{"id":1799,"date":"2009-11-07T14:49:47","date_gmt":"2009-11-07T12:49:47","guid":{"rendered":"http:\/\/www.daten-speicherung.de\/?p=1799"},"modified":"2009-11-07T14:49:47","modified_gmt":"2009-11-07T12:49:47","slug":"vorschlaege-zur-verbesserung-des-europaeischen-datenschutzes-gegenueber-privaten","status":"publish","type":"post","link":"https:\/\/www.daten-speicherung.de\/index.php\/vorschlaege-zur-verbesserung-des-europaeischen-datenschutzes-gegenueber-privaten\/","title":{"rendered":"Vorschl&#228;ge zur Verbesserung des europ&#228;ischen Datenschutzes gegen&#252;ber Privaten"},"content":{"rendered":"<p>Im Rahmen einer Anh&#246;rung der EU-Kommission habe ich Vorschl&#228;ge unterbreitet, wie man den europ&#228;ischen Schutz von Daten bei Privatpersonen und Unternehmen verbessern k&#246;nnte:<\/p>\n<blockquote><p><strong>I. Verbesserter Datenschutz<\/strong><\/p>\n<p><strong>1. Einf&#252;hrung eines Rechts auf anonyme Nutzung von Diensten der Informationsgesellschaft<\/strong><\/p>\n<p>Begr&#252;ndung: Nur im Schutz der Anonymit&#228;t sind sensible Recherchen und T&#228;tigkeiten im Internet &#252;berhaupt m&#246;glich (z.B. Recherchen von Journalisten oder Menschen in einer Notlage wie Drogenabh&#228;ngige). Werbefinanzierten Anbietern ist eine anonyme Zugangsm&#246;glichkeit nicht unzumutbar, weil sie f&#252;r diese Zug&#228;nge ein (zus&#228;tzliches) Entgelt erheben k&#246;nnen, welches die entgangenen Einnahmen aus personenbezogener Werbung ausgleicht. Die Abrechnung kann &#252;ber anonyme vorausbezahlte Guthabenkarten erfolgen (z.B. &#8222;paysafecard&#8220;).<\/p>\n<p>Formulierungsvorschlag: &#8222;<em>Der Diensteanbieter hat dem Nutzer die Inanspruchnahme von Diensten der Informationsgesellschaft und ihre Bezahlung anonym zu erm&#246;glichen, soweit dies technisch m&#246;glich und zumutbar ist. Die anonyme Bereitstellung ist zumutbar, wenn Dienste dieser Art am Markt anonym angeboten werden, es sei denn, dass die besonderen Verh&#228;ltnisse des Diensteanbieters entgegen stehen. Der Nutzer ist &#252;ber die M&#246;glichkeit der anonymen Inanspruchnahme zu informieren.<\/em>&#8220; (vgl. <a href=\"http:\/\/dejure.org\/gesetze\/TMG\/13.html\" title=\"&sect; 13 TMG: (weggefallen)\">\u00a7 13 Abs. 6 TMG<\/a>)<\/p>\n<p><strong>2. Einf&#252;hrung eines Rechts darauf, Dienste der Informationsgesellschaft nutzen zu k&#246;nnen, ohne dass der Anbieter jeden Klick oder jede Eingabe personenbeziehbar aufzeichnet.<\/strong><\/p>\n<p>Begr&#252;ndung: Wie oben. Es besteht kein Widerspruch zur Richtlinie zur Vorratsdatenspeicherung, weil diese nur TK-Anbieter betrifft.<\/p>\n<p>Formulierungsvorschlag: &#8222;<em>Der Diensteanbieter darf personenbezogene Daten eines Nutzers nur verarbeiten, soweit dies erforderlich ist, um die Inanspruchnahme des Dienstes zu erm&#246;glichen und abzurechnen (Nutzungsdaten).<\/em>&#8220; (vgl. <a href=\"http:\/\/dejure.org\/gesetze\/TMG\/15.html\" title=\"&sect; 15 TMG: (weggefallen)\">\u00a7 15 Abs. 1 TMG<\/a>)<\/p>\n<p><strong>3. Klarstellung, dass IP-Adressen personenbezogene Daten sind.<\/strong><\/p>\n<p>Begr&#252;ndung: Unternehmen wie Google behaupten bis heute, das von ihnen aufgezeichnete Nutzerverhalten sei nicht personenbezogen, obwohl zumindest staatliche Beh&#246;rden die Identit&#228;t des Nutzers anhand seiner IP-Adresse problemlos in Erfahrung bringen k&#246;nnen. Die bestehende Rechtsunsicherheit &#252;ber den Personenbezug von IP-Adressen beeintr&#228;chtigt den Datenschutz im Internet.<\/p>\n<p>Formulierungsvorschlag: &#8222;<em>Nutzungsdaten sind insbesondere Merkmale zur Identifikation des Nutzers einschlie&#223;lich Internet-Protocol-Adressen, Angaben &#252;ber Beginn und Ende sowie des Umfangs der jeweiligen Nutzung und Angaben &#252;ber die vom Nutzer in Anspruch genommenen Dienste der Informationsgesellschaft.<\/em>&#8220;<\/p>\n<p><strong>4. Information &#252;ber die Aufbewahrungsdauer personenbezogener Daten.<\/strong><\/p>\n<p>Begr&#252;ndung: Nur wenn der Betroffene dar&#252;ber informiert ist, wie lange einzelne Anbieter seine Daten typischerweise aufbewahren, kann er eine wirklich freie Entscheidung dar&#252;ber treffen, ob und welchen Anbieter einer Leistung er in Anspruch nehmen will. Nur auf diese Weise kann ein Wettbewerb um datensparsame Angebote entstehen. Dass sich die Unterrichtung auch auf &#8222;die m&#246;gliche Dauer der Datenspeicherung&#8220; erstrecken muss, meint auch die Artikel 29-Datenschutzgruppe (Dokument WP 37 vom 21.11.2000, 65). Ohne Zeitabgabe kann der Nutzer nicht erkennen, ob eine Speicherung einen Monat oder zehn Jahre lang erfolgt.<\/p>\n<p>Formulierungsvorschlag f&#252;r Artikel 10 RiL <a target=\"_blank\" href=\"http:\/\/eur-lex.europa.eu\/LexUriServ\/LexUriServ.do?uri=CELEX:31995L0046:DE:HTML\">95\/46\/EG<\/a> &#8211; neu -:<br \/>\n&#8222;Die Mitgliedstaaten sehen vor, da&#223; die Person, bei der die sie betreffenden Daten erhoben werden, vom f&#252;r die Verarbeitung Verantwortlichen oder seinem Vertreter zumindest die nachstehenden Informationen erh&#228;lt, sofern diese ihr noch nicht vorliegen:<br \/>\na) Identit&#228;t des f&#252;r die Verarbeitung Verantwortlichen und gegebenenfalls seines Vertreters,<br \/>\nb) <em>Welche Daten wie lange und zu welchen Zwecken verarbeitet werden,<\/em><br \/>\nc) &#8230;&#8220; (unver&#228;ndert)<\/p>\n<p><strong>5. Vorformulierte Einwilligungsklauseln m&#252;ssen einer Angemessenheitskontrolle unterworfen werden.<\/strong><\/p>\n<p>Begr&#252;ndung: Besonders Anbieter von Diensten der Informationsgesellschaft nutzen in der Praxis verbreitet das Schlupfloch der elektronischen Einwilligung, um sich den ausgewogenen gesetzlichen Regelungen &#252;ber die Verarbeitung von Nutzerdaten zu entziehen. Die \u2013 meist unklar formulierte und mehrere Seiten lange \u2013 Einwilligungserkl&#228;rung, welcher der Nutzer zustimmen muss, bedingt das Datenschutzrecht gleichsam insgesamt ab, indem sie eine unbefristete und unbeschr&#228;nkte Erfassung, Nutzung und Weitergabe s&#228;mtlicher Daten &#252;ber die Nutzer erlaubt. Dieser Zustand ist unhaltbar. Die deutschen Gerichte haben bereits entschieden, dass Einwilligungsklauseln einer Angemessenheitskontrolle unterliegen (grundlegend BGH vom 19.09.1985, Az. <a href=\"http:\/\/dejure.org\/dienste\/vernetzung\/rechtsprechung?Text=III%20ZR%20213\/83\" title=\"BGH, 19.09.1985 - III ZR 213\/83: Formularbestimmungen &uuml;ber Kreditdaten&uuml;bermittlung, Stundungszi...\">III ZR 213\/83<\/a> \u2013 Schufaklausel).<\/p>\n<p>L&#246;sungsvorschlag: In die Richtlinie 98\/27\/EG &#252;ber unangemessene Klauseln in Verbrauchervertr&#228;gen m&#252;ssen vorformulierte Klauseln &#252;ber die Einwilligung in die Verarbeitung personenbezogener Daten aufgenommen werden. Unwirksam sein m&#252;ssen Einwilligungsklauseln, wenn sie den von der Datenverarbeitung Betroffenen unangemessen benachteiligen oder wenn sie mit wesentlichen Grundgedanken einer gesetzlichen Regelung, von der sie abweichen, nicht zu vereinbaren sind.<\/p>\n<p><strong>II. Verbesserte Durchsetzung der geltenden Datenschutzgarantien<\/strong><\/p>\n<p><strong>1. Einf&#252;hrung eines Verbandsklagerechts f&#252;r Verbraucher- und Datenschutzverb&#228;nde, damit sie gegen datenschutzwidrige Praktiken klagen k&#246;nnen.<\/strong><\/p>\n<p>Begr&#252;ndung: Bei von Einzelnen angestrengten Prozessen wegen datenschutzwidriger Praktiken &#8211; etwa im Fall Voss .\/. T-Online &#8211; gibt es immer wieder Finanzierungsschwierigkeiten; au&#223;erdem wird das Urteil von der Gegenseite oftmals nur f&#252;r den jeweiligen Kl&#228;ger umgesetzt und nicht f&#252;r alle Kunden.<\/p>\n<p><strong>2. Klarstellung, dass Datenschutzbestimmungen auch dem Schutz eines fairen Wettbewerbs dienen.<\/strong><\/p>\n<p>Begr&#252;ndung: Die Einhaltung des Datenschutzrechts ist wettbewerbsrelevant, weil sich hiergegen versto&#223;ende Unternehmen im Wettbewerb mit datenschutzkonform arbeitenden Konkurrenten einen unlauteren Vorteil durch Rechtsbruch verschaffen. Bisher sind die Gerichte in Deutschland der Meinung, dass Datenschutzvorschriften nicht wettbewerbssch&#252;tzend seien. Das Wettbewerbsrecht ist aber ein effizientes, unb&#252;rokratisches und erfolgreiches Instrument, das auf den Bereich des Datenschutzes erstreckt werden sollte.<\/p>\n<p><strong>3. Einf&#252;hrung einer Herstellerhaftung f&#252;r den Fall, dass unsichere Produkte zu Datenschutzverletzungen f&#252;hren (Produkthaftung)<\/strong><\/p>\n<p>Begr&#252;ndung: Im Softwarebereich w&#228;re es sinnvoll, die Produkthaftung von Herstellern informationstechnischer Produkte auf Verm&#246;genssch&#228;den zu erstrecken, die dadurch entstehen, dass ein Produkt nicht wirksam (Stand der Technik) vor Computerattacken oder Datenverlust gesch&#252;tzt ist. Dann w&#252;rden Softwarehersteller f&#252;r die Folgen ihrer Sicherheitsl&#252;cken (&#8222;Bugs&#8220;) haften, die schon oft f&#252;r Verluste pers&#246;nlicher Daten und von Betriebsgeheimnissen gesorgt haben. Das Haftungsrecht ist ein sehr effizientes Rechtsdurchsetzungsinstrument, wie sich etwa im Bereich der<br \/>\nArbeitssicherheit gezeigt hat. Es sollte auch f&#252;r den Datenschutz nutzbar gemacht werden.<\/p>\n<p><strong>4. Verschuldensunabh&#228;ngige Haftung f&#252;r Datenschutzverletzungen mit pauschaler Entsch&#228;digungssumme<\/strong><\/p>\n<p>Die Datenverarbeiter sollten den Betroffenen auch f&#252;r<br \/>\nimmaterielle Sch&#228;den haften (z.B. Sorge um einen m&#246;glichen Missbrauch ihrer Daten infolge einer Datenpanne), und zwar verschuldensunabh&#228;ngig. Ein Regelwert f&#252;r den immateriellen Schaden sollte festgelegt werden (z.B. 200 Euro pro Person). Entsch&#228;digungszahlungen wegen Datenpannen k&#246;nnte der f&#252;r die Verarbeitung Verantwortliche dann vom Hersteller ersetzt verlangen (siehe Punkt 3 oben), wenn ein unsicheres Produkt f&#252;r den Schaden verantwortlich ist.<\/p>\n<p>Begr&#252;ndung: Durch die Einf&#252;hrung einer Haftung f&#252;r Datenpannen samt pauschaler Entsch&#228;digungssummen w&#228;ren gro&#223;e Datenverarbeiter gezwungen, sich gegen Datenschutzverletzungen zu versichern. Durch die Versicherungspr&#228;mie h&#228;tten sie ein eigenes finanzielles Interesse daran, die Schadenswahrscheinlichkeit zu senken. Auf dem Gebiet der Unfallversicherung hat ein solches System bereits zu einem drastischen R&#252;ckgang der Zahl der Arbeitsunf&#228;lle gef&#252;hrt.<\/p>\n<p><strong>5. Privacy by design: Kommerzielle informationstechnische Produkte d&#252;rfen nicht so voreingestellt sein, dass der Verwender gegen Datenschutzrecht verst&#246;&#223;t.<\/strong><\/p>\n<p>Begr&#252;ndung: Computerprodukte m&#252;ssen mit einer sicheren und datensparsamen Grundeinstellung ausgeliefert werden. Dies ist derzeit leider bei den &#8211; vorherrschenden &#8211; amerikanischen Produkten nicht der Fall, weil es in den USA bekanntlich im privaten Bereich keinerlei Datenschutzgarantien gibt. Kommerziellen Anbietern informationstechnischer Produkte ist es jedoch zumutbar, Produkte f&#252;r den europ&#228;ischen Markt mit datenschutzkonformen Voreinstellungen auszuliefern. Es ist auch gesamtwirtschaftlich sinnvoller, wenn der Hersteller sein Produkt rechtskonform gestaltet als wenn s&#228;mtliche Abnehmer das Produkt erst rechtskonform umgestalten m&#252;ssen.<\/p>\n<p><strong>6. Einf&#252;hrung von Informationspflichten bei Datenschutzverletzungen<\/strong><\/p>\n<p>Begr&#252;ndung: US-amerikanische Erfahrungen zeigen, dass eine Informationspflicht &#252;ber Datenpannen eine abschreckende Wirkung entfaltet und Vorbeugema&#223;nahmen der Datenverarbeiter f&#246;rdert.<\/p>\n<p><strong>7. Ma&#223;nahmen zur Gew&#228;hrleistung der Datensicherheit m&#252;ssen dem Stand der Technik entsprechen.<\/strong><\/p>\n<p>Begr&#252;ndung: In den letzten Monaten sind immer wieder schwerwiegende Datenpannen mit Millionen von Betroffenen bekannt geworden, die h&#228;tten vermieden werden k&#246;nnen, wenn die Verarbeitungssysteme auf dem Stand der Technik gewesen w&#228;ren (z.B. durch Anwendung von Updates).<\/p>\n<p>Formulierungsvorschlag f&#252;r Artikel 17 (1) RiL <a target=\"_blank\" href=\"http:\/\/eur-lex.europa.eu\/LexUriServ\/LexUriServ.do?uri=CELEX:31995L0046:DE:HTML\">95\/46\/EG<\/a> &#8211; neu:<br \/>\n&#8222;Die Mitgliedstaaten sehen vor, da&#223; der f&#252;r die Verarbeitung Verantwortliche die geeigneten technischen und organisatorischen Ma&#223;nahmen durchf&#252;hren mu&#223;, die f&#252;r den Schutz gegen die zuf&#228;llige oder unrechtm&#228;ssige Zerst&#246;rung, den zuf&#228;lligen Verlust, die unberechtigte &#196;nderung, die unberechtigte Weitergabe oder den unberechtigten Zugang &#8211; insbesondere wenn im Rahmen der Verarbeitung Daten in einem Netz &#252;bertragen werden &#8211; und gegen jede andere Form der unrechtm&#228;ssigen Verarbeitung personenbezogener Daten erforderlich sind.<br \/>\nDiese Ma&#223;nahmen m&#252;ssen <em>dem Stand der Technik entsprechen und<\/em> ein Schutzniveau gew&#228;hrleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu sch&#252;tzenden Daten angemessen ist.&#8220;<\/p>\n<p><strong>8. Benachteiligungsverbot bei Gebrauchmachen von Datenschutzrechten<\/strong><\/p>\n<p>Begr&#252;ndung: In der Praxis werden unabdingbare Regelungen des Datenschutzrechts immer wieder dadurch umgangen, dass Unternehmen mit einer ordentlichen K&#252;ndigung reagieren, wenn Betroffene von ihren gesetzlich garantierten Rechten Gebrauch machen. Zu diesen unabdingbaren Betroffenenrechten z&#228;hlt insbesondere das Recht, Auskunft &#252;ber die zur eigenen Person gespeicherten Daten verlangen zu d&#252;rfen sowie die Rechte auf Berichtigung, L&#246;schung und Sperrung personenbezogener Daten.<\/p>\n<p>Formulierungsvorschlag Richtlinie 95\/46\/EG: &#8222;<em>Der f&#252;r die Verarbeitung Verantwortliche darf den Betroffenen nicht benachteiligen, weil dieser in zul&#228;ssiger Weise von Rechten aus dieser Richtlinie Gebrauch macht. Wenn im Streitfall der Betroffene Tatsachen glaubhaft macht, die eine Benachteiligung im Sinne des Satzes 1 vermuten lassen, tr&#228;gt der Verantwortliche die Beweislast daf&#252;r, dass andere, sachliche Gr&#252;nde die Behandlung des Betroffenen rechtfertigen.<\/em>&#8220;<\/p>\n<p><strong>9. Einrichtung einer &#8222;Stiftung Datentest&#8220; nach dem Vorbild der &#8222;Stiftung Warentest&#8220;, um verschiedene Anbieter von Dienstleistungen einer Art zu vergleichen im Hinblick auf die Menge der jeweils erhobenen personenbezogenen Daten, die Datenverwendung und -weitergabe (etwa ins Ausland, an Auskunfteien oder zu Werbezwecken) und die Datensicherheit.<\/strong><\/p>\n<p>Begr&#252;ndung: Verbraucher k&#246;nnen heutzutage realistischerweise nicht &#252;berblicken, was einzelne Anbieter mit ihren Daten machen. Auf dem Gebiet der Qualit&#228;tssicherung hat sich in Deutschland das Modell der &#8222;Stiftung Warentest&#8220; bew&#228;hrt, die Produkte testet, vergleicht und benotet. Wenn es eine &#8222;Stiftung Datentest&#8220; g&#228;be, k&#246;nnten Verbraucher sich ausgehend von deren Urteil leicht f&#252;r ein datenschutzfreundliches Produkt entscheiden. Hersteller w&#252;rden schon pr&#228;ventiv f&#252;r mehr Datenschutz sorgen, um eine Empfehlung zu erzielen und schlechte Bewertungen zu vermeiden.<\/p><\/blockquote>","protected":false},"excerpt":{"rendered":"<p>Im Rahmen einer Anh&#246;rung der EU-Kommission habe ich Vorschl&#228;ge unterbreitet, wie man den europ&#228;ischen Schutz von Daten bei Privatpersonen und Unternehmen verbessern k&#246;nnte: I. Verbesserter Datenschutz 1. Einf&#252;hrung eines Rechts auf anonyme Nutzung von Diensten der Informationsgesellschaft Begr&#252;ndung: Nur im Schutz der Anonymit&#228;t sind sensible Recherchen und T&#228;tigkeiten im Internet &#252;berhaupt m&#246;glich (z.B. Recherchen von [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2,13],"tags":[36],"class_list":["post-1799","post","type-post","status-publish","format-standard","hentry","category-datenschutz-im-privatsektor","category-metaowl-watchblog","tag-vorschlaege"],"_links":{"self":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts\/1799","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/comments?post=1799"}],"version-history":[{"count":5,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts\/1799\/revisions"}],"predecessor-version":[{"id":1804,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/posts\/1799\/revisions\/1804"}],"wp:attachment":[{"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/media?parent=1799"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/categories?post=1799"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.daten-speicherung.de\/index.php\/wp-json\/wp\/v2\/tags?post=1799"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}