Schlagwort: Personenbezogene Daten

Reform des Berliner Schulgesetzes: Stärkung des Datenschutzes

19. Oktober 2021

Insbesondere die letzten zwei Jahre haben deutlich gezeigt, dass digitale Plattformen auch im Schulbereich für den Fortlauf der Wissensvermittlung unerlässlich sind. Allerdings werden hierbei personenbezogene Daten von Kindern verarbeitet, was viele Unsicherheiten zwischen den beteiligten Parteien hervorruft.

Eltern, Lehrer*innen und Schüler*innen wurden aus verschiedenen Perspektiven vor eine Herausforderungen gestellt. So fehlt regelmäßig die Rechtsgrundlage für die Verarbeitung personenbezogener Daten bei der Nutzung von digitalen Lernmitteln im Unterricht. Datenschutzrechtlich ist demnach die Einholung von Einwilligungen gemäß Artikel 6 Absatz 1 lit. a) DSGVO für die Nutzung von digitalen Lernräumen notwendig.

In Berlin wurde durch die Reform des Berliner Schulgesetzes am 16. September 2021, durch weitreichende Änderungen der datenschutzgerechte digitale Unterricht neu geregelt. Durch die Neuerungen wurden weitreichende inhaltliche Regelungen vorgenommen. Demnach ist unter anderem die Einholung der Einwilligung nicht mehr notwendig. Das neue Gesetz verpflichtet darüber hinaus die Berliner Senatsverwaltung für Bildung, regelmäßig datenschutzkonforme Lehrmittel festzulegen.

Die Beauftragte für Datenschutz und Informationsfreiheit in Berlin, Maja Smoltczyk, nennt die vorgenommenen Änderungen des Berliner Schulgesetzes „richtungsweisend für andere Bundesländer“. Digitale Lernmittel haben in ihrem Einsatz in Berliner Schulen durch das Berliner Schulgesetz sicheren Boden gefunden, betont Smoltczyk und sieht durch die Neuerung „die Berliner Schulen für das digitale Zeitalter gewappnet.

Durch die Reform wurde nicht nur Rechtssicherheit bei der Verwendung von digitalen Lehrmitteln erzielt, sondern auch Kapazitäten für die pädagogischen Aspekte des Schulwesens wieder frei.

Anspruch auf Auskunft und unentgeltiche Kopie der eigenen Prüfungsklausuren

23. Juli 2021

Ein Examensabsolvent hat Anspruch auf zur Verfügung Stellung einer kostenfreien Kopie der eigenen Examensklausuren mitsamt Prüfergutachten. Das hat das Oberverwaltungsgericht Münster (OVG Münster) mit Urteil vom 08.06.2021, 16 A 1582/20 entschieden und folgt damit einer extensiven Auslegung des Auskunftsanspruchs aus Art. 15 Abs. 3 DSGVO.

Das Verfahren

Dem Rechtsstreit vorausgegangen war ein Antrag des Klägers aus dem Jahr 2018 auf kostenlose Übersendung von Kopien seiner angefertigten Examensklausuren. Da das Prüfungsamt dem Examensabsolventen die Kopien seiner Examensklausuren nur gegen Zahlung eines Vorschusses zur Verfügung stellen wollte, zu dessen Zahlung der Kläger unter Berufung auf die Datenschutz-Grundverordnung nicht bereit war, erhob der Kläger Klage vor dem Verwaltungsgericht Gelsenkirchen. Das VG Gelsenkirchen verurteilte das Land NRW dazu, dem Kläger unentgeltlich Kopien seiner Examensklausuren nebst Prüfergutachten zur Verfügung zu stellen.

Die dagegen eingelegte Berufung des Landesjustizprüfungsamts (LJPA) hat das OVG Münster zurückgewiesen und bestätigte damit das Urteil der Vorinstanz.

Zur Begründung führte es aus, dass der Kläger gem. Art. 15 Abs. 3 DSGVO i.V.m. Art. 12 Abs. 5 DSGVO einen Anspruch auf unentgeltliche zur Verfügung Stellung einer Kopie seiner Examensklausuren nebst Prüfergutachten habe.

Der Auskunftsanspruch

Art. 15 DSGVO gewährt betroffenen Personen das Recht von einem Verantwortlichen z.B. einem Unternehmen oder einer Behörde Auskunft über ihre dort gespeicherten personenbezogenen Daten zu verlangen und verpflichtet dabei zugleich den Verantwortlichen, der betroffenen Person bestimmte Informationen auf Antrag zur Verfügung zu stellen. Nach Art. 15 Abs. 3 DSGVO stellt der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, der betroffenen Person zur Verfügung. Welche Daten und Informationen von diesem Auskunftsanspruch aus Art. 15 Abs. 3 DSGVO umfasst sind, ist umstritten. Insbesondere über die Frage, ob Prüfungsklausuren nebst Prüfergutachten von diesem Anspruch umfasste Informationen darstellen können, besteht Uneinigkeit.

Während eine Auffassung davon ausgeht, der Auskunftsanspruch müsse auf solche Informationen beschränkt werden, die Art. 15 Abs. 1 DSGVO ausdrücklich nennt, so dass betroffene Personen nur eine Kopie der Informationen darüber verlangen können, ob ihre personenbezogenen Daten gespeichert werden und um welche es sich dabei ggf. handelt (sog. enge/restriktive Auslegung). Geht eine andere Meinung – so auch das OVG Münster – von einer weiten Auslegung des Auskunftsanspruchs aus.

Die Entscheidung

Im vorliegenden Fall entschied das OVG daher, dass es sich bei den angefertigten Klausuren und den dazugehörigen Prüfergutachten um personenbezogene Daten i.S.v. Art. 4 Nr. 1 DSGVO handle, die durch das LJPA i.S.v. Art. 4 Nr. 2 DSGVO verarbeitet wurden und daher vom Auskunftsanspruch aus Art. 15 Abs. 3 DSGVO umfasst seien. Diese Auffasung, so das OVG Münster, würde auch durch die Rechtsprechung des Europäischen Gerichtshofs (EuGH) bestätigt. So hat der EuGH u.a. in einem Urteil vom 20. Dezember 2017 entschieden, dass die schriftlichen Antworten eines Prüflings in einer berufsbezogenen Prüfung und etwaige Anmerkungen des Prüfers dazu Informationen über den Prüfling und damit personenbezogene Daten darstellen.

Offengelassen hat das OVG, ob der Ausnahmetatbestand des Art. 12 Abs. 5 S. 2 DSGVO auch Fälle umfasst, in denen betroffene Personen mit der Ausübung des Auskunftsanspruchs allein oder ganz überwiegend datenschutzfremde Zwecke verfolgt.

Auswirkungen auf die Praxis:

Ob andere Gerichte dieser extensiven Auslegung des Auskunftsanspruchs folgen werden, bleibt abzuwarten. Wegen der grundsätzlichen Bedeutung der Rechtssache hat das OVG die Revision zugelassen. Das Urteil dürfte aber auch für die Praxis und Unternehmen, die Prüfungen abseits von juristischen Staatsexamensklausuren anbieten, von Bedeutung sein. Inbesondere dann, wenn die zur Verfügung Stellung von Prüfungsunterlagen auch Auswirkungen auf das Geschäftsmodell und interne Prüfungsabläufe hat, kann dieses Urteil Verantwortliche bei der Erfüllung des Auskunftsbegehrens vor neue Herausforderungen – nicht nur finanziell – stellen. Auch der Nachweis, ob datenschutzfremde Zwecke verfolgt werden, dürfte in der Praxis nur schwer zu erbringen sein.

Kündigung wegen exzessiver Privatnutzung des Dienst-PC

16. April 2021

Nutzt ein Arbeitnehmer trotz Verbots der Privatnutzung seinen Dienst-PC während der Arbeitszeit, um damit umfangreich im Internet zu surfen oder private E-Mails zu verfassen, so kann dies eine fristlose Kündigung rechtfertigen. Das hat das Landesarbeitsgericht Köln (LAG Köln) im Falle eines Arbeitnehmers entschieden, der an mehreren Tagen durchgehend und über Monate hinweg regelmäßig Website-Aufrufe und E-Mails zu privaten Zwecken tätigte.

Sachverhalt

Im vorliegenden Fall stellte der Arbeitgeber, ein IT-Dienstleistungsunternehmen, dem Arbeitnehmer als Arbeitsmittel ein Laptop zur Verfügung. Im Hinblick auf die Nutzung dieses dienstlichen Laptops vereinbarten die Parteien als Anlage zum Arbeitsvertrag unter anderem, das Verbot der Nutzung für private Zwecke, insbesondere des Besuchs von Internetseiten zu privaten Zwecken. Weiter vereinbarten Sie, dass der Arbeitgeber die auf den Arbeitsmitteln befindlichen Daten aus Zwecken der Zuordnung zu geschäftlichen oder privaten Vorgängen überprüft und auswertet.

Trotz dieses Verbots nutzte der Arbeitnehmer das Laptop in ehrheblichem zeitlichen Umfang für private Angelegenheiten während seiner Arbeitszeit. So schrieb er diverse private E-Mails, surfte innerhalb eines Arbeitstages auf 205 Websites zu privaten Zwecken oder rief das E-Mail-Konto seiner privaten Firma insgesamt 559 Mal während seiner Arbeitszeit auf. Nachdem der Arbeitgeber dies bemerkte, kündigte er dem Arbeitnehmer fristlos aus wichtigtem Grund gem. § 626 Abs. 1 BGB, da er darin einen Arbeitszeitbetrug sah. Der Arbeitnehmer erhob dagegen Kündigungsschutzklage vor dem Arbeitsgericht, das die Klage abwies. Auch die Berufung des Arbeitsnehmers vor dem LAG Köln hatte keinen Erfolg.

Das LAG Köln sah in dem Verhalten des Arbeitnehmers ebenfalls eine Pflichtverletzung und mithin einen Arbeitszeitbetrug des Arbeitnehmers, der eine fristlose Kündigung des Arbeitgebers rechtfertigte. Insbesondere war für das Gericht offensichtlich, dass der Arbeitnehmer, entgegen seiner Behauptung, zwischen den einzelnen Website-Aufrufen innerhalb eines Zeitraums von weniger als ein bis zwei Minuten, keine Arbeitsleistung erbringen konnte.

Verstoß gegen Datenschutzvorschriften

Auch einen Verstoß gegen Datenschutzvorschriften verneinte das Gericht. Der Arbeitnehmer hatte „massive Verstoße gegen den Datenschutz“ gerügt.

Der Arbeitgeber konnte die Internetaktivität des Arbeitnehmers durch eine Auswertung der Browser-Verläufe sowie des Browser-Caches nachweisen. Vor diesem Hintergrund musste das Gericht prüfen, ob die Inhalte der E-Mails auf dem dienstlichen Laptop sowie die Einträge in den Log-Dateien des Internet-Browsers einem prozessualen Verwertungsverbot unterliegen, da sie z.B. rechtswidrig erlangt worden sind.

Dies verneinte das Gericht. Dazu stellte es fest, dass es sich bei den in den Log-Dateien der Internet-Browser auf dem Laptop des Arbeitnehmers erfolgenden Protokollierungen sowie bei denen im E-Mail-Programm gespeicherten E-Mails zwar um personenbezogene Daten i.S.d. Art. 4 Nr. 1 DSGVO handelt, die ohne eine rechtswirksame Einwilligung des Arbeitnehmers im Rahmen der Protokollierung der Internetzugriffsdaten verarbeitet wurden gem. Art. 4 Nr. 2 DSGVO. Eine Rechtsgrundlage für eine wirksame Verarbeitung der personenbezogenen Daten des Arbeitnehmers sah das Gericht aber in § 26 Abs. 1 BDSG. Danach dürfen Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Dieses Erfordernis bejahte das Gericht. Seine Begründung stützte es darauf, dass die Protokollierung der Verlaufsdaten sowie die Speicherung der E-Mails im Rahmen der Durchführung des Arbeitsverhältnisses erforderlich waren, um die Einhaltung des Verbots der privaten Nutzung des Internets und der E-Mails überprüfen zu können, d.h. zu Zwecken der Missbrauchskontrolle.

Zusammenfassung

Bei einem Verstoß gegen das Verbot der privaten Internetnutzung können Log-Dateien des Arbeitnehmers zum Nachweis des Missbrauchs verarbeitet werden. Voraussetzung dafür ist aber, dass die datenschutzrechtlichen Vorgaben von dem Arbeitgeber berücksichtigt werden und eine solche Verarbeitung nicht heimlich erfolgen sollte. Bei einem solchen Vorgang sollte daher zwingend eine entsprechende arbeits- sowie datenschutzrechtliche Expertise eingeholt werden.

Hessische Aufsichtsbehörde prüft Fiebermessung im Apple Store

16. Juni 2020

Seit der coronabedingten Zwangsschließung des Einzelhandels, hat der Großteil der Geschäfte seinen Betrieb wieder aufgenommen. Mit der Öffnung gingen die Einführung präventiver Maßnahmen, wie der obligatorischen Gesichtsmaske und der Limitierung der gleichzeitigen Ladenbesucher, einher. Apple geht in seinen Apple-Stores noch einen Schritt weiter und hat die in anderen Ländern bereits praktizierte Maßnahme der Fiebermessung bei Kunden eingeführt.

Diese Fiebermessung wird nun durch den Landesdatenschutzbeauftragten Hessens auf Konformität mit den bestehenden Datenschutzregeln geprüft.

Personenbezogene Daten

Vorab stellt sich die Frage, ob die Körpertemperatur überhaupt ein personenbezogenes Datum ist. Personenbezogene Daten sind gemäß Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Zwar ist die gemessene Körpertemperatur eine individuelle Eigenschaft einer Person, aber das macht diese Eigenschaft nicht automatisch personenbezogen. Für so einen Bezug muss zumindest der Name der gemessenen Person bekannt sein.

Dem Apple-Mitarbeiter ist diese Person jedoch nicht bekannt. Damit ist eine nachträgliche Zuordnung von einer Person und der Körpertemperatur nicht möglich, so dass ein Personenbezug nicht gegeben ist. Eine Zuordnung von Körpertemperatur und personenbezogenen Daten erfolgt auch nicht beim Kauf eines Produktes. Egal, ob mit Kreditkarte, durch Barzahlung oder Apple-ID. Der Kaufvorgang steht in keinem Zusammenhang mit dem Fiebermessen. Dies ist jedoch nur solange gewährleistet, wie der Mitarbeiter beim Fiebermessen keine Verkaufstätigkeiten im Laden vornimmt.

Problematisch könnte jedoch eine Videoüberwachung im Laden sein. Die Videoüberwachung erfasst die gesamte Ladenfläche und eventuell auch den Eingangsbereich des Ladens, wo die Fiebermessung vorgenommen wird. Im ungünstigsten Fall könnte die Kamera die Anzeige der Körpertemperatur aufzeichnen.

Verhältnismäßigkeit

Viel mehr Gewicht kommt hingegen dem Argument der Verhältnismäßigkeit zuteil. Natürlich kann Apple sich auf die Privatautonomie berufen und die Fiebermessung als Bedingung zum Ladenbesuch machen. Auch steht der Datenschutz einer Person nicht über der Gesundheit der Allgemeinheit, so dass die Gesundheit aller Kunden Vorrang genießt. Allerdings stellt die Fiebermessung einen großen Eingriff in die Privatsphäre dar.

Unter dem Aspekt der Gesundheit stellt die Fiebermessung keine besonders wirksame Maßnahme dar. Die lange Inkubationszeit des Covid-19-Virus hat zur Folge, dass Infizierte das Virus vielfach weitergeben können, bis überhaupt erste Fiebersymptome auftreten. Oder sie weisen gar keine Symptome auf. Auch ist eine erhöhte Körpertemperatur nicht immer ein Indiz für eine Covid-19-Infektion, sondern kann auch „nur“ eine normale Erkältung sein. Mithilfe von fiebersenkenden Mitteln können Kunden außerdem mutwillig ihre Erkrankung verschleiern. Damit birgt die Fiebermessung nur eine Scheinsicherheit.

Fazit

Wenn der hessische Datenschutzbeauftrage an dem Argument der Scheinsicherheit festhält und die Fiebermessung als unverhältnismäßig erklärt, könnte er ein Verbot der Fiebermessung aussprechen. Dann müsste Apple diese einstellen oder bei Zuwiderhandlung mit Bußgeldern rechnen.

Welche Maßnahmen zum Schutz vor einer Corona-Infektion zulässig sind, können Sie hier nachlesen.

Personenbezug von Daten – relativ oder absolut?

6. November 2018

Entscheidend für die Anwendbarkeit des Datenschutzrechts ist der Personenbezug von Daten. Nach dem Wortlaut der DSGVO liegen personenbezogene Daten vor, wenn Informationen einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können (Art. 4 Nr. 1 DSGVO). Die Qualifikation als personenbezogenes Datum ist manchmal jedoch schwieriger als es die Definition auf den ersten Blick verspricht. In der Rechtsprechung haben sich daher insbesondere zwei Theorien entwickelt, um die Bestimmung zu vereinfachen. So kann es einerseits bei der Herstellung des Personenbezugs auf das Wissen und die Mittel irgendeiner beliebigen Person ankommen (absolute Theorie) oder andererseits auf das Wissen und die Mittel der datenverarbeitenden Stelle (relative Theorie).

Zu unterscheiden sind personenbezogene Daten jedoch zunächst von Sachdaten und aggregierten Daten. Anders als personenbezogene Daten beziehen sich Sachdaten – wie bereits der Wortlaut vermuten lässt – nicht auf Personen sondern ausschließlich auf eine Sache. Demgegenüber beziehen sich aggregierte Daten auf eine Personengruppe und lassen daher keinen Rückschluss auf eine individuelle Person zu. Der Anwendungsbereich der DSGVO ist nicht eröffnet, wenn kein Personenbezug besteht. Zu tragen kommt diese Abgrenzungsfrage z.B. bei Informationen, die im Rahmen der Nutzung eines Kfz erhoben werden können. Informationen wie z.B. der Bremsweg, der Tachostand oder der Benzinverbrauch geben zunächst nur Informationen über das Fahrzeug. Lassen sich diese Informationen aber einen Fahrer oder Fahrzeughalter zuordnen, geben diese Daten Informationen über die Fahrweise oder den Wert des KFZ. In diesen Fällen sind es keine Sachdaten, sondern personenbezogene Daten. Daher ist in Einzelfällen der Personenbezug erst mit weiterem Wissen eines Dritten herzustellen.

Die Frage nach der Anwendung der absoluten oder relativen Theorie ist umstritten. Um den – meist rechtstheoretisch geführten Streit – zu entscheiden bzw. um Argumente für die eine oder die andere Theorie zu finden können unter Anderem die gesetzgeberischen Erwägungsgründe, die der DSGVO zu Grunde liegen, herangezogen werden.

Erwägungsgrund 26 lautet hierzu wie folgt:

„(…) Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind (…).“

Erwägungsgrund 26 stellt zwar neben dem Verantwortlichen auch auf das Wissen Dritter ab. Dieser zunächst absolut klingende Ansatz wird dann aber wieder relativiert. Die Identifizierung der natürlichen Person durch den Verantwortlichen über das Zusatzwissen eines Dritten muss demnach auch nach objektiven Kriterien wahrscheinlich sein.

In dem Verfahren Breyer / Deutschland (Urt. v. 18.10.2016) geht auch der EuGH davon aus, dass der Verantwortliche auch auf Wissen und Mittel Dritter zurückgreifen kann, um den Personenbezug herzustellen. Es kommt dabei jedoch nicht auf das Wissen jedes beliebigen Dritten an. Vielmehr muss die Identifizierung der Person nach objektiven Kriterien wie Kosten, Arbeitsaufwand und bestehender gesetzliche Erlaubnis zur Identifizierung der Person wahrscheinlich sein.

Als Folge des umstrittenen und nicht klar entschiedenen Theorienstreits sollte in der Praxis stets aufgrund des vorliegenden und relevanten Sachverhaltes eine Einzelfallprüfung erfolgen, ob Daten personenbezogen sind oder es sich vielmehr um Sach- oder aggregierte Daten handelt.

 

 

Schwere Datenschutzpanne beim Online-Dienst von Panini

2. Juli 2018

Einem Bericht des Nachrichtenmagazins „Der Spiegel“ nach hat der italienische Sammelalbenhersteller Panini mit erheblichen Sicherheitsproblemen zu kämpfen: Für Unbefugte bestand die Möglichkeit der Kenntnisnahme von personenbezogenen Daten anderer Kunden.

„Mypanini“ ist ein Serviceangebot des Unternehmens, welches die Herstellung und Zusendung personalisierter Klebebildchen beinhaltet. Die Fotos, welche Kunden für ihre Sammelbilder vorsehen, werden über den eigenen Konterfei hochgeladen. Bis vor kurzem war es eingeloggten Nutzern möglich, hochgeladene Bilder und personenbezogene Daten anderer Kunden einzusehen. Zu den personenbezogenen Daten der Betroffenen zählten neben dem (oftmals eigenen) Foto regelmäßig der volle Name, das Geburtsdatum sowie der Wohnort des Nutzers.

Auch wenn Giorgio Aravecchia, Paninis Direktor für Neue Medien, bereits erklärte, dass die Datenpanne umgehend durch ein Sicherheitsupdate behoben wurde, ist der Vorfall als gravierend einzustufen: Auf den für Unbefugte einsehbaren Bildern waren oftmals Kinder abgebildet, teilweise mit nacktem Oberkörper und/oder im privaten Umfeld.

Es liegt nun an Panini einen dsgvo-konformen Umgang mit den personenbezogenen Nutzerdaten sicherzustellen und in diesem Zusammenhang die geeigneten technischen und organisatorischen Maßnahmen zu treffen, um solche Datenschutzpannen präventiv auszuschließen.

 

Google bietet persönliche Standortfreigabe in Echtzeit an

28. April 2017

Google bietet seinen Nutzern eine neue Funktion des Live-Trackings an. Danach kann der Nutzer über Google Maps seinen aktuellen Standort in Echtzeit mit von ihm vorher ausgewählten Kontakten auf dem Smartphone oder dem PC teilen.

Aus datenschutzrechtlicher Perspektive ist das Abrufen der Standortdaten in Echtzeit, welche personenbezogene Daten nach dem Bundesdatenschutzgesetz (BDSG) darstellen, kritisch zu betrachten. Um eine Vereinbarkeit mit den Bestimmungen des BDSG zu erzielen, müsste der betroffene Nutzer vor Datenerhebung grundsätzlich darüber informiert werden, welche konkreten personenbezogenen Daten erhoben, gespeichert und für welche Zwecke genau verarbeitet werden. Auch muss den Nutzern die jederzeitige und einfach zu handhabende Löschung seiner  erhobenen personenbezogenen Daten ermöglicht werden.

Der Nutzer des Live-Trackings kann genau einstellen, welche Personen aus seiner Kontaktliste die Standortangaben angezeigt bekommen und den konkreten Zeitraum für die Freigabe festlegen sowie die Übermittlung jederzeit wieder deaktivieren. Die damit angebotene, zielgerichtete Freischaltung des Nutzers gegenüber einer bestimmten Person kann somit als Einwilligung in die Übermittlung der personenbezogenen Standortdaten angesehen werden. Zudem zeigt ein Symbol auf der eigenen Google Maps Karte dem Nutzer an, dass er seinen Standort gerade aktiv mit seinen Kontakten teilt.

Trotz dieser teilweisen datenschutzrechtlichen Konformität, ist davon asuzugehen, dass Google die zusätzlichen Datenangaben der Nutzer im Hinblick auf Sucheingaben nach Restaurants, Geschäften u.s.w. auswerten wird, um sein eigenes Angebot zu erweitern. Denn anhand von Standortdaten und Nutzerverhalten lassen sich immer mehr Informationen über den Nutzer gewinnen. Ob diese Anhäufung personenbezogner Daten von der Einwilligung des Nutzers im Rahmen von Googles Nutzungsbedingungen umfasst ist, bleibt daher stark zu bezweifeln.

EuGH: IP-Adressen sind personenbezogene Daten und unterliegen damit dem Datenschutzrecht, aber…

20. Oktober 2016

…dürfen dennoch unter Umständen vom Bund gespeichert werden, um sich gegen Cyberattacken zu verteidigen. Dies verkündete der EuGH in seinem Urteil vom gestrigen Tage.

Der Kieler Piraten-Abgeordnete Patrick Breyer hatte gegen die Bundesrepublik Deutschland geklagt, weil die von ihm abgerufenen Webseiten von Einrichtungen des Bundes seine Internet-Protokolladressen (IP-Adressen) aufzeichnen und speichern. Dies habe eine einschüchterne Wirkung und behindere das unbeschwerte anonyme Surfen im Internet, so Breyer laut der Nachrichten-Webseite tagesschau.de.

Damit jedoch nicht genug – auch aus datenschutzrechtlichen Gründen sei das Aufzeichnen und Speichern der IP-Adressen als nicht zulässig anzusehen. Breyer beruft sich dabei auf das Telemediengesetz, wonach „personenbezogene Daten“ nur während der laufenden Verbindung gespeichert werden dürfen, nicht jedoch danach – es sei denn, sie werden noch zu Abrechnungszwecken benötigt. Aber sind IP-Adressen überhaupt personenbezogene Daten im Sinne des Telemedien- und Bundesdatenschutzgesetzes? Breyer behauptet „ja“, der Bund – wie soll es auch anders sein – hingegen „nein“: IP-Adressen seien schließlich dynamisch und würden bei jeder Einwahl ins Internet neu vergeben werden.

Die Luxemburger Richter urteilten nun, dass dynamische IP-Adressen eines Nutzers für den Betreiber der Webseite ein personenbezogenes Datum darstellen können, wenn er über rechtliche Mittel verfügt, die es ihm erlauben, den betreffenden Nutzer anhand der Zusatzinformationen, bestimmen zu lassen. Allerdings könne die Speicherung unter Umständen dennoch zulässig sein, wenn der Webseitenbetreiber ein berechtigtes Interesse habe. Die deutsche gesetzliche regelung schränke die Tragweite dieses Grundsatzes zu sehr ein, wenn es die Speicherung von „personenbezogenen Daten“ nur während der Internetverbindung oder während der Abrechung zulasse. Insbesondere müsse deutlicher zwischen dem berechtigten Interesse der Webseitenbetreiber und den Grundrechten und Grundfreiheiten des Nutzers abgewogen werden. Der EuGH sieht in Bezug auf den Bund dahingehend ein berechtigtes Interesse an der Speicherung der IP-Adresse, dass nur dadurch die Aufrechterhaltung der Funktionsfähigkeit der von ihm betriebenen Webseiten über die konkrete Nutzung hinaus gewährleistet werden könne.

Antiterrordatei auf dem Prüfstand in Karlsruhe

7. November 2012

Seit dem 06.11.2012 wird in Karlsruhe vor dem Bundesverfassungsgericht  über eine Verfassungsbeschwerde gegen die sogenannte Antiterrordatei verhandelt. Verfassungsbeschwerde wurde von einem pensionierten Richter erhoben. Die Antiterrordatei beinhaltet die personenbezogenen Daten sowie weiterführende Informationen von potentiellen Terroristen. Sie soll den Datenaustausch zwischen den Polizeibehörden und den Nachrichtendiensten von Bund und Ländern erleichtern. Das Bundesverfassungsgericht prüft, ob ein ungerechtfertigter Eingriff in die Grundrechte der Unverletzlichkeit der Wohnung, des Fernmeldegeheimnisses und in das Recht auf informationelle Selbstbestimmung vorliegt. Ebenfalls werden die Verfassungsrichter darüber entscheiden, ob die Antiterrordatei gegen den Grundsatz der Trennung von Polizei und Nachrichtendiensten verstößt.

Am ersten Verhandlungstag wurden Datenschutzexperten sowie Vertreter von Behörden und Nachrichtendiensten angehört. Auf Seiten der Bundesregierung kamen neben Innenminister Hans-Peter Friedrich die Präsidenten des Bundesnachrichtendienstes, des Bundesamts für Verfassungsschutz und des Bundeskriminalamts zu Wort. Nach einem Bericht der ZEIT-ONLINE habe die Bundesregierung erklärt, dass es sich bei der Antiterrordatei um ein wichtiges Werkzeug zur Bekämpfung des „islamistischen Terrorismus“ handele.

Die WAZ berichtete zu Verhandlungsbeginn, dass der Bundesdatenschutzbeauftragte Peter Schaar bezweifele, dass die Antiterrordatei mit dem Grundgesetz vereinbar sei. Ein Urteil wird erst im nächsten Jahr erwartet.

China: Entwurf eines Gesetzes zum Schutz personenbezogener Daten im Internet

19. August 2011

Das Ministerium für Industrie und Informationstechnologie der Volksrepublik China hat einen Gesetzesentwurf vorgestellt, der einen grundlegenden Schutz personenbezogener Daten im Internet sicherstellen soll.

Nach diesem Entwurf sollen für Dienstanbieter im Internet folgende Regeln gelten:

  1. Personenbezogene Daten dürfen nicht ohne Zustimmung der Nutzer erhoben werden, sofern nicht Gesetze oder Verwaltungsvorschriften etwas Anderes bestimmen.
  2. Mit den personenbezogenen Daten ist sorgsam umzugehen. Diese dürfen Dritten nicht ohne Zustimmung der Nutzer zugänglich gemacht werden, es sei denn Gesetze und Verwaltungsvorschriften erlauben dies.
  3. Es dürfen nur solche Daten erhoben werden, die zur Bereitstellung des Dienstes notwendig sind.
  4. Der Nutzer muss ausdrücklich über Art, Umfang und Zweck der erhobenen und verarbeiteten Daten aufgeklärt werden. Die Verwendung der Daten ist auf die angegebenen Zwecke zu beschränken.
  5. Wenn es zu einem unbefugten Zugriff auf die Daten kam, oder die Gefahr eines solchen Zugriffs besteht, müssen Internetdienstanbieter unverzüglich Gegenmaßnahmen ergreifen. Die entstandenen oder zu erwartenden Auswirkungen des Vorfalls sind den zuständigen staatlichen Stellen zu melden. Mit dem Staat ist bezüglich der Aufklärung der Vorfälle zu kooperieren.

Bei den angestrebten Regelungen lassen sich Parallelen zum deutschen Datenschutzrecht erkennen: Die Punkte 1. & 2. statuieren ein Verbot mit Erlaubnisvorbehalt ähnlich dem des § 12 Abs. 1 TMG. Ob der dritte Punkt die Erhebung von Bestands- und/oder Nutzungsdaten betrifft, welche in hierzulande in § 14 TMG (Bestandsdaten) und § 15 TMG (Nutzsungsdaten) geregelt ist, lässt der knapp formulierte Entwurf nicht erkennen. Punkt 4. legt nahe, dass auch chinesische Dienstanbieter die erhoben Daten nur zweckgebunden verwenden dürfen, ähnlich wie dies in § 12 Abs. 2 TMG angeordnet ist. Der letzte Punkt weist schließlich inhaltlich eine gewisse Nähe zum § 15a TMG auf, der für die Informationspflichten der Anbieter bei unrechtmäßiger Kenntniserlangung von Daten auf § 42a BDSG verweist.

Dieses Gesetz würde den Schutz personenbezogener Daten im Internet erstmalig auf eine breite Basis stellen, da in China bisher nur sektorbezogene Regelungen erlassen wurden. Es ist jedoch denkbar, dass bis zum Erlass des endgültigen Gesetzes noch weitreichende Änderungen des Entwurfs vorgenommen werden. (se)