Source: https://www.datenschutzzentrum.de/vortraege/20131112-weichert-schutzregelungen-tkg-bdsg.html
Timestamp: 2017-07-23 20:51:58
Document Index: 50350235

Matched Legal Cases: ['Art. 5', '§ 39', 'Art. 20', '§ 1', 'Art. 4', 'Art. 3', 'Art. 51', 'Art. 73', 'Art. 54', '§ 98', '§ 98', 'Art. 9', '§ 98', '§ 15', '§ 28', '§ 13', '§ 5', '§ 6', '§ 13', '§ 15', '§ 28', '§ 4', '§ 33', '§ 6', '§ 4', '§ 6', '§ 305', '§ 4', '§ 13', '§ 28', '§ 13', '§ 13', '§ 34', '§ 35']

„Sind die gesetzlichen Schutzregelungen im Telekommunikationsgesetz und im Bundesdatenschutzgesetz für die Nutzenden ausreichend?“
Veranstaltung des Bundesministeriums für Ernährung, Landwirtschaft und Verbraucherschutz (BMELV) am 12. November 2013 in Bamberg
Impuls: „Sind die gesetzlichen Schutzregelungen im Telekommunikationsgesetz und im Bundesdatenschutzgesetz für die Nutzenden ausreichend?“
Begleitende Vortragsfolien Dass es Gesetzgebungsbedarf im Bereich „Mobile Computing“ geben muss, drängt sich allein angesichts der anwendbaren Regelungen auf. Diese – das Bundesdatenschutzgesetz (BDSG), das Telemediengesetz (TMG) und das Telekommunikationsgesetz (TKG) sowie flankierend das Verbraucherrecht, z. B. im Bürgerlichen Gesetzbuch (BGB) – stammen teilweise aus Vor-Internet-Zeiten, in denen dem Gesetzgeber die Möglichkeiten und Herausforderungen des mobilen Netzes im Hinblick auf Verbraucherinnen und Verbraucher noch nicht im Ansatz erkennbar waren.
Die Komplexität der Rechtsbeziehungen erhöht sich dadurch, dass bei vielen Internetanwendungen nicht nur ein Nutzer, sondern ein oder mehrere Kommunikationspartner einbezogen sind. Dies gilt für die zweiseitige Kommunikation, aber erst recht für Konferenzkommunikationen, wie sie beruflich wie privat (beispielsweise bei Onlinespielen) vielfältig praktiziert werden. Nicht nur die Rollen, auch die technischen Infrastrukturen, auf denen der mobile Datenschutz aufsetzen oder in denen er nach Möglichkeit integriert sein sollte, sind alles andere als überschaubar und homogen:
Wann ist ein personenbezogenes Datum anzunehmen? Eine der aus Datenschutzsicht nutzlosesten und zugleich gefährlichsten Debatten ist die über den Personenbezug. Sie wurde erstmals erschöpfend über durch dynamische IP-Adressen erschlossene Daten geführt. Von Wirtschaftsseite wurde diese Debatte ausschließlich mit dem Ziel geführt, sich dem Datenschutzregime zu entziehen, wenngleich unbestreitbar war und ist, dass dynamische IP-Adresse und Zeitangabe in den allermeisten Fällen eine Zuordnung zu einen Gerätebesitzer und zu einem Nutzenden, also zu einer natürlichen Person, erlaubt. Eine vergleichbar fruchtlose Debatte wurde zu den Cookies geführt, die uns aber die grds. datenschutzfreundliche Regelungen des Art. 5 Abs. 3 EU-TK-DSRl einbrachte. Inzwischen gibt es – insbesondere im Mobilbereich – viele zusätzliche Identifikatoren, die an Hard- oder Software anknüpfen und die wegen ihrer Zuordenbarkeit zu natürlichen Personen regelmäßig ebenso personenbeziehbar sind. Dies gilt für die Kennungen der Mobilgeräte (Unique Device Identifiers (UDID) wie beim iPhone oder andere Geräte-IDs), die weltweit eindeutig sind und nicht geändert werden können. Diese ermöglichen es App-, Portal- und Werbeanbietern, anwendungsübergreifend Zuordnungen vorzunehmen und diese Gerätenutzungen zu verfolgen, also zu tracken, und beispielsweise für Werbezwecke zu vermarkten. Über lange Zeit hinweg war es üblich, dass Apps die Geräte-ID ohne Einwilligung des Betroffenen erhoben und nutzten. Diese nach deutschem Recht unzulässige Praxis wird zunehmend von Anbietern, wie z. B. Apple, technisch nicht mehr zugelassen, ist aber weiterhin verbreitet. Apple hat als Ersatz für die Nutzung der UDID einen Identifier for Advertising (IDFA) eingeführt, dem ebenso ein Personenbezug zukommt, selbst wenn Nutzer durch Einstellungen dessen Nutzung beschränken können. Ein Personenbezug liegt auch dann vor, wenn die mobile IT Bestandteil einer umfassenderen Hardware, etwa eines Kfz ist. Darüber wird evtl. selbst das Kfz-Kennzeichen oder die Fahrzeug-Identifizierungsnummer zu einem datenschutzrechtlich relevanten Identifikator (vgl. § 39 Abs. 1 StVG). Bei einer Fortschreibung des Rechts muss beachtet werden, dass Identifikatoren in immer schwieriger erkennbarem Gewand daherkommen: An die Stelle von Cookies oder Geräte-IDs wird auf Merkmalskombinationen zurückgegriffen, mit denen Nutzer eindeutig identifiziert werden können, ohne dass dies sofort erkennbar ist, z. B. indem ein Browser-Fingerprint zum Tracken verwendet wird. Eine gesetzgeberische Antwort hierauf darf sich nicht in einer technikbezogenen Präzisierung dessen erschöpfen, was unter Personenbeziehbarkeit zu verstehen ist; die Technik würde dazu jeweils Ausweichstrategien entwickeln. Eine wirksame Antwort liegt aber in der Einschränkung von Profilbildungen, so wie dies Art. 20 EU-DSGVO versucht. Wer ist für welche Datenverarbeitung verantwortlich? Der Frage nach der datenschutzrechtlichen Verantwortlichkeit wurde über viele Jahre hinweg als geklärt bzw. irrelevant angesehen. Dies hat sich mit der Nutzung von Internet-Diensten und erst recht von mobilen Smartphones geändert. Durch die Einschaltung vieler Stellen, durch die Unklarheit, welche dieser Stellen welche Datenverarbeitung durchführt, und durch die Angewiesenheit auf diese Verarbeitungsketten besteht die Gefahr, dass die Verantwortlichen nicht feststellbar sind. Dies führt zwangsläufig dazu, dass sich Beteiligte ihrer Verantwortung entziehen und ihre Geschäftsmodelle auf einer datenschutzwidrigen Datenverarbeitung aufbauen. Bei der Mobilkommunikation sind regelmäßig Endnutzer, Webseitenanbieter, App-Anbieterund bzw. oder Portalbetreiber für bestimmte Formen der Datenverarbeitung verantwortlich.
Welches Recht ist anwendbar? Ebenso ungeklärt war lange Zeit, welches Datenschutzrecht anwendbar ist. § 1 Abs. 5 BDSG in Umsetzung von Art. 4 EU-DSRl gibt dazu bisher eine Antwort, die aber Interpretationsspielraum eröffnet: Anwendbar ist danach bei Vorliegen einer Niederlassung das nationale Recht der Niederlassung. Das VG Schleswig wie auch das OVG Schleswig-Holstein betrachteten aber nicht jede Art von Niederlassung als relevant, sondern nur eine, in der über die konkrete Datenverarbeitung entschieden wird (OVG SH, B. v. 22.04.2013, 4 MB 11/13). Dass eine deutsche Stelle für ein Unternehmen tätig ist, z. B. für das Marketing und die Akquise, soll keine Rolle spielen. Es wird also einem Unternehmen überlassen festzulegen, wo die wesentlichen Entscheidungen getroffen werden und damit welches Recht anwendbar ist. Diese anbieterzentrierte, nicht am Verbraucher oder am Grundrechtsschutz orientierte Gesetzesinterpretation ermöglicht es Unternehmen, ihre Standortentscheidungen danach zu treffen, wo das geringste Datenschutzniveau besteht bzw. wo Datenschutzrecht am schwierigsten für die Betroffenen durchzusetzen ist. Dieses fragwürdige Ergebnis soll mit der EU-DSGVO verändert werden: Europaweit soll einheitlich dieselbe Verordnung anwendbar sein, egal ob die Verarbeitung in der EU erfolgt oder nicht. Gemäß Art. 3 Abs. 2 a) soll es darauf ankommen, dass Betroffenen in der EU Waren oder Dienstleistungen angeboten werden. Nach Art. 51 Abs. 1 des Parlamentsvorschlages gilt das Territorialitätsprinzip. Jeder Betroffene hat nach Art. 73 EU-DSGVO die Möglichkeit, bei jeder Aufsichtsbehörde seine Beschwerde einzureichen. Vorrangig zuständig ist nach Art. 54a die „Lead Authority“, also die Behörde am Ort der Hauptniederlassung. Vor einer Entscheidung muss aber eine Beteiligung der anderen betroffenen Aufsichtsbehörden erfolgen, wobei Konsens angestrebt werden muss und eine Anrufung des letztentscheidenden Europäischen Datenschutzbords möglich ist. Welche materiell-rechtlichen Voraussetzungen bestehen für die Verarbeitung von Standortdaten und -profilen? Standortdaten sind – im Zusammenhang mit Geräte- oder Nutzeridentifikatoren – personenbezogene Daten, die regelmäßig Auskunft darüber geben, wo sich ein Nutzer aufhielt bzw. aufhält. In Kombination mit weiteren Inhalts- und Nutzungsdaten, z. B. von Location Based Services, kommt diesen Daten eine hohe Aussagekraft zu. Der Standort lässt sich auf unterschiedliche Weise feststellen. Möglich ist dies über Satellitennavigationssysteme wie GPS (Global Positioning System), über den lokalisierten WLAN-Zugang und dessen MAC-Adresse (Media Access Control) oder durch die Ortung über Mobilfunkbasisstationen, die bei eingeschaltetem und eingebuchtem mobilen Gerät nutzerseitig nicht unterbunden werden kann.
Standortdaten werden regelmäßig als Verkehrs- oder Nutzungsdaten erhoben. Denkbar ist aber auch, z. B. durch Einsatz von GPS, dass sie unabhängig vom Verbindungsaufbau erhoben und verarbeitet werden. Die Verarbeitung von Standortdaten scheint knapp und befriedigend geregelt: Gemäß § 98 TKG ist die Verarbeitung erlaubt, wenn und soweit dies „zur Bereitstellung von Diensten mit Zusatznutzen“ erforderlich ist. Für sämtliche weiteren Nutzungen bedarf es der ausdrücklichen Einwilligung des Teilnehmers. Mitbenutzende sind über erteilte Einwilligungen zu unterrichten. Selbst bei Bestehen einer Generaleinwilligung muss die Möglichkeit bestehen, die Erfassung „auf einfache Weise und unentgeltlich zeitweise zu untersagen“. Ansonsten muss vor einer Verarbeitung eine Anonymisierung erfolgen. § 98 TKG setzt Art. 9 der EU-TK-DSRl um. Problematisch ist jedoch, dass das Abgreifen von Standortdaten oft nicht im Zusammenhang mit der Erbringung eines TK-Dienstes und durch den TK-Dienstebetreiber erfolgt. § 98 TKG ist nicht direkt auf Telemedienanbieter und auf gesondert erhobene GPS-Daten anwendbar. Dessen ungeachtet können und müssen – wegen des generell im Datenschutzrecht geltenden Verbotsprinzips mit Erlaubnisvorbehalt – bei der Verwendung von Standortdaten, die nicht zur Erbringung des Mediendienstes erforderlich sind, Einwilligungen eingeholt werden. Fraglich ist, was zur Erbringung eines Dienstes nötig ist: Die Festlegung erfolgt einseitig durch den Anbieter, etwa einer App. Handelt es sich bei den dann erhobenen Daten nicht um Nutzungs-, sondern um Inhaltsdaten, so ist nicht einmal § 15 Abs. 3 TMG anwendbar mit der Folge, dass nach § 28 Abs. 3 BDSG eine Werbenutzung dieser Angaben schnell so begründet wird. Wegen des hohen Risikopotenzials von Standortdaten sind an Einwilligungen dem gegenüber hohe Anforderungen zu stellen.
Dass z. B. von App-, Portal- und weiteren System-Anbietern in zu großem Maße – und damit unzulässig – Standortdaten erhoben und verarbeitet werden, ist weniger den materiellen Regelungen zuzuschreiben als dem Umstand, dass von den Betroffenen einzuholende Einwilligungen unzureichend sind oder – unzulässigerweise – völlig auf diese verzichtet wird. Wie kann für die Betroffenen die nötige Transparenz hergestellt werden? Mobile Geräte haben regelmäßig ein kleineres Display als die hochauflösenden Bildschirme von stationären Rechnern. Zwar lassen sich auf Tablets fast ähnlich große Informationsmengen wie auf einem PC-Bildschirm anzeigen, doch gelten für Mobilgeräte einheitliche Standards, die auch für Hosentaschengeräte anwendbar sein müssen. Gemäß § 13 Abs. 1 TMG sind Nutzende zu Beginn eines Vorgangs über die Art, den Umfang und die Zwecke der Erhebung und Verwendung der Daten sowie über die Verarbeitung außerhalb von Europa „in allgemein verständlicher Form zu unterrichten“. Nur so ist eine selbstbestimmte Entscheidung darüber möglich, ob und wie der Dienst genutzt werden soll. Die Transparenzpflichten gehen aber noch weiter: § 5 TMG verpflichtet zur erreichbaren Anzeige von Impressumsangaben, bei kommerziellen Angeboten nach § 6 TMG mit zusätzlichen Hinweisen. Im Fall einer Weitervermittlung muss dies nach § 13 Abs. 5 TMG angezeigt werden. Für den Fall der Profilbildung, also beispielsweise bei der Datenzusammenführung für Werbezwecke, muss nach § 15 Abs. 3 TMG hierüber sowie über das bestehende Widerspruchsrecht informiert werden. Zu diesen Anforderungen des TMG kommen weitere Transparenzpflichten nach dem BDSG: die Pflicht zur Information über Werbenutzungen und über die Einräumung der Widerspruchsmöglichkeit hiergegen nach § 28 Abs. 4 BDSG und die Pflicht zur Bereitstellung von Verfahrensverzeichnissen (§§ 4e, 4g Abs. 2 BDSG). Bei besonderen Übermittlungen sind nach § 33 BDSG und bei bestimmten automatisierten Entscheidungen nach § 6a BDSG weitere Benachrichtigungspflichten vorgesehen. Gesetzlich gar nicht geregelt, aber dringend nötig wäre zur Sicherung der Betroffenenrechte die Mitteilung der Erreichbarkeit des betrieblichen Datenschutzbeauftragten (§ 4f BDSG) und die Benennung dieser Betroffenenrechte (§§ 6, 34, 35 BDSG).
Viele Anbieter machen es sich bei der Vermittlung dieser Informationsfülle einfach, indem sie die gesamten Angaben in eine Buchstabenwüste von Privacy Policies oder Nutzungsbestimmungen packen, verbunden mit der Vermutung, dass diese ohnehin nicht zur Kenntnis genommen werden. Hiergegen gibt es bisher rechtlich keinen wirksamen Schutz. Es bedarf aufwändiger Verfahren und zumeist Gerichtsprozesse, z. B. durch Verbraucherschutzverbände, um gegen diese Buchstabenwüsten nach den Regeln zu Allgemeinen Geschäftsbedingungen (AGBs) gemäß den §§ 305 ff. BGB vorgehen. Wegen der Vielfalt der technischen Gestaltung und deren verbaler Darstellungen haben selbst gerichtliche Festlegungen nur eine geringe Bindungs- und Vorbildwirkung. In der Praxis gibt es inzwischen Lösungen, die Informationsgehalt einerseits und Aufnahmefähigkeit und -bereitschaft des Nutzers andererseits aufeinander abstimmen. Derartige verbraucherfreundliche Lösungen laufen darauf hinaus, dass Informationen nicht pauschal und vorab erteilt werden, sondern situationsbezogen und nur wenn erforderlich. Außerdem kann mit einem mehrschichtigen Informationsangebot zunächst ein Hinweis, evtl. per Icon, dann eine generelle – gesetzlich geforderte – Information und nur im Bedarfsfall eine – gesetzlich möglicherweise nicht zwingende, aber vertieften Verbraucherinteressen entsprechende – Hintergrundinformation gegeben werden. Derartiges „Layered Policy Design“ mag wegen seiner hohen differenzierten Anforderungen im Detail gesetzlich schwer zu erzwingen sein. Wohl aber ist es möglich, solche vorbildlichen Angebote über unabhängige Zertifizierungen oder Siegel für den Verbraucher erkennbar zu machen.
Welche Anforderungen sind an wirksame Betroffeneneinwilligungen bzw. –wider­sprüche zu stellen? Die datenschutzrechtlichen Anforderungen an wirksame Einwilligungen sind in § 4a BDSG und § 13 Abs. 2 TMG geregelt. Einwilligungen müssen Angaben über die verantwortliche Stelle, den erlaubten Zweck und über Art und Umfang der Daten enthalten. Die Erklärung darf also nicht pauschal, sondern muss qualifiziert erfolgen. Die Einwilligung muss freiwillig sein. Dies ist nicht der Fall – unabhängig von expliziten Koppelungsverboten –, wenn die Einwilligung mit der Erbringung einer für den Betroffenen existenziellen Leistung zwingend verknüpft wird. Die Einwilligungserklärung muss gesondert hervorgehoben werden und darf nicht in AGBs versteckt sein. Weitere Voraussetzung ist die künftige Widerrufbarkeit (vgl. auch § 28 Abs. 3a BDSG). Bei elektronischen Einwilligungen wird nach § 13 Abs. 2 TMG zusätzlich gefordert, dass die Erklärung protokolliert wird und jederzeit abrufbar ist.
Wie können die Betroffenenrechte in der Praxis umgesetzt werden? Ein großes Problem bei Internet-Diensten ist die technische, rechtliche und letztlich praktische Durchsetzung der Betroffenenrechte, also insbesondere des Rechts auf Auskunft (§ 13 Abs. 7 TMG, § 34 BDSG) sowie die Rechte auf Berichtigung, Löschung und Sperrung von Daten (§ 35 BDSG). Bei der Mobilkommunikation werden noch mehr Daten als bei der stationären Datenverarbeitung beiläufig erfasst, für die es oft nur einen kurzfristigen Speicherbedarf gibt. Dies gilt insbesondere für App- und Portalanbieter. Die rechtlichen Anforderungen an Auskunftserteilung und Datenkorrektur sind klar und weitgehend unstreitig. So ist z. B. unbestreitbar, dass die Betroffenenrechte sich auch auf pseudonym erfasste Daten erstrecken. Probleme bestehen jedoch bei der Realisierung der Betroffenenrechte.
Zusammenfassung und Ausblick Die Untersuchung der vordringlichen Datenschutzfragen des Mobile Computing zeigt, dass diese weitgehend identisch sind mit den allgemeinen Fragen moderner Internet-Datenverarbeitung. Die insofern bestehenden Regulierungsdefizite werden beim Mobile Computing oft noch verstärkt. Dies gilt etwa für die ungeklärten Fragen zur Verantwortlichkeit und zum anwendbaren Recht. Die Entwürfe zu einer EU-DSGVO versprechen insofern nur teilweise Abhilfe.
Die Besonderheit des Mobile Computing liegt in den extensiven Nutzungspotentialen der Standortdaten. Deren Verarbeitung jenseits der Erbringung der jeweiligen Dienste ist von ausdrücklichen Einwilligungen abhängig. Unbestreitbar ist, dass die bestehenden rechtlichen Anforderungen in der Praxis oft nicht beachtet werden. Der Abbau von Vollzugsdefiziten ist insofern von größter Bedeutung. Hierfür ist nicht nur eine bessere Ausstattung der Aufsichtsbehörden relevant; förderlich können auch die Verbesserung des Instrumentariums der Aufsichtsbehörden, eine Verschärfung der Sanktionen, die Erhöhung der Praktikabilität der Betroffenenrechte sowie eine Erleichterung der Klagemöglichkeiten sein. Einiges hiervon wird in den Entwürfen zur EU-DSGVO vorgesehen. Nicht zwingend regulierungsbedürftig, aber regulierungsfähig und zweifellos begrüßenswert sind Infrastruktur-Verbesserungen für den Datenschutz: Privacy by Default, Standardisierungen und Zertifizierungen können das Datenschutzniveau bei der Internet-Datenverarbeitung generell und beim Mobile Computing speziell massiv verbessern.
Es ist absehbar, dass Trends des mobilen Computings künftig noch zu einer stärkeren Relevanz für Individuen und Gesellschaft entfalten werden. Diese sollten daher in Bezug auf regulatorische Möglichkeiten oder Notwendigkeiten politisch diskutiert werden. Dazu gehören der Einsatz von NFC-Technologie (z. B. zum Bezahlen, zur Interaktion mit anderen Personen oder zur Konfiguration eines Smart Homes), die Verwendung von Handys als Multifunktionsdevices (z. B. gleichermaßen zur Individualkommunikation wie etwa zur Fernsteuerung von Geräten, z. B. Drohnen), die Erfassung und Auswertung biometrischer Daten der Nutzenden (z. B. zu medizinischen Zwecken, zur Selbstvermessung oder zur Unterstützung wie in Sprachassistenzsystemen) oder die Übertragung und Analyse von Daten der Umgebung (z. B. Google Glass). Schließlich sollte auch das Potenzial von Mobile Computing für ein Mehr an Datenschutz ausgelotet werden, beispielsweise indem die Nutzerinnen und Nutzern mit Hilfe solcher Geräte gerade in der komplexer werdenden Welt der ubiquitären Datenverarbeitung in der Risikoeinschätzung, im Identitätenmanagement und insgesamt in ihrer informationellen Selbstbestimmung effektiv unterstützt werden.