden Informationen erhält, sofern diese ihr noch nicht vorliegen:
a) Identität des für die Verarbeitung Verantwortlichen und gegebenenfalls seines Vertreters,
b) Welche Daten wie lange und zu welchen Zwecken verarbeitet werden,
c) …“ (unverändert)

5. Vorformulierte Einwilligungsklauseln müssen einer Angemessenheitskontrolle unterworfen werden.

Begründung: Besonders Anbieter von Diensten der Informationsgesellschaft nutzen in der Praxis verbreitet das Schlupfloch der elektronischen Einwilligung, um sich den ausgewogenen gesetzlichen Regelungen über die Verarbeitung von Nutzerdaten zu entziehen. Die – meist unklar formulierte und mehrere Seiten lange – Einwilligungserklärung, welcher der Nutzer zustimmen muss, bedingt das Datenschutzrecht gleichsam insgesamt ab, indem sie eine unbefristete und unbeschränkte Erfassung, Nutzung und Weitergabe sämtlicher Daten über die Nutzer erlaubt. Dieser Zustand ist unhaltbar. Die deutschen Gerichte haben bereits entschieden, dass Einwilligungsklauseln einer Angemessenheitskontrolle unterliegen (grundlegend BGH vom 19.09.1985, Az. III ZR 213/83 – Schufaklausel).

Lösungsvorschlag: In die Richtlinie 98/27/EG über unangemessene Klauseln in Verbraucherverträgen müssen vorformulierte Klauseln über die Einwilligung in die Verarbeitung personenbezogener Daten aufgenommen werden. Unwirksam sein müssen Einwilligungsklauseln, wenn sie den von der Datenverarbeitung Betroffenen unangemessen benachteiligen oder wenn sie mit wesentlichen Grundgedanken einer gesetzlichen Regelung, von der sie abweichen, nicht zu vereinbaren sind.

II. Verbesserte Durchsetzung der geltenden Datenschutzgarantien

1. Einführung eines Verbandsklagerechts für Verbraucher- und Datenschutzverbände, damit sie gegen datenschutzwidrige Praktiken klagen können.

Begründung: Bei von Einzelnen angestrengten Prozessen wegen datenschutzwidriger Praktiken – etwa im Fall Voss ./. T-Online – gibt es immer wieder Finanzierungsschwierigkeiten; außerdem wird das Urteil von der Gegenseite oftmals nur für den jeweiligen Kläger umgesetzt und nicht für alle Kunden.

2. Klarstellung, dass Datenschutzbestimmungen auch dem Schutz eines fairen Wettbewerbs dienen.

Begründung: Die Einhaltung des Datenschutzrechts ist wettbewerbsrelevant, weil sich hiergegen verstoßende Unternehmen im Wettbewerb mit datenschutzkonform arbeitenden Konkurrenten einen unlauteren Vorteil durch Rechtsbruch verschaffen. Bisher sind die Gerichte in Deutschland der Meinung, dass Datenschutzvorschriften nicht wettbewerbsschützend seien. Das Wettbewerbsrecht ist aber ein effizientes, unbürokratisches und erfolgreiches Instrument, das auf den Bereich des Datenschutzes erstreckt werden sollte.

3. Einführung einer Herstellerhaftung für den Fall, dass unsichere Produkte zu Datenschutzverletzungen führen (Produkthaftung)

Begründung: Im Softwarebereich wäre es sinnvoll, die Produkthaftung von Herstellern informationstechnischer Produkte auf Vermögensschäden zu erstrecken, die dadurch entstehen, dass ein Produkt nicht wirksam (Stand der Technik) vor Computerattacken oder Datenverlust geschützt ist. Dann würden Softwarehersteller für die Folgen ihrer Sicherheitslücken („Bugs“) haften, die schon oft für Verluste persönlicher Daten und von Betriebsgeheimnissen gesorgt haben. Das Haftungsrecht ist ein sehr effizientes Rechtsdurchsetzungsinstrument, wie sich etwa im Bereich der
Arbeitssicherheit gezeigt hat. Es sollte auch für den Datenschutz nutzbar gemacht werden.

4. Verschuldensunabhängige Haftung für Datenschutzverletzungen mit pauschaler Entschädigungssumme

Die Datenverarbeiter sollten den Betroffenen auch für
immaterielle Schäden haften (z.B. Sorge um einen möglichen Missbrauch ihrer Daten infolge einer Datenpanne), und zwar verschuldensunabhängig. Ein Regelwert für den immateriellen Schaden sollte festgelegt werden (z.B. 200 Euro pro Person). Entschädigungszahlungen wegen Datenpannen könnte der für die Verarbeitung Verantwortliche dann vom Hersteller ersetzt verlangen (siehe Punkt 3 oben), wenn ein unsicheres Produkt für den Schaden verantwortlich ist.

Begründung: Durch die Einführung einer Haftung für Datenpannen samt pauschaler Entschädigungssummen wären große Datenverarbeiter gezwungen, sich gegen Datenschutzverletzungen zu versichern. Durch die Versicherungsprämie hätten sie ein eigenes finanzielles Interesse daran, die Schadenswahrscheinlichkeit zu senken. Auf dem Gebiet der Unfallversicherung hat ein solches System bereits zu einem drastischen Rückgang der Zahl der Arbeitsunfälle geführt.

5. Privacy by design: Kommerzielle informationstechnische Produkte dürfen nicht so voreingestellt sein, dass der Verwender gegen Datenschutzrecht verstößt.

Begründung: Computerprodukte müssen mit einer sicheren und datensparsamen Grundeinstellung ausgeliefert werden. Dies ist derzeit leider bei den – vorherrschenden – amerikanischen Produkten nicht der Fall, weil es in den USA bekanntlich im privaten Bereich keinerlei Datenschutzgarantien gibt. Kommerziellen Anbietern informationstechnischer Produkte ist es jedoch zumutbar, Produkte für den europäischen Markt mit datenschutzkonformen Voreinstellungen auszuliefern. Es ist auch gesamtwirtschaftlich sinnvoller, wenn der Hersteller sein Produkt rechtskonform gestaltet als wenn sämtliche Abnehmer das Produkt erst rechtskonform umgestalten müssen.

6. Einführung von Informationspflichten bei Datenschutzverletzungen

Begründung: US-amerikanische Erfahrungen zeigen, dass eine Informationspflicht über Datenpannen eine abschreckende Wirkung entfaltet und Vorbeugemaßnahmen der Datenverarbeiter fördert.

7. Maßnahmen zur Gewährleistung der Datensicherheit müssen dem Stand der Technik entsprechen.

Begründung: In den letzten Monaten sind immer wieder schwerwiegende Datenpannen mit Millionen von Betroffenen bekannt geworden, die hätten vermieden werden können, wenn die Verarbeitungssysteme auf dem Stand der Technik gewesen wären (z.B. durch Anwendung von Updates).

Formulierungsvorschlag für Artikel 17 (1) RiL 95/46/EG – neu:
„Die Mitgliedstaaten sehen vor, daß der für die Verarbeitung Verantwortliche die geeigneten technischen und organisatorischen Maßnahmen durchführen muß, die für den Schutz gegen die zufällige oder unrechtmässige Zerstörung, den zufälligen Verlust, die unberechtigte Änderung, die unberechtigte Weitergabe oder den unberechtigten Zugang – insbesondere wenn im Rahmen der Verarbeitung Daten in einem Netz übertragen werden – und gegen jede andere Form der unrechtmässigen Verarbeitung personenbezogener Daten erforderlich sind.
Diese Maßnahmen müssen dem Stand der Technik entsprechen und ein Schutzniveau gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden Daten angemessen ist.“

8. Benachteiligungsverbot bei Gebrauchmachen von Datenschutzrechten

Begründung: In der Praxis werden unabdingbare Regelungen des Datenschutzrechts immer wieder dadurch umgangen, dass Unternehmen mit einer ordentlichen Kündigung reagieren, wenn Betroffene von ihren gesetzlich garantierten Rechten Gebrauch machen. Zu diesen unabdingbaren Betroffenenrechten zählt insbesondere das Recht, Auskunft über die zur eigenen Person gespeicherten Daten verlangen zu dürfen sowie die Rechte auf Berichtigung, Löschung und Sperrung personenbezogener Daten.

Formulierungsvorschlag Richtlinie 95/46/EG: „Der für die Verarbeitung Verantwortliche darf den Betroffenen nicht benachteiligen, weil dieser in zulässiger Weise von Rechten aus dieser Richtlinie Gebrauch macht. Wenn im Streitfall der Betroffene Tatsachen glaubhaft macht, die eine Benachteiligung im Sinne des Satzes 1 vermuten lassen, trägt der Verantwortliche die Beweislast dafür, dass andere, sachliche Gründe die Behandlung des Betroffenen rechtfertigen.

9. Einrichtung einer „Stiftung Datentest“ nach dem Vorbild der „Stiftung Warentest“, um verschiedene Anbieter von Dienstleistungen einer Art zu vergleichen im Hinblick auf die Menge der jeweils erhobenen personenbezogenen Daten, die Datenverwendung und -weitergabe (etwa ins Ausland, an Auskunfteien oder zu Werbezwecken) und die Datensicherheit.

Begründung: Verbraucher können heutzutage realistischerweise nicht überblicken, was einzelne Anbieter mit ihren Daten machen. Auf dem Gebiet der Qualitätssicherung hat sich in Deutschland das Modell der „Stiftung Warentest“ bewährt, die Produkte testet, vergleicht und benotet. Wenn es eine „Stiftung Datentest“ gäbe, könnten Verbraucher sich ausgehend von deren Urteil leicht für ein datenschutzfreundliches Produkt entscheiden. Hersteller würden schon präventiv für mehr Datenschutz sorgen, um eine Empfehlung zu erzielen und schlechte Bewertungen zu vermeiden.

Kommentieren

Berliner Datenschutzbeauftragter verbietet IP-Logging auf Webservern des Bildbloggers Niggemeier

Der Berliner Datenschutzbeauftragter hat dem Bildblogger Stefan Niggemeier bezüglich dessen Seite www.stefan-niggemeier.de untersagt, IP-Adressen von Nutzern ohne deren Einwilligung zu speichern und somit heimlich Nutzungsprofile zu erstellen. Außerdem hat der Datenschutzbeauftragte unter Bußgeldandrohung eine fehlende Unterrichtung über die Erhebung, Verwendung und Verarbeitung von Nutzerdaten auf Niggemeiers Webseite gerügt. Ferner sei es unzulässig, in Foren E-Mail-Adressen als Pflichtfeld abzufragen. Dies geht aus mehreren Schreiben der Behörde, zuletzt vom 26.10.2009 hervor (Az. 521.4501).

Niggemeiers Standpunkt

Niggemeier hatte sich gegen die Umsetzung der datenschutzrechtlichen Vorgaben auf seiner Seite zunächst gewehrt und einen Rechtsanwalt beauftragt. Dieser argumentierte ohne Erfolg, IP-Adressen seien keine personenbezogenen Daten. Eine Absage erteilte der Datenschutzbeauftragte auch der Auffassung, die Speicherung werde dadurch legalisiert, dass es sich dabei um eine Standardeinstellung der Blog-Software Wordpress handele. Schließlich biss Niggemeier auch mit seiner einen gewissen Unterhaltungswert nicht entbehrenden Argumentation auf Granit, wegen des sogenannten Medienprivilegs dürfe Niggemeier unter dem Deckmantel redaktioneller Arbeit um das Telemedienrecht herum nach Herzenslust die Daten seiner Leser ausrecherchieren. In seinem Blog äußerte Niggemeiers Rechtsanwalt zudem sein Bedauern darüber, dass es bei Beanstandungen des Datenschutzbeauftragten nicht möglich sei, Anspruchsteller durch Abmahnungen und Klagen praktisch mundtot zu machen – ein Vorgehen, das Niggemeier als Betroffener noch kritisiert hatte. Nicht von Erfolg gekrönt war offenbar auch sein „Rechtsgedanke“, die Datenschutzbehörden gäben doch regelmäßig an überlastet zu sein und sollten sich daher stattdessen um wichtigere Verfahren wie jenes der Deutschen Telekom oder des Discounters Lidl kümmern (die beide nicht in den Zuständigkeitsbereich des Berliner Datenschutzbeauftragten fallen; im selben Absatz wird aber kritisiert, die Landesdatenschutzbeauftragten maßten sich „durch eine extensive Auslegung der Datenschutzgesetze“ Zuständigkeiten an).

Gericht oder nicht Gericht

Niggemeier trug vor, das LG Hamburg mit seiner berüchtigt strengen Haftungsrechtsprechung habe eine einstweilige Verfügung gegen ihn erlassen, Forumsbeiträge zu überwachen (Az. 324 O 794/07 – von IP-Adressen ist darin allerdings keine Rede). Könne er auch den Nutzer anhand der IP-Adresse nicht ohne Weiteres identifizieren, so wolle er doch zumindest Nutzer mit einer bestimmten IP-Adressen sperren können. Dazu hielt es Niggemeier für angezeigt, alle seine Nutzer unter Generalverdacht zu stellen und deren Daten vorsorglich, heimlich und auf unbekannte Zeit zu speichern. Laut einem neueren Blogeintrag Niggemeiers ist die einstweilige Verfügung jedoch seit Monaten hinfällig, nachdem die Gegenseite ihren Antrag in höherer Instanz zurückgenommen hat. Von der Unverhältnismäßigkeit dieser Datensammlung abgesehen ist demnach schon nicht ersichtlich, zur Erfüllung welcher noch bestehenden gerichtlichen Überwachungsanordnungen Niggemeiers Datenprotokollierung erforderlich sein könnte.

IP-Adressen sind im Übrigen über Proxys oder Anonymisierungsdienste, meist auch schon durch Neueinwahl leicht austauschbar und somit selbst zum Sperren von Nutzern kaum geeignet. Vor einiger Zeit habe ich einen Test zahlreicher Anonymisierungsdienste veröffentlicht, von denen jeder einzelne diese Fähigkeit hat. Vielmehr dürfte eine solche Sperre in vielen Fällen den nächsten Zuteilungsnehmer der IP-Adresse und somit völlig Unbeteiligte treffen.

Erst auf die Bußgeldandrohung des Datenschutzbeauftragten reagierte Niggemeier und versah sein Forum mit einer Einwilligungsklausel und seine Webseite mit einer Datenschutzerklärung, was die Datenspeicherung wenigstens transparent macht.

Nicht so wichtig

Offenbar ist die Einhaltung des Datenschutzes und somit auch ein gewisses ethisches Verhalten von Medien Niggemeier nicht so wichtig – wenn es um ihn selbst geht. Eine Reihe von Fragen vom 30.10.2009 in dieser Sache beantwortete Niggemeier nicht. Zum Beispiel die Frage, warum auf seiner Seite Bildblog die Datenschutzerklärung Stand heute nach wie vor ordnungswidrig und wider besseres Wissen fehlt und die Nutzer insoweit nicht wissen, welche Daten von ihnen gesammelt werden. Von einer Speicherung ist insoweit auszugehen, als Niggemeiers Anwalt ja die Auffassung vertritt, dass jede Speicherung dadurch legalisiert werde, dass sie in der Wordpress-Software so eingestellt sei. Möglicherweise also ein neuer Fall für den Berliner Landesdatenschutzbeauftragten – wenn er sich mal wieder nicht grenzüberschreitend um das baden-württembergische Unternehmen Lidl kümmert.

Jonas

Siehe auch:

Kommentare (13)

Gericht: Datenschutzverstöße dürfen sich nicht lohnen

Ordnungsgelder wegen Datenschutzverstößen müssen bei profitorientierten Unternehmen so hoch gewählt werden, dass sich Verstöße nicht lohnen. Das hat das Amtsgericht Rendsburg in einem Verfahren gegen den Mobilfunkanbieter Klarmobil wegen des verbotswidrigen Versands von Werbe-E-Mails entschieden (Beschluss vom 16.10.2009, Az. 3 C 218/07). Es verhängte aus diesem Grund nun ein Ordnungsgeld von 5.000 Euro, nachdem der Anbieter einem Kunden zwei verbotswidrige Werbe-E-Mails gesandt hatte. Für den Fall der Nichtzahlung des Ordnungsgelds hat das Gericht dem Geschäftsführer Klarmobils, Hartmut Herrmann, 50 Tage Haft angedroht.

Zuvor hatte der Kunde den Anbieter erfolgreich darauf verklagt, die Zusendung von Werbe-E-Mails an ihn zu unterlassen. Dennoch mochte sich Klarmobil nicht an das Urteil halten. Dies bewog das Gericht nun zu den beschriebenen Ordnungsmaßnahmen. Für weitere Spam-E-Mails drohte das Gericht dem Anbieter bereits jetzt an,

„ein Vielfaches des nunmehr verhängten Ordnungsgelds“

festzusetzen. Nach dem Gesetz erfolgt die Verhängung von Ordnungsgeldern, wenn gegen ein gerichtliches Unterlassungsurteil verstoßen wird; sie soll den Schuldner dazu motivieren, sich künftig an das Urteil zu halten. Gegen den Beschluss kann Klarmobil noch Beschwerde zum Landgericht Kiel einlegen.

Die Höhe des Ordnungsgelds begründete das Gericht damit, dass

„die Schuldnerin ein profitorientiertes Unternehmen ist und es ihr nicht gestattet sein darf, eine gelegentliche Inkaufnahme eines Ordnungsgelds im unterstelligen Bereich in Kauf zu nehmen“.

Im Klartext: Datenschutzverstöße dürfen sich nicht wirtschaftlich lohnen.

Dabei handelt es sich um ein generelles Problem des Datenschutzes auch im repressiven Bereich: Für Unternehmen ist es oft wirtschaftlicher, gegen Datenschutzregelungen zu verstoßen, weil zum einen das Entdeckungsrisiko durch die verbreitet überlasteten Aufsichtsbehörden gering ist und zum anderen auch sonst die zu erwartenden Bußgelder im Verhältnis zu den möglichen Vorteilen gering sind (Beispiel: Telefonwerbung, die zwar unzulässig ist, aber trotzdem so lange weiterbetrieben werden wird, wie sich damit de facto mehr verdienen lässt als sporadisch Buß- und Ordnungsgelder verhängt werden). Etwa weist der Tätigkeitsbericht 2008 (S. 16) des für den Datenschutz in Hessen zuständigen Regierungspräsidiums Darmstadt ganze 17 Bußgeldverfahren für das Berichtsjahr aus. In fast allen Fällen wurden Bußgelder im 3- oder unteren 4-stelligen Bereich festgesetzt, wobei häufig eine nachhaltig datenschutzkonforme Änderung der Betriebsabläufe teurer sein dürfte.

Hohe Bußgelder und ständige Gesetzeserweiterungen allein nützen aber nichts, wenn die vollziehenden Behörden so schlecht ausgestattet sind wie derzeit, so dass Antworten auf simple Anfragen erfahrungsgemäß oft Monate auf sich warten lassen. Der Bundesbeauftragte für Datenschutz und Informationsfreiheit selbst schreibt in seinem aktuellen Tätigkeitsbericht 2007/2008 (S. 149), er könne wegen Personalmangels „gesetzliche Aufgaben nicht mehr angemessen“ erledigen, was in einem „Rückgang der Kontrolldichte“ resultiere.

Jonas

Kommentieren

Entscheidet der Europäische Gerichtshof über die Vorratsdatenspeicherung? [ergänzt am 04.02.2010]

In zwei vielbeachteten Entscheidungen aus dem Februar diesen Jahres (Az.6 K 1045/08.WI und 6 K 1352/08.WI) über die Klagen dreier Landwirte aus Hessen hat das Verwaltungsgericht Wiesbaden die Auffassung vertreten, die Veröffentlichung von Subventionsempfängern im Internet sowie die Vorratsdatenspeicherung seien grundrechtswidrig; auch sei die Aufzeichnung des Surfverhaltens in „logfiles“ unzulässig. Das Verwaltungsgericht unter Vorsitz von Hans-Hermann Schild hat die Fragen dem Gerichtshof der Europäischen Gemeinschaften (EuGH) zur Entscheidung vorgelegt (Az. C-92/09 und C-93/09).

In ihrer hier erstmals veröffentlichten Stellungnahme (pdf) gegenüber dem EuGH vom 23.06.2009 hält die Europäische Kommission die Fragen für teils unzulässig, teils unbegründet. Die Veröffentlichung von Name, Wohnort und Zuwendungshöhe von Millionen Subventionsempfängern – hauptsächlich Bauern – im Internet sei aus Transparenzgründen erforderlich und auch verhältnismäßig. Die Prüfung der Vereinbarkeit der Richtlinie 2006/24/EG zur Vorratsdatenspeicherung mit den Grundrechte der betroffenen Bevölkerung habe „nichts ergeben […], was die Gültigkeit der Richtlinie 2006/24/EG […] in Frage stellen würde“. Die Frage nach der Zulässigkeit der Aufzeichnung des Surfverhaltens durch Anbieter von Internetportalen sei „unzulässig“ und „nicht zu beantworten“. Die Regierungen Griechenlands, Schwedens und der Niederlande kommen in eigenen Stellungnahmen (pdf) zu ähnlich negativen Ergebnissen.

Demgegenüber unterstützen die Kläger in einer 57-seitigen Stellungnahme (pdf) vom 11.10.2009 die Auffassung des vorlegenden Verwaltungsgerichts. Die Veröffentlichung unzähliger Namen von Landwirten im Internet trage zur Transparenz von Agrarbeihilfen nichts bei und schaffe jedenfalls „keinen gerechten Ausgleich“ mit den Grundrechten der Betroffenen. Die globale und pauschale Aufzeichnung des Telekommunikationsverhaltens der gesamten Bevölkerung (Vorratsdatenspeicherung) verstoße gegen die in der Europäischen Menschenrechtskonvention garantierten Grundrechte auf Datenschutz und freie Meinungsäußerung. Die „flächendeckende und unterschiedslose“ Vorratsdatenspeicherung dringe noch weit tiefer in unser Privatleben ein als die vom Menschenrechtsgerichtshof bereits verworfene britische DNA-Datenbank (Az. 30562/04 und 30566/04). Sie sei „verzichtbar für die Strafverfolgung“ und begründe einen unzumutbaren Eingriff in die Rechte der Betroffenen. Ein Verbot sei auch deshalb erforderlich, weil „die globale Speicherung von Daten allein für eine mögliche künftige staatliche Verwendung“ sonst „allmählich alle Lebensbereiche erfassen“ würde. In der Aufzeichnung der IP-Adressen der Benutzer einer Homepage ohne deren ausdrückliche Einwilligung sehe das Verwaltungsgericht zu Recht einen Verstoß gegen die EG-Datenschutzrichtlinie. Anbieter von Internetportalen hätten kein berechtigtes Interesse an einer anlasslosen, globalen und pauschalen Surfprotokollierung. Jedenfalls müsse das Interesse der Betreiber an einem Vorgehen gegen einzelne missbräuchlich handelnde Personen „hinter das Recht auf informationelle Selbstbestimmung der unzähligen rechtmäßig handelnden Nutzer zurücktreten“.

Auf Anfrage des Gerichtshofes haben die Kläger eine mündliche Verhandlung beantragt. Der Europäische Gerichtshof hat über diesen Antrag noch nicht entschieden.

Gestern meldete die taz, das Bundesverfassungsgericht werde voraussichtlich im Dezember 2009 über die Sammelbeschwerde von über 34.000 Menschen gegen die Vorratsdatenspeicherung mündlich verhandeln. Das Bundesverfassungsgericht könne in der Folge den Europäischen Gerichtshof mit der Frage befassen, ob die EG-Richtlinie zur Vorratsdatenspeicherung mit unseren Grundrechten vereinbar ist. Mit Urteil vom 10.02.2009 (Az. C‑301/06) hatte der EuGH eine Klage Irlands gegen die Richtlinie zur Vorratsdatenspeicherung abgewiesen, jedoch angemerkt, „dass sich die von Irland erhobene Klage allein auf die Wahl der Rechtsgrundlage bezieht und nicht auf eine eventuelle Verletzung der Grundrechte als Folge von mit der Richtlinie 2006/24 verbundenen Eingriffen in das Recht auf Privatsphäre.“

Weitere Informationen:

Ergänzung vom 14.11.2009:

Der Europäische Gerichtshof hat den Schriftsatz der Beschwerdeführer vom 11.10.2009 mit der Begründung zurückgeschickt, das schriftliche Verfahren sei bereits abgeschlossen. Beschäftigen wird er sich aber mit dem Antrag auf Durchführung einer mündlichen Verhandlung. In deren Rahmen können die wichtigsten Argumente noch mündlich vorgebracht werden.

Ergänzung vom 18.11.2009:

Mit Beschluss vom 27.10.2009 ist das Verfahren an die mit 13 Richtern besetzte Große Kammer des EuGH verwiesen worden. Die Verfahrensordnung des Gerichtshofs sieht eine Entscheidung durch die Große Kammer vor, wenn „die Schwierigkeit oder die Bedeutung der Rechtssache oder besondere Umstände eine Verweisung an die Große Kammer erfordern.“

Zur zuständigen Generalanwältin ist Eleanor Sharpston bestimmt worden, die sich schon in anderem Zusammenhang für eine bürgerfreundliche Auslegung des Grundrechts auf Privatsphäre (Art. 8 EMRK) ausgesprochen hat.

Der Europäische Gerichtshof hat Termin zur mündlichen Verhandlung anberaumt für Dienstag, den 02.02.2010, 9.30 Uhr (rue du Fort Niedergrünewald, Luxemburg). Die mündliche Verhandlung ist öffentlich.

Ergänzung vom 04.02.2010:

Übersicht der veröffentlichten Verfahrensdokumente:

Kommentare (3)

« Vorherige Einträge
 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: