Source: http://m.bpb.de/gesellschaft/digitales/datenschutz/194385/datenschutzrecht-bestandsaufnahme-und-ausblick
Timestamp: 2019-04-23 12:31:58
Document Index: 121426725

Matched Legal Cases: ['§ 3', '§ 3', '§ 3', '§ 1', '§ 4', '§ 4', '§ 31', '§ 14', '§ 28', '§ 28', '§ 4', '§ 5', '§ 42', '§ 109', '§ 15', '§ 4', '§ 19', '§ 33', '§ 19', '§ 34', '§ 3', '§ 28', '§ 32', '§ 12', '§ 27', '§ 28', '§ 7', '§ 32', '§ 28', '§ 20', '§ 35', '§ 26', '§ 4', '§ 38', '§ 25', '§ 38', '§ 41', '§ 6', '§ 6', '§ 1']

Wir müssen über Gesetze reden! | bpb
Wir müssen über Gesetze reden!
Prof. Kai von Lewinski
Das Datenschutzrecht umfasst Gesetze, Vereinbarungen, Anordnungen und Gerichtsentscheidungen, die dem Schutz der Privatsphäre dienen, das Recht auf informationelle Selbstbestimmung ausgestalten oder den Umgang mit personenbezogenen Daten regeln. Dr. Kai von Lewinski gibt einen Überblick über die wichtigsten Grundsätze, Zielsetzungen und Bestandteile des deutschen Datenschutzrechts.
Paragrafen-Symbole an Türgriffen am Eingang zum Landgericht in Bonn. (© picture-alliance/dpa)
Warum Datenschutzgesetze? Diese Frage, die sich mancher in den Siebziger Jahren, aus denen die ersten Datenschutzgesetze stammen, noch stellte, ist heute leicht zu beantworten: Es geht um die Begrenzung von informationellen Asymmetrien – Wissen ist Macht. Der Staat kann mit seinen Bürokratien und durch Geheimdienste machtvoll auftreten, und private Datenmacht kann über Werbung und Kundenanalysen jedenfalls zu Geld gemacht werden[1]. Hier (und allgemein) es ist eine wichtige Aufgabe des Rechts, Machtungleichgewichte auszutarieren oder jedenfalls erträglich zu machen.
Speziell beim Datenschutz kommt hinzu, dass der Datenhunger von Staat und Unternehmen für den Einzelnen nicht recht spürbar ist. Jedenfalls ist die Schwelle, sich gegen informationelle Zudringlichkeiten zu wehren oder nur den Anbieter zu wechseln, oft zu hoch für ein Tätigwerden. Man spricht in diesem Zusammenhang von rationaler Apathie. Auch hier kann Recht helfen.
Grundkonzept des Datenschutzrechts
Das Datenschutzrecht setzt die verfassungsrechtlich geforderteinformationelle Selbstbestimmung durch ein Konzept der informationellen Fremdbestimmung um. Es enthält Regelungen, mittels derer die Verarbeitung eigener Daten bei einem Dritten beschränkt und unterbunden werden kann.
Allgemein und umgangssprachlich wird manchmal auch der Schutz vor Industriespionage, die Verweigerung zur Herausgabe von Behördendaten oder das Wegschließen des Tagesbuches vor den Eltern als Datenschutz bezeichnet. In der bürokratisch-spröden Terminologie des Datenschutzrechts bezieht sich das Gesetz nur auf personenbezogene Daten eines Betroffenen bei einer verantwortlichen Stelle mit einem Bezug zu Deutschland.
Betroffene (§ 3 Abs. 1 BDSG) sind alle natürlichen Personen, also neben Verbrauchern auch Freiberufler und Einzelunternehmer. Staatsangehörigkeit und Alter sind irrelevant.
Als personenbezogene Daten (§ 3 Abs. 1 BDSG) werden alle Angaben erfasst, die sich auf einen Betroffenen beziehen oder (mittels Zusatzwissens und eines vertretbaren Aufwands) auf ihn bezogen werden können. Problematisch sind personenbezogene Daten mit Mehrfachbezug (Gruppenmerkmale, die aber auch schon bei Angaben über Ehegatten[2] vorliegen).
Auch beschränkt sich das Datenschutzrecht auf die Datenverarbeitung durch verantwortliche Stellen (§ 3 Abs. 7 BDSG[http://www.gesetze-im-internet.de/bdsg_1990/__3.html]), worunter nur behördliche und kommerzielle Datenverarbeiter fallen. Private Datenverarbeitung (eigene Kalender und Listen, Korrespondenz) fallen nicht hierunter, Websites mit anderer Leute Daten aber schon[3].
Schließlich ist das (deutsche) Datenschutzrecht nicht weltweit anwendbar[4]. So wie wir nicht wollen, dass andere Staaten uns ihr Datenschutzrecht vorschreiben, so können wir uns nicht anmaßen, unser Datenschutzrecht auch in anderen Ländern angewendet zu sehen. Dies ist – ganz allgemein und unabhängig vom Datenschutzrecht – eine Frage des sogenannten Kollisionsrechts. Während die Frage des anwendbaren Datenschutzrechts bei der Verarbeitung der personenbezogenen Daten eines Deutschen in Deutschland durch eine deutsche verantwortliche Stelle unproblematisch ist, ist dies bei Fällen mit Auslandsberührung oft weniger eindeutig. Hier stellt das BDSG in § 1 Abs. 5 darauf ab, ob die Datenverarbeitungsanlage sich in Deutschland befindet; nur im Fall eines Verarbeiters mit (Geschäfts‑)Sitz in der EU ist das Recht des Sitzlandes einschlägig.
Grundprinzipien des Datenschutzrechts
Das (deutsche) Datenschutzrecht basiert auf dem formellen Regelungsprinzip des Verbots mit Erlaubnisvorbehalt, auf dem Prinzip der Zweckbindung und der Transparenz sowie materiell auf einem Ideal der Anonymität.
Das (formelle) Verbot mit Erlaubnisvorbehalt (§ 4 Abs. 1 BDSG) bedeutet, dass eine Verarbeitung von personenbezogenen Daten eines Betroffenen durch eine verantwortliche Stelle (zur Terminologie s.o.) rechtlich nur dann erlaubt ist, wenn entweder der Betroffene eingewilligt hat oder ein Gesetz es erlaubt.
Die Einwilligung muss informiert und ausdrücklich erfolgen, regelmäßig sogar in Schriftform (§ 4a BDSG). Dies kann auch für den Betroffenen lästig sein, wenn er zum Beispiel am Telefon einen Vertrag mit Datenverarbeitungsklausel abschließen will. Jedenfalls führt das verbreitete Einwilligungserfordernis zu Bleiwüsten an Kleingedrucktem. Das alternative Erfordernis gesetzlicher Gestattung hat dazu geführt, dass die Datenschutzgesetze sich wie Datenverarbeitungserlaubnisgesetze lesen. Das ist aber freilich nur die Folge davon, dass, wenn im Ausgangspunkt etwas verboten ist, es als strukturelle Ausnahme jeweils erlaubt sein muss.
Ein wichtiges materielles Prinzip des Datenschutzrechts ist die Zweckbindung. Das Zweckbindungsprinzip ist als allgemeiner Grundsatz (vgl. aber § 31 BDSG) nicht ausdrücklich im Gesetz niedergelegt, ergibt sich aber im Gegenschluss aus den ausdrücklichen Zweckänderungsvorschriften (z.B. § 14 Abs. 2, § 28 Abs. 2 BDSG). Danach dürfen Daten nur in dem Rahmen verwendet werden, der durch Einwilligung bzw. Gesetz abgesteckt wurde. Zweckänderungen und Zweckerweiterungen bedürfen deshalb einer (erneuten) Einwilligung oder einer gesetzlichen Zweckänderungsnorm. Das heißt, dass zum Beispiel ein Versandhändler, der dies vorab nicht vereinbart hat, die Adressdaten für Werbung nur verwenden darf, wenn der Betroffene einwilligt oder soweit das Gesetz (z.B. § 28 Abs. 3 Satz 2 BDSG) ihm Direktwerbung erlaubt.
Besonders wichtig ist dem Datenschutzrecht zur Verwirklichung informationeller Selbstbestimmung die Transparenz personenbezogener Datenverarbeitung. Die Informierungspflichten im Datenschutz reichen weit. So müssen Datenverarbeiter schon allgemein und unabhängig von einer Betroffenheit über sich und ihre Datenverarbeitungen informieren. Dies umfasst die an die Allgemeinheit gerichteten Datenschutzerklärungen und Privacy Policies ebenso wie die Verarbeitungsverzeichnisse (§ 4g Abs. 2 Satz 2 BDSG) und das Web-Impressum (§ 5 TMG), mittels derer man den Verarbeiter und seinen Geschäftsgegenstand bzw. die Verwaltungstätigkeit jedenfalls grob einschätzen kann. Auch die seit einiger Zeit bestehende Pflicht zur (öffentlichen) Informierung bei sogenannten Datenpannen (§ 42a BDSG; § 109a TKG; § 15a TMG) ist hierfür hilfreich. Auf dieser Grundlage mussten in der letzten Zeit Spielkonsolenbetreiber und Mobilfunkunternehmen, die Opfer erfolgreicher Hacking-Attacken geworden waren, dies ihren Kunden und der Öffentlichkeit mitteilen.
Wenn Daten beim Betroffenen selbst erhoben werden, bestehen Unterrichtungspflichten (§ 4 Abs. 3 BDSG). Die verantwortliche Stelle hat anlässlich der Datenerhebung über die wesentlichen Umstände zu informieren. Wenn die Daten nicht beim Betroffenen erhoben werden, kann er bei dieser Gelegenheit auch nicht unterrichtet werden. An die Stelle der Unterrichtung tritt die Benachrichtigung (§ 19a, § 33 BDSG). Die Benachrichtigungspflicht kennt aber eine lange Reihe von Ausnahmen, die auf Bagatellsachverhalte und auf Geheimnisschutz Rücksicht nehmen. Ob die Ausnahmen zu weit gefasst sind, wird rechtspolitisch diskutiert.
Jedenfalls können Defizite bei (vorgängiger) Unterrichtung und (nachgängiger) Benachrichtigung durch ein Auskunftsverlangen (§ 19, § 34 BDSG) kompensiert werden. Aber auch die Auskunftspflicht kennt einige Ausnahmetatbestände, so dass jedenfalls nicht jeder Datenverarbeitung und jedem Datenschutzverstoß auf den Grund gegangen werden kann.
Von seinem Anonymitätsideal ausgehend wünscht das Datenschutzrecht Datenvermeidung und Datensparsamkeit (§ 3a BDSG)[5]. Allerdings handelt es sich dabei nicht um unmittelbar anwendbares Recht, kann aber über den (Um‑)Weg der Auslegung anderer Datenschutznormen gleichwohl indirekte Wirkung entfalten.
Struktur der Datenschutzgesetze
Dabei ist das Datenschutzrecht in besonderer Weise unübersichtlich. Es ist horizontal und vertikal gegliedert, zudem auch thematisch verteilt. Teilweise kann nur ein Fachmann das für den jeweiligen Fall anwendbare Recht finden. So ist die Frage, ob deutsche Landesdatenschutzbeauftragte für den Datenschutz bei Facebooks irischer Tochtergesellschaft zuständig sind[6], ebenso schwierig zu beantworten wie die nach der Rechtsgrundlage für die Führung von Polizeiakten über aus der Haft entlassenen Terroristen.
Das Bundesdatenschutzgesetz (BDSG) ist zwar in gewisser Weise ein Grund-Gesetz des deutschen Datenschutzes, neben dem der Bund auch die Länder und zunehmend die Europäische Union weitere Regelungen erlassen haben. Vereinfacht kann man sagen, dass die Länder für ihre Verwaltungsbehörden zuständig sind und der Bund für die Bundesbehörden sowie den Bereich der Wirtschaft. Die EU hat zwar die allgemeine EG-Datenschutzrichtlinie erlassen, die aber nur mittels mitgliedstaatlicher Umsetzungsrechtsakte, für uns also den deutschen Datenschutzgesetzen, gilt. Die angekündigte EU-Datenschutz-Grundverordnung wird dies alles grundlegend ändern, soweit sie das bisherige europäische und das mitgliedstaatliche Recht ersetzt.
Das BDSG regelt zudem auch nicht einmal das gesamte Datenschutzrecht des Bundes, sondern wird durch viele bereichsspezifische Regelungen ergänzt; gleiches gilt übrigens auch für die Datenschutzgesetze der Länder. So sind der Datenschutz bei Sicherheitsbehörden in der Strafprozessordnung (StPO) und den Polizei- und Nachrichtendienstgesetzen geregelt, der Internetdatenschutz (hauptsächlich) im Telekommunikationsgesetz (TKG) und im Telemediengesetz (TMG). Das Werbedatenschutzrecht dagegen ist Teil des BDSG (§ 28 Abs. 3 BDSG). Der Beschäftigtendatenschutz ist gesetzlich nur rudimentär in § 32 BDSG geregelt und beruht deshalb vorwiegend auf Richterrecht. Auch zieht sich durch das BDSG noch die Unterscheidung zwischen dem öffentlichen Bereich ([Bundes‑]Verwaltung; §§ 12 ff. BDSG) und dem so genannten nicht-öffentlichen Bereich (Privatwirtschaft; § 27 ff. BDSG); Grenzfälle sind Stadtwerke und Sparkassen. Insoweit ist das BDSG zwei Gesetze in einem, die allerdings viele Gemeinsamkeiten haben.
Insgesamt hat man es oft mit Gemengelagen zu tun, in denen Normen aus mehreren Gesetzen zusammengelesen werden müssen: So bestimmt sich die Rechtmäßigkeit von Direktmarketing aus der Zusammenschau der Datenschutzregeln des BDSG (§ 28 Abs. 3 BDSG) und des Belästigungsschutzes nach Wettbewerbsrecht (§ 7 UWG). Im Beschäftigtendatenschutz gelten § 32 BDSG, Richterrecht und die betriebsindividuell ausgehandelten Betriebsvereinbarungen zwischen Arbeitgeber und Betriebsrat. Die Datenverarbeitung der Polizei (Personenkontrollen, Videoüberwachung, Lauschangriff) richtet sich für die Fahndung nach Straftätern nach der Strafprozessordnung (StPO) des Bundes, bei der Gefahrenabwehr (Polizei als Freund und Helfer) nach den Polizeigesetzen der Länder tätig. Die deutschen Nachrichtendienste arbeiten nach jeweils spezifischen Vorschriften (Gesetz über den Bundesnachrichtendienst, BNDG Bundesverfassungsschutzgesetz, BVerfSchG; Gesetz über den Militärischen Abschirmdienst, MADG).
Betroffenenrechte und Durchsetzung von Datenschutz
Problematisch bei der Durchsetzung datenschutzrechtlicher Ansprüche ist neben der Unübersichtlichkeit der verschiedenen Gesetze, dass die meisten Datenschutzverstöße für den Einzelnen regelmäßig weit davon entfernt sind, so störend oder eingreifend zu sein, dass es sich (wirtschaftlich oder auch nur emotional) lohnt, dagegen vorzugehen. Man nennt dieses Phänomen rationale Apathie[7]. Ebenfalls problematisch für die individuelle Durchsetzung des Datenschutzes ist der Umstand, dass ein Eingriff nicht fühlbar ist, deshalb nur schwer und oft erst verzögert bemerkt werden kann. Beiden Spezifika des Datenschutzes versucht das Datenschutzrecht entgegenzuwirken, nämlich durch die oben beschriebenen umfangreichen Informierungs- und Transparenzpflichten der verantwortlichen Stelle gegenüber dem Betroffenen sowie durch institutionelle Hilfestellung bei der Durchsetzung datenschutzrechtlicher Ansprüche. Den Betroffenen soll über die Hürde geholfen werden, ihre Datenschutzrechte in die Hand zu nehmen und durchzusetzen. Wegen Werbepost wird kaum jemand den Gang zu Gericht unternehmen, ein Anruf beim Datenschutzbeauftragten aber vielleicht doch machen.
Eigene Rechtsdurchsetzung
Wie bei allen Angelegenheiten ist es zunächst die Sache jedes Einzelnen, sich um die Wahrung seiner Rechte zu kümmern. Hier kann man (noch im Vorhof des Rechts) zunächst den Verarbeiter um Unterlassungen und Löschungen bitten, man kann die eingeräumten Widerspruchsrechte ausüben (insb. den Werbewiderspruch nach § 28 Abs. 4 BDSG) oder Berichtigungs- und Löschungsansprüche (§ 20, § 35 BDSG) geltend machen[8], notfalls mit Hilfe eines Rechtsanwalts und auch vor Gericht. Hier spielt die Datenschutzaufklärung im Sinne einer Selbstermächtigung eine wichtige Rolle. Neben Schule und dem (öffentlichrechtlichen) Rundfunk sowie etwa der Bundeszentrale für politische Bildung ist es Aufgabe der Datenschutzbeauftragten (§ 26 Abs. 1 S. 2 Var. 2 BDSG) und der Stiftung Datenschutz[9], das Datenschutzbewusstsein zu heben.
Wegen des Phänomens der rationalen Apathie, stößt die Selbstwahrnehmung der eigenen Interessen an seine Grenzen. Wie auch in anderen Bereichen des Verbraucherschutzes wird die Durchsetzung des Datenschutzes deshalb institutionell befördert und erleichtert.
Hier sind zunächst die betrieblichen und behördlichen Beauftragten für den Datenschutz (bDSB) zu nennen (§ 4f BDSG). Sie sind einerseits als Teil der verantwortlichen Stelle mit den Umständen der Datenverarbeitung vertraut. Andererseits sind sie mit Unabhängigkeit ausgestattet, so dass sie auch Anlaufstelle für Beschwerden sein können.
Daneben existieren Datenschutzbehörden[10]. In allen Bundesländern (bis auf Bayern[11]) sind die Landesdatenschutzbeauftragten für die Datenschutzkontrolle der Verwaltung und die Datenschutzaufsicht über die Wirtschaft (§ 38 Abs. 1 BDSG) einheitlich zuständig. Sie können den Datenschutz gegenüber Behörden durch Beanstandungen (vgl. § 25 BDSG) und gegenüber Unternehmen mit Verfügungen (§ 38 Abs. 5 BDSG) und Bußgeldern (§ 41 BDSG) durchsetzen. Ein Anspruch auf das Tätigwerden der staatlichen Datenschutzkontrollstellen besteht aber nicht.
Bei Datenschutzverstößen durch Unternehmen kann daneben noch das Wettbewerbsrecht genutzt werden, um Hilfe Dritter zu aktivieren. Denn ein Datenschutzverstoß kann zugleich eine unlautere Wettbewerbshandlung sein, die es den Verbraucherschutzverbänden, vor allem aber Konkurrenten ermöglicht, den Verletzer abzumahnen. Allerdings kann man hier als Betroffener, wie auch gegenüber den Datenschutzbehörden, ein Vorgehen lediglich anregen, hat aber keinen Anspruch auf ein Einschreiten.
Zukunft des Datenschutzrechts
Ist Technik immer schneller als Recht?
Recht ist die Nachhut des Fortschritts. Dieser beliebte Spruch von und über Juristen gilt für das Datenschutzrecht nur eingeschränkt. Denn in geschichtlicher Perspektive zeichnet sich der Datenschutz dadurch aus, dass für dieses schon 1970 bzw. 1977 die gesetzliche Regelung geschaffen wurde, bevor die Informationsverarbeitung in das allgemeine Bewusstsein gerückt war und die Informationsgesellschaft begann, Wirklichkeit zu werden. Auch hat sich das BDSG – mit Ausnahme von § 6a bis § 6c BDSG – um eine technikneutrale Sprache und Regelungsmethode bemüht.
Als allerdings wenig zukunftstauglich und entwicklungsoffen hat sich das Regelungsprinzip des Verbots mit Erlaubnisvorbehalt erwiesen. Bewusst ist dieser defensive Regelungsansatz als Technikverbot konzipiert. Je mehr die Gesellschaft in der Informationsgesellschaft ankommt, desto näher liegt es, das Verbot mit Erlaubnisvorbehalt durch eine Generalklausel (Treu und Glauben) zu ersetzen. (Personenbezogene) Datenverarbeitung darf selbstverständlich nicht im rechtsfreien Raum stattfinden, aber sie muss vom Gesetz nicht pauschal erst einmal verboten sein. Dieser risikoaverse Ansatz mag begünstigt haben, dass Facebook und Google sich nicht in Deutschland oder Europa gebildet haben und nun (räumlich) ganz außerhalb unserer Gesetzgebung operieren.
Europäisierung des Datenschutzrechts
Für den Datenschutz gilt von europäischer Ebene die EG-Datenschutzrichtlinie, die bald durch eine EU-Datenschutz-Grundverordnung (aufgerufen am 4.11.2014) ersetzt werden soll. Noch mehr Gesetze? Dieser Stoßseufzer in Richtung Europa ist nicht auf den Datenschutz beschränkt. Europäisches Datenschutzrecht liegt aber in der Logik des Binnenmarktes und ist bei so etwas Beweglichem wie Daten sinnvollerweise auf einer oberen, gemeinsamen Ebene zu regeln.
Datenschutz als eine hochgradig durchnormierte Materie würde den Binnenmarkt, auf dem die EU konzeptionell beruht, behindern, wenn er den Mitgliedstaaten überlassen bliebe. Wenn jedes Unternehmen in Europa sich auf 28 unterschiedliche Datenschutzregime einstellen müsste, würden viele (grenzüberschreitende) Angebote unterbleiben. Gerade in kleineren Mitgliedstaaten würde dann manches Angebot v.a. aus dem Internet nicht erreichbar sein – ein Phänomen, das wir auch in Deutschland in Gestalt von wegen des Streits mit der GEMA gesperrt Internet-Musikvideos kennen[12].
Die europäische Vereinheitlichung des Datenschutzrechts wird oft mit der Befürchtung der Absenkung des Datenschutzniveaus verbunden. Dies ist nicht unplausibel, da eine Rechtsvereinheitlichung notwendigerweise nationale Besonderheiten beseitigt. Und zu den Besonderheiten gehören immer auch Regelungen, die einen besonders hohen oder einen besonders geringen Schutz bewirkt haben. Auch kann es durchaus sein, dass bei einer Vereinheitlichung des europäischen Datenschutzniveaus die bislang besonders datenschutzstarken Mitgliedstaaten der Europäischen Union als Preis für die Vereinheitlichung eine Absenkung des Datenschutzniveaus hinnehmen müssen. Während dies also der europäischen Einigung immanent ist, bestehen daneben aber auch (grundsätzlich legitime) Lobby-Bestrebungen, die Reformphase des europäischen Datenschutzes zu nutzen, um den Interessen und Gesichtspunkten ihrer Auftraggeber Gehör zu verschaffen.
Perspektivisch ist eine Hochzonung des Datenschutzrechts auch über die Mitgliedstaaten hinaus wegen der weltweiten Übertragbarkeit der Daten sinnvoll[13]. Ein jeweils nur auf einen Staat begrenztes Datenschutzrecht ist durch Vertrags- und Netzwerkgestaltungen leicht zu umgehen. Am sinnvollsten wäre deshalb ein globales Datenschutzrecht, was aber einstweilen Illusion bleibt. Dies nicht nur wegen unterschiedlicher gesellschaftlicher Datenschutzvorstellungen diesseits und jenseits des Atlantiks, sondern auch, weil der Export westlicher Privatheitsvorstellungen in alle Welt einen kulturimperialistischen Zug hätte.
Schmidt, Jan-Hinrik/Weichert, Thilo (Hrsg.), Datenschutz (Schriftenreihe der bpb Nr. 1190), 2012.
Tinnefeld, Marie-Theres/Buchner, Benedict/Petri, Thomas, Einführung in das Datenschutzrecht, 5. Aufl. München 2013.
Woertge, Hans-Georg, Die Prinzipien des Datenschutzrechts und ihre Realisierung im geltenden Recht, Heidelberg 1984.
Autor: Prof. Kai von Lewinski für bpb.de
Virtuelles Datenschutzbüro, Adresshandel, (zul. abgerufen am 4.11.2014).
Dammann, Ulrich, in: Simitis, Spiros (Hrsg.), Bundesdatenschutzgesetz, 7. Aufl. 2011, § 1 BDSG, Rn. 41.
Europäischer Gerichtshof, Urteil vom 6.11.2003, Az. C-101/01 – Lindqvist (, zuletzt abgerufen am 4.11.2014).
Datenschutzwiki bfdi.bund.de, zuletzt aufgerufen am 4.11.2014.
Virtuelles Datenschutzbüro, Anonymisierung und Pseudonymisierung i.S.d. BDSG, (zuletzt aufgerufen am 4.11.2014)
Dazu Unabhängiges Landesdatenschutzzentrum Schleswig-Holstein ULD (als Verfahrensbeteiligte), Pressemitteilung v. 24.4.2013 (zuletzt aufgerufen am 4.11.2014
Kai v. Lewinski, Zwischen rationaler Apathie und rationaler Hysterie – Die Durchsetzung des Datenschutzes Privacy in Germany (PinG),Heft 1, 2013, S. 12–17. (zuletzt aufgerufen am 4.11.2014 | Bezahlinhalt).
Heidrich, Joerg, Freundliche Folterfragebögen, c't 21/2013, S. 120ff., (zuletzt aufgerufen am 4.11.2014 | Bezahlinhalt).
www.StiftungDatenschutz.org (zuletzt aufgerufen am 4.11.2014
www.Datenschutz.de (zuletzt aufgerufen am 4.11.2014)
www.lda.bayern.de (zuletzt aufgerufen am 4.11.2014)
Warum in Deutschland die meisten Musikvideos gesperrt sind, Süddeutsche Zeitung online v. 28.1.2013, zuletzt abgerufen am 4.11.2014.
S. zur Koordinierung der nationalen Datenschutzbehörden den Zusammenschluss im Global Privacy Enforcement Network (zuletzt aufgerufen am 4.11.2014)
Paragrafen-Symbole an Türgriffen am Eingang zum Landgericht in Bonn.
Kai von Lewinski hat einen Lehrstuhl für Öffentliches Recht, Medien- und Informationsrecht an der Universität Passau. 2013 hat er ein Semester am Humboldt Institut für Internet und Gesellschaft geforscht. Davor war er Rechtsanwalt in einer internationalen Wirtschaftskanzlei, seine Arbeitsschwerpunkte waren Datenschutz- und Softwarelizenzrecht.