SCHRIFTLICHE ANFRAGE E-0718/02

von Erik Meijer (GUE/NGL) an die Kommission

(15. März 2002)

Betrifft: Unfreiwillige Zusammenstellung von Benutzerdaten durch NET Passport von Microsoft und Maßnahmen zum Schutz der Privatsphäre

1. Ist der Kommission der kostenlose Dienst .NET Passport von Microsoft bekannt, der darauf abzielt, von Verbrauchern bei einem Kauf, einem Spiel, einer Bewerbung oder einer Bankabbuchung on-line ihre Personendaten zusammenstellen zu lassen, beispielsweise durch eine e-mail-Adresse (hotmail), ein Chatprogramm (MSN Messenger), ein Geschäft (Expedia.com), eine Auktion (QXL), eine Community (MSN Communities) oder eine Hotelkette (Hilton.com), was zur Folge hat, dass insbesondere von Besitzern einer hotmail-Adresse schleichend und unbemerkt eine enorme Menge von Personendaten an Unbekannte weitergegeben wird?

2. Ist der Kommission ferner bekannt, dass die Nichtanmeldung bei .NET Passport dazu führt, dass der Benutzer von zahlreichen (Diensten von) Seiten ausgeschlossen wird, dass ein Austragen nicht möglich ist, dass in regelmäßigen Abständen lediglich veraltete Daten gelöscht werden und dass die einzugebenden Passwörter (lediglich mindestens sechs Buchstaben) teilweise einfach von Dritten zu ermitteln sind, die sich als Systemverwalter hervortun oder über umfangreiche lexikalische Kenntnisse verfügen?

3. Hält die Kommission es für akzeptabel, dass Benutzer öffentlicher Terminals in Universitäten, Bibliotheken und Internet-Cafés bei nicht-korrektem Ausloggen ihre vertraulichen Daten an den nachfolgenden Benutzer weitergeben können, dass bei der Vermietung von Software über das Internet (Benutzung der Server von Microsoft anstelle der eigenen Hard disk) ein Zugang nur mit Hilfe von . NET Passport möglich ist und dass Microsoft infolge seiner de facto- Monopolstellung in absehbarer Zukunft für die jetzt noch kostenlos geleisteten Dienste erhebliche Preise berechnen kann?

4. Ist der Aufbau einer äußerst umfangreichen Datenbank mit Personendaten durch ein marktbeherrschendes Unternehmen rechtmäßig? Ist .NET Passport bei den nationalen Institutionen angemeldet, die mit der Beaufsichtigung der Anwendung der Rechtsprechung über Privatsphäre beauftragt sind? Gilt diese Verpflichtung in jedem Mitgliedstaat? Gilt diese Verpflichtung auch dann, wenn sich die Datenbank nicht auf dem Hoheitsgebiet eines EU-Mitgliedstaats befindet?

5. Können nationale oder europäische Fahndungsdienste ohne vorhergehende Genehmigung des Betroffenen oder eines Gerichts über die zusammengestellten Daten verfügen?

6. Sieht sich die Kommission zu detaillierten Vorschriften veranlasst, um einen Missbrauch durch interessierte Kreise und eine Aushöhlung der geltenden Vorschriften über die Privatsphäre zu unterbinden?

Antwort von Herrn Bolkestein im Namen der Kommission

(7. Mai 2002)

1. bis 3. Der Kommission sind der Dienst NET Passport von Microsoft sowie die eventuell damit verbundenen Möglichkeiten bekannt und sie teilt die Besorgnis des Herrn Abgeordneten in einigen Punkten. Zusammen mit den Datenschutzbehörden der Mitgliedstaaten untersucht sie, ob dieser Dienst mit dem Datenschutzrecht der EU vereinbar ist.

4. Ein Unternehmen, das in der Union tätig ist, unterliegt dem Gemeinschaftsrecht und kann eine Datenbank mit personenbezogenen Daten aufbauen, sofern es sich dabei an die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(1) hält. Nach dieser Richtlinie müssen die Daten für einen spezifischen und rechtmäßigen Zweck erhoben werden, der Betroffene muss über die Identität des für die Verarbeitung Verantwortlichen, über den Zweck der Datenerhebung und über seine Rechte informiert werden, wie beispielsweise über das Recht auf Zugang zu seinen personenbezogenen Daten. Ist für die Verarbeitung die Zustimmung des Betroffenen erforderlich, muss diese unmissverständlich und freiwillig erfolgen. Die Richtlinie bestimmt ferner, dass derartige Verarbeitungen den nationalen Datenschutzbehörden mitgeteilt werden. Die Richtlinie sieht aber auch Ausnahmen von dieser Mitteilungspflicht vor. Die Kommission kann derzeit nicht sagen, ob diese Verarbeitung innerhalb der Gemeinschaft mitgeteilt wurde.

Die Frage, ob und in welchem Umfang die Richtlinie auf eine Datenbank (oder nach dem Wortlaut der Richtlinie: auf einen für die Verarbeitung Verantwortlichen) außerhalb der Kommission anwendbar ist, vor allem wenn die Daten direkt über das Internet von den Betroffenen erhoben werden, ist sehr komplex und wird derzeit von der Kommission und den nationalen Datenschutzbehörden sorgfältig geprüft. Artikel 4 Absatz 1 Buchstabe c sieht vor, dass die Richtlinie anwendbar ist auf Fälle, in denen ein für die Verarbeitung Verantwortlicher auf automatisierte oder nichtautomatisierte Mittel zurückgreift, die im Hoheitsgebiet eines Mitgliedstaats belegen sind, d.h. die Richtlinie findet zumindest in einigen Fällen auf für die Verarbeitung Verantwortliche Anwendung, die außerhalb der Gemeinschaft angesiedelt sind. Daneben können auch besondere einzelstaatliche Regeln bezüglich eines Drittlandes, in dem der Verantwortliche niedergelassen ist, greifen und im Rahmen der dortigen Rechtsprechung durchgesetzt werden. In diesem Fall hat Microsoft, dem US Handelsministerium mitgeteilt, dass es sich zu einer Datenschutzpolitik bekennt, die den Safe-Harbor-Bestimmungen entspricht(2).

5. Auf der Grundlage der Rechtsvorschriften können Strafverfolgungsbehörden ohne vorherige Zustimmung des Betroffenen oder eines Gerichts über die erhobenen Daten verfügen, sofern die Rechte der Betroffenen auf Verteidigung gewahrt bleiben und die Einschränkung des Datenschutzes für die Zwecke der Strafverfolgung ausdrücklich notwendig ist. Während der Untersuchung dürfen die erhobenen Daten darüber hinaus nur in dem für diese Zwecke erforderlichen Umfang genutzt werden.

6. Gemäß Artikel 33 der Richtlinie erstellt die Kommission einen Bericht über die Anwendung der Richtlinie 95/46/EG, der voraussichtlich bis Ende des Jahres vorliegen wird. In diesem Zusammenhang wird auch die Umgehung der bestehenden Vorschriften genauer untersucht.

(1) ABl. L 281 vom 23.11.1995.

(2) Vgl. Entscheidung der Kommission 2000/520/EG vom 26. Juli 2000 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des von den Grundsätzen des sicheren Hafens und der diesbezüglichen Häufig gestellten Fragen (FAQ) gewährleisteten Schutzes, vorgelegt vom Handelsministerium der USA, ABl. L 215 vom 25.8.2000.