Jusletter IT

Datenschutz ist als Thema heute medial regelmäßig präsent, doch die anlassgeleitete Berichterstattung, aktuell etwa zu «Street View», dokumentiert von Artikeln über Kommentare bis hin zu Leserbriefen vor allem eine weit verbreitete Unkenntnis des Rechtsgebietes – selbst Juristen, in deren universitärer Ausbildung die Querschnittsmaterie in aller Regel nicht behandelt wird, unterliegen häufig verbreiteten Irrtümern. Zu diesen Irrtümern trägt schon der im Deutschen übliche Begriff¹ selbst einiges bei, suggeriert er doch, es gehe in erster Linie um die Geheimhaltung personenbezogener Daten, die im Alltag dann allzu oft mit berechtigten Interessen Dritter und Informationsbedürfnissen der Allgemeinheit kollidiert. Die Unkenntnis erweckt bei Laien zudem oft genug den Eindruck, Datenschutz behindere Alltagsvorgänge ausgerechnet da, wo Betroffene diese ausdrücklich wünschen, mit unnötiger Bürokratie, während alles, was tatsächlich stört, ohnehin gemacht werde und wohl auch meistens gemacht werden dürfe. Nicht zuletzt unsere Staaten, die zu Gunsten der öffentlichen Sicherheit auf nationaler und internationaler Ebene, aber auch im Sozialbereich in den letzten zehn Jahren viel zu wenig Sensibilität gezeigt haben und wiederholt von den Höchstgerichten zu mehr Zurückhaltung ermahnt werden mussten, haben daran nicht unerheblichen Anteil. Letztlich ist der Datenschutz dadurch bedroht, an Ansehen und Legitimität in der öffentlichen Meinung zu verlieren oder als überflüssig zu gelten.

Die allgemeine Verwirrung um den Datenschutz wird schließlich vollständig, wenn selbst ernannte Meinungsbildner in Print- und Onlinemedien regelmäßig dieses Recht für tot erklären und dabei je nach Interessenlage für gut befinden oder mit belehrendem Unterton beklagen, dass Millionen von Menschen ihre offensichtlichen Kommunikationsbedürfnisse in Blogs und sozialen Netzwerken ausleben. Kritikerinnen ebenso wie Enthusiasten übersehen, dass die Bloggerinnen und sozialen Netzwerker dabei ganz selbstverständlich genau jenes für tot erklärte Recht, zu dessen Wahrung der Datenschutz einst angetreten war, keineswegs aufgeben, sondern für sich selbst in Anspruch nehmen: die eigenbestimmte Gestaltung der sozialen Beziehungen und des eigenen Bildes in den verschiedenen, nicht nur digitalen Lebenswelten als Ausdruck des Rechts auf Privatsphäre – vom Bundesverfassungsgericht Deutschlands einst als «Grundrecht auf informationelle Selbstbestimmung»² weitaus prägnanter und treffender ausgedrückt als vom leider so missverständlichen Begriff «Datenschutz» .

Der Gesetzgeber in Österreich hat dazu beigetragen, die Missverständnisse noch zu fördern, indem er in §1 Abs. 1 des Datenschutzgesetzes (DSG 2000) und damit im Verfassungsrang einen gewissen Absolutheitsanspruch erweckt, wenn er im ersten Satz feststellt: «Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.» Dieser Geheimhaltungsanspruch wird in der Folge erheblich relativiert und lenkt, so formuliert, vor allem vom darüber hinaus gehenden Gehalt des Grundrechts auf selbstbestimmte Privatsphäre und damit von den Persönlichkeitsrechten auf Auskunft, Berichtigung und Widerspruch in §1 Abs. 3 DSG 2000 ab. Am Anfang meiner Überlegungen steht daher eine Ziel- und Begriffsbestimmung.

Datenschutz war, bevor er in den Rang eines eigenständigen Grundrechts erhoben wurde,³ nichts anderes als die einfachgesetzliche Umsetzung des Rechts auf Privatsphäre, schwerpunktmäßig den Bereich der elektronischen Datenverarbeitung regelnd. Von anfänglich simplen Ermächtigungsnormen für die öffentliche Verwaltung, Daten zu verarbeiten, entwickelte er sich im Laufe der ersten Jahrzehnte hin zur Einräumung vonPersönlichkeitsrechten mit unmittelbarer Drittwirkung, d.h. er wurde nicht nur als Abwehr- und Geheimhaltungsanspruch gegenüber dem Staat ausgestaltet, sondern soll auch positive Schutzpflichten des Staates gegenüber Eingriffen Privater erfüllen.

Moderner «Datenschutz» geht von der zunächst überraschenden Erkenntnis aus, dass es letztlich unmöglich ist, Datenabsolut zu schützen – wer immer soziale Beziehungen eingeht, seien sie privater Natur oder im Arbeitsverhältnis, oder beispielsweise staatliche Leistungen in Anspruch nimmt, istgezwungen , Daten von sich preiszugeben. Die vom Datenschutz eingeräumten Persönlichkeitsrechte verfolgen daher das Ziel, das einzelne Individuum in die Lage zu versetzen, ab dem Zeitpunkt der Datenweitergabe dieKontrolle darüber zu behalten, was mit diesen Daten geschieht, und sind in den Rechten aufAuskunft ,Berichtigung, Löschung undWiderspruch konkretisiert. Der Europäische Gerichtshof für Menschenrechte hatte, beginnend mit dem UrteilLeander gegen Schweden vom 26. März 1987, letztlich keine Mühe, diese Persönlichkeitsrechte und so verstandenen Datenschutz (den eingeschränkten Geheimhaltungsanspruch eingeschlossen) direkt aus dem Recht auf Privatsphäre in Art. 8 EMRK und dem Anspruch des Individuums, selbstbestimmt zu leben, abzuleiten – insofern erzeugt die Erhebung von Datenschutz in den Rang eines Grundrechts eine Redundanz. Im Folgenden werden daher beide Begriffe gleichwertig verwendet.

Es sind mE gerade die Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch, die in der zunehmend komplexen (digitalen) Welt gegenüber dem nur eingeschränkt möglichen und wirksamen Geheimhaltungsanspruch an Bedeutung gewinnen müssen. Gestärkt werden müssen aber auch die weiteren Datenschutzprinzipien der strikten Zweckbindung, der Datensparsamkeit und der sachlichen Richtigkeit (§6 DSG 2000), der Transparenz (§24 DSG 2000), der Beschränkung der Weiterübermittlung in Drittländer (§12 f. DSG 2000) sowie der Datensicherheit (§14 DSG 2000), wie an den folgenden Beispielen hoffentlich deutlich wird. Konsequent angewendet machen sie zudem so manche spezialgesetzliche Regelung völlig überflüssig und tragen damit zur Vereinfachung der Rechtslage bei. Dieses Fazit ist für jene, die sich mit der Weiterentwicklung des Datenschutzes befassen, nicht neu;⁴ die grundrechtliche Notwendigkeit der «Prinzipientreue» möchte ich an ein paar mE praxisrelevanten Beispielen unter besonderer Berücksichtigung der österreichischen Rechtslage verdeutlichen.

Das Phänomen «Web 2.0» mit user-generiertem Content ist auf den ersten Blick nur schwer mit den datenschutzrechtlichen Begriffen wie Auftraggeber, Betroffene etc. zu fassen; die Aufgabe ist bei genauer Betrachtung dennoch lösbar. Eine Diensteanbieterin (Hosting von Weblogs, Betreiberin eines sozialen Netzwerks) kann natürlich nicht als Auftraggeberin jeglicher Datenerhebungen und –verarbeitungen, die vorgenommen werden, gelten, sondern nur für jene verantwortlich sein, die sie selbst beabsichtigt und zu eigenen Zwecken vornimmt – mehr dazu später.

Die Durchschnitts-Bloggerin oder Nutzerin eines Dienstes wird diesen ausschließlich für private Zwecke einsetzen⁵ und ist damit weitgehend von den Pflichten aus dem DSG 2000 befreit. Datenschutzrechtlich gesehen nimmt die Person, wenn sie den Adressatenkreis nicht einschränkt, eineVeröffentlichung von Daten vor – genau dieser Vorgang interessiert zunächst im Folgenden.⁶ Es handelt sich m.E. noch nicht um einen Eingriff in das Recht auf Geheimhaltung, sondern um nichts anderes als die Inanspruchnahme der Grundrechte auf Privatsphäre und auf freie Meinungsäußerung, die der Einzelperson die Freiheit der Entscheidung einräumen, in welchem Umfang sie die Öffentlichkeit – oder auch kleinere Empfängerkreise, etwa vordefinierte Gruppen im sozialen Netzwerk – an ihrem Leben teilhaben lässt. Sobald nun Dritte Kenntnis von den personenbezogenen Inhalten nehmen, ist dies allerdings als datenschutzrechtlich relevanter Vorgang zu werten, der als Eingriff in die Privatsphäre nur durch die vorherige im- oder explizite Zustimmung der Betroffenen legitimiert werden kann.

Dieser Aspekt wirft interessante Fragen auf, denn es ist von entscheidender Bedeutung für das weitere Schicksal der Privatsphäre der Betroffenen, fürwelche Vorgänge sie ihre Zustimmung erteilt hat. In diesem Zusammenhang zeigt sich, wie verhängnisvoll §1 Abs. 1 2. Satz des DSG 2000 wirkt: «Das Bestehen eines solchen Interesses [am Geheimhaltungsanspruch, Anm. d. Verf.] ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.» Diese Norm, die pauschal die Erhebung, Speicherung und Weiterverarbeitung inkl. Weitergabe einmal veröffentlichter Daten für beliebige rechtlich zulässige Zwecke legitimiert,⁷ ist m.E. gleich in zweifacher Hinsicht systemwidrig. Am gravierendsten ist die Rechtsfolge, dass bei einmal veröffentlichten Daten automatisch die Rechte auf Widerspruch der Weiterverwendung aus §1 Abs. 3 sowie aus §28 Abs. 1 DSG 2000 entfallen, da überwiegende schutzwürdige Interessen von der Norm im Verfassungsrang ausgeschlossen werden; nur das Recht auf Löschung unrichtiger Daten aus §27 DSG 2000 bleibt unberührt, ebenso das Widerspruchsrecht aus §28 Abs. 2 DSG 2000, das jedoch nur Rechtsschutz vor der jeweiligen Veröffentlichung im Einzelfall gewährt, nicht aber vor anderen Folgenutzungen. Der Betroffenen wird damit aber gerade die Kontrolle über ihre Privatsphäre und darüber, was nach der Preisgabe von Daten mit diesen passiert, entzogen. Denn es ist ebennicht davon auszugehen, dass eine Veröffentlichung einer Zustimmung zurbeliebigen Weiterverwendung der Daten⁸ gleichzusetzen ist. Vielmehr wäre es realitätsnäher und systemkonform, das Datenschutzprinzip der strikten Zweckbindung aus §6 DSG 2000 zu beachten: «Daten dürfen nur für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden.» Es wäre in der Folge davon auszugehen, dass eine Veröffentlichung von Daten immer nur bestimmten Zwecken dient – soweit diese nicht explizit angegeben werden, muss den Personen, die von den Daten Kenntnis nehmen, die datenschutzrechtliche Pflicht auferlegt werden, nur jenen Gebrauch zu machen, den die betroffene Person erkennbarerweisebeabsichtigt hat. Nur dafür hat sie auch die Zustimmung gegeben, die in §4 Z4 DSG 2000 als«die gültige, insbesondere ohne Zwang abgegebene Willenserklärung des Betroffenen, daß er in Kenntnis der Sachlage für den konkreten Fall in die Verwendung seiner Daten einwilligt» , definiert wird.

Die Probleme, die mit §1 Abs. 1 2. Satz des DSG 2000 verbunden sind, sind längst bekannt. Es ist diese Norm, die beispielsweise Sondernormen wie den Anti-Spam-Paragraphen 107 im TKG 2003 überhaupt erst erforderlich macht, da es andernfalls juristisch sehr einfach begründbar wäre, dass die Veröffentlichung von Kontaktdaten auf einer Homepage keine Legitimation zur unbegrenzten Zustellung von Spam und Werbung darstellt, sondern eben begrenzten Zwecken dient; auch privater Kontext einer Veröffentlichung von E-Mail-Adressen in sozialen Netzwerken könnte von Kontaktdaten am Arbeitsplatz mühelos unterschieden werden hinsichtlich des Veröffentlichungszwecks.

Die aus der problematischen Norm resultierenden Erkenntnisse der Datenschutzkommission erscheinen mE im Ergebnis wenig systematisch. So stellte sie etwa 2009 fest: «Vom Schutz des Grundrechts infolge »allgemeiner Verfügbarkeit» können personenbezogene Daten nur dann ausgeschlossen sein, wenn sie in gleichem oder weiterem Umfang als durch die in Beschwerde gezogene Verwendung bereits allgemein verfügbar waren.»⁹ Nur durch diesen normativ nicht begründbaren Kunstgriff konnte die Veröffentlichung der Nicht-Teilnahme eines Arztes an einem von seiner Ärztekammer ausgerufenen «Ärztestreik», die er durch einen Anschlag an seiner Ordination den Patienten angekündigt hatte, im Intranet der Kammer als Verletzung des Datenschutzrechts erkannt werden. Hingegen wurde 2008 die Weitergabe von Daten, die infolge einer öffentlich zugänglichen Sitzung eines Gemeinderates und deren öffentlich zugänglichem Protokoll «allgemein» zugänglich waren, an eine Zeitungsredaktion und die nachfolgende Berichterstattung unter Hinweis auf §1 Abs. 1 DSG 2000 nicht als Verstoß gegen den Datenschutz gewertet¹⁰ – obwohl durchaus bezweifelt werden darf, dass damit die «allgemeine Verfügbarkeit» vom Umfang her nicht deutlich erweitert wurde und daher einer entsprechenden Rechtfertigung, d.h. der Prüfung eines überwiegenden Interesses der Allgemeinheit an dieser Information, bedurft hätte. Letztlich würden außerdem trotz dieser Hilfskonstruktion veröffentlichte Daten zumindest innerhalb des Verbreitungskreises – und damit im Internet und weitreichenden Printmedien schrankenlos – völlig ungeschützt bleiben. Mir selbst erscheint ein Abstellen auf den jeweiligen Zweck der Veröffentlichung und daraus resultierende zulässige Folgenutzungen der Daten als die weitaus kohärentere und einzige grundrechtskonforme Lösung.

Aufgrund der vielfältigen Rechtsfragen, die diese Norm aufwirft, war durch die DSG-Novelle 2010 eine Abwandlung in folgende Formulierung geplant:«§ 1. (Verfassungsbestimmung) (1) Jedermann hat Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten. (2) Der Anspruch besteht nicht, wenn Daten zulässigerweise allgemein verfügbar sind. [...]»¹¹ Die novellierte Fassung fiel im Spätherbst 2009 allerdings im letzten Moment der damaligen Blockade von Änderungen der Verfassungsgesetze durch die Oppositionsparteien zum Opfer, mit der sie die Ladung von Ministerinnen vor einen U-Ausschuss erzwingen wollten. Damit wären zwar wenigstens Folgenutzungenrechtswidrig veröffentlichter Daten unterbunden worden (was häufig schwer erkennbar sein dürfte), mE wäre jedoch weiterhin keine Rechtslage hergestellt worden, die Art. 8 EMRK nicht verletzt. Denn es bleibt dabei, dass die uferlose Verwendung zulässig veröffentlichter Daten unzulässig in das Grundrecht auf Privatsphäre der Betroffenen eingreifen kann. Ein drastisches Beispiel: Es kann durchaus im öffentlichen Interesse liegen, dass Straftäter in bestimmten Fällen der Öffentlichkeit namentlich bekannt werden – etwa im Bereich der Wirtschaftskriminalität, wo Unternehmerinnen, Anleger und Verbraucherinnen vor Betrügern geschützt werden müssen. Das bedeutet aber nicht, dass die strafrechtlichen Daten einer Person, die sich danach dauerhaft rechtskonform verhält und längst aus dem Strafregister getilgt wurden, noch vorbehaltlos weiter verbreitet werden dürfen, nur weil sie Jahre zuvor in Printmedien veröffentlicht wurden. Hier wird der Geheimhaltungsanspruch der betroffenen Person im Laufe der Zeit wieder gegenüber den Informationsbedürfnissen der Allgemeinheit überwiegen; nicht zuletzt können sich auch Namensgleichheiten verhängnisvoll auswirken. Aus diesem Grund muss etwa die Auffindbarkeit strafrechtlicher Verurteilungen in Online-Medien, soweit es sich nicht um Personen des öffentlichen Lebens handelt, m.E. zeitlich limitiert sein.

Zusammenfassend wahrt Datenschutz die Persönlichkeitsrechte aus Art. 8 EMRK nur dann, wenn der einzelnen Person die selbstbestimmte Außendarstellung und eine effektive Kontrolle ihrer Darstellung durch andere ermöglicht wird und die Schranken aus Art. 8 Abs. 2 EMRK nicht überschritten werden. Der §1 Abs. 1 2. Satz des DSG 2000 muss aus meiner Sicht daher ersatzlos gestrichen werden – um auf die Beispiele der Bloggerin und der sozialen Netzwerkerin zurückzukommen nicht nur, damit sie die Kontrolle über die von ihnen selbst veröffentlichten Daten behalten, sondern auch über jene Daten, welche Dritte von ihnen veröffentlichen.

Angesichts des heutigen Umfanges anfallender digitaler Spuren der Durchschnittsbürgerin ist es ausgeschlossen, dass irgendwelche behördlichen oder betrieblichen Aufsichtsorgane, und seien sie personell noch so gut ausgestattet, mehr als Stichprobenkontrollen zur Überprüfung der rechtmäßigen Datenverwendung durchführen können. Es ist auch fraglich, ob darüber hinausgehende institutionelle Kontrolle beispielsweise in Betrieben überhaupt wünschenswert ist, da es nicht einer gewissen Ironie entbehrte, wenn ausgerechnet Datenschutzbeauftragte ein Klima der Überwachung erzeugen wollten.¹²

Ein lohnenswerter Ansatz könnte eine dezentrale Kontrolle durch die in ihrer Privatsphäre berührten Grundrechtsträgerinnen selbst sein, der beispielsweise durch die Öffnung anfallender Realdaten und Protokolldaten den Betroffenen gegenüber mittels direktem online-Zugriff auf einfache Weise realisiert werden könnte. Dass die personenbezogenen Protokolldaten dem Recht auf Auskunft gemäß §26 DSG 2000 unterliegen, hat die Datenschutzkommission bereits festgestellt.¹³ Wenn Angestellte am Bildschirm anonymisiert, d.h. ohne Angabe des Sachbearbeiters, zeitnah mitverfolgen könnten, wann der Arbeitgeber ihre Daten verwendet und an wen er sie weitergibt, wäre dies nicht nur eine Transparenz erzeugende und Vertrauen erweckende, sondern auch eine Missbrauch vorbeugende Maßnahme. Natürlich wird diese Möglichkeit ihre Grenzen dort finden, wo die Komplexität der Daten eine unmittelbare Durchschaubarkeit der Datenverarbeitungsvorgänge nicht zulässt – hier wird also weiterhin der Weg über eine Anfrage nach §26 DSG 2000 zu gehen sein und es in der Pflicht des Auftraggebers liegen, die Daten allgemein verständlich aufzubereiten.

Dass das Auskunftsrecht nicht uneingeschränkt in Anspruch genommen werden kann, sondern in einzelnen Fällen praxisnahe eingeschränkt wurde, etwa bei nicht ausgewerteten Daten einer Videoüberwachung,¹⁴ erscheint mE grundrechtlich unbedenklich. Kritischer betrachte ich die noch auf jene Zeiten, als Speicherplatz auf Datenträgern einen weitaus größeren Kostenfaktor als heute darstellte, zurückgehende Entbindung eines Auftraggebers von der Pflicht, Datenübermittlungen zu protokollieren, soweit es sich um in einer Datenanwendung gemeldete Empfängerkreise handelt. Der Pflicht, einzelfallbezogene, unvorhergesehene Datenübermittlungen gegenüber den Betroffenen zu beauskunften, kann in diesen Fällen nur organisatorisch durch manuelle Aufzeichnungen nachgekommen werden. Beim heute erreichten Stand der Technik wäre eine vollständige Protokollierung aller Vorgänge, die auf eine mögliche Datenübermittlung an Dritte schließen lassen, wohl vorzuziehen, sinnvollerweise mit verpflichtender Angabe eines Grundes im EDV-System.¹⁵

Auf unser Beispiel der sozialen Netzwerke zurückkommend wäre auch hier der transparentere Umgang mit personenbezogenen Daten ein Weg, die Privatsphäre zu stärken. Weshalb sollte den Betroffenen für eine eng begrenzte Zeitspanne nicht ersichtlich sein, welche Mitglieder eines Netzwerks auf welche Daten ihres Profils zugegriffen haben?

Der Datengebrauch durch Freunde und Dritte ist vom Grundrechtsträger immerhin noch selbst beeinflussbar, so lange er die Kontrolle darüber behält, wem er Zugriff auf welche digitalen Identitäten gibt und wie er sich dort darstellt. Weitaus intransparenter für ihn ist jedoch die Art der Datenverwendung durch die Anbieter digitaler Dienste, von E-Mail-Accounts bis hin zu den sozialen Netzwerken, die durch die zunehmende Vernetzung und Integration der Dienste noch undurchschaubarer wird. Nur wenige Online-Shops etwa machen ihren Nutzern gegenüber transparent, auf welcher Datenbasis sie ihre personalisierte Werbung aufbauen. Doch schon die Auswahl von Angeboten in Abhängigkeit von unterstellter Finanzkraft und bisherigen Vorlieben – etwa für die Farbe Türkis – bedeutet letztlich eine Einschränkung der Entscheidungsfreiheit der Kundinnen. Diese wird erst recht evident, wenn gezielt Billigprodukte oder Luxusartikel bei der Suche im Online-Shop gar nicht erst angeboten würden oder sogar der Preis vom bisherigen Kaufverhalten abhängig gemacht würde. Noch weitaus stärker wiegt der Eingriff in die Privatsphäre, wenn etwa durch das Klicken auf ein personalisiertes Werbebanner damit der Werbenden automatisch signalisiert wird, dass der interessierte Konsument mit größter Wahrscheinlichkeit homosexuell ist.¹⁶

Einfachgesetzlicher Maßstab für die rechtliche Zulässigkeit solcher Datenverarbeitungen ist §49 DSG 2000.¹⁷ Die Norm lässt reichlich Interpretationsspielraum offen: Zählen die genannten Beispiele personalisierter Werbung oder eines unfreiwilligen «Outings» bereits als erheblich beeinträchtigende Entscheidungen, und wo liegt die genaue Grenze? Sinnvoll wäre es m.E., in diesem äußerst kritischen Bereich, dessen Bedeutung durch die Integration verschiedener Datenquellen voraussichtlich noch erheblich wächst, generelle und uneingeschränkte Transparenz hinsichtlich Datenverwendung und Logik rechtlich zu verankern – andernfalls läuft die einfachgesetzliche Norm unter Umständen sogar Gefahr, nicht nur das Grundrecht auf Privatsphäre, sondern beispielsweise auch das Verbot von Diskriminierung zu verletzen.¹⁸

Transparenz reicht bei Profiling nicht aus – als Eingriffstatbestand kann in den meisten Fällen nur §8 Abs. 1 Z2 DSG 2000, also die explizite Zustimmung der Betroffenen, herangezogen werden. Da diese immer freiwillig, d.h. ohne Zwang, eingeholt werden muss, ist jedenfalls erforderlich, dass sie nicht mit der Leistungserbringung verknüpft werden darf.¹⁹

Ebenso wichtig erscheinen mir in diesem Zusammenhang zwei weitere Aspekte: Die Zustimmung darf sich erstens nicht auf die Daten Dritter erstrecken, weil darüber gar nicht rechtmäßig verfügt werden kann. So ist es aus meiner Sicht zwar beispielsweise zulässig, dass jemand den Zugriff seiner sozialen Netzwerk-Software für seine privaten Zwecke auf seine E-Mail-Adressbücher an anderer Stelle erlaubt – eine inhaltliche Auswertung dieser Daten Dritter durch die Diensteanbieterin, auch nur um z.B. damit potentielle Freunde und Bekannte im Netzwerk zu identifizieren und den Netzwerker darauf aufmerksam zu machen, kann m.E. nur mit deren Zustimmung rechtmäßig erfolgen, deren Einholung in der Praxis wohl am Aufwand scheitert.²⁰

Zweitens stellt sich die rechtstheoretische Frage, inwieweit eine Grundrechtsträgerin mit ihrer Zustimmung Eingriffe in ihr Grundrecht legitimieren kann. Gerade in der Privatwirtschaft wird häufig versucht, jegliche Folgenutzung einer anfänglichen Datensammlung durch die Zustimmung zu rechtfertigen, daher geht die Tendenz in moderner Datenschutzgesetzgebung zur Stärkung der Verhandlungsposition des (schwächeren) Einzelnen und zur Einschränkung seiner Dispositionsfreiheit.²¹ Belege dafür finden sich in der Datenschutz-Richtlinie der EU (RL 95/46/EG), die es gemäß Art. 8 Abs. 2 den Mitgliedstaaten überlässt, ein Verbot der Verarbeitung sensibler Daten auch bei Vorliegen einer Zustimmung zu normieren, sowie in Art. 14 ein Widerspruchsrecht gegen rechtmäßige Datenverarbeitung einräumt, wenn schutzwürdige Interessen des Betroffenen Vorrang haben («opt-out»).²² Aus Art. 8 Abs. 2 lässt sich jedenfalls schließen, dass der EU-Gesetzgeber es als grundrechtskonform ansieht, die Privatautonomie der Betroffenen einzuschränken. Rechtstheoretisch ist diese Position nicht völlig unumstritten, nach heute überwiegender Meinung ist jedoch ein Grundrechtsverzicht des Trägers nur unter einer Bedingung zulässig, nämlich dem überwiegenden Interesse des Einzelnen gegenüber dem öffentlichen Interesse der Allgemeinheit an der Einhaltung der Grundrechtsgarantie durch den Staat.²³ Auch in dieser Hinsicht wirkt §1 Abs. 1 2. Satz des DSG 2000 problematisch, denn er setzt implizit voraus, dass die Zustimmung zu jeglicher Folgenutzung veröffentlichter Daten erteilt werden könne, sogar bei Daten Dritter.

Wertet man schließlich Einschränkungen der Privatautonomie ihrerseits als Eingriffe in das Recht auf eine eigenbestimmte Privatsphäre, im Einzelfall auch in andere Grundrechte, wäre wiederum Konformität mit den jeweiligen Schranken zu beachten, u.a. mit Art. 8 Abs. 2 EMRK.

Die vorgeschlagenen Maßnahmen können bei allgemein zugänglichen Daten in Blogs und in sozialen Netzwerken Missbrauchsmöglichkeiten und unerwünschte Zugriffe nicht verhindern, selbst die Aussagekraft von Protokolldaten würde schon wegen der Möglichkeiten, die Identität zu verschleiern, mitunter entfallen. Es wird daher immer in der Verantwortung der Grundrechtsträger liegen, ihre digitale Identität nicht selbst zu kompromittieren. Aber zumindest würde der in den meisten Fällen auf die Pflege privater sozialer Beziehungen beschränkte Zweck eines Profils in einem sozialen Netzwerk die Auswertung durch eine potentielle Arbeitgeberin theoretisch als rechtswidrig ausschließen, wenn man die strikte Zweckbindung veröffentlichter Daten konsequent anwendet. Datenmissbrauch ist allerdings kein Spezifikum öffentlich zugänglicher Daten, sondern findet alltäglich auch im Kontext nicht-öffentlicher Datenverarbeitung statt. Letztendlich wird eine bessere Einhaltung des Datenschutzes wohl nur dadurch erreicht werden, dass Verstöße schadens- und verschuldensunabhängig sanktioniert werden, wobei das Strafmaß in Relation zum Gefährdungspotential stehen sollte und pro Einzelfall verhängt werden muss. In diesem Zusammenhang würde auch die Zulässigkeit von Sammelbeschwerden Bedeutung erlangen, denn von Klagen Einzelner werden sich jene Diensteanbieter, die mit personenbezogener Datenverarbeitung Milliardengewinne erzielen, kaum abschrecken lassen. In Einzelbereichen können zusätzlich Spezialregelungen zielführend sein, beispielhaft sei die in Belgien mittlerweile gesetzlich geregelte anonyme Bewerbung genannt.

Nimmt man schließlich die Privatautonomie des Betroffenen und sein Recht auf Privatsphäre ernst, muss konsequenterweise überall dort, wo die Zustimmung zu einer Datenverarbeitung erforderlich ist, da weder (grundrechtskonforme) gesetzliche Regelungen noch überwiegende Interessen Dritter diese legitimieren, ein jederzeitiges Widerspruchs- und Löschungsrecht angenommen werden. Dies entspricht leider nicht geltendem Recht, weshalb mE noch auszujudizieren ist, inwieweit Datenschutzbestimmungen auch hier Art. 8 EMRK verletzen. So ist der Ausschluss des Rechts auf Widerspruch in Art. 7 Abs. 5 des neuen Verbraucherkreditgesetzes (VKrG)²⁴ bei der Verarbeitung von Daten zur Bonitätsbeurteilung, die auf einer vorherigen Zustimmung des Betroffenen beruht, kaum in Einklang mit dem Grundrecht auf Privatsphäre und informationelle Selbstbestimmung zu bringen. Im Zusammenhang mit Blogs und sozialen Netzwerken ist darauf hinzuweisen, dass diese bei privater Nutzung idR nicht einer «Datenanwendung» iSd DSG 2000 entsprechen und somit im Einzelfall vorgenommene Verarbeitungen der Daten Dritter nicht vom Widerspruchsrecht des §28 umfasst sind. Grundsätzlich sollten die Rechte auf Berichtigung, Löschung und Widerspruch m.E. nicht auf Datenanwendungen beschränkt sein, sondern jegliche Datenverwendung umfassen – nur beim Auskunftsrecht ist eine entsprechende Einschränkung vertretbar, wenn der Aufwand zur Einhaltung unverhältnismäßig wird.

Gegenüber dem heute mehr denn je allmächtigen Staat behält das Grundrecht auf Privatsphäre in seiner klassischen Ausgestaltung als liberales Abwehrrecht vor behördlichen Eingriffen und damit der Geheimhaltungsanspruch seine überragende Bedeutung. Was in der Privatwirtschaft durch die Privatautonomie gerade noch gerechtfertigt sein mag, gilt daher nicht im staatlichen Bereich: Selbst auf Grundlage einer Einwilligung dürfen nur personenbezogene Daten verarbeitet werden, die zur Gewährleistung einer gesetzmäßigen Aufgabenwahrnehmung erhoben werden müssen.²⁵

Auch hier interessieren m.E. besondersabsolute Grenzen, etwa im Bereich der öffentlichen Sicherheit. Lange Zeit erhielt die Privatsphäre normativ in den Grundrechtskatalogen keinen «Kerngehalt», der unverletzlich wäre²⁶ – erst das deutsche Bundesverfassungsgericht sicherte 2004 in seinem Urteil zu akustischer Wohnraumüberwachung einen solchen:

Gerade Datenschützer laufen jedoch Gefahr, mit der einseitigen Konzentration auf Datenschutz-Prinzipien und den sehr eingeschränkten Geheimhaltungsanspruch, der im Wesentlichen nur im Verhältnismäßigkeitsgrundsatz unüberwindbare Hürden findet, den viel weitergehenden Geheimhaltungsanspruch anderer Grundrechte zu übersehen.²⁸ So wurde die Vorratsdatenspeicherung bislang nur von den Verfassungsrichtern in Rumänien als Verstoß gegen die Unschuldsvermutung und damit auch gegen Art. 6 Abs. 2 EMRK gewertet²⁹ – bislang war mW kein westeuropäisches Höchstgericht oder der EGMR mit dieser Frage befasst, da sie von den meisten Datenschützerinnen bislang nicht aufgeworfen wurde. Im Einzelfall können auch noch andere Grundrechte verletzt sein.³⁰

Eine absolute Grenzziehung wird an Bedeutung gewinnen, denn jegliche vorhandene Datensammlung weckte erfahrungsgemäß über kurz oder lang Begehrlichkeiten von staatlicher Seite. Daher kann die oben vorgeschlagene verstärkte Protokollierung von Datenverarbeitungsvorgängen nur dann befürwortet werden, wenn der Staat die strenge Zweckbestimmung dieser Daten in Art. 14 Abs. 4 DSG 2000 dauerhaft beibehält und hier den Geheimhaltungsanspruch wahrt. Abweichend von der Rechtsmeinung des OGH in seinem Urteil vom 14. Juli 2009,³¹ in dem er derzeit keine Rechtsgrundlage in Österreich für die Verarbeitung von Verkehrsdaten durch Internet-Access-Provider zu anderen als im TKG 2003 vorgesehenen Zwecken sieht, erlaubt Art. 14 Abs. 4 DSG 2000 mE die Verwendung von Verkehrsdaten zu Zwecken der Datensicherheit und Kontrolle der Integrität elektronischer Systeme, strikt begrenzt auf den dafür erforderlichen Zeitraum.³² Auch die restriktive Weiterverwendung für strafrechtliche Zwecke wahrt, anders als in den bisher vom BMVIT vorgelegten Entwürfen zur Umsetzung der Vorratsdatenspeicherung, den Grundsatz der Verhältnismäßigkeit.

Ein weiteres Beispiel von hoher Praxisrelevanz für die Notwendigkeit einer Selbstbeschränkung der Staatsmacht sei noch angeführt: In der datenschutzrechtlich vieldiskutierten «Cloud» kann ein Dienstleister m.E. nur dann ein Datensicherheitsniveau, das jenem bei der Auftraggeberin entspricht, garantieren, wenn sichergestellt ist, dass die Anzahl der Behörden, die potenziell Zugriff haben, sich nicht ausweitet – mangels zwischenstaatlicher Übereinkommen zur Daten-Enthaltsamkeit wird daher die Datenverarbeitung und -speicherung im Ausland, selbst innerhalb der Europäischen Union,³³ in der «Cloud» regelmäßig abzulehnen sein. Das Problem ist noch nicht einmal auf die «Public Cloud» beschränkt, sondern kann auch innerhalb eines multinational operierenden Unternehmens in der «Private Cloud» oder bei so einfachen Verarbeitungsvorgängen wie einer Datensicherung auftreten. Der wohl bekannteste Fall der letzten Jahre, nämlich die Spiegelung derSWIFT -Daten europäischer Banktransaktionen in den USA, die zu massenhaften Zugriffen der amerikanischen Geheimdienste führte, wäre mE von vornherein nicht zulässig gewesen, da es Pflicht des Auftraggebers war, ein adäquates Sicherheitsniveau der Daten zu garantieren.³⁴

Ein letztes Mal auf Protokolldaten zurückkommend, darf nicht vergessen werden, dass lückenlose Protokollierung Datenverarbeitungsvorgänge weitgehend nachvollziehbar macht. Neben den Chancen, die sich dadurch bieten, ergeben sich auch Risiken – so wäre es etwa unmöglich, im öffentlichen Bereich unbemerkt Einsicht in elektronische Akten zu nehmen. Das ist auch nicht zu beanstanden, wenn überwiegende Interessen Dritter ausreichend gewahrt sind.Wikileaks oder auchWhistleblowing dokumentieren jedoch ein Informationsbedürfnis der Öffentlichkeit, dem bislang ein m.E. insbesondere im deutschen Sprachraum übertriebener Geheimhaltungsanspruch des Staates und öffentlicher Institutionen entgegensteht. Nur in ganz wenigen Fällen überhaupt lässt sich aber Geheimniskrämerei gegenüber den Bürgern rechtfertigen. Bislang sind die Rechte auf Information vor allem im Umweltschutz europa- und völkerrechtlich verankert, werden aber von den Behörden in vielen Fällen nach wie vor nur sehr zögerlich bedient, oft genug mit dem fadenscheinigen Hinweis auf Datenschutzrechte der Behörde oder Dritter.

Der internationale Trend geht u.a. aus Gründen der Korruptionsprävention jedenfalls eindeutig in Richtung Transparenz öffentlichen Handelns, zu den Vorreitern zählt Skandinavien und neuerdings auch Großbritannien. Datenschutz verlangt mE geradezu nach einer Transparenzordnung und steht mit seinem (wie aufgezeigt) nur sehr eingeschränkten Geheimhaltungsanspruch schon heute nicht in Widerspruch dazu: Gemäß § 8 Abs. 3 Z 6 DSG 2000 liegt eine Verletzung schutzwürdiger Geheimhaltungsinteressen z.B. dann nicht vor, wenn die Verwendung von Daten ausschließlich die Ausübung einer öffentlichen Funktion durch den Betroffenen zum Gegenstand hat,³⁵ doch auch ohne Sondernormen wird in den allermeisten Fällen ein überwiegendes Interesse der Öffentlichkeit an der Kontrolle staatlichen und behördlichen Handelns zu erkennen sein.

Wie weit dieses Interesse gehen kann, hat etwa der Europäische Gerichtshof für Menschenrechte im UrteilÉditions Plon gegen Frankreich³⁶ zu einem Buch mit Angaben zum Gesundheitszustand des ehemaligen französischen Präsidenten Mitterand von 1981 bis zu seinem Tod festgestellt: Je länger der Tod Mitterrands zurückliege, desto mehr überwiege das Interesse an der Aufarbeitung historischer Fakten, die Implikationen auf die Amtsführung des Präsidenten hatten, gegenüber dem immer weiter zurücktretenden Recht auf Persönlichkeitsschutz. Dieses öffentliche Interesse gilt noch weit mehr für behördliches Handeln im engeren Sinn – als Beispiel sei der Vertrag zwischen der deutschen Bundesregierung und der Atomindustrie von 2010 genannt, bei dem schon im Hinblick auf die Gesetzgebung zu Umweltinformationen Geheimhaltung kaum zu rechtfertigen sein dürfte.

DieÉditions Plon -Entscheidung wird gerne verschwiegen, wenn Personen des öffentlichen Lebens bzw. deren Anwälte sich auf das nur wenige Monate später ergangene, bekannte und viel zitierte «Caroline -Urteil»³⁷ des EGMR berufen, in dem die Veröffentlichung von Fotos der Betroffenen in der Boulevardpresse als ein Eingriff in die Privatsphäre gewertet wurde, deren Schutz von den nationalen Gerichten in der Folge nur unzureichend gewährleistet worden sei. Die vermeintlichen Nutznießer übersehen ebenso wie die vielen Kritiker dieser Entscheidung die für das Urteil maßgebliche Begründung, dass die Fotografien Alltagsszenen rein privater Natur zeigten, denen der Gerichtshof jeglichen Informationswert absprach, und die Beschwerdeführerin zudem keine offizielle Funktion für das Fürstentum Monaco bekleidete. Daraus darf nicht geschlossen werden, dass Personen des öffentlichen Lebens immer dann geschützt sind, wenn sie sich nicht in der Öffentlichkeit bewegen: die Achtung der Privatsphäre ist und bleibt ein immer im Einzelfall unter Berücksichtigung aller maßgeblichen Umstände zu bewertendes Grundrecht.

Lothar Gamper, Datenschutzbeauftragter, Universität Innsbruck, Josef-Hirn-Straße 5-7, 6020 Innsbruck, AT,lothar.gamper@uibk.ac.at ;www.uibk.ac.at/datenschutz