Jusletter IT

In Stichproben lässt sich feststellen, dass seit den im Jahr 2009 veröffentlichten Ergebnissen einer Untersuchung¹ zum Umgang mit Datenschutzerklärungen im Internet eine signifikante Qualitätsverbesserung ausgeblieben zu sein scheint. Dafür spricht auch ein zwischenzeitiges Datenschutz-Monitoring, nach dem die Zahl von Verstößen im Internet zugenommen hat.² Soweit in den betrachteten Webpräsenzen eine Datenschutzerklärung vorhanden war, war diese entweder nicht von jeder Unterseite aus erreichbar oder die Erklärung war unvollständig oder gar irreführend. Dies trifft nicht nur auf vom Anbieter selbst gebaute Websites zu, sondern auch auf solche, die von IT-Dienstleistern oder Agenturen erstellt wurden. Es muss davon ausgegangen werden, dass aufgrund dieser Mängel auch Verfahrensverzeichnisse gem. §§ 4g, 4e BDSG entweder nicht oder nicht richtig geführt werden. Die Vorbereitung auf die in Kürze unmittelbar anzuwendenden Bestimmungen der Datenschutz-Grundverordnung (DS-GVO)³ bietet Gelegenheit, auch das Internetangebot einer Prüfung zu unterziehen. Diese Überprüfung ist insbesondere in Bezug auf die Pflicht zum Führen eines Verzeichnisses der Verarbeitungstätigkeiten gem. Art. 30 DS-GVO erforderlich und ein etwa noch nicht oder noch nicht den neuen Anforderungen genügendes Verzeichnis entsprechend zu erstellen bzw. zu modifizieren. Die Erstellung von Datenschutzerklärung und Verzeichnis lassen sich teilweise automatisieren, so dass digitale Assistenz bei der Herstellung von Compliance zielführend unterstützt.

Die Einhaltung der Datenschutzrechtlichen Bestimmungen hat der gem. Art. 4 Nr. 7 DS-GVO Verantwortliche zu gewährleisten. Verantwortlicher in diesem Sinne ist derjenige, der über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Als personenbezogene Daten im hiesigen Kontext liegen jedenfalls die IP-Adressen vor, selbst wenn diese durch den Access-Provider dynamisch vergeben werden.⁴ Dass künftig wegen Änderung der Definition des personenbezogenen Datums in Art. 4 Nr. 1 DS-GVO gegenüber der früheren Regelung in Art. 2 lit. a) der Datenschutz-Richtlinie⁵ die IP-Adresse ausgenommen wird, steht nicht zu erwarten. Da der Anbieter der Internetseite über das «Ob» seines Internet-Auftritts entscheidet, fällt ihm die Entscheidung über das Erheben und Verarbeiten der IP-Adresse zu, womit er gem. Art. 4 Nr. 7 DS-GVO «Verantwortlicher» ist.

Der Website-Anbieter ist nur dann berechtigt, personenbezogene Daten zu erheben und zu verarbeiten, wenn dies zu rechtmäßigen Zwecken in einer für die betroffenen Personen nachvollziehbaren Art und Weise geschieht, Art. 5 Abs. 1 lit. a) DS-GVO. Dies setzt voraus, dass zunächst überhaupt eine Berechtigung besteht, die IP-Adresse zu dem gem. Art. 5 Abs. 1 lit. b) DS-GVO festzulegenden Zweck zu erheben und die durch Art. 5 Abs. 1 lit. c) – f) DS-GVO gesetzten Grenzen nicht überschritten werden. Insoweit schreibt die DSGVO das bekannte Prinzip des Verbots mit Erlaubnisvorbehalt fort.

Der Anbieter der Website darf nach deutschem Recht gem. § 15 Abs. 1 TMG die IP-Adresse erheben und Verarbeiten, soweit und solange dies zur Inanspruchnahme seines Angebotes erforderlich ist. Darüber hinaus ist ihm gem. § 15 Abs. 3 TMG die Verarbeitung zu Werbezwecken, Zwecken der Marktforschung oder der bedarfsgerechten Gestaltung seines Angebotes mittels der Erstellung pseudonymer Nutzungsprofile dann erlaubt, wenn er den Nutzer auf sein Widerspruchsrecht gem. § 13 Abs. 1 TMG hingewiesen und der Nutzer von dieser Möglichkeit keinen Gebrauch gemacht hat.

Soweit hier die elektronische Kommunikation berührt ist, folgt die weitere Anwendbarkeit dieser nationalen Bestimmungen aus dem Umstand, dass die DS-GVO keine spezifischen Anordnungen trifft und auch die Datenschutzrichtlinie für elektronische Kommunikation⁶ als lex specialis der DS-GVO vorgehen wird.⁷ Insoweit ist durch die Bestimmung in Art. 95 DS-GVO klargestellt, dass die Verordnung gegenüber der RL 2002/58/EG keine besonderen, auf das gleiche Ziel gerichteten Anforderungen schafft.⁸ Ein Inkrafttreten der ePrivacy-Verordnung zur Ablösung der Richtlinie ist zum Zeitpunkt der Manuskripterstellung noch nicht absehbar. Soweit die RL 2002/58/EG in nationales Recht umgesetzt wurde, bleibt dieses anwendbar.⁹ Aufgrund der generellen Anforderung an die Zulässigkeit einer Verarbeitung personenbezogener Daten auf der Grundlage einer den Bedingungen aus Art. 7, 8 DS-GVO gerecht werdenden Einwilligung gem. Art. 6 Abs. 1 lit. a) DS-GVO ist auch die Frage der Erforderlichkeit des sog. «Cookie-Banner» beantwortet. Ohne die Zustimmung des Nutzers ist das Ablegen von Cookies nach dem Wortlaut der Norm unzulässig. Eine etwa anderslautende Regelung des nationalen Rechts wäre aufgrund des Anwendungsvorrangs der DS-GVO zwar nicht außer Kraft, jedoch nicht mehr anzuwenden.¹⁰

Das Website-Angebot stellt aufgrund der Erhebung und Verarbeitung der IP-Adresse ein datenschutzrechtlich relevantes Verfahren dar. Dieses ist gem. Art. 30 DS-GVO zu dokumentieren.¹¹ Die Befreiung von dieser Pflicht für Verantwortliche mit weniger als 250 Beschäftigten greift in Deutschland wegen der Gegenausnahme, nach der bei der Verarbeitung auch besonderer personenbezogener Daten gem. Art. 9 Abs. 1 DS-GVO die Pflicht nicht entfällt, nicht, wenn der Verantwortliche wenigstens einen Beschäftigten hat. Als Arbeitgeber verfügt der Verantwortliche mit dem für die Lohn- und Gehaltsabrechnung erforderlichen Kirchensteuermerkmal sowie aufgrund der Meldeobliegenheiten bei Krankheit über eben solche besondere Arten personenbezogener Daten.¹² Dies führt zu dem vom Verordnungsgeber möglicherweise gar nicht angestrebten Ergebnis, dass auch dann ein Verzeichnis zu führen ist, wenn es sich bei dem Verantwortlichen etwa um eine juristische Person mit einem einzigen Beschäftigten handelt.¹³

Der Dokumentation kann sich der Verantwortliche i.S. von § 4 Nr. 7 DS-GVO schon deshalb nicht entziehen, weil er aufgrund der ihm auferlegten Rechenschaftspflicht gem. Art. 5 Abs. 2 DS-GVO die Einhaltung der Anforderungen an die Rechtmäßigkeit der Verarbeitung nachweisen können muss.¹⁴ Dies umfasst gem. Art. 24 Abs. 1 DS-GVO auch die gem. Art. 32 Abs. 1 DS-GVO zu treffenden technischen und organisatorischen Maßnahmen. Die gem. Art. 30 Abs. 1 lit. f) geforderten Angaben hat der Verantwortliche nach dem Wortlaut der Norm «wenn möglich» zu machen, was jedoch nicht als Entscheidung über das «Ob» solcher Informationen, sondern lediglich über das «Wieviel» verstanden werden darf.¹⁵ Das Verzeichnis muss so ausführlich sein, dass es dem ggf. bestellten Datenschutzbeauftragten sowie der Aufsichtsbehörde eine Überprüfung der Angemessenheit des hergestellten Schutzniveaus ermöglicht.¹⁶

Gegenüber dem Betroffenen besteht die durch Art. 12 DS-GVO konkretisierte Transparenzpflicht gem. Art. 5 Abs. 1 lit. a) DS-GVO. Dies wird über die Fälle der technisch unvermeidbaren Erhebung der IP-Adresse während des Nutzungsvorganges besonders dann relevant, wenn die Nutzungsaktivitäten nachvollzogen werden sollen. Insoweit sind durch EG 24 DS-GVO vor allem Tracking-Services datenschutzrelevant, da diese dem dort erwähnten Nachvollzug der Internetaktivitäten der Nutzer dienen.¹⁷ Der Website-Anbieter muss gem. Art. 12 DS-GVO die in Art. 13, 14 DS-GVO genannten Informationen zur Verfügung stellen und insbesondere auf die Einbeziehung von Diensten mit einem Sitz in einem Nicht-EU-Land hinweisen. Besondere Aufmerksamkeit verlangt die neue Regelung zur Wirksamkeit von Einwilligungen Minderjähriger bei ihnen direkt unterbreiteten Angeboten. Insoweit ist im Einzelfall zu erwägen, ob ein System zur Altersverifikation erforderlich sein kann.¹⁸

Die in einer Datenschutzerklärung dem Nutzer zu gebenden Informationen lassen sich durch einen Blick darauf, welche Daten von dem Nutzer tatsächlich erhoben werden, ermitteln. Die für die Formulierung einer Datenschutzerklärung anzutreffenden Dienste im Internet sind in der Regel so gestaltet, dass der Ersteller Elemente, die nach seiner Kenntnis relevant sind, anklickt und hieraus eine Datenschutzerklärung mittels Textbausteinen erstellt wird, die schließlich per Copy & Paste auf die Website übernommen werden kann. Kommt es zu Modifikationen der Homepage, insbesondere durch Abschalten, Hinzufügen oder Wechseln von Skripten oder Plugins, wird dies in der Datenschutzerklärung oft nicht nachgeführt. Hinzu tritt, dass eine ganze Reihe von Skripten eingesetzt werden können, für die die verschiedensten Angaben in die Datenschutzerklärung aufzunehmen sind und daher genau klar sein muss, welches Skript oder Plugin verwendet wird. Es lassen sich in der Praxis regelmäßig ein Auseinanderfallen von Angaben in der Datenschutzerklärung und tatsächlich verwendeten Skripten und Plugins feststellen.

Welche Daten beim Aufruf einer Website von dem Nutzer erhoben werden, lässt sich technisch mittels eines Crawlers automatisiert feststellen. Das Ausgabeergebnis des Crawlers lässt sich sodann weiter nutzen, um hieraus aus Textbausteinen die zutreffende Datenschutzerklärung zu generieren. Dadurch lassen sich Fehler infolge falscher manueller Anwahl von Textbausteinen vermeiden.

Da durch das Crawlen die datenschutzrelevanten Vorgänge geklärt werden können, lässt sich hierdurch auch das zu führende Verzeichnis der Verarbeitungstätigkeiten in Bezug auf das Website-Angebot zumindest insoweit automatisiert erstellen, als die Informationen zur Art der von dem Nutzer erhobenen und verarbeiteten Daten sowie etwaige Übermittlungsvorgänge etwa an die Anbieter von Skripten und Plugins erfasst und in Bezug zu den rechtlichen Grundlagen der Zulässigkeit der Datenverarbeitung gesetzt werden. Ergänzen muss der Website-Anbieter dann lediglich noch die Angaben, die nicht automatisiert feststellbar sind, wozu auch die getroffenen technischen und organisatorischen Maßnahmen zu rechnen sind. Insoweit kann jedenfalls die Notwendigkeit des Treffens solcher Maßnahmen aufgezeigt werden.

Der Prototyp des Datenschutz-Crawlers fokussiert die aus unserer Sicht typischen Problemlagen. Zu diesen zählen:

• Vorhandensein einer maschinenerkennbaren Datenschutzerklärung,
• Verwendung von Cookies,
• Verwendung von Reichweitenanalyse-Werkzeugen und deren datenschutzkonformer Einsatz,
• Verwendung von Bibliotheken, die ein Nachladen von Webseiten dritter Anbieter erfordern und damit Nutzungsdaten an den Dritten übermitteln,
• Standort des Rechenzentrums des Webhosting- und E-Mail-Providers und die damit verbundene Datenübertragung innerhalb/außerhalb des europäischen Wirtschaftsraumes.

Der Crawler ist als Webanwendung konzipiert. Die Clientoberfläche basiert auf dem HTML5-konformen Framework Bootstrap und den Javascript-Komponenten von jQuery. Serverseitig wird eine Sammlung von Programmen ausgeführt, die die zu bewertende Webseite herunterladen und die HTML-Baumstruktur (DOM) dieser Webseite nachbauen. Mittels XPath¹⁹ wird daraufhin nach vordefinierten Mustern gesucht. Diese Muster sind als reguläre Ausdrücke in einer Konfigurationsdatei abstrahiert und können beliebig erweitert und angepasst werden.

Das Ergebnis des serverseitigen Crawl-Vorgangs wird an den Client mittels JavaScript Object Notation (JSON) übergeben. In dieser Weboberfläche werden dann die Bewertung der oben aufgezählten Problemlagen und die weiteren notwendigen Operationen zur Erstellung von Datenschutzerklärung und Verfahrensverzeichnis vorgenommen. Die zur Demonstration verwendete Version ist nicht auf Vollständigkeit, sondern auf das Aufzeigen der technischen Möglichkeiten ausgerichtet. Der Datenschutz-Crawler wird in der nächsten Zeit weiter ausgebaut.