Das Internet ist trotz guter Datenschutzgesetze ein rechtsfreier Raum. Schuld daran sind unsere behäbigen Aufsichtsbehörden. Ein aktuelles BGH-Urteil gibt nun klare Vorgaben zum Schutz der Bürger. Doch die Hamburger Behörde macht konsequent weiter wie bisher: nichts. Bleibt Datenschutz zwecklos?
Daten sind das neue Öl, das im Internet insbesondere von den amerikanischen Daten-Giganten gefördert wird. Die Folge für uns Nutzer: Wir sind gläsern und werden durch die Wirtschaft beliebig manipuliert. Sogar Politiker und inbesondere amerikanische Behörden greifen ungeniert nach unseren intimsten Geheimnissen. George Orwell, Cambridge Analytica und Edward Snowden lassen schön grüßen.
Informationelle Selbstbestimmung im Internet nicht existent
Unser lang erkämpftes Recht auf informationelle Selbstbestimmung, also als Betroffener selbst zu entscheiden, wer welche Daten erhält, wird ad absurdum getrieben. Schuld daran ist nicht etwa die deutsche Politik oder die EU-Gesetzgebung, sondern die mangelnde Durchsetzung der Gesetze durch die lokalen Datenschutz-Aufsichtsbehörden. Die Hamburger Aufsichtsbehörde allen voran, sie fördert durch ihr Handeln sogar die Datenschutz-Anarchie im Internet.
So gab es vor der Datenschutzgrundverordnung (DSGVO) bereits das Telemediengesetz (TMG), das die Erstellung von Profilen über Telemedien wie dem Internet regelt. Das TMG sieht in §15.3 eine grundsätzliche Erlaubnis zur Profilbildung für Marketing- und Marktforschungszwecke vor. Jedoch bekamen Nutzer das Recht, der Datenspeicherung jederzeit mit Wirkung für die Zukunft zu widersprechen.
Ein gut gemeintes Bürgerrecht. Nur die Durchsetzung dieses Rechts hat nie funktioniert – bis heute nicht. Denn die Aufsichtsbehörden sehen bei Internet-Verstößen und Daten-Giganten offenbar lieber weg. Schlimmer noch: Die Hamburger Aufsichtsbehörde legitimierte Googles Tracking und Profilbildungstool Google Analytics bereits 2011 als „datenschutzrechtlich unbedenklich“.
Aufsichtsbehörde legitimiert illegales Tracking
Dabei hatte die Aufsichtsbehörde seinerzeit „übersehen“, dass die Möglichkeit des gesetzlich geforderten Widerspruchs technisch auf mobilen Apple Geräten gar nicht möglich war. Selbst heute, rund zehn Jahre später ist unser Recht auf Widerspruch auf 99% der Websites mit Apple Geräten und anderen „Exoten“ immer noch nicht umsetzbar, obwohl das Gesetz für jeden Bürger und technikneutral gilt.
Das Recht auf informationelle Selbstbestimmung wird durch die Behörde selbst torpediert, die dieses Recht eigentlich durchsetzen sollte. Sie macht sich zum Erfüllungsgehilfen der Daten-Konzerne. Eine politisch gewollte Agenda möchte man glauben, denn die Sache hat Kontinuität.
Die Folge der fatalen Fehlfreigabe mit Hamburgs Segen ist die heutige Verbreitung der umfassenden Profilbildung eines jeden Bürgers. Denn Googles „kostenloses“ Analytics dominiert den deutschen Tracking-Markt mit über 80% Marktanteil. Wohlgemerkt mit einem Tool, das nachweislich nie den gesetzlichen Anforderungen genügt hat und bis heute nicht genügt. Von der illegalen Datenübermittlung in die USA durch das Kippen des US Privacy Shields nach dem aktuellen „Schrems 2“-Urteil ganz zu Schweigen.
Orientierungshilfen werden folgenlos ignoriert
Geradezu grotesk wirken die „Orientierungshilfen für Telemedienanbieter“, die im Jahresrhythmus seit Bestehen der DSGVO von den Aufsichtsbehörden der Länder herausgegeben werden. Sie klingen wie ein Wunschkonzert der Aufsichtsbehörden zur Einwilligung in Profilbildung, das nur bisher von praktisch keinem Unternehmen gespielt wird. Denn jeder Unternehmer weiß: Er muss seine Datenschutz-Pflichten erst dann erfüllen, wenn die Aufsichtsbehörde tatsächlich vor der Tür steht. Und selbst dann wird es nicht teurer, als wenn er gleich seiner Pflicht nachgekommen wäre. Sogar nach einer Beschwerde sind Bußgelder und Sanktionen schließlich signifikant seltener als das Risiko vom Blitz getroffen zu werden.
Welcher Unternehmer ist so dumm und investiert proaktiv Zeit, Ressourcen und Geld, wenn man das Problem völlig risikolos in die Zukunft verschieben kann? Klar, dass die Anarchie bei der Internet-Profilbildung dank dieser „Behördenarbeit“ seit Inkrafttreten der DSGVO nicht etwa ab-, sondern deutlich zugenommen hat.
Hunderttausende Beschwerden wirkungslos
Doch als 2019 eine Beschwerdewelle über hunderttausende illegale Google Analytics Anwender rollte, sahen sich die Aufsichtsbehörden erstmalig zum Handeln gezwungen. Schließlich konnte man ja nicht, wie in Hamburg üblich, mit zig-tausenden Anwendern in den gemütlichen Einzeldialog gehen, um das Problem in aller Ruhe – und vor allem ohne Bußgeld und Gerichtsverfahren – abzustellen.
Stattdessen formulierten die Aufsichtsbehörden der Länder sowie der Bundesdatenschutzbeauftragte Prof. Kelber im November 2019 eine Pressemitteilung, die Google Analytics explizit benennt und klarstellt, dass dessen Nutzung nur bei ausdrücklicher Einwilligung durch den betroffenen Surfer zulässig ist.
Endlich, sollte man meinen, gehen die Aufsichtsbehörden die seit Jahren geduldeten massiven Verstöße an. Doch seitdem ist wieder nichts geschehen. Die Anarchie im Internet geht munter weiter. Google Analytics Anwender scheren sich nicht um die vermeintlich bedrohlichen Pressemitteilungen, denn sie bleiben folgenlos. Und wo nichts verfolgt oder gar sanktioniert wird, ändert sich natürlich auch nichts.
Trotz BGH-Urteil: Weiter Untätigkeit bei den Behörden
Dank des am 28.05.2020 gesprochenen Urteils des Bundesgerichtshofs (BGH) herrscht nunmehr abschließende rechtliche Klarheit bei der ungebremsten Profilbildung. So entschied der BGH im viel zitierten Planet49 Verfahren, dass der TMG §15.3 nunmehr konform zur Richtlinie 2002/58/EG auszulegen ist. Diese verlangt „für die Speicherung von Informationen oder den Zugriff auf Informationen, die im Endgerät eines Teilnehmers oder Nutzers gespeichert sind“ eine umfassende Information über die Verarbeitungszwecke sowie eine Entscheidungsmöglichkeit durch den Nutzer. Das Setzen von Cookies oder die Verwendung ähnlicher Techniken zur Website-übergreifenden Profilbildung sollte damit endgültig ein Ende gefunden haben, sofern der Nutzer dies nicht explizit gestattet.
Für professionelle Datenschützer war dieses Urteil kaum überraschend, denn in selber Sache hatte bereits im Oktober 2019 der Europäische Gerichtshof (EuGH) gleichlautend geurteilt und den Fall an den BGH zur nationalen Rechtsprechung zurück verwiesen. Es hätte Seltenheitswert, wenn der BGH eine vom EuGH vorgelegte Entscheidung gegenteilig auslegt.
Mit diesem bereits erwarteten Titel, so sollte man meinen, setzen die Aufsichtsbehörden nunmehr endlich ein Signal für die Wirtschaft, indem sie mindestens die dreistesten Verstöße verfolgt und sanktioniert. Doch weit gefehlt. Stattdessen üben sich die Behörden in gewohnter Behäbigkeit und föderalen Abstimmungen. Abstimmungen, die dank Corona unmittelbar nach dem Urteil per Video-Konferenz bereits hätten erfolgen können. Schließlich stand der Termin für die Verkündung lange fest.
Aber warum auch die Eile, die mannigfaltigen Verstöße abzustellen? Es sind ja täglich nur Millionen Internet-Bürger betroffen, denen ihr Recht auf informationelle Selbstbestimmung verweigert wird. Für die Datenschutz-Aufsicht überhaupt kein Problem.
Richtungsweisend im Datenschutz? Nicht die Aufsichtsbehörden
Strittig unter Juristen bleibt die Frage, ob eine Website-Analyse alleine zum Zwecke der Website-Optimierung auch ohne Einwilligung eingesetzt werden kann, wenn diese gar keine Cookies verwendet, keine anderen Zwecke verfolgt und auch gar keine Profile bildet. Denn wird weder eine „Speicherung von Informationen“ noch ein „Zugriff auf Informationen“ im Endgerät des Nutzers durch das Tracking-System vorgenommen, so ist fraglich, wie die Richtlinie 2002/58/EG und damit das BGH-Urteil überhaupt Anwendung finden kann.
Diese für den datenschutzrechtlich korrekten Betrieb einer Website elementare Frage haben wir im Kreise der Hamburger Datenschutzgesellschaft strittig diskutiert. Schließlich müssen alle Unternehmen die Richtung kennen, die sie jetzt einschlagen sollen.
Doch wer könnte diese Frage besser beantworten als der verantwortliche Hamburger Behördenleiter Prof. Caspar? Auf meine Anfrage ließ er über eine Kollegin verlautbaren:
Eine Antwort, die mich tief schockiert. Datenschutz bleibt bei den Datenschutz-Kollegen wohl weiter zwecklos, dachte ich als ich mich verärgert an die Verantwortlichen gewendet habe:
Liebe Frau [anonymisiert],
sehr geehrter Prof. Caspar,
vielen Dank für Ihr Feedback.Ich denke jeder hat sicher vollstes Verständnis, dass die Aufsichtsbehörden von dem Urteil plötzlich überrascht wurden. Nach dem EuGH-Urteil aus 2019 war wirklich nicht damit zu rechnen. Mangelnde Behörden-Weitsicht kann hier sicher niemand unterstellen.
Natürlich ist es auch überhaupt kein Problem, dass der Wilde Westen und die Datenschutz-Anarchie im Internet dank der Uneinigkeit und mangelhaften Durchsetzung der Behörden einfach weitergeht. Es wäre ja ein auch Wunder, wenn sich nach 25 Jahren des rechtsfreien Raums durch ein lapidares BGH-Urteil etwas an Ihrer Arbeitshaltung ändert.
Ich finde es jedenfalls großartig, wie sehr sich Ihre Behörde für die Belange der Bürger und die Umsetzung unserer Rechtsnormen und Urteile im Datenschutz einsetzt. Sie sollten stolz darauf sein, welchen Bärendienst Sie dem Datenschutz und den Bürgern leisten.
Einfach so weitermachen, Sie sind spitze!
Mit besten Grüßen
Christian Bennefeld
Weiter so mit der Datenschutz-Anarchie?
Wer glaubt, die Anarchie im Netz hat durch das BGH-Urteil nunmehr ein Ende, der irrt gewaltig. Bis die Behörden sich abgestimmt haben und irgendwann wirklich mal tätig werden, ist Prof. Caspar als Leiter der für mich zuständigen Behörde wohl nicht mehr im Amt.
Schade, denn es wäre für ihn sicher eine große Errungenschaft, wenn er den Bürgern nicht immer nur einen Bärendienst erweist, sondern das selbst verursachte bunte Internet-Treiben nunmehr endlich abstellt. Vielleicht zeigt er doch noch, dass Datenschutz nicht zwecklos ist, bevor er geht?
Ich gebe die Hoffnung jedenfalls nicht auf und bleibe weiter im „angeregten Dialog“ mit der Behörde – egal wer sie leitet.
Weitere Artikel zum Versagen der Aufsichtsbehörden
One Comment
Bastian
Erschreckend !