Dr. Astrid Breinlinger Abschaffung des Listenprivilegs - Zum Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes (BDSG) (Stand: 22.10.2008) 1. Vorbemerkung Seitdem seit Sommer diesen Jahres immer neue Datenschutzskandale aufgedeckt worden sind und weiterhin werden, die in erschreckendem Ausmaß die Möglichkeiten des Abhandenkommens von personenbezogenen Daten und darauf folgend ebenso illegale Nutzungen aufzeigen, ist wieder einmal - der Ruf nach neuen Gesetzen bzw. Rechtsvorschriften sowie eine mehr oder weniger aufgeregte Diskussion der beteiligten Interessen voll entbrannt. Die Schnelligkeit, die seitens der beteiligten Behörden und Ministerien seitdem an den Tag gelegt wird, ist beeindruckend: Wurden erst am 4.September 2008 auf einem Datenschutzgipfel unter Vorsitz des Bundesinnenministers Schäuble vor allem von den Verbraucherschutz- und Datenschutzinstanzen sehr umfassende Forderungen aufgestellt, so kursierte bereits 10 Tage später ein inoffizieller ministerieller Gesetzentwurf, dem dann am 22.10.2008 bis auf weniges unverändert ein weiterer offizieller Gesetzentwurf des Bundesinnenministeriums folgte 1. Zu diesem sollten bereits 8 Tage später die Fachverbände in einer Anhörung am 30.10.2008 ihre Stellungnahmen abgeben, was ihnen in mehr oder weniger ausführlicher Weise auch gelang. Nach bis auf wenige Stimmen einhelliger Meinung schießt der Entwurf allerdings über das erklärte Ziel, nämlich solche Skandale für die Zukunft zu verhindern, hinaus und beschränkt die Möglichkeiten von Unternehmen, werblichen Kontakt mit dem Verbraucher aufzunehmen, in einem drastischen Umfang, nämlich: Abschaffung des sog. Listenprivilegs; nur Spendenorganisationen dürfen noch Listendaten für Spendenwerbung benutzen. Die Interessenabwägung als Rechtsgrundlage ist nur noch für die Verarbeitung und das Nutzen personenbezogener Daten gegeben, wenn das Unternehmen die Daten beim Betroffenen selbst im Rahmen einer Verarbeitung nach 28 Abs. 1 Ziff. 1 BDSG erhoben hat. Jede andere Verarbeitung und Nutzung von personenbezogenen Daten für Zwecke der Werbung oder der Markt- oder Meinungsforschung ist nur aufgrund einer Einwilligung des Betroffenen zulässig. Die Praxis, eine Einholung der Einwilligung mit einem Vertrag zu anderen Gegenständen zu koppeln, wird eingeschränkt. Bußgeldregelungen werden ausgeweitet und die Bußgeldhöhen nahezu verdoppelt. Eine Informationspflicht bei Datenpannen wird geschaffen. 1 Leider wurde ausgerechnet der im ersten Entwurf noch enthaltene Kündigungsschutz des betrieblichen Datenschutzbeauftragten gestrichen.
Der Entwurf beinhaltet daneben auch eine Verbesserung der Aus- und Fortbildungsansprüche des betrieblichen Datenschutzbeauftragten und als Artikel 2 den Entwurf für ein Datenschutzauditgesetz. Der vorliegende Beitrag wird sich mit diesen letzten beiden Regelungsmaterien nicht auseinandersetzen; dies bleibt einem späteren Zeitpunkt vorbehalten. Ohne den Anspruch auf eine umfassende rechtliche Auseinandersetzung mit den beschriebenen Änderungsregelungen erheben zu wollen, bzw. besser: mangels Zeit erheben zu können, sollen im Folgenden einige rechtliche Überlegungen in Hinsicht auf übergeordnetes Recht skizziert werden. 2. Abwägung der betroffenen Grundrechte 28 Absatz 3 BDSG-E soll nunmehr allein auf den Zweck des Adresshandels, der Werbung oder der Markt- oder Meinungsforschung abstellen und schafft hierfür in Satz 1 eine gesetzliche Vermutung für ein überwiegendes Ausschlussinteresse des Betroffenen. Begründet wird dies damit, dass sich das Verhältnis der Bürgerinnen und Bürger zu Werbung und Markt- oder Meinungsforschung seit 1977 gewandelt habe und die gezielte Ansprache zum Zwecke der Werbung oder Markt- oder Meinungsforschung ( ) von den Bürgerinnen und Bürgern zunehmend als Belastung empfunden werde. Es mag zutreffen, dass viele Bürger immer noch von der bisher falschen Voraussetzung ausgehen, dass eine werbliche Nutzung ihrer Daten nur mit ihrer Einwilligung zulässig ist; dies zeigen die Erfahrungen der Aufsichtsbehörden. Im Bereich Datenschutz bestehen allerdings noch weitere gravierende Missverständnisse bzw. schlichte Unkenntnis der Rechtslage. So dürfte kaum einem Bürger bewusst sein, dass ohne sein Wissen geschweige denn Einverständnis in breitem Umfang seine Daten zwischen Behörden ausgetauscht werden (die gesetzlichen Grundlagen dazu wurden in den vergangenen 20 Jahren geschaffen) oder dass sein gesamter E-Mail- Verkehr, nicht nur der von im Zusammenhang eines Straf- oder Ermittlungsverfahrens Verdächtigen, im Rahmen der Vorratsdatenspeicherung mitgeloggt wird. Aus Sicht der Grundrechte stehen sich hier das informationelle Selbstbestimmungsrecht des Einzelnen und die Grundrechte der Freiheit der Berufsausübung (Art. 12 Abs. 1 GG) sowie auf wirtschaftliche Betätigungsfreiheit als Unterfall der allgemeinen Handlungsfreiheit nach Art. 2 Abs. 1 GG gegenüber. Das informationelle Selbstbestimmungsrecht ist als Recht des Einzelnen definiert, selbst über die Preisgabe und Verwendung seiner Daten zu bestimmen. 2 Allerdings ist dieses Recht nicht unbegrenzt gewährleistet. Da jeder sich auch in einem sozialen Umfeld bewegt, würde dies einen vom Grundgesetz ebenso gewollten aktiven und passiven Kommunikationsprozess beeinträchtigen, wenn nicht verunmöglichen. 3 Aufgrund des hohen Rang des Grundrechts darf es auch in der Auseinandersetzung mit anderen widerstrebenden Grundrechten nur soweit eingeschränkt werden, wie dies im überwiegenden Allgemeininteresse liegt. 4 2 Vgl. BVerfGE 65, 1 (43) Volkszählungsurteil 3 Simitis, Bundesdatenschutzgesetz, 6.Aufl 2006, 1 Rdnr. 86 4 BVerfGE 65, 1 (43 f) 2
Unternehmen muss andererseits ein Recht zur Information über ihre Angebote zugestanden werden. Auf diesem Recht basieren zu erheblichem Teil die Austauschbeziehungen und der wirtschaftliche Erfolg der Unternehmen. Dies dürfte gerade in Zeiten rückläufigen Wachstums äußerst wichtig sein. Die bisherige Regelung des Bundesdatenschutzgesetzes zur werblichen Nutzung spiegelt eben eine Abwägung dieser Grundrechtspositionen wieder, mag man die politischen Motive und Interessen hierfür gutheißen oder nicht. Wichtig ist, dass überhaupt eine Abwägung stattfindet. Einschränkende gesetzliche Regelungen können mit den hier dem informationellen Selbstbestimmungsrecht gegenüberstehenden Grundrechten kompatibel sein allerdings müssen sie gerechtfertigt sein durch Erforderlichkeit, Angemessenheit und Verhältnismäßigkeit der Mittel im Konkreten. Der Gesetzgeber hat auf dieser Basis die Grenze zwischen beiden Grundrechtsbereichen festzulegen. Keiner der beiden betroffenen Grundrechtsbereiche kann sich lediglich aufgrund nicht wirklich belegt nachteiliger gesellschaftlicher und persönlicher Auswirkungen einfach nur durchsetzen. Es erscheint mehr als zweifelhaft, ob der vorliegende Entwurf diesen Geboten der gesetzgeberischen Abwägung ausreichend Rechnung trägt. Zumindest ist zu fordern, dass ein dermaßen in bestehende Rechte eingreifendes Änderungsgesetz nicht in der zur Zeit wohl beabsichtigten Eile durch das Gesetzgebungsverfahren gejagt wird, sondern den betroffenen Gruppen und den parlamentarischen Organen ausreichend Zeit gegeben wird, Für und Wider der geplanten Regelungen zu prüfen und zu diskutieren. 3. Verhältnis zur Europäischen Datenschutzrichtlinie Der deutsche Gesetzgeber wird Änderungen des Bundesdatenschutzgesetz stets auch daran messen müssen, ob sie kompatibel mit der Europäischen Datenschutzrichtlinie 5 sind. Oder wie Artikel 5 schlicht sagt: Die Mitgliedsstaaten bestimmen nach Massgabe dieses Kapitels die Voraussetzungen näher, unter denen die Verarbeitung personenbezogener Daten rechtmäßig ist. Bevor darauf eingegangen wird, ob die geplante Änderung, die in den alten Mitgliedsländern unitär ist, sich noch im Harmonisierungsrahmen bewegt, soll ein Blick darauf gelenkt werden, welche Alternativen die Richtlinie selbst vorschlägt. 3.1 Transparenz für den Betroffenen Die Begründung des Entwurfs spricht davon, dass der bisherige Erlaubnistatbestand des 28 Abs. 3 Satz 1 Nr. 3 des Bundesdatenschutzgesetzes ( ) sich dabei für die Herstellung der notwendigen Transparenz als besonders nachteilig erwiesen habe. Sollte dies so sein, so müsste nach Regelungen gesucht werden, die die Transparenz für den Betroffenen erhöhen. 5 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, EG-ABl.L 281 v. 23.11.1995, 31ff 3
Spezielle Regelungen im Zusammenhang mit der werblichen Nutzung personenbezogener Daten finden sich hier in Art. 14 der Europäischen Richtlinie zum Datenschutz. Art. 14 b gibt zwei Alternativen vor, wie das Widerspruchsrecht gegen werbliche Nutzung ausgestaltet sein kann. Der Betroffene soll berechtigt sein, auf Antrag kostenfrei gegen eine vom für die Verarbeitung Verantwortlichen beabsichtigte Verarbeitung sie betreffender Daten für Zwecke der Direktwerbung Widerspruch einzulegen oder vor der ersten Weitergabe personenbezogener Daten an Dritte oder vor deren erstmaliger Nutzung im Auftrag Dritter zu Zwecken der Direktwerbung informiert zu werden und ausdrücklich auf das Recht hingewiesen zu werden, kostenfrei gegen eine solche Weitergabe oder Nutzung Widerspruch einlegen zu können. In Deutschland ist bisher die erste Alternative verwirklicht. Sie hat für den Betroffenen erhebliche Nachteile. So muss der Betroffene zwar nach 3 Abs. 3 BDSG / Art. 10 DSRL über die Verwendungszwecke informiert werden. Zum einen kann jedoch eine solche Information ohne Nachteile, d.h. zum Beispiel durch Bußgeldandrohung, Abmahnbarkeit oder AGB-Kontrolle, gar nicht oder weit entfernt in umfangreichen Datenschutzhinweisen oder AGB/Nutzungsbedingungen gegeben werden, so dass der Betroffene in vielen Fällen daraus keine Erkenntnis gewinnen wird. Daran haben auch die Hinweise der Aufsichtsbehörden nicht viel geändert, die bei Vernachlässigung dieser Pflicht die weitere Verarbeitung und Nutzung der so erhobenen Daten zumindest in bestimmten Fällen als rechtswidrig betrachten 6. Zum anderen muss der Betroffene per Widerspruch selbst aktiv werden und wird dies in der Regel erst dann tun, wenn er unerwünschte Werbung erhält und damit in der Regel zu spät. Dieses Verfahren, in dem der Betroffene wie der Hase dem Igel hinterherläuft, ist Basis von viel Verdruss und Beschwerden von Betroffenen. Die zweite Alternative ist belastender für die verantwortlichen Stellen, jedoch nicht so belastend wie die durch den Entwurf geplante Regelung. Die Betroffenen sollen bereits bei der Datenerhebung umfassend über die geplante Nutzung informiert werden und bereits zu diesem Zeitpunkt auf das Recht zum Widerspruch hingewiesen werden. Praktisch wird dies dadurch verwirklicht, dass bei jeder Datenerhebung der Betroffene in unmittelbarem Zusammenhang mit seinen Datenangaben die Möglichkeit erhält, z.b. durch Ankreuzen einer kurz und bündig informierten Option Keine Nutzung/Übermittlung meiner Daten für Werbung seine Daten von vorneherein aus diesen Nutzungen bzw. Übermittlungen herauszuhalten. Diese Alternative wird, soweit bekannt, mit Erfolg in anderen europäischen Staaten praktiziert. Sie berücksichtigt die informationelle Selbstbestimmung, ohne gleich zur stärksten Maßnahme, der Einwilligungsvoraussetzung, zu greifen. 3.2 Kompatibilität mit der Europäischen Datenschutzrichtlinie 6 S. 3.Tätigkeitsbericht des Innenministeriums Baden-Württemberg, 2005, Abschnitt 2.1 4
Die Europäische Datenschutzrichtlinie soll in der Europäischen Union einen gleichwertigen Schutz auf hohem Niveau gewährleisten. Darüber hinaus sollen die Mitgliedsstaaten in ihrem nationalen Rahmen den Datenschutz zeitgemäß konkretisieren und zukunftsorientiert weiter entwickeln. Bereits in der Vergangenheit hat sich jedoch angesichts einiger Entwicklungen in Mitgliedsstaaten die Frage gestellt, ob sich diese noch in diesem Rahmen bewegen oder bereits darüber hinausgehen. 7 Das Ziel der Harmonisierung steht nach der Richtlinie nicht als Selbstzweck; es soll nach Erwägungsgrund 8 die Hemmnisse für den Verkehr personenbezogener Daten beseitigen und damit den Binnenmarkt nach dem EG-Vertrag fördern. Grundsätzlich steht es den Mitgliedsstaaten frei, in einem bestimmten Rahmen von Vorschriften der Richtlinie abzuweichen. Erwägungsgrund 9 der Richtlinie stellt fest: Die Mitgliedsstaaten besitzen einen Spielraum, der im Rahmen der Durchführung der Richtlinie von den Wirtschafts und Sozialpartnern genutzt werden kann. Sie können somit in ihrem einzelstaatlichen Recht allgemeine Bedingungen für die Rechtmäßigkeit der Verarbeitung festlegen. Solche Spielräume ergeben sich aus Alternativen, die die Richtlinie z.b. in dem gerade besprochenen Art. 14 b zur Verfügung stellt 8, oder auch aus Regelungen, die mit dem Wort zumindest oder insbesondere kennzeichnen, dass der einzelne Mitgliedsstaat über diese Regelung hinausgehen kann. 9 Klar ist, dass die Richtlinie nicht auf dem untersten oder auch nur einem Durchschnittsniveau harmonisieren will. Wie sie in ihrem Erwägungsgrund 10 feststellt, darf die Angleichung der einzelstaatlichen Rechtsvorschriften nicht zu einer Verringerung des Schutzes führen. Sie soll im Gegenteil darauf abzielen, in der Gemeinschaft ein hohes Schutzniveau sicherzustellen. Der Europäische Gerichtshof hat in seiner Lindqvist-Entscheidung diese Gebote dahin interpretiert, dass die Richtlinie eine grundsätzlich umfassende Harmonisierung anstrebt und die Einzelstaaten nur in dem von der Richtlinie vorgesehenen Rahmen und Freiräumen Gebrauch machen dürfen. Ziel sei es stets, ein Gleichgewicht zwischen dem freien Verkehr personenbezogener Daten und dem Schutz der Privatsphäre zu wahren. 10 Bereits in einem früheren Urteil 11 hatte der Europäische Gerichtshof entschieden, dass die Zielsetzung der Richtlinie, die Unterschiedlichkeit der nationalen Bestimmungen und damit die vor Harmonisierung bestehenden Hindernisse für den freien Dienstleistungsverkehr abzubauen, zwingend zur Folge habe, dass die Mitgliedsstaaten nach erfolgter Harmonisierung nicht mehr von dem gemeinsam beschlossenen Rahmen (weder nach oben noch nach unten) abweichen könnten. Lediglich die in der Richtlinie selbst eröffneten Spielräume könnten und sollten im Interesse der Rechtssicherheit ausgefüllt werden. 12 Auch in den von der Richtlinie nicht erfassten Bereichen seien die Mitgliedsstaaten in ihrer Entscheidung frei. 7 So führte Italien erst auf Druck der EU-Kommission die Interessenabwägung als einen möglichen Erlaubnistatbestand ein; Österreich machte Direktwerbung ebenfalls von einer Einwilligung abhängig, nahm diese Regelung zugunsten einer Listenregelung ( 151 Österreichische Gewerbeordnung) jedoch wieder zurück. 8 S. aber auch Art. 18 Abs. 5 9 So Art.10, 11 Abs. 1, 14 a, 17 Abs.3, 19 Abs. 1 10 EuGH, Urteil vom 6.11.2003, Rechtssache C 101/01, DuD 2004, 244 (251) 11 EuGH, Urteil vom 20.5.2003, Rechtssache C 465/00 (Österreichischer Rundfunk u.a.), RDV 2003, 231 12 EuGH, Urteil vom 20.5.2003, Rechtssache C 465/00 (Österreichischer Rundfunk u.a.), RDV 2003, 231, Rdnr. 96 5
Tatsächlich geben auch Vertreter einer großzügigen Öffnung der Richtlinie nach oben zu, dass individuelle Reaktionen von Mitgliedsstaaten sich schwerlich mit dem Harmonisierungsziel der Richtlinie vereinbaren ließen. 13 Schlussendlich dürfte das grundlegende Gebot nach Art. 1 Abs. 2 DSRL, dass nämlich die Mitgliedsstaaten aus Gründen des Datenschutzes nicht den freien Verkehr personenbezogener Daten zwischen den Mitgliedsstaaten beschränken dürfen, beeinträchtigt sein. Wenn z.b. Österreich die Weitergabe von Daten für Werbezwecke auf der Basis Interessenabwägung erlaubt, also auch aus Deutschland Daten ohne eine solche Einwilligung "einführen" würde, Deutschland aber die Weitergabe und damit auch den Export nach Österreich nur mit Einwilligung erlaubt, so wird damit der freie Verkehr von Daten beschränkt. Dasselbe gilt natürlich auch in entgegengesetzter Richtung: Unternehmen in Österreich, die z.b. über das Internet postalische Adress-Daten von deutschen Verbrauchern erheben, dürften diese nach österreichischem Recht zwar nach Deutschland ausführen; das deutsche Unternehmen dürfte sie jedoch nicht nutzen. Dem kann ernsthaft nicht entgegen gehalten werden, dass eine Behinderung des Datenverkehrs nicht vorliege, da ja die Einfuhr von Österreich nach Deutschland wohl erlaubt sei, die Daten nur nicht in Deutschland genutzt werden dürften. 3.3 Öffnungsklausel für Regelungen im Bereich Werbung/Markt-oder Meinungsforschung? Möglicherweise sieht nun aber die Richtlinie gerade für den Bereich der werblichen Nutzung personenbezogener Daten die Möglichkeit besonderer einzelstaatlicher Regelungen vor, eingeschlossen den grundsätzlichen Ausschluss der Interessenabwägung als Rechtsgrundlage, wie ihn nun der Änderungsentwurf vornimmt. Nach Erwägungsgrund 30 der Richtlinie können Mitgliedsstaaten Bedingungen festlegen, unter denen personenbezogene Daten an Dritte zum Zwecke der kommerziellen Werbung oder der Werbung von Wohltätigkeitsverbänden oder anderen Vereinigungen oder Stiftungen, z.b. mit politischer Ausrichtung, weitergegeben werden können, und zwar unter Berücksichtigung der Bestimmungen dieser Richtlinie, nach denen betroffene Personen ohne Angabe von Gründen und ohne Kosten Widerspruch gegen die Verarbeitung von Daten, die sie betreffen, erheben können. Bei erster Prüfung könnte dieser Erwägungsgrund geradezu als Basis für das jetzige Änderungsvorhaben gelten. Allerdings hätte der Hinweis auf die Bestimmungen der Richtlinie über den Widerspruch keine Funktion, wenn der Erwägungsgrund was er auch tatsächlich nicht sein kann als Erlaubnis für die Einzelstaaten gesehen würde, die werbliche Nutzung von einer Einwilligung abhängig zu machen. Entweder nämlich erteilt der Betroffene eine Einwilligung, die er zurücknehmen bzw. widerrufen kann, oder er entzieht einer werblichen Nutzung seiner Daten durch Widerspruch die anderweitig als durch Einwilligung gegebene, rechtliche Basis. Tatsächlich wird hier eine Aussage darüber getroffen, dass der Einzelstaat Bedingungen für eine rechtmäßige Übermittlung für die beschriebenen Zwecke festlegen kann. Bereits die Nutzung im Rahmen einer Auftragsdatenverarbeitung auch für 13 Vgl. Simitis, a.a.o., Einleitung Rdnr. 231 f 6
Dritte -, wie sie zurzeit im Rahmen des Listenprivilegs in Deutschland und Österreich erlaubt ist, ist nicht mehr Gegenstand dieses Erwägungsgrundes. Fraglich ist allerdings, ob zu diesen Bedingungen, die für Übermittlungen zur werblichen Nutzung festgelegt werden dürfen, auch die Einwilligung als obligatorische Bedingungen zu rechnen ist. Erwägungsgrund 33 könnte dazu Auskunft geben: Daten, die aufgrund ihrer Art geeignet sind, die Grundfreiheiten oder die Privatsphäre zu beeinträchtigen, dürfen nicht ohne ausdrückliche Einwilligung der betroffenen Person verarbeitet werden. Im Rückschluss könnte darunter verstanden werden, dass von dem besonderen Instrument der Einwilligung als einzig möglicher Rechtsgrundlage nur unter besonderen Bedingungen, die sich aus der Art der Daten ergeben, Gebrauch gemacht werden darf. Diese Systematik ist bisher jedenfalls stets durchgehalten worden: Sowohl für die besonderen Datenarten (Art. 8 DSRL/ 3 Abs.9 BDSG) als auch für Daten aus Telekommunikations- und Postzusammenhängen gelten Einwilligungsvorbehalte für die werbliche Nutzung, da sie aufgrund ihrer Art geeignet sind, die grundlegenden Betroffenenrechte schwerstens zu beeinträchtigen. Oder allgemeiner formuliert: Überall da, wo tatsächlich schwerwiegende Beeinträchtigungen des Grundrechts auf Schutz der Privatsphäre drohen, ist die Einwilligung als stärkste individuelle Erlaubnis 14 erforderlich und auch nach der Richtlinie angemessen. Es fragt sich, ob tatsächlich bereits die einfache Nutzung der postalischen Anschrift für schriftliche Werbung in diese besondere Gefährdungsklasse einzuordnen ist, selbst wenn sie, wie im Listbroking, für Dritte vorgenommen wird. 3.4 Fazit Es ist daher festzustellen, dass die Richtlinie keine Spielräume außer für den Fall der Übermittlung von personenbezogenen Daten an Dritte für den Bereich der Verarbeitung und Nutzung personenbezogener Daten für werbliche Zwecke enthält. Einzige Ausnahme davon ist die alternative Festlegung, wie Information und Widerspruchsrecht des Betroffenen in diesem Anwendungsbereich zu organisieren sein können (Art. 14 b). Darüber hinaus können die Möglichkeiten werblicher Nutzung einschränkende Regelungen zwar politisch erwünscht sein, sie sind jedoch nicht von der Richtlinie gedeckt. 14 Ein noch stärkerer Schutz wird nur noch in durch den Ausschluss der Einwilligung erreicht mit dem Ziel, den Betroffenen quasi vor sich selbst zu schützen. 7