Das Online-Magazin TELEPOLIS wurde 1996 gegründet · 2016. 2. 15. · Harald Zaun S E T I – Die...

Das Online-Magazin TELEPOLIS wurde 1996 gegründetund begleitet seither die Entwicklung der Netzkultur inallen Facetten: Politik und Gesetzgebung, Zensur undInformationsfreiheit, Schutz der Privatsphäre, wissen-schaftliche Innovationen, Entwicklungen digitaler Kul-tur in Musik, Film, bildender Kunst und Literatur sind

die Kernthemen des Online-Magazins, welche ihm eine treue Leserschaft verschafft ha-ben. Doch TELEPOLIS hat auch immer schon über den Rand des Bildschirms hinausgese-hen: Die Kreuzungspunkte zwischen realer und virtueller Welt, die »Globalisierung« unddie Entwicklung der urbanen Kultur, Weltraum und Biotechnologie bilden einige der wei-teren Themenfelder.

Als reines Online-Magazin ohne Druckausgabe nimmt TELEPOLIS damit eine einzig-artige Stellung im deutschsprachigen Raum ein und bildet durch seine englischsprachigeAusgabe und seinen internationalen Autorenkreis eine wichtige Vermittlungspositionüber sprachliche, geografische und kulturelle Grenzen hinweg. Verantwortlich für dasOnline-Magazin und Herausgeber der TELEPOLIS-Buchreihe ist Florian Rötzer.

Die TELEPOLIS-Bücher basieren auf dem Themenkreis des Online-Magazins. Die Reihe schaut wie das Online-Magazin über den Tellerrand eingefahrener Abgrenzungen hinaus und erörtert Phänomene der digitalen Kultur und der Wissensgesellschaft.

Eine Auswahl der bisher erschienenen TELEPOLIS-Bücher:

Craig MorrisZukunftsenergien

Die Wende zum nachhaltigen Energiesystem

2005, 180 Seiten, 16 €

Alfred KrügerAngriffe aus dem Netz

Die neue Szene des digitalen Verbrechens2006, 220 Seiten, 19 €

Vanessa Diemand, Michael Mangold, Peter Weibel (Hrsg.)Weblogs, Podcasting und

Videojournalismus

Neue Medien zwischen demokratischen und ökonomischen Potenzialen

2007, 234 Seiten, 18 €

Peter BürgerBildermaschine für den Krieg

Das Kino und die Militarisierung der Weltgesellschaft

2007, 224 Seiten, 18 €

Stefan Iglhaut, Herbert Kapfer, Florian Rötzer (Hrsg.)what if ?

Zukunftsbilder der Informationsgesellschaft

2007, 238 Seiten, 18 €

Andreas LoberVirtuelle Welten werden real

Second Life, World of Warcraft & Co: Faszination, Gefahren, Business

2007, 174 Seiten, 16 €

➜ www.telepolis.de

Jacobs_.book Seite ii Montag, 18. April 2011 9:37 09

Stephan SchleimGedankenlesen

Pionierarbeit der Hirnforschung2008, 184 Seiten, 18 €

Rainer SommerDie Subprime-Krise und ihre Folgen

Von faulen US-Krediten bis zur Kernschmelze des internationalen Finanzsystems

2009, 232 Seiten, 19 €

Stefan WeberDas Google-Copy-Paste-Syndrom

Wie Netzplagiate Ausbildung und Wissen gefährden2., aktualisierte Auflage

2009, 196 Seiten, 16 €

Klaus SchmehVersteckte Botschaften

Die faszinierende Geschichte der Steganografie

2009, 246 Seiten, 18 €

Vanessa Diemand, Uwe Hochmuth, Christina Lindner, Peter Weibel (Hrsg.)Ich, Wir und Die Anderen

Neue Medien zwischen demokratischen und ökonomischen Potenzialen II

2009, 212 Seiten, 18 €

Matthias BrakeMobilität im regenerativen Zeitalter

Was bewegt uns nach dem Öl?2009, 154 Seiten, 16 €

Stefan Selke, Ullrich Dittler (Hrsg.)Postmediale Wirklichkeiten

Wie Zukunftsmedien die Gesellschaft verändern

2009, 256 Seiten, 19 €

Matthias BeckerDatenschatten

Auf dem Weg in die Überwachungs-gesellschaft?

2010, 182 Seiten, 16,90 €

Lothar LochmaierDie Bank sind wir

Chancen und Perspektiven von Social Banking

2010, 160 Seiten, 15,90 €

Harald ZaunS E T I – Die wissenschaftliche Suche

nach außerirdischen Zivilisationen

Chancen, Perspektiven, Risiken2010, 320 Seiten, 19,90 €

Stefan Selke, Ullrich Dittler (Hrsg.)Postmediale Wirklichkeiten aus

interdisziplinärer Perspektive

Weitere Beiträge zur Zukunft der Medien2010, 256 Seiten, 19,90 €

Stephan SchleimDie Neurogesellschaft

Wie die Hirnforschung Recht und Moral herausfordert

2011, 218 Seiten, 18,90 €

Weitere Informationen zu den TELEPOLIS-Büchern und Bestellung unter: � www.dpunkt.de/telepolis

Jacobs_.book Seite iii Montag, 18. April 2011 9:37 09

Dr. Astrid Auer-Reinsdorff

ist Fachanwältin für Informationstechnologierecht. Zu ihren Arbeits-bereichen gehören das IT-Vertragsrecht sowie Fragen des E-Com-merce und des IT-Risiko-Managements, des Datenschutzes und derIT-Compliance. Sie ist Mitverfasserin des Lehrplans für die Fachan-waltschaft IT-Recht sowie Dozentin. Seit 2005 ist sie Vorsitzende desGeschäftsführenden Ausschusses der Arbeitsgemeinschaft Informa-tionstechnologie im Deutschen Anwaltverein (www.davit.de). Sie istVorsitzende des Fachanwaltsausschusses der RechtsanwaltskammerBerlin. Ferner ist sie Mitglied im Redaktionsteam des »Der IT-Rechts-Berater« und publiziert zu aktuellen Themen des IT-Rechts. Sie istMitglied des Beirats Xinnovations e.V. Berlin, Vorstandsmitglied desFrauenComputerZentrumBerlin sowie Mitglied des Vorstands desDeutschen Anwaltvereins.

[email protected] www.dr-auer.de

Joachim Jakobs

ist freier Journalist und Referent für Datenschutz und Datensicherheit.Er hat 20 Jahre Erfahrung als Journalist und Öffentlichkeitsarbeiter;seit über zehn Jahren engagiert er sich in der IT-Industrie, darunterauch bei IBM in Schottland, als Leiter Unternehmenskommunikationeines Instituts der Fraunhofer-Gesellschaft und Medienkoordinatorder Free Software Foundation Europe. Er ist gelernter Industriekauf-mann und Diplom-Betriebswirt (FH). Seit Jahren veröffentlicht er zumThema Datenschutz und Datensicherheit – unter anderem für dieVDI-Nachrichten, DIE ZEIT, stern.de und den Rheinischen Merkur. BeiTelepolis verfasst er regelmäßig seine Kolumne »JJ’s Datensalat«.

[email protected]

Dr. Niels Lepperhoff

ist Geschäftsführer und Mitgründer der Xamit Bewertungsgesell-schaft mbH, Düsseldorf. Er unterstützt Unternehmen und andereOrganisationen u.a. als externer betrieblicher Datenschutzbeauftrag-ter, bei der Erstellung und Umsetzung von Datenschutz- und IT-Sicherheitskonzepten sowie bei IT- und Softwareprüfungen. DerDiplom-Informatiker war davor mehrere Jahre als Wissenschaftler undPolitikberater tätig. Er veröffentlichte zahlreiche wissenschaftlicheBücher, Artikel und Studien zu Aspekten der Sicherheitspolitik, desDatenschutzes und der IT-Sicherheit.

[email protected]

Jacobs_.book Seite iv Montag, 18. April 2011 9:37 09

Astrid Auer-Reinsdorff · Joachim Jakobs · Niels Lepperhoff

Vom Datum zum Dossier

Wie der Mensch mit seinen schutzlosen

Daten in der Informationsgesellschaft

ferngesteuert werden kann

Heise

Jacobs_.book Seite v Montag, 18. April 2011 9:37 09

Reihenherausgeber: Florian Rötzer, München, [email protected]

Lektorat: Dr. Michael BarabasCopy-Editing: Susanne Rudi, HeidelbergHerstellung: Birgit BäuerleinUmschlaggestaltung: Hannes Fuß, www.exclam.de Druck und Bindung: M.P. Media-Print Informationstechnologie GmbH, 33100 Paderborn

Bibliografische Information der Deutschen NationalbibliothekDie Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen National-bibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

ISBN: Buch 978-3-936931-70-9PDF 978-3-944099-62-0ePub 978-3-944099-63-7

1. Auflage 2011Copyright © 2011 Heise Zeitschriften Verlag GmbH & Co KG, Hannover

Die vorliegende Publikation ist urheberrechtlich geschützt. Alle Rechte vorbehalten. Die Verwendung der Texte und Abbildungen, auch auszugsweise, ist ohne die schriftliche Zustimmung des Verlags urheberrechtswidrig und daher strafbar. Dies gilt insbesondere für die Vervielfältigung, Übersetzung oder die Verwendung in elektronischen Systemen.

Alle Informationen in diesem Buch wurden mit größter Sorgfalt kontrolliert.

Weder Herausgeber, Autor noch Verlag können jedoch für Schäden haftbar gemacht werden, die in Zusammenhang mit der Verwendung dieses Buches stehen.

5 4 3 2 1 0

Jacobs_.book Seite vi Montag, 18. April 2011 9:37 09

vii

1 Einleitung 1

2 Rechtlicher Rahmen der Datenverarbeitung 3

2.1 Gesetzlicher Rahmen des Datenschutzes . . . . . . . . . . . . . . . . . . . . . . . . . 8

2.2 Definition der personenbezogenen Daten . . . . . . . . . . . . . . . . . . . . . . . . 9

2.3 Prinzipien des deutschen Datenschutzrechts . . . . . . . . . . . . . . . . . . . . . 10

2.4 Meldepflicht und Datenschutzbeauftragte . . . . . . . . . . . . . . . . . . . . . . . 13

2.5 Rechte der Betroffenen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17

3 Große Datensammlungen 21

3.1 Staatliche Datensammlungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21

3.1.1 Der neue Personalausweis/elektronische Reisepass . . . . . . . . . . . . . . . 223.1.2 ELENA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233.1.3 Elektronische Steuerverwaltung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233.1.4 Vorratsdatenspeicherung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 243.1.5 Verkehrsüberwachung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263.1.6 Swift-Abkommen: Austausch von Bankdaten . . . . . . . . . . . . . . . . . . . 293.1.7 Auch Fluggastdaten werden ausgetauscht . . . . . . . . . . . . . . . . . . . . . 29

3.2 Privatwirtschaftliche Datensammlungen . . . . . . . . . . . . . . . . . . . . . . . . 30

3.2.1 Risiken und Nebenwirkungen der Intelligenz im Stromnetz . . . . . . . . 313.2.2 Die Informationstechnik im Gesundheitswesen . . . . . . . . . . . . . . . . . 32

3.3 Zusammenführung der Daten zu Profilen . . . . . . . . . . . . . . . . . . . . . . . 34

3.3.1 Zensus 2011 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 373.3.2 Wird die ärztliche Schweigepflicht geopfert? . . . . . . . . . . . . . . . . . . . 383.3.3 Der Terror-Score . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 383.3.4 Rabattsysteme . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 413.3.5 Auskunfteien liefern Score-Werte . . . . . . . . . . . . . . . . . . . . . . . . . . . . 433.3.6 Von der Kreditwürdigkeit zum Konsumentenprofil . . . . . . . . . . . . . . 45

Inhaltsverzeichnis

Jacobs_.book Seite vii Montag, 18. April 2011 9:37 09

viii Inhaltsverzeichnis

3.4 Die Analyse (un)strukturierter Daten . . . . . . . . . . . . . . . . . . . . . . . . . . . 46

3.4.1 Bildung und Wissen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 493.4.2 Videoüberwachung im öffentlich zugänglichen Raum . . . . . . . . . . . . 523.4.3 Webanalysedienste:

Sag mir Deine IP-Adresse und ich analysiere Dein Leben . . . . . . . . . . 543.4.4 Der gläserne Surfer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 563.4.5 Heimliche Datensammlung mit Facebooks Like-Button . . . . . . . . . . 573.4.6 Steuerfahndung per »Data Mining« . . . . . . . . . . . . . . . . . . . . . . . . . . 593.4.7 Kleine Datensammlungen des Alltags . . . . . . . . . . . . . . . . . . . . . . . . . 603.4.8 Umfangreiche Sammlungen in einem Unternehmen . . . . . . . . . . . . . . 63

3.5 Datenverknüpfungen und ihre mögliche Folgen . . . . . . . . . . . . . . . . . . 73

4 Gestaltung der Datensparsamkeit 79

4.1 Daten in staatlicher Hand . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79

4.1.1 40 Jahre Datenschutzrecht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 804.1.2 Digitale Identifizierung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 814.1.3 Elektronisches Regieren: Große Projekte kurz vorgestellt . . . . . . . . . . 824.1.4 Kontrolle des Bürgers über seine Daten . . . . . . . . . . . . . . . . . . . . . . . 83

4.2 Datennutzung durch Unternehmen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85

4.2.1 Akteure und ihre Motivation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86

5 Daten im privaten Umfeld 93

5.1 Was sage ich wem? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 93

5.1.1 Nutzung von Sozialen Netzen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 945.1.2 Eigene Webseiten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 955.1.3 Bilder im Internet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95

5.2 Was sagen andere über mich? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96

5.2.1 Vereine und Kirchen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 975.2.2 Auch Dritte – nicht nur Freunde! – können schaden . . . . . . . . . . . . . . 985.2.3 Meine Rechte: Kann ich mich wehren? . . . . . . . . . . . . . . . . . . . . . . . 106

6 Sicherheit der Daten 115

6.1 Akteure und ihre Motivation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115

6.1.1 Organisierte Kriminalität . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1166.1.2 Innentäter und Außentäter . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123

6.2 Daten und Computer als »Hehlerware« . . . . . . . . . . . . . . . . . . . . . . . 123

6.3 Welche Wege gibt es? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128

Jacobs_.book Seite viii Montag, 18. April 2011 9:37 09

Inhaltsverzeichnis ix

6.4 Nicht nur die eigene Sicherheit zählt . . . . . . . . . . . . . . . . . . . . . . . . . . 131

6.5 Wie kommt man Dieben auf die Schliche? . . . . . . . . . . . . . . . . . . . . . . 133

6.6 Sicherheit – Eine Frage der Einstellung . . . . . . . . . . . . . . . . . . . . . . . . . 135

6.6.1 Schutz durch Technik . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1366.6.2 Schutz durch Verhalten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139

7 Aufsicht und Kontrolle über die Datenverarbeitung 141

7.1 Datenschutzaufsicht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141

7.2 Kontrolldichte . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144

7.3 Kontrolle als Wettbewerbsvoraussetzung . . . . . . . . . . . . . . . . . . . . . . 145

8 Forschung: Wo geht die Reise hin? 147

8.1 RFID . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147

8.2 Höhere Leistung, höhere Nachfrage . . . . . . . . . . . . . . . . . . . . . . . . . . . 150

8.3 Das allgegenwärtige Internet verlangt nach der Wolke . . . . . . . . . . . 151

8.4 Künstliche Intelligenz . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152

8.5 Neuromarketing steigt den Menschen unters Dach . . . . . . . . . . . . . . 158

8.6 Von den »Rohdaten« zum geklonten Menschen . . . . . . . . . . . . . . . . 160

9 Schlussfolgerung 163

9.1 Astrid Auer-Reinsdorff . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 163

9.2 Joachim Jakobs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 164

9.3 Niels Lepperhoff . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165

A Anhang 167

A.1 Beispiel für die Bestellung eines Datenschutzbeauftragten . . . . . . . . . 167

A.2 Beispiel für eine Auskunfts- oder Löschungsanforderung . . . . . . . . . 168

A.3 Liste der Aufsichtsbehörden für die Privatwirtschaft . . . . . . . . . . . . 169

Jacobs_.book Seite ix Montag, 18. April 2011 9:37 09

x Inhaltsverzeichnis

Jacobs_.book Seite x Montag, 18. April 2011 9:37 09

1

Datenschutz blickt auf eine 2400-jährige Geschichte zurück. Der Eid desHippokrates (460–370 v. Chr.) normiert unter anderem die Schweigepflichtfür Ärzte. Eine Schweigepflicht schafft das für eine Behandlung notwendigeVertrauensverhältnis zwischen Arzt und Patient. Ohne Vertrauen berichtetein Kranker über seine Beschwerden oder mögliche Ursachen nicht oder nurunvollständig. Deshalb ermöglicht die Schweigepflicht dem Arzt erst seineBerufsausübung. Weitere berufsspezifische Schweigepflichten gesellten sichim Laufe der Geschichte dazu: beispielsweise 1215 das Beichtgeheimnis und1619 das Bankgeheimnis.

Eine umfassende Regelung zum Datenschutz wurde erst mit Aufkommender elektronischen Datenverarbeitung notwendig. Bis dahin wurden Datenauf Papier »gespeichert«, also aufgeschrieben. Einmal auf ein Stück Papiergeschrieben waren die Daten mit diesem untrennbar verbunden. Papierschützte die Daten unauffällig und kostengünstig in vielfältiger Weise:

■ Schutz vor übermäßigen Auswertungen:Nur Menschen konnten beschriebenes Papier damals lesen, d.h., jedeAuswertung bedeutete, dass Menschen zahlreiche Papiere durchsehenmussten. Im Alltag ein selten betriebener Aufwand.

■ Schutz vor (unbemerktem) Diebstahl:Die Daten konnten entweder mit dem Papier gestohlen oder musstenmühevoll von Hand abgeschrieben werden. Im ersten Fall fiel das Fehlenauf. Der zweite Fall bedeutete einen je nach Umfang erheblichen Zeit-aufwand.

■ Schutz durch Vergessen:Da die Auswertung von Papieren aufwendig war, wurden viele Datenzwar erhoben, aber nicht systematisch ausgewertet. Die Zweckbindungwar sehr strikt.

Die Erfindung und massenhafte Verbreitung des Computers beschert uns heutedie elektronische Datenverarbeitung. Die Trennung von Daten und Speicher-

1 Einleitung

Jacobs_.book Seite 1 Montag, 18. April 2011 9:37 09

2 Einleitung

medium ist neben der elektronischen Bearbeitung die entscheidende Zäsur.Dasselbe elektronische Datum lässt sich auf CD, Papier, Diskette, DVD, Fest-platte, Solid Disk oder USB-Stick speichern. Es kann beliebig ohne Qualitäts-verlust kopiert, verändert und ausgewertet werden. Dadurch sind die dreioben genannten Schutzwirkungen des Papiers überwunden. Um die gleicheSchutzwirkung wie mit Papier zu erhalten, bedarf es zusätzlicher technischer,organisatorischer und rechtlicher Vorkehrungen.

Heute erleben wir, wie sehr der technische Fortschritt in der EDV unse-rem Denken und Fühlen, unseren gesellschaftlichen Entscheidungsprozessenund unserem Recht davonläuft. Gedanklich leben wir noch im Papierzeital-ter: Wichtige Informationen kommen ausgedruckt in den Tresor. Ihre elektro-nischen Originale liegen derweil ungeschützt auf einem Rechner, denn unserHandeln bedient sich neuster Techniken.

Das deutsche Datenschutzrecht geht auf eine Zeit zurück, als elektroni-sche Datenverarbeitung auf wenigen – sehr teuren – Großrechnern stattfand.Damals waren die Rollen Datenverarbeitender/Betroffener noch klar erkenn-bar. Trotz einiger Detailverbesserungen hinkt der Rechtsrahmen hinter dertechnischen Wirklichkeit hinterher. Heute findet Datenverarbeitung auf demHandy in der Hosentasche, im Büro und Wohnzimmer statt. Die wenigenGroßrechner sind durch Millionen Computer und Mobiltelefone abgelöstworden. Statt wenige eindeutig zu erkennende Unternehmen und Behördenverarbeiten heute alle Vereine, Unternehmen, Familien und Behörden Datenelektronisch.

Das stellt den Grundgedanken des Datenschutzes (Kap. 2) (»Jeder sollselber entscheiden, wer was über ihn weiß«) vor zentrale Herausforderungen:

■ die Verknüpfung von Datenbeständen zu Persönlichkeitsdossiers1 (Kap. 3),■ die Gestaltung der Datensparsamkeit (Kap. 4),■ der Umgang mit Daten im privaten Umfeld (Kap. 5),■ die Sicherheit der Daten (Kap. 6) und■ die Aufsicht und Kontrolle über die Datenverarbeitung (Kap. 7).

Die technische Entwicklung bleibt indes nicht stehen (Kap. 8), d.h., es kom-men neue Möglichkeiten zur Datenerhebung, -verarbeitung und -verknüp-fung hinzu. Wir müssen die Herausforderungen gesellschaftlich bewältigen,während immer neue hinzukommen.

Namentlich gekennzeichnete Beiträge geben ausschließlich die Meinungdes kennzeichnenden Autors wieder und nicht die Meinung der Co-Autoren,die durchaus abweichend sein kann.

1) Synonym verwenden wir neben dem Begriff »Dossier« auch »Profil«.


3

Astrid Auer-Reinsdorff

Dem deutschen Datenschutzrecht liegt der Ansatz zugrunde, dass mit derZunahme der Datenerhebungen und mit dem Einzug der technischen Infor-mationsverarbeitungen in die öffentliche Verwaltung und die UnternehmenRegelungen gefunden werden, welche den Betroffenen vor Beeinträchtigun-gen schützen, aber zugleich die Arbeit mit und an den Daten ermöglichen.Der von der Datenverarbeitung Betroffene ist heute längst nicht mehr nur derpassive Bürger, dessen Daten im Interesse der Verwaltung und staatlichenSteuerung erhoben und verarbeitet werden. Bürger haben Teil an staatlichenLeistungen, kaufen und verkaufen im Wege des Fernabsatzes in Online-Shops, Auktionen etc., registrieren sich für Internetdienste und verarbeitenselbst Daten ihrer Freunde, Kontakte und Geschäftspartner.

Unter dem Stichwort Datenschutz hat sich seit In-Kraft-Treten des Bun-desdatenschutzgesetzes zum 01.01.19791 eine Vielzahl von Themen ange-sammelt, welche eine laufende Fortentwicklung des Datenschutzrechts erfor-dern. Über den Gesetzeszweck des Bundesdatenschutzgesetzes, nämlich denEinzelnen davor zu schützen, dass er durch den Umgang mit seinen personen-bezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird2 hinaus,hat das Bundesverfassungsgericht im Volkszählungsurteil vom 15.12.19833

das Grundrecht auf informationelle Selbstbestimmung geprägt. Die Kernaus-sage unter C II 1 a der Entscheidung lautet: »Mit dem Recht auf informatio-nelle Selbstbestimmung wären eine Gesellschaftsordnung und eine dieseermöglichende Rechtsordnung nicht vereinbar, in der Bürger nicht mehr wis-sen können, wer was wann und bei welcher Gelegenheit über sie weiß. Werunsicher ist, ob abweichende Verhaltensweisen jederzeit notiert und als Infor-

2 Rechtlicher Rahmen der Datenverarbeitung

1) Erstfassung des Bundesdatenschutzgesetzes vom 01.02.1977, BGBl. I S. 201.2) § 1 Absatz 1 Bundesdatenschutzgesetz. 3) Urteil zur Verfassungsgemäßheit des Volkszählungsgesetzes 1983; Az. 1 BvR 209/83, 1

BvR 269/83, 1 BvR 362/83, 1 BvR 420/83, 1 BvR 440/83; BVerfGE 65, 1 ff. Vgl. http://de.wikipedia.org/wiki/Volksz%C3%A4hlungsurteil.



mation dauerhaft gespeichert, verwendet oder weitergegeben werden, wirdversuchen, nicht durch solche Verhaltensweisen aufzufallen.«

Umfang, Art und Weise der Datenerhebung, -verarbeitung und -nutzunghaben sich im Rahmen der Grundrechtsabwägung im öffentlichen und priva-ten Bereich daran zu orientieren, dass der Einzelne in den Fällen, in denen ersich einer Preisgabe seiner Daten nicht entziehen kann, möchte er amGemeinwesen teilhaben, vor einer unbegrenzten Erhebung, Verwendung undWeitergabe seiner persönlichen Daten zu schützen ist.4

Das Datenschutzgesetz geht von dem Prinzip aus, dass die Verarbeitung5

personenbezogener Daten grundsätzlich verboten ist und ihre Zulässigkeitvon einer Einwilligung des Betroffenen oder aber einer gesetzlichen Ermäch-tigung abhängt. Dieses gesetzliche Verbotsprinzip ist nicht zwingend iminformationellen Selbstbestimmungsrecht angelegt. Denkbar und derzeit dis-kutiert werden Ansätze, die von einer generellen Zulässigkeit der Datenverar-beitung ausgehen, solange sich diese im Rahmen des Zwecks der Datenpreis-gabe seitens des Betroffenen hält oder dieser der Datenverarbeitung für dieZukunft nicht widersprochen hat. Auch dieser Ansatz schützt die Betroffenenvor einer schrankenlosen Verarbeitung ihrer Daten, trägt aber möglicher-weise mehr den Realitäten der Datenverarbeitung in der Informationsgesell-schaft Rechnung. Über die Zeit ist die angenommene eindeutige Zuordnung,wer Betroffener und wer Datenverarbeiter ist, einer Situation gewichen, inder die Rollen laufend wechseln. Die Gegenüberstellung von Staat und Unter-nehmen einerseits und Privatpersonen andererseits funktioniert nicht mehrals regulatorische Grundlage. Fraglich ist geworden, inwiefern die Annahmehaltbar bleibt, der Betroffene sei unerfahren, ahnungs- und schutzlos im Hin-blick auf die Wege der modernen Datenverarbeitung und den Wert personen-bezogener Daten in den Bereichen der Gefahrenabwehr und des wirtschaftli-chen Absatzes.

Das Recht auf informationelle Selbstbestimmung wird seit der Entschei-dung des Bundesverfassungsgerichts zu Online-Durchsuchungen vom27.02.20086 zum Grundrecht auf Gewährleistung der Vertraulichkeit undIntegrität informationstechnischer Systeme – kurz Computer-Grundrecht –im Hinblick auf die technischen Möglichkeiten zur Auswertung und Ver-

4) C II 1 a der Entscheidung: Freie Entfaltung der Persönlichkeit setzt unter den modernen Bedingungen der Datenverarbeitung den Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten voraus.

5) Datenverarbeitung wird hier stellvertretend für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten im Sinne des § 1 Absatz 2 BDSG benutzt.

6) Az. 1 BvR 370/07, 1 BvR 595/07, abrufbar unter: http://www.bundesverfassungsgericht.de/entscheidungen/rs20080227_1bvr037007.html.


5

knüpfung von Datensammlungen flankiert. Mit dem technischen Fortschrittgeht es längst nicht mehr nur um die Frage, welche Daten der Betroffene zurTeilhabe am gesellschaftlichen Leben preisgeben muss, sondern wie dieseDatenbestände aus unterschiedlichen Quellen logisch verknüpft und jenseitsder Zweckbindung ausgewertet und verarbeitet oder mittels einer heimlichenMaßnahme direkt beim Betroffenen abgezapft werden können.

Mit der Vorratsdatenspeicherung, welche das Bundesverfassungsgerichtmit seiner Entscheidung vom 02.03.20107 als nicht verfassungsrechtlich legi-timiert kippte, war ein weiterer Datentopf entstanden, aus dem die Providerzur Auskunft verpflichtet waren. Es bleibt abzuwarten, ob eine andere Vorge-hensweise bei der Vorratsdatenspeicherung gesetzlich begründet wird undwie weit die Auskunftspflicht der Provider gegenüber öffentlichen Stellen undPrivaten reichen wird.8, 9

Seit etwa 2008 sind Datenschutzskandale10 vermehrt Gegenstand derMedienberichterstattung. Dies zeigt deutlich, dass dieses Thema in seinenFacetten der Bevölkerung nähergebracht wird. Die technischen Systeme bie-ten in den heutigen Entwicklungsstufen immer schnellere und zuverlässigereMöglichkeiten, Daten in großem Umfang auszuwerten und abzugleichen. ImWettbewerb um Kunden sind deren Anschriften, persönliche Lebensbedin-gungen und Präferenzen sowie Daten über Kauf- und Suchverhalten zu einemerheblichen Faktor geworden. Rund 1300 Adresshändler bieten in unter-schiedlichen Preissegmenten einfache oder qualifizierte Adressdatensätze underwirtschaften damit Milliarden. (Vgl. Abschnitt 5.2.3)

Daneben steigen die Anforderungen an die Unternehmensleitungen, dieKonformität ihrer Mitarbeiter und Prozesse mit den rechtlichen Vorgaben zugarantieren. Unter dem Stichwort Compliance geraten die Verantwortlichenzunehmend in den Zielkonflikt, die Einhaltung der Gesetze durch ihre Mitar-beiter sicherzustellen, ohne hierzu automatisierte Verfahren einzusetzen, wel-che den massenhaften Abgleich von personenbezogenen Daten mit verdächti-gen Kontakten, Bankdaten oder Ähnlichem vollziehen.

7) BVerfG Urt. v. 02.03.2010, 1 BvR 256/08, 1 BvR 263/08, 1 BvR 586/08. http://www.bundesverfassungsgericht.de/pressemitteilungen/bvg10-011.html.

8) http://www.datenschutzskandale.de/; Forbes machte 2009 in seiner Ausgabe vom 24.11.2009 zum Year of the Mega Data Breach. http://www.forbes.com/2009/11/24/security-hackers-data-technology-cio-network-breaches.html.

9) http://www.heise.de/thema/Vorratsdatenspeicherung.10) http://www.datenschutzskandale.de/; Forbes machte 2009 in seiner Ausgabe vom

24.11.2009 zum Year of the Mega Data Breach. http://www.forbes.com/2009/11/24/security-hackers-data-technology-cio-network-breaches.html.



Im Interesse des wirtschaftlichen Erfolgs ist die Bonität der Kunden, Mie-ter und sonstigen Vertragspartner von erheblicher Bedeutung. ProfessionelleAuskunfteien sowie oftmals Detektive unterstützen die Unternehmen beiihrem Streben, Vergütungsausfälle oder nicht hinreichend gesicherte Ver-tragsbeziehungen zu vermeiden.

Die Sozialen Netzwerke nehmen die deutschen datenschutzrechtlichenRahmenbedingungen mehr oder weniger ernst, wenn es um die Registrierungs-daten geht. Die Kommunikations- und Vernetzungsmöglichkeiten über dieSozialen Netzwerke stellen viele Nutzer vor Herausforderungen. Anbieter ohneeinen Geschäftssitz in Deutschland sind nur eingeschränkt für aufsichtsrecht-liche Maßnahmen oder im Wege der Einstweiligen Verfügung geltend gemachteUnterlassungs- und Beseitigungsansprüche der Betroffenen erreichbar.

Dem berechtigten Interesse, Informationen über das Handeln der öffent-lichen Verwaltung zu erhalten, stehen wiederum die Interessen der am Verwal-tungsvorgang Beteiligten am Schutz ihrer personenbezogenen Daten entgegen.Erst am 01.01.2006 trat in Deutschland das Informationsfreiheitsgesetz11 inKraft, welches den Grundsatz etabliert, dass Zugang zu behördlichen Informa-tionen des Bundes zu gewähren ist. Damit ist die Zugangsverweigerung zurAusnahme geworden. Sind personenbezogene Daten von dem Auskunftser-suchen betroffen, bedarf es der Abwägung, ob die Interessen des die AuskunftBegehrenden als schutzwürdiger anzusehen sind als die des Betroffenen.12

Diese und neue Herausforderungen hat das Datenschutzrecht zukünftigabzubilden. Es erscheint dabei übereilt, für jedes konkrete Phänomen oderGeschäftsmodell eine gesetzliche Regelung nachzuziehen.13 Dies trägt dieGefahr in sich, dass das Datenschutzrecht auf lange Sicht auf immer neueEntwicklungen reagiert, ohne selbst Grundprinzipien anzubieten. Daten-schutzrechtliche Maßnahmen bedürfen zudem der Flankierung mit Bildungs-und Aufklärungsinitiativen. Die Bundesministerin der Justiz Leutheusser-Schnarrenberger hat die Einrichtung einer Stiftung Datenschutz14 angeregt,welche ähnlich wie oder ergänzend zu den Tests der Stiftung WarentestOnline-Angebote auf deren Nutzerfreundlichkeit in Sachen Datenschutz

11) Gesetz zur Regelung des Zugangs zu Informationen des Bundes vom 05.09.2005 (IFG – BGBl. I S. 2722).

12) § 5 Absatz 1 IFG.13) Zum Beispiel aktuell die Diskussion über den Erlass eines Gesetzes zu Geodaten im

Zusammenhang mit GoogleStreetView. 14) http://www.zeit.de/politik/deutschland/2009-10/datenschutz-internet; Dokumentation

zum DAV-Datenschutzforum am 27.10.2010 in Berlin unter http://www.davit.de/informationen/.


7

bewerten soll. Im Haushalt 2011 sind 11 Millionen Euro als Stiftungskapitalbereitgestellt.

Noch wird über die Aufgaben, die Organisationsform und die Umset-zung diskutiert.15 Dabei hat insbesondere der Deutsche Anwaltverein16 zubedenken gegeben, dass die Durchführung von Audits im Auftrag der Unter-nehmen verbunden mit der Verleihung eines Gütesiegels zu einem Zielkon-flikt führen könnte. Wie bei der Stiftung Warentest solle die Stiftung unab-hängige vergleichende Tests durchführen. Der Bundesbeauftragte PeterSchaar hat in seinem Diskussionspapier vom 01.02.2011 vorgeschlagen, denPrüfungsinhalt und die Vergabe der Gütesiegel durch die Verzahnung derArbeit zwischen den Aufsichtsbehörden und der Stiftung insbesondere überderen Gremien zu erreichen. Anders als die gegebenenfalls anlassbezogenenPrüfungen der Aufsichtsbehörden beruhten die Ergebnisse der Audits auffreiwilligen Angaben der Unternehmen, sodass diese für die Aufsichtsbehör-den im Einzelfall keine Bindungswirkung entfalten. Außerdem sollen die Auf-sichtsbehörden auf ihren Internetseiten bekanntgeben, wenn sie zu den inTestreihen der Stiftung erzielten Einschätzungen abweichende Feststellungengetroffen haben. Es ist fraglich, ob dies zu der erwünschten erhöhten Trans-parenz, Akzeptanz und Anwenderorientierung des Datenschutzes führt.

Die Datenschutzstiftung soll dann die dringend erforderlichen Bildungs-maßnahmen an Schulen, durch Informationsmaterial und -veranstaltungenanstoßen und in Zusammenarbeit mit den Ländern verstetigen. Ziel ist, einhöheres Maß an Datenschutzkompetenz bei jedem Einzelnen zu erreichen,um einmal die Sensibilität der Unternehmer für die Anforderungen und Pro-zesse des Datenschutzes zu erhöhen und zweitens die Anwender zu reflektier-tem Umgang mit ihren Daten im Sinne eines Selbstdatenschutzes zu befähi-gen.

15) http://www.bfdi.bund.de/SharedDocs/Publikationen/KonzeptionStiftungDatenschutz.pdf?__blob=publicationFile.

16) http://anwaltverein.de/downloads/gebuehrenrecht/2009-12-09-Eckpunktepapier-Stiftung-DatenschutzEndfassung.pdf.



2.1 Gesetzlicher Rahmen des Datenschutzes

Für Deutschland gelten die datenschutzrechtlichen Regelungen der OECD17,der Europäischen Union, des Bundes mit der Rechtsprechung des Bundesver-fassungsgerichts zum Grundrechtscharakter des informationellen Selbstbe-stimmungsrechts und dem Computer-Grundrecht sowie der Länder teilweisemit Verfassungsrang in den Ländern. Dabei sind die datenschutzrechtlichenRegelungen nicht jeweils in einer Richtlinie oder einem Gesetz zusammenge-fasst, sondern finden ihren Niederschlag in bereichsspezifischen Regelungenwie zum Beispiel im Telekommunikationsgesetz.

International dienen die Regeln der OECD zu der Harmonisierung derRegelungen der Mitgliedstaaten der OECD, der Förderung eines freien Infor-mationsaustauschs, der Vermeidung ungerechtfertigter Handelshemmnisseund dem Verhindern einer Kluft zwischen den US-amerikanischen Regelun-gen sowie denen der Europäischen Union. Das Regelwerk der OECD ist wiedie Europäische Datenschutzkonvention18 des Europarats vom 28.01.1981kein zwingendes Recht. Die Europäischen Richtlinien sind hingegen für dieMitgliedstaaten der Europäischen Union bindend. Die Europäische Unionhat folgende im Hinblick auf Datenschutzrecht relevante Richtlinien erlassen:

■ Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbei-tung personenbezogener Daten und zum freien Datenverkehr,19 derenAktualisierung die Europäische Kommission aktuell betreibt,20

■ Richtlinie 2002/58/EG Datenschutzrichtlinie für elektronische Kommuni-kation,21

■ Richtlinie 2006/24/EG über die Vorratsspeicherung von Daten.22

Das Bundesdatenschutzgesetz gilt für die datenschutzrechtlichen Beziehun-gen von Bundesbehörden23 und privaten datenverarbeitenden Stellen24 wieUnternehmen und Vereine gegenüber den Betroffenen. Die Landesdaten-schutzgesetze enthalten die datenschutzrechtlichen Rahmenbedingungen für

17) www.oecd.org, Organisation für wirtschaftliche Zusammenarbeit und Entwicklung mit den OECD Guidelines for the Security of Information Systems and Networks: Towardsa Culture of Security.

18) Text der Konvention: http://conventions.coe.int/Treaty/GER/Treaties/Html/108.htm.19) 23.11.1995, ABl. EG Nr. L 281 S. 31–50.20) http://ec.europa.eu/justice/news/consulting_public/0006/com_2010_609_en.pdf.21) 31.07.2002, ABl. EG Nr. L 201 S. 37–47.22) 13.04.2006, ABl. EU Nr. L 105 S. 54–60.23) Öffentliche Stellen des Bundes im Sinne des § 2 Absatz 1 BDSG.24) Nicht öffentliche Stellen im Sinne des § 2 Absatz 4 BDSG.


Definition der personenbezogenen Daten 9

Landes- und Kommunalbehörden25. Öffentliche Stellen des Bundes und derLänder sind auch deren privatrechtlich organisierten Eigenbetriebe26, soweitsie hoheitliche Aufgaben wahrnehmen, und Public Private Partnerships27.Daneben von besonderer Bedeutung sind die datenschutzrechtlichen Rege-lungen des Telekommunikationsgesetzes (TKG) und des Telemediengesetzes(TMG).

2.2 Definition der personenbezogenen Daten

Die Datenschutzgesetze regeln den Schutz personenbezogener Daten. Nach§ 3 Absatz 1 BDSG sind personenbezogene Daten alle Einzelangaben überpersönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbarennatürlichen lebenden Person – des Betroffenen. Relevante Einzelangaben sindalle Informationen, welche sich direkt auf eine Person beziehen oder geeignetsind, einen Bezug zu einer Person herzustellen.28 Personenbezogene Datensind zum Beispiel:

■ Name, Alter, Familienstand, Geburtsdatum■ Anschrift, Telefonnummer, E-Mail Adresse■ Konto-, Kreditkartennummer■ Kraftfahrzeugnummer, Kfz-Kennzeichen■ Personalausweisnummer, Sozialversicherungsnummer■ Vorstrafendaten■ genetische Daten und Krankendaten29

■ Daten über Leistung und Verhalten zum Beispiel in Zeugnissen ■ Bewertungen der Kaufkraftklasse (Scorewert – vgl. Abschnitt 3.3.5).

25) Öffentliche Stellen der Länder im Sinne des § 2 Absatz 2 BDSG.26) Gemäß § 2 Absatz 4 BDSG. Eigenbetriebe sind kommunalrechtlich wirtschaftliche Unter-

nehmen einer Gemeinde auf Grundlage der jeweiligen Gemeindeordnung errichtet, die keine eigene Rechtspersönlichkeit besitzen. Sie können zu ihren Abnehmern (Benutzern) in öffentlich-rechtlichem oder privatrechtlichem Verhältnis stehen, z.B. Kindertages-, Sport-stätten und Kultureinrichtungen im Eigenbetrieb.

27) Gemäß § 2 Absatz 3 BDSG. Öffentlich-Private Partnerschaften (ÖPP) sind Kooperationen zwischen Hoheitsträgern und privaten Wirtschaftsunternehmen, welche der Bereitstellung von Erfahrungen, Ressourcen und privatem Kapital zur Bewältigung hoheitlicher Aufga-ben dienen.

28) Sog. personenbeziehbare Daten. 29) Besondere personenbezogene Daten im Sinne des § 3 Absatz 9 BSDG.


Das Online-Magazin TELEPOLIS wurde 1996 gegründet · 2016. 2. 15. · Harald Zaun S E T I – Die...

Documents

Transcript of Das Online-Magazin TELEPOLIS wurde 1996 gegründet · 2016. 2. 15. · Harald Zaun S E T I – Die...