Source: http://docplayer.org/294686-Der-bayerische-landesbeauftragte-fuer-den-datenschutz-informiert-die-oeffentlichkeit-25-taetigkeitsbericht.html
Timestamp: 2017-09-23 10:01:01
Document Index: 116458147

Matched Legal Cases: ['Art. 16', 'Art. 8', 'Art. 16', 'Art. 8', 'Art. 16', 'Art. 8', 'Art. 294', 'Art. 5']

Der Bayerische Landesbeauftragte für den Datenschutz informiert die Öffentlichkeit 25. Tätigkeitsbericht - PDF
Der Bayerische Landesbeauftragte für den Datenschutz informiert die Öffentlichkeit 25. Tätigkeitsbericht
Download "Der Bayerische Landesbeauftragte für den Datenschutz informiert die Öffentlichkeit 25. Tätigkeitsbericht"
1 Der Bayerische Landesbeauftragte für den Datenschutz informiert die Öffentlichkeit 25. Tätigkeitsbericht Berichtzeitraum 2011/2012
2 25. Tätigkeitsbericht des Landesbeauftragten für den Datenschutz (gemäß Artikel 30 Absatz 5 des Bayerischen Datenschutzgesetzes) Berichtzeitraum: 2011/2012 Veröffentlichungsdatum:
3 Inhaltsverzeichnis 1 Überblick Reform des Europäischen Datenschutzrechtsrahmens Cloud Computing-Initiative der EU-Kommission Die Bayerische Verwaltung im Zeitalter des Social Web Soziale Netzwerke: Mehr Chancen mehr Risiken Was öffentliche Stellen zu beachten haben Bundesgesetzgebung Bekämpfung des Rechtsextremismus Gesetz zur Fortentwicklung des Meldewesens Öffentlichkeitsarbeit Schlussbemerkung IuK-Technik (IKT) und Organisation Grundsatzthemen IPv Externe Zugriffe auf dienstliche s Mobile Geräte Telearbeit...32 Inhaltsverzeichnis Systeme zur Verkehrsplanung / -steuerung und Autofahrerinformation Auftragsdatenverarbeitung durch die staatlichen Rechenzentren Prüfungen, Beanstandungen und Beratungen Prüfungen Beanstandungen Nutzung externer Wäschereidienstleistungen in Krankenhäusern und Pflegeeinrichtungen Teleradiologie mit externem Dienstleister Telearbeit im Krankenhaus und mit Sozialdaten IT-Abschottung von Statistikstellen Bestellung eines externen Datenschutzbeauftragten Einsatz von Praktikanten Fortentwicklungen aus vorangegangenen Tätigkeitsberichten Zentralisierung des Active Directory Betriebs Google Analytics Benutzerstatistiken von Internetauftritten Cloud Computing Sparen an der falschen Stelle Datenschutzrechtliche Vorgaben für den Internetauftritt staatlicher Behörden...54 Seite 43 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
4 2.3.6 Bereitstellung von Zugangsmöglichkeiten zu medizinischen Netzen, KV- Ident, KV-Safenet, Zuweiserportale Projekt elektronische Fallakte (efa) beim Städtischen Klinikum München GmbH TIZIAN Polizei Vorratsdatenspeicherung Quellen-Telekommunikationsüberwachung Datenschutz und Versammlungsrecht Verfassungsbeschwerde gegen das Bayerische Versammlungsgesetz Übersichtsaufnahmen von Versammlungen zum Zwecke der polizeilichen Aus- und Fortbildung Datenerhebungen im Zusammenhang mit Versammlungen Einsatz von Videotechnik Öffentlich geförderte Forschungsprojekte zur Entdeckung abweichenden Verhaltens im öffentlichen Raum Videoüberwachung öffentlicher Straßen und Plätze Polizeiliche Videobeobachtung und -aufzeichnung in Fußballstadien Videoüberwachung von Polizeidienststellen Vorortprüfung bei einer Hundertschaft der Bereitschaftspolizei zum Thema Videoaufzeichnungen Videoaufzeichnung an Notrufsäulen...67 Inhaltsverzeichnis 3.5 Speicherungen in polizeilichen Dateien Freitextrecherche im Integrationsverfahren der Bayerischen Polizei (IGVP) Kurzsachverhalte im Integrationsverfahren der Bayerischen Polizei (IGVP) Bayernweite Recherchen im Integrationsverfahren der Bayerischen Polizei (IGVP) Speicherung eines ausländischen Touristen in der Staatsschutzdatei Erkennungsdienstliche Behandlungen Prüfung retrograder DNA-Speicherungen Abfragen aus dem Zentralen Verkehrsinformationssystem ZEVIS Unerlaubte Datenabfragen Datenübermittlung von der Polizei an Dritte Sicherheitsüberprüfungen von Abschlepppersonal Akkreditierungsverfahren bei Großveranstaltungen Lagebericht der Bayerischen Polizei Interpolfahndung wegen angeblicher Kindesentführung Benachrichtigungspflicht nach verdeckten polizeilichen Maßnahmen...83 Seite 4 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
5 Benachrichtigungspflicht nach einer präventivpolizeilichen Telekommunikationsüberwachung Benachrichtigungspflicht nach einer polizeilichen Beobachtung Nutzung sozialer Netzwerke für polizeiliche Zwecke Übergabe digitaler Datenträger durch Fundämter an die Polizei zu Testzwecken Pressearbeit der Polizei Broschüre Datenschutz bei der Polizei Verfassungsschutz Allgemeines Neues Dokumentenmanagementsystem beim LfV Speicherungen von Versammlungsteilnehmern Überprüfung einzelner Auskunftserteilungen Justiz Gesetze und Rechtsverordnungen Allgemeines Schaffung einer Rechtsgrundlage zur Übermittlung von Grundbuchdaten zur Entwicklung eines Migrationprogramms...95 Inhaltsverzeichnis Staatsvertrag und Verwaltungsvereinbarung zur elektronischen Aufenthaltsüberwachung Online-Zugriffe auf das elektronische Schuldnerverzeichnis Aus der Justiz allgemein In welchem Umfang können Gerichte Akten an Sachverständige weitergeben? Anonymisierung bei der Veröffentlichung von Gerichtsentscheidungen Nennung des Namens eines Angeklagten auf einem Parkverbotsschild Strafverfolgung Quellen-Telekommunikationsüberwachung Entschließung zur Funkzellenabfrage Entschließung zur europäischen Ermittlungsanordnung Überprüfung von Alias -Personalien in Strafbefehlsanträgen Inhalt der Benachrichtigung im Anschluss an eine Telekommunikationsüberwachung Straf- und Maßregelvollzug Keine Sichtkontrolle von Verteidigerpost in Abwesenheit des Gefangenen Ermittlung des tatsächlichen Wohnortes bei heimatnaher Verlegung von Gefangenen Unzulässige Brieföffnungen in Justizvollzugsanstalten Seite 45 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
6 5.4.4 Versand von Gerichtsschreiben an Gefangene in Sammelumschlägen Keine inhaltliche Kontrolle von Anwaltspost bei Abschiebungshäftlingen Abschließbare Schränke in Gemeinschaftshafträumen Speicherung von eingestellten Straf- und Ermittlungsverfahren in der EDV der Justizvollzugsanstalten Lichtbildausweise für Gefangene Übersendung von Lichtbildern in Ordnungswidrigkeitenverfahren grundsätzlich nur mit geschwärztem Beifahrer Kommunales Veröffentlichung von kommunalen Amtsblättern im Internet Bereitstellung von Sitzungsunterlagen und -niederschriften im elektronischen Ratsinformationssystem der Kommune zum Abruf durch die Gemeinderatsmitglieder Keine Veröffentlichung von Schreiben mit personenbezogenem Inhalt auf der Homepage der Gemeinde Auskunftsanspruch der Presse über nichtöffentliche Sitzungen des Gemeinderats? Anhörung des von einer Dienstaufsichtsbeschwerde Betroffenen Herausgabe von Wahlvorschlägen zurückliegender Gemeinde- und Landkreiswahlen durch die Gemeindeverwaltung Verwendung von Luftbildaufnahmen zur Ermittlung der Veranlagungsgrundlagen für Abwassergebühren Inhaltsverzeichnis 6.8 Datenschutzrechtliche Anforderungen bei Bürgerbefragungen Ein besonderes Jubiläum Fundsachen mit digitalen Inhalten Weitergabe von Melderegisterdaten Minderjähriger an einen Adressbuchverlag Weitergabe von Melderegisterdaten im Zusammenhang mit der Wahl eines Ausländerbeirats Gesundheitswesen Klinische Krebsregister Orientierungshilfe Krankenhausinformationssysteme Privatgerät im Krankenhaus Aufbewahrung psychiatrischer Patientenunterlagen Krankenhausseelsorge Hygieneverordnung für medizinische Einrichtungen Anzeigepflicht für die Betreiber von Einrichtungen für ambulantes Operieren Seite 46 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
7 7.8 Impfausweise und Impfbescheinigungen von Schülern Videoüberwachung in Schwangerenberatungsstelle Bekanntgabe eines amtsärztlichen Gutachtens Approbationsvoraussetzungen bei Auslandsaufenthalt Forschungsprojekt Evaluation forensisch-psychiatrischer Ambulanzen Sozialwesen ELENA-Verfahren gestoppt Hausbesuch bei Neugeborenen Elternbrief Kindergärten, andere Kindertagseinrichtungen und Tagespflege (BayKiBiG) Verbundverfahren Jugendamt und Bezirkssozialarbeit Formulare in der Sozialhilfe Erweitertes Führungszeugnis Personalausweiskopie Callcenter Inhaltsverzeichnis 8.11 Krankengeldfallmanagement Arbeitsunfähigkeitsbescheinigung und Blutzuckertagebuch Mitteilungspflichten des Medizinischen Dienstes der Krankenversicherung Übermittlung von Daten durch Beistand Übermittlung von Daten durch Jugendgerichtshilfe Übermittlung von Versichertendaten durch Krankenkasse Übermittlung von Daten durch Unfallversicherungsträger Übermittlung von Daten durch Bezirk Steuer- und Finanzverwaltung ELStAM Elektronische Lohnsteuerabzugsmerkmale Bürger-Informationsschreiben nicht immer fehlerfrei Datensperrung zur Abwehr von Neugierabfragen Outsourcing im Lohnsteuerverfahren Lohnsteuerkarten Lohnsteuerbescheinigungen Datenschutzrechtliche Freigabe des Verfahrens ELSTER Seite 47 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
8 9.4 Erhebung der Kirchensteuer auf Kapitalerträge Fahrtenbuchauflage bei Berufsgeheimnisträgern Fehlzustellung von Steuerbelegen Telefonische Auskunftserteilung in Steuerangelegenheiten Protokollierung des Abrufs von Steuerdaten Elektronisches Abrufverfahren ZEUGE Erhebung der Kurtaxe in bayerischen Staatsbädern Umfang der zu übermittelnden personenbezogenen Daten Nutzungsbeschränkung der übermittelten personenbezogenen Daten Frist zur Aufbewahrung der Meldeunterlagen Schulen Endlich: Datenschutzbeauftragte an staatlichen Schulen Amtliches Schulverwaltungsprogramm (ASV) Landesweite datenschutzrechtliche Freigabe von ASV Umfang des verpflichtenden Einsatzes von ASV Ausblick Veröffentlichung von personenbezogenen Daten durch Schulen Muster-Einwilligungserklärungen Einzelfragen zu den Muster-Einwilligungserklärungen Inhaltsverzeichnis 10.4 Kein Einsatz von Plagiatssoftware an Schulen Videoüberwachung der Schultoilette Broschüre Datenschutz in der Schule Personalwesen Neuerungen im Bayerischen Beihilferecht Pseudonymisierung im Psychotherapie-Begutachtungsverfahren Datenschutzkonforme Geltendmachung von Arzneimittelrabatten Datenschutz beim Betrieblichen Eingliederungsmanagement Datenschutzrechtliche Anforderungen BEM-Leitfaden und BEM-Informationsfaltblatt des Staatsministeriums der Finanzen Nochmals: Geltendmachung von Regressansprüchen nach einem Dienstunfall Akteneinsichtsrecht eines Beamten beim Gesundheitsamt Übermittlung von Personalratswahlergebnissen an Gewerkschaften Weitergabe einer Schwerbehindertenliste an den Personalrat Seite 48 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
9 11.7 Speicherung von Beschäftigtendaten beim Personalrat Erkenntnisse aus Prüfungen städtischer Personalämter Stellung des behördlichen Datenschutzbeauftragten Aufbewahrung von Bewerbungsunterlagen Umgang mit (elektronischen) Zeiterfassungsdaten Beachtung der Mitbestimmungsrechte des Personalrats Personalaktenführung Umgang mit Beihilfeunterlagen Veröffentlichung personenbezogener Beschäftigtendaten im Internet Weitergabe von Bewerberdaten an kommunale Entscheidungsgremien Ausblick Spezielle datenschutzrechtliche Themen Gesetz zur Optimierung der Geldwäscheprävention Verlängerung von Ausschreibungen im Schengener Informationssystem Nochmals: Einheitlicher Ansprechpartner nach der EU- Dienstleistungsrichtlinie Volkszählung Keine grundlegenden datenschutzrechtlichen Mängel Statistikgeheimnis und Rückspielverbot Informationsfaltblatt Zensus 2011 des Landesbeauftragten Inhaltsverzeichnis Erhebungsstellen und Erhebungsbeauftragte Vernichtung der Erhebungsbögen und Löschung der Hilfsmerkmale Ausblick Statistische Erhebungen und informationelle Selbstbestimmung Namensangabe auf dem bayerischen Parkausweis für Schwerbehinderte Datenweitergabe von der Fahrerlaubnisbehörde an die Waffenbehörde Übermittlung von Fahrzeug- und Halterdaten an einen Rechtsanwalt Datenschutzrechtliche Unterschiede zwischen Veröffentlichungen in Planfeststellungsverfahren und der öffentlichen Bekanntmachung von Enteignungsverfahren nach dem Bayerischen Gesetz über die entschädigungspflichtige Enteignung Veröffentlichungen in Planfeststellungsverfahren Öffentliche Bekanntmachung von Enteignungsverfahren nach dem BayEG Information der Betroffenen über eine mit Mitteln des Verwaltungszwangs erfolgte Öffnung ihrer Wohnungstür Veröffentlichungen von Agrarsubventionen Datenschutzkommission Seite 49 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
10 Anlage 1: Entschließung der 81. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 16./ Beschäftigtendatenschutz stärken statt abbauen Anlage 2: Entschließung der 81. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 16./ Keine Vorratsspeicherung und Rasterung von Flugpassagierdaten! Anlage 3: Beschluss der 81. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 16./ Datenschutzkonforme Gestaltung und Nutzung von Krankenhausinformationssystemen Anlage 4: Entschließung der 81. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 16./ Gravierende Defizite bei der Umsetzung des SWIFT-Abkommens dringender Handlungsbedarf auf nationaler und europäischer Ebene Anlage 5: Entschließung der 82. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 28./ Datenschutz als Bildungsaufgabe Anlage 6: Entschließung der 82. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 28./ Vorbeugender Grundrechtsschutz ist Aufgabe der Datenschutzbeauftragten! Inhaltsverzeichnis Anlage 7: Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom Patientenrechte müssen umfassend gestärkt werden Datenschutzkonferenz fordert die Bundesregierung zur Überarbeitung des vorgelegten Gesetzentwurfs auf! Anlage 8: Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom Orientierungshilfe zum datenschutzgerechten Smart Metering Anlage 9: Entschließung der 84. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 07./ Europäische Datenschutzreform konstruktiv und zügig voranbringen! Anlage 10: Entschließung der 84. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 07./ Übermittlung von Meldedaten an öffentlich-rechtliche Religionsgemeinschaften und die GEZ rechtskonform gestalten Anlage 11: Entschließung der 84. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 07./ Einführung von IPv6 Hinweise für Provider im Privatkundengeschäft und Hersteller Abkürzungsverzeichnis Stichwortverzeichnis Seite 410 Der Bayerische Landesbeauftragte für für den Datenschutz, Tätigkeitsbericht 2012
11 1 Überblick Soweit in den nachfolgenden Ausführungen Bezeichnungen von Personen im Maskulinum verwendet werden, wird diese Form verallgemeinernd verwendet und bezieht sich auf beide Geschlechter. 1.1 Reform des Europäischen Datenschutzrechtsrahmens 1 Der Friedensnobelpreis des Jahres 2012 wurde an die Europäische Union (EU) vergeben. Über sechs Jahrzehnte hinweg haben die Union und ihre Vorgänger den Frieden und die Versöhnung der Völker in Europa gefördert (siehe Stellungnahme des Nobelpreiskomitees auf Seit den Römischen Verträgen des Jahres 1957 hat die EU zugleich gewaltige Integrationsschritte unternommen. Schon im letzten Tätigkeitsbericht bin ich kurz auf den vorerst letzten bedeutenden Wegabschnitt dieser Integration, auf das Inkrafttreten des Vertrags von Lissabon, eingegangen (siehe hierzu 24. Tätigkeitsbericht, Nr. 1.2). In der Präambel des Vertrags über die Europäische Union heißt es, die Vertragsparteien seien entschlossen, den Prozess der Schaffung einer immer engeren Union der Völker Europas weiterzuführen, in der die Entscheidungen entsprechend dem Subsidiaritätsprinzip möglichst bürgernah getroffen werden. Was dies konkret für die Fortentwicklung des Europäischen Datenschutzrechtsrahmens bedeutet, beschreiben vor Allem die Art. 16 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) und Art. 8 Abs. 1 der Charta der Grundrechte der Europäischen Union (GRC). Überblick Art. 16 AEUV (1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2) Das Europäische Parlament und der Rat erlassen gemäß dem ordentlichen Gesetzgebungsverfahren Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen, und über den freien Datenverkehr. Die Einhaltung dieser Vorschriften wird von unabhängigen Behörden überwacht. Die auf der Grundlage dieses Artikels erlassenen Vorschriften lassen die spezifischen Bestimmungen des Artikels 39 des Vertrags über die Europäische Union unberührt. Art. 8 GRC Schutz personenbezogener Daten (1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken. (3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht. Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012 Seite 11 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
12 Zurzeit wird der Datenschutz im Wesentlichen noch durch vier allgemeine EU- Rechtsakte geregelt. Vereinfacht ausgedrückt sieht dabei die Verordnung 45/2001/EG Vorschriften des Datenschutzes für die Institutionen der EU vor. Der Rahmenbeschluss des Rates 2008/977/JI soll einen angemessenen Schutz des Persönlichkeitsrechts hinsichtlich der Datenverarbeitung im Rahmen der polizeilichen und der justiziellen Zusammenarbeit in Strafsachen gewährleisten. Den allgemeinen Datenschutz regelt die Richtlinie 95/46/EG, die zugleich einen rechtlichen Rahmen für den freien Verkehr personenbezogener Daten zwischen den EU-Mitgliedstaaten setzt. Sie wird durch die Richtlinie 2002/58/EG ergänzt. Diese Richtlinie enthält besondere Regelungen für die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation. Diese allgemeinen Datenschutzrechtsakte sollen jetzt teilweise ersetzt werden. Auf Grundlage der beiden zitierten Vorschriften Art. 16 AEUV und Art. 8 GRC hat die Europäische Kommission am zwei Rechtsakte zur Reform des Europäischen Datenschutzrechtsrahmens vorgeschlagen (Dokumente KOM (2012) 11 endg. und KOM (2012) 10 endg.). 1 Überblick Schon am hat der Bayerische Landtag sich in einer gemeinsamen Sitzung des Ausschusses für Verfassung, Recht, Parlamentsfragen und Verbraucherschutz und des Ausschusses für Bundes- und Europaangelegenheiten mit den beiden geplanten Neuregelungen des EU-Datenschutzrechtsrahmens eingehend auseinandergesetzt. Zu meiner großen Freude haben alle Fraktionen im Bayerischen Landtag im Grundsatz meine Einschätzung des Reformvorhabens geteilt. Danach ist die Reform des EU-Datenschutzrechtsrahmens zwar dringend erforderlich. Sie sollte jedoch in erster Linie darauf gerichtet sein, einen europaweiten Mindestdatenschutzstandard festzulegen. Die Vorschläge der Kommission zielen demgegenüber auf eine starke Vereinheitlichung des Datenschutzes ab und würden aus meiner Sicht insbesondere die Spielräume der mitgliedstaatlichen Gesetzgeber für einen weitergehenden Datenschutz im Bereich der öffentlichen Verwaltung unangemessen einengen. Auch die 83. Konferenz der Datenschutzbeauftragten des Bundes und der Länder hat eine Stellungnahme zu den beiden Reformvorschlägen verabschiedet, die in der Entschließung Ein hohes Datenschutzniveau für ganz Europa! vom 21./ zusammengefasst wird. Entschließung der 83. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 21./ Ein hohes Datenschutzniveau für ganz Europa! Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder unterstützt die Absicht der Europäischen Kommission, den Datenschutz in der Europäischen Union zu modernisieren und zu harmonisieren. Der Entwurf einer Datenschutz-Grundverordnung enthält Regelungen, die zu einer Weiterentwicklung des europäischen Datenschutzrechts führen können. Dazu gehören vor allem das Prinzip Datenschutz durch Technik, der Gedanke datenschutzfreundlicher Voreinstellungen, der Grundsatz der Datenübertragbarkeit, das Recht auf Vergessen, Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012 Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
13 die verbesserte Transparenz durch Informationspflichten der verantwortlichen Stellen und die verschärften Sanktionen bei Datenschutzverstößen. Hervorzuheben ist zudem die Geltung des europäischen Rechts für Anbieter aus Drittstaaten, deren Dienste sich auch an europäische Bürgerinnen und Bürger richten. 1 Überblick Die Datenschutzbeauftragten des Bundes und der Länder halten es für wesentlich, dass bei der Harmonisierung des Datenschutzrechts ein möglichst hohes Niveau für alle Mitgliedsstaaten vorgeschrieben wird. Die Konferenz hatte bereits im Konsultationsverfahren die Auffassung vertreten, dass diesem Ziel angesichts der gewachsenen Traditionen und Rechtsstandards in den Mitgliedsstaaten und der eingeschränkten begrenzten Rechtssetzungskompetenz der EU in Bezug auf innerstaatliche Datenverarbeitungsvorgänge im öffentlichen Bereich am wirksamsten durch eine Richtlinie Rechnung getragen werden kann. Wenn jetzt stattdessen der Entwurf einer unmittelbar geltenden Verordnung vorgelegt wird, muss diese im Sinne eines europäischen Mindestdatenschutzniveaus den Mitgliedsstaaten zumindest in Bezug auf die Datenverarbeitung der öffentlichen Verwaltung die Möglichkeit eröffnen, durch einzelstaatliches Recht weitergehende Regelungen zu treffen, die entsprechend der jeweiligen Rechtstradition die Grundrechte der Bürgerinnen und Bürger absichern und Raum für eine innovative Rechtsfortbildung schaffen. Nur so können beispielsweise in Deutschland die in der Rechtsprechung des Bundesverfassungsgerichts entwickelten Datenschutzgrundsätze bewahrt und weiterentwickelt werden. Die Konferenz erkennt an, dass die Institution der betrieblichen Datenschutzbeauftragten erstmals verbindlich in Europa eingeführt werden soll. Die Erfahrungen in Deutschland mit den betrieblichen Datenschutzbeauftragten als unabhängige Kontroll- und Beratungsstellen in Unternehmen sind ausgesprochen positiv. Die Konferenz bedauert deshalb, dass die Kommission grundsätzlich nur Unternehmen mit mindestens 250 Beschäftigten zur Bestellung von Datenschutzbeauftragten verpflichten will. Dieses Vorhaben bedroht eine gewachsene und erfolgreiche Kultur des betrieblichen Datenschutzes in Deutschland. Über die bereits in dem Verordnungsentwurf vorgeschlagenen Modernisierungen hinaus hält die Konferenz weitere Schritte für erforderlich, die sie etwa in ihrem Eckpunktepapier für ein modernes Datenschutzrecht vom vorgeschlagen hat: eine strikte Reglementierung der Profilbildung, insbesondere deren Verbot bei Minderjährigen, ein effektiver Schutz von Minderjährigen, insbesondere in Bezug auf das Einwilligungserfordernis eine Anhebung der Altersgrenze, die Förderung des Selbstdatenschutzes, pauschalierte Schadensersatzansprüche bei Datenschutzverstößen, einfache, flexible und praxistaugliche Regelungen zum technisch-organisatorischen Datenschutz, welche vor allem die Grundsätze der Vertraulichkeit, der Integrität, der Verfügbarkeit, der Nichtverkettbarkeit, der Transparenz und der Intervenierbarkeit anerkennen und ausgestalten, das Recht, digital angebotene Dienste anonym oder unter Pseudonym nutzen zu können und die grundsätzliche Pflicht zur Löschung der angefallenen Nutzerdaten nach dem Ende des Nutzungsvorganges. Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012 Seite 13 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
14 Die Regelungen zur Risikoanalyse, Vorabkontrolle und zur Zertifizierung bedürfen der weiteren Präzisierung in der Verordnung selbst. Für besonders problematisch hält die Konferenz die vorgesehenen zahlreichen Ermächtigungen der Europäischen Kommission für delegierte Rechtsakte, die dringend auf das unbedingt erforderliche Maß zu reduzieren sind. Alle für den Grundrechtsschutz wesentlichen Regelungen müssen in der Verordnung selbst bzw. durch Gesetze der Mitgliedsstaaten getroffen werden. Die Konferenz weist darüber hinaus darauf hin, dass das im Entwurf der Datenschutz-Grundverordnung vorgesehene Kohärenzverfahren, welches die Aufsichtsbehörden in ein komplexes Konsultationsverfahren einbindet, die Unabhängigkeit der Datenschutzaufsicht beeinträchtigen und zu einer Bürokratisierung des Datenschutzes führen würde. Es muss deshalb vereinfacht und praktikabler gestaltet werden. Die durch Artikel 8 der EU-Grundrechte-Charta und Artikel 16 des Vertrags über die Arbeitsweise der Europäischen Union gewährleistete Unabhängigkeit der Datenschutzaufsichtsbehörden gilt auch gegenüber der Europäischen Kommission. Die vorgesehenen Befugnisse der Kommission in Bezug auf konkrete Maßnahmen der Aufsichtsbehörden bei der Umsetzung der Verordnung wären damit nicht vereinbar. 1 Überblick Wiederholt hat die Konferenz auf die Bedeutung eines hohen und gleichwertigen Datenschutzniveaus auch im Bereich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen in Europa hingewiesen. Sie bedauert, dass der für diesen Bereich vorgelegte Richtlinienentwurf in vielen Einzelfragen hinter dem Entwurf für eine Datenschutz-Grundverordnung und hinter dem deutschen Datenschutzniveau zurückbleibt, etwa im Hinblick auf die Prinzipien der Datenverarbeitung (wie den Grundsatz der Erforderlichkeit) und auf die Rechte der Betroffenen (insbesondere zum Schutz des Kernbereiches der privaten Lebensgestaltung). Auch in diesem Bereich sollte die Richtlinie unter angemessener Berücksichtigung der mitgliedsstaatlichen Verfassungstraditionen ein EU-weit möglichst hohes Mindestniveau festschreiben. Die Konferenz erklärt, dass sie den Gang des Gesetzgebungsverfahrens konstruktiv und kritisch begleiten wird. Im Rahmen des ordentlichen Gesetzgebungsverfahrens zur Reform sind mittlerweile der Ausschuss der Regionen und das Europäische Parlament mit den Vorschlägen der Kommission befasst worden. Das weitere Gesetzgebungsverfahren wird den Regeln des Art. 294 AEUV folgen. Im Rahmen meiner Möglichkeiten werde ich den Reformprozess auch weiterhin konstruktiv-kritisch begleiten. 1.2 Cloud Computing-Initiative der EU-Kommission Auch im Berichtszeitraum hat mich das Thema Cloud Computing vielfach beschäftigt. Unter anderem hat die Europäische Kommissarin für die Digitale Agenda, Neelie Kroes, eine neue Strategie der Freisetzung des Cloud-Computing- Potenzials in Europa gestartet (Mitteilung vom , KOM 529/2012). Sie erhofft sich durch einen breiten Einsatz von Cloud-Lösungen durch Unternehmen und durch den öffentlichen Sektor erhebliche volkswirtschaftliche Vor- Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012 Seite 14 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
15 teile. Die Auslagerung von Verfahren und Daten auf externe, virtuelle Systeme im Sinne des Cloud Computing mag chancenreich sein, ist allerdings auch mit einer Vielzahl von Risiken für den Datenschutz und die Datensicherheit verbunden (siehe hierzu 24. Tätigkeitsbericht, Nr ). Nähere datenschutzrechtliche Anforderungen werden in einer Stellungnahme der EU-Datenschutz-Arbeitsgruppe 29 formuliert (Opinion 05/2012 on Cloud Computing, WP 196, abrufbar unter unter <documentation>). In dem Papier werden die anspruchsvollen Voraussetzungen für einen datenschutzgerechten Einsatz des Cloud Computing beschrieben. Auch die Konferenz der Datenschutzbeauftragten des Bundes und der Länder hat durch einige ihrer Arbeitskreise eine Orientierungshilfe Cloud Computing erarbeiten lassen (siehe Nr ). 1.3 Die Bayerische Verwaltung im Zeitalter des Social Web Vor etwa zweiundzwanzig Jahren entwickelte Tim Berners-Lee das World Wide Web (WWW). Das System einer verteilten Informationsverwaltung im Netz wurde bald zum erfolgreichsten Internetdienst. Informationen im WWW werden seither in der Seitenbeschreibungssprache Hypertext Markup Language (HTML) auf Webservern bereitgestellt. HTML ermöglicht eine grafische Aufbereitung und Verknüpfung von Daten. 1 Überblick Aus datenschutzrechtlicher Sicht leidet das WWW allerdings nach wie vor unter einem Geburtsfehler: Für die Nutzer erfolgt der Zugriff auf Daten im WWW zumeist nicht anonym. Ruft ein Nutzer oder eine Nutzerin eine Webseite auf, wird aufgrund unvermeidbarer technischer Notwendigkeit zur Erbringung des Dienstes zunächst die Internetprotokoll-Adresse (IP-Adresse) übertragen, die eine Art Adresse des Rechners im Internet darstellt (siehe Nr ). Daneben werden aber auch regelmäßig Daten über das Betriebssystem, sowie Art und Version des verwendeten Browsers mitsamt der verwendeten Einstellungen erfasst. Die meisten Anbieter von Webseiten legen überdies Cookies oder vergleichbare Kleindateien auf den Rechnern der Nutzer ab. Jedenfalls soweit eine solche Speicherung ohne Einwilligung der betroffenen Nutzer über den Nutzungsvorgang hinaus erfolgt, steht dies nicht mit den Vorgaben des Art. 5 Abs. 3 der EU- Richtlinie 2002/58/EG im Einklang. Das Ablegen von Cookies ist gleichwohl weit verbreitet, weil sie beispielsweise bei etwaigen mehrfachen Besuchen ein und derselben Webseite Aufschluss über frühere Aufrufe geben. Beim Besuch von Webseiten hinterlassen Normalnutzer also regelmäßig Datenspuren, die zusammengetragen sehr schnell zu einem genauen Profil der Interessen und Gewohnheiten des Betroffenen führen. Insbesondere wenn sich der Nutzer gegenüber einem Anbieter, etwa einem Sozialen Netzwerk identifiziert, können entsprechende Zuordnungsmöglichkeiten zu einer nun namentlich bekannten Person entstehen. Der Bundes- und die Ländergesetzgeber wollten jedoch solchen Datenerfassungen, die nicht zwingend für die Erbringung von Diensten erforderlich sind, Grenzen setzen. Sie regelten daher den Umgang der WWW-Dienste im Jahr 1997 mit verhältnismäßig fortschrittlichen Gesetzen (Teledienste-Datenschutzgesetz, Teledienstegesetz, Mediendienste-Staatsvertrag), die im Jahr 2007 in dem heute noch geltenden Telemediengesetz (TMG) gebündelt worden sind. Vereinfacht ausgedrückt sieht das TMG in den 7-10 eine beschränkte Verantwortlichkeit der Anbieter von Telemediendiensten für fremde Inhalte vor. Wie die allgemeinen Datenschutzgesetze sieht auch das TMG in 12 ein Verbot mit Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012 Seite 15 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
16 Erlaubnisvorbehalt vor und statuiert den Grundsatz der Zweckbindung. Nach 13 TMG sind Anbieter gegenüber ihren Nutzern zur Transparenz der Erhebung und Verwendung personenbezogener Daten verpflichtet. Soweit eine gesetzliche Erlaubnis zum Umgang mit personenbezogenen Daten fehlt, ist bei den Nutzern eine Einwilligung einzuholen. Sie kann zwar elektronisch erteilt werden. Allerdings muss der Anbieter dann u.a. gewährleisten, dass der Nutzer seine Erklärung auch zu einem späteren Zeitpunkt nachvollziehen kann. Werden die Nutzer an andere Dienste weitergeleitet, ist ihnen dies anzuzeigen. Im Rahmen des Zumutbaren muss ein Dienst die anonyme und pseudonyme Nutzung ermöglichen. Der Umgang mit Bestandsdaten nach 14 TMG und Nutzungsdaten nach 15 TMG folgt strikt dem Prinzip der Erforderlichkeit. Bei aller Kritik im Einzelnen hat das Telemediengesetz im Großen und Ganzen sachgerechte Antworten auf das WWW des 20. Jahrhunderts gegeben Soziale Netzwerke: Mehr Chancen mehr Risiken 1 Ob dieses Gesetz auch noch auf die Herausforderungen des Web2.0 ( Social Web ) des 21. Jahrhunderts angemessen antworten kann, ist allerdings äußerst fraglich. Im sogenannten Web2.0 wirken technische Fortentwicklungen (z.b. einfache Suche mittels wirkmächtiger Suchmaschinen, Erweiterung von Speicherund Übertragungskapazitäten), veränderte ökonomische Rahmenbedingungen (z.b. Finanzierung der Datenverarbeitung für breite Bevölkerungsschichten) und soziokulturelle Veränderungen (Wertewandel) zusammen. Was den Umgang mit personenbezogenen Daten anbelangt, schlüpfen Nutzer in die Rolle von produsern (Nutzer und Datenverarbeitende). Daten werden mehr und mehr vernetzt, immer neue Angebote und Nutzungsmöglichkeiten entstehen, Datenverarbeitungsträger werden immer kleiner und leistungsfähiger, können überall und jederzeit genutzt werden die Datenverarbeitung wird mit anderen Worten allgegenwärtig. Gerade Telemediendienste werden auf vielfache Weise miteinander verschränkt und verknüpft, ohne dass dies für die Nutzer erkennbar wäre. Überblick Vor Allem private Betreiberunternehmen von Webangeboten pflegen auf die unbestritten großen Chancen zu verweisen. Hervorgehoben werden die Möglichkeiten zur Selbstverwirklichung, neuartige Kooperationsformen und enorme wirtschaftliche Potenziale. Überdies sei das Web2.0 auch gut für unsere Zivilgesellschaft, weil seine neuen Kommunikationsformen auch die demokratische Willensbildung befördere. Der Beweis sei unter anderem durch den arabischen Frühling erbracht worden. Worüber weniger gern gesprochen wird, ist der Umstand, dass die Nutzung von Chancen im Social Web an eine ganze Reihe von Voraussetzungen geknüpft und überdies mit erheblichen Risiken für das Persönlichkeitsrecht der Nutzer verbunden ist. Ihnen werden unter anderem eine extrem hohe Medienkompetenz und eine extrem hohe Privatsphärenkompetenz abverlangt. Wer beispielsweise das größte Soziale Netzwerk (Facebook) nutzt, kann dabei seine Privatsphäre zwar nicht gegenüber dem Anbieter (und den hieraus entstehenden Konsequenzen), wohl aber gegenüber der Öffentlichkeit mehr oder weniger leidlich bewahren. Dazu muss man freilich bereit und fähig sein, zwischen 30 und 40 datenschutzfeindliche Voreinstellungen abzuändern. Wiederholungen dieser Prozedur können erforderlich sein, wenn Facebook wieder einmal beschließt, die Rahmenbedingungen seines Angebots zu verändern. Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012 Seite 16 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
17 Das Erfordernis einer hohen Medien- und Privatsphärenkompetenz gilt nicht nur im Hinblick auf den Selbstschutz, sondern ist auch auf die Netzkultur bezogen. Über die konkreten Auswirkungen eines vorschnell richtenden Publikums habe ich bereits in meinem letzten Tätigkeitsbericht informieren müssen (siehe hierzu 24. Tätigkeitsbericht, Nr. 1.1 und Nr. 8.19). Ein unter Anbietern ebenso unbeliebtes Thema ist die lange Liste von schwer wiegenden Datensicherheitspannen, welche die kurze Geschichte insbesondere von einigen großen Sozialen Netzwerke begleiten Was öffentliche Stellen zu beachten haben 1 Wenn sich öffentliche Stellen für die Nutzung Sozialer Netzwerke entscheiden, müssen sie sich weiterhin darüber im Klaren sein, dass die angebotenen Dienstleistungen ökonomiebestimmt ausgestaltet sind. Im Berichtszeitraum habe ich beispielsweise an einem Symposium zum sogenannten Litigation PR mitgewirkt. Die Veranstaltung verdeutlichte eindrucksvoll, dass die Justizbehörden gut beraten sind, bei der Recherche personenbezogener Daten der öffentlichen Berichterstattung im Allgemeinen und speziell den Ergebnissen von Suchmaschinen nicht vorbehaltlos zu vertrauen. Denn mit Geld und einem guten Reputationsmanagement lassen sich derartige Suchergebnisse ganz erheblich beeinflussen. Ganz allgemein sollte sich die öffentliche Verwaltung bei der Nutzung von Suchmaschinen immer wieder in Erinnerung zu rufen, dass die Kriterien für die Auswahl und Reihenfolge von Suchergebnissen nicht transparent sind. Mit anderen Worten darf auch soweit die Erhebung personenbezogener Daten über das WWW zulässig ist, die Richtigkeit der erhobenen Daten nicht unterstellt, sondern muss sorgfältig geprüft werden. Überblick Im Berichtszeitraum stellte eine Vielzahl von öffentlichen Stellen an mich die Frage, wie sie im Rahmen ihrer Öffentlichkeitsarbeit eine Fanseite in einem Sozialen Netzwerk datenschutzkonform errichten könne. Das große Interesse freut mich, weil hierdurch die Sensibilität der weitaus meisten bayerischen öffentlichen Stellen deutlich wird. Zumeist beziehen sich derartige Anfragen auf die Einrichtung von Fanseiten bei Facebook oder von Profilen bei Google+. Die Unsicherheit der öffentlichen Stellen verdeutlicht zugleich ein Unbehagen bei einem Engagement bei diesen Diensten. Sowohl Facebook als auch Google+ standen wiederholt wegen datenschutzrechtlich problematischen Entscheidungen in der öffentlichen Kritik. Sie setzen die oben sehr allgemein beschriebenen Anforderungen des TMG allenfalls teilweise um (siehe Nr. 1.3). Vor diesem Hintergrund hat sich die 82. Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 28./ in einer Entschließung nicht nur, aber insbesondere zu Angeboten dieser Dienste kritisch geäußert. Entschließung der 82. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 28./ Datenschutz bei sozialen Netzwerken jetzt verwirklichen! Anlässlich der aktuellen Diskussionen um den Datenschutz bei sozialen Netzwerken, wie beispielsweise Facebook, stellt die Konferenz der Datenschutzbeauftragten des Bundes und der Länder klar, dass sich die Anbieter solcher Plattformen, die auf den europäischen Markt zielen, auch dann an europäische Datenschutzstandards halten müssen, wenn sie ihren Sitz außerhalb Europas haben. Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012 Seite 17 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
18 Die Konferenz stellt insbesondere fest, dass die direkte Einbindung von Social- Plugins beispielsweise von Facebook, Google+, Twitter und anderen Plattformbetreibern in die Webseiten deutscher Anbieter ohne hinreichende Information der Internet-Nutzenden und ohne Einräumung eines Wahlrechtes nicht mit deutschen und europäischen Datenschutzstandards in Einklang steht. Die aktuelle von Social-Plugin-Anbietern vorgesehene Funktionsweise ist unzulässig, wenn bereits durch den Besuch einer Webseite und auch ohne Klick auf beispielsweise den "Gefällt-mir"-Knopf eine Übermittlung von Nutzendendaten in die USA ausgelöst wird, auch wenn die Nutzenden gar nicht bei der entsprechenden Plattform registriert sind. Die Social-Plugins sind nur ein Beispiel dafür, wie unzureichend einige große Betreiber sozialer Plattformen den Datenschutz handhaben. So verwendet Facebook mittlerweile Gesichtserkennungs-Technik, um Bilder im Internet bestimmten Personen zuzuordnen; Betroffene können sich dem nur mit erheblichem Aufwand entziehen. Sowohl Facebook als auch Google+ verlangen, dass die Nutzenden sich identifizieren, obwohl nach deutschem Recht aus guten Gründen die Möglichkeit zumindest einer pseudonymen Nutzung solcher Dienste eröffnet werden muss. 1 Die Datenschutzbeauftragten des Bundes und der Länder fordern daher alle öffentlichen Stellen auf, von der Nutzung von Social-Plugins abzusehen, die den geltenden Standards nicht genügen. Es kann nicht sein, dass die Bürgerinnen und Bürger, die sich auf den Seiten öffentlicher Stellen informieren wollen, mit ihren Daten dafür bezahlen. Unbeschadet der rechtlichen Verantwortung sollten die öffentlichen Stellen auf solchen Plattformen keine Profilseiten oder Fanpages einrichten. Überblick Die Obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich haben bereits 2008 und zuletzt 2010 in Beschlüssen Anforderungen an die datenschutzkonforme Gestaltung sozialer Netzwerke formuliert. Die Konferenz der Datenschutzbeauftragten fordert die Anbieter sozialer Netzwerke auf, diese Beschlüsse umzusetzen, soweit dies noch nicht geschehen ist. In diesem Zusammenhang unterstützen die Datenschutzbeauftragten Bestrebungen zur Entwicklung von technischen Lösungen zur datenschutzkonformen Gestaltung von Webangeboten. Bedauerlicherweise hat die Bundesregierung ihrer schon im letzten Jahr gemachten Ankündigung, gesetzgeberische Maßnahmen gegen die Profilbildung im Internet vorzuschlagen, keine Taten folgen lassen. Der bloße Verweis darauf, dass die Diensteanbieter Selbstverpflichtungen eingehen sollten, wird dem akuten Schutzbedarf der immer zahlreicher werdenden Nutzerinnen und Nutzer nicht gerecht. Die Konferenz der Datenschutzbeauftragten unterstützt den Gesetzentwurf des Bundesrates zur Änderung des Telemediengesetzes (BT-Drs. 17/6765) als einen Schritt in die richtige Richtung. Wie Artikel 20 Absatz 3 unseres Grundgesetzes verdeutlicht, sind öffentliche Stellen in besonderer Weise an Gesetz und Recht gebunden. Sie haben daher auch im Zusammenhang mit ihrer Öffentlichkeitsarbeit eine Vorbildfunktion. Mit dieser Vorbildfunktion der öffentlichen Hand verträgt es sich im Grundsatz nicht, wenn sie durch ihr eigenes Marktverhalten Anbieter fördern, die nach Maßstäben des deutschen Datenschutzrechts wiederholt erhebliche Rechtsverstöße begangen haben. In zahlreichen Gesprächen haben sich in Deutschland ansässi- Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012 Seite 18 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
19 ge Anbieter bei mir darüber beschwert, dass sie durch die Einhaltung der deutschen Datenschutzgesetze erhebliche Wettbewerbsnachteile erleiden würden. Unabhängig davon ist vor Allem die Frage der unmittelbaren datenschutzrechtlichen Verantwortlichkeit von öffentlichen Stellen aufzuwerfen, die Fanseiten oder Profile in sozialen Netzwerken einrichten. Verschiedene Rechtsfragen hierzu sind weiterhin strittig und insbesondere gerichtlich noch nicht geklärt. Eine Entscheidung des Landgerichts Aschaffenburg vom bestärkt allerdings meine Auffassung, dass hier eine (Mit-) Verantwortlichkeit öffentlicher Stellen auch im Hinblick auf die Einhaltung telemedienrechtlicher Vorschriften nahe liegt. Das Landgericht hat im dortigen Fall entschieden, dass die Informationspflicht nach 5 TMG ( Impressumspflicht ) auch eine GmbH trifft, wenn diese als Nutzer von Social Media einen Facebook-Account zu Marketingzwecken benutzt. 5 TMG knüpft dabei wie auch andere Vorschriften des TMG an die Diensteanbietereigenschaft an. 1 Ich bin auch aus nachfolgenden Gründen der Auffassung, dass öffentliche Stellen eine datenschutzrechtliche Verantwortung für die Rechtmäßigkeit des Datenumgangs auf Fanseiten tragen. Zum einen ist es schließlich die öffentliche Stelle, die eine Fanseite oder ein Profil überhaupt erst einrichtet. Zum anderen hängt zwar die Gestaltung derartiger Fanseiten von bestimmten Rahmenbedingungen ab, die das jeweilige Soziale Netzwerk (z.b. Facebook oder Google+) setzt. Innerhalb dieses Rahmens bestimmen jedoch die öffentlichen Stellen selbst die Art und den Umfang der Kommunikation mit den Nutzern mit. Dabei ergibt es insofern einen erheblichen Unterschied, ob eine öffentliche Stelle eine Fanseite einrichtet, auf der sie lediglich auf eine eigene Webseite verweist oder ob sie auf der Fanseite die Nutzer zu Äußerungen auffordert. Überblick Angesichts noch strittiger Rechtsfragen habe ich u.a. die Ressorts der Staatsregierung zunächst gebeten, jedenfalls keine neuen Fanseiten einzurichten, bestehende Seiten zurückhaltend auszugestalten und nicht im Besonderen zu bewerben. Überdies gilt: Eine bayerische öffentliche Stelle, die Nutzer hier aktiv zur Kommunikation ermuntert, hält Bürgerinnen und Bürger zur Offenbarung von personenbezogenen Daten in einem rechtlich und technisch unsicheren virtuellen Umfeld an. Dies kann je nach Ausgestaltung auch besonders sensible Daten betreffen. Spätestens hier wird dann eine Grenze zum beanstandenswerten Datenschutzverstoß überschritten. Empfehlenswert wäre aus meiner Sicht natürlich, von der Einrichtung von Fanseiten oder entsprechenden Profilen grundsätzlich abzusehen. Auf immer mehr Webangeboten sind sogenannte Social Plugins wie der Like- Button ( Gefällt mir ) von Facebook oder der +1-Button von Google zu finden. Auch bayerische öffentliche Stellen versuchen hiermit eine kostengünstige Erhöhung der Reichweite eigener Webangebote zu erreichen. Problematisch hieran ist der Umstand, dass Social Plugins oft als iframes in die Webseiten direkt eingebunden werden. Beim Laden der Webseite (etwa _xyz.de) wird der Browser dabei angewiesen, eine weitere Webseite von dem Sozialen Netzwerk zu laden und an der vorgesehenen Stelle innerhalb der anderen Webseite anzuzeigen. Dabei werden zumindest der Zeitpunkt des Aufrufs der Referenzwebseite und die IP-Adresse des Nutzerrechners an das Soziale Netz- Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012 Seite 19 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012
20 werk übertragen. Dies geschieht ohne jegliche Mitwirkung der Nutzer, regelmäßig auch ohne deren Wissen. Nach meiner Einschätzung verstößt eine solche Datenübertragung ohne Wissen der Nutzer gegen deutsches Datenschutzrecht. Für dieses Ergebnis spielt es keine Rolle, ob man die Datenübertragung rechtlich als Übermittlung personenbezogener Daten ansieht oder als eine andere Verwendung qualifiziert. Denn das Telemediengesetz (TMG) unterscheidet in den 11 ff. hinsichtlich der rechtlichen Voraussetzungen nicht zwischen einer Datenübermittlung oder einer anderen Art der Weiterleitung personenbezogener Nutzerdaten. Bei einigen Stellen habe ich mittlerweile feststellen können, dass sie diese datenschutzrechtlichen Bedenken aufgegriffen haben. Anstatt einer direkten Einbindung von Social Plugins sehen sie eine mittelbare Einbindung vor (mittels Vorschaltbutton ). Bei dieser Variante erfolgt beim Aufruf des Webangebots keine Datenübertragung ohne Wissen und Willen der Nutzer. Sie erfolgt erst, wenn man den entsprechenden Vorschaltbutton betätigt. Die Einrichtung eines solchen Vorschaltbuttons ist zwar nur die zweitbeste Lösung: auch hier gibt es etwa im Hinblick auf eine Pflicht des Webseitenbetreibers zur Unterrichtung des Nutzers über Datenumgänge noch Ungeklärtes. Diese sogenannte Zwei-Klick- Lösung ist dennoch deutlich datenschutzfreundlicher als die gänzlich abzulehnende direkte Einbindung von Social Plugins. Die beste Lösung wäre natürlich auch hier, ganz auf Social Plugins zu verzichten. 1 Überblick Eine der neueren Spezialitäten von Facebook ist die mittlerweile obligatorische Chronikfunktion TimeLine. Wohl in Anlehnungen an den gleichnamigen USamerikanischen Science-Fiction-Roman von Michael Crichton sollen Besucherinnen und Besucher einer Fanseite alle Ereignisse von der Einrichtung der Fanseite bis zur Gegenwart nachvollziehen können. Der Soziologe und Datenschutzexperte Martin Rost hat TimeLine treffend als perfekt privat organisierte öffentliche Vorratsdatenspeicherung charakterisiert. Sie bestärkt mich in meinen erheblichen Vorbehalten gegen die Nutzung von Facebook durch öffentliche Stellen. Abgesehen von meinen grundsätzlichen Bedenken kann ich öffentlichen Stellen nur dringend empfehlen, fremde Beiträge insoweit durch entsprechende Einstellungen zuverlässig auszuschließen. 1.4 Bundesgesetzgebung Bekämpfung des Rechtsextremismus Im November 2011 wurde in der Öffentlichkeit bekannt, dass die rechtsextremistische Vereinigung Nationalsozialistischer Untergrund (NSU) in den Jahren 2000 bis 2007 eine ganze Reihe von Morden begangen hatte. Nach wie vor nicht abschließend geklärt ist die Frage, warum die Verbrechen erst im Jahr 2011 einem rechtsextremistischen Motiv zugeordnet werden konnten. Neben dem Bundestag hat auch der Bayerische Landtag einen NSU-Untersuchungsausschuss eingerichtet, der die vergangene Zusammenarbeit der Sicherheitsbehörden bei der Bekämpfung des gewalttätigen Rechtsextremismus auf etwaige Mängel durchleuchtet. Seite 12 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012 Seite 20 Der Bayerische Landesbeauftragte für den Datenschutz, 25. Tätigkeitsbericht 2012