Christian Kuß gibt Hil­fe­stel­lung zur DSGVO: Zeit für ei­ne neu­tra­le Be­trach­tung

Die DSGVO hat in den letz­ten Mo­na­ten die Ge­sell­schaft in ih­rem Bann ge­hal­ten: Wäh­rend sich die Da­ten­schüt­zer und End­kun­den über ei­ne eu­ro­päi­sche Ver­ord­nung freu­en, ver­fie­len Un­ter­neh­mer und Mar­ke­ting­ab­tei­lun­gen in tie­fe De­pres­sio­nen und un­end­li­che Pa­nik.

Production Partner - - Inhalt - In­ter­view: Mar­cel Courth | Fo­to: Lu­ther

Wie sind „per­so­nen­be­zo­ge­ne Da­ten“im Sin­ne der DSGOV ei­gent­lich zu de­fi­nie­ren?

Grund­sätz­lich kann man dies sehr weit fas­sen – fast al­le In­for­ma­ti­on kön­nen per­so­nen­be­zo­ge­ne Da­ten sein. Nach der ge­setz­li­chen De­fi­ni­ti­on las­sen sich zwei Ebe­nen un­ter­schei­den. Zum ei­nen sind dies die Da­ten, die sich so­fort mit ei­ner na­tür­li­chen Per­son in Zu­sam­men­hang brin­gen las­sen, wie z. B. der Na­me, das Ge­schlecht, etc. Auf der an­de­ren Sei­te gibt es Da­ten, die erst ein­mal nicht als per­so­nen­be­zo­gen er­schei­nen – der Klas­si­ker ist die Ip-adres­se. Die­se ist im Grun­de nur ei­ne rei­ne Zah­len­fol­ge, an­hand de­rer man nicht di­rekt ei­ne Per­son iden­ti­fi­zie­ren kann. Wo­mög­lich könn­te man aber ei­nen Aus­kunfts­an­spruch ge­gen­über dem Te­le­kom­mu­ni­ka­ti­ons­dienst­leis­ter be­sit­zen, der die Ip-adres­se ver­ge­ben hat. Zieht man die­sen An­spruch mit in die Be­trach­tung, so ist die Ip-adres­se auch ein per­so­nen­be­zo­ge­nes Da­tum.

Gibt es da noch­mal Ab­stu­fun­gen in der Be­trach­tung der Sen­si­bi­li­tät von per­so­nen­be­zo­ge­nen Da­ten?

In der Tat macht das Ge­setz Ab­stu­fun­gen. Es gibt die – ich nenn es mal Stan­dard­da­ten, wie Na­me, Schuh­grö­ße, Wohn­an­schrift, etc. und dann gibt es Stu­fen nach oben, die so­ge­nann­ten be­son­de­ren Ka­te­go­ri­en per­so­nen­be­zo­ge­ner Da­ten – um­gangs­sprach­lich auch die sen­si­ti­ven Da­ten. Dies sind Da­ten, die sich z. B. auf die Ge­sund­heit be­zie­hen, die Ras­se, eth­ni­sche Her­kunft, se­xu­el­le Ori­en­tie­rung oder auch Zu­ge­hö­rig­keit zu ei­ner Ge­werk­schaft. Das be­trifft die Da­ten, bei de­nen man – un­ab­hän­gig vom kon­kre­ten Aus­sa­ge­ge­halt – be­fürch­ten muss, dass sie ei­nen di­rek­ten ne­ga­ti­ven Ein­fluss auf die Beur­tei­lung ei­ner Per­son ha­ben kön­nen.

Wie sieht es beim The­ma Ein­wil­li­gung aus: kann die­se auch per Still­schwei­gen ge­ge­ben wer­den?

In die­sem Be­reich hat die EU bei der DSGVO stark Hand an­ge­legt. Im bis­he­ri­gen Da­ten­schutz­recht wur­de es oft­mals in der Pra­xis ge­nau­so ge­hand­habt. Es wur­de z. B. ein Zet­tel am Ein­gang auf­ge­hängt auf dem stand, dass ge­filmt und fo­to­gra­fiert wird und wenn man dies nicht möch­te, man halt nicht an der Ver­an­stal­tung teil­neh­men kann. Oder im In­ter­net wer­den die „Häk­chen“be­reits ge­setzt, und wenn man nicht ein-

wil­li­gen möch­te, muss man die­se ent­fer­nen. Das ist je­doch ver­ständ­li­cher Wei­se pro­ble­ma­tisch. Die DSGVO hat nun ein­deu­tig fest­ge­legt, dass im­mer ei­ne ein­deu­tig be­stä­ti­gen­de Hand­lung zu Grun­de lie­gen muss – al­so ei­ne pro­ak­ti­ve Hand­lung. Die bis­her oft­mals prak­ti­zier­te Ne­ga­tiv­op­ti­on, wie Ver­trags­be­stand­tei­le zu strei­chen, wenn ich es nicht will oder Opt-in-ha­ken weg­kli­cken zu müs­sen, ist nicht mehr er­laubt. Das Bei­spiel mit dem Zet­tel an der Tür – man könn­te das Durch­tre­ten ja als pro­ak­ti­ve Hand­lung de­fi­nie­ren – ist kei­ne wirk­lich sau­be­re Ei­ni­gung. Denn zum ei­nem kann die Ein­wil­li­gung ja je­der­zeit wi­der­ru­fen wer­den und zum an­de­ren gibt es das so­ge­nann­te Kopp­lungs­ver­bot. Die­ses be­sagt, dass man ei­ne Ein­wil­li­gung zur Da­ten­nut­zung nicht mit ei­nem Ver­trags­ab­schluss kom­bi­nie­ren darf.

Bei Fir­men-ver­an­stal­tun­gen emp­feh­le ich, dass man ei­ne An­mel­de­mög­lich­keit on­line an­bie­tet und dort di­rekt die Ein­wil­li­gung ver­sucht ein­zu­ho­len. Da kann ich mei­ne Da­ten­schutz­er­klä­rung di­rekt an­do­cken – so­mit ist der Pro­zess nach DSGVO sau­ber in der Ab­wick­lung.

Kom­men wir zu dem gan­zen Be­reich Bil­der und Vi­de­os auf Events und Ver­an­stal­tun­gen. Ein Bild mit Schuss ins Pu­bli­kum wird si­cher­lich schwie­rig sein, rich­tig?

Ja, das ist si­cher­lich ein sen­si­bles The­ma. Nach DSGVO wird man wo­mög­lich auf sol­che Bil­der ver­zich­ten – zum ei­nem, weil es prin­zi­pi­ell schwie­rig ist das Ein­ver­ständ­nis von al­len ein­zu­ho­len und zum an­de­ren, weil ein Wi­der­ruf je­der­zeit mög­lich ist und es dann na­tür­lich schwie­rig wird si­cher­zu­stel­len, al­le Bil­der mit die­ser Per­son zu fin­den. Aber in Deutsch­land gibt es noch ein wei­te­res gel­ten­des Recht – das Kun­stur­he­ber­ge­setz. Dort ist zum Bei­spiel ge­re­gelt, dass man ei­ne Ver­an­stal­tung fo­to­gra­fie­ren darf, auch wenn dann dort Men­schen zu se­hen sind. Das be­deu­tet, nicht die Per­son(en), son­dern die Ver­an­stal­tung als sol­ches steht im Mit­tel­punkt des Bil­des.

Wenn es jetzt ei­ne eu­ro­päi­sche und ei­ne deut­sche Rechts­aus­le­gung gibt, wür­de sich aber dann doch die eu­ro­päi­sche durch­set­zen?

Das ist rich­tig, aber in der DSGVO gibt es vie­le un­be­stimm­te Rechts­be­grif­fe, wie z. B. das „öf­fent­li­che In­ter­es­se“oder die „In­ter­es­sen­ab­wä­gung". Bei die­sen Be­grif­fen wür­den wir Ju­ris­ten dann schau­en, wo wur­den sol­che In­ter­es­sens­ab­wä­gun­gen schon ge­macht. Als Tipp kann man sa­gen, wenn sol­che un­be­stimm­ten Be­grif­fe auf­tau­chen, dann soll­te man sich dar­an ori­en­tie­ren, wie es bis­her ge­hand­habt wur­de und ob es län­der­spe­zi­fisch

gel­ten­de Ge­set­ze da­für gibt. Das Kun­stur­he­ber­ge­setzt ist beim The­ma „Bil­der“ei­ne gu­te Re­fe­renz und auch die Be­hör­den emp­feh­len das als Leit­bild zu neh­men.

Bis die­se Be­grif­fe eu­ro­pa­recht­lich klar de­fi­niert sind, wird es si­cher­lich noch Jah­re dau­ern. Hier müs­sen erst­mal kon­kre­te An­wen­dungs­fäl­le vor Ge­richt lan­den, an­hand de­rer dann die un­be­stimm­ten Rechts­be­grif­fe ge­prägt wer­den kön­nen. Bis da­hin wür­de ich mich am Kun­stur­he­ber­ge­setz ori­en­tie­ren.

Gleich­zei­tig gibt es noch das neu ver­öf­fent­lich­te BDSG (Bun­des­da­ten­schutz­ge­setz)

Das tritt mit der DSGVO in Kraft und ad­ap­tiert die Re­ge­lun­gen für Deutsch­land. In­ter­es­san­ter­wei­se ist dort nicht die Si­tua­ti­on der Presse ge­re­gelt, da es ein Bun­des­ge­setz gibt und die Re­ge­lung der Presse Län­der­sa­che ist. Des­halb gibt es für die Presse ak­tu­ell noch kei­ne kla­re Re­ge­lung – au­ßer­halb vom Rund­funk, die schon ei­ne be­sit­zen.

Ein we­sent­li­cher Punkt der DSGVO ist auch das Recht je­der Per­son die Lö­schung sei­ner/ih­rer Da­ten zu ver­lan-

gen. Jetzt wer­den im On­line-zeit­al­ter Bil­der und Vi­de­os ger­ne gesha­red oder auch mal run­ter- und neu hoch­ge­la­den – auch wenn das na­tür­lich nicht rech­tens ist. Wie weit muss denn das ei­ge­ne En­ga­ge­ment ge­hen, um Sor­ge zu tra­gen, dass Da­ten, wie Bil­der ge­löscht wer­den?

Al­so wenn ich ein Bild recht­mä­ßig ver­wen­det ha­be und es dann un­recht­mä­ßig ver­brei­tet wur­de, z. B. weil es oh­ne mei­ne Zu­stim­mung von der Web­sei­te ko­piert wur­de, dann ha­be ich kei­ne Hand­ha­be dar­über und bin auch nicht in der Pflicht ei­ne Lö­schung die­ser Ver­brei­tung zu ga­ran­tie­ren. Ha­be ich das Bild je­doch be­wusst zur Ver­wen­dung wei­ter­ge­ge­ben an Ge­schäfts­part­ner oder im Rah­men ei­ner Press­mit­tei­lung, dann bin ich na­tür­lich in der Pflicht die­se Part­ner zu in­for­mie­ren, dass das Bild ge­löscht wer­den soll. Die Ver­ant­wor­tung geht in die­sem Mo­ment dann aber an den In­for­mier­ten.

Im B2b-be­reich spricht man oft vom be­rech­tig­ten In­ter­es­se, wel­ches auch in der DSGVO ab­ge­bil­det wird. Wie kann man das nun ver­ste­hen?

Be­rech­tig­tes In­ter­es­se ist ein un­be­stimm­ter Rechts­be­griff, der sich in der Be­wer­tung sehr weit fas­sen lässt. Die Vor­schrift dient als ei­ne Art Auf­fang­re­ge­lung und soll Fäl­le da­ten­schutz­recht­lich lö­sen, die vom Ge­setz­ge­ber nicht spe­zi­ell fest­ge­legt wur­den – in der Pra­xis ist es da­mit ei­ne der re­le­van­tes­ten Re­ge­lun­gen der DSGVO. Als Un­ter­neh­men muss ich aber nicht nur mein In­ter­es­se im Au­ge ha­ben, son­dern mir auch Ge­dan­ken über das mög­li­che be­rech­tig­te In­ter­es­se des Ge­gen­übers ma­chen, von dem ich die Da­ten er­he­be und ver­ar­bei­te. Die­se In­ter­es­sen müs­sen in Ein­klang ge­bracht wer­den und dann ist die Da­ten­ver­ar­bei­tung ent­we­der er­laubt oder ver­bo­ten. Die DSGVO hat dar­über hin­aus fest­ge­legt, dass Di­rekt­wer­bung ein be­rech­tig­tes In­ter­es­se ist. Die­se Klar­stel­lung ist gut, heißt aber nicht, dass jetzt al­le Tü­ren und To­re für Di­rekt­wer­bung of­fen­ste­hen. Denn ne­ben dem Da­ten­schutz­recht muss die Di­rekt­wer­bung auch den Vor­ga­ben des Wett­be­werbs­rechts ge­nü­gen (§7 UWG Un­zu­mut­ba­re Be­läs­ti­gung), die in die­sen Be­reich so­gar stren­ger sein kön­nen, als das Da­ten­schutz­recht. Dort ist für den deut­schen Be­reich ge­re­gelt, wann und wie ich Wer­bung ver­sen­den darf. Für die Di­rekt­wer­bung per Email be­deu­tet dies z. B., dass ich kei­ne Ein­wil­li­gung brau­che, wenn ich ei­ne Mail­adres­se aus ei­nem vor­he­ri­gen Ge­schäfts­ab­schluss be­sit­ze, ich bei der Er­he­bung der Email-adres­se dar­auf hin­ge­wie­sen ha­be, dass ich die­se für Wer­bung nut­zen möch­te, der Emp­fän­ger wi­der­spre­chen kann und die Wer­bung für ähn­li­che Wa­ren und Di­enst­leis­tun­gen er­folgt. Dann darf man ei­nen Kon­takt be­wer­ben, oh­ne dass er da­für ein­ge­wil­ligt hat. So­wohl die DSGVO als auch das UWG ist für den Un­ter­neh­mer aber bin­dend.

Die DSGVO for­dert ei­nen Da­ten­schutz­be­auf­trag­ten. Muss jetzt je­des Un­ter­neh­men ei­nen be­stel­len oder gibt es Aus­nah­men für klei­ne­re Un­ter­neh­men?

Für Un­ter­neh­men un­ter zehn Mit­ar­bei­tern gibt ei­ne sol­che Aus­nah­men. Hier muss nur in Aus­nah­me­fäl­len ein Da­ten­schutz­be­auf­trag­ter be­stellt wer­den. Das heißt aber na­tür­lich nicht, dass sich die­se Un­ter­neh­men nicht an Da­ten­schutz­ge­set­ze hal­ten müs­sen. Die­se Pflich­ten ge­hen dann auf die Ge­schäfts­füh­rung über, die ist dann ver­ant­wort­lich für die Ein­hal­tung die­ser.

Newspapers in German

Newspapers from Germany

© PressReader. All rights reserved.