Source: http://www.carta.info/54626/die-datenschutzgrundverordnung-und-die-burgerrechte/
Timestamp: 2018-02-18 05:02:43
Document Index: 92836989

Matched Legal Cases: ['Art. 6', 'Art. 6', 'BGH', 'Art. 4', 'Art. 6', 'Art. 6', 'Art. 4', '§ 4', '§ 4', 'Art. 6']

Carta — Die Datenschutzgrundverordnung und die Bürgerrechte - Carta
Thomas Stadler | 22.02.2013 | 8 Kommentare
In der Diskussion um die geplante Datenschutzgrundverordnung wird von Bürgerrechtsgruppen regelmäßig darauf hingewiesen, dass Industrielobbyisten versuchen würden, den Kommissionsentwurf zu verwässern.
Grundsätzliche Kritik an der geplanten Datenschutzreform hört man aus der bürgerrechtlichen Ecke demgegenüber kaum. Es wird ganz im Gegenteil der Eindruck erweckt, als sei das vorgestellte Konzept im Sinne der Bürgerrechte zwingend notwendig und sogar noch zu verschärfen. Slogans wie “Unsere Grundrechte auf Privatsphäre und Datenschutz sind in Gefahr!“ schüren Ängste und lenken von der eigentlich notwendigen Diskussion ab.
Eines der sechs Kriterien für eine rechtmäßige Verarbeitung von Daten ist das sogenannte „berechtigte Interesse“ der Unternehmen. (…) Der Bericht des Europäischen Parlaments lässt viel zu viele Ausnahmen zu. Der Begriff des „berechtigten Interesses“ wird dadurch zu einer Art Trojaner, der eine exzessive Verarbeitung unserer Daten ermöglicht. (…)
Was die Digitale Gesellschaft also fordert, ist die komplette Streichung von Art. 6 Abs. 1 Nr. f. Das wird zu unlösbaren praktischen Problemen führen, und würde zu Ende gedacht sogar ein Verbot sämtlicher Internetkommunikation bedeuten.
Die Übermittlung und Speicherung von IP-Adressen und Cookies wäre damit nach dem geltenden Verbotsprinzip zunächst generell verboten. Das bedeutet eigentlich, dass damit in einem ersten Schritt die gesamte Internetkommunikation datenschutzwidrig ist. Diese Datenverarbreitung kann nun natürlich aber zulässig sein, wenn ein gesetzlicher Erlaubnistatbestand vorliegt. Weil eine Einwilligung ausscheidet, und auch ein Vertragsverhältnis im Regelfall nicht gegeben ist, bleibt als einziger Erlaubnistatbestand nach der Datenschutzgrundverordnung die Vorschrift des Art. 6 Abs. 1 Nr. f, nämlich die Wahrung eines berechtigten Interesses. Und genau diese Regelung möchte die Digitale Gesellschaft streichen, mit der Begründung, es handle sich um eine Art Trojaner, der eine exzessive Verarbeitung unserer Daten ermöglicht. Das Dumme ist jetzt nur, dass dieser Trojaner die Internetkommunkation datenschutzrechtlich überhaupt erst erlaubt.
Was in der bürgerrechtlichen Diskussion ebenfalls viel zu kurz kommt, ist das Spannungsverhältnis zwischen Datenschutz einerseits, und Kommunikationsgrundrechten (Meinungs- und Informationsfreiheit) andererseits. Das Verbot, personenbezogene Daten zu veröffentlichen, schränkt nämlich grundsätzlich auch die Meinungs- und Pressefreiheit ein, denn jedwede Information zu einer bestimmten Person ist gleichzeitig auch immer ein personenbezogenes Datum.
Dieses Medien- oder Berichterstattungsprivileg ist bislang praktisch nicht kodifiziert. Es wäre deshalb naheliegend – zumal wir immer von einer Informationsgesellschaft reden –, dass sich der europäische Gesetzgeber dieses zentralen Punkts annimmt, um eine möglichst klare und europaweit einheitliche Regelung zu schaffen.
Leider sind wir von einer differenzierten Diskussion noch meilenwert entfernt. Auf der einen Seite haben wir Unternehmenslobbyisten, die Datenschutz in der Tendenz primär als Hemmnis sehen, während wir auf der Gegenseite vermeintliche Bürgerrechtler stehen haben, die z.T. bedenkliche und nicht durchdachte Positionen einnehmen.
Wir haben es mit einer Diskussion zu tun, in der es um das Spannungsverhältnis verschiedener Grundrechte geht. Demzufolge ist eine ausdifferenzierte Abwägung erforderlich. Das setzt allerdings die Erkenntnis voraus, dass sowohl die Position der Hardcore-Datenschützer wie auch die der Industrielobbyisten in ihrer Absolutheit falsch ist. Wir leben aber leider in einer Gesellschaft, die Kampagnen bevorzugt, die von klaren Schwarz-Weiß-Schemata geprägt sind. Und das spürt man auch bei dieser Diskussion mehr als deutlich.
Schlagwörter: Berichterstattungsprivileg, BGH, Bürgerrechte, Digiges, digitale Gesellschaft, EU-Datenschutzverordnung, Grundrechte, Lobbyismus, Medienprivileg, Politik, Reform des Datenschutzrechts, Sicherheit, Verbotsprinzip
Grundsätzliche Kritik an der geplanten Datenschutzreform hört man aus der bürgerrechtlichen Ecke demgegenüber kaum. Es wird ganz im Gegenteil der Eindruck erweckt, als sei das vorgestellte Konzept im Sinne der... Twittern
Warum es die #spackeria braucht | Die wunderbare Welt von Isotopp | 26.02.2013 | 21:30 Uhr
[…] Die Datenschutzgrundverordnung und die Bürgerrechte In der Diskussion um die geplante Datenschutzgrundverordnung wird von Bürgerrechtsgruppen regelmäßig darauf hingewiesen, dass Industrielobbyisten versuchen würden, den Kommissionsentwurf zu verwäss…… […]
Thomas Stadler | 25.02.2013 | 21:05 Uhr
also wenn ich den Erwägungsgrund und die dazugehörige Vorschrift zitiere, habe ich sie auch gelesen.
Du lässt leider den Aspekt der informierten Einwilligung unter den Tisch fallen. Was ist denn die eindeutige Handlung, wenn ich mir als Durchschnittsnutzer überhaupt keine Gedanken darüber mache, was beim Aufruf einer Website (technisch) passiert?
Wir können die Zulässigkeit der Verarbeitung von Daten nicht ausschließlich über die Einwilligung darstellen. Der Vorschlag das Kriterium des berechtigten Interesses komplett zu streichen ist nicht sachgerecht.
@vieuxrenard | 25.02.2013 | 18:39 Uhr
Du schreibst, dass es keine „stillschweigende“ Einwilligung geben könne, sondern nur eine „konkludente“ … na wenn das mal nicht erbsenzählerisch ist: Ich hatte von einer „stillschweigenden Einwilligung durch schlüssiges Tun“ geschrieben – und „stillschweigend“, „schlüssiges Tun“ oder auch“ konkludent“ sind verschiedene Begriffe für denselben Sachverhalt: Jemand nimmt eine Handlung vor, ohne bestimmte Worte in den Mund zu nehmen, und diesem Tun entnimmt die Rechtsordnung dann eine Erklärung, einfach weil das Tun sonst keinen Sinn machen würde (siehe mein Beispiel mit dem Impfen).
Der Entwurf sieht das übrigens auch so – es gibt gerade kein Verbot der schlüssigen oder stillschweigenden Einwilligung, wie Du schreibst, vielmehr heißt es in Erwägungsgrund 25: „Eine stillschweigende Einwilligung ohne Zutun der betroffenen Person (meine Hervorhebung) stellt daher keine Einwilligung dar.“ Eben: Es geht um das Zutun, um die Willenbetätigung. Wenn man etwas tut, dem ein Erklärungsgehalt zukommt, dann kann man durchaus konkludent/schlüssig/stillschweigend einwilligen. Alles andere wäre ja auch absurd.
Und deswegen regelt das der VO-Entwurf auch genau so noch mal explizit in Art. 4 Nr. 8, eine Einwilligun setzt danach eine „explizite Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“ voraus (wieder meine Hervorhebung). Nur das wollte ich sagen, vielleicht hätte ich gleich den Text zitieren sollen.
Genau so liegt es mMn auch bei der Nutzung bestimmter Internet-Dienste, wenn ihr nicht ohnehin ein Vertrag zugrundeliegt: Es macht eben keinen Sinn, einerseits eine Internet-Seite aufzurufen, zugleich aber zu sagen: Die dürfen meine IP nicht verarbeiten! Natürlich dürfen sie sie nicht langfristig speichern oder zweckentfremden – aber darum ging es ja auch nicht. Das Internet jedenfalls bricht nicht zusammen (oder rutscht in die Illegalität ab), wenn der Gummiparagraph Art. 6 Abs. 1 lit f) nicht kommt.
Damit dürfte klar sein: Dein IP-Beispiel geht einfach an der Systematik der VO vorbei. Mit Deiner Forderung, verschiedene Positionen zueinander besser ins Verhältnis zu setzen, hast Du natürlich trotzdem Recht. Nur geißelst Du mMn die Kritik an Art. 6 Abs. 1 lit. f) zu Unrecht.
Stadler | 25.02.2013 | 16:10 Uhr
Dein Einwand wäre nur dann berechtigt, wenn es im Datenschutzrecht eine stiilschweigende Einwilligung gäbe.
Die Einwilligung muss grundsätzlich ausdrücklich erklärt werden und der Betroffene muss wissen, worin er einwilligt (sog. informierte Einwilligung).
Davon rückt auch die Datenschutzgrundverordnung nicht ab. Siehe Erwägungsgrund 25 und Art. 4 Abs. 8. Eine stillschweigende Einwilligung kommt also nicht in Betracht. Nach der Verordnung käme evtl. eine konkludente Einwilligung in Betracht, wobei hierfür eine eindeutige Handlung erforderlich ist, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie bereffenden Daten einverstanden ist.
Die Masse der Internetnutzer weiß noch nicht einmal was eine IP-Adresse ist. Nur weil ein Nutzer online geht, kann man diese Handlung m.E. schwerlich als eindeutige und informierte Handlung interpretieren.
Wir brauchen also speziell für die Internetkommunikation Gestattungstatbestände, die über die Einwilligung hinausgehen. Das Problem besteht m.E. darin, diese einerseits entwicklungsoffen und abstrakt zu definieren, andererseits aber eine ausufernde Auslegung zu verhindern.
Meine Kritik an Digiges bezieht sich darauf, dass man dort ja nicht fordert, das berechtigte Interesse einzugrenzen, sondern es vielmehr pauschal streichen möchte. Dann werden sich aber viele übliche und auch legitime Formen der Datenverarbeitung nicht mehr unter eine Gestattung subsumieren lassen.
Wir haben ja bereits jetzt das Problem, dass wir das Massenhosting und erst recht das Cloud-Computingim Grunde als datenschutzrechtswidrig ansehen müssten, was man von Aufsichtsbehörden vereinzelt auch so hört.
Dass man diese dogmatisch logische Konsequenz dann doch nicht zieht, gehört zu den Absonderlichkeiten des geltenden Datenschutzrechts.
Meine These bleibt die, dass man mit dem tradierten Konzept die Erfordernisse moderner Kommunikation nicht mehr abbilden kann. Und das ist der Kern meiner Kritik. Weil man das andererseits natürlich niemals eingestehen kann, wird im Datenschutzrecht gebogen und rumgeeiert.
Zum Verbot mit Erlaubnisvorbehalt: Das was § 4 Abs. 1 BDSG regelt, ist m.E. ein Verbot mit Erlaubnisvorbehalt, was man auch in der datenschutzrechtlichen Literatur so nachlesen kann (vgl. Gola/Schomerus, § 4, Rn. 3). Speziell diese Diskussion finde ich aber letztlich eher erbsenzählerisch, denn es geht nur um die Terminologie.
@vieuxrenard | 25.02.2013 | 14:33 Uhr
ich denke, dass Du mit der Forderung nach Abwägung am Ende Deines Textes einen Punkt hast, aber Deine Kritik an der Kritik der Digiges an dem Buchstaben f. sticht letztlich nicht.
„Berechtigte Interessen“ sind als Tatbestandsmerkmal für eine pauschale Genehmigung der Datenverarbeitung brandgefährlich, weil die als klassischer Gummiparagraph mit Sicherheit ausgenutzt würden, um gottweißwas zu machen und vor allem um die Strafvorschriften auszuhebeln („wieso Bußgeld? Ich dachte, ich darf das …“).
Insbesondere Dein Argument mit den IP-Adressen führt m.E. in die Irre. Natürlich hilft hier eine (stillschweigende) Einwilligung durch schlüssiges Tun: Wenn ich zB einen Web-Dienst nutze, dann weiß ich, dass der meine IP verarbeitet, und darin willige ich auch schlüssig ein, denn ich kann den Dienst ja schon aus technischen Gründen nicht nutzen, ohne dass der meine IP kurzfristig verarbeitet. Ich kann ja auch nicht zum Arzt gehen und mir eine Grippeimpfung holen, ohne dass er mich piekst: Wer da von nicht gerechtfertigter Körperverletzung reden würde, hätte eindeutig einen Schatten.
Wie sinnvoll die Konstruktion der schlüssigen Einwilligung in den IP-Fällen ist, sieht man auch daran, dass sie zB nicht erfasst, dass der Dienst die IP über die Dauer meiner Nutzung hinaus speichert (Logfiles!), denn das ist zur Erbringung des Dienstes gerade nicht notwendig, d.h. dafür bräuchte es eine weitergehende, ausdrückliche Einwilligung. Analog gilt dies auch für die Datenübertragung an Facebook für Like-Buttons etc.
Dass Du über die doch sehr naheliegende schlüssige Einwilligung in den IP-Fällen, die ja zu sachgerechten Ergebnissen führt, ohne Begründung hinweggehst, hat mich ehrlich gesagt gewundert.
Auch Jans Kritik an der Terminologie ist in der Tat richtig; ein Verbot mit Erlaubnisvorbehalt ist etwas ganz anderes. Richtig ist aber natürlich, dass Grundgedanke des Datenschutzes wenigstens in Deutschland ist, dass man immer eine Grundlage für die Datenverarbeitung braucht (Gesetz oder Einwilligung), d.h. erst mal nein, mit gutem Grund ja.
Recht hast Du aber mMn mit Deinem Punkt, dass natürlich auch die informationelle Selbstbestimmung (in deutscher Terminologie) nicht schrankenlos gilt und zB mit Meinungsfreiheit und Pressefreiheit abgewogen gehört – aber eben nicht mit der Geldgier zB von Adress-Dealern.
Ich würde daher Deiner Kritik an der Digiges-Position entgegenhalten: Der Gummiparagraph Art. 6 Abs. 1 lit. f gehört in dieser Form doch gestrichen – aber wir brauchen in der Tat eine Öffnungsklausel für präzise definierte berechtigte Interessen. An der Stelle muss der Entwurf nachgebessert werden. Das ist mühsam, aber die Mühe muss man sich jetzt machen, weil ja die VO unmittelbar anwendbar sein soll, d.h. es gibt keinen nationalen Gesetzgeber mehr, der sie praktisch handhabbar machen könnte (was eh eine Fehlentscheidung ist, sinnvoll wäre u.a. deswegen eher eine Richtlinie, aber das ist ein anderes Thema).
Jan S. | 25.02.2013 | 12:12 Uhr
– die Abschaffung des „Verbotes mit Erlaubnisvorbehaltes“: ich kann es nicht mehr hören! –
Ich nehme Deinen Beitrag zum Anlass darauf hinzuweisen, wie entkoppelt die juristische Debatte im Datenschutzrecht von der Verwaltungsrechtsdogmatik ist. Du befindest Dich in bester Gesellschaft wie die Literatur zeigt (und ich habe zugegebenermaßen selber früher in Vorlesungen vom „Verbot mit Erlaubnisvorbehalt“ gesprochen). Eine Lehrbuchrecherche für Verwaltungsrecht zeigt aber – wie auch im Internet dankenswerter Weise in diesem Beitrag von Gusy belegt ist – dass die Begrifflichkeit nichts mit ihrem ursprünglichen Sinn zu tun hat.
Die Verwaltungsrechtslehre unterscheidet grundsätzlich zwei Formen von Verboten:
– das präventive Verbot mit Erlaubnisvorbehalt und
– das repressive Verbot mit Befreiungsvorbehalt.
Beide zeichnen sich dadurch aus, dass es für die angestrebte Handlung einer Genehmigung durch die Verwaltung bedarf. Ein Mechanismus, der dem Datenschutzrecht mit ganz wenigen Ausnahmen fremd ist.
Vielmehr stellen die von Dir im Artikel erwähnten Regeln ein Beispiel für den juristischen Mechanismus von Regel-Ausnahmeverhältnissen dar. Solch eine Herangehensweise versucht die Bereiche von gesetzlich Erlaubtem und Verbotenem dadurch abzugrenzen, dass Ausnahmen vom Verbotenen (oder umgekehrt) beschrieben werden. Ein weit verbreiteter Mechnismus, wie wir ihn auch beispielsweise im Urheberrecht vorfinden, ohne dass jemand dort auf die Idee käme dort von einem „Verbot mit Erlaubnisvorbehalt“ zu sprechen. Man kann dies für das Datenschutzrecht sprachlich einfach umdrehen ohne auch nur irgendwas am Regelungsinhalt zu ändern:
„Die Verarbeitung personenbezogener Daten ist erlaubt. Ausnahmsweise ist die Verarbeitung nicht erlaubt, wenn kein berechtigtes Interesse oder keiner der im folgenden (enumartiv aufzulistenden – etwa: keine andere Rechtsgrundlage, Einwilligung etc. -) Fälle vorliegt.“
Diese Herangehensweise wäre aber in keiner Weise ein Gewinn. Sie ist im Gegenteil eher nachteilig, da der Verwender personenbogener Daten (die DV-Stelle, der Auftragsdatenverarbeiter) bei der jetzigen Formulierung gewarnt ist, dass er aufpassen muss, sobald er personenbezogene Daten verarbeitet. Schließlich arbeitet er mit Daten, die spezifische Aussagen über bestimmte Personen ermöglichen und damit die Interessen des Betroffenen in vielerlei Hinsicht beeinträchtigen können.
Die Forderung nach Abschaffung des „Verbotsvorbehalts“ ist also Element einer Scheindebatte, bei der zu befürchten ist, dass sie entweder von fehlender juristischer Sachkenntnis oder von nicht offen deklarierten politischen Interessen getragen ist, weil es eben nicht nur um eine Änderung der Systematik sondern auch um eine inhaltliche Veränderung geht.(*)
Immer wieder wird vorgetragen, dass es sich um ein Verbot handelt, das sich nur durch Gesetz oder Einwilligung fallweise aufheben lässt; dies ist aber faktisch nicht mehr gegeben, da der (in soweit dogmatisch richtig) gesetzliche Auffangtatbestand des berechtigten Interesses mittlerweile den Regelfall darstellt. Eine vorwärtsgerichtete Diskussion sollte also diesen viel zu weit gefassten Auffangstatbestand wieder auf das reduzieren, was ein Auffangtatbestand leisten soll: in seltenen Ausnahmefällen eine Möglichkeit zu schaffen zu gerechten Lösungen zu finden. In der derzeitigen, breiten Ausprägung ist er uferlos und dient nicht der Rechtsklarheit. Wir sollten die bestehnden Fallgruppen diskutieren und entsprechend gesetzlich normieren.
Mach doch mal einen Vorschlag für eine Formulierung, die etwa von die angesprochenen IP-Adressen, Cookies und auch das Spannungsverhältnis zur Meinungsfreiheit präziser fasst. Vielleicht kommen wir dann tatsächlich ganz ohne diesen problematischen Auffangtatbestand aus. Das wäre jedenfalls etwas, was die Debatte als sachlichen Beiträgen im Augenblick brauchen könnte, anstatt engagierte Menschen, die sich zum Thema Gedanken machen, ohne dafür von großen Firmen für ihre gewogene Meinungsbildung bezahlt werden, als „vermeintliche Bürgerrechtler“ zu beschimpfen.
(*) Gute Vorschläge für solche Veränderungen habe ich noch nicht vorgefunden. Der Beitrag von Schneider/Härting in diesem Bereich entbehrt jedenfalls jeder vernünftigen Grundlage, sofern Du dich auf diesen beziehst, als Du etwas von „ernsthaften Stimmen“ schriebst. Die dort geäußerte Ausgangsüberlegung, dass es eine Alltagskommunikation gebe, die nicht schutzbedürftig sei, ist schlicht fehlgeleitet, denn grade sie verdient erheblichen Schutz, da wirst Du mir vermutlich zustimmen. Jenseits dieser Alltagskommunikation enthält der Vorschlag nichts als alten Wein in neuen Schläuchen. (Abgesehen davon kann ich Härting spätestens seit seinem peinlichen Vortrag auf der Veranstaltung des DAV am 27.10.2010, nicht mehr wirklich ernst nehmen.)
krugar | 23.02.2013 | 12:31 Uhr
die in diesen beitrag investierte zeit wäre vielleicht sinnvoller eingesetzt gewesen, im detail zu erläutern, was genau die juristische bedeutung der formulierung „berechtigtes interesse“ ist? sind damit alle interessen gemeint, die sich nach rechtslage vor gericht durchbringen ließen? alle interessen, die eine aktiengesellschaft im rahmen ihrer aufgabenstellung im namen ihrer anleger verfolgt? etc, pp.
für mich als juristischen laien klingt das einfach sehr schwammig nach „ich will/brauch das aber! sagt erstmal was dagegen!“, und auf der basis würde ich @digiges zustimmen.
Oydenos | 23.02.2013 | 11:22 Uhr
»Die Übermittlung und Speicherung von IP-Adressen und Cookies wäre damit nach dem geltenden Verbotsprinzip zunächst generell verboten. … Das Dumme ist jetzt nur, dass dieser Trojaner die Internetkommunkation datenschutzrechtlich überhaupt erst erlaubt.«
››Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere genau festgelegte Zwecke gegeben. …‹‹
Ich denke, daß die Anfrage zur Herstellung einer Verbindung zu einem Server die Erlaubnis zur transienten, nicht aber der permanenten Speicherung der jeweiligen IP-Adresse beinhaltet, zumal hier der Zweck der Verarbeitung, nämlich die Herstellung und Aufrechterhaltung der Verbindung für die Dauer der beauftragten Verbindung, eindeutig beauftragt wurde. Eine weitere Erfassung der Daten wurde damit aber nicht beauftragt.
Cookies sind für die Internetkommunikation nur in Ausnahmefällen technisch notwendig; nach dem Ende der Verbindung können sie IMMER gelöscht werden und werden serverseitig keinesfalls mehr benötigt, außer der Betreiber des Servers hat vor, damit Schindluder zu betreiben.
Das Berichterstattungsprivileg endet immer im allgemeinen Persönlichkeitsrecht; und da sehe ich keine Ausnahmen, die ich zu tolerieren bereit wäre.