Tracking & Geolokalisierung aus datenschutzrechtlicher Sicht Dr. Sibylle Gierschmann, LL.M.

Transkript

1 Tracking & Geolokalisierung aus datenschutzrechtlicher Sicht Dr. Sibylle Gierschmann, LL.M. Bild einfügen (Cover Small) München, den 12. Mai 2011

2 Thesen > Selbstregulierung von Online Behavioral Advertisement (OBA) + Location Based Services (LBS) ist jetzt wichtiger denn je; andernfalls trifft der Gesetzgeber Regelungen. > OBA ist grundsätzlich gesetzlich zulässig, 13 (1), 15 (3) TMG sind zu beachten. > Die eprivacy-richtlinie erfordert keine Änderung der Gesetze. > LBS bedürfen der informierten Einwilligung; auch hier bloßer opt-out möglich? 2011 Taylor Wessing Deutschland 2

3 Agenda > Überblick: Wo stehen wir in der Datenschutzdiskussion > Tracking & OBA > Wer sind die Beteiligten > Verwendung von personenbezogenen Daten? > Gesetzliche Erlaubnis gem. 15 (3) TMG > Ändert sich die Rechtslage aufgrund der eprivacy-richtlinie? > Geolokalisierung 2011 Taylor Wessing Deutschland 3

4 Überblick: Wo stehen wir in der Datenschutzdiskussion? > Fokus BDSG-Novelle 2009: Kundendaten > Fokus 2011: Technologieneutrale Regelungen zum Schutz vor gläsernen Bürger > Right to be forgotten; Privacy by design (EU-Kommission) > Digitales Radiergummi (Aigner) > Schutz vor besonders schweren Eingriffen in das allgemeine Persönlichkeitsrecht ( rote Linie ), insbesondere bei Gesichtserkennungsdiensten, Profilbildung, Erhebung von Standortdaten (de Maiziere) > Selbstregulierung? > Datenschutz-Kodex für Geodatendienste (BITKOM) BMI vom : Zeichen für funktionierende Selbstregulierungskräfte Aber: Aufsichtsbehörden fühlen sich daran nicht gebunden > EU-Kommission, Gesamtkonzept für den Datenschutz in der EU vom : Förderung von Initiativen zur Selbsregulierung 2011 Taylor Wessing Deutschland 4

5 OBA & Tracking Wer sind die Beteiligten? Übermittlung von Logfile-Info besucht URL 1st-Party-Cookie 3rd-Party-Cookie Website-Betreiber (Publisher) Übermittlung von Logfile-Info Website- Besucher (Nutzer) liest 1st-Party-Cookie aus - liest 3rd-Party-Cookie aus, - erstellt Profil, - berechnet Wahrscheinlichkeiten Webanalyse-Tool (AdReporting) OBA = zielgruppenspezifische Werbung, die auf der Beobachtung des Nutzerverhaltens über einen Zeitraum hinweg basiert Werbenetzbetreiber (3rd Party) 2011 Taylor Wessing Deutschland 5

6 Geht es um personenbezogene Daten? 3 Abs. 1 BDSG Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). > Theorie vom objektiven oder relativen Personenbezug 3 Abs. 6 BDSG (Anonymisieren) Verändern personenbezogener Daten derart, dass nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft zugeordnet werden können 26. EG der Datenschutz-RL 95/46/EG alle Mittel, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden können 2011 Taylor Wessing Deutschland 6

7 Personenbezug der IP-Adresse > Relativer Personenbezug: Nur der Access Provider kennt den Nutzer; Herausgabe nur aufgrund richterlicher oder staatsanwaltlicher Anordnung (zb OLG Hamburg, AG München); aber: Bei statischer IP-Adresse evtl. Inverssuche möglich; Zusatzwissen (z.b. Log-in-Info) kann zur Bestimmbarkeit führen > Objektiver Personenbezug: Es genügt, dass Provider den Schlüssel zur Bestimmbarkeit hat (AG Berlin-Mitte); BGH-Urteil v nicht eindeutig > Art. 29 Datenschutzgruppe (zb WP 159): Internetdiensteanbieter (muss) wenn er nicht mit absoluter Sicherheit erkennen kann, dass die Daten zu nicht bestimmbaren Nutzern gehören, sicherheitshalber alle IP-Informationen wie personenbezogene Daten zu behandeln > Düsseldorfer Kreis (Beschluss vom 26./ ) Verwendung vollständiger IP-Adressen (einschl. der Geolokalisation) ist aufgrund der Personenbeziehbarkeit dieser Daten nur mit bewusster, eindeutiger Einwilligung zulässig Taylor Wessing Deutschland 7

8 Gesetzliche Erlaubnis gem. 15 (3) TMG? 15 (3) TMG Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer nicht widerspricht > Düsseldorfer Kreis (Beschluss 26./ ): IP-Adresse Pseudonym; aber: unique identifier = Pseudonym, sofern dieser keine identifizierenden oder sprechenden Daten (z.b. Kundennamen) enthält > Aufklärung gem. 13 (1) S. 2 TMG erforderlich, da automatisiertes Verfahren, dass spätere Identifizierung ermöglicht Taylor Wessing Deutschland 8

9 Lösung für IP-Adresse? > Düsseldorfer Kreis (Beschluss vom 26./ ) Kürzung der IP-Adresse, so dass Personenbeziehbarkeit ausgeschlossen ist = Anonymisierung vor jeder Auswertung anonymisieren! > ULD Kürzung um 3 oder sogar 6 Ziffern genügt für Anonymisierung nicht Instrument für Anonymisierung kann der Einsatz einer Auftragsdatenverarbeitung sein, bei der sofortige Trennung von Merkmalsund Identifizierungsdaten erfolgt ( informationelle Gewaltenteilung ) Beispiele: => Anonymisierung (Entfernung der IP-Adresse, Referrers), Beschränkung der Lebenszeit von Cookies; Bereitstellung eines Opt-Out-Mechanismus 2011 Taylor Wessing Deutschland 9

10 Rechtslage bisher > OBA auf Grundlage von 15 (3) TMG grundsätzlich möglich > Lösung für IP-Adresse finden > Informationspflicht gem. 13 (1) TMG umsetzen > Trennungsgebot beachten (keine Zusammenführung mit identifizierenden Daten) > Widerspruchsmöglichkeit (genügt Hinweis auf Browsereinstellung? ULD: opt-out cookie erforderlich) > Soweit Dritter als bloßer Auftragsdatenverarbeiter eingesetzt wird (Vorteil: keine gesetzliche Erlaubnis für Übermittlung erforderlich) ist schriftlicher Auftrag isv 11 (2) BDSG erforderlich, so z.b. bei Webanalysetools > Achtung bei Übermittlung in Länder außerhalb der EU/des EWR > Cookie-Lebenszeit beschränken? ULD: 6 Monate 2011 Taylor Wessing Deutschland 10

11 eprivacy-rl 2009/136/EG Umsetzungsfrist: 25. Mai 2011 Art. 5 Abs. 3 S.1 Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der Nutzer seine Einwilligung gegeben hat. > Bisher: auf das Recht hingewiesen wird, diese Verarbeitung zu verweigern 66. Erwägungsgrund [ ] Wenn es technisch durchführbar und wirksam ist, kann die Einwilligung des Nutzers über die Handhabung der entsprechenden Einstellungen eines Browsers oder einer anderen Anwendung ausgedrückt werden Taylor Wessing Deutschland 11

12 Umsetzungsbedarf in nationales Recht? (1/3) Art. 29-Datenschutzgruppe (Stellungnahme vom ) > Opt-in bereits für Cookie-Setzen erforderlich, default setting des Browsers oder opt-out cookie ist keine Einwilligung. Empfehlung: Privacy by Design, Zusammenarbeit mit Browser-Herstellern > Einmalige Einwilligung kann genügen, diese muss zeitlich beschränkt sein (z.b. 1 Jahr) > Automatische Löschung der Cookies nach bestimmter Zeit > Erwähnen der Praxis in Privacy Policy genügt nicht (interaktiv direkt auf Bildschirm? Über Icons?) > Nutzerinformation darüber: wer Cookies platziert dass Cookie für die Erstellung von Profilen genutzt wird welche Art Informationen hierfür gesammelt werden dass Profil für zielgerichtete Werbung genutzt wird dass Cookie die Indentifizierung des Nutzers über zahlreiche Webseiten ermöglicht 2011 Taylor Wessing Deutschland 12

13 Umsetzungsbedarf in nationales Recht? (2/3) > Düsseldorfer Kreis (Beschluss vom 24./ ) Opt-In-Lösung mit vorheriger, umfassender Information erforderlich 15 Abs. 3 TMG muss angepasst werden, da bisher Opt-Out-Lösung > Alexander Alvaro, Mitglied EU-Parlament (Berichterstatter e-privacy RL) ( ) Einwilligung für Cookies erforderlich; Transparenz wichtig. Browsereinstellungen des Nutzers hierfür ausreichend, Art 5 (3) ist zwingend ivm dem 66. Erwägungsgrund zu lesen anders nur für sog. Flash-Cookies 2011 Taylor Wessing Deutschland 13

14 Umsetzungsbedarf in nationales Recht? (3/3) > 66. EG: Einwilligung (kann) über die Handhabung der entsprechenden Einstellung eines Browsers oder einer anderen Anwendung ausgedrückt werden. > Art. 2 (h) RL 95/46/EG: jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt > BGH-Urteil is Payback : Nach 4a BDSG ist nicht erforderlich, dass die Einwilligung gesondert erteilt wird. Muss nicht aktiv im Sinne eines opt-in erklärt werden. > Maßgeblich also: in Kenntnis der Sachlage, d.h. insbes. transparente Erläuterung der opt-out-möglichkeit 2011 Taylor Wessing Deutschland 14

15 Funktionsweise & Arten von Geolokalisierung WLAN Quelle: in Anlehnung an Timpf (2008), Seite Stufe: Erhebung der Standortdaten > Cell-of-Origin (COO): Ermittlung der Funkzelle durch Mobilfunkanbieter > Global Positioning System (GPS): Signale von mind. 3 Satelliten > Wireless Local Area Network (WLAN): Geodatenbank mit Zugangspunkten; Problem: MAC-Adressen = allgemein zugängliche Daten? LAfD Bayern (+) 2011 Taylor Wessing Deutschland 15

16 Funktionsweise von Geolokalisierung 2. Stufe: Verwendung von Standortdaten zur Auslieferung von Werbung bei LBS Einwilligung 1. > Bei COO: Einwilligung gem. 98 (1) TKG > Bei GPS und WLAN: Konkludente Einwilligung mit Aktivierung des LBS? Taylor Wessing Deutschland 16

17 Einwilligung gem. 98 (1) TKG > Jederzeit widerruflich > Einfache Möglichkeit zur jederzeitigen Abschaltung > Generelle, einmalige Einwilligung möglich (z.b. Rahmenvertrag) > Elektronische Einwilligung möglich (Protokollierung) > Inhalt der Einwilligung Welche Arten von Standortdaten werden verarbeitet Für welche Zwecke Wie lange Werden die Daten zum Zwecke der Bereitstellung von Diensten mit Zusatznutzen an einen Dritten weitergegeben? > 98 (1) TKG-E: Textmitteilung des Anbieter bei der Feststellung des Standortes; gesonderte schriftliche Einwilligung bei Übermittlung an sonstige Dritte Wohl vergleichbare Anforderungen an Einwilligung bei LBS ohne COO; opt-out ausreichend? Problem: Transparenz 2011 Taylor Wessing Deutschland 17

18 Thesen - Zusammenfassung > Selbstregulierung notwendiger denn je; andernfalls trifft der Gesetzgeber Regelungen. > OBA ist grundsätzlich gesetzlich zulässig, 13 (1), 15 (3) TMG sind zu beachten. > Die eprivacy-richtlinie erfordert keine Änderung der Gesetze. Mechanismen überprüfen, ob von konkludenter Einwilligung ausgegangen werden kann. > LBS bedürfen der informierten Einwilligung; auch hier bloßer opt-out möglich? Wohl eher (-), da Nutzer nicht aufgeklärt Taylor Wessing Deutschland 18

19 Vielen Dank für Ihre Aufmerksamkeit! Kontakt Dr. Sibylle Gierschmann, LL.M. TaylorWessing Isartorplatz München Tel.: +49 (0) Fax: +49 (0) s.gierschmann@taylorwessing.com Taylor Wessing Deutschland 19