- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Deutschland muss Datenschutz in der Telekommunikation verbessern

Aus einem Schreiben an die Vertragsverletzungsabteilung der EU-Kommission vom 19.02.2010:

Nichtumsetzung der Richtlinie 2002/58/EG [1] in Deutschland

Sehr geehrte Damen und Herren,

Deutschland hat die Richtlinie 2002/58/EG [1] [2] (bereits in ihrer ursprünglichen Fassung) in mehreren Punkten nicht ordnungsgemäß umgesetzt:

1. Art. 5 Abs. 3 RiL 2002/58/EG [1] ist im deutschen Recht nicht ordnungsgemäß umgesetzt. Zwar sehen TKG und TMG Informationspflichten vor (etwa § 13 Abs. 1 S. 2 TMG [3]). Sie machen die Zulässigkeit der „Speicherung von Informationen oder den Zugriff auf Informationen, die im Endgerät eines Teilnehmers oder Nutzers gespeichert sind“, aber nicht von einer ordnungsgemäßen Information abhängig, wie es Art. 5 Abs. 3 RiL 2002/58/EG [1] vorschreibt. Ein Formulierungsvorschlag zur ordnungsgemäßen Richtlinienumsetzung findet sich auf Seite 34 meiner ausführlichen Stellungnahme gegenüber dem Bundestag (http://www.daten-speicherung.de/data/Forderungen_Telemedienrecht_26-02-2009_publ.pdf [4]).

2. § 100 [5] des Telekommunikationsgesetzes verstößt gegen Art. 6 Abs. 1 RiL 2002/58/EG [1], soweit er die generelle Aufbewahrung von Verkehrsdaten zu Zwecken der Störungs- und Missbrauchsbekämpfung über das Verbindungsende hinaus legalisiert. Anders als die Vorgängervorschrift des § 9 TDSV (http://www.netlaw.de/gesetze/tdsv.htm [6]) erlaubt § 100 TKG [5] die Erhebung und Speicherung von Verkehrsdaten zur Störungs- und Missbrauchsbekämpfung nicht mehr nur „im Einzelfall“. Eine generelle, bedarfsunabhängige Vorratsspeicherung sämtlicher Verkehrsdaten, damit sie im Bedarfsfall zur Störungs- und Missbrauchsbekämpfung zur Verfügung stehen, ist nicht mehr „in einer demokratischen Gesellschaft notwendig, angemessen und verhältnismäßig“ im Sinne des Art. 15 Abs. 1 RiL 2002/58/EG [1]. Der Bundesrat hat dazu ausgeführt (BR-Drs. 62/09 [7], 10): „Dies erscheint insbesondere deshalb veranlasst, weil die zu § 100 Absatz 1 TKG [5] ergangene Rechtsprechung in verfassungsrechtlich bedenklicher Weise die vorbeugende Speicherung von IP-Adressen zur Störungseingrenzung und -beseitigung zulässt, ohne dass tatsächliche Anhaltspunkte bei einem bestimmten Nutzer vorliegen (vgl. LG Darmstadt, Urteil vom 06.06.2007 – 10 O 562/03 [8] –, CR 2007, 574 [9]).“ Zwar wird die Vorschrift von anderen Teilen der Rechtsprechung und Literatur einschränkend dahin ausgelegt, dass sie tatsächliche Anhaltspunkte bei einem bestimmten Nutzer voraus setzte (etwa LG Darmstadt, Urteil vom 07.12.2005, 25 S 118/2005 [10]). Die ordnungsgemäße Umsetzung von Richtlinien erfordert aber, dass der Gesetzgeber solche Fragen normenklar selbst regelt.

Dazu muss § 100 TKG [5] einschränkend formuliert werden, wobei Absatz 1 etwa wie folgt formuliert werden könnte:

(1) Liegen dem Diensteanbieter im Einzelfall zu dokumentierende tatsächliche Anhaltspunkte vor, dass bestimmte Nutzer seine zur Bereitstellung seines Dienstes genutzten technischen Einrichtungen stören, darf er Bestands- und Verkehrsdaten dieser Nutzer nur erheben, speichern und nutzen, soweit dies zur Beseitigung der Störung erforderlich ist; eine Verwendung der Daten für andere Zwecke ist unzulässig. Der Diensteanbieter hat die Daten unverzüglich zu löschen, wenn die Voraussetzungen nach Satz 1 nicht mehr vorliegen oder die Daten zur Störungsbeseitigung nicht mehr benötigt werden. Der betroffene Nutzer ist zu unterrichten, sobald dies ohne Gefährdung des mit der Maßnahme verfolgten Zweckes möglich ist.“

Absatz 3 könnte in Anlehnung an § 15 TMG [11] wie folgt formuliert werden:

(3) Liegen dem Diensteanbieter im Einzelfall zu dokumentierende tatsächliche Anhaltspunkte vor, dass seine Dienste von bestimmten Nutzern in der Absicht in Anspruch genommen werden, das Entgelt nicht oder nicht vollständig zu entrichten, darf er Bestands- und Verkehrsdaten dieser Nutzer nur verwenden, soweit dies zur Geltendmachung seiner Ansprüche gegen die Nutzer erforderlich ist. Der Diensteanbieter hat die Daten unverzüglich zu löschen, wenn die Voraussetzungen nach Satz 1 nicht mehr vorliegen oder die Daten für die Rechtsverfolgung nicht mehr benötigt werden. Der betroffene Nutzer ist zu unterrichten, sobald dies ohne Gefährdung des mit der Maßnahme verfolgten Zweckes möglich ist.“

3. Art. 13 Abs. 2 RiL 2002/58/EG [1] ist in § 95 Abs. 2 S. 2 TKG [12] nicht korrekt umgesetzt: Emailwerbung ist nach der Richtlinie nur zulässig, wenn das Unternehmen die Emailadresse „im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung […] erhalten hat“. Es reicht also – anders als in § 95 TKG [12] vorgesehen – beispielsweise nicht, wenn sich ein Kunde wegen einer Reklamation per Email an das Unternehmen wendet, denn in einem solchen Fall kann von einem Einverständnis mit Werbung nicht ausgegangen werden.

Die Richtlinie erlaubt eine Nutzung von E-Mail-Adressen zu Werbezwecken ferner nur, wenn Kunden „die Möglichkeit erhalten, eine solche Nutzung ihrer elektronischen Kontaktinformationen bei deren Erhebung und bei jeder Übertragung gebührenfrei und problemlos abzulehnen“. Das nach § 95 Abs. 2 S. 2 TKG [12] bestehende Widerspruchsrecht ermöglicht dies nicht. Vielmehr setzt ein Widerspruch voraus, mit dem Anbieter umständlich in Verbindung zu treten, indem man eine Kontaktmöglichkeit sucht und eine gesonderte Nachricht verfasst.

Schließlich ist Emailwerbung nach der Richtlinie nur für „eigene ähnliche Produkte oder Dienstleistungen“ zulässig. Die beworbenen Produkte müssen also denjenigen vergleichbar sein, für die sich der Verbraucher im Rahmen eines Verkaufsgesprächs interessiert hat. § 95 TKG [12] setzt auch dies nicht um.

Einen Formulierungsvorschlag zur ordnungsgemäßen Umsetzung des Art. 13 Abs. 2 RiL 2002/58/EG [1] in das deutsche Recht findet sich auf Seite 64 meiner Stellungnahme gegenüber dem Bundestag (http://www.daten-speicherung.de/data/Forderungen_Telemedienrecht_26-02-2009_publ.pdf [4]).

Da das Bundeswirtschaftsministerium zurzeit eine „TKG-Novelle 2010″ vorbereitet, in deren Rahmen das 2009 beschlossene „Telekom-Paket“ umgesetzt werden soll, würde es mich freuen, wenn Sie darauf dringen könnten, dass im Zuge dieser Novelle auch die vorbestehenden Umsetzungsdefizite beseitigt werden.

Mit freundlichem Gruß,

Ergänzung vom 09.02.2013:

Die EU-Kommission (Generaldirektion Informationsgesellschaft und Medien) antwortete auf meine Beschwerde am 31.01.2011 unter dem Aktenzeichen „Ares(2011)100956 – EU Pilot case 931/10/INSO – CHAP(2010)00542″ wie folgt:

Sehr geehrter Herr […],

ich nehme Bezug auf Ihre Beschwerde vom 19. Februar 2010, registriert unter der Nummer 931/10/INSO betreffend die vermeintlich fehlende Umsetzung bestimmter Regelungen der Richtlinie 2002/58/EG [1] (Datenschutzrichtlinie für elektronische Kommunikation).

In Ihrer Beschwerde behaupten Sie, dass das deutsche Recht mit Artikel 5(3), Artikel 6(1) und Artikel 13(2) der Datenschutzrichtlinie für elektronische Kommunikation nicht im Einklang steht und weisen auf drei Punkte hin.

(i) Erstens sind Sie der Meinung, dass Artikel 5(3) der Datenschutzrichtlinie für elektronische Kommunikation nicht korrekt in deutsches Recht umgesetzt ist. In diesem Zusammenhang behaupten Sie, dass nach deutschem Recht die Speicherung von Informationen oder der Zugriff auf Informationen, die im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nicht von der Bedingung abhängig ist, dass der betreffende Teilnehmer oder Nutzer gemäß der Richtlinie 95/46/EG [13] klare und umfassende Informationen insbesondere über die Zwecke der Verarbeitung erhält, wie es Artikel 5(3) der Datenschutzrichtlinie für elektronische Kommunikation vorschreibt.

Die Dienststellen der Kommission kommen zu dem Schluss, dass diese Vorgabe des Artikels 5(3) der Datenschutzrichtlinie für elektronische Kommunikation angemessen im deutschen Telemediengesetz (TMG) umgesetzt ist. Insbesondere legt § 13 TMG [3] fest, dass der Nutzer durch den Diensteanbieter zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten unterrichtet werden muss. Der Begriff „personenbezogene Daten“ ist im deutschen Bundesdatenschutzgesetz (BDSG) definiert. Nach § 3 BDSG [14] sind personenbezogene Daten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Deshalb sind aus Sicht meiner Dienststellen die Vorgaben in Artikel 5(3), auf die Sie sich beziehen, durch die Bestimmungen in § 13 TMG [3] zusammen mit dem breiten Geltungsbereich des Begriffs der personenbezogene Daten in § 3 BDSG [14] abgedeckt.

(ii) Sie behaupten weiter, dass § 100 des deutschen Telekommunikationsgesetzes (TKG) Artikel 6(1) der Datenschutzrichtlinie für elektronische Kommunikation nicht einhält, weil § 100 TKG [5] die Speicherang von Verkehrsdaten zu Zwecken der Störungs- und Missbrauchsbekämpftmg bis zu 6 Monaten über das Verbindungsende hinaus für alle Benutzer erlaubt.

Artikel 4 der Datenschutzrichtlinie für elektronische Kommunikation verpflichtet den Betreiber geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Sicherheit seiner Dienste zu gewährleisten. Darüber hinaus erlaubt Erwägungsgrund 29 derselben Richtlinie dem Diensteanbieter, für Fakturierungszwecke notwendige Verkehrsdaten zu verarbeiten, um Fälle von Betrug, die darin bestehen, die elektronischen Kommunikationsdienste ohne entsprechende Bezahlung nutzen, ermitteln und abstellen zu können.

Nach Informationen der deutschen Regierung begründet § 100(3) Satz 2 TKG [5] kein eigenständiges Recht zur Speicherung, sondern regelt den Umgang mit vorhandenen Daten zum Zweck der Missbrauchsbekämpfung und basiert auf dem Grundsatz der Erforderlichkeit.

(iii) Schließlich behaupten Sie, dass Artikel 13(2) der Datenschutzrichtlinie für elektronische Kommunikation nicht korrekt in deutsches Recht umgesetzt ist. Sie weisen darauf hin, dass Werbe-E-Mails nach Artikel 13(2) der Datenschutzrichtlinie für elektronische Kommunikation nur dann erlaubt sind, wenn die private oder juristische Person die E-Mail-Adresse „im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung“ erhalten hat, wenn der Kunde klar und deutlich die Möglichkeit erhält, eine solche Nutzung ihrer elektronischen Kontaktinformationen bei deren Erhebung und bei jeder Übertragung gebührenfrei und problemlos abzulehnen. Weiterhin weisen Sie darauf hin, dass Artikel 13(2) der Datenschutzrichtlinie für elektronische Kommunikation festlegt, dass die betroffene private oder juristische Person die E-Mail- Adresse nur für die Direktwerbimg für eigene ähnliche Produkte oder Dienstleistungen verwenden kann.

Nach § 7 des deutschen Gesetzes gegen unlauteren Wettbewerb (UWG) darf die E-Mail- Adresse nur dann für die Direktwerbung verwendet werden, wenn diese im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten wurde und wenn der Kunde bei jeder Verwendung klar und deutlich daraufhingewiesen wird, dass er der Verwendung jederzeit kostenlos widersprechen kann. Weiterhin legt § 7 UWG [15] fest, dass die E-Mail-Adresse zur Direktwerbung nur für eigene ähnliche Waren oder Dienstleistungen verwendet werden darf.

Deshalb beabsichtigen meine Dienststellen auf der Grundlage der vorliegenden Informationen und der Antwort der deutschen Regierung, nicht vorzuschlagen, ein Vertragsverletzungsverfahren wegen Nichteinhaltung von Unionsrecht durch Deutschland einzuleiten.

Sollten uns innerhalb von vier Wochen keine neuen Informationen übermittelt werden, die uns zu einer Weiterbearbeitung veranlassen könnten, werden wir Ihrer Beschwerde nicht weiter nachgehen.

Mit vorzüglicher Hochachtung

[...]

Meine Antwort vom 02.02.2011:

Sehr geehrter Herr […],

ich danke für Ihre Hinweise vom 31.01.2011 zu meiner Beschwerde wegen mangelhafter Umsetzung der Richtlinie 2002/58/EG [1] in Deutschland.

Zunächst bitte ich Sie um Übersendung der Stellungnahmen der deutschen Regierung, damit ich darauf vollständig antworten kann.

Sodann nehme ich zu den einzelnen Punkten wie folgt Stellung:

1. Art. 5 Abs. 3 RiL 2002/58/EG [1] ist im deutschen Recht bisher nicht ordnungsgemäß umgesetzt. Zwar weisen Sie zurecht darauf hin, dass das Telemediengesetz Informationspflichten vorsieht. Es macht die Zulässigkeit der „Speicherung von Informationen oder den Zugriff auf Informationen, die im Endgerät eines Teilnehmers oder Nutzers gespeichert sind“, aber nicht von einer ordnungsgemäßen Information abhängig, wie es Art. 5 Abs. 3 RiL 2002/58/EG [1] vorschreibt. Zur Umsetzung von Art. 5 Abs. 3 RiL 2002/58/EG [1] genügt eine Informationspflicht nicht. Vielmehr muss nach Art. 5 Abs. 3 RiL 2002/58/EG [1] die Zulässigkeit der Datenspeicherung davon abhängig gemacht werden, dass eine Information erfolgt ist.

Der Unterschied liegt darin, dass eine Verletzung der Informationspflicht in Deutschland zurzeit nicht die Unzulässigkeit der Datenverarbeitung selbst nach sich zieht, wie es Art. 5 Abs. 3 RiL 2002/58/EG [1] vorschreibt.

2. § 100 [5] des Telekommunikationsgesetzes verstößt gegen Art. 6 Abs. 1 RiL 2002/58/EG [1], soweit er die generelle Aufbewahrung von Verkehrsdaten zu Zwecken der Störungs- und Missbrauchsbekämpfung über das Verbindungsende hinaus legalisiert.

Soweit Sie auf Artikel 4 RiL 2002/58/EG [1] hinweisen, bildet diese Vorschrift keine Rechtsgrundlage für eine Verarbeitung von Verkehrsdaten, weil letztere in Artikel 6 RiL 2002/58/EG [1] abschließend geregelt ist.

Soweit Sie den Erwägungsgrund 29 der RiL 2002/58/EG [1] referieren, bildet ein bloßer Erwägungsgrund zum Einen ebenfalls keine Rechtsgrundlage für Eingriffe in den Datenschutz. Zum anderen ist Satz 1 des Erwägungsgrundes 29 auf „Einzelfälle“ beschränkt, was in § 100 (1) TKG [5] nicht umgesetzt worden ist. Soweit Erwägungsgrund 29 in Satz 2 die Betrugsbekämpfung anspricht, sieht er nur die Verarbeitung von „für Fakturierungszwecke notwendigen Verkehrsdaten“ vor, was in § 100 (3) TKG [5] ebenfalls nicht umgesetzt ist.

Soweit die deutsche Regierung die Auffassung vertritt, § 100 (3) 2 TKG [5] bilde keine eigenständige Rechtsgrundlage für eine Speicherung persönlicher Daten, ändert dies nichts daran, dass jedenfalls § 100 (1) 1 TKG [5] und § 100 (3) 1 TKG [5] eigenständige Speicherrechte schaffen, ohne die Vorgaben der RiL 2002/58/EG [1] zu beachten.

3. Art. 13 Abs. 2 RiL 2002/58/EG [1] ist in § 95 Abs. 2 S. 2 TKG [12] nicht korrekt umgesetzt.

Soweit Sie auf § 7 UWG [15] hinweisen, findet diese Vorschrift im Anwendungsbereich des § 95 Abs. 2 S. 2 TKG [12] keine Anwendung, weil § 95 Abs. 2 S. 2 TKG [12] für Telekommunikationsdienste das speziellere Gesetz ist („lex specialis derogat legi generali“). Hätte umgekehrt § 7 UWG [15] Vorrang, so wäre § 95 Abs. 2 S. 2 TKG [12] überflüssig, was der Gesetzgeber nicht gewollt haben kann.

Man kann § 95 Abs. 2 S. 2 TKG [12] auch nicht so verstehen, dass zusätzlich noch die Voraussetzungen des § 7 UWG [15] vorliegen müssten, denn § 95 Abs. 2 S. 2 TKG [12] bestimmt: „Ein Diensteanbieter […] darf diese […] verwenden“. Es handelt sich also eindeutig um eine eigenständige Rechtsgrundlage zur Datenverwendung. Die in § 95 Abs. 2 S. 2 TKG [12] geregelten, weiter als § 7 UWG [15] reichenden Voraussetzungen zur Verwendung von E-Mail-Adressen wären überflüssig und würden nie zur Anwendung kommen, wenn § 95 Abs. 2 S. 2 TKG [12] nicht Vorrang hätte, was der Gesetzgeber nicht gewollt haben kann.

Es würde mich freuen, wenn Sie meine Beschwerde unter Berücksichtigung dieser Anmerkungen weiter verfolgen würden, zumal die deutsche Regierung zurzeit ohnehin gerade an einem Gesetz zur TKG-Änderung arbeitet.

Mit freundlichem Gruß,

Mit Schreiben vom 18.04.2011 stellte die EU-Kommission das Prüfungsverfahren ein, ohne auf meine Argumente einzugehen:

Sehr geehrter Herr […],

Wir beziehen uns auf unser Schreiben vom 31. Januar 2011, Ref. 931/10/INSO – CHAP(2010)00542 (die Referenz ist bei jeder weiteren Korrespondenz anzugeben), in dem wir Sie über die Analyse Ihrer Beschwerde und unsere Absicht für ein weiteres Vorgehen zur Klassifizierung der Akte informierten. Wir teilen Ihnen mit, dass Ihre Beschwerde am 7. April eingestellt wurde.

Die zusätzlichen Bemerkungen in Ihrer E-Mail vom 2. Februar 2011 liefern uns keine neuen Fakten, um unseren Standpunkt zu überdenken.

In Ihrer E-Mail äußerten Sie auch Interesse an weiteren Informationen der Stellungnahme der deutschen Regierung. Der zuständige Ansprechpartner beim Bundesministerium für Wirtschaft und Technologie ist Herr […].

Mit freundlichen Grüßen,

[...]

Stellvertretender Generaldirektor

Über diese Einstellung habe ich am 26.04.2011 Beschwerde beim Ombudsman eingereicht:

Sehr geehrte Damen und Herren,

hiermit möchte ich mich über die EU-Kommission beschweren,
1. weil sie meine Vertragsverletzungsbeschwerde Nr. Ares(2011)100956 – EU Pilot case 931/10/INSO – CHAP(2010)00542 nicht zum Anlass genommen hat, ein Vertragsverletzungsverfahren einzuleiten,
2. weil sie ihre Entscheidung, kein Vertragsverletzungsverfahren einzuleiten, nicht ausreichend und nachvollziehbar begründet hat und
3. weil sie meiner Bitte um Übersendung des meine Beschwerde betreffenden Schriftverkehrs mit der Bundesregierung nicht nachgekommen ist.

Zum Sachverhalt:

Mit E-Mail vom 19.02.2010 (anbei) habe ich der EU-Kommission angezeigt, dass Deutschland in drei Punkten die Richtlinie 2002/58/EG [1] nicht ordnungsgemäß umgesetzt hat.

Mit Schreiben vom 31.01.2011 (anbei) teilte mir die EU-Kommission mit, weshalb sie nicht beabsichtige, ein Vertragsverletzungsverfahren einzuleiten. Die Argumente der Kommission gingen an den Gründen meiner Beschwerde aber im wesentlichen vorbei.

Mit E-Mail vom 02.02.2011 (anbei) habe ich der EU-Kommission im Einzelnen und detailliert aufgezeigt, weshalb ihre vorläufige Auffassung nicht zutrifft, dass die Richtlinie 2002/58/EG [1] im deutschen Recht ordnungsgemäß umgesetzt sei.

Mit Schreiben vom 18.04.2011 (anbei) hat die EU-Kommission mitgeteilt, dass meine Beschwerde eingestellt worden sei. Zur Begründung heißt es einzig, die ergänzenden Ausführungen vom 02.02.2011 lieferten keine neuen Fakten, um den Standpunkt der Kommission zu überdenken.

Diese pauschale Begründung ist nicht ausreichend und nachvollziehbar. Obwohl ich mit E-Mail vom 02.02.2011 im Einzelnen und detailliert dargestellt habe, worin die beanstandeten Vertragsverletzungen liegen, ist die EU-Kommission auf diese Ausführungen nicht eingegangen. Auch das Schreiben vom 31.01.2011 war auf die mit E-Mail vom 02.02.2011 angeführten Argumente nicht eingegangen. Es kann nicht hingenommen werden, dass die Kommission meine detaillierten Erläuterungen ohne nachvollziehbare Begründung mit einem einzigen, pauschal gehaltenen Satz „abbügelt“. Die Kommission muss sich vielmehr detailliert mit der E-Mail vom 02.02.2011 auseinandersetzen und mir das Ergebnis der Prüfung nachvollziehbar mitteilen. Bei sorgfältiger Prüfung muss sie dabei zu dem Ergebnis kommen, dass ein Vertragsverletzungsverfahren einzuleiten ist, weil die beanstandeten Vertragsverletzungen Millionen von Bürgern in ihrem Grundrecht auf Datenschutz beeinträchtigen.

Der Ombudsman hat bereits in der Vergangenheit entschieden (Fall 2651/2009/(MAM)ANA), dass Beschwerden über dem EU-Recht zuwiderlaufende Maßnahmen sorgfältig zu untersuchen sind und die Absicht, den Fall abzuschließen, dem Beschwerdeführer zuvor mitzuteilen ist. Es liegt auf der Hand, dass diese vorherige Mitteilung ihren Zweck nur erfüllt, wenn die Kommission eine daraufhin eingehende Antwort wiederum sorgfältig untersucht.

Auch muss die Kommission mir die Stellungnahmen der Bundesregierung, auf welche sie ihre bisherigen Einschätzungen gestützt hat, zukommen lassen. Der Zugang zu Dokumenten im Zusammenhang mit Vertragsverletzungsverfahren ist geregelt durch die Verordnung (EG) Nr. 1049/2001. Die Kommission kann mich nicht darauf verweisen, die Bundesregierung um Übersendung zu bitten, zumal diese meinem Wunsch voraussichtlich nicht nachkommen wird.

Mit freundlichem Gruß,
[…]

Auf meine Beschwerde hat mir die EU-Kommission die Stellungnahme der Bundesregierung zu meiner Beschwerde zugesandt (pdf [16]).

Mit Schreiben vom 25.05.2011 habe ich bei der EU-Kommission die Wiederaufnahme des Prüfungsverfahrens wegen neuer Tatsachen beantragt:

Sehr geehrter Herr […],

ich bitte um Wiederaufnahme des o.g. Verfahrens mit der folgenden Begründung:

1. Laut meiner Beschwerde ist Art. 5 Abs. 3 RiL 2002/58/EG [1] im deutschen Recht nicht ordnungsgemäß umgesetzt.

Zwischenzeitlich ist die Frist zur Umsetzung der Neufassung dieser Vorschrift abgelaufen. Deutschland hat nach meiner Auffassung schon die alte, in keinem Fall aber die neue Fassung dieser Vorschrift umgesetzt. Eine Umsetzung ist auch im Rahmen eines laufenden Gesetzgebungsverfahrens in Deutschland nicht geplant.

Deswegen ist in jedem Fall ein Vertragsverletzungsverfahren einzuleiten.

2. Laut meiner Beschwerde verstößt § 100 [5] des Telekommunikationsgesetzes gegen Art. 6 Abs. 1 RiL 2002/58/EG [1], soweit er die generelle Aufbewahrung von Verkehrsdaten zu Zwecken der Störungs- und Missbrauchsbekämpfung über das Verbindungsende hinaus legalisiert.

Diese Auslegung des § 100 TKG [5] hat nun der Bundesgerichtshof mit Urteil vom 13. 1. 2011 – III ZR 146/10 [17] – bestätigt und entschieden: „Die Befugnis zur Speicherung von IP-Adressen zum Erkennen, Eingrenzen oder Beseitigen von Störungen oder Fehlern an Telekommunikationsanlagen gemäß § 100 Abs. 1 TKG [5] setzt nicht voraus, dass im Einzelfall bereits Anhaltspunkte für eine Störung oder einen Fehler vorliegen.“

Mit diesem Inhalt verstößt das deutsche Recht gegen den Erwägungsgrund 29 der RiL 2002/58/EG [1]. Satz 1 des Erwägungsgrundes 29 ist auf ausdrücklich „Einzelfälle“ beschränkt, was in § 100 (1) TKG [5] nicht umgesetzt worden ist.

3. Nach meiner Beschwerde ist Art. 13 Abs. 2 RiL 2002/58/EG [1] in § 95 Abs. 2 S. 2 TKG [12] nicht korrekt umgesetzt.

Sie haben der Bundesregierung geglaubt, dass § 7 UWG [15] eine ordnungsgemäße Umsetzung gewährleiste.

Demgegenüber habe ich ausgeführt, dass diese Vorschrift im Anwendungsbereich des § 95 Abs. 2 S. 2 TKG [12] keine Anwendung findet, weil § 95 Abs. 2 S. 2 TKG [12] für Telekommunikationsdienste das speziellere Gesetz ist („lex specialis derogat legi generali“).

Auf meine Anfrage hat nun auch die zuständige Aufsichtsbehörde, die Bundesnetzagentur, mitgeteilt, dass sie meine Rechtsauffassung teilt. Ich füge diese Nachricht bei.

Wenn die zuständige Aufsichtsbehörde ein Gesetz so auslegt und anwendet, dass es nicht im Einklang mit Europarecht steht, dann liegt in jedem Fall eine Vertragsverletzung vor, die zu einem Vertragsverletzungsverfahren Anlass geben muss.

Ich bitte infolgedessen um Wiederaufnahme des Vorverfahrens.

Mit freundlichem Gruß, […]

——– Original-Nachricht ——–
Betreff: AW: Anfrage zur Werbung durch TK-Anbieter
Datum: Tue, 24 May 2011 13:20:24 +0200
Von: […]@BNetzA.de
An: […]

Sehr geehrter Herr […],

Ihre Anfrage hinischtlich des Konkurrenzverhältnisses zwischen § 95 Abs. 2 S. 2 TKG [12] und 7 UWG [15] wurde zuständigkeitshalber an mich weitergeleitet.

Ich kann Ihnen hierzu mitteilen, dass die von Ihnen dargestellte Rechtsauffassung von mir geteilt wird. § 95 Abs. 2 S. 2 TKG [12] findet vorrangige Anwendung gegenüber § 7 UWG [15].

Für weitere Rückfragen stehe ich Ihnen gerne zur Verfügung.

Mit freundlichen Grüßen Im Auftrag

[...]

—–Ursprüngliche Nachricht—–
Von: […]
Gesendet: Mittwoch, 4. Mai 2011 01:10
An: 114-1
Betreff: Anfrage zur Werbung durch TK-Anbieter

Sehr geehrter Herr […],

wegen einer aktuellen Streitigkeit bitte ich Sie um eine Einschätzung aus Sicht der Aufsichtsbehörde:

Teilen Sie meine Meinung, dass § 95 Abs. 2 S. 2 TKG [12] die Zulässigkeit von Werbung durch Telekommunikationsanbieter abschließend und speziell regelt und § 7 UWG [15] daneben keine Anwendung mehr findet, weil § 95 Abs. 2 S. 2 TKG [12] sonst überflüssig wäre?

Man kann meines Erachtens § 95 Abs. 2 S. 2 TKG [12] nicht so verstehen, dass zusätzlich noch die Voraussetzungen des § 7 UWG [15] vorliegen müssten, denn § 95 Abs. 2 S. 2 TKG [12] bestimmt: „Ein Diensteanbieter […] darf diese […] verwenden“. Es handelt sich also eindeutig um eine eigenständige Rechtsgrundlage zur Datenverwendung. Die in § 95 Abs. 2 S. 2 TKG [12] geregelten, weiter als § 7 UWG [15] reichenden Voraussetzungen zur Verwendung von E-Mail-Adressen wären überflüssig und würden nie zur Anwendung kommen, wenn § 95 Abs. 2 S. 2 TKG [12] nicht Vorrang hätte, was der Gesetzgeber nicht gewollt haben kann. Sehen Sie dies ebenso?

Mit freundlichem Gruß,

Mit Schreiben vom 21.06.2011 antwortete die EU-Kommission:

Sehr geehrter Herr […],

ich danke Ihnen für Ihre E-Mail vom 25. Mai 2011 an die Europäische Kommission, in welcher Sie um die Wiederaufnahme des Verfahrens EU Pilot 931/10/INSO – CHAP(2010)00542 hinsichtlich der Umsetzung bestimmter Vorschriften der Datenschutzrichtlinie für elektronische Kommunikation bitten in deutsches Recht.

In Bezug auf die Umsetzung der Bestimmungen der geänderten Datenschutzrichtlinie für elektronische Kommunikation in deutsches Recht, die bis zum 25. Mai 2011 erfolgen musste, lassen Sie mich anmerken, dass wir keine Anzeichen haben, dass das aktuelle deutsche Recht den Vorschriften von Artikel 5 der geänderten Datenschutzrichtlinie für elektronische Kommunikation zuwiderläuft. Diesbezüglich möchte ich Ihre Aufmerksamkeit gerne auf § 15 [11] des Telemediengesetzes (TMG) lenken. Nach § 15 TMG [11] dürfen personenbezogene Daten nur durch einen Diensteanbieter ohne Einwilligung des Nutzers erhoben und verwendet werden, wenn dies für die Nutzung und Abrechnung des Dienstes erforderlich ist.

Ich möchte Sie jedoch darüber informieren, dass, sobald die Umsetzung der neuen Telekom-Bestimmungen in deutsches Recht erfolgt ist, die Dienststellen der Kommission die Konformität der neuen nationalen Bestimmungen mit dem europäischen Rechtsrahmen prüfen und gegebenenfalls ein Vertragsverletzungsverfahren wegen inkorrekter Umsetzung einleiten können.

Zu den in Ihrer E-Mail angesprochenen Punkten 2 und 3 haben wir Ihnen bereits mit Schreiben vom 18. April 2011 mitgeteilt, dass die Kommission zu dem Schluss gekommen ist, auf Basis des bestehenden deutschen Rechts kein Vertragsverletzungsverfahren wegen Nichteinhaltung von Unionsrecht durch Deutschland einzuleiten.

Zu Punkt 3 möchte ich noch folgende Details erläuternd anmerken. Die mögliche Auslegung, dass § 95 [12] (2) des Telekommunikationsgesetzes (TKG) gegenüber § 7 des Gesetzes gegen unlauteren Wettbewerb (UWG) in bestimmten Situationen vorrangige Anwendung findet, wurde bereits in unserer ursprünglichen Untersuchung berücksichtigt. Da der Benutzer auch nach § 95 TKG [12] die Möglichkeit hat, Werbe-E-Mails zu widersprechen und Widersprüche laut der deutschen Regierung in der Praxis problemlos und entgeltfrei stattfinden, erscheint es der Kommission, dass das Zusammenspiel von § 95 TKG [12] und § 7 UWG [15] die Einhaltung von Artikel 13 (2) der Datenschutzrichtlinie für elektronische Kommunikation gewährleistet.

Mit freundlichen Grüßen,

[...]

Stellvertretender Referatsleiter

Am 24.10.2011 nahm die EU-Kommission gegenüber dem Ombudsman zu meiner Beschwerde Stellung (pdf [18]).

Ich antwortete dem Ombudsman mit E-Mail vom 28.10.2011:

Sehr geehrter Herr Diamandouros,

ich bedanke mich für die Übersendung der Stellungnahme der EU-Kommission und für die Gelegenheit, mich dazu zu äußern.

Die Stellungnahme der EU-Kommission ändert nichts an meiner Beschwerde darüber, dass die EU-Kommission ihre Entscheidung, kein Vertragsverletzungsverfahren einzuleiten, nicht ausreichend und nachvollziehbar begründet hat. Insbesondere fehlt es weiterhin an einer Auseinandersetzung mit meiner Nachricht vom 02.02.2011. Im Einzelnen:

Zum ersten Beschwerdepunkt führt die EU-Kommission an, nach deutschem Recht sei der Nutzer über die Speicherung von Endgeräten zu informieren, was den europäischen Vorgaben entspreche. Sie geht aber nicht auf mein Argument vom 02.02.2011 ein, dass Art. 5 Abs. 3 RiL 2002/58/EG [1] eben nicht nur eine Information fordert, sondern auch eine Sanktion für den Fall der Nichtinformation. Die Speicherung von Informationen in Endgeräten darf danach nämlich „nur unter der Bedingung gestattet“ werden, „dass der betreffende Teilnehmer … umfassende Informationen … erhält“. Erfolgt keine Information, muss die Datenspeicherung also verboten sein. Eben diese Sanktion ist im deutschen Recht nicht vorgesehen. Das deutsche Recht enthält nur eine Informationspflicht, ohne aber die Folge ihrer Verletzung im Einklang mit der EG-Richtlinie zu regeln.

Zum zweiten Beschwerdepunkt ist die EU-Kommission nach wie vor nicht auf meine Argumente vom 02.02.2011 eingegangen,

- wonach Artikel 4 RiL 2002/58/EG [1] keine Rechtsgrundlage für eine Verarbeitung von Verkehrsdaten bilden kann, weil letztere in Artikel 6 RiL 2002/58/EG [1] abschließend geregelt ist (die Löschungspflicht des Artikels 6 Absatz 1 lässt nur die „Absätze 2, 3 und 5 des vorliegenden Artikels und des Artikels 15 Absatz 1″ unberührt, während Artikel 4 nicht genannt ist),

- dass ein bloßer Erwägungsgrund keine Rechtsgrundlage für Eingriffe in Grundrechte bilden kann,

- dass Satz 1 des Erwägungsgrundes 29 jedenfalls auf „Einzelfälle“ beschränkt ist, was im deutschen Recht nicht umgesetzt worden ist,

- dass Erwägungsgrund 29 in Satz 2 zur Betrugsbekämpfung nur die Verarbeitung von „für Fakturierungszwecke notwendigen Verkehrsdaten“ vorsieht, was im deutschen Recht ebenfalls nicht umgesetzt ist.

Ferner geht die EU-Kommission nicht darauf ein, dass ich mit E-Mail vom 25.05.2011 eine Wiederaufnahme der Prüfung mit neuen Argumenten beantragt habe. Eine Wiederaufnahme ist indes nicht erfolgt, ohne dass nachvollziehbar auf meine neuen Argumente eingegangen worden wäre. Kurz gefasst habe ich die folgenden neuen Gesichtspunkte angeführt:

- Bezüglich des ersten Beschwerdepunkts ist zwischenzeitlich die Frist zur Umsetzung einer neuen Fassung von Art. 5 Abs. 3 RiL 2002/58/EG abgelaufen, ohne dass Deutschland die neue Fassung umgesetzt hätte.

- Bezüglich des zweiten Beschwerdepunkten ist zwischenzeitlich eine Entscheidung des Bundesgerichtshofs gefällt worden, welche die Auslegung der nationalen Vorschrift bestätigt hat, die meiner Beschwerde zugrunde liegt.

- Bezüglich des dritten Beschwerdepunktes hat die nationale Aufsichtsbehörde mitgeteilt, dass sie meine Auslegung des nationalen Rechts teilt. Das Argument der EU-Kommission, meine Beschwerde beruhe in dem dritten Punkt nur auf einer persönlichen Auslegung des deutschen Rechts, trifft also nicht zu, denn die Aufsichtsbehörde legt das deutsche Recht ebenso aus.

Ich erwarte von Ihnen keinesfalls, dass Sie entscheiden, ob meine Rechtsauffassung zu den einzelnen Punkten inhaltlich zutrifft oder nicht. Mir geht es nur darum, dass – ganz unabhängig von der Rechtslage – die EU-Kommission auf meine Argumente eingehen und ihre Position dazu mitteilen muss. Es würde mir schon reichen, wenn die EU-Kommission zu den einzelnen Argumenten mitteilen würde, dass und weshalb sie anderer Auffassung als ich ist. Es reicht mir aber nicht, wenn die Stellungnahme der EU-Kommission meine Argumente schlichtweg übergeht und diese ignoriert.

Ich denke, dass Sie auch ohne inhaltliche Bewertung erkennen können, dass die EU-Kommission in der Begründung ihrer Entscheidung auf meine tatsächlichen Beschwerdepunkte nicht eingegangen ist. Sie haben bereits in der Vergangenheit entschieden (Fall 2651/2009/(MAM)ANA), dass Beschwerden über dem EU-Recht zuwiderlaufende Maßnahmen sorgfältig zu untersuchen sind. Ich bitte Sie, mir in diesem Fall zu helfen, eine sorgfältige Untersuchung meiner Vorwürfe zu erreichen.

Mit freundlichem Gruß,

[...]

Eine Entscheidung des Ombudsmans über meine Beschwerde kann ich in meinen Unterlagen nicht auffinden.

Den Hintergrund der Beschwerde bezüglich der „Cookie-Regelung“:

In der neuen ePrivacy-Richtlinie heißt es:Artikel 5 Absatz 3 erhält folgende Fassung:
„(3) Die Mitgliedstaaten stellen sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG [13] u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer
ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann.“

http://register.consilium.europa.eu/pdf/de/09/st03/st03674.de09.pdf [19]

Diese Regelung bedeutet, dass auf anmeldefreien Websites keine Cookies mehr gesetzt werden dürfen:
http://www.out-law.com/default.aspx?page=10510 [20]
http://www.internet-law.de/labels/Cookies.html [21]
http://www.daniel-gremm.de/cookie-datenschutz-eu/738 [22]

Was aber weiterhin möglich ist, ist die Aufnahme einer ID-Nummer in die URL.

Wegen des großen Aufschreis in der Webgemeinde haben 13 Mitgliedsstaaten einschließlich Deutschlands jetzt eine Erklärung angenommen, welche die neue Richtlinie wieder aushebeln soll:

„Allerdings ist, wie im Erwägungsgrund 66 angegeben, der geänderte Artikel 5 Absatz 3 nicht dazu bestimmt, die geltende Anforderung zu ändern, wonach eine derartige Einwilligung als Recht zur Ablehnung einer Verwendung von Cookies oder ähnlicher Technologien für legitime Zwecke geltend gemacht werden kann.“

http://register.consilium.europa.eu/pdf/de/09/st15/st15864-ad01re01.de09.pdf [23]

Ein „Recht zur Ablehnung“ (opt out) soll also jetzt eine Einwilligung darstellen – das darf nicht wahr sein. […]