Berliner Beauftragter für Datenschutz und Informationsfreiheit

Transkript

1 Berliner Beauftragter für Datenschutz und Informationsfreiheit Dr. Alexander Dix Berliner Beauftragter für Datenschutz und Informationsfreiheit An der Urania 4 10, Berlin Europäische Kommission Generaldirektion für Justiz, Freiheit und Sicherheit Unit D 5 Datenschutz B 1049 Brüssel GeschZ. (bitte angeben) Bearbeiter(in) Tel.: (030) Durchwahl App.: Datum Herr Dr. Dix 31. Dezember 2009 Öffentliche Konsultation zum Rechtsrahmen für das Grundrecht auf Datenschutz Im Rahmen der öffentlichen Konsultation nehme ich zu dem Rechtsrahmen für ein Grundrecht auf Datenschutz wie folgt Stellung: Zunächst unterstütze ich nachdrücklich die gemeinsame Stellungnahme der Arbeitsgruppe nach Artikel 29 der Richtlinie 95/46/EG und der Arbeitsgruppe der Europäischen Datenschutzkonferenz zu Polizei und Justiz vom 1. Dezember 2009 (Working Paper 168) The Future of Privacy, die im Rahmen dieser Konsultation abgegeben worden ist. Ergänzend dazu weise ich darauf hin, dass auch in der Bundesrepublik Deutschland gegenwärtig eine Diskussion über die zwingend notwendige Modernisierung des Datenschutzrechts stattfindet, die bereits zu lange aufgeschoben wurde. In diesem Zusammenhang haben wir eine Ergänzung des vorhandenen Rechtsrahmens insbesondere für die Internet-Nutzung vorgeschlagen, die die im Folgenden genannten Punkte betreffen. Sie könnten entweder in eine geänderte Richtlinie oder ein künftiges Europäisches Datenschutzgesetz nach Art. 16 des Vertrages über die Arbeitsweise der Europäischen Union aufgenommen werden. 1. Suchmaschinen A. Widerspruchsrecht der Betroffenen gegen die Veröffentlichung einzelner Suchergebnisse durch Suchmaschinen Die im Internet verfügbaren Suchmaschinen erlauben auch eine Suche nach personenbezogenen Daten. Dadurch können an verschiedenen Stellen im Internet veröffentlichte Daten über einen Betroffenen von jedermann zusammengeführt werden. Je nach Umfang der über Sprechzeiten: tgl Uhr, Do Uhr oder nach Vereinbarung Besuchereingang: An der Urania 4-10 auch für Behinderte U1, U2 und U3: Nollendorfplatz, Wittenbergplatz S-Bahnhof: Zoologischer Garten Bus: M29, 100, 187 Fax: (030) mailbox@datenschutz-berlin.de Internet:

2 - 2 - den Betroffenen veröffentlichten Daten kann dies bis zur Erstellung eines Persönlichkeitsprofils reichen. Die Betroffenen haben jedoch bisher gegenüber Anbietern von Suchmaschinen keine spezifischen Rechte. Sie können insbesondere nicht selbst darüber bestimmen, welche Teile der über sie im Internet verfügbaren Informationen Bestandteil der Suchergebnisliste werden sollen und welche nicht. Dies scheitert schon daran, dass Anbieter von Suchmaschinen im Regelfall jedenfalls nicht als Primärverantwortliche für die Verarbeitung der personenbezogenen Daten angesehen werden. Mag auch die Veröffentlichung der jeweiligen Einzelangaben in den verschiedenen Internet- Angeboten rechtmäßig sein, so kann deren Zusammenschau als Ergebnis eines Suchvorgangs einer Suchmaschine mit zusätzlichen Gefährdungen des Persönlichkeitsrechts der Betroffenen verbunden sein. Aufnahme eines Widerspruchsrechts für die Betroffenen gegenüber Anbietern von Suchmaschinen in Bezug auf die Einbeziehung einzelner im Internet veröffentlichter personenbezogener Daten in Suchergebnislisten (Hinweis: Das Widerspruchsrecht aus Art. 14 (a) der Richtlinie 95/46/EG reicht wegen der dort vorgesehenen Voraussetzungen... aus überwiegenden, schutzwürdigen, sich aus einer besonderen Situation ergebenden Gründen... nicht aus). B. Gesetzliche Verpflichtung der Anbieter von Suchmaschinen, Indexierungsverbote durch Anbieter von websites zu beachten Die gegenwärtig existierenden Mechanismen (z.b. robots.txt ), mit denen Anbieter von websites in ihren Angeboten enthaltene Daten (einschließlich personenbezogener Daten) von der Indexierung durch Suchmaschinen ausnehmen können, haben keine gesetzlich bindende Wirkung. en Aufnahme einer entsprechenden gesetzlichen Verpflichtung (beschränkt auf personenbezogene Daten) für Anbieter von Suchmaschinen in die Richtlinie oder ein künftiges Europäi-

3 - 3 - sches Datenschutzgesetz nach Art. 16 des Vertrages über die Arbeitsweise der Europäischen Union. C. Entfernung personenbezogener Daten aus Suchergebnissen nach deren Löschung auf der ursprünglichen Website Nach der Löschung personenbezogener Daten eines Betroffenen von der Website, auf der sie ursprünglich veröffentlicht worden sind, sind diese personenbezogenen Daten oder Teile davon vielfach noch in Suchergebnissen von Suchmaschinen (entweder als Teil des Suchergebnisses selbst oder in sog. Cache Kopien) verfügbar. Für die Betroffenen ist es schon aufgrund der Vielzahl der Suchmaschinen-Anbieter in der Regel nicht möglich, eine zeitnahe Entfernung dieser Daten aus dem Suchergebnissen der Suchmaschinen-Anbieter zu erwirken. Eine ausdrückliche gesetzliche Verpflichtung der verantwortlichen Stelle für diejenige Website, auf der die Daten ursprünglich veröffentlicht worden sind, die Löschung auch bei den Anbietern von Suchmaschinen (z.b. durch Neuindexierung ihres Angebots) zu erwirken, fehlt bisher. Gleichzeitig ist aus Sicht der Betroffenen auch das Verhalten der Suchmaschinen-Anbieter in Bezug auf die Löschung personenbezogener Daten aus Suchergebnissen oder cache- Kopien vielfach unbefriedigend: Diese setzen Löschungsbegehren der Betroffenen teilweise nur mit erheblicher zeitlicher Verzögerung um. Insbesondere die Aktualisierungszyklen der Suchergebnisse für einzelne Websites sind vielfach zu lang, um eine zeitnahe Entfernung von auf der ursprünglichen Website gelöschten Daten in den Suchergebnissen von Suchmaschinen sicherzustellen. en a) Ausdrückliche gesetzliche Verpflichtung der für die ursprüngliche Veröffentlichung der Daten verantwortlichen Stelle, nach Löschung der Daten aus dem eigenen Internet-Angebot auch deren Entfernung bei Anbietern von Suchmaschinen zu erwirken. b) Gesetzliche Verpflichtung der Anbieter von Suchmaschinen, derartige Löschungen (unabhängig davon, ob das Löschungsbegehren von dem Betroffenen oder dem Betreiber der Website stammt, die die Daten des Betroffenen ursprünglich veröffentlicht hat) unverzüglich umzusetzen.

4 2.- Bewertungsportale A. Widerspruchsrecht für Betroffene Gegenwärtig haben Betroffene keine Handhabe gegen die Veröffentlichung von sie betreffenden Bewertungen in Bewertungsportalen. Aufnahme eines Widerspruchsrechts in die Richtlinie oder ein Europäisches Datenschutzgesetz. Dieses könnte unter Umständen mit einer Interessenabwägung verbunden werden, die dem Betroffenen allerdings geringere Darlegungspflichten auferlegen sollte als gegenwärtig im deutschen Bundesdatenschutzgesetz ( 35 Abs. 5 BDSG) vorgesehen. Gleichzeitig sollten die Anbieter verpflichtet werden, die Betroffenen auch über dieses neue Widerspruchsrecht zu informieren. B. Indexierung der Daten Betroffener in Bewertungsportalen durch Suchmaschinen Viele Bewertungsportale erlauben gegenwärtig die Indexierung ihrer Angebote einschließlich der darin enthaltenen personenbezogenen Daten durch Suchmaschinen. Abhängig von verschiedenen Faktoren, wie z. B. dem verwendeten Algorithmus für das Ranking der einzelnen Suchergebnisse sowie der Popularität der Bewertungsplattform und dem Umfang der ansonsten über den Betroffenen im Internet verfügbaren Daten werden die Suchtreffer von Bewertungsportalen in vielen Fällen in den vorderen Positionen der Suchergebnislisten ausgewiesen. Dies trägt einerseits zur Bildung von Persönlichkeitsprofilen der Betroffenen bei, weil damit sehr leicht ein Zusammenhang zwischen Daten über ihre berufliche Tätigkeit und sonstigen ggf. verfügbaren personenbezogenen Daten hergestellt werden kann. Zum anderen dient die Indexierung durch Suchmaschinen überwiegend der Bewerbung des entsprechenden Bewertungsportals. Ein Zusammenhang mit dem unmittelbaren Zweck des Bewertungsportals (z. B. Informationen über Bewertung von Dienstleistungen einer bestimmten Berufsgruppe wie z. B. Berufsschullehrern) ist dagegen nicht erkennbar. Aufnahme einer Regelung in die Richtlinie oder ein Europäisches Datenschutzgesetz, die die Indexierung der Daten von Einzelpersonen durch Suchmaschinen in Bewertungsportalen an die Einwilligung des bzw. der Betroffenen knüpft.

5 Soziale Netzwerke A. Verpflichtung der Anbieter, Nutzer auf mit der Veröffentlichung personenbezogener Daten verbundene Risiken hinzuweisen Über die allgemeinen Informationspflichten gegenüber den Nutzern hinsichtlich der Verarbeitung ihrer personenbezogenen Daten hinaus fehlt es bisher an einer ausdrücklichen Verpflichtung der Anbieter sozialer Netzwerke, Nutzer auf die möglichen Risiken hinzuweisen, die mit der Veröffentlichung ihrer personenbezogenen Daten in sozialen Netzwerken verbunden sein können. Dies betrifft insbesondere die gegenwärtig technisch kaum zu verhindernde zweckfremde Nutzung durch Dritte. Viele Anbieter sozialer Netzwerke weisen auf derartige Risiken bisher entweder gar nicht oder jedenfalls nicht mit der gebotenen Deutlichkeit hin. Ergänzung der Informationspflichten der Daten verarbeitenden Stellen in BDSG und TMG um eine entsprechende Verpflichtung (jedenfalls für Anbieter, die Betroffenen die Veröffentlichung eigener personenbezogener Daten ermöglichen; unter Umständen kann diese Verpflichtung auch breiter gefasst werden). B. Verbot der Nutzung von Daten aus sozialen Netzwerken im Arbeitsverhältnis Presseberichten zufolge geben zahlreiche Arbeitgeber bei Umfragen an, bei der Auswahl von Bewerbern auch gezielt im Internet nach personenbezogenen Daten über diese zu suchen (u. a. in privaten Karriere-Portalen und sozialen Netzwerken, wie Facebook oder StudiVZ; in einer kürzlichen Umfrage des dimap-instituts gaben 28% der befragten Unternehmen an, so zu verfahren. Bereits 2008 hatte in einer anderen Umfrage ein Drittel aller befragten Personalverantwortlichen angegeben, für ihre Arbeit Daten aus sozialen Netzwerkdiensten zu nutzen, z. B. zur Überprüfung und/oder Vervollständigung von Bewerberdaten 1 ). In Finnland existiert ein weitgehendes Verbot derartiger Praktiken (Sec. 4 Act on the Protection of Privacy in Working Life 759/2004).

6 - 6 - Aufnahme einer dem finnischen Modell entsprechenden Regelung entweder in die Richtlinie oder ein künftiges Europäisches Datenschutzgesetz. C. Verpflichtung der Anbieter zu datenschutzfreundlichen Standardeinstellungen Viele Anbieter sozialer Netzwerke erlauben ihren Nutzern, die im Kreis der Zugriffsberechtigten auf in Nutzerprofilen enthaltene personenbezogene Daten zu begrenzen (z. B. auf Freunde ). Allerdings sind die vom Anbieter vorgegebenen Standardeinstellungen vielfach so gewählt, dass sie eine möglichst umfassende Sichtbarkeit der personenbezogenen Daten für andere Nutzer zur Folge haben. Facebook hat seine Grundeinstellungen gerade in dieser datenschutzunfreundlichen Weise verändert. Gleichzeitig ist bekannt, dass nur sehr wenige Nutzer Standardeinstellungen überhaupt modifiziert. Das gegenwärtige Datenschutzrecht enthält keine ausreichend klare Handhabe, Anbieter sozialer Netzwerkdienste zu datenschutzfreundlichen Voreinstellungen zu verpflichten. Aufnahme einer entsprechenden Vorschrift in die Richtlinie oder ein künfitges Europäisches Datenschutzgesetz. Mit freundlichen Grüßen gez. Dr. Alexander Dix, LL.M. 1 vgl. Bericht und Empfehlung zum Datenschutz in sozialen Netzwerkdiensten Rome Memorandum der International Working Group on Data Protection and Telecommunications Fußnote 11