14. Jahrgang, Heft 4, Dezember 2014

Transkript

1 14. Jahrgang, Heft 4, Dezember 2014 Schwerpunkt: Tracking fokus: Der «betreute» Mensch fokus: Tracking im Internet und Selbstdatenschutz report: Recht auf Vergessen bei Suchmaschinen Herausgegeben von Bruno Baeriswyl Beat Rudin Bernhard M. Hämmerli Rainer J. Schweizer Günter Karjoth

2 inhalt fokus Schwerpunkt: Tracking auftakt Niemand entkommt dem totalen Blick von Aurel Schmidt Seite 133 Tracking und was man dagegen tun kann von Beat Rudin Seite 136 Der betreute Mensch von Günter Karjoth Seite 138 Tracking im Internet und Selbstdatenschutz von Norbert Pohlmann Seite 144 Notwehr oder notwendiger Ungehorsam? von Dominik Herrmann Seite 150 Tracking rechtliche Standortbestimmung von Roland Mathys/ Christian Meier Seite 156 Tracking im Internet durch Geheimdienste, aber auch durch die IT-Marktführer aus den USA, die es mit dem Datenschutz und unserer Privatsphäre nicht so genau nehmen. Die Politik scheint mit dieser globalen Herausforderung überfordert zu sein. Mit welchen IT- Sicherheitsstrategien und IT-Sicherheitsmassnahmen können die Nutzer selber das Risiko eines Schadens reduzieren? Durch Techniken zum Selbstdatenschutz können sich Nutzer vor der Überwachung durch übermächtige Staaten und Konzerne schützen. Darüber hinaus eignen sie sich jedoch auch als Werkzeug zur Ausübung zivilen Ungehorsams, also als Mittel zum Protest gegen die allgegenwärtige Überwachung im Internet. Tracking im Internet und Selbstdatenschutz Notwehr oder notwendiger Ungehorsam? Mittels Tracking werden Personendaten in grosser Zahl gesammelt und bearbeitet, wobei Bearbeitungszwecke und Datenempfänger oft unklar bleiben. Was ist beim Einsatz von Tracking zu beachten und wie kann sich der Einzelne gegen unerwünschtes Tracking wehren? Tracking rechtliche Standortbestimmung impressum digma: Zeitschrift für Datenrecht und Informationssicherheit, ISSN: , Website: Herausgeber: Dr. iur. Bruno Baeriswyl, Prof. Dr. iur. Beat Rudin, Prof. Dr. Bernhard M. Hämmerli, Prof. (em.) Dr. iur. Rainer J. Schweizer, Dr. Günter Karjoth Redaktion: Dr. iur. Bruno Baeriswyl und Dr. iur. Beat Rudin Rubrikenredaktorin: Dr. iur. Sandra Husi-Stämpfli Zustelladresse: Redaktion digma, c/o Stiftung für Datenschutz und Informationssicherheit, Postfach 205, CH-4010 Basel Tel. +41 (0) , Erscheinungsplan: jeweils im März, Juni, September und Dezember Abonnementspreise: Jahresabo: CHF , Einzelheft: CHF Anzeigenmarketing: Publicitas Publimag AG, Mürtschenstrasse 39, Postfach, CH-8010 Zürich Tel. +41 (0) , Fax +41 (0) , Herstellung: Schulthess Juristische Medien AG, Arbenzstrasse 20, Postfach, CH-8034 Zürich Verlag und Abonnementsverwaltung: Schulthess Juristische Medien AG, Zwingliplatz 2, Postfach, CH-8022 Zürich Tel. +41 (0) , Fax +41 (0) , digma

3 Recht auf Vergessen bei Suchmaschinen Auftragsdatenbearbeitung zum Vierten Im Urteil des Europäischen Gerichtshofes vom 13. Mai 2014 zu Google Search wird die Anwendbarkeit des EU-Datenschutzrechts auf Google Spain festgehalten und ein Recht auf Vergessen anerkannt. Allerdings wäre eine sorgfältigere Abwägung zwischen Meinungsfreiheit und Datenschutz äusserst wünschenswert gewesen. Auftragsdatenbearbeitung zum Vierten Der vierte und abschliessende Teil widmet sich der Ausgestaltung und dem Inhalt der datenschutzrechtlichen Regelungen, die unmittelbar von der konkreten Risikolage des Einzelfalls abhängen. Die Autorin stellt die risikotreibenden Faktoren zusammen, zeigt Lösungsansätze auf und stellt eine Checkliste zur Verfügung. report Rechtsprechung Recht auf Vergessen bei Suchmaschinen von Kurt Pärli Seite 162 agenda Seite 167 Recht Auftragsdatenbearbeitung zum Vierten von Barbara Widmer Seite 168 Forschung «Micropayment»: IT-Security & IT-Risk von Ralf Mock/ Tomas Hruz Seite 180 «Micropayment»: IT-Security & IT- Risk Big Mother im Kinderzimmer Bei Micropayment geht es um die Möglichkeit, im Internet kleinste Beträge bezahlen zu können. Solche Systeme müssen einfach und angemessen sicher sein. Der Beitrag stellt die Weiterentwicklung eines solchen Bezahldienstes in einer Kooperation zwischen Fachhochschule und einem Industriepartner dar. Nicht nur Geheimdienste und Werbewirtschaft «bemuttern» uns. Auch mit der Angst der Mütter und Väter lassen sich gute Geschäfte machen die Datensammelwut beginnt im Kinderzimmer forum privatim Aus den Datenschutzbehörden von Sandra Husi-Stämpfli Seite 184 Der Blick nach Europa und darüber hinaus Was tun, wenn Rechtsunsicherheit droht? von Barbara Widmer Seite 186 schlusstakt Big Mother im Kinderzimmer von Beat Rudin Seite 188 cartoon von Reto Fontana Potentes Tracking Wozu Tracking im Alltag führen kann, zeigt unser Cartoonist Reto Fontana anschaulich. digma

4 fokus Tracking rechtliche Standortbestimmung Wie Standort- und Verhaltensinformationen analysiert werden und welche Regeln dabei zu beachten sind Roland Mathys, lic. iur. et lic. oec. publ., LL.M. (LSE), Rechtsanwalt, Schellenberg Wittmer AG, Zürich swlegal.ch Christian Meier, lic. iur., LL.M., Rechtsanwalt, Schellenberg Wittmer AG, Zürich swlegal.ch Tracking ist das Wort der Stunde für die Werbeindustrie und für Datenschützer. Doch was genau umfasst der Begriff und welchen Regeln untersteht Tracking in der Schweiz? T racking steht für verschiedene Technologien, die zur Aufzeichnung und Analyse des Standorts, der Bewegungen und des Verhaltens von Personen dienen. So vielfältig wie die zum Einsatz kommenden Technologien sind auch die Einsatzbereiche von Tracking. Tracking Heute werden im Wesentlichen die folgenden Tracking-Methoden zu den folgenden Zwecken verwendet: n Web Tracking: Bezieht sich auf das Erfassen und Auswerten des Surf-Verhaltens von Website-Besuchern, wobei die gewonnenen Daten hauptsächlich für gezielte Werbung verwendet werden. Zu diesem Zweck werden die Log-Dateien auf dem Server der aufgerufenen Webseite ausgewertet 1 oder kleine Textdateien, sogenannte Cookies, auf dem Computer des Besuchers gespeichert, die bei jedem Aufruf einer Seite an den Server übermittelt werden. Neben Cookies werden neuerdings auch Technologien wie «browser fingerprinting» oder «canvas fingerprinting» eingesetzt, die Website- Besucher anhand der Konfiguration ihres Web-Browsers oder anderer Soft- und Hardwarekomponenten ihres Computersystems identifizieren 2. Häufig wird das Tracking von spezialisierten Drittanbietern übernommen, die Benutzer über Webseiten verschiedener Anbieter hinweg verfolgen 3. n Mobile Tracking: Bestimmen der Position und Bewegungen einer Person mithilfe eines Endgeräts, typischerweise eines Mobiltelefons oder Tablet Computers, mittels Satelliten (GPS), Mobilfunkortung oder anderer Technologien 4. Die Daten werden für eine Vielzahl von Diensten verwendet, insbesondere für Navigationsdienste, Touristenführer, Friend-Finder, Partner- oder Kinderortung und für Notfalldienste 5. n Videobasiertes Tracking: Mit Kameras oder anderen optischen Sensoren wird die Position von Personen oder Objekten erfasst. Gewisse Systeme können auch personenbezogene Merkmale wie Gesichtsdaten erfassen und machen es möglich, die erfassten Personen in Kategorien wie Alter, Geschlecht oder Ethnie einzuteilen. Die so gewonnenen Daten können für verschiedene Anwendungen genutzt werden, etwa zur effizienten Steuerung von Verkehrsund Personenströmen, für die Analyse von Kundenverhalten sowie zu Marketing- und anderen Zwecken 6. n RFID Tracking: Basiert auf einem Transponder, dem RFID-Tag, der an einem Produkt angebracht wird und Daten enthält. Die Daten können von einem Lesegerät über Funk (auf kurze und mittlere Distanzen) ausgelesen und verändert werden. RFID-Systeme werden vor allem im Supply Chain Management, in der Logistik, im Rahmen von Identifikations- und Zugangskontrollen (Ticketing) sowie zur Bestandskontrolle in Warenhäusern und zur Artikelüberwachung eingesetzt 7. Rechtlicher Rahmen Datenschutzgesetz 8 Das Datenschutzgesetz (DSG) regelt die Bearbeitung von Personendaten durch private Personen und Bundesorgane 9. Unter Personendaten werden sämtliche Angaben verstanden, die sich auf eine bestimmte oder bestimmbare (natürliche oder juristische) Person beziehen 10. Im Kontext von Tracking können insbesondere die folgenden Informationen als Personendaten qualifizieren: n IP Adressen/Cookies: Gemäss dem «Logistep»-Urteil des Bundesgerichts muss von Fall zu Fall bestimmt werden, ob bei IP-Adressen ein Personenbezug besteht; dies sei aus Sicht des jeweiligen Inhabers der Adresse zu ent- 156 digma

5 scheiden 11. IP-Adressen sind jedenfalls dann Personendaten, wenn sie mit anderen personenbezogenen Informationen wie Name, Adresse oder Kundennummer verknüpft werden können. Gleich verhält es sich mit Cookies, die als Personendaten qualifizieren, wenn sie mit Angaben verbunden werden können, die auf eine bestimmte Person schliessen lassen 12. n Positionsdaten: Falls der Anbieter des auf Positionsdaten basierenden Dienstes die Positionsdaten mit personenbezogenen Daten verknüpfen kann, wie etwa den Angaben eines Benutzerkontos, die einen Personenbezug zulassen, handelt es sich bei Positionsdaten um Personendaten. Soweit Positionsdaten über das Mobilfunknetz ermittelt werden, stellen sie jedenfalls für den Mobilfunkanbieter Personendaten dar, da diesem die Identität des betreffenden Mobilfunk-Abonnenten bekannt ist 13. n Videoaufzeichnungen: Sofern Videoaufzeichnungen sich auf eine bestimmte Person beziehen oder sofern diese Person aufgrund der Aufzeichnungen oder anderweitig bestimmbar ist 14, handelt es sich bei den Aufzeichnungen um Personendaten. n RFID-Daten: RFID-Daten können als Personendaten qualifizieren, wenn die mit RFID-Tags gekennzeichneten Produkte einer Person zugeordnet werden können. Dieser Bezug kann etwa durch Verknüpfung dieser Daten mit einem Kundenkonto oder einer Kundenkarte geschehen 15. Bei der Bearbeitung von Personendaten sind insbesondere die folgenden Grundsätze des DSG zu beachten: n Erkennbarkeit: Für die betroffenen Personen muss die Erhebung ihrer Daten erkennbar sein. Sofern die Erhebung und deren Zweck für die betroffenen Personen nicht ohne Weiteres erkennbar sind, müssen diese darüber informiert werden 16. n Zweckbindung: Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist. n Einwilligung: Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt 17. n Verhältnismässigkeit: Es sind nur diejenigen Personendaten zu erheben, die für die Aufgabenerfüllung erforderlich sind; es ist wenn möglich mit Pseudonymen oder mit anonymisierten Daten zu arbeiten. n Datensicherheit: Die Vertraulichkeit, Integrität und Verfügbarkeit der Daten müssen durch So vielfältig wie die zum Einsatz kommenden Technologien sind auch die Einsatzbereiche von Tracking. angemessene technische und organisatorische Massnahmen sichergestellt werden. Enthalten die gesammelten Informationen besonders schützenswerte Personendaten, wie Hinweise auf die politische Einstellung, Weltanschauung, Religion oder Gesundheit, oder lassen die gesammelten Daten Rückschlüsse auf wesentliche Aspekte der Persönlichkeit der betroffenen Personen zu und qualifizieren demnach als Persönlichkeitsprofile, gelten strengere Regeln hinsichtlich der Information der betroffenen Personen, der Zustimmung und der Weitergabe der Daten. Die regelmässige Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen kann zudem eine Registrierungspflicht für Inhaber von Datensammlungen mit Sitz oder Wohnsitz in der Schweiz auslösen. Fernmeldegesetz Das Fernmeldegesetz (FMG) schränkt die Verwendung von Standortdaten durch Fernmeldedienstanbieter (FDA) ein. Diese dürfen die Daten grundsätzlich nur zur Erbringung der Fernmeldedienste und zu Abrechnungszwecken bearbeiten. Für andere Dienste dürfen sie die Daten nur in anonymisierter Form oder mit vorgängiger Einwilligung der Kunden bearbeiten 18. Die Einschränkung gilt indessen nicht für Drittanbieter ortsbasierter Dienste, und ihre praktische Relevanz ist entsprechend gering. Das FMG enthält überdies in Art. 45c lit. b eine Spezialregelung für die Verwendung von Kurz&bündig Tracking wird immer häufiger als Methode eingesetzt, um Personen zu lokalisieren und ihr Verhalten zu analysieren. Dabei kommen verschiedene Technologien zur Anwendung, die für den Einzelnen nicht immer leicht erkennbar sind und denen er sich nur schwer entziehen kann. Tracking stellt Segen und Fluch zugleich dar: Zwar kann es angenehm sein, in einem Kaufhaus vor dem Regal auf Sonderangebote via Mobiltelefon hingewiesen zu werden. Jedoch werden mittels Tracking Personendaten in grosser Zahl gesammelt und bearbeitet, wobei Bearbeitungszwecke und Datenempfänger oft unklar bleiben. In diesem Beitrag wird Tracking aus datenschutzrechtlicher Optik näher beleuchtet. Die wichtigsten Technologien werden einleitend vorgestellt, und der rechtliche Rahmen wird abgesteckt. Danach wird aufgezeigt, was beim Einsatz von Tracking zu beachten ist und wie sich der Einzelne gegen unerwünschtes Tracking wehren kann. digma

6 fokus Cookies durch Website-Betreiber in der Schweiz. Diese müssen Website-Besucher über verwendete Cookies und deren Zweck informieren und erklären, wie Cookies abgelehnt werden können. Im Gegensatz zur einschlägigen EU- Richtlinie 19 folgt die schweizerische Regelung dem Opt-out-Prinzip, wobei eine ausdrückliche Einwilligung des Nutzers nicht notwendig ist. Was müssen Unternehmen beachten, die Tracking einsetzen? Die Pflichten der Unternehmen, die Tracking verwenden, unterscheiden sich je nach Ein Hinweis mit entsprechenden (Videokamera-)Symbolen dürfte nicht genügen, da die Kunden daraus nicht auf die Auswertung der Daten und das Erstellen von Verhaltensmustern schliessen werden. Literatur n Jandt Silke/Schnabel Christoph, Location Based Services im Fokus des Datenschutzes, Kommunikation und Recht 2008, (zitiert: Jandt/ Schnabel) n Kettiger Daniel, Rechtliche Rahmenbedingungen für Location Sharing Systeme in der Schweiz, in: Jusletter vom 9. August 2010 (zitiert: Kettiger) n Maurer-Lambrou Urs/Blechta Gabor-Paul (Hrsg.), Basler Kommentar, Datenschutzgesetz/Öffentlichkeitsgesetz, 3. A., Basel 2014 (zitiert: BSK-DSG- Autor, Art. X N Y) n Müller Lucien, Private Videoüberwachung in öffentlich zugänglichen Räumen Datenschutzrechtliche Aspekte, Sicherheit & Recht 2012, (zitiert: Müller) n Rosenthal David/Jöhri Yvonne (Hrsg.), Handkommentar zum Datenschutzgesetz, Zürich 2008 (zitiert: Autor, Handkommentar DSG, Art. X N Y) n Schmitz Peter/Eckhardt Jens, Einsatz von RFID nach dem BDSG, CR 2007, (zitiert: Schmitz/Eckhardt) n Schneider Markus/Enzmann Matthias/Stopcynski Martin, Web-Tracking-Report 2014, Fraunhofer-Informationszentrum Raum und Bau IRB, Stuttgart 2014 (zitiert: Schneider et al.) Art und Einsatzgebiet der «Tracking»-Technologie. Die folgenden minimalen Anforderungen dürften jedoch für alle Formen des Tracking Gültigkeit haben: n Transparenz und Information: Der Einsatz einer Tracking-Technologie muss für die betroffenen Personen erkennbar sein. Da der Einsatz von Tracking-Technologien in der Regel nicht aus den Umständen ersichtlich sein wird, ist eine aktive Information der betroffenen Personen über Art, Umfang und Zweck des Tracking erforderlich. Dabei ist auch anzugeben, an welche Person oder Stelle innerhalb des Unternehmens Auskunftsgesuche zu richten sind. Falls erforderlich, ist zudem auf die Ablehnungsmöglichkeit für Cookies hinzuweisen. Bei Web- und Mobile-Tracking werden diese Informationen den betroffenen Personen häufig über eine spezielle Datenschutzerklärung bekannt gegeben. Insbesondere bei Video- und RFID- Tracking sehen sich Unternehmen diesbezüglich mit praktischen Problemen konfrontiert, da die Datensubjekte von der Tracking-Technologie erfasst werden können, bevor eine (umfassende) Information möglich ist, etwa beim Betreten eines Warenhauses, das (videobasiertes) «Customer Tracking» einsetzt. Ein Hinweis mit entsprechenden (Videokamera-)Symbolen dürfte in der Regel nicht genügen, da die Kunden daraus wohl auf die Videoüberwachung, nicht aber auf die Auswertung der aufgezeichneten Daten und das Erstellen von Verhaltensmustern im Hintergrund schliessen werden. Unseres Erachtens müsste in diesen Fällen ein spezieller Hinweis auf das Tracking erfolgen 20. n Zweckbindung: Die im Rahmen des Tracking gesammelten Informationen dürfen ausschliesslich zu den ursprünglich kommunizierten Zwecken verwendet werden. Für eine nachträgliche Änderung oder Erweiterung des Verwendungszwecks ist die Zustimmung der betroffenen Personen einzuholen. Der Zweckbindungsgrundsatz dürfte häufig mit den Interessen der Unternehmen kollidieren, die erhobenen Daten möglichst uneingeschränkt und auch für Zwecke und mit Methoden zu analysieren, die im Zeitpunkt der Datenerhebung noch nicht aktuell oder noch nicht verfügbar waren 21. Um sich hier nicht selbst über Gebühr einzuschränken, werden die Informationen zu Art, Umfang und Zweck der Datenerhebung daher von vielen Unternehmen bewusst offen formuliert. Das ist grundsätzlich zulässig. Im Einzelfall kann es aber Schwierigkeiten bereiten, die Balance zwischen zulässiger Abstraktion und notwendiger Konkretisierung des angegebenen Bearbeitungszwecks zu finden. n Einwilligung: Sofern im Rahmen des Tracking besonders schützenswerte Personendaten oder Persönlichkeitsprofile erhoben und an Dritte weitergegeben werden, ist vorgängig die (ausdrückliche) Zustimmung der betroffenen Personen einzuholen. Diese müssen umfassend informiert werden und die Möglichkeit haben, die Weitergabe abzulehnen und die angebotene Dienstleistung trotzdem zu nutzen. Andernfalls kann kaum von einer freiwilligen Zustimmung gesprochen werden. Auch hier können sich beim Einsatz von Video- und RFID-Tracking praktische Probleme beim Einholen der (ausdrücklichen) Einwilligung ergeben: Wird die Einwilligung beispielsweise noch freiwillig erteilt, wenn die einzige Handlungsalternative darin besteht, eine Lokalität mit Video-Tracking nicht zu betreten? 158 digma

7 n Verhältnismässigkeit: Es sind nur diejenigen Daten von den betroffenen Personen zu erheben, die zur Erbringung der Dienstleistung nötig sind (keine Datenerhebung und -speicherung auf Vorrat!). Daten, die nicht mehr benötigt werden, sind zu löschen. n Datensicherheit: Das Unternehmen muss angemessene technische und organisatorische Massnahmen treffen, um die Datensicherheit zu gewährleisten. n Registrierungspflicht für Tracking-Datensammlung: Werden im Rahmen des Tracking regelmässig besonders schützenswerte Personendaten oder Persönlichkeitsprofile bearbeitet oder (gewöhnliche) Personendaten an Dritte bekannt gegeben, muss die entsprechende Datensammlung beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) registriert werden. n Pflichten bei Bekanntgabe in Drittländer: Falls Daten in Drittländer übermittelt werden, deren Gesetzgebung keinen adäquaten Datenschutz bietet, muss ein angemessener Schutz in den Zielländern anderweitig (beispielsweise durch Vertrag) sichergestellt werden. n Bearbeitungsreglement: Es empfiehlt sich, ein Bearbeitungsreglement mit diesen und den übrigen internen Regeln für den Umgang mit Tracking-Daten zu erstellen. Welche Möglichkeiten haben Betroffene zur Unterbindung von Tracking? Der Einzelne hat verschiedene technische und rechtliche Möglichkeiten, um seine Privatsphäre gegen Tracking zu schützen, wobei die technischen Möglichkeiten aus praktischen Gründen im Vordergrund stehen dürften. Technische Möglichkeiten n Webtracking oder Web Analytics: Die meisten Internet-Browser erlauben dem Benutzer, Cookies ganz oder teilweise zu blockieren. Die gängigsten Browser bieten auch die Möglichkeit, Cookies von Dritt-Websites auszuschliessen, womit der Einsatz von Tracking-Cookies effektiv unterbunden werden kann. Die meisten Browser verfügen zudem über einen «Do Not Track»-Schalter, womit Webseiten oder Anwendungen signalisiert wird, dass über die Aktivitäten des Besuchers kein Nutzungsprofil erstellt werden soll 22. Es gibt jedoch keine gesetzliche Pflicht für Website-Betreiber, die «Do Not Track»-Einstellung zu beachten. Diese Einstellungen sind ausserdem wirkungslos gegen den Einsatz von «canvas fingerprinting». Hiergegen helfen allenfalls spezielle Browser- Erweiterungen 23 oder der für anonymes Surfen entwickelte Tor-Browser, der Websites über das Tor-Netzwerk 24, mehrfach verschlüsselt und über ständig wechselnde Routen 25, abruft. n Mobile-Tracking: Die meisten Mobiltelefone und sonstigen Mobilgeräte bieten die Möglichkeit, den Zugriff auf Standortdaten einzuschränken 26 oder den integrierten GPS-Empfänger ganz zu deaktivieren. Damit wird jedoch in vielen Fällen auch die Funktionalität von Apps eingeschränkt, die auf Standortdaten zugreifen. n Videobasiertes und RFID-Tracking: Es bestehen (noch) keine technischen Möglichkeiten für Endnutzer, diese Tracking-Methoden zu unterbinden. Die einzige praktische Möglichkeit, ein Tracking zu verhindern, ist das Nicht- Betreten überwachter Bereiche bzw. die Meidung von Angeboten mit RFID-Tracking. Es gibt keine gesetzliche Pflicht für Website- Betreiber, die «Do Not Track»-Einstellung von Browsern zu beachten. Rechtliche Möglichkeiten n Auskunftsrecht: Jede Person kann vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob und welche Daten über sie bearbeitet werden. Die Auskunft ist in der Regel kostenlos und innert 30 Tagen seit Eingang des Begehrens zu erteilen. Zur Stellung eines Auskunftsbegehrens muss zunächst der Inhaber der Datensammlung bekannt sein. In der Praxis kann es schwierig sein, diesen zu identifizieren, obwohl diese Angabe eigentlich Teil der Information gegenüber der betroffenen Person bilden sollte. n Recht zur Berichtigung fehlerhafter Daten: Zeigt sich infolge einer Auskunft oder anderweitig, dass Daten unrichtig oder unvollständig sind, kann die Berichtigung der entsprechenden Daten verlangt werden. n Klagemöglichkeit: Werden die oben genannten Grundsätze oder andere Bestimmungen des DSG verletzt, kann die betroffene Person auf Beseitigung oder zukünftige Unterlassung derartiger Verletzungen sowie auf Feststellung und Bekanntmachung der Verletzung klagen. Es besteht überdies die Möglichkeit, Schadenersatz und Genugtuung für die Verletzung zu verlangen. Entsprechende Klagen sind jedoch selten, da sich insbesondere bei Unternehmen mit Sitz im Ausland die Frage nach der Zuständigkeit schweizerischer Gerichte stellt. Ausserdem ist jede Klage mit einem erheblichen Kostenrisiko verbunden. n Anzeige an den EDÖB: Falls Datenbearbeitungsmethoden geeignet sind, die Persönlich- digma

8 fokus keit einer grösseren Anzahl von Personen zu verletzen, nimmt der EDÖB von sich aus oder auf Anzeige von Dritten hin Sachverhaltsabklärungen vor. Gestützt auf diese Abklärungen kann der EDÖB Empfehlungen zur Änderung oder Unterlassung der Datenbearbeitung geben Der Gesetzgeber setzt in erster Linie auf Transparenz und die Entscheidungsfreiheit des Einzelnen, entsprechende Angebote in Anspruch zu nehmen oder abzulehnen. und, falls die Empfehlung nicht befolgt wird, die Sache dem Bundesverwaltungsgericht zum Entscheid vorlegen. Fazit Tracking kommt in den verschiedensten Formen vor und kann zu den verschiedensten Zwecken eingesetzt werden. Entsprechend fragmentiert ist der rechtliche Rahmen, den es beim Einsatz von Tracking-Technologien einzuhalten gilt. Im Vordergrund steht dabei das Datenschutzgesetz, das ergänzt wird durch bereichsspezifische Bestimmungen, die je nach eingesetzter Technologie zur Anwendung gelangen. Zur Schaffung eines Interessenausgleichs zwischen Unternehmen, die Tracking einsetzen, und den betroffenen Personen setzt der Gesetzgeber in erster Linie auf Transparenz (durch entsprechende Informationspflichten) und die Entscheidungsfreiheit des Einzelnen, entsprechende Angebote in Anspruch zu nehmen oder abzulehnen. Die Möglichkeit einer klageweisen Verhinderung oder Unterbindung von Missbräuchen steht dem Einzelnen zwar zur Verfügung, wird aber aus Kostengründen selten in Anspruch genommen. Neben technischen Möglichkeiten zur Unterbindung von Tracking wird die Ablehnung entsprechender Angebote für den Einzelnen oft die einfachere (und erfolgversprechendere) Möglichkeit sein, die Erfassung und Auswertung seiner Daten zu verhindern. n Fussnoten 1 Beim Aufruf einer Website werden verschiedene Daten an den Server übermittelt, auf dem die Site gehostet wird, unter anderem Browsertyp, Betriebssystem, Browser-Sprache und IP-Adresse des Internet-Anschlusses, von dem die Site abgefragt wird. 2 Siehe zu «browser fingerprinting» < Fingerprinting> und zu «canvas fingerprinting» < 3 Sogenanntes «cross-domain-tracking»; siehe dazu etwa die FAQ zu Google Analytics: < answer/ ?hl=en-gb>; für statistische Angaben zum Einsatz von Webtracking siehe schneider et al., 87 f. 4 Siehe KettiGer, 3 und 4. 5 Eine Aufzählung standortbezogener Dienste findet sich bei jandt/ schnabel, Siehe hierzu das Glossar auf der Website des EDÖB zu «Personentracking», abrufbar unter < datenschutz/00625/01170/index.html?lang=de>. 7 Siehe auch die Aufzählung in BSK-DSG-maurer-lambrou/steiner, Art. 4 N 25a; vgl. auch den 12. Tätigkeitsbericht 2004/2005 des EDÖB, Datenschutzrechtliche Aspekte beim Einsatz der RFID-Technologie, abrufbar unter: < dokumentation/00153/00361/00365/index.html?lang=de>. 8 Neben den nachfolgend aufgeführten Bestimmungen enthalten auch Art. 179 quater StGB (Verletzung des Geheim- oder Privatbereichs durch Aufnahmegeräte), Art. 179 novies StGB (Unbefugtes Beschaffen von Personendaten), die Verordnung über die Videoüberwachung im öffentlichen Verkehr (SR ) sowie gewisse kantonale Polizeigesetze und andere kantonale Erlasse Bestimmungen, die beim Einsatz von Tracking-Technologien relevant sein können. Wird Tracking im Rahmen eines Arbeitsverhältnisses eingesetzt, sind insbesondere Art. 328 und 328b OR sowie die Verordnung 3 zum Arbeitsgesetz (SR ) zu beachten. Auf Ausführungen zu diesen Bestimmungen muss aus Platzgründen verzichtet werden. 9 Art. 2 Abs. 1 DSG. 10 Art. 3 lit. a DSG. 11 BGE 136 II 508 E In Deutschland ist zur Frage, ob dynamische IP-Adressen personenbezogene Daten im Sinne der Richtlinie 95/46/EG (Datenschutzrichtlinie) darstellen, gegenwärtig ein Verfahren vor dem deutschen Bundesgerichtshof anhängig. Der Bundesgerichtshof hat die Frage dem Europäischen Gerichtshof zur Vorabentscheidung vorgelegt (Beschluss vom 28. Oktober 2014, AZ. VI ZR 135/13). 12 rosenthal, Handkommentar DSG, Art. 3 N Vgl. KettiGer, müller, Vgl. hierzu schmitz/eckhardt, rosenthal, Handkommentar DSG, Art. 4 N Sogenannter «Informed Consent»; die Einwilligung muss in Kenntnis der relevanten Aspekte der Datenbearbeitung und ohne irgendwelchen Zwang erklärt werden. 18 Art. 45b FMG. 19 Richtlinie 2009/136/EG, ABl. L 337 vom , In diese Richtung auch BSK DSG-maurer-lambrou/steiner, Art. 4 N 38, m.w.h. Zu denken ist etwa an das Anbringen eines kurzen Hinweises in Textform, verbunden mit der Angabe, wo weitere Informationen zu Art, Umfang und Zweck des Tracking erhältlich sind. Allgemein bekannte und verständliche Symbole, die auf den Einsatz von Tracking-Technologien hinweisen, existieren soweit ersichtlich (noch) keine. 21 In diesem Zusammenhang ist der Grundsatz der Verhältnismässigkeit zu beachten, der eine Datenerhebung und -speicherung auf Vorrat, für eine (mögliche) zukünftige Verwendung grundsätzlich ausschliesst. 22 Siehe dazu < 23 So etwa die Plugins «No Script» für Firefox (< net/>) oder «Chameleon» für Chrome (< 24 Siehe dazu < 25 Siehe dazu < 26 Eine relativ umfassende Anleitung dazu findet sich auf der Website des rheinland-pfälzischen Landesbeauftragten für den Datenschutz und die Informationsfreiheit, abrufbar unter: < (Alle URL letztmals kontrolliert am ). 160 digma

9 digma Zeitschrift für Datenrecht und Informationssicherheit erscheint vierteljährlich Meine Bestellung 1 Jahresabonnement digma (4 Hefte des laufenden Jahrgangs) à CHF bzw. bei Zustellung ins Ausland EUR (inkl. Versandkosten) Name Vorname Firma Strasse PLZ Ort Land Datum Unterschrift Bitte senden Sie Ihre Bestellung an: Schulthess Juristische Medien AG, Zwingliplatz 2, CH-8022 Zürich Telefon Telefax zs.verlag@schulthess.com Homepage: