Persönlichkeit im Web 2.0 eine Herausforderung für den Datenschutz

Transkript

1 Autor: Wesener, Franz-Josef. Titel: Persönlichkeit im Web 2.0 eine Herausforderung für den Datenschutz. Quelle: Gernot Gehrke (Hg.): Web 2.0 Schlagwort oder Megatrend? Fakten, Analysen, Prognosen. Schriftenreihe Medienkompetenz des Landes Nordrhein-Westfalen, Band 6. München 2007, S Verlag: kopaed verlagsgmbh. Die Veröffentlichung erfolgt mit freundlicher Genehmigung des Autors und des Verlages. Die Schriftenreihe Medienkompetenz ist entstanden mit Mitteln des Landes NRW. Franz-Josef Wesener Persönlichkeit im Web 2.0 eine Herausforderung für den Datenschutz Eine Gesellschaft lebt davon, dass Menschen sie gestalten, also Meinungs- und Willensbildungsprozesse in der Öffentlichkeit ablaufen. Im Web 2.0 steht dieses Recht auf eigene Darstellung und Meinungsfreiheit bei den meisten Beiträgen im Vordergrund. Angebote und Dienste des Web 2.0 basieren darauf, dass registrierte Personen sich individuelle, persönliche Profile einrichten, sich über das Netz mit anderen Personen zu einem Freundesnetzwerk verlinken, Kommentare, Blogs, Fotos oder Videos veröffentlichen und ihre Interessen und Vorlieben beschreiben. Web 2.0 lebt also zu einem nicht unwesentlichen Teil davon, dass sehr viele persönliche Daten sorglos und häufig ohne Kenntnis der damit verbundenen Konsequenzen ins Netz gestellt werden und damit auf den Schutz der Privatsphäre verzichtet wird. Aus der Sicht des Datenschutzes erreicht Web 2.0 spätestens dann seine Grenzen, wenn persönliche Angaben Dritter ohne deren ausdrückliche Zustimmung verwendet werden. Bei allen Aktivitäten und besonders bei Veröffentlichungen ist der Datenschutz zu berücksichtigen, denn er ist Grundrechtsschutz. Das Recht auf informationelle Selbstbestimmung bedeutet, dass grundsätzlich jede Person selbst über die Preisgabe und Verwendung ihrer persönlichen Daten bestimmen kann. Dieses informationelle Selbstbestimmungsrecht ist bei allen Veröffentlichungen zu beachten. 1

2 1 Rechtsvorgaben für den Datenschutz im Internet Die rechtlichen Vorgaben für den Datenschutz bei Internetaktivitäten finden sich im Medienrecht und im allgemeinen Datenschutzrecht. Die Regelungen des Medienrechts sind immer dann anzuwenden, wenn es um die Gestaltung, Nutzung oder den Betrieb von Webangeboten geht, also um Aktionen, die auf der virtuellen Internetebene erfolgen. Das Medienrecht ist vor circa zehn Jahren entstanden. Ziel war es, trotz oder gerade wegen der sich rasant entwickelnden neuen Technologien und Medien Datenschutzregelungen zu treffen, die auf der Basis des Vertrauens die Möglichkeiten der unbeobachtbaren und anonymen oder pseudonymen Nutzung garantieren. Wird die virtuelle Ebene verlassen und geht es bei den Aktionen im Internet um Gegenstände der realen Welt, wie beispielsweise beim Einkauf von Handys oder den Abschluss von Versicherungen, so ist für diesen Teil das allgemeine Datenschutzrecht anzuwenden, da natürlich ein Kauf im Internet oder der Abschluss von Verträgen den gleichen rechtlichen Regelungen unterliegen muss wie Abschlüsse in der offline Welt. Insgesamt sind folgende Grundregeln zu beachten: Umfassende Unterrichtung der Nutzerinnen und Nutzer zur Schaffung einer hohen Transparenz Nutzerinnen und Nutzer müssen vor der Erhebung von Daten über Art, Umfang, Zweck und Dauer der Verarbeitung und Nutzung personenbezogener Daten hinreichend informiert werden. Wird eine elektronische Einwilligung angeboten, ist diese zu protokollieren und so abzulegen, dass Nutzerinnen und Nutzer sich jederzeit über den Inhalt der Unterrichtung informieren können. Ein Verzicht auf die Unterrichtung ist zwar möglich, darf aber nicht als Einwilligung in eine Datenverarbeitung gedeutet werden. Um den spezifischen Risiken im Netz Rechnung zu tragen, ist die Unterrichtungspflicht auch auf Verfahren ausgedehnt worden, die eine spätere Identifizierung der Nutzerin oder des Nutzers ermöglichen (wie beispielsweise bei der Ablage von Cookies) und eine Erhebung, Verarbeitung oder Nutzung personenbezogener Daten vorbereiten. Dies zieht zwangsläufig die Notwendigkeit nach sich, für den Einsatz von Cookies Einwilligungen einzuholen. 2

3 Datensparsamkeit und Datenvermeidung Nach dem Grundsatz der Datensparsamkeit und Datenvermeidung, der inzwischen im Bundesdatenschutzgesetz verankert ist und auch im Online-Bereich gilt, hat sich bereits die Gestaltung und Auswahl technischer Einrichtungen und Verfahren für Teledienste an dem Ziel auszurichten, keine oder so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten und zu nutzen. Design und Entwicklung technischer Systeme sind demnach so zu gestalten, dass eine Speicherung personenbezogener Daten nur dann und auch nur in dem Umfang erfolgt, wie es zwingend zur Abwicklung der geplanten Geschäftsprozesse notwendig ist. Damit wird der Grundsatz der Datensparsamkeit und Datenvermeidung, der im Übrigen den besten Datenschutz darstellt, bereits in die Gestaltung und Auswahl der technischen Komponenten einbezogen. Kostspielige Nachbesserungen können auf diese Weise vermieden werden. Anonyme und pseudonyme Nutzung Aufgrund der Allgegenwärtigkeit von Telekommunikation und Mediendiensten im täglichen Leben nimmt das Recht auf unbeobachtbare und anonyme oder zumindest pseudonyme Nutzung dieser Dienste einen hohen Stellenwert ein. Diese Möglichkeit Aktivitäten auszuüben, ohne Spuren zu hinterlassen, ist in der Offline-Welt für uns (noch) selbstverständlich. Um sie auch in der virtuellen Welt zu erhalten, ist deshalb so lange auf die Erhebung personenbezogener Daten zu verzichten, wie diese Daten nicht zwingend für Vertragsverhältnisse benötigt werden. Verfahren gelten dann als datenschutzfreundlich oder auch den Datenschutz fördernd, wenn sie (weitgehend) ohne die Erhebung und Verarbeitung personenbezogener Daten auskommen und eine anonyme oder pseudonyme Nutzung der Online-Angebote erlauben. Ein Klassiker alter Art ist die Telefonzelle, die durch das Einwerfen von Münzen oder die Verwendung von Telefonkarten vollständig anonym genutzt werden kann. Der Begriff datenschutzfreundlich wurde geschaffen, um aufzuzeigen, dass durch eine geeignete Gestaltung der Technik Datenschutz realisiert werden kann. Erstellung von Nutzungsprofilen Informiert werden muss auch darüber, wenn Nutzungsprofile erstellt werden sollen. Diese dürfen ohnehin nur bei Verwendung von Pseudonymen und zu einzeln festgelegten Zwecken angelegt werden. Diese Zwecke sind abschließend benannt und bestehen in 3

4 Werbung, Marktforschung oder einer bedarfsgerechten Gestaltung des Teledienstes. Nutzungsprofile dürfen keinesfalls mit Daten über die Trägerin oder den Träger des Pseudonyms zusammengeführt werden. Die Nutzenden können der Erstellung von Profilen widersprechen. Vertrauliche Nutzung Angebote von Telediensten sind so zu gestalten, dass sie gegen die Kenntnisnahme Dritter geschützt in Anspruch genommen werden können. Dies bedeutet, dass bei Webanwendungen unbefugte Zugriffe auf Daten Dritter oder gar Manipulationen wirksam verhindert werden müssen. Weiter ist es erforderlich, dass auf den Netzverbindungen eine Verschlüsselung erfolgt, um ein Ausforschen auf den Übertragungswegen zu verhindern. Auskunftsrecht Nutzerinnen und Nutzer von Internetdiensten haben das Recht auf Auskunft über die zu ihrer Person gespeicherten Daten sowie einen Anspruch auf Berichtigung, Löschung oder Sperrung ihrer Daten. Um diese Rechte im Internet überhaupt wahrnehmen zu können, sind ein aussagefähiges Impressum und ein zentraler Auskunftsdienst über vergebene Domains von großer Bedeutung. Das Impressum muss leicht erkennbar und unmittelbar erreichbar sein. Der Inhalt ist gesetzlich vorgegeben und muss eindeutige Adressangaben und Vertretungsberechtigte beinhalten. 2 Überwachung und Spuren im Netz Die Risiken und Nebenwirkungen einer Nutzung des Internet sind mittlerweile größtenteils bekannt. Sie betreffen sowohl Datenschutz als auch Datensicherheitsfragen. Wer sich im Internet bewegt oder über das Internet kommuniziert, hinterlässt immer auch elektronische Spuren. Mit verhältnismäßig geringem Aufwand ist es möglich, diese Spuren auszuwerten und festzustellen, wer sich wie oft und wie lange wo aufgehalten und mit wem worüber kommuniziert hat. Derzeit dürfen Internetanbieter Verbindungs- und Nutzungsdaten, also die Steuerungsdaten der Kommunikation über die Dauer der Kommunikation hinaus nur dann speichern, wenn dies für die Inanspruchnahme und Abrechnung der Teledienste erforderlich ist. Eine Verpflichtung zur Speicherung von Verbindungsdaten tritt allerdings dann ein, wenn das geplante Gesetz zur 4

5 Vorratsdatenspeicherung verabschiedet ist, das auch alle Internetprovider und Anbieter verpflichtet, diese Daten für mindestens sechs Monate vorzuhalten. Zwar dürfen die Daten nur für die im Gesetz festgelegten Zwecke, bei schweren Straftaten und Terrorverdacht an die für die Verfolgung zuständigen Stellen weitergegeben werden und eine Nutzung für andere Zwecke, beispielsweise als Nachweise für den Verstoß gegen Urheberrechte, ist nicht vorgesehen und wird hoffentlich auch in Zukunft nicht erlaubt. Trotzdem bestehen gegen dieses Gesetz allergrößte Bedenken, weil es zu einer weiteren Aushöhlung des Telekommunikationsgeheimnisses führt und die unbeobachtbare Nutzung des Internets noch mehr einschränkt. Die klassische und auch leichteste Spurensuche kann allerdings immer noch über Suchmaschinen erfolgen. Einmal ins Internet eingestellte Daten verbleiben häufig sehr lange Zeit im Netz, sind weltweit abrufbar und über Suchmaschinen auswertbar. Dies ermöglicht das Zusammenführen von Informationen aus den unterschiedlichsten Quellen. Ohne viel Aufwand können Persönlichkeitsprofile erstellt werden. Ein weiteres Problem ist, dass die Betroffenen die Herrschaft über ihre eigenen Daten verlieren, da nicht mehr beurteilt werden kann, wo letztlich welche Daten gespeichert sind. Gerade weil über Internetbeiträge und -veröffentlichungen auch auf Gewohnheiten und Vorlieben geschlossen werden kann, sind diese Spuren besonders sensibel. Nach Presseinformationen durchsuchen 28% der Personalberatungsgesellschaften auch das Internet. Gewarnt wird deshalb davor, Beiträge in unseriöse Quellen einzustellen. Im Internet fänden sich zu häufig Einträge, die nicht kontrollierbar sind, obwohl die Erstellung eigener Homepages auch positiven Einfluss haben kann. 3 Datenschutz im Web 2.0 Die Rechtsvorgaben für den Datenschutz im Internet sind auf Datensparsamkeit, Datenvermeidung und Transparenz ausgelegt. Sowohl Weblogs als auch Chats und Foren werden genutzt, um öffentliche Diskussionen anzustoßen oder Kommentare ins Internet zu stellen. Bei diesen Diensten handelt es sich zwar um unterschiedliche Nutzungsformen, aus der Sicht des Datenschutzes ist aber allen gemeinsam, dass neben den Angaben zur eigenen Person häufig auch personenbezogene Daten Dritter tangiert 5

6 sind, Pseudonyme aufgedeckt und auch immer wieder Daten von Menschen veröffentlicht werden, die damit nicht einverstanden sind oder gar nichts von dieser Veröffentlichung wissen. Hierdurch wird massiv gegen das Recht auf informationelle Selbstbestimmung verstoßen. Eine Veröffentlichung personenbezogener Daten im Internet ist datenschutzrechtlich eine Verarbeitung personenbezogener Daten. Der Verarbeitung liegt in diesen Fällen eine Übermittlung an Dritte zugrunde. Gestattet ist diese Übermittlung nur, wenn das Datenschutzrecht dies erlaubt oder alle Betroffenen eingewilligt haben. Liegt für die Daten Dritter eine Einwilligung nicht vor, ist bei der Veröffentlichung dieser Daten im Internet zwischen der Meinungsfreiheit der Autorinnen und Autoren und dem allgemeinen Persönlichkeitsrecht der Betroffenen abzuwägen. Die Abwägung führt dabei in fast allen Fällen dazu, dass die Daten nicht ins Internet eingestellt werden dürfen, da das Persönlichkeitsrecht der Betroffenen erheblich beeinträchtigt wird. Die Veröffentlichung personenbezogener Daten Dritter im Internet ohne Einwilligung der Betroffenen hat also zu unterbleiben, da die Folgen nicht abschätzbar sind. Stehen Daten bereits im Internet, besteht selbstverständlich einen Löschungsanspruch. Typische Beschwerden entstehen dadurch, dass lediglich vermeintliche Einwilligungen vorliegen und persönliche Beziehungen zerbrechen. So können ins Netz gestellte Reiseberichte ehemaligen Partnerinnen und Partnern ein Dorn im Auge werden und sie veranlassen, ihre (vielleicht) erteilte Einwilligung zu widerrufen und ihren Löschungsanspruch geltend zu machen. Ähnliche Probleme können entstehen, wenn Familienereignisse oder auch Stammbäume, Jahrestreffen oder sonstige private Anlässe mit Daten oder Bildern Dritter im Internet veröffentlicht werden. Wegen der Vielzahl der personenbezogenen Informationen, die ins Internet gestellt werden, ist die Entwicklung des Web 2.0 durchaus kritisch zu sehen. Einmal ins Netz eingestellte Daten sind mit dem Zeitpunkt der Einstellung öffentlich verfügbar. Sie sind digital kopierbar, können beliebig vervielfältigt aber auch verändert werden. Damit sind sie faktisch nicht mehr sicher rückholbar. Ist eine Information einmal im Netz, ist sie möglicherweise immer im Netz, ob in der ursprünglichen Form oder verfälscht, ist ungewiss. Ein weiterer Aspekt ist die Rolle des Providers. Ihm werden alle Daten anvertraut. Er ist für die Speicherung aber auch für den Schutz der Daten verantwortlich. 6

7 Über ihn werden alle Aktivitäten, wie die Erstellung neuer Blogs oder die Kommunikation mit Freunden, abgewickelt. Er kennt also alle Bewegungen im Netz und ist in der Lage, sein Geschäftsmodell darauf einzustellen. Umso wichtiger ist es, ihn und seine Geschäftbedingungen genau unter die Lupe zu nehmen. Als Allererstes ist zu berücksichtigen, dass fast alle Web 2.0 Plattformen kostenfrei und in der Regel werbefinanziert sind. Die Betreiber haben demnach ein vitales Interesse daran, Neigungen und Gewohnheiten ihrer Kundinnen und Kunden zu kennen und sich diese für die Platzierung von Werbeeinblendungen zunutze zu machen. Um dies zu erreichen, müssen sie so weit wie möglich Interaktionen im Netz zuordnen können. So geben Betreiber auch unumwunden zu, dass sie mit Hilfe von Cookies Sitzungsinformationen aufzeichnen, um Präferenzen von Nutzenden herauszufinden und zielgenau Werbung platzieren zu können. Wenn dann noch die Plattform so gestaltet ist, dass Angebote ohne die Zulassung von Cookies erst gar nicht genutzt werden können und es Werbefirmen erlaubt ist, nach eigenen, geheim gehaltenen Regeln, Auswertungen vorzunehmen, dann ist der gläsernen Nutzung schon sehr weit zugestimmt. Ähnliches gilt für die Nutzung der ins Netz gestellten -Adresse. Web 2.0 funktioniert ja gerade so, dass Kontakte auch über geknüpft werden. Eine Freigabe der Mail- Adresse bedeutet aber gleichzeitig, dass diese genutzt werden kann und mir damit unaufgefordert und teilweise auch unerwünscht s zugesandt werden. Eine eigene Kontrolle ist kaum möglich und Einschränkungen durch SPAM sind sicherlich nur schwer einzudämmen. Auch Services der Betreiber, wie das eigene Erfassen von Adress- und Profildaten, um eine bessere Kommunikation und das leichtere Auffinden Gleichgesinnter zu erreichen, sind zumindest mit Vorsicht zur Kenntnis zu nehmen, da hier ein hohes Missbrauchsrisiko besteht. Dies gilt besonders für Betreibergesellschaften, deren Firmensitz in einem Land liegt wie beispielsweise den USA, die kein so hohes Datenschutzniveau besitzen wie die Staaten der EU. Da derzeit eine Reihe von Web 2.0 Anbietern ihren Firmensitz in den USA hat, ist der mögliche Datenschutz hier durchaus kritisch zu sehen. 7

8 4 Identitätsmanagement als Schutz der Persönlichkeit Inhalt, Gestaltung und Technik von Web 2.0 beinhalten eine mehr oder minder große Preisgabe von Informationen zur Persönlichkeit. Dadurch, dass die Daten auf den Plattformen der Betreiber gespeichert werden, sind sie im Weiteren durch die Nutzenden nur begrenzt selbst bestimmbar und selbst kontrollierbar. Datenschutzgerechte Systeme sollten jedoch so aufgebaut sein, dass das informationelle Selbstbestimmungsrecht nicht aus der Hand gegeben werden muss. Eine Hilfe hierzu wäre ein Identitätsmanagement, das eigenverantwortliche Schutzmöglichkeiten zu Persönlichkeitsprofilen bietet. Unter Identitätsmanagement wird hierbei verstanden, dass in Abhängigkeit von den eingenommenen oder gewünschten Rollen nur die Informationen preisgegeben werden, die zur Nutzung der Rollen erforderlich sind. In der realen Welt werden diese Möglichkeiten intuitiv genutzt. Gibt man im Freundeskreis schnell sehr persönliche Dinge von sich preis, ist man im Beruf und Geschäftsleben schon zurückhaltender und macht nur die Angaben zu Namen, Funktionen und Umfeld, die erforderlich sind, um Tätigkeiten oder Geschäfte ausüben zu können oder in Kontakt zu Geschäftspartnern oder Kunden treten zu können. Was aber ist datenschutzgerechtes Identitätsmanagement im Internet und wie soll es funktionieren? Technisch basiertes Identitätsmanagement soll die Nutzenden von Internetdiensten dabei unterstützen, die für die verschiedenen Anwendungen erforderlichen Daten zu verwalten und bei Bedarf selbstbestimmt die im speziellen Fall notwendigen Daten freizugeben. Hierzu gehören auch der Einsatz und die Verwendung von Pseudonymen. Aus der Sicht des Datenschutzes ist es von besonderer Bedeutung, dass die Identitätsdaten nicht an externe Anbieter weitergegeben werden müssen, die die Verwaltung und Freigabe erledigen, da sich hiermit automatisch die Frage nach dem Vertrauen in die Anbieter stellt. In Deutschland beschäftigt sich mit dem Thema eines datenschutzfreundlichen Identitätsmanagements das Unabhängige Landeszentrum für Datenschutz Schleswig- Holstein, das beispielsweise an dem EU-Projekt PRIME (Privacy and Identity Management for Europe) mitarbeitet. Hierbei geht es darum, Lösungen zu erforschen und zu entwickeln, die es Menschen ermöglichen, selbst die Kontrolle über ihre Privatsphäre im Cyberspace zu übernehmen. Entwickelt sich das Identitätsmanagement erfolgreich, 8

9 bietet es sicherlich Möglichkeiten, sich geschützter im Netz zu bewegen. Umsetzung und Einsatz solcher Dienste im Web 2.0 bleiben allerdings abzuwarten. 5 Gefährdet Web 2.0 den Persönlichkeitsschutz? Insgesamt bleibt festzustellen, dass die Datenschutzanforderungen, die sich aus der Nutzung des WEB 2.0 ergeben, nicht neu sind. Auch die im WEB 1.0 vorhandenen Chats, Foren und privaten Homepages können bereits über Neigungen, Interessen und Freundeskreise Auskunft geben. Qualität und Intensität der Netznutzung haben allerdings durch Bereitstellung leicht bedienbarer Erstellungssoftware und auch durch die immense Zunahme der Leistungsfähigkeit des Netzzugangs sowie der Netzwerkkomponenten erheblich zugenommen und werfen damit eine Vielzahl neuer Fragen auf. Ein Hauptproblem besteht sicherlich darin, dass viele Nutzerinnen und Nutzer sehr unbedarft ihre Informationen ins Netz stellen und sich über die Konsequenzen nicht im Klaren sind. Insofern ist das Web 2.0 eine Herausforderung für den Datenschutz, der darüber informieren muss, welche Nutzungsrisiken bestehen, welche Rechte die Einzelnen haben, welche Schutzmöglichkeiten sie nutzen sollen, aber auch was sie beachten müssen, um nicht gegen Rechte Dritter zu verstoßen. Erinnert sei an dieser Stelle noch einmal an die Datenschutzregelungen im Medienrecht. Diese bieten ein hohes Schutzniveau, das nicht leichtfertig preisgegeben werden sollte. Bevor Informationen ins Netz gestellt werden, sollte hinterfragt werden, welche Datenschutzrechte die Plattformbetreiber gewährleisten und auf welche Rechte man verzichten muss, um die Dienste nutzen zu können. Ein weiteres, wesentliches Ziel des Datenschutzes ist es, für ein Mediennutzungsgeheimnis einzutreten, um eine weitere Aushöhlung des Telekommunikationsgeheimnisses zu verhindern. Die intensive Nutzung des Internets macht es immer mehr erforderlich, für alle Kommunikationsdaten einen ähnlich hohen Schutz wie bei den Telekommunikationsdaten zu gewähren. 9

10 Alle Rechte, insbesondere das Recht der Vervielfältigung und Verbreitung sowie der Übersetzung, vorbehalten. Kein Teil des Werkes darf in irgendeiner Form (durch Fotokopie, Mikrofilm oder ein anderes Verfahren) ohne schriftliche Genehmigung des Rechteinhabers reproduziert oder unter Verwendung elektronischer Systeme weiterverarbeitet, vervielfältigt oder verbreitet werden. 10