Deutscher Bundestag – 17. Wahlperiode
23 –
–
–– 23
EU weder einen Sitz haben noch Mittel der Datenverarbeitung betreiben, Nutzer innerhalb der EU mit ihren Angeboten anzusprechen und deren personenbezogene Daten zu verarbeiten. Für solche Unternehmen, z. B. die
Betreiber sozialer Netzwerke oder Suchmaschinen ohne
verantwortliche Niederlassung in der EU, gilt bisher kein
EU-Datenschutzrecht. Dies beeinträchtigt die Rechte der
Betroffenen, erschwert deren Durchsetzung und stellt einen klaren Wettbewerbsnachteil für Unternehmen mit
Sitz innerhalb der EU dar.
Deshalb haben nach der Grundverordnung auch Unternehmen mit Sitz außerhalb der EU auch dann das europäische Datenschutzrecht zu beachten, wenn sich ihre
Dienstleistungsangebote bzw. Verkaufsaktivitäten an den
europäischen Binnenmarkt richten und dabei personenbezogene Daten erhoben werden. Dieser „targeting
approach“ wird von den Datenschutzbehörden in der EU
begrüßt, da dann für jede an Einwohner innerhalb der EU
gerichtete Datenverarbeitung nunmehr die gleichen Rahmenbedingungen gelten, unabhängig vom Sitz des Unternehmens.
Neue Instrumente des Datenschutzes: Recht auf
Vergessenwerden und auf Datenübertragbarkeit
Die Risiken der elektronischen Datenverarbeitung erfordern innovative Ansätze. Das Recht auf Vergessen und
das Recht auf Datenübertragbarkeit sollen die Datensouveränität der Betroffenen fördern, müssen in ihren Ausprägungen aber noch überdacht werden.
Das Recht auf Vergessenwerden soll den Betroffenen in
die Lage versetzen, nicht nur gegen den Urheber öffentlich gemachter Daten vorzugehen. Sie sollen auch von
Dritten die Löschung aller Verbindungen zu und Vervielfältigungen von den veröffentlichten Daten verlangen
können. Der Urheber der Veröffentlichung ist daher verpflichtet, im Rahmen des Zumutbaren alle Dritten, die die
veröffentlichten Daten verarbeiten, über das Löschungsersuchen des Betroffenen zu informieren.
Mit der Information der Dritten hat die Stelle, die die Daten ursprünglich veröffentlicht hat, allerdings ihre Schuldigkeit getan. Sie hat insbesondere nicht dafür Sorge zu
tragen, dass Dritte, die die von ihr veröffentlichten Daten
nutzen, dem Löschungsbegehren auch tatsächlich Folge
leisten. Hier bleibt der Betroffene, wie schon bisher, auf
sich alleine gestellt. In Zweifelsfällen wird er daher seine
Löschungsrechte nicht rechtlich durchsetzen können.
Auch wenn das „Recht auf Vergessenwerden“ in seiner
derzeitigen Gestalt die hohen Erwartungen nicht wirklich
erfüllt, die sein Name verspricht, weist es im Vergleich
zur geltenden Rechtslage immerhin eine Verbesserung
auf: Der Betroffene muss sich nicht mit einer Vielzahl
ihm unbekannter Dritter auseinandersetzen, sondern kann
sich mit seinem umfassenden Löschungsbegehren unmittelbar an den für die Veröffentlichung Verantwortlichen
wenden, der dann Zweit- und Drittverwerter der von ihm
veröffentlichten Daten informieren muss. Das Recht auf
Vergessenwerden umfasst theoretisch auch Publikationen
in Papierform, wobei völlig unklar ist, wie ein solches
Drucksache 17/13000
Recht in einer solchen Konstellation auch nur ansatzweise durchsetzbar sein soll. Hier wäre eine Nachjustierung des Vorschlags durchaus wünschenswert (vgl. Kasten a zu Nr. 2.1.1).
Das Recht auf Datenübertragbarkeit eröffnet dem Betroffenen die Möglichkeit, eine Kopie seiner Daten in elektronischer Form zu verlangen und persönliche Informationen von einem auf einen anderen Anbieter zu
übertragen. Man denke hier an den Nutzer eines sozialen
Netzwerks, der sein Profil auf ein anderes Netzwerk übertragen lassen möchte. Allerdings beschränkt sich dieses
Recht nicht auf Web-2.0-Dienste, sondern gilt auch für
andere Bereiche, etwa beim electronic banking oder bei
Online-Versandhändlern. Da die elektronische Erfassung
unseres Alltags zügig voranschreitet, etwa durch die Erfassung des Clickstreams im Internet und Bewegungs-,
Surf- oder Kaufprofile, greift das Recht auf Datenübertragbarkeit ein Grundproblem der informationellen
Selbstbestimmung auf. Während heute Unternehmen
durch umfassende Datenspeicherung mehr über die Interessen und das Verhalten des Einzelnen wissen als die
Betroffenen selbst, soll das Recht auf elektronische Herausgabe und Übertragbarkeit den Betroffenen ihre Datensouveränität ein Stück zurückgeben. Daher unterstütze
ich diesen Ansatz. Allerdings ist auch hier zu untersuchen, inwieweit die Regelungen in jedem Einzelfall zu
sinnvollen Ergebnissen führen. Dabei ist zu berücksichtigen, dass dem Betroffenen nicht nur die von ihm zur Verfügung gestellten Ausgangsdaten, sondern auch Auswertungen der verantwortlichen Stelle zur Verfügung zu
stellen sind. Ob dies im Ergebnis immer sachgerecht ist,
bedarf eingehender Erörterung (vgl. Kasten b zu
Nr. 2.1.1).
Die Begrenzung der Profilbildung
Die Zusammenführung und Verknüpfung personenbezogener Daten zu Profilen gefährdet das Persönlichkeitsrecht in besonderem Maße. Durch Profile kann die Persönlichkeit eines Menschen, insbesondere sein Verhalten,
seine Interessen und Gewohnheiten ermittelt, analysiert
und prognostiziert werden. Oft erfolgt die Profilbildung
ohne Kenntnis des Betroffenen. Dies trägt zu dem unterschwelligen Gefühl bei, permanent analysiert zu werden.
Individuelle Datenprofile tragen wesentlich zum „gläsernen Bürger“ bzw. „gläsernen Kunden“ bei. Sie haben inzwischen in viele Lebensbereiche Einzug gehalten, etwa
als Konsumentenprofil, Bewegungsprofil, Nutzerprofil
oder Sozialprofil. Auch wenn Profile schon in der Offlinewelt gebildet wurden, werden sie erst in der Onlinewelt
mit ihrer umfassenden Verfügbarkeit und Verknüpfbarkeit
der Daten und der Durchdringung des Alltagslebens mit
technischen Geräten zu einer der größten Gefahren für
das Recht auf informationelle Selbstbestimmung.
Deshalb sehe ich es positiv, dass der Verordnungsentwurf
in Artikel 20 eine eigene Vorschrift zur Profilbildung enthält. Allerdings geht dieser Ansatz nicht weit genug, denn
er setzt erst bei der Verwendung bereits entstandener Daten an, für die dann bestimmte Verarbeitungsverbote definiert werden. Eine wirksame Regelung der Profilbildung
BfDI 24. Tätigkeitsbericht 2011-2012