Category Archives: Gesetze

Datenschutz-Deutschland: Geprägt von Uneinigkeit

Posted on by

Die Pressemitteilung der Landesbeauftragten für den Datenschutz und für das Recht auf Akteneinsicht in Brandenburg, dass Datenschutzverstöße von Kommunen im Rahmen des Einsatzes des Analysetools Google Analytics nach Überprüfungen abgestellt wurden, hat mich stutzig gemacht. Anhand dieses Beispiels „Google Analytics“ kann man jedoch erkennen, mit welchen tatsächlichen Schwierigkeiten sowohl Unternehmen als auch Behörden derzeit bei der Beachtung der gesetzlichen Vorgaben zum Datenschutz umgehen müssen, wenn sie weder völlig auf neue Technologien verzichten möchten, noch gesetzliche Standards völlig unbeachtet lassen wollen.

Einheitliche Position der Behörden
Für den privaten Bereich hatten sich alle deutschen Landesdatenschutzbehörden auf ein einheitliches Vorgehen in Sachen „Google Analytics“ verständigt. Unter Federführung des Hamburger Datenschützers wurde ein Verfahren mit Google abgestimmt, welches den (nach Ansicht der Behörden) datenschutzrechtskonformen Einsatz des Tools ermöglicht. Ein solches Ergebnis ist aus Sicht der Praxis und in diesem Fall der privatwirtschaftlichen Betreiber von Webseiten absolut zu begrüßen. Denn es wäre kaum verständlich und vermittelbar, warum etwa ein Unternehmen in Bayern Google Analytics nutzen dürfte und z. B. ein Unternehmen in Hessen nicht. Daneben könnten sich aus einer solchen Situation auch wirtschaftliche Nach- bzw. Vorteile für die Unternehmen ergeben, je nachdem in welchem Bundesland sie sitzen und welche Landesbehörde zuständig ist.

Aber: der öffentliche Bereich
Die angesprochene Mitteilung der Landesdatenschutzbeauftragten aus Brandenburg betrifft nun aber öffentliche Stellen. Hier gelten (teilweise) andere Datenschutzgesetze als im privatwirtschaftlichen Bereich. Einige sind aber auch gleich, gerade was die hier in Rede stehenden Voraussetzungen des § 15 Abs. 3 TMG betrifft (vgl. etwa 16. Tätigkeitsbericht des Sächsischen Datenschutzbeauftragten, S. 122, PDF). Nach Aussage in der Pressemitteilung der Landesdatenschutzbeauftragten in Brandenburg schließt der „Einsatz von Google Analytics durch öffentliche Stellen in Brandenburg“ die Möglichkeit des datenschutzgerechten Betriebes von Internetangeboten aus. Man geht also von der absoluten Unzulässigkeit aus.

Doch warum soll hier etwas anderes gelten, als im privaten Bereich? Können öffentliche Stellen nicht auf die durch die Datenschutzbehörden mit Google ausgehandelten Kriterien zurückgreifen? Auch der Landesdatenschützer in Hessen geht von der Unzulässigkeit des Einsatzes von Google Analytics durch öffentliche Stellen aus. Grund hierfür ist oft, dass im öffentlichen Datenschutzrecht spezielle Anforderungen an die Auftragsdatenverarbeitung gestellt werden, die Google nicht erfüllen kann. Auf der anderen Seite ging bereits im Jahre 2010 der Bayerischen Landesbeauftragten für den Datenschutz davon aus, dass Google Analytics auch durch Behörden grundsätzlich rechtskonform eingesetzt werden kann. In einer Pressemitteilung, die im Rahmen der Prüfung bayerischer Behörden entstand, führt er aus:

Bei der Anfang November durchgeführten Nachprüfung hat sich gezeigt, dass nunmehr nur noch 159 bayerische Behörden Google Analytics einsetzen. 25 dieser Behörden tun dies in Verbindung mit einer Anonymisierungsfunktion, eine datenschutzkonforme Vorgehensweise ist danach zumindest möglich. (Hervorhebung durch mich).

Der Hamburgische Beauftragte für Datenschutz geht davon aus, dass für öffentliche Stellen in Hamburg andere rechtliche Voraussetzungen und zusätzliche Anforderungen gelten, die einen Einsatz von Google Analytics oder anderer Tracking-Dienste nur eingeschränkt ermöglichen (PDF). Ausgeschlossen ist der Einsatz danach aber nicht, wie sich etwa am Beispiel der Webseite des Hamburger Senats zeigt, auf der Google Analytics zum Einsatz kommt.

Quintessenz
Was möchte ich mit diesen Feststellungen sagen? Offensichtlich ist man sich bezüglich der Voraussetzungen des Einsatzes von Google Analytics in den Datenschutzbehörden in Deutschland uneins, was jedoch leider für den praktischen Umgang mit den Datenschutzgesetzen ein erhebliches und Rechtsunsicherheit schaffendes Problem darstellen kann. Gerade wenn solche landesspezifischen Abweichungen im Bereich der Durchsetzung des Datenschutzrechts in der Privatwirtschaft entstehen. Nach dem Motto: „Warum dürfen die Bayern das und wir nicht?“. Im konkreten Fall betrifft es beispielhaft das Thema „Google Analytics“ und den öffentlichen Bereich. Doch abweichende Rechtsanschauungen und damit einhergehend eine abweichende Rechtsdurchsetzung (immerhin mit der Möglichkeit Bußgelder zu verhängen), treten ebenso im privatwirtschaftlichen Bereich zu Tage. Man muss daher im Interesse aller Beteiligten hoffen, dass ein einheitliches Vorgehen der Aufsichtsbehörden in Zukunft, ja wenn nicht sogar eine gesetzliche Pflicht (man denke an die Vorgaben der Datenschutz-Grundverordnung zum sog. „one-stop-shop“) zum kohärenten Vollzug der Datenschutzgesetze, die Regel sein wird.

Neues Urteil des EuGH zur internationalen Zuständigkeit bei Urheberrechtsverletzungen im Internet

Posted on by

Mit Urteil vom 22. Januar 2015 (C-441/13) hat der Europäische Gerichtshof (EuGH) über die Auslegung von Art. 5 Abs. 3 der Verordnung 44/2001 (EuGVVO) zur internationalen Zuständigkeit von Gerichten bei Urheberrechtsverletzungen entschieden, dass im Fall der Geltendmachung einer Verletzung von Urheber? und verwandten Schutzrechten durch die Veröffentlichung von geschützten Lichtbildern auf einer Website, das Gericht zuständig ist, in dessen Bezirk diese Website zugänglich ist.

Sachverhalt
Frau Hejduk (die Klägerin des Ausgangsverfahrens), eine professionelle Architektur-Fotografin und Urheberin von Lichtbildwerken, hatte Bauten des österreichischen Architekten Georg W. Reinberg abgelichtet. Herr Reinberg soll im Rahmen einer von EnergieAgentur (ein deutsches Unternehmen; die Beklagte des Ausgangsverfahrens) veranstalteten Tagung diese Fotografien zur Illustration seiner Bauten verwendet haben, wozu er aufgrund einer Vereinbarung mit Frau Hejduk auch berechtigt war. EnergieAgentur soll jedoch anschließend diese Bilder ohne Zustimmung von Frau Hejduk und ohne Anführung einer Urheberbezeichnung auf ihrer Website (einer deutschen Homepage mit einer „.de“ Kennung) zum Abruf und Download bereitgehalten haben. Frau Hejduk verklagte das Unternehmen nun vor den österreichischen Gerichten, welche dem EuGH die Frage vorlegten, ob sie in dieser Situation überhaupt zuständig seien.

Entscheidung
Der EuGH stellt zunächst fest, dass Art. 5 Abs. 3 EuGVVO grundsätzlich eng auszulegen sei. Es handele sich um eine Ausnahme von dem in Art. 2 Abs. 1 EuGVVO aufgestellten Grundsatz, der die Zuständigkeit den Gerichten des Mitgliedstaats zuweist, in dessen Hoheitsgebiet der Beklagte seinen Wohnsitz hat. Danach führt das Gericht aus, dass nach seiner Rechtsprechung mit der Wendung „Ort, an dem das schädigende Ereignis eingetreten ist oder einzutreten droht“ in Art. 5 Nr. 3 EuGVVO sowohl der Ort der Verwirklichung des Schadenserfolgs als auch der Ort des für den Schaden ursächlichen Geschehens gemeint ist. Im Ergebnis kann der Beklagte nach Wahl des Klägers vor dem Gericht eines dieser beiden Orte verklagt werden kann.

Daneben muss beachtet werden, dass Urheberrechte zwar einheitlich in Europa in allen Mitgliedstaaten zu schützen sind, dass sie jedoch dem sog. Territorialitätsprinzip unterliegen. Dies bedeutet, dass Urheberrechte in jedem der Mitgliedstaaten nach dem dort anwendbaren materiellen Recht verletzt werden.

Ort des für den Schaden ursächlichen Geschehens
Danach macht sich der EuGH an die genauere Auslegung von Art. 5 Abs. 3 EuGVVO. Zunächst befasst sich der Gerichtshof mit dem zweiten möglichen Anknüpfungspunkt einer gerichtlichen Zuständigkeit, dem Ort des für den Schaden ursächlichen Geschehens. Dieses ist in dem vorliegenden Fall jedoch für die Begründung der Zuständigkeit des österreichischen Gerichts nicht maßgeblich. Denn in einem Fall wie dem des Ausgangsverfahrens, in dem die Verletzung von Urheberrechten durch die ohne Zustimmung des Urhebers erfolgte Veröffentlichung von Lichtbildern auf einer bestimmten Website im Raum steht, ist als das entscheidende „ursächliche Geschehen“ das Auslösen des technischen Vorgangs anzusehen, der zum Erscheinen der Lichtbilder auf dieser Website führt. Der EuGH führt aus, dass eine etwaige Verletzung der Urheberrechte durch das Verhalten des Inhabers dieser Website ausgelöst wird. Hieraus folge, dass das ursächliche Geschehen am Sitz des Unternehmens eintritt (hier: Deutschland) und damit keine Zuständigkeit des angerufenen Gerichts begründet werden konnte.

Ort der Verwirklichung des Schadenserfolgs
Danach prüft das Gericht die zweite Alternative für eine internationale Zuständigkeit, ob nämlich das österreichische Gericht über eine Anknüpfung an die Verwirklichung des geltend gemachten Schadenserfolgs zuständig sein kann. Hierfür muss bestimmt werden, wann ein Schaden in einem anderen Mitgliedstaat als dem verwirklicht oder zu verwirklichen droht, in dem das deutsche Unternehmen die Entscheidung, die Fotografien auf seiner Website zu veröffentlichen, getroffen und durchgeführt hat. Die Klägerin machte geltend, dass ihre Urheberrechte durch die Veröffentlichung ihrer Lichtbilder auf der Website von EnergieAgentur verletzt worden seien.

Der EuGH bestätigt zunächst, dass die von Frau Hejduk geltend gemachten Rechte in Österreich geschützt sind. Das beklagte deutsche Unternehmen führte jedoch in Bezug auf die Gefahr, dass der Schadenserfolg in einem anderen Mitgliedstaat als dem seines Sitzes eintritt, aus, dass seine Website, auf der die streitigen Lichtbilder veröffentlicht worden seien und die unter einem nationalen deutschen Top-Level-Domain-Namen, d. h. „.de“, betrieben werde, nicht auf Österreich ausgerichtet sei, so dass der Schadenserfolg nicht in diesem Mitgliedstaat eingetreten sei.

Diesem Argument stellt sich der EuGH jedoch entgegen. Es ergebe sich aus der Rechtsprechung des Gerichtshofs, dass Art. 5 Nr. 3 EuGVVO nicht verlangt, dass die fragliche Website auf den Mitgliedstaat des angerufenen Gerichts „ausgerichtet“ ist.

Unter Umständen wie denen des Ausgangsverfahrens ergibt sich der Schadenserfolg bzw. die Gefahr seiner Verwirklichung somit daraus, dass die Lichtbilder, an denen die von Frau Hejduk geltend gemachten Rechte bestehen, über die Website von EnergieAgentur in dem Mitgliedstaat des vorlegenden Gerichts zugänglich sind.

(Hervorhebung durch mich)

Zuletzt stellt der Gerichtshof klar, dass das angerufene österreichische Gericht in Anknüpfung an den Ort der Verwirklichung des Schadenserfolgs nur für die Entscheidung über den Schaden zuständig ist, der im Hoheitsgebiet des Mitgliedstaats verursacht worden ist, zu dem es gehört.

USA: Obama kündigt neue Gesetze zur IT-Sicherheit und zum Datenschutz an

Posted on by

Im Rahmen eines Besuchs bei der amerikanischen Federal Trade Commission (FTC), hat Präsident Obama mehrere Initiativen angekündigt, um zukünftig sowohl die IT-Sicherheit bei Unternehmen und Behörden zu erhöhen als auch den Schutz personenbezogener Daten in den USA zu stärken.

Zu den vorgeschlagenen Initiativen und Maßnahmen hat das Weiße Haus ein übersichtliches „Fact Sheet“ veröffentlicht.

Datensicherheit
So beinhaltet das Maßnahmenpaket unter anderem den Gesetzesvorschlag für den „Personal Data Notification & Protection Act“. Dieser Vorschlag hat vor allem die Datensicherheit und ganz konkret Sicherheitsverletzungen im Auge. Mit dem Gesetz sollen die Pflichten von Unternehmen im Fall der Verlustes oder widerrechtlichen Zugriffs auf Daten klarer gefasst werden. Kunden sollen danach innerhalb von 30 Tagen benachrichtigt werden, wenn es zu einer Sicherheitsverletzung kommt. Auf der anderen Seite sollen die Neureglungen einen einheitlichen, nationalen Standard und damit eine Erleichterung in der täglichen Praxis für Unternehmen darstellen.

Datenschutz bei Schülern
Anders als in Europa wird in den USA der Datenschutz sektoral geregelt. Es gibt also spezielle Gesetze, welche den Umgang mit personenbezogenen Daten in einer besonderen Situation oder etwa in einem Wirtschaftszweig regeln. Präsident Obama kündigt den Entwurf für ein neues Gesetz an, welches den Schutz von personenbezogenen Daten sicherstellen soll, die im Zusammenhang mit dem Unterricht an Schulen und Bildungseinrichtungen erhoben wurden. Der „Student Digital Privacy Act“. Danach soll es Unternehmen verboten werden, personenbezogene Daten von Schülern oder Studenten an Dritte zu anderen Zweck zu verkaufen, die nicht mit dem Bildungsauftrag im Zusammenhang stehen. Auch personalisierte Werbung auf der Grundlage der im Zusammenhang mit der Ausbildung und dem Unterricht erhobenen Daten soll ausgeschlossen werden. Dennoch soll eine Datenverarbeitung für wichtige Forschungsinitiativen, etwa um die Lernergebnisse zu verbessern, möglich sein. Auch die Anstrengungen von Unternehmen zur kontinuierlichen Verbesserung der Wirksamkeit technischer Lernmittel und hiermit im Zusammenhang stehende Datenverarbeitungen sollen nicht behindert werden.

Verbraucherschutz im Internet
Daneben möchte Präsident Obama wichtige Grundprinzipien bei dem Umgang mit personenbezogenen Daten von Nutzern im Internet gesetzlich festschreiben. Hierzu soll auf der bereits im Jahr 2012 vorgestellten „Consumer Privacy Bill of Rights“ (PDF) aufgebaut werden. Zu den Grundprinzipien der Datenverarbeitung gehören nach diesem Gesetzesvorschlag u. a. die individuelle Kontrolle über personenbezogene Daten, die Transparenz in Bezug auf die Erhobenen Daten und deren Verwendung sowie eine Zweckbestimmung der Datenverarbeitung, dass also Daten nicht für gänzlich andere bzw. mit dem Erhebungszweck unvereinbare Zwecke genutzt werden. Diese Prinzipien sind den Europäern aus der geltenden Datenschutzrichtlinie und den nationalen Gesetzen bereits bekannt. Nach einer Phase der öffentlichen Konsultation zu einem überarbeiteten Gesetzesentwurf soll dieser neue Gesetzestext in den USA nun innerhalb von 45 Tagen vorgestellt werden.

Bundesverwaltungsgericht: Urteil zur Zulässigkeit des KFZ-Kennzeichen-Scannings im Volltext

Posted on by

Das Urteil des Bundesverwaltungsgerichts (BVerwG) vom 22.10.2014 (Az. 6 C 7.13), wonach ein Eingriff in das Recht auf informationelle Selbstbestimmung beim automatisierten Scannen von KFZ-Kennzeichen durch die Polizei nicht vorliegt, wenn die Anonymität des Inhabers nicht aufgehoben wird, ist nun im Volltext (PDF) verfügbar. Gegen das Urteil wurde Verfassungsbeschwerde eingelegt (Meldung bei heise online), so dass sich in einem nächsten Schritt das Bundesverfassungsgericht (BVerfG) mit der Frage des Datenschutzes beim Kennzeichen-Scannen befassen wird. Dies im Übrigen nicht zum ersten Mal. Im Jahre 2008 erklärte das BVerfG zwei landesgesetzliche Bestimmungen aus Schleswig-Holstein und Hessen für nichtig (Urteil v. 11.3.2008, Az. 1 BvR 2074/05, 1 BvR 1254/07).

Einige Anmerkungen zu dem nun veröffentlichten Urteil des BVerwG.

Die Szenarien
In dem Urteil wird zunächst gut verständlich dargestellt, um welche Situationen des Scannens von KZF-Kennzeichen es in dem zu entscheidenden Fall überhaupt ging. Das Gericht unterscheidet im Prinzip drei Szenarien:

1) Ergibt sich beim Datenabgleich mit Fahndungsdateien kein Treffer auf dem jeweiligen Rechner, wird das aufgenommene Kennzeichen nach dem Abgleich automatisch aus dem Arbeitsspeicher des Rechners gelöscht.

2) Im Fall einer vom System festgestellten Übereinstimmung zwischen dem erfassten Kennzeichen und den Fahndungsdateien wird der Treffer temporär in der Datenbank auf dem Rechner gespeichert und entweder gleichzeitig über eine Datenleitung an den Zentralrechner der Einsatzzentrale des jeweils zuständigen Polizeipräsidiums übermittelt oder auf dem mobilen Rechner (Notebook) vor Ort am Bildschirm aufgezeigt. Es erfolgt dann jeweils durch die zuständigen Polizeibeamten eine visuelle Kontrolle. Erweist sich der Treffer (mangels Übereinstimmung) als Fehlermeldung, gibt der Beamte auf dem Rechner den Befehl, den gesamten Vorgang zu entfernen.

3) Im Trefferfall startet der Polizeibeamte eine manuelle Abfrage bei der betreffenden Fahndungsdatei, speichert dann den Vorgang bzw. die Daten und veranlasst gegebenenfalls weitere polizeiliche Maßnahmen.

Personenbezug eines KFZ-Kennzeichens?
Das BVerwG geht relativ pauschal davon aus, dass es sich bei einem KFZ-Kennzeichen um ein personenbezogenes Datum handelt. Laut dem Gericht ist dies

als personenbezogenes Datum in den Schutzbereich des Grundrechts auf informationelle Selbstbestimmung einbezogen. Zwar offenbart die Buchstaben-Zahlen-Kombination, aus der es besteht, aus sich heraus noch nicht diejenige Person, der das Kennzeichen als Halter zu zuordnen ist. Diese Person ist jedoch durch Abfragen aus dem Fahrzeugregister (vgl. §§ 31 ff. StVG) bestimmbar.

Leider lässt sich dieser Aussage nicht genau entnehmen, welcher Auffassung das BVerwG in Bezug auf den in der juristischen Lehre und Praxis geführten Streit bei der Auslegung des Wortes „bestimmbar“ zuneigt. Einige Stimmen vertreten die absolute Perspektive bei der Auslegung der „Bestimmbarkeit“. Es würde danach für einen Personenbezug ausreichen, wenn irgendeine beliebige Stelle auf der Welt die Zuordnung der betreffenden Information zu einer natürlichen Person herstellen könnte. Es wäre unerheblich, wer genau diese Zuordnung vornehmen kann und ob die in Rede stehende Stelle die Mittel hierfür besitzt. Auf der anderen Seite wird ein relativer Ansatz vertreten. Danach muss man stets auf die tatsächlich verantwortliche Stelle und die ihr rechtmäßig zur Verfügung stehenden und vernünftigerweise einzusetzenden Mittel abstellen.

Der Aussage des BVerwG nach könnte man zunächst davon ausgehen, dass das Gericht den absoluten Ansatz vertritt. Diese Mutmaßung wird jedoch entkräftet, wenn das Gericht am Ende seines Urteils bereits einen Eingriff (!; nicht etwa erst eine Verletzung) in das Recht auf informationelle Selbstbestimmung ablehnt, wenn der Polizeibeamte in Szenario 2 lediglich kurzzeitig die Buchstaben-Zahlen-Kombination (also das Kennzeichen) wahrnimmt, jedoch

seinerseits nicht über die rechtliche Befugnis verfügt – und auch der Sache nach keinen Anlass hätte -, eine Abfrage aus dem Fahrzeugregister vorzunehmen. Die Anonymität des Inhabers bleibt folglich gewahrt.

Dem Beamten ist es in diesem Fall gerade nicht möglich, den Personenbezug herzustellen. Er dürfte es auch nicht. Eine solche Auslegung und die Ablehnung eines Eingriffs in den Schutzbereich des Rechts auf informationelle Selbstbestimmung würden eher für den relativen Ansatz sprechen.

Keine belanglosen Daten
Eindeutig ist das BVerwG in Bezug auf die Definition des Schutzumfangs des Rechts auf informationelle Selbstbestimmung, wobei es hier auch auf das BVerfG verweist. Nach dem Gericht gibt es

unter den Bedingungen der elektronischen Datenverarbeitung kein schlechthin, also ungeachtet des Verwendungskontextes, belangloses personenbezogenes Datum mehr.

Kein Eingriff in Szenarien 1 und 2
In den oben beschriebenen Szenarien 1 und 2 verneint das BVerwG die Eingriffsqualität des Scannens und Abgleichens der Kennzeichen. In Szenario 2 wird nach dem Urteil zwar das erfasste Kennzeichen durch den Polizeibeamten zur Kenntnis genommen. Der Polizeibeamte beschränkt sich jedoch auf die Vornahme dieses Abgleichs und löscht den Vorgang umgehend, wenn der Abgleich negativ ausfällt.

Nur in Szenario 3 erkennt das BVerwG die Eingriffsqualität an. Bei einem „echten Treffer“ werde die Eingriffsschwelle überschritten. Denn durch die vorgesehene manuelle Abfrage aus der Fahndungsdatei werde die Identität des Kennzeicheninhabers gelüftet. Vorliegend konnte es in der Person des Klägers jedoch nicht zu so einem echten Treffer kommen, denn sein KFZ-Kennzeichen war nicht im Fahndungsbestand gespeichert. Nach dem BVerwG muss die bloße Eventualität, es könnte zukünftig zu einer solchen Speicherung kommen, jedoch außer Betracht bleiben.

IT-Sicherheitsgesetz: Geplante Änderungen und Auswirkungen für Webseitenbetreiber

Posted on by

Am 17.12.2014 hat die Bundesregierung den Entwurf für ein Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz, PDF) beschlossen. Nach der Pressemitteilung des federführend zuständigen Bundesinnenministeriums, werden in den Entwurf, zur Steigerung der IT-Sicherheit im Internet, die Anforderungen an Diensteanbieter im Telekommunikations- und Telemedienbereich erhöht. Sie sollen künftig Sicherheit nach dem jeweiligen Stand der Technik bieten.

Geplant sind auch Änderungen des Telemediengesetzes (TMG), welches im Grundsatz für alle Webseiten oder andere Internetangebote, aber etwa auch Apps gilt. Die Begründung des Gesetzentwurfes führt einleitend zu den vorgeschlagenen Anpassungen des TMG aus, dass wegen der zunehmenden Verbreitung von Schadsoftware über Telemediendienste, die bestehenden Pflichten für Telemediendiensteanbieter, die ihre Telemedien geschäftsmäßig anbieten, um technische und organisatorische Maßnahmen zum Schutz vor unerlaubten Zugriffen, der personenbezogenen Daten und vor Störungen ergänzt werden.

Nach dem Entwurf des IT-Sicherheitsgesetzes wird in § 13 TMG ein neuer Absatz 7 eingefügt (nachfolgend § 13 Abs. 7 TMG-E), der folgenden Wortlaut hat:

(7) Diensteanbieter haben, soweit dies technisch möglich und wirtschaftlich zumutbar ist, im Rahmen ihrer jeweiligen Verantwortlichkeit für geschäftsmäßig angebotene Telemedien durch technische und organisatorische Vorkehrungen sicherzustellen, dass

1. kein unerlaubter Zugriff auf die für ihre Telemedienangebote genutzten technischen Einrichtungen möglich ist und

2. diese
a) gegen Verletzungen des Schutzes personenbezogener Daten und
b) gegen Störungen, auch soweit sie durch äußere Angriffe bedingt sind,

gesichert sind. Vorkehrungen nach Satz 1 müssen den Stand der Technik berücksichtigen. Eine Maßnahme nach Satz 1 ist insbesondere die Anwendung eines als sicher anerkannten Verschlüsselungsverfahrens.

„Geschäftsmäßig“
Die neuen Verpflichtungen zur Implementierung technischer und organisatorischen Maßnahmen sollen nur für „geschäftsmäßig angebotene Telemedien“ gelten. Nach der Gesetzesbegründung ist ein Angebot dann geschäftsmäßig, „wenn es auf einer nachhaltigen Tätigkeit beruht, es sich also um eine planmäßige und dauerhafte Tätigkeit handelt“. Bei gegen Entgelt angebotenen Telemedien ist diese Voraussetzung regelmäßig erfüllt. Die Begründung führt beispielhaft „werbefinanzierte Webseiten“ an. Ausdrücklich ausgeschlossen von dem Anwendungsbereich des neuen § 13 Abs. 7 TMG-E soll jedoch das „nicht-kommerzielle Angebot von Telemedien durch Private und Idealvereine“ sein. Daher dürfte etwa ein privat betriebener Blog nicht der neuen Pflicht unterliegen, selbst wenn dieser mit gewisser Nachhaltigkeit und auch planmäßig betrieben wird. Denn nach der Gesetzesbegründung reicht es für die Nicht-Anwendbarkeit des neuen Abs. 7 aus, dass das Angebot nicht-kommerziell durch einen Privaten betrieben wird.

Zumutbarkeit von Schutzmaßnahmen
Nach dem geplanten Abs. 7 müssen Diensteanbieter (also etwa Webseitenbetreiber von Onlineshops) kumulativ (!) sicherstellen, dass 1) kein unerlaubter Zugriff auf die für ihre Telemedienangebote genutzten technischen Einrichtungen möglich ist, 2) diese gegen Verletzungen des Schutzes personenbezogener Daten und 3) gegen Störungen, auch soweit sie durch äußere Angriffe bedingt sind, gesichert sind. Die drei Schutzpflichten sind mit dem Wort „und“ verbunden, woraus sich eine notwendige Erfüllung aller drei Voraussetzungen ergibt. Ein Diensteanbieter wird sich also grundsätzlich nicht darauf berufen können, er habe seinen Dienst doch besonders gegen unerlaubte Zugriffe geschützt und dass dies ausreichen müsse.

Da der damit einhergehende tatsächliche Aufwand für Diensteanbieter, je nach den bereits implementierten Schutzmaßnahmen, nicht unerheblich sein dürfte, sieht Abs. 7 jedoch als Tatbestandsvoraussetzung ebenso das Kriterium der „Zumutbarkeit“ für den Diensteanbieter vor. Die entsprechenden Vorkehrungen müssen für den konkreten Diensteanbieter technisch möglich und wirtschaftlich zumutbar sind. Zu hohe Umsetzungskosten stellen daher etwa ein Kriterium dar, welcher der Webseitenbetreiber rechtmäßigerweise anführen darf, um nur diejenigen technischen und organisatorischen Maßnahmen umzusetzen, die er sich auch wirklich leisten kann. Der Betreiber einer Webseite oder eine anderen Internetdienstes ist also nicht dazu verpflichtet, sein Unternehmen mit finanziellen Verlusten zu belasten, die das Angebot selbst unrentabel machen würde oder gar seine Existenz gefährden. Laut der Begründung des Gesetzentwurfes müssen die „Kosten in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck stehen“.

Pflicht zur Anpassung von Kooperationsverträgen?
Im Hinblick auf Webseiten führt die Begründung des Gesetzentwurfes aus, dass es ein wesentliches Ziel des neuen Abs. 7 ist, das unbemerkte Herunterladen von Schadsoftware beim Besuch einer präparierten Webseite zu unterbinden. Webseitenbetreiber sollten daher regelmäßig die für die Erstellung und den Betrieb der Webseite verwendete Software aktualisieren, da hierdurch die Sicherheit erhöht werde.

Häufig finanzieren Webseitenbetreiber ihr Angebot mit Werbeanzeigen. Der Inhalt der Werbebanner ist jedoch meist nicht ein originär eigener. Vielmehr wird dieser über Dritte, etwa die Betreiber von Werbenetzwerken, bezogen. Der Webseitenbetreiber hat also auf den Inhalt der Werbebanner meist keinen direkten, insbesondere technischen Einfluss (außer das Banner komplett zu entfernen). Es besteht jedoch technisch die Möglichkeit, dass über die Werbeanzeigen schädliche Inhalte geladen werden. Auch in dieser Konstellation sieht der Gesetzesentwurf den Webseitenbetreiber jedoch zumindest in einer Teilpflicht. Gegen das Laden und Einspeisen schädlicher Skripte oder von Software über Drittinhalte innerhalb des eigenen Angebotes, sind nach der Begründung des Gesetzesentwurfs „organisatorische Vorkehrungen zu treffen“. Nach Auffassung der Bundesregierung gehört hierzu beispielsweise, dass Werbedienstleister, denen Werbefläche eingeräumt wird, vertraglich zu notwendigen Schutzmaßnahmen verpflichtet werden.

Bußgeldbewährung
Ein fahrlässiger oder vorsätzlicher Verstoß gegen § 13 Abs. 7 S. 1 Nr. 1 und Nr. 2 a) TMG-E (nicht die Nr. 2 b)) soll zudem eine Ordnungswidrigkeit darstellen (§ 16 Abs. 2 Nr. 3 TMG) und nach § 16 Abs. 3 TMG die Möglichkeit eines Bußgeldes in Höhe von 50.000 EUR nach sich ziehen. Beachtlich ist insofern, dass damit nicht nur das komplette Fehlen von technischen und organisatorischen Maßnahmen eine Ordnungswidrigkeit darstellt. Die Begründung des Gesetzesentwurfs spricht ausdrücklich davon, dass „damit auch der Einsatz technischer und organisatorischer Maßnahmen durch den Diensteanbieter, die nicht den Stand der Technik berücksichtigen“ bußgeldbewährt sein soll.

Hamburger Datenschützer: Datenschutzverstöße sollten generell abmahnbar sein

Posted on by

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Prof. Dr. Caspar, hat sich in einer Stellungnahme (PDF) zur Anhörung der Monopolkommission zur Vorbereitung eines Sondergutachtens zum Wettbewerb auf digitalen Märkten, zu Fragen im Schnittfeld zwischen Datenschutz- und Wettbewerbsrecht geäußert. Zum einen geht es hierbei um marktbeherrschende Stellungen von Unternehmen, die diese möglicherweise auch durch Datenschutzverstöße erlangen, festigen oder ausbauen. Zum anderen äußert sich der HmbBfDI kritisch zu dem (immer noch umstrittenen Verhältnis) zwischen Wettbewerbsrecht und dem Datenschutzrecht, vor allem inwiefern Verstöße gegen datenschutzrechtliche Vorgaben durch Wettbewerber nach dem UWG abgemahnt werden können.

Marktmacht und Datenschutz
Laut der Stellungnahme des HmbBfDI tendiert eine Datenmacht dazu, die Marktmacht von Unternehmen zu festigen. Prof. Caspar kritisiert mit Blick auf die großen Anbieter von sozialen Netzwerken und Suchmaschinen, dass für die Nutzer, anders als bei der Wahl eines Telekommunikationsanbieters, ein Anbieterwechsel nur unter Verlust der gesammelten Kontakte und der eigenen Daten möglich sei. Es bestehe zumeist keine Durchlässigkeit hin zu anderen Dienstleistern auf dem Markt. Der Datenschützer begrüßt daher den in der geplanten europäischen Datenschutz-Grundverordnung geplanten Ansatz, ein Recht auf „Datenportabilität“ einzuführen. Die Möglichkeit, die eigenen Daten beim Anbieterwechsel mitzunehmen, könne nach Ansicht von Prof. Caspar wesentlich dazu beitragen, den Wettbewerb auf digitalen Märkten zu stärken. Auch eine Interoperabilität zwischen den verschiedenen Anbietern fordert der Datenschutzbeauftragte.

Intransparente Strukturen
Zudem kritisiert Prof. Caspar, dass Marktmacht und Datenmacht gleichsam durch intransparente Strukturen der von den Unternehmen verfolgten Geschäftsmodelle begünstigt werden. Er bezieht sich in seiner Stellungnahme etwa auf die Betreiber von Suchmaschinen und die „von außen nicht ohne weiteres nachvollziehbare Platzierung in den Trefferlisten“. Im Prinzip wäre es seiner Ansicht nach erforderlich, dass die Suchalgorithmen offengelegt werden. Auch eine andere, kurzfristig zu erreichende Verbesserung schlägt er vor: durch die Vorgabe einer farbigen Unterlegung von konzerneigenen Angeboten bei den Suchtreffern würde eine größere Transparenz für Nutzer hergestellt.

Unter der Überschrift der „intransparenten Strukturen“ bemängelt Prof. Caspar zudem die Schwierigkeit für Nutzer zu erkennen, „ob und zu welchen Zwecken die Verwendung der von ihnen zur Verfügung gestellten persönlichen Daten durch die Internetdienstleister erfolgt“. Beispielhaft geht er bei seiner Stellungnahme auf die Datenschutzbestimmungen von Netflix ein. Diesen attestiert er eine „schwammige Zweckbindungsbestimmung“ und einen erweiternden Zusatz, „der die Datenschutzfunktion weitgehend ad absurdum führt“. Diese von Prof. Caspar bemängelte, fehlende Transparenz werde seiner Einschätzung nach „von marktrelevanten Unternehmen nicht zuletzt zur Festigung und Ausdehnung der eigenen Markt- und Datenmacht genutzt“.

Datenschutzwidrige Praxis und Wettbewerbsrecht
Auch geht der Datenschutzbeauftragte darauf ein, dass (vermeintliche) datenschutzwidrige Praktiken seiner Ansicht nach zu einem Wettbewerbsvorteil führen können. Gerade auf digitalen Märkten wirke sich die Nichtbeachtung von Vorgaben des Datenschutzes auch auf die Wettbewerbspositionen der Marktteilnehmer aus. Das bisherige Nebeneinander zwischen Wettbewerbs-und Datenschutzrecht erschwere es Wettbewerbern jedoch bislang, Datenschutzverstöße über das UWG erfolgreich und rechtssicher geltend zu machen. Die Rechtsprechung und Literaturmeinungen zu dieser Thematik gehen auseinander. Erforderlich für ein Vorgehen nach dem UWG ist der Verstoß gegen eine Marktverhaltensvorschrift im Sinne des § 4 Nr. 11 UWG. Jedoch existieren beispielsweise divergierende Gerichtsentscheidungen zu der Frage, ob ein Verstoß gegen die Regelung des § 4 Abs. 1 BDSG (der eine Erhebung, Verarbeitung und Nutzung personenbezogener Daten nur erlaubt, soweit dies nach dem BDSG oder eine andere Rechtsvorschrift gestattet ist oder der Betroffene eingewilligt hat) auch einen Verstoß gegen das Wettbewerbsrecht darstellt.

Prof. Caspar fordert daher in seiner Stellungnahme, dass in Zukunft darüber nachgedacht werden sollte, „den Verstoß gegen Datenschutzregeln mit einem Wettbewerbsverstoß gleichzusetzen“. Hierzu bedürfe es jedoch einer Initiative des Gesetzgebers.

Internationale Datentransfers: Neues Prüfverfahren durch europäische Behörden

Posted on by

Die Übermittlung von personenbezogenen Daten aus der EU bzw. aus dem EWR in einen sog. Drittstaat, stellt Unternehmen regelmäßig vor die Herausforderung, bestimmte datenschutzrechtliche Anforderungen zu erfüllen, um den Datenfluss zu legitimieren. Nach der europäischen Datenschutzrichtlinie (RL 95/46/EG) ist im Grundsatz jede Übermittlung in Drittstaaten verboten, solange nicht ein angemessenes Schutzniveau für die übermittelten Daten geschaffen wird. Dieses angemessene Schutzniveau kann auf mehreren Wegen hergestellt werden. Ein Beispiel für Übermittlungen in die USA ist etwa die Selbstzertifizierung der die Daten empfangenden Stelle unter Safe Harbor. Daneben werden in der Praxis oft die sog. Standardvertragsklauseln der Europäischen Kommission eingesetzt. Hierbei handelt es sich um Musterverträge (eine Übersicht findet sich hier), die zwischen dem „Datenexporteur“ in der EU/dem EWR und dem „Datenimporteur“ (im Drittland) abgeschlossen werden können. Werden die Verträge ohne inhaltliche Änderungen (oder zumindest ohne solche, die zum Nachteil des Schutzniveaus der Daten von den Mustertexten abweichen) abgeschlossen, so wird automatisch ein angemessenes Schutzniveau der Daten angenommen. Eine Genehmigung der Standardverträge durch eine Aufsichtsbehörde ist dann (zumindest in Deutschland und einigen anderen Ländern der EU) nicht erforderlich, da die Behörden an die Entscheidung der EU-Kommission gebunden sind. Manche Behörden verlangen jedoch zumindest, die Verwendung der Verträge ihr gegenüber anzuzeigen. Anders sieht es für Individualverträge aus, welche der Genehmigung der Behörde bedürfen.

Die europäischen Datenschutzbehörden, versammelt in der Artikel 29 Datenschutzgruppe (Art. 29 Gruppe), haben nun in einer neuen Stellungnahme (WP 226, PDF) ein Verfahren im Zusammenhang mit der Prüfung und Genehmigung von Standard- als auch Individualverträgen vorgestellt, welches vor allem für international tätige und in mehreren Mitgliedstaaten ansässige Unternehmen interessant sein dürfte, die personenbezogene Daten in Drittstaaten übermitteln.

Die Art. 29 Gruppe erkennt die praktische Schwierigkeit, dass ein Unternehmen mit mehreren Niederlassungen in der EU möglicherweise (je nach dem nationalen Recht) gezwungen ist, in jedem Mitgliedstaat, von dem aus personenbezogene Daten in ein Drittland übermittelt werden sollen, eine Genehmigung der Behörde für inhaltlich dieselben Verträge einzuholen. Es besteht das Risiko, dass eine Aufsichtsbehörde die ihr vorgelegten Verträge als ausreichend anerkennt, eine andere Behörde jedoch Nachbesserungen fordert. Die Folge ist ein nicht zu unterschätzender Mehraufwand für Unternehmen und im schlimmsten Fall eine Divergenz der Verträge oder sogar ein Absehen von deren Verwendung, unter einem ja eigentlich vollharmonisierten europäischen Datenschutzrecht!

Unternehmen, die Übermittlungen aus mehreren Mitgliedstaaten in einen Drittstaat auf der Grundlage inhaltlicher gleicher Verträge planen, können nun ein neu geschaffenes Kooperations-Verfahren der europäischen Aufsichtsbehörden in Anspruch nehmen, um eine für alle Verträge einheitliche Entscheidung und damit vor allem eine gewisse Rechtssicherheit zu erhalten.

Das Verfahren ist nach der Stellungnahme der Art. 29 Gruppe grob wie folgt aufgebaut:

1. Das Unternehmen sucht sich diejenige Aufsichtsbehörde in einem Mitgliedstaat (in dem es eine Niederlassung besitzt) aus, die seiner Meinung nach als führende Behörde agieren sollte. Folgende Kriterien sollten der Entscheidung zugrunde liegen: der Ort der Niederlassung, an dem die Vertragsklauseln ausgehandelt bzw. entworfen werden; der Ort der Niederlassung, an dem die meisten Entscheidungen in Bezug auf die Zwecke und Mittel der Datenverarbeitung getroffen werden; den Ort der Niederlassung, um das Verfahren am effektivsten durchzuführen und die Vertragsklauseln durchzusetzen; den Ort einer Niederlassung, von dem aus die meisten Datenübermittlungen stattfinden; der Ort der Niederlassung des europäischen Hauptsitzes.

2. Das Unternehmen hat dieser Behörde den Vertragsentwurf (schriftlich als auch per E-Mail) zu übersenden und dabei auf die Art der verwendeten Standardvertragsklauseln hinzuweisen. Zudem muss auf Abweichungen zu den Mustern hingewiesen werden. Zudem sollte angegeben werden, aus welchen Mitgliedstaaten die Übermittlungen erfolgen.

3. Die Aufsichtsbehörden können entscheiden, ob im konkreten Fall ein solches Kooperations-Verfahren überhaupt sinnvoll erscheint oder nicht (etwa wenn Änderungen an den Mustertexten sich nicht auf den Datenschutz beziehen).

4. Die Wahl der führenden Behörde bleibt letztendlich den beteiligten Aufsichtsbehörden vorbehalten. Sie können etwa eine andere als die von dem Unternehmen gewählte Behörde als führend bestimmen. In diesem Fall müssen sie jedoch die Präsidentin der Art. 29 Gruppe informieren, die diese Übertragung durchführt.

5. Nach Eingang der Unterlagen soll das Unternehmen innerhalb von 2 Wochen Nachricht erhalten, ob das Kooperations-Verfahren eingeleitet wird.

6. Nimmt die ausgewählte Behörde die Bestimmung als führende Behörde an, so wird sie alle anderen von der Entscheidung betroffenen Behörden kontaktieren (also jene Behörden in Mitgliedstaaten, in denen sich Niederlassungen befinden, die ebenfalls Daten übermitteln sollen). Zudem werden gleichzeitig Prüfbehörden bestimmt, die neben der führenden Behörde die Verträge inhaltlich kontrollieren. Sind mehr als 9 Mitgliedstaaten betroffen, so werden 2 Prüfbehörden bestimmt. Ansonsten nur eine.

7. Andere betroffene Behörden können innerhalb von 2 Wochen der Einsetzung der Behörden und der Verteilung der Rollen widersprechen. Die Prüfbehörden sollen ihrer Benennung zustimmen.

8. Ähnlich wie bei der EU-weiten Prüfung von verbindlichen Unternehmensregelungen (BCR), soll auch hier ein freiwilliges System der gegenseitigen Anerkennung von behördlichem Handeln zwischen europäischen Aufsichtsbehörden eingerichtet werden.

Hat die führende Behörde ihre Analyse beendet, so wird sie das Ergebnis den Prüfbehörden mitteilen. Die Prüfbehörden haben dann einen Monat Zeit, um eigene Anmerkungen oder Änderungen vorzuschlagen. Diese Monatsfrist soll nur in Ausnahmefällen verlängert werden können. Sollte keine Reaktion der Prüfbehörde erfolgen, so gilt dies als ihre Zustimmung zum Vorschlag der führenden Behörde.

9. Danach wird das Ergebnis an alle anderen betroffenen Behörden weitergeleitet. Solche Behörden, die Teil des Systems der gegenseitigen Anerkennungen von Entscheidungen sind, werden die positive Entscheidung der führenden Behörden nur umsetzen (entsprechend den nationalen Vorgaben also etwa ihre Genehmigung erteilen).

Aufsichtsbehörden, die nicht an dem gegenseitigen Anerkennungsverfahren teilnehmen, haben eine Frist von einem Monat, um der Entscheidung der führenden Behörde zu widersprechen. Eine Fristverlängerung kann nur in Ausnahmefällen gewährt werden. Erfolgt keine Antwort der Behörde, so gilt dies als ihre Zustimmung.

10. Als letzten Schritt wird die führende Behörde das Antwortschreiben an das Unternehmen im Namen der betroffenen Aufsichtsbehörden unterzeichnen und ihr Ergebnis bekannt geben. Ab diesem Moment ist das Kooperations-Verfahren abgeschlossen und das Unternehmen kann die jeweiligen nationalen Behörden kontaktieren, um die erforderlichen Genehmigungen für die Verträge zu erhalten.

Herausgabe von Daten an US-Behörden: Irische Regierung bittet EU-Kommission um Hilfe

Posted on by

Im April 2014 hatte ein US-Gericht entschieden (PDF), dass Microsoft dazu verpflichtet sei, Kundendaten die auf Servern in Irland gespeichert sind, an amerikanische Behörden herauszugeben. Gegen diesen Beschluss wehrte sich Microsoft, wurde jedoch auch durch ein Bundesgericht angewiesen, dem Durchsuchungsbefehl der US-Behörden nachzukommen. Für das Berufungsverfahren wurde der Vollzug ausgesetzt und Microsoft möchte die Daten auch nicht herausgeben. Andere Konzerne wie Apple und Cisco unterstützen die Position von Microsoft.

Zum einen besitzt das Verfahren eine mögliche wirtschaftliche Brisanz. Amerikanische Unternehmen müssten sich stets dem Risiko ausgesetzt sehen, dass Kundendaten, egal wo sie gespeichert sind, dem Zugriff von US-Behörden unterliegen.

Vor allem aber ist der Fall rechtlich interessant. Denn die amerikanischen Behörden haben nicht etwa die offiziellen Kanäle (Rechtshilfeabkommen zwischen der EU und den USA) genutzt, sondern sich direkt an das Unternehmen gewandt. Die ehemalige EU-Kommissarin für Justiz, Viviane Reding, hatte bereits im Juli 2014 die Befürchtung geäußert, „dass die extraterritoriale Anwendung ausländischer Gesetze (und darauf basierende gerichtliche Anweisungen gegen Unternehmen) gegen internationales Recht verstoßen“.

Nun hat der Irische Minister für Europaangelegenheiten und für den Datenschutz offiziell die EU-Kommission um ihre Unterstützung in diesem Gerichtsverfahren gebeten. Nach Aussage des Ministers könnte der Ausgang dieses Verfahrens möglicherweise schwerwiegende Folgen für den Datenschutz in der Europäischen Union besitzen. Durch den Versuch, die Herausgabe von Daten durch direkte Anordnungen gegenüber den Unternehmen zu erlangen, könnten die bestehenden Rechtshilfeabkommen praktisch umgangen werden.

Für international agierende Unternehmen besteht das sowohl schlichte als auch kaum zu lösende Problem, dass sie zwischen mehreren Rechtssystemen gefangen sind und nur zwischen den Rechtsverletzungen und den zu erwartenden Folgen wählen können. Dass sich eine solche Situation in einer digitalen Welt, in der immer mehr Wirtschaftszweige auf den ungehinderten Fluss von Daten angewiesen sind, als absolut unbefriedigend und revisionsbedürftig darstellt, dürfte wohl jedem einleuchten.

Europäischer Gerichtshof zur Haftung eines Zeitungsverlages für Online-Artikel

Posted on by

Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 11. September 2014 (C-291/13, derzeit nicht auf Deutsch verfügbar) entschieden, dass ein Zeitungsverlag, der eine Webseite betreibt, über die eine Online-Version der herausgegebenen Zeitung abrufbar ist, sich unter gewissen Voraussetzungen nicht auf die Haftungsprivilegierungen der Art. 12 bis 14 der Richtlinie 2000/31/EG (sog. eCommerce-Richtlinie) (in Deutschland umgesetzt in den §§ 7 – 10 TMG) berufen kann.

Der Entscheidung lagen mehrere Vorlagefragen eines zypriotischen Gerichts zugrunde. Der dortige Kläger wandte sich mit Schadenersatz- und Unterlassungsklagen gegen einen online abrufbaren Zeitungsartikel, in dem er seiner Ansicht nach diffamiert wurde.

Entgeltlichkeit bei Online-Werbung
In seiner Entscheidung legt der EuGH zunächst dar, dass der Anwendungsbereich der eCommerce-Richtlinie dann eröffnet ist, wenn es sich um Tätigkeiten eines „Dienstes der Informationsgesellschaft“ handelt. Nach Erwägungsgrund 18 umfassen diese Dienste der Informationsgesellschaft einen weiten Bereich von wirtschaftlichen Tätigkeiten, die online vonstattengehen. Art. 2 a) eCommerce-Richtlinie verweist für die Definition des Begriffs zudem auf Art. 1 Nr. 2 der Richtlinie 98/34/EG (PDF). Danach ist ein „Dienst“ eine Dienstleistung der Informationsgesellschaft, d. h. jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung. Der EuGH stellt in seinem Urteil klar, dass das Entgelt nicht von dem Empfänger des Dienstes selbst stammen muss. Es reichen hierfür auch Einnahmen aus Werbeanzeigen aus, die auf einer Webseite vom Betreiber eingesetzt werden.

Keine Haftungsprivilegierung
Zudem befasste sich der EuGH mit der Frage, inwieweit sich der Zeitungsverlag auf die Haftungsprivilegierungen der Art. 12 bis 14 eCommerce-Richtlinie berufen kann, wenn er eine Webseite betreibt, auf der Zeitungsartikel erscheinen, die von angestellten oder freiberuflichen Journalisten verfasst wurden und der Verlag seine Vergütung auch aus den Einnahmen der Einbindung von Online-Werbeanzeigen auf der Webseite generiert.

Der EuGH verweist zunächst auf seine frühere Rechtsprechung (u.a. C-236/08), wonach sich aus Erwägungsgrund 42 der eCommerce-Richtlinie ergibt, dass die hinsichtlich der Verantwortlichkeit festgelegten Ausnahmen nur Fälle erfassen, in denen die Tätigkeit des Anbieters von Diensten der Informationsgesellschaft „rein technischer, automatischer und passiver Art“ ist. Dies bedeutet, dass der Anbieter „weder Kenntnis noch Kontrolle über die weitergeleitete oder gespeicherte Information besitzt“. Erforderlich für eine Antwort auf die Frage, ob ein Diensteanbieter sich auf die Haftungsprivilegierung des Art. 14 eCommerce-Richtlinie, also die reine Speicherung von fremden Informationen (umgesetzt in § 10 TMG), berufen kann, ist nach dem EuGH die Feststellung, ob die Rolle dieses Anbieters insofern neutral ist, als sein Verhalten rein technischer, automatischer und passiver Art ist und er weder Kenntnis noch Kontrolle über die weitergeleitete oder gespeicherte Information besitzt.

Für den hier vorliegenden Sachverhalt begründet der EuGH die mangelnde Haftungsprivilegierung wie folgt: Da der Zeitungsverlag grundsätzlich Kenntnis von denjenigen Informationen besitzt, die im Rahmen des Online-Angebotes in Form der Artikel bereitgestellt werden und über die Artikel und die in ihnen enthaltenen Informationen auch eine faktische Kontrolle ausübt, kann der Verlag hier nicht als „Vermittler“ im Sinne der eCommerce-Richtlinie angesehen werden. Dies unabhängig davon, ob der Zugang zu der Webseite kostenlos oder kostenpflichtig ausgestaltet ist.

Intelligente Netze und Messsysteme: Kommission veröffentlicht Empfehlungen zum Datenschutz

Posted on by

Intelligente Netze (sog. smart grids) und daran angeschlossene Messsysteme (sog. smart meter) erfahren einen immer größeren Verbreitungsgrad. Über diese intelligenten, da digital ansteuer- und auslesbaren, Systeme können Energieunternehmen etwa Daten über das Heizverhalten oder den Stromverbrauch von Haushalten erheben und analysieren. Der Vorteil liegt auf der Hand: Strom kann aufgrund vorgenommener Analysen zum Beispiel besser verteilt werden. Welches Gebiet benötigt wann wieviel Strom? Wo und wann besteht grundsätzlich der geringste Heizbedarf? Auch eine bedarfsgerechtere Abrechnung des Energieverbrauchs ist möglich.

Da jedoch für diese Zwecke nicht nur die jeweiligen „nackten“ Messwerte abgelesen werden, spielt das Thema Datenschutz auch in diesem Bereich des ‚Internets der Dinge‘ eine wichtige Rolle. Die europäischen Datenschützer, versammelt in der sog. Artikel 29 Datenschutzgruppe, haben daher auch bereits im Jahr 2011 eine Stellungnahme zu Fragen des Datenschutzes und dem Smart Meetering verfasst (WP 183, PDF). Die europäischen Datenschützer empfehlen unter anderem vor dem Einsatz von intelligenten Messsystemen eine Datenschutz-Folgenabschätzung vorzunehmen (WP 183, S. 12).

Um eine solche Datenschutz-Folgenabschätzung, welche die potentiellen Risiken für personenbezogene Daten beim Einsatz intelligenter Zähler bereits in der Planungsphase aufzeigen und entsprechend minimieren soll, europaweit möglichst in einer einheitlichen Form durchzuführen, hat eine Arbeitsgruppe auf europäischer Ebene (Expert Group 2 (EG2)) ein Muster (Data Protection Impact Assessment Template for Smart Grid and Smart Metering systems, PDF) entworfen, welches von Unternehmen genutzt werden soll, die den Aufbau oder Investitionen in intelligente Netze oder Messgeräte planen.

Anfang Oktober 2014 hat nun die Europäische Kommission ihre Empfehlungen zum Einsatz des Musters für die Datenschutz-Folgenabschätzung veröffentlicht (2014/724/EU, PDF). Diese Empfehlungen richten sich an die Mitgliedstaaten und wie diese bei der Verbreitung des Musters mitwirken und Unternehmen unterstützen sollten. Interessant sind zudem die in dem Dokument von der Kommission aufgestellten Definitionen zu verschiedensten Begriffen, die derzeit im Datenschutzrecht diskutiert werden (z. B. der „konzeptionsbedingte Datenschutz“ (data protection by design) oder auch der „standardmäßige Datenschutz“ (data protection by default)).

Die Kommission empfiehlt, dass die Mitgliedstaaten mit der Wirtschaft, Interessenträgern der Zivilgesellschaft und auch den nationalen Datenschutzbehörden zusammenarbeiten sollten, um in einem frühen Stadium der Einführung intelligenter Netze und intelligenter Messsysteme die Verbreitung und Anwendung des Musters für die Datenschutz-Folgenabschätzung zu fördern und zu unterstützen. Etwas konkreter sind zudem Empfehlungen, wonach die Mitgliedstaaten sicherstellen sollten, dass die für die Datenverarbeitung Verantwortlichen nach der Durchführung einer Datenschutz-Folgenabschätzung die geeigneten technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten treffen und die Folgenabschätzung sowie die anhaltende Eignung der festgelegten Maßnahmen während des gesamten Lebenszyklus der Anwendung bzw. des Systems überprüfen.

Der Einsatz des Musters zur Folgenabschätzung sowie die Umsetzungsmaßnahmen der Mitgliedstaaten sollen in einer zwei-jährigen Testphase erprobt und danach von der Kommission bewertet werden. Anhand eines nachfolgenden Prüfberichts will die Kommission dann entscheiden, ob das Muster eventuell angepasst werden muss.