Autor: Harald Hämmerle/ Matrikelnr: , Name durch austro mechana/akm rechtlich geschützt, Daten laut Datenverarbeitung der Datenschutzkommision

Transkript

1 wissen.vernetzen.publizieren Text mit der Signatur # verbreitet mit Unterstützung der 1

2 Umsetzung zum Datenschutzbeauftragten Rechtskommentare nach DSG 2000 Überblick Wenn wir vom Datenschutzbeauftragten sprechen, müssen wir verschiedene Funktionen auseinander halten: Es gibt neben den betrieblichen und behördlichen Datenschutzbeauftragten (also den Datenschutzbeauftragten vor Ort) auch noch Datenschutzbeauftragte der Bundesländer (meist, aber nicht immer, Landesdatenschutzbeauftragte genannt) und einen Bundesdatenschutzbeauftragten 1. Im Folgenden soll es - wenn nicht ausdrücklich etwas anderes gesagt wird - immer um den Datenschutzbeauftragten im Unternehmen oder in der Behörde (oder einer sonstigen öffentlichen Stelle) gehen. 1 So wird ein Datenschutzbeauftragter bestellt Die Vorschriften zur Bestellung eines Datenschutzbeauftragten im Unternehmen (der Gesetzgeber spricht hier immer von nicht-öffentlicher Stelle ) finden sich in 14 (1) des Datenschutzgesetzes (DSG). Im gleichen Paragraphen sind auch die Vorschriften 2 zur Bestellung eines Datenschutzbeauftragten für eine Bundesbehörde oder einer sonstigen öffentlichen Stelle des Bundes festgehalten. Hier heißt es: Rechtslage Öffentliche und nicht-öffentliche Stellen, die personenbezogene Daten 3 automatisiert erheben, verarbeiten oder nutzen, haben einen Beauftragten für den Datenschutz schriftlich zu bestellen. Nichtöffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet. Werden personenbezogene Daten noch ohne Einsatz von Datenverarbeitungsanlagen 4, also zum Beispiel durch Umgang mit Akten oder Karteikarten, erhoben, verarbeitet oder genutzt, muss nach der gleichen Rechtsvorschrift ein Datenschutzbeauftragter erst dann bestellt werden, wenn damit in der Regel mindestens 20 Personen beschäftigt sind. Achtung Die Bestellung zum/zur Datenschutzbeauftragten 5 muss schriftlich erfolgen. Erst durch die Schriftform ist die Bestellung rechtskräftig. Alle Rechte, die ein Datenschutzbeauftragter z. B. nach des Datenschutzgesetzes hat, leiten sich aus einem solchen Schriftstück ab. Was in einem solchen Schriftstück steht, ist letztlich egal. Wichtig ist neben der Bezeichnung des Unternehmens sowie dem Namen und der Adresse der auserwählten Person nur ein Satz: 1 Datenschutzbeauftragter des Bundes (Mag. Georg Lechner) 2 Datenschutzverstöße sind objektiv geeignet, dem Verletzer einen unlauteren Rechtsvorsprung vor gesetzestreuen Mitbewerbern zu verschaffen. 3 Als personenbezogene Daten werden gemäß DSG Einzelangaben über persönliche und sachliche Verhältnisse einer bestimmten oder bestimmbaren Person bezeichnet. 4 Zu den Voraussetzungen der Zustimmung nach 4 Z 14 DSG 2000 bereits OGH /147, Ob 28/01y Kontoführungsentgelte, ecolex 2001/147, 438m Anm Rabl= ÖBA 2001/977 (Kozioll=RdW 2001,531 5 Die EU-Datenschutzrichtlinie 95/46/EG enthält in Art. 18 Abs. 2 mehrere unterschiedliche Möglichkeiten für die Mitgliedsstaaten, die Meldepflicht zu vereinfachen. Der Datenschutzbeauftragte ist eine Option, die in Österreich nicht eingesetzt wurde. Stattdessen haben wir die Standard- und Musteranwendungen, und auch andere Ausnahmen von der Meldepflicht. 2

3 Hiermit werden Sie zum/zur Datenschutzbeauftragten der Firma xyz ernannt. Da eine zeitliche Befristung der Bestellung unzulässig ist, könnte eine Bestellungsurkunde etwa wie folgt aussehen: Praxis-Beispiel xyz - Dienstleistungen GmbH Datenhausen Herrn Peter Müller im Hause xyz - Dienstleistungen GmbH Datenhausen Ihre Bestellung zum Datenschutzbeauftragten 6 Sehr geehrter Herr Müller, hiermit werden Sie mit Wirkung vom 1. Januar 2006 gemäß Datenschutzgesetzes (DSG) zum Datenschutzbeauftragten der Firma xyz - Dienstleistungen GmbH bestellt. Wilhelm Meier geschäftsführender Gesellschafter der xyz - Dienstleistungen GmbH Achtung 7 Bei Behörden 89 und sonstigen öffentlichen Stellen des Bundes ist die Pflicht zur Bestellung eines Datenschutzbeauftragten immer gegeben, egal, wie groß oder wie klein die Institution auch sein mag. Dafür können aber mehrere dieser Einrichtungen einen gemeinsamen Datenschutzbeauftragten bestellen. Bei Unternehmen ( nicht-öffentlichen Stellen ) ist die Pflicht zur Bestellung eines Datenschutzbeauftragten immer dann gegeben, wenn mehr als vier Arbeitnehmer mit der Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten beschäftigt sind. Die Art des Beschäftigungsverhältnisses spielt dabei keine Rolle. Die Arbeitgeber zählen nicht mit. 2 Der Datenschutzbeauftragte in kleinen Unternehmen 6 Vgl OGH , 4 Ob 27/00z Betriebsrat aktuell, wbl 2000/187, 289, , 4 Ob 299/99w-L- Nachrichten, EvBl 2000/107= MR 2000, 107=RdW 2000/309, 349=Sz 72/201=wbl 2000/153, Keine Pflicht in ÖsterreichDie EU-Datenschutzrichtlinie 95/46/EG enthält in Art. 18 Abs. 2 mehrere unterschiedliche Möglichkeiten für die Mitgliedsstaaten, die Meldepflicht zu vereinfachen. Der Datenschutzbeauftragte ist eine Option, die in Österreich nicht eingesetzt wurde. Stattdessen haben wir die Standard- und Musteranwendungen, und auch andere Ausnahmen von der Meldepflicht. 8 Richtlinie 95/46 EG des Europäischen Parlamentes und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABL. L 281, S.31) 9 Bei Gericht wurde mit ein Verfassungsmässiger Schutz von personenbezogenen Daten Eingeführt, Verstöße gegen dieses Gesetz sind dem Datenschutzbeauftragten des Bundes, oder dem Justizministerium zu Melden. 3

4 Wichtig Kompliziert ist die Regelung für Unternehmen, die maximal vier Arbeitnehmer mit der Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten beschäftigen. Hier bestimmen eine Reihe zusätzlicher Faktoren, ob ein Datenschutzbeauftragter bestellt werden muss oder nicht. Auch hier muss immer dann ein Datenschutzbeauftragter bestellt werden, wenn eine der folgenden Voraussetzungen erfüllt ist: gesundheitliche Verhältnisse, das Sexualleben, die rassische oder ethnische Herkunft, die politische Meinung, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit. Ein Datenschutzbeauftragter muss hier aber nicht bestellt werden, wenn eine gesetzliche Verpflichtung zur Durchführung der Erhebung, Verarbeitung oder Nutzung dieser Daten vorliegt oder die Erhebung, Verarbeitung und Nutzung dieser Daten der Zweckbestimmung eines Vertrags oder eines vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient. Praxis-Beispiel 10 Automatische Verarbeitung der Daten jener Kunden einer Apotheke, die einen Antrag auf die apothekeneigene Kundenkarte gestellt haben - und die Apotheke nur vier Mitarbeiter hat. Es wird unter Einsatz von Datenverarbeitungsanlagen eine Verarbeitung von personenbezogenen Daten durchgeführt, die dazu bestimmt ist, die Persönlichkeit des Betroffenen zu bewerten, einschließlich seiner Fähigkeiten, seiner Leistung oder seines Verhaltens. 11 Praxis-Beispiel 12 Die digitale Telefonanlage eines kleinen Betriebes, die nicht nur Gespräche vermittelt, sondern auch das Telefonverhalten registriert, also etwa feststellt, wie viel Zeit die einzelnen Mitarbeiter im Durchschnitt für ein Telefongespräch benötigen. 10 Zu den Voraussetzungen der Zustimmung nach 4 Z 14 DSG 2000 bereits OGH , Ob 28/01y Kontoführung, ecolex 2001/147, 438m Anm Rabl=ÖBA 2001/977 (Kozioll=RdW 2001, Die Bestimmung der Richtlinie 95/46 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (vgl. Randnr. 90, Tenor 5) Schutz personenbezogener Daten 95/46 (vgl. Randnr. 99, Tenor 6) 95/46 Schutz der Grundrechte und Grundfreiheiten und den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten 4 Artikel 3 der Richtlinie 95/46 bestimmt über deren Anwendungsbereich: 1) Die Richtlinie gilt für ganz oder teilweise automatisierte Verarbeitung und nicht automatisierte Verarbeitung. Das gilt für Daten, die in einer Datei gespeichert werden, oder in einer Datei gespeichert werden sollen. 12 Betrifft auch Daten im Internet, unter dem Begriff Übermittlung von Daten in ein Drittland, die über ein technisches Mittel für diesen Zweck verfügen. (vgl. Randnr , 68, 71, Tenor 4 ) 4

5 Ein Datenschutzbeauftragter muss bei einer solchen Verhaltens- oder Leistungskontrolle aber ebenfalls dann nicht bestellt werden, wenn entweder eine Einwilligung aller von dem DV-Verfahren Betroffenen zur Durchführung der Erhebung, Verarbeitung oder Nutzung dieser Daten vorliegt, eine gesetzliche Verpflichtung zur Durchführung der Erhebung, Verarbeitung oder Nutzung dieser Daten vorliegt oder die Erhebung, Verarbeitung und Nutzung dieser Daten der Zweckbestimmung eines Vertrags oder eines vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient. 3 Meldepflichten bei Nichtbestellung eines Datenschutzbeauftragten Besteht aufgrund der hier angegebenen Kriterien keine Pflicht zur Bestellung eines Datenschutzbeauftragten, kann ein solches Unternehmen natürlich trotzdem einen Datenschutzbeauftragten einer entsprechend den Vorschriften von des Datenschutzgesetzes bestellt werden. Dadurch würden dann auch die umfangreichen Meldepflichten nach DSG entfallen, die sonst jeder Betrieb erfüllen muss, der keinen Datenschutzbeauftragten bestellt hat. Hinweis Wegen des Aufwandes, den diese Meldepflichten bedeuten können und der ja auch von jemandem erbracht werden muss, der etwas von der Sache versteht, ist die Bestellung eines Datenschutzbeauftragten der Erfüllung der Meldepflichten vorzuziehen. Insbesondere auch deshalb, weil dessen Fachkunde auch noch dabei helfen kann, die innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird - eine Forderung, die nach der Anlage zu DSG auch für solche Betriebe gilt, die keinen Datenschutzbeauftragten bestellen müssen. Falls man sich dennoch lieber für die Durchführung von Meldepflichten entscheiden möchte: Einzelheiten hierzu finden sich in Meldung von Datenverarbeitungen bei der Aufsicht. 4 Datenschutzbeauftragte in Behörden und sonstigen öffentlichen Stellen der Länder, und Gemeinden Index Rechte und Pflichten des Datenschutzbeauftragten in der Privatwirtschaft unterscheiden sich nicht von denen in den Bundesbehörden. Ganz anders und vor allem sehr unterschiedlich können jedoch die Vorschriften zur Bestellung eines Datenschutzbeauftragten für Behörden und sonstige öffentliche Stellen der Bundesländer, und Gemeinden aussehen. 5

6 Autor/in Matrikelnr:

7 January 20,

8 Datenschutz im Internet Wieso Datenschutz? Obschon man bei fast allen Diensten, die über das Internet verfügbar sind, nie einen Gegenüber zu Gesicht bekommt, ist man bei weitem nicht anonym, wie viele meinen. Vielmehr eignet sich das Internet gerade dazu, systematisch Daten zu erheben. Die Frage stellt sich nun: Sind die Daten, die so über jemanden zusammengetragen werden können, von so großer Tragweite, dass sie unbedingt geschützt werden müssen? 13 Geht ein einzelner Datensatz nicht in der Menge unter? Die erste Frage ist nicht leicht zu beantworten. Angenommen ein Spammer findet heraus, dass Sie sich kürzlich in ein Gästebuch auf einer PC- Support- Seite eingetragen haben, was mit einem automatischen Suchprogramm kein Problem sein dürfte. Möglicherweise wird er die Adresse mit anderen Spammern tauschen oder sie verkaufen 14, mit dem Hinweis, dass sie sich für PCs interessieren. So kann es durchaus passieren, dass Sie wegen eines Gästebucheintrages Spams pro Jahr zugeschickt erhalten. Dabei muss es nicht sein, dass er sich gerade für Ihren Datensatz interessiert, denn solche Suchprogramme können ohne weiteres vollautomatisch ablaufen. Weiter können Spammer auch große Teile des Internets oder interessante Auskunftsdienste, wie Whois- Datenbanken, Foren, Adressverzeichnisse und ähnliches automatisiert durchsuchen. Die gewonnenen Informationen 15 können Sie in einer Datenbank ablegen. Mit entsprechenden Programmen kann die Datenbank nun ausgewertet werden. Zu jedem einzelnen User kann so ein Profil erstellt werden, welche andern adressen er vermutlich kennt, welche Seiten ihn interessieren usw. Solche Informatioen können Spammer in Zukunft benützen, um Spam so zu personalisieren, dass er nicht mehr als solcher erkennbar ist. Entsprechende Programme sind dazu bereits in Entwicklung. Mit einfachen Programmen ist es möglich, jeden einzelnen Spam auf Erfolg zu überprüfen, d.h. ob der Emfpänger 16 ihn liest, ob er reagiert und sogar auch, wie lange er liest und ob er eine beworbene Seite besucht. Unter solchen Gesichtspunkten finde ich es unumgänglich, dass man einige elementare Maßnahmen zu seiner eigenen Sicherheit ergreift. 13 Gemäß 16 DSG 2000, sind Daten dem Datenregister zu Melden Formblätter dazu auf der HP Bei Verstößen gegen das DSG 16 DSG 2000 sind Strafen von Euro zu Bezahlen. 14 Franzis Bacon sagte: Knowledge, of itself, ist power. 15 Mit Beschluss vom November 2003, GZ K /024-DSK/2003, hat die Datenschutzkommission gemäß 30 Abs. 6 DSG 2000 Empfehlungen zur Herstellung und Sicherung gesetzmäßiger Verhältnisse bei der Verwendung personenbezogener Daten für Zwecke der Datenanwendung ausgesprochen. Das betrifft auch Daten, die im Internet, auf einer Homepage veröffentlicht werden. 16 Jedermann hat das recht, die Verwendung seiner Daten für Werbezwecke auszuschließen, 151 Abs. 9 GewO 1994 Eintragung in die Robinson Liste 8

9 Wo sind welche Daten im Internet? Was für personenbezogene Daten? o Bestandsdaten o Verbindungsdaten o Inhaltsdaten Wo entstehen die Daten? Auf jedem Rechner entlang des Übertragungsweges. 9

10 Mögliche Gefahrenquellen HTML- Mails Eine Grosse und selten genannte Gefahrenquelle sind HTML- s. Die meisten Clients nehmen solche HTML s standardmäßig an. Darin kann sich Code verbergen, der nach Erhalt des s 1819 mit einem Server irgendwo auf der Welt Kontakt aufnimmt und Daten zurücksendet 20, die jeden einzelnen Benutzer eindeutig identifizieren können. Mittels JavaScript oder Java ist es sogar möglich, bis auf die Sekunde genau zu bestimmen, wie lange jemand ein Mail geöffnet hält (d.h. wie lange er liest). Durch entsprechenden weiteren Code kann sichergestellt werden, dass jeder, der auf einen Link in seinem Mail klickt, eindeutig identifizierbar ist. Mittels der Cookie- Technologie kann ein User, der einmal auf einen solchen Link geklickt hat, so gebrandmarkt werden, dass er jederzeit wiedererkennbar ist, wenn er auf Server kommt, solange er den gleichen PC benutzt oder seine alten Daten auf einen neuen PC überspielt. Mit einer serverseitigen Datenbankapplikation kann also festgestellt werden, wessen adresse 21 gültig ist, wie lange jemand ein liest, ob er Links anklickt, wenn er auf dem Server ist, wie lange er welche Seiten anschaut, selbst wenn er erst nach Monaten oder gar Jahren wieder auf die Seite kommt. Wenn Spammer nun solche Daten untereinander vergleichen ist es ohne weiteres möglich, ein sehr genaues Bild über die User zu kommen Im Dokument "Empfohlene Algorithmen und Parameter für elektronische Signaturen" (.pdf, 15 KB) werden laufend Empfehlungen der Rundfunk und Telekom Regulierungs-GmbH (RTR-GmbH) und des Zentrums für sichere Informationstechnologie - Austria (A-SIT) für Algorithmen und Parameter veröffentlicht, die nach dem gegenwärtigen Stand der Technik den Erfordernissen für sichere elektronische Signaturen entsprechen. 18 Nach dem österreichischen Signaturgesetz (SigG 18(5) bzw. Art. 3(4) der EU-Signaturrichtlinie müssen die technischen Komponenten und Verfahren für die Erstellung sicherer elektronischer Signaturen nach dem Stand der Technik bescheinigt werden. Dies ist Aufgabe einer Bestätigungsstelle (SigG 19) Die weitergabe automationsunterstützt verarbeiteter Daten, etwa mittels PC oder Internet stellt gleichfalls eine Übermittlung von Daten gemäß Z 12 dar. 20 Besonders wichtig und dogmatisch sehr interessant ist der Fall, der in Art. 12 Abs 2 lit. B vorgesehen ist. Dort ist dann ein Verletzungsfall angenommen, wenn Daten einer Person gegen deren ausdrücklichen willen bearbeitet werden. Jeder Person wird also ein recht auf Selbstbestimmung über die zu schützenden Daten zugestanden, ohne dass sie ein besonderes Interesse nachweisen muss. 21 Um elektronische Signaturen auch angreifen zu können, steht ein Demonstrationswerkzeug zur Verfügung, welches Sie über den nachfolgenden Link aktivieren können: 22 Datenschutzverstöße sind objektiv geeignet, dem Verletzer einen unlauteren Rechtsvorsprung vor gesetzestreuen Mitbewerbern zu verschaffen. 10

11 23 24 Cookies Cookies sind eine leidige Sache. Entwickelt wurden sie von Netscape. Entstanden sind sie aus dem Problem, dass es für Webseiten- Entwickler extrem mühsam ist, Informationen zwischen dem Abruf von zwei Seiten zwischenzuspeichern. Das Problem tritt z.b. dann auf, wenn Sie auf dem Internet einkaufen. Wie soll das Programm zwischenspeichern, was Sie schon eingekauft haben? Natürlich gibt es andere Lösungen als Cookies, diese vereinfachen das oben genannte Problem jedoch radikal. Cookies können mit einer bestimmten Laufzeit versehen werden und werden nachher automatisch ungültig und gelöscht. Für den Online- Einkauf sind Laufzeiten von ca. einer halben Stunde sinnvoll. Problematisch wird es dort, wo die Aussteller der Cookies Laufzeiten von Jahren oder Jahrzehnten definieren. Dies bedeutet faktisch, dass das Cookie solange gespeichert bleibt, wie Ihr PC lebt. Diese Verwendungsweise der Cookies hat nichts mehr mit der Vereinfachung von Online- Shopping (eine durchaus sinnvolle Anwendung von Cookies), sondern nur noch mit gezielter Spionage zu tun. 25 Zum Thema Cookies hat der Eidg. Datenschutzbeauftragte ein Infoblatt veröffentlicht. Webformulare Eine einfache Möglichkeit für Spammer, an Daten zu kommen, sind Webformulare. Dort können Sie diverse weitere Informationen zu sich eingeben, die es dem Spammer sehr einfach machen, Daten zu erheben. Kein Wunder sind die Nutzungsbedingungen 26, die unter dem Webformular stehen, oft sehr klein gedruckt. Nicht selten steht dort mehr oder weniger deutlich, dass Informationen an Partner weitergegeben werden können. Weniger juristisch formuliert bedeutet dies, dass sich die Fira durchaus erlauben wird, die Adresse an x-beliebige Personen zu verkaufen. 23 Zu z 9 Erfassen und Speichern bedeutet die Aufnahme der Daten auf dem Datenträger; zu Z 14 Die Einwilligung muss auf einen konkreten verwendungsfall bezogen sein. Dem betroffenen muss daher klar sein, welche seiner daten verwendet werden sollen und zu welchem zweck. Einwilligung kann ausgenommen bei Verwendung sensibler Daten 9 Z 6 auch schlüssig erteilt werden. (vgl. Dammann/Simitis, EG- Datenschutzrichtlinie, Das Cookie-Konzept wurde von Netscape erdacht und war bereits in der Version 1.0 des Navigators implementiert. Die Spezifikation der Technik kann man im RFC 2109 nachlesen. Cookies ermöglichen zusammen mit dem eigentlich "zustandslosen" Hypertext Transfer Protokoll (HTTP), eine dauerhafte Verbindung zwischen dem Server und dem die Web-Seiten abrufenden Browser zu etablieren. Viele, vor allem größere Sites nutzen diese Technik intensiv, um ihren Nutzern das Navigieren zu erleichtern. Indem die Site ihrem Besucher quasi einen Stempel aufdrückt, kann sie ihn jederzeit wiedererkennen und ihm eventuell beim letzten Besuch getätigte Voreinstellungen erneut anbieten. 25 Darum sieht Art. 12 Abs. 2 lit. C vor, dass jede Bekanntgabe von besonders schützenswerten Daten an dritte eine Persönlichkeitsverletzung darstellt. 26 Diejenigen besonders schützenswerten Daten, die allgemein zugänglich gemacht worden sind, können daher im Prinzip frei bearbeitet werden. 11

12 Scanning von Newsgroups / Webseiten 27 Sehr einfach ist das Scannen von Newsgroups: Dort stehen viele Adressen auf wenig Raum. Ebenso einfach gestaltet sich das Scannen von Webseiten oder von Adressverzeichnissen. 28 Lösungansätze Leider musste ich feststellen, dass viele Mailprogramme das Ausschalten von HTML- Mails nicht mehr erlauben. Unter Linux geht dies z.b. mit KMail und Pine. Unter Windows, so wurde mir gesagt, soll z.b. Pegasus Mail diese Funktion enthalten. Zu ihrer eigenen Sicherheit sollten Sie ebenfalls die Anzeige aller aktiven Inhalte in Ihrem Mailprogramm abschalten, da diese allenfalls dazu dienen könnten, eine adresse zu verifizieren. Als weitere Maßnahme sollten Sie die Verwendung von Cookies abschalten. Diese können zwar oft hilfreich sein, leider bieten Sie aber auch zuviel Risiken für den einzelnen Nutzer. Gut gestaltete Seiten verlassen sich nicht auf Cookies, da diese dem Benutzer ein grosses Risiko aufbürden. Im äußersten Notfall können Sie die Cookies immer noch beim Besuch einer speziellen Seite kurz ein- und danach wieder ausschalten. Vor Webformularen können Sie sich ebenfalls gut schützen: Geben Sie die Adresse nur bei seriösen Unternehmen an. Seriöse Unternehmen erkennen Sie daran, dass Sie ihre Benutzungsbestimmungen nicht auf einer separaten Seite in winziger Schrift darstellen müssen. Überlegen Sie sich auch, wozu ein Anbieter die Daten, die Sie ihm angeben, brauchen kann. Das leidigste Problem ist das Scannen der Newsgroups und Webseiten. Gegen diese Art von Belästigung können Sie sich nur effektiv wehren, indem Sie dort nicht posten und Ihre E- Mailadresse nicht angeben. Dies ist jedoch keine wirkliche Lösung. Eine Möglichkeit ist die Einrichtung eines Gratisaccounts mit gut gesetzten Filtern. 27 Die elektronischen Medien einschließlich des Internet werden durch die Novelle 2005 im Mediengesetz berücksichtigt 28 In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat. 12

13 Was kann gegen den Missbrauch von Personendaten tun? Das hängt davon ab, welche Bereiche des Internets Sie gebrauchen: 29 Eine üble Marotte ist das Versenden von s an das ganze Adressenverzeichnis 30. Wie Sie vielleicht auch schon festgestellt haben, werden dabei alle adressen an jeden Empfänger 31 versandt. Es ist nicht ausgeschlossen, dass nun ein Empfänger den Inhalt lustig findet und nun seinerseits an alle ihm bekannten adressen weiterleitet. Auf diese Weise wandern E- Mailadressen weit herum zu Personen 32, die Sie nicht im entferntesten kennen. Nicht selten bieten solche Adressen ein gefundenes Fressen für irgendwelche Firmen, die nun Werbung an alle, die im stehen senden kann. Dabei liesse sich dieses Problem einfach beheben. Alle brauchbaren Mailclients bieten die Möglichkeit, E- Mailadressen als "Blind Carbon Copies" zu senden, also als blinde Kopien, kurz BCC. Das programm versendet das nun so, dass jeder Empfänger nur noch seine eigene Adresse sieht 29 Nach der maßgeblichen begriffsbestimmung des 4 Z 1 DSG werden dabei unter personenbezogenen Daten Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist verstanden. Da es bei einer meist um die Kommunikation zwischen einer Person als Empfänger, und einer anderen Person als absender geht, ist die Vorausetzung regelmäßig erfüllt (vgl. zur -Adresse: Lichtenstrasser, BG über den Datenschutz personenbezogener Daten, BGBI /165 idf I 2001/ Zu den Voraussetzungen der Zustimmung nach 4 Z 14 DSG 2000 bereits OGH /147, Ob 28/01y Kontoführungsentgelte, ecolex 2001/147, 438m Anm Rabl= ÖBA 2001/977 (Kozioll=RdW 2001, Vgl insb 7 abs. 1 DSG, der eine verarbeitung von daten nur bei rechtlicher Befugnis uns nichtverletzung der Schutzwürdigen Geheimhaltungsinteressen zulässt. 32 Als personenbezogene Daten werden gemäß DSG Einzelangaben über persönliche und sachliche Verhältnisse einer bestimmten oder bestimmbaren Person bezeichnet. 13

14 . Möglichkeit, einem Empfänger ein Mail als BCC zukommen zu lassen in Netscape Mail. Angabe fremder Adressen Schreiben Sie fremde adressen nicht grundlos auf Webseiten 33 oder in Newsgroup- Postings. Problematisch sind insbesondere Gästebücher oder Diskussionsforen. Technisch ist es durchaus möglich, dass die Absender z.b. über ein Webinterface erreicht werden können. Wenn Sie Mailinglisten, etc. betreiben: Achten Sie darauf, dass die adressen nicht auf einer Seite allesamt aufgelistet sind. Heikel ist es auch immer, wenn Sie Daten Ihrer Besucher einsammeln. Es kann zwar von Vorteil sein, viel über seine Besucher zu wissen. Gleichzeitig ist es aber auch eine Last, die Sie tragen müssen, schließlich vertrauen Ihnen die Leute, die ihre Daten angeben. Das heißt, dass Sie entsprechend für genügende Sicherheit sorgen müssen. Auf keinen Fall sollten Sie wichtige Daten im Klartext (z.b. CSV- File) über das Web abrufbar machen, auch nicht über einen "geheimen" Link. Geheime Links sind viel leichter auffindbar, als viele glauben: So erscheinen Sie z.b. in Benutzungsstatistiken Ihres Webservers. Wenn Sie von einem geheimen Link auf eine andere Seite außerhalb Ihres Webservers gehen, senden die meisten Browser die Herkunftsadresse dem nächsten Server. Dies hat zur Folge, dass Ihr geheimer Link in der dortigen Statistik als Herkunftsseite aufgeführt wird. Nun ist es nur noch eine Frage der Zeit, bis eine große Suchmaschine wie Google oder AltaVista diese Statistiken sieht. Spätestens ab dann ist Ihr geheimer Link in den grossen Suchmaschinen problemlos auffindbar. Kundendaten sollten Sie deshalb gar nicht auf einem Webserver, oberhalb des Wurzelverzeichnisses des Webservers oder zumindest passwortgeschützt lagern. Wenn Sie trotzdem einmal in einer HTML- Datei adressen angeben müssen, so können Sie überall, wo steht, diesen Code ersetzen, der ein Äquivalent ist Erfassen und Speichern bedeutet die Aufnahme der Daten auf dem Datenträger, das betrifft auch Homepages. 34 Datensicherheit: Personendaten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden. Die datenschutzkommission erlässt nähere bestimmungen über die Mindesanforderung an die Datensicherheit 14

15 Anti Spam Netzwerk- London Action Plan PDF-Datei

16 Datenschutzerklärung für Homepages, Gesetzlich Pflicht! Bei Verstößen, gegen den Datenschutz, werden Geldstrafen Verhängt Datenschutzkommission. Datenschutzerklärung (Quelle: aus dem Internet) Speicherung von Zugriffsdaten Bei jedem Zugriff eines Nutzers auf eine Seite aus dem Angebot von XYZ und bei jedem Abruf einer Datei werden Zugriffsdaten über diesen Vorgang in einer Protokolldatei auf meinem Server gespeichert. Jeder Datensatz besteht aus: der Seite, von der aus die Datei angefordert wurde dem Namen der Datei dem Datum und Uhrzeit der Anforderung der übertragene Datenmenge dem Zugriffsstatus (Datei übertragen, Datei nicht gefunden etc.) einer Beschreibung des Typs des verwendeten Webbrowsers Client IP-Adresse Die gespeicherten Daten werden ausschließlich zu statistischen Zwecken ausgewertet, eine Weitergabe an Dritte, zu kommerziellen noch zu nichtkommerziellen Zwecken, findet nicht statt. Sofern innerhalb des Internetangebotes die Möglichkeit zur Eingabe persönlicher oder geschäftlicher Daten ( -Adressen, Namen, Anschriften) besteht, so erfolgt die Preisgabe dieser Daten seitens des Nutzers auf ausdrücklich freiwilliger Basis. Auch hier werden Ihre Daten vertraulich behandelt und nicht an Dritte weitergegeben. Die Nutzer haben das Recht, auf Antrag unentgeltlich Auskunft über die über sie gespeicherten personenbezogenen Daten zu erhalten. Zusätzlich haben sie nach Maßgabe der gesetzlichen Bestimmungen ein Recht auf Berichtigung, Sperrung und Löschung dieser personenbezogenen Daten. Cookies Wir setzen keine Cookies ein. Auf verlinkten Seiten kommen möglicherweise Cookies zum Einsatz, ohne dass wir Sie darauf hinweisen können. Die meisten Browser sind so eingestellt, dass sie Cookies automatisch akzeptieren. Sie können das Speichern von Cookies jedoch deaktivieren oder Ihren Browser so einstellen, dass er Sie benachrichtigt, sobald Cookies gesendet werden. 16

17 Links zu anderen Websites Das Online-Angebot enthält Links zu anderen Websites. XYZ hat keinen Einfluss darauf, dass deren Betreiber die Datenschutzbestimmungen einhalten. XYZ ist als Anbieter für eigene Inhalte nach den allgemeinen Gesetzen verantwortlich. Von diesen eigenen Inhalten sind u.u. "Links" auf die von anderen Anbietern bereitgehaltenen Inhalte zu unterscheiden. Für fremde Inhalte, die über Links zur Nutzung bereitgestellt werden und besonders gekennzeichnet sind, übernimmt XYZ keine Verantwortung und macht sich deren Inhalt nicht zu Eigen. Für illegale, fehlerhafte oder unvollständige Inhalte sowie für Schäden, die durch die Nutzung oder Nichtnutzung der Informationen entstehen, haftet allein der Anbieter der Web-Site, auf die verwiesen wurde. Für fremde Hinweise ist die Redaktion nur dann verantwortlich, wenn sie von ihnen, d.h. auch von einem eventuellen rechtswidrigen bzw. strafbaren Inhalt, positive Kenntnis hat, und es technisch möglich und zumutbar ist, deren Nutzung zu verhindern. Ihre Fragen und Anregungen zum Thema Datenschutz ist mir sehr willkommen und wichtig. Sie können mich unter folgender Adresse erreichen: 17

18 Datenbank Um sich gegen die Übernahme von Datenbankinhalten zur Wehr zu setzen empfiehlt sich etwa folgende Formulierung vgl. 4Ob 17/02g der beklagten Partei wird aufgetragen, es bis zur Rechtskraft des über die Klage ergehenden Urteils zu unterlassen Daten zu verwerten, insbesondere Daten daraus zu speichern oder sonst zu vervielfältigen, um sie an dritte Personen weiterzugeben, für dritte zugänglich zu machen, aus diesen Daten Auskünfte zu erteilen oder diese Daten auf sonstige Weise zu verbreiten oder ähnliche Handlungen vorzunehmen, sofern sie diese Daten nicht gegen angemessenes, der klagenden Partei zufließendes Entgelt bezogen haben. 18