Recherche zum Amtsverständnis der Datenschützer von Bund und Ländern

Vorbemerkung:
In meiner The European-Kolumne habe ich mich mit den Kontrollobsessionen der Datenschützer auseinander gesetzt, die sich im so genannten Düsseldorfer Kreis hinter verschlossenen Türen permanent auf die Suche nach neuen Tätigkeitsfeldern begeben, um eine Rechtfertigung für die Existenz ihrer Apparate zu finden. Diese illustre Runde der obersten Aufsichtsbehörden aus Bund und Ländern, die in Deutschland die Einhaltung des Datenschutzes überwachen, interpretiert gesetzliche Regelungen.

Landläufig wird das als „antizipierte Verwaltungspraxis“, bezeichnet. Ich sehe das eher als Beleg für die Aufweichung der Gewaltenteilung. Die Parteien fungieren zunehmend als Staatsträger und bauen ihren Einfluss auf die Verwaltungen aus. Die Ministerialbürokratie übernimmt im Gegenzug immer mehr Funktionen der Gesetzgebung. Ja richtig gehört, es gibt auch eine Gesetzgebung, eine Legislative, die die Grundlage für Verwaltungshandeln schafft. Wohin die Staatsbürokraten-Herrlichkeit hinführt, kann man an den selbstherrlichen Auftritten des Hamburger Datenschützers Johannes Caspar erkennen. Nur weil zufällig die deutsche Firmenzentrale von Google in Hamburg liegt, inszeniert er sich als Hüter von Hausfassaden und Gartenzäunen im Kampf gegen Street View oder als Bewahrer der Privatsphäre in seiner Kampagne gegen Tracking-Software. Wenn Parlamente die Exekutive unzureichend kontrollieren, sollten das die Bürger in die Hand nehmen. Auch der Düsseldorfer Kreis hat ein Watchblog verdient.

Wie nötig das ist, belegt ein Bericht von Spiegel Online: „Keine Google-Anzeigen, weg mit dem Zählpixel: Niedersachsens Datenschützer rüttelt an den Grundfesten der Online-Wirtschaft – und will die Weitergabe von IP-Adressen erschweren. Sollte er sich durchsetzen, wäre es mit Internetwerbung erst mal vorbei.“

Für die Kampagne gegen Google, Facebook, Blogger oder Forenbetreiber werden in schöner Regelmäßigkeit von den Datenschützern die Beschlüsse des Düsseldorfer Kreises vom vom 26./27. November 2009 herangezogen. Hier die Beschlusslage:
Viele Web-Seitenbetreiber analysieren zu Zwecken der Werbung und Marktforschung oder bedarfsgerechten Gestaltung ihres Angebotes das Surf-Verhalten der Nutzerinnen und Nutzer. Zur Erstellung derartiger Nutzungsprofile verwenden sie vielfach Software bzw. Dienste, die von Dritten kostenlos oder gegen Entgelt angeboten werden. Die obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich weisen darauf hin, dass bei Erstellung von Nutzungsprofilen durch Web-Seitenbetreiber die Bestimmungen des Telemediengesetzes (TMG) zu beachten sind. Demnach dürfen Nutzungsprofile nur bei Verwendung von Pseudonymen erstellt werden. Die IP-Adresse ist kein Pseudonym im Sinne des Telemediengesetzes.
Im Einzelnen sind folgende Vorgaben aus dem TMG zu beachten:
• Den Betroffenen ist eine Möglichkeit zum Widerspruch gegen die Erstellung von Nutzungsprofilen einzuräumen. Derartige Widersprüche sind wirksam umzusetzen.
• Die pseudonymisierten Nutzungsdaten dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden. Sie müssen gelöscht werden, wenn ihre Speicherung für die Erstellung der Nutzungsanalyse nicht mehr erforderlich ist oder der Nutzer dies verlangt.
• Auf die Erstellung von pseudonymen Nutzungsprofilen und die Möglichkeit zum Widerspruch müssen die Anbieter in deutlicher Form im Rahmen der Datenschutzerklärung auf ihrer Internetseite hinweisen.
• Personenbezogene Daten eines Nutzers dürfen ohne Einwilligung nur erhoben und verwendet werden, soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen. Jede darüber hinausgehende Nutzung bedarf der Einwilligung der Betroffenen.
• Die Analyse des Nutzungsverhaltens unter Verwendung vollständiger IP-Adressen (einschließlich einer Geolokalisierung) ist aufgrund der
Personenbeziehbarkeit dieser Daten daher nur mit bewusster, eindeutiger Einwilligung zulässig. Liegt eine solche Einwilligung nicht vor, ist die IP-Adresse vor jeglicher Auswertung so zu kürzen, dass eine Personenbeziehbarkeit ausgeschlossen ist. Werden pseudonyme Nutzungsprofile durch einen Auftragnehmer erstellt, sind darüber hinaus die Vorgaben des Bundesdatenschutzgesetzes zur Auftragsdatenverarbeitung durch
die Anbieter einzuhalten. Stralsund, 26. November 2009.
Hier nun die Fragen für meine Story, die ich am Dienstag schreiben möchte für den Fachdienst MarketingIT der absatzwirtschaft (soll dann Mittwoch erscheinen).
1. Wie beurteilt Ihr das Vorgehen der Datenschützer aus Bund und Ländern?
2. Welche rechtlichen Möglichkeiten hat die digitale Wirtschaft, sich gegen die Restriktionen der Datenschützer zur Wehr zu setzen?
3. Wie müsste ein moderner Datenschutz aussehen, um die digitale Wirtschaft zur Entfaltung zu bringen?
4. Der Düsseldorfer Kreis behauptet, die IP-Adresse ist kein Pseudonym im Sinne des Telemediengesetzes. Wie seht Ihr das?
5. Wären nicht in erster Linie Legislative und Judikative gefordert, eindeutige Regelungen für die digitale Wirtschaft zu treffen?
6. Ist die antizipierte Verwaltungspraxis des Düsseldorfer Kreises nicht eher ein Ausdruck von Amtsanmaßung – vielleicht sogar Amtsmißbrauch?

Expertenmeinungen hier als Kommentar posten oder mir eine E-Mail schicken: gunnareriksohn@googlemail.com