Constantin von Stechow Datenschutz durch Technik Rechtliche Forderungsmoglichkeiten von Privacy Enhancing Technologies am Beispiel dervideouberwachung Mit einem Geleitwort von Prof. Dr. Alexander RoRnagel Deutscher Universitats-Verlag
Inhaltsverzeichnis 1 Einleitung 1 1.1 Einfuhrung 1 1.2 Fragestellung der Arbeit 2 1.3 Gang der Untersuchung 3 2 Grundlagen datenschutzfordernder Technik 7 2.1 Rolle der Technik in drei Jahrzehnten deutschen Datenschutzrechts 7 2.1.1 Geschichte des Datenschutzrechts unter Beriicksichtigung der technischen Veranderungen 7 2.1.1.1 Beginn des Datenschutzrechts 7 2.1.1.2 Volkszahlungsurteil und seine Folgen 10 2.1.1.3 Dritte Generation des Datenschutzrechts 12 2.1.2 Technische Veranderungen seit Beginn der Datenschutzgesetze 14 2.1.2.1 Uberblick iiber die technische Weiterentwicklung 14 2.1.2.2 Entwicklung hin zur Miniaturisierung 15 2.1.2.3 Entwicklung der Videotechnik 17 2.1.2.4 Zwischenergebnis 19 2.2 RechtaufinformationelleSelbstbestimrnung 19 2.2.1 Definition des Datenschutzes 19 2.2.2 Definition des Rechts auf informationelle Selbstbestimmung 21 2.2.3 Schutzgehalt des Rechts auf informationelle Selbstbestimmung 23 2.2.4 Anwendung des Rechts auf informationelle Selbstbestimmung gegeniiber Privaten 25 2.2.5 Soziologische Betrachtung 27 2.2.5.1 Zusammenhang zwischen Technikrevolution und Personlichkeitsschutz 27 2.2.5.2 Informationelle Privatheit 27 2.2.5.3 Informationen als Lebenssachverhalte in Handen Dritter 29 2.2.5.4 Folgen von Privatheitsverletzung 30 2.3 Drei Auspragungen datenschutzfordernder Technik 30 2.3.1 Selbstdatenschutz 31 2.3.2 Grunddatenschutz 32 2.3.3 Datentransparenz 34 2.4 Idee datenschutzfordernder Technik 37 2.4.1 Entstehung der Idee unter rechtlichen Aspekten 38 XI
2.4.2 Entstehung der Idee unter technischen Aspekten 41 2.4.3 Unterstiitzung des Rechts durch Technik 42 2.4.4 Definitionen datenschutzfordernder Technik 44 2.4.4.1 Datenschutzbegriff 44 2.4.4.2 Technikbegriff 45 2.4.4.3 Forderungsbegriff 46 2.4.4.4 Herrschender rechtlicher Definitionsansatz 46 2.4.4.5 Technische Definitionsansatze 47 2.4.4.6 Neue rechtliche Definition 48 2.4.4.7 Abgrenzung zu mehrseitiger Sicherheit 49 2.5 Anwendungen im Bereich datenschutzfordernder Technik 50 2.5.1 Selbst-und Grunddatenschutzanwendungen 50 2.5.2 Transparenzschaffende Anwendungen 51 2.5.3 Privacy Filter 53 2.5.3.1 Beschreibung und Funktionsweise 53 2.5.3.2 Grundrechtsbeeintrachtigung bei Videouberwachung 53 2.5.3.3 Datenschutzfordernde Technik 55 3 Forderungswurdigkeit von datenschutzfordernder Technik 57 3.1 Zunahme von Daten als Folge des technischen Fortschritts 57 3.1.1 Vorteile von Datensammlungen 57 3.1.2 Gefahren von Datensammlungen 58 3.2 Datenschutzfordernde Technik als Losung 60 3.2.1 Schwache traditioneller Rechtsinstrumente 60 3.2.2 Marktkraft datenschutzfordemder Technik 60 3.2.3 Vorteile datenschutzfordernder Technik 61 3.3 Forderungswurdigkeit des Privacy Filters 64 3.3.1 Vorteile der Videouberwachung 64 3.3.2 Gefahren der Videouberwachung 65 3.3.3 Datenschutzfordernde Videouberwachung - der Privacy Filter 66 4 Rechtliche Forderung datenschutzfordernder Technik,,de lege lata" 69 4.1 Internationales Recht 69 4.1.1 Organisation fur wirtschaftliche Zusammenarbeit und Entwicklung 69 4.1.2 Vereinte Nationen 70 4.1.3 Europarat 70 XII
4.2 Europaische Union 72 4.3 Technische MaBnahmen nach 9 BDSG und der Anlage zu 9 BDSG 73 4.3.1 9BDSG 73 4.3.2 Die Regelungen der Anlage zu 9 BDSG im einzelnen 75 4.4 3a BDSG 78 4.4.1 Datenvermeidung/Datensparsamkeit 78 4.4.1.1 Historische und verfassungsgerichtliche Grundlagen 78 4.4.1.2 MoglicherKontextverlust 79 4.4.1.3 Datenvermeidung 80 4.4.1.4 Datensparsamkeit 81 4.4.1.5 Systemdatenschutz 83 4.4.2 Normadressat von 3a BDSG 84 4.4.3 Unterrichtungspflicht 85 4.4.4 Gestaltung und Auswahl von Datenverarbeitungssystemen 85 4.4.5 Datenvermeidung und Datensparsamkeit als Ziel 86 4.4.5.1 Programmsatz 87 4.4.5.2 Zielausrichtung 87 4.4.5.3 Prufungszwang 87 4.4.5.4 Zielvorgabe 87 4.4.5.5 Zwischenergebnis 88 4.4.6 3aSatz2BDSG 90 4.4.6.1 Anonymitat 90 4.4.6.2 Pseudonymitat 93 4.4.6.3 Vorbehalt des Moglichen und des angemessenen Aufwands 97 4.5 Datenschutzaudit nach 9a BDSG 99 4.6 38a BDSG als Selbstregulierung 99 4.7 Transparenz als datenschutzfordernde Technik im BDSG 100 4.8 Weitere Bundesgesetze mit Bestimmungen zur Forderung datenschutzfordernder Technik 101 4.8.1 Einwilligungsproblematik 101 4.8.2 Konkretisierung des Datensparsamkeitsgrundsatzes 102 4.8.3 Weitere Ansatze zur FSrderung datenschutzfordernder Technik 102 4.9 Implementierung datenschutzfordernder Technik in Landesrecht 102 4.9.1 Landesdatenschutzgesetze 103 4.9.1.1 Datenvermeidung/Datensparsamkeit 103 XIII
4.9.1.2 Grunddatenschutz 103 4.9.1.3 Gesetzliche Einsatzverpflichtung der Sffentlichen Verwaltung 104 4.9.1.4 Auditverfahren 104 4.9.2 Polizeidatenschutz 105 4.10 Rechtliche Forderung am Beispiel des Privacy Filters 106 4.10.1 Videouberwachung im Sinne des 6b BDSG 106 4.10.1.1 Beobachtung 106 4.10.1.2 Optisch-elektronische Einrichtung 108 4.10.1.3 Offentlich zuganglicher Raum 108 4.10.1.4 Anwendung auf den Privacy Filter 110 4.10.2 6b Abs. 1 und Abs. 3 BDSG 110 4.10.2.1 Zweckbestimmungen 110 4.10.2.2 Erforderlichkeit 111 4.10.2.3 Abwagung 112 4.10.2.4 Verarbeitung und Nutzung 112 4.10.2.5 Anwendung auf den Privacy Filter 113 4.10.3 6b BDSG und Transparenz 113 4.10.4 Andere Datenschutzvorschriften 113 4.10.4.1 3a BDSG 113 4.10.4.2 9 BDSG 115 4.10.4.3 Weitere bundesrechtlichen Vorschriften 115 4.10.4.4 Landesrecht 115 Rechtliche Forderung,,de lege ferenda" 117 5.1 Risiken und Herausforderungen bei der Rechtsetzung 117 5.1.1 Gleichgewicht zwischen Grunddatenschutz und Selbstdatenschutz 117 5.1.2 Akzeptanz 118 5.1.3 Weltpolitische Lage 119 5.1.4 RechtswissenschaftlicheTechnikfolgenforschung 119 5.1.5 Technikhersteller als Adressaten 120 5.1.6 MiBbrauch von Technik 120 5.2 Konzepte fur die rechtliche Forderung datenschutzfordernder Technik 121 5.2.1 VorschlSge aus der Literatur 121 5.2.1.1 Gutachten zur Modernisierung des Datenschutzrechts 121 5.2.1.2 OECD inventory of PETs" 121 XIV
5.2.2 Vorbilder anderer Rechtssysteme und Landesrecht 122 5.2.3 Unterschiedliche Arten von Rechtsquellen 123 5.2.3.1 Gesetze 123 5.2.3.2 Zielfestlegungen 124 5.2.3.3 Rechtsverordnungen 125 5.2.3.4 Verwaltungsvorschriften 126 5.3 Moglichkeiten der rechtlichen Forderung durch gesetzliche Forderung bestimmter vor allem technischer MaBnahmen 126 5.3.1 Verscharfung des 3a BDSG 126 5.3.2 Modemisierung des 9 BDSG 130 5.3.3 Aufklarungspflichten des Herstellers 132 5.3.4 Prufpflichten des Herstellers 133 5.3.5 Schadensersatzvorschriften 135 5.3.5.1 Ersatz von Nichtvermogensschaden 136 5.3.5.2 Indizwirkung der Rechtswidrigkeit 137 5.3.5.3 Schadenspauschalen 138 5.4 Moglichkeiten der rechtlichen Forderung durch Schaffung von Anreizsystemen 138 5.4.1 Datenschutz und datenschutzfordernde Technik als Wettbewerbsvorteil 138 5.4.2 Auditverfahren 142 5.4.2.1 Verfahrensaudit 144 5.4.2.2 Produktaudit 146 5.4.2.3 Vorbild- und Marktfunktion der offentlichen Verwaltung 149 5.5 Moglichkeiten der rechtlichen Forderung durch regulierte Selbstregulierung 150 5.5.1 Vorteile 151 5.5.2 Nachteile und Schwierigkeiten 153 5.5.3 Vorschlag 154 5.6 Vereinbarkeit mit Europaischem Wirtschaftsrecht 156 5.7 Zukiinftige rechtliche Forderung am Beispiel des Privacy Filters 158 5.7.1 Rechtliche Forderung durch gesetzliche Forderung bestimmter vor allem technischer MaBnahmen 158 5.7.2 Rechtliche Forderung durch Schaffung von Anreizsystemen 159 5.7.3 Rechtliche Forderung durch regulierte Selbstregulierung 159 6 Vision datenschutzfordernder Technik 161 Literaturverzeichnis 163 XV