Datenschutz
Muss ich meinen Namen und meine Adresse angeben, wenn danach gefragt wird? Hat ein Anbieter darüber zu informieren, welche Daten er erhoben hat? Können diese erhobenen Daten eingesehen werden? Inwieweit ist die Verwendung der über mich erhobenen Daten zulässig?
Bei Nutzung eines Dienstes im Internet wird vom Anbieter manchmal verlangt, dass man persönliche Daten offenbart, etwa Name, Adresse und Alter mitteilt. Darüber hinaus werden bei kostenpflichtigen Diensten in aller Regel auch Informationen wie Kreditkarten oder Kontonummer gefordert. Hier hat der Nutzer des Internet-Dienstes natürlich ein Interesse daran, dass die Daten ausschließlich zu dem Zeck verwendet werden, zu dem er sie mitgeteilt hat und vor allem, dass diese Daten nicht in die falschen Hände geraten.
Diesem Interesse hat auch der Gesetzgeber Rechnung getragen, indem er die Erhebung und Nutzung bestimmter Daten besonderen Regeln unterworfen hat. Ziel dieser Regeln ist der Schutz des aus dem Persönlichkeitsrecht abgeleiteten Recht auf informationelle Selbstbestimmung. Die grundlegenden Regeln finden sich im Bundesdatenschutzgesetz (BDSG).
Personenbezogene Daten
Das BDSG ist gemäß § 3 Abs. 1 nur auf personenbezogene Daten anwendbar. Darunter versteht man Einzelangaben über persönliche und sachliche Verhältnisse einer bestimmten oder bestimmbaren Person. Nicht von dem Schutz umfasst werden die Daten juristischer Personen. Soweit es sich aber um natürliche Personen handelt, werden alle Daten, die über die jeweilige Person etwas aussagen geschützt. Dies gilt insbesondere für Namen, Anschrift, Beruf, Staatsangehörigkeit, aber auch für die e-Mail-Adresse.
Im Hinblick auf den Umgang mit persönlichen Daten reicht der Schutz von der Erhebung als Beschaffung von Daten über einen Betroffenen im Sinne von § 3 Abs. 3 BDSG über die Verarbeitung, also das Speichern, Verändern, Übermitteln und Sperren gem. § 3 Abs. 4 Nrn. 1 bis 4 BDSG bis hin zur Löschung gem. § 3 Abs. 4 Nr. 5 BDSG. Unternehmen der Privatwirtschaft werden hier aber nur insoweit gebunden, als sie sich EDV-Ünterstützung bedienen, § 27 BDSG.
Erlaubte Datenverarbeitung
Grundsätzlich ist zunächst jedwede Verarbeitung personenbezogener Daten unzulässig. Die erlaubte Verarbeitung ist als Ausnahme von diesem Grundsatz ausgestaltet. Als Ausnahmen sind denkbar
- eine Einwilligung des Betroffenen in die Verarbeitung seiner personenbezogenen Daten oder
- eine Tarifvertragliche oder innerbetriebliche Vereinbarung, mit der die Verarbeitung personenbezogener Daten ausdrücklich erlaubt wird oder
- eine gesetzliche Vorschrift, die die Datenverarbeitung erlaubt.
Praktisch von großer Bedeutung ist die Einwilligung des Betroffenen in die Verarbeitung seiner personenbezogenen Daten gem. § 4 Abs. 1 BDSG. Diese ist gem. § 4a BDSG aber nur dann wirksam möglich, wenn der Betroffene diese Einwilligung aufgrund freier Entscheidung erteilt und er auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie die Folgen einer Verweigerung der Einwilligung in einer den Umständen entsprechenden Form hingewiesen wurde. Ferner ist die Einwilligung regelmäßig schriftlich zu erteilen. Wird die Einwilligung mit anderen Erklärungen verbunden, muss sie hervorgehoben werden.
Daneben kommt häufig eine gesetzliche Erlaubnis für die Datenverarbeitung gem. § 28 Abs. 1 Nr. 1 BDSG für die Fälle in Betracht, in denen es um die Abwicklung eines Vertragsverhältnisses geht. Hiervon betroffenen sind insbesondere Kundendaten, ohne die es nicht möglich ist, die zwischen dem Betroffenen und der verarbeitenden Stelle getroffene vertragliche Vereinbarung, in deren Rahmen auch die betreffenden Daten erhoben werden, sinnvoll zu erfüllen. Als Besonderheit ist hier jedoch die Zweckbestimmung zu beachten, so dass alle Daten, die "ihren Zweck erfüllt haben", also zur Erfüllung vertraglicher Pflichten nicht (mehr) benötigt werden, zu löschen sind.
Bereichsspezifischer Datenschutz bei Telediensten
Darüber hinaus enthält das Telemediengesetz (TMG) in seinem vierten Abschnitt besondere Regelungen über den Datenschutz bei Telemedien. Hier soll speziell der Nutzer von Telemedien geschützt werden. Den Anbieter eines Telemediendienstes trifft insoweit insbesondere die Pflicht, zu Beginn des Nutzungsvorganges den Nutzer über Art, Umfang und Zwecke der Erhebung personenbezogener Daten in allgemein verständlicher Form zu informieren, § 13 Abs. 1 TMG. Soweit von dem Nutzer eine Einwilligung in die Datenverarbeitung eingeholt wird, kann dies unter der Voraussetzung, dass
- der Nutzer die Einwilligung bewusst und eindeutig erteilt,
- die Einwilligung protokolliert wird,
- der Nutzer den Inhalt seiner Einwilligung jederzeit abrufen kann und
- der Nutzer die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen kann
auch elektronisch erfolgen, § 13 Abs. 2 TMG. Die Bereitstellung des Dienstes darf aber nicht von der Erteilung der Erlaubnis der Datenverarbeitung für andere Zwecke abhängig gemacht werden, wenn dem Nutzer ein anderer Zugang zu diesem Dienst entweder nicht oder auch nicht in zumutbarer Weise möglich ist, § 12 Abs. 3 TMG. Daneben muss der Anbieter eines Telemediendienstes gem. § 13 Abs. 4 TMG sicherstellen, dass
- der Nutzer die Nutzung des Dienstes jederzeit beenden kann,
- die angefallenen personenbezogenen Daten über den Ablauf des Zugriffs oder der sonstigen Nutzung unmittelbar nach deren Beendigung gelöscht oder gesperrt werden,
- die Nutzung gegen die Kenntnisnahme Dritter geschützt möglich ist,
- die personenbezogenen Daten über die Nutzung verschiedener Telemedien durch einen einzelnen Nutzer voneinander getrennt verwendet werden können,
- Daten nur für Abrechnungszwecke zusammengeführt werden können und
- Nutzungsprofile nicht mit Angaben zur Identifikation des Trägers des Pseudonyms zusammengeführt werden können.
Besondere Befugnisse zur Datenverarbeitung bestehen gem. § 15 TMG, soweit es um die Abrechung der Nutzung eines Telemediendienstes geht. In diesem Zusammenhang ist dem Anbieter weitestgehend die Verarbeitung erlaubt, sofern dies zur Abrechnung der von ihm erbrachten Leistung erforderlich ist. Hierzu gehört unter anderem auch, dass Abrechnungsdaten zur Ermittlung und Abrechnung des Nutzungsentgelts an Dritte übermittelt werden. Die Erstellung eines Einzelnachweises ist nur auf ausdrücklichen Wunsch des Nutzers zulässig und führt dazu, dass diesbezügliche Daten längstens bis zur Abklärung der Entgeltforderung bzw. deren Begleichung gespeichert werden, § 15 Abs. 7 TMG.
Folgen einer Datenschutzverletzung
Sowohl TMG als auch BDSG verhängen für den Fall, dass der Datenschutz nicht gewahrt wird, Geldbußen bis 50.000 EUR bzw. 250.000 EUR. Daneben kann sich derjenige, der rechtswidrig Daten erhebt und/oder verarbeitet, gegenüber dem Betroffenen Schadensersatzpflichtig gem. § 823 BGB machen.