Datenschutz
-
: „Personengebundene Hinweise“ in Polizeidatenbanken: BKA im „Konflikt zwischen Löschungsverpflichtung und Datensicherungsgebot“
Zahlen zu "Personengebundenen Hinweisen" (PHW beim BKA. Die gelöschten Kategorien sind nicht berücksichtigt. : „Personengebundene Hinweise“ in Polizeidatenbanken: BKA im „Konflikt zwischen Löschungsverpflichtung und Datensicherungsgebot“ Auf Antrag der Berliner Oppositionsfraktionen wurde am Montag im Abgeordnetenhaus über zweifelhafte Kategorien von „personengebundenen Hinweise” (PHW) beraten. Es geht um Hinweise in Polizeidatenbanken, die Kategorien wie „Prostitution“, „geisteskrank“, „Ansteckungsgefahr“ oder „Straftäter links“ enthalten. Sie werden in den einzelnen Bundesländern erhoben und gespeichert und teilweise in das bundesweite Verbundsystem INPOL eingestellt, an dem auch das Bundeskriminalamt (BKA) beteiligt ist.
Dabei sind die Datenfelder nicht bundesweit einheitlich: Während beispielsweise beim BKA Daten über „Fixer“ und „Landstreicher“ gesammelt werden, erhebt Berlin auch Personen mit „Aufenthaltsverbot“, „Serienbrandstifter“ und „Stalker“. Definitionen sind in einem „PHW-Leitfaden“ niedergelegt, der jedoch als „geheim“ eingestuft ist.
Piraten, Grüne und Linke hatten einen Antrag auf Löschung der Kategorien „geisteskrank” und „Ansteckungsgefahr” eingebracht. Leider erfolglos, der Berliner Innensenator Frank Henkel (CDU) hält die weitere Sammlung für unbedingt erforderlich. Die Datensätze würden ausschließlich für die Eigensicherung der Polizeikräfte gespeichert, wenn die Betroffenen in eine Polizeikontrolle geraten. Es sei nicht daran gedacht, alle verschlagworteten Personen nach Kategorien anzeigen zu lassen. Henkel will sich aber bei der Innenministerkonferenz der Länder dafür einsetzen, für die Kategorie „geisteskrank“ einen „freundlicheren Begriff“ zu finden. Zu Recht wurde dies von der Opposition als „Kosmetik“ kritisiert.
Auf welche Weise werden die PHW überhaupt erhoben?
Eine neue Antwort auf eine weitere Anfrage erhellt jetzt, auf welche Weise Menschen überhaupt entsprechend etikettiert werden. Die Vergabe eines PHW ist „jeweils das Ergebnis einer Einzelfallprüfung“, heißt es beim BKA. Wie das bei über einer Million Personen, die als „BTM-Konsument“ gelabelt werden vonstatten geht, erklärt das BKA so:
Der PHW „Betäubungsmittelkonsument“ darf nur vergeben werden, wenn Anhaltspunkte dafür vorliegen, dass der Betroffene missbräuchlich Stoffe gemäß den gültigen Anlagen des Betäubungsmittelgesetz oder Ausweichmittel bzw. Ersatzstoffe konsumiert und daraus nicht unerhebliche Gesundheitsgefahren für ihn selbst oder Gefahren für Polizeibedienstete resultieren können. Diese Gefahren können z. B. aus durch die für den Konsum genutzten Geräten oder durch unvorhersehbare Verhaltensweisen der Betroffenen bestehen.
Allerdings wird nichts darüber gesagt, woher die „Anhaltspunkte“ stammen. Bei den 17.785 als „ansteckend“ markierten Personen werden diese von Behörden oder medizinischem Personal geliefert:
Der PHW „Ansteckungsgefahr“ darf nur vergeben werden, wenn Hinweise von einem Arzt oder einer anderen öffentlichen Stelle auf der Grundlage eines ärztlichen Attestes oder einer entsprechenden ärztlichen Unterlage (Gesundheitsamt, Verwaltungsbehörde, Justizvollzugsanstalt, u. ä.) oder dem Betroffenen selbst vorliegen. Es erfolgt keine automatisierte Übermittlung durch andere öffentliche Stellen an die Polizei.
BKA löscht, führt aber Backups
Beim BKA war man etwas überrascht als parlamentarische Anfragen zu den PHW eintrudelten. Erst auf Nachfrage fiel dem Amt auf, dass es sich bei „Fixer“, „Prostitution“ und „Landstreicher“ um problematische Datenfelder handelt. Das BKA kündigte an, einige der Kategorien löschen zu wollen. Es handele sich um „Altbestände”.
Alle „Datenbesitzer“ seien zur Löschung aller im bundesweiten Verbundsystem gesammelten Daten aufgefordert worden. Denn das BKA ist dann nicht zur eigenen Entfernung berechtigt, wenn ein Landeskriminalamt die Daten eingestellt hat. Die Löschung habe bis zum 10. Oktober erfolgen sollen. Erst danach seien „zentrale Löschungen durch das BKA vorgesehen“ gewesen. Ob jedoch einzelne Kategorien weiterhin in den Ländersystemen geführt werden, weiß das Bundesinnenministerium nicht.
Allerdings sind die Informationen auch beim BKA noch für eine Weile als Backup verfügbar. Zu „Sicherungszwecken“ werden Daten nach der Löschung trotzdem als „Sicherungsversionen mit zu löschenden Daten“ aufgehoben. Die Höchstspeicherfrist wird mit 63 Tagen angegeben, dann werden die Backups gelöscht. In dieser Zeit seien sie nur zu sehr begrenzten Zwecken nutzbar. Auf diese Weise sei der „Konflikt zwischen Löschungsverpflichtung und Datensicherungsgebot“ ausbalanciert.
-
: „Personengebunde Hinweise“: Neue Folge, diesmal mit SPD und CDU? [Update: Nein]
Frank Henkel, Berliner Innensenator, sammelt fragwürdige persönliche Daten. : „Personengebunde Hinweise“: Neue Folge, diesmal mit SPD und CDU? [Update: Nein] Mehrfach hatten wir hier über „personengebundenen Hinweise“ (PHW) berichtet: Polizeidatenbanken von Bund und Ländern, die Kategorien wie „geisteskrank“, „Ansteckungsgefahr“ oder „Straftäter links“ enthalten. In letztere gelangt man übrigens auch ohne Verurteilung, die Kategorie ist also absolut irreführend für PolizeibeamtInnen, wenn sie diesen Warnhinweis bei einer Kontrolle der Betroffenen aufblinken sehen.
Heute ist das Thema im Innenausschuss des Berliner Abgeordnetenhauses – wo die ganze Sache auf Initiative der Piraten ihren Ursprung nahm – auf der Tagesordnung .
Mittlerweile hat sogar das Bundeskriminalamt (BKA) mitgeteilt, einige der Kategorien löschen zu wollen. Es handele sich um „Altbestände“. Die Aussage überrascht, denn das bedeutet dass Informationen über „Prostituierte“ oder „Landstreicher“ jahrelang in den BKA-Informationssystemen (und denen einiger Bundesländer?) schlummerten, ohne dass es dem BKA oder deren datenschutzbeauftragten auffiel.
Die Berliner Oppositionsfraktionen von Piraten, Grünen und Linken haben einen Antrag auf Löschung einiger Kategorien eingebracht. Begriffe wie „geisteskrank“ und „Ansteckungsgefahr“ seien diskriminierende und sollten gestrichen werden. Aus dem Antrag:
Auch ist nicht erkennbar, dass die Kenntnis dieses Merkmales Polizeibeamt*innen im polizeilichen Alltag einen besseren Schutz vor einer Ansteckung gewährleistet. Die Berliner Polizei kann auf Nachfrage für die letzten zehn Jahre keinen statistisch erfassten Vorfall nennen, bei dem sich Polizeibeamt*innen im Dienst mit dem HI-Virus infiziert haben bzw. Opfer eines bewussten Angriffs mit dem Ziel einer Ansteckung wurden.
Auch in der Zeit davor hat das Merkmal „Ansteckungsgefahr“ für den polizeilichen Alltag in Berlin offenkundig keine praktische Bedeutung gehabt. Seit Dezember 1988 war die Speicherung dieses Merkmales nicht mehr zulässig. In der Folgezeit hat es über einen Zeitraum von 25 Jahren keinen Bedarf gegeben, diese Regelung wieder einzuführen.Es sieht so aus, dass auch SPD und CDU der Sache aufgeschlossen gegenüber stehen – jetzt wird wohl nur noch verhandelt, welche PHW zukünftig nicht mehr erhoben werden. Spannend wird, ob sich die Opposition mit der Streichung von „Ansteckungsgefahr“ durchsetzen kann, denn dort werden auch HIV-Infizierte gespeichert. Vielleicht wird auch die Kategorie „Straftäter links“ in „Personen von polizeilichem Interesse links“ umbenannt?
Im Antrag heißt es auch, dass sich der Berliner Senat bei der Innenministerkonferenz der Länder gegen die Diskriminierung und Stigmatisierung Betroffener einsetzen soll.
Update: Die Opposition ist mit dem Antrag gescheitert. Henkel findet, es gebe keine Stigmatisierung durch Begriffe wie „geisteskrank“ oder „Ansteckungsgefahr“, denn diese würden nur nach ärztlichem Attest zu „Verdächtigen“ erfasst. Die Daten würden auch wieder gelöscht. Vielleicht wird „geisteskrank“ jetzt aber umbenannt. Die Morgenpost schreibt:
Ob „geisteskrank“ als Begriff aber noch zeitgemäß sei, solle die nächste Konferenz der Innenminister diskutieren, so Henkel. Polizeipräsident Klaus Kandt sagte, die Speicherung sei „weit ab von einer Massen-Erfassung“. Es gehe ausschließlich um Verdächtige; kein Fall von Daten-Missbrauch, wie von den Piraten befürchtet, sei bekannt. Laut Polizei können keine Namenslisten „erzeugt“ werden.
-
: EU-Datenschutzverordnung: Minister stimmen für Unternehmen und gegen Datenschutz (Updates)
: EU-Datenschutzverordnung: Minister stimmen für Unternehmen und gegen Datenschutz (Updates) Die EU-Justiz- und Innenminister einigen sich morgen über ein weiteres Kapitel der EU-Datenschutzverordnung. Die bereits öffentlich verfügbaren Formulierungen zeigen, dass die Minister datenverarbeitende Unternehmen von ihren Schutzpflichten befreien wollen – auf Kosten des Datenschutzes.
-
: Kunstaktion „Wanna play?“ verletzt die Privatsphäre von Grindr-Nutzern
: Kunstaktion „Wanna play?“ verletzt die Privatsphäre von Grindr-Nutzern
Der niederländische Aktionskünstler Dries Verhoeven hat mit seinem am Donnerstag begonnenen Projekt „Wanna play?„auf dem Heinrichplatz in Berlin für einigen Ärger gesorgt.Er hatte vor, die nächsten zwei Wochen in einem Glaskasten verbringen und dabei seine Kommunikation zur Außenwelt ausschließlich auf die Nutzung der Dating-App Grindr zu beschränken. Grindr ist eine vor allem in schwulen Kreisen verbreitete Dating-App, die hauptsächlich darauf abzielt, den Nutzern schnellen, anonymen Sex mit anderen Nutzern aus der direkten Umgebung zu verschaffen.
Verhoeven nahm über die App Kontakt zu nichtsahnenden Nutzern auf, mit denen er sich im Chat privat austauschte und einlud ihn zu treffen.
Die daraus resultierenden Chatverläufe wurden live auf eine LED-Wand hinter dem Glaskasten projiziert, wobei die Profilbilder der darüber nicht informierten Teilnehmer lediglich durch einen Negativ-Effekt verfremdet wurden.
Verhoeven zielte darauf ab, mit seinen Chatpartnern nicht-sexuelle Befriedigung zu erlangen, zum Beispiel durch ein Gespräch über sein Verhältnis zu seiner Mutter, das gemeinsame Backen eines Kuchens oder eine gegenseitige Rasur.Dafür lud er die Teilnehmer ein, sich mit privat ihm zu treffen, nannte dabei aber die Adresse des Theaters Hebbel am Ufer (HAU) als seine eigene. Während des Treffens sollte die Box durch durchsichtige Gardinen anonymisiert werden.
Verhoeven wollte damit Kritik an Grindr üben, das zwar neue Möglichkeiten für schnellen Sex bietet, aber auch die mühsam über die letzten Jahrzehnte geschaffenen Räume homosexuellen Lebens ihrer Relevanz beraubt und somit die Schwulen wieder in die Anonymität drängt.
Dass er für diese Erkenntnis die Persönlichkeitsrechte seiner unfreiwillig ins Rampenlicht gestellten Chatpartner völlig außer Acht ließ, spielte bei der Vorbereitung der Aktion offenbar weder für ihn noch für die Veranstalter eine größere Rolle. Die wahrscheinliche Gefahr von Persönlichkeitsrechtsverletzungen scheint er in seinem Statement etwas zu einfach auszuschließen, indem er voraussetzt dass seine Aktion allen Grindr-Nutzern in seiner Umgebung hinreichend bekannt ist:
„Deshalb bitte ich die Benutzer aus der unmittelbaren Umgebung, mich zur Befriedigung meiner nichtsexuellen Bedürfnisse zu besuchen und dabei allmählich den Dialog über das Potenzial dieses Phänomens zu eröffnen. Falls Männer daran nicht teilnehmen möchten, verstehe ich gut, dass sie mich blockieren.“
Am Donnerstagabend kam es zu Handgreiflichkeiten mit einem Geschädigten, der sich „digital vergewaltigt“ fühlte, nachdem er seinen privaten Chat im Zentrum der Betrachter einer Kunstaktion fast nicht verfremdet vorfand.
Nach einigem Protest wurde die Aktion zunächst durch Sicherheitsleute geschützt und
im Laufe einer Podiumsdiskussion am Sonntag Abend schließlich abgebrochen.Das HAU äußerte sich dazu knapp:
„On 5 October, Dries Verhoeven and HAU Hebbel am Ufer have decided to end the project „Wanna Play?“ ahead of time. The project had led to numerous complaints from the public. The same evening, Dries Verhoeven and artistic and managing director of HAU Hebbel am Ufer Annemie Vanackere faced the critique in an open discussion.“
Die Entschuldigung des Künstlers wirkt auch etwas halbherzig. Den Abbruch des Projekts betrachtet er wie den Ausgang eines Experiments, das im Prinzip doch noch zu dem Ergebnis geführt hat, das er vorausgesehen hat, nämlich, dass das öffentliche Leben der schwulen Community durch Dating-Sex-Apps wieder ins Private gedrängt wird.
„Ich bedaure es sehr, dass sich im Rahmen meines Projekts “Wanna play?” Widerstand gebildet hat. Es tut mir leid, wenn Menschen das Gefühl haben sollten, tatsächlich in ihrer Privatsphäre verletzt worden zu sein. Ich finde den Widerstand exemplarisch für eine Zeit, in der wir uns als Homosexuelle wieder anfangen zu verstecken und unsere sexuellen Wünsche am liebsten in (scheinbarer) Anonymität äußern.“
Die App Grindr war zuletzt wegen der präzisen Ortung ihrer Nutzer durch Dritte in die Kritik geraten, als Berichte aus Ägypten laut wurden, dass Polizisten die App nutzten, um Schwule zu verhaften. Zudem wird die Möglichkeit zur Einordnung der Nutzer nach ihrer ethnischen Zugehörigkeit als rassistisch eingestuft.
Auf kleinerdrei.org haben wir einen treffenden Beitrag zu der Aktion gefunden:
„Das Kunstprojekt “Wanna Play?” hat auf besondere Weise Profile der Dating-App Grindr öffentlich und ohne Zustimmung der Beteiligten ungefragt zur Schau gestellt. Es ist bedenklich, dass die Verantwortlichen die Gefahr durch Eingriffe in Persönlichkeitsrechte und Fremd-Outing nicht gesehen haben (wollen). Als Gesellschaft zeigt uns diese Geschichte unter anderem, dass wir stärker darüber nachdenken müssen, wie wir uns verantwortungsvoll untereinander verhalten können – vor allem wenn Räume involviert sind, die in erster Linie von marginalisierten Gruppen genutzt werden.“
-
: Wie viele deiner Daten würdest du für einen Gratis-Keks tauschen?
"Es ist verrückt, was mir die Leute alles geben wollen", so die Künstlerin Risa Puno. (Lois Beckett/ProPublica) : Wie viele deiner Daten würdest du für einen Gratis-Keks tauschen? Eine Künstlerin hat getestet, ob New Yorker den Mädchennamen ihrer Mutter oder Teile ihrer Sozialversicherungsnummer im Austausch gegen einen selbst gebackenen Cookie hergeben.
Dieser Artikel von Lois Beckett ist zuerst als „How Much of Your Data Would You Trade for a Free Cookie?“ auf ProPublica veröffentlicht wurden und wir haben ihn übersetzt.
In einem unwissenschaftlichen, aber leckeren Experiment, haben 380 New Yorker am letzten Wochenende empfindliche persönliche Informationen herausgegeben – von Fingerabdrücken bis Sozialversicherungsnummern – für einen Keks.
„Es ist verrückt, welche Informationen die Teilnehmer bereit waren, für einen Keks herauszugeben.“ sagte die Künstlerin Risa Puno, die das Experiment, das sie „Please enable Cookies“ nennt, auf einem Kunstfestival in Brooklyn durchgeführt hat.
Die Cookies – tatsächliche Kekse – kamen in verschiedenen Geschmacksrichtungen wie etwa „Chocolate Chili Fleur de Sel“ und „Pink Pistachio Peppercorn“.
Um einen Cookie zu bekommen, mussten die Leute persönliche Daten herausgeben, zum Beispiel ihre Adresse, ihre Führerscheinnummer, ihre Telefonnummer und den Mädchennamen ihrer Mutter.
Mehr als die Hälfte der Teilnehmer erlaubten Puno auch, sie zu fotografieren. Etwa die Hälfte der Leute (162) gaben ihr das, was sie als die letzten vier Ziffern ihrer Sozialversicherungsnummer bezeichneten. Und etwa ein Drittel – 117 Teilnehmer – erlaubten Puno ihre Fingerabdrücke zu nehmen. Sie untersuchte die Führerscheine der Teilnehmer, um die ihr gegebenen Informationen zu verifizieren.
Wenn jemand sie fragte, was sie mit den Informationen vorhabe, verweigerte sie dies zu sagen und verwies stattdessen auf die Vertragsbedingungen ihrer Dienstleistung, einer ganzen Seite juristischen Kauderwelschs in winziger Schrift, die ihr das Recht gibt, die Informationen zur Schau zu stellen und mit anderen zu teilen.
Punos Perfomance-Kunst Experiment unterstreicht, was Experten für Privatsphäre schon lange wissen: Viele Amerikaner sind sich des Wertes ihrer persönlichen Daten nicht bewusst und die Einschätzungen der Verbraucher über den Wert dieser Daten variieren stark unter dem Einfluss verschiedener Faktoren.
Während die meisten Menschen sagen würden, dass sie ihre Privatsphäre schätzen, gibt es ein eindeutiges Ungleichgewicht zwischen „dem, was wir über Privatsphäre sagen und dem, was wir tun.“ sagt Allessandro Acquisti ein Privatsphäre-Experte von der Carnegie Mellon Universität in Pittsburg.
Eine im letzten Jahr von Acquisti und anderen Wissenschaftlern veröffentlichte Studie ergab, dass der Wille der Menschen für ihre Privatsphäre zu bezahlen in Abhängigkeit zu dem von ihnen wahrgenommen, bereits existenten, Schutz ihrer Privatsphäre stand. In einem Experiment wurde eine Gruppe von Probanden eine Visa Geschenkkarte im Wert von 10$ gegeben und ihnen wurde gesagt, es bliebe anonym, wofür sie diese ausgäben.
Einer weiteren Gruppe wurde eine Geschenk-Karte im Wert von 12$ gegeben und mitgeteilt, ihre Einkäufe würden verfolgt. Beiden Gruppen bekamen im Anschluss die Möglichkeit, die Geschenkkarten einzulösen.
Es stellte sich heraus, dass die überwiegende Mehrheit der Menschen die eine, womöglich überwachte, Karte mit höherem Wert bekommen hatten, auch bereit waren, diese einzulösen – 2 Dollar für die Privatsphäre. Demgegenüber wollte etwa die Hälfte der Menschen, die eine höhere Privatsphäre, aber weniger Geld zum ausgeben hatten, ihre Karten nicht eintauschen. „Die Antworten auf Fragen wie „Was ist die Privatsphäre wert? „und „Kümmern sich die Menschen wirklich um ihre Privatsphäre?“ hängen nicht nur davon ab, was man fragt sondern vor allem auch wie man fragt.
Weil die Datenabgabe im Brooklyner Experiment Teil einer Performance war, mögen die Teilnehmer ein niedriges gefühltes Risiko gefühlt haben, sagt Acquisti. Der geschenkte Keks war Teil eines Spiels: Es macht Spaß dabei mitzumachen und es erscheint unwahrscheinlich, dass die Daten veruntreut werden.
„Ich habe alle meine persönlichen Daten für eine Social-Media-Cookie eingetauscht“, twitterte ein Teilnehmer, zusammen mit einem Foto eines mit Facebook-Logo-Zuckerguss versehenem Cookie.
Puno sagte, einige der Teilnehmer essen nicht einmal die Cookies – sie wollten einfach nur fotografieren.
Besonders Cookies, die mit dem Instagram-Logo verziert waren, erfreuten sich so einer Beliebtheit unter den Fotografen, dass Puno den „Kunden“ abverlangte, ihr ihre Fingerabdrücke, die letzten vier Ziffern ihrer Sozialversicherungsnummern und ihre Führerscheinnummern zu geben. Damit waren immer noch viele einverstanden.„Sie wollten es gegen den Himmel mit der Brücke im Hintergrund halten“, sagt sie. Während sie mit der Resonanz auf ihr Projekt zufrieden ist, war die 33-jährige Künstlerin schockiert, dass die meisten Leute sehr entspannt mit der Herausgabe einer Art von Daten umgingen, die häufig für Sicherheitsfragen benutzt wird: der Name des Haustieres, der Mädchenname der Mutter, der Geburtsort oder der Name des ersten Lehrers.Menschen nannten diese Fragen „easy points“ -, sagte sie. „Sie erkannten diese nicht als Sicherheitsfragen oder kümmerten sich nicht darum. Dabei ist das die Art auf die sich kürzlich Hacker Zugang zu den iClouds von Prominenten verschafft haben, indem sie die Sicherheitsfragen errieten. Sie war auch überrascht, dass die Teilnehmer, um sich einen Keks zu verdienen, mehr ihrer Daten herausgegeben hätten, als sie tatsächlich gemusst hätten.
„Das war für mich unverständlich“, sagte sie. „Wenn ich meine Informationen schon herausgeben muss, dann gebe ich doch nicht mehr heraus als nötig.“ Puno sagt nach wie vor nicht, was sie mit den gewonnenen Daten vorhat. Sie überlegt, sie zu vernichten. Auf der anderen Seite sind die Angaben wertvolle Beweise dafür, was Menschen zu tun bereit sind. Deshalb würde sie sie gerne für immer behalten.
-
: Überarbeitung des Bundesdatenschutzgesetzes: Bundestag und Bundesrat müssen Gesetzentwurf nachbessern
Thilo Weichert. : Überarbeitung des Bundesdatenschutzgesetzes: Bundestag und Bundesrat müssen Gesetzentwurf nachbessern Der Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes ist unzureichend und muss im Bundestag nachgebessert werden. Das fordert Thilo Weichert, Datenschutzbeauftragter in Schleswig-Holstein, in einem Gastbeitrag. Der Entwurf der Bundesregierung sieht nur eine überfällige Minimalanpassung an das Europarecht vor, moderner Datenschutz benötigt weitere Befugnisse.
Dieser Gastbeitrag ist von Thilo Weichert, Landesbeauftragter für Datenschutz Schleswig-Holstein und damit Leiter des Unabhängigen Landeszentrums für Datenschutz, Kiel.
Mit der „Digitalen Agenda“ versuchte die Bundesregierung Ende August 2014 erneut vergeblich, sich als Gestalterin der Informationsgesellschaft zu profilieren. Über viele Jahre war sie der Silicon-Valley-Wirtschaft hinterher gelaufen. Inzwischen ist vielen klar, dass diese mit ihrem Geschäftsgebaren und ihrer technik- und profitfixierten Ideologie unsere freiheitlich-demokratischen Werte ignoriert oder gar verleugnet: Rechtsstaatlichkeit, demokratische Prozesse, Verbraucherschutz, digitale Freiheitsrechte … . Von einem offensiven Werben für digitale Grundrechte und von deren tatsächlichen Einfordern und Umsetzen durch die Bundesregierung konnte leider bisher keine Rede sein.
Zurückbleiben hinter europarechtlichen Anforderungen
Mit dem vom Kabinett beschlossenen Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes bleibt sich die Regierung insofern treu. Ziel des Entwurfes ist es, die verfassungsrechtlich und europarechtlich geforderte völlige Unabhängigkeit des Amtes der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) herzustellen. Bundesinnenminister Thomas de Maizière hatte diese Initiative schon bei der Amtseinführung der neuen BfDI Andrea Voßhoff im Februar 2014 angekündigt. Inzwischen droht diese Initiative hinter den europarechtlichen Anforderungen zurückzubleiben. Der Europäische Gerichtshof hat mit seinen Entscheidungen zur deutschen Datenschutzaufsicht (09.03.2010) und zur österreichischen Datenschutzkommission (16.10.2012) festgestellt, dass eine Rechts- und eine Dienstaufsicht mit der Unabhängigkeit der Datenschutzkontrolle nicht vereinbar sind. Sämtliche Bundesländer haben aus dieser Rechtsprechung längst ihre Konsequenzen gezogen. Der Bund wird nun aktiv, nachdem die Europäische Kommission mit einem weiteren Verfahren gegen Deutschland drohte. Und bisher bremste sie über den Europäischen Rat die Modernisierung des Datenschutzes über die Europäische Datenschutz-Grundverordnung mit dem scheinheiligen Argument, der hohe deutsche Datenschutzstandard müsse erhalten bleiben.
Konkret: Bei der Lektüre des Kabinettsentwurfes scheint das vorrangige Anliegen zu sein, der Realität hinterherhinkend, mit Akribie klarzustellen, dass auch Frauen BfDI sein können. Es wird zudem eine oberste Bundesbehörde geschaffen, die nicht mehr in das Bundesinnenministerium eingebunden ist. Dieses profiliert sich seit Jahrzehnten als Sicherheitsbehörden‑, nicht als Datenschutzministerium. Die exekutive Aufsicht wird mit dem Entwurf formell beseitigt. Zu mehr war die ministerielle Gestaltungsmacht aber bisher nicht in der Lage.
Maulkorb für Datenschützer
Während in den Bundesländern regelmäßig das Vorschlagsrecht den demokratisch legitimierteren und weniger von Eigeninteressen geleiteten Parlamenten zugewiesen ist, soll dies im Bund nach dem Willen der Regierung bei ihr verbleiben. Unglücklich ist zudem der Vorschlag, dass bei Zeugenaussagen der BfDI, die den „Kernbereich exekutiver Eigenverantwortung der Bundesregierung“ möglicherweise betreffen, „Einvernehmen mit der Bundesregierung“ hergestellt werden muss. Es ist ungewöhnlich, dass eine kontrollierte Regierung ihr Okay geben muss, wenn zwei Kontrollinstanzen, also z. B. die BfDI und ein Bundestags-Untersuchungsausschuss oder ein Gericht, sich austauschen wollen.
Der Gesetzentwurf behauptet: „Zugleich wird die Datenschutzaufsicht auf Bundesebene insgesamt gestärkt.“ Im Entwurf des Gesetzestextes findet sich davon jedoch nichts, sieht man einmal von der Anhebung der BfDI-Besoldung ab. Die zusätzlichen vier Stellen werden absorbiert durch die neuen personal- und haushaltswirtschaftlichen Aufgaben der Dienststelle. Parallel dazu und in Folge der Snowden-Enthüllungen wurden anlässlich der Vorlage des Entwurfes eines IT-Sicherheitsgesetzes mehrere hundert neue Stellen für Sicherheitsbehörden, nicht aber für den Datenschutz angekündigt. Das Ungleichgewicht zwischen Datenschutz- und Sicherheitsbehörden wird also weiter zulasten des Datenschutzes verstärkt.
Keine Druckmittel
Die europäische Datenschutzrichtlinie sieht verpflichtend vor, der Datenschutzkontrolle „wirksame Eingriffsbefugnisse“ zu übertragen, die beispielhaft genannt werden: „geeignete Veröffentlichung (von) Stellungnahmen, […] die Befugnis Sperrung, Löschung oder Vernichtung von Daten oder […] das Verbot einer Verarbeitung anzuordnen“. In den Entwürfen für eine EU-Datenschutz-Grundverordnung sind als wirksame Sanktionsmöglichkeiten Bußgelder in Höhe von zwei bis fünf Prozent des Unternehmensumsatzes geplant. Dem gegenüber soll der BfDI lediglich das stumpfe Schwert der „Beanstandung“ zur Bewirkung rechtskonformer Zustände bleiben, selbst bei auf Profit ausgerichteten Post- und Telekommunikationsunternehmen. Das Äußerungsrecht der BfDI, bisher die wirksamste Waffe der Datenschutzbeauftragten, wird trotz einer äußerst restriktiven Rechtsprechung und im Widerspruch zum Geist der europäischen Regelung nicht gestärkt.
Kompetenz und Gestaltungswillen könnte der Bundesgesetzgeber dadurch zeigen, dass zumindest die präventiven Aufgaben der Datenschutzbeauftragten verbessert würden, so wie dies manches Landesdatenschutzgesetz tut: Umfassende Beratung, Aus- und Fortbildung, Forschung, Zertifizierung, Auditierung, Standardisierung. Leider sagt der Entwurf hierzu nichts. Es bleibt die Hoffnung, dass der Bundestag und der Bundesrat nachbessern, so dass am Ende etwas herauskommt, was modernem Datenschutz und den warmen Worten der „Digitalen Agenda 2014“ mehr gerecht wird.
-
: Veranstaltungshinweis: D wie Datenberg im Wikimedia-Salon
: Veranstaltungshinweis: D wie Datenberg im Wikimedia-Salon
Anfang 2014 startete Wikimedia Deutschland ein Veranstaltungsformat namens „Wikimedia-Salon“. In den nächsten Jahren will man sich dort entlang des Alphabets des Freien Wissens hangeln und aktuelle oder dauerbrennende Begriffe aus der aktuellen kultur- und netzpolitischen Debatte durchdeklinieren. Nach Allmende, Buchmarkt, Crowdrock steht mit Datenberg am 2. Oktober die vierte Auflage dieser Reihe an, zu der der Verein herzlich einlädt. Regelmäßig Lesende dieses Blogs werden auf dem Podium eine Reihe bekannter Menschen entdecken, die sich einem Begriff nähern werden, der inzwischen für jedes Bullshit-Bingospiel überqualifiziert ist: Big Data.Donnerstag, 02. Oktober, Einlass 18:30
Wikimedia Deutschland e.V., Tempelhofer Ufer 23–24, 10963 Berlin (1 Min. vom U‑Bhf. Möckernbrücke)
Einführung:
Fukami (@fukami), IT-Sicherheitsexperte und ‑Sachverständiger, Lobbyist – Blog
Mit:
Anke Domscheit-Berg (@anked), Open Government-Aktivistin – Website
Bastian Greshake (@gedankenstuecke), Mitgründer openSNP, Open Science-Aktivist – Blog
Lukas F. Hartmann (@mntmn), Programmierer, Musiker
Moderation: Jens Ohlig (@johl), Wikimedia Deutschland
Offenlegung: Der Autor ist Angestellter beim Veranstalter Wikimedia Deutschland e.V.
-
: BKA löscht Kategorien „Prostitution“, „Landstreicher“ und „Fixer“ aus Datenbanken, „Ansteckungsgefahr“ und „Drogenkonsum“ wird weiter gespeichert
Server beim BKA. : BKA löscht Kategorien „Prostitution“, „Landstreicher“ und „Fixer“ aus Datenbanken, „Ansteckungsgefahr“ und „Drogenkonsum“ wird weiter gespeichert Letzte Woche hatten wir hier zu Zahlen „Personenbezogener Hinweise“ (PHW) bei der Berliner Landespolizei berichtet, diese Woche zu jenen des Bundeskriminalamtes. Hintergrund waren parlamentarische Anfragen im Abgeordnetenhaus Berlin und in Bundestag. Heraus kam etwa, dass beim Bundeskriminalamt (BKA) rund 1,5 Millionen Personen mit Zuordnungen wie „Land/ Stadtstreicher“ und „Fixer“ versehen sind. Weitere Kategorien lauten „geisteskrank“ oder „Ansteckungsgefahr“. Die Zuordnungen seien notwendig, um Polizeikräfte im Einsatz zu schützen. Werden die Personalien der betreffenden Personen kontrolliert, erscheint eine Warnmeldung.
Angeblich wegen eines „Büroversehens“ hatte das Bundesinnenministerium zunächst einige falsche Zahlen zu den „Personenbezogenen Hinweisen“ versandt. Sowohl in der alten wie auch der neuen Version sind jedoch weiterhin 245.000 Personen als „gewalttätig“ markiert, über eine Million Betroffene gelten als KonsumentInnen von Drogen.
Die Meldungen schafften es bis in die Tagespresse, das BKA geriet unter Druck. Noch bevor der fragende Abgeordnete entsprechend informiert wurde, hatte das Bundesinnenministerium gestern eine Mitteilung an die Presse versandt und die Löschung einiger Kategorien versprochen.
Demnach gelten die PHW „Prostitution“, „Landstreicher“ und „Fixer“ mittlerweile als „Altbestände“ und würden entfernt. Dadurch können auch Landesbehörden nicht mehr darauf zugreifen. Angeblich unterlägen die PHW einer ständigen Bewertung durch „Fachgremien der Polizei“ und würden wenn erforderlich stets „modifiziert“. Fraglich ist aber, wieso den „Fachgremien“ nicht aufgefallen war, dass Begriffe wie „Landstreicher“ dem NS-Jargon entstammen und auch SexarbeiterInnen der Polizei bei Kontrollen nicht gefährlich werden.
Das Land Berlin hat – soweit uns bekannt – noch nicht reagiert. Gut möglich, dass die beanstandeten Kategorien dort weiter geführt werden, diese dann aber nicht mehr bundesweit in den Informationsverbund INPOL eingestellt werden. Auch beim BKA möchte man übrigens auf Kategorien wie „Ansteckungsgefahr“ nicht verzichten. Auf welche Weise die fast 18.000 dort gespeicherten Personen zuvor auffällig wurden, ist unklar. Möglich, dass entsprechende Meldungen von Gesundheitsämtern kommen.
Hier der Wortlaut der Mitteilung, die vom BKA gestern an die Presse verschickt wurde:
„Personenbezogene Hinweise“ dienen dem Schutz der von polizeilichen Maßnahmen betroffenen Personen und der Eigensicherung von Polizeibediensteten. Hierzu zählen zum Beispiel die Bezeichnungen „bewaffnet“, „BTM-Konsument“, „Ansteckungsgefahr“, „Freitodgefahr“ oder „Gewalttätig“.
Insgesamt sind 13 derartige „Personengebundene Hinweise“ vorgesehen. Der PHW „Freitodgefahr“ beispielsweise kann Leben retten, wenn Polizeibedienstete aufgrund einer derartigen Information nach Beendigung polizeilicher Maßnahmen Vorkehrungen zum Schutz der Personen treffen können. Die „PHW“ werden als ergänzende Informationen bei der jeweiligen Lage- und Gefahrenbeurteilung benötigt.
Die Eintragungen zu den „Personenbezogenen Hinweisen“ erfolgen bundesweit durch diejenigen Polizeidienststellen, bei denen die Ursprungsinformationen dazu vorliegen. Ihre Erfassung geht auf gemeinsame Beschlüsse der polizeilichen Bund-Länder-Gremien zurück und wurde unter Beteiligung der Innenministerien entschieden.
Durch eine bundesweit abgestimmte Regelung wird eine möglichst bundeseinheitliche Verfahrensweise bei der Vergabe des „Personenbezogenen Hinweises“ gewährleistet. Darin wird ausdrücklich darauf hingewiesen, dass immer eine Einzelfallprüfung unter Beachtung der Erforderlichkeit und Verhältnismäßigkeit der Erfassung zu erfolgen hat. So darf beispielsweise der PHW „Betäubungsmittelkonsument“ nur vergeben werden, wenn Anhaltspunkte dafür vorliegen, dass die Person Betäubungsmittel oder entsprechende Ersatzstoffe konsumiert, die eine erhebliche Gesundheitsgefahr für ihn selbst oder für andere, etwa Polizeibedienstete (z. B. durch die für den Konsum genutzten Geräte oder unvorhersehbare Verhaltensweisen der Person) resultieren können.
Die „Personenbezogenen Hinweise“ wie „Prostitution“, „Landstreicher“ oder „Fixer“ sind nicht mehr als „PHW“ vorgesehen und werden insofern auch nicht mehr erfasst. Noch im INPOL enthaltene derartige Hinweise sind sogenannte „Altbestände“, das BKA wird deren Löschung veranlassen. Die „Personenbezogenen Hinweise“ unterliegen einer ständigen Bewertung durch Fachgremien der Polizei und werden – dort wo erforderlich – modifiziert.
-
: US-Justizminister Eric Holder tritt zurück, von ihm versprochene Fortschritte im EU-US-Datenschutzabkommen blieben aus
"EU-USA Ministertreffen" im November 2013 mit Eric Holder, der hierzulande als "Justizminister" bezeichnete US-Generalbundesanwalt : US-Justizminister Eric Holder tritt zurück, von ihm versprochene Fortschritte im EU-US-Datenschutzabkommen blieben aus Der US-Generalbundesanwalt Eric Holder tritt zurück. Der 63-jährige spielte nach Medienberichten seit längerem mit dem Gedanken, sich aus der Politik zurückzuziehen, Gewissheit gab nun eine Erklärung die Holder gestern auf der Webseite des Department of Justice veröffentlichte. Ebenfalls gestern ging eine ganze Reihe von Solidaritätserklärungen online, in denen Holder für seine Verdienste für die Bürgerrechte, darunter auch für die LGBT-Community, gelobt werden. Auch Präsident Barack Obama war voll des Lobes. Ein Nachfolger wird aber noch gesucht, bis dahin bleibt Holder noch im Amt.
Der Rücktritt wirft die Frage auf, was eigentlich aus den vielgepriesenen Fortschritten im EU-US-Datenschutzabkommen geworden ist. Vor drei Monaten hat in Athen ein „EU-USA Ministertreffen über Justiz und Inneres“ stattgefunden, das eigentlich den besseren Informationsaustausch unter Polizeibehörden und die Sammlung von Fluggastdaten zum Inhalt hatte. Außer Eric Holder war auch der US-Staatssekretär Mayorcas angereist, der zum Heimatschutzministerium gehört.
Über die Notwendigkeit einer verstärkten Sicherheitszusammenarbeit herrschte Einigkeit, entsprechend hatte sich auch die damalige EU-Innenkommissarin Cecilia Malmström geäußert. Weil das aber in den Medien angesichts des NSA-Skandals nicht so gut aussieht, wurde in Veröffentlichungen zu dem Treffen lieber über den Datenschutz geredet.
Holder hatte im Juni versprochen, EU-Staatsangehörige im Bereich des Datenschutzes mit US-BürgerInnen gleichzustellen. Dies war von der EU und ihren Mitgliedstaaten vielfach gefordert worden. Das geplante Abkommen soll dann als Rahmenabkommen („Umbrella Agreement“) für zahlreiche Vereinbarungen zum Datentausch gelten, darunter die Weitergabe von Fluggastdaten oder Kontodaten. Die Geheimdienstzusammenarbeit bleibt aber in jedem Fall außen vor.
In Holders Ankündigung geht es um den „Privacy Act“, der umfangreiche Garantien vorsieht – allerdings lediglich für Personen, die über eine US-Staatsangehörigkeit verfügen. Schon damals war unklar, wie dies rechtlich umgesetzt würde, denn es ist kaum wahrscheinlich dass der US-Kongress den „Privacy Act“ entsprechend umschreiben würde.
Trotzdem wurde die Initiative Holders weitläufig gelobt, endlich schien sich ein Fortschritt in den jahrelangen Verhandlungen über ein EU-US-Datenschutzabkommen abzuzeichnen. Der Bundesinnenminister Thomas de Maizière (CDU) kommentierte:
Die von den USA im Rahmen der Verhandlungen des EU-US-Datenschutzabkommens erstmalig gegebene Zusage, künftig auch EU-Bürgern eine Klagemöglichkeit zum Schutz ihrer Privatsphäre in den USA einzuräumen, ist ein gutes und ermutigendes Zeichen. Das war eine Forderung, die wir lange vorgetragen haben. Es bewegt sich nun etwas. Das ist sehr erfreulich
Die EU-Vizekommissionspräsidentin und Justizkommissarin Viviane Reding war vorsichtiger und kommentierte Holders Ankündigung als „ersten Schritt, um das Vertrauen in unsere transatlantischen Beziehungen wiederherzustellen“. Allerdings müssten rasche Maßnahmen zur Gesetzgebung folgen.
Reding hatte wohl eine Vorahnung, denn weitere US-Initiativen blieben aus. Holders Versprechen mündeten bislang in keinerlei offiziellen Vorschlägen zum Abschluss eines Datenschutzabkommens, es gibt noch immer keinen Entwurf. Inzwischen ist sogar unklar, ob Holder korrekt verstanden worden ist: Denn womöglich hat er nie versprochen, den „Privacy Act“ ändern zu wollen, sondern lediglich einige Möglichkeiten des Rechtsschutzes für Staatsangehörige von EU-Mitgliedstaaten aufzunehmen.
Das nächste „EU-USA Ministertreffen über Justiz und Inneres“ findet übrigens am 12. und 13. November statt.
-
: Dritter Prüfbericht zum SWIFT-Abkommen mit den USA vorgelegt
Die höchst zweifelhafte Rolle Europols als Profiteur von Datenlieferung bei gleichzeitiger Funktion als Firewall für Datenschutz (Bild: Broschüre von Euopol zum SWIFT-Abkommen). : Dritter Prüfbericht zum SWIFT-Abkommen mit den USA vorgelegt Eine Gruppe aus Mitgliedern der EU-Kommission und des US-Finanzministeriums hat einen Bericht zur dritten Überprüfung des Vertrages zur Weitergabe von Finanzdaten („Terrorist Finance Tracking Programme“) an die USA vorgelegt (das sogenannte SWIFT- bzw. TFTP-Abkommen). Das Abkommen berechtigt die USA, in der Europäischen Union getätigte Finanztransaktionen abzufragen, darunter Stammdaten, Post- oder Mailadressen der KontoinhaberInnen oder Telefonnummern. Zu den hierzu verpflichteten Providern gehört der belgische Dienstleister SWIFT, der auf internationale Überweisungen spezialisiert ist. Die USA speichern in dem System aber auch Daten, die eigene Behörden besorgt haben.
Die EU-Polizeiagentur Europol spielt im Abkommen eine Doppelrolle: ErmittlerInnen aus Den Haag können selbst anylsierte Daten in den USA anfordern. Eine andere Abteilung von Europol soll hingegen darüber wachen, dass bei allen Anfragen aus den USA die Datenschutzbestimmungen eingehalten werden.
Lob für Transparenz von US-Behörden
Untersucht wurde der Zeitraum Oktober 2012 bis Februar 2014. Das EU-Parlament hatte die Vorlage solcher Berichte zur Bedingung gemacht, um dem umkämpften Abkommen damals doch zuzustimmen. Den „review teams“ gehören auch zwei Angehörige europäischer Datenschutzbehörden an.
Die Kommission durfte für die Überprüfung an Live-Vorführungen des Systems teilnehmen. Über dabei erlangte Kenntnisse dürfen diese aber nicht sprechen, alle mussten eine besondere Vereinbarung zum Geheimhalten klassifizierter Informationen unterzeichnen. Informationen über Sicherheitsvorkehrungen finden sich in dem Dokument kaum. In einem Teil wird beschrieben, wie SWIFT seine Serverräume sichert. Demnach werden auch biometrische Verfahren eingesetzt:
Physical security controls are in place to prevent, deter, detect and delay penetration. The perimeters around the operating centres are enclosed, guarded and monitored. Access tokens and associated Personal Identification Numbers or Biometrics exist for doors and provide audit trails of access to computer floors.
Im Bericht heißt es, die US-Behörden seien gegenüber der Untersuchungskommission mitteilsamer geworden. Das dürfte aber lediglich auf diesen einen Bericht zutreffen: Laut dem Informationsdienst EU Observer hat das US-Finanzministerium die Agentur Europol in einem anderen Fall angewiesen, keinerlei Informationen über das SWIFT-Abkommen herauszugeben. Die holländische liberale Parlamentarierin Sophie In’t Veld hatte hierzu Einsicht in ein Dokument von 2012 verlangt. Auch damals ging es um eine Untersuchung von Europol.
Behörden wie das BKA sollen häufiger in den USA anfragen
Laut dem nun vorliegenden Bericht haben die zur Auswertung gelieferten Daten berechtigten Behörden in den USA im fraglichen Zeitraum 22.838 Suchanfragen vorgenommen, das sind etwa vier pro Tag. Die meisten Daten hätten keine EU-Staatsangehörige betroffen.
Auch die Polizeibehörden der EU-Mitgliedstaaten können in den USA ausgewertete SWIFT-Daten bestellen, die diese zuvor via Europol erhalten haben. Dies sei laut der Untersuchungskommission in den 20 Monaten aber nur in 94 Fällen geschehen. Eigentlich hatte das EU-Parlament gefordert, für derartige Anfragen ein eigenes System zur Auswertung von Finanzdaten einzurichten. Die EU-Kommission schlägt hingegen vor, dass Behörden wie das Bundeskriminalamt lieber in den USA nach den europäischen Daten fragen sollen. Dort sei auch der Datenschutz bestens gewährleistet. Europol selbst veranstaltet hierzu Workshops, um die Polizeien der Mitgliedstaaten zu mehr Abfragen zu ermuntern.
Die Einschätzung kann jedoch angezweifelt werden. Laut dem Abkommen ist keine der beteiligten Behörden verpflichtet, die täglichen Abfragen offenzulegen. Betroffene erhalten keine Mitteilung über die Weitergabe oder Analyse ihrer Finanztransaktionen. Auch ein Auskunftsersuchen ist hierzu nicht möglich, es werden keine Informationen mitgeteilt.
Widersprüchliches zum Datenschutz
Artikel 15 des Abkommens beinhaltet die Möglichkeit für Betroffene, wenigstens eine Bestätigung zu erhalten ob verarbeitete Daten die Datenschutzbestimmungen einhalten. Diese Prüfung bzw. Mitteilung muss dann über die nationalen Datenschutzbeauftragten erfolgen. Trotzdem soll nicht mitgeteilt werden, ob überhaupt Daten der betroffenen Person genutzt wurden:
This does not provide for the right of persons to receive a confirmation as to whether that person’s data has been amongst the TFTP Provided Data.
Da wundert es nicht, dass das US-Finanzministerium in 20 Monaten lediglich ein entsprechendes Ersuchen aus einem EU-Mitgliedstaat erhalten hat. Anfragen zum Löschen oder Blockieren von Daten gingen gar nicht erst ein.
-
: TTIP and TiSA: big pressure to trade away privacy
: TTIP and TiSA: big pressure to trade away privacy
The negotiations between the U.S. and the EU on the „Transatlantic Trade and Investment Partnership“ (TTIP) will address e‑commerce and transatlantic data flows. In this context, there are more and more indications that European data protection standards could be undermined by such a trade agreement. Civil society and consumer organisations both in the EU and the United States warn that draft provisions in the chapter on e‑commerce and electronic data flows pose a threat to European privacy and data protection rights.This posting was first published as Statewatch Analyses No 27/14.
EU: „Keep data protection out of trade talks“
The trade negotiators of the EU Commission insist repeatedly and publicly, that they have no mandate to negotiate over data protection rules. This was also emphasised by EU justice commissioner Viviane Reding during a speech in Washington in October 2013:
(…) there are issues that will easily derail [TTIP]. One such issue is data and the protection of personal data. This is an important issue in Europe because data protection is a fundamental right. (…) This is why I warn against bringing data protection to the trade talks. Data protection is not red tape or a tariff. It is a fundamental right and as such it is not negotiable.
The negotiation mandate for the EU Commission instead refers to Article XIV of the General Agreement on Trade in Services (GATS) of the World Trade Organization, which contains a general exception clause:
Subject to the requirement that such measures are not applied in a manner which would constitute a means of arbitrary or unjustifiable discrimination between countries where like conditions prevail, or a disguised restriction on trade in services, nothing in this Agreement shall be construed to prevent the adoption or enforcement by any Member of measures: (…)
© necessary to secure compliance with laws or regulations which are not inconsistent with the provisions of this Agreement including those relating to: (…)
(ii) the protection of the privacy of individuals in relation to the processing and dissemination of personal data and the protection of confidentiality of individual records and accounts; (…)“
The EU Commission’s negotiation mandate states in Article 18:
The Agreement will not preclude the enforcement of exceptions on the supply of services justifiable under the relevant WTO rules (Articles XIV and XIVbis GATS).
Article XIV of GATS was indeed copied verbatim into a draft text of the TTIP agreement proposed by the EU Commission negotiators in July 2013 and leaked in February 2014.
So all is well? Surely it’s not. This is only the mandate for the EU negotiators. But in any international agreement, it takes at least two to tango.
„Interoperability“ or „Adequacy“?
On the American side, there have been numerous attempts to undermine European data protection rules in the context of the trade talks. New lobby organisations have been set up – for example, the „Coalition for Privacy and Free Trade“, coordinated by US law firm Hogan Lovells and including a number of political heavy-weights. A recurring theme in these lobbying efforts over the last few years has been to push for „interoperability“ between the European and American rules on data protection. This basically means a mutual recognition of the respective rules on both sides of the Atlantic, maybe with some legal tricks to make the arrangement appear solid.
The catch: in the United States, there are currently no comprehensive data protection laws. The Safe Harbor decision of 2000, under which US companies can voluntarily submit to European standards so as to be allowed to process personal data from Europe, is largely ineffective. The European Parliament has already criticized it when it was developed in 2000, and in the final report of the NSA special inquiry of 12 March 2014 even demanded its suspension. So there is nothing to be interoperable with from a European perspective, except for voluntary self-regulation measures and the usual non-enforceable commitments to transparency in order to allow „consumer choice“, which are buried under long and unreadable terms of service.
„Interoperability“ is an attempt to undermine European data protection standards. The requirements in EU data protection law set a much higher threshold than just „interoperability“. The Data Protection Directive of 1995 in Article 25 requires that:
the transfer to a third country of personal data which are undergoing processing or are intended for processing after transfer may take place only if (…) the third country in question ensures an adequate level of protection.
In short, the European foundation for the transfer of personal data to third countries is the „adequacy“ of their data protection situation. The US side is trying to replace this with mere „interoperability“.
Some European data protection experts are already part of this „interoperability“ manoeuvre. At the end of April 2014, Massachusetts Institute of Technology and the University of Amsterdam launched a series of roundtables called „privacy bridges“
to develop a framework of practical interoperability options to bridge the gaps between the European and United States legal systems of data privacy. (…) Over the next 18 months, the group will prepare a consensus white paper outlining a path forward between the United States and Europe. The efforts are aimed at providing a framework of practical options that advance strong, globally accepted privacy values in a manner that produces interoperability and respects the substantive and procedural differences between the two jurisdictions.
Participants include some well-known data privacy defenders such as former German commissioner Peter Schaar, but others have strong industry links, which are disguised behind a university affiliation. Anything developed in this context might end up in the TTIP context later. The scope of the privacy bridges project excludes legal changes in US law. Ironically, even the White House „big data“ report, which was published about the same time as the project was started, explicitly states a need for better legal protections for non-US-persons under American data protection law.
Some heavy-weight industry players go even further than „interoperability“. The Business Coalition for Transatlantic Trade, founded by the US Chamber of Commerce, calls for „a framework that allows for flexibility on privacy and continuing cooperative work on security matters“ – as if the NSA leaks had never happened and Europe had no fundamental right to data protection.
Are „Schengen routing“ and an „EU cloud“ barriers to trade?
The US side has been playing a semantic trick for a few months now. It began in the context of European responses to the Snowden surveillance affair. From several sides, there were suggestions to introduce changes to the routing of Internet data packets, so that they take a certain path and remain within the EU or even within Germany in cases where the sender and receiver are both located there. Such suggestions were made – with different motives – by privacy experts such as Ian Brown from Oxford University, but also by Deutsche Telekom. What at first glance sounds like a sensible idea – why should an email from Brussels to Berlin be routed through New York or other shady jurisdictions? – technically is not easy, and is also dangerous in its potential second-order effects. Technically it is not trivial because the Internet protocol with its IP addresses uses a logical address space that does not know from the underlying physical transport level where a given IP address is geographically located. While there are services to enable IP-level localisation, they only reach an approximation: my own IP address in the European Parliament in Brussels looks like I am located in Luxembourg, because of the three official seats of the Parliament in Brussels, Luxembourg and Strasbourg. Even if geo-routing was technically feasible, it cannot be our goal to re-shape the topology of the transnational and global Internet along national boundaries. This would quickly trigger undesirable consequences, such as calls for „immigration controls“ for data packets, which would be equivalent to Internet censorship.
The Greens in the European Parliament tabled an amendment to the final report of the NSA special inquiry to instead encrypt all Internet traffic from end to end, because then it would no longer matter where the data was flowing. This amendment was adopted as part of a compromise at the committee vote in February and confirmed by the Parliament’s plenary vote in March. After the debate on national or European routing seemed dead by early 2014, German Chancellor Angela Merkel pushed for some kind of European routing in her weekly podcast, which was taken up widely by the media. The debate simmers on.
From the US side, this debate is now being used to attack European rules and limitations for the transfer of personal data to third countries. They throw terms like „Schengen network“, „cloud computing“ and the third country rules of the EU Data Protection Directive into the same category, and label it with the term „localization“. US Trade Representative Michael Froman did this on 4 April 2014 in the presentation of his report on trade agreements for the telecommunications market. He claimed that European „localization“ rules that would require data transport or data processing in Europe constitute an illegal trade barrier. The „Business Coalition for Transatlantic Trade“ argues along the same lines and calls for the TTIP agreement „to prohibit requirements that service suppliers use local servers or other infrastructure or establish a local presence.“
It is however important to keep routing and data processing clearly distinct here. While rules on data packet routing may be ill-advised, it is highly relevant where data is processed – especially if it is personal data. Even on the European side of this debate, many have not yet fully understood that EU data protection rules are fundamentally rules for localization. Because data protection in Europe is a binding fundamental right with constitutional status in the EU Charter of Fundamental Rights, personal data may in principle be processed only within Europe. Any rules for the transfer of such data to third countries constitute exceptions from this principle and must meet certain conditions – such as an adequate level of protection in the respective third country.
In the post-Snowden era, there is a wider debate now in Europe over stricter limits to transfers of personal data to the US and other third countries. The European Parliament has introduced a new Article 43a into its version of the upcoming General Data Protection Regulation, which would prevent third countries’ authorities from demanding a transfer from a European data controller without regard to a mutual legal assistance treaty. The European Court of Justice will now have to decide if data transfers to the US under the Safe Harbor decision are still legal, after a preliminary ruling from the Dublin High Court based on a challenge by Austrian activist Max Schrems and his group „Europe vs Facebook“.
The „Digital Trade Act“ and TTIP
US Trade Representative Michael Froman is not alone. A draft „Digital Trade Act“, introduced in the US Senate in December 2013, would give the United States Trade Representative a binding mandate for international negotiations in the area of e‑commerce. Regulations for „localization“ would have to be banned, and „interoperability“ of data processing rules would be enshrined as a fundamental principle. This Act would of course also apply to negotiations over the corresponding chapter in the TTIP agreement. The bill is currently being discussed in the Committee on Finance.
Similar provisions can also be found in the draft for a bipartisan „Trade Priorities Act“, introduced in the US Senate in January 2014.
Drafts from US negotiators for the e‑commerce section of TTIP already include these two crucial points: the principle of „interoperability“ of European and US data protection rules, and a ban on „localization“. It is clear that there is a strong push from US negotiators, backed by US industry, to keep this in the final agreement text.
The EU Commission is obliged to not meet the US side’s demands in any way. But trade negotiations always lead to compromise. It is therefore to be feared that TTIP will, at least in attenuated form, include regulations that undermine our European data protection standards, e.g. by limiting the room of interpretation for the GATS exception clause to extraordinary circumstances.
The Trade in Services Agreement (TiSA): TTIP on steroids
Parallel to TTIP, and largely un-noticed by the public for a year, negotiations for a plurilateral agreement on trade in services have been going on since January 2013. The so-called Trade in Services Agreement (TiSA) would succeed GATS for the countries involved – so far the U.S., the EU, and 21 others, all from the industrialised world. US industry has woken up to the rise of public debate and criticism around TiSA in recent months, and like in the context of TTIP, has started a PR campaign in favor of loosening trade restrictions through TiSA. The „TiSA Business Coalition“, also called „Team TiSA“, was launched on 18 June 2014 in Washington in the presence of the US Trade Representative and the Japanese ambassador.
An explicit goal of the TiSA negotiations is to overcome the exceptions in GATS that protect certain non-tariff trade barriers, inter alia data protection. A first leak of a TiSA document illustrates this: the draft Financial Services Annex of TiSA, published by Wikileaks on 19 June 2014, would allow financial institutions, such as banks, the free transfer of data, including personal data, from one country to another. This would constitute a radical carve-out from European data protection rules. The transfer and analysis of financial data from EU to US authorities for the US „Terrorist Finance Tracking Programme“ (TFTP) has already shaken EU-US relations in the past and led the European Parliament to veto a first TFTP agreement in 2010. With the draft text of the TiSA leak, all floodgates would be opened.
The weakening of EU data protection rules through TiSA goes further than „only“ the financial sector. According to sources close to the negotiations, a draft of the TiSA „Electronic Commerce and Telecommunications Services Annex“ contains provisions that would ban any restrictions on cross-border information flows and localisation requirements for ICT service providers. A provision proposed by US negotiators would rule out any conditions for the transfer of personal data to third countries that are currently in place in EU data protection law. Another provision, again put on the table by US negotiators, would ban requirements to use computing facilities in the respective country.
Personal data localization as a fundamental right
In the context of Snowden revelations, it has become clear that Europe urgently needs to invest in re-building an independent IT industry, from the hardware level to the applications and services, if it wants to be protected from mass surveillance by the NSA. European public authorities and private companies increasingly insist on localisation provisions when buying computing services in order to ensure that their personal data or their sensitive business information does not end up in shady jurisdictions. This was even underlined by the European Court of Justice in its landmark ruling that repealed the data retention directive in April 2014, where the Court openly criticised the lack of localisation obligations:
[The data retention] directive does not require the data in question to be retained within the European Union, with the result that it cannot be held that the control, explicitly required by Article 8(3) of the Charter, by an independent authority of compliance with the requirements of protection and security (…) is fully ensured. Such a control, carried out on the basis of EU law, is an essential component of the protection of individuals with regard to the processing of personal data.
In plain English: any trade agreement must not prohibit such a preferential treatment of European ICT companies. Or in even simpler English: „Eat this, US Trade Representative.“
It remains to be seen if Europe can maintain and even improve its data protection rules in the face of massive pressure to reach agreement on TTIP and TiSA.
-
: Top 20 der deutschen Internetseiten auf TLS-Unterstützung getestet (Update: Auch Parteien auf dem Prüfstand)
IHTTPS : Top 20 der deutschen Internetseiten auf TLS-Unterstützung getestet (Update: Auch Parteien auf dem Prüfstand) In Anlehnung an HTTP Shaming haben wir einmal die Top 20 der Internetangebote in Deutschland mit dem Test von Qualsys SSL Labs durchgetestet, die Ergebnisse sind gemischt. Die detaillierte Tabelle findet ihr am Ende des Artikels (Update: Unser Leser Christoph hat das Ganze auch mal für Parteien gemacht, was wir ergänzt haben. Tolle Idee! Schlussfolgerungen, wie man daraus die Bedeutung des Themas Datenschutz ableiten kann, überlassen wir euch).
Vorher ein kurzer Rück- beziehungsweise Überblick, worum es bei TLS-gesicherten https-Verbindungen geht und was dabei passiert.
Durch https-Verbindungen wird nicht, wie oft verwechselt, die Webseite verschlüsselt, sondern die Daten, die zwischen dem Server, auf dem die Webseite liegt, und dem Browser des Betrachters ausgetauscht werden. Also im Zweifel auch alle Passwörter, Suchwörter und persönliche Daten die der Nutzer in Formulare eingibt und versendet. Das ist besonders da kritisch, wo Zugangsdaten betroffen sind. In WLANs ist es so für jeden möglich, diese im Klartext zu lesen, wenn er nur mitschneidet, was an Datenpaketen durch die Luft fliegt.
Neben der Verschlüsselung stellt das TLS-Protokoll zusätzlich sicher, dass man mit dem richtigen Server redet und nicht mit einem „man in the middle“ – einem Angreifer, der vorgibt, der gewünschte Gesprächspartner zu sein und sich so auch eigentlich verschlüsselte Daten zugänglich macht, da sie fälschlicherweise passend für ihn verschlüsselt werden. Der Nutzer merkt davon nichts, denn der Angreifer leitet den Datenverkehr einfach weiter, nachdem er ihn abgegriffen hat.
Eine Sicherung der Kommunikation, die das vermeidet, funktioniert folgendermaßen:
- Der Browser verbindet sich mit einem Server, der TLS unterstützt und verlangt, dass dieser sich identifiziert.
- Der Server schickt eine Kopie seines Zertifikats, das auch den öffentlichen Schlüssel des Servers enthält.
- Der Browser überprüft, ob der Zertifikatsaussteller in einer Liste vertrauenswürdiger Zertifikatsaussteller ist, das Zertifikat noch gültig und nicht widerrufen ist und dass der Name mit dem der Webseite übereinstimmt.
- Wenn alle Voraussetzungen erfüllt sind, erstellt der Browser einen Sitzungsschlüssel und sendet ihn, verschlüsselt mit dem öffentlichen Schlüssel des Servers, an diesen.
- Der Server entschlüsselt den Sitzungsschlüssel und sendet eine verschlüsselte Bestätigung, um die Sitzung zu starten.
Acht der 20 Seiten, die wir getestet haben, unterstützen TLS-verschlüsselte Verbindungen, aber bei den wenigsten sind die Einstellungen ideal.
So nutzen die meisten Zertifikate noch SHA1. SHA1 gilt bereits seit 2005 als potentiell unsicher, nachdem ein Angriff veröffentlicht wurde, der den Aufwand zum Auffinden von Kollisionen stark reduziert hat und für Hochleistungsrechner möglich machen würde. Das BSI empfahl, SHA1 ab 2010 nicht mehr für die Zertifikatserstellung zu verwenden, hat es aber bis Anfang 2014 noch selbst verwendet.
Viele unterstützen auch noch RC4, eine Stromchiffre für die Verschlüsselung, die spätestens seit 2013 als gebrochen gilt.
Mit Perfect Forward Secrecy sieht es in den meisten Fällen schlecht aus. Sie würde verhindern, dass Kommunikation rückwirkend entschlüsselt werden kann, wenn zu einem Zeitpunkt der Langzeit-Schlüssel bekannt oder gebrochen wird. Dazu werden für die einzelnen Verbindungssitzungen temporäre Schlüssel ausgehandelt, die nach selbiger weggeworfen werden. Ein erfolgreicher Angreifer könnte demnach nur die aktuelle Kommunikation im Klartext lesen – im Ernstfall eine bedeutende Schadensbegrenzung.
Im August hat Google angekündigt, dass die Unterstützung von https-Verbindungen ein Ranking-Kriterium bei Suchergebnissen werden wird, wenn auch vorerst nur ein schwaches. Es gibt also neben Sicherheit weitere Anreize, endlich umzustellen.
Auch wir haben Nachholbedarf und nur ein A- bekommen. Aber wir arbeiten dran.
Eine kurze Erklärung zum Ranking (detaillierte Methodik). Die Bestnote ist A, die schlechteste F. Der schlimmste Fall wäre natürlich, dass gar keine https-Verbindungen unterstützt werden, dann gibt es auch kein Ranking.
Es gibt ein Punktesystem, nach dem die Noten vergeben werden, aber natürlich auch KO-Kriterien. Wenn ein Zertifikat nicht gültig ist, bringt es nachvollziehbarer Weise wenig, wenn es SHA2 nutzt. In die Wertung gehen die Unterstützung geeigneter Protokolle (30 %), die Sicherung des Schlüsselaustauschs (30 %) und die Stärke der Chiffre zur Verschlüsselung (40 %) mit ein.
Top 20 Internetangebote
Domain Bewertung Anmerkungen TLS obligatorisch? t‑online.de A- Zertifikat nutzt noch SHA1, RC4 wird noch unterstützt, keine PFS nein ebay.de B Zertifikat nutzt noch SHA1, keine PFS, keine Unterstützung von TLS 1.2, kein Secure Negotiation nein gutefrage.net B Zertifikat nutzt noch SHA1, keine PFS, keine Unterstützung von TLS 1.2 nein bild.de keine TLS-Unterstützung nein web.de A nein chip.de keine TLS-Unterstützung nein focus.de A- Zertifikat nutzt noch SHA1, RC4 wird noch unterstützt, keine PFS nein spiegel.de keine TLS-Unterstützung nein computerbild.de A- Zertifikat nutzt noch SHA1, RC4 wird noch unterstützt, keine PFS nein gmx.de A Zertifikat nutzt noch SHA1 nein chefkoch.de A- Zertifikat nutzt noch SHA1, RC4 wird noch unterstützt, keine PFS nein yahoo.de A- Zertifikat nutzt noch SHA1, keine PFS, einer der Server unterstützt jedoch keine https-Verbindungen ja welt.de keine TLS-Unterstützung nein telefonbuch.de keine TLS-Unterstützung nein dasoertliche.de keine TLS-Unterstützung nein wetter.com keine TLS-Unterstützung nein rtl.de A- Zertifikat nutzt noch SHA1, RC4 wird noch unterstützt, keine PFS nein sueddeutsche.de A- Zertifikat nutzt noch SHA1, RC4 wird noch unterstützt, keine PFS nein mobile.de A- Zertifikat nutzt noch SHA1, RC4 wird noch unterstützt, keine PFS nein meinestadt.de keine TLS-Unterstützung nein Partei-Webseiten
Domain Bewertung Anmerkungen TLS obligatorisch? piratenpartei.de A Zertifikat nutzt noch SHA1 ja gruene.de A nein alternativefuer.de A- Unterstützt keine PFS nein die-linke.de A- Zertifikat nutzt noch SHA1, keine PFS nein cdu.de B Zertifikat nutzt noch SHA1, keine PFS, keine Unterstützung von TLS 1.2 nein spd.de F Unterstützt SSL 2 und unsichere Chiffren, Zertifikat nutzt noch SHA1, keine PFS, keine Unterstützung von TLS 1.2 nein fdp.de keine TLS-Unterstützung nein -
: 151.000 Personen sind polizeilich mit „Drogenkonsum“ getaggt, andere mit „geisteskrank“ oder „Ansteckungsgefahr“
"Polizeiobermeister Sebastian K" (Bild: Polizei Berlin). : 151.000 Personen sind polizeilich mit „Drogenkonsum“ getaggt, andere mit „geisteskrank“ oder „Ansteckungsgefahr“ Auf Anfrage der Berliner Piratenfraktion hat der zuständige Innensenator Frank Henkel (CDU) Auskunft über die Verwendung sogenannter „personengebundenen Hinweise“ (PHW) erteilt. Demnach sind in der von deutschen Bundes- und Länderpolizeien geführten Datensammlung INPOL derzeit rund 152.000 Menschen als „BTM-Konsument“ (BTM=Betäubungsmittel) gekennzeichnet (INPOL ist das polizeiliche Informationssystem der deutschen Bundes- und Landespolizeien). Ein Viertel davon wurden von der Polizei Berlin eingespeichert. Andere, im gesamten Bundesgebiet genutzte Kategorien sind „geisteskrank“, „Ansteckungsgefahr“, „Freitodgefahr“, „Rocker“ oder „Straftäter linksmotiviert“. Die Berliner Polizei nutzt darüber hinaus weitere PHW, darunter „Auskunftssperre“, „Aufenthaltsverbot“, „BTM-Kontakt“, „Konsument harter Drogen“ oder „Serienbrandstifter“.
Eine frühere Anfrage hatte ergeben, dass der Zuordnung eines PHW keine Verurteilung vorausgehen muss: Der Hinweis wird auch dann vergeben, wenn ein Ermittlungsverfahren eingestellt worden war. Es genüge laut dem Senat sogar der „begründete Anfangsverdacht“, dass eine entsprechende Straftat begangen werden könnte. Auch wenn also keine Straftaten in Sicht sind, darf weiter unter der Kategorie „Straftäter“ gespeichert werden:
Die Verwendung der Begrifflichkeit „Straftäter“ umfasst allgemein und im Zusammenhang mit Politisch motivierter Kriminaliät (PMK) auch den strafprozessualen Status des/ der „Tatverdächtigen“, des/ der „Beschuldigten“, des/ der „Angeschuldigten“ sowie des/ der „Angeklagten“ und dient hier zur Unterscheidung zum Begriff „Betroffener/ Betroffene“, der bei gefahrenabwehrrechtlichen Maßnahmen bzw. im Ordnungswidrigkeitenrecht Anwendung findet. Tatsächlich genügt der durch Tatsachen manifestierte und damit begründete Anfangsverdacht des Begehens oder der Beteiligung (an) einer Straftat, die der Politisch motivierten Kriminalität –links- zugeordnet werden kann.
PHW dürfen eigentlich nicht als Grundlage für andere Polizeimaßnahmen genutzt werden
Offiziell werden die PHW zur „Eigensicherung“ von Polizeikräften vergeben. Im Falle der Kategorie „Straftäter linksmotiviert“ können PHW aber auch dann vergeben werden, wenn Verstöße gar nicht gegen die Polizei begangen werden, sondern im Bereich des Versammlungsrechts, des Presserechts oder des Kunsturheberrecht. Das gilt ebenso, wenn deren zukünftige Begehung lediglich vermutet wird. Was soll das also mit der „Eigensicherung“ zu tun haben?
Eine Benachrichtigung der Betroffenen erfolgt nicht, denn die Vergabe des PHW habe laut dem Innensenator „taktische Gründe“. Im Falle der Kategorie „bewaffnet“ mag das einleuchten. Im Falle von „Betäubungsmittel-Konsument“ oder „Straftäter linksmotiviert“ kann aber davon ausgegangen werden, dass die Betroffenen bei einer Polizeikontrolle mit weiteren Maßnahmen, etwa einer Blutentnahme oder einer Durchsuchung, behelligt werden. Dies ist aber eigentlich untersagt: Die PHW dürfen nicht als Grundlage für andere Polizeimaßnahmen genutzt werden.
Unter den Polizeiabteilungen kursiert ein vier Seiten umfassendes Papier „Berliner Ergänzungen zum PHW-Leitfaden“, wo alle Kategorien von PHW enthalten sind und die „berlinspezifischen Ergänzungen“ erläutert werden. Weder der Leitfaden noch „konkrete Einzelheiten“ werden veröffentlicht, da aus ihnen „Rückschlüsse auf das taktische Vorgehen der Polizei“ gezogen werden könnten. Das polizeiliche Handeln würde ansonsten „voraussehbar“ gemacht.
Zur Geschichte der PHW hatte das Bundesinnenministerium in der Antwort auf eine Kleine Anfrage einige Hinweise gegeben. Demnach wurden die rechtlichen Grundlagen bereits 1988 gelegt, diese aber erst Ende 1990 in INPOL „technisch realisiert“. 2005 wurden die PHW dann mit weiteren Datenbanken verknüpft, darunter die Anwendungen „Personenfahndung“, „Erkennungsdienst“ und „Kriminalaktennachweis“. Diese Möglichkeit zur Verknüpfung relativiert eine Angabe des Berliner Innensenators, der erklärt hatte dass die PHW „in keinen anderen Dateien gespeichert“ würden.
Auskunft bei der Polizei Berlin auch per Mail möglich
Wenn sich Betroffene gegen stigmatisierende PHW (die Piraten nennen vor allem die Kategorien „geisteskrank“ und „Ansteckungsgefahr“) wehren wollen, müssen sie zunächst herausfinden ob sie überhaupt in den Datensammlungen geführt werden. Wie bei allen anderen Polizeibehörden sind derartige Auskünfte gebührenfrei zu erhalten. Häufig halten die Behörden entsprechende Informationen aber geheim und geben vor, dies sei dem Interesse des Staatswohl geschuldet. Mittlerweile werden die Hürden für Auskunftsansprüche auch dadurch höher geschraubt, dass beglaubigte Ausweiskopien oder Begründungen für die Anfragen verlangt werden.
In Berlin können die Anträge laut dem Innensenator „formlos, unter Beilegung einer Kopie des Personalausweises“ auf dem Postweg, aber auch per E‑Mail eingereicht werden. Die Adresse lautet LKA5542Datenauskunft@polizei.berlin.de.
-
: 1/3 aller Personendaten des VS Niedersachsen müssen gelöscht werden, Berlin findet seine politischen Datensammlungen aber OK
Frank Henkel, Berliner Innensenator, sammelt fragwürdige persönliche Daten. : 1/3 aller Personendaten des VS Niedersachsen müssen gelöscht werden, Berlin findet seine politischen Datensammlungen aber OK Alle Speicherungen von Personendaten des Berliner Verfassungsschutz sind nach Ansicht des Innensenators Frank Henkel (CDU) in Ordnung und müssten nicht weiter überprüft werden. Dies geht aus der Antwort auf eine Kleine Anfrage der
PiratenfraktionSPD hervor. Demnach seien die Einträge durch den behördlichen Datenschutzbeauftragten geprüft worden, nachdem der Abschlussbericht einer von Niedersachsen eingesetzten „Task Force“ zur Überprüfung von Datenspeicherungen des Landesamtes für Verfassungsschutz vorlag. Dort waren im Mai eklatante Missstände festgestellt und umfangreiche Löschungen angemahnt worden. Die Situation in Niedersachsen könne aber laut Henkel „nicht unbesehen auf andere Länder übertragen werden“. Allerdings sind die Datensätze in Berlin lediglich „stichprobenhaft“ überprüft worden.Ebenfalls bei der Überprüfung von Stichproben waren in Niedersachsen im Herbst vergangenen Jahres fehlerhafte Speicherungen entdeckt worden. Dabei ging es unter anderem um Daten der Journalistin Andrea Röpke, der Fall hatte bundesweit Aufsehen erregt.
Im Abschlussbericht der niedersächsischen „Task Force“ heißt es, „rund 21 Prozent der personenbezogenen Speicherungen“ beim Verfassungsschutz seien fehlerhaft und müssten umgehend gelöscht werden. Weitere knapp 18 Prozent seien „zeitnah aus der Amtsdatei zu entfernen“. Der niedersächsische Minister für Inneres und Sport, Boris Pistorius, hatte ein solches Ergebnis nach eigenem Bekunden „nicht erwartet“. Das System habe „offenbar versagt“, Pistorius spricht von einem „Organisationsverschulden“.
Erhebung von Daten missbräuchlich, danach viel zu lange gespeichert
Laut der „Task Force“ sind die fehlerhaften Speicherungen in mehrere Kategorien einzuteilen. So fänden sich in den Datenhalden des Inlandsgeheimdienstes viele minderjährige Personen, die keinen „konkreten, individuell zurechenbaren Gewaltbezug aufweisen“. In vielen weiteren Fällen sei auch eine Erstspeicherung missbräuchlich erfolgt. Auch seien Daten „häufig länger als notwendig gespeichert“ worden. Die Maximalfrist sei in einem Großteil der Fälle „nicht die gesetzlich vorgesehene Ausnahme“ gewesen, sondern „automatisch zur Regel gemacht worden“. Die gesetzliche Höchstfrist von fünf Jahren bezieht sich auf die Wiedervorlage zur Prüfung der Erforderlichkeit. Danach kann aber munter weiter gespeichert werden.
Im Abschlussbericht findet sich auch eine Reihe von Beispielen. So habe der Verfassungsschutz Erstspeicherungen lediglich durch die verdeckte Beobachtung von vermeintlich „linksextremistischen“ Mailinglisten vorgenommen, auch wenn kein Anfangsverdacht für die Beteiligung an einer „extremistischen Bestrebung“ erkennbar war. In der „weit überwiegenden Zahl derartiger Erstspeicherungen“ hätten sich aber in der Folge keine weiteren Erkenntnisse hierzu ergeben. Auch Mitglieder des Deutschen Bundestags und des Europäischen Parlaments waren gespeichert, ebenso Mitglieder des Niedersächsischen Landtags. Alle betroffenen Abgeordneten gehörten der Partei DIE LINKE bzw. den entsprechenden Fraktionen an. Auch der Widerstand gegen Atomtransporte ins Wendland oder Aktionen gegen Nazis wurden auf diese Weise kriminalisiert:
Die Task Force hat in diesem Zusammenhang festgestellt, dass beispielsweise anlässlich der Castor-Transporte wiederholt bürgerlicher Protest durch die örtlich ansässige Bevölkerung (u.a. Landwirte) oder durch Personen, die sich monothematisch gegen Atomkraft wenden, zu einer Speicherung geführt hat, ohne dass sich in der Folgezeit der Speicherung der Verdacht der extremistischen Betätigung bestätigt hat.
So wurden im Zusammenhang mit Protestaktionen gegen den in Bad Nenndorf von Rechtsextremisten initiierten sogenannten „Trauermarsch 2012“ Teilnehmerinnen und Teilnehmer einer Sitzblockade gespeichert. Aus Sicht der Task Force konnte hier ein Extremismusbezug nicht hinreichend hergestellt werden, weshalb diese Speicherungen als rechtswidrig eingestuft wurden.
Verfassungschutz besorgt sich Meldedaten einzelner Wohnhäuser
Viele personenbezogene Speicherungen wurden allein deshalb vorgenommen, weil die Betroffenen in sogenannten „Szeneobjekten“ wohnen. Gemeint sind Häuser, die nach polizeilichen Erkenntnissen von einer „politisch linksorientierten Szene“ bewohnt sind. Allerdings geraten dadurch pauschal alle BewohnerInnen ins Visier der Behörden: Denn durch eine „Meldedatenabklärung“ wurden alle dort gemeldeten Personen als Verdachtsfälle erfasst und gespeichert. Die „Task Force“ hält auch das für rechtswidrig:
Aus der Tatsache, dass die betroffenen Personen in einem der genannten Gebäude gemeldet sind, kann nicht mit der notwendigen Wahrscheinlichkeit auf die Beteiligung an einer gegen die freiheitliche demokratische Grundordnung gerichteten Bestrebung geschlossen werden.
-
: pretty Easy Privacy – Whatsapp verschlüsseln. Und Facebook-Nachrichten. Auch mit Outlook.
: pretty Easy Privacy – Whatsapp verschlüsseln. Und Facebook-Nachrichten. Auch mit Outlook. pretty Easy Privacy – kurz: p≡p – ist ein Projekt des Softwarearchitekten Volker Birk und des Chaostreff Winterthur in der Schweiz. Es will, dass verschlüsselte und anonyme Kommunikation nicht nur „good“, sondern auch „easy“ ist. In einem Gastbeitrag erklärt Volker, wie, warum und wo noch Hilfe notwendig ist. Er wird auch auf Volkers Blog und der Projektseite von p≡p erschienen.
pretty Easy Privacy – Lasst uns Whatsapp verschlüsseln! Und Facebook-Nachrichten. Auch mit Outlook. Nein, wirklich!
TL;DR
p≡p will den Default für textbasierende Nachrichten ändern, und zwar von unverschlüsselt und transparent auf anonymisiert und verschlüsselt. Dabei soll es egal sein, ob SMS, WhatsApp-Nachricht, Mail, – Hauptsache ist, der Nutzer muss gar nichts mehr dafür tun, um verschlüsselt zu kommunizieren. p≡p befindet sich in der Entwicklung, dafür braucht es Geld. Das Indiegogo-Crowdfunding ist heute gestartet.
Das Problem
Was sich abgedreht anhört, hat einen sehr ernsten Hintergrund. Inzwischen sind wir beim CCC Zürich bei der 11. Kryptoparty. Kurz: die Resonanz ist großartig. Die Leute lieben es und bekommen Service von Nerds mit Herz und einer Engelsgeduld. Nur: was nützt es? Es nützt. Aber der Impact? Wir erreichen so nicht einmal 1% der Internetnutzer. Der Cypherpunk gilt als gescheitert. Aber ist er das? Muss er das sein?
Eine Crypto-App nach der anderen, eine Crypto-Box, ein Crypto-Webdienst nach dem anderen schießt wie Pilze aus dem Boden. Ich begrüße alle davon. Jedem, der so ein Projekt macht, wünsche ich allen Erfolg, den er je haben kann. Aber wieder: der Impact? Die Leute nutzen nach wie vor Whatsapp, Facebook, Instagram & Co. Ein Crypto-Projekt mit 200.000 Nutzern gilt als erfolgreich. Das sind 0.0002 Milliarden. Zum Vergleich: Whatsapp hat 0.6 Milliarden und geht weiter auf die 1 Milliarde zu. Was tun, sprach Zeus?
Wir müssen das Problem neu denken. Wir müssen da agieren, wo die Leute sind. Und das bedeutet eben, wir müssen Whatsapp verschlüsseln. Und Facebook-Nachrichten. Aber eben auch E‑Mail. Und SMS. Und alles das, was die Leute tatsächlich nutzen. Und das Verschlüsseln alleine reicht nicht, lange nicht. Das muss ganz anders werden.
Deshalb hat sich eine Gruppe von Leuten gebildet, die das Problem lösen will. Das Motto lautet: pretty Easy privacy, p≡p. Denn Good ist sie schon, die Privacy. Aber Easy muss nun großgeschrieben werden. Und sie muss endlich dort greifen, wo die Leute wirklich kommunizieren.
p≡p ist also nicht noch eine neue Crypto-App. p≡p ist der Versuch, den Standard für textbasierende Nachrichten im Internet zu ändern: von unverschlüsselt und transparent für die Überwacher auf anonymisiert und verschlüsselt. Cypherpunk eben. Wie geht das?
Das Problem des Verschlüsselns liegt für die meisten Menschen nicht darin, dass sie keine Software finden, mit der man verschlüsseln kann. Sondern darin, dass sie es auch damit nicht können, weil sie es nicht verstehen. Das ist ein deutlicher Hinweis, dass mit der Software was nicht stimmt. Um genau zu sein, mit deren Nutzerschnittstelle. Wenn es nur ganz wenige können, ist die offensichtlich schlecht. Machen wir uns nichts vor: sie ist furchtbar.
„Lege Dir erst einmal ein Schlüsselpaar an. Nein, nimm mindestens 2048 bit RSA, besser 4096.“ Hä? Wieso geht das wieder nicht?
„Schlüssel abgelaufen.“ Aha. Und nun?
So kann es mit PGP nicht weitergehen, da hat Matthew Green ganz recht.
Die grüne Statusanzeige zeigt, dass die Kommunikation verschlüsselt stattfindet und die Teilnehmer sich vertrauen.
Die Idee
Man kann PGP richtig benutzen, das wissen viele der Leser hier genau. Und sie wissen auch, wie genau. Warum schreibt man das nicht einmal auf? Nein, nicht als Bedienungsanleitung, sondern als Protokoll. Und dann schreibt man es nochmal. In Quellcode, als Engine. Das ist die p≡p‑Engine. Die p≡p‑Engine ist keine Crypto-Engine. Sie ist eine Crypto-Benutz-Engine. Als Backends unterstützt sie GnuPG und NetPGP. Das kann man sich in etwa so vorstellen:
Der Nutzer installiert das p≡p‑Outlook-Plugin. Das installiert automatisch auch GPG4Win, da auf der Platte noch keins gefunden wurde. Der Nutzer startet Outlook und will eine neue Mail schreiben. Im Hintergrund arbeitet die p≡p‑Engine: Hat der Nutzer schon ein Schlüsselpaar? Wie heißt die eigene Mailadresse, die hier verwendet wird? Sie stellt fest, es gibt noch kein Schlüsselpaar und erzeugt eines.
Die Mail geht an alfred@neuman.com und die p≡p‑Engine fragt sich hinter den Kulissen: Haben wir einen Public Key für alfred@neuman.com? Scheinbar nicht, aber man könnte auf einem Keyserver nachsehen. Da liegt ein Key und der wird sofort importiert. Wenn der Nutzer in Outlook auf „Senden“ drückt nimmt p≡p den öffentlichen Schlüssel von Alfred, verschlüsselt die Mail und hängt den eigenen öffentlichen Schlüssel hinten dran. Dann wird die Mail verschickt.
In der Vorversion auf pep-project.org sieht, dass das schon heute funktioniert. Die Unterstützung von anderen Mailclients und Messaging-Programmen kommt bald dazu.
Der Spread
Ein großes Problem bei allen Cryptoprojekten ist: Wie kriegt man die Benutzer dazu, das Zeug zu verwenden? Man muss sich klarmachen, dass es völlig unterschiedliche Benutzer gibt:
Auf der einen Seite gibt es die Unternehmen. Die lechzen nach Verschlüsselung. Und scheitern. Weil es zu kompliziert ist. Easy game to play. Aber wir brauchen „Enterprise Features“: Key Escrow zum Beispiel. Und wir brauchen die Software für Systeme wie Microsoft Outlook, und nicht nur (aber auch) für andere freie Software wie z.B. Kolab, das in der nächsten Release p≡p mit ausliefern wird. Denn Georg Greve, Kolab-Chef und FSFE-Gründer, ist mit an Bord bei p≡p. Weitere Groupware ist herzlich willkommen! Wir haben bereits drei Pilotprojekte mit p≡p für Outlook. Den Quellcode findet Ihr auf der Homepage.
Denn p≡p ist das, zu 100%: Freie Software unter GPL. Ja, es ist eine Dual License angedacht. Unternehmen sollen das incl. Service kaufen können. Denn das wollen Unternehmen oft: einen Vertragspartner. Also haben wir die p≡p Security SA in Luxembourg gegründet. Und die bietet Unternehmenssupport. Redhat ist Vorbild.
Bei Privatleuten ist das anders. Falls die überhaupt noch mailen, dann oft im Webmailer. Deshalb brauchen sie Ganze als Browserplugin, am besten gleich mit Google-Mail-Unterstützung. Aber Privatleute brauchen noch mehr: sie kommunizieren über Whatsapp & Co. Also muss p≡p nicht nur E‑Mails können. Wir schreiben an RFCs, nicht nur an einer. Und implementieren. Es gibt ja bereits OpenWhatsapp. Und eine Facebook-Messaging-API.
Das sind die beiden Hauptgründe, mit denen p≡p Endbenutzer dazu kriegen will, p≡p zu mögen:
1. Konvergenz. Heute haben viele nicht nur eine Messaging App. Auf meinem iPhone sind es fünf. Der eine hat vier (einschließlich SMS/iMessage und E‑Mail), der andere sechs oder sieben. Die p≡p App sorgt dafür, dass alle Nachrichten in einer App ankommen. Und dass man hier wieder nur „antworten“ oder „neue Nachricht“ klicken kann, und die Nachricht geht über den sichersten verfügbaren Kanal raus. Man kann sogar damit twittern. Der Fallback, falls eine Verschlüsselung nicht möglich ist, ist das unverschlüsselte Senden. Das geschieht ohne Rückfragen, aber mit einer leicht verständlichen und gut sichtbaren Farbmarkierung für den Benutzer.
2. Synchronisation. p≡p synchronisiert alle Endgeräte eines Benutzers ohne dass er viel konfigurieren muss. Dafür müssen die Geräte eine gemeinsame E‑Mail-Adresse kenne, über die ein in Textnachrichten implementiertes Protokoll läuft. Synchronisiert werden nicht nur Schlüssel und Trust, sondern auch Kontakte und Termine. Das funktioniert, indem p≡p einen Diff in SQL als E‑Mail-Anhang an die eigene Adresse schickt, verschlüsselt mit dem eigenen Schlüssel. Damit wandern diese Daten nicht mehr in die „Cloud“.
Der Punkt 3, die Sicherheit, ist bei der Nutzerakzeptanz „nur“ ein Nebenargument. Technisch ist es jedoch alles andere als das. Wenn beide Seiten p≡p haben, macht p≡p noch etwas anderes. Dann leitet es den gesamten Nachrichtenverkehr um – über GnuNet und damit anonymisiert und hart verschlüsselt. Mit Perfect Forward Secrecy. Ja, auch Whatsapp-Nachrichten. Die dann keine mehr sind.
Warum das alles?
Weil sich jetzt etwas ändern muss. Weil es so nicht mehr weitergehen kann. Wir müssen die Hardware zurück erobern. Und die Systeme. Und den Nachrichtenverkehr. Denn die Ciscos, die kriegen wir nicht zurück. Die gehören denen. Lösen wir jedoch jene Aufgaben, so können sie die Ciscos behalten. Es dann ist es trotzdem nicht mehr so schlimm für uns.
Deshalb habe ich für die nächsten drei Jahre vor, p≡p zu machen. Bisher ist aller Code von mir, aber mittlerweile ist auch mein Freund Edouard Tisserant mit im Spiel. Und ich hoffe, dass es gar nicht noch drei Jahre dauern muss, bis wir die wichtigsten Plattformen mit p≡p versehen konnten. Sondern dass das viel schneller geht.
Dafür brauchen wir eure Hilfe und die könnt ihr uns auf verschiedenen Wegen geben: Macht mit beim Crowdfunding und helft uns, Entwickler bezahlen zu können. Unterstützt die p≡p engine in Eurer Freien Software. Und tragt das Projekt ideell mit. So, wie Ihr eben könnt und wollt. Wir freuen uns über jede Unterstüzung, die wir kriegen können. Danke jetzt schon dafür!
-
: ver.di-Kongress über digitale Arbeit – „Technik passiert nicht, wir können sie gestalten“
: ver.di-Kongress über digitale Arbeit – „Technik passiert nicht, wir können sie gestalten“
Was bedeutet die Digitalisierung für die Arbeitswelt und betriebliche Mitbestimmung. Ist das Szenario des Cloud Working Fluch oder Segen? Wie können Mitbestimmung und Selbstbestimmung der Beschäftigten in Zukunft umgesetzt werden? Fragen wie diese wurden auf dem ver.di-Kongress „Arbeitswelt, Selbstbestimmung und Demokratie im digitalen Zeitalter!“ in Berlin diskutiert. Ich war dort und fasse hier zusammen was alles diskutiert wurde.In seiner Auftaktrede gelang ver.di Chef Frank Bsirske ein Rundumschlag zu allen Fragestellungen zum Thema digitale Arbeit. Unter anderem forderte er mehr Möglichkeiten zur Anonymisierung, eine wirksamen Schutz von Whistleblowern, die verstärkte Nutzung freier Software und die Sicherstellung eines offene Zugangs zum Internet für alle (Stichwort Breitbandausbau). Die Digitale Agenda der Bundesregierung bezeichnete er als unzureichend und „nackt“ angesichts der vielen drängenden netzpolitischen Herausforderungen. Da saß die nächste Rednerin Dorothee Bär schon im Publikum.
Die Digitale Agenda ist nackt? Dann lieber nicht drüber reden.
Die parlamentarische Staatssekretärin im Ministerium für Verkehr und digitale Infrastruktur sollte anschließend über die Digitale Agenda sprechen. Da dieses Papier allerdings von allen Seiten scharf kritisiert wurde und wird, zog sie es offensichtlich vor sie nur am Rande zu erwähnen. Ihre freie Rede konnte inhaltlich nicht mit Bsirskes Keynote mithalten. Die angsprochenen Punkte blieben im vagen Politiksprech und bei einem Großteil des Publikums dürfte wohl vor allem ihr Kommentar zum Breitbandausbauziel bis 2018 hängen geblieben sein: „50 Mbit/s wird nicht reichen, aber irgendwas muss man ja in einen Koalitionsvertrag schreiben“. Schade, dass sie den wichtigen Netzausbau so auf die leichte Schulter nimmt, sie war immerhin schon in den Koalitionsverhandlungen an der Festlegung dieses Ziels beteiligt.
Im Anschluss erklärte Informatikprofessor Wolfgang Coy den technischen Wandel in der Arbeitswelt – informativ und unterhaltsam, aber auch ohne größere Überraschungen schlug er den Bogen von der aufkommenden Industriegesellschaft bis heute, bzw. morgen. Coy appellierte auch an seine eigene Profession: Informatiker seien verpflichtet Systeme so entwerfen, dass sie sicher und zuverlässig sind und den Menschen dienen – und nicht anders herum. Auch einen Buchtipp hatte er im Gepäck: Flashboys von Michael Lewis sei eine gute Lektüre über Hochfrequenzhandel, als ein Beispiel für die rapide Automatisierung ganzer Branchen.
EU-Datenschutzgrundverordnung und Beschäftigtendatenschutzgesetz
D
ie Podiumsdiskussion zum Thema Datenschutz war eher ein Leckerbissen für eingefleischte Datenschutzkenner als eine Einführungsveranstaltung. Der Berichterstatter für die EU-Verordnung Jan Philipp Albrecht (Grüne) diskutierte mit Juraprofessor Peter Wedde, dem Bundestagsabgeordnetem Gerold Reichenbach (SPD) und Ralf-Peter Hayen vom DGB über die gesetzgeberischen Entwicklung beim Datenschutz. Es war eine Debatte, die den laufenden Datenschutzreformprozess auf EU-Ebene umfassend beleuchtete.Das Ziel ist die Sicherung eines europaweiten Mindeststandards, was aber die Gefahr birgt, dass existierende hohe Datenschutzniveaus teilweise unterboten werden. Professor Wedde warnte, dass der Entwurf der EU-Datenschutzverordnung in seiner aktuellen, vom Europäischen Parlament überarbeiteten Form, den Beschäftigtendatenschutz in Deutschland verschlechtere. Das Schutzniveau für Beschäftigte sei hierzulande nämlich bisher recht hoch, und zwar aus gutem Grund. Der Datenschutz von Beschäftigten müsse besondere Beachtung finden: Auf Grund des asymmetrischen Machtverhältnisses zwischen Arbeitgebern und Beschäftigten sei hier ein besonderer Schutz nötig. Verschiedene Fälle belegen die potenzielle Bedrohung der Beschäftigten durch Überwachung am Arbeitsplatz, mangelnden Schutz persönlicher Daten im Betrieb und die Unterwanderung der Mitbestimmung, z.B. bei der Personalauswahl. DGB-Vertreter Hayen wies darauf hin, dass die Integration des Beschäftigtendatenschutz in das allgemeine Datenschutzrecht ein Novum der EU-Verordnung ist, bisher sei dieser in Deutschland im Arbeitsrecht verankert, „wo er auch hingehört“, wie MdB Reichenbach bemerkte.
Zwischenzeitlich wurde diskutiert, ob es dann nicht besser sei den Beschäftigtendatenschutz ganz aus der EU-Grundverordnung herauszunehmen, um die deutsche Rechtslage nicht zu verschlechtern. Das erscheint zunächst als verlockender Vorschlag seitens des DGB, er lässt aber außer Acht, dass der nationale Datenschutz schon jetzt ein enormes Vollzugsdefizit aufweist, dem unbedingt auf europäischer Ebene begegnet werden muss. Es ist kein Zufall, dass der Großteil an Internetunternehmen seine Europazentralen in Irland ansiedelt, wo das Datenschutzniveau extrem niedrig ist. Da können nationale Regelungen wenig bis gar nichts bewirken.
Arbeitslos oder arbeitsfrei?
Im zweiten Panel des Tages ging es um generelle Trends in der Arbeitswelt: Automatisierung, Big Data und der Wandel von Herrschaftskonflikten. Ver.di Bundesvorstand Lothar Schröder, CCC-Sprecherin Constanze Kurz und MdEP Jan Philipp Albrecht diskutierten wie Gewerkschaften der im stärkeren Computerisierung und Vernetzung der Gesellschaft und der Arbeit begegnen können. Einer der Kernpunkte: Die „Verdatung“ aller Lebensbereich führt zu einem absolut inhumanen Menschenbild. Alles, was in Zahlen ausdrückbar ist, wird gemessen, verglichen, analysiert. Der Mensch, dass sind immer mehr nur seine Daten, scheint es. Arbeit wird parallel zunehmend entgrenzt und flexibilisiert, was die Gewährleistung von guter, würdevoller Arbeit erschwert.
Auf der anderen Seite steht der globale Trend zu Automatisierung – immer mehr Tätigkeiten werden von Maschinen und Computern erledigt. Ging es im 19. und 20. Jahrhundert um die Automatisierung der Muskelkraft, die viel menschliche Arbeit überflüssig machte, schreitet nun die Automatisierung des Denkens im weiter voran. Um nur eines von vielen Beispielen zu nennen: ausländische Konzerne haben bereits heute ihre Personalabteilungen vollständig in Software-Systeme ausgelagert, von der Sichtung der Bewerbungen bis zur finalen Einstellungsentscheidung, alles erledigt eine Software. Das wird mittel- bis langfristig viele Menschen arbeitslos machen. Oder eher arbeitsfrei? Constanze Kurz betont, das Erwerbsarbeit verloren geht, aber das muss ja nicht heißen, dass die Menschen nichts mehr zu tun haben. Die Frage laute daher, wie wir die Automatisierungsdividende verteilen. Weitere Gedanken zur Zukunft der Arbeit und wie wir sie gestalten, hat sich Mit-Blogger Lorenz Matzat kürzlich im Kontext der Digitalen Agenda gemacht.
Der beste gewerkschaftliche Ansatzpunkt bei diesem Thema scheint die – tarifliche oder betriebliche – Arbeitszeitverkürzung zu sein. Die Forderung danach scheint aber bisher in den Betrieben noch kein dringendes Anliegen, weshalb das Thema in den letzten Jahren eher vernachlässigt wurde, wie Lothar Schröder selbst zugab. Noch dominiere in vielen Branchen der Fachkräftemangel die Debatte. Es dürfte aber nur eine Frage der Zeit sein, bis die 30-Stunden-Woche, Bildungsteilzeit, Altersteilzeit usw. stärker in den Fokus rücken.
Tag 2: Überwachung und kritische IT-Infrastrukturen
Den zweiten Tag des Kongresses habe ich nur mit einem Auge am Live-Stream verfolgt. Hier standen der konkrete Schutz vor Überwachung am Arbeitsplatz und Schutzmaßnahmen für sichere Kommunikation auf der Tagesordnung, unter anderen war Jacob Applebaum als Referent geladen. Auf dem späteren Panel wurde durch Berlins Datenschutzbeauftragten Alexander Dix die Forderung laut: auch ver.di muss verschlüsselte Kommunikationswege für seine Mitglieder anbieten, gerade weil gewerkschaftliche Betätigung besonders zu schützen sei. Bisher ist das leider nicht der Fall. Genauso mangelhaft sei allerdings auch die Sicherheit der IT-Infrastruktur im Bundestag, wie Anne Roth berichtete. Nachmittags sollte eigentlich Wirtschaftsminister Gabriel sprechen, er schickte aber seine Staatsministerin Brigitte Zypries.
-
: SWIFT-Abkommen: Auf Geheiß des US-Finanzministeriums verweigert Europol Abgeordneten wichtige Informationen
Transparenz nur mit Zustimmung der USA? Cover des Datenschutzberichts der EU-Polizeiagentur Europol von 2013. : SWIFT-Abkommen: Auf Geheiß des US-Finanzministeriums verweigert Europol Abgeordneten wichtige Informationen Rob Wainwright, derzeit amtierender Direktor der EU-Polizeiagentur Europol, darf einer Abgeordneten des EU-Parlaments keine Informationen über Datenlieferungen an die USA erteilen. Der Grund dafür soll eine Anweisung aus dem US-Finanzministerium sein, berichtet der Informationsdienst EU Observer. Demnach habe die US-Behörde stets die Möglichkeit, entsprechende Informationen als geheim einzustufen. Daran habe sich Europol dann zu halten.
Im vorliegenden Fall hatte die holländische liberale Parlamentarierin Sophie In’t Veld Einsicht in ein Dokument von 2012 verlangt. Dabei sei es um einen Bericht gegangen, der von der eigens bei Europol eingerichteten Aufsichtsgruppe „Joint Supervisory Body“ jährlich erstellt wird. Angeblich sei das US-Finanzministerium „unglücklich“, dass der Bericht ohne dessen schriftliche Autorisierung verfasst worden war. Eine Veröffentlichung untergrabe die „vertrauensvolle Beziehung“ , die für derartige Kooperationen notwendig sei.
In’t Veld wandte sich daraufhin an die vom Parlament für derartige Fälle ernannte Ombudsfrau Emily O’Reilly. Die Ombudsfrau hatte ebenfalls Einsicht in die Unterlagen verlangt, um die Angelegenheit zu untersuchen und gegebenenfalls zu vermitteln. Auch ihr wurden die Informationen verweigert. Europol gab an, dass keine Einwilligung der USA vorliege. Der US-Botschafter bei der EU habe dies bestätigt.
In dem inkrimierten Bericht geht es um das 2010 abgeschlossene, sogenannte SWIFT-Abkommen zur Weitergabe von Kontodaten an das US-Finanzministerium. Der belgische Finanzdienstleister SWIFT wird darin verpflichtet, auf Anfrage alle Daten zu Finanztransaktionen einzelner Personen offenzulegen. Über die Richtigkeit der US-Anfragen wacht Europol mit einer eigens eingerichteten Abteilung. Die Behörde in Den Haag spielt also eine Doppelrolle: Denn sie erhält selbst Hinweise aus den USA, die sich dort aus der Analyse der Finanzdaten ergeben haben. Außerdem ist Europol mit der Durchführung von Revisionen des Abkommens beauftragt worden (hier die Berichte von 2012 und 2013).
Nicht nur deshalb war das EU-Parlament bei den Verhandlungen um das SWIFT-Abkommen auf die Barrikaden gegangen. Ein erster Entwurf wurde abgelehnt, ein zweiter erst nach Zugeständnissen durchgewunken. Hierzu gehörte das zweifelhafte Versprechen der Kommission, die Einrichtung eines eigenen Systems „EU-TFTS“ zur Analyse von Finanzdaten nur für die EU zu errichten. Dies wurde mittlerweile gegenteilig entschieden: Die Kommission schlägt nach Vorliegen einer Studie allen Ernstes vor, dass europäische Polizeibehörden europäische Finanzdaten bei Bedarf in den USA anfragen sollen. Allerdings hatte das EU-Parlament im Lichte der NSA-Affäre gefordert, das SWIFT-Abkommen zu annulieren. Hintergrund waren unter anderem Berichte, wonach auch der US-Militärgeheimdienst NSA auf SWIFT-Daten zugreift.
O’Reilly bittet nun das Parlament zu überprüfen, inwiefern es akzeptabel sei „dass eine Absprache mit einer ausländischen Regierung die Ombudsfrau davon abhalten sollte ihre Arbeit zu verrichten“. Die Eingabe war im Innenausschuss behandelt worden, eine Rüge bleib aber auf Druck konservativer und rechter Abgeordneter aus. Liberale ParlamentarierInnen schlugen vor, als Pilotprojekt ein Webportal zum besseren Zugang zu nicht als geheim klassifizierten Dokumenten einzurichten.
-
: Vergiss mein nicht? Googles „Lösch“- Beirat soll Leitlinien für das Entfernen von Suchergebnissen entwickeln
: Vergiss mein nicht? Googles „Lösch“- Beirat soll Leitlinien für das Entfernen von Suchergebnissen entwickeln Googles „Lösch“-Beirat tagte gestern zum ersten Mal in Mailand. Ein Video von der öffentlichen Sitzung soll es in wenigen Tagen auf der Seite von Google geben. Heute findet eine weitere öffentliche Sitzung in Rom statt. Als Reaktion auf das Urteil des EuGH zum „Recht auf Vergessenwerden“, hatte Google einen Expertinn*en-Beirat ins Leben gerufen. Aufgabe des Beirates ist es, Kriterien für das Entfernen von Suchergebnissen zu entwickeln. Wann ist der Antrag auf Entfernung begründet und wann nicht? Wann überwiegt die Informationsfreiheit der Öffentlichkeit und wann das Recht auf Privatleben und Datenschutz der*s Einzelnen? Umstritten ist, ob der Google Beirat der richtige Ort ist, um diese Fragen zu entscheiden.
Das EuGH Urteil und seine Folgen
Die Interpretation des EuGH Urteils gehen weit auseinander (wir berichteten hier, hier, hier und hier). In seinem Urteil entschied der EuGH, dass Personen unter bestimmten Umständen ein Recht auf Entfernung von Suchergebnisses zusteht, wenn nach ihren Namen gesucht wird. Das bedeutet nicht, dass die Seite gelöscht werden muss, sondern nur, dass die Seite nicht mehr in der Google Ergebnisliste auftaucht. Und die Seite wird auch nur dann nicht mehr angezeigt in der Ergebnisliste, wenn nach dem Namen der Person gesucht wird. Eine weitere Einschränkung ist, dass sich das Urteil nur auf Google-Suchen in Europa bezieht.
Im Zuge des Urteils soll Google mit Anträgen auf Entfernen von Suchergebnissen überhäuft worden sein. Es sollen über 100.000 Anfragen gekommen sein und Google soll den meisten Anträgen gefolgt sein und die Suchergebnisse entfernt haben, unter ihnen auch Wikipediaeinträge. Hier haben wir ein grundlegendes Problem: Wer soll über die Abwägung bzw. über die Kriterien für die Abwägung zwischen dem Recht auf Privatleben und Datenschutz auf der einen Seite und Informationsfreiheit auf der anderen Seite entscheiden? Momentan tut Google das. Das ist ein Fall von privatisierter Rechtsdurchsetzung. Da der EuGH nicht genau dargelegt hat, was die Kriterien für ein Entfernen eines Suchergebnisses sind, und der EU-Gesetzgeber bisher untätig geblieben ist, ist diese privatisierte Rechtsdurchsetzung nur logische Konsequenz.
Kritik am Beirat
Der 8 köpfige Expertinn*en Beirat, der aus unabhängigen Expertinn*en besteht, aber von Google initiiert wurde, soll nun die Lücke, die der EuGH offengelassen hat, schließen. Für Deutschland sitzt als Expertin übrigens Sabine Leutheusser Schnarrenberger im Beirat. Google schreibt über den Beirat:
Es ist uns wichtig, die richtige Abwägung zu treffen. Diese Verpflichtung ist eine neue und schwierige Herausforderung für uns und wir sind auf der Suche nach Unterstützung bei der Frage, welche Prinzipien Google bei fallbasierten Entscheidungen anwenden sollte. Aus diesem Grund haben wir einen Experten-Beirat ins Leben gerufen.
Es ist zu begrüßen, dass genauere und transparentere Kriterien für die Abwägung von Recht auf Privatleben/Datenschutz und Informationsfreiheit gefunden werden sollen. Aber ist der von Google initiierte Beirat der richtige Ort dafür? Die Tagesschau zitiert Kirsten Fiedler, Geschäftsführerin von European Digital Rights (EDRi), die den Anspruch des Beirates, allgemeine Kriterien für das Entfernen von Suchergebnissen aufzustellen, als „kurios“ bezeichnet. Laut Fiedler müsse diese Aufgabe im Rahmen eines Gesetzgebungsverfahrens auf EU-Ebene erfüllt werden.
So auch der Tenor eines Offenen Briefes, der von einer Gruppe von Digital Rights Organisationen verfasst und unterzeichnet wurde. Der Beirat wird in dem Brief daran erinnert, dass es Aufgabe des EU-Gesetzgebers sei, die Kriterien für eine Entscheidung über das Entfernen von Suchergebnissen rechtlich verbindlich festzulegen.
2. We remind the Council that it is the role of the European institutions to provide a legal definition and scope of the right to erasure. While the Advisory Council has been tasked to provide expert input into Google implementation of the ruling, the Council cannot generate legal safeguards, nor can it provide authoritative legal guidance to the company.
Therefore, we encourage the Council to ask that such legal safeguards be created by European legislators and to call for additional legal clarifications.
Auch wird in dem Brief darauf hingewiesen, dass die Arbeit des Beirats die Reform des EU-Datenschutzrechts verzögern bzw. gefährden könnte. Den Offenen Brief gibt es als pdf und eine Pressemitteilung von EDRi findet ihr hier.
-
: Freihandelsabkommen contra Datenschutz? – Untersuchung von Thilo Weichert
: Freihandelsabkommen contra Datenschutz? – Untersuchung von Thilo Weichert Thilo Weichert, der noch amtierende Datenschutzbeauftragte von Schleswig-Holstein, hat eine Analyse zu den Auswirkungen des geplanten transatlantischen Freihandelsabkommens TTIP auf den Datenschutz veröffentlicht. Dabei kommt er zum wenig überraschenden Ergebnis, dass ein mit Deutschland und Europa vereinbares Datenschutzniveau bei der Datenverarbeitung persönlicher Daten in den USA nicht gesichert werden kann, solange die USA nicht das Grundrecht auf Privatsphäre aller Menschen anerkennen, seien es US-Personen oder nicht:
Entweder die USA erkennen den europäischen digitalen Grundrechtsschutz an, oder es kann insofern keinen transatlantischen Freihandel geben.
Er gibt zu bedenken, dass eine gleichzeitige Verhandlung von TTIP und der EU-Datenschutzgrundverordnung kontraproduktiv sei und die Gefahr bestehe, „dass wegen der Meinungsverschiedenheiten bzgl. des Datenschutzes im Verhältnis zwischen den USA und Europa die Verabschiedung der Grundverordnung verzögert oder gar verhindert wird.“ Statt US-Unternehmen die Verarbeitung personenbezogener Daten aus Deutschland und Europa leichter zu machen, sollte man laut Weichert die Durchsetzung angemessenen Datenschutzrechts stärken, damit US-Firmen ihre Geschäftspraktiken anpassen müssen, um weiterhin Marktchancen zu haben. Eine Selbstzertifizierung, wie durch Safe Harbor vorgesehen, habe sich in der Vergangenheit als wenig wirksam herausgestellt, da es grundlegend an Datenschutzregelungen in den USA mangele:
Anders als das europäische, kennt das US-amerikanische Recht keinen konsistenten Datenschutz. So ist ein Grundrecht auf Datenschutz von der herrschenden Meinung in Politik, Rechtsprechung und Literatur nicht anerkannt. Unabhängig davon ist auch keine Grundrechtsbindung von Privaten anerkannt. Dies hat zur Folge, dass fundamentale Datenschutz-Grundsätze in den USA nicht oder nur begrenzt durchgesetzt werden können:
- Datenerhebung beim Betroffenen
- Zweckbindung
- Gesetzesvorbehalt im öffentlichen wie im nicht-öffentlichen Bereich
- Auskunftsanspruch sowie weitere Betroffenenrechte inkl. Rechtsschutz
- unabhängige Kontrolle
Generell muss festgestellt werden, dass das Datenschutzniveau in den USA nicht ansatzweise den deutschen und europäischen verfassungsrechtlichen Anforderungen genügt und daher ein berechtigtes Handelshemmnis darstellen kann.
Das Problem an TTIP wie an anderen Abkommen seiner Art ist, dass seitens der Zivilgesellschaft nur wenig Einsicht geschweigedenn Einfluss auf die Verhandlungen genommen werden kann, denn diese laufen in beispielloser Weise intransparent ab. Man erfährt nichts über Verhandlungsstand oder Entwürfe der Papiere. Eines weiß man jedoch: Die Liste derjenigen, mit denen die EU-Kommission Lobby-Gespräche führt, ist lang und enthält eine Aufzählung großer IT- und Telekommunikationskonzerne. Und deren Interesse an datenschutzfreundlicher Ausgestaltung von Wirtschaftsprozessen ist bekanntermaßen nicht besonders ausgeprägt.
-
: Kommentar zum EuGH-Urteil: „Ungleichgewicht in der Balance von Persönlichkeitsschutz und Kommunikationsfreiheit“
Google: gut oder böse? : Kommentar zum EuGH-Urteil: „Ungleichgewicht in der Balance von Persönlichkeitsschutz und Kommunikationsfreiheit“ Das Urteil des Europäischen Gerichtshofs zu personenbezogenen Daten und Suchmaschinen sorgt noch immer für Aufregung. Wir haben verschiedene Spezialexperten™ angefragt, ihre Meinung zum Urteil und Erwiderungen auf gängige Argumente auszuführen. Diesmal Prof. Dr. Johannes Masing, Professor für Verfassungsrecht an der Universität Freiburg und Richter am Bundesverfassungsgericht in Karlsruhe. Dieser Beitrag erschien zuerst auf Verfassungsblog.de und ist lizensiert unter Creative Commons BY-NC-ND 4.0. Auf iRights.info erschienen bereits zwei Besprechungen des Textes, jetzt hat Masing den Text selbst veröffentlicht, mit diesem Disclaimer:
Angesichts des Interesses einer inzwischen auch breiteren Fachöffentlichkeit in Anknüpfung an diesbezügliche Diskussionen auf verschiedenen Internetforen habe ich mich entschieden, meinen nachfolgenden, nicht mehr ganz jungen Vermerk mit einer vorläufigen ersten Einschätzung der Google-Entscheidung, anders als zunächst vorgesehen, nun doch öffentlich zu stellen. Es sei jedoch betont, dass er lediglich eine schnell geschriebene, erste vorläufige Einschätzung ist, nicht aber ein endgültig durchgearbeiteter Text, der nach wissenschaftlichen Standards ausgeformt ist. Ich hatte ihn deshalb zunächst nur einzelnen Personen zugeleitet, mit denen ich auch sonst in fachlichem Austausch gestanden habe. Andererseits hat das Papier inhaltlich nie einen spezifischen Vertraulichkeitscharakter gehabt und gibt es von der Sache her keinen Grund, es nicht auch einer weiteren Öffentlichkeit zugänglich zu machen. Es ist ein Papier, das versucht dazu beizutragen, die Probleme der Google-Entscheidung besser zu verstehen und mir hierüber auch selbst auf der Grundlage von Diskussionen mit wissenschaftlichen Kollegen und Fachleuten schrittweise Klarheit zu verschaffen. Wenn er in diesem Verständnis weiterdiskutiert wird, kann das der Sache nur dienen.
Zusammenfassende Thesen
Die Entscheidung des Europäischen Gerichtshofs vom 13. Mai 2014 – Google Spain SL – ist von dem anerkennenswerten Anliegen getragen, mit den Grundrechten der Charta ernst zu machen und diese auch gegenüber Wirtschaftsinteressen zur Geltung zu bringen. Dennoch wirft sie gewichtige Bedenken auf.
Zu Recht zwar unterwirft sie Suchmaschinen den europäischen Datenschutzregeln und sieht deren Tätigkeit als datenschutzrechtlich rechtfertigungsbedürftig an. Auch ist die Anerkennung eines Rechts auf Vergessen vom Grundsatz her überzeugend. Die Entscheidung des EuGH ist jedoch in Bezug auf die Einhegung der Macht von Google kontraproduktiv und bringt ein Ungleichgewicht in die Balance von Persönlichkeitsschutz und Kommunikationsfreiheit, das die liberalen Linien des Äußerungsrechts zu unterlaufen droht.
1. Durch die Entscheidung des EuGH werden Suchmaschinenbetreiber als für Löschungsanträge Verantwortliche zu einer privaten Schiedsinstanz mit weitreichenden Entscheidungsbefugnissen über die Kommunikation im Netz erhoben. Das Urteil droht damit die bereits erhebliche Macht der Suchmaschinenbetreiber zu verfestigen.
2. Die Suchmaschinenbetreiber sind zur inhaltlichen Beurteilung der sich gegenüberstehenden Interessen zwischen dem Kommunikationsinteresse der Internetseitenbetreiber und der Betroffenen in der Regel nicht in der Lage. Wenn sie die Entscheidung hierüber nicht den Datenschutzbehörden zuschieben ‑ die dann zu Kommunikationsregulierungsbehörden würden ‑, bestehen große Anreize, auf Beschwerde Betroffener Nachweise ungeprüft zu sperren. Dies geht über die Kommunikationsinteressen der Internetseitenbetreiber und deren Nutzer einseitig hinweg.
3. Durch die rigide, nicht nur auf spezifische Problemkonstellationen begrenzte Abkoppelung der Befugnis zum Nachweis einer Äußerung von der Befugnis zur Äußerung selbst werden die differenzierten rechtlichen Maßgaben zur Verbreitung von Informationen nivelliert. Zugleich stehen sich Äußernde und Betroffene mit ihren gegensätzlichen Interessen- und Rechtspositionen nicht länger gegenüber. Die Betreiber von Internetseiten mit ihren Kommunikationsinteressen werden weder materiell noch verfahrensrechtlich gleichberechtigt in die Entscheidung über die Frage von Nachweissperren eingebunden. Indem sie durch solche Sperren aber faktisch „unsichtbar“ werden können, sind sie hiervon jedoch maßgeblich betroffen.
4. Entsprechend der strukturellen Auskoppelung der Kommunikationsinteressen und der hinter ihnen stehenden Freiheitsrechte soll nach Ansicht des EuGH die Abwägung von einem prinzipiellen Vorrang des Schutzes des allgemeinen Persönlichkeitsrechts geprägt sein, von dem nur „in besonders gelagerten Fällen“ ‑ etwa für Persönlichkeiten des öffentliche Lebens ‑ Ausnahmen gelten. Überdies wird die Verbreitung von Informationen von Privaten unbesehen an dem öffentlich-rechtlichen Datenschutzrecht entnommene Zweckbindungsgrundsätze gebunden, die hier nur begrenzt passen. Das Ergebnis ist, dass eine ausgewogene Balance zwischen Kommunikationsfreiheit und Persönlichkeitsrechtsschutz aus den Augen gerät.
5. Durch solchen grundsätzlichen Vorrang des Persönlichkeitsschutzes vor der Meinungsfreiheit drohen die – zum Teil in einem konfliktreichen Prozess mühsam zur Durchsetzung gebrachten – Errungenschaften der Rechtsprechung, mit denen diese eine offene, auch gegenüber herkömmlichen Ehrbegriffen, Moralvorstellungen und sozialen Geltungsansprüchen potenziell kritische Auseinandersetzung und öffentliche Kommunikation ermöglicht hat, weithin überspielt zu werden.
6. Die vom EuGH mit dieser Entscheidung intendierten, im Kern auch berechtigten Anliegen einer Effektivierung des Persönlichkeitsschutzes – einschließlich der Anerkennung eines Rechts auf Vergessens ‑ hätten demgegenüber auch auf differenziertem, dem Spannungsverhältnis von Freiheit und Persönlichkeitsschutz Rechnung tragendem Wege verfolgt werden können.
7. Die Schwierigkeiten reflektieren zugleich die unterkomplexe Ausgestaltung des europäischen Datenschutzrechts, das pauschal nur eine Form von Datenverantwortlichkeit und dabei ununterschieden gleiche Pflichten für öffentlich-rechtliche und private Akteure aller Art begründet. Ein gehaltvoller Grundrechtsschutz müsste demgegenüber schon auf regulatorischer Ebene problemadäquate und abgestufte Regelungen einfordern. Die künftige Datenschutzgrundverordnung wäre hierfür der Ort, greift das Problem aber nicht differenziert auf.
Vorläufige Einschätzung der „Google-Entscheidung“ des EuGH
Die durch die Entscheidung des Europäischen Gerichtshofs vom 13. Mai 2014 (C‑131/12 – Google Spain SL u.a.) geschaffene Rechtslage wirft gewichtige Bedenken auf. Zwar unterwirft sie Suchmaschinen zu Recht den europäischen Datenschutzregeln. Im Ergebnis droht sie jedoch die Macht der Suchmaschinenbetreiber, und damit insbesondere auch von Google, zu verstärken anstatt sie zu beschränken, und bringt ein Ungleichgewicht in die Balance von Persönlichkeitsschutz und Kommunikationsfreiheit, das die liberalen Linien des Äußerungsrechts zu unterlaufen droht.
Die nachfolgenden Überlegungen sind nur eine vorläufige Einschätzung. Sie verstehen sich nicht als verfassungs- bzw. europarechtliche Beurteilung der dogmatischen Konsistenz der genannten Entscheidung und setzen insbesondere nicht an der Frage an, ob und ggfs. wieweit der EuGH die Vorgaben der Richtlinie und der Grundrechtecharta möglicherweise unzutreffend auslegt. Ihr Ziel ist allein eine vorläufige kritische Analyse der tatsächlichen Verwerfungen und rechtspolitischen Verschiebungen, die sich aus der Entscheidung nach derzeitiger Rechtslage ergeben. Insbesondere geht es hierbei um eine Abschätzung der Folgen, die die Entscheidung bei Gesamtbetrachtung der Internetkommunikation für das Verhältnis von Freiheit und Persönlichkeitsschutz hat. Dabei zeigt sich, dass die Kommunikationsfreiheiten hierbei erheblich unterbelichtet bleiben. Entsprechend wird mit ihr für Deutschland die liberale Rechtsprechung des Bundesverfassungsgerichts zu den Kommunikationsfreiheiten durch eine eigene Rechtsschicht überlagert, die deren Wertung für die Frage des Suchmaschinennachweises durch eine einseitig auf dem Persönlichkeitsschutz beruhende Dogmatik ersetzt und hierüber naheliegende Lösungsansätze für ausgeglichenere Lösungen verstellt.
Ein Grund hierfür liegt freilich nicht in der neuen Entscheidung, sondern zugleich in dem pauschal undifferenzierten Rechtsinstrumentarium, das die Datenschutzrichtlinie zur Verfügung stellt. Durch die geplante Datenschutzgrundverordnung würde dies nach derzeitigem Stand nicht behoben. Hier wäre aber der Ort dafür.
1. Gegenstand
Ein spanischer Staatsbürger sah sich in seinem Persönlichkeitsrecht verletzt, weil die Suchmaschine Google noch im Jahre 2010 bei Eingabe seines Namens einen Hinweis auf zwei Seiten der Tageszeitung La Vanguardia aus dem Jahre 1998 anzeigt, in denen die Versteigerung seines Grundstücks wegen seiner damaligen Schulden bei der Sozialversicherung angekündigt wurde. Auf seinen Antrag entschied die spanische Datenschutzbehörde zugunsten der Zeitung, da die betreffenden Informationen dort rechtmäßig veröffentlicht worden seien. Google Spain und Google Inc. wurde dagegen aufgefordert, die betreffenden Daten aus ihrem Index zu entfernen und den Zugang zu den in Rede stehenden Zeitungsmeldungen in Zukunft zu verhindern. Auf Vorlage der hiergegen angerufenen spanischen Gerichte bestätigte nun der EuGH der Sache nach diese Entscheidung.
2. Zutreffender Ausgangspunkt
Zunächst ist hervorzuheben, dass die Entscheidung des EuGH ersichtlich davon beseelt ist, seine Aufgabe des Grundrechtsschutzes auch gegenüber wirtschaftlichen Interessen ernst zu nehmen und den europäischen Grundrechten inhaltliche Durchschlagskraft zu verleihen. In diesem Sinne ist diese Entscheidung rückhaltslos zu begrüßen und hat sie Anerkennung verdient.
Überzeugend ist insoweit, dass nunmehr endgültig klargestellt ist, dass Suchmaschinen wie Google Europäischem Recht und dem Recht der Mitgliedstaaten unterworfen sind, unabhängig von der Frage, wo die entsprechenden Server stehen.
Überzeugend ist gleichfalls der Grundansatz des EuGH, die Bedeutung der Suchmaschinen nicht zu marginalisieren, sondern sie als eigene Form der Datenverarbeitung zu verstehen. Der Nachweis von Internetseiten hat eine eigene Bedeutung, die am Recht der informationellen Selbstbestimmung bzw. an den Grundrechten auf Achtung des Privatlebens und auf Schutz personenbezogener Daten eigens zu rechtfertigen ist. In der Tat darf die Bedeutung dieser Suchmaschinen für den Schutz der persönlichen Freiheit nicht unterschätzt werden.
Die aus diesem Ausgangspunkt gezogenen Schlussfolgerungen sind meines Erachtens jedoch kontraproduktiv und einseitig.
3. Problemhintergrund
In Frage steht, unter welchen Bedingungen Suchmaschinen auf Internetseiten verweisen dürften, auf denen personenbezogene Daten (d.h. Informationen zu ‑ natürlichen oder juristischen ‑ privaten Personen) enthalten sind, bzw., anders herum gewendet, wann private Personen von einem Suchmaschinenbetreiber verlangen können, dass sie betreffende Angaben nicht mehr nachgewiesen und damit praktisch nicht mehr gefunden werden können. Der EuGH schichtet diese Frage strikt von der Frage der Rechtsmäßigkeit der nachgewiesenen Informationen ab (siehe unten). Im praktischen Ergebnis hängt sie hiermit aber eng zusammen. Denn die vom EuGH entwickelten Grenzen der Suchmaschinenbetreiber für den Nachweis personenbezogener Informationen dienen dazu und sollen dazu dienen, die Verbreitung bestimmter Informationen wegen ihrer rechtsverletzenden Wirkungen für die Betroffenen zu verhindern.
Materiell berührt die Entscheidung damit Probleme, die üblicherweise im Rahmen des Äußerungsrechts abgehandelt werden: Wann darf wer über wen welche Informationen verbreiten. Dies verweist auf das Spannungsfeld zwischen der durch die Kommunikationsgrundrechte geschützten Äußerungsfreiheit einerseits und dem Schutz des allgemeinen Persönlichkeitsrechts andererseits.
Die diesbezüglichen rechtlichen Regelungen sind komplex und beschäftigen seit jeher die Gerichte verschiedener Gerichtsbarkeiten. Dementsprechend vielfältig und abgestuft sind auch die verfassungsrechtlichen Maßgaben, die hierfür im Laufe der Zeit entwickelt wurden. Es seien nur einige Beispiele genannt: Wann eine Äußerung als Beleidigung untersagt werden darf und wann sie als Wahrnehmung der Meinungsfreiheit hinzunehmen ist, unterliegt vielfach gestuften Rechtsvermutungen, Deutungsanforderungen und Abwägungsvorbehalten. Ebenfalls unterliegt ausdifferenzierten Regelungen, wann eine Person über eine andere welche Tatsachen behaupten darf, wie hierbei die Frage der Wahrheit der Tatsachenbehauptung zu beurteilen ist und diesbezüglich Darlegungs- und Beweislast zu verteilen sind; hierbei ist etwa auch zwischen der Presse und Privatpersonen zu unterscheiden. Wiederum spezifische Regeln gelten für die Frage was als „Privatsphäre“ der Berichterstattung in welchen Situationen entzogen ist. Eigene Anforderungen gelten auch hinsichtlich der sogenannten „Verdachtsberichterstattung“, d.h. der Berichterstattung über Personen, die Straftaten beschuldigt werden, aber noch nicht verurteilt sind, und wieder eigens sind die Anforderungen hinsichtlich der Verbreitung von Informationen von verurteilten Straftätern, wobei sich die Anforderungen hier etwa danach unterscheiden, wie lange die Verurteilung zurückliegt und ob eine Berichterstattung deren Resozialisierung entgegenstehen kann. Die Frage, welche Informationen veröffentlicht werden können, hängt zum Teil aber auch von amtlichen Entscheidungen ab, etwa wenn Verbraucher vor bestimmten Missständen oder Gefahren gewarnt werden oder etwa die Namen bestimmter Personen in Form berufsrechtlicher Sanktionen veröffentlicht werden. In der Wirtschaft und im Umweltrecht werden bestimmte unternehmensbezogene Informationen durch Transparenzpflichten vom Gesetzgeber bewusst als öffentlich und für die Öffentlichkeit bestimmt festgelegt. Zum Teil regelt der Gesetzgeber aber auch Fristen, während derer bestimmte Informationen gespeichert und genutzt werden dürfen und nach denen dieses nicht mehr der Fall ist (Regelungen zur Straftilgung aus dem Bundeszentralregister, Publikationsregelungen des Gewerbe- und Insolvenzrechts usw.); solche Fristen können zum Teil auch für die private Nutzung und Verbreitung von Informationen eine Rolle spielen.
Die meisten dieser Regelungen sind zunächst unabhängig von der Verbreitungsform des Internets entstanden, wobei es aber durchaus auch Entscheidungen gibt, die – etwa bezogen auf Internetportale – speziell auf das Internet zugeschnitten sind. Richtig ist, dass die Tragfähigkeit dieser Regelungen in Bezug auf die neuen Wirkungen, die sich aus der Verbreitung über das Internet ergeben, zum Teil neu auf den Prüfstand stehen und möglicherweise angepasst werden müssen. Die Frage, ob insoweit eine Veränderung der Kriterien erforderlich ist, lässt sich dabei nicht einheitlich entscheiden, sondern kann nur schrittweise entschieden werden. Dieser Prozess ist in vollem Gange.
Ein Problem, das hierbei noch am wenigsten gelöst ist, ist die dauerhafte Abrufbarkeit von einmal in das Netz eingestellten Informationen. Diskutiert wird das unter dem Stichwort eines „Rechts auf Vergessen“. Auch beim Bundesverfassungsgericht sind diesbezüglich Verfahren anhängig.
Das Spannungsverhältnis zwischen Äußernden und Betroffenen ist bisher grundsätzlich zwischen den sich insoweit mit je eigenen Rechten gegenüberstehenden Parteien ausgetragen und entschieden worden. Auch die beim BVerfG anhängigen Verfahren betrifft eine Konstellation, in der es um die Klage gegen den Äußernden ‑ ein Online-Archiv ‑ geht und hierbei um die Frage, ob dieses die Daten so einzustellen hat, dass Suchmaschinen sie nicht finden. Mit der hiervon unterschiedenen, nun vom EuGH beantworteten Frage, ob sich der Betroffene statt gegen den Äußernden auch an einen Suchmaschinenbetreiber wenden kann, um ihn betreffende Äußerungen durch eine Sperre entsprechender Nachweise „unsichtbar“ zu machen, stellt die Folgefrage, ob bzw. wieweit diese Auseinandersetzung nun auf eine Metaebene geschoben werden kann.
4. Die Thesen des EuGH
Die Entscheidung des Europäischen Gerichtshofs enthält zur Lösung des inhaltlichen Konflikts vier Thesen:
‑ Der Suchmaschinenbetreiber trägt die volle Verantwortlichkeit für die mögliche Persönlichkeitsverletzung durch den Inhalt der von ihm nachgewiesenen Seiten. Er muss deshalb prüfen, ob die Informationen auf der von ihm nachgewiesenen Internetseite aus dem Gesichtspunkt des Datenschutzes verbreitet werden dürfen oder ob dies die Rechte der betreffenden Person verletzt.
‑ Für diese Prüfung kommt es nicht auf die Frage der Rechtsmäßigkeit der Informationen selbst an. Auch wenn eine Internetseite rechtmäßig bestimmte Informationen enthält und zugänglich macht, folgt hieraus nicht, dass diese Informationen auch durch die Suchmaschine nachgewiesen werden müssen. Der Nachweis von Informationen gegenüber den Internetnutzern, die die Suchmaschine benutzen, unterliegt anderen Kriterien als die Frage, unter welchen Umständen diese Informationen seitens des Äußernden veröffentlicht werden dürfen.
‑ Maßgeblich für die Frage, ob eine Internetseite nachgewiesen wird, ist eine umfassende Abwägung, die alle Umstände der konkreten Situation der betroffenen Person berücksichtigt. Diese Abwägung hat unabhängig davon zu erfolgen, ob die Veröffentlichung der fraglichen Informationen als solche rechtmäßig ist. Dabei ist insbesondere zu berücksichtigen, dass die Daten nicht länger zugänglich sein dürfen, als es für die Realisierung der Zwecke, für die sie erhoben oder weiterverarbeitet werden erforderlich ist.
‑ Bei der Abwägung gilt in Bezug auf namensbezogene Suchvorgänge und Nachweise materiell eine Vermutung des Vorranges des Privatheitsschutzes, wie er durch die Artikel 7 und 8 EuGrCh gewährleistet ist: Nach Ansicht des EuGHs „überwiegen die durch diese Artikel geschützten Rechte der betroffenen Personen im Allgemeinen gegenüber dem Interesse der Internetnutzer“. „In besonders gelagerten Fällen“ – etwa betreffend Personen des öffentlichen Lebens – kann die Abwägung anders ausgehen.
5. Der formale Aspekt der Entscheidung: Vollverantwortlichkeit der Suchmaschinenbetreiber für den Inhalt der nachgewiesenen Seiten
Die Entscheidung des Gerichtshofs ist zunächst hinsichtlich des formellen Lösungsansatzes erheblichen Bedenken ausgesetzt.
Dem Suchmaschinenbetreiber wird die volle inhaltliche Verantwortung für die jeweiligen von ihm nachgewiesenen Internetseiten zugewiesen. Diese Verantwortung ist, soweit ersichtlich, nicht weiter konditioniert, d.h. sie greift nicht nur subsidiär, sondern primär, unmittelbar und – bezogen auf den einzelnen Nachweis – umfassend. Ein Betroffener soll jede Art von Persönlichkeitsrechtsverletzungen seitens Dritter im Internet zum Anlass nehmen können, die Unterbindung eines entsprechenden Nachweises in der Suchmaschine zu erwirken. Der Suchmaschinenbetreiber wird somit zur Anlaufstelle für die Geltendmachung von Persönlichkeitsrechtsverletzungen im Netz allgemein.
Der Suchmaschinenbetreiber hat damit in einer Auseinandersetzung zwischen (mindestens) zwei Parteien zu entscheiden, deren Hintergründe er nicht näher kennt. In dieser Situation hat er, praktisch betrachtet, im Wesentlichen drei Möglichkeiten, wie er mit Anträgen auf Nachweissperren umgeht:
- Zum einen kann er eine Beschwerdestelle einrichten, die im Falle von Beanstandungen die entsprechenden Treffer sperrt. Naheliegenderweise wird eine solche Sperre ohne jede Kontrolle (bzw. allenfalls nach einer rudimentären Plausibilitätskontrolle) angeordnet werden, um auf diese Weise eine effektive, günstige und wirksame Befriedung herbeizuführen.
Eine solche Praxis wäre jedoch im Sinne der Freiheit der Internetkommunikation äußerst bedenklich: Die gesperrten Internetseiten, die auf diese Weise nicht mehr gefunden werden können, würden damit insoweit von ihrem Publikum praktisch abgeschnitten, ohne hierzu Gelegenheit zur Stellungnahme gehabt zu haben oder hiervon auch nur zu wissen. Zwar bleibt es bei ihrer Freiheit, Äußerungen im Netz zu veröffentlichen, jedoch werden diese Äußerungen ohne deren Mitwirkung aus der allgemeinen Internetkommunikation de facto ausgesondert.
- Denkbar ist freilich auch, dass die Suchmaschinenbetreiber Beschwerden von Betroffenen zunächst grundsätzlich ignorieren und die Betreffenden auf die Datenschutzbehörden verweisen. Der EuGH macht diese ausdrücklich dafür verantwortlich, entsprechende Sperren gegebenenfalls gegenüber den Suchmaschinenbetreibern anzuordnen. Diese könnten insoweit also die Politik verfolgen, entsprechende Anordnungen zunächst abzuwarten und dann zu befolgen.
Auch diese Lösung ist mit erheblichen Problemen behaftet: Zwar wäre damit gewährleistet, dass die Entscheidung über den Ausgleich von Äußerungs- und Persönlichkeitsschutzinteressen nicht bei einem privaten Konzern läge. Die Datenschutzbehörden würden dabei jedoch nicht nur mit einer kaum mehr zu bewältigenden Zahl von Verfahren behelligt, sondern würden zu einer allgemeinen Kommunikationsregulierungsbehörde über privatrechtliche Auseinandersetzungen. Dies ist schon grundsätzlich bedenklich. Streitigkeiten, die bisher weithin im Zivilrechtsweg dezentral ausgetragen wurden, würden nun weithin in die Zuständigkeit einer – vermutlich erhebliche Ausmaße annehmenden – Behörde und damit ins Verwaltungsrecht verlegt. Soweit deren Tätigkeit bis zur ersten Anordnung kostenfrei bliebe, wären damit überdies die Streitkosten auf die öffentliche Hand ausgelagert. (Sollte man demgegenüber, was dann naheläge, hierfür gegenüber den Suchmaschinenbetreiber kostendeckende Gebühren erheben, wäre anzunehmen, dass die Suchmaschinenbetreiber von einer solchen Strategie wieder abrücken und sich der vorgenannten Strategie – grundsätzliche Sperrung der monierten Informationen – zuwenden würden.).
- Ausgehend von den Anforderungen des EuGH müssten allerdings eigentlich die Suchmaschinenbetreiber selbst die jeweils gebotene Abwägung vornehmen, wofür sie sich zunächst die maßgeblichen Informationen beschaffen müssten. Sollten sie dieses wirklich in Angriff nehmen, müsste hierfür ein erheblicher Aufwand getrieben werden, so dass insbesondere eine angemessene Organisation, ein transparentes Verfahren (insbesondere die Gewährung von Gehör gegenüber der anderen Seite) und auch Regeln für den vorläufigen Rechtschutz sichergestellt sind. Die Suchmaschinenbetreiber würden dann zu privaten Schiedsinstanzen mit weitreichenden Entscheidungsbefugnissen über die Kommunikation im Netz auch in inhaltlicher Hinsicht.
Die prinzipiell umfassende Verantwortlichkeit der Suchmaschinenbetreiber für den Inhalt der von Ihnen nachgewiesenen Internetseiten schränkt damit deren Macht nicht ein, sondern droht deren Macht weiter zu verfestigen, indem ihnen auch Entscheidungsbefugnisse hinsichtlich des Inhalts der von Ihnen vermittelten Seiten zugeschrieben werden. Freilich geht es hierbei stets nur um die Frage, welche Seiten nachgewiesen werden, nicht aber um die Frage, was Inhalt der betreffenden Internetseiten selbst sein darf. Gerade wenn man aber – zu Recht – die Bedeutung dieses Nachweises ernst nimmt, liegt in einer solchen generellen Abschichtung der Frage der Zulässigkeit des Nachweises von der Frage der Zulässigkeit des Inhalts keine adäquate Lösung: Denn eine Internetseite, die durch die Suchmaschinen nicht gefunden wird, ist aus den Kommunikationszusammenhängen weitgehend ausgeschlossen. Verglichen mit den – in der Öffentlichkeit noch vor kurzem so heftig kritisierten – Plänen zu einer Gesetzgebung, die es demokratisch verantwortlichen Behörden erlaubt, bestimmte Internetseiten (betreffend etwa Kinderpornographie) sperren zu lassen, ist die Zuschreibung der Verantwortung für Persönlichkeitsverletzungen Dritter an privatwirtschaftliche Suchmaschinenbetreiber für die Freiheit der Interkommunikation m.E. wesentlich bedrohlicher.
6. Der materielle Aspekt der Entscheidung: Der grundsätzliche Vorrang des allgemeinen Persönlichkeitsrechts
Materiell soll sich die Entscheidung, ob ein Nachweis zulässig ist, unabhängig von der Rechtmäßigkeit der nachgewiesenen Internetseite beurteilen. Die Rechtmäßigkeit der Information auf der entsprechenden Internetseite indiziert die Rechtsmäßigkeit des Nachweises der Information nicht. Vielmehr sollen die Anforderungen an einen Nachweis ersichtlich höher und persönlichkeitsschützender sein als die Anforderungen an die Veröffentlichung der Äußerung. Der EuGH verweist insoweit insbesondere auch auf Veröffentlichungen der Presse, für die mit dem sogenannten „Medienprivileg“ erweiterte Berichtsmöglichkeiten als für andere Unternehmen gelten, und führt aus, dass diese für die Suchmaschinenbetreiber nicht gelten würden. Nicht alle Informationen, über die die Presse berichten darf, dürfen also auch durch die Suchmaschinen vermittelt werden.
a) Über die Frage, welche Informationen im Rahmen gesellschaftlicher Auseinandersetzungen kommuniziert werden können, legt sich damit also auch materiell eine eigene Schicht, die diese Kommunikation – soweit sie durch Suchmaschinen vermittelt wird – zum Schutze des Persönlichkeitsrechts eigenständig beschränkt. Hierdurch werden bestehende gesetzliche Regelungen – von Transparenzpflichten bis hin zu verschiedenen Fristen, innerhalb derer bestimmte Informationen zugänglich gemacht werden – vom Ansatz her überspielt. Auch sonst werden die differenzierenden Maßgaben des Äußerungsrechts grundsätzlich unmaßgeblich. Die – zum Teil in einem konfliktreichen Prozess mühsam zur Durchsetzung gebrachten – Errungenschaften der Rechtsprechung, mit denen diese eine offene, auch gegenüber herkömmlichen Ehrbegriffen, Moralvorstellungen und sozialen Geltungsansprüchen potenziell kritische Auseinandersetzung und öffentliche Kommunikation ermöglicht hat, werden damit vom Grundsatz her außer Kraft gesetzt. Gerade auch im Presserecht ist das deutlich: Es ist nicht erkennbar, dass der EuGH die Nachweisverbote der Suchmaschinenbetreiber auf veraltete Nachrichten und damit das Problem des Vergessens beschränkt.
b) Für die Frage des Nachweises von Internetinformationen tritt stattdessen die ‑ jedenfalls bisher ‑ nur allgemein gehaltene Anforderung an eine umfassende Abwägung. Diese setzt nicht nur die nicht zuletzt auch freiheitssichernden Maßgaben des Äußerungsrechts außer Kraft, sondern soll nach Ansicht des EuGH vielmehr von einem prinzipiellen Vorrang des Schutzes des allgemeinen Persönlichkeitsrechts geprägt sein. Bei dem Ausgleich zwischen dem Interesse der Internetnutzer und den Grundrechten der betroffenen Personen aus den Art. 7 und 8 EuGrCh „überwiegen die durch diese Artikel geschützten Rechte der betroffenen Person im Allgemeinen gegenüber dem Interesse der Internetnutzer“. Es gilt also ein Vorrang der Privatheit gegenüber der öffentlichen Kommunikation. Nur „in besonders gelagerten Fällen“ könne der Ausgleich von der Art der betreffenden Information und vom Interesse der Öffentlichkeit am Zugang zu der Information – etwa im Blick auf Personen des öffentlichen Lebens – anders ausgemittelt werden.
In diesen Abwägungsmaßgaben wird ‑ durch die rigorose Verselbständigung der Frage des Nachweises von der Frage der Zulässigkeit der Information als solcher ‑ das Interesse der Äußernden an einer gleichberechtigten Teilhabe an Information weitestgehend aus den Augen verloren. Deren Interessen kommen allein mittelbar als Interessen der Internetnutzer in den Blick, die dabei schwach sind. Unmittelbar finden demgegenüber das Interesse und die Rechte derjenigen, die Informationen unbeschränkt über ihre Internetseiten verbreiten wollen, bei dieser Sichtweise keinen Ort. Ebensowenig wie sie verfahrensmäßig in die Entscheidung über die Sperrung von Nachweisen eingebunden sind ‑ zumindest ist hierfür in der Entscheidung nichts ersichtlich ‑, findet Ihr Interesse an der Verbreitung von Informationen inhaltlich Berücksichtigung. Wieweit sie insoweit überhaupt Rechte geltend machen könnten, ist bei solcher strikter Verselbständigung des Verfahrens zur Rechtsmäßigkeit des Nachweises auch nicht einfach zu begründen: Es versteht sich jedenfalls nicht von selbst, dass ein Betreiber einer Internetseite einen Anspruch auf Nachweis oder auch nur Gleichbehandlung durch Suchmaschinen hat. Eingebettet in den Lösungsansatz des EuGH ist das aber problematisch. Denn wenn materiell die Rechtmäßigkeit einer Treffermeldung von einer inhaltlichen Beurteilung des Veröffentlichungsinteresses gegenüber dem Privatheitsanspruch des Betroffenen abhängig gemacht wird, müssen sich beide Seiten mit zumindest gleichen Rechten gegenüberstehen; bei die Öffentlichkeit wesentlich berührenden Fragen besteht nach der ständigen Rechtsprechung des Bundesverfassungsgerichts im Gegenteil sogar eine Vermutung für die Zulässigkeit der freien Rede. Indem der EuGH durch eine unangemessen strikte Abkopplung der Nachweisbefugnis von der Äußerungsbefugnis solche Waffengleichheit aufhebt, gibt er einseitig den Schutz der Persönlichkeit vor der Äußerungsfreiheit den Vorrang.
c) Der inadäquate Vorrang des Persönlichkeitsschutzes gegenüber der Kommunikationsfreiheit kommt auch in einer starken Betonung der datenschutzrechtlichen „Zweckbindung“ durch den EuGH zum Ausdruck. Der EuGH erhebt zum maßgeblichen Gesichtspunkt der Abwägung, dass die Daten nicht länger nachgewiesen werden dürften, als es für die Realisierung der Zwecke, für die sie erhoben oder weiter verarbeitet wurden, erforderlich ist. Auch damit wird der Ambivalenz von Persönlichkeitsschutz und freier Kommunikation zwischen Privaten nicht hinreichend Rechnung getragen. Die engen Anforderungen an die Zweckbindung des Datenschutzrechts wurden als Maßgabe für die Datenverarbeitung der öffentlichen Hand entwickelt: Der Staat, der selbst kein Freiheitsträger ist, darf personenbezogene Daten nur zu den Zwecken verarbeiten, zu denen es ihm durch Gesetz ausdrücklich erlaubt ist. Diese Grundsätze lassen sich nicht unverändert auf das Verhältnis zwischen Privaten übertragen. Zwar mögen auch für das Verhältnis zwischen Privaten Elemente dieses Gedankens mittelbar und modifiziert – etwa bezogen auf die Reichweite einer Einwilligung – nutzbar gemacht werden können. Eine verobjektivierte Kontrolle, wann welche Daten für welchen Zweck noch notwendigerweise veröffentlicht werden müssen, verfehlt aber den Charakter des Informationsaustauschs zwischen Privaten, der eben auch hinsichtlich des Zwecks maßgeblich von privater Freiheit geprägt ist. Die unterschiedlichen Problemlagen öffentlichen und privaten Datenschutzes werden hier miteinander vermengt.
7. Fragen nach der Reichweite der Entscheidung und Folgeprobleme
Vom konkret entschiedenen Sachverhalt her ist der Fall von der Problematik namensbezogener Abfragen und möglicher Persönlichkeitsverletzungen, die sich aus dem Inhalt der insoweit nachgewiesenen Seiten ergeben, geprägt. Es scheint zweifelhaft, ob der EuGH auch über diese Konstellation hinaus weitere Aussagen treffen wollte, und man wird die Entscheidung insoweit nicht überinterpretieren dürfen. Der Logik der Argumentation nach jedoch wirft die Entscheidung weit darüberhinausgehende Konsequenzen auf.
Indem der EuGH dem Suchmaschinenbetreiber eine primäre und unmittelbare Verantwortlichkeit für Persönlichkeitsverletzungen aus dem Inhalt der angezeigten Seiten zuweist, beschränkt sich seine Entscheidung der Argumentation nach nicht auf namensbezogene Abfragen. Wenn denn der Suchmaschinenbetreiber der allgemeinen Verantwortung als Datenverantwortlicher in Bezug auf den von ihm nachgewiesenen Inhalt unterliegt, darf er persönlichkeitsverletzende Seiten konsequenterweise gar nicht anzeigen. Auch eine Recherche, die sich auf Versteigerungen des Jahres 1998 bezieht, dürfte dann solange nicht angezeigt werden, als hierbei der Klarname der betroffenen Eigentümer erkenntlich wird, bzw. kritische Berichte über etwa einen Arzt dürften dann nicht nur auf namensbezogene Anfrage, sondern auch nicht durch Nachweis des entsprechenden Bewertungsportals nachgewiesen werden.
Auch kann sich die Verantwortlichkeit des Suchmaschinenbetreibers vom dem Ausgangspunkt des EuGH her eigentlich nicht auf eine erst nachträgliche Kontrolle nach Antrag des Betroffenen beschränken, sondern gehört die sorgsame Abwägung zu den allgemeinen Pflichten, die der Suchmaschinenbetreiber generell von sich aus zu befolgen hat. Wie gesagt, die Entscheidung verhält sich dazu nicht ausdrücklich und man täte ihr sicher Unrecht, wenn man dies als ihre gewollte Folge darstellen würde. Jedoch sind dies Konsequenzen, die sich aus der Argumentation zunächst ohne weiteres ergeben und die wieder einzufangen schwer fallen wird.
Besonders eklatant sind die Folgen der Entscheidung für den Suchmaschinennachweis von Daten, die unionsrechtlich (gemäß Art. 8 Abs. 1 der Datenschutzrichtlinie) als besonders geschützt gelten. Hierzu zählen insbesondere alle personenbezogenen Daten, „aus denen die … ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen …“. Wenn der EuGH die Suchmaschinenbetreiber undifferenziert und primär mit den allgemeinen datenschutzrechtlichen Pflichten der Datenverantwortlichen belegt, müssten Treffermeldungen zu solchen Daten ‑ wenn der Betreffende sie nicht selbst offenkundig öffentlich gemacht hat ‑ praktisch immer unzulässig sein. Entsprechendes gilt für den Nachweis von Treffern, die Straftaten oder strafrechtliche Verurteilungen betreffen. Dies aber ist in einer offenen demokratischen Gesellschaft unhaltbar. Der EuGH mag dies möglicherweise nicht intendiert haben. Wie er bei seinem Ausgangspunkt angesichts des dann klaren Wortlauts der Richtlinie und seiner ausdrücklichen Zurückweisung der Maßgeblichkeit des Medienprivilegs für die Suchmaschinen aber darüber hinwegkommen will, ist völlig unklar; immerhin hatte der Generalanwalt auf dieses Problem ausdrücklich hingewiesen.
An diesen Folgeproblemen wird freilich auch sichtbar, dass das Problem nicht erst in der Auslegung der Richtlinie durch den EuGH liegt, sondern auch in der undifferenzierten Rechtslage des Unionsrechts selbst. Wenn diese mittels einer übergreifenden Richtlinie pauschal nur eine Form von Datenverantwortlichkeit schafft, die ununterschieden gleiche Pflichten für öffentlich-rechtliche und private Akteure aller Art begründet und dabei die Kommunikationsfreiheiten weithin auf die Wahrnehmung berechtigter Interessen und ein Medienprivileg reduziert, ist eine differenzierte Antwort auf die vielschichtigen Herausforderungen der Internetgesellschaft kaum möglich. Ein gehaltvoller Grundrechtsschutz muss schon auf regulatorischer Ebene – auf der auch politische Gestaltungsaufgaben, die nicht alle unmittelbar durch die Grundrechte vorgegeben sind, ihren Platz haben ‑ problemadäquate und abgestufte Regelungen einfordern.
Die in Vorbereitung begriffene Datenschutzgrundverordnung wäre hierfür der Ort. Nach deren derzeitigem Stand soll insoweit der bisherige Grundansatz jedoch im Wesentlichen nur fortgeschrieben werden. Mit einer unterkomplexen Regelungsstruktur aber ist ein differenzierter Grundrechtsschutz kaum zu bewerkstelligen.
8. Gesichtspunkte für die Lösung der Sachfragen
Hinter der Entscheidung des EuGH steht der Versuch, die Bedeutung der Suchmaschinen datenschutzrechtlich zu erfassen und das Problem der ständigen Abrufbarkeit von Daten und der nur beschränkten Effektivität eines Vorgehens gegen Betreiber einzelner Internetseiten zu adressieren. Insoweit konzentriert sich der EuGH mit seiner Entscheidung auf die Suchmaschinenbetreiber und sucht in deren Inpflichtnahme einen Befreiungsschlag. Ob diese Konzentration auf die Suchmaschinen ohne Berücksichtigung des netzförmigen Zusammenwirken mit den Internetseitenbetreibern der richtige Ansatz ist, scheint zweifelhaft. Tragfähige Lösungen können vermutlich besser in der Beachtung der Wechselwirkung der verschiedenen Akteure im Netz und in der Berücksichtigung der interdependenten Wirkungen der Netzaktivitäten insgesamt gesucht werden, anstatt in einer einseitigen Fixierung auf abgekoppelte einzelne Akteure im Netz. Die separierte Konzentration auf die Suchmaschinen dürfte insoweit genauso wenig geeignet sein wie eine einseitige Fixierung auf die Betreiber von Internetseiten und ‑diensten.
a) Richtig ist freilich, dass die Suchmaschinen einen maßgeblichen Anteil an den Gefährdungen haben, die das Internet für den Schutz des allgemeinen Persönlichkeitsrechts mit sich bringt. Sie tragen zur Auffindbarkeit der verschiedenen personenbezogenen Informationen bei und haben maßgeblichen – freilich nicht alleinigen – Anteil an der Ubiquität und ständigen Abrufbarkeit der Daten durch jedermann. Sie schaffen damit eigene Gefährdungen, für die sie datenschutzrechtlich verantwortlich gemacht werden können und müssen.
Das gilt zunächst ohnehin für Konstellationen, in denen sich Gefährdungen des Persönlichkeitsrechts durch die Selektion oder durch die Generierung eigener Informationen durch die Suchmaschinen selbst (zum Beispiel im Rahmen der Autocomplete-Funktion) ergeben. Zu Recht hat hier der BGH vor einem Jahr eine datenschutzrechtliche Verantwortlichkeit der Suchmaschinenbetreiber auf den Weg gebracht.[1]
Meines Erachtens gibt es auch darüber hinaus gute Gründe – insofern ist dem EuGH beizupflichten -, den Suchmaschinenbetreibern in bestimmten Fällen den Nachweis von Internetseiten auch aus Gründen zu versagen, die im Inhalt der nachgewiesenen Seiten liegen. Mit solchen Inpflichtnahmen unmittelbar der Suchmaschinenbetreiber sollte dabei jedoch unter Berücksichtigung des Zusammenwirkens der verschieden Akteure im Netz und der sich hieraus ergebenden Effekte differenzierend umgegangen werden.[2]
b) Dort wo nicht die Generierung eigener Informationen durch Suchmaschinen in Frage steht, spricht in meinen Augen vieles dafür, die Rechtmäßigkeit des Nachweises einer Internetseite eng mit der Rechtmäßigkeit der Äußerung auf der betreffenden Internetseite selbst zu verzahnen. Der Grundsatz, dass Informationen, die rechtmäßig öffentlich ins Netz gestellt werden, jedenfalls grundsätzlich auch rechtmäßig nachgewiesen werden dürfen, hat zumindest gute Gründe auf seiner Seite. Auf diese Weise wird berücksichtigt, dass sich bei der Frage, welche Informationen verbreitet werden dürfen, in der Regel (mindestens) zwei Seiten mit gegenläufigen Rechten gegenüberstehen, zwischen denen ein Ausgleich zu suchen ist. Fällt dieser Ausgleich zugunsten der Äußerungsfreiheit aus, ist es in einer freien Gesellschaft naheliegend, dass damit zugleich auch die Zulässigkeit der freien Verbreitung dieser Information umfasst ist. Gerade wenn man in Rechnung stellt, welche elementare Bedeutung den Suchmaschinen zur Auffindbarkeit von Informationen im Netz zukommt, spricht für eine solche Verbindung vieles.
Ausgehend hiervon dürfte es im Sinne eines effektiven Ausgleichs der sich gegenüberstehenden Grundrechtspositionen ebenfalls richtig sein, die Auseinandersetzung über Persönlichkeitsverletzungen durch Verbreiten personenbezogener Daten auch verfahrensmäßig jedenfalls im Grundmodus dort anzusiedeln, wo der Konflikt liegt, die maßgeblichen Informationen vorliegen und die jeweiligen Interessen und Rechte authentisch verteidigt werden können: dezentral zwischen Betroffenen und sich Äußernden.
c) Der EuGH stützt seine Entscheidung freilich darauf, dass im Internet ungelöste Probleme bestehen, die einen Schutz Betroffener durch im Internet verbreitete Informationen zum Teil effektiv kaum möglich machen.
Das erste Problem liegt darin, dass das Internet nicht vergisst: Bestimmte Informationen können ursprünglich rechtmäßig und für den Betroffenen zumutbar verbreitet worden sein, erhalten eine eigene belastende Bedeutung dann aber dadurch, dass sie auch nach längerer Zeit noch abrufbar und auffindbar sind. In der Tat steht hier die Rechtsordnung erst am Anfang adäquater Problemlösungen. Jedoch ist fraglich, ob dieses tatsächlich allein ein Problem der Suchmaschinen ist. Die Frage, wie lange die Verbreitung von bestimmten Äußerungen aufrechterhalten werden darf, ist vielmehr auch und primär eine Frage der verantwortlichen Internetseitenbetreiber und bedarf jedenfalls auch als solche eines Interessenausgleichs der verschiedenen Seiten. Auch hierzu gibt es zum Teil bereits Regelungen für das Verhältnis zwischen Äußernden und Betroffenen und ergeben sich solche Regelungen aus gesetzlich differenzierenden Maßgaben. Weithin fehlen solche freilich noch und muss das „Recht auf Vergessen“ nähere Konturen bekommen. Ein spezifisches Problem sind hierbei die Archive von (insbesondere) Zeitungen. Tatsächlich hängen diese Probleme maßgeblich auch mit der Erschließung durch Suchmaschinen zusammen: Denn diese können lang zurück liegende Berichte über Einzelne der Vergangenheit entreißen und sie zu Lasten der Betroffenen präsent halten. Auch hier jedoch ist fraglich, ob nicht jedenfalls primär eine Konfliktlösung besser auf der Primärebene, d.h. zwischen Betroffenem und Archivbetreiber gesucht werden kann und sollte. Der Archivbetreiber kann nämlich seine Informationen so einstellen, dass sie von Suchmaschinen nicht mehr zu finden sind. Dieser Weg eröffnet zunächst eine Auseinandersetzung über die Berechtigung der fortdauernden Berichterstattung zwischen den in ihren Rechten Betroffenen und erlaubt hierbei zugleich differenzierte Lösungen (- so kann der vollständige Artikel noch zugänglich sein, nur ein Auffinden des Artikels über eine namenbezogene Recherche ausgeschlossen werden). Technische Möglichkeiten hierfür bestehen; sollten sich insoweit Lücken zeigen, könnte den Suchmaschinenbetreibern aufgegeben werden, entsprechende technische Möglichkeiten zur Verfügung zu stellen. Eine Lösung auf dieser Ebene hätte nicht nur auch hier die genannten Vorteile einer sachnäheren Verortung des Konflikts, sondern würde zugleich Wirkung gegenüber allen Suchmaschinenbetreibern entfalten.
Ein weiteres Problem sieht der EuGH darin, dass ein Vorgehen gegen die Betreiber von persönlichkeitsverletzenden Internetseiten in manchen Fällen effektiv kaum möglich ist. Der EuGH verweist insoweit etwa auf die Möglichkeit, dass persönlichkeitsverletzende Äußerungen, die auf einer Internetseite entfernt werden, auf anderen Internetseiten gespiegelt werden, so dass ein Vorgehen gegen die jeweiligen Internetseitenbetreiber letztlich erfolglos bleibt. Ebenso verweist er auf die Möglichkeit, dass persönlichkeitsverletzende Äußerungen auf Internetseiten veröffentlicht werden, die in Drittländern betrieben werden, in denen effektive Rechtschutzmöglichkeiten nicht bestehen. In der Tat kann in solchen Fällen eine ergänzende Verantwortlichkeit auch der Suchmaschinenbetreiber in Betracht zu ziehen sein. Zu überlegen wäre insoweit etwa, ob hier nicht subsidiäre Sperrpflichten der Suchmaschinenbetreiber einen adäquaten Schutzmechanismus darstellen würden, etwa in dem Sinne, dass ein Nachweisverbot dann erwirkt werden kann, wenn ein erfolgreiches Vorgehen gegen einen Internetseitenbetreiber durch anderweitige Veröffentlichungen unterlaufen wird oder sonst der Nachweis erbracht wird, dass Rechtschutz gegen Internetseitenbetreiber effektiv und zumutbar nicht zu erreichen ist. Hier lassen sich viele verschiedene Regelungen denken, die der näheren Ausgestaltung bedürften.
In diesen Fällen sprechen gute Gründe dafür, auch Suchmaschinenbetreiber wegen der von ihnen vermittelten Seiten und deren Inhalten in Pflicht zu nehmen. Auch darüber hinaus mag es Konstellationen geben, in denen eine solche Inpflichtnahme der Suchmaschinenbetreiber angemessen ist. Praxis ist dieses etwa auch im Bereich des Urheberrechtsschutzes[3]. Es würde sich insoweit der Grundidee nach aber eher um eine subsidiäre Inpflichtnahme handeln. Wenig einleuchtend ist demgegenüber, dass gelegentliche Schwierigkeiten des Rechtschutzes im Netz ganz allgemein die primäre und unmittelbare Verantwortlichkeit der Suchmaschinenbetreiber für den Inhalt der nachgewiesenen Seiten begründeten.
d) Eine unmittelbare und primäre Einbeziehung der Suchmaschinenbetreiber in den Persönlichkeitsrechtsschutz dürfte sachlich am ehesten dort angemessen sein, wo ein Antrag auf Sperrung des entsprechenden Nachweises an möglichst wenige einzelfallbezogene Voraussetzungen gebunden ist und damit möglichst wenig Kenntnisse hinsichtlich der konkret In Frage stehenden Konfliktlinien verlangt. Von daher mag man die Entscheidung des EuGH zum Anlass nehmen, über eine generelle Beschränkung der Erschließungsfunktion des Internets nachzudenken – und ein Stück mag die Entscheidung hierauf hinauslaufen.
Ausgehend davon, dass sich die Entscheidung maßgeblich nur auf Treffer bei namensbezogene Abfragen bezieht und sie hierbei auch darauf abstellt, dass gerade in der Zusammenführung persönlicher Informationen aus verschiedenen Lebensbereichen zu einem Persönlichkeitsprofil ein zentrales Problem liegt, mag man überlegen, ob es für den Persönlichkeitsschutz sachgerecht sein kann, dem einzelnen eine mehr oder weniger freie opt out-Option einzuräumen, seine Person nicht zum Gegenstand von unmittelbaren Internetrecherchen machen zu lassen. Ausgenommen von dieser opt out-Option wären Persönlichkeiten des öffentlichen Lebens. Den oben genannten Einwänden gegen eine primäre Verantwortlichkeit der Suchmaschinenbetreiber würde ein solches Modell jedenfalls in wesentlicher Hinsicht dann entgehen, wenn hierbei nur die Option bestünde, entweder den eigenen Namen sperren zu lassen, oder ihn recherchierbar zu halten, nicht aber hinsichtlich der einzelnen Treffermeldungen zu unterscheiden. Der Anspruch auf Sperrung wäre dann so ähnlich wie die Sperrung eines Namens im zentralen Telefonbuch. Über die jeweiligen Foren wären die Informationen weiterhin erhältlich, aber sie wären nicht mehr weltweit gegenüber jedermann in Form eines Persönlichkeitsprofils erschlossen. Durch das Ganz-oder-gar-nicht-Prinzip wären nicht nur die Suchmaschinenbetreiber von schwierigen, ihnen sachlich kaum möglichen Entscheidungen befreit, sondern würde auch einem einseitigen Persönlichkeitsschutz gegenüber der Meinungsfreiheit jedenfalls ein Stück weit entgegengewirkt: Dann kann der einzelne nicht mehr einseitig Berichte herauspicken und nur die unliebsame Berichterstattung unter Vermeidung einer Auseinandersetzung mit den Äußernden herausfiltern. Ein Antrag wäre dann nicht mehr die einseitige Durchsetzung der Selbstwahrnehmung gegenüber der Fremdwahrnehmung, sondern der prinzipielle Rückzug aus der allgemeinen Öffentlichkeit in einen Privatbereich oder in selbstdefinierte Öffentlichkeiten.
Auch ein solches Konzept würde eine weitreichende Beschränkung der Informationsfunktion des Internets zur Folge haben. Die Erschließungsfunktion des Internets würde damit erheblich eingeengt und sich nur noch auf solche Personen beziehen, die aufgefunden werden wollen bzw. dem zumindest nicht widersprechen. Über ein solches Konzept lässt sich aber rechtspolitisch diskutieren. Dem Einzelnen würde damit eine differenziertere Entscheidung ermöglicht, in welchen Foren er Daten gegenüber welcher Öffentlichkeit preisgibt, ohne sich aber dabei einseitig auch in diesen Foren selbst gegenüber Kritik immunisieren zu können. Freilich bleibt auch insoweit das Problem, dass damit den Äußernden (z.B. Bloggern) bewusst der Weg abgeschnitten wird, ihre Informationen, Kommentare und Kritik so zu präsentieren, dass sie von allen gefunden werden können. Für schlichte Privatbürger mag man das für eine vertretbare Lösung halten. Freilich sind auch bei einer solchen einschränkenden Einräumung eines primären Sperrantragsrechts gegenüber den Suchmaschinenbetreibern die Probleme nicht gelöst. Die Anreize für Suchmaschinenbetreiber, vorschnell die Privatheit von Bürgern auf bloßen Antrag hin anzunehmen bleiben ebenso bestehen wie zahlreiche Abgrenzungsprobleme. Soll eine opt out-Option auch für Berufsträger (Ärzte, Anwälte), nicht prominente Beamte (Lehrer), Geschäftsleute etc. gelten? Wie sind Nachweissperren einzurichten, wenn verschiedene Personen den gleichen Namen tragen? Bezieht sie sich auch auf juristische Personen?
Ob man das Internet in diesem Umfang seiner Erschließungsfunktion berauben will, ist eine weitreichende Frage, die jedenfalls mit Bedacht entschieden sein will. Angemessen wäre es wohl, über diese Frage nicht in erster Linie im Wege gerichtlicher Ableitungen, sondern ausdrücklich politisch zu entscheiden, auch wenn es grundrechtliche Rahmenanforderungen geben mag, deren Wahrung die Gerichte dann nachvollziehend kontrollieren müssen. Die anstehende Reform des Datenschutzrechtes auf Europäischer Ebene gibt für eine solche politische Entscheidung Gelegenheit.
Die Schaffung eines solchen prinzipiellen, damit aber auch begrenzten Rechts auf Sperrung namensbezogener Recherchen ist freilich nicht das Konzept des EuGH. Der EuGH verlangt eine einzelfallgezogene Abwägung und eine hierbei allen Umständen Rechnung tragende Entscheidung über den jeweiligen einzelnen Treffernachweis durch den Suchmaschinenbetreiber. Was sich hieraus praktisch ergibt, bleibt abzuwarten. Es ist jedenfalls keine fernliegende Befürchtung, dass hiermit wahlweise nicht nur eine opt out‑Option gegenüber namensbezogenen Recherchen, sondern de facto eine opt out-Option gegenüber unliebsamer Berichterstattung zu Lasten der Äußernden und der Kommunikationsfreiheit eröffnet wird.
9. Offene Fragen
Dieser Vermerk hat nicht den Anspruch die Frage aufzugreifen, wie das Bundesverfassungsgericht künftig mit diesen Problemen umzugehen hat. Diese Frage lässt sich in abstrakter Weise auch kaum klären – hier liegt alles daran, welche Fälle in welchen Konstellationen an es herangetragen werden.
Nicht aufgegriffen wird insbesondere die Frage, ob, wie weit und in welcher Art das Bundesverfassungsgericht in diesem Problemkreis Grundrechtsschutz gewährleisten kann. Keine Frage besteht, dass der EuGH für seine Entscheidung – wie immer – Vorrang in Anspruch nimmt und hier die Unionsgrundrechte zur Anwendung bringt. Ob daneben auch deutsche Grundrechte anwendbar sind, wäre näher zu prüfen. Ausgehend von der Grundannahme des EuGH, dass die Richtlinie eine Vollharmonisierung anstrebt, gibt es gute Gründe, dieses jedenfalls aus Sicht des EuGH zu verneinen und einen ausschließlichen Grundrechtsschutz des Unionsrechts anzunehmen. Andererseits lässt sich – auch auf der Grundlage der Rechtsprechung des EuGH – erwägen, ob hier nicht konkurrierender Grundrechtsschutz zur Anwendung kommt, weil die Richtlinie und auch die vorliegende Entscheidung zahlreiche Umsetzungs- und Abwägungsspielräume eröffnet. Ob die Konkretisierung dieser Spielräume als Anwendung abschließenden und zwingenden Unionsrechts verstanden wird, die zum ausschließlichen Grundrechtsschutz durch die Grundrechtscharta führt, oder als einzelstaatliche Gestaltung, die durch Unionsrecht nur angeleitet ist und damit in den Bereich fällt, in denen sich Unionsgrundrechte und mitgliedstaatliche Rechte überlappen, ist nicht ohne weiteres zu beantworten. Wie das Bundesverfassungsgericht sich diesen Fragen nähern sollte und welche verfahrensrechtlichen oder inhaltlichen Konsequenzen hieraus jeweils zu ziehen wären, braucht hier nicht beantwortet zu werden. Dies gilt auch für die Frage, ob dann, wenn man hier von einem ausschließlichen Grundrechtsschutz durch die Grundrechtscharta der Union ausgeht, das Bundesverfassungsgericht damit seiner Aufgabe der Gewährleistung von Grundrechtsschutz tatsächlich wirksam entbunden wäre.
Keine Antwort sucht dieser Vermerk gleichfalls auf die Frage, in welche Richtung die von der Entscheidung des EuGH aufgeworfenen Probleme in der Zukunft sachlich entschärft werden können. Bei dieser Entscheidung handelt es sich naturgemäß um die Entscheidung nur einer konkreten Konstellation, die ungeachtet der abstrakten Obersätze möglicherweise eng geführt und in ihrem Sprengpotenzial auch entschärft werden kann. Trotz der Vermutung für den Schutz der Persönlichkeit gegenüber den Kommunikationsinteressen der Internetnutzer lässt die Entscheidung etwa Abwägungsspielräume, die im Sinne der Freiheit der Kommunikation auch in weiterem Umfang den Nachweis personenbezogener Informationen zulassen als im Fall von Personen des öffentlichen Lebens. Auch kann man fragen, wie ernst die Abkopplung der Kriterien für die Nachweispflicht von der Rechtsmäßigkeit der nachgewiesenen Information in anderen Fällen als dem Vorliegenden tatsächlich zu nehmen ist. Auch mag hier bei restriktiver Lesart eine rechtliche Regelung, die die Beschwerde an den Suchmaschinenbetreiber unter Subsidiaritätsanforderungen stellt, nicht völlig ausgeschlossen sein. Wie jede Entscheidung enthält die Entscheidung Unklarheiten, die genutzt werden können, um wenigstens extreme Auswirkungen ihres Ansatzes wieder einzufangen. Unmittelbar entschieden ist nur der Anspruch auf Nachweissperre gegenüber veralteten Zeitungsmeldungen zu einer Versteigerung in einer Rechtslage, die hierfür keine spezifische Problemlösung vorsah. Die Konsequenzen dieser Entscheidung sind aber ‑ wie sich auch in den Reaktionen von Google zeigt ‑ erheblich. Die Entscheidung schafft praktisch wie rechtlich Strukturen, die einen angemessenen Ausgleich zwischen dem Persönlichkeitsschutz und einer freiheitlichen Kommunikation in einer demokratischen Gesellschaft sehr schwer machen.
Karlsruhe, 21. Mai 2014
[1] Wieder eigene Fragen – auch grundrechtlicher Art – ergeben sich aus der Marktmacht, die gerade die Suchmaschine Google hat. Diese Probleme liegen jedoch auf einem anderen Feld und sind im vorliegenden Kontext unerheblich.
[2] Da es in vorliegendem Vermerk nicht um die abschließende Rekonstruktion überzeugender Lösungen geht, wird hier auch nicht erörtert, wie sich diese Fragen im Einzelnen grundrechtsdogmatisch beantworten. Insoweit sei hier auch nicht die Frage vertieft, ob solche Inpflichtnahmen grundrechtsdogmatisch eher als eine Inpflichtnahme der Suchmaschinenbetreiber durch den Gesetzgeber in Wahrnehmung von dessen Schutzpflichten zugunsten der Betroffenen zu beurteilen ist, oder als unmittelbare datenschutzrechtliche Verantwortung des Suchmaschinenbetreibers selbst.
[3] Die Erfahrungen hier zeigen, wie mit solchen Beschwerden umgegangen wird: So berichtet Google beispielhaft von in einem Monat 24 Millionen URLs, deren Löschung beantragt wurde; in 97 % der Fälle wurde dem entsprochen, in der Regel ohne Rücksprache mit den Betreibern der Seiten. Ob das im Urheberrecht, in dem es um das Verhindern von vorneherein rechtswidriger Aktivitäten geht, gerechtfertigt ist, ist hier nicht zu diskutieren. Für die Sperre von Meinungsseiten wäre eine entsprechende Praxis ein echtes Problem.
Weitere Kommentare zum EuGH-Urteil:
- Leonhard Dobusch: Zuviel des Guten – Privatisierte Rechtsdurchsetzung auf dem Vormarsch
- Thomas Stadler: Vorrang des Datenschutzes vor Meinungs- und Informationsfreiheit
- Jan Schallaböck: Recht auf Vergessen – Technik und Recht müssen zusammenarbeiten
- Rigo Wenning: Das Gericht hat Recht, aber das Ergebnis ist falsch

