Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka 1 Datenschutz im Internet Gliederung (Teil 1): Das Bundesdatenschutzgesetz

Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

1

Datenschutz im Internet

Gliederung (Teil 1):

•Das Bundesdatenschutzgesetz (BDSG)•Das Internet im BDSG•Beispiel 1: Angestelltendaten im Internet•Beispiel 2: Öffentlichkeitsfahndung•Beispiel 3: medizinische Daten im Internet


2

Potentielle Gefahren

• Entwürdigung des Einzelnen• Transparenz („gläserner Bürger“)• Mißbrauch von Daten• Manipulation der Daten

Historisch: Eid des Hippokrates als „Berufsgeheimnis“


3

Verbotsgrundsatz

Das Verarbeiten personenbezogener Daten ist verboten, aber es gibt zahlreiche

Ausnahmen. Diese Zulässigkeit ist in §4 BDSG und auch in der EU-Richtlinie

festgehalten.

Dieser Verbotsgrundsatz schränkt die Internetnutzung stark ein und ist daher nicht mehr zeitgemäß aber wirksam.


4

Volkszählungsuteil 19831. Leitsatz:

„Unter den Bedingungen der modernen Datenverarbeitung wird der Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und

Weitergabe seiner persönlichen Daten von dem allgemeinen Persönlichkeitsrecht des Art. 2 Abs. 1 GG in Verbindung mit Art. 1 Abs. 1 GG umfaßt. Das Grundrecht

gewährleistet insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung

seiner persönlichen Daten zu bestimmen.“

2. Leitsatz:„Einschränkungen dieses Rechts auf "informationelle

Selbstbestimmung" sind nur im überwiegenden Allgemeininteresse zulässig...“


5

Bundesdatenschutzgesetz (BDSG)

•Basis: allgemeines Persönlichkeitsrecht (GG Art. 2.1) und informationelle Selbstbestimmung (Volkszählungsurteil)

•Zweckbindung „personenbezogener Daten“ (pbD)

•Betroffenenrechte: Auskunft, Anrufung, Berichtigung/ Gegendarstellung/Sperrung/Löschung, Schadensersatz

•Kontrolle: intern, (Bundes)beauftragter für Datenschutz stellt Öffentlichkeit her.

•Ordnungsgemäßheit: technisch-organisatorische Maßnahmen auf dem niedrigen „Stand der Technik“


6

BDSG: öffentlich / „privat“

öffentlich (§12- §18)

• praktisch nur noch auf Bundesebene gültig (Subsidiarität).

• Basis: Zweckbindung

nicht-öffentlich (§27-32)

• „Firmen“ ohne öffentliche Aufgaben/Wettbewerbs-unternehmen

• Basis: Vertragsfreiheit

Die Unterscheidung „öffentlich/nicht-öffentlich“ wird in Zukunft schwächer.

Grund: EU-Richtlinie


7

EDV-Begriffe des BDSG 1990

Erheben §13/§28muß „erforderlich“ sein. Der

Betroffene ist hier nicht schutzlos.

Speichern §14/§28muß erforderlich sein,

Zweckbindung

Nutzen §14/§28ist jede Verwendung PdB, soweit es sich nicht um „Verarbeitung“ handelt.

Übermitteln §14/§28

öffentlich: erford./Zweckbindung

nicht-öff.: Interessenabwägung

Ausland: nicht gegen Zweck (!) eines deutschen Gesetzes.

Verarbeiten § 3Speichern, Verändern, Übermitteln, Sperren, Löschen


8

Internetanwender im BDSG

• Internetsurfer = Betroffener + Verarbeiter• Gefahr des „gläsernern Surfers“ - Interessenprofil

leicht herauszufinden z.B. durch Auswerten von Newsgroups

• Provider beziehen pbD über Nutzer und Dritte (z.B. email)

• Neben den Bestandsdaten einer Homepage sind die anfallenden Nutzungsdaten zu schützen, jeweils falls sie sich auf natürliche Personen beziehen.


9

Datenspur

Das persönliche Verhalten - z.B. Bewegungsprofile - und die jeweiligen Präferenzen - z.B. die Art der beschafften Güter oder Leistungen - werden beim

Surfen im Internet oft unbewußt preisgegeben oder ausspioniert.

Die Internettechnik „Cookies“ wird hierzu oft

benutzt

Der im Volkszählungsurteil geforderte „Schutz des Einzelnen gegen unbegrenzte Erhebung,

Speicherung, Verwendung und Weitergabe seiner persönlichen Daten“ ist hier utopisch.


10

Auswertung der DatenspurVerarbeitung von Nutzerprofilen nach §1/§7 BDSG

„geschäftsmäßig“ erlaubt. Die Rückübermittlung der Daten kann z.B. aus Abrechnungszwecken

erforderlich sein.

§28.2 BDSG erlaubt Übermittlung und sonstige Nutzung für: Name, Titel, Beruf, Angabe über

Zugehörigkeit zur Gruppe, akademischer Grad, Anschrift, Geburtsjahr.

§ 29 BDSG erlaubt weitere Zulässigkeiten typischerweise für Adressdateien („listenmäßig

zusammengefasste Daten“).

=> Der Betroffene gibt also sein Nutzerprofil dem Marketing frei, wenn er dessen Nutzung nicht

ausdrücklich widerspricht.


11

für Internet-Inhaltsanbieter gilt:

Teledienste(datenschutz)gesetz:Das TD(DS)G ist Bundesrecht. Es regelt die Individualkommunikation (1:1 Dienste) und

erweitert das BDSG über das Bestehen einer Datei hinaus.

Mediendienste StaatsvertragDer MDStV ist Länderrecht und regelt Dienste zur öffentlichen Meinungsbildung. Es ergänzt also das

Presse- bzw. Rundfunkrecht.


12

Homepage: welches Recht gilt?

Die rechtliche Einordnung einer Homepage richtet sich nach ihrem Inhalt:• Individueller Dienst (1:1): Teledienste(datenschutz)gesetz• Öffentliche Meinungsbildung (1:n): Mediendienstestaatsvertr.• automatisches Abrufverfahren : BDSG § 10

Für den Provider gilt das TD(DS)G.Für den Netzbetreiber (z.B. Telekom) gilt das Telekommuni-kationsgesetz (TDK).


13

Online-Dienst Nutzungsdaten

Der Mediendienstestaatsvertrag (§15) und das TDDSG (§6) verbieten i.A. das Übermitteln der

Nutzungsdaten an Dritte. Grundlage der Zulässigkeit der nicht-öffentlichen Verarbeitung von Nutzerdaten

im BDSG ist §28.1.1, wobei oft das Vertrags-Ahnbahnungsverhältnis ausreicht.

Bei Auftragsdatenverarbeitung (§ 11 BDSG) liegt rechtlich keine Übermittlung vor. Vertragspartner

des Kunden ist hier der Auftraggeber des Dienstes. Deutsches Datenschutzrecht gilt, wenn der

Auftraggeber eine Niederlassung in Deutschland hat.


14

„automatisierte Abrufverfahren“

„automatisierte Abrufverfahren“ sind eine Besonderheit des BDSG, die im EU-Recht nicht

vorkommt. § 10 BDSG regelt die Zulässigkeit der Einrichtung solcher Verfahren: Der Geschäftszweck muß dem Schutzinteresse „angemessen“ sein. -->

Abwägung nötig.Zur Kontrolle muß schriftlich vorliegen: Anlaß und Zweck des Abrufverfahrens, Datenempfänger, Art der zu übermittelnden Daten und nach § 9 BDSG

erforderliche, technisch-organisatorische Maßnahmen.

Eine Zulässigkeitsprüfung ist für jeden Einzelfall nötig. §10.4 BDSG verlagert die Verantwortung hier auf den Empfänger! Anbieter muß nur Stichproben

ermöglichen.


15

Haftung nach BDSG

Online-Dienste sind nicht-öffentlich, daher gilt hier nicht die Gefährdungshaftung des § 7 BDSG.

§ 8 BDSG regelt die Beweislast. Der Verletzte muß nachweisen, daß unrichtige oder unzulässige automatisierte Datenverarbeitung vorlag und diese kausal für eine Schädigung bei ihm war.

Die speichernde Stelle muß beweisen, daß sie den Umstand, aufgrund dessen die unzulässige

automatisierte Datenverarbeitung erfolgte, nicht zu vertreten hat, was nach §9 BDSG schwierig ist.


16

Modernisierungsbedarf BDSG

Die Regelung (tele-)kommunikativer Handlungen und deren Datenspuren in einem zusätzlichen prozeßorientierten

Modell.

Die Trennbarkeit zwischen datenverarbeitender Stelle und -

verwendenter Stelle wird gerade im Internet immer schwieriger

Die Differenzierung öffentlich/nicht-öffentlich ist nicht mehr zu halten.


17

Beispiel 1: Angestelltendaten

Berliner Länderbeamtengesetz § 56 d „Weitergabe“:„...Auskünfte an Dritte dürfen nur mit Einwilligung des Beamten erteilt werden, es sei denn, daß die Abwehr einer erheblichen Beeinträchtigung des Gemeinwohls

oder der Schutz berechtigter, höherrangiger Interessen des Dritten die Auskunftserteilung zwingend erfordert. Inhalt und Empfänger der

Auskunft sind dem Beamten schriftlich mitzuteilen.“Bln LänderbeamtenG § 56 g.1 „automatisierte

Verarbeitung“:„...ihre Übermittlung ist nur nach Maßgabe des §56d

zulässig.“Bln LänderbeamtenG § 56.1 „Personalaktendaten“:

...Zur Personalakte gehören alle Unterlagen...die den Beamten betreffen, soweit sie mit seinem

Dienstverhältnis in einem unmittelbaren inneren Zusammenhang stehen.“


18

Beispiel 2: Öffentlichkeitsfahndung

repressive (gezielte) Fahnung basiert auf Strafprozeßordnung §131 „Steckbrief“ von 1879. § 27 BZRG erwähnt „Bundeszentralregister“ für

Behörden§ 131.1: „Auf Grund eines Haftbefehls oder eines

Unterbringungsbefehls können die Staatsanwaltschaft oder der Richter einen Steckbrief erlassen, wenn der Beschuldigte flüchtig ist oder sich verborgen hält“.

Bespiel: http://www.polizei.bayern.de/fahndung/index.htm

präventiv-polizeiliche Fahndung (ohne Ermittlungsverfahren) basiert nur auf Polizeiaufgabengesetzen der Länder.

Objekt-Fahndung ist ohne Ermächtigungsgrundlage möglich.

Bespiel: http://www.bka.de/fahndung/kunstwerke/


19

Diskussion um Öffentlichkeitsfahndung

Analog der Diskussion um „Aktenzeichen XY ungelöst“ in den 60‘ern: ...“aus dem Begriff Steckbrief

ist eine allgemeine Weitergabe abzuleiten“. Gegenposition: der im Strafverfahren geltende

öffentlich rechtliche Gesetzesvorbehalt.Außerdem: Richtlinien für das Straf- und Bußgeldverfahren (keine Gesetzeskraft),

Kunsturhebergesetz § 24, z.B. Art. 41 Bayerisches Polizeiaufgabengesetz: „...zur

Verhütung...erheblicher Nachteile für das Gemeinwohl..“

Praxis: Stufenlösung. z.B. Diebstahl führt nicht zu Steckbrief.

Internet = Internationaler Steckbrief? Nur problematisch, wenn Server im Ausland liegt.


20

Entschließung ... zur Öffentlichkeitsfahndung

1. Für die Übermittlung ...sollte eine bereichsspezifische Rechtsgrundlage geschaffen werden.2. Die Übermittlung ... ist nur ausnahmsweise gerechtfertigt, wenn das Verfahren ... für die Öffentlichkeit von überwiegendem Interesse ist. 3. ... zu den schutzwürdigen Belange der Betroffenen ... zählen insbesondere die privaten und beruflichen Folgen für das Opfer, den Beschuldigten/Angeklagten und deren Angehörige sowie die Schwere, die Umstände und die Folgen des Delikts. ...auch der Grad des Tatverdachts und der Stand des Verfahrens sind zu berücksichtigen... ...Akteneinsicht durch Medienvertreter kommt nicht in Betracht. 4. Grundsätzlich sind .. keine Namen und sonstige PdB , die Opfer von Straftaten, Zeugen, Beschuldigte und Angeklagte bestimmbar machen, aufzunehmen. ...10. Bildveröffentlichungen ... sozialen Prangerwirkung ... kommt nicht in Betracht.


21

Beispiel 3: medizinische Daten

Berufsordnung der Ärztekammer Berlin§ 3 Schweigepflicht:

„(1) Der Arzt hat ... zu schweigen. Dazu gehören auch schriftliche Mitteilungen des Patienten, Aufzeichnungen über Patienten, Röntgenaufnahmen und sonstige Untersuchungsbefunde. (5) Schweigepflicht auch ... im amtlichen oder privaten Auftrag eines Dritten wird, es sei denn, daß dem Betroffenen ... eröffnet wurde, inwieweit die vom Arzt getroffenen Feststellungen zur Mitteilung an Dritte bestimmt sind. (6) Wenn mehrere Ärzte ... denselben Patienten ... behandeln, so sind sie untereinander von der Schweigepflicht insoweit befreit, als das Einverständnis des Patienten anzunehmen ist. (7) Zum Zwecke der wissenschaftlichen Forschung und Lehre ... nur so ..., als dabei die Anonymität des Patienten gesichert ist oder dieser ausdrücklich zustimmt.“


22

Landeskrankenhausgesetz - § 26 Datenschutz. „(2)... daß im Krankenhaus auf Patientendaten nur im erforderlichen Umfang zugegriffen wird....(3) Eine Offenbarung ... außerhalb ... ist nur zulässig

Im übrigen ist eine Offenbarung nur mit Einwilligung des Patienten zulässig.„

Außerdem: BGH 1993 kompliziert Weitergabe an Verechnungsstellen

Beispiel 3: medizinische Daten

1. zur Erfüllung einer gesetzlich vorgeschriebenen ... Mitteilungspflicht, 2. zur Durchführung des Behandlungsvertrages ... soweit nicht der Patient etwas anderes bestimmt hat, 3. zur Abwehr von Gefahren für Leib, Leben oder die persönliche Freiheit des Patienten oder eines Dritten sowie ... im Katastrophenfall, 4. zur Durchführung eines mit der Behandlung zusammenhängenden gerichtlichen Verfahrens.


23

Chipkarten im Gesundheitswesen

Bandbreite reicht von allgemeinen Patientenkarten (z.B. BKK-Patientenkarte Berlin)

bis zu krankheitsspezifischen Karten (z.B. Dialyse-Card)

Probleme:Sozialer Druck auf Patienten

Gefahr der pauschalen Offenbarung belastender, schicksalhafter Daten

Patient soll selbst für Sicherheit seiner Daten sorgen


24

Chipkarten im Gesundheitswesen

Forderungen nach freie Entscheidungen des Betroffenen:

ob und welche Daten auf seiner Karte gespeichert werden ob die Karte vorgelegt wird

welche Daten im Einzelfall zugänglich gemacht werden

weitere Forderungen:

Nicht Nutzungsbeschränkungen der Krankenversicherungs-Karte umgehen / keine Bonuspunkte für Kartenbenutzer /

Schutz gegen die Kenntnissnahme Dritter (z.B. Beschlagnahmung) / „Einwilligung“ z.B. durch Billigtarife muß

gesetzlich verboten werden / Keine zentrale Dateien / Leserecht des Karteninhabers / ...

Documents

Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka 1 Datenschutz im Internet Gliederung (Teil 1): Das Bundesdatenschutzgesetz