Meine Daten kriegt Ihr nicht Lehrerfortbildung Datenschutzrecht

Transkript

1 D e r H a m b u r g i s c h e B e a u f t r a g t e f ü r D a t e n s c h u t z u n d I n f o r m a t i o n s f r e i h e i t Meine Daten kriegt Ihr nicht Lehrerfortbildung Datenschutzrecht Was versteht man eigentlich unter Datenschutz? Das Grundgesetz enthält keine ausdrücklichen Regelungen zum Datenschutz. Aus einer Reihe von Verfassungsbestimmungen hat das Bundesverfassungsgericht jedoch praktisch relevante datenschutzrechtliche Folgerungen gezogen. Von großer Tragweite ist das sog. Volkszählungsurteil aus dem Jahre Das Bundesverfassungsgericht hat darin klargestellt, dass das Recht auf informationelle Selbstbestimmung ein Grundrecht ist. Dieses Recht wird vor allem aus Art. 2 i.v.m. Art. 1 des Grundgesetzes hergeleitet. Aus dem Gundrechtscharakter ergibt sich, dass zunächst ein generelles Verbot der Verarbeitung personenbezogener Daten besteht; nur durch einen gesetzlichen Erlaubnistatbestand oder mit der Einwilligung Betroffener kann dieses Verbot durchbrochen werden. Art. 1 Abs. 1 GG Die Würde des Menschen ist unantastbar. Sie zu achten und zu schützen ist Verpflichtung aller staatlichen Gewalt. Art. 2 Abs. 1 GG Jeder hat das Recht auf die freie Entfaltung seiner Persönlichkeit, soweit er nicht in die Rechte anderer verletzt und nicht gegen die verfassungsmäßige Ordnung oder das Sittengesetz verstößt. Diese beiden Artikel beschreiben unabdingbare Menschenrechte, zu denen das Bundesverfassungsgericht mit seinem Urteil auch das Recht des Einzelnen zählt, selbst zu entscheiden, wem er seine personenbezogenen Daten offenbart, und zu wissen, welche Stellen welche Informationen gespeichert haben. Dabei unterscheidet das Bundesverfassungsgericht grundsätzlich nicht hinsichtlich der Sensibilität von einzelnen personenbezogenen Daten. Datenschutz ist also eigentlich der falsche Begriff. Es geht vorrangig nicht darum, die personenbezogenen Daten vor

2 2 dem Zugriff Unbefugter zu schützen, sondern die Persönlichkeitsrechte des Einzelnen zu wahren. Die beiden wichtigsten Leitsätze des Volkszählungs-Urteils (1 BvR 209/83): Unter den Bedingungen der modernen Datenverarbeitung wird der Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten von dem allgemeinen Persönlichkeitsrecht des Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG umfasst. Das Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Einschränkungen dieses Rechts auf informationelle Selbstbestimmung sind nur im ü- berwiegenden Allgemeininteresse zulässig. Sie bedürfen einer verfassungsmäßigen gesetzlichen Grundlage, die dem rechtsstaatlichen Gebot der Normenklarheit entsprechen muss. Bei seinen Regelungen hat der Gesetzgeber ferner den Grundsatz der Verhältnismäßigkeit zu beachten. Auch hat er organisatorische und verfahrensrechtliche Vorkehrungen zu treffen, welche der Gefahr einer Verletzung des Persönlichkeitsrechts entgegenwirken. Was sind personenbezogene Daten? Personenbezogene Daten sind Einzelangaben über persönliche und sachliche Verhältnisse einer bestimmten oder bestimmbaren Person. Beispiele: Name, Anschrift, Geburtsdatum, Telefonnummer, Kfz-Kennzeichen, Kontonummer, Kreditkartennummer, Steuernummer, -Adresse, Fingerabdruck, Augeniris.

3 3 Mit Hilfe von elektronischer Datenverarbeitung (EDV) ist es möglich, solche Informationen zu erheben, zusammenzuführen, auszuwerten und in anderen Zusammensetzungen zu nutzen oder an andere Stellen weiterzuleiten. WICHTIG: Veröffentlicht man Daten über sich selbst, dürfen diese Informationen auch ohne die eigene Zustimmung von anderen Personen verwendet und weiterverbreitet werden. Was versteht man unter Datenverarbeitung? Datenverarbeitung ist die Verwendung personenbezogener Daten, wobei zwischen folgenden Verarbeitungsschritten unterschieden wird: Erheben Hiermit wird das (aktive) Beschaffen von Daten umschrieben. Personenbezogene Daten können auf vielfältige Weise erhoben werden. Beispiele: durch direkte Befragung des Betroffenen, Ausgabe eines Vordruckes an den Betroffenen, den er selbst ausfüllt, Datenerhebung bei anderen Stellen (Behörden, Firmen, Privatpersonen usw.). Speichern Damit ist das Erfassen, Aufnehmen oder Aufbewahren von Daten auf Datenträgern gemeint. Datenträger ist ein umfassender Begriff, der wie auch der Begriff Speichern in erster Linie immer mit der elektronischen Datenverarbeitung (EDV) in Zusammenhang gebracht wird. Er beschränkt sich aber nicht darauf. Unter Datenträgern versteht man beispielsweise: Papier Festplatten Disketten CD-ROM, DVD Streamer-Tapes (also Aufzeichnungsbänder von Bandlaufwerken) USB-Sticks An dieser Aufstellung sieht man, dass in der Tat elektronische Datenträger überwiegen. Die immer weitere Verbreitung der EDV bestimmt mittlerweile weite Teile der staatlichen und der gesellschaftlichen Datenverarbeitung und Kommunikation.

4 4 Übermitteln Darunter versteht man das Weitergeben von Daten an Dritte (natürliche oder juristische Personen, öffentliche oder nichtöffentliche Stellen) oder das Bereithalten personenbezogener Daten zur Einsicht oder zum Abruf durch Dritte. Die Übermittlung von Daten kann dabei in jeder Kommunikationsform geschehen. Es ist unerheblich, ob die Informationen im Gespräch (also von Angesicht zu Angesicht oder per Telefon), per Brief, per Fax, mittels oder durch elektronischen Abruf weitergegeben werden. Sperren Hierunter versteht man, dass gespeicherte Daten grundsätzlich nicht mehr weiterverarbeitet (also beispielsweise genutzt oder übermittelt) werden dürfen. Dies trifft zu, wenn Daten für den ursprünglichen Zweck nicht mehr benötigt werden, aber wegen vorgeschriebener Aufbewahrungsfristen noch nicht gelöscht werden dürfen. Löschen Das Datenschutzgesetz spricht hier vom Unkenntlichmachen gespeicherter Daten. Gemeint ist damit das unwiederbringliche Vernichten von Informationen. Auch hierbei wird der Begriff automatisch mit EDV in Verbindung gebracht. Mit der Löschung von Daten ist aber nicht nur das Vernichten elektronisch gespeicherter Daten gemeint, sondern auch das von Papier. Nutzen Datennutzung ist jede Verwendung personenbezogener Daten, soweit es sich nicht um eine Verarbeitung handelt. Hierunter fällt insbesondere die Weitergabe von Daten innerhalb der speichernden Stelle mit anderen Aufgaben oder anderem örtlichen Zuständigkeitsbereich. An Schulen liegt beispielsweise eine Nutzung insbesondere dann vor, wenn personenbezogene Daten von Schülerinnen und Schülern von der Schulverwaltung an die Lehrkräfte weitergegeben werden oder die entsprechenden Daten von diesen abgerufen werden können. Anonymisieren Unter Anonymisierung versteht man die Veränderung personenbezogener Daten derart, dass die Einzelangaben über persönliche und sachliche Verhältnisse nicht mehr oder nur mit unverhältnismäßigem Aufwand einer Person zugeordnet werden können. Pseudonymisieren Die Pseudonymisierung personenbezogener Daten verfolgt das gleiche Ziel wie die Anonymisierung mit dem Unterschied, dass eine Wiederherstellung des Personenbezugs möglich ist.

5 5 Grundsatz der Verhältnismäßigkeit Manchmal ist es so, dass der Gesetzgeber nicht alle Einzelheiten des Lebens regeln kann. Dann gilt das Verhältnismäßigkeitsprinzip, d.h. es dürfen nur solche Maßnahmen ergriffen werden, die erforderlich und angemessen sind. Die Maßnahme ist erforderlich, wenn kein milderes Mittel gleicher Eignung zur Verfügung steht, genauer: wenn kein anderes Mittel verfügbar ist, das in gleicher (oder sogar besserer) Weise geeignet ist, den Zweck zu erreichen, aber den Betroffenen weniger belastet. Angemessen (verhältnismäßig im engeren Sinn) ist eine Maßnahme nur dann, wenn die Nachteile, die mit der Maßnahme verbunden sind, nicht völlig außer Verhältnis zu den Vorteilen stehen, die sie bewirkt. Beispiele: Noten in der Mathematikarbeit werden vor den Mitschülern vom Lehrer verlesen. Damit alle Schüler ihre Leistungen mit denen der anderen Mitschüler vergleichen können, genügt jedoch ein Notenspiegel. So werden die sinnvollen Informationen anonym weitergegeben, ohne dass personenbezogene Daten preisgegeben werden müssen. In einem Ausbildungsbetrieb wird Arbeitskleidung verteilt, in die ein RFID-Chip (Radio Frequency Identification) eingenäht ist. Mithilfe dieses Chips werden Toilettenaufenthalte der Mitarbeiter registriert und vom Arbeitszeitkonto abgebucht: Weder erforderlich noch angemessen! Weder erforderlich noch angemessen wäre eine Videoüberwachung in Klassen-/ Kursräumen, um etwaige Sachbeschädigungen durch Schüler zu dokumentieren. Ein solches Gesetz oder eine derartige von der Schule angeordnete Maßnahme würde als umfassende Verhaltenskontrolle (Datenerhebung) das Datenschutzgrundrecht in einem Maße einschränken, das nicht mehr im ausgewogenen Verhältnis zum verfolgten Zweck Dokumentation von Sachbeschädigungen stünde. Leider wird gelegentlich über die verfassungsrechtlichen Grenzen, wozu auch das Verhältnismäßigkeitsprinzip zählt, hinausgeschossen.

6 6 Beispiele: Es wurde versucht, private PCs mithilfe von Spionageprogrammen heimlich zu überwachen (sog. Staatstrojaner bzw. Online-Hacking). Private Pkw-Kennzeichen sollten auf Autobahnen flächendeckend und ohne besonderen Anlass automatisch gelesen, gespeichert und zu verschiedenen Zwecken verarbeitet werden. Telekommunikationsdaten sollten auf Vorrat gespeichert und ohne Berücksichtigung der Schwere eines Tatverdachts an die Strafverfolgungsbehörden weitergegeben werden, wie jüngst in Form von unzulässiger Mitarbeiterüberwachung bzw. unzulässiger Datenerhebung in der Privatwirtschaft geschehen. Datenschutz im WWW Ein Überblick über Gesetze Wenn es darum geht, die rechtlichen Grundlagen für den Umgang mit eigenen und fremden Daten im Internet ausfindig zu machen, kommen in Betracht: Bundesdatenschutzgesetz (BDSG) Telemediengesetz (TMG) Kunsturhebergesetz (KUG) Das Bundesdatenschutzgesetz Das Bundesdatenschutzgesetz stammt ursprünglich aus einer Zeit, als es noch kein Internet gab. Ausdrückliche Regelungen zu Fragen, die mit der Verarbeitung personenbezogener Daten bei der Nutzung des Internets im Zusammenhang stehen (Bewertungsportale, Social Communities, Identitätsdiebstahl; Identitätsmanagement, Scoring), wird man dort nicht finden. Auszug aus dem Gesetzestext: 1 Zweck und Anwendungsbereich des Gesetzes 1) Zweck dieses Gesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. (2) Dieses Gesetz gilt für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch nicht-öffentliche Stellen, soweit sie die Daten unter Einsatz von Datenverarbeitungsanlagen verarbeiten, nutzen oder dafür erheben oder die Daten in oder aus nicht automatisierten Dateien verarbeiten, nutzen oder dafür erheben, es sei denn, die Erhebung, Verarbeitung oder Nutzung der Daten erfolgt ausschließlich für persönliche oder familiäre Tätigkeiten.

7 7 Die Rechte, die uns die nötige Sicherheit im Internet garantieren, werden durch weitere Gesetze abgedeckt. Zum Beispiel durch Das Telemediengesetz Das im Jahr 2007 in Kraft getretene neue Telemediengesetz (TMG) regelt beispielsweise den Schutz personenbezogener Daten bei der Nutzung von Telemediendiensten. Telemedien sind alle elektronischen Informations- und Kommunikationsdienste, es sei denn, es handelt sich um Telekommunikation oder Rundfunk. Beispiele für Teledienste: Angebote zur Individualkommunikation (z. B. Online-Banking) Angebote zur Information oder Kommunikation, bei denen die redaktionelle Gestaltung zur allgemeinen Meinungsbildung nicht im Vordergrund steht (z. B. Börsenticker, Wetter- oder Verkehrsdaten, Online-Kataloge) Angebote zur Nutzung des Internets (Access-Provider) Angebote zur Nutzung von Telespielen Angebote von Waren oder Dienstleistungen in elektronisch abrufbaren Datenbanken mit interaktivem Zugriff und unmittelbarer Bestellmöglichkeit (Online-Shops und Auktionshäuser wie ebay) Web 2.0- Kommunikationsangebote wie Twitter Die datenschutzrechtlichen Regelungen in BDSG und TMG gehen von den Grundsätzen der Erforderlichkeit, der Zweckbindung, des Systemdatenschutzes und der Datensparsamkeit bzw. der Datenvermeidung aus. Zweckbindung Aufklärung der Nutzer Wie auch im allgemeinen Datenschutzrecht ist die Erhebung und Verarbeitung personenbezogener Daten im Online-Bereich nur zulässig, soweit sie gesetzlich gestattet ist oder der Betroffene einwilligt. Es gilt der Grundsatz der Zweckbindung, das bedeutet, dass der Betroffene über Art, Umfang, Ort und Zweck der Erhebung und Nutzung seiner Daten vor deren Erhebung zu informieren ist. Das geschieht üblicherweise in den Datenschutzerklärungen auf den entsprechenden Seiten. Auch hat der Nutzer das Recht, eine Auskunft über die zu seiner Person gespeicherten Daten unentgeltlich auch auf elektronischem Wege und auch bei kurzfristiger Speicherung der Daten zu erhalten. Systemdatenschutz Technische Vorkehrungen Der Systemdatenschutz, ein sehr technischer Begriff, aber eine wirklich wichtige Sache, soll bewirken, dass bereits die Verarbeitung personenbezogener Daten einer datenschutzrechtlichen

8 8 Kontrolle unterliegt. Man versucht nämlich, durch geschaffene Strukturen wie eine dateneinsparende Organisation der Übermittlung, der Abrechnung und Bezahlung sowie die technischorganisatorische Trennung der Verarbeitungsbereiche Bestands- und Nutzungsdaten werden z.b. unterschieden und getrennt voneinander geregelt die Erhebung und Verarbeitung personenbezogener Daten zu vermeiden. Die Erstellung von Nutzungsprofilen ist außerdem nur bei der Verwendung von Pseudonymen zulässig. Dem Diensteanbieter ist es nur dann gestattet, Abrechnungsdaten auch für die Aufklärung der missbräuchlichen Inanspruchnahme seiner Dienste zu nutzen, wenn ihm tatsächliche Anhaltspunkte für einen entsprechenden Missbrauchsfall vorliegen. Personenbezogene Nutzungsdaten sind frühestmöglich, spätestens unmittelbar nach Ende der jeweiligen Nutzung zu löschen, sofern es sich nicht um Abrechnungsdaten handelt. Kunsturhebergesetz Das im Kunsturhebergesetz (KUG) aus dem Jahr 1907 anerkannte Recht am eigenen Bild" ( 22 KUG) berechtigt jeden Menschen, darüber zu entscheiden, ob eine Ablichtung, die ihn zeigt, verbreitet oder öffentlich zur Schau gestellt werden darf. Eine Veröffentlichung ohne die erforderliche Einwilligung des Betroffenen ist sogar mit Strafe bedroht ( 33 KUG). Vor jeder Veröffentlichung muss daher die Frage geprüft werden, ob eine Einwilligung der abgebildeten Personen erforderlich ist. Dies ist besonders im Falle von Sozialen Netzwerken mit der Möglichkeit, Fotoalben anzulegen und Personen auf Bildern zu verlinken, von großer Bedeutung. Der Gesetzgeber hat eine Reihe von Ausnahmen vorgesehen, in denen Fotografien auch ohne Einwilligung veröffentlicht werden dürfen. Dies betrifft z.b. Bilder, auf denen Personen nur als Beiwerk neben einer Landschaft oder sonstigen Örtlichkeit erscheinen. Die abgebildeten Personen dürfen nicht Zweck der Aufnahme sein. Nur wenn die Gewichtung bei der Motivwahl dergestalt erfolgte, dass die abgebildeten Personen jederzeit weggelassen werden könnten, ohne dass der Gesamteindruck des Bildes verändert würde, bedarf es zur Veröffentlichung keiner Einwilligung der abgebildeten Personen. Auch für Bilder von Veranstaltungen und Versammlungen muss vor der Veröffentlichung keine Einwilligung der Abgebildeten eingeholt werden. Dies gilt aber nur dann, wenn auf den Bildern die Veranstaltungen als solche und nicht die teilnehmenden Personen im Vordergrund stehen. Je mehr Bedeutung die abgebildeten Personen erhalten, desto eher lebt die Einwilligungspflicht wieder auf. Eine weitere wichtige Ausnahme bildet die Veröffentlichung von Fotos, die Personen der Zeitgeschichte (also insb. Prominente) zeigen.

9 9 Die Missachtung des Persönlichkeitsrechts kann neben strafrechtlichen Konsequenzen auch zivilrechtliche Folgen nach sich ziehen: Betroffene haben die Möglichkeit, neben Beseitigungsund Unterlassungsansprüchen auch Schadensersatz- oder Schmerzensgeldansprüche im Falle der Verletzung des Rechts am eigenen Bild geltend zu machen. In einer Untersuchung zur Mediennutzung 12 bis 19-Jähriger gaben 38% aller befragten Jugendlichen an, bereits Videos oder Fotos anderer ohne deren Wissen in Social Communities eingestellt zu haben. Es ist daher besonders wichtig, den Jugendlichen zu verdeutlichen, dass es das Recht am eigenen Bild gibt, also umgekehrt auch die Pflicht, dieses anzuerkennen und entsprechend vor einer Veröffentlichung den Abgelichteten oder die Abgelichtete um Erlaubnis zu fragen. Brauchen wir ein Internetdatenschutzgesetz? Es gibt nicht wenige Stimmen, die behaupten, das Geflecht aus Telemediengesetz, Datenschutzgesetz usw. würde nicht mehr den Erfordernissen der neuen Internetwelt entsprechen. Dazu schreibt Peter Schaar, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, in seinem Blog u. a. Folgendes: das Telemediengesetz (enthält) enge Vorgaben für die Anbieter von Internet- Diensten, etwa zum Umgang mit den Nutzungsdaten. Hier besteht also eher ein Umsetzungs- als ein Gesetzgebungsdefizit. (...) Gesetzlichen Regelungsbedarf sehe ich eher im Hinblick auf die Verwertung personenbezogener Daten. So wäre es tatsächlich sinnvoll zu verbieten, dass Informationen über die Gesundheit, sexuelle Orientierung oder vergleichbar sensiblen Charakters außerhalb des von den Betroffenen bestimmten Kontextes verwendet werden, auch dann, wenn der Betroffene sie über das Internet zugänglich gemacht hat. Im diskutierten Fall der Personalauswahl könnten derartige Vorgaben in einem Arbeitnehmerdatenschutzgesetz erfolgen, das Vertreter/innen aller im Bundestag vertretenen Parteien für die nächste Legislaturperiode angekündigt haben.). Die neue Justizministerin Leutheusser-Schnarrenberger hat als ihr größtes Projekt die "umfassende Modernisierung des Datenschutzes" angegeben. Dazu erforderlich sei ein "Dialog über die Herausforderungen im Internet, der die klassischen Frontstellungen überwindet". Konkret habe Schwarz-Gelb zudem bereits im Koalitionsvertrag die Einrichtung einer "Stiftung Datenschutz" nach dem Vorbild der "Stiftung Warentest" verabredet. Diese solle ein "Gütesiegel" vergeben. Bleibt also abzuwarten, was die aktuelle Legislaturperiode bringt.