LIT. von Malte Schipper

Transkript

1 Neue Instrumente des Datenschutzrechts fur das Verhaltnis zwischen Privatperson und Unternehmen in der Bundesrepublik Deutschland und den Vereinigten Staaten von Amerika von Malte Schipper LIT

2 VII Inhaltsverzeichnis Abkiirzungsverzeichnis Literaturverzeichnis Zitierte Gesetzesmaterialien Hinweise XVI XVIII XXXVI XXXVIII Einfuhrung und Fragestellung 1 A. Neue Chancen - neue Gefahren 1 B. Die Unzulanglichkcit der,,herkommlichen" staatlichen Reaktion 4 C. Fragestellung und Gang der Untersuchung 8 Erstes Kapitel - Funktion des Datenschutzrechts 11 A. Uberblick 11 B. Schutzauftrag des Gesetzgebers fur den privaten Bereich 11 I. Verfassungsrechtliche Vorgaben Das Recht auf informationelle Selbstbestimmung Schutzgebot fur den privaten Bereich Inhaltdes Schutzauftrages 15 a) Mindestschutz 15 b) Vorrangdes Selbstschutzes 16 c) Entgegenstehende Rechte 17 aa) Verfassungsrechtlicher Schutz unternehmerischer Datenverarbeitung 17 bb) Beriicksichtigung der entgegenstehenden Rechte Zwischenergebnis 19 II. Europarechtliche Vorgaben Datenschutz-RL 20 a) Grundsatze in Bezug auf die Qualitat der Daten (Art. 6 Datenschutz-RL) 20 b) Grundsatze in Bezug auf die Zulassigkeit der Verarbeitung von Daten (Art. 7 und 8 Datenschutz-RL) 20 c) Information der Betroffenen 21

3 VIII d) Privatrechtliche Anspriiche bei Nicht-Einhaltung der Richtlinie (Art. 12 b) und c) Datenschutz-RL) 21 e) Widerspruchsrecht (Art. 14 Datenschutz-RL) 22 f) Vorabkontrolle (Art. 18 bis 20 Datenschutz-RL) 22 g) Offentlichkeit der Verarbeitungen (Art. 21 Datenschutz-RL) 22 h) Haftung (Art. 23 Datenschutz-RL) 23 i) Verhaltensregeln (Art. 27 Datenschutz-RL) TK-Datenschutz-RL Die Datenschutz-Konvention 23 C. Gefahren und Chancen fur das Recht auf informationelle Selbstbestimmung 24 I. Einfiihrung 24 II. Unternehmen mit direktem Kontakt zum Kunden Bedrohung des Rechts auf informationelle Selbstbestimmung Datenschutz-Marktfaktoren Hauptaufgabe rechtlicher Instrumente 27 III. Telekommunikationsanbieter Bedrohung des Rechts auf informationelle Selbstbestimmung Datenschutz-Marktfaktoren Hauptaufgabe rechtlicher Instrumente 28 IV. Anbieter von Adressdatenbanken Bedrohung des Rechts auf informationelle Selbstbestimmung Datenschutz-Marktfaktoren Hauptaufgabe rechtlicher Instrumente 30 V. Online-Werbeagenturen Bedrohung des Rechts auf informationelle Selbstbestimmung Datenschutz-Marktfaktoren Hauptaufgabe rechtlicher Instrumente 32 VI. (Kredit-)informationsdienste Bedrohung des Rechts auf informationelle Selbstbestimmung Datenschutz-Marktfaktoren Hauptaufgabe rechtlicher Instrumente 34 D. Zwischenergebnis 34 Zweites Kapitel - In Deutschland eingesetzte neue Instrumente 36 A. Technologischer Datenschutz 36 I. Datenschutzfreundliche Browser 37 II. Datenschutzfreundliche Verarbeitungssoftware 38 III. Unabhangige Dritte als Verwalter personlicher Informationen 38

4 IX 1. Pseudonyme Inanspruchnahme von Dienstleistungen Sicherstellung angemessener Gegenleistungen fur Einwilligungen 40 IV. Automatische Erkennung des Datenschutzstandards von Online- Angeboten 41 V. Anonyme Zahlungsmoglichkeiten 43 VI. Verhindern des Registrierens von Internet-Aktivitaten durch den Zugangsanbieter (,,heimliches" Surfen) 44 VII. Zugriff auf Server ohne Ubermittlung von personenbezogenen Informationen (anonymes Surfen) 44 VIII. Zwischenergebnis 45 B. Untersuchung der neuen Instrumente 45 I. Forderung des Selbstschutzes durch Offentlichkeitsarbeit Bedeutung Die bisherigen Ansatze Offentlichkeitsarbeit als gesetzliche Aufgabe Vorschlage fur kiinftige MaBnahmen der Offentlichkeitsarbeit 48 a) Datenschutzbericht fur Privatpersonen 48 b) Erhohung der Reichweite des Internet-Angebotes 49 c) Warming vor schwarzen Schafen Zusammenfassung 50 II. Ermoglichung des Selbstschutzes durch Normierung privatrechtlicher Anspriiche Schadensersatzanspriiche 51 a) Schadensersatzanspriiche nach geltendem Recht 52 aa) 7 BDSG 52 bb) 823 Abs. 1 BGB 53 cc) 823 Abs. 2 BGB i.v.m. Vorschriften des BDSG 53 dd) Zwischenergebnis 54 b) Schaffung eines Schadensersatzanspruches fiir immaterielle Schaden Allgemeines Informationsrecht gemab 4 g Abs. 2 und 38 Abs. 2 Satz 2 BDSG Widerspruchsrecht gegen rechtmabige Datenverarbeitung gemab 28 Abs. 4 und 35 Abs. 5 BDSG 56 a) Ausgangslage: Berichtigungs-, Lbschungs- und Unterlassungsanspriiche 56 b) Allgemeines Widerspruchsrecht 57 c) Widerspruchsrecht im Hinblick auf Direktmarketing Zusammenfassung 58 III. Forderung der Entwicklung von datenschutzfreundlicher Technologie 58

5 X 1. Mitarbeit an der Entwicklung Beratung Anerkennung von datenschutzfreundlicher Technologie - das Datenschutz-Audit nach 9 a BDSG 60 a) Priifungsgegenstand 61 aa) Soft- und Hardware, die von Privatpersonen genutzt wird 61 bb) Soft- und Hardware, die durch Unternehmen genutzt wird 62 cc) Sonstige Systeme / Produkte 62 b) Die Auswahl der Gutachter 62 c) Das Verfahren Gezielter Einkauf von datenschutzfreundlichen Produkten Zusammenfassung 64 IV. Unverbindliche Forderung datenschutzfreundlichen Verhaltens von Unternehmen Unternehmensberatung 65 a) Funktion 65 b) Existierende Ansatze 65 c) Erweiterungsmoglichkeiten 65 aa) Datenschutz-Werbung 66 bb) Beratung bei der Umsetzung des Datenschutzrechts 66 cc) Entwurf von Mustervertragen iiber die Behandlung weitergegebener Daten 66 dd) Gesetzgeberischer Handlungsbedarf Anerkennung datenschutzfreundlicher Unternehmen - das Unternehmens-Datenschutz-Audit 67 a) Positive Effekte fur den Datenschutz 68 b) Kritik am Datenschutz-Audit fur Unternehmen 70 aa) Bedarf fur staatliche Regelung angesichts privater Initiativen 70 bb) Unverhaltnismafiigkeit der Kosten 71 cc) Beeintrachtigung der Unabhangigkeit der Datenschutzbeauftragten und der betrieblichen Selbstkontrolle 72 dd) Schaffung neuer Biirokratie 73 c) Handlungsbedarf fur den Gesetzgeber - Eckpunkte eines Datenschutz-Audits zur Anerkennung datenschutzfreundlicher Unternehmen 73 aa) Priifungsgegenstand 73 (1) Einhaltung der datenschutzrechtlichen Vorschriften 73 (2) Uberpriifung des Datenschutzmanagements 74 bb) Anforderungen an Gutachter 75 cc) Verfahren Zusammenfassung 76

6 XI V. Forderung datenschutzfreundlichen Verhaltens von Unternehmen durch Gebote Das Gebot der datenschutzfreundlichen Gestaltung von Systemstrukturen 76 a) Allgemeines 76 b) Die Regelung in TDDSG, MDStV, BDSG und TDSV 77 c) Auswirkungen auf den Datenschutz Das Gebot der anonymen und pseudonymen Nutzbarkeit von Diensten 78 a) Die Regelung in 4 Abs. 6 TDDSG und 13 Abs. 1 MDStV 78 aa) Inhalt der Vorschrift 78 bb) Auswirkungen der Vorschrift 79 b) Verallgemeinerung der in 4 Abs. 6 TDDSG und 13 Abs. 1 MDStV getroffenen Regelung 80 c) Notwendigkeit von Vorsorgeregelungen 81 aa) Informationspflichten 81 bb) Auskunftsanspruch 82 cc) Regelung der Zulassigkeit der Ubermittlung 82 dd) Regelung des Aufdeckungsverfahrens 82 d) Sicherung der Pseudonymitat bei Personlichkeitsprofilen Unterrichtungspflicht bei Datenerhebung 83 a) Allgemeine Unterrichtungspflicht gem. 4 Abs. 3 BDSG 83 b) Unterrichtungspflicht bei Telediensten und bei Telekommunikations-Diensten 83 c) Modifikation der Regelung fur den allgemeinen Bereich Die Pflicht zur Durchflihrung von Vorabkontrollen gem. 4 d Abs. 5 und 6 BDSG 84 a) Verfahren 85 aa) Gegenstand der Vorabkontrolle 85 bb) Priifung der materiellen Zulassigkeit 86 b) Stellungnahme Zusammenfassung 87 VI. Forderung der Selbstregulierung Verhaltensregeln 88 a) Nutzen von Verhaltensregeln 88 b) Das Verfahren nach 38 a BDSG Freiwillige Selbstverpflichtung und -kontrolle 89 a) Allgemeines 89 b) Selbstregulierung im Pressebereich 90 c) Ubertragung auf andere Bereiche Zusammenfassung 92

7 XII VII. Wettbewerbsrechtliche Durchsetzung des Datenschutzrechts ( 1, 3 UWG) Gemeinsame Voraussetzungen der 1 und 3 UWG und ihrer Geltendmachung 93 a) Handeln im geschaftlichen Verkehr 93 b) Handeln zu Zwecken des Wettbewerbs 94 c) Eignung der Handlung zu einer wesentlichen Beeintrachtigung des Wettbewerbs ( 13 Abs. 2 Nr. 1 undnr. 2 UWG) Spezifische Voraussetzungen des 1 UWG 95 a) Wertbezogene Vorschriften 96 aa) Einordnung des Rechts auf informationelle Selbstbestimmung als sittlich fundiertes Gebot 96 bb) Einordnung des Rechts auf informationelle Selbstbestimmung als wichtiges Gemeinschaftsgut 97 cc) Unmittelbar wettbewerbsbezogene Normen 98 dd) Zwischenergebnis 98 b) Wertneutrale Vorschriften 98 c) Zwischenergebnis Spezifische Voraussetzungen des 3 UWG 100 a) Irrefuhrung durch VerstoBe gegen das Datenschutzrecht 101 b) Zwischenergebnis Ausweitung des Anwendungsbereiches der 1 und 3 UWG Ergebnis 102 C. Zwischenergebnis 103 Drittes Kapitel - In den USA eingesetzte neue Instrumente 104 A. Einfuhrung 104 B. Untersuchung der neuen Instrumente 106 I. Forderung des Selbstschutzes durch Offentlichkeitsarbeit Struktur und Aufgabe der FTC Berichte der FTC an den Kongress 107 a) Jahrliche Berichte zum Datenschutz im Online-Bereich 107 b) Bericht zur Erstellung von Online-Profilen 108 c) Vergleich mit deutschen Ansatzen Offentlichkeitsarbeit mittels des Internet 109 a) Der Ansatz der FTC 109 b) Vergleich mit deutschen Ansatzen Zusammenarbeit mit dem Department of Education 109

8 XIII a) Der Ansatz der FTC 109 b) Einfuhrung in Deutschland Anerkennung von Informationsmaterial anderer Organisationen 110 a) Amerikanischer Ansatz 110 b) Einfuhrung in Deutschland Zusammenfassung 110 II. Ermoglichung des Selbstschutzes durch Normierung privatrechtlicher Anspriiche Amerikanischer Ansatz Einfuhrung in Deutschland 111 III. Forderung der Entwicklung von datenschutzfreundlicher Techndlogie Ill 1. Workshops 112 a) Amerikanische Vorgehensweise 112 b) Vergleich mit deutschen Ansatzen Beteiligung an Testlaufen 113 a) Amerikanische Vorgehensweise 113 b) Ubernahme in Deutschland Drohung mit scharferen Gesetzen 113 a) Amerikanische Vorgehensweise 113 b) Umsetzung in Deutschland Zusammenfassung 114 IV. Unverbindliche Forderung datenschutzfreundlichen Verhaltens von Unternehmen Drohung mit scharferen Gesetzen Staatliche Richtlinien 115 a) Amerikanischer Ansatz 115 aa) Die Richtlinien der Information Infrastructure Task Force 115 bb) Die Richtlinien der FTC 116 cc) Auswirkungen der Richtlinien 116 b) Einfuhrung in Deutschland Information und Beratung 117 a) Amerikanischer Ansatz 117 b) Vergleich mit deutschen Ansatzen Zusammenfassung 118 V. Forderung datenschutzfreundlichen Verhaltens von Unternehmen durch Gebote Nicht-einheitliche Anforderungen an Einwilligungen gemab COPPRule 118 a) Amerikanischer Ansatz 118 b) Einfuhrung in Deutschland 119

9 xrv 2. Unterrichtungspflicht bei oder vor Datenerhebung im Finanzbereich 120 a) Amerikanischer Ansatz 120 b) Vergleich mit deutschen Ansatzen 121 VI. Forderung der Selbstregulierung Erscheinungsformen der Selbstregulierung in den USA Forderung der Selbstregulierung durch Drohung mit scharferen Gesetzen 124 a) Amerikanischer Ansatz 124 aa) Workshops 124 bb) Untersuchungsberichte 124 b) Einfuhrung in Deutschland Forderung der Selbstregulierung durch Safe-Harbor-Regelungen 126 a) Amerikanischer Ansatz: Erfullung gesetzlicher Erfordernisse durch Einhaltung anerkannter Richtlinien 126 b) Vergleich mit deutschen Ansatzen 127 aa) Vergleich mit dem Datenschutz-Audit 127 bb) Vergleich mit der Regelung des 38 a BDSG 127 cc) Ubernahme des amerikanischen Modells Uberwachung der Einhaltung selbstaufgestellter Verhaltensregeln 128 a) Amerikanischer Ansatz 128 b) Vergleich mit deutschen Ansatzen Pflicht zur Abgabe einer Datenschutzerklarung gemab 16C.F.R (a) und (COPPRule) 130 a) Amerikanischer Ansatz 130 b) Vergleich mit deutschen Ansatzen Zusammenfassung 131 C. Zwischenergebnis Kapitel - Weitere neue Instrumente 133 A. Uberblick 133 B. Untersuchung der neuen Instrumente 133 I. Forderung des Selbstschutzes Zur-Verfugung-Stellen von Muster-Datenschutzvereinbarungen Finanzielle Forderung privater Initiativen der Offentlichkeitsarbeit 134 a) Funktion privater Initiativen 134

10 XV b) Finanzielle FOrderung Schaffung eines Eigentumsrechts 134 II. Forderung der Entwicklung von datenschutzfreundlicher Technologie Integration datenschutzrechtlicher Inhalte in die Informatikerausbildung Empfehlung eines Vokabulars fur Systeme zur automatischen Erkennung von Datenschutzstandards Schaffung von Rahmenbedingungen fur die Verwaltung von personenbezogenen Informationen zum Zwecke der Nutzung ihres kommerziellen Wertes Verpflichtung der Hersteller zur Uberpriifung ihrer Produkte 137 III. Unverbindliche Forderung datenschutzfreundlichen Verhaltens von Unternehmen Spaltung des BDSG Schaffung von Richtlinien fur Datenschutz-Giitesiegel 139 IV. Forderung datenschutzfreundlichen Verhaltens von Unternehmen durch Gebote - Ermoglichung einer dynamisierten Einwilligung 139 V. Verzicht auf Vorschriften Mehr Datenschutz durch weniger Vorschriften BDSG (Einrichrung automatisierter Verfahren) Abs. 1 Satz 1 Nr. 2 BDSG (Zulassigkeit der Datenverarbeitung zur Wahrung berechtigter Interessen) Weitere verzichtbare Erlaubnistatbestande des BDSG ,,Auflosung" bzw.,,verschmelzung" des TDDSG Vorschriften der TDSV Zusammenfassung 144 VI. Uberwachung des Datenschutzes mittels der Verbandsklage gemab 2 und 3 UKlaG 145 C. Zwischenergebnis 145 Ergebnis der Untersuchung 147 A. Allgemeines 147 B. Einzelne Vorschlage 148 Anhang: Ubersicht der untersuchten Instrumente