Aktuelle Fragen des Datenschutzes

Transkript

1 Der Bundesbeauftragte für den Datenschutz Dr. Joachim Jacob Aktuelle Fragen des Datenschutzes (Dr. Jacob hielt seinen Vortrag in freier Rede auf Grundlage des folgenden Manuskripts) 1. Begriff des Datenschutzes "Im Mittelpunkt der grundgesetzlichen Ordnung stehen Wert und Würde der Person, die in freier Selbstbestimmung als Glied einer freien Gesellschaft wirkt. Ihrem Schutz dient neben speziellen Freiheitsverbürgungen das in Artikel 2 Absatz 1 in Verbindung mit Artikel 1 Absatz 1 Grundgesetz gewährleistete Persönlichkeitsrecht, das gerade auch mit Blick auf moderne Entwicklungen und die mit ihnen verbundenen Gefährdungen der menschlichen Persönlichkeit Bedeutung gewinnen kann. So das Bundesverfassungsgericht in seinem sogenannten Volkszählungsurteil vom , das mit diesem Urteil das Recht auf informationelle Selbstbestimmung aus dem Grundgesetz ableitete und die Grundrechtsqualität des 1977 geborenen Datenschutzes feststellte. 1.1 Struktur des Rechts Den Ausgangspunkt bilden als sogenannte Auffanggesetze das Bundesdatenschutzgesetz und die 16 Landesdatenschutzgesetze. Darüber hinaus regeln spezialgesetzliche Vorschriften, wie z.b. das Sozialgesetzbuch, das Telekommunikationsdienstegesetz, das Postdienstegesetz, das Telediensterecht, das Stasi-Unterlagen-Gesetz, die Meldegesetze oder die Polizeigesetze des Bundes und der Länder, in welchen Fällen Behörden und Wirtschaftsunternehmen personenbezogene Daten erheben, verarbeiten und nutzen dürfen. 1.2 Organisation der Datenschutz-Beratungs- und Kontrollinstitutionen Der Bund und die 16 Bundesländer haben Beauftragte für den Datenschutz bestellt, die die Beratung und Kontrolle für den öffentlichen Bereich wahrnehmen. Die Aufsichtsbehörden der Bundesländer beraten und kontrollieren von Telekommunikationsdienst- und Postdienstunternehmen abgesehen den sogenannten nicht-öffentlichen Bereich, also die privaten Unternehmen. 2. Bundesdatenschutzgesetz neu und zweite Stufe Zunächst einmal hat sich der Anwendungsbereich des Gesetzes im nicht-öffentlichen Bereich erheblich erweitert. Es gilt künftig bereits dann, wenn eine nicht öffentliche Stelle Daten unter Einsatz von Datenverarbeitungsanlagen verarbeitet, nutzt oder dafür erhebt, und darüber hinaus sogar bei Einsatz nicht automatisierter Dateien. Der Zweckbindungsgrundsatz ist deutlich gestärkt worden. So sind auch im nicht-öffentlichen Bereich bereits bei der Erhebung personenbezogener Daten die Zwecke, für die diese verarbeitet oder genutzt werden sollen, konkret festzulegen und dem Betroffenen mitzuteilen. Dies gilt künftig ausdrücklich auch für das geschäftsmäßige Erheben, Speichern oder Verändern personenbezogener Daten zum Zwecke der Übermittlung. Der Grundsatz von Datenvermeidung und Datensparsamkeit ist erstmals gesetzlich verankert worden. Damit werden Datenverarbeiter aufgefordert, präzise zu bestimmen, welche Daten sie für ihre Aufgabenerfüllung tatsächlich benötigen. Überflüssige oder gar missbrauchsfähige Bestände an personenbezogenen Daten sollen

2 möglichst gar nicht erst entstehen. Das Gesetz enthält dezidierte Vorschriften zur Datenübermittlung ins Ausland. Dazu zählt auch die Weitergabe in Drittstaaten außerhalb des Europäischen Wirtschaftsraums. Die Vorschriften gelten künftig in gleicher Weise auch für den nicht-öffentlichen Bereich.Im Zeichen der Globalisierung mit einer Vielzahl grenzüberschreitender Datenströme sind dies ganz wichtige Bestimmungen zum Schutz des Bürgers. Bei einer für den Bürger besonders risikoreichen Datenverarbeitung wird eine Vorabkontrolle durch den Datenschutzbeauftragten eingeführt. Gleichzeitig enthält das Gesetz einheitliche Regelungen für den Datenschutzbeauftragten, der jetzt auch für den öffentlichen Bereich vorgeschrieben wird. Hat eine nicht öffentliche Stelle einen Datenschutzbeauftragten bestellt, entfällt in der Regel die Meldepflicht bei der Aufsichtsbehörde. Weiter enthält das Gesetz Vorgaben für eine Videobeobachtung öffentlich zugänglicher Räume, auch durch Private. Diese ist künftig nur noch in bestimmten Fällen zu im Gesetz aufgeführten Zwecken zulässig. Sie ist durch geeignete Maßnahmen erkennbar zu machen und bei ihrem Einsatz sind die schutzwürdigen Interessen der Betroffenen abzuwägen; darüber hinaus enthält das Gesetz eine Zweckbindung, Benachrichtigungs- und Löschungspflichten. Für mehr Transparenz und bei den Betroffenen sollen auch die gesetzlichen Vorgaben für die Ausgabe und den Einsatz von mobilen personenbezogenen Speicher- und Verarbeitungsmedien sorgen. Im Hintergrund der Diskussionen zu dieser Vorschrift standen vor allem Chipkarten, deren Einsatzmöglichkeiten immer größer werden. Ferner schafft das Gesetz die Möglichkeit eines freiwilligen Datenschutzaudits, mit dem Anbieter von Datenverarbeitungssystemen und -programmen und datenverarbeitende Stellen ihr Datenschutzkonzept sowie ihre technischen Einrichtungen durch unabhängige und zugelassene Gutachter zertifizieren lassen können. Allerdings bedarf es hier noch eines Gesetzes zur Umsetzung der Regelung, das vom zuständigen Bundesministerium des Innern jetzt hoffentlich schnell auf den Weg gebracht wird. Schließlich verbessert das Gesetz die Rechte der Betroffenen auf Auskunft, Benachrichtigung und Widerspruch, stärkt die Kontrollmöglichkeiten im nicht-öffentlichen Bereich und hat gegenüber dem BDSG von 1990 deutlich weiter reichende Haftungs-, Straf- und Bußgeldvorschriften geschaffen. Zur Vorbereitung dieses Projektes hat das Bundesministerium des Innern ein umfangreiches Gutachten in Auftrag gegeben, das von einem Begleitausschuss von Fachleuten aus Politik, Wirtschaft, Wissenschaft und natürlich des Datenschutzes begleitet wird. Bislang liegt ein umfangreiches Diskussionspapier der Gutachter vor, das eine Fülle von hochinteressanten Ansätzen und Überlegungen enthält. Besonders wichtig scheinen mir hier zu sein: Eine Neujustierung des Verhältnisses zwischen allgemeinem Datenschutz und bereichsspezifischen Regelungen. Wir müssen weg von der Zerfaserung des Datenschutzrechts und im Interesse sowohl der Betroffenen als auch der Anwender zurück zu allgemein gültigen und verständlichen Regelungen im Bundesdatenschutzgesetz, die nur dort von bereichsspezifischen Ausnahmen ergänzt werden, wo dies unerlässlich ist. Weiter brauchen wir eine deutliche Verbesserung des Selbstdatenschutzes. Die betroffenen Bürger müssen von Objekten des Datenschutzes zu Subjekten werden und sie müssen in die Lage versetzt werden, selbst eigenverantwortlich ihre personenbezogenen Daten schützen. Dies setzt neben Problembewusstsein und Information aber auch einfache, verständliche und dem Durchschnittsbürger zugängliche technische Möglichkeiten hierfür voraus. Auch den Gedanken der Selbstregulierung und Selbstkontrolle durch Wirtschaftsverbände oder Konzerne halte ich für zukunftsträchtig, soweit ein vorgegebener gesetzlicher Rahmen gewährleistet, dass dies nicht zu einem Abbau des Datenschutzes führt und diese neuen Mechanismen einer datenschutzrechtlichen Aufsicht und Kontrolle unterworfen bleiben.

3 Schließlich kommt auch dem technischen Datenschutz, dem Systemdatenschutz eine immer größere Bedeutung zu. Um die Problematik von gesetzlichen Vorgaben hierzu weiß ich. Gleichwohl kann durch verfahrenslenkende Maßnahmen Einfluss genommen werden. Hierbei spielen nach meinen Vorstellungen vor allem Verfahren zur Pseudonymisierung und Anonymisierung eine Rolle. 3. Datenschutz und innere Sicherheit Die Zunahme der Vernetzung unserer Gesellschaft und auch ihre Mobilität ist leider mit Entwicklungen verbunden, die die innere Sicherheit von Staaten gefährden kann. Um dies abzuwehren, denken die Regierungen über entsprechende Überwachungsmaßnahmen nach bzw. haben die rechtlichen Voraussetzungen dafür schon geschaffen. Ich nenne hier vor allem: die akustische Wohnraumüberwachung, die häufige Veränderung des Straftatenkatalogs als Voraussetzung der Telekommunikationsüberwachung nach 100a StPO, die strategische Fernmeldeüberwachung; Individualüberwachung nach G10, die Telekommunikationsüberwachungsverordnung die TKÜV, weil sie in die Freiheit auch des Internets eingreifen wird. Der gläserne Surfer droht zu entstehen; die Cyber Crime Convention des Europarats, ENFOPOL, womit die Zusammenarbeit der Polizei in der EU verbessert werden soll, der Ausbau der Befugnisse von EUROPOL, die Änderung der Voraussetzungen für die Aufnahme des genetischen Fingerabdrucks in die beim Bundeskriminalamt geführte DNA-Analyse-Datei ( 81e bis 81g StPO), der Aufbau einer Datei über reisende Gewalttäter, auch Krawall-Touristen Datei genannt, aufgrund der schrecklichen Ereignisse bei den G8-Treffen der letzten Jahre Seattle, Göteburg und jetzt Genua. Der vorgegebene Schwellenwert: Annahme eines Verdachts einer Straftat ist sehr niedrig (Beschuldigte; rechtkräftig Verurteilte; Personen, gegen die Personalienfeststellungen, Platzverweise und Ingewahrsamnahmen zur Verhinderung anlassbezogener Straftaten angeordnet wurden + Prognose) oder die Befugnis der Strafverfolgungsbehörden, Auskunft über Telekommunikationsverbindungsdaten zu verlangen nach 12 FAG 3.1 Ausbau und Einführung einer Effektivitätskontrolle, Evaluierung bestimmter Eingriffsbefugnisse Am Beispiel vor allem der Überwachungsmaßnahmen nach 100a StPO möchte ich zeigen, wie wichtig eine Effektivitätskontrolle ist. Ich schicke voraus, dass in diesem Bereich die Zahl der Überwachungsanordnungen von 1995 bis 1999 um über 170 % anstieg. Das kann nicht nur mit der Zunahme der Telefone begründet werden, denn von einer Anordnung sind zahlreiche Bürger betroffen: Um sicherzustellen, dass Telefonüberwachungen nur durchgeführt werden, wenn sie dringend notwendig sind und nicht als Standardmaßnahme eingesetzt werden, ist der Gesetzgeber gefragt. Wie bei der akustischen Wohnraumüberwachung, wo Verfassung und Gesetz Berichtspflichten festlegen, halte ich auch für den Bereich der Telefonüberwachung solche Berichtspflichten für dringend erforderlich. Der Gesetzgeber sollte darüber informiert sein, wie die Telefonüberwachung in der Praxis wirkt, wie viele Personen betroffen waren, welche Erfolge sie gebracht hat, was sie gekostet hat, und was mit den nicht mehr für das laufende Ermittlungsverfahren benötigten Daten geschieht. Eingriffsbefugnisse, die das Persönlichkeitsrecht besonders

4 beeinträchtigen, müssen hinsichtlich ihrer Wirkungen bewertet werden können, um sowohl ein Unter-als auch ein Übermaß zu vermeiden. Der Bürger muss nachvollziehen können, weshalb solche Eingriffe in seine Freiheit in einem Rechtsstaat gerechtfertigt sind. Das Bundesministerium der Justiz hat ein Forschungsvorhaben zur Evaluierung der Telefonüberwachungsmaßnahmen in Auftrag gegeben; seine Ergebnisse sollen zum Jahreswechsel 2001/2002 vorliegen. Ich hoffe, dass hiermit die Notwendigkeit zu einer solchen Berichtspflicht nachdrücklich unterstrichen wird. 3.2 Zum Entwurf einer Telekommunikationsüberwachungsverordnung: Die materiellen Voraussetzungen für die TK-Überwachung regeln die einschlägigen Vorschriften der StPO, des G10-Gesetzes sowie des AWG und nicht die TKÜV. Auch die Frage, wer die Kosten für die Überwachungstechnik zu tragen hat, wird nicht in der TKÜV geregelt. Maßgeblich für die entsprechende Verpflichtung der Betreiber von TK-Anlagen ist die Vorschrift des 88 TKG. Das Surfen im Internet darf nicht Gegenstand von TK-Überwachungsmaßnah-men sein. Nach deutschem Recht dürfen nur die folgenden über das Internet abgewickelten Dienste abgehört werden, weil es sich insoweit um TK-Dienste handelt: -Kommunikation Voice over IP (Internettelefonie) SMS (Short Message Service) Mailboxsysteme Nach dem vorliegenden TKÜV-Entwurf haben nur die Betreiber von TK-Anlagen, mittels derer TK- Dienstleistungen für die Öffentlichkeit erbracht werden, entsprechende technische Einrichtungen und organisatorische Vorkehrungen vorzuhalten. Die Betreiber von nichtöffentlichen TK-Anlagen sind demgegenüber von diesen Verpflichtungen freigestellt. Zwar verpflichtet der aktuelle TKÜV-Entwurf die Betreiber von geschlossenen Benutzergruppen nicht zur Anschaffung teurer Abhörtechnik. Gleichwohl werden damit keine abhörfeien Zonen geschaffen. Dies ist insbesondere für TK-Anlagen in Arztpraxen, Rechtsanwaltsbüros und Redaktionsbüro von Bedeutung, bei denen besondere Berufsgeheimnisse zu wahren sind. Hier besteht aus Sicht des Datenschutzes dringender Bedarf, die StPO entsprechend zu ändern. Aus Sicht des Datenschutzes ist es wichtig, dass die verpflichteten Unternehmen die vorgelegten Anordnungsbeschlüsse auf TK-Überwachung auf die Beachtung der einschlägigen formalen Vorgaben überprüfen dürfen/müssen (z.b. Angabe einer Katalogstraftat nach 100a StPO). 4. Kohls Stasi-Akten und das Stasi-Unterlagen-Gesetz Das Urteil des Verwaltungsgerichtes Berlin bestätigt den hohen Rang, den das Persönlichkeitsrecht in unserem Verfassungsverständnis hat, und zeugt beeindruckend von der Unabhängigkeit der Justiz. Ich habe mich von Anfang an gegen eine Verwendung von Stasi-Abhörprotokollen für die Zwecke des parlamentarischen Untersuchungsausschusses zur CDU-Spendenaffäre sowie gegen deren Herausgabe an die Medien oder deren Veröffentlichung durch die Stasi-Unterlagenbehörde selbst ausgesprochen. Ich habe in dieser Diskussion immer den Opferschutzgedanken des Stasi-Unterlagen-Gesetzes in den Vordergrund gestellt. Eine Unterscheidung der Stasiopfer nach ihrer Herkunft Ost oder West habe ich zu jeder Zeit abgelehnt. Die Stasi-Abhörprotokolle sind illegal entstandene Unterlagen, die nach den Grundsätzen unseres Rechtsstaates nicht hätten entstehen dürfen. Sie dürfen deshalb jetzt nicht zum Nachteil der Opfer der Praktiken des MfS genutzt werden. Ich freue mich, dass ich in meiner Haltung vom Gericht bestätigt wurde.

5 5. Zur Rolle des Datenschutzes in der Informationsgesellschaft Die Stichworte heißen hier: Einwilligung und Transparenz der Verarbeitung, Unterrichtung über Zwecke und die Methoden des Datensammelns und Werben um das Einverständnis und damit auch Werben mit der Zusage, es so zu machen, wie der Kunde es möchte. Mit anderen Worten: Datenschutz ist von einer Frage des Rechts zu einer Frage der Wirtschaft geworden. Es geht nicht mehr darum, seine Datenverarbeitung möglichst geschickt zu gestalten, um im Zweifel einen Prozess zu gewinnen, sondern man muss seine Datenverarbeitung präsentabel und für die Kunden attraktiv gestalten, um möglichst viele Kunden zu gewinnen. 6. Schaffung eines Arbeitnehmerdatenschutz Auch unsere Arbeitswelt wird zunehmend durch den Einsatz immer leistungsfähigerer Informations- und Kommunikationstechniken geprägt. Telearbeit und papierarmes Büro sind Stichworte dieser neueren Strukturen. Die Angebote von Software, die jeden Mausklick oder jede Internet- und -Adresse registriert und arbeitsplatzbezogen auswertet, werden immer häufiger sowie günstiger. Insofern ist es nicht verwunderlich, dass Fragen zum Umgang mit Daten von Arbeitnehmern vor allem im Zusammenhang mit E- Mail und Internetnutzung immer öfter gestellt werden. Ohne Zweifel führt der technische Komfort zu erleichterten Arbeitsbedingungen für die Mitarbeiter. Zugleich liegt er auch im Interesse der Arbeitgeber, die sich vom Einsatz dieser Techniken Wirtschaftlichkeits-, aber auch Rationalisierungseffekte versprechen. Der zunehmende Einsatz von Informations- und Kommunikationstechniken birgt unbestritten auch Risiken für die Persönlichkeitsrechte der Mitarbeiter in sich. Das Bundesarbeitsgericht hat bereits 1984 also zu einer Zeit, als die Informations- und Kommunikationstechnik noch in den Kinderschuhen steckte auf die Risiken für das Persönlichkeitsrecht des Arbeitnehmers durch die technisierte Ermittlung von Verhaltens- und Leistungsdaten hingewiesen. Da gesetzliche Regelungen zum Arbeitnehmerdatenschutz nach wie vor weitgehend fehlen, ist die Rechtslage aufgrund einer notwendigerweise lückenhaften, aber auch schwer zu erschließenden Rechtsprechung vielfach nicht eindeutig. Darüber hinaus erscheint es äußerst problematisch, wenn Arbeitnehmer und Arbeitgeber ihre datenschutzrechtlichen Rechte und Pflichten nach geltendem Recht weitgehend nur aus dieser Rechtsprechung ableiten können. Die Datenschutzbeauftragten des Bundes und der Länder fordern bereits seit 1984 bereichsspezifische gesetzliche Regelungen zum Arbeitnehmerdatenschutz. Der Deutsche Bundestag hat die Bundesregierung mehrfach aufgefordert, einen entsprechenden Gesetzentwurf vorzulegen, was diese bereits auch mehrfach ausdrücklich zugesagt hat. Auch in dieser Legislaturperiode hat die Bundesregierung neuerlich angekündigt, einen entsprechenden Gesetzentwurf vorzulegen, der die Entwicklung der Informations- und Kommunikationsgesellschaft arbeitsrechtlich flankieren soll. Ich halte es für dringend erforderlich, für die Arbeitnehmer und auch die Arbeitgeber endlich Rechtsklarheit und Rechtssicherheit zu schaffen.