Schlagwort: EuGH

Datenschutz-Showdown mit den USA? Warum eine offene Konfrontation wenig hilfreich ist

16. Oktober 2015

Nach dem Safe-Harbor-Urteil des EuGH vom 06. Oktober 2015 tönt es im transatlischen Verhältnis wie in einem schlechten Western. Die USA reagieren verschnupft, die deutschen Behörden übertreffen sich untereinander gegenseitig mit immer neuen Forderungen und Einschätzungen. So stellt die Landesdatenschutzbeauftragte aus Schleswig-Holsteins, Marit Hansen in einem Interview mit dem Deutschlandfunk schon einmal in Frage, ob künftig Übermittlungen von Daten in die USA überhaupt noch zulässig sein sollen. Zwar vergisst sie zu erwähnen, dass es nicht in Ihre Zuständigkeit fällt, etwa die EU-Standardvertragsklauseln für hinfällig zu erklären, immerhin fordert sie aber Übergangsfristen.

Fraglich bleibt aber, was man erreichen will, wenn man solche Datentransfers wirklich untersagen möchte. Würde man das kurzfristig tun, könnte wohl die Mehrzahl der Unternehmen in Deutschland ihre Marketingabteilungen entlassen und wieder zur Kommunikation mit Rohrpost zurückkehren. Sicher – große Unternehmen wie Microsoft werden es wohl schaffen, ihre Datenbanken relativ kurzfristig nach Europa zu verlagern. Gerade dieses Unternehmen streitet sich aber momentan mit der US-Regierung, ob es nicht auch Daten aus Rechenzentren in Irland an US-Geheimdienste übergeben muss. Aber selbst wenn Europa hier einer harten Linie folgen sollte und US-Unternehmen sich offen gegen ihre Regierung stellen, erscheint es doch zumindest naiv zu glauben, Daten seien vor US-Behörden sicher, nur weil sie physisch in Europa lagern.

Bleibt aber die Frage, was denn passieren soll, wenn Microsoft, Google, Facebook und Co. nicht ihr komplettes Geschäftsmodell an die Vorstellungen der Europäer anpassen wollen. Man wird wohl mit Bußgeldern drohen – diese sollen ja nach der neuen EU-Grundverordnung durchaus schmerzhaft ausfallen (im Gespräch sind bis zu 5 % des weltweiten Jahresumsatzes). Vielleicht wird man es sogar schaffen, das ein oder andere Unternehmen komplett aus Europa zu vertreiben. Nur werden ihre Dienste und Produkte – sofern man nicht nach chinesischem Vorbild eine große Datenmauer um Europa errichten möchte – ja für europäische Nutzer über das Internet weiter verfügbar sein. Der Datenschutz und die Datensicherheit von EU-Bürgern würden sich also sicher nicht verbessern.

Hinzuweisen bleibt in diesem Zusammenhang auch auf das Beispiel “Recht auf Vergessen” bei Google. Zwar entfernt Google Ergebnisse nun tatsächlich aus seinen europäischen Angeboten, auf den internationalen Seiten sind sie aber weiter zu finden. Jeder der sich auch nur etwas Mühe gibt, kann sie also weiter finden. An diesem Beispiel erkennt man sehr gut, dass es faktisch nicht zielführend ist, zu erwarten, dass die Welt am europäischen Wesen genesen möge.

Letztlich werden nur multinationale Lösungen auf politischer Ebene zu Erfolgen führen. Die EU hat durchaus, etwa im Hinblick auf Verhandlungen wie zu TTIP, Trümpfe in der Hand um die Amerikaner zu Zugeständnissen zu bewegen. Strafandrohungen und dergleichen werden wohl kaum zu einem Einlenken führen. Eine rethorische Abrüstung würde der Diskussion sicherlich gut tun, es ist nicht High Noon und wir werden unsere unterschiedlichen Anschauungen zum Datenschutz nicht durch Konfrontation lösen können.

Deutsche Datenschutzbehörden zweifeln an der Zulässigkeit von Datenübermittlungen in die USA auf Grundlage von Standardvertragsklauseln

15. Oktober 2015

Nach der Safe-Harbor-Entscheidung des EuGH vom 06. Oktober 2015 sind Datenübermittlungen auf Grundlage des Abkommens nicht mehr zulässig.  Hintergrund der Entscheidung ist der Zugriff der amerikanischen Behörden auf der Basis des Patriot Act, der unabhängig von der gewählten rechtlichen Grundlage zur Anwendung kommen kann und europäische Daten nicht ausnimmt.

Nach wie vor in Betracht kommt indes ein Transfer auf der Basis der Standardvertragsklauseln bzw. Binding Corporate Rules, deren Zulässigkeit nicht Gegenstand des Verfahrens war. Datenschutzrechtliche Bedenken hiergegen bestanden jedoch bereits vor der Entscheidung des EuGH und werden erneut vor dem erläuterten Hintergrund der Entscheidung diskutiert.


Deutsche Datenschutzbehörden haben bereits im Jahr 2013 in einer gemeinsamen Presseerklärung erklärt, dass ihnen diese Standard-Vertragsklauseln nicht (mehr) ausreichten, solange die genauen Zugriffsmöglichkeiten der amerikanischen Geheimdienste nicht geklärt seien:

“Deshalb fordert die Konferenz die Bundesregierung auf, plausibel darzulegen, dass der unbeschränkte Zugriff ausländischer Nachrichtendienste auf die personenbezogenen Daten der Menschen in Deutschland effektiv im Sinne der genannten Grundsätze begrenzt wird.
Bevor dies nicht sichergestellt ist, werden die Aufsichtsbehörden für den Datenschutz keine neuen Genehmigungen für die Datenübermittlung in Drittstaaten (zum Beispiel auch zur Nutzung bestimmter Cloud-Dienste) erteilen und prüfen, ob solche Datenübermittlungen auf der Grundlage des Safe-Harbor-Abkommens und der Standardvertragsklauseln auszusetzen sind.”


In dem Positionspapier zu dem Safe-Harbor-Urteil hält die schleswig-holsteinische Datenschutzbauftragte bei konsequenter Anwendung der Vorgaben des EuGH in seinem Urteil eine Datenübermittlung auf Basis von Standardvertragsklauseln für nicht mehr zulässig. Nichtöffentliche Stellen, die für ihren Datentransfer in die USA Standardvertragsklauseln verwenden, müssten nun in Erwägung ziehen, den zugrunde liegenden Standardvertrag mit dem Datenimporteur in den USA zu kündigen oder die Datenübermittlungen auszusetzen. Eine dauerhafte Lösung könne nur in einer Änderung des amerikanischen Rechts liegen.

Es werde nun geprüft, ob Anordnungen gegenüber nichtöffentlichen Stellen getroffen werden müssen, auf deren Basis Datenübermittlungen in die USA ausgesetzt oder verboten werden müssen.

Wie US-Firmen auf das Safe-Harbor-Urteil des EuGH reagieren

14. Oktober 2015

Nachdem der Europäische Gerichtshof (EuGH) vergangene Woche die Ungültigkeit des Safe-Harbor-Abkommens zwischen der EU und den USA festgestellt hat, lohnt sich ein Blick auf US-Unternehmen. Denn es sind gerade die Großen der Internetbranche, die überdurchschnittlich viele Daten aus der EU erheben und verarbeiten. Und die Großen, allen voran Google, Amazon, Microsoft, Facebook und Apple sind US-Firmen mit großen Marktanteilen in der EU.

Während das Safe-Harbor-Abkommen, sei es nun die gekippte oder die seit 2013 in der Überarbeitung befindliche neue Version, allein von der Politik gestaltet wird und Alternativen wie EU-Standardvertragsklauseln und Binding Corporate Rules von Juristen und Behörden empfohlen werden, sind es die großen US-Unternehmen, die nach ganz eigenen Lösungen suchen. Diese sind – das liegt in der Natur der Sache – zumeist praxisnäher und nicht selten bereits praxiserprobt. Finanziell, organisatorisch und personell können die Unternehmen deutlich schneller, flexibler und nicht selten sogar innovativer reagieren als es nationale Datenschutzbehörden und eine überbürokratisierte EU-Politik können.

Nun stand das Safe-Harbor-Abkommen schon lange in der Kritik und das Urteil des EuGH kommt auch nicht all zu überraschend. Kernproblem war und bleibt der Patriot Act, der US-Behörden ermächtigt, nahezu uferlos auf Daten von US-Firmen zugreifen zu können. Dieses Vorgehen kritisieren nicht nur der EuGH und europäische Datenschützer. Auch US-Firmen bemängelten in der Vergangenheit das Vorgehen der eigenen Regierung, Firmen dazu zwingen zu können, Daten und Informationen gegen ihren Willen preisgeben zu müssen.

Die Summe der Probleme beim Austausch von Daten zwischen EU und USA ist gerade für die Großen der Branche Grund genug, nach eigenen, praxisnahen Lösungen zu suchen. So setzen jedenfalls die finanzstarken Unternehmen verstärkt auf den Ausbau ihrer Standorte innerhalb Europas, wie das Wall Street Journal berichtet. Insbesondere in Irland, aber auch in Belgien, Finnland, den Niederlanden, Dänemark und in Deutschland investieren Google & Co. beachtliche Summen in den Aufbau eigener Rechenzentren und Infrastrukturen. Der Vorteil: Eines der Fundamente des Datenschutzes, nämlich die Zulässigkeit der Datenverarbeitung gemäß § 11 BDSG, ist grundsätzlich gegeben. Denn innerhalb der EU bzw. des europäischen Wirtschaftsraumes wird ein angemessenes Datenschutzniveau unterstellt, während ein solches bei der Datenverarbeitung über die Grenzen der EU hinaus – oft umständlich – nachgewiesen werden muss.

Erste Reaktionen nationaler Datenschutzbehörden auf die Safe-Harbor-Entscheidung und Folgen für die Praxis

7. Oktober 2015

Nach der Entscheidung des EuGH vom 06. Oktober 2015 über die Gültigkeit des Safe-Harbor-Abkommens haben sich einzelne nationale Datenschutzbehörden zu möglichen Konsequenzen geäußert, die teilweise unterschiedlich bewertet werden. In Rede steht die Aussetzung des Datentranfers in die Vereinigten Staaten, aber auch die fortbestehende Rechtmäßigkeit einer Datenübermittlung im Rahmen von Standardvertragsklauseln oder verbindlichen Unternehmensvereinbarungen.


Die Artikel 29-Datenschutzgruppe hat in der Pressemitteilung vom 06. Oktober 2015 die Safe-Harbor-Entscheidung des EuGH ausdrücklich begrüßt. Sie teilte zudem mit, bereits in der folgenden Woche das Urteil in einer Expertenrunde zu analysieren und die Folgen für den Datentransfer in die Vereinigten Staaten zu diskutieren. Ein Termin für eine außerordentliche Plenarsitzung folge in Kürze.


Der Hamburgische Beauftragte für Datenschutz geht davon aus, dass die Aufsichtsbehörden bei der Umsetzung des Urteils eine Schlüsselrolle einnehmen werden. Dabei sei zu prüfen, ob Datentransfers in die Vereinigten Staaten auszusetzen seien. Dies gelte auch, wenn sie auf andere Rechtsgrundlagen wie Standardvertragsklauseln, Einwilligung oder Binding Corporate Rules gestützt würden. Die Aufsichtsbehörden würden dafür noch in dieser Woche ihr Vorgehen auf nationaler und europäischer Ebene koordinieren. Die EU-Kommission ihrerseits müsse die USA drängen, ein angemessenes Datenschutzniveau herzustellen.


Zustimmend äußerte sich zudem die britische Datenschutzbehörde ICO. Sie werde die Folgen des Urteils analysieren und in den kommenden Wochen bekanntgeben. Bereits jetzt erkennbare Folgen für die Praxis:

  • Personenbezogene Daten seien nun nicht verstärkt gefährdet, jedoch seien Unternehmen jetzt verpflichtet sicherzustellen, dass Daten mit dem europäischen Datenschutzrecht konform übermittelt werden.
  • Der Datenschutzbehörde sei dabei bewusst, dass den Unternehmen ein gewisser Zeitraum für Erfüllung dieser Pflichten eingeräumt werden müsse.
  • Es bestünden bereits jetzt Möglichkeiten für eine rechtskonforme Übertragung.
  • Verhandlungen über den Abschluss eines neuen Abkommens zwischen der EU und den Vereinigten Staaten seinen bereits fortgeschritten.
  • Die Folgen des Urteils werden durch die ICO analysiert und Ergebnisse in den kommenden Wochen bekanntgegeben.

Die spanische Agencia Española de Protección de Datos – AEPD führt in ihrer Pressemitteilung zu der Entscheidung aus:

Bisher hat die AEPD internationale Datenübermittlungen an Safe Harbor zertifizierte amerikanische Unternehmen rechtlich anerkannt. Diese Unternehmen hatten demnach das Privileg, dass bei einer Meldung eines Systems an die zuständige Behörde keine weitere Genehmigung durch die Datenschutzbehörde erfoderlich war um die Übermittlung datenschutzkonform durchzuführen.

Jetzt hat die Datenschutzbehörde im Einzelfall zu prüfen, ob die Datenübermittlungen an Safe Harbor zertifizierte amerikanische Unternehmen rechtmäßig sind.

Die Europäischen Datenschutzbehörden hätten bereits in der Vergangenheit auf Mängel des Safe Harbor Abkommens aufmerksam gemacht. Nun arbeiteten sie zusammen, um koordinierte Maßnahmen bezüglich des EuGH-Urteils herbeizuführen, damit es gleichmäßig in allen EU Mitgliedstaaten interpretiert und umgesetzt werde.

Safe Harbor kein „sicherer Hafen“ für EU-Bürger

6. Oktober 2015

Mit dem Urteil C-362/14 vom 06. Oktober 2015 hat der EuGH die Entscheidung der Kommission vom 26. Juli 2000, dass die s.g. „Safe-Harbor-Regelung“ der Vereinigten Staaten ein angemessenes Schutzniveau der übermittelten personenbezogenen Daten gewährleistet, für ungültig erklärt.

Zusammenfassung und Folgen für die Praxis:

• Die Entscheidung des EuGH zu Safe Harbor macht den Datentransfer von Europa in die Vereinigten Staaten für die Safe Harbor registrierten Unternehmen nicht per se rechtswidrig.

• Die Datenschutzbehörden der Mitgliedsstaaten sind nun jedoch befugt, Unternehmen, die Daten auf der Basis von Safe Harbor in die Vereinigten Staaten übermitteln oder dort verarbeiten lassen, auf die Einhaltung der datenschutzrechtlichen Vorschriften hin zu überprüfen und im Falle des Verstoßes Sanktionen zu erlassen, etwa Untersagungsverfügungen. Dies dürfte auch für den Transfer auf der Basis der Standardvertragsklauseln bzw. Corporate Binding Corporate Rules gelten, da der Hintergrund der Zugriff der amerikanischen Behörden auf der Basis des Patriot Act ist, der unabhängig von der gewählten rechtlichen Grundlage zur Anwendung kommen kann und europäische Daten nicht ausnimmt.

• Bei Verstößen können die Datenschutzbehörden als utima ratio durch Untersagungsverfügungen die Übermittlung der personenbezogenen Daten in die Vereinigten Staaten untersagen.

• Doch die EU und die Vereinigten Staaten verhandeln bereits seit 2013 über ein neues Safe-Harbor-Abkommen. Es erscheint also nicht ausgeschlossen, dass die nationalen bzw. regionalen europäischen Aufsichtsbehörden eine Übergangsfrist abstimmen, bis zu der keine konkreten Prüfungen durch die Landes-Aufsichtsbehörden erfolgen und mithin keine Untersagungsverfügungen gegenüber Unternehmen erfolgen.

• Entschieden ist dies jedoch aktuell nicht. Entsprechende Abstimmungen auf behördlicher Ebene werden jedoch schon für die kommende Woche erwartet.

• Voraussetzung könnte sein, dass sich die Regierungen bis zu einem gewissen Zeitpunkt auf ein neues Safe-Harbor-Abkommen einigen. Die Aufsichtsbehörden würden so den durch die Rechtsprechung aufgebauten Druck weg von den Unternehmen zumindest temporär auf die handelnden politischen Entscheidungsträger verlagern.

• Inhaltlich dürfte es bei den kommenden Verhandlungen zwischen den transatlantischen Partnern neben den bisher häufig zu oberflächlich erfolgten Umsetzungen der Safe Harbor Regeln und den damit unzutreffend erfolgten Selbstzertifizierungen in den betroffenen Unternehmen insbesondere um die Zugriffe auf europäische Daten auf der Basis des Patriot Act gehen.

Die Entscheidung

Zum Hintergrund: Der Beschwerdeführer nutzt seit 2008 das soziale Netzwerk facebook. Die in Irland ansässige Tochtergesellschaft übermittelte die Daten des Beschwerdeführers an Server, die sich in den Vereinigten Staaten befinden und ließ sie dort verarbeiten. Der Beschwerdeführer befürchtete aufgrund der bekanntgewordenen Tätigkeiten der Nachrichtendienste, dass die Praxis der Vereinigten Staaten keinen ausreichenden Schutz der übermittelten Daten vor den Behörden bot. Eine hiergegen eingelegte Beschwerde bei der irischen Datenschutzbehörde lehnte diese mit der Begründung ab, dass die Kommission in ihrer Entscheidung vom 26. Juli 2000 festgestellt habe, dass ein angemessenes Schutzniveau gewährleistet sei.

Stärkung der Rechte nationaler Datenschutzbehörden

In der heutigen Entscheidung führt der EuGH aus, dass die Feststellung des Schutzniveaus durch die Kommission die Befugnisse der nationalen Datenschutzbehörden weder beschränken, noch beseitigen kann. Die Datenschutzbehörden müssen, wenn sie mit einer Beschwerde befasst werden, in völliger Unabhängigkeit prüfen können, ob bei der Übermittlung der Daten einer Person in ein Drittland die datenschutzrechtlichen Anforderungen der EU gewahrt sind.

Verletzung des Grundrechts auf Achtung des Privatlebens

Nach Feststellung der bestehenden Prüfungskompetenz der nationalen Datenschutzbehörden nimmt der EuGH auch zu der inhaltlichen Gültigkeit der Kommissionsentscheidung Stellung. Er stellt fest, dass die Kommission nicht die Gewährleistung des Schutzniveaus der Grundrechte durch die innerstaatlichen Vorschriften und internationalen Verpflichtungen der Vereinigten Staaten geprüft hat. Vielmehr hat sie sich darauf beschränkt, die Safe-Harbor-Regelung zu prüfen.

Aber auch die Regelung allein gewährleistet keinen Schutz, der dem in der Union garantierten Niveau gleichwertig ist. Denn die diese gilt nur für Unternehmen, die sich der Safe-Harbor Regelung unterwerfen, nicht aber für Behörden der Vereinigten Staaten. Darüber hinaus haben die Erfordernisse der nationalen Sicherheit, des öffentlichen Interesses und der Durchführung von Gesetzten der Vereinigten Staaten Vorrang vor den Safe-Harbor-Regelungen, so dass Unternehmen bei einem Widerstreit der genannten Interessen, die Safe-Harbor-Regelung unangewandt lassen müssen. Die Safe-Harbor Regelung ermögliche insoweit Eingriffe durch amerikanische Behörden, ohne dass Reglungen bestünden, die die Eingriffskompetenzen begrenzten.

In diesem Zusammenhang stellt der EuGH in aller Deutlichkeit fest, dass eine Regelung, die es den Behörden gestattet, generell auf den Inhalt der elektronischen Kommunikation zuzugreifen, den Wesensgehalt des Grundrechts auf Achtung des Privatlebens verletzt. Da dem Bürger kein Zugang zu den ihn betreffenden Daten zur Verfügung steht, sei darüber hinaus das Grundrecht auf einen wirksamen gerichtlichen Schutz verwehrt.

Safe Harbor kein “sicherer Hafen” für Daten von EU-Bürgern?

23. September 2015

Nach dem heutigen Schlussantrag des Rechtsgutachters vor dem Europäischen Gerichtshof in Luxemburg (EuGH) bietet die sog. Safe-Harbor-Entscheidung der Europäischen Kommission keine sichere Rechtsgundlage für die Übermittlung von personenbezogenen Daten von EU-Bürgern in die USA.

Der Antrag erging in dem Verfahren des Österreichers Max Schrems gegen die irische Datenschutzbehörde über den Datenschutz bei Facebook.

Die die Safe-Harbor-Prinzipien festlegende Kommissionsentscheidung aus dem Jahr 2000 sei seiner Meinung nach ungültig. Zu gering sei der Rechtsschutz für Bürger aus der EU, wenn ihre Daten in großer Zahl von US-amerikanischen Firmen wie beispielsweise Facebook gesammelt würden. Insbesondere durch den potenziellen Datenaustausch von amerikanischen Firmen mit der NSA liege ein Eingriff in das Recht auf informationelle Selbstbestimung vor, der vor allem deshalb unverhältnismäßig sei, weil die Überwachung in den USA massiv und nicht zielgerichtet sei.

Die zuständige Datenschutzbehörde sei folglich nicht an die oben genannte Kommissionsentscheidung gebunden und könne die Übermittlung der Daten von der europäischen Facebook-Zentrale in Irland an Facebook Inc. in die USA verbieten.

Zwar ist der EuGH in seiner Entscheidung nicht an dieses Rechtsgutachten gebunden, in den meisten Fällen wird ihm aber weitestgehend gefolgt.

EuGH: Privatleute müssen bei Videoüberwachung EU-Datenschutz beachten

16. Dezember 2014

Am Donnerstag entschied der Europäische Gerichtshof (EuGH) in Luxemburg, dass auch Privatleute den europäischen Datenschutz beachten müssen, wenn sie aus Furcht vor Kriminellen ihr Haus Video überwachen wollen. Die europäischen Richter hatten sich mit einem Fall aus Tschechien zu befassen. Nach mehreren Angriffen auf sein Haus hatte dort ein Mann auf sein Haus eine Kamera montiert, die seinen Eingang, die Straße davor und den Eingang des gegenüberliegenden Hauses filmte. Tatsächlich erfasste der Mann bei der nächsten Attacke zwei Verdächtige, die laut Video eine Fensterscheibe zerschossen. Beim tschechischen Amt für den Schutz personenbezogener Daten beanstandete jedoch einer der Verdächtigen die Rechtmäßigkeit der Verarbeitung von der Überwachungskamera aufgezeichneten Daten. Das tschechische Amt gab ihm recht und verhängte eine Geldbuße gegen den Betreiber der Kamera. Zur Begründung führte das Amt aus, dass die Daten des Verdächtigen ohne seine Einwilligung aufgezeichnet worden seien, obwohl er sich im öffentlichen Straßenraum aufgehalten habe.

Das anschließend mit diesem Rechtsstreit ursprünglich befasste Oberste Verwaltungsgericht der Tschechischen Republik legte dem EuGH die Frage im Rahmen eines Vorabentscheidungsverfahrens vor, ob die Aufzeichnung die der Betreiber der Kamera gemacht habe, um sein Leben, seine Gesundheit und sein Eigentum zu schützen, eine Datenverarbeitung darstellt, die nicht von der Richtlinie erfasst wird, weil die Aufzeichnung von einer natürlichen Person zur Ausübung ausschließlicher, persönlicher oder familiärer Tätigkeit vorgenommen wurde. In seiner Entscheidung stellte der EuGH in einem ersten Schritt fest, dass sich der Begriff der personenbezogenen Daten im Sinne dieser Richtlinie auf alle Informationen über eine bestimmte oder bestimmbare Person beziehe. Als bestimmbar werde eine Person angesehen, die durch Zuordnung zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen Identität sind, direkt oder indirekt identifiziert werden kann. Das von einer Kamera aufgezeichnete Bild falle somit unter den Begriff der personenbezogenen Daten, da es die Identifikation der betroffenen Person ermögliche. Damit falle ebenso die Videoüberwachung, bei der personenbezogene Daten aufgezeichnet und gespeichert werden, in den Anwendungsbereich der Richtlinie, da sie eine automatisierte Verarbeitung personenbezogener Daten darstelle.

In einem zweiten Schritt legte der EuGH dar, dass die Ausnahme, die in der Richtlinie für die Datenverarbeitung vorgesehen ist, die von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen wird, eng auszulegen sei. Daher könne eine Videoüberwachung, die sich auf den öffentlichen Raum erstreckt und damit auf den Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten verarbeitet, nicht als eine “ausschließliche persönliche oder familiäre Tätigkeit angesehen werden. Allerdings gibt es auch Ausnahmen zu dieser Regelung. Die Datenverarbeitung dürfe jedenfalls dann ohne Einwilligung des Betroffenen erfolgen, wenn sie zur Verwirklichung des berechtigten Interesses des für die Verarbeitung Verantwortlichen erforderlich ist. Dies gelte auch dann, wenn dies unmöglich sei oder unverhältnismäßigen Aufwand erfordere.

BfDI: EuGH-Entscheidung zu IP-Adressen erwünscht

10. November 2014

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Voßhoff begrüßt die vom Bundesgerichtshof (BGH) initiierte Einschaltung des Europäischen Gerichtshofs (EuGH) bei der Frage, ob IP-Adressen personenbezogen sind und dem Datenschutzrecht unterfallen, wenn sie von einem Website-Anbieter gespeichert werden. Schon die anhaltenden Diskussionen rund um dieses Thema zeigen nach ihrer Ansicht, dass eine Vorlage dieser Frage an den EuGH sinnvoll ist. Die gemeinsamen europäischen Rechtsgrundlagen, vor allem die in Arbeit befindliche Datenschutzgrundverordnung, erforderten eine einheitliche Auslegung und ein harmonisiertes Vorgehen bei grundlegenden Fragen.

Der EuGH müsse nun in dem Vorabentscheidungsverfahren entscheiden, ob eine IP-Adresse auch dann einen Personenbezug aufweist, wenn nur ein Dritter die notwendige Identifizierung der betroffenen Person durchführen kann. Sollte dies bejaht werden, stelle sich die weitere Frage, ob § 15 Abs. 1 des Telemediengesetzes mit der EG-Datenschutzrichtlinie vereinbar ist.

In dem Ursprungsverfahren sieht der Kläger die Speicherung seiner IP-Adresse beim Besuch der Websites der Bundesrepublik als unzulässig an, da es sich um eine Speicherung von personenbezogenen Daten handele, für die es keine Rechtsgrundlage gäbe. Denn zusammen mit dem ebenfalls gespeicherten Zeitpunkt (Datum und Uhrzeit) des Aufrufs sei eine Identifizierung seiner Person möglich. Die Bundesrepublik vertritt die Meinung, dass eine Protokollierung der Aufrufe ihrer Websites zulässig sei, weil es sich bei IP-Adressen zumindest dann nicht um personenbezogene Daten handele, wenn sie von einem Website-Anbieter erhoben würden. Dieser könne einen Personenbezug selbst nicht herstellen. Zudem sei die Speicherung für Datensicherheitszwecke erforderlich.

Vorlage an den EuGH bzgl. Speicherung von IP-Adressen

29. Oktober 2014

Im Rechtsstreit um die Speicherung dynamischer IP-Adressen (die Ziffernfolgen, die bei jeder Einwahl vernetzten Computern zugewiesen werden, um deren Kommunikation im Internet zu ermöglichen) durch die Bundesregierung hat der Bundesgerichtshof (BGH)  dem Europäischen Gerichtshof (EuGH) nun die folgende Frage zur Auslegung der EG-Datenschutz-Richtlinie vorgelegt: Die Brüsseler Richter sollen u. a. entscheiden, ob IP-Adressen “personenbezogene Daten” sind.

In dem damit ausgesetzten Revisionsverfahren geht es um eine Klage des Piratenpolitikers Patrick Breyer gegen die Bundesrepublik Deutschland. Der Schleswig-Holsteinische Landtagsabgeordnete will dem Bund verbieten lassen, IP-Adressen von Besuchern von Websites des Bundes über die Dauer der Nutzung hinaus zu speichern. Der EuGH soll nun klären, ob IP-Adressen überhaupt als “personenbezogene Daten” gelten, die vom europäischen Datenschutzrecht geschützt werden, auch wenn keine weiteren Informationen zur Identität des Anschlussinhabers vorliegen. Der Bund argumentiert bislang, ihm lägen selbst keine Informationen vor, die eine Identifizierung anhand der IP-Adresse ermöglicht. Diese Informationen habe nur der jeweilige Zugangsanbieter, der darüber nicht ohne Weiteres Auskunft geben dürfe.

Die Bundesbeauftragte für den Datenschutz, Andrea Voßhoff, begrüßte die gestrige Entscheidung des BGH. “Die gemeinsamen europäischen Rechtsgrundlagen, vor allem die in Arbeit befindliche Datenschutzgrundverordnung, erfordern eine einheitliche Auslegung und ein harmonisiertes Vorgehen bei grundlegenden Fragen.”, so Voßhoff in einer Pressemitteilung.

Kategorien: Allgemein
Schlagwörter: , ,

EuGH: Framing ist keine Urheberrechtsverletzung

27. Oktober 2014

Der Europäische Gerichtshof (EuGH) hat Medienberichten zufolge entschieden, dass das Einbetten öffentlich zugänglicher geschützter Inhalte in die eigene Website mittels Framing – also dem Einbinden von Multimediainhalten in eine Website, indem diese durch einen elektronischen Verweis vom Ursprungsort abgerufen und in einem Rahmen auf der eigenen Website wiedergegeben werden –  keinen Urheberrechtsverstoß darstellt. Nach dem EuGH ist das Einbinden von Inhalten legal, wenn dadurch kein neues Publikum erschlossen und keine neue Technik verwendet wird. Diese Voraussetzungen sei beim Einbetten öffentlich zugänglicher Youtube-Videos erfüllt. Ein neues Publikum werde dadurch nicht erreicht, weil davon ausgegangen werden könne, “dass der Inhaber des Urheberrechts, als er die Wiedergabe erlaubte, an alle Nutzer des Internets gedacht habe.”

Kategorien: Allgemein
Schlagwörter: ,