Category Archives: Gesetze

LIBE-Ausschuss fordert mehr Datenschutz in zukünftigem eCall-System

Posted on by

Ab dem 1. Oktober 2015 sollen alle neuen Fahrzeugtypen in Europa mit einem bordeigenen eCall-System ausgerüstet sein. Die Anforderungen für dieses Notrufsystem, welches im Falle eines Unfalls automatisch die wichtigsten Daten wie etwa Standort, Fahrzeugtyp oder Benzinart an die Notrufstelle übermittelt, sollen in der „Verordnung über Anforderungen für die Typgenehmigung zur Einführung des bordeigenen eCall-Systems in Fahrzeuge“ (COM(2013) 316) festgelegt werden. Die Idee hinter der Einführung des Systems, nämlich noch schneller und effizienter am Unfallort sein und helfen zu können, wird mehrheitlich begrüßt. Kritik erhob sich in der Vergangenheit jedoch in Bezug auf die möglichen datenschutzrechtlichen Gefahren beim Einsatz der Systeme, da diese zumindest theoretisch eine dauernde Aufzeichnung des Standortes des Fahrzeuges ermöglichen könnten oder etwa die erhobenen Daten später für andere Zwecke nutzbar seien.

Der LIBE-Ausschuss des europäischen Parlaments hat nun letzte Woche seine Stellungnahme zu der vorgeschlagenen Verordnung abgegeben.

Das Ziel der Stellungnahme wird in der Begründung klar umschrieben: „Mit dieser Stellungnahme soll dafür gesorgt werden, dass mit dem Rechtsinstrument, das am Ende des Verfahrens erlassen werden wird, die vollständige Einhaltung der Datenschutzgrundsätze der Richtlinien 95/46/EG und 2002/58/EG sichergestellt ist„. Dem zuständigen Verfasser, Axel Voss, ist es wichtig, dass in Bezug auf die Datenverarbeitung eine Unterscheidung zwischen staatlichen 112-eCall-Systemen und zusätzlich möglichen, privaten eCall-Systemen vorgenommen wird. Für diese privaten Systeme, die eventuell weitere Zusatzfunktionen bieten, müssen andere Anforderungen hinsichtlich des Datenschutzes gelten. Insbesondere sollte die Verarbeitung personenbezogener Daten dort davon abhängig gemacht werden, dass die betroffenen Personen zuvor ihre Zustimmung erteilt haben oder ein Vertrag abgeschlossen wurde.

Diese Vorgaben finden sich dann auch in den einzelnen Änderungsanträgen zu der Verordnung. So soll etwa in Erwägungsgrund 6 klargestellt werden, dass Positionsdaten des Fahrzeugs gerade nur im Notfall erhoben werden dürfen. Im Normalbetrieb sollen die mit einem bordeigenen eCall-System ausgestatten Fahrzeuge nicht verfolgbar sein (Änderungsantrag 5). Fahrzeughersteller sollen bei der Erfüllung ihrer Pflichten darauf achten, technischen Datenschutz (Privacy by Design) in die bordeigenen Systeme zu integrieren (Änderungsantrag 8). Zudem soll der „für die Verarbeitung Verantwortliche“ als Begriff in die Verordnung eingeführt werden (Änderungsantrag 9), wobei die Definition aus der geltenden Datenschutz-Richtlinie (95/46/EG) übernommen wird. Weitere Änderungen, wie etwa die Voraussetzung einer ausdrücklichen Zustimmung der Betroffenen, wenn sonstige zusätzliche Informationen im Zusammenhang mit der Bereitstellung eines privaten eCall-Dienstes verarbeitet werden, beziehen sich zudem auf Artikel 6 der vorgeschlagenen Verordnung, der die „Privatsphäre und den Datenschutz“ regelt. Zudem soll für das bordeigene System klar festgelegt werden, welche Datenarten erhoben und übermittelt werden dürfen: Der „Mindestdatensatz darf maximal die Informationen enthalten,…nämlich manuelle oder automatische Aktivierung, Fahrzeugtyp, Fahrzeugenergiespeicherart, Zeitstempel, Fahrzeugposition, Fahrtrichtung, minimale Anzahl der angelegten Sicherheitsgurte. Vom bordeigenen eCall-System dürfen keine weiteren Daten abgesetzt werden“ (Hervorhebung durch mich).

Zuletzt soll nach der Stellungnahme des LIBE-Ausschusses auch eine Änderung aufgenommen werden, wonach in den Mitgliedstaaten Sanktionen für Verstöße gegen die datenschutzrechtlichen Vorgaben aus Artikel 6 festgelegt sein müssen (Änderungsantrag 17).

Neues Urteil: Wie dürfen Auskunfteien über gesperrte Daten informieren?

Posted on by

Der Hessische Verwaltungsgerichtshof hat mit Beschluss vom 02.01.2014 (Az.: 10 B 1397/13) entschieden, dass ein Kreditschutzunternehmen Dritten gegenüber keine Auskunft über die Sperrung von Daten geben darf. Die Auskunft darf auch nicht so ausgestaltet sein, dass sie von dem Anfragenden als versteckte Mitteilung einer Datensperrung verstanden werden kann.

Sachverhalt
Die Situation ist eine alltägliche. Im Zuge des Abschlusses eines gewerblichen Leasingvertrages für ein Auto möchte sich der Leasinggeber der Kreditwürdigkeit des Leasingnehmers versichern. Dazu fragt er bei Kreditschutzunternehmen an, ob Daten zu den Betroffenen vorlägen. Sind Einträge vorhanden, geht dies meist zu Lasten des Leasingnehmers. Im hier entschiedenen Fall wurde das Kreditschutzunternehmen, nach Beschwerden von Betroffenen, die neue Leasingverträge abschließen wollten, von der hessischen Datenschutzaufsichtsbehörde dazu verpflichtet bei teilweiser oder vollständiger Sperrung von Daten Betroffener, Dritten keine Auskünfte zu den Betroffenen zu erteilen, die einen Hinweis auf die Speicherung von Daten enthielten. Formulierungen, wie etwa „über gespeicherte Datenarten wird derzeit/generell keine Auskunft erteilt“, „… ist nicht möglich …“, „… ist nicht gestattet …“ seien unzulässig, da sie für anfragende Unternehmen dennoch den Schluss zuließen, dass Daten vorhanden seien und damit negative Folgen haben könnten.

Entscheidung
Wie auch schon das VG Darmstadt (Az.: 5 L 304/13.DA), so sieht der VGH den Bescheid der Datenschutzbehörde als rechtmäßig an. Die von dem Kreditschutzunternehmen bisher verwendete Formulierung, wonach „eine Auskunftserteilung zurzeit nicht möglich ist“, sei nämlich nicht mit den Vorgaben des § 35 Abs. 4a BDSG vereinbar. Danach darf die Tatsache der Sperrung von personenbezogenen Daten nicht übermittelt werden.

Nun kann man sich freilich auf den Standpunkt stellen, dass das Unternehmen ja die Tatsche der Sperrung gerade nicht mitteilt. Doch der VGH geht davon aus, dass der Gesetzgeber mit der Bestimmung in § 35 Abs. 4a BDSG offensichtlich sicherstellen wollte, „dass in der Außenwirkung für den Betroffenen, auf den sich die personenbezogenen Daten beziehen, die Sperrung dieselbe Wirkung entfaltet wie eine Löschung“. Die Auskunftserteilung im Fall der Sperrung muss also einer solchen wie im Fall der Löschung von Daten gleichen. Nur dann könne die mit der Sperrung, als gegenüber der Löschung geringerem Mittel, vom Gesetzgeber beabsichtigte gleiche Wirkung erreicht werden.

Für diese Auffassung scheint in der Tat der gesetzgeberische Wille zu sprechen. § 35 Abs. 4a BDSG beruht auf einem Entwurf zur Änderung des BDSG aus dem Jahre 2008 (BT-Drs. 16/10529). Dort heißt es (S. 19):

Die Vorschrift darf auch nicht dadurch umgangen werden, dass eine Formulierung gewählt wird, aus der auf die Tatsache der Sperre bzw. das Vorliegen einer Unregelmäßigkeit geschlossen werden kann.

Nun ist es freilich eine Auslegungsfrage, wer als Empfänger einer Auskunft etwas aus dem Wortlaut einer solchen schließen kann. Es wird jedoch davon ausgegangen, dass allein durch die Kenntnis, dass bestimmte Daten gesperrt wurden, negative Rückschlüsse auf den Betroffenen gezogen werden könnten. Formulierungen wie „zurzeit“ oder „derzeit“ sieht der VGH daher nicht als neutral genug an, um einem solchen Rückschluss vorbeugen zu können. Wie eine solche „Nichtmitteilung“ vorzunehmen ist, lässt das Gesetz jedoch offen. Der VGH erkennt an,

dass es im Einzelfall schwierig sein kann, diese dargelegten Voraussetzungen zu erfüllen. Dies kann jedoch nicht dazu führen, dass ein Betroffener, dessen personenbezogene Daten nicht gelöscht, sondern lediglich gesperrt sind, auskunftsbegehrenden Stellen gegenüber schlechter gestellt wird.

Was tun?
Die Datenschutzbehörde ordnete folgende Vorgehensweise an:

  • Bei teilweise gesperrten Daten: Dritten zu diesen Daten keine Auskunft oder ausschließlich die Auskunft, dass zu den betroffenen Datenarten keine Daten gespeichert seien, zu geben
  • Bei vollständiger Sperrung von Daten: Dritten zu dem Betroffenen keine Auskunft oder die Auskunft, dass keine Daten zu dem Betroffenen gespeichert seien, zu geben

Sowohl VG als auch VGH sahen diese Vorgaben als recht- und insbesondere auch verhältnismäßig an. Zur Not bleibe laut dem VGH eben nur eine Alternative: die Antwort zu verweigern.

VG Berlin: Staatsanwaltschaft darf von „Datenklau im Bundesgesundheitsministerium“ sprechen

Posted on by

Das VG Berlin hat mit Beschluss vom 31.01.2014 (Az.: VG 1 L 17.14) entschieden, dass die Staatsanwaltschaft Berlin in einer offiziellen Pressemitteilung vom 20.01.2014 (PM 02/2014) folgende Überschrift verwenden durfte:
„Datenklau im Bundesgesundheitsministerium – Anklageerhebung gegen einen externen IT-Administrator des Ministeriums und einen Apothekenlobbyisten“

Der dort als „Apothekenlobbyist“ bezeichnet Antragsteller begehrte die Löschung dieser Pressemitteilung von der Webseite „Berlin.de“, da er sich hierdurch in seinem Allgemeinen Persönlichkeitsrecht verletzt sah. Nachdem im Dezember 2012 in der Öffentlichkeit bekannt wurde, dass vertrauliche Daten des Bundesgesundheitsministeriums auf ungeklärte Weise in die Hände von nicht dem Ministerium zugehörigen Personen gelangt waren, hatte die Staatsanwaltschaft Berlin im Dezember 2013 beim Landgericht Berlin Anklage gegen den Antragsteller erhoben. In dieser wurde ihm das Ausspähen von Daten nach dem Strafgesetzbuch sowie Verstöße gegen das Bundesdatenschutzgesetz (BDSG) vorgeworfen. Die Zustellung der Anklage an den Antragsteller erfolgte am 17. Januar 2014.

Das VG sah in dieser, weiterhin abrufbaren Pressemitteilung, jedoch keinen hoheitlichen rechtswidrigen Eingriff in das Persönlichkeitsrecht des Antragstellers. Zwar liege ein hoheitlicher Eingriff in das Allgemeine Persönlichkeitsrecht (Art. 2 Abs. 1, Art. 1 Abs. 1 GG) vor. Dieser sei vorliegend jedoch nicht rechtswidrig.

Maßstab für die Rechtmäßigkeitsprüfung amtlicher Äußerungen sei, dass 1) sich der Amtsträger mit seinen Äußerungen im Rahmen des ihm zugewiesenen Aufgabenbereichs bewegt, 2) die rechtsstaatlichen Anforderungen an hoheitliche Äußerungen gewahrt sind (Sachlichkeitsgebot) und 3) die Äußerungen nicht unverhältnismäßig sind.

All diese Voraussetzungen waren vorliegend erfüllt. Hinsichtlich des Begriffes „Datenklau“ führt das VG aus, dass die zuständige Pressestelle der Generalstaatsanwaltschaft Berlin diesen Begriff in der Pressemitteilung verwendet,

um schlagwortartig den Umstand zu bezeichnen, dass sie gegen den Antragsteller und einen weiteren Beteiligten wegen des Verstoßes gegen datenschutzrechtliche Strafvorschriften Anklage erhoben hat

Hierbei handele es sich um eine Tatsachenbehauptung, deren objektive Richtigkeit einer Beweiserhebung zugänglich ist. Daraus folge, dass diese Aussage den Antragsteller nur dann in seinem Persönlichkeitsrecht verletzen würde, wenn sie unwahr oder unverhältnismäßig wäre. Beides sei vorliegend jedoch nicht der Fall. Denn unbestritten legt die Anklageschrift dem Antragsteller Vergehen nach § 202a StGB („Ausspähen von Daten“) und dem BDSG zur Last. Die diesen Tatvorwürfen zugrunde liegenden Sachverhalte zusammenfassend als „Datenklau“ zu bezeichnen sei weder unwahr, noch unverhältnismäßig. Zudem ergebe sich für jeden verständigen Leser, dass „Datenklau“ kein dem Strafgesetz entnommener Begriff sei, zumal in dem Text der Pressemitteilung eine genauere Erläuterung der Tatvorwürfe unter Nennung der relevanten Normen erfolge.

Schließlich sei der Begriff „Datenklau“ zwar plakativ. Jedoch sei nicht ersichtlich, dass der Antragsteller hierdurch über Gebühr belastet werde. Die vorzunehmende Abwägung seiner privaten Interessen gegenüber dem Informationsinteresse der Öffentlichkeit falle hier zu seinen Lasten aus.

Insbesondere stellt das VG darauf ab, dass die Pressestelle diesen Begriff nicht neu erfunden und damit erstmalig in die öffentliche Diskussion eingebracht hat. Vielmehr handele es sich um ein seit Monaten in den Medien für die zugrunde liegenden Vorgänge verwendetes Schlagwort. Der Begriff war der Öffentlichkeit daher in Verbindung mit den Ermittlungen bekannt und sorgte in der interessierten Öffentlichkeit für einen hohen Wiedererkennungswert.

Auch der Begriff „Apothekenlobbyist“ sei nicht unwahr oder seine Verwendung unverhältnismäßig. Denn die Staatsanwaltschaft bezeichnet den Antragsteller in der Anklageschrift mindestens einmal als „Lobbyist“. Zudem werde der Antragsteller durch diese Bezeichnung nicht unverhältnismäßig belastet, da „Lobbyist“ grundsätzlich eine normale Berufsbezeichnung sei. Das VG führt aus:

Die „negative Konnotation“, welche der Antragsteller dem Begriff zuschreibt, mag in bestimmten Konstellationen gegeben, dann aber vor allem auf die Wahl der eingesetzten, möglicherweise unlauteren Mittel bestimmter Lobbyarbeit zurückzuführen sein

Insgesamt wurde die Rechtswidrigkeit des Eingriffs daher abgelehnt. Gegen die Entscheidung des VG kann der Antragsteller noch eine Beschwerde zum OVG erheben.

Gutachten für britisches Parlament: Tätigkeit des Geheimdienstes teilweise illegal

Posted on by

In einem Gutachten für den Vorsitzenden der Parlamentariergruppe des britischen Parlaments zu Drohnen (All Party Parliamentary Group on Drones) untersuchen zwei englische Rechtsanwälte die Rechtmäßigkeit des Abfangens, Verwendens und der Übertragung von Geheimdienstdaten durch die britische Regierung. Den Bericht gibt es hier (PDF).

Untersuchte Szenarien
Die Autoren untersuchen in dem Bericht die Tätigkeit des britischen Geheimdienstes, insbesondere des Nachrichtendienstes GCHQ, im Zusammenhang mit fünf Szenarien:

  1. Der GCHQ greift massenhaft Daten ab, die zwischen zwei in England ansässigen Personen verschickt, jedoch durch Kabel übertragen werden, die zwischen England und Amerika verlaufen. Die Daten stammen aus der Nutzung des Internets, des Telefons und von E-Mails.
  2. Der GCHQ hat diese Daten gespeichert und zu einer sog. Lebensmuster-Analyse freigegeben, wobei dies sowohl für bekannte Terroristen/Straftäter als auch unverdächtige Personen erfolgte.
  3. Der GCHQ hat der amerikanischen NSA Zugang zu diesen Daten gegeben und ihre Speicherung gestattet.
  4. Die NSA teilt diese Daten mit der CIA, wodurch sie zur Festlegung von Zielen bei Drohnenangriffen genutzt werden können.
  5. Amerikanische Militärstreitkräfte operieren von einem britischen Militärstützpunkt, unter dem NATO Truppenstatut. Dieser Stützpunkt wird als Kommunikationsknotenpunkt zur Datenübermittlung, sowohl aus, als auch in die USA benutzt. Ein Teil der Daten, welche in die USA übertragen werden, wurden unter Verstoß gegen internationales Recht erlangt. Einige Daten, welche aus den USA über den britischen Stützpunkt übermittelt werden, enthalten Informationen und Anweisungen, um Drohnenangriffe zu unterstützen.

Im Prinzip stellen diese Szenarien eine aufeinander aufbauende Kette dar. Die Autoren machen deutlich, dass sobald ein Glied der Kette wegen Verstoßes gegen geltendes Recht wegfällt, alle weiteren Schritte ebenfalls unrechtmäßig sind.
Ich möchte den 33-Seiten starken Bericht hier nicht in aller Einzelheit besprechen. Allein die wesentlichen Ergebnisse seien genannt.

Ergebnisse

  • Nach dem geltenden englischen Recht, insbesondere dem für elektronische Spionagetätigkeiten relevanten „Regulation of Investigatory Powers Act 2000“ (RIPA), ist der GCHQ nicht befugt massenhaft inländische Inhaltsdaten abzufangen. Also den Inhalt von E-Mails oder Telefonaten zwischen zwei Personen die sich innerhalb des Vereinigten Königreichs aufhalten. Der GCHQ ist jedoch berechtigt massenhaft ausländische Inhaltsdaten abzufangen, also den Inhalt der Kommunikation zwischen dem Vereinigten Königreich und einem anderen Land. Der GCHQ ist auch berechtigt massenhaft Kommunikationsdaten (auch als Metadaten bekannt) abzufangen. Das massenhafte Abfangen dieser Daten, auch wenn es nach dem RIPA rechtmäßig erfolgen mag, stellt einen unverhältnismäßigen Eingriff in das nach Art. 8 der Europäischen Menschenrechtskonvention (EMRK) geschützte Recht auf Achtung des Privatlebens britischer Bürger dar.
  • Unter dem derzeit geltenden gesetzlichen Rahmen ist der GCHQ berechtigt die massenhaft gesammelten Daten einer Lebensmuster-Analyse. Die Autoren erachten den derzeitigen gesetzlichen Rahmen in Bezug auf die Speicherung, Verwendung und Löschung von Kommunikationsdaten für unverhältnismäßig, so dass er sich wahrscheinlich als rechtswidrig erweist. Die gesetzlichen Vorgaben des RIPA in Bezug auf ausländische Inhaltsdaten sind nach ihrer Ansicht wahrscheinlich ebenfalls rechtswidrig.
  • Nach dem RIPA ist der GCHQ berechtigt, massenhaft gesammelte Daten an die NSA zu übermitteln, wenn der jeweilige Minister davon überzeugt ist, dass die Mechanismen zur Speicherung und Löschung dieser Daten in dem Empfangsstaat angemessen sind. Diese Übertragung abgefangener Daten stellt einen erneuten Eingriff in das Grundecht der Betroffenen aus Art. 8 EMRK dar. Nach Ansicht der Autoren bieten die derzeitigen gesetzlichen Vorgaben keinen ausreichenden Schutz für die jeweils Betroffenen. Die britische Regierung könnte diese Situation zumindest dadurch verbessern, dass sie eine Absichtserklärung oder andere bilaterale Vereinbarungen in Bezug auf Datenübermittlungen abschließt und veröffentlicht. Dort müsste festgelegt werden, wie Daten zu speichern sind, wann sie gelöscht werden müssen und zu welchen Zwecken diese Daten nach britischem recht verwendet werden dürfen.
  • Wenn die britische Regierung davon Kenntnis hat, dass sie Daten übermittelt, welche für Drohnenangriffe gegen Nichtkombattanten eingesetzt werden könnten, dann ist diese Datenübermittlung wahrscheinlich rechtswidrig. Eine einzelne Person, die an einer solchen Übermittlung beteiligt ist, macht sich wahrscheinlich der Beihilfe zum Mord strafbar. Eine Vielzahl verschiedener Gründe spricht dafür, dass die Regierung dazu verpflichtet ist, angemessene Maßnahmen zu ergreifen, diese Möglichkeit zu untersuchen. Jedoch scheint es derzeit so, dass die gesetzlichen Vorgaben die britische Regierung nicht dazu verpflichten, es zu verhindern oder zu prüfen, ob ihre Agenten auf diese Weise zu Gehilfen von Straftaten werden. Wenn dem so sei, dann sehen die Autoren dieses Ergebnis als Gegensatz zu den Grundsätzen der öffentlichen Ordnung und guter Regierungsführung.
  • Die britische Regierung ist befugt gegen amerikanische Soldaten Strafen zu verhängen, die von NATO-Stützpunkten auf britischem Gebiet aus operieren. Wenn Daten, die unter Verstoß gegen britische Gesetze erlangt oder genutzt wurden, über eine britische NATO Basis übermittelt werden, dann kann die britische Regierung jeden amerikanischen Militärangehörigen strafrechtlich verfolgen, der an dieser Übermittlung beteiligt ist. Für die Autoren hat es den Anschein, dass die britische Regierung selbst nicht immer genau Kenntnis davon hat, was auf Militärstützpunkten geschieht, dir von NATO Truppen kontrolliert werden. Daher stellt sich diese strafrechtliche Verfolgungsmöglichkeit in der Praxis möglicherweise nur als theoretisch dar.

Datenschutz und NSA: Bundesregierung beantwortet Fragen zur Datenübermittlung in die USA

Posted on by

Die Bundesregierung hat vergangene Woche eine kleine Anfrage der Fraktion DIE LINKE im Deutschen Bundestag beantwortet (BT-Drs. 18/321). Titel der Anfrage ist „Datenschutz bei der Zusammenarbeit deutscher Finanzdienstleister
mit IT-Unternehmen insbesondere aus den USA vor dem Hintergrund des NSA-Skandals“. Grund für die Anfrage waren Presseberichte, nach denen die Allianz SE ihre Rechenzentren auslagern und an das amerikanische IT-Unternehmen IBM übergeben möchte. Vor dem Hintergrund der Enthüllungen um den möglicherweise unverhältnismäßigen Zugriff amerikanischer Geheimdienste auf Daten europäischer Bürge bei amerikanischen Unternehmen, wollte DIE LINKE genauer wissen, wie die Bundesregierung hierzu steht. Ich möchte im Folgenden nur einige der behandelten Fragen und Antworten ansprechen.

Auftragsdatenverarbeitung
Zunächst geht die Bundesregierung auf die grundsätzlichen Anforderungen einer Auftragsdatenverarbeitung nach § 11 BDSG ein und weist darauf hin, dass in diesem Rahmen der Verantwortliche (Auftraggeber) bereits vor der Datenverarbeitung gewisse Prüfpflichten in Bezug auf den IT-Dienstleister besitzt. Sehr anschaulich hierzu ist im Übrigen das Informationsblatt des bayerischen Landesamtes für Datenschutzaufsicht.

Datenübermittlung in Drittländer
Auch wenn der Auftragnehmer nicht in der EU bzw. dem EWR, sondern in einem Drittstaat sitzt, bleibt der Auftraggeber in der EU verantwortlich. Die Bundesregierung stellt klar, dass auch bei einer Drittstaatenübermittlung die Anforderungen des § 11 BDSG (zumindest entsprechend) erfüllt sein müssen, was insofern wohl der Auffassung der deutschen Datenschutzbehörden entspricht. Zudem weist die Bundesregierung auf die zusätzlichen Voraussetzungen für einen Datentransfer in ein Drittland hin. Ein solcher ist verboten, wenn in dem Drittland keine angemessen Garantien für den Schutz der Daten bestehen, wie etwa in den USA.

Safe Harbor
Die Bundesregierung geht danach auf die Möglichkeit der Datenübermittlung in die USA unter der Safe Harbor-Entscheidung der EU Kommission ein. Diese habe für europäische Unternehmen, die personenbezogene Daten an in den USA tätige Firmen übermitteln, den Vorteil, dass sie keine zusätzlichen Garantien verlangen müssen. Öffentlich Stellung nehmen, zu der Ansicht des Landesdatenschutzbeauftragten von Schleswig-Holstein, Thilo Weichert, dass es „Riskant und unverantwortlich“ sei, die Daten einem US-Konzern anzuvertrauen, möchte die Bundesregierung mit Blick auf die unabhängige Aufgabenerfüllung der Datenschutzaufsichtsbehörden nicht.

Kooperation zwischen NSA und BND
Auf die Frage, ob „deutsche Geheimdienste von der NSA Daten deutscher Finanzdienstleistungsunternehmen erhalten“ haben, möchte die Bundesregierung nicht öffentlich antworten. „Ein Verstoß gegen die in diesem Zusammenhang vorausgesetzte Vertraulichkeit ließe negative Folgewirkungen für die Quantität und Qualität des Informationsaustausches befürchten“. Ausdrücklich geht die Bundesregierung jedoch davon aus, dass

„ein Zugriff der NSA in Kooperation mit entsprechenden IT-Dienstleistern auf Daten deutscher Finanzdienstleistungsunternehmen [ist] theoretisch nicht auszuschließen“ ist. „Allerdings dürfte ein solcher Zugriff regelmäßig rechtswidrig sein“.

Datenschutz-Grundverordnung und Safe Harbor
Die Bundesregierung gibt, mit Blick auf möglich Verstöße gegen die Safe Harbor-Entscheidung durch amerikanische Unternehmen, an, dass „gesetzliche Kontrollmöglichkeiten gemeinsam mit amerikanischen Behörden“ derzeit nicht bestehen. Deutschland setze sich zudem weiter dafür ein, dass der Schutz der Bürgerinnen und Bürger bei Drittstaatenübermittlungen
deutlich verbessert wird. Insbesondere in Bezug auf Safe Harbor möchte die Bundesregierung tätig werden und ist dies auch bereits. Mit Blick auf die europäische Datenschutzreform und die geplante Datenschutz-Grundverordnung weist sie darauf hin, dass für Modelle wie Safe Harbor „in der neuen europäischen Datenschutz-Grundverordnung ein robuster Rechtsrahmen mit klaren Vorgaben für Garantien der Bürgerinnen und Bürger geschaffen werden“ sollte. Zudem führt die Bundesregierung drei konkrete Verbesserungsvorschläge an:

Ziel sollte es insbesondere sein, die Individualrechte der Bürgerinnen und Bürger zu stärken und ihnen bessere Rechtsschutzmöglichkeiten zur Verfügung zu stellen, die Registrierung der US-Unternehmen in der EU vorzunehmen und die staatliche Kontrolle seitens der EU-Datenschutzaufsichtsbehörden in Modellen wie Safe Harbor zu stärken.

Interessant sind dabei insbesondere die letzten beiden Vorschläge. Denn bisher müssen sich amerikanische Unternehmen in Amerika bei dem dafür zuständigen Handelsministerium registrieren. Zum anderen lässt der Vorschlag einer Stärkung der Kontrollbefugnisse der europäischen Behörden aufhorchen. Denn bisher war es die Federal Trade Commission (FTC) in den USA, die wegen einer Verletzung der Safe Harbor-Grundsätze in Amerika tätig wurde.

Fazit
Die Antwort der Bundesregierung ist im Hinblick auf die Reformen zur Datenschutz-Grundverordnung und Safe Harbor durchaus interessant. Die Stärkung der Rechtsschutzmöglichkeiten der Betroffenen ist im Übrigen auch ein zentrales Anliegen der Europäischen Kommission, welche Ende letzten Jahres den USA in einer Mitteilung 13 notwendige Vorschläge zur Verbesserung von Safe Harbor gemacht hat.

LG Wiesbaden: Domaininhaber ist nicht zwingend Diensteanbieter

Posted on by

Mit Urteil vom 18.10.2013 (Az. 1 O 159/13) hat das Landgericht Wiesbaden u. a. entschieden, dass der Inhaber einer Domain und auch der Admin-C nicht zwingend mit dem Diensteanbieter i. S. d. § 2 Abs. 1 Nr. 1 TMG gleichzusetzen sind.

Der Sachverhalt

Die Kläger machten sowohl vertragliche als auch deliktische Ansprüche wegen der Nichterfüllung eines Reisevertrags geltend. Sie buchten über eine Internetseite eine Reise, wobei der vollständige Reisepreis erst zu spät bezhalt wurde und die Reise dann nicht angetreten werden konnte. Die Kläger verlangten nun zum einen den Reisepreis und Schadenersatz für vertane Urlaubszeit, da sich ihrer Ansicht nach aus der fehlenden Zahlung ohne vorherige Mahnung kein Kündigungsrecht ableiten ließe und infolgedessen ihnen die Reise zu Unrecht verweigert worden sei. Daher verklagten sie zunächst das im Impressum auf der Webseite angegeben Unternehmen. An der dortigen Adresse konnte die Klage jedoch nicht zugestellt werden. Die Kläger berichtigten sodann die Beklagtenpartei in ihrer Klage, nachdem sie über eine Anfrage bei der DENIC eG den Namen und die Anschrift der dort als Domaininhaberin und administrative Ansprechpartnerin eingetragenen Dame herausgefunden hatten. Diese verteidigte sich damit, dass sie lediglich Webmasterin im Dienstleistungsauftrag sei und die nur Webseite aufgebaut und gewartet habe.

Die Entscheidung

Ich möchte hier nur die Ausführungen des Gerichts im Zusammenhang mit § 5 TMG wiedergeben. Das LG lehnte daneben aber sowohl einen Vertragsschluss mit der Webmasterin als auch einen Schadenersatzanspruch wegen einer Schutzgesetzverletzung nach § 823 Abs. 2 BGB i. V. m. § 17 HGB ab.

Die Kläger stützten ihren Schadenersatzanspruch auch auf eine Schutzgesetzverletzung nach § 823 Abs. 2 BGB i. V. m. § 5 TMG, also wegen Verstößen gegen die Impressumspflicht. Das LG erkannte auch in der Tat solche Verstöße. Jedoch war die Webmasterin hier nicht der von § 5 Abs. 1 TMG in Bezug genommene „Diensteanbieter“, den die Impressums- und Informationspflichten treffen. Der „Diensteanbieter“ ist in § 2 Abs. 1 Nr. 1 TMG legaldefiniert. Danach muss die betreffende Person die „Nutzung“ von Telemedien ermöglichen und nach Außen als Erbringer von Diensten auftreten. Wie jedoch lediglich die „Bereitstellung“ ermöglicht wird, ist unbeachtlich. Das LG führt aus, dass als Diensteanbieter regelmäßig der Homepage-Inhaber anzusehen sein wird. Auf die alleinige Inhaberschaft einer Domain lässt sich die telemedienrechtliche Verantwortlichkeit aber nicht stützen. Die Inhaberschaft der Webseite, also des abrufbaren Inhalts an sich, ist nämlich von der Inhaberschaft der Domain und auch von der Stellung als Admin-C zu unterscheiden. Ein zwingender Schluss, dass die unter einer Domain nutzbaren Telemedien tatsächlich vom Domaininhaber und Admin-C angeboten werden, dürfe nicht gezogen werden. Insbesondere fehle es am erforderlichen Auftritt nach außen i.S.d. Definition des Diensteanbieters.

Dieses Ergebnis rechtfertige sich auch vor dem Hintergrund, dass der Abruf der Webseite grundsätzlich auch ohne die Kenntnis und Eingabe des Domainnamens möglich sei, auch wenn dies in der Praxis kaum vorkommen werde. Denn der Abruf erfolgt nicht über den Domeinnamen, sondern durch die diesem Namen zugeordnete IP-Adresse. Das LG weist auch darauf hin, dass dieses Ergebnis mit Sinn und Zweck des § 5 TMG in Einklang steht, da sich die Impressumspflicht parallel zu den presserechtlichen Impressumspflichten verhält, die sich an den Betreiber des Presseorgans richten.

Eine solche Stellung wird weder durch die Domaininhaberschaft, d.h. durch das Recht an der Domain, noch durch die Eigenschaft als Admin-C, d.h. als technischer Ansprechpartner der DENIC eG, vermittelt.

Zuletzt befasste sich das Gericht noch mit dem Schutzgesetzcharakter des § 5 TMG, auch wenn es darauf nicht mehr entscheidungsehrblich ankam. Selbst wenn man § 5 TMG als Schutzgesetz ansehen würde, so bestünden nach Auffassung der Kammer jedenfalls Zweifel, ob der vorliegend geltend gemachte Schaden in den sachlichen Schutzbereich der Norm fällt. Zwar sollen die Informationen, welche über die Impressumspflicht öffentlich gemacht werden müssen, gerade dazu dienen, Betroffenen die effektive Geltendmachung ihrer Rechte zu ermöglichen. Nach Ansicht des LG erschiene es aber zu weitgehend, eine auf § 5 TMG beruhende, deliktische Haftung für die Verletzung von Pflichten aus vertraglichen Schuldverhältnisse, welche mittels des betreffenden Telemediums eingegangen wurden, zu statuieren. Ein solcher deliktischer Schadensersatzanspruch hätte nach Ansicht des Gerichts wohl nur in der Situation eigenständige Bedeutung, wenn der nicht impressumspflichtige Vertragspartne auf der einen Seite und der impressumspflichtige Diensteanbieter auf der anderen Seite personenverschieden sind. Das Gericht möchte die Haftung des Diesteanbieters jedoch nicht derart weit ausdehnen:

Dass der Diensteanbieter in einer solchen Konstellation aufgrund eines Impressumsfehlers für die pflichtgemäße Erfüllung sämtlicher, mittels des Telemediums begründeter Verträge einstehen soll, scheint angesichts des vom Diensteanbieters unter Umständen kaum zu steuernden Haftungsrisikos weder vom Gesetzgeber erstrebt, noch sinnvoll und tragbar.

Datenschutzreform: aktueller Stand der Verhandlungen im Rat

Posted on by

Die Verhandlungen zur geplanten Datenschutz-Grundverordnung (DS-GVO) (und natürlich auch zur Datenschutz-Richtlinie für den Bereich der Justiz und Strafverfolgung) im Rat der Europäischen Union dauern an. Nun ist im Internet das aktuelle Arbeitsdokument zu den Änderungsvorschlägen des Ministerrates (Datum: 16.12.2013) zur Datenschutz-Grundverordnung abrufbar.

Aufgrund des Umfangs des Dokuments möchte ich hier nur einen Überblick zu Änderungsvorschlägen zu einigen Themengebieten geben. Von Interesse ist dabei freilich insbesondere, inwieweit sich die im Ministerrat vorgeschlagenen Anpassungen mit denjenigen des Berichts des LIBE-Ausschusses im Europäischen Parlament decken oder abweichen.
Continue reading →

OLG Celle: Unzulässigkeit der Drohung mit einer Datenübermittlung an die Schufa

Posted on by

Das OLG Celle hat mit Urteil vom 19.12.2013 (Az. 13 U 64/13) entschieden, dass es ein Inkassounternehmen zum einen zu unterlassen hat, personenbezogene Daten eines Betroffenen an die Schufa zu übermitteln, wenn die gesetzlichen Vorgaben fehlen und zum anderen mit solch einer Übermittlung zu drohen.
Continue reading →

Datenschützer veröffentlichen Orientierungshilfe zur Selbstregulierung

Posted on by

Der Düsseldorfer Kreis (der Zusammenschluss der Datenschutzbeauftragten des Bundes und der Länder) hat eine neue Orientierungshilfe für den Umgang mit Verhaltensregeln veröffentlicht.

Selbstregulierung im Datenschutzrecht bisher selten

Die aus anderen Rechtsgebieten, etwa dem Jugendmedienschutz, bekannte Form der regulierten Selbstregulierung (also der Vorgabe eines staatlichen Rahmens, innerhalb dessen sich die Mitglieder eines Verbandes dann Verhaltensregeln auferlegen und deren Einhaltung kontrollieren), ist im Datenschutzrecht bisher kaum auf fruchtbaren Boden gestoßen. Öffentlichkeitswirksam gescheitert ist etwa im letzten Jahr der Versuch der Selbstregulierung der Anbieter von sozialen Netzwerken im Internet.
Continue reading →