Auftragsdatenverarbeitung vs. Funktionsübertragung – Teil 4: Konsequenzen für den Datenschutzbeauftragten

Nicht nur für die Verantwortlichkeit und die Haftung – siehe Teil 3 dieser Reihe – ist die Unterscheidung zwischen einer Auftragsdatenverarbeitung und einer Funktionsübertragung immens wichtig, auch wenn die Unterscheidung zwischen einer Auftragsdatenverarbeitung und einer Funktionsübertragung in der Praxis manchmal schwierig sein kann (siehe Teil 1 und Teil 2 der Reihe). Auch für den Datenschutzbeauftragten der beteiligten Unternehmen ist es extrem wichtig zu wissen, von welchem Fall auszugehen ist.

Funktionsübertragung
Bei der Datenübermittlung im Sinne des § 3 Abs. 4 Nr. 3 BDSG gibt es für den Datenschutzbeauftragten des übermittelnden und des empfangenden Unternehmens keine Besonderheiten: Er nimmt diese Verfahren jeweils in das Verfahrensverzeichnis des jeweiligen Unternehmens auf und prüft beim übermittelten Unternehmen die Befugnisse zur Datenübermittlung (etwa im Rahmen des § 28 Abs. 1 BDSG) bzw. beim empfangenden Unternehmen der Verarbeitung der personenbezogenen Daten.

Auftragsdatenverarbeitung
Bei einer Auftragsdatenverarbeitung sieht die Situation vollkommen anders aus: Da bei der Auftragsdatenverarbeitung der Auftraggeber für den Datenschutz insgesamt voll verantwortlich bleibt, muss auch der Datenschutzbeauftragte des Auftraggebers die Datenverarbeitung beim Auftragnehmer voll überwachen. Zu diesem Zweck hat er das gesamte Verfahren – auch die Verarbeitung beim Auftraggeber – in seinem internen Verfahrensverzeichnis zu führen. Hierzu ist er zum einen auf die Informationen vom Auftragnehmer angewiesen. Zum anderen hat er sich die erforderlichen Erkenntnisse und Einsichten in die Datenverarbeitungen durch den Auftragnehmer durch die von § 11 Abs. 2 Satz 4 BDSG geforderten Kontrollmaßnahmen einzuholen. Gemäß dieser Vorschrift ist der Datenschutzbeauftragte oder eine andere verantwortliche Person auf Seiten des Auftraggebers verpflichtet, sich regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen (nach § 9 BDSG und der Anlage zu § 9 BDSG) zu überzeugen. Gemäß § 11 Abs. 2 Satz 5 BDSG hat der Prüfer das Ergebnis dieser Kontrollen zu dokumentieren.

Der Datenschutzbeauftragte des Auftragnehmers sollte bei Anfragen durch die verantwortliche Person oder den Datenschutzbeauftragten des Auftraggebers Auskunft zu Details des durchgeführten Prozesses erteilen können. Hierfür kann es sinnvoll sein, diesen Prozess oder dieses Verfahren (zumindest abstrakt) in einem Verfahrensverzeichnis aufzunehmen. Insbesondere sollte der Datenschutzbeauftragte des Auftragnehmers die technischen und organisatorischen Maßnahmen gemäß § 9 BDSG und Anlage dokumentieren, um bei der Erfassung eines Vertrags zur Datenverarbeitung gemäß § 11 Abs. 2 BDSG diese Informationen gemäß § 11 Abs. 2 Nr. 3 BDSG beschreiben und aufführen zu können.

Freilich ist es nicht so, dass der Datenschutzbeauftragte des Auftragnehmers dann nichts mehr zu tun hätte, weil die Verantwortung für den von der Datenverarbeitung betroffenen Prozess beim Auftraggeber liegt. § 11 Abs. 4 BDSG weist explizit darauf hin, dass den Auftragnehmer unter anderem die Pflichten aus § 5 BDSG (Datengeheimnis), § 9 BDSG (technische und organisatorische Maßnahmen), § 43 Abs. 1 Nr. 2, 10 und 11, Abs. 2 Nr. 1-3 und Abs. 3 BDSG sowie § 44 BDSG als auch die §§ 4f, 4g BDSG (Datenschutzbeauftragter) und § 38 BDSG (Aufsichtsbehörde) treffen.

„Personenbezogene Daten“, wohl die wichtigste Begrifflichkeit im Bundesdatenschutzgesetz.

Immer wieder kommt es bei der Identifizierung dieser Daten zu Fragen und Missverständnissen.

Die Sache wird ein wenig klarer, wenn man nun zwei Begriffe zugrunde legt, nämlich wie schon erwähnt die personenbezogenen Daten und die personenbeziehbaren Daten.

Wie unterscheidet man aber nun beide Begriffe von einander ?

Die Antwort findet man im § 3 (1) Bundesdatenschutzgesetz, dieser sagt folgendes aus:
 

Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).
 

Wie Sie sehen, gibt es die Differenzierung auch im Gesetzestext, die rechtliche Wertung ist die gleiche.

Schauen wir uns das einmal genauer an:

Aus Daten über bestimmte Personen geht die Identität eindeutig hervor. Man kann also direkt entnehmen wer der Betroffene ist.

Ein Beispiel wäre ein Auszug aus einer Adressliste, in dem der Name des Betroffenen steht.

Aus Daten über eine bestimmbare Person geht zuerst einmal nicht hervor wer der Betroffene ist, es sind jedoch aber Informationen enthalten, die es möglich machen die Person zu identifizieren.

Beispiele wären hier eine Mitgliederliste, auf der nicht die Namen der Mitglieder verzeichnet sind, jedoch aber eine Mitgliedsnummer.

Anhand dieser Mitgliedsnummer, kann der Betroffene wieder bestimmt werden.

Nach Meinung der Datenschutz Aufsichtsbehörden, sind auch dynamische IP Adressen hiervon betroffen, denn zumindest der Provider kann anhand der IP Adresse Rückschlüsse auf den Betroffenen ziehen.

Wenn man die Begriffe nun genauer untersucht, so wird man feststellen, dass der Schutz von Persönlichkeitsrechten bei bestimmbaren Daten höher ist als bei bestimmten Daten.

Den Austausch von Informationen, die direkt auf eine natürliche Person schließen lassen, also zum Beispiel die Verwendung einer Nummer anstatt des Namens, nennt man Pseudonymisierung.

Die Pseudonymisierung von Daten macht in der Praxis durchaus Sinn, man darf hier jedoch aber nicht ausser acht lassen, dass auch bei pseudonymisierten Daten alle Vorschriften aus dem BDSG beachtet werden müssen.

Auch bei der Verarbeitung von pseudonymisierten Daten benötigt die speichernde Stelle eine Gesetzesgrundlage oder eine Einwilligung des Betroffenen.

xDSB berät Sie gerne.

Nutzung von Melderegisterdaten zu Zwecken der Werbung und des Adresshandels

Die Aufregung um das neue Gesetz zur Fortentwicklung des Meldewesens (MeldFortG) zeigt: Es existiert derzeit noch großes datenschutzrechtliches Unwissen zu der Frage, was man mit Datenabfragen aus Melderegistern so alles – zulässigerweise – anfangen kann.

Aber erst einmal der Reihe nach:

Nach der Empörung über die Novelle des MeldFortG meldeten sich zuerst einmal die Verantwortlichen für die kurzfristige Änderung des Entwurfs durch den Innenausschuss zu Wort:

Hans-Peter Uhl (CSU) meinte, das verabschiedete MeldFortG stelle eine "deutliche Verbesserung der gegenwärtigen Datenschutzregelung im Meldegesetz dar", während Herr Bosbach (CDU) sich wunderte, warum „man die Verbesserung der Datenschutzlage durch das verabschiedete Gesetz als Verschlechterung verkaufe“. Und auch Frau Gisela Piltz (FDP) findet das Gesetz gut, weil es den Datenschutz stärke – siehe Beitrag bei Spiegel Online.

Naja – den Verantwortlichen dürfte selbst klar sein, dass sich die Empörung der Massen zum einen an der kurzfristigen Abänderung des ursprünglichen Einwilligungsmodells in die Widerspruchslösung entzündete und zudem an der Art und Weise, wie das Gesetz im Bundestag beschlossen wurde.

Ich habe mich nach diesen oben genannten Statements dann aber gefragt: Kann ich nach der jetzigen Rechtslage – also den jeweiligen Meldegesetzen der Länder – Daten über gemeldete Einwohner (und gegebenenfalls Kinder) einfach so anfragen und damit „tun und lassen, was ich will“?

Ich habe mir dazu mal die Regelungen von drei Landesgesetzen (willkürlich) herausgepickt und untersucht:

Meldegesetz Baden-Württemberg:

§ 2 Zulässigkeit der Datenverarbeitung im Meldewesen
(1) Die Meldebehörden dürfen Daten, die im Melderegister gespeichert werden, nur verarbeiten, wenn
1. dieses Gesetz oder eine andere Rechtsvorschrift es erlaubt oder
2. der Betroffene eingewilligt hat.
Satz 1 gilt für die in § 5 Abs. 2 genannten Daten entsprechend.
(2) Soweit dieses Gesetz keine oder keine abschließende Regelung trifft, gilt hinsichtlich der Verarbeitung personenbezogener Daten das Landesdatenschutzgesetz .

§ 32 Melderegisterauskunft
(1) Personen, die nicht Betroffene sind, und anderen als den in § 29 Abs. 1 bezeichneten Stellen darf die Meldebehörde nur Auskunft über
1.  Familiennamen,
2.  Vornamen,
3.  Doktorgrad und
4.  Anschriften
einzelner bestimmter Einwohner erteilen (einfache Melderegisterauskunft). Dies gilt auch, wenn jemand Auskunft über Daten einer Vielzahl namentlich bezeichneter Einwohner begehrt.

Meldegesetz Nordrhein-Westfalen

§ 34 Melderegisterauskunft
(1) Personen, die nicht Betroffene sind, und anderen als den in § 31 Abs. 1 bezeichneten Stellen darf die Meldebehörde nur Auskunft über
1. Vor- und Familiennamen,
2. Doktorgrad und
3. Anschriften
einzelner bestimmter Einwohner erteilen (einfache Melderegisterauskunft). Dies gilt auch, wenn jemand Auskünfte über Daten einer Vielzahl namentlich bezeichneter Einwohner begehrt.

Meldegesetz Sachsen

§ 33 Melderegisterauskunft
(1) Personen, die nicht Betroffene sind, und anderen als den in § 29 Abs. 1 bezeichneten Stellen darf die Meldebehörde aus dem Melderegister nur Auskunft über
1. Vor- und Familiennamen,
2. Doktorgrad und
3. Anschriften
einzelner bestimmter Einwohner geben (einfache Melderegisterauskunft). Dies gilt auch, wenn jemand Auskunft über Daten einer Vielzahl namentlich bezeichneter Einwohner begehrt.

Wie § 2 des Meldegesetzes BW festschreibt, dürfen ohne Einwilligung des Betroffenen Daten nur verarbeitet werden, wenn es das Meldegesetz oder eine andere Rechtsvorschrift erlaubt – die übrigen untersuchten Meldegesetze regeln es ähnlich. Dies entspricht dem Grundsatz des Verbots mit Erlaubnisvorbehalts (vgl. auch § 4 Abs. 1 BDSG).

Wenn wir uns nun fragen, ob eine Datenübermittlung (dies ist eine Datenverarbeitung i.S.d. § 3 Abs. 4 S. 1 BDSG) an Dritte – also etwa an einen Adressverlag oder etwa an mich – der Meldebehörde erlaubt ist, müssen wir daher die entsprechende Erlaubnis in den Meldegesetzen suchen.

Diese findet man in den oben wiedergegebenen Normen, welche die sog. einfache Melderegisterauskunft regeln (also etwas § 32 Abs. 1 MeldeG BW, § 34 Abs. 1 MeldeG NRW oder § 33 MeldeG Sa).

Interessanterweise findet man bei der Befugnis zur Datenübermittlung keinen Hinweis auf einen Verwendungszweck des Daten-Erfragenden. Die Meldebehörde muss bei der einfachen Melderegisterauskunft – welche Vor- und Familiennamen, Doktorgrad und die Anschrift umfasst – in keinem Fall nachfragen oder prüfen, für welche Zwecke der Datenempfänger die Daten nutzen möchte. Man kann also daraus schließen, dass die Meldebehörde im Normalfall bei jeglicher Anfrage diese Daten übermittelt. Kostenpunkt je Adressensatz: Ca. 5-10 EUR (abhängig von Stadt oder Gemeinde).

Darüber hinaus kann man eine sog. erweiterte Melderegisterauskunft verlangen, sofern man ein berechtigtes Interesse geltend macht (etwa einen Schuldtitel angibt). Diese erweiterte Meldeauskunft beinhaltet neben den oben genannten Daten noch (nach Meldegesetz BW): Den früheren Vor- und Familiennamen, den Tag und Ort der Geburt, den gesetzlichen Vertreter, die Staatsangehörigkeiten, die früheren Anschriften, den Tag des Ein- und Auszugs, den Familienstand (beschränkt auf die Angabe, ob verheiratet oder eine Lebenspartnerschaft führend oder nicht), den Vor- und Familiennamen sowie Anschrift des Ehegatten oder Lebenspartners und Sterbetag und -ort. Kostenpunkt: Je nach Stadt oder Gemeinde zwischen 10 bis 20 EUR.

Es ist also in der Tat zutreffend, dass mit der jetzigen Rechtslage ohne weiteres im Wege einer einfachen Melderegisterauskunft auch Daten zum Zwecke des Adresshandels erworben werden dürfen, ohne dass der Betroffene über diesen Umstand informiert wird oder einwilligen muss bzw. widersprechen kann.

(Exkurs: Anders bei der erweiterten Meldeauskunft: Hier hat die Meldebehörde den Betroffenen über die Erteilung einer erweiterten Melderegisterauskunft unter Angabe des Datenempfängers unverzüglich zu unterrichten. Ausnahme: Wenn der Datenempfänger ein rechtliches Interesse, insbesondere zur Geltendmachung von Rechtsansprüchen, glaubhaft gemacht hat.)

Nächster Schritt:
Darf ich nun als Daten-Erfragender mit den im Wege der einfachen Melderegisterauskunft erlangten Daten einfach „tun und lassen, was ich will“ – wie ich es oben etwas flapsig formuliert habe?
Nein, natürlich nicht. Hier muss ich dann – wenn ich eine nicht-öffentliche Stelle im Sinne des Bundesdatenschutzgesetzes (BDSG) bin, gem. § 28 BDSG oder § 29 BDSG prüfen, unter welchen Bedingungen ich die Daten nutzen oder verarbeiten darf.

Das gilt natürlich auch, wenn ich Daten zum Zwecke des Adresshandels verarbeiten oder übermitteln möchte. Hier gilt dann die Vorschrift des § 29 BDSG. Und diese erlaubt zum einen gem. § 29 Abs. 1 Nr. 2 BDSG, dass ich die Daten zum Zweck einer Übermittlung (=Adresshandel) dann „geschäftsmäßig erheben, speichern, verändern oder nutzen“ darf, wenn „die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die verantwortliche Stelle sie veröffentlichen dürfte, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Erhebung, Speicherung oder Veränderung offensichtlich überwiegt“. Hierbei ist anerkannt, dass die durch die einfache Melderegisterauskunft erlangten Daten aus einer allgemein zugänglichen Quelle stammen (Ehmann, in Simitis, BDSG, § 29 Rn. 192) – im Gegensatz zu solchen Daten aus einer erweiterten Melderegisterauskunft.
Wegen der Verweisung in § 29 Abs. 1 S. 2 BDSG ist darüber hinaus aber auch der § 28 Abs. 3 BDSG zu beachten, welcher eine Datenverarbeitung für Werbezwecke oder den Adresshandel gem. § 28 Abs. 3 S. 2 Nr. 1 BDSG auch bei einer Datenherkunft aus „allgemein zugänglichen Adress-, Rufnummern-, Branchen- oder vergleichbaren Verzeichnissen“ erlaubt.
Mithin ist nach derzeitiger Rechtlage eine Verwendung personenbezogener Daten aus einfachen Melderegisterauskünften für die Zwecke der Werbung oder des Adresshandels durchaus erlaubt auch ohne Information, Einwilligung oder Widerspruchsmöglichkeit des Betroffenen.

Hiervon unberührt bleibt natürlich die jederzeitige Möglichkeit des Betroffenen zum Widerspruch der Nutzung der Daten zu Werbezwecken gem. § 28 Abs. 4 BDSG. Diese Widerspruchsmöglichkeit besteht aber gegenüber demjenigen, welcher die Daten für Werbezwecke nutzt und verarbeitet und greift erst nach der Datenherausgabe durch die Meldebehörde.


Natürlich ist es zutreffend, dass die Einholung von personenbezogenen Daten auf diesem Wege recht teuer ist. Allerdings ist zu berücksichtigen, dass aufgrund der Verschärfung der Vorschriften des § 28 Abs. 3 BDSG der Aufwand für einen zu Werbezwecken verwertbaren Datensatz ohnehin wesentlich gestiegen sein dürften und zum anderen die von den Einwohnermeldeämtern eingeholten Daten sicherlich zu den qualitativ hochwertigsten und verifiziertesten Daten gehören dürften. Das dürfte bei einem Verkauf oder einer Vermietung dieser Daten sicherlich nicht unbeachtlich bleiben.
Insoweit bringen die Änderungen durch das neue Gesetz zur Fortentwicklung des Meldewesens (MeldFortG) – egal ob Einwilligungs- oder Widerspruchslösung – in der Tat ein „Mehr an Datenschutz“.

Datenschutzrechtliche Zulässigkeit der GPS-Ortung von Kraftfahrzeugen

Die Europcar Autovermietung GmbH hat einen Teil ihrer Flotte ohne Wissen der Mieter per GPS orten lassen. Der Hamburgische Beauftragte für Datenschutzschutz und Informationsfreiheit hat diese unzulässige Erhebung personenbezogener Daten mit einem Bußgeld in Höhe von 54.000 Euro geahndet.

Durch eine Beschwerde wurde der Aufsichtsbehörde bekannt, dass die Firma Europcar in 1.300 hochwertigen Fahrzeugen ihrer Flotte Ortungssysteme eingebaut hatte und damit die Mieter ohne deren Wissen ortete. Nach Angaben von Europcar diente die Übermittlung der Ortungsdaten dazu, Diebstähle aufzuklären. Außerdem sollte kontrolliert werden, ob sich der Mieter noch im zulässigen Gebiet befindet, da die Benutzung der Fahrzeuge in verschiedenen Ländern vertraglich ausgeschlossen ist. Neben dem Standort wurden Datum, Zeit und auch die Geschwindigkeit der Fahrzeuge erhoben.

Bei weiteren Vor-Ort-Ermittlungen hat die Aufsichtsbehörde festgestellt, dass die Angaben von Europcar unvollständig waren. Eine Kontrolle bei einer Firma in Schleswig-Holstein, die im Auftrag von Europcar seit 2004 die Fahrzeugortung vornimmt, hat ergeben, dass auch ohne Anlass zusätzlich alle 48 Stunden eine Ortung der Fahrzeuge vorgenommen wurde. Außerdem erfolgte eine automatische Übermittlung der Daten auch, sobald mit dem Fahrzeug in ein Hafengebiet gefahren wurde.

Dazu Johannes Caspar, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: „Grundsätzlich ist die Motivation von Europcar nachvollziehbar. Die heimliche Ortung von Mietfahrzeugen und die heimliche Kontrolle der Mieter stellen jedoch einen schweren Eingriff  in deren Persönlichkeitsrecht dar. Der Autovermieter hat es dadurch in der Hand, Bewegungsprofile seiner Kunden zu erstellen. Mit Hilfe der Ortungstechnik lässt sich nicht nur rekonstruieren, wer sich wann wo aufgehalten hat, sondern auch, wer zu welchem Zeitpunkt mit welcher Geschwindigkeit gefahren ist. Insbesondere durch die anlasslose Ortung werden die Mieter regelmäßig unter einen Generalverdacht gestellt.“

Da die Übermittlung der Ortungsdaten ohne Wissen und ohne Einwilligung der Mieter erfolgte, war sie ordnungswidrig. Daneben gab es zwischen der Europcar GmbH und der ausführenden Firma keinen Vertrag zur Auftragsdatenverarbeitung nach dem Bundesdatenschutzgesetz.  Die Höhe des Bußgeldes wurde zudem maßgeblich davon beeinflusst, dass die Europcar GmbH dem Datenschutzbeauftragten anfänglich keine vollständigen Auskünfte erteilt und trotz Aufforderung das unzulässige Verhalten zunächst nicht beendet hatte.

Mittlerweile hat Europcar die regelmäßige Ortung alle 48 Stunden ganz abgestellt. Über die Übermittlung der Ortungsdaten in den anderen Fällen werden Mieter jetzt im Vorwege informiert und müssen ihr im Rahmen des Mietvertrags zustimmen. Dadurch wird gewährleistet, dass keine heimlichen Überwachungen mehr stattfinden.

„Der Einsatz von Ortungssystemen bei Mietfahrzeugen setzt zumindest eine vollständige Information über Art und Weise der Ortung sowie die ausdrückliche Einwilligung der Betroffenen in das Tracking voraus. Jeder Mieter muss das Recht haben, selbst darüber zu entscheiden, ob er Fahrzeuge anmieten will, deren Nutzung beim Vermieter oder dessen Vertragspartnern unmittelbar eine individuelle digitale Nutzungsspur hinterlässt. Diese Vorgaben werden nun von Europcar erfüllt“, so Caspar abschließend.

Quelle: Pressemitteilung des Hamburgischen Datenschutzbeauftragten

Anmerkung von uns hierzu: Auch die in der Praxis oftmals anzufindende Ausstattung der Firmenwagen mit GPS-Trackern und eine entsprechende Verfolgung der Dienstfahrten von Mitarbeitern ist datenschutzrechtlich keinesfalls unproblematisch. Bei der Umsetzung dieser Maßnahme müssen natürlich datenschutzrechtliche Maßgaben beachtet werden. Ferner bedarf die Einführung einer solchen Maßnahme einer datenschutzrechtlichen Vorabkontrolle gem. § 4d Abs. 5 BDSG durch den Datenschutzbeauftragten des Unternehmens.

Meldegesetz(e) und Datenschutz – opt-in, opt-out, Einwilligung und Widerspruch

Wer hätte es gedacht – ganz unerwartet ist Datenschutz das Sommer-Top-Thema Nr. 1. Wer weiß – hätte die deutsche Nationalmannschaft die EM gewonnen, würde man jetzt wohl über andere Themen reden? Naja, man kann zumindest sagen, dass wenn sie es nicht ins Halbfinale geschafft hätte, dann würde es vielleicht jetzt die derzeitige Diskussion über das neue Gesetz zur Fortentwicklung des Meldewesens (MeldFortG) nicht geben. Das legt zumindest ein Artikel von Spiegel Online nahe, nach dem zum Zeitpunkt der Verabschiedung des Gesetzes im Bundestag das EM Habfinalspiel Deutschland – Italien lief und die zweite und dritte Lesung inklusive Abstimmungen innerhalb 57 Sekunden durch einen sehr überschaubar besetzten Bundestag durchgeführt wurde.

Über das Thema der einfachen Melderegisterauskunft gem. § 44 MeldFortG wurde ja inzwischen bereits genügend berichtet, siehe alleine hier.

Im Gegensatz zu der politischen Diskussion möchte ich hier aber kurz darstellen, worum es hierbei rechtlich geht:

Zur Klarstellung wird der streitbare Absatz von § 44 Abs. 4 MeldFortG wiedergegeben, welcher sehr kurzfristig nach Empfehlung des Innenausschusses (BT-Drs. 17/10158) eingefügt wurde:

„(4) Es ist verboten, Daten aus einer Melderegisterauskunft zu Zwecken der Werbung oder des Adresshandels zu verwenden,
1. ohne dass ein solcher Zweck gemäß Absatz 1 Satz 2 bei der Anfrage angegeben wurde, oder 
2. wenn die betroffene Person gegen die Übermittlung für jeweils diesen Zweck Widerspruch eingelegt hat. Dies gilt nicht, wenn die Daten ausschließlich zur Bestätigung oder Berichtigung bereits vorhandener Daten verwendet werden.“

Dies bedeutet im Unterschied zur ursprünglich geplanten Fassung,

„(3) Die Erteilung einer einfachen Melderegisterauskunft ist nur zulässig, wenn
1. die Identität der Person, über die eine Auskunft begehrt wird, auf Grund der in der Anfrage mitgeteilten Angaben über den Familiennamen, den früheren Namen, die Vornamen, das Geburtsdatum, das Geschlecht oder eine Anschrift eindeutig festgestellt werden kann, und
2. die Auskunft verlangende Person oder Stelle erklärt, die Daten nicht zu verwenden für Zwecke
a) der Werbung oder
b) des Adresshandels,
es sei denn die betroffene Person hat in die Übermittlung für jeweils diesen Zweck eingewilligt.“

welche also noch eine „Einwilligungs-Lösung“ vorsah, dass zum einen der Betroffene nunmehr der Datenverwendung widersprechen müsse („Widerspruchs-Lösung“). Dies bedeutet, dass die Daten grundsätzlich übermittelt (§ 3 Abs. 4 Nr. 3 BDSG) werden dürfen, sofern kein Widerspruch des Betroffenen vorliegt oder zumindest so lange verarbeitet oder übermittelt werden dürfen, bis vom Betroffenen Widerspruch erhoben wird. Aber auch ein vorliegender Widerspruch soll unbeachtlich sein, sofern die Daten „ausschließlich zur Bestätigung oder Berichtigung bereits vorhandener Daten verwendet werden“.

Genau an diesem Punkt entzündet sich der Streit: Wenn der vermeintliche Datenerwerber darlegen kann, dass er Daten über eine bestimmte Person bereits in seiner Datei führt – auch wenn diese Daten bereits veraltet sind – kann er den aktuellen Datensatz der Meldeämter für die Verwendung zu Werbezwecken oder zum Adresshandel erwerben – ohne dass der Betroffene dies verhindern kann.

Das ist sicherlich gut für Adresshändler und die Werbewirtschaft (und die GEZ?), immerhin macht es dies nun möglich, den eigenen Datenbestand zu aktualisieren. Ferner muss man zugeben, dass wohl kaum ein Bürger bei der ursprünglich geplanten „Einwilligungs-Lösung“ seine Einwilligung dahingehend erteilt, dass seine Daten zu Zwecken des Adresshandels und zu Werbezwecken übermittelt werden dürfen. Zur Klarstellung nochmals: „Einwilligung bedeutet, dass Daten erst dann verarbeitet oder übermittelt werden dürfen, wenn eine ausdrückliche Einwilligung des Betroffenen vorliegt. Liegt keine Erklärung vor, dürfen die Daten nicht verarbeitet oder übermittelt werden.

Hierzu noch eine kleine Lehre aus dem Payback-Urteil des Bundesgerichtshofs (BGH): Die Nutzung der Begriffe „opt-in“ und „opt-out“ sind in diesem Zusammenhang etwas irreführend – eine Einwilligung kann sowohl also „opt-in“ als auch „opt-out“ erklärt werden und zwar dergestalt, dass ein „opt-in“ ein aktives Ankreuzen/Kennzeichnen des Betroffenen verlangt ([ ] hier ankreuzen), während eine Einwilligung per „opt-out“ ([ ] hier ankreuzen, falls die Einwilligung nicht erteilt wird) in einem Vertrag oder einem Meldeantrag ein NICHT-Ankreuzen/Kennzeichnen erfordert. Gleichwohl ist aber beides – opt-in als auch opt-out – eine Einwilligung im rechtlichen Sinne – also auch durchaus eine Option für die alte Regelung im MeldFortG.

Die (im Moment geplante) Lösung ist andererseits natürlich ungünstig für die Bürger, die auf die Vertraulichkeit Ihrer Daten Wert legen (z.B. Ihren Namen und Ihre Anschrift erfolgreich aus sämtlichen Telefonbüchern und dem Internet getilgt haben). Zwar besteht die Möglichkeit, unmittelbar einer Datenweitergabe zu Werbe- oder Adresshandelszwecken zu widersprechen. Dies ist aber zum einen natürlich etwas mühsamer und aufwendiger und ein Betroffener muss von diesen seinen Rechten erst einmal Kenntnis haben (Beispiel folgt in anderem Beitrag). Selbst ein vorhandener Widerspruch bleibt aber unbeachtlich, wenn der Datenanfragende darlegt, dass er den Betroffenen – ob korrekt oder als veralteten Datensatz – bereits in der Datenbank vorhält. Mit ziemlicher Sicherheit ist aber wohl jede Person in irgendeiner Art und Weise in einer Datenbank erfasst.

Warum? – und was die Meldegesetze sonst noch datenschutzrechtlich zulassen, erläutere ich in einem anderen Beitrag.

Auftragsdatenverarbeitung vs. Funktionsübertragung - Teil 3: Verantwortlichkeit und Haftung

Was Auftragsdatenverarbeitung und eine Funktionsübertragung im Datenschutzrecht sind und wie man diese unterscheidet habe ich bereits erläutert.

In diesem Beitrag möchte ich darstellen, warum die Unterscheidung für die Praxis so wichtig ist. Eine ganz wesentliche Auswirkung hat das Ganze nämlich auf die Verantwortlichkeit für den Datenschutz und damit auch die datenschutzrechtliche Haftung.

Verantwortlichkeit bei der Funktionsübertragung
Bei der Funktionsübertragung, welcher ja eine Datenübermittlung im Sinne des § 3 Abs. 4 Nr. 3 BDSG zugrunde liegt, liegen die Verantwortungssphären letztendlich genauso wie bei jeder Übermittlung personenbezogener Daten von einem Unternehmen an ein anderes: Das übermittelnde Unternehmen muss zuerst prüfen, ob eine Datenübermittlung als datenschutzrechtlich relevanter Verarbeitungsvorgang erlaubt ist, z.B. durch § 28 Abs. 1 BDSG oder § 28 Abs. 2 BDSG oder weil eine Einwilligung des Betroffenen nach § 4a BDSG vorliegt.
Ist die Datenübermittlung rechtmäßig, endet mit der vollzogenen Übermittlung die Verantwortung des übermittelnden Unternehmens (also bei der Funktionsübertragung quasi des Auftraggebers). Kommt es mithin beim datenempfangenden Unternehmen (quasi dem Auftragnehmer) zu einer Datenschutzverletzung, so ist hier alleine der Auftragnehmer verantwortlich und nicht etwa der Auftraggeber – auch wenn die Daten ursprünglich von diesem stammen.

Verantwortlichkeit bei der Auftragsdatenverarbeitung
Wie ich in dem ersten Teil der Reihe bereits erläutert habe, liegt bei der Auftragsdatenverarbeitung keine Datenübermittlung gem. § 3 Abs. 4 Nr. 3 BDSG zwischen zwei Unternehmen vor. Die Übertragung der Daten ist weitgehend vergleichbar mit dem Sachverhalt entsprechend Szenario 1, in welchem die personenbezogenen Daten von einer Abteilung einer verarbeitenden Stelle an eine andere Abteilung in demselben Unternehmen übermittelt wird. Dies macht § 11 Abs. 1 BDSG deutlich, wonach der Auftraggeber für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich – obwohl die Daten ja eigentlich vom Auftragnehmer verarbeitet werden. § 11 Abs. 3 BDSG unterstreicht dies nochmals, indem der Gesetzgeber hier deutlich macht, dass der Auftragnehmer die Daten nur im Rahmen der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen dürfe und selbst wenn er der Ansicht sei, dass dies gegen datenschutzrechtliche Bestimmungen verstoße, er den Auftraggeber unverzüglich darauf hinzuweisen habe. „Nur“ hinzuweisen habe – mag man da anfügen. Denn der Auftragnehmer ist ja im Rahmen der Vereinbarung mit dem Auftraggeber vertraglich zur Durchführung der Weisungen des Auftraggebers verpflichtet.
Im Ergebnis bedeutet dies, dass in diesem Fall der Auftragsdatenverarbeitung anders wie bei der Funktionsübertragung der Auftraggeber für die Datenverarbeitung beim Auftragnehmer die volle datenschutzrechtliche Verantwortung trägt. Kommt es zu einer „Datenpanne“ beim Auftragnehmer, haftet hier also grundsätzlich der Auftraggeber.

Das mag auf den ersten Blick etwas „unfair“ klingen, ist aber auf den zweiten Blick nur konsequent. Denn bei der Auftragsdatenverarbeitung ist der Auftragnehmer ja ganz streng an die Weisungen des Auftraggebers gebunden, dem Auftragnehmer verbleibt wie in Teil 2 der Reihe dargestellt ja überhaupt kein Entscheidungsspielraum in der Frage, was er zu tun habe. Verstoßen die vom Auftraggeber vorgegebenen Weisungen daher gegen das Datenschutzrecht, hat der Auftraggeber diesen durch den Auftragnehmer als „ausführendes Werkzeug“ begangenen Verstoß auch in der Regel zu vertreten.

Gleichwohl ist zu beachten, dass der Auftragnehmer nicht ganz pflichtenlos ist: Gem. § 11 Abs. 4 BDSG treffen diesen insbesondere die technischen und organisatorischen Datenschutzpflichten aus § 9 BDSG und Anlage (z.B. bei einem Rechenzentrum als Auftragnehmer die klassischen IT-Sicherheitspflichten wie Schutz gegen Naturgewalten oder unbefugten Datenzugang und –zugriff), die Verpflichtung der Mitarbeiter auf das Datengeheimnis, gewisse Informationspflichten usw.

Konsequenz
Vor diesem Hintergrund ist einem Auftraggeber daher dringend zu raten, sorgsam zu prüfen, ob in jedem Einzelfall eine Auftragsdatenverarbeitung vorliegt oder doch „nur“ (aus haftungsrechtlicher Sicht) eine Funktionsübertragung. Kommt der Auftraggeber zu dem Schluss, dass eine Auftragsdatenverarbeitung gem. § 11 BDSG vorliegt, sollte dieser die Weisungen an und Aufgaben des Auftragnehmers sauber und präzise in einer Vereinbarung zur Auftragsdatenverarbeitung definieren, in welcher im übrigen mindestens auch sämtliche Punkte des Katalogs aus § 11 Abs. 2 BDSG geregelt sein müssen. Wegen der immensen datenschutzrechtlichen Verantwortung sollte der Auftraggeber ferner die vom Gesetz geforderte Überwachungs- und Kontrollpflicht gegenüber dem Auftragnehmer sehr ernst nehmen.

Bestehen auf Seiten des Auftraggebers bei einer Auftragsdatenverarbeitung Unsicherheit dahingehend, was der Auftragnehmer jetzt genau tut oder hat der Auftraggeber das Gefühl, die vom Auftragnehmer durchgeführten Aufgaben nicht „durchschauen“ zu können, so sollte der Auftraggeber von seinem Informationsrecht Gebrauch machen bzw. seiner Kontrollpflicht nachkommen – und sich insbesondere fragen, ob in einem solchen Fall nicht doch eine nicht erkannte Funktionsübertragung vorliegt…

Bundesregierung will Datenschutz beim Melderecht aushebeln

In einer Nacht- und Nebelaktion hat der Deutsche Bundestag am 29.06.2012 ein „Gesetz zur Fortentwicklung des Meldewesens“ beschlossen, welches das bisherige Melderecht auf den Kopf stellen würde: Bisher dienen Melderegister vorrangig als Adress- und Datenbeschaffer für die öffentliche Verwaltung, und im Rahmen einer Abwägung auch für private Interessenten, etwa für Gläubiger, die auf der Suche nach Schuldnern sind, die sich einem Forderungseinzug entziehen wollen, oder für Adressbuchverleger, vorausgesetzt der Bürger hat der Eintragung nicht widersprochen. Mit der in zweiter Lesung beschlossenen Gesetzesänderung würden Firmen nun für „Zwecke der Werbung oder des Adresshandels“ Melderegisterauskünfte erhalten, selbst wenn die betroffene Person Widerspruch eingelegt hat, „wenn die Daten ausschließlich zur Bestätigung oder Berichtigung bereits vorhandener Daten verwendet werden“.

Diese unscheinbare Änderung hätte gravierende Konsequenzen für die betroffenen Bürgerinnen und Bürger und die Kommunen mit ihren Meldebehörden. Profitieren würden vor allem Auskunfteien und Adresshändler. Diese können sich bisher und nach dem ursprünglichen Entwurf keine Adressen aus dem Melderegister ohne Einwilligung der Betroffenen beschaffen. Dieses Verbot umgehen viele Adresshändler heute, indem sie für Gläubiger auftragshalber Meldeauskünfte vermitteln und diese danach für eigene Zwecke weiternutzen. Diese illegale Praxis soll nun anscheinend legalisiert und massiv ausgeweitet werden:

Mit der Änderung würde eine nicht aktuelle Adresse genügen, und schon könnten die Firmen sich die behördlich beschafften, geprüften aktuellen Adressen besorgen. Riesige inaktuelle private Datenbestände gibt es zuhauf. Adresshändler könnten sich einfach wertvolle Behördendaten beschaffen und diese danach teuer weiterveräußern. Zugleich würden dadurch den Kommunen wichtige Einnahmequellen, die Gebühren für Melderegisterauskünfte, genommen, weil Interessenten, z. B. Gläubiger, sich bei den Adressenhändlern bedienten und nicht mehr zu den Meldebehörden gehen müssten.

Dazu der Kommentar des Leiters des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein: „Ich bin schockiert über Form und Inhalt der Gesetzgebung. An Kommunen und Datenschützern vorbei werden hier wirtschaftliche Lobbyinteressen bedient. Nach der Beschlussfassung zu einer Stiftung Datenschutz, die in der vorgesehenen Form nur einer Wirtschaft dient, die Datenschutz als Billigware haben möchte, ist dies innerhalb kürzester Zeit ein zweiter Sündenfall und ein weiterer Schlag ins Gesicht all derer, die dem Versprechen der Koalitionsvereinbarung vertraut haben, den Datenschutz der Bürgerinnen und Bürger zu stärken.

Wir können nur hoffen, dass der Bundesrat diesen gefährlichen Unsinn stoppt.“

PRESSEMITTEILUNG vom 04.07.2012 DES:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein Holstenstr. 98, 24103 Kiel

Datenschutz hat für die deutsche Bevölkerung einen anhaltend hohen Stellenwert

Zu diesem Schluss kommt eine aktuelle Unisys-Studie vom Mai 2012 .

Danach fürchten 68% der für die Studie befragten ca. 1000 Teilnehmer einen Diebstahl oder einen Missbrauch ihrer persönlichen Daten.

81% der Befragten befürworten gesetzliche Verpflichtungen für Unternehmen dahingehend, die bestmöglichen Maßnahmen zur Datensicherheit zur Gewährleistung des Schutzes personenbezogener Maßnahmen zu ergreifen. Nach Ansicht von 69% sollten diese Maßnahmen von unabhängigen Institutionen geprüft und zertifiziert werden.

Interessant ist auch die Aussage der Studie zum Anfang des Jahres kontrovers diskutierten Thema "EU-Datenschutzverordnung": Nur 23% der Teilnehmer der Studie sind der Ansicht, dass die deutschen Datenschutzregelungen einer EU-weiten und einheitlichen Datenschutzverordnung weichen sollten.

Unserer Ansicht nach unterstreicht das Ergebnis der Studie, dass Unternehmen das Thema Datenschutz ernst nehmen und in ihrer Unternehmenskultur verankern sollten. Denn neben der gesetzlichen Pflicht zur Beachtung der gesetzlichen Datenschutzregelungen nimmt der Schutz personenbezogener Daten von Kunden und Mitarbeiter generell einen hohen Stellenwert ein.

Zur datenschutzrechtlichen Zulässigkeit einer verdeckten Videoüberwachung von Arbeitnehmern

Kündigung wegen Entwendung von Zigarettenpackungen - Verdeckte Videoüberwachung

Entwendet eine Verkäuferin Zigarettenpackungen aus dem Warenbestand des Arbeitgebers, kann dies auch nach längerer - im Streitfall zehnjähriger - Betriebszugehörigkeit eine Kündigung des Arbeitsverhältnisses rechtfertigen. Führte eine verdeckte Videoüberwachung zur Überführung der Täterin, kann das auf diese Weise gewonnene Beweismaterial im Bestreitensfall prozessual allerdings nicht ohne Weiteres verwertet werden. Das entsprechende Interesse des Arbeitgebers hat gegenüber dem Schutz des informationellen Selbstbestimmungsrechts der Arbeitnehmerin nur dann höheres Gewicht, wenn die Art der Informationsbeschaffung trotz der mit ihr verbundenen Persönlichkeitsbeeinträchtigung als schutzbedürftig zu qualifizieren ist. Dies ist bei verdeckter Videoüberwachung nur dann der Fall, wenn der konkrete Verdacht einer strafbaren Handlung oder einer anderen schweren Verfehlung zu Lasten des Arbeitgebers bestand, es keine Möglichkeit zur Aufklärung durch weniger einschneidende Maßnahmen (mehr) gab und die Videoüberwachung insgesamt nicht unverhältnismäßig war. Unter diesen strengen Voraussetzungen wiederum stehen Vorschriften des Bundesdatenschutzgesetzes (BDSG) der verdeckten Videoüberwachung auch an öffentlich zugänglichen Arbeitsplätzen nicht entgegen. Zwar bestimmt § 6b Abs. 2 BDSG, dass bei Videoaufzeichnungen in öffentlich zugänglichen Räumen der Umstand der Beobachtung und die verantwortliche Stelle erkennbar zu machen sind. Bei einem Verstoß gegen diese Pflicht wird aber nicht jedwede Videoüberwachungsmaßnahme an öffentlich zugänglichen Arbeitsplätzen per se unzulässig.
In Anwendung dieser Grundsätze hat der Zweite Senat des Bundesarbeitsgerichts die Entscheidung der Vorinstanz aufgehoben, soweit diese die Kündigungsschutzklage einer Verkäuferin abgewiesen hat. Die Beklagte ist ein bundesweit tätiges Einzelhandelsunternehmen. Die Klägerin war bei ihr zuletzt als stellvertretende Filialleiterin beschäftigt. Für drei Wochen im Dezember 2008 installierte die Beklagte mit Zustimmung des Betriebsrats verdeckte Videokameras in den Verkaufsräumen. Sie hat geltend gemacht, es habe der Verdacht bestanden, dass auch Mitarbeiterdiebstähle zu hohen Inventurdifferenzen beigetragen hätten. Auf dem Mitschnitt sei zu sehen, wie die Klägerin bei zwei Gelegenheiten jeweils zumindest eine Zigarettenpackung aus dem Warenbestand entwendet habe. Die Beklagte kündigte das Arbeitsverhältnis fristlos, hilfsweise fristgerecht. Die Klägerin hat bestritten, Zigaretten entwendet zu haben. Nach Einnahme des Augenscheins in die Videoaufzeichnungen hat das Landesarbeitsgericht den Kündigungsvorwurf als erwiesen erachtet und die Klage gegen die ordentliche Kündigung abgewiesen.
Der Senat hat die Sache zur weiteren Aufklärung an das Landesarbeitsgericht zurückverwiesen. Zwar ist die Würdigung des Landesarbeitsgerichts nicht zu beanstanden, die - allein noch im Streit stehende - ordentliche Kündigung sei nach dem zugrunde gelegten Sachverhalt sozial gerechtfertigt. Es steht aber noch nicht fest, ob die Voraussetzungen für eine prozessuale Verwertung der Videoaufzeichnungen gegeben sind.

Bundesarbeitsgericht, Urteil vom 21. Juni 2012 - 2 AZR 153/11 -
Vorinstanz: Landesarbeitsgericht Köln, Urteil vom 18. November 2010 - 6 Sa 817/10 -

Quelle: Pressemitteilung des Bundesarbeitsgerichts vom 21.06.2012

Auftragsdatenverarbeitung vs. Funktionsübertragung – Teil 2: Unterscheidungskriterien

Wie ich bereits berichtet habe, ist die Entscheidung, ob in einem konkreten Fall nun eine Auftragsdatenverarbeitung gem. § 11 BDSG vorliegt oder Datenübermittlung im Sinne des § 3 Abs. 4 Nr. 3 BDSG als sog. Funktionsübertragung vorliegt, manchmal gar nicht so einfach.
Ich kann mich daran erinnern, dass ich bereits in mehreren Fällen (mehr oder weniger leidenschaftlich) mit einem Vertragspartner eines Mandanten über diese Frage gestritten habe, manchmal für und manchmal gegen eine Auftragsdatenverarbeitung, da wie noch dargestellt wird, die Unterscheidung ungemeine datenschutzrechtliche Auswirkungen hat.

Ein recht offenes Geheimnis ist auch, dass man bei Kenntnis der Unterscheidungskriterien durch eine einigermaßen geschickte juristische Ausgestaltung durchaus eine Auftragsdatenverarbeitung oder eine Funktionsübertragung „formen“ kann.

Ausschlaggebend bei einer Auftragsdatenverarbeitung im Sinne des § 11 BDSG ist, dass der Auftragnehmer eine Datenverarbeitung ganz streng nach Weisung des Auftraggebers durchführt. Dem Auftragnehmer verbleibt also kein Entscheidungsspielraum oder eine gewisse Eigenständigkeit bei der Frage, wie oder welche Daten verarbeitet werden. Keinesfalls erbringt der Auftragnehmer über die technische Datenverarbeitung hinaus materielle vertragliche Leistungen. Es wird folglich nicht die Aufgabe selbst vom Auftraggeber ausgelagert (dann Funktionsübertragung), sondern nur der zur Erfüllung der Aufgabe des Auftraggebers erforderliche Umgang mit den personenbezogenen Daten.

Die Datenschutzaufsichtsbehörden – namentlich das Ministerium des Innern des Landes Sachsen-Anhalt der Landesbeauftragte für den Datenschutz Sachsen-Anhalt haben vor einigen Jahren folgende „Erkennungsmerkmale“ für eine Auftragsdatenverarbeitung benannt:

• dem Auftragnehmer fehle jegliche Entscheidungsbefugnis
• der Auftraggeber sei strikt an Weisungen des Auftraggebers dahingehend gebunden, was mit den Daten zu geschehen habe
• grundsätzlich habe der Auftraggeber nur mit Daten umzugehen, welche der Auftraggeber zur Verfügung stelle, außer die Beauftragung des Auftragnehmers sei auch auf die Erhebung personenbezogener Daten gerichtet
• eine Verarbeitung oder Nutzung der Daten zu eigenen Zwecken des Auftragnehmers sei ausgeschlossen
• es bestehe keine (vertragliche) Beziehung des Auftragnehmers zu derjenigen Person, deren personenbezogene Daten verarbeitet werden
• der Auftragnehmer trete (gegenüber dem Betroffenen) nicht in eigenem Namen auf

Eine Funktionsübertragung, also eine Datenübermittlung im Sinne des § 3 Abs. 4 Nr. 3 BDSG liegt immer dann vor, wenn der Auftragnehmer „eigenverantwortlich“ personenbezogene Daten verarbeitet, also ohne klare und unmissverständliche Weisungen von Seiten des Auftraggebers agiert, indem dem Auftragnehmer ein eigener Ermessenspielraum verbleibt, wie er mit den Daten umgeht, z.B. weil ihm die inhaltliche Organisation des Geschäftsablaufs überlassen wird oder der Auftraggeber keine Möglichkeit hat, den Auftragnehmer im Umgang mit personenbezogenen Daten zu beeinflussen. Oftmals erkennt man eine Funktionsübertragung auch daran, dass die Datenüberlassung sozusagen nur ein Nebenzweck der Beauftragung zu einer anderen eigenständigen Leistung ist, sozusagen ein „notwendiges Übel“. Beispielsweise, wenn ein Rechtsanwalt eine Klage zu führen hat oder ein Steuerberater eine Steuererklärung für seinen Mandanten erstellt.

Die oben genannten Aufsichtsbehörden haben zur Funktionsübertragung folgende „Erkennungsmerkmale“ definiert:

• der Auftragnehmer sei frei von Weisungen dahingehend, was mit den Daten geschieht
• dem Auftragnehmer werden eigene Nutzungsrechte an den Daten eingeräumt
• der Auftragnehmer ist selbst für die Sicherstellung der Zulässigkeit und Richtigkeit der Daten verantwortlich und sichert auch eigenverantwortlich die Betroffenenrechte 
• der Auftragnehmer tritt gegenüber dem Betroffenen – also dessen Daten verarbeitet werden, im eigenen Namen auf
• dem Auftragnehmer verbleibt eine Entscheidungsbefugnis in der Sache selbst

Ich denke, man merkt, wie vage manche dieser „Erkennungsmerkmale“ sind bzw. wie schwierig dies in der Praxis oftmals zu beurteilen ist.

Angriff auf Microsofts Ansatz zu "Datenschutz durch Grundeinstellung"

ULD „FTC diskreditiert sich als Datenschutzinstanz“

Am 31.05.2012 kündigte Microsoft Inc. für eine neue Version des Internet Explorers (IE10) in Windows 8 an, per Grundeinstellung mit Hilfe des sog. „Do Not Track-Signal“ (DNT) angesurften Webservern mitzuteilen, dass ein Verfolgtwerden über verschiedene Internetseiten (Tracking) unerwünscht ist. Microsoft würde als erster Browseranbieter die Forderung von Daten- und Verbraucherschützern nach datenschutzfreundlichen Grundeinstellungen (engl.: privacy by default) in Hinblick auf „Do Not Track“ umsetzen. „Privacy by Default“ wird auch in der im Januar 2012 von der EU-Kommission vorgeschlagenen Europäischen Datenschutz-Grundverordnung gefordert.

Im World Wide Web Consortium (W3C, www.w3.org), das für eine Standardisierung von Techniken im World Wide Web zuständig ist, wurde Microsoft insbesondere von Industrievertretern kritisiert. Der aktuelle Entwurf einer DNT-Vereinbarung verbiete Browsern eine Default-Lösung.

Durch die IE10-Voreinstellung wäre für die Nutzenden keine weitere Aktion nötig, um die Aussendung des DNT-Signals zu veranlassen. Die Industrie erwartet Einbrüche bei den Werbeeinnahmen, wenn das DNT-Signal von den Webserver-Betreibern beachtet werden muss. Akzeptiert würde nur eine Lösung, bei der die Nutzenden aufgefordert werden, eine aktive Entscheidung für oder gegen das Tracking zu treffen. In welchem Maße davon auch die Verfolgung im Internet mit Hilfe von sog. Cookies umfasst sein wird (Do Not Collect), ist noch offen.

Microsofts Initiative wurde bereits von zwei Abgeordneten des US-amerikanischen Kongresses begrüßt. Nun meldete sich die US-amerikanische Wettbewerbs- und Verbraucherschutzbehörde, die Federal Trade Commission (FTC), zu Wort. Sie kritisiert, Microsoft würde durch die Voreinstellung die Verbraucherinnen und Verbraucher bevormunden.

Thilo Weichert, Leiter des ULD: „Datenschutz durch Grundeinstellungen sowie Privacy by Design sind in Europa und zunehmend auch in den USA anerkannte Ziele eines modernen Datenschutzes. Unsere vernetzte Welt wird immer undurchschaubarer für Verbraucherinnen und Verbraucher.

Unkomplizierte, von den Nutzenden veränderbare Voreinstellungen sind wichtig zur Umsetzung des Datenschutzes. In Microsofts ´Privacy by Default`-Ansatz werden die Wahlmöglichkeiten der Nutzenden eben nicht eingeschränkt. Mit der Verwendung des neuen Internet Explorers könnten Verbraucherinnen und Verbraucher in diesem Punkt datenschutzfreundliche Browsersoftware wählen. Der Normalfall soll und muss die Internetzung ohne Profilbildung durch Tracking sein, nicht informationelle Ausbeutung und Fremdbestimmung. Mit ihrer Stellungnahme diskreditiert sich die FTC, die für die Verbraucher da sein sollte. Sie macht sich so zum Handlanger der US-Werbeindustrie. Microsoft sollte sich nicht einschüchtern lassen; es ist absehbar, dass anders programmierte Browser in Europa bald unzulässig sind.“

26. Juni 2012

P R E S S E M I T T E I L U N G des ULD

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein