Heimliche Online-Überwachung nur in Ausnahmefällen

Abschluss der 84. Konferenz der Datenschutzbeauftragten des Bundes und der Länder: Bundesregierung soll sich auf, sich im Rat der Europäischen Union für eine wirksame Datenschutz-Grundverordnung für die Europäische Union einsetzen
Die Öffentlichkeitsfahndung in sozialen Netzwerken wirft datenschutzrechtliche Fragen auf

(22.11.12) - Zum Abschluss der 84. Konferenz der Datenschutzbeauftragten des Bundes und der Länder stellen die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Dagmar Hartge, die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Dr. Imke Sommer (Konferenzvorsitz 2013), und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Peter Schaar, gemeinsam die Ergebnisse der Konferenz vor:

Die Datenschutzbeauftragten fordern die Bundesregierung auf, sich im Rat der Europäischen Union für eine wirksame Datenschutz-Grundverordnung für die Europäische Union einzusetzen. Sie wenden sich nachdrücklich gegen Bestrebungen, für die Wirtschaft weitreichende Ausnahmen von den Datenschutzpflichten zu schaffen. Die Auffassung des Bundesinnenministers, das Datenschutzrecht solle nur noch eine sogenannte "risikobehaftete" Datenverarbeitung regeln, lehnen die Datenschutzbeauftragten ab. Das Bundesverfassungsgericht hat längst klargestellt, dass es keine "belanglosen" Daten gibt. Jede Verarbeitung scheinbar "belangloser" Daten kann schwerwiegende Folgen für den Einzelnen haben. Es ist daher die Aufgabe des Staates, die Daten der Verbraucherinnen und Verbraucher per Gesetz zu schützen. Der Beschäftigtendatenschutz ist ein Beispiel für die Notwendigkeit europaweit hoher Mindestanforderungen. Die entsprechenden Regelungen sind in Deutschland völlig unzureichend. Die von der Europäischen Kommission vorgelegten Vorschläge sollten um verbindliche Vorgaben zum Beschäftigtendatenschutz ergänzt werden.

Die Konferenz fordert die Bundesregierung und die Landesregierungen auf, sich vor einer Erweiterung des Datenaustauschs zwischen Polizei- und Verfassungsschutzbehörden Klarheit über die Ursachen für die Fehlentwicklungen der Vergangenheit zu verschaffen. Neue Befugnisse zum Informationsaustausch können bestehende Vollzugsdefizite nicht beseitigen. Sollte im Ergebnis einer gründlichen Untersuchung eine Reform erforderlich werden, müssen die Grundrechte der Bürgerinnen und Bürger, das Gebot der Trennung von Polizei und Verfassungsschutz sowie eine effektive datenschutzrechtliche Kontrolle der Nachrichtendienste gewährleistet sein. Hintergrund ist die Bestrebung der Innenressorts von Bund und Ländern, Polizeibehörden und Nachrichtendienste stärker zu vernetzen und ihnen den Austausch von Informationen zu erleichtern.

Die Öffentlichkeitsfahndung in sozialen Netzwerken wirft datenschutzrechtliche Fragen auf. Die Datenschutzbeauftragten fordern, Fahndungsdaten nur auf den Websites der Polizei zu veröffentlichen. Sofern die Öffentlichkeit sozialer Netzwerke zu Fahndungszwecken genutzt werden soll, dürfen die Fahndungsdaten nicht Bestandteile des Angebots der sozialen Netzwerke werden.

Die Datenschützer fordern den Gesetzgeber auf, endlich ausreichende Rechtsgrundlagen für die Quellen-Telekommunikationsüberwachung zu schaffen. Den vom Bundesverfassungsgericht aufgezeigten Anforderungen zum Schutz des Kernbereichs der privaten Lebensgestaltung ist dabei Rechnung zu tragen. Eine heimliche Online-Überwachung darf nur in eng begrenzten Ausnahmefällen zugelassen sein. Die derzeit erarbeiteten standardisierten Leistungsbeschreibungen für künftige Überwachungsmaßnahmen können eine gesetzliche Grundlage nicht ersetzen. Bei der Quellen-Telekommunikationsüberwachung wird eine Software auf den Computer eines Verdächtigen eingebracht, um dort dessen verschlüsselte Kommunikation zu überwachen. Prüfungen des sogenannten Staatstrojaners durch Datenschutzbeauftragte hatten zuletzt erhebliche technische Mängel aufgedeckt und gezeigt, dass die Software nicht den datenschutzrechtlichen Anforderungen entsprach.

Die Übermittlung von Meldedaten an öffentlich-rechtliche Religionsgemeinschaften sowie an die Gebühreneinzugszentrale (GEZ) in elektronischer Form darf nur erfolgen, wenn die Daten ausreichend verschlüsselt sind und die Identität von Absender und Empfänger zweifelsfrei feststeht. Die Konferenz fordert den Bundesminister des Innern auf, den Übermittlungsstandard "OSCI-Transport" für die Übermittlung von Meldedaten an öffentlich-rechtliche Religionsgemeinschaften sowie an die Gebühreneinzugszentrale (GEZ) verbindlich festzulegen. Der Übermittlungsstandard "OSCI-Transport" gewährleistet eine sichere Verschlüsselung und Übermittlung personenbezogener Daten. Die Datenschützer weisen jedoch darauf hin, dass entsprechende Verfahren regelmäßig überprüft und gemäß dem Stand der Technik weiterentwickelt werden müssen. Die Meldebehörden sind gesetzlich zur Übermittlung von Meldedaten an öffentlich-rechtliche Religionsgemeinschaften und die Gebühreneinzugszentrale verpflichtet.

Um einen datenschutzgerechten Einsatz von IPv6 (Internet Protocol Version 6), dem neuen Standard zur Datenübertragung und zur Vergabe von Adressen im Internet, zu gewährleisten, veröffentlicht die Konferenz eine Orientierungshilfe. Sie wendet sich damit vor allem an Provider und Gerätehersteller im Privatkundengeschäft. Die Datenschützer geben unter anderem Hinweise zur Vergabe von Internetadressen. So soll ein zielgerichtetes Verfolgen des Nutzerverhaltens im Netz vermieden werden. Die Orientierungshilfe führt zudem Voraussetzungen auf, die Anbieter erfüllen müssen, um den Nutzerinnen und Nutzern eine sichere und vertrauenswürdige Kommunikation im Internet zu ermöglichen. Demnächst werden viele Provider den neuen Internet-Standard einführen; Privatkunden werden als erste davon betroffen sein. Erforderlich ist dieses neue Internetprotokoll aufgrund der in der Vorgängerversion knappen Anzahl freier Internetadressen.

Um ihre Haushalte und Budgets zu entlasten, nutzen Behörden und Unternehmen für ihre Datenverarbeitung zunehmend gemeinsame Infrastrukturen. Die Konferenz erläutert in einer Orientierungshilfe die Anforderungen des Datenschutzes an eine solche Form der Datenverarbeitung. Auch wenn mehrere Daten verarbeitende Stellen dieselben Rechen- und Speichersysteme oder Datenbanken verwenden (z. B. in gemeinsamen Rechenzentren), dürfen personenbezogene Daten nur getrennt verarbeitet werden. Behörden und Unternehmen müssen ihre jeweiligen Verfahren so voneinander abschotten, dass personenbezogene Daten ausschließlich von den hierzu berechtigten Stellen ("Mandanten") verarbeitet werden können. Nur wenn die IT-Infrastruktur und die Verfahren eine solche Trennung ermöglichen, bleibt die erforderliche Bindung der personenbezogenen Daten an den Zweck ihrer Erhebung erhalten. Übermittlungs- und Zugriffsrechte müssen auf das erforderliche Maß beschränkt werden.

Auch international tätige Dienstleister, etwa Facebook und Google, müssen die Gesetze der Bundesrepublik Deutschland achten. Diese verpflichten Anbieter beispielsweise, die Nutzung sozialer Netzwerke im Internet anonym oder unter Verwendung eines Pseudonyms zu ermöglichen. Hier sieht die Datenschutzkonferenz Handlungsbedarf.

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder ist ein freiwilliger Zusammenschluss der Datenschutzbeauftragten. Sie tagen zweimal jährlich unter turnusmäßig wechselndem Vorsitz. Die Konferenz verabschiedet Entschließungen, in denen die Datenschützer Stellung zu aktuellen, datenschutzrelevanten Fragen aus Technik, Wirtschaft und Recht nehmen. (BfDI: ra)

Meldungen: Datenschutz und Compliance