Zehn Gebote zum Schutz der Privatheit

I. Privatsphäre im Internet

Die folgenden „Zehn Gebote“ richten sich an Internet-Zugangsanbieter und Diensteanbieter im Internet. Sie wurden im Jahr 2000 von der Internationalen Arbeitsgruppe zum Datenschutz in der Telekommunikation vorgestellt mit dem Ziel, dass Staaten ihren Bürgern diese Rechte und Freiheiten international garantieren sollen:

  1. Informationelle Gewaltenteilung: Netzwerk- und Diensteanbieter dürfen keine Inhalte abhören oder beeinträchtigen, außer wenn ausdrückliche gesetzliche Regelungen es verlangen. Dort, wo Netzwerk- oder Diensteanbieter selbst Inhalte anbieten, müssen die Verantwortlichkeiten für die jeweiligen Funktionen getrennt werden.
  2. Telekommunikationsgeheimnis: Netzwerk- oder Diensteanbieter dürfen Informationen über Inhalte oder Datenverkehr nicht weitergeben, außer für Zwecke der Telekommunikation oder wenn ausdrückliche gesetzliche Regelungen dies verlangen.
  3. Datensparsamkeit: Die Telekommunikationsinfrastruktur muss so aufgebaut sein, dass so wenig personenbezogene Daten wie technisch möglich zum Betrieb der Netzwerke und Dienste genutzt werden.
  4. Recht auf Anonymität: Netzwerk- und Diensteanbieter müssen jedem Nutzer die Möglichkeit zur Nutzung des Netzwerks oder den Zugang zu Diensten anonym oder unter Pseudonym anbieten. Pseudonyme, die für diese Zwecke genutzt werden, dürfen nicht aufgedeckt werden, außer wenn gesetzliche Bestimmungen dies ausdrücklich verlangen.
  5. Virtuelles Recht, in Ruhe gelassen zu werden: Niemand darf gezwungen werden, seine personenbezogenen Daten in Verzeichnissen oder anderen Registern veröffentlichen zu lassen. Jedem Nutzer muss das Recht gegeben werden, der Erhebung seiner Daten durch eine Suchmaschine oder andere Agenten zu widersprechen. Jedem Nutzer müssen das Recht und die technische Möglichkeit gegeben werden, das Eindringen externer Programme in seine eigenen Endgeräte zu verhindern.
  6. Recht auf Sicherheit: Jedem Nutzer müssen das Recht und die technische Möglichkeit eingeräumt werden, seine Inhalte vertraulich unter Nutzung geeigneter Methoden wie Verschlüsselung zu übertragen.
  7. Beschränkung zweckfremder Nutzung: Verbindungsdaten dürfen ohne die ausdrückliche Einwilligung des Nutzers nicht für andere Zwecke außerhalb der Notwendigkeit zum Betreiben des Netzwerkes oder Dienstes genutzt werden.
  8. Transparenz: Netzwerk- und Diensteanbieter müssen alle notwendigen Erklärungen, die zum Verständnis der Struktur des Netzwerks oder Dienstes, der diesbezüglichen Verantwortlichkeiten, des Umfangs der verarbeiteten personenbezogenen Daten und der geplanten Übermittlungen notwendig sind, in angemessener Weise veröffentlichen.
  9. Recht auf Auskunft: Jedem Nutzer muss das individuelle Recht gewährt werden, über alle personenbezogenen Daten, die über ihn zum Betrieb des Netzwerks oder Dienstes online verarbeitet werden, Auskunft zu erhalten.
  10. Internationale Konfliktlösung: Angesichts der internationalen Aspekte aller Netzwerk- und Diensteaktivitäten muss jedem Nutzer das Recht gewährt werden, sich an eine Einrichtung mit grenzüberschreitenden Befugnissen zur Untersuchung und Durchsetzung zu wenden, wo nationale Gesetzgebung zur Garantie seiner Rechte nicht ausreichend ist.

II. Staatliche Eingriffe

Staatliche Eingriffe in die private Telekommunikation, insbesondere durch Abhören, sollen der Arbeitsgruppe zufolge nur unter den folgenden Bedingungen zulässig sein:

  1. vorherige richterliche Anordnung,
  2. (nachträgliche) Benachrichtigung der Betroffenen,
  3. Beschränkung der Nutzung,
  4. Verpflichtung zur Protokollierung
  5. Überwachung und Kontrolle sowie
  6. öffentliche Rechenschaftspflicht.

Aus meiner Sicht sind folgende weitere Garantien erforderlich:

  1. Beschränkung der Nutzung und Weitergabe der Daten auf den Zweck, zu dem sie erhoben wurden oder hätten erhoben werden dürfen, und Löschung der Daten nach Erledigung dieses Zwecks
  2. Schutz engster Vertrauensbeziehungen vor staatlichen Zugriffen
  3. Kontrolle der Einhaltung der Schutzmechanismen durch eine unabhängige Stelle, insbesondere Datenschutzbeauftragte
  4. Eröffnung des Rechtswegs zu unabhängigen Gerichten

III. Internationale Zusammenarbeit

Eine Übermittlung personenbezogener Daten darf nur in solche ausländischen Staaten erfolgen, in denen diese Schutzprinzipien gewährleistet sind (siehe § 4b BDSG, § 14 BKAG, § 33 BPolG, § 57 BZRG, §§ 23d und 34 ZFdG). Dies ist außerhalb Europas meist nicht der Fall, etwa in den USA (Details). Hier kommt eine Übermittlung personenbezogener Daten nur ausnahmsweise zur Verhinderung konkret bevorstehender Straftaten gegen Leib oder Leben in Frage.

Ein angemessenes Datenschutzniveau setzt nach Ansicht der EU-Datenschutzgruppe die Gewährleistung der folgenden Schutzprinzipien voraus:

  1. Grundsatz der Beschränkung der Zweckbestimmung: Daten sind für einen spezifischen Zweck zu verarbeiten und dementsprechend nur insofern zu verwenden oder weiter zu übermitteln, als dies mit der Zweckbestimmung der Übermittlung nicht unvereinbar ist. Die einzigen Ausnahmen von dieser Regel sind die in einer demokratischen Gesellschaft aus einem der in Artikel 13 der Richtlinie 95/46/EG aufgeführten Gründe notwendigen Fälle.
  2. Grundsatz der Datenqualität und -verhältnismäßigkeit: Daten müssen sachlich richtig und, wenn nötig, auf dem neusten Stand sein. Die Daten müssen angemessen, relevant und im Hinblick auf die Zweckbestimmung, für die sie übertragen oder weiter verarbeitet werden, nicht exzessiv sein.
  3. Grundsatz der Transparenz: Natürliche Personen müssen Informationen über die Zweckbestimmung der Verarbeitung und die Identität des im Drittland für die Verarbeitung Verantwortlichen sowie andere Informationen erhalten, sofern dies aus Billigkeitsgründen erforderlich ist. Ausnahmen sind lediglich im Einklang mit den Artikeln 11 Absatz 2 und 13 der Richtlinie 95/46/EG möglich.
  4. Grundsatz der Sicherheit: Der für die Verarbeitung Verantwortliche hat geeignete technische und organisatorische Sicherheitsmaßnahmen für die Risiken der Verarbeitung zu treffen. Alle unter der Verantwortung des für die Verarbeitung Verantwortlichen tätigen Personen, darunter auch Verarbeiter, dürfen Daten nur auf Anweisung des für die Verarbeitung Verantwortlichen verarbeiten.
  5. Rechte auf Zugriff, Berichtigung und Widerspruch: Die betroffene Person muss das Recht haben, eine Kopie aller sie betreffender Daten zu erhalten, die verarbeitet werden, sowie das Recht auf Berichtigung dieser Daten, wenn diese sich als unrichtig erweisen. In bestimmten Situationen muss sie auch Widerspruch gegen die Verarbeitung der sie betreffenden Daten einlegen können. Die einzigen Ausnahmen von diesen Rechten haben mit Artikel 13 der Richtlinie 95/46/EG im Einklang zu stehen.
  6. Beschränkungen der Weiterübermittlung an andere Drittländer: Weitere Übermittlungen personenbezogener Daten vom Bestimmungsdrittland in ein anderes Drittland sind lediglich zulässig, wenn das zweite Drittland ebenfalls ein angemessenes Schutzniveau aufweist. Die einzigen zulässigen Ausnahmen haben mit Artikel 26 der Richtlinie 95/46/EG im Einklang zu stehen.
  7. Sensible Daten: Sind „sensible“ Kategorien von Daten betroffen (die in Artikel 8 der Richtlinie 95/46/EG aufgelistet sind), so haben zusätzliche Sicherheitsmaßnahmen wie das Erfordernis zu gelten, dass die betroffene Person ausdrücklich in die Verarbeitung einwilligt.
  8. Direktmarketing: Werden Daten zum Zwecke des Direktmarketings übermittelt, so muss die betroffene Person die Möglichkeit haben, sich jederzeit gegen die Verwendung ihrer Daten für derartige Zwecke zu verwehren.
  9. Automatisierte Einzelentscheidung: Erfolgt die Übermittlung mit dem Ziel, eine automatisierte Einzelentscheidung im Sinne von Artikel 15 der Richtlinie zu treffen, so muss die natürliche Person das Recht haben, die dieser Entscheidung zugrunde liegende Logik zu erfahren, und andere Maßnahmen müssen getroffen werden, um die berechtigten Interessen der natürlichen Person zu schützen.
  10. Verfahrens- und Durchführungsmechanismen:
  • Gute Befolgungsrate der Bestimmungen (kein System kann 100 %ige Einhaltung garantieren, einige sind aber besser als andere). Ein gutes System zeichnet sich im allgemeinen dadurch aus, dass sich die für die Verarbeitung Verantwortlichen ihrer Pflichten und die betroffenen Personen ihrer Rechte und der Mittel für deren Durchsetzung sehr stark bewusst sind. Die Existenz wirksamer, abschreckender Sanktionen ist wichtig, um die Einhaltung der Bestimmungen sicherzustellen; ebenso wichtig sind natürlich Systeme der direkten Überprüfung durch Behörden, Buchprüfer oder unabhängige Datenschutzbeauftragte.
  • Unterstützung und Hilfe für einzelne betroffene Personen bei der Wahrnehmung ihrer Rechte. Jeder Einzelne muss seine Rechte rasch und wirksam ohne zu hohe Kosten durchsetzen können. Dazu muss es einen institutionellen Mechanismus geben, der eine unabhängige Prüfung von Beschwerden ermöglicht.
  • Angemessene Entschädigung für die geschädigte Partei, wenn die Bestimmungen nicht eingehalten werden. Für dieses Schlüsselelement muss es ein System unabhängiger Schlichtung geben, das die Zahlung einer Entschädigung und gegebenenfalls die Auferlegung von Sanktionen ermöglicht.

IV. Gemeinsame Grundprinzipien des Datenschutzes

In Europa gelten die folgenden gemeinsamen Grundprinzipien des Datenschutzes:

  1. Legitimität: Die Erhebung oder Verwendung personenbezogener Daten ist nur zulässig, wenn die verarbeitende Stelle damit bestimmte, legitime und nicht missbräuchliche Zwecke verfolgt.
  2. Zweckbindung: Die jeweils verfolgten Zwecke sind festzulegen. Dies gewährleistet die Vorhersehbarkeit der Datenerhebung und -verarbeitung und ermöglicht es, sie an den verfolgten Zwecken zu messen. Das Gebot, die verfolgten Zwecke festzulegen, hat auch eine Zweckbindung in dem Sinne zur Folge, dass die Verarbeitung von Daten zu anderen als den festgelegten Zwecken unzulässig ist. Zugleich folgt aus dem Festlegungsgebot, dass eine „Sammlung nicht anonymisierter Daten auf Vorrat zu unbestimmten oder noch nicht bestimmbaren Zwecken“ unzulässig ist.
  3. Eignung: Jede Erhebung oder Verarbeitung personenbezogener Daten muss geeignet sein, zur Erreichung der mit ihr verfolgten Zwecke beizutragen.
  4. Minimalisierung: Die Erhebung oder Verarbeitung personenbezogener Daten darf nicht über das zur Erreichung der angestrebten Zwecke erforderliche Maß hinaus gehen.
  5. Alternativlosigkeit: Unter mehreren gleichermaßen zur Erreichung der angestrebten Zwecke geeigneten Mitteln muss das für die Betroffenen mildeste gewählt werden.
  6. Verhältnismäßigkeit: Die tatsächlichen und möglichen Vorteile der Datenerhebung oder -verarbeitung im Hinblick auf die angestrebten Zwecke dürfen nicht außer Verhältnis zu den tatsächlichen und möglichen Nachteilen der Datenerhebung oder -verarbeitung für die Betroffenen stehen.
  7. Information: Die Betroffenen sind über die Erhebung ihrer Daten und über die damit verfolgten Verarbeitungszwecke zu informieren.
  8. Auskunftsrecht: Betroffene können Auskunft über die jeweils über sie gespeicherten Daten verlangen.
  9. Durchsetzung: Betroffenen muss es möglich sein, die rechtswidrige Verarbeitung ihrer Daten wirksam zu unterbinden.
  10. Aufsicht: Unabhängige, staatliche Aufsichtsstellen zur Kontrolle der Rechtmäßigkeit der Datenverarbeitung sind einzurichten.

1 Stern2 Sterne3 Sterne4 Sterne5 Sterne (noch nicht bewertet)
Loading...
8.747mal gelesen

Beitrag per E-Mail versenden Beitrag per E-Mail versenden Seite drucken Seite drucken

Verwandte Artikel

Weitere Artikel zum Thema Datenschutz im Privatsektor, Datenschutz im Staatssektor, Internet-Unternehmen, Internet-Zugangsprovider, Metaowl-Watchblog

1 Kommentar »


  1. müssen? — 24. November 2007 @ 13.28 Uhr

    >Netzwerk- und Diensteanbieter müssen jedem Nutzer die Möglichkeit zur Nutzung des Netzwerks oder den Zugang zu Diensten anonym oder unter Pseudonym anbieten.

    Müssen die Möglichkeit bieten? Ich denke mal da muß man sehr stark differenzieren. Ob ich hier auf einem privaten Angebot die Möglichkeit dazu habe oder nicht ist mir relativ schnuppe, wenns mir nicht paßt nutze ich halt das Angebot nicht. Das ist auch Freiheit und Freiheit ist eben keine Einbahnstraße, bei welcher man nur fordert, sondern man muß auch selbst dazu beitragen.
    Interessant ist dieser Umstand nur bei Dingen, bei welchen ich zur Kommunikation gezwungen bin, allerdings macht dort auch die Datenweitergabe (z.B. im Geschäftsbereich etc.) wiederum Sinn und ist unabdingbar. „Es wäre empfehlenswert …“ wäre imho eine bessere Formulierung, ein Muß ist meist ein Bärendienst am eigentlichen Anliegen.

RSS-feed für Kommentare zu diesem Beitrag · TrackBack-URI

Kommentieren Sie diesen Artikel


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: