Source: http://www.daten-speicherung.de/index.php/personenbezug-keine-relativierung-des-datenschutzes/
Timestamp: 2017-06-26 20:43:22+00:00

Document:
Daten-Speicherung.de – minimum data, maximum privacy » Personenbezug: Keine Relativierung des Datenschutzes [ergänzt]
14. Dezember 2007 um 1.03 Uhr · Abgelegt unter Datenschutz im Privatsektor, Internet-Unternehmen, Juristisches, Metaowl-Watchblog
Der gesetzliche Datenschutz gilt nur für personenbezogene Daten (§ 1 Bundesdatenschutzgesetz). Von großer Bedeutung ist daher die Frage, wann eine Information als „personenbezogen“ im Sinne des Gesetzes anzusehen ist und wann nicht.
Laut Bundesdatenschutzgesetz sind personenbezogene Daten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (§ 3 BDSG). „Bestimmbar“ bedeutet dabei „zuordnungsfähig“, „ermittelbar“, „feststellbar“.
Das Amtsgericht Berlin hat in einem neueren Urteil den Begriff der Bestimmbarkeit getreu seiner sprachlichen Bedeutung angewandt. Das Gericht hat entschieden, dass die von einem Internet-Zugangsanbieter temporär zugewiesene Internetkennung (dynamische IP-Adresse) nicht nur bei dem Internet-Zugangsanbieter, sondern auch bei Anbietern von Telemedien im Internet ein personenbezogenes Datum darstelle. Welcher Nutzer sich hinter einer IP-Adresse verbirgt, ist in der Tat auch im zuletzt genannten Fall bestimmbar – zwar nicht anhand der dem Inhalteanbieter vorliegenden Daten, aber mithilfe weiterer Daten, nämlich der Einwahlprotokolle des Internet-Zugangsanbieters.
Bernhard Kloos begründet diese Meinung etwa im Fall von IP-Adressen wie folgt:
Unter personenbezogenen Daten versteht man Einzelangaben über bestimmbare natürliche Personen (§ 3 Abs. 1 BDSG). Bei der Prüfung, ob eine Person bestimmbar ist, müssen alle Mittel berücksichtigt werden, die vernünftigerweise vom Verantwortlichen für die Verarbeitung eingesetzt werden können, um die betroffene Person zu bestimmen. Erforderlich ist somit eine wertende Betrachtung. Es kommt dabei auf die Kenntnisse, Mittel und Möglichkeiten der speichernden Stelle an. Sie muss den Bezug mit den ihr normalerweise zur Verfügung stehenden Hilfsmitteln und ohne unverhältnismäßigen Aufwand durchführen können; der Begriff des Personenbezugs ist damit relativ (Gola/Schomerus, BDSG, 8. Auflage, § 3, Rn. 9).
Nach § 3 Abs. 1 Bundesdatenschutzgesetz sind personenbezogene Daten „Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person“. Es genügt danach, wenn die Person des Betroffenen „bestimmbar“ ist. Keineswegs fordert das Gesetz, dass der Betroffene gerade durch die speichernde Stelle bestimmbar sein muss. Das Datenschutzrecht soll auch davor schützen, dass eine Identifizierung erst durch die Zusammenführung mit weiteren Daten erfolgt, wie sie etwa im Fall von IP-Adressen bei dem Internet-Zugangsanbieter vorhanden sind. Auch ohne Auskunftsanspruch des Inhalteanbieters gegen den Zugangsanbieter kann es zu einer solchen Zusammenführung kommen, nämlich indem der Internet-Zugangsanbieter oder aber der Inhalteanbieter freiwillig die entsprechenden Daten an die jeweils andere Stelle übermittelt.
Ein personenbezogenes Datum liegt danach schon dann vor, wenn die Herstellung des Personenbezugs einer beliebigen Person möglich ist. Diese Auslegung ist auch europarechtlich geboten. § 3 Abs. 1 BDSG ist insoweit richtlinienkonform auszulegen. Die Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten bestimmt ausdrücklich:
Falsch ist die Auffassung, eine Bestimmbarkeit des Betroffenen liege nur vor, wenn der Betroffene mit legalen Mitteln identifiziert werden könne. Das Datenschutzrecht soll gerade vor dem Missbrauch von Daten schützen (§ 1 Abs. 1 BDSG), wie er in der Praxis leider tagtäglich vorkommt. Man braucht nur die Tätigkeitsberichte der Datenschutzbeauftragten zu lesen, um festzustellen, dass Staat und Wirtschaft immer wieder unter Verstoß gegen Datenschutzrecht Daten übermitteln. Der Einzelne wäre schutzlos gestellt, würde man eine unbeschränkte Speicherung seiner Daten mit dem Argument zulassen, seine Person könne von der momentan speichernden Stelle mit legalen Mitteln nicht bestimmt werden.
Bei der Auslegung des Begriffs der Bestimmbarkeit darf das Risiko einer unbefugten Bestimmung des Betroffenen nicht unbeachtet bleiben. Das Datenschutzrecht und die dort vorgesehenen Löschungspflichten dienen gerade dazu, dieses Missbrauchsrisiko von vornherein auszuschließen. Das Bundesverfassungsgericht stellt in seinem Beschluss vom 27.10.2006 ausdrücklich auf die Möglichkeit eines rechtswidrigen Datenmissbrauchs durch Dritte ab, wenn es ausführt:
Die relativierende Auffassung findet dementsprechend auch keinen Anhaltspunkt im Gesetz. § 3 Abs. 1 BDSG stellt – bewusst – weder darauf ab, ob der Betroffene gerade von der speichernden Stelle bestimmbar ist, noch schränkt er die Beurteilung der Bestimmbarkeit auf legale Mittel ein. Vielmehr heißt es in der EG-Datenschutzrichtlinie ausdrücklich, es müssten „alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten“. Dies ist die zutreffende und verbindliche Definition der Bestimmbarkeit im Sinne des Datenschutzrechts.
Schließlich vergessen die Vertreter der relativierenden Auffassung den praxisrelevantesten, legalen Fall, in dem „relativ“ personenbezogene Daten der Person eines Nutzers zugeordnet werden können. Möglich ist dies nämlich stets staatlichen Stellen, die über entsprechende Zwangsbefugnisse verfügen. Im Internet ermöglicht § 113 TKG die Identifizierung von Internetnutzern: Besteht der Verdacht einer Ordnungswidrigkeit, einer Straftat, einer Gefahr oder halten die Geheimdienste dies für erforderlich, so hat der Internet-Zugangsanbieter der zuständigen Stelle unverzüglich Auskunft über den Namen des Nutzers einer IP-Adresse zu erteilen (§ 113 Telekommunikationsgesetz; dazu LG Stuttgart, MMR 2005, 628 ff.; MMR 2005, 624 ff.; LG Hamburg, MMR 2005, 711; LG Würzburg, NStZ-RR 2006, 46).
Konsequenz der Verneinung des Personenbezugs von Internet-Nutzungsprotokollen wäre, dass das Internet-Nutzungsverhalten inhaltlich und zeitlich unbegrenzt protokolliert werden dürfte. Die Löschungspflichten in § 15 des Telemediengesetzes wären praktisch bedeutungslos. Schon die Befürchtung eines Missbrauchs dieser Datenhalden würde die Informations- und Meinungsfreiheit im Internet unangemessen beeinträchtigen. Im Volkszählungsurteil hat das Bundesverfassungsgericht zutreffend ausgeführt:
In einem Aufsatz „Zur Personenbezogenheit von IP-Adressen“ (KuR 2008, 288) setzt sich Frau Pahlen-Brandt ebenfalls mit der Frage auseinander, wann ein personenbezogenes Datum vorliegt. Für die Anwendung des Datenschutzrechts auch auf nur mit Zusatzwissen zuzuordnende Daten führt sie weitere Argumente ins Feld:
Wenn die Übermittlungsregelungen des Datenschutzrechts nur für die Übermittlung der Daten an Personen mit dem erforderlichen Zusatzwissen gälten, wäre kein effektiver Schutz gewährleistet. Denn woher soll man wissen, ob der Empfänger über das erforderliche Zusatzwissen verfügt? Wer kontrolliert das? Muss man sich darauf verlassen, was der Empfänger sagt? Und wie wäre zu verhindern, dass der Empfänger die Daten an eine Person mit Zusatzwissen weiter übermittelt? Pahlen-Brandt: „Der Schutz des informationellen Selbstbestimmungsrechts wäre hier allein dem Käufer überlassen, der aus einem Verstoß gegen Datenschutzbestimmungen Nutzen ziehen könnte.“	(noch nicht bewertet)
9.434mal gelesen
Strafbares Verhalten ist ein "vernünftiges" Mittel? —
18. Februar 2008 @ 14.17 Uhr
Daten-Speicherung.de – minimum data, maximum privacy » Bundesjustizministerium: Surfprotokollierung durch Webseitenbetreiber illegal —
2. Mai 2009 @ 18.33 Uhr

References: § 3
 § 3
 § 3
 § 3
 § 113
 § 15