Source: http://i4j.at/intern27a.htm
Timestamp: 2017-04-25 00:43:04+00:00

Document:
Einführung - EU-Recht - Geltendmachung - Problemfälle - technischer Schutz -
Entsch Ö - Entsch D - Literatur - Links
letzte Änderung 25.5.2009
Der Datenschutz führt in Österreich, wie auch in vielen anderen Ländern, eher ein Stiefmütterchen-Dasein. Der wahllose Gebrauch von persönlichen Daten scheint für viele kein Problem zu sein. Durch das Internet bekommt aber der Datenschutzgedanke aufgrund der fast unbegrenzten Möglichkeit der Datensammlung und -verknüpfung ein neues Aufgabengebiet. Auch die Einsicht in die Notwendigkeit einer Begrenzung setzt sich mehr und mehr durch. Österreich hat mit dem Datenschutzgesetz 2000 eine sehr aktuelle Rechtsnorm. Das DSG 2000 regelt nicht nur die Verwendung personenbezogener Daten, die Auskunftsrechte Betroffener, die Zulässigkeit der Weitergabe von Daten und den Umgang mit Daten in Netzwerken, sondern enthält auch Bestimmungen zur Datensicherheit und zu Kontroll- und Rechtsschutzmaßnahmen und sieht empfindlichen Strafen bei der missbräuchlichen Verwendung von Daten vor. Das Grundrecht auf Datenschutz ist als Verfassungsbestimmung ausgebildet § 1 DSG 2000).
Geschützt sind personenbezogene Daten. Weitere Voraussetzung ist das Vorliegen eines schutzwürdigen Interesses. Ein solches liegt dann nicht vor, wenn die Daten öffentlich sind (also etwa sich aus dem Telefonbuch ergeben.
Personenbezogene Daten sind Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist; ,,nur indirekt personenbezogen'' sind Daten für einen Auftraggeber, Dienstleister oder Empfänger einer Übermittlung dann, wenn der Personenbezug der Daten derart ist, dass dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann.
Sensible Daten (besonders schutzwürdige Daten) sind Daten natürlicher Personen über ihre rassische und ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse oder philosophische Überzeugung, Gesundheit oder ihr Sexualleben.
Im April 2008 ist die DSG-Novelle 2008 (Entwurf,
182/ME Erläuterungen) in Begutachtung gegangen. Wesentliche Eckpunkte sind die gesetzliche Regelung für Videoüberwachungen durch Private, die Installierung eines Datenschutzbeauftragten in Betrieben sowie die einheitliche Zuständigkeit des Bundes für Datenschutzfragen.
Eine ausführliche Darstellung des österreichischen Datenschutzgesetzes und Datenschutzrechtes finden Sie bei ARGE DATEN
DSK - Datenschutzkommission Datenschutzgesetz 2000
Datenschutzrecht bei Preslmayr Rechtsanwälte
Bis zum Relaunch der Website werden in diesem Kapitel auch Entscheidungen zu anderen Grundrechten, insbesondere zum Schutz der Privatsphäre, wiedergegeben. Es ist ein gewisses Phänomen, dass sich die Datenschützer zunehmend um verschiedene Grundrechte kümmern, die ansonsten keine "Lobby" haben. Insbesondere betrifft dies den immer massiver werdenden Bereich der öffentlichen und privaten Überwachung mittels Video (zur Videoüberwachung siehe auch im Kapitel Urheberrecht) und Datenspeicherung (zur Vorratsdatenspeicherung siehe Kapitel Diensteanbieter).
Im Mai 2009 wurde die sehr umfangreiche
DSG-Novelle 2010 zur Begutachtung verschickt.
Der europarechtliche Hintergrund
Datenschutzrichtlinie 1995
95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr schreibt vor, dass die Mitgliedstaaten die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten und insbesondere ihr Recht auf Privatsphäre sicherstellen, um in der Gemeinschaft den freien Verkehr personenbezogener Daten zu gewährleisten.
Datenschutzrichtlinie 1997
97/66/EG des Europäischen Parlamentes und des Rates vom 15. Dezember 1997 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre im Bereich der Telekommunikation hat die Grundsätze der Richtlinie 95/46/EG in spezielle Vorschriften für den Telekommunikationssektor umgesetzt.
des Europäischen Parlamentes und des Rates 2002/58/EG vom 12.7.2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation), die von den Mitgliedstaaten bis 31.10.2003 umzusetzen war, hat die Richtlinie 97/66/EG an die Entwicklungen der Märkte und Technologien für elektronische Kommunikationsdienste angepasst, um den Nutzern öffentlich zugänglicher elektronischer Kommunikationsdienste unabhängig von der zugrunde liegenden Technologie den gleichen Grad des Schutzes personenbezogener Daten und der Privatsphäre zu bieten. Die frühere Richtlinie wurde daher aufgehoben und durch die vorliegende Richtlinie ersetzt. Sie bringt neue Regelungen über die Speicherung personenrelevanter Daten, vor allem zu Zwecken der Strafverfolgung. Daneben sieht Art. 5 Abs. 3 vor, dass Cookies nur verwendet werden dürfen, wenn die Nutzer umfassend über Art und Zweck der Verwendung informiert werden. Dasselbe gilt gem. Art. 6 Abs. 3 für Logfiles, was allerdings jeweils voraussetzt, dass diese personenbezogen sind, was nicht immer der Fall ist. Allerdings kann von den Providern unter Umständen, wenn sie die dafür relevanten Verbindungsdaten speichern, jederzeit ein Personenbezug hergestellt werden.
Vorratsdatenspeicherung-Richtlinie
2006/24/EG des Europäischen Parlaments und des Rates vom 15. März 2006 über die Vorratsspeicherung von Daten, die bei der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste oder öffentlicher Kommunikationsnetze erzeugt oder verarbeitet werden, und zur Änderung der Richtlinie 2002/58/EG führt zu einem Paradigmenwechsel im Datenschutz. Hier geht es nicht mehr darum, dass unter bestimmten einschränkend auszulegenden Bedingungen Daten gespeichert werden dürfen, sondern um ein Müssen für allfälligen künftigen Bedarf durch die Strafjustiz. Die Richtlinie war hinsichtlich der Telefoniedaten bis 15.9.2007 umzusetzen; die Umsetzung wurde aber vorerst auf unbestimmte Zeit aufgeschoben; hinsichtlich der Internetdaten hat Österreich von der Möglichkeit der Aufschiebung bis 15.3.2009 Gebrauch gemacht.
Siehe dazu Näheres im Kapitel Datenspeicherung und Vorratsdatenspeicherung
Geltendmachung einer Datenschutzverletzung
Zuständig bei Verletzungen des DSG 2000 ist die Datenschutzkommission, wenn es um eine Behörde geht, bei privaten Datenanwendern sind die Zivilgerichte zuständig; für das Begehren auf Erteilung von Auskunft ist immer die Datenschutzkommission zuständig. Neben Ansprüchen auf Unterlassung der Verwendung, Richtigstellung oder Löschung von Daten und Schadenersatz kann eine Verletzung des DSG auch in einem Verfahren wegen unlauteren Wettbewerbes unter dem Aspekt der Sittenwidrigkeit (§ 1 UWG - Wettbewerbsvorsprung durch Rechtsbruch) geltend gemacht werden; Voraussetzung ist aber, dass ein Wettbewerbsverhältnis zwischen Kläger und Beklagtem besteht.
Spezielle Problemfälle im Internet
Die speziellen Techniken des Internet ermöglichen es in einer noch nie dagewesenen Weise Daten über die Benutzer zu sammeln, zu verknüpfen und in verschiedensten Richtungen auszuwerten, ohne dass dies den Benutzern bewusst wird. Im Folgenden werden einige dieser Besonderheiten dargestellt:
Cookies sind Textdateien, in denen ein Webserver Informationen über den Surfer auf dessen PC (Festplatte, bei Windows Systemen im Windows Systemverzeichnis c:\windows) abspeichert und beim nächsten Besuch der Seite von dort wieder abruft. Der Hauptzweck der Cookies (Plätzchen) ist, den Benutzer zu kennzeichnen und kundengebundene Netzseiten für ihn vorzubereiten. Wenn man nächstes Mal zur gleichen Website kommt, schickt die Datenbanksuchroutine das Cookie zum Webserver und dieser kann den Besucher identifizieren. Die Daten, die im Cookie gespeichert sind, können aus einem Formular stammen, das der Besucher der Website ausgefüllt hat - dann ist beim nächsten Besuch auch eine Begrüßung mit Namen möglich - oder aber einfach aus dem durch die Klicks auf der Website geschlossenen Interesse - dann bezieht sich die Personifizierung nur auf den letzten Bediener dieses Computers, aber nicht auf eine bestimmte Person.
So unterschiedlich wie der Verwendungszweck ist auch die datenschutzrechtliche Beurteilung der Cookies. Da sie ein erhebliches Missbrauchspotential aufweisen (bis hin zum Ausspionieren des Surfers), gibt es auch immer wieder Überlegungen in Richtung einer gesetzlichen Regelung; siehe c't-Artikel vom 2.11.2001; sie spielen auch eine Rolle in der Richtlinie
über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation, die am 30.5.2002 vom EU-Parlament beschlossen wurde und bis Ende 2003 umgesetzt werden soll.
Grafik: Robert Fucik
Man unterscheidet zwischen Logfiles von Webservern und Mailservern, systemnahen Logfiles und Netzwerküberwachungstools. Es handelt sich dabei jeweils um Dateien, in denen Verbindungs- und Zustandsdaten eines Servers gespeichert werden. Sie dienen in der Regel der technischen Überwachung von Systemen (Auslastung, Optimierung, Fehlererkennung, Sicherheit) und sind dazu unbedingt notwendig. Allerdings können sie auch dazu verwendet werden, die Benutzer des Systems auszuspionieren. Sie können auch aus datenschutzrechtlichen Gründen bedenklich sein (siehe gleich bei den Web-Bugs). Problematisch können Logfiles vor allem dann werden, wenn sie über einen längeren (als den technisch notwendigen) Zeitraum aufbewahrt und ausgewertet werden.
Auch "Clear Gif" genannt; unsichtbare Grafiken, meist in der Größe von 1Pixel in der Farbe des Hintergrundes oder durchsichtig, die den Betreibern von Websites Informationen über das Surferverhalten der Nutzer liefern. Die Grafik befindet sich nicht auf demselben Webserver wie die Website, sondern wird von einem dritten Server geladen. Während das Bild von dort geholt wird, werden mittels Skript oder Applet Benutzerdaten zum Web-Bug-Server übertragen und dort ausgewertet; dies ist die eigentliche Aufgabe des Web-Bugs. So lässt sich das Besucherverhalten sehr genau ausspionieren. Die Auswertung liefert ähnliche Daten wie die Auswertung des Logfiles des Webservers. Während mit dem Weblog aber nur die Webs auf dem konkreten Server ausgewertet werden können, können mit einem System von Web-Bugs ganze Systeme von Websites überwacht werden. Voraussetzung ist aber, dass auf jeder einzelnen Seite einer Website ein derartiger Spion gesetzt ist.
Web-Bugs sind aus Sicht des Datenschutzes bedenklich, soweit dabei personenbezogene Daten gesammelt werden. Dies ist über die Benutzeradresse meist nicht möglich, weil es sich bei der IP-Adresse um eine maschinenbezogene Adresse handelt und der einzelne Internetuser über seinen Provider keine fixe IP-Adresse zugeteilt bekommt, sondern bei jedem Einloggen eine andere, nach dem Zufallsprinzip ausgewählte, sodass nur der Provider jeweils weiß, welcher Kunde gerade welche IP-Adresse hat. Wenn die Seite aber auch Cookies verwendet, was bei mehr als der Hälfte aller Websites der Fall ist, und der Besucher schon einmal Namen oder E-Mail-Anschrift angegeben hat (etwa in einem Webshop), ist der Besucher damit eindeutig identifizierbar. In diesem Fall werden die Daten, die durch Web-Bugs gesammelt werden, zu personenbezogene Daten. Das Sammeln personenbezogener Daten ist aber nur nach den Bestimmungen des Datenschutzgesetzes zulässig. Auf jeden Fall muss der Besucher darüber aufgeklärt werden, was mit diesen Daten geschieht. Ein Verstoß gegen das Datenschutzgesetz kann aber auch von einem Konkurrenten als Wettbewerbsverstoß (§ 1 UWG - Wettbewerbsvorsprung durch Rechtsbruch) geltend gemacht werden. Data Mining
Unter dem Begriff "Data Mining" versteht man die von vielen Unternehmen - bereits außerhalb des Internets - geübte Praxis, persönliche Daten von Kunden zu sammeln, zu kombinieren und auszuwerten. Dazu wird häufig ein System von Kundenkarten eingeführt, das auf den ersten Blick eine stärkere Kundenbindung durch Rabattgewährung sichern soll. Darüber hinaus können mit solchen Kundenkarten aber auch die Konsumgewohnheiten der Kunden erfasst und ausgewertet werden. Durch Verknüpfung verschiedener Profile lassen sich daraus vielfältigste Informationen gewinnen, die der Kunde gar nicht erahnt. Neben einer gezielten Werbung ermöglicht die Verknüpfung u.U. auch Aussagen zur Kreditwürdigkeit. Im Internet sind die Möglichkeiten des Ausspionierens noch vielfältiger. Bedenkt man, dass jeder Mausklick im Webserver protokolliert wird, lassen sich durch Auswertung der Logfiles aus Art der angeklickten Informationen, Verweildauer und getätigte Einkäufe die Interessen des Besuchers genau erforschen. Wird dann noch, wie bei kommerziellen Seiten üblich, die Angabe von persönlichen Daten gefordert, lässt sich das schönste Kundenprofil erstellen. Durch Zusammenarbeit mit befreundeten Unternehmen (Datenaustausch) lässt sich dieses noch verfeinern.
Jeder, der aktiv am Web teilnimmt, sei es als Websitebetreiber, Blogger oder Teilnehmer eines Chat- oder Diskussionsforums oder einer Online_Community, hinterlässt dort digitale Spuren. Dies führt dazu, dass es mittlerweile Standard geworden ist, nach einem Namen zu "googeln", wenn man etwas über eine Person erfahren will. Besondere Brisanz kann das im Falle von Stellenbewerbungen haben. Dabei können viele Trefferergebnisse ein positives oder negatives Bild liefern. Das Problem ist, dass sich das zum Zeitpunkt der Auswertung nicht mehr beeinflussen lässt. Es ist daher wichtig, dass man bei Publikationen im Internet immer bedenkt, dass diese öffentlich erfolgen und auch ein Pseudonym und eine anonyme E-Mailadresse keinen Schutz davor bieten, dass im Zuge von diversen Verknüpfungen die Identität offengelegt werden kann.
Carolin Wattenberg, Auf der Suche nach dem Online-Ich,
Artikel auf Neue Gegenwart
Beiträge zum Thema Privatsphäre bei DenkBloggAde
Registrierung? Nein Danke!
Telepolis 21.7.2004
Die Website als Datenanwendung
Wenn auf einer Website Personendaten angegeben werden, stellt dies eine Datenverarbeitung dar, die dem DSG 2000 unterliegt. Allerdings ist eine Veröffentlichung von Daten im Internet keine Übermittlung von Daten in ein Drittland (EuGH, Fall Lindqvist, siehe unten). Die Veröffentlichung von Daten ist nicht generell verboten, es ist vielmehr ein angemessenes Gleichgewicht zwischen den betroffenen Rechten und Interessen sicherzustellen, wobei die Abwägung nach dem Grundsatz der Verhältnismäßigkeit zu erfolgen hat. Äußerste Zurückhaltung ist bei der Veröffentlichung sensibler Personendaten angebracht; eine solche sollte jedenfalls nur mit ausdrücklicher Zustimmung der betroffenen Personen erfolgen.
Verschlüsselung dient dem Schutz von sensiblen Daten auf Computern oder mobilen Datenträgern oder während des Transfers im Internet oder über W-LAN-Funknetze. Es können entweder ganze Computer (wichtig vor allem bei Notebooks, die unterwegs verloren gehen können) verschlüsselt werden oder nur bestimmte Festplatten, Verzeichnisse oder Dateien. Es gibt dazu verschiedene Systeme und Verfahren. Wichtig ist dabei vor allem eine entsprechende Schlüsselstärke, die in Bit gemessen wird. Siehe dazu Näheres bei
Passwörter werden für den Zugang zu verschlüsselten Computer-Systemen, Festplatten oder Ordnern verwendet, aber auch für geschützte Web-Bereiche, wie geschlossene Foren, Administrationstools oder Zahlungssysteme. Für die Auswahl von Passwörtern gelten folgende Regeln:
1. Das Passwort niemals weitergeben.
2. Für jedes System ein eigenes Passwort verwenden.
3. Das Passwort nur an einem sicheren Ort aufbewahren (keinesfalls unter der Tastatur oder hinter dem Bildschirm).
4. Die Passwörter von Zeit zu Zeit wechseln.
5. Passwörter aus mindestens 8 Zeichen bilden.
6. Keine Bezeichnungen aus dem persönlichen Umfeld (Namen, Geburtsdaten) verwenden.
7. Keine Wörter verwenden, die in einem Lexikon vorkommen.
8. Klein- und Großbuchstaben mit Ziffern und Sonderzeichen vermischen.
Damit ein Passwort in der Praxis handhabbar bleibt und man nicht jedes Mal die Passwortliste aus dem Safe holen muss, wenn man eines benötigt, empfiehlt es sich, die Passwörter so auszuwählen, dass man sie sich trotz der Kompliziertheit leicht merken kann. Dazu gibt es verschiedene Möglichkeiten. Man kann entweder die Anfangsbuchstaben eines Merksatzes nehmen (etwa: "Niemand errät mein Passwort mit 128 Bit" = NemPm128B) oder eine Kombination von Abkürzungen und Datumsangaben (etwa für Max Mustermann, geb. 13.07. = Ma13&Mu07).
Telepolis-Artikel vom 7.9.2007
Immaterieller Schadenersatz bei rechtswidrigen Bonitätsdaten: LGZRS Wien, Urteil vom 15.2.2008, 53 Cg 106/07h
DSG 2000 § 33
Der VKI klagt auf Ersatz immateriellen Schadens, weil sich ein Betroffener durch rechtswidrig verarbeitete und öffentliche Bonitätsdaten einer Wirtschaftsauskunftei in seiner Reputation als Unternehmer geschädigt sah.
Das Gericht sprach EUR 750,-- zu.
Entscheidung bei Verbraucherrecht.at
Offenlegung einer IP-Adresse nach dem SPG: Bescheid der DSK vom 3.10.2007, K121.279/0017-DSK/2007
DSG 2000 § 1, § 31, SPG § 53, ECG
Die Polizei forschte einen eines Sexualdeliktes verdächtigen Teilnehmer eines Chatforums aus, indem sie die entsprechenden Daten vom Betreiber des Chatforums (IP-Adresse) und vom Accessprovider (Inhaber der dynamischen IP-Adresse) anforderte und auch erhielt. Der Ausgeforschte beschwerte sich bei der DSK über das Vorgehen der Polizei und die Herausgabe seiner Daten durch den Forenbetreiber und den Accessprovider.
Die DSK wies die Beschwerde gegen die Diensteanbieter zurück und gab der Beschwerde gegen die Polizei (Sicherheitsdirektion) statt. Die Datenermittlung durch die Sicherheitsbehörde stellte mangels tauglicher Eingriffsgrundlage eine Verletzung des Grundrechtes auf Geheimhaltung schutzwürdiger personenbezogener Daten dar. Für die Übermittlung der (dynamischen) IP-Adresse, die unzweifelhaft ein Verkehrsdatum darstellt, auf Basis eines "nickname" kann § 53 Abs 3a SPG keine geeignete Grundlage bieten. Aus datenschutzrechtlicher Sicht schiene es – auch wenn sich angesichts der gegenständlichen Umstände des Sachverhaltes das Verständnis für ein Verhalten wie jenes des Beschwerdeführers in Grenzen halten wird - vielmehr außerordentlich bedenklich, den Anwendungsbereich des § 53 Abs. 31 SPG im Wege der Analogie auch auf nicht ausdrücklich erfasste Sachverhalte zu erweitern. Auch wenn sich das Verständnis für ein Verhalten wie jenes des Beschwerdeführers im gegenständlichen Fall in Grenzen halten muss, ist davon auszugehen, dass das Vorgehen der Sicherheitsbehörden weder im SPG noch im ECG eine gesetzliche Deckung finden kann. Die Datenschutzkommission kommt allerdings auch nicht um die Anmerkung umhin, dass die bestehende Rechtslage im Hinblick auf die Befugnisse der Sicherheitsbehörden nicht wirklich klar ist und daher im Interesse des Datenschutzes und der Rechtssicherheit sowohl aus der Sicht der Behörden, wie auch aus jener der betroffenen Bürger und der Auskunftspflichtigen durchaus verbesserungswürdig erscheint (VwGH-Beschwerde ist zu Zl. 2007/05/0280 anhängig)
Anmerkung: Das Problem wäre leicht vermeidbar gewesen. Die Polizei hätte nur eine Strafanzeige gegen unbekannte Täter einbringen müssen. Dann hätte die Staatsanwaltschaft bei Gericht die Ausforschung beantragen können. Da es sowohl bei der StA als auch bei Gericht einen Journaldienst gibt, wäre die Verzögerung maximal im Bereich von Stunden gelegen. Nichts desto trotz wurde diese Entscheidung zum Anlass für eine, am 6.12.2007 überfallsartig beschlossene Novelle des SPG genommen (Heise-Artikel). Interessant auch die Begründung dazu: Es soll nur die praktische Übung gesetzlich explizit geregelt werden!
Überwachungskamera-Attrappe: OGH, Urteil vom 28.3.2007, 6 Ob 6/06k
ABGB § 16, EMRK
Speicherung von dynamisch vergebenen IP-Adressen unzulässig: Empfehlung der Datenschutzkommission vom 11.10.2006, K213.000/0005-DSK/2006
TKG § 92, § 93, § 99, RL DSeK
Zwei ertappte Tauschbörsennutzer, die über ihren Provider anhand der IP-Adresse ausgeforscht worden waren, beschwerten sich bei der Datenschutzkommission (DSK) über die missbräuchliche Verwendung personenbezogener Daten durch eine Verwertungsgesellschaft. Die DSK überprüfte den Vorgang der Datenerhebung beim beteiligten Access-Provider. Dieser berief sich darauf, dass er trotz Flatrate die Verkehrsdaten zur Kontrolle der Fair Use Policy speichern müsse.
Die DSK gibt die Empfehlung ab, der Access-Provider möge dafür Sorge treffen, dass in Hinkunft dynamische IP-Adressen nach Abschluss der technischen und organisatorischen Abwicklung der Verbindung ohne Zustimmung des Benutzers nicht mehr gespeichert werden. Dynamische IP-Adressen sind personenbezogene Daten. Zur Erfüllung des Auskunftsbegehrens müssen Verkehrsdaten verarbeitet werden, da IP-Adressen Zugangsdaten im Sinne des § 92 Abs. 3 Z 4a TKG 2003 sind. Dynamische IP-Adressen sind ausschließlich Verkehrsdaten, statische IP-Adressen sind sowohl Verkehrsdaten als auch Stammdaten. Die Verwendung der Verkehrsdaten unterliegt der Vertraulichkeit gem. Art. 5 der RL 2002/58/EG bzw. dem Kommunikationsgeheimnis gem. § 93 Abs. 1 TKG 2003 und besonderen Verwendungsbeschränkungen gem. Art. 6 und Art 15 Abs. 1 der genannten RL bzw. § 92 Abs. 2 und
§ 99 TKG 2003. Diese Daten dürfen daher nur gespeichert werden, soweit dies für Verrechnungszwecke notwendig ist oder soweit die ausdrückliche Einwilligung des Betroffenen vorliegt. Im gegenständlichen Fall durften die Daten für die Kontrolle der Einhaltung der Fair-Use-Policy nicht gespeichert werden, weil es dazu genügt hätte, das Volumen pro Verbindung zu speichern (und nicht die weiteren Verbindungsdaten wie die jeweils zugewiesene IP-Adresse).
Empfehlung der DSK
Franz Schmidbauer, Das Ende der Auskunftspflicht?
Artikel auf Internet4jurists
Systematische Videoüberwachung zur Beweissammlung:
ABGB § 16, § 1328a, IPRG § 13,
Der OGH gab der Revision der Kläger Folge und erließ das Unterlassungsgebot. Steht ein Eingriff in die Privatsphäre fest (hier: durch systematische, identifizierende Videoüberwachung), trifft den Verletzer die Behauptungs- und Beweislast dafür, dass er in Verfolgung eines berechtigten Interesses handelte und dass die gesetzte Maßnahme ihrer Art nach zur Zweckerreichung geeignet war. Entspricht er dieser Behauptungs- und Beweislast, kann der Beeinträchtigte behaupten, dass die Maßnahme nicht das schonendste Mittel zur Zweckerreichung darstellt. Stellt sich dabei heraus, dass die Maßnahme nicht das schonendste Mittel war, erübrigt sich die Vornahme einer Interessenabwägung. Systematische, verdeckte, identifizierende Videoüberwachung stellt immer einen Eingriff in das geschützte Recht auf Achtung der Geheimsphäre dar. Die Videoaufzeichnung ist identifizierend, wenn sie auf Grund eines oder mehrere Merkmale letztlich einer bestimmten Person zugeordnet werden kann. Die systematische Videoüberwachung unterscheidet sich von der ohne Hinzutreten besonderer Umstände im Regelfall zulässigen Beobachtung mit dem bloßen Auge dadurch, dass eine Videokamera im Unterschied zu einem menschlichen Beobachter in Bezug auf Wahrnehmungs- und Erinnerungsfähigkeit keinerlei Beeinträchtigung unterliegt und damit in der Lage ist, ein komplettes Gesamtbild der aufgenommenen Personen zu erstellen, wobei die gemachten Aufzeichnungen zeitlich nahezu unbegrenzt aufbewahrt werden können. Die Summe von Informationen in ihrer systematischen Ausformung ist auch dann geschützt, wenn die einzelne Information für sich keinen Schutz genießt. Der Eigentümer einer Liegenschaft hat ein Recht, dass die auf seiner Liegenschaft ein- und ausgehenden Personen (Familienangehörige, Mieter, Gäste, Angestellte) nicht systematisch beobachtet werden.
Warnliste der Banken: OGH, Beschluss vom 15.12.2005, 6 Ob 275/05t
DSG § 6,
§ 33, MedienG
Es geht hier einerseits um eine Inanspruchnahme des beklagten Rechtsanwaltes als Bürge für einen Kredit und andererseits um eine Widerklage des Rechtsanwaltes, gestützt auf Schadenersatz und Entschädigung nach dem Mediengesetz wegen seiner rechtswidrigen Aufnahme in die Warnliste der Banken. Die Aufnahme in die schwarzen Listen der Banken darf nach dem Bescheid der Datenschutzkommission nur nach vorheriger Verständigung erfolgen.
Das Erstgericht gab beiden Klagen statt. Das Berufungsgericht bestätigte das Urteil gegen den Rechtsanwalt und hob das andere Urteil zur näheren Prüfung der Höhe auf, wobei es aber von einer dem Grunde nach gegebenen Haftung der Bank ausging.
Der OGH gab beiden Rechtsmitteln nicht Folge. Der in
§ 6 Abs 1 Z 1 DSG verankerte Grundsatz, wonach Daten nur nach Treu und Glauben verwendet werden dürfen, erfordert eine entsprechende Benachrichtigung des Betroffenen, um ihm die Möglichkeit zu geben, sich gegen eine seiner Meinung nach nicht gerechtfertigte, seine Kreditwürdigkeit aber massiv beeinträchtigende Datenverwendung zur Wehr zu setzen. Eine dagegen verstoßende Eintragung in die Warnliste ist nicht mehr durch ein überwiegendes Gläubigerschutzinteresse gerechtfertigt und somit rechtswidrig; sie ist der Bank auch subjektiv vorwerfbar. Wird ein Rechtsanwalt unter Verstoß gegen das Datenschutzgesetz in die „Warnliste der Banken" aufgenommen, so untergräbt die dadurch verbreitete Annahme, er sei als Rechtsanwalt kreditunwürdig, sein Ansehen bei Klienten und unter Kollegen und ist geeignet, seinen Ruf nachhaltig zu schädigen und sogar seine wirtschaftliche Existenz zu gefährden, sodass die Voraussetzungen für den Zuspruch eines immateriellen Schadens dem Grunde nach gegeben sind. Eine Zustimmungsklausel ist ungültig, wenn sie den Betroffenen nicht in Kenntnis der Sachlage für den konkreten Fall in die Verwendung der Daten einwilligen lässt.
Videoaufnahmen von Hubschrauberflügen: Datenschutzkommission, Bescheid vom 11.10.2005, K121.036/0014-DSK/2005
Weiters erfüllt eine analoge Magnetbandaufzeichnung weder das Kriterium der automationsunterstützten Verarbeitung, wie sie bei digitaler Verarbeitung gegeben wäre, noch das Kriterium der Strukturiertheit nach einem oder mehreren personenbezogenen Merkmalen, wie sie für manuelle Dateien Voraussetzung ist. Damit Film- oder Fotoaufnahmen Gegenstand des Auskunftsrechts sein können, muss die Bildaufzeichnung in Form einer Datei im Sinne des § 4 Z 6 DSG 2000 erfolgen.
DSK-Entscheidung
Datenschutz-RL derogiert Bezügebegrenzungsgesetz:
OGH, Urteil vom 21.1.2004, 9 ObA 73/03f, 9 ObA 77/03v
DSG 2000 § 1, EG-RL 95/46/EG, BezBegrBVG § 8
Veröffentlichung personenbezogener Daten im Internet:
EuGH, Urteil vom 6.11.2003, C-101/01 - Lindqvist
Leitsätze und Anmerkung von Clemens Thiele "Hausbesorgerdaten im Internet": OLG Innsbruck, Beschlüsse vom 27.9.1999, 1 R 143/99 und 28.3.2000, 1 R 30/00x
Medien und Recht 3/00, Seite 148
Urteil bei eurolawyer.at
"Friends of Merkur": OGH, Urteil vom 27.1.1999, 7 Ob 170/98w
Das Kundenprogramm "Friends of Merkur" (Merkur AG) sah Exklusivrabatte und Zahlungsaufschübe für den Fall vor, dass der Kunde seine Einkäufe mit einer Bankomatkarte begleicht, bestimmte Umsatzgrenzen erreicht und einen entsprechenden Vertrag unterschreibt. Darin wurde der Merkur AG u.a. das Recht eingeräumt, persönliche Kundendaten "zum Zweck der Konsumenteninformation sowie allfälliger Werbemaßnahmen an andere Unternehmen des BML-Konzerns" weiterzugeben. Die Klausel "Personen, die dem Kundenprogramm 'Friends of Merkur" beitreten, stehen zur Merkur Warenhandels-AG in einem Vertragsverhältnis nach Maßgabe dieser Allgemeinen Geschäftsbedingungen und ihrer künftigen Änderungen und Ergänzungen" verstößt gegen § 6 Abs 2 Z 3 KSchG, weil sie nicht erkennen läßt, ob es sich bei den Änderungen und Ergänzungen des Kundenprogramms lediglich um solche geringfügiger bzw sachlich gerechtfertigter Natur handelt, welche dem Verbraucher zumutbar wären. Eine unauffällig im vorgedruckten Text eines Folders vorhandene Zustimmungserklärung des Kunden entspricht nicht dem § 18 Abs 1 DSG. § 6 Abs 3 KSchG findet als lex specialis nicht seine Anwendungsgrenze im § 18 DatenschutzG.
Für den Kunden ist die Bezeichnung "BML-Konzern" nicht verständlich; überdies kann sich die Zusammensetzung eines internationalen Konzerns ändern, was für den Kunden jedenfalls nicht durchschaubar sei. Die genannte Klausel widerspricht sohin dem Transparenzgebot des § 6
Abs 3 KSchG. Es muss unter anderem für den Kunden deutlich erkennbar sein, an wen die mittels Kundenkarte erhobenen Daten weitergeleitet werden.
Entscheidungen Deutschland u.a.
Inverssuche: BGH, Urteil vom 5.7.2007, III ZR 316/06
TKG 2004 § 47, § 105
Der Teilnehmernetzbetreiber ist nicht berechtigt, die "Freigabe" der Inverssuche in den gemäß § 47 Abs. 1 TKG 2004 den Auskunftsdienstbetreibern zur Verfügung zu stellenden Datensätzen von der Einwilligung seiner Kunden abhängig zu machen. Er ist vielmehr im Verhältnis zu den Auskunftsdienstbetreibern zur Anwendung der Widerspruchslösung des § 105 Abs. 3 TKG 2004 verpflichtet. Entscheidung bei JurPC
Keine Datenspeicherung bei Flatrate: BGH, Beschluss vom 26.10.2006, III ZR 40/06
Der BGH wies die Beschwerde des Providers wegen des geringen Streitwertes als unzulässig zurück. AG-Entscheidung beim AG Darmstadt
Heise-Artikel über Berufungsverhandlung vom 7.12.2005
Heise-Artikel über LG-Entscheidung vom 25.1.2006 (Urteil vom 25.1.2006, 25 S 118/05)
Heise-Artikel über BGH-Entscheidung
BGH-Entscheidung bei kein1984.de
Soweit in den Vertragsbedingungen von eBay eine Einwilligung in die Nutzung der personenbezogenen Daten verlangt wird, liegt ein Verstoß gegen § 3 Abs. 1, 2 TDDSG in Verbindung mit §§ 5, 6 TDDSG, wonach eine Verarbeitung und Nutzung personenbezogener Daten zu anderen als den gesetzlich erlaubten Zwecken nur mit der Einwilligung des Nutzers stattfinden darf, nicht vor. Die Einwilligungserklärung erfolgt, sofern der Nutzer sie abgibt, nämlich rechtswirksam. In § 3 Abs. 3 TDDSG ist ausdrücklich niedergelegt, dass die Einwilligung unter den Voraussetzungen des § 4 Abs. 2 TDDSG elektronisch erklärt werden kann. Dessen Voraussetzungen sind erfüllt. Die Vertragsbestimmungen über die Verarbeitung personenbezogener Daten verstoßen auch nicht gegen das "Koppelungsverbot" gemäß § 3 Abs. 4 TDDSG. Danach ist es dem Diensteanbieter veboten, die Erbringung von Telediensten von einer Einwilligung des Nutzers in eine Verarbeitung oder Nutzung seiner Daten für andere als den gesetzlich erlaubten Zwecken abhängig zu machen, wenn dem Nutzer ein anderer Zugang zu diesen Telediensten nicht oder in nicht zumutbarer Weise möglich ist. Ein solcher Fall einer Monopolstellung liegt hier nicht vor.
Betroffener im Sinne des Datenschutzrechtes: LG München II, Urteil vom 20.9.2005, 2 S 3548/05
BDSG § 3
Die Tatsache, dass jemand Mandant einer Kanzlei ist, über die Daten gesammelt werden, macht diese Person alleine noch nicht zum "Betroffenen" im Sinne des § 3 BDSG.
Sperrung einer E-Mail-Adresse: OLG Bamberg, Urteil vom 12.5.2005, 1 U 143/04
BGB § 1004, BDSG § 35, TDDSG § 1
Aus §§ 823 Abs. 1, 1004 Abs. 1 BGB folgt ein Anspruch auf Unterlassung der Zusendung werbender E-Mails, wobei es nicht darauf ankommt, wie viele werbende Mails übersandt wurden. Gegenüber dem Versender der Werbe-Mails besteht nach §§ 35 Abs. 2 S. 2 Nr. 1 BDSG i.V.m. §§ 1 Abs. 2, 3, 5 TDDSG ein Anspruch auf Löschung der personenbezogenen Daten, soweit es sich - wie vorliegend - nicht um sog. Nutzungsdaten handelt, die für die Begründung, inhaltliche Ausgestaltung oder Änderung des Nutzungsverhältnisses erforderlich sind. Auch eine bloße E-Mail-Adresse ist ein personenbezogenes Datum i.S.d. § 1 Abs. 2 TDDSG i.V.m. § 3 Abs. 1 BDSG, da sie geeignet ist, einen Bezug zu der natürlichen Person herzustellen.
Auskunftserteilung nach dem Bundesdatenschutzgesetz: AG Geislingen, Urteil vom 20.4.2004, 3 C 2/04:
Aus dem Schutzbereich des Bundesdatenschutzgesetzes sind nur solche Daten ausgenommen, die ausschließlich zu publizistischen Zwecken verarbeitet werden.
Video-Überwachung vor Kaufhaus: AG Berlin-Mitte, Urteil vom 18.12.2003, 16 C 427/02
BGB §§ 823, 1004, BDSG § 6b
Unter den Anwendungsbereich des § 6b BDSG fallen auch öffentliche Straßen, Wege und Ladenpassagen. Ob eine Videoüberwachung durch einen Kaufhausbetreiber für den vor dem Kaufhaus befindlichen öffentlichen Straßenraum zulässig ist, ist aufgrund einer Abwägung der beteiligten Interessen, einerseits informationelles Selbstbestimmungsrecht der Passanten, andererseits Eigentumsrecht und Recht am eingerichteten und ausgeübten Gewerbebetrieb des Kaufhausbetreibers, zu entscheiden. Die Abwägung der beteiligten Interessen führt dazu, dass eine ununterbrochen in einem räumlichen Bereich stattfindende Videoüberwachung unzulässig ist, soweit die betroffenen Passanten der Kontrolle nicht ausweichen können.
Allgemeine Geschäftsbedingungen beim Pay-Back-System: Urteil LG München vom 1.2.2001, 12 O 13009/00
Eine Datenschutzklausel, durch die der Kunde sein Einverständnis mit der Verarbeitung und Nutzung seiner erhobenen Daten "im Rahmen der jeweils geltenden Datenschutzgesetze" zu Zwecken der Abwicklung des Programms sowie zu Werbe- und Marktforschungszwecken erteilt, ist unwirksam, da Umfang und Zweck der Verarbeitung und Nutzung der Daten sowie der nutzungsberechtigte Personenkreis nicht hinreichend bestimmt sind; nicht rechtskräftig; Aktenzeichen beim BGH: I ZR 90/01.
"toysmart.com": Verkauf einer Kundendatenbank Ist bei Liquidierung des Unternehmens unzulässig, wenn sich das Unternehmen selbst auf seiner Website verpflichtet hat, die Privatsphäre seiner Kunden zu wahren; Entscheidung der Federal Trade Commission (FTC) über Klage der US-Regierung;
Thomas Hoeren, Internetrecht, Online-Skriptum 4/2013,
Skriptum beim ITM (pdf, 3 MB)
Dietmar Jahnel, Jahrbuch Datenschutzrecht und E-Government 2008,
NWV-Verlag
Clemens Thiele, Bonitätslisten der Banken datenschutzwidrig! 6/06,
Artikel in lex:itec 03/06
Rainer Knyrim, Datenschutz in der Justiz. Die neuen datenschutzrechtlichen Bestimmungen in ZPO und GOG, ecolex 2006, 74
Dietmar Jahnel, Das Versenden von e-Mails aus datenschutzrechtlicher Sicht, 9/2005,
Artikel auf Internet4jurists.at
Dietmar Jahnel, OGH: Kein Schutz von Unternehmensdaten nach dem DSG? RdW 2005/244
Markus Lang, Die polizeirechtlichen Grundlagen für den Einsatz von Videoüberwachungstechnik im öffentlichen Raum, 8/2005,
Remo Sacherer, Datenschutzrechtliche Aspekte der Internetnutzung von Arbeitnehmern, RdW 2005, 173
Rainer Knyrim, Victoria Haidinger, RFID- Chips und Datenschutz,
Artikel in RdW 2005/2
Rainer Knyrim, Kann man sich zum Schutz seiner Kundendaten nicht mehr auf dasDSG 2000 berufen?
Artikel in ecolex 2004, 873
Rainer Knyrim, Datenschutz und Datenrettung beim Outsourcing,
Artikel in ecolex 2004, 413
Dietmar Jahnel, Datenschutzrecht in der Praxis, Verlag dbv, 9/2004
Michael Wächter, Datenübermittlung und "Global Connectivity": Gibt es aufgrund des EuGH-Urteils in der Rechtssache C-101/01 vom 6.11.2003 neue Implementierungsanforderungen für den Datenschutz? 9/2004,
Artikel auf JurPC
Dietmar Jahnel, Spamming, Cookies, Logfiles und Location Based Services im TKG 2003, 5/2004,
ÖJZ 2004/21
Dohr/Pollierer/Weiss, Datenschutzrecht, 2.Aufl., Stand 1.2.2004, Loseblattwerk, Manz
Gerhard Knerr, Die Namensnennung bei der Publikation gerichtlicher Entscheidungen, 1/2004,
Rainer Knyrim, Hosting von Websites (§16 ECG) ist Dienstleistung im datenschutz-rechtlichen Sinn,
Artikel in MR 1/04
Stephan Buschina, Datenschutz und die Vermarktung von Kommunikationsdienstleistungen, 12/2003,
Artikel auf rechtsprobleme.at
Thomas Streitberger, Privacy am Rechnerarbeitsplatz - Datenschutzrechtliche Probleme durch die Protokollierung von Log-Files und e-Mails am Arbeitsplatz; 9/2003,
Max.W. Mosing, Nach 9/11 - Die Zukunft des Datenschutzes, 9/2003,
Artikel auf it-law.at
Barbara Seidl, Data-Mining und Datenschutz, 9/2003,
Hans-Werner Moritz, Marie-Theres Tinnefeld, Der Datenschutz im Zeichen einer wachsenden Selbstregulierung, 28.7.2003,
So einfach werden Internetnutzer ausspioniert, 10.7.2003, Standard-Artikel
Günther Grohmann, Schadenersatz für den Bruch des Datengeheimnisses nach § 33 DSG 2000, 5/2003,
Rainer Knyrim, Praxishandbuch Datenschutzrecht, 2003, Manz-Verlag,
Buch-Präsentation beim Autor Joerg Heinrich, Datenwanderung, Personenbezogene Daten im Visier; 4/2003, Artikel bei iX
Christiane Schulzki-Haddouti, Digitale Spuren, 31.1.2003,
Rainer Knyrim, Datenübermittlung in Drittländer: Standardvertragsklauseln der Europäischen Kommission, 19.9.2002,
bei it-law.at
Eckehart Röscheisen, Spurensuche (was IP-Nummern offenbaren), 31.7.2002, Artikel bei telepolis
Rainer Knyrim, Checkliste: Zulässigkeit eines internationalen Datenverkehrs nachDSG 2000,
Artikel in ecolex 2002, 470
Volker Böhme-Neßler, Datenschutz in der
Informationsgesellschaft, Kommunikation und Recht 5/2002
Nicole Oberhuber, Die datenschutzrechtliche Behandlung von Cookies, 29.4.2002, Artikel
bei evolaris.net
Ralf Hansen, Newsletter und unlauterer Wettbewerb - Ein Versuch über wettbewerbsrechtliche Abmahnungen gegenüber Betreibern von E-Commerce-Angeboten mit datenschutzrechtlich möglicherweise unzulänglichen Newsletterangeboten - eine Fallstudie, April 2002, Artikel bei Jurawelt
Michael Trappitsch, Anmeldung einer Datenverarbeitung, 17.4.2002, Artikel
Michael Trappitsch, Kurzer Überblick über das Datenschutzgesetz, 21.3.2002, Artikel
Michael Haberler, Datenschutzrecht im Informationszeitalter, 21.3.2002, Artikel
Michael Trappitsch, Datenschutzgesetz – Theorie und Praxis, 21.3.2002, Artikel
Bettina Wurster: Persönlichkeitsrechtsverletzungen im Internet, 26.11.2001, Artikel bei JurPC
Dietmar Jahnel, Datensicherheitsmaßnahmen nach dem DSG 2000, 10/2001,
Markus Lang, PC, aber sicher! - Sicherheit beim Einsatz von Personalcomputern (Teil 1), 29.10.2001, Artikel bei JurPC
Nadja Kaeding, Mobile Business und Datenschutz, 6.10.2001, Artikel bei Graefe&Partner
Patrik Thienel, Versenden von sensiblen Daten,
Standard-Artikel, 8.2.2001
Dietmar Jahnel, Datenschutz im Internet. Rechtsgrundlagen, Cookies und Web-Logs, ecolex 2001, 84
Isabella Lechner, Biometrische Systeme zur Personenerkennung, Standard-Artikel, 8.2.2001
Marit Köhntopp/Kristian Köhntopp, Datenspuren im Internet, CR 4/2000, 248 ff
Rainer Ihde, Cookies, Aufsatz bei Gräfe&Partner
Ernst Brandl/Viktor Mayer-Schönberger, CPU-IDS, Cookies und Internet-Datenschutz ecolex 1999, 366, online bei
EU-Datenschutz-Richtlinie verabschiedet - Heise-Artikel
Leitfaden der Europaeischen Kommission zum Datenschutz
Datenschutz-Richtlinie, 1995, bei evolaris.net
Telekommunikations-Datenschutz-Richtlinie, 1997, bei evolaris.net
UN Datenschutz Richtlinie, 1990, bei evolaris.net Gadgets, Monitoring und andere Spionagemittel, ORF-Artikel,
Firewalls für Windows im Test
Anonym durchs Internet mit Java Anon Proxy
http://privacy.net/ Überprüfen Sie selbst, was sie an Spuren hinterlassen!
Land der Datenschutz-Newsletter
Bundeskanzleramt, Abt. Datenschutz, alles über DSK und DVR-Nummer

References: § 1
 Art. 5
 Art. 6
 § 33
 § 1
 § 31
 § 53
 § 53
 § 53
 § 16
 § 92
 § 93
 § 99
 § 92
 Art. 5
 § 93
 Art. 6
 § 92

§ 99
 § 16
 § 1328
 § 13
 OGH 
 § 6

§ 33
 OGH 

§ 6
 § 4
 § 1
 § 8
 § 6
 § 18
 § 6
 § 18
 § 6
 § 47
 § 105
 § 47
 § 105
 BGH 
 § 3
 § 3
 § 4
 § 3
 § 3
 § 3
 § 1004
 § 35
 § 1
 § 1
 § 3
 § 6
 § 6
 § 33