- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Zehn Gebote zum Schutz der Privatheit

I. Privatsphäre im Internet

Die folgenden „Zehn Gebote“ richten sich an Internet-Zugangsanbieter und Diensteanbieter im Internet. Sie wurden im Jahr 2000 von der Internationalen Arbeitsgruppe zum Datenschutz in der Telekommunikation vorgestellt [1] mit dem Ziel, dass Staaten ihren Bürgern diese Rechte und Freiheiten international garantieren sollen:

  1. Informationelle Gewaltenteilung: Netzwerk- und Diensteanbieter dürfen keine Inhalte abhören oder beeinträchtigen, außer wenn ausdrückliche gesetzliche Regelungen es verlangen. Dort, wo Netzwerk- oder Diensteanbieter selbst Inhalte anbieten, müssen die Verantwortlichkeiten für die jeweiligen Funktionen getrennt werden.
  2. Telekommunikationsgeheimnis: Netzwerk- oder Diensteanbieter dürfen Informationen über Inhalte oder Datenverkehr nicht weitergeben, außer für Zwecke der Telekommunikation oder wenn ausdrückliche gesetzliche Regelungen dies verlangen.
  3. Datensparsamkeit: Die Telekommunikationsinfrastruktur muss so aufgebaut sein, dass so wenig personenbezogene Daten wie technisch möglich zum Betrieb der Netzwerke und Dienste genutzt werden.
  4. Recht auf Anonymität: Netzwerk- und Diensteanbieter müssen jedem Nutzer die Möglichkeit zur Nutzung des Netzwerks oder den Zugang zu Diensten anonym oder unter Pseudonym anbieten. Pseudonyme, die für diese Zwecke genutzt werden, dürfen nicht aufgedeckt werden, außer wenn gesetzliche Bestimmungen dies ausdrücklich verlangen.
  5. Virtuelles Recht, in Ruhe gelassen zu werden: Niemand darf gezwungen werden, seine personenbezogenen Daten in Verzeichnissen oder anderen Registern veröffentlichen zu lassen. Jedem Nutzer muss das Recht gegeben werden, der Erhebung seiner Daten durch eine Suchmaschine oder andere Agenten zu widersprechen. Jedem Nutzer müssen das Recht und die technische Möglichkeit gegeben werden, das Eindringen externer Programme in seine eigenen Endgeräte zu verhindern.
  6. Recht auf Sicherheit: Jedem Nutzer müssen das Recht und die technische Möglichkeit eingeräumt werden, seine Inhalte vertraulich unter Nutzung geeigneter Methoden wie Verschlüsselung zu übertragen.
  7. Beschränkung zweckfremder Nutzung: Verbindungsdaten dürfen ohne die ausdrückliche Einwilligung des Nutzers nicht für andere Zwecke außerhalb der Notwendigkeit zum Betreiben des Netzwerkes oder Dienstes genutzt werden.
  8. Transparenz: Netzwerk- und Diensteanbieter müssen alle notwendigen Erklärungen, die zum Verständnis der Struktur des Netzwerks oder Dienstes, der diesbezüglichen Verantwortlichkeiten, des Umfangs der verarbeiteten personenbezogenen Daten und der geplanten Übermittlungen notwendig sind, in angemessener Weise veröffentlichen.
  9. Recht auf Auskunft: Jedem Nutzer muss das individuelle Recht gewährt werden, über alle personenbezogenen Daten, die über ihn zum Betrieb des Netzwerks oder Dienstes online verarbeitet werden, Auskunft zu erhalten.
  10. Internationale Konfliktlösung: Angesichts der internationalen Aspekte aller Netzwerk- und Diensteaktivitäten muss jedem Nutzer das Recht gewährt werden, sich an eine Einrichtung mit grenzüberschreitenden Befugnissen zur Untersuchung und Durchsetzung zu wenden, wo nationale Gesetzgebung zur Garantie seiner Rechte nicht ausreichend ist.

II. Staatliche Eingriffe

Staatliche Eingriffe in die private Telekommunikation, insbesondere durch Abhören, sollen der Arbeitsgruppe zufolge nur unter den folgenden Bedingungen zulässig sein:

  1. vorherige richterliche Anordnung,
  2. (nachträgliche) Benachrichtigung der Betroffenen,
  3. Beschränkung der Nutzung,
  4. Verpflichtung zur Protokollierung
  5. Überwachung und Kontrolle sowie
  6. öffentliche Rechenschaftspflicht.

Aus meiner Sicht sind folgende weitere Garantien erforderlich:

  1. Beschränkung der Nutzung und Weitergabe der Daten auf den Zweck, zu dem sie erhoben wurden oder hätten erhoben werden dürfen, und Löschung der Daten nach Erledigung dieses Zwecks
  2. Schutz engster Vertrauensbeziehungen vor staatlichen Zugriffen
  3. Kontrolle der Einhaltung der Schutzmechanismen durch eine unabhängige Stelle, insbesondere Datenschutzbeauftragte
  4. Eröffnung des Rechtswegs zu unabhängigen Gerichten

III. Internationale Zusammenarbeit

Eine Übermittlung personenbezogener Daten darf nur in solche ausländischen Staaten erfolgen, in denen diese Schutzprinzipien gewährleistet sind (siehe § 4b BDSG [2], § 14 BKAG [3], § 33 BPolG, § 57 BZRG, §§ 23d und 34 ZFdG). Dies ist außerhalb Europas meist nicht der Fall, etwa in den USA (Details [4]). Hier kommt eine Übermittlung personenbezogener Daten nur ausnahmsweise zur Verhinderung konkret bevorstehender Straftaten gegen Leib oder Leben in Frage.

Ein angemessenes Datenschutzniveau setzt nach Ansicht [5] der EU-Datenschutzgruppe die Gewährleistung der folgenden Schutzprinzipien voraus:

  1. Grundsatz der Beschränkung der Zweckbestimmung: Daten sind für einen spezifischen Zweck zu verarbeiten und dementsprechend nur insofern zu verwenden oder weiter zu übermitteln, als dies mit der Zweckbestimmung der Übermittlung nicht unvereinbar ist. Die einzigen Ausnahmen von dieser Regel sind die in einer demokratischen Gesellschaft aus einem der in Artikel 13 der Richtlinie 95/46/EG [6] aufgeführten Gründe notwendigen Fälle.
  2. Grundsatz der Datenqualität und -verhältnismäßigkeit: Daten müssen sachlich richtig und, wenn nötig, auf dem neusten Stand sein. Die Daten müssen angemessen, relevant und im Hinblick auf die Zweckbestimmung, für die sie übertragen oder weiter verarbeitet werden, nicht exzessiv sein.
  3. Grundsatz der Transparenz: Natürliche Personen müssen Informationen über die Zweckbestimmung der Verarbeitung und die Identität des im Drittland für die Verarbeitung Verantwortlichen sowie andere Informationen erhalten, sofern dies aus Billigkeitsgründen erforderlich ist. Ausnahmen sind lediglich im Einklang mit den Artikeln 11 Absatz 2 und 13 der Richtlinie 95/46/EG [6] möglich.
  4. Grundsatz der Sicherheit: Der für die Verarbeitung Verantwortliche hat geeignete technische und organisatorische Sicherheitsmaßnahmen für die Risiken der Verarbeitung zu treffen. Alle unter der Verantwortung des für die Verarbeitung Verantwortlichen tätigen Personen, darunter auch Verarbeiter, dürfen Daten nur auf Anweisung des für die Verarbeitung Verantwortlichen verarbeiten.
  5. Rechte auf Zugriff, Berichtigung und Widerspruch: Die betroffene Person muss das Recht haben, eine Kopie aller sie betreffender Daten zu erhalten, die verarbeitet werden, sowie das Recht auf Berichtigung dieser Daten, wenn diese sich als unrichtig erweisen. In bestimmten Situationen muss sie auch Widerspruch gegen die Verarbeitung der sie betreffenden Daten einlegen können. Die einzigen Ausnahmen von diesen Rechten haben mit Artikel 13 der Richtlinie 95/46/EG [6] im Einklang zu stehen.
  6. Beschränkungen der Weiterübermittlung an andere Drittländer: Weitere Übermittlungen personenbezogener Daten vom Bestimmungsdrittland in ein anderes Drittland sind lediglich zulässig, wenn das zweite Drittland ebenfalls ein angemessenes Schutzniveau aufweist. Die einzigen zulässigen Ausnahmen haben mit Artikel 26 der Richtlinie 95/46/EG [6] im Einklang zu stehen.
  7. Sensible Daten: Sind „sensible“ Kategorien von Daten betroffen (die in Artikel 8 der Richtlinie 95/46/EG [6] aufgelistet sind), so haben zusätzliche Sicherheitsmaßnahmen wie das Erfordernis zu gelten, dass die betroffene Person ausdrücklich in die Verarbeitung einwilligt.
  8. Direktmarketing: Werden Daten zum Zwecke des Direktmarketings übermittelt, so muss die betroffene Person die Möglichkeit haben, sich jederzeit gegen die Verwendung ihrer Daten für derartige Zwecke zu verwehren.
  9. Automatisierte Einzelentscheidung: Erfolgt die Übermittlung mit dem Ziel, eine automatisierte Einzelentscheidung im Sinne von Artikel 15 der Richtlinie zu treffen, so muss die natürliche Person das Recht haben, die dieser Entscheidung zugrunde liegende Logik zu erfahren, und andere Maßnahmen müssen getroffen werden, um die berechtigten Interessen der natürlichen Person zu schützen.
  10. Verfahrens- und Durchführungsmechanismen:

IV. Gemeinsame Grundprinzipien des Datenschutzes

In Europa gelten die folgenden gemeinsamen Grundprinzipien des Datenschutzes:

  1. Legitimität: Die Erhebung oder Verwendung personenbezogener Daten ist nur zulässig, wenn die verarbeitende Stelle damit bestimmte, legitime und nicht missbräuchliche Zwecke verfolgt.
  2. Zweckbindung: Die jeweils verfolgten Zwecke sind festzulegen. Dies gewährleistet die Vorhersehbarkeit der Datenerhebung und -verarbeitung und ermöglicht es, sie an den verfolgten Zwecken zu messen. Das Gebot, die verfolgten Zwecke festzulegen, hat auch eine Zweckbindung in dem Sinne zur Folge, dass die Verarbeitung von Daten zu anderen als den festgelegten Zwecken unzulässig ist. Zugleich folgt aus dem Festlegungsgebot, dass eine „Sammlung nicht anonymisierter Daten auf Vorrat zu unbestimmten oder noch nicht bestimmbaren Zwecken“ unzulässig ist.
  3. Eignung: Jede Erhebung oder Verarbeitung personenbezogener Daten muss geeignet sein, zur Erreichung der mit ihr verfolgten Zwecke beizutragen.
  4. Minimalisierung: Die Erhebung oder Verarbeitung personenbezogener Daten darf nicht über das zur Erreichung der angestrebten Zwecke erforderliche Maß hinaus gehen.
  5. Alternativlosigkeit: Unter mehreren gleichermaßen zur Erreichung der angestrebten Zwecke geeigneten Mitteln muss das für die Betroffenen mildeste gewählt werden.
  6. Verhältnismäßigkeit: Die tatsächlichen und möglichen Vorteile der Datenerhebung oder -verarbeitung im Hinblick auf die angestrebten Zwecke dürfen nicht außer Verhältnis zu den tatsächlichen und möglichen Nachteilen der Datenerhebung oder -verarbeitung für die Betroffenen stehen.
  7. Information: Die Betroffenen sind über die Erhebung ihrer Daten und über die damit verfolgten Verarbeitungszwecke zu informieren.
  8. Auskunftsrecht: Betroffene können Auskunft über die jeweils über sie gespeicherten Daten verlangen.
  9. Durchsetzung: Betroffenen muss es möglich sein, die rechtswidrige Verarbeitung ihrer Daten wirksam zu unterbinden.
  10. Aufsicht: Unabhängige, staatliche Aufsichtsstellen zur Kontrolle der Rechtmäßigkeit der Datenverarbeitung sind einzurichten.