TDDSG und das Recht auf informationelle Selbstbestimmung. von Dr. iur. Peter Schmitz Rechtsanwalt Kanzlei Piepenbrock & Schuster, Düsseldorf

Transkript

1 TDDSG und das Recht auf informationelle Selbstbestimmung von Dr. iur. Peter Schmitz Rechtsanwalt Kanzlei Piepenbrock & Schuster, Düsseldorf Verlag C.H. Beck München 2000

2 Inhaltsverzeichnis Abbildungsverzeichnis Abkürzungsverzeichnis Schrifttumsverzeichnis XIII XV XVII 1. Teil. Einleitung und Problemstellung 1 A. Das TDDSG/IuKDG und die Herausforderungen durch die entstehende Informationsgesellschaft 1 B. Prüfungsansatz: Ziele und Anforderungen der Regelungen des TDDSG 4 I. Die verfassungsrechtlichen Anforderungen 4 II. Dienstenutzung im Internet 4 III. Darstellung der Regelungen des TDDSG 4 IV. Bewertung des TDDSG und Ausblick 5 2. Teil. Grundlagen 7 A. Das Recht auf informationeile Selbstbestimmung 7 I. Inhalt des Rechtes auf informationelle Selbstbestimmung 7 1. Herleitung und Bestimmung des Grundrechtsinhalts 8 a) Herleitung 9 b) Inhalt und Schutzbereich 9 2. Einschränkungsmöglichkeiten des Grundrechts 11 a) Einschränkungsmöglichkeiten und deren Schranken 11 b) Verhältnismäßigkeit und Abwägung Allgemeine Konkretisierung des Grundrechtsinhalts und der Abwägung 13 a) Verbot der Datensammlung auf Vorrat 14 b) Zweckbindungsgebot 14 c) Gebot der Datenvermeidung 15 d) Verbot von Persönlichkeitsprofilen und systematischer Beobachtung 15 (1.) Absolutes Verarbeitungsverbot 15 (2.) Schutzbereich bei der Anonymisierung der Daten 16 (a) Vorgang der Datenerhebung 16 (b) Spätere Verwendung zulässig erstellter Statistiken 17 e) Schutzpflichten des Gesetzgebers 17 (1.) Pflicht zur gesetzlichen Regelung und Ausgestaltung 17 (2.) Besondere Schutzpflicht bei elektronischer Datenverarbeitung Besonderheit und Zulässigkeit der Erstellung von Statistiken 18 a) Erweiterte Zulässigkeit hinsichtlich Zweckbindung 18 b) Absolutes Verbot von Persönlichkeitsprofilen 19 c) Pflicht zur Anonymisierung und anderen Verfahrensvorkehrungen Zusammenfassung 20 II. Verbindliche Geltung für die Regelungen des TDDSG Bindung des Gesetzgebers Maßstab 23

3 VIII Inhaltsverzeichnis B. Aufbau, Funktion und Nutzung des Internet 24 I. Grundlagen des Internet Begriff und Entstehung des Internets 24 a) Begriff 25 b) Entstehung und Grundidee Technik und Funktion des Internets 29 a) Architektur des TCP/IP-Protokolls 31 (1.) Überblick 31 (2.) Architektur und Funktionalität 34 b) Kommunikation und Datenübertragung im Internet 36 (1.) Paketing und offene Übertragung 36 (2.) IP-Adresse, Adressierung und Routing 37 (3.) Identifizierung des Nutzers 39 (4.) Dezentrale Kommunikation 40 (5.) Dynamisches Client-Server-Prinzip und bidirektionale Kommunikation Aufbau und Organisation des Internets 41 a) Dezentraler heterogener Aufbau des Internets aus Teilnetzen 41 b) Internet-community: offener heterogener Anbieter- und Nutzerkreis 42 c) Keine zentrale Organisation oder Kontrolle Zusammenfassung 44 II. Zugang und Dienste im Internet Zugangsmöglichkeiten zum Internet 45 a) Internet-Host 45 b) Access-Provider 45 (1.) Statische IP-Adresse 45 (2.) Dynamische IP-Adresse Verfügbare Dienste 46 a) Electronic Mail ( ) 47 b) Terminalemulation (Telnet) 48 c) Dateitransfer (FTP) 49 d) Gopher und WAIS 49 e) World Wide WEB (WWW) 50 (1.) Aufbau und Funktion 50 (2.) Navigation im WWW 52 (3.) Datenaustausch im WWW 53 f) UseNet, Newsgroups 54 III. Datenverarbeitungsmöglichkeiten im Internet Generelle Verarbeitungsmöglichkeiten 56 a) Datenspuren 56 b) Nutzungs- und Persönlichkeitsprofile Unberechtigte Verarbeitung von World Wide Web 58 a) Datenspuren 58 b) Cookies 59 c) Authentifizierungsmerkmale von Hard- oder Software 61 d) Data mining 61 e) Search engines und andere Suchdienste Auswertung von UseNet, Newsgroups Teil. Die datenschutzrechtlichen Regelungen des TDDSG 65 A. Anwendungsbereich des TDDSG 65 I. Teledienst 65

4 Inhaltsverzeichnis IX II. Abgrenzung Gesetzliche Definitionen 66 a) Telekommunikation 66 b) Rundfunk 67 c) Mediendienste Abgrenzungskriterien 69 a) Funktionale Abgrenzung Teledienst Telekommunikationsdiensten 70 (1.) Internetdienste als Telekommunikationsdienste 70 (2.) Theorie der funktionalen Eingrenzung der Telekommunikation 71 (3.) Stellungnahme zur funktionalen Eingrenzung 72 (4.) Eingrenzung des Funktionsbereiches der Telekommunikation 74 b) Inhaltliche Abgrenzung zu Mediendiensten 77 (1.) Konkrete Abgrenzung nach Adressat, Gestaltung und Zielsetzung der Kommunikation 78 (2.) Stellungnahme 79 (3.) Konkretisierung der Abgrenzung 80 (a) Individual-Massenkommunikation 80 (b) Öffentliche Meinungsbildung 81 (c) Abgrenzung 82 (4.) Einordnung einzelner Dienste 86 (a) Zugangsdienste zum Internet (Access-Provider) 86 (b) WWW-Dienste 87 (c) -Dienste 89 (d) Router, Backbone-Netze 90 (e) Ergebnis 90 III. Personenbezogene Daten bei Telediensten Begriff und Definition Übertragung auf Teledienste 92 a) IP-Adresse 92 b) -Adresse 94 c) Zugangskennungen, Namen, Kunden- oder Kreditkartennummern u. ä 95 d) Weitere Nutzungsdaten 95 e) Inhaltsdaten 96 B. Datenschutzrechtliche Regelungen 96 I. Regelungsüberblick 96 II. Grundsätze für die Verarbeitung personenbezogener Daten Grundsatz des Erlaubnisvorbehalts zur Datenerhebung 97 a) Gesetzliche Erlaubnis 97 b) Einwilligung des Nutzers 98 (1.) Allgemeine Voraussetzungen und Zweckbindung der Einwilligung 98 (2.) Elektronische Einwilligung 99 (a) Verfassungswidrige Eingriffsregelung 100 (b) Einwilligung nach allgemeinen Voraussetzungen Unterrichtungspflicht und Transparenzgebot 104 a) Gesetzliche Regelung 104 b) Bestimmung des Aufklärungsmaßstabs Zweckbindungsgebot 106 a) Gesetzliche Regelung 106 b) Verfassungsrechtlicher Auslegungsmaßstab 107

5 X Inhaltsverzeichnis 4. Koppelungsverbot 107 a) Gesetzliche Regelung 108 b) Bestimmung der Zugangsmöglichkeit 109 c) Verfassungsrechtliche Kontrolle Grundsatz der Datenvermeidung 111 III. Technische/Organisatorische Pflichten Grundsatz des Systemdatenschutzes Anonymisierte und pseudonymisierte Nutzung 112 a) Anonymisierte Nutzungsmöglichkeit 113 b) Pseudonyme Nutzungsmöglichkeit 115 c) Zumutbarkeit 118 (a) Genereller Maßstab 118 (b) Konkrete Anwendung des Maßstabs Pflicht zu besonderen technischen und organisatorischen Vorkehrungen 120 a) Sofortiger Abbruch 120 b) Unmittelbare Löschung 120 c) Schutz der Vertraulichkeit 120 d) Pflicht zur informationellen Trennung 121 e) Anzeige der Weitervermittlung 122 IV. Besondere Verarbeitungsbestimmungen Bestandsdaten 123 a) Begriff 123 b) Zulässigkeit der Verarbeitung Nutzungsdaten 124 a) Begriff 124 b) Erforderlichkeitsvorbehalt und sofortige Löschungspflicht Abrechnungsdaten 125 a) Begriff 125 b) Erforderlichkeitsvorbehalt und Löschungspflicht 126 c) Erstellung von Einzelnachweisen Inhaltsdaten 127 a) Anwendbarkeit des TDDSG 127 b) Regelungen des TDDSG und subsidiäre Geltung des BDSG 129 c) Zulässigkeit der Verarbeitung von Inhaltsdaten 130 V. Besondere Verarbeitungsarten Pseudonymisierte Nutzungsprofile 130 a) Gesetzliche Regelung 131 (1.) Inhalt des Nutzungsprofils 131 (2.) Verwendung von Pseudonymen 132 (3.) Verbot der nachträglichen Zusammenführung und Konflikt mit 7 TDDSG 135 (4.) Verhältnis zur Löschungspflicht 135 b) Eingriff in das Recht auf informationeile Selbstbestimmung 136 (1.) Absolute Grenze der Erstellung von Persönlichkeitsbildern (2.) Geltung für private pseudonymisierte Nutzungsprofile 137 (3.) Unzulässigkeit bei Telediensten im Internet 137 (a) Teilabbildung der Persönlichkeit und systematische Observierung 137 (b) Unbemerkte und heimliche Datenerhebung 138 (c) Fehlende oder mangelhafte gesetzgeberische Schutz- und Verfahrensvorgaben 138 (4.) Ergebnis Weitergabe von anonymisierten Nutzungsdaten an Dritte 140

6 Inhaltsverzeichnis XI a) Nutzungsdaten 140 b) Anonymisierung 140 c) Sofortige Anonymisierung 141 d) Inhalt und Bedeutung der anonymisierten Nutzungsdaten 142 e) Kein Eingriff in das Recht auf informationelle Selbstbestimmung (1.) Verwendung der anonymisierten Nutzungsdaten 143 (2.) Erhebung und Erstellung der anonymisierten Nutzungsdaten. 143 (a) Schutzvorschriften zur sofortigen Reanonymisierung 144 (b) Ausschluß der Reanonymisierung Weitere Verarbeitung von Abrechnungs- oder Nutzungsdaten 145 a) Weitergabe von Abrechnungsdaten bei Zugangsvermittlung 145 b) Weitergabe von Abrechnungsdaten zum Inkasso 145 VI. Aufsicht 146 VII. Sanktionen 147 C. Zulässigkeit der Datenverarbeitung im Überblick 147 I. Typische zulässige Verarbeitungsvorgänge Verarbeitung von Bestandsdaten Verarbeitung von Nutzungsdaten Verarbeitung von Abrechnungsdaten Verarbeitung von Inhaltsdaten Weitergabe von Abrechnungsdaten Weitergabe anonymisierter Nutzungsdaten 150 II. Zulässigkeit bei Einwilligung Bestandsdaten zur Werbung und Marktforschung Inhaltsabhängige Werbung bei Suchmaschinen 150 III. Typische unzulässige Verarbeitungsvorgänge Verarbeitung von Inhaltsdaten zu Kontrollzwecken Cookies 152 (1.) Setzen von Cookies 152 (2.) Rücksendung und weitere Verarbeitung der Cookies Datenerhebung ohne Unterrichtung nach 3 Abs. 5 TDDSG Verarbeitung von Nutzungsdaten und Erzeugung von Nutzerprofilen Systematische Erfassung von -Adressen und anderer Daten zu Werbe- oder Analysezwecken Teil. Beurteilung des TDDSG und Ausblick 162 A. Verfassungsrechtliche Beurteilung 162 I. Verfassungskonforme Regelungen 162 II. Mangelhafte Bestimmung von Schutz- und Verfahrensvorkehrungen III. Verfassungswidrige Eingriffe 163 IV. Allgemeine Kritik 164 B. Verbesserungsansatz und Ausblick 164 I. Beseitigung der verfassungswidrigen Eingriffstatbestände 165 II. Gewährleistung der allgemeinen Handlungsfreiheit und des Rechts auf informationelle Selbstbestimmung Entscheidung über Authentifikation und Vertraulichkeit der Kommunikation 166 a) Selbstbestimmte Teilhabe an der Kommunikation 166 b) Mehrseitige Bestimmung 167 c) Datenschutz durch mehrseitige selbstbestimmte Datensicherheit Lokale Maßnahmen im Rahmen globaler Kommunikation Technische Vorgaben 171 III. Verbesserungsansatz 171

7 XII Inhaltsverzeichnis 1. Technische Ausgestaltung 172 a) Mehrseitige Bestimmung der Sicherheits- und Datenschutzziele b) Sicherheitsdienste 172 (1.) Pseudonyme Nutzung fremder Dienste 172 (2.) Authentifizierungsmöglichkeit 173 (3.) Verschlüsselung 174 (4.) Sichere pseudonyme Zahlungssysteme Rechtliche Ausgestaltung 175 a) Mehrseitige Bestimmung von Datensicherheit und Datenschutz b) Pseudonyme Nutzungsmöglichkeiten 175 c) Signaturverfahren zur Authentifizierung 176 d) Verschlüsselung 176 e) Sichere pseudonyme Zahlungssysteme 176 IV. Ausblick 176 Stichwortverzeichnis 179