Datenschutz im Internet Gliederung (Teil 1): Das Bundesdatenschutzgesetz (BDSG) Das Internet im BDSG Beispiel 1: Angestelltendaten im Internet Beispiel 2: Öffentlichkeitsfahndung Beispiel 3: medizinische Daten im Internet Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Potentielle Gefahren Entwürdigung des Einzelnen Transparenz („gläserner Bürger“) Mißbrauch von Daten Manipulation der Daten Historisch: Eid des Hippokrates als „Berufsgeheimnis“ Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Verbotsgrundsatz Das Verarbeiten personenbezogener Daten ist verboten, aber es gibt zahlreiche Ausnahmen. Diese Zulässigkeit ist in §4 BDSG und auch in der EU-Richtlinie festgehalten. Dieser Verbotsgrundsatz schränkt die Internetnutzung stark ein und ist daher nicht mehr zeitgemäß aber wirksam. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Volkszählungsuteil 1983 1. Leitsatz: „Unter den Bedingungen der modernen Datenverarbeitung wird der Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten von dem allgemeinen Persönlichkeitsrecht des Art. 2 Abs. 1 GG in Verbindung mit Art. 1 Abs. 1 GG umfaßt. Das Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen.“ 2. Leitsatz: „Einschränkungen dieses Rechts auf "informationelle Selbstbestimmung" sind nur im überwiegenden Allgemeininteresse zulässig...“ Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Bundesdatenschutzgesetz (BDSG) Basis: allgemeines Persönlichkeitsrecht (GG Art. 2.1) und informationelle Selbstbestimmung (Volkszählungsurteil) Zweckbindung „personenbezogener Daten“ (pbD) Betroffenenrechte: Auskunft, Anrufung, Berichtigung/ Gegendarstellung/Sperrung/Löschung, Schadensersatz Kontrolle: intern, (Bundes)beauftragter für Datenschutz stellt Öffentlichkeit her. Ordnungsgemäßheit: technisch-organisatorische Maßnahmen auf dem niedrigen „Stand der Technik“ Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

BDSG: öffentlich / „privat“ praktisch nur noch auf Bundesebene gültig (Subsidiarität). Basis: Zweckbindung nicht-öffentlich (§27-32) „Firmen“ ohne öffentliche Aufgaben/Wettbewerbs-unternehmen Basis: Vertragsfreiheit Die Unterscheidung „öffentlich/nicht-öffentlich“ wird in Zukunft schwächer. Grund: EU-Richtlinie Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

EDV-Begriffe des BDSG 1990 Erheben §13/§28 Speichern §14/§28 muß „erforderlich“ sein. Der Betroffene ist hier nicht schutzlos. Speichern §14/§28 muß erforderlich sein, Zweckbindung Nutzen §14/§28 ist jede Verwendung PdB, soweit es sich nicht um „Verarbeitung“ handelt. Übermitteln §14/§28 öffentlich: erford./Zweckbindung nicht-öff.: Interessenabwägung Ausland: nicht gegen Zweck (!) eines deutschen Gesetzes. Verarbeiten § 3 Speichern, Verändern, Übermitteln, Sperren, Löschen Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Internetanwender im BDSG Internetsurfer = Betroffener + Verarbeiter Gefahr des „gläsernern Surfers“ - Interessenprofil leicht herauszufinden z.B. durch Auswerten von Newsgroups Provider beziehen pbD über Nutzer und Dritte (z.B. email) Neben den Bestandsdaten einer Homepage sind die anfallenden Nutzungsdaten zu schützen, jeweils falls sie sich auf natürliche Personen beziehen. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Die Internettechnik „Cookies“ wird hierzu oft benutzt Datenspur Das persönliche Verhalten - z.B. Bewegungsprofile - und die jeweiligen Präferenzen - z.B. die Art der beschafften Güter oder Leistungen - werden beim Surfen im Internet oft unbewußt preisgegeben oder ausspioniert. Die Internettechnik „Cookies“ wird hierzu oft benutzt Der im Volkszählungsurteil geforderte „Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten“ ist hier utopisch. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Auswertung der Datenspur Verarbeitung von Nutzerprofilen nach §1/§7 BDSG „geschäftsmäßig“ erlaubt. Die Rückübermittlung der Daten kann z.B. aus Abrechnungszwecken erforderlich sein. §28.2 BDSG erlaubt Übermittlung und sonstige Nutzung für: Name, Titel, Beruf, Angabe über Zugehörigkeit zur Gruppe, akademischer Grad, Anschrift, Geburtsjahr. § 29 BDSG erlaubt weitere Zulässigkeiten typischerweise für Adressdateien („listenmäßig zusammengefasste Daten“). => Der Betroffene gibt also sein Nutzerprofil dem Marketing frei, wenn er dessen Nutzung nicht ausdrücklich widerspricht. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

für Internet-Inhaltsanbieter gilt: Teledienste(datenschutz)gesetz: Das TD(DS)G ist Bundesrecht. Es regelt die Individualkommunikation (1:1 Dienste) und erweitert das BDSG über das Bestehen einer Datei hinaus. Mediendienste Staatsvertrag Der MDStV ist Länderrecht und regelt Dienste zur öffentlichen Meinungsbildung. Es ergänzt also das Presse- bzw. Rundfunkrecht. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Homepage: welches Recht gilt? Die rechtliche Einordnung einer Homepage richtet sich nach ihrem Inhalt: Individueller Dienst (1:1): Teledienste(datenschutz)gesetz Öffentliche Meinungsbildung (1:n): Mediendienstestaatsvertr. automatisches Abrufverfahren : BDSG § 10 Für den Provider gilt das TD(DS)G. Für den Netzbetreiber (z.B. Telekom) gilt das Telekommuni-kationsgesetz (TDK). Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Online-Dienst Nutzungsdaten Der Mediendienstestaatsvertrag (§15) und das TDDSG (§6) verbieten i.A. das Übermitteln der Nutzungsdaten an Dritte. Grundlage der Zulässigkeit der nicht-öffentlichen Verarbeitung von Nutzerdaten im BDSG ist §28.1.1, wobei oft das Vertrags-Ahnbahnungsverhältnis ausreicht. Bei Auftragsdatenverarbeitung (§ 11 BDSG) liegt rechtlich keine Übermittlung vor. Vertragspartner des Kunden ist hier der Auftraggeber des Dienstes. Deutsches Datenschutzrecht gilt, wenn der Auftraggeber eine Niederlassung in Deutschland hat. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

„automatisierte Abrufverfahren“ „automatisierte Abrufverfahren“ sind eine Besonderheit des BDSG, die im EU-Recht nicht vorkommt. § 10 BDSG regelt die Zulässigkeit der Einrichtung solcher Verfahren: Der Geschäftszweck muß dem Schutzinteresse „angemessen“ sein. --> Abwägung nötig. Zur Kontrolle muß schriftlich vorliegen: Anlaß und Zweck des Abrufverfahrens, Datenempfänger, Art der zu übermittelnden Daten und nach § 9 BDSG erforderliche, technisch-organisatorische Maßnahmen. Eine Zulässigkeitsprüfung ist für jeden Einzelfall nötig. §10.4 BDSG verlagert die Verantwortung hier auf den Empfänger! Anbieter muß nur Stichproben ermöglichen. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Haftung nach BDSG Online-Dienste sind nicht-öffentlich, daher gilt hier nicht die Gefährdungshaftung des § 7 BDSG. § 8 BDSG regelt die Beweislast. Der Verletzte muß nachweisen, daß unrichtige oder unzulässige automatisierte Datenverarbeitung vorlag und diese kausal für eine Schädigung bei ihm war. Die speichernde Stelle muß beweisen, daß sie den Umstand, aufgrund dessen die unzulässige automatisierte Datenverarbeitung erfolgte, nicht zu vertreten hat, was nach §9 BDSG schwierig ist. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Modernisierungsbedarf BDSG Die Regelung (tele-)kommunikativer Handlungen und deren Datenspuren in einem zusätzlichen prozeßorientierten Modell. Die Trennbarkeit zwischen datenverarbeitender Stelle und -verwendenter Stelle wird gerade im Internet immer schwieriger Die Differenzierung öffentlich/nicht-öffentlich ist nicht mehr zu halten. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Beispiel 1: Angestelltendaten Berliner Länderbeamtengesetz § 56 d „Weitergabe“: „...Auskünfte an Dritte dürfen nur mit Einwilligung des Beamten erteilt werden, es sei denn, daß die Abwehr einer erheblichen Beeinträchtigung des Gemeinwohls oder der Schutz berechtigter, höherrangiger Interessen des Dritten die Auskunftserteilung zwingend erfordert. Inhalt und Empfänger der Auskunft sind dem Beamten schriftlich mitzuteilen.“ Bln LänderbeamtenG § 56 g.1 „automatisierte Verarbeitung“: „...ihre Übermittlung ist nur nach Maßgabe des §56d zulässig.“ Bln LänderbeamtenG § 56.1 „Personalaktendaten“: ...Zur Personalakte gehören alle Unterlagen...die den Beamten betreffen, soweit sie mit seinem Dienstverhältnis in einem unmittelbaren inneren Zusammenhang stehen.“ Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Beispiel 2: Öffentlichkeitsfahndung repressive (gezielte) Fahnung basiert auf Strafprozeßordnung §131 „Steckbrief“ von 1879. § 27 BZRG erwähnt „Bundeszentralregister“ für Behörden § 131.1: „Auf Grund eines Haftbefehls oder eines Unterbringungsbefehls können die Staatsanwaltschaft oder der Richter einen Steckbrief erlassen, wenn der Beschuldigte flüchtig ist oder sich verborgen hält“. Bespiel: http://www.polizei.bayern.de/fahndung/index.htm präventiv-polizeiliche Fahndung (ohne Ermittlungsverfahren) basiert nur auf Polizeiaufgabengesetzen der Länder. Objekt-Fahndung ist ohne Ermächtigungsgrundlage möglich. Bespiel: http://www.bka.de/fahndung/kunstwerke/ Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Diskussion um Öffentlichkeitsfahndung Analog der Diskussion um „Aktenzeichen XY ungelöst“ in den 60‘ern: ...“aus dem Begriff Steckbrief ist eine allgemeine Weitergabe abzuleiten“. Gegenposition: der im Strafverfahren geltende öffentlich rechtliche Gesetzesvorbehalt. Außerdem: Richtlinien für das Straf- und Bußgeldverfahren (keine Gesetzeskraft), Kunsturhebergesetz § 24, z.B. Art. 41 Bayerisches Polizeiaufgabengesetz: „...zur Verhütung...erheblicher Nachteile für das Gemeinwohl..“ Praxis: Stufenlösung. z.B. Diebstahl führt nicht zu Steckbrief. Internet = Internationaler Steckbrief? Nur problematisch, wenn Server im Ausland liegt. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Entschließung ... zur Öffentlichkeitsfahndung 1. Für die Übermittlung ...sollte eine bereichsspezifische Rechtsgrundlage geschaffen werden. 2. Die Übermittlung ... ist nur ausnahmsweise gerechtfertigt, wenn das Verfahren ... für die Öffentlichkeit von überwiegendem Interesse ist. 3. ... zu den schutzwürdigen Belange der Betroffenen ... zählen insbesondere die privaten und beruflichen Folgen für das Opfer, den Beschuldigten/Angeklagten und deren Angehörige sowie die Schwere, die Umstände und die Folgen des Delikts. ...auch der Grad des Tatverdachts und der Stand des Verfahrens sind zu berücksichtigen... ...Akteneinsicht durch Medienvertreter kommt nicht in Betracht. 4. Grundsätzlich sind .. keine Namen und sonstige PdB , die Opfer von Straftaten, Zeugen, Beschuldigte und Angeklagte bestimmbar machen, aufzunehmen. ... 10. Bildveröffentlichungen ... sozialen Prangerwirkung ... kommt nicht in Betracht. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Beispiel 3: medizinische Daten Berufsordnung der Ärztekammer Berlin § 3 Schweigepflicht: „(1) Der Arzt hat ... zu schweigen. Dazu gehören auch schriftliche Mitteilungen des Patienten, Aufzeichnungen über Patienten, Röntgenaufnahmen und sonstige Untersuchungsbefunde. (5) Schweigepflicht auch ... im amtlichen oder privaten Auftrag eines Dritten wird, es sei denn, daß dem Betroffenen ... eröffnet wurde, inwieweit die vom Arzt getroffenen Feststellungen zur Mitteilung an Dritte bestimmt sind. (6) Wenn mehrere Ärzte ... denselben Patienten ... behandeln, so sind sie untereinander von der Schweigepflicht insoweit befreit, als das Einverständnis des Patienten anzunehmen ist. (7) Zum Zwecke der wissenschaftlichen Forschung und Lehre ... nur so ..., als dabei die Anonymität des Patienten gesichert ist oder dieser ausdrücklich zustimmt.“ Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Beispiel 3: medizinische Daten Landeskrankenhausgesetz - § 26 Datenschutz. „(2)... daß im Krankenhaus auf Patientendaten nur im erforderlichen Umfang zugegriffen wird.... (3) Eine Offenbarung ... außerhalb ... ist nur zulässig Im übrigen ist eine Offenbarung nur mit Einwilligung des Patienten zulässig.„ Außerdem: BGH 1993 kompliziert Weitergabe an Verechnungsstellen 1. zur Erfüllung einer gesetzlich vorgeschriebenen ... Mitteilungspflicht, 2. zur Durchführung des Behandlungsvertrages ... soweit nicht der Patient etwas anderes bestimmt hat, 3. zur Abwehr von Gefahren für Leib, Leben oder die persönliche Freiheit des Patienten oder eines Dritten sowie ... im Katastrophenfall, 4. zur Durchführung eines mit der Behandlung zusammenhängenden gerichtlichen Verfahrens. Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Chipkarten im Gesundheitswesen Bandbreite reicht von allgemeinen Patientenkarten (z.B. BKK-Patientenkarte Berlin) bis zu krankheitsspezifischen Karten (z.B. Dialyse-Card) Probleme: Sozialer Druck auf Patienten Gefahr der pauschalen Offenbarung belastender, schicksalhafter Daten Patient soll selbst für Sicherheit seiner Daten sorgen Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka

Chipkarten im Gesundheitswesen Forderungen nach freie Entscheidungen des Betroffenen: ob und welche Daten auf seiner Karte gespeichert werden ob die Karte vorgelegt wird welche Daten im Einzelfall zugänglich gemacht werden weitere Forderungen: Nicht Nutzungsbeschränkungen der Krankenversicherungs-Karte umgehen / keine Bonuspunkte für Kartenbenutzer / Schutz gegen die Kenntnissnahme Dritter (z.B. Beschlagnahmung) / „Einwilligung“ z.B. durch Billigtarife muß gesetzlich verboten werden / Keine zentrale Dateien / Leserecht des Karteninhabers / ... Datenschutz im Internet - Vortrag von Felix Bübl / WS 97 / TU Berlin / Seminar bei Dr. Garstka