Datenschutz und Suchmaschinen: Neue Impulse für einen Datenschutz im Internet [1 ed.] 9783428537570, 9783428137572

Citation preview

Beiträge zum Informationsrecht Band 29

Datenschutz und Suchmaschinen Neue Impulse für einen Datenschutz im Internet Von Robert Elixmann

Duncker & Humblot · Berlin

ROBERT ELIXMANN

Datenschutz und Suchmaschinen

Beiträge zum Informationsrecht Herausgegeben von Prof. Dr. Hansjürgen Garstka, Prof. Dr. Michael Kloepfer, Prof. Dr. Friedrich Schoch

Band 29

Datenschutz und Suchmaschinen Neue Impulse für einen Datenschutz im Internet

Von Robert Elixmann

Duncker & Humblot · Berlin

Die Rechtswissenschaftliche Fakultät der Albert-Ludwigs-Universität Freiburg hat diese Arbeit im Jahre 2011 als Dissertation angenommen.

Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

Alle Rechte vorbehalten

© 2012 Duncker & Humblot GmbH, Berlin

Fremddatenübernahme: Process Media Consult GmbH, Darmstadt Druck: Berliner Buchdruckerei Union GmbH, Berlin Printed in Germany ISSN 1619-3547 ISBN 978-3-428-13757-2 (Print) ISBN 978-3-428-53757-0 (E-Book) ISBN 978-3-428-83757-1 (Print & E-Book) Gedruckt auf alterungsbeständigem (säurefreiem) Papier entsprechend ISO 9706

Internet: http://www.duncker-humblot.de

Vorwort Diese Arbeit wurde von der Rechtswissenschaftlichen Fakultät der Albert-Ludwigs-Universität Freiburg im Sommersemester 2011 als Dissertation angenommen. Rechtsprechung und Literatur konnten bis April 2011 berücksichtigt werden. Herzlich danken möchte ich an dieser Stelle meinem Doktorvater, Herrn Professor Dr. Friedrich Schoch, für die Betreuung und zügige Begutachtung meiner Arbeit sowie für zwei schöne Jahre als Mitarbeiter an seinem Lehrstuhl. Die optimalen Bedingungen am Institut haben wesentlich zum Gelingen der Arbeit beigetragen. Herrn Professor Dr. Jens-Peter Schneider schulde ich Dank für die zügige Erstellung des Zweitgutachtens. Ich danke außerdem dem Verlag und den Herausgebern für die Aufnahme der Dissertation in die Schriftenreihe „Beiträge zum Informationsrecht“. Ganz besonders danke ich aber meinen Eltern für ihre motivierende Unterstützung bei der Meisterung dieses Dissertationsvorhabens, so wie sie mir auch sonst in allen Lebenslagen stets mit Rat und Tat zur Seite standen. Düsseldorf, im November 2011

Robert Elixmann

Inhaltsverzeichnis A. Einführung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23 I. Ausgangslage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23 II. Problem: Datenschutz . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25 1. Datenschutz des Suchobjekts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25 2. Datenschutz der Suchmaschinennutzer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26 III. Gang der Untersuchung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28 B. Grundlagen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 I. Internet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 1. Akteure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 a) Access-Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 b) Content-Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33 c) Host-Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33 d) Proxy-Cache-Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33 e) Nutzer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34 2. Netzwerkprotokolle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34 a) Internet Protokoll . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35 b) Transmission Control Protocol . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36 c) Anwendungsprotokolle – insbesondere World Wide Web . . . . . . . . . . . . . . . 37 aa) Hypertext Transfer Protocol . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37 bb) Uniform Resource Locator . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38 cc) Browser . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39 II. Suchmaschinen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39 1. Webkataloge . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40

8

Inhaltsverzeichnis 2. Social Bookmarkdienste . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 3. Algorithmusbasierte Suchmaschinen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41 a) Crawler . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41 b) Indexer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 c) Abfragemodul . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 4. Metasuchmaschinen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45 III. Datenumgang . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45 1. Datenverarbeitungsschritte bei der Erstellung der Suchergebnisse . . . . . . . . . . . 46 2. Einwahl beim Access-Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46 3. Notwendige Kommunikationsdaten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46 4. Cookies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47 5. Sign-In-Dienste . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48 6. Toolbars . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49 IV. Zwecke der Datenerhebungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49 1. Schadsoftware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49 2. Suchmaschinenspamming . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50 3. Werbekostenabrechnung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50 4. Suchalgorithmusverbesserung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51 5. Werbung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52 a) Werbung im Kontext der Websuche . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52 b) Behavioral Targeting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53 V. Data Mining . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57

C. Verfassungsrechtliches Spannungsfeld . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59 I. Grundrechtliche Schutzpflichten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59 1. Der Gesetzgeber als Adressat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61

Inhaltsverzeichnis

9

2. Die Rechtsprechung als Adressat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62 II. Konfliktfeld 1: Datenschutz des Suchobjekts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63 1. Allgemeines Persönlichkeitsrecht der Gesuchten . . . . . . . . . . . . . . . . . . . . . . . . 63 a) Schutzbereich . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64 aa) Sachlicher Schutzbereich . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64 (1) Recht auf Selbstbewahrung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65 (2) Recht auf Selbstdarstellung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66 (3) Recht auf informationelle Selbstbestimmung . . . . . . . . . . . . . . . . . . 67 (4) Drittwirkung des Rechts auf informationelle Selbstbestimmung . . . . 69 (5) Verhältnis des Rechts auf informationelle Selbstbestimmung zu den sonstigen Ausformungen des allgemeinen Persönlichkeitsrechts . . . 72 bb) Personaler Schutzbereich . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73 b) Intensität der Beeinträchtigung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75 c) Einwilligung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77 2. Grundrechte des Suchmaschinenbetreibers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79 a) Meinungsäußerungsschutz gem. Art. 5 Abs. 1 S. 1 Alt. 1 GG . . . . . . . . . . . . 79 b) Institutioneller Schutz gem. Art. 5 Abs. 1 S. 2 GG . . . . . . . . . . . . . . . . . . . . . 81 aa) Schwierigkeit der Einordnung von Internetdiensten . . . . . . . . . . . . . . . . 82 bb) Schutzbereichsabgrenzung der Presse- und Rundfunkfreiheit . . . . . . . . . 82 cc) Einheitliches Mediengrundrecht des Art. 5 Abs. 1 S. 2 GG . . . . . . . . . . . 88 dd) Schutz von Suchmaschinen durch die Rundfunkfreiheit . . . . . . . . . . . . . 88 (1) Originärer Grundrechtsschutz durch die Rundfunkfreiheit . . . . . . . . 89 (2) Annexschutz ähnlich dem Presse-Grosso . . . . . . . . . . . . . . . . . . . . . . 90 c) Berufsfreiheit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92 d) Allgemeine Handlungsfreiheit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 93 e) Eigentumsfreiheit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94 3. Informationsfreiheit der Suchmaschinennutzer . . . . . . . . . . . . . . . . . . . . . . . . . . 95 4. Ergebnis zu II. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 98

10

Inhaltsverzeichnis

III. Konfliktfeld 2: Datenschutz des Suchmaschinennutzers . . . . . . . . . . . . . . . . . . . . . . 98 1. Grundrechte des Suchmaschinennutzers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99 a) Allgemeines Persönlichkeitsrecht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99 aa) Recht auf informationelle Selbstbestimmung . . . . . . . . . . . . . . . . . . . . . 99 (1) Schutzbereich . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99 (2) Intensität der Beeinträchtigung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100 (3) Unzulässige Persönlichkeitsprofile . . . . . . . . . . . . . . . . . . . . . . . . . . . 100 bb) Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103 (1) Schutzbereich . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103 (2) Beeinträchtigung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 104 b) Fernmeldegeheimnis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106 c) Einwilligung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106 2. Berufsfreiheit des Suchmaschinenbetreibers . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107 3. Ergebnis zu III. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108 IV. Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108 D. Bundesdatenschutzgesetz und Telemediengesetz . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110 I. Konfliktfeld 1: Datenschutz des Suchobjekts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110 1. Anwendbarkeit des BDSG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110 a) Sachlicher Anwendungsbereich . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110 aa) Personenbezogene Daten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110 bb) Datenumgang . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111 (1) Erheben, § 3 Abs. 3 BDSG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111 (2) Speichern, § 3 Abs. 4 S. 2 Nr. 1 BDSG . . . . . . . . . . . . . . . . . . . . . . . 111 (3) Verändern, § 3 Abs. 4 S. 2 Nr. 2 BDSG . . . . . . . . . . . . . . . . . . . . . . . 111 (4) Übermitteln, § 3 Abs. 4 S. 2 Nr. 3 BDSG . . . . . . . . . . . . . . . . . . . . . . 112 (5) Nutzen, § 3 Abs. 5 BDSG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 114 (6) Ergebnis zu bb) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 114 cc) Kein Vorrang des TMG oder TKG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115 dd) Verantwortliche Stelle, § 3 Abs. 7 BDSG i. V. m. Art. 2 lit. d DSRL . . . 116

Inhaltsverzeichnis

11

b) Räumlicher Anwendungsbereich . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119 aa) Sitz in Deutschland . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119 bb) Sitz außerhalb Deutschlands innerhalb des Europäischen Wirtschaftsraums . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119 cc) Sitz außerhalb des EWR . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 120 (1) Niederlassung in Deutschland . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 120 (2) Rückgriff auf Mittel in Deutschland . . . . . . . . . . . . . . . . . . . . . . . . . . 122 c) Ergebnis zu 1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124 2. Zulässigkeit der Datenverarbeitung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124 a) Einwilligung, § 4 Abs. 1, 4 a BDSG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125 b) Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung, § 29 Abs. 1 S. 1 Nr. 2, Abs. 2 BDSG . . . . . . . . . . . . . . . . . . . . 126 c) Übermittlung ins Ausland, § 4 b Abs. 2 S. 1, 2 BDSG, und automatisierter Datenabruf, § 10 BDSG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129 d) Ergebnis zu 2. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130 3. Verantwortlichkeitsfreistellung nach den §§ 7 ff. TMG . . . . . . . . . . . . . . . . . . . 130 a) Dogmatische Einordnung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131 b) Umfang . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132 c) Anwendbarkeit auf datenschutzrechtliche Sachverhalte . . . . . . . . . . . . . . . . . 133 d) Suchmaschinen als Telemedien i. S. d. TMG . . . . . . . . . . . . . . . . . . . . . . . . . 135 e) Generelle Einwände gegen die Anwendbarkeit der §§ 7 ff. TMG auf Suchmaschinen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137 f) Verantwortlichkeitsfreistellung für Drittinhalte der Trefferlinks gem. § 8 Abs. 1 Alt. 2 TMG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 138 aa) Fremde Informationen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139 bb) Vermittlung des Zugangs zur Nutzung . . . . . . . . . . . . . . . . . . . . . . . . . . . 139 cc) Keine Veranlassung der Übermittlung (Nr. 1) und Auswahl des Adressaten (Nr. 2) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 140 dd) Keine Auswahl oder Veränderung der übermittelten Informationen (Nr. 3) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 140 ee) Ergebnis zu f) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141 g) Verantwortlichkeitsfreistellung für Inhalte der Ergebnisseite . . . . . . . . . . . . . 141 aa) Anwendbarkeit von § 10 TMG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 142

12

Inhaltsverzeichnis bb) Anwendbarkeit von § 9 TMG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144 (1) Fremde Informationen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144 (2) Automatisches, zeitlich begrenztes Zwischenspeichern . . . . . . . . . . . 146 (3) Zur effizienteren Übermittlung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 146 cc) Anwendbarkeit von § 9 TMG analog . . . . . . . . . . . . . . . . . . . . . . . . . . . . 146 (1) Planwidrige Regelungslücke . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147 (2) Vergleichbare Interessenlage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147 4. Ergebnis zu I. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 148

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen . . . . . . . . . . . . . . . . . . 149 1. Anwendbarkeit des TMG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149 a) Sachliche Anwendbarkeit des TMG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149 aa) Personenbezogene Daten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149 (1) IP-Adressen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 150 (a) Relative oder absolute Bestimmbarkeit . . . . . . . . . . . . . . . . . . . . 152 (b) Statische und dynamische IP-Adressen . . . . . . . . . . . . . . . . . . . . 155 (2) Cookies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 156 (a) Verknüpfung mit IP-Adresse . . . . . . . . . . . . . . . . . . . . . . . . . . . . 156 (b) Sign-In-Informationen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 157 (c) Suchanfragen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 157 bb) Datenumgang . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 158 (1) Erheben, § 3 Abs. 3 BDSG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 158 (2) Verarbeiten bzw. Nutzen, § 3 Abs. 4, 5 BDSG . . . . . . . . . . . . . . . . . . 158 cc) Kein Vorrang der §§ 91 ff. TKG oder des BDSG . . . . . . . . . . . . . . . . . . . 159 dd) Verantwortliche Stelle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 159 b) Räumlicher Anwendungsbereich . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 159 c) Ergebnis zu 1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161 2. Zulässigkeit der Datenverarbeitung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161 a) Einwilligung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161 b) Gesetzliche Erlaubnistatbestände . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165 aa) IP-Adressen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165 bb) Cookie-ID . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167 (1) Personenbezug und Pseudonyme . . . . . . . . . . . . . . . . . . . . . . . . . . . . 168

Inhaltsverzeichnis

13

(2) Regelungen zu Pseudonymen als Vorsorgeregelungen . . . . . . . . . . . 172 (3) Anforderungen an die Verarbeitung nach dem TMG . . . . . . . . . . . . . 173 (a) Zweckbindung, § 15 Abs. 3 S. 1 TMG . . . . . . . . . . . . . . . . . . . . . 173 (b) Von § 15 Abs. 3 TMG erfasste Daten . . . . . . . . . . . . . . . . . . . . . . 174 (c) Zusammenführungsverbot, § 15 Abs. 3 S. 3 TMG . . . . . . . . . . . . 174 (d) Unterrichtungspflichten, § 13 Abs. 1 S. 1 TMG . . . . . . . . . . . . . . 175 (e) Meldepflicht, § 4 d Abs. 1 BDSG . . . . . . . . . . . . . . . . . . . . . . . . . 176 (4) Betroffenenrechte . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 176 (a) Widerspruch, § 15 Abs. 3 S. 1 TMG . . . . . . . . . . . . . . . . . . . . . . 177 (b) Auskunft, § 13 Abs. 7 TMG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177 3. Ergebnis zu II. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177 III. Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 178 E. Datenschutz in den USA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 179 I. Verfassungsrecht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 180 1. Herleitung eines Privatsphäreschutzes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 180 2. Datenschutzgewährleistung des 4th Amendment . . . . . . . . . . . . . . . . . . . . . . . . . 182 3. Keine Drittwirkung in das Privatrecht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 185 4. First Amendment als Recht auf kommerzielle Datenverarbeitung . . . . . . . . . . . 187 II. Einfaches Recht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 188 1. Bereichsspezifisch kodifiziertes Datenschutzrecht (statutory law) . . . . . . . . . . . 188 a) Überblick . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 188 b) Stored Communications Act . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 191 aa) Suchmaschinen als Anbieter von externer Datenverarbeitung . . . . . . . . . 192 bb) Anwendung des SCA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 194 2. Deliktsrecht (tort law) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 196 III. Datenschutzerklärungen der Unternehmen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 199 1. Wettbewerbsrechtliche Aufsicht der Federal Trade Commission . . . . . . . . . . . . 199 2. Fair Information Practice Principles der Federal Trade Commission . . . . . . . . . 202

14

Inhaltsverzeichnis 3. Privacy Seal Provider . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 203 4. Platform for Privacy Preferences (P3P) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 204 5. Network Advertising Initiative . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 204

IV. Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 205 F. Befund aus den Teilen C. bis E. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 208 G. Fortentwicklung des Rechts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 210 I. Bisherige Prämissen und ihre Konsequenzen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 210 1. IP-Adressen und relative Bestimmbarkeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 210 2. Cookie-IDs und Pseudonymität . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 212 3. Bewertung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 212 II. De-Anonymisierbarkeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213 1. AOL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213 2. Netflix . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213 3. Gouverneur Welds Krankenakte . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215 4. Bewertung der De-Anonymisierungsrisiken . . . . . . . . . . . . . . . . . . . . . . . . . . . . 216 5. Konsequenzen aus den De-Anonymisierungsrisiken . . . . . . . . . . . . . . . . . . . . . . 218 III. Bereichsschutzmodell für Daten aus der Sphäre des Internetnutzers und seine Fundierung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 221 1. Das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme neu gelesen . . . . . . . . . . . . . . . . . . . . . . . . . . 223 a) Der Vorverlagerungsgedanke als prägendes Element der Persönlichkeitsrechtsentwicklung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 224 b) Schutzbedürftiger Bereich statt personenbezogenes Einzeldatum . . . . . . . . . 226 c) Vergleichbarkeit des Schutzkonzeptes mit Art. 13 GG . . . . . . . . . . . . . . . . . . 227 d) Zur konzeptionellen Kritik am Recht auf informationelle Selbstbestimmung 230 2. Art. 5 Abs. 3 EK-DSRL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 232 a) Entstehungsgeschichte und Anwendungsbereich der Richtlinie . . . . . . . . . . . 232

Inhaltsverzeichnis

15

b) Regelungsgehalt des Art. 5 Abs. 3 EK-DSRL . . . . . . . . . . . . . . . . . . . . . . . . 233 3. Ansicht der Federal Trade Commission . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 235 IV. Konsequenzen aus dem Bereichsschutzmodell . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 235 Literaturverzeichnis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 237 Sachwortverzeichnis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 257

Abkürzungsverzeichnis a. A. a. F. a. M. ABlEG ABlEU Abs. ACM AcP AfP AG Am. Anm. AO AöR App. Ct. APR Art. Aufl. ausf. Az. Bd. BDSG BeckRS Begr. Beil. Beschl. v. Bespr. BfDI BGBl BGH BGHZ BK BRat BReg BT-Drs. BVDW BVerfGE BVerwGE BW C.F.R. Cal. Bus. & Prof. Code

anderer Auffassung alte Fassung am Main Amtsblätter der Europäischen Gemeinschaften Amtsblätter der Europäischen Union Absatz Association for Computing Machinery Archiv für die Civilistische Praxis Zeitschrift für Medien- und Kommunikationsrecht Amtsgericht Amendment (US-Verfassungszusatz) Anmerkung Abgabenordnung Archiv des öffentlichen Rechts Court of Appeals Allgemeines Persönlichkeitsrecht Artikel Auflage ausführlich Aktenzeichen Band Bundesdatenschutzgesetz Becksche Rechtssache Begründer Beilage Beschluss vom Besprechung Bundesbeauftragter für Datenschutz und Informationsfreiheit Bundesgesetzblatt Bundesgerichtshof Entscheidungssammlung des Bundesgerichtshofs in Zivilsachen Bonner Kommentar zum Grundgesetz Bundesrat Bundesregierung Bundestagsdrucksache Bundesverband Digitale Wirtschaft e. V. Entscheidungen des Bundesverfassungsgerichts Entscheidungen des Bundesverwaltungsgerichts Baden-Württemberg Code of Federal Regulations California Business and Professions Code

18 Cir. COPPA CR CRi d. h. D.C. DENIC ders. dies. DNS DÖV Dreier DSB DSRL DuD E.D. ECPA ECRL Einl. EK-DSRL ErwGr. et. al. f., ff. F.3d F.R.D. F.Supp. FCRA Fla. Fn. FS FTC Ga. GBl. gem. GesBegr. GesE GG GGVIIS GRUR GV h. M.

Abkürzungsverzeichnis Circuit ChildrenÏs Online Privacy Protection Act Computer und Recht Computer und Recht International (Beil. CR) das heißt District of Columbia Deutsches Network Information Center derselbe dieselbe Domain Name System Die Öffentliche Verwaltung Grundgesetzkommentar herausgegeben von Horst Dreier Datenschutz-Berater Richtlinie 95/46/EG v. 24. 10. 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten u. zum freien Datenverkehr Datenschutz und Datensicherheit Eastern District Electronic Communications Privacy Act Richtlinie 2000/31/EG v. 8. 6. 2000 über bestimmte rechtliche Aspekte der Dienste der Informationsgesellschaft, insbesondere des elektronischen Geschäftsverkehrs, im Binnenmarkt Einleitung Richtlinie 2002/58/EG v. 12. 7. 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation Erwägungsgrund et alii folgend, folgende Federal Reporter, Third Series Federal Rules Decisions Federal Supplement Fair Credit Reporting Act Florida Fußnote Festschrift für Federal Trade Commission Georgia Gesetzblatt gemäß Gesetzesbegründung Gesetzentwurf Grundgesetz Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme Gewerblicher Rechtsschutz und Urheberrecht Gesetz- und Verordnungsblatt herrschende Meinung

Abkürzungsverzeichnis Hb. HbDSR HbGR HbStR HIPAA Hrsg. Hs. i. d. F. v. i. d. R. i. E. i. R. d. i. S. d. i. V. m. Ill. IP(v4/v6) ISDN-RL ITRB JURA jurisPR-ITR JuS JZ K&R Kap. KG KOM krit. KUG LG lit. Lit. m. m. w. Nachw. Mich. MMR MR-Int N.E.2d N.Y. Nachw. NAI NJW NRW NVwZ OECD OLG OWiG P3P

19

Handbuch Handbuch Datenschutzrecht Handbuch der Grundrechte Handbuch des Staatsrechts der Bundesrepublik Deutschland Health Insurance Portability and Accountability Act Herausgeber Halbsatz in der Fassung vom in der Regel im Ergebnis im Rahmen des im Sinne des in Verbindung mit Illinois Internet Protocol (Version 4 / Version6) Richtlinie 97/66/EG über die Verarbeitung personenbezogener Daten u. den Schutz der Privatsphäre im Bereich der Telekommunikation IT-Rechtsberater Juristische Ausbildung Juris Praxis Report – IT-Recht Juristische Schulung Juristen Zeitung Kommunikation und Recht Kapitel Kammergericht Dokumente der Europäischen Kommission kritisch Gesetz betreffend das Urheberrecht an Werken der bildenden Künsten und der Photographie Landgericht Buchstabe Literatur mit mit weiteren Nachweisen Michigan Multimedia und Recht Medien und Recht – International Edition North Eastern Reporter, Second Series New York Nachweise Network Advertising Initiative Neue Juristische Wochenzeitschrift Nordrhein-Westfalen Neue Zeitschrift für Verwaltungsrecht Organisation for Economic Cooperation and Development Oberlandesgericht Gesetz über Ordnungswidrigkeiten Platform for Privacy Preferences

20 RDV RegE RfC RIPE NCC RiS RL RMD Rn. Rspr. S. s. S.Rep. SCA SGB sog. StGB StPO StR TCP TDDSG TDG TKG TMG u. u. a. U.S.C. U. S. Dist. ULD URL US USA v. Var. VDSRL

vgl. Vol. Vorb. VVDStRL WP WRP WWW z. B. zit. n.

Abkürzungsverzeichnis Recht der Datenverarbeitung Regierungsentwurf Request for Comments R¦seaux IP Europ¦ens Network Coordination Centre Recht auf informationelle Selbstbestimmung Richtlinie Recht der Multimedia-Dienste Randnummer Rechtsprechung Satz oder Seite siehe Senate Report Stored Communications Act Sozialgesetzbuch sogenannt/e/s Strafgesetzbuch Strafprozessordnung Das Staatsrecht der Bundesrepublik Deutschland Transmission Control Protocol Teledienstedatenschutzgesetz Teledienstegesetz Telekommunikationsgesetz Telemediengesetz und unter anderem United States Code U. S. District Court (Bundesbezirksgericht) Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein Uniform Resource Locator United States United States of America versus Variante Richtlinie 2006/24/EG v. 15. 3. 2006 über die Vorratsspeicherung von Daten, die bei der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste oder öffentlicher Kommunikationsnetze erzeugt oder verarbeitet werden, u. zur Änderung der Richtlinie 2002/58/EG vergleiche Volume Vorbemerkung Veröffentlichungen der Vereinigung deutscher Staatsrechtslehrer Working Paper Wettbewerb in Recht und Praxis World Wide Web zum Beispiel zitiert nach

Abkürzungsverzeichnis ZJS ZUM

Zeitschrift für das Juristische Studium Zeitschrift für Urheber- und Medienrecht

21

A. Einführung I. Ausgangslage Schon im Jahre 2003 hat der erste Zivilsenat des Bundesgerichtshofs in seiner Paperboy-Entscheidung festgestellt: „Ohne die Inanspruchnahme von Suchdiensten und deren Einsatz von Hyperlinks (gerade in der Form von Deep-Links) wäre die sinnvolle Nutzung der unübersehbaren Informationsfülle im World Wide Web praktisch ausgeschlossen.“1

Das Internet ermöglicht den Zugang zu schier unvorstellbaren Datenmengen. Die Zahl von über den Internetdienst2 World Wide Web (kurz: WWW) erreichbaren Webseiten lässt sich allenfalls schätzen.3 Im Juli 2008 verkündeten Mitarbeiter der Suchmaschine Google bereits die Sichtung der billionsten Webseite.4 In der heutigen Informationsgesellschaft, in der der Zugang zu Wissen aufgrund der Bedeutung von Information als Produktions- und Machtfaktor essentiell ist,5 kommt dem Internet eine herausragende Bedeutung zu. Die Nutzung des World Wide Web hat sich bei der Mehrzahl der Deutschen fest im Alltag etabliert.6 Aufgrund der Allgegenwärtigkeit des Internet, der Gewohnheit, alle Informationen jederzeit verfügbar zu haben, wird das Internet zur Informationsbeschaffung in allen Lebensbereichen verwendet. Die schiere Menge an erreichbaren Informationen im World Wide Web macht es dem Einzelnen unmöglich, sämtliche Informationsquellen selbstständig zu sichten. Suchmaschinen sind unabkömmliche Hilfsmittel für das Auffinden des gesuchten Inhalts, indem sie die von ihnen erfassten Webseiten nach ihrer vermeintlichen

1

BGHZ 156, 1 (18 f.). Internetdienste im hier verstandenen Sinne sind alle Dienste, die auf der Internetstruktur, also dem Zusammenschluss von Rechnern die mittels der TCP/IP-Protokollstandards Daten austauschen, aufbauen; vgl. Wikipedia, Internetdienste, http://de.wikipedia.org/wiki/Internetdienste (15. 3. 2011). 3 Dem allgemeinen Sprachgebrauch folgend wird das Nutzen des populärsten Internetdienstes World Wide Web (WWW) auch synonym als Nutzung des Internet bezeichnet. 4 Google, We knew the Web was big… (Google Blog), http://googleblog.blogspot.com/ 2008/07/we-knew-web-was-big.html (15. 3. 2011). 5 Zum Begriff der Informationsgesellschaft Schoch, in: Leipold (Hrsg.), Rechtsfragen des Internet und der Informationsgesellschaft, S. 83. 6 69,4 % der Deutschen nutzen das Internet gelegentlich laut der ARD/ZDF-Onlinestudie 2010 von van Eimeren/Frees, Media Perspektiven 2010, 334 (336). 2

24

A. Einführung

Relevanz für das Suchbedürfnis des Nutzers gewichten.7 Sie nehmen eine Vermittlerrolle ein; ohne sie wären die gewünschten Informationen oftmals unauffindbar. Aufgrund ihrer Selektionsfunktion wurden Suchmaschinen zutreffend als „Flaschenhals des Internet“8 oder als „Torwächter“9 für den Zugang der Öffentlichkeit zu Informationen bezeichnet und ihre Bedeutung für die Auffindbarkeit von Informationen im Netz pointiert auf die Formel gebracht: „To exist is to be indexed by a search engine.“10 Der Bedeutung von Suchmaschinen für die Internetnutzung trägt die Aufnahme des Verbs „googlen“ in den Duden, in Anlehnung an die zurzeit marktführende Suchmaschine Google, Rechnung. Die Bedeutung der Vermittlerrolle von Suchmaschinen wird weiterhin dadurch verstärkt, dass viele Nutzer Suchdienste nicht nur zur Erschließung unbekannter Informationsquellen verwenden, sondern auch zum vereinfachten Aufrufen bereits bekannter Seiten. Sich über eine Suchmaschine zu dem gewünschten Inhalt weiterleiten zu lassen, ist oftmals komfortabler als das direkte Ansteuern der Zielseite.11 Ist die Adresse der Zielseite länger, ist deren Eingabe mühselig und es können sich leicht Tippfehler einschleichen. Häufig ist auch lediglich die Hauptseite der Zieladresse bekannt, gesucht wird jedoch eine Information, die sich auf einer Unterseite des Webauftritts befindet. Anstelle eines Aufrufs der Hauptseite und einer anschließenden Navigation durch die Menüs zu dem gewünschten Unterverzeichnis können eine Schlagwortsuche bei einer Suchmaschine und das Anklicken eines in der Trefferliste angezeigten sog. Deep-Links einfacher und schneller zum Ziel führen. Aufgrund dieser Umstände sind Suchmaschinen in großem Umfang in den Informationsfluss im Internet involviert.12

7 Hoffmann-Riem, Der Staat 42 (2003), 193 (217 f.); Schulz/Held/Laudien, Suchmaschinen als Gatekeeper in der öffentlichen Kommunikation, S. 13; die Suchmaschinennutzung ist die meistgenutzte Onlineanwendung nach dem Senden u. Empfangen von Emails nach van Eimeren/Frees, Media Perspektiven 2010, 334 (338). 8 Machill/Neuberger/Schindler, Transparenz im Netz, S. 8. 9 So bereits die Überschrift von Schulz/Held/Laudien, Suchmaschinen als Gatekeeper in der öffentlichen Kommunikation. 10 Introna/Nissenbaum, The Information Society 2000, 171, abrufbar unter: http:// www.nyu.edu/projects/nissenbaum/papers/searchengines.pdf (15. 3. 2011). 11 Bei den gängigen Browsern können Suchworte auch unmittelbar in das für die Eingabe von Internetadressen bestimmte Browserfeld eingegeben werden, sodass mit dem Befehl zum Seitenaufruf eine Anfrage bei einer Suchmaschine erfolgt, deren Trefferseite angezeigt wird. 12 Vgl. auch Grimmelmann, New York Law School Law Review 53 (2008/09), 939 (940).

II. Problem: Datenschutz

25

II. Problem: Datenschutz 1. Datenschutz des Suchobjekts In der Fülle von Daten im Internet finden sich auch personenbezogene Daten in großem Umfang. Datenschutzverstöße drohen, wenn persönliche Informationen gegen den Willen des Betroffenen über das Internet allgemein zugänglich gemacht werden. Sei es, dass auf einer Webseite aus einem Anwaltsschreiben wörtlich zitiert wird,13 eine identifizierende Berichterstattung über einen prominenten Sexualstraftäter im Netz zu finden ist14 oder Lehrer auf Bewertungsplattformen von ihren Schülern bewertet werden,15 das Internet fordert fortlaufend eine Neubestimmung der Grenzziehung zwischen dem Interesse an einer Informationsverbreitung und dem Interesse des Betroffenen an Datenschutz. Datenschutzverletzungen im Internet besitzen eine neue Qualität gegenüber Verstößen in der „Offline-Welt“, weil ins Netz gestellte Informationen prinzipiell für jeden mit internetfähigem Computer zeitlich unbeschränkt und einfach auffindbar sind.16 Einmal in das Internet eingestellte Informationen über Personen verbreiten sich durch die Listung in Suchmaschinen umso rasanter. Mag die eigentliche personenbezogene Information auf einer Unterseite eines bloß wenig frequentierten Webauftritts verborgen sein – Suchmaschinen zerren sie unter Eingabe der richtigen Suchbegriffe auf ihre erste Trefferseite und vereinfachen so die Verbreitung des Inhalts. Wie zu jedem anderen Thema auch, lassen sich mit Hilfe von Suchmaschinen gezielt sämtliche im Internet verfügbaren Informationen zu einer Person mit minimalem Aufwand zusammentragen. Die Zusammenstellung und Übermittlung aller, mit dem Namen der gesuchten Person assoziierter Webinhalte kann mitunter schwerwiegende Folgen für den Betroffenen haben. Personalchefs haben die Einfachheit der Informationsgewinnung über Suchmaschinen bereits erkannt.17 Vielfältige weitere Einsatzmöglichkeiten sind denkbar: Der stalkende Ex-Ehemann auf der Suche nach Aufenthaltsorten seines Opfers, Versicherungsunternehmen zur Abwehr von Leistungsforderungen, Sozialbehörden oder die Polizei bei der Untersuchung verdächtiger Sachverhalte.18 Dabei sind die einzelnen Informationen aus ihrem Kontext gerissen und nach einem berechtigten Interesse des Suchenden wird

13

BVerfG, NJW 2010, 1587. BVerfG, NJW 2009, 2431. 15 BGHZ 181, 328. 16 Härting, CR 2009, 21 (21). 17 Laut einer Umfrage des Bundesverbands deutscher Unternehmensberater „googlen“ ein Drittel der Personalberater Bewerber, http://www.bdu.de/presse_387.html (15. 3. 2011). 18 Beispiele nach Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (292). 14

26

A. Einführung

von der Suchmaschine nicht gefragt.19 Wenn Suchmaschinen personenbezogene Daten von Webseiten verarbeiten und auf Suchanfragen hin ihren Nutzern präsentieren, sind dies möglicherweise datenschutzrechtlich relevante Verarbeitungsschritte, deren rechtliche Zulässigkeit in dieser Arbeit untersucht wird.

2. Datenschutz der Suchmaschinennutzer Das zweite große datenschutzrechtliche Problemfeld bei Suchmaschinen betrifft die Protokollierung und den weiteren Umgang mit den Suchmaschinennutzerdaten. Der Datenaustausch zwischen zwei Rechnern im Internet setzt zwingend die technische Identifizierbarkeit anhand der IP-Adresse des jeweiligen Kommunikationspartners voraus. Völlige Anonymität gegenüber dem Kommunikationspartner ist im Internet daher nur schwer zu verwirklichen. Bei Internetdiensteanbietern ist es gängige Praxis, jede Interaktion von Nutzern mit ihrem Dienst in Logdateien zu protokollieren und zu Profilen zusammenzufassen. Daten über die Art und Weise der Dienstenutzung ermöglichen (je nach Beschaffenheit des konkreten Dienstes und Umfang des Datensatzes) unterschiedlich detaillierte Rückschlüsse auf die Persönlichkeit des Nutzers. Nutzerprofile erlangen eine hohe Aussagekraft bei solchen Diensten, die besonders häufig benutzt werden und die dem Nutzer möglichst viele Informationen über seine Interessen entlocken können. Nutzerdaten aus der Verwendung von Suchmaschinen sind daher besonders gehaltvoll, weil Suchmaschinen aufgrund ihrer Rolle als Informationsmittler hoch frequentiert sind und ihnen die Nutzer ihre aktuellen Interessen durch die Formulierung von Suchanfragen preisgeben. Persönlichkeitsprofile besitzen einen hohen finanziellen Wert für die Werbewirtschaft, denn je genauer die Interessen, Neigungen und geheimen Wünsche des Werbeadressaten bekannt sind, umso klarer treten dessen Bedürfnisse zu Tage und umso wahrscheinlicher ist es, dass er auf eine an seine Persönlichkeit angepasste Werbeansprache positiv reagiert. Durch gezielte, individuell geschaltete Werbung (Behavioral Targeting) lässt sich der Erfolg des Einsatzes von Werbemitteln durch die Reduzierung von Streuverlusten maximieren.20 Es besteht daher ein finanzieller Anreiz für in der Internetwerbebranche tätige Unternehmen, über möglichst detaillierte Internetnutzerprofile zu verfügen. Die Nähe von Suchmaschinen zu den aktuellen Informationsbedürfnissen ihrer Nutzer versetzt deren Betreiber in eine günstige Position im Wettbewerb der Internetwerbeagenturen. Dies erklärt, warum die Betreiber großer Suchmaschinen, wie 19 Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (293); diese Aspekte allgemein in Bezug auf Internetveröffentlichungen ansprechend Härting, CR 2009, 21 (21). 20 Vgl. die Präsentation des Bundesverbands Digitale Wirtschaft (BVDW) „Was ist Targeting?“ unter http://www.bvdw.org/medien/was-ist-targeting?media=1281 (13. 5. 2011).

II. Problem: Datenschutz

27

Google oder Microsoft, nicht nur Werbeflächen im Rahmen ihrer eigenen Internetpräsenz verwalten, sondern darüber hinaus auch als Vermarkter von Werbung für die Werbeflächen auf anderen Drittseiten aktiv sind. Wenn Nutzer eine mit einem Werbenetzwerk verbundene Drittseite aufrufen, wird der Seitenaufruf auch bei dem jeweiligen Werbenetzwerkbetreiber registriert, der Nutzer, wenn möglich, wiedererkannt und ein passendes Werbebanner ausgeliefert. Suchmaschinenbetreiber, die zugleich Werbenetzwerke betreiben, registrieren somit nicht nur die Seitenaufrufe eines Nutzers, der sich über die Suchfunktion zu der gewünschten Zielseite vermitteln lässt, sondern auch direkte Seitenaufrufe des Nutzers, wenn die Zielseite zum Werbenetzwerk des Suchmaschinenbetreibers gehört. Auf diese Weise werden bestehende Suchmaschinennutzerprofile zusätzlich durch die unmittelbare Interaktion des Nutzers mit Drittseiten angereichert. Aufgrund der überragenden Stellung von Suchmaschinenbetreibern auf dem Internetwerbemarkt, insbesondere von Google und Microsoft, ist das Problem der Nutzerdatenprotokollierung in diesem weiteren Kontext zu sehen und bei der Sammlung der Suchmaschinennutzerdaten zu berücksichtigen. Damit sind die beiden datenschutzrechtlichen Problemkreise dieser Arbeit skizziert: Datenschutz des Suchobjekts und Datenschutz des Suchmaschinennutzers.21 Diese zwei schlagwortartig umschriebenen Untersuchungsgegenstände erfassen nicht nur die wesentlichen Datenschutzprobleme bei Suchmaschinen, sondern berühren zugleich Grundsatzfragen der Zuteilung von Informationsverarbeitungsbefugnissen im Internet. Die Untersuchung der datenschutzrechtlichen Verantwortlichkeit von Suchmaschinenbetreibern für die Verbreitung personenbezogener Daten zwingt zu einer Auseinandersetzung mit der allgemeineren Frage, inwiefern Suchmaschinen für die Inhalte der angezeigten Suchtreffer eine rechtliche Verantwortung trifft. Die Herausarbeitung der Funktionen und Verantwortlichkeiten von Intermediären im Prozess der Informationsverbreitung und -rezeption ist eine sich im Internet dem Juristen wiederholt stellende Aufgabe. Die Frage nach der rechtlichen Zulässigkeit der Protokollierung der Suchmaschinennutzerdaten greift die wohl im Bereich Internet-Datenschutz am meisten diskutierte Frage nach dem Personenbezug von IP-Adressen auf. Im Kern geht es dabei um die Auslegung des Rechtsbegriffs „personenbezogenes Datum“, dessen Reichweite den sachlichen Anwendungsbereich datenschutzrechtlicher Vorschriften bestimmt. Vor allem aber erfordert die Untersuchung des Datenschutzes der Suchmaschinennutzer eine Auseinandersetzung mit den Möglichkeiten und Risiken der Profilbildung anhand des Internetnutzerverhaltens. Immer geringer werdende Kosten für Speicherplatz und Rechnerleistung ermöglichen die Speicherung und Auswer21 Diese zwei Problemkreise bei der Suchmaschinennutzung als erster in Deutschland klar benannt hat Weichert, MR-Int 2007, 188, etwa zeitgleich außerhalb Deutschlands ebenfalls Tene, What Google knows: Privacy and Internet Search Engines, http://papers.ssrn.com/sol3/ papers.cfm?abstract_id=1021490 (15. 3. 2011).

28

A. Einführung

tung von Nutzerdaten zur Erstellung von Persönlichkeitsprofilen. Die rechtliche Handhabung dieser Risiken ist eine große Herausforderung und bedeutende Zukunftsfrage des Datenschutzrechts, die bisher nicht zufriedenstellend gelöst ist.22

III. Gang der Untersuchung Eine rechtliche Bewertung ist nur bei Kenntnis der relevanten Tatsachen möglich. In einem an die Einleitung anschließenden Grundlagenteil (Teil B.) wird daher zunächst das für das Verständnis der Rechtsfragen erforderliche tatsächliche, insbesondere technologische Wissen vermittelt. Für eine Untersuchung und Bewertung der rechtlichen Beziehungen zwischen den bei der Verarbeitung personenbezogener Daten durch Suchmaschinen beteiligten (betroffenen) Akteuren erscheint es weiterhin zweckmäßig, die berührten Interessen herauszuarbeiten. Aus rechtlicher Perspektive lässt sich hier zunächst bei den berührten Grundrechtspositionen ansetzen (Teil C.). Dies ist besonders deshalb sinnvoll, weil das Datenschutzrecht mit wertungsausfüllungsbedürftigen, unbestimmten Rechtsbegriffen durchsetzt ist, deren Ausfüllung im konkreten Fall nach Maßgabe des kollidierenden Verfassungsrechts erfolgt.23 Außerdem hat das Datenschutzrecht – auch nach dem Volkszählungsurteil24 – immer wieder wesentliche Impulse aus der bundesverfassungsgerichtlichen Rechtsprechung erfahren, in jüngster Zeit insbesondere durch die Entscheidungen zur Online-Durchsuchung25 und zur Vorratsdatenspeicherung26. An den verfassungsrechtlichen Teil schließt eine Bewertung der Zulässigkeit der Datenverarbeitungen durch Suchmaschinen nach deutschem Datenschutzrecht an (Teil D.). Das Bundesdatenschutzgesetz (BDSG) gilt gemeinhin in Zeiten des Internet als nicht mehr zeitgemäß. Es wird sich zeigen, ob das einfachgesetzliche Datenschutzrecht die durch die Datenverarbeitung von Suchmaschinen hervorgerufenen Interessenkonflikte noch zufriedenstellend löst. Ferner wird ein Blick über die deutsche Rechtsordnung hinaus auf den Datenschutz im privaten Bereich in den USA geworfen (Teil E.). Möglicherweise lassen sich aus einem Vergleich mit dem amerikanischen Datenschutzrecht neue Erkenntnisse für das deutsche Recht gewinnen. 22 Diese Thematik als größte Herausforderung des Datenschutzes bezeichnend Ohm, UCLA Law Review 57 (2010), 1701 (1776); ähnlich Felten, zit. in The Economist v. 30. 8. 2007, Inside the Googleplex, http://www.economist.com/node/9719610?story_id=9719610 (10. 03. 2011). 23 Exemplarisch § 29 Abs. 1 Nr. 1 BDSG: „schutzwürdiges Interesse“, dazu BGHZ 181, 328 (336 Tz. 26 f.). 24 BVerfGE 65, 1. 25 BVerfGE 120, 274. 26 BVerfGE 125, 260.

III. Gang der Untersuchung

29

Hinter der Frage der datenschutzrechtlichen Zulässigkeit der Protokollierung der Suchmaschinennutzerdaten steht die allgemeinere Frage der rechtlichen Möglichkeiten und Grenzen der Beobachtung des Internetsurfverhaltens (sog. Webtracking). Hauptmotiv für die Entwicklung und Zurverfügungstellung von Umsonst-Diensten im Internet ist regelmäßig die Erlangung von Daten über die Gewohnheiten und Interessen der Nutzer, um diese Erkenntnisse für die Schaltung personalisierter Werbung zu nutzen.27 Ein Paradebeispiel für dieses Geschäftsmodell liefert die Firma Google. Diese erstellt Nutzerprofile nicht nur anhand der Suchmaschinennutzerdaten, sondern verknüpft diese mit den Protokolldaten weiterer eigener Dienste, wie z. B. einem Emailprogramm (Gmail), einem sozialen Netzwerk (Orkut), einem Fotoassistenten (Picasa), einer Videoplattform (Youtube) und weiteren Programmen, z. B. zum Erstellen und Verwalten eines eigenen Internettagebuchs (Blogger), für die Textverarbeitung (Google text & tabellen), für einen Überblick über die Lieblingsnachrichtenseiten (Google reader) oder einen Terminkalender (Google kalender) oder dem besonders umstrittenen kostenlosen Analyseprogramm Google Analytics.28 Wie mit den (zwangsläufig) im Internet produzierten Datenspuren umzugehen erlaubt sein soll, ist eine bedeutende Fragestellung des Datenschutzrechts und die Kardinalfrage des Datenschutzes im Internet. Der Beantwortung dieser Frage widmet sich daher der letzte Teil dieser Arbeit (Teil G.). An diese Frage herangeführt wird, indem in Teil F. die zuvor gefundenen Ergebnisse zu der Zulässigkeit der Datenverarbeitung bei Suchmaschinen zusammengefasst werden. In dem abschließenden Teil G. werden dann die gefundenen Antworten auf die Frage der Zulässigkeit der Datenverarbeitung der Suchmaschinennutzerdaten noch einmal näher untersucht und diesmal die Prämissen, unter denen das in Teil F. dargestellte Ergebnis gefunden wurde, auf ihre Auswirkungen für den Umgang mit Nutzerdaten allgemein im Internet ausgewertet. Eine Analyse der Möglichkeiten von Internetdiensteanbietern, durch Modifizierungen ihrer Datenverarbeitungsabläufe rechtmäßige Zustände nach derzeit geltendem Datenschutzrecht herzustellen, wird die Grenze der Leistungsfähigkeit des auf der Dogmatik des informationellen Selbstbestimmungsrechts aufbauenden Datenschutzrechts offenlegen. Es wird sich zeigen, dass Schutzdefizite des Internet-Datenschutzes aus der Fokussierung auf personenbezogene Daten herrühren. Entwickelt wird daher ein Bereichsschutz für alle bei der Internetkommunikation anfallenden Daten. In Deutschland besitzt momentan das Unternehmen Google mit konstanten neunzig Prozent Marktanteil eine Monopolstellung auf dem Suchmaschinenmarkt.29 Gleichwohl beschäftigt sich diese Abhandlung mit dem Datenschutz bei Suchmaschinen im Allgemeinen und beschränkt die Betrachtung nicht auf Google. Google 27 Vgl. Spiegel Online v. 7. 9. 2010, Google-Chef will noch mehr Daten, http://www.spiegel.de/netzwelt/netzpolitik/0,1518,716204,00.html (14. 03. 2011). 28 Vgl. Bager, CÏt 10/2006, 168; Tene, What Google knows: Privacy and Internet Search Engines, S. 2, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011); Der Spiegel 2/2010, Ende der Privatheit, S. 58 ff. 29 http://www.webhits.de/ (15. 3. 2011).

30

A. Einführung

scheint momentan in seinem Bestreben, die Websuche zu optimieren, der Konkurrenz weit voraus zu sein. Trotzdem ist nicht völlig ausgeschlossen, dass andere Marktteilnehmer in Zukunft Google den Rang ablaufen könnten.30 Zu berücksichtigen ist, dass sich die Marktanteile auf dem Markt für Suchmaschinen, aufgrund von gegen null tendierenden Wechselkosten, blitzschnell verschieben können. Wegen der dominanten Marktstellung von Google und der Konzentrierung der datenschutzrechtlichen Diskussion auf das Unternehmen aus Mountain View, Kalifornien,31 werden jedoch sehr viele Beispiele auf Google bezogen sein. Alle größeren Suchmaschinen berechnen ihre Trefferlisten vollautomatisch mithilfe von Algorithmen. Gleichwohl existieren auch andere Formen von Navigationshilfen, die das Auffinden von Informationen erleichtern sollen. Diese werden im Grundlagenteil ebenfalls vorgestellt. Im Fokus dieser Untersuchung stehen jedoch allein algorithmusbasierte Suchmaschinen. Bildersuchmaschinen bleiben ebenfalls außer Betracht. Die Konzentrierung auf die oben benannten Kernfragen des Datenschutzes im Zusammenhang mit Suchmaschinen hat ferner die Nichtbehandlung einer Reihe weiterer Fragen zur Folge. Keine Berücksichtigung finden diverse sonstige Dienste, die insbesondere Google neben ihrem Suchdienst anbietet und in jüngerer Zeit ebenfalls in das Blickfeld der Datenschützer gerückt sind, wie Satellitenkartendienste oder Google Streetview. Aktuell ist ein erhebliches Vollzugsdefizit des Datenschutzrechts im privaten Bereich im Allgemeinen und im Online-Bereich im Besonderen festzustellen.32 Die flächendeckende Missachtung des Datenschutzes mag manchen an der Sinnhaftigkeit der Befassung mit dieser Thematik zweifeln lassen. Die stetig zunehmende Medienberichterstattung über Datenschutzverstöße lässt jedoch auf eine wachsende Sensibilisierung der Bevölkerung und einen damit einhergehenden Bedeutungszuwachs des Datenschutzes und seiner Durchsetzung hoffen. Dass die vergleichsweise strikten Datenschutzbestimmungen in der Europäischen Union auch global agierende US-Unternehmen positiv beeinflussen können, zeigt das Beispiel des amerikanischen Online-Auktionshauses Ebay. Dieses richtet den Umfang seiner Datenverarbeitung nicht nach den eher weicheren Standards des Safe Harbor-Abkommens zwischen der

30 Konkurrenz könnte Google momentan am wahrscheinlichsten durch die Allianz von Microsoft u. Facebook drohen. Jene Firmen haben angekündigt, bei der Entwicklung einer „sozialen Internetsuche“, bei der die Vorlieben von Freunden berücksichtigt werden, zusammenzuarbeiten; vgl. Spiegel Online v. 5. 11. 2010, Google und Facebook streiten um Nutzerdaten, http://www.spiegel.de/netzwelt/web/0,1518,727580,00.html (15. 3. 2011). 31 Vgl. Paczkowski, European Data Protection Officials: Yahoo and Microsoft Have Search Engines?, http://digitaldaily.allthingsd.com/20070612/google-eu-privacy/ (15. 3. 2011). 32 Statistisch gesehen muss ein Unternehmen nur alle 39.400 Jahre mit einer Datenschutzüberprüfung rechnen laut Tomik, Google Analytics – „Das spottet jeder Beschreibung“, FAZ.net v. 22. 10. 2010, http://www.faz.net/s/Rub594835B672714 A1DB1 A121534F010 EE1/ Doc~E468477948C1549C5B3F109ADEE268E96~ATpl~Ecommon~Scontent.html (15. 3. 2011). Untersuchung des Vollzugsdefizits im Telemedienbereich bei Kühling/Sivridis/Schwuchow u. a., DuD 2009, 335; ferner Lepperhof/Petersdorf/Thursch, DuD 2010, 716.

III. Gang der Untersuchung

31

Europäischen Union und den Vereinigten Staaten aus,33 sondern verpflichtet sich seit dem 1. 11. 2010 auf die Einhaltung der europäischen Datenschutzvorgaben.34

33 Unzureichenden Datenschutz bei Unternehmen, die die Safe Harbor-Vorgaben vermeintlich befolgen, bemängelt Erd, K&R 2010, 624; s. auch Düsseldorfer Kreis, Prüfung der Selbst-Zertifizierung des Datenimporteurs nach dem Safe Harbor-Abkommen durch das Daten exportierende Unternehmen, Beschl. v. 28./29. 4. 2010, http://www.datenschutz-berlin.de/ content/deutschland/duesseldorfer-kreis (15. 3. 2011). 34 Pressemitteilung v. 20. 9. 2010, http://news.ebay.de/globalnews/item/show/1458 (15. 3. 2011).

B. Grundlagen Um sich mit den Rechtsfragen zu Suchmaschinen auseinandersetzen zu können, ist ein technisches Grundverständnis zu der Kommunikation im Internet und der Funktionsweise von Suchmaschinen unentbehrlich. Der erste Teil dieser Arbeit soll das nötige Fachwissen vermitteln. Dies beinhaltet einen kurzen Überblick über die Funktionsweise und Grundstrukturen der Internetkommunikation und einen Einblick in die Funktionsweise von Suchmaschinen. Eine genaue Darstellung, wann welche Daten bei der Verwendung von Suchmaschinen verarbeitet werden, ist unverzichtbar, weil jeder einzelne Verarbeitungsvorgang personenbezogener Daten datenschutzrechtlich relevant ist. Von zentraler Bedeutung ist außerdem ein Verständnis für das Konzept des Data Mining.

I. Internet Das Internet ist ein Zusammenschluss vieler Rechner, die auf Grundlage von allgemein anerkannten Regeln Daten untereinander austauschen können.1 Je nach ihrer Funktion in Bezug auf einen konkreten Datenaustausch bezeichnet man einen Rechner als Client oder Server (bzw. Host).2 Der Daten bereitstellende Rechner ist der Server und der Daten anfragende Rechner ist der Client. Jeder an das Internet angeschlossene Rechner kann prinzipiell beide Rollen einnehmen.

1. Akteure Die Teilnehmer des Internetverkehrs lassen sich hinsichtlich ihrer Funktion in einem konkreten Kommunikationsvorgang klassifizieren. a) Access-Provider Access-Provider vermitteln den Internetzugang, indem sie ihren Nutzern Einwahlknoten vorhalten, die über öffentliche Telekommunikationsnetze erreichbar sind und über die eine Verbindung zum Internet hergestellt werden kann. Von den Access1

Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 1 Rn. 42; Schaar, Datenschutz im Internet, Rn. 7; Schmitz, TDDSG und das Recht auf informationelle Selbstbestimmung, S. 25. 2 Zum Client-Server-Modell vgl. das Begriffslexikon bei http://www.markatweb.de/lexikon/ (15. 3. 2011).

I. Internet

33

Providern werden teilweise die Network-Provider unterschieden.3 Network-Provider (auch Carrier oder Netzbetreiber genannt) stellen ebenfalls die technische Infrastruktur für den Internetzugang zur Verfügung, sind aber, anders als Access-Provider, nicht im Endkundengeschäft tätig. Gleichwohl vermitteln auch sie (zwar bloß mittelbar aus Sicht des Nutzers) den Zugang zum Netz und sind daher rechtlich den Access-Providern gleichgestellt.4 b) Content-Provider Content-Provider (Inhaltsanbieter) veröffentlichen eigene Inhalte, Informationen oder Dienste im Internet. Sie sind Urheber von im Internet erreichbaren Informationen. c) Host-Provider Damit die Inhalte eines Content-Providers erreichbar sind, müssen diese auf einem dauerhaft an das Internet angeschlossenen Rechner, einem Server, gespeichert sein. Oftmals verfügen die Content-Provider nicht über eigene Server, sondern bedienen sich sog. Host-Provider. Host-Provider vermieten Speicherplatz auf ihren Servern an Dritte. Ebenso wie Netzbetreiber und Access-Provider stellen also Host-Provider eine technische Infrastruktur zur Verfügung und sind von den durch sie vermittelten Inhalten zu trennen. d) Proxy-Cache-Provider Proxy-Cache-Provider sind an Verbindungsstellen von Teilnetzen zwischengeschaltet.5 Sie fungieren als Informationsmittler zwischen einem Server und einem Client, die die von dem Client angefragte Information kurzfristig zwischenspeichern (im sog. „Cache“) für den Fall, dass der Client oder ein anderer Client aus einem nächstgelegenen Teilnetz zu einem späteren Zeitpunkt die gleiche Information des Quell-Servers erneut nachfragt. Geschieht dies und erfolgt die Anfrage an den QuellServer über den Proxy-Cache-Server, so gleicht der Proxy-Cache-Server mit dem Quell-Server ab, ob die bei ihm zwischengespeicherten Daten nicht veraltet sind und schickt anschließend, falls die zwischengespeicherten Daten noch aktuell sind, dem Client die Daten direkt zu.6 Auf diese Weise wird sowohl der Quell-Server als auch das Datennetz entlastet. Denn um die Anzahl der durch den Proxy-Cache-Server bereits beantworteten Anfragen reduziert sich das Datenverkehrsaufkommen beim eigentlichen Quell-Server. Außerdem müssen die Daten nur über geringere Entfernungen übertragen werden. Wenn z. B. für eine Anfrage aus Deutschland für Daten 3 4 5 6

Z. B. Schaar, Datenschutz im Internet, Rn. 20 ff. Sieber, Verantwortlichkeit im Internet, Rn. 262. Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Teil 1 Rn. 27. Kurze Darstellung bei Sieber, Verantwortlichkeit im Internet, Rn. 22.

34

B. Grundlagen

von einer auf einem amerikanischen Server betriebenen Webseite ein in Deutschland an das Internet angeschlossener Proxy-Cache-Server mit der angeforderten Information aufwarten kann, erübrigt sich ein transatlantischer Datenverkehr mit der Original-Quelle.7 Der Proxy-Cache-Server betreibende Proxy-Cache-Provider ermöglicht somit eine gleichmäßigere Netzauslastung und damit höhere Übertragungsgeschwindigkeiten.8 e) Nutzer Als Nutzer wird in dieser Arbeit die Person bezeichnet, die Dienste oder Informationen im Internet abruft und somit Inhalte von Content-Providern nachfragt. Im Client-Server-Modell betreibt der Nutzer den Host-Rechner bzw. Client-Rechner.

2. Netzwerkprotokolle Die Regeln, nach denen sich der Datenaustausch der an einem Netz angeschlossenen Rechner vollzieht, bezeichnet man als Netzwerkprotokolle.9 Der Datenaustausch im Internet funktioniert nach den Regeln der TCP/IP-Protokollfamilie. Die TCP/IP-Protokollfamilie kann man daher als die gemeinsame Kommunikationssprache zum Datenaustausch im Internet bezeichnen. Um die komplexen Vorgänge der Datenübertragung zwischen Computersystemen differenziert darstellen zu können, bedient sich die Informatik eines Schichtenmodells.10 Wenn man dieses Schichtenmodell auf die Internetkommunikation überträgt, lassen sich in diesem TCP/IP-Referenzmodell vier Schichten unterscheiden, auf deren Ebene jeweils unterschiedliche Netzwerkprotokolle bestimmte Teilaufgaben der Datenübertragung erledigen. Unterschieden werden die auf unterster Ebene angesiedelte Verbindungsschicht, die auf die Verbindungsschicht aufbauende Internetschicht, gefolgt von der Transportschicht und schließlich die Anwendungsschicht.11 Die Verbindungsschicht regelt die bloße Impulsübertragung, sodass die logische Information „0“ bzw. „1“ in Strom- bzw. Lichtsignale umgewandelt und bei dem Empfänger wieder zurückgewandelt werden kann, ferner organisiert sie den Auf- und

7 Bsp. nach Sieber, Verantwortlichkeit im Internet, Rn. 22 bzw. Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Teil 1 Rn. 27. 8 Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Teil 1 Rn. 27. 9 Wikipedia, Netzwerkprotokoll, http://de.wikipedia.org/wiki/Netzwerkprotokoll (15. 3. 2011). 10 Zum ISO/OSI-Referenzmodell Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 1 Rn. 29 ff. 11 Die Schichten unter diesen Bezeichnungen zusammenfassend Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 1 Rn. 43.

I. Internet

35

Abbau der Verbindung und sorgt für eine erste grobe Strukturierung der Daten.12 Die auf der Verbindungsschicht eingesetzten Protokolle können im TCP/IP-Referenzmodell variieren.13 Die für die Internetkommunikation charakteristischen Netzwerkprotokolle setzen auf höheren Schichtebenen an. a) Internet Protokoll Das Internet Protokoll (IP) ist zuständig für das Einspeisen von Daten und die Wegfindung im Netz (Routing). Es erfüllt damit die der Netzwerkschicht zufallende Aufgabe. Zu diesem Zweck erhalten die TCP-Pakete durch das Internet Protokoll einen Header (quasi eine Paketüberschrift) mit Angaben zum Sender und Empfänger. Jedes Paket wird durch das Internet Protokoll einzeln verschickt. An jedem Netzknoten wertet ein Rechner (Router) den Header aus und leitet die Datenpakete entsprechend an den Zielrechner oder einen anderen Netzknoten weiter.14 Bei der Paketübermittlung können auf derselben Leitung viele Pakete, die zu unterschiedlichen Nachrichten mit unterschiedlichen Sendern und Empfängern gehören, transportiert werden. So ist eine optimale Nutzung der bestehenden Leitungskapazitäten möglich.15 Die eindeutige Identifizierung der am Netz angeschlossenen Rechner erfolgt anhand der Internet Protokoll (IP)-Adresse. Die IP-Adresse setzt sich nach dem IPv4Protokoll aus fünf Zahlen zwischen 0 und 255, jeweils getrennt durch einen Punkt, zusammen. Jede IP-Adresse ist zeitgleich an nur einen Rechner im Netzverbund des Internet vergeben. Man unterscheidet zwischen dynamischen und statischen IPAdressen. Dynamische IP-Adressen sind dem Rechner nur für die Dauer der einzelnen Internetsitzung zugewiesen und werden nach der Trennung des Rechners vom Netz an einen anderen sich einwählenden Rechner vergeben. Statische IP-Adressen sind hingegen dauerhaft einem Rechner zugeordnet. Statische IP-Adressen finden vor allem Verwendung bei dauerhaft an das Internet angeschlossenen Rechnern von Firmen oder Institutionen. Ansonsten ist es üblich, dass die Access-Provider über einen ihnen zugewiesenen Nummernblock von IP-Adressen verfügen und aus diesem Block ihren Kunden für jede Internetsitzung eine Nummer dynamisch zuteilen. Sind Router über einen längeren Zeitraum an das Internet angeschlossen, wird die IPAdresse i. d. R. alle ein bis zwei Tage erneuert.16 Die dynamische Adressierung er12

S. 49. 13

Brunst, Anonymität im Internet – rechtliche und tatsächliche Rahmenbedingungen,

Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 1 Rn. 44. Schaar, Datenschutz im Internet, Rn. 7. 15 Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 1 Rn. 51. 16 Die Behauptung von Kirchberg-Lennartz/Weber, DuD 2010, 479 (479), im Durchschnitt sei eine IP-Adresse im Internet einem Gerät weniger als eine halbe Stunde zugeordnet, deckt sich nicht mit der Beobachtung des Wechsels der eigenen dynamischen IP-Adresse des Autors. Dieser verfügt über einen günstigen 2 MBit-Flatrate-Tarif eines namhaften Telekommunikationsunternehmens. 14

36

B. Grundlagen

möglicht es Access-Providern, einer größeren Kundenzahl einen Internetzugang bereitzustellen, wenn nicht immer alle Kunden gleichzeitig in das Internet eingewählt sind. In Zeiten, in denen der durchschnittliche Internetnutzer sich für die Dauer der Internetsitzung per Modem über seinen Access-Provider in das Internet einwählte, genügte bei der dynamischen Adressvergabe eine erheblich geringere Anzahl an IPAdressen als Kunden, um den Bedarf an Internetverbindungen zu befriedigen. Mittlerweile ist der Einsatz von Routern, die, solange sie angeschaltet sind, dauerhaft an das Internet angeschlossen sind, in Kombination mit Flatrate-Tarifen weit verbreitet. Aufgrund dieser technischen Entwicklung müssen Access-Provider für erheblich mehr Kunden gleichzeitig eine Internetverbindung herstellen. Auch wenn eingeschaltete Router dauerhaft an das Internet angeschlossen sind, wählt sich dieser in zeitlichen Abständen neu ein und erhält eine andere IP-Adresse zugewiesen. Eine dynamische Adressierung ist mithin weiterhin die verbreiteteste Form zur Herstellung einer Internetverbindung. Weil der weltweite Bedarf an IP-Adressen den Adressraum von IPv4 mit der Zeit übersteigt, ist eine Umstellung auf das IPv6-Protokoll in naher Zukunft absehbar.17 Das IPv6-Protokoll wird den Adressraum von etwas über vier Milliarden Adressen (232 = 2564 = 4.294.967.296) unter IPv4 auf ungefähr 340 Sextillionen Adressen (2128 = 3,4·1038) unter IPv6 erhöhen. Für die Adressvergabe ist die Internet Corporation for Assigned Names and Numbers (ICANN) zuständig, welche Adressräume an regionale Vergabestellen (Regional Internet Registries, z. B. das R¦seaux IP Europ¦ens Network Coordination Centre [RIPE NCC] für Europa, den Nahen Osten und Zentralasien18) zuteilt, die ihrerseits Adressräume an ihre Mitglieder vergeben. Mitglieder können Großabnehmer von IP-Adressen (Mindestabnahmemenge: 2048 IP-Adressen) werden, die ein berechtigtes Interesse für die Zuweisung eines Adressraums besitzen.19 Dies sind z. B. die Access-Provider, welche die IP-Adressen an Endnutzer vergeben.20 b) Transmission Control Protocol Während auf der Netzwerkschicht die Wegfindung durch das Netz ermöglicht wird, werden auf der Transportschicht die Einzelheiten der Datenübertragung geregelt. Zuständig ist dafür das Transmission Control Protocol (TCP). Es regelt den Ablauf der Kommunikation zwischen Client und Server und stellt somit die Ver-

17 Vgl. tagesschau.de v. 3. 2. 2011, IANA teilt letzte IP-Adressen zu, http://www.tagesschau.de/ausland/ipadressen100.html (15. 3. 2011). 18 Weitere Vergabestellen sind die ARIN (v. a. für USA, Kanada), APNIC (Asien, Pazifik), LACNIC (Lateinamerika, Karibik) u. AfriNIC (Afrika). 19 Vgl. http://www.ripe.net/rs/news/min-alloc-size-20031229.html (26. 2. 2010). 20 Deutsche Mitglieder des RIPE NCC aufgelistet unter http://ripe.net/membership/indices/ DE.html (15. 3. 2011).

I. Internet

37

bindung her.21 Dazu teilt es die Daten in einzelne Datenpakete und gibt jedem Paket eine Nummer, sodass der Empfänger die Daten in der richtigen Reihenfolge zusammensetzen und die Vollzähligkeit der Pakete überprüfen kann. Jedes Paket wird mit einem weiteren Header versehen, der u. a. Auskunft über Ziel, Sender und Paketnummer gibt. Die Fehlerkontrolle sorgt dafür, dass bei der Übertragung verloren gegangene Pakete erneut von der Quelle abgeschickt werden. Zu Beginn der Datenübertragung wird mittels der Flusskontrolle die Größe der zu sendenden Pakete von beiden Rechnern ermittelt. Ferner kennzeichnet das TCP jedes Protokoll mit einer Portnummer. Unterschiedliche Ports eines Rechners dienen für die Kommunikation unterschiedlicher Anwendungsdienste (z. B. World Wide Web, Email).22 Durch die Angabe des Ports weiß der Zielrechner, mit welcher Anwendungssoftware es die gesendeten Informationen verarbeiten kann. c) Anwendungsprotokolle – insbesondere World Wide Web Die Regeln des TCP/IP bestimmen nur die Art und Weise des Datenaustauschs im Allgemeinen und ermöglichen somit die Kommunikation der zusammengeschlossenen Rechner. In welcher Form die Kommunikation zwischen den Rechnern erfolgt, ist eine Frage der genutzten Internetdienste. Internetdienste bauen auf das durch die TCP/IP geschaffene Netzwerk auf und geben bestimmte Regeln zur Datenverarbeitung vor, sodass bei Verwendung der richtigen Software eine Datenübermittlung möglich ist.23 Der bekannteste Internetdienst ist das World Wide Web (WWW, Web). Andere wichtige Internetdienste sind Email, FTP, das Usenet, Internet-Telefonie (Voice-over-IP), Chatdienste, Internetfernsehen und das Internetradio.24 aa) Hypertext Transfer Protocol Das World Wide Web ermöglicht den Abruf von unzähligen Dokumenten, die als Webseiten (Internetseiten) auf Webservern abgelegt sind.25 Die Kommunikation folgt den Regeln des Hypertext Transfer Protocols (HTTP).26 Das HTTP ermöglichte erstmals die unidirektionale Verlinkung von Webseiten, d. h. jeder konnte einen Hyperlink (kurz: Link) von seiner Internetseite auf eine andere Seite setzen, ohne dass

21

Ausführlich Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 1 Rn. 45. Vorgesehene Ports für gewisse Standarddienste sind festgelegt in RFC (Request for Comment) 1700, abrufbar z. B. unter http://www.faqs.org/rfcs/rfc1700.html (15. 3. 2011). 23 Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 1 Rn. 79. 24 Vgl. Wikipedia, Internetdienste, http://de.wikipedia.org/wiki/Internetdienste (15. 3. 2011). 25 Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 1 Rn. 80. 26 Schaar, Datenschutz im Internet, Rn. 16. 22

38

B. Grundlagen

der Inhaber der anderen Seite mitwirken musste.27 Ein Link ist ein Verweis in einer Webseite, meist in Form eines Textes oder einer Grafik auf der Ausgangsseite, in der der Link implementiert ist, der einen zu einer anderen Internetseite „springen“ lässt, wenn man dem Link durch Anklicken folgt. So kann man auf einfache Weise von Internetseite zu Internetseite wechseln, ohne die genaue Adresse der Seiten zu kennen und einzugeben.28 Mithilfe der Verlinkungstechnik entsteht eine logische Verknüpfung von auf vielen an das Internet angeschlossenen Rechnern gespeicherten Webdokumenten. Die Verknüpfung der Webdokumente ermöglicht es, nach und nach durch das Folgen der Hyperlinks alle verfügbaren und miteinander vernetzten Informationen im WWW zu einem Thema zu erschließen.29 Suchmaschinen nutzen die Verlinkungstechnik aus, indem sie auf ihren Ergebnisseiten Links zu den Suchtreffern bereithalten. Die Erfindung des HTTP vereinfachte die Navigation und die Erschließung von großen Datenmengen und stellte dadurch erst die Massentauglichkeit des WWW her.30 Mit dem WWW begann der rasante Aufstieg des Internet zu einem Massenmedium. Daher bezeichnet man heutzutage umgangssprachlich die Nutzung des WWW auch als „Surfen im Internet“. Diese Arbeit passt sich dem allgemeinen Sprachgebrauch an und setzt bisweilen das Internet mit dem Nutzen des World Wide Web-Dienstes gleich. bb) Uniform Resource Locator Alle Dateien im WWW besitzen eine eindeutige Adresse, die URL31 (Uniform Resource Locator). Die URL setzt sich aus der Bezeichnung des genutzten Anwendungsprotokolls, z. B. HTTP, der Adresse des Servers, auf dem die Datei gespeichert ist, z. B. „www.bundesverfassungsgericht.de“ und dem Namen des auf dem Server gespeicherten Dokuments, z. B. „richter.html“ (für die Seite „http:// www.bundesverfassungsgericht.de /richter.html“) zusammen. Die Adressierung von Rechnern im Internet erfolgt eigentlich über die IP-Adresse. Da Menschen sich IP-Adressen schlecht merken können, wurde ein Dienst entwickelt, der die Zahlenkolonnen von IP-Adressen in Namen (Domains) transformiert. Dies bewerkstelligt das Domain Name System. Dies ist ein System von Servern, die den Namensraum verwalten und Übersetzungsregister vorhalten. Wenn ein Client versucht, zu dem Server mit der Adresse „www.bundesverfassungsgericht.de“ Kontakt aufzunehmen und die zugehörige IP-Adresse in seiner Hosts-Datei nicht aufgeführt ist, stellt er eine Anfrage an den DNS-Server und erhält von diesem die IPAdresse des Zielrechners, sodass der Client den Server erreichen kann.32 Die Ver27 Wikipedia, World Wide Web, http://de.wikipedia.org/wiki/World_Wide_Web (15. 3. 2011). 28 Kochinke/Tröndle, RDV 1999, 190 (191). 29 Schmitz, TDDSG und das Recht auf informationelle Selbstbestimmung, S. 51. 30 Schaar, Datenschutz im Internet, Rn. 16. 31 Teilweise wird auch von der URL gesprochen. 32 Vereinfachte Darstellung nach Wikipedia, Domain Name System, http://de.wikipedia.org/wiki/Domain_Name_System (15. 3. 2011).

II. Suchmaschinen

39

waltung von Domainnamen erfolgt durch regionale Stellen. Die unter der deutschen Länderkennnung „.de“ auftretenden Domains werden von der DENIC (Deutsches Network Information Center) verwaltet.33 Bei der DENIC kann zu jeder Domain deren Eigentümer bzw. dessen technischer Betreuer abgefragt werden (Whois-Abfrage).34 Dieser Service dient dem Zweck, den Verantwortlichen einer Domain schnell zu ermitteln, um von der Domain ausgehende technische Schwierigkeiten oder Rechtsverletzungen abzustellen. Das Domain Name System ermöglicht auch die Abfrage nach dem Namen eines Servers (Hostname), anhand der IP-Adresse (sog. reverse DNS lookup bzw. whois-Abfrage). Ein entsprechendes, frei zugängliches Abfragemodul stellt das RIPE NCC zur Verfügung.35 cc) Browser Um Internetseiten aufrufen und darstellen zu können, muss auf dem Rechner des Nutzers eine Anwendungssoftware installiert sein; dies ist der Browser (z. B. Microsofts Internet Explorer oder Mozillas Firefox). Browser sind Computerprogramme, mithilfe deren man Webseiten oder andere Dokumente darstellen kann und die die Navigation im World Wide Web, z. B. durch das Folgen von Hyperlinks, ermöglichen.

II. Suchmaschinen Suchmaschinen sind Dienste, die ihren Benutzern beim Auffinden von Informationen im Web behilflich sind.36 Es gibt zwei Arten von Suchmaschinen. Zum einen gibt es Suchmaschinen, bei denen das Anlegen der Dokumentensammlung sowie die Relevanzgewichtung vollautomatisch erfolgen. Solche Suchmaschinen bezeichnet man als automatische37, algorithmusbasierte38 oder crawler-basierte39 Suchmaschinen oder Websuchmaschinen40 bzw. schlicht als Suchmaschinen.41 Nur diese Art 33

http://www.denic.de/ (15. 3. 2011). http://www.denic.de/de/whois/index.jsp (15. 3. 2011). 35 http://www.db.ripe.net/whois, das RIPE NCC gibt den Namen des für die IP-Adresse Verantwortlichen heraus, nicht jedoch den Hostnamen. Andere Whois-Anbieter im Web ermitteln diesen jedoch auch, z. B. http://whois.domaintools.com/ (15. 3. 2011). 36 Artikel-29-Datenschutzgruppe, Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 6, http://ec.europa.eu/justice/policies/privacy/ docs/wpdocs/2008/wp148_de.pdf (15. 03. 2011). 37 Rath, Das Recht der Internet-Suchmaschinen, S. 46; Machill/Neuberger/Schindler, Transparenz im Netz, S. 23. 38 Lewandowski, Web Information Retrieval, S. 24, 26 ff. 39 Karzauninkat/Alby, Suchmaschinenoptimierung, S. 21 ff. 40 Griesbaum/Bekavac/Rittberger, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 18 (28). 34

40

B. Grundlagen

Suchmaschinen ist Gegenstand dieser Abhandlung.42 Weiterhin existieren Suchmaschinen, deren Dokumentenverzeichnis manuell erstellt und gepflegt wird und auch die Relevanzbestimmung der einzelnen Dokumente manuell erfolgt. Zu dieser Kategorie von Suchmaschinen gehören Webkataloge und Social Bookmarkdienste. Zur Abgrenzung werden die verschiedenen Arten von Suchhilfen im Folgenden beschrieben.43

1. Webkataloge Als Webkataloge bezeichnet man manuell erstellte und üblicherweise hierarchisch geordnete Verzeichnisse mit Links zu den katalogisierten Webseiten.44 Die Aufnahme in einen Katalog erfolgt i. d. R. über eine Anmeldung, die teilweise kostenpflichtig ist. Der Katalogbetreiber entscheidet nach einer Begutachtung der Webseite über deren Aufnahme. Der weltweit größte Webkatalog ist das Open Directory Project (ODP), der durch freiwillige Mitarbeiter gepflegt wird. Andere Kataloge im deutschsprachigen Raum sind der Yahoo!-Katalog, der web.de-Katalog und allesKlar.de. Kataloge gruppieren aufgrund ihrer hierarchischen Struktur thematisch verwandte Webseiten und sind insofern für einen Suchenden hilfreich, der sein Informationsinteresse nicht hinreichend spezifizieren kann. Weiterhin verhindert die Pflege des Verzeichnisses durch Menschen, dass sich Spamseiten durch technische Tricks in einem an sich unpassenden Suchbegriffskontext platzieren können. Andererseits produzieren Webkataloge einen erheblichen Wartungsaufwand. Außerdem decken sie im Verhältnis zu algorithmusbasierten Suchmaschinen das Internet nur marginal ab.45

2. Social Bookmarkdienste Social Bookmarkdienste oder Tagging Communities ermöglichen den Nutzern, eigene Lesezeichen anzulegen und zu verwalten sowie auf die Lesezeichen anderer Nutzer zuzugreifen. Auf diese Weise erfolgt eine gemeinsame Indexierung des Internet durch die Dienstnutzer. Das verstärkte Einbeziehen der Anwender in die Weiterentwicklung eines Webdienstes als eine Form des „Mitmach-Webs“ ist ver-

41 Erlhofer, Suchmaschinen-Optimierung für Webentwickler, S. 26; Sieber, in: Hoeren/ Sieber, Hb. Multimedia Recht,Teil 1 Rn. 99; Abgrenzung zum Oberbegriff „Suchdienste“. 42 Siehe Einleitung oben A. III. 43 Vgl. auch Griesbaum/Bekavac/Rittberger, in: Lewandowski (Hrsg.), Handbuch InternetSuchmaschinen, S. 18 (18 ff.); Karzauninkat/Alby, Suchmaschinenoptimierung, S. 21 ff. 44 Griesbaum/Bekavac/Rittberger, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 18 (19). 45 Das ODP erfasst 4,8 Millionen Seiten, http://www.dmoz.org/ (18. 1. 2011), Google überschritt bereits im Juli 2008 die Billionen-Marke, oben Teil A. Fn. 4.

II. Suchmaschinen

41

stärkt in Mode gekommen. Dieser Trend wird als „Web 2.0“ bezeichnet.46 Bekannte Social Bookmarkdienste sind delicious47 oder Mister-Wong.48

3. Algorithmusbasierte Suchmaschinen Algorithmusbasierte Suchmaschinen sind die am weitesten verbreiteten Suchmaschinen. Die bekannteste ist Google. Google ist der unangefochtene Marktführer auf dem deutschen Suchmaschinenmarkt mit einem Marktanteil von annähernd neunzig Prozent.49 Algorithmusbasierte Suchmaschinen bestehen im Kern aus drei Bestandteilen: Der Crawler, der die Weiten des WWW nach neuen Inhalten durchforstet und diese herunter lädt, der Indexer, der die herunter geladenen Seiten in den Index aufnimmt und selbigen verwaltet, und das Abfragemodul, das auf die Suchanfrage des Nutzers die Trefferliste generiert.50 a) Crawler Der Crawler (Robot oder Spider) ist ein Programm, das auf einer Webseite startet und von dort den Verlinkungen zu anderen Seiten folgt. Von allen besuchten Seiten lädt der Crawler die textuellen Bestandteile herunter. Auf diese Weise lassen sich große Teile des World Wide Web erschließen. Die hohe Veränderlichkeit mancher Webseiten erfordert, dass der Crawler Webseiten regelmäßig besucht. Die Häufigkeit der „Crawl-Intervalle“ einer Seite entscheidet die Suchmaschine anhand eines Algorithmus, der die Veränderung der Seite seit dem letzten Crawlen analysiert.51 Für einen Crawler nicht erfassbar bleiben Login-geschützte Seiten und solche, deren Erreichbarkeit das vorherige Ausfüllen von Webformularen bedingen,52 sowie solche Seiten, auf die von keiner anderen Seite aus verlinkt wird. Große Suchmaschinen bieten zudem die Möglichkeit an, die eigene Webseite direkt bei ihnen anzumelden.53 Darüber hinaus können Webseiteninhaber durch entsprechende Eintragungen von 46

Vgl. Wikipedia, Web 2.0, http://de.wikipedia.org/wiki/Web_2.0 (15. 3. 2011). http://delicious.com/ (15. 3. 2011). 48 http://www.mister-wong.de/ (15. 3. 2011). 49 http://www.webhits.de/ (15. 3. 2011). 50 Die gleiche Komponenteneinteilung u. -bezeichnung bei Karzauninkat/Alby, Suchmaschinenoptimierung, S. 21; ähnlich Griesbaum/Bekavac/Rittberger, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 18 (28); Sieber, in: Hoeren/Sieber, Hb. Multimedia Recht, Teil 1 Rn. 99; sehr detaillierte Beschreibungen auch bei Erlhofer, Suchmaschinen-Optimierung für Webentwickler, S. 69 ff.; Lewandowski, Web Information Retrieval, S. 26 ff. 51 Karzauninkat/Alby, Suchmaschinenoptimierung, S. 25 f. 52 Griesbaum/Bekavac/Rittberger, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 18 (29). 53 Z. B. Google: http://www.google.de/addurl/; Bing: http://www.bing.com/docs/submit.aspx; Yahoo: http://siteexplorer.search.yahoo.com/de/free/request (15. 3. 2011). 47

42

B. Grundlagen

Meta-Tags54 oder dem Anlegen einer „robots.txt-Datei“ im Stammverzeichnis der Domain den Suchmaschinencrawlern kenntlich machen, dass eine Indexierung der Seite nicht erwünscht ist. Die Suchmaschinen respektieren i. d. R. den Willen des Seitenanbieters. b) Indexer Durch die Crawler herunter geladene Webseiten werden in den Suchmaschinenindex aufgenommen, nachdem sie durch den Indexer bearbeitet wurden. Die Bearbeitung durch den Indexer erfolgt im Hinblick auf eine optimale Auswertungsmöglichkeit der heruntergeladenen Inhalte. Um die schnelle Durchsuchbarkeit des IndexÏ zu ermöglichen, normalisiert der Indexer zunächst die Webseiten, indem er die Dokumente in ein einheitliches Datenformat konvertiert, das das Dokument auf dessen wesentlichen Inhalte, wie Text und Textstruktur reduziert. Anschließend wird die Struktur des Dokuments aufgeschlüsselt und im Hinblick unter anderem auf Sprache, Worthäufigkeiten, Wortstellung und Schlüsselwörter analysiert.55 Anhand der Analyseergebnisse erfolgt die Aufnahme des Dokuments in den Index. Dabei ersetzt der Indexer die URL durch eine eindeutige Identifikationsnummer. Weiterhin werden bestimmte Informationen zu jeder indexierten Webseite gespeichert, wie die Länge des Dokuments, das Erstellungsdatum der Webseite, das Datum der letzten Indexaktualisierung, der Dokumententyp, Informationen aus der robots.txt-Datei bzw. Meta-Tag-Informationen, Statusinformationen über den Server sowie der Hostname und die IP-Adresse.56 c) Abfragemodul Das Abfragemodul ist für die Bearbeitung der Suchanfragen zuständig. Es ordnet die Treffer aus dem Suchindex nach ihrer Relevanz und präsentiert sie als Ergebnisliste. Zu jedem Suchtreffer erscheint üblicherweise eine Überschrift, in der der Link zum Trefferdokument hinterlegt ist (Linktext), ein kurzer Vorschautext mit einem Ausschnitt aus dem Ergebnisdokument (Snippet) sowie die Internetadresse des Trefferdokuments. Diese Elemente werden von der Suchmaschine automatisch generiert und schaffen eine übersichtliche Präsentation der Rechercheergebnisse. Zur Berechnung der für die Reihenfolge der Anzeige der Suchtreffer entscheidenden Relevanz eines Webdokuments existieren komplizierte Algorithmen, die die indexierten Webseiten nach einer vielfältigen Anzahl von Kriterien gewichten. Die Algorithmen unterscheiden sich von Suchmaschine zu Suchmaschine und deren genaue Formeln werden von den Suchmaschinenbetreibern geheim gehalten und 54 Meta-Tags sind Metainformationen, die sich im Header eines HTML-Dokuments befinden u. bei der Visualisierung des Dokuments durch einen Browser nicht angezeigt werden; vgl. Wikipedia, Meta-Tag, http://de.wikipedia.org/wiki/Metatag (15. 3. 2011). 55 Ausführlich Erlhofer, Suchmaschinen-Optimierung für Webentwickler, S. 81 ff.; Aaberg, in: Eberspächer/Holtel (Hrsg.), Suchen und Finden im Internet, S. 47 (51 ff.). 56 Aufzählung nach Erlhofer, Suchmaschinen-Optimierung für Webentwickler, S. 72.

II. Suchmaschinen

43

ständig fortentwickelt.57 Bei Google fließen nach eigenen Angaben über 200 Kriterien in die Relevanzberechnung mit ein.58 Grob lassen sich die Relevanzkriterien in vier Gruppen unterteilen: On-Page-Faktoren, On-Site-Faktoren, Link-Faktoren und nutzerabhängige Faktoren.59 Als On-Page-Faktoren bezeichnet man die Relevanzkriterien, die sich unmittelbar aus dem Dokument extrahieren lassen, z. B. wie oft, an welcher Position und in welchem Abstand der Suchbegriff innerhalb des Dokuments vorkommt. On-Site-Faktoren betreffen die Analyse des Umfelds des Dokuments, insbesondere der Domain, auf der sich das Dokument befindet. Die Linkpopularität ist ein besonders wesentlicher Faktor bei der Relevanzbewertung von Treffern. Suchmaschinen analysieren die Vernetzungsstrukturen der Dokumente im WWW. Je mehr Verlinkungen zu einer Webseite existieren, als desto relevanter wird die Webseite von Suchmaschinen eingestuft. Die Idee der Berücksichtigung der Linkpopularität entstammt der Zitationsanalyse wissenschaftlicher Arbeiten. In der Wissenschaft gilt die Anzahl der Zitierung eines Werkes in anderen Arbeiten als Indiz für eine hohe wissenschaftliche Bedeutung. Dabei spielt auch die Bedeutung des zitierenden Werkes eine Rolle. Eine bisher weitgehend unbedeutende Arbeit erlebt eine Aufwertung, wenn sie von einem anerkannten Wissenschaftler zitiert wird. Die hohe Bedeutung der zitierenden Arbeit färbt gewissermaßen auf die zitierte Arbeit ab. Genauso kann eine bisher unbekannte Veröffentlichung wissenschaftliche Bedeutung erlangen, wenn sie anstatt von einer bedeutenden Arbeit von vielen weniger bedeutenden Arbeiten zitiert wird.60 Die Übertragung dieser Erkenntnisse auf Seiten im World Wide Web erfolgte erstmals in der Suchmaschine Google. Auch im Web gilt: Sechs Links von namhaften Seiten, wie die des Wall Street Journal, der New York Times und dem amerikanischen House of Representatives haben ein größeres Gewicht, als Links von 20 alten Freunden aus der Uni, die zufällig ebenfalls eine eigene Webseite betreiben.61 Google zählte als erste Suchmaschine die Anzahl der Verlinkungen auf eine Webseite. Dabei wurde nicht jede Verlinkung als gleich werthaltig eingestuft, sondern der Wert des einzelnen Links berechnet aus einer Division des 57

Zu den relevantesten Veränderungen des Google-Algorithmus Erlhofer, SuchmaschinenOptimierung für Webentwickler, S. 373 ff.; anschaulich zum Bestreben nach Algorithmusoptimierung bei Google Hansell, Google Keeps Tweaking Its Search Engine, New York Times v. 3. 6. 2007, http://www.nytimes.com/2007/06/03 /business/yourmoney/03google.html (15. 3. 2011). 58 Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 19, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011); Varian, Why data matters (Google Blog), http://googleblog.blogspot.com/2008/03/why-datamatters.html (15. 3. 2011). 59 Einteilung nach Griesbaum/Bekavac/Rittberger, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 18 (33); es lässt sich auch nach anfrageabhängigen u. anfrageunabhängigen Faktoren trennen, wie z. B. Lewandowski, Web Information Retrieval, S. 90. 60 Beispiel nach Karzauninkat/Alby, Suchmaschinenoptimierung, S. 26. 61 Beispiel nach Varian, Why data matters (Google Blog), http://googleblog.blogspot.com/ 2008/03/why-data-matters.html (15. 3. 2011).

44

B. Grundlagen

Relevanzwertes der verlinkenden Seite durch die Anzahl der ausgehenden Verlinkungen. Die Addition der Werte der eingehenden Verlinkungen ergibt den Relevanzwert einer Webseite. Dieser Wert heißt bei der Suchmaschine Google „Pagerank“,62 benannt nach einem der Erfinder und Gründer von Google, Larry Page.63 Ein Hyperlink besteht aus einem sichtbaren Teil, dem Verweistext, auf dessen Klicken der Link aktiviert wird und der Befehl zum Öffnen der verlinkten Seite erteilt wird, und einem unsichtbaren Teil, der Bestandteil des Quelltextes der Webseite ist und das Linkziel beinhaltet.64 Suchmaschinen werten auch den Verweistext (den sog. Ankertext) aus und ziehen aus diesem Rückschlüsse auf den Inhalt des Linkziels. Auf diese Weise ermitteln Suchmaschinen den Inhalt einer Webseite nicht nur durch dessen Analyse, sondern bedienen sich der Beschreibungen dritter Seiten. Diese Verfahren der Linkanalyse sind grundsätzlich zuverlässige Methoden, Bedeutung und Inhalt einer Webseite zu ermitteln. Die Analyse des Ankertextes birgt allerdings ein Missbrauchspotential, wenn gezielt viele Links auf eine Seite gesetzt werden – z. B. auf eine Homepage mit der offiziellen Biografie von George W. Bush – und die Ankertexte nicht den Inhalt der verlinkten Seite widerspiegeln, sondern einen schmähenden Inhalt aufweisen – z. B. „miserable failure“. Dann besteht das Risiko, dass bei der Eingabe des Ankertextes als Suchwort die verlinkte Seite weit oben in den Suchergebnissen erscheint. Das gezielte massenhafte Verlinken unter Verwendung eines bestimmten Ankertextes, um auf diese Weise die Suchergebnisse zu beeinflussen, wird mit Blick auf die derzeit marktführende Suchmaschine als „GoogleBombing“ bezeichnet.65 Das oben beschriebene Beispiel einer Google-Bombe wurde 2003 von Gegnern des damaligen amerikanischen Präsidenten initiiert.66 Suchmaschinen sind bestrebt, durch Optimierung ihres Suchalgorithmus derartige Manipulationsmöglichkeitenn zu minimieren.67 Die Suchalgorithmen beinhalten schließlich Faktoren, die die persönlichen Umstände des Suchenden berücksichtigen. Es ist festzustellen, dass bei Suchmaschinen ein Trend zu einer verstärkten Personalisierung der Trefferlisten existiert.68 Teilweise 62 Ausführlich zum Pagerank Erlhofer, Suchmaschinen-Optimierung für Webentwickler, S. 125 ff. 63 Brin/Page, The Anatomy of a Large-Scale Hypertextual Web Search Engine, http:// infolab.stanford.edu/pub/papers/google.pdf (15. 3. 2011). 64 Wikipedia, Hyperlink, http://de.wikipedia.org/wiki/Hyperlink (15. 3. 2011). 65 Wikipedia, Google-Bombe, http://de.wikipedia.org/wiki/Google_Bombing (15. 3. 2011). 66 Oben Teil B. Fn. 65. 67 Vgl. Sullivan, Google Kills BushÏs Miserable Failure Search & Other Google Bombs, http://searchengineland.com/google-kills-bushs-miserable-failure-search-other-google-bombs10363 (15. 3. 2011). 68 „Search over the last few years has moved from ,Give me what I typedÐ to ,Give me what I wantГ, Amit Singhal (Google Fellow) zit. nach Hansell, Google Keeps Tweaking Its Search Engine, New York Times v. 3. 6. 2007, http://www.nytimes.com /2007/06/03/business/yourmoney/03google.html (15. 3. 2011); vgl. ferner Hotchkiss, Just Behave: GoogleÏs Marissa Mayer on Personalized Search, http://searchengineland.com/just-behave-googles-marissamayer-on-personalized-search-10592 (15. 3. 2011).

III. Datenumgang

45

werden die Nutzerpräferenzen explizit erfragt, z. B. durch Eingabemasken mit erweiterten Suchoptionen, die dem Nutzer die Möglichkeit geben, sein Suchbedürfnis sehr genau zu definieren. Vor allem aber versuchen die Suchmaschinen implizit, sich auf die individuellen Bedürfnisse des Nutzers einzustellen. Dafür erheben und werten sie die ihnen zur Verfügung stehenden Nutzerdaten aus (zu den anfallenden Daten sogleich näher unter B. III.). Die Auswertung der IP-Adresse ermöglicht eine ungefähre Lokalisierung des Nutzers. Vermutlich ist der Nutzer eher an Suchergebnissen aus seiner Nähe interessiert, außerdem können lokale sprachliche Eigenarten Berücksichtigung finden. Anhand von Nutzerprofilen lassen sich außerdem unter Umständen aus den Suchverhalten in der Vergangenheit Rückschlüsse auf gegenwärtige Suchbedürfnisse ableiten.

4. Metasuchmaschinen Ein weiterer eigener Typus von Suchmaschinen sind Metasuchmaschinen. Metasuchmaschinen leiten eine Suchanfrage an mehrere andere Suchmaschinen weiter und tragen die Treffer zusammen. Anders als die vorhergehend beschriebenen Typen besitzen sie keinen eigenen Suchindex, sondern bauen auf bestehende Suchmöglichkeiten über andere Suchmaschinen auf. Viele „richtige“ Suchmaschinen sperren jedoch die Nutzung durch Metasuchmaschinen, u. a. Google. Ohne den Rückgriff auf andere leistungsfähige Suchmaschinen sind Metasuchmaschinen nicht in der Lage, die Suchbedürfnisse der Nutzer angemessen zu befriedigen. Daher ist der Marktanteil von Metasuchmaschinen nicht besonders hoch. Metasuchmaschinen bleiben in dieser Untersuchung ebenfalls außer Betracht.

III. Datenumgang Für die Untersuchung der datenschutzrechtlichen Friktionen der Suchmaschinennutzung ist eine genaue Ermittlung der anfallenden Daten und der Art und Weise des Datenumgangs69 unabdingbar. Die nachfolgenden Ausführungen beschränken sich nicht auf eine Darstellung des Datenaustauschs, der unmittelbar mit der eigentlichen Websuche zusammen hängt, 69 Die Terminologie des BDSG ist uneinheitlich: Der Begriff des Datenumgangs wird in § 1 Abs. 1 BDSG als Oberbegriff für das Erheben, Verarbeiten u. Nutzen von Daten i. S. d. § 1 Abs. 3 – 5 BDSG verwendet. Der Begriff der Datenverarbeitung wird wiederum in § 3 Abs. 4 S. 1 BDSG in einem engen Sinne verstanden u. schließt die Erhebung u. Nutzung nicht ein, während die automatisierte Verarbeitung in § 3 Abs. 2 S. 1 BDSG auch die Verarbeitungsschritte der Erhebung u. Nutzung wiederum umfasst. Da der Begriff des Datenumgangs etwas sperrig ist, wird im Folgenden der Begriff der Datenverarbeitung, je nach Kontext, synonym verwendet. Dies entspricht der Terminologie der EG-Datenschutzrichtlinie u. weiter Teile der Literatur.

46

B. Grundlagen

sondern stellen auch die sonstigen Methoden der Datenerhebung dar, die üblicherweise durch Suchmaschinen angewendet werden.

1. Datenverarbeitungsschritte bei der Erstellung der Suchergebnisse Um einen schnellen Suchdienst zu ermöglichen, müssen Suchmaschinen sämtliche Webseiten im Vorfeld von Suchanfragen erfasst und analysiert haben. Dies bedingt sehr komplexe und umfassende Datenverarbeitungen. Suchmaschinen durchsuchen automatisiert mittels Crawlern das Netz, speichern verkürzte Versionen der gefundenen Seiten im Index, präsentieren die Dokumente auf eine Suchanfrage hin auf der Trefferseite durch Anzeige der Adresse und einen kurzen Textauszug aus dem jeweiligen Dokument (Snippet) und vermitteln den Zugang durch Verlinkung. Sofern die von einer Suchmaschine erfassten Webseiten personenbezogene Daten beinhalten, werden diese von der Suchmaschine genauso wie alle anderen Daten erfasst und verarbeitet.

2. Einwahl beim Access-Provider Die Verbindungsherstellung mit dem Internet erfolgt am häufigsten durch die Einwahl des Nutzers bei seinem Access-Provider, der dem Nutzer eine dynamische IP-Adresse zuteilt; in selteneren Fällen verfügen Nutzer über statische IP-Adressen.70 Zur Abrechnung des Zugangsdienstes verfügt der Access-Provider auch über den Namen und die Anschrift des Nutzers. Der Access-Provider ist somit die Schnittstelle, die über das Zuordnungswissen zwischen den von ihm vergebenen IP-Adressen und den dahinter stehenden, websurfenden, natürlichen Personen verfügt. Die Ermittlung der Zuordnung einer IP-Adresse zu einer natürlichen Person ist daher durch die Geltendmachung von Auskunftsansprüchen gegen den Access-Provider möglich.

3. Notwendige Kommunikationsdaten Wenn der Internetsurfer eine URL eingibt oder einem Hyperlink folgt, geschieht im Hintergrund folgendes:71 Der Client sendet eine Anfrage (Request) nach dem gewünschten Dokument an den Server, auf dem das Dokument gespeichert ist (Host). Der Host bearbeitet die Anfrage und sendet das angeforderte Dokument, gestückelt in kleinen TCP/IP-Paketen, an den Client (Response). Jeder Datenaustausch im WWW 70

Oben B. I. 2. a). Vgl. Köhntopp/Köhntopp, CR 2000, 248 (250 ff.); Schmitz, TDDSG und das Recht auf informationelle Selbstbestimmung, S. 52 ff. 71

III. Datenumgang

47

erfolgt also aufgrund eines Requests und einer Response; mithin ist die Internetkommunikation – anders als die Kommunikation bei herkömmlichen Medien wie Presse, Rundfunk und Fernsehen – immer eine bidirektionale. Üblicherweise wird jede Anfrage vom Hostserver in den Logdateien protokolliert und für eine gewisse Zeit gespeichert.72 Der Umfang der Protokollierung hängt von den Servereinstellungen des Hostservers ab.73 Solche Logdateien legen auch Suchmaschinen an.74 Eine Befragung führender Suchmaschinenbetreiber durch die Artikel 29-Datenschutzgruppe75 hat ergeben, dass Suchmaschinen i. d. R. folgende Daten protokollieren76: Gespeichert werden die IP-Adresse des anfragenden Rechners, die Kennung des von der Suchmaschinen bei einer vorherigen Sitzung gesetzten Cookies (falls vorhanden, dazu sogleich näher), Datum und Uhrzeit der Anfrage, Inhalt der Suchanfrage, Computerkonfigurationsdaten des Benutzers, wie dessen Browserversion, Betriebssystemversion und Desktopauflösung, die Webseite, von der aus der Nutzer auf die Suchseite gekommen ist (Referrer) sowie welchen Links aus der Trefferliste der Nutzer gefolgt ist.

4. Cookies Die meisten Suchmaschinen setzen Cookies zur Identifizierung der Nutzer ein.77 Eine Eigenschaft des HTTP ist es, dass bei dessen Verwendung der kontaktierte Server jede Seitenanfrage isoliert bearbeitet. Für die Anfrage einer in der Verzeichnisstruktur tiefer liegenden Seite macht es keinen Unterschied für den Host, ob ein Client von der Startseite des Webauftritts sich zu der tiefer liegenden Seite durchgeklickt hat, oder ob er direkt zu der Seite gesprungen ist. Es werden also beim 72

Google hat angekündigt, die Speicherdauer der Serverlogs auf neun Monate zu begrenzen, vgl. Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 20, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). 73 Ausführlich zu Logdateien Markov/Larose, Data mining the web, S. 148 ff. 74 Oben Teil B. Fn. 72. 75 Die Art. 29-Datenschutzgruppe wurde aufgrund von Art. 29 der RL 95/46EG (Datenschutzrichtlinie) gegründet u. setzt sich aus den Datenschutzbeauftragten der EU-Mitgliedstaaten zusammen. Sie berät die Organe der EU in Fragen des Datenschutzes. Für näheres siehe http://ec.europa.eu/justice_home/fsj/privacy/workinggroup /index_de.htm (15. 3. 2011). 76 Vgl. Artikel-29-Datenschutzgruppe, Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 6 ff., http://ec.europa.eu/justice/policies/ privacy/docs/wpdocs/2008/wp148_de.pdf (15. 3. 2011); Weichert, MR-Int 2007, 188 (188); Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (286); für Google http://www.google.com/intl/de/privacy_glossary.html#serverlogs (15. 3. 2011). 77 Vgl. die Datenschutzbestimmungen von Google i. d. F. v. 3. 10. 2010, http://www.google.com/intl/de/ privacypolicy.html, Yahoo! i. d. F. v. Januar 2011, http://info.yahoo.com/privacy/de/yahoo/, oder Bing i. d. F. v. November 2010, http://privacy.microsoft.com/de-de/fullnotice.mspx. – Es gibt auch Suchmaschinen, die auf die Speicherung von Nutzerdaten u. das Setzen von Cookies verzichten, z. B. die Suchmaschine Ixquick, http://ixquick.de/deu/protect_privacy.html (15. 3. 2011).

48

B. Grundlagen

Klicken von einer Seite zu einer anderen keine Informationen des Nutzers übernommen. Ein Cookie ist eine kleine Datei, die bei dem Aufruf einer Internetseite von dem Webserver an den Browser des Clients gesendet und auf dem Rechner des Clients gespeichert wird.78 Cookies dienen dazu, die Möglichkeiten des HTTP durch das Hinterlegen von Nutzerinformationen auf dem Rechner des Clients zu erweitern.79 Insbesondere ermöglicht ein Cookie, dass ein Webserver einen Client wieder erkennt. Bei jedem weiteren Aufruf einer Internetseite des Cookie-setzenden Webservers werden die Cookie-Informationen vom Client mit gesendet und von dem Webserver ausgelesen u. U. ergänzt. Der Einsatz der Cookie-Technik kann z. B. dazu genutzt werden, dass bei anmeldepflichtigen Internetseiten der Nutzer bei einem erneuten Aufrufen der Webseite seine Nutzerkennung und sein Passwort nicht erneut eingeben muss, dem Nutzer einer Webseite personalisierte Empfehlungen gemacht werden können oder dass auf Shopping-Seiten sich der Webserver merkt, welche Waren der Nutzer in seinen virtuellen Warenkorb abgelegt hat.80 Während die IP-Adresse zur Nutzeridentifikation nur bedingt tauglich ist, weil die meisten Nutzer dynamische IPAdressen verwenden, ermöglicht die Speicherung einer Identifikationsnummer in einem Cookie (Cookie-ID) eine sichere Wiedererkennung eines Rechners. Cookies kommen in zwei Arten vor: Man unterscheidet Cookies, die nur für die Dauer einer Internetsitzung gespeichert werden (Session-Cookies) und Cookies, die für längere Zeit auf dem Hostrechner gespeichert bleiben (Persistent-Cookies). Da die meisten Suchmaschinen bestrebt sind, das Nutzerverhalten langfristig zu verfolgen, setzen sie Persistent-Cookies ein. Durch den Einsatz von Cookies können Suchmaschinen also die Suchanfragen eines Internetnutzers zu unterschiedlichen Zeitpunkten anhand der gleichen Cookie-ID miteinander verknüpfen und zu einem Persönlichkeitsprofil zusammenfassen. Problematisch an dem Einsatz der Cookie-Technik ist, dass das Ablegen und Auslesen des Cookies je nach Browsereinstellung des Nutzers unbemerkt abläuft. Die gängigen Browser können auch so konfiguriert werden, dass sie Cookies blocken, sind aber standardmäßig voreingestellt, alle Cookies zu akzeptieren und entsprechend der Lebensdauer der Cookies diese zu speichern.

5. Sign-In-Dienste Suchmaschinen bieten häufig über die bloße Websuche hinaus Dienste an, deren Nutzung das Anlegen eines Benutzerkontos erfordert (Sign-In-Dienste). Google offeriert z. B. ein kostenfreies Emailverwaltungsprogramm (GMail), eine benutzerdefinierte, interaktive Browserstartseite (iGoogle) oder ein Verwaltungsprogramm 78 Ausführlich Fröhle, Web Advertising, Nutzerprofile und Teledienstedatenschutz, S. 43 ff.; Wichert, DuD 1998, 273; Artikel-29-Datenschutzgruppe, Privatsphäre im Internet, WP 37, S. 41 f., http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2000/wp37de.pdf (15. 3. 2011). 79 Wichert, DuD 1998, 273 (27). 80 Beispiele nach Markov/Larose, Data mining the web, S. 164.

IV. Zwecke der Datenerhebung

49

der eigenen Surfaktivtäten (Webprotokoll) und vieles mehr für die Inhaber eines Google Kontos.81 Microsoft, Betreiber der Suchmaschine Bing, lockt ebenfalls mit der Nutzungsmöglichkeit diverser Dienste gegen eine Registrierung.82

6. Toolbars Toolbars sind Programme, die sich in die gängigen Browser integrieren lassen. Sie analysieren die aufgerufene Webseite und bieten besondere Komfortfunktionen, die die Browserfunktionen sinnvoll ergänzen, wie eine verbesserte Durchsuchbarkeit der Webseite oder das Anzeigen von Alternativwebseiten bei der fehlerhaften Adresseingabe. Problematisch an Toolbars ist, dass durch deren Verwendung der gesamte Internetverkehr des Nutzers vom Toolbarbetreiber protokolliert wird. Toolbars werden von allen großen Suchmaschinen83 angeboten.

IV. Zwecke der Datenerhebungen Suchmaschinenbetreiber führen mehrere Gründe für eine Speicherung der anfallenden Nutzungsdaten an. Auf Anfrage der Art. 29-Datenschutzgruppe hat insbesondere Google eine ausführliche Stellungnahme abgegeben, in der die Firma unter anderem durch Verweise auf Veröffentlichungen im Google Blog84 die Zwecke der Speicherung der Nutzungsdaten in Logdateien darlegt.85

1. Schadsoftware Suchmaschinen sind bestrebt, ihre Dienste und ihre Nutzer vor Attacken durch schädliche Programme zu schützen. Mögliche Bedrohungen sind beispielsweise

81

Zum Google Konto http://groups.google.de/support/bin/answer.py?hl=de&answer= 27439 (15. 3. 2011). 82 Die Benutzerkennziffer heißt Windows Live ID, https://accountservices.passport.net /ppnetworkhome.srf?Lcid=1031 (15. 3. 2011). 83 Google, Yahoo, Bing, AskJeeves. 84 Das Wort „Blog“ ist eine Zusammenziehung von „World Wide Web“ u. „Log“ (Logbuch). Es beschreibt eine Internetseite, auf der ein oder mehrere „Web-Logger“ (kurz: Blogger) in Form eines öffentlich einsehbaren Tagebuchs Gedanken niederschreiben, Wikipedia, Blog, http://de.wikipedia.org/wiki/Blog (15. 3. 2011). 85 Vgl. Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011).

50

B. Grundlagen

Phishingseiten in den Ergebnislisten oder Computerwürmer.86 Phishingseiten sind Fälschungen anderer Internetseiten, die den Internetnutzer durch Täuschung dazu bewegen sollen, sensible Daten preiszugeben.87 Beliebt ist es, die Startseite einer Bank nachzuahmen um auf diese Weise an Konto- und PIN-Nummern getäuschter Nutzer des Online-Banking-Angebots der vorgespiegelten Bank zu gelangen. Suchmaschinen versuchen Phishingseiten in ihren Trefferlisten möglichst zu vermeiden. Computerwürmer sind kleine Programme, die sich unbemerkt auf Computern installieren und selbstständig bestehende Netzwerkressourcen nutzen, um sich weiterzuverbreiten und möglichst viele Computer zu infizieren. Sämtliche infizierten Rechner lassen sich dann zu einer konzertierten Attacke auf ein Computersystem missbrauchen.88 Computerwürmer nutzen teilweise Suchmaschinen, um durch automatisierte Suchanfragen Sicherheitslücken auf potentiellen Wirtsrechnern ausfindig zu machen.89 Die Auswertung der Logdateien ermöglicht Maßnahmen gegen solche Schadsoftware.

2. Suchmaschinenspamming Als Suchmaschinenspam bezeichnet man Webseiten in den Trefferlisten, die im Hinblick auf den eingegebenen Suchbegriff keine relevanten Inhalte aufweisen oder aufgrund von Manipulationen mehrfach unter den Treffern gelistet sind.90 Um das Erscheinen solcher Spamseiten in den Suchergebnissen zu vermeiden, werten die Suchmaschinen ihre Logeinträge aus, nehmen Anpassungen des Suchalgorithmus vor und testen die Treffergenauigkeit des neuen Suchalgorithmus durch einen Vergleich mit den alten Logeinträgen.91

3. Werbekostenabrechnung Suchmaschinen finanzieren sich durch das Schalten von kontextbezogenen Werbebannern92 im Umfeld ihres Suchdienstes. Die Werbekostenabrechnung erfolgt bei Google nach dem pay-per-valid-click-Prinzip, d. h. für jedes Anklicken des 86 Beispiele nach Provos, Using log date to keep you safe (Google Blog), http://googleblog.blogspot.com/2008/03/using-log-data-to-help-keep-you-safe.html (15. 3. 2011). 87 Wikipedia, Phishing, http://de.wikipedia.org/wiki/Phishing (15. 3. 2011). 88 Ein aus derartig infizierten Rechnern bestehendes Computernetzwerk bezeichnet man als Botnet. 89 Provos/McClain/Wang, Search Worms, http://www.citi.umich.edu/u/provos/papers/search_worms.pdf (15. 3. 2011). 90 Vgl. Wikipedia, Suchmaschinen-Spamming, http://de.wikipedia.org/wiki/Suchmaschinen-Spamming (15. 3. 2011). 91 Für Google: Cutts, Using data to fight webspam (Google Blog), http://googleblog.blogspot.com/2008/06 /using-data-to-fight-webspam.html (15. 3. 2011). 92 Ein Werbebanner ist ein Grafikfenster mit Werbung, das mit einem Link zur Webseite des Werbenden versehen ist.

IV. Zwecke der Datenerhebung

51

Werbebanners durch einen Suchmaschinennutzer zahlt der Werbekunde einen bestimmten Betrag.93 Zu Abrechnungszwecken ist das Speichern der Logdateien dienlich. Es kommt darüber hinaus vor, dass Dritte einem Werbekunden schaden wollen, indem sie durch Programme unzählige Klicks auf dessen Werbebanner generieren, um so dessen Werbekosten in die Höhe zu treiben. Dieses Vorgehen bezeichnet man als Klick-Betrug, weil eine hohe Anzahl von Seitenbesuchen durch unterschiedliche Interessenten vorgetäuscht wird. Um Klick-Betrügereien aufzudecken, untersuchen Suchmaschinen die Daten aus den Logdateien auf Anomalien.94 Wenn sehr viele Werbebannerklicks von der gleichen IP-Adresse erfolgen, liegt der Verdacht nahe, dass hinter den Klicks nicht entsprechend viele unterschiedliche Nutzer stehen. Auffallend ist es aber auch bereits, wenn bemerkenswert viele Klicks aus einem Land oder von IP-Adressen, die allesamt zu dem Adressraum eines Access-Providers gehören, stammen. Die Untersuchung der Logeinträge hilft, missbräuchliche Klicks auszusieben und dem Werbekunden nicht zu berechnen.

4. Suchalgorithmusverbesserung Suchmaschinen werten die Einträge in den Logdateien aus, um die Suchalgorithmen stetig zu verbessern. Ein Bereich der Algorithmusoptimierung betrifft das bessere Verständnis des Suchbedürfnisses des Nutzers.95 Ein Beispiel ist das Erkennen von regionalen Wortbedeutungsunterschieden anhand der Suchanfragen in Verbindung mit der Herkunft des Nutzers, die sich aus dessen IP-Adresse ableiten lässt. Google erläutert in seinem Blog beispielhaft, dass „GM“ sowohl im Englischen als auch im Französischen oft die Abkürzung für die Automarke „General Motors“ sei, im Französischen bei der Suchanfrage nach „seconde GM“ jedoch der Zweite Weltkrieg („Guerre Mondiale“) gemeint ist und im Englischen im Kontext von „GM corn“ die Suchanfrage genmanipulierten Mais („genetically modified“) betrifft.96 Die Erkennung von Spracheigenarten sei anhand der Auswertung echter Suchanfragen am präzisesten. Die Erschließung von Umgangssprache und Bedeutungsveränderungen durch unterschiedliche Wortgruppierungen lasse sich durch das Studieren, wie Nutzer tatsächlich Suchen und Suchanfragen spezifizieren, in einer Weise verwirklichen, wie es durch das Auswerten von Wörterbüchern nicht möglich wäre. 93

Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 13, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). 94 Ghosemajumder, Using data to help prevent fraud (Google Blog), http://googleblog.blogspot.com/2008/03/using-data-to-help-prevent-fraud.html (15. 3. 2011). 95 Vgl. Hansell, Google Keeps Tweaking Its Search Engine, New York Times v. 3. 6. 2007, http://www.nytimes.com/2007/06/03/business/yourmoney /03google.html (15. 3. 2011). 96 Haahr/Baker, Making search better in Catalonia, Estonia and everywhere else (Google Blog), http://googleblog.blogspot.com/2008/03/making-search-better-in-catalonia.html (15. 3. 2011).

52

B. Grundlagen

5. Werbung Hauptmotiv für die Entwicklung und entgeltfreie Zurverfügungstellung von Diensten wie Toolbars und registrierungspflichtigen Webangeboten, und insbesondere auch Suchmaschinen, ist die Erlangung der bei diesen Diensten anfallenden Nutzerdaten.97 Der Nutzer zahlt gewissermaßen mit der Preisgabe seiner Daten für die Nutzung.98 Der Zweck der Nutzerdatensammlung liegt zwar auch in der Verbesserung der Dienste, vor allem aber in der Erstellung von Profilen der Nutzer. Solche Profile besitzen einen hohen wirtschaftlichen Wert, weil sie es ermöglichen, dem einzelnen Nutzer nur die Werbung zu unterbreiten, die sich mit seinen Interessen deckt. Das Schalten von passenden Werbeanzeigen, basierend auf dem Surfverhalten des Nutzers, bezeichnet man als Behavioral Targeting99 oder Behavioral Advertising100.101 Die Erlangung von Nutzerdaten und deren Verarbeitung zu Werbezwecken ist der Hauptanreiz für den Betrieb von Suchmaschinen.102

a) Werbung im Kontext der Websuche Das klassische Modell der Suchmaschinenwerbung besteht darin, im Umfeld der Trefferliste zu den Suchergebnissen passende Werbeanzeigen zu platzieren (sog. Suchwort oder Keyword Targeting103).104 Werbekunden können die Werbeflächen auf den Trefferseiten zu ausgewählten Suchwörtern kaufen.105 Bei Google werden die Werbeflächen im Rahmen des Adwords-Werbeprogramms höchstbietend versteigert. Ferner können Werbekunden Platzierungen innerhalb der Trefferlisten buchen. Diese 97

Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (296). Ott, MMR 2009, 448 (448). 99 Vgl. die Begriffsbestimmungen des BVDW, Targeting Begriffe und Definitionen, http:// www.bvdw.org/medien/targeting-begriffe-und-definitionen?media=691 (15. 3. 2011). 100 Federal Trade Commission, FTC Staff Report: Self-Regulatory Principles For Online Behavioral Advertising, http://www.ftc.gov/os/2009/02/P085400behavadreport.pdf (15. 3. 2011). 101 Targeting im Allgemeinen ist das anhand von verschiedenen Parametern automatisierte u. zielgerichtete Platzieren von Werbemitteln. Andere Parameter als das vergangene Surfverhalten des Nutzers können sein die Uhrzeit der Werbeschaltung, Provider, Betriebssystem, Browser, Bildschirmauflösung, Bandbreite, Aufenthaltsort oder Sprache des Nutzers, vgl. kurz zusammenfassend BVDW, Was ist Targeting?, http://www.bvdw.org/medien/bvdw-praesentation—was-ist-targeting?media=1281 (15. 3. 2011). 102 Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (296). 103 BVDW, Targeting Begriffe und Definitionen, http://www.bvdw.org/medien/targetingbegriffe-und-definitionen?media=691 (15. 3. 2011). 104 Ausführlich Schultz, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 70 (83 ff.). 105 Ein Autohaus mit Vertrieb der Automarke X kann z. B. eine Werbefläche auf der Suchergebnisseite buchen, die auf die Suchanfrage „Automarke X Neuwagen“ einem Nutzer angezeigt wird. Die Buchung der Werbefläche lässt sich ferner auf Suchanfragen nur aus einer bestimmten Region beschränken. 98

IV. Zwecke der Datenerhebung

53

gesponserten Ergebnisse (paid listings, sponsored ads) erscheinen üblicherweise am Anfang der Trefferliste und sind als gesponserte Ergebnisse durch farbliche Unterlegung und Kennzeichnung in der rechten oberen Ecke der Anzeige erkennbar. Suchmaschinenwerbung ist sehr attraktiv, weil Suchmaschinen es ihren Werbekunden ermöglichen, selektiv ihre Zielgruppe anzusprechen in einem Moment, in dem die Zielperson von sich aus ein Informationsinteresse zeigt und insofern für Werbung besonders empfänglich ist.106 Aufgrund der Attraktivität der Suchmaschinenwerbung und der hohen Frequentierung von Suchseiten hat sich die Suchmaschinenwerbung als eine äußerst lukrative Einnahmequelle für Betreiber von Suchmaschinen erwiesen.107 Die Anzeigenschaltung erfolgt in dieser Werbeform in Abstimmung mit dem konkreten Suchbegriff. Da bei dieser Werbeform die Werbeanzeigen konkreten Suchanfragen zugeordnet sind, ist ein Rückgriff auf Nutzerprofile für diese Werbeform nicht erforderlich. b) Behavioral Targeting Ausgehend von der klassischen Suchmaschinenwerbung haben die großen Suchmaschinenbetreiber, allen voran Google, Werbenetzwerke aufgebaut.108 Die Nutzerdatensammlung durch Werbenetzwerkbetreiber ist etwas strukturell anderes als das Sammeln der Daten der Nutzer des eigenen Webdienstes, wie etwa die Sammlung einer Suchmaschine der Daten von allen Nutzern der eigenen Suchseite (Suchmaschinennutzerdaten). Werbenetzwerkbetreiber beschränken sich nicht auf die Sammlung der Nutzerdaten einer einzelnen Internetseite, sondern erfassen das Surfverhalten eines Nutzers webseitenübergreifend auf vielen Drittseiten. Innerhalb des Werbenetzwerks agieren die Suchmaschinen als Vermarkter von Werbeflächen und stehen insofern zwischen den werbenden Unternehmen und den Werbeplatz zur Verfügung stellenden Webseitenbetreibern. Werbekunden des Werbenetzwerks wollen mit ihren Werbeanzeigen möglichst viele potentielle Kunden der für sie relevanten Zielgruppe erreichen. Die Betreiber von Internetseiten suchen ihrerseits einen Werbepartner, der bereit ist, auf dem Internetauftritt Werbeflächen zu 106

Schultz, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 70 (71). Vgl. den Geschäftsbericht von Google für 2009 unter http://google.client.shareholder.com/secfiling.cfm?filingid=1193125-10-30774 (15. 3. 2011). 108 Den Schritt vom Suchmaschinenbetreiber zum Werbevermarkter auch außerhalb des Suchangebots haben Google (zum Adsense-Programm https://www.google.com/adsense/ login/de/?hl=de [15. 3. 2011]) als auch Yahoo (Überblick über deren Partnerseiten http:// www.netbooster-agency.de/Yahoo-Werbenetzwerk [15. 3. 2011]) unternommen. Yahoo bezieht jedoch zukünftig aufgrund einer strategischen Partnerschaft die Werbung von Microsoft. Einen Überblick über die Details der Partnerschaft liefert Sullivan, The Microsoft-Yahoo Search Deal, In Simple Terms, http://searchengineland.com/microsoft-yahoo-search-deal-simplified-23299 (15. 3. 2011). Neben dem Adsense-Programm von Google ist besonders erwähnenswert das Microsoft Werbenetzwerk Microsoft Advertising http://advertising.microsoft.com/deutschland/Werbeumfelder (15. 3. 2011). – Zu Googles Ambitionen zum Aufbau eines crossmedialen Werbenetzwerks Kaumanns/Siegenheim, Media Perspektiven 2008, 25; Reischl, Die GoogleFalle, 2008, S. 86 ff. 107

54

B. Grundlagen

mieten und der gleichzeitig möglichst interessant für die Besucher der eigenen Seite ist. Den Werbenetzwerken kommt die Maklerrolle zwischen Werbetreibenden und Webseitenbetreiber zu. Webseitenbetreiber schließen sich einem Werbenetzwerk an und überlassen diesem die Auswahl, von welchem dessen Werbekunden ein Werbebanner auf der eigenen Webseite geschaltet wird. Durch den Anschluss von möglichst vielen Webseiten an das Werbenetzwerk wird dieses umso attraktiver für Werbekunden, weil der Verbund mit einer großen Anzahl Webseiten eine hohe Reichweite der Werbung garantiert und gleichzeitig eine Spezialisierung von Marketingkampagnen auf sehr genaue Zielgruppen ermöglicht. Insbesondere bietet die zentrale Organisation der Bannerschaltung durch ein Werbenetzwerk die optimalen Rahmenbedingungen für die Steuerung und Überwachung einer individuell angepassten Bannerauslieferung109 und somit für die Anwendung von Behavioral Targeting.110 Das Kernstück von Werbenetzwerken sind Adserver. Dies sind besonders leistungsfähige Rechner, die die Auslieferung passender Werbebanner steuern.111 Wenn eine Internetseite Werbeträger in einem Werbenetzwerk wird, fügt der Seitenbetreiber in den HTML-Code seiner Seite einen sog. Banner Tag ein. Dies ist eine Befehlszeile, die bewirkt, dass ein Nutzer, der die Internetseite aufruft, zugleich automatisch an den Adserver weitergeleitet wird, der die Anfrage des Nutzers in seinen Logdateien registriert und ein zu dem Nutzer passendes Werbebanner an dessen Rechner sendet. Zur Identifikation des Nutzers verwenden Werbenetzwerke i. d. R. Cookies.112 Anhand der Cookie-ID sucht der Adserver in seiner Datenbank nach dem dazugehörigen Nutzerprofil, schaltet das zu den aus dem bisher protokollierten Surfverhalten ersichtlich gewordenen Interessen passende Werbebanner und ergänzt das Nutzerprofil um die Webseite, von der der Nutzer weitergeleitet wurde. Je größer das Werbenetzwerk ist, desto umfassendere Nutzerprofile sind möglich.113 Google erreicht nach eigenen Angaben mit seinem Werbenetzwerk und 109

Krause, E-Commerce und Online-Marketing, S. 411 f. Zu Werbenetzwerken und Behavioral Targeting auch Artikel-29-Datenschutzgruppe, Stellungnahme 2/2010 zur Werbung auf Basis von Behavioural Targeting, WP 171, S. 5 ff., http://ec.europa.eu/justice/policies/privacy /docs/wpdocs/2010/wp171_de.pdf (15. 3. 2011). 111 Zu der Funktionsweise von Adservern u. Kommunikationsablauf im Werbenetzwerk ausführlich Fröhle, Web Advertising, Nutzerprofile und Teledienstedatenschutz, S. 30 ff. u. 38 ff.; Artikel-29-Datenschutzgruppe, Privatsphäre im Internet, WP 37, S. 77, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2000/wp37de.pdf (15. 3. 2011). 112 Auf der Internetseite http://www.google.de/privacy_ads.html kann man durch Setzen eines Opt-Out-Cookies das Schalten von interessenbasierter Werbung durch das GoogleWerbenetzwerk auch deaktivieren. Bemerkenswert ist, dass Google nicht ausdrücklich von einer Unterbindung einer Profilerstellung absieht. Gleiches gilt für Yahoo http://info.yahoo.com/privacy/de/yahoo/opt_out/targeting/. Microsoft gibt in seinen Datenschutzbestimmungen explizit an, dass trotz des Opt-out die Nutzerdaten weiterhin erfasst werden https:// choice.live.com/advertisementchoice/Default.aspx. Gleiches gilt für Yahoo http://info.yahoo.com /privacy/de/yahoo/opt_out/targeting/ (alle Seitenaufrufe zuletzt am 15. 3. 2011). 113 Sachs, Marketing, Datenschutz und das Internet, S. 51 f. 110

IV. Zwecke der Datenerhebung

55

der Suchmaschinenwerbung 89 % der Internetnutzer in Deutschland.114 Wenn in einem fiktiven Beispiel der Nutzer N, dessen Browser die Speicherung von PersistentCookies uneingeschränkt zulässt, zu unterschiedlichen Zeitpunkten die drei Internetseiten „hobby-a.de“, „hobby-b.de“ und „hobby-c.de“ aufruft, die allesamt dem Werbenetzwerk W angeschlossen sind, verfügt W über ein dem Nutzer anhand einer Cookie-ID zugeordnetem Profil des Aussagegehalts, N hat sehr wahrscheinlich die Hobbies A, B und C. Dieses Profil gewinnt an Details, je mehr mit dem Werbenetzwerk verbundene Drittseiten N aufruft. Die meisten Internetnutzer sind sich der Größe derartiger Werbevermarkter wohl nicht bewusst und haben keine Kenntnis von dem Ausmaß der Protokollierung ihres Surfverhaltens, da die Weiterleitung und Kommunikation mit dem Adserver unbemerkt im Hintergrund abläuft. Zu betonen ist, dass bei dem durch Werbenetzwerke organisierten Behavioral Targeting der Werbenetzwerkbetreiber zu keinem Zeitpunkt unmittelbar gegenüber dem Nutzer in Erscheinung tritt. Der Nutzer tippt in die Adresszeile seines Browsers die Adresse der gewünschten Zielseite ein und jene wird auf dem Monitor des Nutzers grafisch dargestellt. Die Darstellung der Zielseite umfasst in das Layout des Webauftritts eingebettete Werbebanner. Es wird nicht gesondert darauf hingewiesen, dass nicht alle Elemente der Zielseite von dem Server übermittelt wurden, an den die Anfrage des Nutzers unmittelbar gerichtet war, sondern für die Übermittlung der erforderlichen Daten zur Darstellung der Werbebanner auch eine Verbindung zu einem Werbenetzwerkbetreiber automatisch hergestellt wurde. Mit dem gleichen Werbenetzwerk kann die Internetseite des Fahrradladens um die Ecke oder des lokalen Reisebüros verbunden sein, ebenso das Internetportal einer großen, überregional erscheinenden Zeitschrift. Der Aufruf all jener Seiten wird bei dem Werbenetzwerkbetreiber aufgezeichnet, dem Nutzerprofil hinzugefügt und für die Schaltung von individuell angepasster Werbung bei dem nächsten Aufruf einer an das Werbenetzwerk angeschlossenen Webseite verwendet. Der Prozentsatz der Werbeeinblendungen, die tatsächlich angeklickt werden, liegt bei privaten Seiten unter 4 % und bei kommerziellen Seiten selten über 1 %.115 Durch Behavioral Targeting kann das Verhältnis von Werbeeinblendungen zu Klicks auf Werbebanner (die AdClick-Rate) signifikant erhöht werden.116 Je detaillierter die Nutzerprofile sind, je mehr der Werbevermarkter über die Interessen und Kaufgewohnheiten weiß, desto passgenauer kann er dem Nutzer die Werbung einblenden, die ihn am ehesten anspricht.117 Durch Behavioral Targeting können somit Streuverluste vermieden und damit Geld gespart bzw. die vorhandenen Werbemittel effizienter 114

http://www.google.com/intl/de_de/adwords/select/afc.html (15. 3. 2011). So die (vermutlich veralteten) Daten bei Krause, E-Commerce und Online-Marketing, S. 411. 116 Yan/Liu/Wng u. a., in: Association for Computing Machinery (Hrsg.), Proceedings of the 18th international conference on World wide web, S. 261; Krause, E-Commerce und OnlineMarketing, S. 411; BVDW, Was ist Targeting?, S. 2, http://www.bvdw.org/medien/bvdwpraesentation—was-ist-targeting?media=1281 (15. 3. 2011). 117 Schaar, DuD 2001, 383 (385). 115

56

B. Grundlagen

eingesetzt werden. Dies macht den Besitz von detaillierten Kundenprofilen zu einem wertvollen Gut.118 Folglich besteht ein wirtschaftlicher Anreiz, immer mehr Daten anzuhäufen und die Profile stetig zu verfeinern, um sich dadurch auf dem Markt der Werbevermarktung Wettbewerbsvorteile zu verschaffen und den Wert der eigenen Kundendatenbank zu steigern. Die Aufzeichnung der Suchgewohnheiten durch den Suchmaschinenbetreiber und der Betrieb eines Werbenetzwerks haben gemeinsam, dass beide Formen der Datensammlung sehr sensible Persönlichkeitsprofile ermöglichen. Aufgrund der Intermediärstellung der Suchmaschinen bei der Internetnutzung vermitteln die Nutzerdaten einer Person, die eine Suchmaschine sowohl privat als auch beruflich nutzt, ein hoch sensibles Profil des Nutzers zu allen Lebensbereichen.119 Der Besitz möglichst genauer Persönlichkeitsprofile ist das Fundament von Behavioral Targeting. Suchmaschinennutzerprofile lassen sich mit Werbenetzwerkprofilen zusammenführen, um so noch detailliertere Profile zu erlangen. Dies hatte auch die Firma DoubleClick,120 bis zu ihrer Übernahme durch Google im Jahr 2007 weltweiter Marktführer im Bereich Online-Werbung,121 erkannt und ihre Nutzerdatenbank durch den Zukauf der Nutzerdaten der Suchmaschine Altavista122 ergänzt.123 Gegenstand dieser Arbeit ist die Zulässigkeit der Datenverarbeitungen im Kontext der Websuche. Dies beinhaltet nur die Untersuchung der Zulässigkeit der Verarbeitung der Nutzerdaten, die bei der unmittelbaren Nutzung einer Suchmaschine beim Suchmaschinenbetreiber anfallen. Da große Suchmaschinenbetreiber regelmäßig zugleich Betreiber von Werbenetzwerken sind124 und die Suchmaschinennutzerdaten mit Profilen des Werbenetzwerks verknüpfen, ist die Darstellung der Funktionsweise von Werbenetzwerken für ein besseres Verständnis der Verwendungsmöglichkeiten der Suchmaschinennutzerdaten notwendig. Die Datenschutzerklärungen der großen Suchmaschinen sehen eine Verwendung der Nutzerdaten zu Werbezwecken vor.125 118 Weichert, DuD 2001, 264 (264) bezeichnet Verbraucherdaten als „Gold der Informationsgesellschaft“. 119 Mulligan, Public Workshop on Online Profiling (Testimony of the CDT Before the Federal Trade Commision), S. 5, http://www.ftc.gov/bcp/workshops/profiling/comments/ mulligan.pdf (15. 3. 2011). 120 http://emea.doubleclick.com/de/ (15. 3. 2011). 121 Zu den Bedenken gegen die Übernahme des größten Online-Werbevermarkters durch die größte Suchmaschine Weichert, DuD 2007, 724; Buchner, DuD 2008, 724. 122 http://de.altavista.com/ (15. 3. 2011). 123 Mulligan, Public Workshop on Online Profiling (Testimony of the CDT Before the Federal Trade Commision), S. 5, http://www.ftc.gov/bcp/workshops/profiling/comments/ mulligan.pdf. 124 Vgl. oben Teil B. Fn. 108. 125 Gemäß den Datenschutzbestimmungen für Google-Anzeigen u. das Google ContentWerbenetzwerk i. d. F. v. 29. 9. 2010 werden bei der Anzeigenschaltung auch Cookieinformationen ausgelesen, http://www.google.de/intl/de/privacy_cookies.html (15. 3. 2011). Nach den Onlinedatenschutzbestimmungen von Microsoft i. d. F. v. November 2010 „kann die anzuzeigende Werbung beispielsweise nach bestimmten Interessenkategorien oder -segmenten ange-

V. Data Mining

57

V. Data Mining Die erhobenen Daten werden in Datenbanken, sog. Data Warehouses, abgelegt und mit Data Mining Techniken bearbeitet.126 Mit dem Konzept des Data Mining verbindet sich die Vorstellung, dass große Datenbestände mehr Informationen enthalten als die Summe ihrer Einzeldaten.127 Das Ziel von Data Mining ist es, durch automatisierte Suchverfahren in komplex strukturierten Datenbeständen bisher unbekannte Muster, Regelmäßigkeiten, Auffälligkeiten oder Trends aufzuspüren und so neue Erkenntnisse zu gewinnen.128 Verfahren des Data Mining sind u. a. die visuelle Datenexploration, Clusteranalyse, induktives Lernen oder künstliche neuronale Netze.129 Die enorme Verbilligung von Speicherkapazitäten und Rechenleistung und eine wachsende Menge erreichbarer, gespeicherter Daten zu Personen, ermöglichen umfassende Auswertungs- und Verknüpfungsmöglichkeiten des vorhandenen Datenmaterials in nie da gewesenem Ausmaß.130 Google bietet anschauliche Beispiele für erfolgreiches Data Mining. Der Dienst Google Flutrends etwa wertet die Häufigkeit von Suchanfragen zum Thema Grippe aus und gibt einen Überblick in grafisch animierter Form über die Grippe-Häufigkeit in unterschiedlichen Regionen der Welt.131 Der Google-Dienst könne in den USA Grippewellen schneller erkennen als die amerikanischen Gesundheitsbehörden.132 Ein weiteres Anwendungsbeispiel für den Einsatz von Data Mining Techniken ist die Auswertung der Standortdaten GPS-gestützter Handys, die den Dienst Google Maps for mobile nutzen.133 Der Dienst ist eine Navigationssoftware für Mobiltelefone, die das aktuelle Verkehrsaufkommen anzeigt und in die Wegfindung einbezieht. Nutzer, die den Dienst auf ihrem Mobiltelefon installiert und entsprechend konfiguriert zeigt werden, die von folgenden Faktoren abgeleitet werden: … (c) die Suchbegriffe, die sie eingeben, wenn sie die Internetsuchdienste von Microsoft … nutzen.“, http://privacy.microsoft.com/de-de/fullnotice.mspx (15. 3. 2011). 126 Vgl. ausführlich zum Data Warehousing u. Data Mining Scholz, in: Roßnagel (Hrsg.), HbDSR, Kap. 9.2. 127 Scholz, in: Roßnagel (Hrsg.), HbDSR, Kap. 9.2 Rn. 32. 128 Frosch-Wilke, DuD 2003, 597 (602); Scholz, in: Roßnagel (Hrsg.), HbDSR, Kap. 9.2 Rn. 5. 129 Frosch-Wilke, DuD 2003, 597 (603); ausführlicher (ohne Erläuterungen zur visuellen Datenexploration, stattdessen zur Bayes-Klassifikation) Chamoni, in: Chamoni/Gluchowski (Hrsg.), Analytische Informationssysteme, S. 355. 130 Sachs, Marketing, Datenschutz und das Internet, S. 56. vgl. auch Roßnagel/Pfitzmann/ Garstka, Modernisierung des Datenschutzrechts, S. 26 ff. 131 http://www.google.org/flutrends/ (15. 3. 2011); vgl. auch die Veröffentlichung der Mitarbeiter von Google u. den Centers for Diseases Control and Prevention Ginsberg/Mohebi/Patel u. a., Nature 2009, 1012. 132 Handelsblatt v. 12. 11. 2008, Verräterische Suchwörter: Google erkennt Grippewellen schneller als Gesundheitsbehörde, http://www.handelsblatt.com/journal/nachrichten/googleerkennt-grippewellen-schneller-als-gesundheitsbehoerde;2086821 (19. 01. 2011). 133 http://www.google.com/intl/de/mobile/gmm/index.html (15. 3. 2011).

58

B. Grundlagen

haben, senden automatisch ihre Standortdaten an Google. Google berechnet anhand der Standortveränderungen die Fortbewegungsgeschwindigkeit der einzelnen Handynutzer und kann durch die Zusammenfassung und Auswertung aller Nutzerdaten die Verkehrsdichte auf den Straßen ermitteln.134 Data Mining erhöht also die Qualität der gesammelten Daten, indem es das Einzeldatum in einen Kontext zu weiteren Daten stellt, wodurch sich neue Perspektiven auf das Einzeldatum eröffnen können, welche neue Eigenschaften und Zusammenhänge ans Licht zu bringen vermögen, die sonst in der Masse der Einzeldaten untergegangen wären.135 Dem Datenverarbeiter können auf diese Weise Strukturen und Abhängigkeiten offenbar werden, deren sich sogar der Betroffene selbst nicht bewusst war.136 Data Mining begründet die wahrscheinlich größte Herausforderung für den Datenschutz der Zukunft.137 Das besondere Bedrohungspotential von Data Mining liegt darin, dass dessen Fortentwicklung die Grenzziehung zwischen anonymen und personenbezogenen Daten verschwimmen lässt,138 denn Fortschritte in der Forschung zu Data Mining erschweren Vorhersagen darüber, ob Datenbestände über Verhaltensmuster von Personen tatsächlich anonym sind.139 Oftmals ist die Frage der Identifizierung der Betroffenen nur noch abhängig von der durch die Daten verarbeitende Stelle zur Verfügung stehenden Rechnerleistung. Diverse, an sich für anonym gehaltene und zu Forschungszwecken veröffentlichte Datensätze wurden durch Data Mining-Techniken und Zusammenführung mit anderen Daten in jüngerer Vergangenheit wieder de-anonymisiert und nicht für vorhanden gehaltenes Bedrohungspotential für das informationelle Selbstbestimmungsrecht erst nachträglich offen gelegt.140 Da die Auswertung großer Bestände von Daten durch Data Mining ein hochkomplexer, automatisierter Vorgang ist, besteht ein besonderes Bedürfnis, die Datenverarbeitungen und deren Folgen für den Betroffenen transparent zu gestalten. Die Aufklärung über die Datenverarbeitungsschritte und Verwendungszwecke ist häufig defizitär.141

134

Barth, The bright side of sitting in traffic: Crowdsourcing road congestion data (Google Blog), http://googleblog.blogspot.com/2009/08/bright-side-of-sitting-in-traffic.html (15. 3. 2011). 135 Möncke, DuD 1998, 561 (564). 136 Scholz, in: Roßnagel (Hrsg.), HbDSR, Kap. 9. 2 Rn. 38. 137 Vgl. schon Roßnagel/Pfitzmann/Garstka, Modernisierung des Datenschutzrechts, S. 26 f. 138 Narayaran/Shmatikov, Communications of the ACM 53 No. 6 (2010), 24 (26). 139 Vgl. Roßnagel/Pfitzmann/Garstka, Modernisierung des Datenschutzrechts, S. 27. 140 Ausführlich unten F. II. 141 Scholz, in: Roßnagel (Hrsg.), HbDSR, Kap. 9.2 Rn. 38.

C. Verfassungsrechtliches Spannungsfeld In Rede stehen die Rechtsbeziehungen von Privatrechtssubjekten zueinander (natürliche Personen als Nutzer bzw. datenschutzrechtlich Betroffene sowie als juristische Personen des Privatrechts organisierte Suchmaschinen1). Entsprechend sind die diese Beziehungen regelnden einfachrechtlichen Normen dem Privatrecht zuzuordnen. Aufgrund der fehlenden Grundrechtsverpflichtung von Privatrechtssubjekten wirken Grundrechte nur mittelbar auf Privatrechtsbeziehungen ein.2 Sie entfalten ihre Wirkung mediatisiert durch das einfache Recht über das Modell der grundrechtlichen Schutzpflichten. Nach einer kurzen Einführung in die grundrechtliche Schutzpflichtendogmatik (C. I.) werden die grundrechtlichen Kollisionslagen in den zwei in der Einleitung skizzierten Konfliktfeldern des Datenschutzes bei dem Betrieb von Suchmaschinen – Datenschutz des Suchobjekts (C. II.) und Datenschutz des Suchmaschinennutzers (C. III.) – untersucht. Es werden die grundrechtlich geschützten Interessen ermittelt und ihr Gewicht gegeneinander abgewogen.

I. Grundrechtliche Schutzpflichten Das Schutzpflichtenmodell besagt, dass die Grundrechte über ihre abwehrrechtliche Dimension als Eingriffsabwehrrechte gegen Staatshandeln hinaus nicht nur den Staat in seinen Handlungsmöglichkeiten beschränken, soweit durch sein Handeln eine Grundrechtsverletzung droht, sondern außerdem den Staat dazu verpflichten, das Erforderliche zu tun, damit der Einzelne nicht durch das Handeln anderer Privater in der eigenen Grundrechtsausübung über Gebühr behindert wird.3 Der Akzeptanz grundrechtlicher Schutzpflichten liegt die Erkenntnis zugrunde, dass der menschlichen Freiheit Gefährdungen nicht nur durch den Staat, sondern auch durch private 1 Die großen Suchmaschinen sind zum heutigen Zeitpunkt ausschließlich in privater Hand – Betreiber sind etwa Google Inc. (Google), Microsoft Deutschland GmbH (Bing), Yahoo! Deutschland GmbH (Yahoo!) – , auch wenn bereits der Ruf nach Suchmaschinen in öffentlichrechtlicher Trägerschaft aufgrund der Schlüsselstellung von Suchmaschinen als Intermediäre der Informationsvermittlung im WWW laut wurde, z. B. Maurer/Balke/Kappe u. a., Report on dangers and opportunities posed by large search engines, particularly Google, S. 108 ff., http:// www.iicm.tu-graz.ac.at/iicm_papers/dangers_google.pdf (15. 3. 2011). 2 Ganz h. M., vgl. Dürig, in: Maunz (Hrsg.), FS Nawiasky, S. 157 (176 ff.); Nachw. f. Vertreter einer unmittelbaren Drittwirkung bei Ruffert, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, S. 12 Fn. 31 – 33. 3 Isensee, in: Isensee/Kirchhof (Hrsg.), HdbStR V (2. Aufl.), S. 143 Rn. 1 ff.; monographisch Dietlein, Die Lehre von den grundrechtlichen Schutzpflichten.

60

C. Verfassungsrechtliches Spannungsfeld

Kräfte drohen und ein wirksamer Grundrechtsschutz auch die Freiheitssphären Privater zueinander abgrenzen muss, wenn grundrechtliche Freiheit nicht nur eine Freiheit der Mächtigen sein soll.4 Abwehrdimension und Schutzpflichtendimension ergänzen einander zu einem umfassenden Grundrechtsschutz; erstere sichert vor Eingriffen durch den Staat, letztere vor Übergriffen von privater Seite.5 Grundlegend für die weitgehende Anerkennung6 einer Schutzpflichtendimension der Grundrechte neben der Abwehrdimension ist die erste Bundesverfassungsgerichtsentscheidung zur Fristenlösung beim Schwangerschaftsabbruch.7 Ob man sie als „bahnbrechend“8 oder als das Ergebnis einer sich abzeichnenden Rechtsprechungsentwicklung9 betrachtet – Einigkeit besteht über die hervorgehobene Bedeutung dieser Entscheidung für die Entwicklung der grundrechtlichen Schutzpflichtendogmatik.10 Eine staatliche Schutzpflicht für das menschliche Leben leitet das Bundesverfassungsgericht in dieser Entscheidung unmittelbar aus Art. 2 Abs. 2 S. 1 GG ab, außerdem rekurriert es auf die staatliche Verpflichtung zur Achtung der Menschenwürde nach Art. 1 Abs. 2 S. 2 GG sowie auf seine Lüth-Rechtsprechung,11 wonach Grundrechte nicht nur Abwehrrechte gegen den Staat sind, sondern zugleich eine „objektive Wertordnung“ errichten, die als verfassungsrechtliche Grundentscheidung Geltung in allen Bereichen des Rechts beansprucht und somit der Exekutive, Legislative und Judikative (vgl. Art. 1 Abs. 3 GG) „Richtlinien und Impulse“ vermittelt.12 In Folgeentscheidungen hat das Bundesverfassungsgericht seine Rechtsprechung konkretisiert und gefestigt;13 im Fokus stand dabei überwiegend Art. 2 Abs. 2 S. 1 GG, gleichwohl ist die Herleitung staatlicher Schutzpflichten auf alle Freiheitsrechte des Grundgesetzes übertragbar.14 Etwa dem Recht auf informationelle Selbstbestimmung hat das Bundesverfassungsgericht eine staatliche Schutzpflicht

4

Hesse, Grundzüge des Verfassungsrechts der Bundesrepublik Deutschland, Rn. 349. Isensee, in: Isensee/Kirchhof (Hrsg.), HdbStR V (2. Aufl.), § 111 Rn. 1; Hesse, Grundzüge des Verfassungsrechts der Bundesrepublik Deutschland, Rn. 349. 6 Isensee, in: Isensee/Kirchhof (Hrsg.), HdbStR V (2. Aufl.), § 111 Rn. 82: „nahezu einhellige Akzeptanz“; das Schutzpflichtenmodell ablehnend das Minderheitenvotum der Richter Rupp-v. Brünneck u. Simon in BVerfGE 39, 1 (73 f.). 7 BVerfGE 39, 1. 8 So Isensee, in: Isensee/Kirchhof (Hrsg.), HdbStR V (2. Aufl.), § 111 Rn. 78. 9 Die Entwicklung zugleich nachzeichnend Stern/Sachs, StR III/1, S. 938 ff.; Robbers, Sicherheit als Menschenrecht, S. 130 ff. 10 Ruffert, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, S. 141. 11 BVerfGE 7, 198 (205). 12 BVerfGE 39, 1 (41 f.). 13 Übersicht zur Rechtsprechungsentwicklung bei Ruffert, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, S. 142 ff.; Stern/Sachs, StR III/1, S. 942 ff. 14 Stern/Sachs, StR III/1, S. 943 f.; Isensee, in: Isensee/Kirchhof (Hrsg.), HdbStR V (2. Aufl.), § 111 Rn. 86. 5

I. Grundrechtliche Schutzpflichten

61

wiederholt attestiert.15 In Bezug auf das Sammeln und Verknüpfen von personenbezogenen Daten durch private Wirtschaftsunternehmen wurde in jüngerer Zeit vermehrt die Frage in den Raum gestellt, ob der Staat seiner Schutzpflicht für die Privatsphäre des Einzelnen noch in hinreichendem Maß nachkommt.16 Diese Frage stellt sich im Speziellen für die Datenverarbeitung durch Suchmaschinen.

1. Der Gesetzgeber als Adressat Die Umsetzung eines von der Verfassung vorgegebenen Schutzauftrags ist Sache der zuständigen staatlichen Organe; dies ist in erster Linie der Gesetzgeber.17 Dieser hat durch die Schaffung von Gesetzen die Freiheitssphären der Einzelnen voneinander abzugrenzen.18 Ein exakter Handlungsauftrag an den Gesetzgeber lässt sich den grundrechtlichen Schutzpflichten nicht entnehmen.19 Die Zuerkennung staatlichen Schutzes des einen bedingt i. d. R. eine Verkürzung des Freiheitsbereichs dessen, von dem die Bedrohung für ersteren ausgeht.20 Die Justierung der Reichweite staatlicher Schutzpflichten ist aufgrund dieser Wechselwirkungen als grundrechtliches Verteilungsproblem identifiziert worden.21 Da prinzipiell die einzelnen Grundrechtsnormen als Teil der Verfassung gleichrangig sind, existieren – über das abstrakte Gebot, die widerstreitenden Grundrechtspositionen in einen möglichst schonenden Ausgleich zu bringen, sodass diese so weit wie möglich zur Entfaltung gelangen können (Herstellung praktischer Konkordanz22) – keine genauen Kriterien für die Abwägung der kollidierenden Grundrechte.23 Entsprechend billigt das Bundesverfassungsgericht dem Gesetzgeber auch einen gerichtlich nicht überprüfbaren „Einschätzungs-, Wertungs- und Gestaltungsspielraum“ zu, der nur überschritten wird, wenn er die

15

BVerfGE 84, 192 (194 f.); BVerfG-K, MMR 2007, 93 (93); ferner Schoch, JURA 2008, 352 (354); Gurlit, NJW 2010, 1035 (1040 Fn. 80); Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 51 ff.; für Art. 10 GG: BVerfGE 106, 28 (37); BVerfG-K, NJW 2007, 3055 (3055). 16 Kube, in: Isensee/Kirchhof (Hrsg.), HbStR VII, § 148 Rn. 145 m. w. Nachw. 17 BVerfGE 84, 212 (226 f.); 88, 103 (115 f.); 88, 203 (260); 96, 56 (64); Hesse, Grundzüge des Verfassungsrechts der Bundesrepublik Deutschland, Rn. 350; Ruffert, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, S. 225. 18 Der Privatrechtsgesetzgeber unterliegt sowohl bei der Schaffung zwingender als auch bei der Normierung dispositiver Zivilrechtsnormen der Grundrechtsbindung aus Art. 1 Abs. 3 GG, ausf. Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 48 ff. 19 Hesse, Grundzüge des Verfassungsrechts der Bundesrepublik Deutschland, Rn. 350. 20 Ruffert, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, S. 202. 21 Ruffert, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, S. 202. 22 Vgl. Hesse, Grundzüge des Verfassungsrechts der Bundesrepublik Deutschland, S. 206 sowie BVerfGE 41, 29 (51); 77, 240 (255); 81, 298 (308). 23 Sachs, in: Stern/Sachs (Hrsg.), StR III/2, S. 603 (614).

62

C. Verfassungsrechtliches Spannungsfeld

Schutzpflicht evident verletzt (Untermaßverbot24).25 Geboten ist, dass „die öffentliche Gewalt Vorkehrungen zum Schutze des Grundrechts trifft, die nicht gänzlich ungeeignet oder völlig unzulänglich sind.“26 Vor diesem Hintergrund kann eine Herausarbeitung der betroffenen Grundrechtspositionen im Spannungsfeld von Suchmaschinenbetreiber, Nutzer und als Suchobjekt Betroffenen den Regelungsauftrag an den Gesetzgeber nicht exakt vorzeichnen, jedoch grobe Leitlinien vorgeben und helfen, bestehende Regelungsdefizite aufzudecken und Novellierungsvorschläge zu entwickeln.

2. Die Rechtsprechung als Adressat Die Erfüllung staatlicher Schutzpflichten wird weiterhin durch die Rechtsprechung umgesetzt. Staatliche Schutzpflichten können nicht ausschließlich durch den Gesetzgeber erfüllt werden, denn eine Beschränkung der Adressierung des staatlichen Schutzauftrags auf die Legislative würde aus zweierlei Gründen Schutzdefizite provozieren. Zum einen gilt es zu berücksichtigen, dass der Gesetzgeber nicht jedes Regelungsbedürfnis mit sofortigem gesetzgeberischem Handeln beantwortet. Die Ursachen hierfür sind vielfältig. Gesetzgebung ist kein einfaches Prozedere, denn Vorschläge müssen erarbeitet, eingebracht und diskutiert werden, politischer Konsens ist zu erreichen und darüber hinaus werden besonders kontroverse Regelungsbereiche – exemplarisch sei auf das Staatshaftungsrecht verwiesen – nur zurückhaltend oder gar nicht angegangen.27 Für das Auffangen legislativer Defizite durch lückenfüllendes Richterrecht besteht somit ein praktisches Bedürfnis.28 Zweitens richtet sich der staatliche Schutzauftrag auch an die Rechtsprechung, weil die in Gesetze gegossenen abstrakt-generellen Vorgaben der Legislative der Konkretisierung durch den Richter für den Einzelfall bedürfen.29 Dieser hat bei der Auslegung und Anwendung des einfachen Rechts den gegenläufigen Grundrechtspositionen Rechnung zu tragen.30 Dies ist seit dem Lüth-Urteil des Bundesverfassungsgerichts, lange vor Etablierung der grundrechtlichen Schutzpflichtendogmatik, als „Ausstrahlungswirkung der Grundrechte in das Privatrecht“ anerkannt.31 24

Den Begriff in die Rechtswissenschaft einführend Canaris, AcP 184 (1984), 201 (228), übernommen von BVerfGE 88, 203 (254). 25 BVerfGE 56, 54 (80 f.); 77, 170 (214 f.); 88, 203 (262); 96, 56 (64); 117, 202 (227); BVerfG-K, NJW 1995, 2343; NJW 1996, 651. 26 BVerfGE 77, 170 (215). 27 Mit weiteren Beispielen Ruffert, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, S. 223. 28 Vgl. BVerfGE 84, 212 (226 f.); 88, 103 (115). 29 Ruffert, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, S. 224. 30 Aus der Ausbildungsliteratur Epping/Lenz, JURA 2007, 881 (887 f.). 31 BVerfGE 7, 198 (205 f.); Dürig, in: Maunz (Hrsg.), FS Nawiasky, S. 157 (176 ff.).

II. Konfliktfeld 1: Datenschutz des Suchobjekts

63

Zu betonen ist, dass der Schutzauftrag an die Judikative subsidiär zum Gestaltungsauftrag an die Legislative ist und sich nur im Rahmen der gesetzgeberischen Vorgaben aktualisiert.32 Der Richter ist zur Auslegung und gegebenenfalls grundrechtskonformen Ergänzung der Normen im Rahmen des erkennbaren legislativen Schutzkonzepts berufen, nicht jedoch zur unmittelbaren, gesetzesunabhängigen Erfüllung der Schutzpflichten.33 Die Ermittlung und Gewichtung der im Zusammenhang mit dem Betrieb und der Benutzung von Suchmaschinen relevanten Grundrechte kann also auch Hilfestellung leisten, zu einer verfassungskonformen Auslegung der maßgeblichen Normen zu gelangen.

II. Konfliktfeld 1: Datenschutz des Suchobjekts Eine Regelung des Datenschutzes bei der Personensuche berührt nicht nur die Interessen des Suchmaschinenbetreibers und des betroffenen Gesuchten. Berücksichtigung zu finden hat auch das Interesse der Suchmaschinennutzer an der Auffindbarkeit von Webseiten durch die Nutzung von Suchmaschinen. Die grundrechtliche Spannungslage bezüglich der Verarbeitung personenbezogener Daten in den Suchergebnissen ist also durch eine Dreiecksbeziehung der grundrechtlich geschützten Interessen des betroffenen Gesuchten, des Suchmaschinenbetreibers und des Suchmaschinennutzers charakterisiert. Das Gewicht der jeweiligen grundrechtlichen Position gilt es im Folgenden herauszuarbeiten.

1. Allgemeines Persönlichkeitsrecht der Gesuchten Suchmaschinen vereinfachen das Auffinden von Informationen über eine bestimmte Person im WWW in hohem Maße. Die Verbreitung von Informationen über eine Person kann mit dem Schutz des allgemeinen Persönlichkeitsrechts des Betroffenen konfligieren. Der Grad der Persönlichkeitsrechtsbeeinträchtigung hängt von einer genauen Bestimmung des Schutzzwecks, Schutzumfangs und der Eingriffstiefe ab.

32

BVerfGE 81, 242 (178); 84, 212 (227); Badura, in: Böttcher/Hueck/Jähnke (Hrsg.), FS Walter Odersky, S. 159 (181); Ruffert, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, S. 231 ff.; weniger zurückhaltend BVerfGE 84, 212 (226 f.); 88, 103 (115). 33 Ruffert, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, S. 232.

64

C. Verfassungsrechtliches Spannungsfeld

Das allgemeine Persönlichkeitsrecht ist im Grundgesetz nicht explizit genannt, sondern wurde im Wege richterlicher Rechtsfortbildung34 als sog. unbenanntes Freiheitsrecht35 aus der allgemeinen Handlungsfreiheit, Art. 2 Abs. 1 GG, und der Menschenwürdegarantie, Art. 1 Abs. 1 GG, entwickelt.36 Es „gewährleistet Elemente der Persönlichkeit, die nicht Gegenstand der besonderen Freiheitsgarantien des Grundgesetzes sind, diesen aber in ihrer konstituierenden Bedeutung für die Persönlichkeit nicht nachstehen“37 und erfüllt insofern eine lückenschließende Funktion im grundrechtlichen Schutzsystem der Persönlichkeitsentfaltung.38 Seinen dogmatischen Anknüpfungspunkt findet es in Art. 2 Abs. 1 GG, da es ebenso wie die allgemeine Handlungsfreiheit nicht auf bestimmte Lebensbereiche bezogen ist, sowie in der Menschwürde, Art. 1 Abs. 1 GG, weil es den Menschen weniger in seinem Verhalten als in seiner Qualität als Menschen schützt.39 a) Schutzbereich aa) Sachlicher Schutzbereich Als umfassende Schutzverbürgung für Gefahren für die Persönlichkeitsentfaltung besitzt das allgemeine Persönlichkeitsrecht keinen starren, fest definierten Schutzbereich, sondern ist entwicklungsoffen gegenüber neuartigen Gefährdungen für die Persönlichkeitsentfaltung.40 Auf diese Weise ist grundrechtlicher Persönlichkeitsschutz auch gegenüber veränderten Gefährdungslagen gewährleistet, welche sich insbesondere aus technischen und gesellschaftlichen Veränderungen ergeben können.41 Während das Bundesverfassungsgericht starre Schutzbereichsdefinitionen vermieden hat, bemüht sich die Literatur um eine Systematisierung anhand von Fallgruppenbildung.42 Bei derartigen Systematisierungsversuchen sind fließende

34

Zur Herleitung Jarass, NJW 1989, 857 (857); zur Geschichte des allgemeinen Persönlichkeitsschutzes in der Zivilrechtsprechung Seifert, NJW 1999, 1889, s. auch v. Caemmerer, in: Esser/Thieme (Hrsg.), FS v. Hippel, S. 27 (27 ff.). 35 So bezeichnet z. B. in BVerfGE 54, 148 (153); 95, 220 (241); zu dem Begriff Lorenz, in: Geis/Lorenz/Maurer (Hrsg.), FS Maurer, S. 213 (216 ff.). 36 Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 128; vgl. etwa schon BVerfGE 6, 389 (432 f.); das allgemeine Persönlichkeitsrecht lediglich aus Art. 2 Abs. 1 GG herleitend Britz, Freie Entfaltung durch Selbstdarstellung, S. 25 f. 37 BVerfGE 118, 168 (183); 120, 274 (303); ähnlich BVerfGE 95, 220 (241); 99, 185 (193). 38 BVerfGE 54, 148 (153); 101, 361 (380); 120, 274 (303). 39 So Pieroth/Schlink, Grundrechte, Rn. 391; aus der Rspr. statt vieler BVerfGE 27, 1 (5 ff.); 27, 344 (350); 65, 1 (41); 101, 361 (379); umfassende Rspr.-Nachweise bei Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 128 (S. 137 Fn. 1). 40 BVerfGE 54, 148 (153); 101, 361 (380). 41 BVerfGE 120, 274 (303). 42 Vgl. z. B. die Systematisierungsversuche von Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 149 ff.; Murswiek, in: Sachs, GG, Art. 2 Rn. 68 ff.; Jarass, in: Jarass/Pieroth, GG,

II. Konfliktfeld 1: Datenschutz des Suchobjekts

65

Übergänge und Überschneidungen der Ausformungen unvermeidlich,43 nichtsdestotrotz sind solche Versuche sinnvoll, um eine Übersicht über Reichweite und Grenzen des sachlichen Schutzbereichs des allgemeinen Persönlichkeitsrechts zu erhalten. (1) Recht auf Selbstbewahrung Als eine Ausformung des allgemeinen Persönlichkeitsrechts hat sich das Recht auf Selbstbewahrung herausgebildet. In dieser Ausformung ist das Recht des Einzelnen angesprochen, sich von den Blicken der Öffentlichkeit abzuschirmen, von ihr allein bleiben zu können.44 Um der Entfaltung der Persönlichkeit Willen verbietet dieses Recht umfassende Einblicke in persönliche Verhältnisse des Betroffenen und gewährt ihm einen „Innenraum“, als einen der Öffentlichkeit verschlossenen Rückzugsort.45 Der durch das Recht auf Selbstbewahrung geschützte Bereich der Privatsphäre besitzt eine räumliche und eine thematische Ausprägung.46 In thematischer Hinsicht bezieht sich der Schutz auf Angelegenheiten, die der engeren persönlichen Lebensführung zuzurechnen sind und deren öffentliche Erörterung der Einzelne typischerweise als „peinlich“ oder „unschicklich“ empfindet oder deren Veröffentlichung nachteilige Folgen nach sich ziehen könnte, wie die Veröffentlichung von Tagebucheinträgen,47 das vertrauliche Wort zwischen Eheleuten,48 sowie die Preisgabe von Informationen zur Sexualität49 oder sozial abweichendem Verhalten50.51 In seiner räumlichen Dimension schützt das Recht auf Selbstbewahrung räumliche Rückzugsbereiche, in denen der Einzelne unbeobachtet von dem Auge der Öffentlichkeit bleiben kann und daher nicht um Sorge, wie er wohl auf andere wirken mag, sein Verhalten einer ständigen Selbstkontrolle unterziehen muss, sondern einfach er selbst sein kann.52 Der räumliche Rückzugsbereich ist nicht auf den häuslichen Bereich beschränkt, sondern erfasst auch sonstige abgeschiedene Örtlichkeiten, wie z. B. einen abgeschiedenen Winkel eines Gartenlokals, soweit der Einzelne nach den

Art. 2 Rn. 42 ff.; Pieroth/Schlink, Grundrechte, Rn. 391 ff.; Michael/Morlok, Grundrechte, 2010, Rn. 425 ff. 43 Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 147. 44 Pieroth/Schlink, Grundrechte, Rn. 394. 45 BVerfGE 27, 1 (6); v. Mutius, in: Bäumler/von Mutius (Hrsg.), Anonymität im Internet, S. 12 (18). 46 BVerfGE 101, 361 (382 ff.); erläuternd Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 149. 47 BVerfGE 80, 367 (373 ff.). 48 BVerfGE 27, 344 (351 ff.). 49 BVerfGE 47, 46 (73 f.); 49, 286 (297 ff.). 50 BVerfGE 44, 353 (372 f.). 51 Aufzählung nach BVerfGE 101, 361 (382 ff.). 52 BVerfGE 101, 361 (382 ff.).

66

C. Verfassungsrechtliches Spannungsfeld

örtlichen und zeitlichen Verhältnissen in begründeter Weise und nach außen erkennbar mit einer Abgeschiedenheit des Ortes rechnen darf.53 Verletzungen des Rechts auf Selbstbewahrung im WWW sind keine Seltenheit. Betroffene wehren sich, wenn Informationen über sehr persönliche Umstände ohne Autorisierung auf Webseiten veröffentlicht werden, und beschäftigen die Gerichte.54 Da Suchmaschinen oftmals die Auffindbarkeit von derartigen Inhalten erst ermöglichen, leisten diese einen Beitrag zu einer möglichen Persönlichkeitsrechtsverletzung.55 Insofern berührt ihre Tätigkeit das Recht auf Selbstbewahrung der als Suchobjekt Betroffenen. (2) Recht auf Selbstdarstellung Das Recht auf Selbstdarstellung schützt das Recht des Einzelnen zu entscheiden, wie er sich Dritten gegenüber darstellen möchte.56 Es schützt gegen entstellende oder unerbetene öffentliche Darstellungen des eigenen Persönlichkeitsbildes, die von nicht ganz unerheblicher Bedeutung für die Persönlichkeitsentfaltung sind.57 Derartige unerbetene Darstellungen können sich aus der Aufnahme oder Verwertung von Fotos58 (Recht am eigenen Bild) oder des gesprochenen Wortes59 (Recht am eigenen Wort) ergeben.60 Entstellungen des Persönlichkeitsbildes können durch die Wiedergabe von Falschzitaten,61 erfundenen Interviews,62 Bildmanipulationen oder die Verbreitung falscher Tatsachen über eine Person63 eintreten. Anders als das Recht der Selbstbewahrung ist der Schutz durch das Recht der Selbstdarstellung nicht von einer Zugehörigkeit der Informationen zu dem Bereich der Privatsphäre abhängig.64 Soweit eine Information das Persönlichkeitsbild in der Öffentlichkeit betrifft und zugleich

53

BVerfGE 101, 361 (383 ff.). Exemplarisch: BVerfGE 104, 65 (72) – Prangerwirkung eines im Internet veröffentlichten Schuldnerspiegels; BVerfGE-K, NJW 2009, 2431 – Online-Berichterstattung über das Strafverfahren gegen einen Ex-Fußballprofi wegen der Begehung eines Sexualdelikts; ferner die (mittlerweile aus Deutschland nicht mehr erreichbare) Seite www.rottenneighbor.com, auf der Benutzer ihre Nachbarn (in i. d. R. negativer Weise) kommentieren. 55 Vgl. die Problematik der Indexierung von Altmeldungen aus Online-Pressearchiven, BGH, NJW 2010, 757. 56 BVerfGE 54, 148 (155). 57 BVerfGE 99, 185 (194); Dreier, in: Dreier, GG, Art. 2 Abs. 1 Rn. 71; Pieroth/Schlink, Grundrechte, Rn. 397. 58 BVerfGE 97, 228 (268). 59 BVerfGE 34, 238 (246 ff.). 60 Dreier, in: Dreier, GG, Art. 2 Abs. 1 Rn. 71 f. 61 BVerfGE 54, 148 (155 f.). 62 BVerfGE 34, 269 (282 f.). 63 BVerfGE 99, 185 (193 f.). 64 Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 166. 54

II. Konfliktfeld 1: Datenschutz des Suchobjekts

67

der Privatsphäre zugeordnet ist, überschneiden sich die Bereiche der Selbstdarstellung und Selbstbewahrung.65 Das Recht auf Selbstdarstellung ist im Internet in höherem Maße gefährdet als in der traditionellen „Offline-Welt“. Im Internet ist die massenhafte Verbreitung von Informationen nicht nur einigen wenigen Marktteilnehmern möglich, sondern auch Einzelpersonen besitzen die Möglichkeit, in Blogs oder Diskussionsforen einem breiten Publikum über für sie persönlich bedeutsame Ereignisse aus dem Alltagsleben zu berichten und auch die beteiligten Personen namentlich zu erwähnen.66 Die Schaffung von Inhalten (auch) durch viele Einzelne erhöht daher die Anzahl veröffentlichter personenbezogener Informationen im WWW.67 Die technische Struktur des WWW vereinfacht die Übernahme von unter einer anderen Internetseite veröffentlichter Inhalte, durch Funktionen, wie „Kopieren und Einfügen“ oder „Verlinken“.68 Dies birgt in besonderem Maße die Gefahr, von z. B. entstellenden Zitaten69 oder unberechtigten Vervielfältigungen von Fotos.70 Für die Rolle von Suchmaschinen gilt das bereits zum Recht auf Selbstbewahrung Ausgeführte. Viele Nutzer gelangen zu den persönlichkeitsrechtsrelevanten Inhalten erst über eine Verlinkung in der Trefferliste einer Suchmaschine. Dies gilt in besonderem Maße für solche Inhalte, die nicht Teil eines Webauftritts eines großen Presseunternehmens, sondern auf eher unbekannteren Webseiten vorhanden sind. (3) Recht auf informationelle Selbstbestimmung Als Reaktion auf neue Gefährdungslagen für den Persönlichkeitsschutz durch technische Fortschritte im Bereich der automatischen Datenverarbeitung hat das Bundesverfassungsgericht im Volkszählungsurteil von 198371 das Recht auf informationelle Selbstbestimmung als weitere Ausformung des allgemeinen Persönlichkeitsrechts72 aus der Taufe gehoben.73 Damals identifizierte das Gericht als Charakteristika moderner Datenverarbeitung die technische Möglichkeit, enorme Datenmengen unbegrenzt speichern und sekundenschnell abrufen zu können sowie die vereinfachte Verknüpfbarkeit elektronisch gespeicherter, personenbezogener Daten(sammlungen) zu Persönlichkeitsprofilen.74 Diese bereits damals angesprochenen Trends sind bis heute ungebrochen; Computer werden weiterhin von Jahr zu 65 66 67 68 69 70 71 72 73 74

Vgl. auch Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 151. Feldmann, jurisPR-ITR 11/2010, Anm. 4. Feldmann, jurisPR-ITR 11/2010, Anm. 4. Feldmann, jurisPR-ITR 11/2010, Anm. 4. Vgl. BVerfGE-K, NJW 2010, 1587. OLG München, MMR 2007, 659. BVerfGE 65, 1. So auch die Formulierung in BVerfGE 117, 202 (228). Zum historischen Kontext der Urteilsfindung Steinmüller, RDV 2007, 158. BVerfGE 65, 1 (42).

68

C. Verfassungsrechtliches Spannungsfeld

Jahr schneller und kleiner und Datenspeicher werden immer billiger.75 Sorgen der Bürger wachsen im Hinblick auf immer schwerer zu überschauende Datensammlungen, die unter Einsatz neuer Erkenntnisse auf dem Forschungsgebiet des Information Retrieval immer tiefergehender nach bestimmten Kriterien analysiert werden können (Data Mining). Anwendungsbeispiele aus dem privaten Sektor sind die Ermittlung der Bonität eines Kreditnehmers mittels Score-Werten oder die Analyse des Surfverhaltens zur Platzierung individuell abgestimmter Werbung, aus dem öffentlichen Bereich die Auswertung von Transaktionsdaten auf dem Aktienmarkt durch die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) nach verbotenem Insiderhandel76 oder die polizeiliche Rasterfahndung.77 Die spezifische Gefährdung für das allgemeine Persönlichkeitsrecht durch Fortschritte in der Informationstechnologie sieht das Bundesverfassungsgericht darin, dass durch die vereinfachte Speicherung und Verknüpfung personenbezogener Daten diese vermehrt fluktuieren, der Einzelne das Wissen seiner Kommunikationspartner über ihn nicht mehr abschätzen kann und daher in seiner Persönlichkeitsentfaltung gehemmt sein könnte.78 Das Recht auf informationelle Selbstbestimmung ist daher als ein Grundrecht auf Datenschutz zu verstehen.79 Es schützt den „Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten“80. Während die Befugnis des Einzelnen, „grundsätzlich selbst zu entscheiden, wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden“81, auch schon vor dem Volkszählungsurteil als durch das allgemeine Persönlichkeitsrecht verbürgt angesehen war,82 begründet das Recht auf informationelle Selbstbestimmung die grundsätzliche Selbstbestimmung sowohl über Preisgabe als auch (Weiter-) Verwendung persönlicher Daten83 und stellt damit die staatlicherseits erfolgende Verarbeitung personenbezogener Daten umfassend unter Erlaubnisvorbehalt.84 Hervorzuheben ist, dass für die Eröffnung des Schutzbereichs die Art der betroffenen Daten irrelevant ist. Entscheidender sind vielmehr die

75

Roßnagel/Pfitzmann/Garstka, Modernisierung des Datenschutzrechts, S. 26. Schulz/Waldenspuhl/Hermerschmidt, Data Warehouse und Data Mining im öffentlichen Bereich 8/2002, S. 7, http://www.lfd.m-v.de/dschutz/informat/dwh/index_dw.html (15. 3. 2011). 77 Zur Verfassungsmäßigkeit der präventiv-polizeilichen Rasterfahndung BVerfGE 115, 320 (344 ff.). 78 BVerfGE 65, 1 (42 f.). 79 So explizit BVerfGE 84, 239 (279 f.). 80 BVerfGE 65, 1 (43). 81 BVerfGE 65, 1 (42 f.); 84, 192 (194); 118, 168 (184). 82 Ähnlich bereits BVerfGE 63, 131 (142 f.); darauf hinweisend Schoch, JURA 2008, 352 (353); weitere Nachw. bei Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 41 f. 83 BVerfGE 65, 1 (43); 117, 202 (228). 84 Albers, in: Haratsch/Kugelmann/Repkewitz (Hrsg.), Herausforderungen an das Recht der Informationsgesellschaft, S. 113 (118). 76

II. Konfliktfeld 1: Datenschutz des Suchobjekts

69

„Nutzbarkeit und Verwendungsmöglichkeit“85. Allein aus dem Umstand, dass ein einzelnes Datum eine Information zu einer alltäglichen Handlung beinhaltet, die gemeinhin als nicht besonders vertraulich eingestuft wird, lässt sich kein Rückschluss auf den Grad der Persönlichkeitsgefährdung durch die Verarbeitung dieses Datums ziehen, denn auch von entscheidender Bedeutung sind der Zweck der Datenerhebung, die Verknüpfungsmöglichkeiten mit bereits vorhandenem Wissen oder die weiteren Verwendungsmöglichkeiten.86 „Dadurch kann ein für sich gesehen belangloses Datum einen neuen Stellenwert bekommen; insoweit gibt es unter den Bedingungen der automatischen Datenverarbeitung kein ,belangloses DatumÐ mehr.“87 Wenn Suchmaschinen im WWW vorfindliche Seiten indexieren und ihren Nutzern präsentieren, verarbeiten sie persönliche Daten, soweit solche die betreffenden Webseiten beinhalten. Vom informationellen Selbstbestimmungsrecht geschützte Daten sind nicht nur solche, deren Informationswert sich auf Fakten über eine Person beziehen, sondern auch solche, die Werturteile beinhalten, solange dem Werturteil auch ein Informationswert noch immanent ist.88 (4) Drittwirkung des Rechts auf informationelle Selbstbestimmung Ob durch die Ausstrahlungswirkung des Rechts auf informationelle Selbstbestimmung in Privatrechtsverhältnisse dem Grundrechtsträger in ähnlich umfassendem Maß Schutz vor Datenumgang durch private Stellen zukommt wie bei Datenverarbeitungen durch öffentliche Stellen, wird mit unterschiedlichem Ergebnis diskutiert.89 Teilweise wird der (ohne Zweifel vorhandene) strukturelle Unterschied zwischen hoheitlichen Eingriffen des grundrechtsverpflichteten Staates und Grundrechtsbeeinträchtigungen durch die Grundrechtsausübung anderer Grundrechtsberechtigter betont und daraus folgernd aus der Ungleichartigkeit des Grundrechtsschutzes auf eine Ungleichwertigkeit des Schutzniveaus geschlossen.90 Private Datenverarbeiter agierten in Ausübung grundrechtlicher Freiheit und bedürften im Gegensatz zu staatlichen Stellen keiner Ermächtigungsgrundlage für ihr

85

BVerfGE 65, 1 (45). BVerfGE 65, 1 (45); 118, 168 (185); 120, 378 (398 f.). 87 BVerfGE 65, 1 (45). 88 Dammann, in: Simitis, BDSG, § 3 Rn. 12. 89 Dazu umfassend Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 51 ff.; vgl. auch Giesen, JZ 2007, 918. 90 Wente, NJW 1984, 1446 (1447); Giesen, JZ 2007, 918 (922 ff.); RDV 2011, 266 (271); Ehmann, in: Simitis, BDSG, § 29 Rn. 212; Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 190; Schulze-Fielitz, in: Dreier, GG, Art. 5 Abs. 1, 2 Rn. 277; Murswiek, in: Sachs, GG, Art. 2 Rn. 122; Ruffert, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, S. 490 f.; Fröhle, Web Advertising, Nutzerprofile und Teledienstedatenschutz, S. 166; Tinnefeld/Ehmann/Gerling, Einführung in das Datenschutzrecht, S. 462. 86

70

C. Verfassungsrechtliches Spannungsfeld

Handeln.91 Boten die Grundrechte in ihrer Schutzpflichtendimension gleichviel Schutz wie in ihrer Abwehrfunktion, würde die grundrechtlich geschützte Freiheit der grundrechtsbeeinträchtigenden Privaten in gleichem Maße eingeschränkt werden wie die Handlungsbefugnisse des Staates gegenüber Privaten.92 Mangels Gleichwertigkeit des Schutzniveaus seien die Grundsätze aus dem Volkzählungsurteil nicht vollständig auf den Bereich des privaten Datenschutzes übertragbar.93 Andere verweisen auf die neuen Gefahren für die informationelle Selbstbestimmung durch den enormen Anstieg an privater Datenverarbeitung in den letzten Jahren.94 Aufgrund der immer höheren Bedeutung des Faktors Information,95 des technischen Fortschritts in der Informationstechnologie und der daraus resultierenden Etablierung neuartiger Geschäftsmodelle (insbesondere – aber nicht nur96 – im Bereich des Internet97) und des hohen grenzüberschreitenden Datenverkehrsaufkommens98 besäßen Privatunternehmen enorme Datenbestände und würden zunehmend als Bedrohung für die informationelle Selbstbestimmung des Einzelnen wahrgenommen werden.99 Erhebliche Machtungleichgewichte im Geschäftsverkehr zwischen Unternehmen und Einzelpersonen erschwerten darüber hinaus einen selbstbestimmten Umgang mit den eigenen Daten.100 Aufgrund dieser Umstände wird verfassungsrechtlich ein gleichwertiges Schutzniveau als geboten betrachtet.101 In der Rechtsprechung des Bundesverfassungsgerichts ist auffallend, dass das Gericht in Fällen, in denen die Zulässigkeit des Umgangs mit personenbezogenen Daten Gegenstand eines vor das Bundesverfassungsgericht getragenen Zivilrechtsstreits ist, regelmäßig das informationelle Selbstbestimmungsrecht mit keiner Silbe erwähnt und stattdessen auf das allgemeine Persönlichkeitsrecht als Prüfungsmaß91

Giesen, JZ 2007, 918 (922); Murswiek, in: Sachs, GG, Art. 2 Rn. 122. Fröhle, Web Advertising, Nutzerprofile und Teledienstedatenschutz, S. 166; entgegengesetzte Argumentation für einen gleichwertigen Datenschutz bei Roßnagel/Pfitzmann/ Garstka, Modernisierung des Datenschutzrechts, S. 51. 93 Fröhle, Web Advertising, Nutzerprofile und Teledienstedatenschutz, S. 166. 94 Lorenz, in: Bonner Kommentar, Art. 2 Abs. 1 Rn. 354; Trute, JZ 1998, 822 (823 f.); Roßnagel/Pfitzmann/Garstka, Modernisierung des Datenschutzrechts, S. 52; Kube, in: Isensee/ Kirchhof (Hrsg.), HbStR VII, § 148 Rn. 144 ff. 95 Dazu Schoch, VVDStRL 57 (1998), 158 (179 f.). 96 Zu denken ist auch z. B. an Kundenbindungssysteme, wie Payback. 97 Webmarketing, Webseitenanalysetools, soziale Netzwerke; daneben führt allgemein die durch das Internet erfolgende Individualisierung der Mediennutzung zu erhöhtem Gefährdungspotential aufgrund anfallender individueller Verbindungsdaten; darauf schon hinweisend Trute, JZ 1998, 822 (824). 98 Trute, JZ 1998, 822 (823 f.). 99 Hoffmann-Riem, in: Bäumler (Hrsg.), Der neue Datenschutz, S. 11 (16); Roßnagel/ Pfitzmann/Garstka, Modernisierung des Datenschutzrechts, S. 23 f.; Schaar, Datenschutz im Internet, Rn. 128; Kube, in: Isensee/Kirchhof (Hrsg.), HbStR VII, § 148 Rn. 145. 100 Weichert, DuD 2010, 7 (10); vgl. auch Petri, RDV 2007, 153 (154). 101 Trute, JZ 1998, 822 (823 f.); Weichert, DuD 2010, 7 (10); Simitis, in: Simitis, BDSG, § 1 Rn. 45, 48 ff.; Roßnagel/Pfitzmann/Garstka, Modernisierung des Datenschutzrechts, S. 48 ff. 92

II. Konfliktfeld 1: Datenschutz des Suchobjekts

71

stab rekurriert.102 Prüft es tatsächlich einmal eine Verkennung des Rechts auf informationelle Selbstbestimmung in einer zivilrechtlichen Streitigkeit, so weist es nur knapp auf die bestehende staatliche Schutzpflicht hin.103 Diese Zurückhaltung in der Anwendung des Rechts auf informationelle Selbstbestimmung in Privatrechtsstreitigkeiten wird mit der Schwierigkeit begründet, das im Volkszählungsurteil sehr weit formulierte Herrschaftsverständnis über die auf die eigene Person bezogenen Daten104 in Privatrechtsverhältnissen einzulösen, in welchen Daten mehrere Personen betreffen können und daher nicht so klar einer Person zuordenbar seien.105 Die Frage nach der Gleichwertigkeit des Schutzniveaus kann nicht mit ja oder nein beantwortet werden. Ein abstrakter Vergleich der Grundrechtsdimensionen lässt eine Antwort auf diese Frage nicht zu, da ein grundrechtliches Schutzniveau in abstrakter Betrachtung sich nicht quantifizieren lässt.106 Die Schutzintensität, die ein Grundrecht bietet, kann nur anhand des Einzelfalls in Abwägung mit den konkret entgegenstehenden Verfassungsgütern ermittelt werden.107 Im Ausgangspunkt ist es zutreffend, dass in der grundrechtlichen Abwehrdimension der Grundrechtsschutz eine Beschränkung des staatlichen Eingriffs auf das verhältnismäßige Minimum fordert, um das Grundrecht weitestmöglich zur Entfaltung gelangen zu lassen, während in der Schutzpflichtenkonstellation bei der Auflösung einer Kollisionslage zweier Grundrechtsträger den Grundrechten auf beiden Seiten bestmögliche Geltung im Wege der Herstellung praktischer Konkordanz zu verschaffen ist. Allerdings kann auch in der Abwehrdimension ein verhältnismäßiger Eingriff trotz des Gebots optimaler Grundrechtsentfaltung zu einer tiefgreifenden Grundrechtsbeschränkung führen, wenn die entgegenstehenden Verfassungswerte hinreichend gewichtig sind; im Einzelfall kann der Grundrechtsschutz gegenüber den durch den hoheitlichen Eingriff durchzusetzenden Verfassungsbelangen sogar vollständig zurücktreten.108 In welchem Maße Grundrechte ihre Wirkung entfalten, hängt also letztlich immer von dem Gewicht der im Einzelfall entgegenstehenden Verfassungsbelange ab und lässt sich nicht abstrakt bestimmen. Grundrechte sind ihren Trägern ausschließlich ver-

102 Exemplarisch BVerfGE 35, 202 (218 f.); 101, 361 (380 ff.); das RiS nur in Klammern erwähnend BVerfGE 84, 192 (194); die Drittwirkung dagegen explizit ansprechend BVerfGE 117, 202 (228 ff.); 120, 274 (312); BVerfG-K, MMR 2007, 93 (93); vgl. ferner Albers, Informationelle Selbstbestimmung, S. 267. 103 BVerfGE 84, 192 (194 f.); 117, 202 (228 ff.); BVerfG-K, MMR 2007, 93 (93). 104 BVerfGE 65, 1 (43): „Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe u. Verwendung seiner persönlichen Daten zu bestimmen.“ 105 So Albers, Informationelle Selbstbestimmung, S. 267; dazu näher Giesen, JZ 2007, 918 (922). 106 Überzeugend Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 54 ff. 107 Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 54 f. 108 Hesse, Grundzüge des Verfassungsrechts der Bundesrepublik Deutschland, Rn. 319; Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 55.

72

C. Verfassungsrechtliches Spannungsfeld

hältnismäßig, nicht absolut, zugeordnet.109 Dieser Grundsatz gilt gleichermaßen in der Abwehrdimension als auch in Fällen, in denen die Grundrechte über die Schutzpflichtendimension in Privatrechtsbeziehungen einwirken. Wenn das Bundesverfassungsgericht als Untermaßgrenze einer Schutzpflicht solche Maßnahmen als nicht mehr verfassungsgemäß ansieht, die „gänzlich ungeeignet oder völlig unzulänglich“110 sind, bringt es eine inhaltsleere Selbstverständlichkeit zum Ausdruck, denn „jede Schutzpflicht steht unter der Maxime ihrer effektiven Erfüllung“111. Darüber hinaus sind auch keine konkreteren Aussagen zu der abstrakten Reichweite staatlicher Schutzpflichten möglich, weil deren Reichweite, da Abwehr- und Schutzdimension im mehrpoligen Verfassungsrechtsverhältnis untrennbar interagieren,112 ebenfalls anhand der Betroffenheit der berührten Verfassungsbelange im konkreten Einzelfall zu ermitteln ist.113 Festzuhalten bleibt somit, dass das Recht auf informationelle Selbstbestimmung im Wege der mittelbaren Drittwirkung über die grundrechtlichen Schutzpflichten auch in Privatrechtsbeziehungen geschützt ist. Eine geringere Schutzintensität in privatrechtlichen Verhältnissen lässt sich nicht abstrakt feststellen. (5) Verhältnis des Rechts auf informationelle Selbstbestimmung zu den sonstigen Ausformungen des allgemeinen Persönlichkeitsrechts Das Verhältnis des Rechts auf informationelle Selbstbestimmung zu den anderen Ausformungen des allgemeinen Persönlichkeitsrechts ist weiterhin ungeklärt. Manche sehen das informationelle Selbstbestimmungsrecht als Weiterentwicklung des Rechts auf Selbstdarstellung,114 andere als subsidiäres Auffanggrundrecht.115 Auch wird das Recht auf informationelle Selbstbestimmung als abstrakterer Ansatz für den Persönlichkeitsschutz in Bezug auf personenbezogene Daten bezeichnet.116 In seiner Entscheidung zur automatisierten Kennzeichenerfassung bezeichnet das Bundesverfassungsgericht das informationelle Selbstbestimmungsrecht als eine Flankierung des Schutzes der „Verhaltensfreiheit und Privatheit“, die bereits auf Ebene der Rechtsgutsgefährdung eingreife.117 109 Hesse, Grundzüge des Verfassungsrechts der Bundesrepublik Deutschland, Rn. 72 u. 318; Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 55; Callies, in: Merten/ Papier (Hrsg.), HbGR II, § 44 Rn. 29. 110 BVerfGE 77, 170 (215). 111 So zutreffend Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 55. 112 Zu mehrpoligen Verfassungsrechtsverhältnissen Callies, in: Merten/Papier (Hrsg.), HbGR II, § 44 Rn. 18 f. 113 Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 56. 114 Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 166 u. insbes. Rn. 173: „interpretatorische Fortbildung des Selbstdarstellungsschutzes“. 115 Pieroth/Schlink, Grundrechte, Rn. 399. 116 Albers, Informationelle Selbstbestimmung, S. 247 f. 117 BVerfGE 120, 378 (397).

II. Konfliktfeld 1: Datenschutz des Suchobjekts

73

Das Bundesverfassungsgericht hat sich kaum mit der Abgrenzung des informationellen Selbstbestimmungsrechts von den anderen Teilgehalten des allgemeinen Persönlichkeitsrechts auseinandergesetzt.118 Dies liegt daran, dass der bundesverfassungsgerichtlichen Rechtsprechung zum allgemeinen Persönlichkeitsschutz kein einheitliches Schutzkonzept zugrundeliegt, welches eine Kategorienbildung der hier vorgenommenen Art beinhaltet, sondern vielmehr von Einzelfallkasuistik geprägt ist und mithin einen jeweils punktuellen Schutz erzielt.119 Eine klare Abgrenzung der Teilgehalte ist daher nicht möglich. Vielmehr ist von überschneidenden Anwendungsbereichen der unterschiedlichen Ausprägungen auszugehen, die einer Fortentwicklung weiterer Teilgehalte aufgrund neuer Gefahren für den Persönlichkeitsschutz nicht entgegen stehen.120 bb) Personaler Schutzbereich Grundrechtsträger des allgemeinen Persönlichkeitsrechts sind zunächst natürliche Personen. Nicht ganz klar ist, inwiefern das allgemeine Persönlichkeitsrecht über Art. 19 Abs. 3 GG wesensmäßig auch auf juristische Personen anwendbar ist.121 Nach der Rechtsprechung des Bundesverfassungsgerichts lässt sich diese Frage nicht pauschal für das allgemeine Persönlichkeitsrecht beantworten, sondern ist im Hinblick auf dessen verschiedene Teilgehalte differenziert zu bestimmen.122 Das Gericht prüft also für die jeweilige in Rede stehende Ausformung des allgemeinen Persönlichkeitsrechts separat, ob der spezielle Teilgehalt des Persönlichkeitsrechts „an Eigenschaften, Äußerungsformen oder Beziehungen anknüpft, die nur natürlichen Personen wesenseigen sind“123. Es gilt nicht aus dem Auge zu verlieren, dass das allgemeine Persönlichkeitsrecht in seinem Ausgangspunkt eine besondere Nähe zu der Menschenwürde aufweist und daher seine dogmatische Fundierung in Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG findet,124 Menschenwürde aber nur Menschen besitzen und nicht ein Wesensmerkmal juristischer Personen ist.125 Jedoch begründet nicht jede Beschränkung des allgemeinen Persönlichkeitsrechts einen selbstständigen Eingriff sowohl in die Menschenwürde als auch in die allgemeine Handlungsfreiheit, denn ansonsten erstreckte sich der absolute Schutz der Menschenwürde auch 118 Eine Ausnahme bildet das Grundrecht auf Gewährleistung der Vertraulichkeit u. Integrität informationstechnischer Systeme, BVerfGE 120, 274 (302). 119 So der Befund bei Albers, Informationelle Selbstbestimmung, S. 612 (14. These zum 2. Teil). 120 Elixmann, in: Coester-Waltjen/Ehlers/Geppert et. al. (Hrsg.), JURA Examensklausurenkurs, S. 135 (149). 121 Dazu Schoch, JURA 2001, 201. 122 BVerfGE 118, 168 (203). 123 BVerfGE 95, 220 (242); 106, 28 (42 t); 118, 168 (203). 124 Oben Teil C. Fn. 39. 125 Herdegen, in: Maunz/Dürig, GG, Art. 1 Abs. 1 Rn. 72; Jarass, in: Jarass/Pieroth, GG, Art. 1 Rn. 8.

74

C. Verfassungsrechtliches Spannungsfeld

auf das allgemeine Persönlichkeitsrecht und versperrte eine verhältnismäßige Einschränkbarkeit.126 Das Zusammenwirken von Art. 2 Abs. 1 und Art. 1 Abs. 1 GG ist vielmehr dahingehend zu verstehen, dass Anknüpfungspunkt der subjektiven Gewährleistung des allgemeinen Persönlichkeitsrechts Art. 2 Abs. 1 GG ist127 und Art. 1 Abs. 1 GG den Auslegungsmaßstab für die Ermittlung von Inhalt und Reichweite des Schutzumfangs markiert.128 Da juristische Personen keine Menschenwürde besitzen, leitet das Bundesverfassungsgericht das allgemeine Persönlichkeitsrecht, soweit es dessen Teilgehalte auf juristische Personen erstreckt, ausschließlich aus Art. 2 Abs. 1 GG her.129 Eine wesensmäßige Anwendbarkeit verneinte das Gericht für die Freiheit vor Zwang zur Selbstbezichtigung,130 bejahte sie aber für die Freiheit auf Selbstdarstellung;131 über das Recht auf Selbstbewahrung ist noch nicht entschieden worden.132 Das Bundesverfassungsgericht überträgt das Recht auf informationelle Selbstbestimmung in nur eingeschränkter Weise auf juristische Personen.133 In Abweichung von dem Dogma des Volkszählungsurteils, dass es kein belangloses Datum mehr gibt, ist nicht der Umgang mit jeglichem unternehmensbezogenen Datum ein Eingriff in das Recht auf informationelle Selbstbestimmung der juristischen Person. Die Weite des Schutzbereichs des informationellen Selbstbestimmungsrechts bei natürlichen Personen ist in der Unüberschaubarkeit möglicher Verarbeitungen und in der Herstellung von Verwendungszusammenhängen begründet, die eine hemmende Wirkung auf das Ausleben der eigenen Persönlichkeit besitzt134 und rührt daher aus einer besonderen Nähe zur Menschenwürde her. Juristische Personen besitzen ihrem Wesen nach keine Menschenwürde; entsprechend ergibt sich ihr Recht auf informationelle Selbstbestimmung nur aus Art. 2 Abs. 1 GG und für sie ist erst dann der Schutzbereich eröffnet, wenn die informationelle Maßnahme die juristische Person in ihrem „spezifischen Tätigkeitsbereich berührt“, die Maßnahme also die juristische 126 Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 128; vgl. BVerfG-K, NJW 2001, 594 (594 f.). 127 Anknüpfungspunkt des APR allein Art. 2 Abs. 1 GG: BVerfGE 56, 37 (41 f.); 42, 234 (236); die allgemeine Handlungsfreiheit aus Art. 2 Abs. 1 GG nennend aber inhaltlich das APR prüfend BVerfGE 57, 170 (177 ff.). 128 So BVerfGE 27, 344 (350 f.); 34, 238 (245); 35, 35 (39); 79, 256 (268); m. w. Nachw. aus der Lit. Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 128. 129 Etwa BVerfGE 106, 28 (42 ff.); 118, 168 (203); Art. 1 Abs. 1 GG hingegen noch ohne Begründung auch zitierend BVerfGE 63, 131 (142). 130 BVerfGE 95, 220 (242). 131 Für das Recht am eigenen Wort BVerfGE 106, 28 (42 ff.); für einen Anspruch auf Gegendarstellung BVerfGE 63, 131 (142 f.). 132 Wohl aber wurde die wesensmäßige Anwendbarkeit von Art. 13 GG bejaht, BVerfGE 42, 212 (219). 133 BVerfGE 118, 168 (203 f.); pauschal die Anwendbarkeit dem BVerfG unterstellend Lorenz, in: Bonner Kommentar, Art. 2 Abs. 1 Rn. 385; Jarass, in: Jarass/Pieroth, GG, Art. 2 Rn 52. 134 Vgl. BVerfGE 65, 1 (42 f.).

II. Konfliktfeld 1: Datenschutz des Suchobjekts

75

Person einer „Gefährdung hinsichtlich ihrer spezifischen Freiheitsausübung“ aussetzt.135 Diese Rechtsprechung wird von der Literatur überwiegend gebilligt.136 Manche Stimmen lehnen die Anwendung des informationellen Selbstbestimmungsrechts pauschal ab und verweisen auf einen ausreichenden Schutz vor informationellen Maßnahmen durch andere Grundrechte.137 Hinsichtlich des Schutzes von Betriebsund Geschäftsgeheimnissen besteht Schutz durch Art. 12 Abs. 1 bzw. 14 Abs. 1 GG,138 darüber hinaus können sich Unternehmen auf die Handlungsfreiheit im wirtschaftlichen Verkehr berufen,139 von der auch der soziale Geltungsanspruch des Unternehmens erfasst ist.140 Ein Achtungsanspruch kann sich auch aus anderen Grundrechtrechten ergeben, z. B. aus Art. 4 Abs. 1, 2 GG für Religionsgemeinschaften.141 Da das Bundesverfassungsgericht das informationelle Selbstbestimmungsrecht juristischen Personen nur insoweit zugesteht, als deren spezifische Tätigkeit berührt ist, diese Tätigkeit aber regelmäßig anderweitigen Grundrechtsschutz genießt, kommen auch die eine wesensmäßige Anwendbarkeit pauschal ablehnenden Literaturstimmen zu einem im Ergebnis gleichwertigen Grundrechtsschutz. Verfassungsrechtlich genießen also nicht nur natürliche Personen Schutz hinsichtlich der auf sie bezogenen Daten bei dem Umgang der Suchmaschinen mit selbigen (vgl. § 3 Abs. 1 BDSG), sondern auch, jedenfalls in eingeschränktem Maße, juristische Personen. b) Intensität der Beeinträchtigung Persönlichkeitsrechtsbeeinträchtigungen durch Online-Veröffentlichungen besitzen eine besondere Schwere, weil Internetinhalte i. d. R. weltweit abrufbar sind, sodass eine erhebliche Verbreitung des verletzenden Inhalts möglich ist.142 Einmal im Internet veröffentlichte Inhalte sind zudem sehr schwer aus dem Netz wieder zu beseitigen, da sie leicht für Dritte kopierbar sind und oft automatisch auf anderen Rechnern zur beschleunigten Abrufbarkeit gespiegelt werden.143 Darüber hinaus sind 135

BVerfGE 118, 168 (204). Di Fabio, in: Maunz/Dürig, GG, Art. 2 Abs. 1 Rn. 224; Dreier, in: Dreier, GG, Art. 2 Abs. 1 Rn. 82; Lorenz, in: Bonner Kommentar, Art. 2 Abs. 1 Rn. 383; Jarass, in: Jarass/ Pieroth, GG, Art. 2 Rn. 52; Kube, in: Isensee/Kirchhof (Hrsg.), HbStR VII, S. 79 Rn. 75; für eine umfassende Anwendung des RiS Wilms/Roth, JuS 2004, 577. 137 Schoch, JURA 2008, 352 (356); Schmitt Glaeser, in: Isensee/Kirchhof (Hrsg.), HbStRVI (1. Aufl.), § 129 Rn. 88; Kloepfer, in: Deutscher Juristentag (Hrsg.), Verhandlungen des 62. Deutschen Juristentags, S. D 1- D 149 (D 50 f.); Hufen, Staatsrecht II, § 12 Rn. 6. 138 Ausführlich Schoch, Informationsfreiheitsgesetz, § 6 Rn. 6 ff. 139 BVerfG-K, NJW 2001, 503 (505) m. Bespr. Burbulla, JURA 2002, 182. 140 BVerfG-K, NJW 1994, 1784 (1784). 141 BVerfGE 105, 279 (294 ff.). 142 Härting, CR 2009, 21 (23). 143 Rolf/Rötting, RDV 2009, 263 (265); Kube, in: Isensee/Kirchhof (Hrsg.), HbStR VII, § 148 Rn. 147. 136

76

C. Verfassungsrechtliches Spannungsfeld

Internetinhalte, soweit sie nicht wieder aus dem Netz genommen werden, im Gegensatz zu „Offline“-Publikationen über ihr einmaliges Erscheinen hinaus dauerhaft abrufbar, mithin auf unbestimmte Zeit auf unkomplizierte Weise erreichbar.144 Durch Webinhalte hervorgerufene Persönlichkeitsrechtsbeeinträchtigungen werden durch Suchmaschinen erheblich verstärkt. Deren Funktion, aus den entlegenen Stellen der Weiten des World Wide Web Informationen zu einem bestimmten Suchbegehren zusammenzutragen und übersichtlich zu präsentieren, kann unangenehme Folgen für diejenigen haben, die von anderen zum Objekt einer Internetrecherche gemacht werden. Befindet sich ein verletzender Inhalt eigentlich auf einer nur wenig frequentierten Seite, so führt erst die Listung in den Suchergebnissen einer Suchmaschine zu einer Eröffnung des Zugangs zu dem Inhalt für ein breiteres Publikum. Einmal im Internet veröffentlichte Inhalte können so innerhalb kurzer Zeit eine weite Verbreitung finden. Auf diese Weise erhalten Personen von Informationen Kenntnis, welche kein über die bloße Neugier hinausgehendes Informationsinteresse besitzen. Daher wird der Zusammenstellung der im Internet vorhandenen persönlichkeitsbezogenen Informationen durch Suchmaschinen die Wirkung eines modernen Prangers zugesprochen.145 Sind Suchmaschinen grundsätzlich ein sinnvolles Hilfsmittel zur Erschließung der weithin unstrukturierten Informationen im WWW, können Suchmaschinen in Bezug auf die Personensuche zu einem unangenehmen „Fahndungsinstrument für Jedermann“146 werden.147 Die Zusammenfassung eigentlich an verschiedenen Stellen gespeicherter personenbezogener Daten in einem Dokument kann des Weiteren, je nach Umfang der im Internet über den Gesuchten zu findenden Informationen, der Erstellung eines Persönlichkeitsprofils gleichkommen.148 Ein weiterer, für das Persönlichkeitsrecht belastender Faktor ist die Eigenschaft von Suchmaschinen, Neu- und Altmeldungen gleichberechtigt untereinander zu listen. Durch die Präsentation bereits überholter Informationen kann ein verzerrter Eindruck des Gesuchten hervorgerufen werden.149 Zu berücksichtigen ist auch, dass aufgrund der technisch bedingten Aktualisierungszyklen der Suchindices einmal aus dem World Wide Web entfernte Inhalte erst mit Verzögerung aus den Trefferlisten von Suchmaschinen wieder verschwinden. Vor diesem Hintergrund können Suchmaschinen durch Webinhalte hervorgerufene Persönlichkeitsverletzungen noch in erheblichem Maße vertiefen. 144

Härting, CR 2009, 21 (23); zur Problematik von in Online-Pressearchiven abgelegten Altmeldungen, vgl. BGH, NJW 2010, 757 m. Anm. Diesterhöft, ZJS 2010, 251; ferner Libertus, MMR 2007, 143; v. Petersdorff-Campen, ZUM 2008, 102; Verweyen/Schulz, AfP 2008, 133; zum Faktor „Zeit“ vgl. BGHZ 177, 119. 145 Härting, CR 2009, 21 (23). 146 Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (292). 147 Vgl. auch Ott, MMR 2009, 158 (158); zum Einsatz von Internetrecherchen zur Vorauswahl bei Personalentscheidungen http://www.bmelv.de/SharedDocs/Downloads/Verbraucherschutz/InternetnutzungVorauswahlPersonalentscheidungen.html (15. 3. 2011). 148 Anschaulich Ott, MMR 2009, 158 (158); Schaar, Datenschutz im Internet, Rn. 56 f. 149 LG Hamburg, MMR 2007, 666 (667); Verweyen/Schulz, AfP 2008, 133 (135).

II. Konfliktfeld 1: Datenschutz des Suchobjekts

77

c) Einwilligung Eine Persönlichkeitsverletzung des Betroffenen einer Personensuche scheidet jedoch aus, wenn die Person in die Grundrechtsbeeinträchtigung eingewilligt hat. Der Sache nach ist die Einwilligung ein Fall des Grundrechtsverzichts.150 Je nach bevorzugtem Betrachtungswinkel lässt sich die Einwilligung in die Verbreitung personenbezogener Inhalte durch Dritte in Bezug auf das informationelle Selbstbestimmungsrecht statt als Grundrechtsverzicht151 auch als positive Grundrechtsausübung152 qualifizieren. Die exakte rechtliche Folge des Grundrechtsverzichts, ob eingriffsausschließend oder rechtfertigend, ist umstritten.153 Im Kern ist jedenfalls unstrittig, dass es in gewissen Grenzen zur Disposition des Grundrechtsträgers steht, anderen die Verarbeitung auf ihn bezogener Daten zu gestatten.154 Die Frage der Wirksamkeit des Verzichts auf eine Grundrechtsposition ist über die objektivrechtliche Dimension der Grundrechte auch bei Privatrechtsbeziehungen von Bedeutung.155 Schranken der Grundrechtsverzichtsmöglichkeit ergeben sich unmittelbar aus der Verfassung, insbesondere aus der Menschwürdegarantie, Art. 1 Abs. 1, 2 GG und der Wesensgehaltsgarantie, Art. 19 Abs. 2 GG.156 Wirksamkeitsvoraussetzung des Verzichts ist die Freiwilligkeit der Preisgabe des Grundrechtsschutzes; ferner muss der Inhalt des Verzichts hinreichend konkret sein, damit der Verzichtende die Folgen seines Grundrechtsverzichts abschätzen kann.157 Eine Persönlichkeitsverletzung ist zu verneinen, wenn jemand Daten selber ins Internet stellt bzw. in die Online-Veröffentlichung eingewilligt hat.158 Die typischen Fälle der Veröffentlichung privater Sachverhalte im Internet durch den Grundrechtsträger selbst, sei es etwa durch Beiträge in Meinungsforen oder den Betrieb einer eigenen Homepage, begründen i. d. R. keine Zweifel an der Freiwilligkeit der Informationspreisgabe des Betroffenen. Wer selber Informationen über sich im Internet veröffentlicht, tut dies meistens aus eigenem Antrieb. Anders ist dies, wenn der Betroffene in die Veröffentlichung personenbezogener Daten durch Dritte einge-

150

Jarass, in: Jarass/Pieroth, GG, Vorb. vor Art. 1 Rn. 36. Etwa Robbers, JuS 1985, 925 (928); Dreier, in: Dreier, GG, Vorb. Rn. 132. 152 Geiger, NVwZ 1989, 35 (36 f.); wohl auch Petri, RDV 2007, 153 (154). 153 Näheres bei v. Mutius, in: Bizer/von Mutius/Petri/Weichert (Hrsg.), Innovativer Datenschutz 1992 – 2004, S. 101 (103 ff.). 154 BVerfGE 65, 1 (43): „Befugnis des Einzelnen“; ferner BVerfG-K, MMR 2007, 93 (93); Schoch, JURA 2008, 352 (357); Dreier, in: Dreier, GG, Vorb. Rn. 132. 155 Robbers, JuS 1985, 925 (930). 156 Robbers, JuS 1985, 925 (930). 157 Jarass, in: Jarass/Pieroth, GG, Vorb. vor Art. 1 Rn. 36 a m. w. Nachw. 158 Weichert, MR-Int 2007, 188 (189); Ott, MMR 2009, 158 (161); Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (292); vgl. auch LG Berlin, MMR 2008, 353. 151

78

C. Verfassungsrechtliches Spannungsfeld

willigt hat, z. B. durch arbeitsvertragliche Abrede.159 Die Freiwilligkeit der Einwilligung im Rahmen eines Vertrags ist zweifelhaft, wenn eine Vertragspartei eine derart starke Verhandlungsposition besitzt, dass sie die Vertragsbedingungen faktisch einseitig diktieren kann und sich somit die Selbstbestimmung des anderen in Fremdbestimmung verkehrt.160 Verallgemeinernd lässt sich sagen, dass die Freiwilligkeit der Einwilligung immer dann gefährdet ist, wenn dem Grundrechtsträger bei einer Verweigerung der Einwilligung schwerwiegende Nachteile drohen.161 Daher ist bei einer Einwilligung des Arbeitnehmers in eine Veröffentlichung personenbezogener Daten genau zu untersuchen, ob der Arbeitnehmer tatsächlich frei in seiner Entscheidung war. Ob die Veröffentlichung persönlicher Sachverhalte auf einen freiwilligen und damit wirksamen Grundrechtsverzicht zurückzuführen ist, ist je nach Einzelfall zu bestimmen. Wenn aufgrund fehlender Freiwilligkeit eine Einwilligung in eine Internetveröffentlichung unwirksam ist, ist die anschließende Erfassung der betreffenden Daten durch eine Suchmaschine erst Recht nicht von einer Einwilligung des Grundrechtsträgers gedeckt. In der freiwilligen Veröffentlichung personenbezogener Inhalte auf einer Internetseite, deren Indexierung nicht durch einen Eintrag in der robots.txt-Datei ausdrücklich untersagt wurde, ist zugleich die hinreichend konkrete Einwilligung in die Verarbeitung der personenbezogenen Daten durch Suchmaschinen zu sehen.162 Die Ermöglichung eines allgemeinen Zugangs zu personenbezogenen Daten lässt zunächst einmal nicht pauschal auf eine konkludente Einwilligung in jegliche Form der Datenverarbeitung durch Dritte schließen. Dies ergibt sich bereits aus einem Umkehrschluss aus § 29 Abs. 1 S. 1 Nr. 2 BDSG. Die Bejahung der hinreichenden Konkretheit der Einwilligung gerade auch in die Erfassung durch Suchmaschinen bedarf daher einer Begründung, weil auch die gezielte Sammlung und Zusammenstellung bereits veröffentlichter und daher allgemein zugänglicher Daten für sich allein grundrechtsbeeinträchtigenden Charakter aufweist.163 Die Kenntnis von der Existenz und Funktionsweise von Suchmaschinen darf von Internetnutzern heutzutage vorausgesetzt werden. Nach einer aktuellen Studie verwenden 83 % der Internetnutzer in Deutschland mindestens einmal wöchentlich eine Suchmaschine; in der Altersgruppe von 14 bis 29 Jahren liegt der Anteil der wö-

159 Zur Zulässigkeit der (allerdings nicht auf Einwilligung sondern auf Gesetz beruhenden) Veröffentlichung der beruflichen Kontaktdaten eines Beamten im Internet vgl. BVerwG, DuD 2008, 696. 160 BVerfG-K, MMR 2007, 93 (93). 161 Jarass, in: Jarass/Pieroth, GG, Vorb. vor Art. 1 Rn. 36 a m. w. Nachw. 162 Oben Fn. 337; ferner LG Hamburg, CR 2010, 750; a. A. bei Personensuchmaschinen Seidel/Nink, CR 2009, 666 (669); skeptisch auch Rolf/Rötting, RDV 2009, 263 (267). – Zur urheberrechtl. Einwilligung in die Erfassung durch Suchmaschinen BGH, CR 2010, 463 (466) m. Anm. Hüsch, CR 2010, 452; m. Anm. Fahl, K&R 2010, 437; zur Erfassung von Fotos durch Personensuchmaschinen OLG Köln, K&R 2010, 427. 163 BVerwG, JZ 2011, 39 (40); BVerfGE 120, 274 (344 f.).

II. Konfliktfeld 1: Datenschutz des Suchobjekts

79

chentlichen Suchmaschinennutzer sogar bei 93 %.164 Wer regelmäßig Suchmaschinen benutzt, besitzt ein deutliches Bild von der Leistungsfähigkeit dieser Dienste und ihrem besonderen Einfluss auf die Verbreitung von Informationen im Internet. Die Bedeutung von Suchmaschinen für die Verbreitung von Informationen wird jedem durch die bloße Nutzung offenbar, ohne dass es eines detaillierten Verständnisses ihrer Funktionsweise bedarf. Die durch Suchmaschinen erzielten Resultate sprechen für sich. Eine Kenntnis von den Risiken der Informationsverbreitung durch Suchmaschinen darf erst Recht unterstellt werden bei Personen, die nicht nur Internetinhalte passiv konsumieren, sondern auch freiwillig Informationen über das Medium Internet verbreiten. Eine aktive Teilnahme am Informationsfluss des Internet lässt auf eine mindestens durchschnittliche Internetnutzungserfahrung schließen. Diese Erfahrung speist sich nach oben genannter Studie auch aus einer mindestens wöchentlichen Nutzung von Suchmaschinen. Ein derartiges Erfahrungswissen erlaubt einem Nutzer, die Folgen von Internetveröffentlichungen und einer Erfassung durch Suchmaschinen abzuschätzen. Daher beinhaltet eine freiwillige Offenbarung persönlicher Sachverhalte im Internet zugleich die hinreichend konkrete Einwilligung in die Erfassung der entsprechenden Daten durch Suchmaschinen.165 Die freiwillige Offenbarung persönlicher Informationen im Internet ist daher auch als Einwilligung in eine Verbreitung der Informationen durch Suchmaschinen zu werten.

2. Grundrechte des Suchmaschinenbetreibers a) Meinungsäußerungsschutz gem. Art. 5 Abs. 1 S. 1 Alt. 1 GG Die Untersuchung der Frage, welche Grundrechte auf Seiten der Betreiber von Suchmaschinen in Stellung gebracht werden können, setzt sinnvollerweise zunächst bei der Meinungsfreiheit gem. Art. 5 Abs. 1 S. 1 Alt. 1 GG an. Dies deshalb, weil deren Schutzbereich vergleichsweise einfach zu handhaben ist, da sich der Schutz der Meinungsfreiheit unabhängig von der Verbreitungsform der geschützten Äußerung entfaltet166 und insofern sich die Einordnungsschwierigkeiten von Internetdiensten in die durch Art. 5 Abs. 1 S. 2 GG geschützte Presse-, Rundfunk- oder Filmfreiheit zunächst ausblenden lassen.167 Im Verhältnis zu den Medienfreiheiten des Art. 5 Abs. 1 S. 2 GG hat eine Qualifizierung der Präsentation von Suchergebnissen als Meinungsäußerung zur Folge, dass nach der Rechtsprechung des Bundesverfas164

van Eimeren/Frees, Media Perspektiven 2010, 334 (338). So wie hier Weichert, MR-Int 2007, 188 (189); ders., in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (292). 166 BVerfGE 54, 129 (138 f.); 60, 234 (241); 68, 226 (230 f.); 76, 171 (192); a. A. Bethge, in: Sachs, GG, Art. 5 Rn. 89. 167 Dazu im Anschluss. 165

80

C. Verfassungsrechtliches Spannungsfeld

sungsgerichts sich der grundrechtliche Schutz in erster Linie nach Art. 5 Abs. 1 S. 1 Alt. 1 GG richtet, soweit eine spezifische Äußerung in Rede steht.168 Schutzgegenstand des Art. 5 Abs. 1 S. 1 Alt. 1 GG sind Meinungen. Dies sind primär Werturteile, also Äußerungen, die durch Elemente der Stellungnahme, des Dafürhaltens, mithin durch die subjektive Beziehung des Einzelnen zum Inhalt seiner Aussage geprägt sind.169 Tatsachenbehauptungen sind keine Meinungsäußerungen, weil bei ihnen die objektive Beziehung zwischen der Äußerung und der Realität im Vordergrund steht und sie daher einem Wahrheitsbeweis zugänglich sind.170 Gleichwohl genießen auch Tatsachenbehauptungen, solange sie nicht erwiesen unwahr sind, Grundrechtsschutz durch die Meinungsfreiheit, weil und soweit sie Voraussetzung der Bildung von Meinungen sind.171 Suchmaschinen verweisen in ihren Trefferlisten auf Webseiten Dritter. Diese Drittseiten können ihrerseits von Art. 5 Abs. 1 S. 1 Alt. 1 GG geschützte Meinungen oder Tatsachen als Grundlage von Meinungen beinhalten. Die Betreiber der jeweiligen Drittseiten können sich daher auf die Meinungsfreiheit berufen. Suchmaschinen selber enthalten sich einer Meinungsäußerung bei der Darstellung der Suchergebnisse. Aufgrund des Umstandes, dass der Suchmaschinennutzer ersichtlich den Webauftritt der Suchmaschine verlässt, wenn er einem Trefferlink zu dem entsprechenden Drittinhalt folgt, kann nicht angenommen werden, dass der Suchmaschinenbetreiber sich auf der Drittseite vertretene Meinungen zu Eigen gemacht hat. Auch der auf der Suchergebnisseite angezeigte erläuternde Text zu jedem Trefferlink (Snippet) beinhaltet lediglich einen Auszug aus dem entsprechenden Trefferdokument. Die Meinungsfreiheit schützt allerdings über die Äußerung einer eigenen (bzw. zu Eigen gemachten) Meinung hinaus auch das bloße Verbreiten einer fremden Meinung, weil das Informieren über Stellungnahmen Dritter Bestandteil des meinungsbildenden Diskussionsprozesses ist.172 Eine Erstreckung des Schutzbereichs auf Verbreiter fremder Meinungen ist allerdings nur in Fällen sachgerecht, in denen die kommentarlose Verbreitung fremder Äußerungen zugleich Ausdruck einer eigenen Wertschätzung ist, indem der Verbreiter durch die Auswahl der Meinungen Zustimmung, Ablehnung oder eine sonstige Haltung zum Ausdruck bringt.173 Steht hingegen der Verbreiter den fremden Meinungen völlig neutral gegenüber, fehlt es also vollständig an einem eigenen Element des Meinens (z. B. bei der Veröffentli-

168 BVerfGE 85, 1 (12 f.); 86, 122 (128); 95, 28 (34); 97, 391 (400); BVerfG-K, NJW-RR 2000, 1209 (1209 f.); BVerfG-K, AfP 2009, 480 (482); nicht so eindeutig abgrenzend hingegen BVerfGE 102, 347 (359 ff.). 169 BVerfGE 90, 241 (247); ferner BVerfGE 7, 198 (210); 33, 1 (14); 61, 1 (7); 85, 1 (14). 170 BVerfGE 61, 1 (8 f.); 85, 1 (15); 90, 241 (247). 171 BVerfGE 61, 1 (8); 85, 1 (15); 90, 241 (247). 172 BVerfG-K, AfP 2009, 480 (481). 173 BVerfG-K, AfP 2009, 480 (481).

II. Konfliktfeld 1: Datenschutz des Suchobjekts

81

chung von Werbeanzeigen174), ist der Vorgang des Verbreitens fremder Meinungen nicht von der Meinungsfreiheit erfasst.175 Für die Erstellung der Trefferliste und die Auswahl der Textauszüge für Snippets gilt gleichermaßen, dass jenen keine redaktionelle Bearbeitung zugrunde liegt, sondern diese anhand von auf Algorithmen basierenden, automatischen Programmabläufen zusammengestellt werden. Selbst wenn die mathematischen Berechnungen der Suchmaschinen durch eine hohe Listung einer gesellschaftlich polarisierenden Webseite zu unbequemen Suchergebnissen führten, wurden willkürliche Eingriffe in den Suchprozess bisher vermieden und auf die vermeintlich meinungsneutrale Arbeitsweise der Suchmaschine verwiesen.176 Beispielhaft sind die Suchergebnisse zu dem Suchbegriff „jew“ auf der amerikanischen Suchseite von Google.177 Dort listet Google weiterhin auf der ersten Trefferseite trotz Protesten einen Link zu der Seite des antisemitischen „Jew Watch Projects“178 und platziert am oberen Bildrand der Trefferseite ein entschuldigendes Erklärungsbanner („We are disturbed about these search results as well.“) mit weiterführenden Informationen zur Arbeitsweise der Suchmaschine.179 Da der Suchalgorithmus nach Aussage der Suchmaschinenbetreiber auf meinungsneutralen Kriterien basiert, ist die Verbreitung von Meinungen durch Suchmaschinen nicht von der Meinungsfreiheit geschützt.180 b) Institutioneller Schutz gem. Art. 5 Abs. 1 S. 2 GG Zu überlegen ist, ob der Betrieb einer Suchmaschine aufgrund der Intermediärfunktion von Suchmaschinen bei der Informationsvermittlung im World Wide Web zu den durch die Presse-, Rundfunk- oder Filmfreiheit gem. Art. 5 Abs. 1 S. 2 GG geschützten Tätigkeiten gehört. Soweit Suchmaschinenbetreibern Grundrechtsschutz nach Art. 5 Abs. 1 S. 2 GG offen stünde, wäre dieser bei Beschränkungen des Suchdienstes zu berücksichtigen.181 174

BVerfGE 21, 271 (279). BVerfG-K, AfP 2009, 480 (482). 176 Vgl. Mayer, Googlebombing ,failureÐ 16. 9. 2005 (Google Blog), http://googleblog.blogspot.com/2005/09/googlebombing-failure.html (15. 3. 2011). 177 Durch Klicken auf den Button „Google.com in English“ auf http://www.google.de/ gelangt man zu dem englischsprachigen Webauftritt unter http://www.google.com/ (15. 3. 2011). 178 http://www.jewwatch.com/ (15. 3. 2011). 179 Dazu auch Grimmelmann, New York Law School Law Review 53 (2008/09), 939 (943 ff.). 180 Wie hier Sieber/Nolde, Sperrverfügungen im Internet, S. 66 f.; a. A. OLG Hamburg, MMR 2007, 601 (603). – Der Vorwurf einer nicht inhaltsneutralen Gewichtung der Suchergebnisse ist auch Gegenstand einer Beschwerde deutscher Verleger beim Bundeskartellamt, epd medien v. 20. 1. 2010, S. 7. 181 Zum Pressefreiheitsschutz für den Anzeigenteil BVerfGE 21, 271 (278 f.). 175

82

C. Verfassungsrechtliches Spannungsfeld

aa) Schwierigkeit der Einordnung von Internetdiensten Schutzgüter des Art. 5 Abs. 1 S. 2 GG sind die Institutionen der Presse, des Rundfunks und des Films. Art. 5 Abs. 1 S. 2 GG gewährleistet die Sicherung der Rahmenbedingungen, die funktionsnotwendig sind, damit die Medien ihrer Aufgabe im öffentlichen Kommunikationsprozess gerecht werden können.182 Diese Einrichtungen genießen also den Schutz ihrer Institution als solcher,183 unabhängig von der Verbreitung konkreter Meinungen; die Medienfreiheiten nach Art. 5 Abs. 1 S. 2 GG sind mithin keine Spezialfälle der Meinungsfreiheit nach Art. 5 Abs. 1 S. 1 Alt. 1 GG, sondern stehen eigenständig daneben.184 Der eigenständige Schutz der Medien rechtfertigt sich aus der besonderen Rolle der Massenmedien für die öffentliche Meinungsbildung, welche die Bedeutung der einzelnen Meinungsäußerung übersteigt.185 Das Bundesverfassungsgericht bezeichnet die Medienfreiheiten als „schlechthin konstituierend für die demokratische Grundordnung“186. Weder Suchmaschinen im Speziellen noch Internetdienste im Allgemeinen konnten von den Vätern des Grundgesetzes bedacht werden, da das Internet erst lange nach Inkrafttreten des Grundgesetzes erfunden wurde.187 Folglich steht der heutige Verfassungsinterpret vor der Aufgabe der Einordnung der neueren internetbasierten Kommunikationsformen in die tradierte Grundrechtsdogmatik des Art. 5 Abs. 1 S. 2 GG. Da der verfassungsrechtliche Umgang mit den sog. „Neuen Medien“ hinlänglich in der Literatur untersucht wurde,188 soll die Problematik der grundgesetzlichen Einordnung im Folgenden in der gebotenen Kürze dargestellt werden. Im Anschluss an die dogmatische Einordnung von Internetdiensten in das Gefüge des Art. 5 Abs. 1 S. 2 GG kann eine Bestimmung des Verhältnisses von Suchmaschinen zu den Medienfreiheiten vorgenommen werden. bb) Schutzbereichsabgrenzung der Presse- und Rundfunkfreiheit Nach einer klassischen, weit verbreiteten Definition des verfassungsrechtlichen Rundfunkbegriffs ist Rundfunk die Veranstaltung und Verbreitung akustischer und visueller Darbietungen aller Art für die Allgemeinheit mit Hilfe drahtloser oder

182

(74). 183

In Bezug auf die Presse z. B. BVerfGE 85, 1 (12); für den Rundfunk z. B. BVerfGE 77, 65

Zur staatl. Presseförderung BVerfGE 80, 124 (133). BVerfGE 62, 230 (243); 66, 116 (133 ff.); ferner Nachw. in Teil C. Fn. 168. 185 BVerfGE 85, 1 (12). 186 Statt vieler BVerfGE 35, 202 (221 f.); 90, 60 (87). 187 Das Grundgesetz trat mit Ablauf des 23. 5. 1949 in Kraft, während sich das Internet sich aus dem 1969 in Betrieb genommenen ARPANET entwickelte. 188 Statt vieler Volkmann, Der Störer im Internet, S. 26 ff.; Beater, Medienrecht, Rn. 272 ff. 184

II. Konfliktfeld 1: Datenschutz des Suchobjekts

83

kabelgebundener elektrischer Schwingungen.189 Diese Definition schließt das Fernsehen mit ein.190 Die Begriffsbestimmung ist allerdings nicht als unumstößliche Schutzbereichsgrenze zu betrachten,191 denn der Rundfunkbegriff muss zugleich offen sein für die Einbeziehung weiterer, neuerer Techniken, welche neben den klassischen Hörfunk und Fernsehen treten, um zu gewährleisten, dass der Grundrechtsschutz mit dem technischen Fortschritt Schritt hält.192 In Abgrenzung zur Presse betont das Bundesverfassungsgericht die besondere Aktualität, Suggestivkraft und Breitenwirkung von Rundfunk.193 Zu unterscheiden ist der verfassungsrechtliche vom einfachgesetzlichen Rundfunkbegriff in § 2 Abs. 1 S. 1 Rundfunkstaatsvertrag (RStV).194 Letzterer erfasst einschränkend nur lineare Informations- und Kommunikationsdienste, also solche Dienste, die ihr Programm zum zeitgleichen Empfang ausstrahlen; ausgeklammert werden im Gegensatz zum verfassungsrechtlichen Rundfunkbegriff Dienste auf Abruf (wie es die meisten Internetdienste sind).195 Rundfunk, der zugleich der einfachgesetzlichen Begriffsdefinition unterfällt, unterwirft der Gesetzgeber der Regulierung nach dem RStV. Verfassungsrechtlicher und einfachgesetzlicher Rundfunkbegriff sind also nicht deckungsgleich196 und müssen dies auch nicht sein; dem Gesetzgeber ist es unbenommen, verschiedene Arten von Rundfunk einfachgesetzlich einer unterschiedlich starken Regulierung zu unterwerfen.197 Demgegenüber umfasst der Begriff der Presse i. S. d. Art. 5 Abs. 1 S. 2 Var. 1 GG alle zur Verbreitung an einen individuell unbestimmten Personenkreis geeignete und bestimmte Druckerzeugnisse.198 Erfasst sind nicht nur an eine unbestimmte Allgemeinheit gerichtete Erzeugnisse, sondern auch bloß gruppenintern zirkulierende Informationsträger, denn maßgeblich ist primär das Kommunikationsmedium und

189

Clemens, in: Umbach/Clemens, GG, Art. 5 Rn. 98a; Schulze-Fielitz, in: Dreier, GG, Art. 5 Abs. 1, 2 Rn. 99; Jarass, in: Jarass/Pieroth, GG, Art. 5 Rn. 36 sowie noch § 2 Abs. 1 S. 1 des Staatsvertrags über Rundfunk u. Telemedien (RStV) vom 31. 8. 1991 i. d. F. v. 19. 12. 2007, in Kraft getreten am 1. 9. 2008, außer Kraft getreten am 1. 6. 2009. 190 BVerfGE 31, 314 (325); 35, 202 (221 f.); 97, 228 (256 f.). 191 Bethge, in: Sachs, GG, Art. 5 Rn. 90. 192 BVerfGE 74, 297 (350 f.); 83, 238 (302). 193 BVerfGE 90, 60 (87). 194 Staatsvertrag für Rundfunk u. Telemedien (RStV) vom 31. 8. 1991 i. d. F. v. 20. 11. 2009, in Kraft getreten am 1. 4. 2010. 195 Schulz, in: Hahn/Vesting, Rundfunkrecht, § 2 RStV Rn. 17 ff. 196 Clemens, in: Umbach/Clemens, GG, Art. 5 Rn. 98; Starck, in: v. Mangoldt/Klein/Starck, GG, Art. 5 Abs. 1, 2 Rn. 102. 197 Schoch, VVDStRL 57 (1998), 158 (197); Schulze-Fielitz, in: Dreier, GG Art. 5 Abs. 1, 2 Rn. 101; Schulz, in: Hahn/Vesting, Rundfunkrecht, § 2 RStV Rn. 13; Gounalakis/Rhode, Persönlichkeitsschutz im Internet, Rn. 248. 198 Schulze-Fielitz, in: Dreier, GG, Art. 5 Abs. 1, 2 Rn. 89; Jarass, in: Jarass/Pieroth, GG, Art. 5 Rn. 25.

84

C. Verfassungsrechtliches Spannungsfeld

nicht der Empfängerkreis.199 Der sachliche Schutzbereich der Pressefreiheit ist nicht beschränkt auf Druckerzeugnisse im eigentlichen Wortsinne, sondern im Lichte eines entwicklungsoffenen Pressebegriffsverständnisses und im Einklang mit dem einfachgesetzlichen Pressebegriff der Landespressegesetze200 sind alle mittels eines zur Massenherstellung geeigneten Vervielfältigungsverfahrens hergestellten und zur Verbreitung bestimmten schriftlichen, bildlichen und akustischen Erzeugnisse, z. B. auch CD-ROM, Disketten, Kassetten oder Schallplatten, von der Pressefreiheit umfasst.201 Die Einordnung von Internetdiensten in das Gefüge des Art. 5 Abs. 1 S. 2 GG provoziert Abgrenzungsprobleme,202 weil das Gemeinsame dieser Dienste sich auf die Übertragungsart, die Verwendung der TCP/IP-Protokolle, beschränkt und auf Basis dieser Übertragungsform völlig unterschiedliche Dienste existieren,203 die inhaltlich Individualkommunikation sind (Email, Internettelefonie, Chatprogramme), Ähnlichkeit (auch) mit der klassischen Presse aufweisen (Onlineabruf von Artikeln über den Webauftritt einer Tageszeitung) oder dem Rundfunk nahe stehen (Webradio). Darüber hinaus ermöglicht das Internet beliebige Mischformen der Informationsverbreitung und -präsentation, die die Grenzen von Rundfunk und Presse, wie man sie aus dem „Offline-Bereich“ kannte, vollends verschwimmen lassen (Konvergenz der Medien),204 z. B. werden im World Wide Web Textdokumente mit Verlinkungen zu Bewegtbildern angereichert oder von Sportereignissen anhand von Live-Tickern in Textform zeitgleich berichtet. Weder von der Rundfunk- noch der Pressefreiheit erfasst sind Internetdienste, die eine Individualkommunikation ermöglichen. Da sie keine Informationsvermittlung für die Allgemeinheit ermöglichen, fallen sie nicht unter den Medienschutz nach Art. 5 Abs. 1 S. 2 GG.205 Während sich Dienste der Individualkommunikation noch relativ einfach von Diensten für die Allgemeinheit abgrenzen lassen,206 ist die Ausdifferenzierung der an die Allgemeinheit gerichteten Dienste innerhalb des Art. 5 Abs. 1 S. 2 GG schwieriger. 199

BVerfGE 95, 28 (35). Z. B. § 7 Abs. 1 LPG BW; Parallelnormen bei Degenhart, in: Bonner Kommentar, Art. 5 Abs. 1, 2 Fn. 100. 201 Schulze-Fielitz, in: Dreier, GG, Art. 5 Abs. 1, 2 Rn. 90; Pieroth/Schlink, Grundrechte, Rn. 611; restriktiver Degenhart, in: Bonner Kommentar, Art. 5 I, II Rn. 369 f. 202 Schoch, JZ 2002, 798 (802). 203 Darauf hinweisend Schulz, CR 2008, 470 (470). 204 „Transport vielfältiger Äußerungstypen“, Fiedler, Meinungsfreiheit in einer vernetzten Welt, S. 26. 205 Jarass, in: Jarass/Pieroth, GG, Art. 5 Rn. 36; Bethge, in: Sachs, GG, Art. 5 Rn. 90b. 206 Wobei auch in Einzelfällen die Grenzziehung zwischen Massen- u. Individualkommunikation äußerst diffizil sein kann; zu denken ist an die Einordnung von sozialen Netzwerken, bei denen der einzelne Nutzer über seine Datenschutzeinstellungen individuell festlegt, ob seine Profildaten der gesamten Community oder nur als „Freund“ verifizierten Nutzern einsichtig sind. 200

II. Konfliktfeld 1: Datenschutz des Suchobjekts

85

Einige Stimmen grenzen Presse und Rundfunk rein formal nach der Form der Informationsverbreitung ab unter Ausblendung des Inhalts.207 Sie sehen Presse- und Rundfunkfreiheit in einem Exklusivitätsverhältnis. So sei die Pressefreiheit nur bei der Informationsverbreitung mittels verkörperter Informationsträger einschlägig.208 Dienste, denen eine körperlose Verbreitungsform zugrunde liegt, fielen hingegen unter den verfassungsrechtlichen Rundfunkbegriff.209 Folglich sei die Pressefreiheit auf Internetdienste grundsätzlich nicht anwendbar,210 vielmehr sei die Rundfunkfreiheit für alle an die Allgemeinheit gerichteten Online-Dienste einschlägig.211 Konsequenz dieser rein technisch-formalen212 Betrachtungsweise unter Ausblendung des Inhalts ist, dass es auf einen etwaigen Darbietungscharakter eines Dienstes (im Sinne eines linearen Programms oder auch nur einer besonderen publizistischen Bearbeitung bzw. Relevanz für die Meinungsbildung213) auf der Ebene des verfassungsrechtlichen Rundfunkbegriffs nicht ankommt.214 Andere teilen als Grundansatz die formale Abgrenzung von Rundfunk und Presse anhand der Verbreitungsform, sehen Rundfunk- und Pressefreiheit jedoch nicht in einem strengen Exklusivitätsverhältnis, sondern gehen im Hinblick auf einzelne Medienangebote im Internet von einem überlagernden, zusätzlichen Schutz aufgrund inhaltlicher Aspekte durch die Pressefreiheit aus.215 Neben der Rundfunkfreiheit bestehe ein speziellerer Annexschutz durch die Pressefreiheit bei Internetangeboten, die eine pressemäßige Hilfstätigkeit darstellen, wie etwa die Onlineangebote von Zeitungen und Zeitschriften.216 Auch wird der formale Ausgangspunkt aufgrund der mit der Konvergenz der Medien einhergehenden Emanzipierung der Information vom Übertragungsmedium217 gänzlich abgelehnt und darauf abgestellt, ob das konkrete Medienangebot 207 Herzog, in: Maunz/Dürig, GG, Art. 5 Abs. 1, 2 Rn. 129; Clemens, in: Umbach/Clemens, GG, Art. 5 Rn. 98a; Starck, in: v. Mangoldt/Klein/Starck, GG, Art. 5 Abs. 1, 2 Rn. 60, 102; Bethge, in: Sachs, GG, Art. 5 Rn. 68; Jarass, in: Jarass/Pieroth, GG, Art. 5 Rn. 36. 208 Clemens, in: Umbach/Clemens, GG, Art. 5 Rn. 69b f.; Bethge, in: Sachs, GG, Art. 5 Rn. 68. 209 Clemens, in: Umbach/Clemens, GG, Art. 5 Rn. 98a f. 210 Clemens, in: Umbach/Clemens, GG, Art. 5 Rn. 69b f. 211 Clemens, in: Umbach/Clemens, GG, Art. 5 Rn. 98a f.; Starck, in: v. Mangoldt/Klein/ Starck, GG, Art. 5 Abs. 1, 2 Rn. 100. 212 So bezeichnend Schoch, AfP 1998, 253 (258). 213 Zum Begriff der Darbietung Hoffmann-Riem, Kommunikationsfreiheiten, Rn. 146 ff.; Schütz, MMR 2009, 228 (228). 214 So Schulz, CR 2008, 470 (474); ders., in: Hahn/Vesting, Rundfunkrecht, § 2 RStV Rn. 21; Bethge, in: Sachs, GG, Art. 5 Rn. 90a; krit. Gersdorf, Der verfassungsrechtliche Rundfunkbegriff im Lichte der Digitalisierung der Telekommunikation, S. 144 f. 215 „Funktionales Presseäquivalent“, Berger/Degenhart, AfP 2003, 105 (111); ebenso Gounalakis/Rhode, Persönlichkeitsschutz im Internet, Rn. 246 f.; Schulze-Fielitz, in: Dreier, GG, Art. 5 Abs. 1, 2 Rn. 91. 216 Schulze-Fielitz, in: Dreier, GG, Art. 5 Abs. 1, 2 Rn. 91. 217 Vgl. Volkmann, Der Störer im Internet, S. 32.

86

C. Verfassungsrechtliches Spannungsfeld

inhaltlich dem typischen Erscheinungsbild des Rundfunks oder der Presse eher entspricht.218 Die Befürworter einer inhaltlichen Betrachtung wähnen das Bundesverfassungsgericht auf ihrer Seite und verweisen auf eine Entscheidung,219 in der das Gericht einen Grundrechtsschutz durch die Rundfunkfreiheit einer Rundfunkprogrammzeitschrift zuerkannt hat.220 In jener Entscheidung hatte das Bundesverfassungsgericht die Publikationsform der Programmzeitschrift ausdrücklich als „Presse“ bezeichnet und gleichwohl die Rundfunkfreiheit anstelle der Pressefreiheit für maßgeblich erachtet.221 Praktische Bedeutung könnte der Abgrenzung des Grundrechtsschutzes von Presse und Rundfunk beizumessen sein, weil den beiden Grundrechten in ihrer Ausformung, die sie durch die Rechtsprechung des Bundesverfassungsgerichts erlangt haben, ein unterschiedlich intensiver abwehrrechtlicher Schutzgehalt zugeschrieben wird.222 Die Pressefreiheit ist nach der bundesverfassungsgerichtlichen Rechtsprechung in erster Linie ein klassisches Abwehrrecht gegen jegliche staatliche Einflussnahme auf die Produktion und Verbreitung von Presseartikeln.223 Demgegenüber sei die Rundfunkfreiheit in geringerem Maße im Interesse der individuellen Entfaltung und Interessenverfolgung des Grundrechtsträgers garantiert.224 Sie diene vor allem der freien und öffentlichen Meinungsbildung.225 Die Ermöglichung eines freien, öffentlichen Diskurses ist zwar auch übergeordneter Zweck der anderen Gewährleistungen des Art. 5 Abs. 1 GG,226 anders als bei den anderen Grundrechten bestehe jedoch beim Rundfunk wegen seiner weitreichenden Wirkungen und Möglichkeiten eine derart hohe Gefahr des Missbrauchs zur einseitigen Meinungsbeeinflussung der Allgemeinheit, dass nach Ansicht des Bundesverfassungsgerichts der Rundfunk nicht dem freien Wettbewerb überlassen werden kann.227 Die Rundfunkfreiheit sei ein Allgemeingut, das unabhängig, überparteilich und frei von jeder Beeinflussung gehalten werden müsse.228 Die individuelle und öffentliche Meinungsbildung durch den Rundfunk verlange nicht bloß die Freiheit von staatlicher Einflussnahme sicherzustellen, sondern erfordere darüber hinaus die Errichtung einer 218 Gersdorf, Der verfassungsrechtliche Rundfunkbegriff im Lichte der Digitalisierung der Telekommunikation, S. 145 f.; Dörr/Kreile/Cole, Handbuch Medienrecht, 2008, S. 79: „Herkunftsprinzip“. 219 BVerfGE 83, 238 (312 f.). 220 Gersdorf, Der verfassungsrechtliche Rundfunkbegriff im Lichte der Digitalisierung der Telekommunikation, S. 145; Volkmann, Der Störer im Internet, S. 34. 221 BVerfGE 83, 238 (313). 222 Clemens, in: Umbach/Clemens, GG, Art. 5 Abs. 1, 2 Rn. 69a. 223 Fiedler, Meinungsfreiheit in einer vernetzten Welt, S. 28 f. 224 BVerfGE 87, 181 (197 f.). 225 BVerfGE 57, 295 (319 f.); 74, 297 (323); 87, 181 (197 f.); gute Darstellung bei Beater, Medienrecht, Rn. 226 f. 226 BVerfGE 57, 295 (319 f.). 227 BVerfGE 31, 314 (325). 228 BVerfGE 31, 314 (327).

II. Konfliktfeld 1: Datenschutz des Suchobjekts

87

positiven Ordnung, durch die gewährleistet wird, dass das volle Meinungsspektrum durch den Rundfunk abgebildet wird.229 Dieser Aufgabe, so meint das Bundesverfassungsgericht, genüge ein bloß negatorisches Verständnis der Rundfunkfreiheit nicht und betont daher deren „dienende Funktion“.230 Die mit der dienenden Funktion eröffnete demokratisch-funktionale Sicht der Rundfunkfreiheit231 beziehe sich nicht nur auf den Grundrechtsschutz öffentlich-rechtlicher Rundfunkanstalten; auch der private Rundfunkmarkt bedürfe vielfaltssichernder Marktregulierung,232 allerdings in abgeschwächterer Weise als bei öffentlich-rechtlichen Rundfunkunternehmen.233 Tatsächlich sollte die Weichenstellungsfunktion der Einordnung in Presse und Rundfunk auf der Ebene des Verfassungsrechts nicht überbewertet werden durch den Versuch, den rundfunkrechtlichen Ordnungsrahmen unmittelbar durch Verfassungsauslegung zu ermitteln.234 Als eigentliches Steuerungsinstrument für die Wahrung eines ausgeglichenen „Marktes der Meinungen“235 dient vielmehr das einfache Recht,236 woraus auch die bereits erwähnte Divergenz von einfachrechtlichem und verfassungsrechtlichem Rundfunkbegriff folgt.237 Der Gesetzgeber regelt, ob und in welchem Umfang verschiedene Arten von Rundfunk einem Meinungspluralismus sichernden Regelungsregime zu unterwerfen sind.238 Dass der Gesetzgeber zu einer unterschiedlichen Handhabung gewillt und fähig ist, zeigt die Sonderregelung in § 59 Abs. 3 S. 6 RStV für online erscheinende Zeitungen, die für die Sperrung von Inhalten dieser Seiten erhöhte Anforderungen stellen.239 Die Einordnung unter den verfassungsrechtlichen Rundfunkbegriff ist also von der Frage nach organisationsrechtlichen Maßnahmen zur Sicherung der Meinungsvielfalt zu trennen.240 Konkrete Aussagen zu letzterer Frage lassen sich dem Grundgesetz nicht entnehmen; das Grundgesetz richtet einen Ausgestaltungsauftrag der Rundfunkordnung an den Gesetzgeber zur Gewährleistung freier und öffentlicher Kommunikation und räumt ihm im Rahmen dessen einen weiten Gestaltungsspielraum ein.241 229

BVerfGE 57, 295 (320). BVerfGE 57, 295 (320). 231 So bezeichnend Bethge, in: Sachs, GG, Art. 5 Rn. 94. 232 BVerfGE 57,295 (319 ff.); 73, 118 (158 f.). 233 BVerfGE 73, 118 (158 f.); 74, 297 (325); 83, 238 (297). 234 Stürner, AfP 2002, 283 (291); Schoch, JZ 2002, 798 (806); ders., VVDStRL 57 (1998), 158 (197); Hoffmann-Riem, Kommunikationsfreiheiten, Rn. 144. 235 Zum Begriff BVerfGE 57, 295 (323). 236 Schoch, VVDStRL 57 (1998), 158 (197). 237 Nachw. s. Teil C. Fn. 196. 238 Starck, in: v. Mangoldt/Klein/Starck, GG, Art. 5 Abs. 1, 2 Rn. 103; mögliche Kriterien für die Ausgestaltungsbedürftigkeit von Kommunikationsdiensten untersuchen Schulz/Held/ Kops, ZUM 2001, 621 (626 ff.). 239 Darauf hinweisend Sieber/Nolde, Sperrverfügungen im Internet, S. 76. 240 Starck, in: v. Mangoldt/Klein/Starck, GG, Art. 5 Abs. 1, 2 Rn. 103. 241 BVerfGE 97, 228 (267); Koreng, CR 2009, 758 (260); Schulz, in: Hahn/Vesting, Rundfunkrecht, § 2 RStV Rn. 11. 230

88

C. Verfassungsrechtliches Spannungsfeld

Es ist darüber hinaus fraglich, ob die Sonderdogmatik der „dienenden Freiheit“ beim Rundfunk aufrechterhalten bleiben sollte.242 Vor dem Hintergrund der doch eher geringerer Bedeutung beizumessenden Zuordnung zur Pressefreiheit oder Rundfunkfreiheit243 sollte jene nach dem formalen Kriterium der körperlichen oder unkörperlichen Verbreitungsform vorgenommen werden. Dies ermöglicht eine einfach zu handhabende, trennscharfe Abgrenzung. Jene Trennschärfe suchte man vergeblich, wenn man Rundfunk und Presse anhand inhaltlicher Kriterien abgrenzte.244 Mithin sind alle an die Allgemeinheit gerichteten Internetdienste der Rundfunkfreiheit zuzuordnen. cc) Einheitliches Mediengrundrecht des Art. 5 Abs. 1 S. 2 GG Aufgrund der durch die Konvergenz der Medien hervorgerufenen Abgrenzungsprobleme zwischen Presse, Rundfunk und Film, der gemeinsamen Nennung in Art. 5 Abs. 1 S. 2 GG und den einheitlichen Schranken des Art. 5 Abs. 2 GG, plädieren einige Stimmen für eine Zusammenfassung der Teilfreiheiten des Art. 5 Abs. 1 S. 2 GG unter ein einheitliches Grundrecht der Medienfreiheit.245 Betont wird die gemeinsame Funktion der Teilfreiheiten für die Gewährleistung freier, individueller und öffentlicher Meinungsbildung.246 Als verbindende Merkmale werden die publizistische Vermittlung durch spezielle Institutionen an die Allgemeinheit durch ein für Massenkommunikation geeignetes Verbreitungsmedium identifiziert.247 Der Verweis auf Parallelitäten der Schutzgüter und Zielrichtungen sprechen für ein einheitliches Grundrecht. Für die Kreation eines neuen Grundrechts besteht allerdings kein Bedarf, da sich auch neue Medienformen zwanglos unter Zugrundelegung der hier vertretenen formalen Abgrenzung unter die etablierten Teilfreiheiten subsumieren lassen.248 dd) Schutz von Suchmaschinen durch die Rundfunkfreiheit Aufgrund der Vermittlertätigkeit von Suchmaschinen und dem Fehlen der Produktion eigener Inhalte, ist eine Eröffnung des Schutzbereichs der Rundfunkfreiheit für Suchmaschinen problematisch. Die Erstreckung des Schutzbereichs der Rundfunkfreiheit auf Betreiber von Suchmaschinen kann sich aus zwei Perspektiven er242

Koreng, CR 2009, 758 (260); Degenhart, AfP-Sonderheft 2007, 24 (27). Darauf hinweisend z. B. Degenhart, in: Bonner Kommentar, Art. 5 Abs. 1, 2 Rn. 20. 244 Schoch, JZ 2002, 798 (804). 245 Insb. Hoffmann-Riem, Kommunikationsfreiheiten, Rn. 138 f.; auch Koreng, CR 2009, 758 (760); Beater, Medienrecht, Rn. 274 ff.; Fechner, Medienrecht, 3. Kap. Rn. 101. 246 Beater, Medienrecht, Rn. 278 f. mit Verweis in Rn. 279 auf BVerfGE 57, 295 (319); 74, 297 (323). 247 Beater, Medienrecht, Rn. 279. 248 So auch Degenhart, in: Bonner Kommentar, Art. 5 Abs. 1, 2 Rn. 20. 243

II. Konfliktfeld 1: Datenschutz des Suchobjekts

89

geben. Entweder genießen sie den Schutz der Rundfunkfreiheit, weil ein Suchmaschinendienst als Rundfunk einzuordnen ist (1) oder weil es sich bei diesem Dienst um eine mit der Veranstaltung von Rundfunk eng verknüpfte Hilfstätigkeit handelt, die von der Rundfunkfreiheit als Annex erfasst ist (2). (1) Originärer Grundrechtsschutz durch die Rundfunkfreiheit Der Betrieb einer Suchmaschine kann nach richtiger Ansicht nicht als eine der Veranstaltung von Rundfunk entsprechende Tätigkeit verstanden werden. Dies wird in der Literatur teilweise anders gesehen. Verfechter eines inhaltlich ausgerichteten Rundfunkbegriffs sehen die rundfunktypischen Merkmale der Aktualität, Suggestivkraft und Breitenwirkung auch bei Suchdiensten als gegeben an249 oder betonen die besondere Bedeutung von Suchmaschinen für die öffentliche Meinungsbildung250. Sie verweisen auf die Torwächterfunktion von Suchmaschinen bei der Informationsvermittlung. Auf die Konturenlosigkeit des Versuchs einer inhaltlichen Bestimmung des verfassungsrechtlichen Rundfunkbegriffs wurde bereits an anderer Stelle hingewiesen.251 Daher sind Versuche, die Eröffnung des Schutzbereichs der Rundfunkfreiheit für den Betrieb von Suchmaschinen durch eine Herausstellung inhaltlicher Ähnlichkeiten zu begründen, aus dem Blickwinkel eines formal abgrenzenden Schutzbereichsverständnisses abzulehnen. Es bestehen gewisse Ähnlichkeiten von Suchmaschinen zu Rundfunksendern. Bei beiden Diensten werden Informationen an die Allgemeinheit verbreitet und durch eine Selektion von Informationen die öffentliche Meinung (faktisch) beeinflusst. Auch wird vorliegend einem sehr weiten Rundfunkbegriff gefolgt, der alle an die Öffentlichkeit gerichteten elektronischen Informationsdienste erfasst, ohne einen Darbietungscharakter252 der Inhalte des Dienstes zu verlangen. Von diesem weiten Rundfunkverständnis sind an sich alle Dienste erfasst, die Informationen online verbreiten. Notwendige Voraussetzung der Rundfunkfreiheit muss aber weiterhin sein, dass eigene Informationen verbreitet werden. Es müssen für die Eröffnung des Schutzbereichs der Rundfunkfreiheit also überhaupt Informationen verbreitet und nicht bloß 249

Danckert/Mayer, MMR 2010, 219 (219); dagegen ließe sich anführen, dass Suchmaschinen überwiegend auf Textdokumente verweisen u. bei diesen eine bewegten Bildern vergleichbare Suggestivkraft zweifelhaft ist; für Fernsehtext verneinend Schütz, MMR 2009, 228 (228). 250 Schulz, CR 2008, 470 (472 f.); in Bezug auf Access-Provider Koreng, CR 2009, 758 (760). 251 Oben C. II. 2. b) bb). 252 Mangels Darbietungscharakter die Rundfunkeigenschaft von Suchdiensten verneinend Schütz, MMR 2009, 228 (228); konträr Schulz, CR 2008, 470 (474).

90

C. Verfassungsrechtliches Spannungsfeld

Dritt-Informationen weitergeleitet werden. Zwar bezieht sich der Schutzumfang der Rundfunkfreiheit auf alle Phasen der Rundfunktätigkeit von der Beschaffung der Information bis zur Verbreitung,253 diesen umfassenden Schutz genießt aber nur derjenige, der selbst Rundfunkveranstalter ist. Sähe man dies anders, ließe sich die Abgrenzung zu den medienspezifischen Hilfstätigkeiten (z. B. Presse-Grossist) nicht vornehmen. Eine Person, die lediglich in der Stufe des Vermittlungsprozesses involviert ist, kann keinen originären Rundfunkfreiheitsschutz beanspruchen, da sie nicht selber Rundfunkveranstalter ist. Suchmaschinen kreieren keine eigenen Inhalte, sondern listen zu einer Suchanfrage relevante Inhalte anhand technischer Vorgaben in sortierter Form auf und sind daher selbst keine Rundfunkveranstalter. Sie sind nicht unmittelbarer Träger der Rundfunkfreiheit.254 Auf Informationsvermittler kann allenfalls der Rundfunkfreiheitsschutz des Rundfunkveranstalters ausstrahlen. (2) Annexschutz ähnlich dem Presse-Grosso Das Bundesverfassungsgericht hat in Bezug auf das Verhältnis des Presse-Grossisten zur Pressefreiheit betont, dass nicht jede selbstständige Dienstleistung, die für die Presse funktionswichtig ist, in den Schutzbereich mit einzubeziehen ist, sondern hat in Abgrenzung zu anderen Grundrechten (z. B. Art. 12 Abs. 1, 14 Abs. 1 GG) einen abgeleiteten Schutz nur unter einschränkenden Voraussetzungen zugelassen.255 Das Erfordernis einschränkender Kriterien liegt auf der Hand: Die Bereitstellung von Papier und Elektrizität sind für die Presseproduktion unerlässlich. Gleichwohl liegt es fern, Papierhersteller oder Stromanbieter in den Schutzbereich der Pressefreiheit einzubeziehen. Erbringer presseexterner Hilfstätigkeiten können sich auf einen abgeleiteten Pressefreiheitsschutz von dem durch sie unterstützten Presseproduzenten berufen, wenn die Hilfstätigkeit typischerweise pressebezogen ist, in enger organisatorischer Anbindung an die Presse erbracht wird, für das Funktionieren der freien Presse notwendig ist und eine staatliche Regulierung der Tätigkeit negative Auswirkungen auf die Meinungsverbreitung hat.256 Diese Grundsätze wurden für die Pressefreiheit entwickelt, können aber auf die Rundfunkfreiheit übertragen werden. Letztere gewährt nämlich genauso wie die Pressefreiheit einen umfassenden Schutz von der Beschaffung der Informationen bis zu deren Verbreitung.257 Wendet man diese Kriterien auf den Betrieb von Suchmaschinen an, so ist zunächst nicht von der Hand zu weisen, dass Suchmaschinen für die Verbreitung von im WWW veröffentlichten Informationen eine überragende Bedeutung zukommt. Auch würde eine staatliche Einflussnahme auf den Suchablauf zu Verfälschungen der Ergebnisse 253 254 255 256 257

Pieroth/Schlink, Grundrechte, Rn. 619. I. E. ebenfalls Schütz, MMR 2009, 228 (228); Kloepfer, AfP 2010, 120 (125). BVerfGE 77, 346 (354). BVerfGE 77, 346 (354). Vgl. oben Teil C. Fn. 253.

II. Konfliktfeld 1: Datenschutz des Suchobjekts

91

und Einschränkungen in der Auffindbarkeit von Seiten führen. Da nach dem bisher Gesagten die Informationsvermittlung für die Allgemeinheit über Webseiten verfassungsrechtlich als Rundfunk zu qualifizieren und die Funktion von Suchmaschinen das vereinfachte Auffinden von Webseiten ist, kann man den Betrieb einer Suchmaschine durchaus als typischerweise rundfunkbezogen betrachten. Eine enge organisatorische Anbindung von Suchmaschinen an Rundfunkveranstalter ist allerdings nicht vorhanden. Das Bundesverfassungsgericht begründet die enge organisatorische Anbindung des Grossisten an die Presseverlage mit der besonderen vertraglichen Ausgestaltung der Geschäftsbeziehungen, die dadurch gekennzeichnet sind, dass Verleger ein Mitspracherecht beim Weitervertrieb der Presseprodukte über Preisbindung, Mengenbestimmung, Gebietszuweisung und Alleinauslieferungsverträge haben und Grossisten nicht verkaufte Exemplare an die Verleger zurückgeben können.258 Sieht man einmal von einigen Verweisen in den Suchergebnissen auf betriebseigene Webangebote ab,259 bestehen keine Verbindungen zwischen den Webseitenbetreibern und den Betreibern von Suchmaschinen. Suchmaschinen versuchen jeden Inhalt des WWW zu erfassen. Es liegt daher in der Natur der Sache, dass eine besondere Nähe zu einzelnen Seitenbetreibern im Regelfall nicht vorhanden ist,260 erst Recht besteht kein irgendwie geartetes Vertragsverhältnis. Versuche in der Literatur, das Kriterium der engen organisatorischen Anbindung durch eine besondere Betonung der Funktionsnotwendigkeit der Hilfstätigkeit zu überspielen, werden verschiedentlich unternommen. In der Diskussion über die Zulässigkeit von Sperrungsverfügungen gegen Access-Provider (sog. Düsseldorfer Sperrungsverfügungen)261 und bei der aktuellen Debatte zu den Gefährdungen für einen diskriminierungsfreien Datenverkehr durch die Möglichkeit der Access-Provider, Inhalt, Versender und Empfänger eines jeden Datenpakets zu analysieren (Deep Packet Inspection),262 werden Parallelen zwischen Presse-Grossisten und Access-Providern gezogen und die Erstreckung eines Grundrechtsschutzes aus Art. 5 Abs. 1 S. 2 GG auf Access-Provider befürwortet.263 Solche Versuche sind jedoch abzulehnen, weil ein Aufweichen der Kriterien die Schutzbereichsgrenze des Art. 5 Abs. 1 S. 2 GG zu sehr verschwimmen lässt.264 Eine enge Auslegung der 258

BVerfGE 77, 346 (355). Wenn man z. B. bei Google als Suchbegriff „maps“ eingibt, erscheint als erster Treffer ein Link zum Dienst „Google Maps“. 260 Volkmann, Der Störer im Internet, S. 43. 261 Vgl. dazu das Gutachten von Sieber/Nolde, Sperrverfügungen im Internet. 262 Zur Deep-Packet-Inspection Kloepfer, AfP 2010, 120 (122 f.); technischer Hintergrund bei Bedner, CR 2010, 393 (340 ff.); speziell zu Regulierungsbemühen der Internet-Infrastrukturdienstleister in den USA u. Europa Spies/Ufer, MMR 2010, 13. 263 Im Kontext von Sperrungsverfügungen Engel, MMR-Beilage 4/2003, 1 (20); Dietlein/ Heinemann, K&R 2004, 418 (422); a. A. Sieber/Nolde, Sperrverfügungen im Internet, S. 68; Volkmann, Der Störer im Internet, S. 41 f.; zur Deep Packet Inspection bejahend Koreng, CR 2009, 758 (760); a. A. Kloepfer, AfP 2010, 120 (125). 264 Gegen eine Einbeziehung von Access-Provider in Art. 5 Abs. 1 S. 2 GG ebenfalls Fiedler, Meinungsfreiheit in einer vernetzten Welt, S. 173 f. 259

92

C. Verfassungsrechtliches Spannungsfeld

Presse-Grosso-Maßstäbe ist auch vor dem Hintergrund, dass diese Maßstäbe ihrerseits bereits eine Aufweichung von der Forderung nach einer internen Eingliederung der Tätigkeit in ein Presseunternehmen darstellen, angebracht.265 Das Betreiben einer Suchmaschine ist demnach nicht als rundfunkspezifische Hilfstätigkeit, die in den Schutzbereich der Rundfunkveranstalter gem. Art. 5 Abs. 1 S. 2 Alt. 2 GG einbezogen ist, einzuordnen. Suchmaschinenbetreiber genießen somit keinen Grundrechtsschutz durch die Rundfunkfreiheit.

c) Berufsfreiheit Auf Seiten des Suchmaschinenanbieters ist dessen Berufsfreiheit aus Art. 12 Abs. 1 GG als schutzwürdiger Belang in Rechnung zu stellen. Verfassungsrechtlich geschützt sind nicht nur traditionelle Berufe. Auch aus von Einzelnen frei gewählten, untypischen Tätigkeiten können neue Berufsbilder entstehen,266 solange diese von gewisser Dauer ausgeübt werden und zur Schaffung und Erhaltung einer Lebensgrundlage dienen.267 Der Betrieb einer Suchmaschine ist, soweit damit Geld verdient wird, eine Tätigkeit von gewisser Dauer, die der Schaffung und Erhaltung einer Lebensgrundlage dient, mithin eine vom Schutzbereich des Art. 12 Abs. 1 GG erfasste, berufliche Tätigkeit. Art. 12 Abs. 1 GG schützt die Berufswahl und die Berufsausübung als einheitliches Grundrecht und unterwirft einschränkende Regelungen einem einfachen Gesetzesvorbehalt gem. Art. 12 Abs. 1 S. 2 GG.268 Grundrechtsberechtigt sind alle Deutschen i. S. d. Art. 116 GG sowie ihnen gleichgestellte EU-Bürger und über Art. 19 Abs. 3 GG in Deutschland oder der EU ansässige juristische Personen.269 Die Berufung auf Art. 12 Abs. 1 GG ist mithin im außereuropäischen Ausland ansässigen Suchmaschinenbetreibern verwehrt. Diese können sich auf die allgemeine Handlungsfreiheit berufen. Vor dem Hintergrund, dass sehr viele Vorschriften die Ausübung von Berufen in irgendeiner Weise beeinflussen, greifen nur solche Vorschriften in die Berufsfreiheit ein, die entweder eine berufsbezogene Zielrichtung besitzen oder in engem Zusammenhang mit der Ausübung eines Berufs stehen und zugleich eine objektiv berufsregelnde Tendenz aufweisen.270 Mittelbar berufsregelnde Maßnahmen besitzen eine objektiv berufsregelnde Tendenz, wenn sie nach Entstehungsgeschichte und Inhalt im Schwerpunkt Tätigkeiten betreffen, die typischerweise beruflich ausgeübt werden.271 Die (allgemeinen und bereichsspezifischen) Vorschriften des Datenschutzrechts zielen gerade auf die Regelung der Tätigkeit gewerbsmäßiger Daten265 266 267 268 269 270 271

Sieber/Nolde, Sperrverfügungen im Internet, S. 68 f. BVerfGE 7, 377 (397); 78, 179 (193). Grundlegend zur Berufsfreiheit BVerfGE 7, 377 (397 ff.). BVerfGE 7, 377 (402); 95, 193 (214). Jarass, in: Jarass/Pieroth, GG, Art. 12 Rn. 12 f. BVerfGE 13, 181 (186); 97, 228 (253 f.); 111, 191 (213). BVerfGE 97, 228 (254).

II. Konfliktfeld 1: Datenschutz des Suchobjekts

93

verarbeiter. Insofern betrifft die Normierung und Anwendung datenschutzrechtlicher Vorschriften die Berufsfreiheit innereuropäischer Suchmaschinenbetreiber. Zur Bestimmung der Eingriffsintensität und den daraus folgenden Rechtfertigungsanforderungen ist nach Maßgabe der Drei-Stufen-Theorie zwischen Berufsausübungs- sowie subjektiven und objektiven Berufswahlregelungen zu differenzieren.272 Berufsausübungsregelungen betreffen die Modalitäten der Wahrnehmung der Tätigkeit und sind regelmäßig weniger eingriffsintensiv als Berufswahlregelungen, die den Zugang zu einem Beruf erschweren. In Einzelfällen können Berufsausübungsregelungen derart tiefe Einschnitte in die Ausübung des Berufs begründen, dass sie den Grundrechtsträger zur Aufgabe des Berufs zwingen.273 Insofern birgt die schematische Einordnung der Drei-Stufen-Theorie auch Inkonsistenzen. Datenschutzrechtliche Vorgaben, die die Vermittlung personenbezogener Suchergebnisse beschränken, betreffen die Art und Weise des Betriebs einer Suchmaschine und sind daher als Berufsausübungsregelungen zu qualifizieren. Der Betrieb einer Suchmaschine bedingt massenhafte Datenverarbeitungen. Die Umsetzung möglicher gesetzlicher Bestimmungen zur Beseitigung oder Filterung von Suchergebnissen kann aufgrund der schieren Datenmengen und der vollautomatischen Datenverarbeitung sehr kostenintensiv sein oder Funktionseinbußen provozieren. Vorgaben zum Datenschutz berühren daher die Berufsfreiheit eines Suchmaschinenbetreibers in erheblicher Weise. d) Allgemeine Handlungsfreiheit Der Betrieb einer Suchmaschine ist zugleich Grundrechtsausübung der allgemeinen Handlungsfreiheit aus Art. 2 Abs. 1 GG. Eine ausschließliche Berufung auf Art. 2 Abs. 1 GG kommt für außerhalb der EU ansässige Suchmaschinenbetreiber in Frage, denen der Schutz der Berufsfreiheit verwehrt ist. Für Suchmaschinenbetreiber aus der EU ist der Schutz von Art. 2 Abs. 1 GG subsidiär zu Art. 12 Abs. 1 GG.274 Inhaltlich gewährt die allgemeine Handlungsfreiheit auch einen grundrechtlichen Schutz der Datenverarbeitung.275 Erfolgt die Datenverarbeitung zu wirtschaftlichen Zwecken, ist zugleich der Teilgehalt der durch Art. 2 Abs. 1 GG geschützten wirtschaftlichen Betätigungsfreiheit angesprochen.276 Es wird vertreten, zwischen den Grundrechten des Datenverarbeiters und den Grundrechten des Betroffenen bestünde von vornherein ein strukturelles Ungleichgewicht zulasten des Datenverarbeiters, weil im Rahmen des Interessensausgleichs 272 Grundlegend BVerfGE 7, 377 (405 ff.); zur Resonanz im Schrifttum Dietlein, in: Stern/ Sachs/Dietlein (Hrsg.), StR IV/1, S. 1757 (1898 ff.). 273 Jarass, in: Jarass/Pieroth, GG, Art. 12 Rn. 28; Manssen, in: v. Mangoldt/Klein/Starck, GG, Art. 12 Rn. 143; Dietlein, in: Stern/Sachs/Dietlein (Hrsg.), StR IV/1, S. 1757 (1901). 274 Vgl. BVerfGE 75, 284 (292); 103, 172 (183). 275 Zu einem „Grundrecht auf Datenverarbeitung“ Giesen, JZ 2007, 918. 276 Nachw. bei Roßnagel/Pfitzmann/Garstka, Modernisierung des Datenschutzrechts, S. 50 Fn. 121.

94

C. Verfassungsrechtliches Spannungsfeld

Berücksichtigung finden müsse, dass das allgemeine Persönlichkeitsrecht ein „defensives Abwehrrecht“ sei, hingegen der Datenverarbeiter das (vermeintlich „aggressive“) Recht zum Übergriff in die Grundrechtsphäre eines anderen beanspruche.277 Richtig ist an dieser Ansicht, dass bei der Abwägung der betroffenen Grundrechtspositionen auf der einen Seite die Freiheit des Einzelnen, vor der Verbreitung persönlichkeitsrechtsrelevanter Inhalte in Ruhe gelassen zu werden, per se schutzwürdig ist, hingegen die Schutzbedürftigkeit des Datenverarbeiters in Abhängigkeit von den Verarbeitungszwecken variiert. Insofern steht der die Grundrechtskollision auslösende Datenverarbeiter unter höherem Rechtfertigungsdruck. e) Eigentumsfreiheit Eine Beeinträchtigung der Suchmaschinenbetreiber in einer durch die Eigentumsgarantie des Art. 14 Abs. 1 GG geschützten Rechtsposition kann nicht angenommen werden. Vor dem Hintergrund der Funktion der Eigentumsgarantie, einen Freiheitsraum im vermögensrechtlichen Bereich zu sichern und dem Individuum dadurch eine eigenverantwortliche Gestaltung seines Lebens zu ermöglichen,278 sind Schutzgut der Eigentumsfreiheit nach Art. 14 Abs. 1 GG über das Sacheigentum i. S. d. § 903 BGB hinaus alle vermögenswerten Rechtspositionen, soweit sie dem Berechtigten ebenso ausschließlich wie Sacheigentum zur privaten Nutzung und zur eigenen Verfügung zugewiesen sind.279 Den Betrieb einer Suchmaschine erschwerende Datenschutzvorschriften könnten einen Eingriff in das Recht am eingerichteten und ausgeübten Gewerbebetrieb des Suchmaschinenbetreibers begründen. Während der eingerichtete und ausgeübte Gewerbebetrieb als subjektives Recht einfachrechtlich seit langem anerkannt ist,280 ist immer noch strittig, ob es auch eine von Art. 14 Abs. 1 GG geschützte Rechtsposition begründet. Das Bundesverfassungsgericht hat diese Frage bisher offen gelassen;281 die Literatur befürwortet mehrheitlich eine Unterschutzstellung.282 Jedenfalls grenzt das Bundesverfassungsgericht Art. 12 Abs. 1 GG und Art. 14 Abs. 1 GG danach ab, ob eher „die individuelle Erwerbs- und Leistungstätigkeit“ (Art. 12 Abs. 1 GG) oder „die Innehabung vorhandener Vermögensgüter“ (Art. 14 Abs. 1 GG) in Rede steht.283 Die Berufsfreiheit schützt den Erwerb, die Betätigung 277

Roßnagel/Pfitzmann/Garstka, Modernisierung des Datenschutzrechts, S. 51. BVerfGE 83, 201 (208); 102, 1 (15). 279 Jarass, in: Jarass/Pieroth, GG, Art. 14 Rn. 6 ff. 280 Nachzeichnung der zivilrechtlichen Rechtsprechungsentwicklung bei Teichmann, in: Jauernig, BGB, § 823 Rn. 95. 281 BVerfGE 51, 193 (221 f.); 105, 252 (278). 282 Kimminich, in: Bonner Kommentar, Art. 14 Rn. 77 ff.; Papier, in: Maunz/Dürig, GG, Art. 14 Rn. 95; Wendt, in: Sachs, GG, Art. 14 Rn. 26; Jarass, in: Jarass/Pieroth, GG, Art. 12 Rn. 10; Dietlein, in: Stern/Sachs/Dietlein (Hrsg.), StR IV/1, S. 2114 (2191); a. A. Berkemann, in: Umbach/Clemens, GG, Art. 14 Rn. 146; Wieland, in: Dreier, GG, Art. 14 Rn. 52. 283 BVerfGE 30, 292 (335). 278

II. Konfliktfeld 1: Datenschutz des Suchobjekts

95

und die Eigentumsfreiheit das Erworbene als Ergebnis einer Betätigung.284 Nicht geschützt nach bundesverfassungsgerichtlicher Judikatur sind hingegen die „Gegebenheiten und Chancen, innerhalb deren der Unternehmer seine Tätigkeit entfaltet“285. Äußere Gegebenheiten sind für den wirtschaftlichen Erfolg eines Gewerbebetriebs von entscheidender Bedeutung, jene sind aber nicht dem eigentumsrechtlichen Bestandswert des Unternehmens zugeordnet, weil sie nur mittelbar auf das Unternehmen einwirken.286 Zu jenen äußeren Gegebenheiten gehört auch eine dem Unternehmen günstige Rechtslage. Ändert sich diese zum Nachteil des Unternehmens, so ist Art. 14 Abs. 1 GG nicht berührt, soweit die Rechtsänderung nicht den Kernbereich der Eigentumsgarantie tangiert.287 Die bloße Erwartung, ein Unternehmen auch in der Zukunft noch rentabel führen zu können, ist von Art. 14 Abs. 1 GG nicht geschützt.288 Der Schaffung schärferer Datenschutzbestimmungen, deren Beachtung kostspielige Anpassungen des Betriebs einer Suchmaschine erfordern würde, kann daher Art. 14 Abs. 1 GG nicht entgegengehalten werden. Allgemein verschärfte Datenschutzanforderungen führen zu erschwerten Rahmenbedingungen für den zukünftigen Suchmaschinenbetrieb, berühren jedoch nicht erworbene Substanzwerte eines Suchmaschinenanbieters.

3. Informationsfreiheit der Suchmaschinennutzer Einschränkungen des Angebots von Suchmaschinen beeinträchtigen zugleich die Informationsfreiheit der Suchmaschinennutzer. Die Informationsfreiheit nach Art. 5 Abs. 1 S. 1 Alt. 2 GG begründet ein Grundrecht des Einzelnen, sich aus allgemein zugänglichen Quellen zu informieren. Im Zusammenspiel mit den weiteren Gewährleistungen des Art. 5 Abs. 1 GG erfüllt die Informationsfreiheit den Zweck, einen freien Austausch von Informationen als Grundlage eines umfassenden Meinungsbildungsschutzes zu garantieren.289 Demokratieprinzip und allgemeines Persönlichkeitsrecht benennt das Bundesverfassungsgericht in seiner Entscheidung zur Leipziger Volkszeitung als wesensbestimmende Komponenten des Grundrechts der Informationsfreiheit: „Ein demokratischer Staat kann nicht ohne freie und möglichst gut informierte öffentliche Meinung bestehen. Daneben weist die Informationsfreiheit eine individualrechtliche, aus Art. 1, Art. 2 Abs. 1 GG hergeleitete Komponente auf. Es gehört zu den elementaren Bedürfnissen des Menschen, sich aus möglichst vielen Quellen zu unterrichten, das eigene Wissen zu erweitern und sich so 284 285 286 287 288 289

BVerfGE 85, 360 (383); 102, 26 (409). BVerfGE 45, 142 (173). BVerfGE 45, 142 (173). BVerfGE 45, 142 (173). BVerfGE 110, 274 (290). Trute, VVDStRL 57 (1998), 216 (250).

96

C. Verfassungsrechtliches Spannungsfeld

als Persönlichkeit zu entfalten. Zudem ist in der modernen Industriegesellschaft der Besitz von Informationen von wesentlicher Bedeutung für die soziale Stellung des Einzelnen.“290 Allgemein zugängliche Quellen i. S. d. Grundrechts sind solche Quellen, die technisch geeignet und dazu bestimmt sind, einer individuell nicht bestimmbaren Anzahl von Personen Informationen zu vermitteln.291 Im Internet abrufbare Inhalte sind geschützte Informationsquellen in diesem Sinne,292 unabhängig davon, ob sie aus dem In- oder Ausland angeboten werden.293 Die Einbeziehung ausländischer Quellen entspricht dem Wortlaut des Art. 5 Abs. 1 S. 1 GG und stützt sich auf die Entstehungsgeschichte des Grundrechtsartikels. Die Informationsfreiheit ist eine grundgesetzliche Neuschöpfung ohne Vorläuferbestimmung in der Weimarer Reichsverfassung als Reaktion auf die Hörverbote ausländischer Rundfunkprogramme im Zweiten Weltkrieg und schützt vor diesem historischen Hintergrund (gerade) auch den Empfang ausländischer Quellen.294 In seiner objektiv-rechtlichen Dimension fordert die Informationsfreiheit vom Staat die Sicherung einer freien Kommunikationsinfrastruktur.295 Der Staat muss die Rahmenbedingungen sichern, unter denen es dem Einzelnen möglich ist, von seiner Informationsfreiheit Gebrauch machen zu können. Dies gilt in der heutigen Gesellschaft besonders, denn der Einzelne ist mehr denn je auf Informationen angewiesen.296 Eine freie Kommunikationsinfrastruktur zeichnet sich durch jedem offen stehende Kommunikationsprozesse aus, also Kommunikationsprozesse, die für jeden zugänglich und auch tatsächlich nutzbar sind;297 angesprochen ist eine kommunikative Chancengerechtigkeit.298 Daneben ist von hoher Bedeutung die Gewährleistung der Unverfälschtheit des Informationsangebots. Als Informationsanbieter fungieren überwiegend Private.299 Freien Märkten ist das Risiko inhärent, dass es zu Marktungleichgewichten kommen kann, mit der Folge von ungleicher Informationsvermittlung auf dem Markt der Informations- und Kommunikationsdienste. Um eine Unverfälschtheit des Informationsangebots sicherzustellen, hat der Staat auf Marktdefizite bei einer entsprechenden Relevanz für die öffentliche Meinungsbil290

BVerfGE 27, 71 (81). BVerfGE 27, 71 (83). 292 Degenhart, in: Bonner Kommentar, Art. 5 Abs. 1, 2 Rn. 289 m. w. Nachw. in Fn. 65. 293 Schulze-Fielitz, in: Dreier, GG, Art. 5 Abs. 1, 2 Rn 78. 294 BVerfGE 90, 27 (32). 295 Koreng, CR 2009, 758 (760); ausführl. Müller, Konzentrationskontrolle zur Sicherung der Informationsfreiheit, S. 111 ff.; Kube, in: Isensee/Kirchhof (Hrsg.), HdbStR IV, § 91 Rn. 27 ff. 296 Kugelmann, DÖV 2005, 851 (852 f.); zur Rolle des Staates in der Informationsgesellschaft Schoch, in: Leipold (Hrsg.), Rechtsfragen des Internet und der Informationsgesellschaft, S. 83. 297 Hoffmann-Riem, Der Staat 42 (2003), 193 (216). 298 Trute, VVDStRL 57 (1998), 216 (250); Kube, in: Isensee/Kirchhof (Hrsg.), HdbStR IV, § 91 Rn. 27. 299 Kube, in: Isensee/Kirchhof (Hrsg.), HdbStR IV, § 91 Rn. 30. 291

II. Konfliktfeld 1: Datenschutz des Suchobjekts

97

dung zu reagieren.300 Der Staat hat auf eine informationelle Grundversorgung der Bürger hinzuwirken.301 Die Gewährleistung einer freien und unverfälschten Kommunikationsinfrastruktur besitzt gerade im Internet eine hohe Bedeutung.302 Die Gefährdungspotentiale für die Informationsfreiheit sind dort von besonderer Eigenart. In den Hintergrund tritt die Gefahr der Gleichschaltung oder Verknappung des Informationsangebots. Aufgrund des vergleichsweise geringen Aufwands der Informationsverbreitung über das Internet sind unüberschaubare Mengen an Informationen erreichbar. Die Informationsvermittlung ist vielmehr begrenzt durch die Aufnahmekapazität der Nutzer, also insbesondere deren Bereitschaft, Aufmerksamkeit und Zeit in die Sichtung der Informationsangebote zu investieren.303 Es sind Orientierungshilfen, wie Suchmaschinen, die eine sinnvolle Nutzbarkeit der Informationsfülle erst ermöglichen.304 Durch ihre Selektionen besitzen sie die Macht, die Aufmerksamkeit der Nutzer zu bestimmten Informationsangeboten hin oder von anderen weg zu locken. Teilweise wird aus dieser Entwicklung gefolgert, dass sich die publizistische Macht von den Informationsanbietern zu den Informationsmittlern verlagert habe305 und Suchmaschinen werden daher als besondere Risiken für den ungehinderten Informationsaustausch eingestuft.306 Inwiefern Suchmaschinen aufgrund ihres Einflusses auf die öffentliche Meinungsbildung einer medienspezifischen Aufsicht bedürfen, braucht in dieser Untersuchung nicht näher nachgegangen werden. Entscheidend ist festzuhalten, dass den Staat eine Schutzpflicht für die Informationsfreiheit der Nutzer trifft und für die Grundrechtsverwirklichung im Internet Suchmaschinen eine hohe Bedeutung beizumessen ist. Dies hat zur Konsequenz, dass Beschränkungen der Suchmaschinenanbieter in der Erbringung ihrer Dienstleistung mittelbar Folgen für die Verwirklichung der Informationsfreiheit der Nutzer haben. Eine Sanktionierung der Anzeige persönlichkeitsrechtsverletzender Treffer könnte z. B. zu der Implementierung von engmaschigen Filtern vor der Trefferlistenanzeige führen, die auch unzählige 300

Schulze-Fielitz, in: Dreier, GG, Art. 5 Abs. 1, 2 Rn. 240; Müller, Konzentrationskontrolle zur Sicherung der Informationsfreiheit, S. 116; Kube, in: Isensee/Kirchhof (Hrsg.), HdbStR IV, § 91 Rn. 30. 301 Trute, VVDStRL 57 (1998), 216 (250); Spies/Ufer, MMR 2010, 13 (18). 302 Degenhart, in: Bonner Kommentar, Art. 5 Abs. 1, 2 Rn. 318; Jarass, in: Jarass/Pieroth, GG, Art. 5 Rn. 102; zur Netzöffentlichkeit u. Informationsfreiheit bereits Mayer, NJW 1996, 1782 (1787); Netzneutralität betonend im Hinblick auf Access-Provider Koreng, CR 2009, 758 (760). 303 Oben A. I.; Hoffmann-Riem, Der Staat 42 (2003), 193 (204 in Fn. 54 m. w. Nachw., 217 f.). 304 BGHZ 156, 1 (18 f.). 305 Hoffmann-Riem, Der Staat 42 (2003), 193 (218). 306 Hoffmann-Riem, Der Staat 42 (2003), 193 (217 f.); Schulze-Fielitz, in: Dreier, GG, Art. 5 Abs. 1, 2 Rn. 224; Kube, in: Isensee/Kirchhof (Hrsg.), HdbStR IV, § 91 Rn. 29 m. w. Nachw. in Fn. 80.

98

C. Verfassungsrechtliches Spannungsfeld

rechtmäßige Internetseiten ausfiltern und somit den Suchmaschinennutzern Informationsangebote vorenthalten würden. Derartige Folgen sind bei der Bestimmung des Umfangs der Verantwortlichkeit von Suchmaschinen zu berücksichtigen.

4. Ergebnis zu II. Grundrechtsschutz für die Erbringung eines Suchdienstes genießen die Betreiber von Suchmaschinen über die wirtschaftliche Betätigungsfreiheit als Ausprägung der allgemeinen Handlungsfreiheit. Ferner können Suchmaschinenbetreiber in ihrer Berufsfreiheit verletzt sein, soweit sie innerhalb der EU angesiedelt sind. Die Kommunikationsfreiheiten nach Art. 5 Abs. 1 S. 1 und 2 GG entfalten keinen Grundrechtsschutz für Anbieter von Suchmaschinen, da Suchmaschinen von Inhaltsdiensten unabhängige, technisch vollautomatische Informationsvermittlungsdienste sind, die keine eigenen oder redaktionell zusammengestellten Inhalte vermitteln. Ebenso wenig ist für die Tätigkeit von Suchmaschinen der Schutzbereich der Eigentumsfreiheit eröffnet. Suchmaschinen sind ein wichtiges Hilfsmittel der Internetnutzer bei der Suche nach Informationen. Sie leisten daher einen Beitrag zur Verwirklichung der Informationsfreiheit der Internetnutzer. Diese ist mittelbar betroffen, wenn Suchmaschinen aufgrund von Datenschutzvorschriften ihre Suchergebnisse filtern müssen. Durch das Internet verbreitete, persönlichkeitsrechtsverletzende Inhalte können in ihrer grundrechtsbeeinträchtigenden Wirkung durch die Verarbeitung durch Suchmaschinen wesentlich verstärkt werden, denn Suchmaschinen sorgen für einen erheblich größeren Verbreitungsgrad der Informationen, lösen die Informationen aus ihrem eigentlichen Kontext und löschen sie nur mit zeitlicher Verzögerung wieder aus dem Suchindex, wenn die betreffende Information unter der Originaladresse nicht mehr erreichbar ist.

III. Konfliktfeld 2: Datenschutz des Suchmaschinennutzers Bei der Verarbeitung der Suchmaschinennutzerdaten kollidiert das Verarbeitungsinteresse des Suchmaschinenbetreibers mit dem Bedürfnis nach Datenschutz des betroffenen Nutzers.

III. Konfliktfeld 2: Datenschutz des Suchmaschinennutzers

99

1. Grundrechte des Suchmaschinennutzers a) Allgemeines Persönlichkeitsrecht aa) Recht auf informationelle Selbstbestimmung Bei der Beurteilung der Zulässigkeit der Sammlung von Nutzerdaten durch Suchmaschinen ist das allgemeine Persönlichkeitsrecht der Nutzer in seiner Ausformung als Recht auf informationelle Selbstbestimmung zu berücksichtigen. Das informationelle Selbstbestimmungsrecht schützt die Befugnis des Einzelnen, grundsätzlich selbst über Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen.307 (1) Schutzbereich Im Kontext des Sammelns von Nutzerdaten ist umstritten, ob bzw. unter welchen Voraussetzungen IP-Adressen und Cookies als personenbezogene Daten anzusehen sind und somit ihre Protokollierung das informationelle Selbstbestimmungsrecht berühren. Der Streit wird auf einfachgesetzlicher Ebene bei der Frage des Anwendungsbereichs der Datenschutzgesetze geführt, der erst bei der Verarbeitung personenbezogener Daten eröffnet ist (vgl. § 1 Abs. 2 BDSG, § 12 Abs. 1 TMG). § 3 Abs. 1 BDSG definiert personenbezogene Daten als „Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person (Betroffener)“. Umstritten ist, ob die „Bestimmbarkeit“ der Person der datenverarbeitenden Stelle möglich sein muss oder ob es ausreicht, dass die hinter einem Einzeldatum stehende Person für irgendeine (andere) Stelle bestimmbar ist. Zu dieser Detailfrage der Konturierung des Anwendungsbereichs des Datenschutzrechts lässt sich dem Verfassungsrecht keine trennscharfe Vorgabe entnehmen. Das Bundesverfassungsgericht verwendet in seiner Rechtsprechung den Rechtsbegriff des personenbezogenen Datums ohne diesen näher zu definieren.308 Als Anhaltspunkte für die Reichweite des Begriffs des personenbezogenen Datums ist die dem informationellen Selbstbestimmungsrecht zugewiesene Funktion zu berücksichtigen, als Vorfeldschutz bereits im Stadium der Gefährdung des allgemeinen Persönlichkeitsrechts in seinem Schutzbereich eröffnet zu sein309 sowie die Abhängigkeit der Schutzintensität von der konkreten Schutzbedürftigkeit der Daten.310 Jedenfalls wenn der Suchmaschinenbetreiber über Zusatzwissen zur Herstellung des Personenbezugs verfügt, ist für die in Rede stehenden Protokolldaten der Schutzbereich des informationellen Selbstbestimmungsrechts eröffnet. Eine Verknüpfung der Protokolldaten mit weiteren personenbezogenen Daten ist in den (eher seltenen) Fällen möglich, in denen der Nutzer über ein Benutzerkonto bei der Suchmaschine verfügt und durch 307 308 309 310

BVerfGE 65, 1 (43) u. oben C. II. 1. a) aa) (3). Vgl. BVerfGE 65, 1 (42); 118, 168 (184); 120, 378 (398 f.). BVerfGE 120, 378 (397). Vgl. BVerfGE 113, 29 (45 f.); 120, 378 (398).

100

C. Verfassungsrechtliches Spannungsfeld

das Einloggen in sein Konto seine Identität vor dem Absetzen von Suchanfragen offen legt. Der durchschnittliche, nicht über ein Benutzerkonto verfügende Suchmaschinennutzer kann dem Suchmaschinenbetreiber anhand des Inhalts seiner Suchanfragen, etwa durch das Suchen seines eigenen Namens, unbeabsichtigt Zusatzwissen vermitteln, welches eine Identifizierung ermöglicht.311 Dass bei der Internetkommunikation anfallende Daten quasi öffentlich zugänglich sind, weil sie dem Kommunikationspartner unvermeidlich offenbart werden, steht der Eröffnung des Schutzbereichs nicht entgegen. Das informationelle Selbstbestimmungsrecht schützt auch, wenn der Einzelne sich in die Öffentlichkeit begibt, vor einer automatisierten Verarbeitung seiner durch das öffentliche Handeln zwangsläufig preisgegebenen personenbezogenen Daten.312 (2) Intensität der Beeinträchtigung Maßgeblich für die Bestimmung der Beeinträchtigungsintensität ist, welche Persönlichkeitsrelevanz die erhobenen sowie die durch weitergehende Verarbeitung und Verknüpfung erlangten Daten aufweisen.313 Bei einer intensiven Suchmaschinennutzung ermöglichen die anfallenden Nutzerdaten einen detaillierten Einblick in die Interessen des Nutzers zu bestimmten Zeitpunkten. Je nach Inhalt der Suchanfragen lassen sich aus ihnen Rückschlüsse etwa auf den Beruf, die Gesundheit, das Privat- oder Sexualleben ziehen. Die Datensammlung und Verknüpfung kann mitunter zeitlich unbegrenzt erfolgen. Anhand einer Analyse der Daten kann möglicherweise ein präzises Bild des betroffenen Nutzers gezeichnet und zuverlässige Prognosen hinsichtlich seines zukünftigen Verhaltens aufgestellt werden. Eine Datensammlung, die solche Verwendungen ermöglicht, begründet eine schwerwiegende Beeinträchtigung des informationellen Selbstbestimmungsrechts.314 (3) Unzulässige Persönlichkeitsprofile In Anbetracht der drohenden Schwere einer Beeinträchtigung stellt sich die Frage, ob die Sammlung der Suchmaschinennutzerdaten bei einer intensiven Suchmaschinennutzung eine Aussagekraft über die Persönlichkeit des Betroffenen erreichen kann, die schlechthin unvereinbar mit dessen Würde nach Art. 1 Abs. 1 GG ist. Die Verarbeitung personenbezogener Daten ist dann mit der Würde des Menschen unvereinbar, wenn sie in einem Umfang erfolgt, der es ermöglicht, „den Menschen zwangsweise in seiner ganzen Persönlichkeit zu registrieren und zu katalogisieren“315. Derart tiefgreifende Beeinträchtigungen des informationellen Selbstbe311

Im Detail unten D. II. BVerfGE 120, 378 (399); vgl. auch BVerfG-K, NVwZ 2007, 688 (690). 313 BVerfGE 120, 378 (402) m. w. Nachw. 314 Vgl. BVerfGE 125, 260 (319 f.). 315 Erstmals BVerfGE 27, 1 (6); ferner BVerfGE 65, 1 (52 f.); 115, 320 (351); 125, 260 (320 f.). 312

III. Konfliktfeld 2: Datenschutz des Suchmaschinennutzers

101

stimmungsrechts verletzen die unantastbare Würde des Menschen und sind daher grundsätzlich unzulässig. Diese Maxime hat das Bundesverfassungsgericht in Bezug auf staatliche Datenverarbeitungen aufgestellt,316 sie ist aber gleichermaßen auf die Datenverarbeitung privater Stellen übertragbar, denn das Menschenbild der Verfassung ist auch für Private bindend.317 Das Dogma der absoluten Unzulässigkeit der vollständigen Persönlichkeitsprofilbildung ist in der bundesverfassungsgerichtlichen Rechtsprechung zum Persönlichkeitsschutz gegen private Beeinträchtigungen noch nicht artikuliert worden, weil streitgegenständlich in vor das Bundesverfassungsgericht getragenen Zivilrechtsfällen bisher nur die Verarbeitung einzelner Daten war. Für die Annahme einer nicht mehr einer Abwägung zugänglichen Persönlichkeitsprofilerstellung setzt das Bundesverfassungsgericht eine sehr hohe Eingriffsintensität an, die regelmäßig nicht erreicht wird. Beispielhaft seien die Entscheidungen zur präventiv-polizeilichen Rasterfahndung in Nordrhein-Westfalen und zur Vorratsdatenspeicherung herausgegriffen, in denen zwar das Verbot der umfassenden Persönlichkeitserfassung betont wird, zugleich die jeweiligen Maßnahmen aber noch nicht als umfassende Profilerstellung gewertet werden.318 Symptomatisch ist insbesondere die letztgenannte Entscheidung, in der das Gericht die Telekommunikationsverkehrsdatenspeicherung in dem Umfang nach (dem für nichtig erklärten) § 113 a TKG bzw. dessen zugrundeliegendem Art. 5 EG-Vorratsdatenspeicherungsrichtlinie (VDSRL)319 für „nicht von vornherein unverhältnismäßig“320 erklärt, obwohl sich aus jenen Daten „bei umfassender und automatisierter Auswertung bis in die Intimsphäre hineinreichende inhaltliche Rückschlüsse ziehen“ lassen und die Daten „die Erstellung aussagekräftiger Persönlichkeits- und Bewegungsprofile praktisch jeden Bürgers ermöglichen“321. Die zitierte Passage aus der Entscheidung zur Vorratsdatenspeicherung verdeutlicht die besondere Zurückhaltung des Bundesverfassungsgerichts für die Annahme einer nicht mehr abwägbaren Menschenwürdeverletzung durch eine Profilerstellung. Die Speicherung der Verkehrsdaten zu allen Telefonverbindungen322 oder des gesamten Emailverkehrs323 ist von sehr hoher Eingriffsintensität. Werden jene Dienste über mobile Endgeräte genutzt, können anhand der Verkehrsdaten sehr genaue Be316

Oben Teil C. Fn. 315. Ebenso Schaar, Datenschutz im Internet, Rn. 138; ferner Wittig, RDV 2000, 59 (61); Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, Einl. Rn. 45. 318 BVerfGE 115, 320 (350 f.) u. 125, 260 (319 ff.). 319 Richtlinie 2006/24/EG v. 15. 3. 2006 über die Vorratsspeicherung von Daten, die bei der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste oder öffentlicher Kommunikationsnetze erzeugt oder verarbeitet werden, u. zur Änderung der Richtlinie 2002/58/EG, ABlEU L 104 v. 13. 4. 2006, S. 54. 320 BVerfGE 125, 260 (324). 321 BVerfGE 125, 260 (319). 322 Vgl. § 113 a Abs. 2 TKG. 323 Vgl. § 113 a Abs. 3 TKG. 317

102

C. Verfassungsrechtliches Spannungsfeld

wegungsprofile erstellt werden.324 Die Aufzeichnung der Kommunikationspartner ermöglicht die Zusammenstellung von Persönlichkeitsprofilen und Soziogrammen.325 Auch kann oftmals aus dem Umstand des Kontakts zu bestimmten Personen auf Inhalte der Kommunikation rückgeschlossen werden.326 Die von der Verkehrsdatenspeicherung ausgehenden Risiken gewinnen in Zukunft an Bedeutung, weil mit einer erheblichen Zunahme des Datenverkehrsaufkommens aufgrund einer stärkeren Vernetzung von (Alltags-)Systemen zu rechnen ist.327 Protokolle der Nutzung von Suchmaschinen geben Auskunft über die Interessen des Betroffenen zu bestimmten Zeitpunkten und offenbaren dadurch tiefe Einblicke in die Neigungen, Absichten und Bedürfnisse des Menschen. Nutzer formulieren teilweise Suchanfragen zu sehr persönlichen Sachverhalten, etwa zu Themen aus den Bereichen Sexualität oder Krankheiten. Bei einer intensiven Suchmaschinennutzung können daher die Nutzungsprotokolldaten intimere Einblicke in die Persönlichkeit des Betroffenen geben, als über eine Auswertung von Verkehrsdaten zu gewinnen wäre. Dieser Aspekt spricht dafür, die Speicherung von Suchmaschinennutzungsprofilen als grundrechtsbeeinträchtigender als die Speicherung von Verkehrsdaten zu werten. Andererseits gilt es jedoch auch zu berücksichtigen, dass Suchmaschinennutzerdaten nur Daten aus der Nutzung eines spezifischen Internetdienstes sind. Der Bereich, aus dem Daten gewonnen werden, ist somit klar umgrenzt. Alle „On- und Offline-Aktivitäten“ des Nutzers außerhalb der Suchmaschinennutzung fließen nicht in ein Nutzerprofil ein. Der Nutzer kann sich der Protokollierung eines Suchmaschinenbetreibers auch dadurch entziehen, dass er Teile seiner Suchanfragen bei Suchmaschinen anderer Betreiber absetzt. Der Verhaltensprotokollierung aufgrund der Vorratsdatenspeicherung nach Art. 5 VDSRL hingegen kann sich ein Betroffener wesentlich schwieriger entziehen. Sie erfasst die Speicherung der Verkehrsdaten aller bedeutenden Telekommunikationsmittel. Will ein Betroffener auf die Nutzung von Diensten wie Telefon oder Email nicht verzichten, kann er eine Vorratsdatenspeicherung seiner Verkehrsdaten kaum verhindern. Die fehlende Entziehungsmöglichkeit des Einzelnen und der dadurch bedingte enorme Umfang von aufgrund der Vorratsdatenspeicherung gespeicherter Daten einerseits, die besondere Intimität von Suchmaschinennutzerdaten andererseits, sprechen dafür, die Protokollierung der Nutzung von Suchmaschinen als vergleichbar grundrechtsbeeinträchtigend zu beurteilen als die anlassunabhängige Vorratsdatenspeicherung aufgrund von Art. 5 VDSRL. Daher würde die Protokollierung des Suchmaschinennutzerverhaltens keine mit dem informationellen Selbstbestimmungsrecht und der Menschenwürde des Betroffenen schlechthin unvereinbare Beeinträchtigung begründen. Eine sehr massive Beeinträchtigung ist aber sehr wohl darin zu sehen. 324 325 326 327

Ausführl. Hensel, DuD 2009, 527 (528 f.). Hensel, DuD 2009, 527 (529). Dix/Petri, DuD 2009, 531 (527). Hensel, DuD 2009, 527 (529).

III. Konfliktfeld 2: Datenschutz des Suchmaschinennutzers

103

Eine sich über viele Internetseiten erstreckende Verhaltensprotokollierung, wie sie etwa großen Werbenetzwerken möglich ist, ist im Hinblick auf ihre Vereinbarkeit mit der Würde des Menschen noch problematischer. Aufgrund der sehr hoch anzusetzenden Grenze der Zulässigkeit einer Profilbildung (und der damit verbundenen Konsequenz des Entzugs der Einwilligungsfähigkeit in entsprechende Datenverarbeitungen) sind auch solche Profile noch als nicht mit der Menschenwürde schlechthin unvereinbar einzustufen. bb) Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme Wenn es um Daten aus Computersystemen geht, darf eine weitere, in jüngerer Zeit herausgebildete Ausprägung des allgemeinen Persönlichkeitsrechts nicht unberücksichtigt bleiben. Das Bundesverfassungsgericht hat in seiner Entscheidung zur Onlinedurchsuchung als Teilgehalt des allgemeinen Persönlichkeitsrechts das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme (GGVIIS) entwickelt.328 Es reagiert damit auf ein in jüngerer Zeit gewachsenes Schutzbedürfnis aufgrund der Bedeutung der Nutzung informationstechnischer Systeme für die Persönlichkeitsentfaltung und den neuartigen Persönlichkeitsgefährdungen, die mit der Nutzung dieser Systeme verbunden sind.329 (1) Schutzbereich Leistungsfähige informationstechnische Systeme, wie mobile oder stationäre Personal Computer und Smartphones, erlangen eine immer größere Rolle im Alltag vieler Menschen.330 Diese Systeme sind zunehmend internetfähig und eröffnen durch ihre Vernetzung weitere oder steigern die Leistungsfähigkeit bestehender Anwendungsbereiche.331 Dies schafft nicht nur neue Möglichkeiten der Persönlichkeitsentfaltung sondern auch der Persönlichkeitsgefährdung.332 Gefährdungen resultieren daraus, dass komplexe informationstechnische Systeme vielfältige Nutzungsmöglichkeiten eröffnen, die mit der Erzeugung, Verarbeitung und Speicherung von Daten verbunden sind und jene Datenverarbeitungsprozesse teilweise automatisch im Hintergrund ablaufen, sodass sich der Nutzer unter Umständen dieser Prozesse im Einzelnen nicht bewusst ist.333 Aufgrund dessen können sich auf dem System Daten zu dem Nutzerverhalten des Einzelnen befinden, deren Auswertung Aufschluss über die persönlichen Verhältnisse, sozialen Kontakte und ausgeübten Tätigkeiten geben 328

BVerfGE 120, 274. Wesentliche Aussagen des Urteils in knapper Thesenform bei Bartsch, CR 2008, 613 (613 f.). 330 BVerfGE 120, 274 (303). 331 BVerfGE 120, 274 (304). 332 BVerfGE 120, 274 (305). 333 BVerfGE 120, 274 (305). 329

104

C. Verfassungsrechtliches Spannungsfeld

und so eine Profilbildung ermöglichen.334 Die Vernetzung und Komplexität der Systeme bergen Risiken einer Infiltration, gefolgt von einer Ausspähung, Veränderung oder Löschung von Daten, die schwer abzuwehren oder überhaupt erst wahrzunehmen sind für einen Nutzer mit durchschnittlichen Kenntnissen über die Funktionsweise informationstechnischer Systeme.335 Schutz vor der Verarbeitung dieser sensiblen Daten wird durch das Recht auf informationelle Selbstbestimmung nicht ausreichend gewährleistet, weil ein Dritter durch eine erfolgreiche Infiltration auf einen Schlag einen derart aussagekräftigen Datenbestand erlangen könnte, der dem Zugriff eine Schwere der Persönlichkeitsrechtsbeeinträchtigung vermittelt, die über einzelne Datenerhebungen, vor denen das informationelle Selbstbestimmungsrecht schützt, weit hinaus geht.336 Art. 10 Abs. 1 Var. 3 GG und Art. 13 Abs. 1 GG bieten ebenfalls keinen ausreichenden Schutz, da diese je nach Art der Daten oder dem Aufenthaltsort des informationstechnischen Systems nur punktuell in ihrem Schutzbereich eröffnet sind.337 Aufgrund der Schutzdefizite vorgenannter Grundrechtsgewährleistungen und der Schutzbedürftigkeit der Persönlichkeitsentfaltung durch die Nutzung informationstechnischer Systeme, stellt das Bundesverfassungsgericht jene Systeme für den zugriffsberechtigten Nutzerkreis unter einen umfassenden Bereichsschutz vor jeglicher Einflussnahme auf das System durch Dritte, durch die die Vertraulichkeit gespeicherter Daten verletzt oder ein späterer Zugriff auf Daten ermöglicht werden könnte.338 Mithin genießen Vertraulichkeit und Integrität des eigengenutzten informationstechnischen Systems Grundrechtsschutz. (2) Beeinträchtigung Die Ausführungen des Bundesverfassungsgerichts in der zugrundeliegenden Entscheidung betreffen den staatlichen Online-Zugriff. Über die grundrechtlichen Schutzpflichten strahlt das neue Grundrecht auch in Privatrechtsverhältnisse aus; den Staat trifft eine Schutzpflicht für die Wahrung der Vertraulichkeit und Integrität von Computersystemen auch gegenüber der Einflussnahme anderer Privater.339 Er hat sich schützend vor den Einzelnen zu stellen, der gezielten Hacking-Angriffen ausgesetzt ist, z. B. durch das Einschleusen von Trojaner-Programmen, die einen heimlichen Fernzugriff auf das Computersystem oder das Ausspionieren der Tastatureingaben ermöglichen.

334 335 336 337 338 339

BVerfGE 120, 274 (305). BVerfGE 120, 274 (306). BVerfGE 120, 274 (313). BVerfGE 120, 274 (306 ff.). BVerfGE 120, 274 (314 f.). Roßnagel/Schnabel, NJW 2008, 3534 (3535); Heckmann, jurisPR-ITR 5/2008, Anm. 1.

III. Konfliktfeld 2: Datenschutz des Suchmaschinennutzers

105

Das ungefragte Erheben von Nutzerdaten berührt ebenfalls diesen neuen Teilgehalt des allgemeinen Persönlichkeitsrechts, jedenfalls wenn dafür Daten, die auf dem Computer des Betroffenen gespeichert sind, ausgelesen oder verändert werden. Das Auslesen und Verändern von Cookie-Informationen begründet daher eine Grundrechtsbeeinträchtigung, ebenso das erstmalige Setzen des Cookies ohne Einwilligung des Nutzers. Zuzugeben ist, dass das Auslesen von Cookie-Information das neue Grundrecht nicht in einer derart intensiven Weise berührt wie eine Onlinedurchsuchung, die § 5 Abs. 2 Nr. 11 VerfSchG NRW340 ermöglichen sollte. Die Maßnahme der Onlinedurchsuchung sollte einen Zugriff auf sämtliche innerhalb des Rechnersystems gespeicherten Daten ermöglichen. Das Setzen eines Cookies demgegenüber führt nur zu einer Speicherung eines kleinen Datensatzes auf dem Zielsystem und das Auslesen dieses Cookies ist nicht mit der Einsichtnahme oder Veränderung anderer Daten des Systems verbunden. Vor diesem Hintergrund erschließt sich auf den ersten Blick nicht zweifelsfrei, ob das Bundesverfassungsgericht ein derart alltäglich verwendetes Instrument der Internetkommunikation ebenfalls im Auge hatte, als es das neue Grundrecht aus der Taufe hob. Vergegenwärtigt man sich jedoch die Betonung des Gerichts der besonderen Gefahren der Nutzerdatensammlung und Profilbildung,341 so ist zu konstatieren, dass diese Gefahren besonders virulent in der Praxis des stetigen Auslesens und Ergänzens von Cookies lauern. Mit der Gefahr der Unübersichtlichkeit der Datenverarbeitungsvorgänge bei der Computernutzung adressiert das Bundesverfassungsgericht eine Gefahrenlage,342 die sich gerade auch bei der heimlichen Cookie-Verarbeitung realisiert. Für die Qualifizierung der Datenverarbeitungsvorgänge als „heimlich“ stellt das Bundesverfassungsgericht heraus, dass die Betrachtungsweise eines „Durchschnittsnutzers“ anzulegen sei.343 Jener liest gemeinhin die Datenschutzbestimmungen, die auf die Verarbeitung von Cookies hinweisen, nicht und ist mit der technischen Funktionsweise von Cookies nicht vertraut. Dass das Setzen von Tracking-Cookies ohne größere Schwierigkeiten möglich ist, sofern der Browser des Nutzerrechners deren Speicherung zulässt, steht einer Eröffnung des Schutzbereichs ebenfalls nicht entgegen, weil der Grundrechtsschutz nicht von dem Schwierigkeitsgrad der Systeminfiltration abhängt.344 Das GGVIIS ist allerdings im Hinblick auf den Aspekt der Systeminfiltration, der in Abgrenzung zum informationellen Selbstbestimmungsrecht oder dem Fernmeldegeheimnis bei dem in Rede stehenden Teilgehalt der zentrale Bezugspunkt ist, nicht

340

Gesetz über den Verfassungsschutz in Nordrhein-Westfalen i. d. F. v. 20. 12. 2006 (GV. NRW S. 620). 341 BVerfGE 120, 274 (305). 342 BVerfGE 120, 274 (305). 343 BVerfGE 120, 274 (306); darauf ebenfalls hinweisend Hoffmann-Riem, JZ 2008, 1009 (1016). 344 BVerfGE 120, 274 (315).

106

C. Verfassungsrechtliches Spannungsfeld

sehr schwer beeinträchtigt, da die Verarbeitung von Cookies nur eine minimale Systeminfiltration zur Folge hat. b) Fernmeldegeheimnis Das Fernmeldegeheimnis gemäß Art. 10 Abs. 1 Var. 3 GG schützt die Vertraulichkeit der Kommunikation unter Abwesenden.345 Schutzgegenstand sind Inhalte und Umstände des individuellen Kommunikationsvorgangs über das Medium drahtlos oder drahtgebundener elektromagnetischer Wellen.346 Das Grundrecht auf Schutz des Fernmeldegeheimnisses verdrängt im Rahmen seines Schutzbereichs als speziellere Garantie das Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i. V. m. 1 Abs. 1 GG.347 Schutz vor Kenntnisnahme von Inhalten und Umständen der Telekommunikation gewährt Art. 10 Abs. 1 Var. 3 GG allerdings nur gegenüber an dem konkreten Telekommunikationsvorgang unbeteiligten Dritten.348 Nicht vom Schutzbereich erfasst ist die Enttäuschung des Vertrauens in den Kommunikationspartner.349 In der klassischen Abwehrdimension ist jener Dritte der mithörende Staat;350 über die grundrechtlichen Schutzpflichten entfaltet Art. 10 Abs. 1 Var. 3 GG einen Schutz vor dem Mithören privater Dritter.351 Wenn Nutzer eine Suchanfrage auf einer Suchanbieterseite eingeben, initialisieren sie einen Kommunikationsvorgang unmittelbar mit dem Suchmaschinenanbieter. Es findet ein Telekommunikationsvorgang zwischen Suchmaschine und Nutzer statt, im Rahmen dessen die Suchmaschine die Rolle des Kommunikationspartners des Nutzers innehat und nicht die eines Dritten. Daher ist für die Speicherung der bei der Suchmaschinennutzung anfallenden Daten der Schutzbereich des Fernmeldegeheimnisses nicht berührt. c) Einwilligung Suchmaschinen verfügen i. d. R. über Datenschutzerklärungen, die über die Verarbeitung der Nutzerdaten Auskunft geben und über einen Link auf der Suchseite erreichbar sind. Fraglich ist, ob die bloße Inanspruchnahme einer Suchmaschine als 345

BVerfGE 115, 166 (183). BVerfGE 67, 157 (172); 85, 386 (396 f.); 125, 260 (309). 347 BVerfGE 125, 260 (310). 348 BVerfGE 106, 28 (37 f.); 115, 166 (183 f.). 349 BVerfGE 106, 28 (37 f.); Böckenförde, JZ 2008, 925 (936). 350 Dem Staat wird das Speichern von Telekommunikationsverbindung durch Private zugerechnet, wenn das Speichern aufgrund gesetzlicher Verpflichtung erfolgt u. der Private allein als Hilfsperson für die Aufgabenerfüllung staatlicher Behörden in Anspruch genommen wird, BVerfGE 125, 260 (311). 351 BVerfGE 106, 28 (37); BVerfG-K, NJW 2007, 3055 (3055); Jarass, in: Jarass/Pieroth, GG, Art. 10 Rn. 15; Hermes, in: Dreier, GG, Art. 10 Rn. 84. 346

III. Konfliktfeld 2: Datenschutz des Suchmaschinennutzers

107

eine konkludente Einwilligung in die personenbezogene Nutzerdatenverarbeitung und mithin als Grundrechtsverzichtserklärung im Hinblick auf den Schutz des allgemeinen Persönlichkeitsrechts zu werten ist, wenn auf der Suchseite eine für den Nutzer durch einen Link erreichbare Datenschutzerklärung veröffentlicht ist. Bejahte man diese Frage, schiede eine Persönlichkeitsrechtsverletzung des Suchmaschinennutzers wegen einer Protokollierung seines Suchverhaltens aus. Die Voraussetzungen für einen wirksamen Grundrechtsverzicht durch datenschutzrechtliche Einwilligung sind einfachgesetzlich ausgestaltet für den Bereich der Telemedien in § 13 Abs. 2 TMG und in zusätzlich anwendbaren Vorschriften des BDSG. Diese Normen sind als sinnvolle Konkretisierung verfassungsrechtlicher Vorgaben zu betrachten. Ein wirksamer Grundrechtsverzicht ist daher anzunehmen, wenn eine (einfachrechtlich) wirksame Einwilligung i. S. d. § 12 Abs. 1 TMG vorliegt. Ob in der Suchmaschinennutzung zugleich eine konkludente Einwilligung in die Verarbeitung der Nutzungsdaten zu sehen ist, wird im Teil zum einfachen Recht näher untersucht.352

2. Berufsfreiheit des Suchmaschinenbetreibers Suchmaschinenbetreiber verarbeiten Nutzerdaten zur Wartung und Optimierung ihres Suchdienstes, außerdem für die Vermarktung von Werbung.353 Diese Tätigkeiten lassen sich als Bestandteile der Berufsbilds „Betreiber einer Suchmaschine“ und „Betreiber eines Werbenetzwerks“ auffassen und genießen daher den Schutz von Art. 12 Abs. 1 GG, soweit der Betreiber innerhalb der EU angesiedelt ist.354 Die Verarbeitung der Nutzerdaten beschränkende Regelungen zum Schutz der informationellen Selbstbestimmung Betroffener beschränken Suchmaschinenanbieter in der Art und Weise der Diensteerbringung und sind daher Berufsausübungsregelungen i. S. d. Drei-Stufen-Theorie. Ferner ist das Anbieten einer Suchmaschine auch ohne die Protokollierung der Nutzerdaten möglich. Dies haben andere Suchmaschinenanbieter bereits bewiesen.355 Den Umgang mit Suchmaschinennutzerdaten einschränkende Regelungen würden daher den Beruf des Suchmaschinenanbieters nur in seiner Art der Ausführung einschränken. Mithin wären Eingriffe aufgrund entsprechender datenschutzrechtlicher Regelungen als nicht so gravierend einzustufen. Vor dem Hintergrund, dass Datenverarbeitungen weiterhin mit informierter Einwilligung des Betroffenen möglich bleiben, ist auch das Berufsfeld des „Betreibers eines Werbenetzwerks“ bei scharfen Datenschutzgesetzen noch möglich. Die grundrechtlich geschützte Position der Suchmaschinenbetreiber aus Art. 12 Abs. 1 GG ist daher nicht besonders stark. 352 353 354 355

Unten D. II. 2. a). Oben B. IV. 5. Zur Berufsfreiheit bereits oben C. II. 2. c). Vgl. http://www.ixquick.de/ (15. 3. 2011).

108

C. Verfassungsrechtliches Spannungsfeld

Außerhalb der EU ansässige Suchmaschinenbetreiber genießen den Grundrechtsschutz der allgemeinen Handlungsfreiheit des Art. 2 Abs. 1 GG.356

3. Ergebnis zu III. Bei der Reglementierung der Sammlung der Suchmaschinennutzerdaten sind die sich gegenüberstehenden verfassungsrechtlichen Interessen zu berücksichtigen. Diese sind seitens der Anbieter von Suchmaschinen deren grundrechtlich geschützte Berufsfreiheit bzw. die allgemeine Handlungsfreiheit, die durch Datenschutzvorschriften Beschränkungen erfährt. Auf Seiten der Nutzer ist zunächst deren allgemeines Persönlichkeitsrecht in der Ausformung als Recht auf informationelle Selbstbestimmung zu berücksichtigen, soweit personenbezogene Daten verarbeitet werden. Aufgrund der weitreichenden Informationsgehalte der Nutzerdaten wiegt das informationelle Selbstbestimmungsrecht in der zu treffenden Abwägung der Grundrechtspositionen schwer. Soweit Daten aus dem Computer des Nutzers ausgelesen werden, vermittelt ferner das GGVIIS einen Grundrechtsschutz. Demgegenüber würde eine Beschränkung der Protokollierungsmöglichkeiten der Suchmaschinenanbieter diese nicht sehr stark in ihrer Berufsfreiheit einschränken.

IV. Fazit Die Analyse der konfligierenden Grundrechtspositionen bei der Präsentation persönlichkeitsrechtsverletzender Suchergebnisse (Datenschutz des Suchobjekts) offenbart eine Kollision sehr gewichtiger Interessen, von denen die Interessen auf keiner Seite klar überwiegen. Einerseits können sich die Betreiber von Suchmaschinen auf ihre Berufsfreiheit bzw. die allgemeine Handlungsfreiheit berufen. Diese Grundrechtsposition besitzt besonders deshalb einiges Gewicht, weil Suchmaschinenbetreiber durch ihre geschützte Tätigkeit der Informationsfreiheit der Internetnutzer zur Geltung verhelfen. Andererseits ermöglichen Suchmaschinen schwerwiegende Persönlichkeitsbeeinträchtigungen von Personen, zu denen gegen oder ohne ihren Willen personenbezogene Daten im Internet frei zugänglich sind, indem sie in Millisekunden sämtliche zu findende Inhalte auf Suchanfrage Dritter zusammenführen und auf der Ergebnisseite präsentieren. Unter verfassungsrechtlichen Vorzeichen ist keiner Seite eindeutig der Vorrang einzuräumen. Dies bedeutet für das einfache Recht, dass ausgleichende Regelungen gefunden werden müssen, die den Betrieb von Suchmaschinen nicht unmöglich machen, aber auch in den Suchergebnissen auftauchende Personen nicht schutzlos stellen. 356

Oben C. II. 2. d).

IV. Fazit

109

Im Konflikt zwischen dem Nutzerdatenverarbeitungsinteresse der Suchmaschinenbetreiber und dem Datenschutz der betroffenen Nutzer überwiegt das Interesse an Datenschutz wesentlich. Erhebliche Gefährdungen bestehen für das informationelle Selbstbestimmungsrecht der Nutzer. Auch der Schutzbereich des GGVIIS ist beeinträchtigt. Demgegenüber kommt der Berufs- und allgemeinen Handlungsfreiheit der Suchmaschinenbetreiber weniger Gewicht zu. Von Verfassungs wegen ist es daher angezeigt, die Zulässigkeit der Verarbeitung der Nutzerprotokolldaten an enge Voraussetzungen zu knüpfen.

D. Bundesdatenschutzgesetz und Telemediengesetz Im Folgenden werden die durch Suchmaschinen vorgenommenen Datenverarbeitungen auf ihre datenschutzrechtliche Zulässigkeit nach geltendem deutschem Recht untersucht. Dabei werden – der Gliederung des vorherigen Abschnittes folgend – zwei Gefährdungsszenarien unterschieden und einer getrennten Beurteilung unterzogen: Zunächst richtet sich der Blick auf die datenschutzrechtliche Verantwortlichkeit der Suchmaschinenbetreiber bei der Vermittlung von datenschutzrechtswidrigen Inhalten über Dritte im Internet (Datenschutz des Suchobjekts) und anschließend erfolgt eine Untersuchung der Zulässigkeit der Speicherung und Sammlung der Suchmaschinennutzerdaten (Datenschutz des Suchmaschinennutzers).

I. Konfliktfeld 1: Datenschutz des Suchobjekts Die Erfassung und Wiedergabe datenschutzwidriger Internetinhalte durch Suchmaschinen birgt Konfliktpotential im Hinblick auf die Einhaltung datenschutzrechtlicher Vorgaben des BDSG.

1. Anwendbarkeit des BDSG a) Sachlicher Anwendungsbereich aa) Personenbezogene Daten Von Relevanz sind hier nur solche Informationen auf Webseiten Dritter, die Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person beinhalten, mithin personenbezogene Daten i. S. d. § 3 Abs. 1 BDSG darstellen. Dies können z. B. Informationen über Sachverhalte sein, an denen eine bestimmte Person beteiligt war.1 Im Hinblick auf die Eingrenzung des Untersuchungsgegenstands beschränkt sich diese Arbeit auf personenbezogene Einzelangaben auf Webseiten in Textform, auch wenn Bilder ebenfalls personenbezogene Daten enthalten können.2 1

OLG Hamburg, K&R 2010, 63 (64). Zur Anwendbarkeit des BDSG auf Bilder u. der Konkurrenz zu dem Schutz am eigenen Bild durch die §§ 22 ff. KUG s. Schnabel, ZUM 2008, 657. 2

I. Konfliktfeld 1: Datenschutz des Suchobjekts

111

bb) Datenumgang Bedingt durch die technische Funktionsweise von Suchmaschinen lassen sich verschiedene Arbeitsschritte von der erstmaligen Erfassung einer Webseite bis zur Weiterleitung eines Suchmaschinennutzers an die Webadresse, die er gesucht hat, unterscheiden. Diese Arbeitsschritte beinhalten verschiedene Formen des Datenumgangs. (1) Erheben, § 3 Abs. 3 BDSG Die Crawler von Suchmaschinen durchsuchen automatisiert die Webseiten und laden deren textuellen Bestandteile herunter.3 Dieser Vorgang ist als Erheben von Daten zu qualifizieren.4 Erheben ist in § 3 Abs. 3 BDSG legaldefiniert als das Beschaffen von Daten über den Betroffenen. Gemeint ist eine Aktivität, durch die die erhebende Stelle Kenntnis von den betreffenden Daten oder die Verfügungsmacht über die Daten erlangt.5 Aus einem Umkehrschluss aus § 14 Abs. 1 S. 2 BDSG ergibt sich, dass in subjektiver Hinsicht das Handeln von einem Erhebungswillen getragen sein muss.6 Die Crawler einer Suchmaschine werden von den Betreibern gezielt zur Erfassung sämtlicher Inhalte des WWW eingesetzt. Den Datenerhebungen durch die Crawler liegt daher, auch wenn der Erhebungsvorgang automatisch abläuft, ein genereller Erhebungswille der Suchmaschinenbetreiber zugrunde. (2) Speichern, § 3 Abs. 4 S. 2 Nr. 1 BDSG Zugleich beinhaltet die Tätigkeit der Crawler ein Speichern von Daten. Speichern ist das Erfassen, Aufnehmen oder Aufbewahren personenbezogener Daten auf einem Datenträger zum Zweck ihrer weiteren Verarbeitung oder Nutzung, § 3 Abs. 4 S. 2 Nr. 1 BDSG, wobei die Modalität des Erfassens menschliche Handlungen charakterisiert, während das Aufnehmen maschinelle Aufzeichnungsmethoden erfasst.7 Die textuellen Bestandteile der von den Crawlern erfassten Webseiten werden auf Servern der Suchmaschine dauerhaft gespeichert zum Zweck der Erstellung des SuchindexÏ. In diesem Vorgang liegt daher sogleich ein Speichern i. S. d. § 3 Abs. 4 S. 2 Nr. 1 BDSG. (3) Verändern, § 3 Abs. 4 S. 2 Nr. 2 BDSG Der Index ersetzt die heruntergeladenen Webdokumente in ein einheitliches, vereinfachtes Datenformat, analysiert die Dokumentstruktur und legt die Dokumente

3 4 5 6 7

Oben B. II. 3. a). Zweifel äußernd OLG Hamburg, K&R 2010, 63 (65). Dammann, in: Simitis, BDSG, § 3 Rn. 102. Dammann, in: Simitis, BDSG, § 3 Rn. 102. Kühling/Seidel/Sivridis, Datenschutzrecht, S. 112.

112

D. Bundesdatenschutzgesetz und Telemediengesetz

im Indexverzeichnis unter Zuweisung einer Identifikationsnummer ab.8 Das Vereinheitlichen der Dokumentenformate, das Hinzufügen von Ergebnissen aus der Dokumentstrukturanalyse sowie die Aufnahme in den Index könnten je ein Verändern i. S. d. § 3 Abs. 4 S. 2 Nr. 2 BDSG sein. Nach dem Gesetzeswortlaut ist das Verändern „das inhaltliche Umgestalten personenbezogener Daten“. Eine inhaltliche Umgestaltung ist nur dann gegeben, wenn sich durch die Bearbeitung ein anderer Aussagegehalt der Daten ergibt.9 Keine Veränderung i. S. d. BDSG ist die bloß formelle, äußerliche Umgestaltung von Daten sowie die bloße Veränderung der datentechnischen Verschlüsselung oder der Reihenfolge der Speicherung.10 Ebenso wenig sind Abkürzungen oder Teillöschungen ein Verändern.11 Die Datenformatierung sowie die Ablage der Dokumente unter einer Identifikationsnummer im Indexverzeichnis sind Bearbeitungen der Daten von bloß formeller Natur ohne Informationsmehrwert. Diese Tätigkeiten zielen allein darauf ab, die Webseiten möglichst effektiv zu archivieren. Eine Hinzufügung von weiteren personenbezogenen Informationen zu den in den Dokumenten bereits vorhandenen Informationen kann bei dem Anhängen der Ergebnisse der Dokumentenstrukturanalyse an die Dokumente erfolgen, soweit sich die Analyse auf personenbezogene Informationen bezieht, z. B. die Information, dass ein gewisser Name besonders häufig in einem Dokument vorkommt und deshalb das Dokument besonders viel Aussagegehalt zu einer Person hat und entsprechend bei der Suche nach der Person dieses Dokument eine höhere Relevanz hat als andere Dokumente. Soweit durch die Dokumentstrukturanalyse ein neuer Aussagegehalt mit Personenbezug geschaffen und das Ergebnis der Analyse festgehalten wird, ist dies kein Verändern i. S. d. § 3 Abs. 4 S. 2 Nr. 2 BDSG der von der Dokumentstrukturanalyse erfassten Daten, sondern die ergänzende Speicherung eines weiteren Datums.12 Ein Verändern von Daten findet mithin nicht statt. (4) Übermitteln, § 3 Abs. 4 S. 2 Nr. 3 BDSG Auf eine Suchanfrage hin präsentieren Suchmaschinen Ergebnislisten mit kurzen Textauszügen (Snippets) und Links zu den vollständigen Dokumenten. Das Bereitstellen der Suchergebnisse könnte datenschutzrechtlich als ein Übermitteln von Daten (an den Suchmaschinennutzer) zu qualifizieren sein. Übermitteln ist nach § 3 Abs. 4 S. 2 Nr. 3 BDSG das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener personenbezogener Daten an einen Dritten in der Weise, dass die Daten an einen Dritten weitergegeben werden (lit. a) oder der Dritte zur Einsicht oder zum Abruf bereitgehaltene Daten einsieht oder abruft (lit. b). In Betracht kommt ein 8

Oben B. II. 3. b). Tinnefeld/Ehmann/Gerling, Einführung in das Datenschutzrecht, S. 300. 10 Dammann, in: Simitis, BDSG, § 3 Rn. 130. 11 Kühling/Seidel/Sivridis, Datenschutzrecht, S. 112 f. 12 Dammann, in: Simitis, BDSG, § Rn. 129. 9

I. Konfliktfeld 1: Datenschutz des Suchobjekts

113

Bekanntgeben in der Modalität des Abrufs von bereitgehaltenen Informationen durch Dritte. Ein Abruf ist die Verschaffung der Verfügung über bereitgehaltene Daten mithilfe eines automatisierten Verfahrens.13 Der Betrieb einer Suchmaschine erfolgt vollautomatisch und stellt daher ein solches Verfahren dar. Der Suchmaschinennutzer ist auch als außerhalb der Verantwortlichen Stelle, mithin als Dritter i. S. d. § 3 Abs. 8 S. 2 BDSG anzusehen. Unschädlich ist, dass unter Umständen der abrufende Suchmaschinennutzer dem Suchmaschinenbetreiber nicht namentlich bekannt ist. Nach Wortlaut und Schutzzweck lassen sich auch Bekanntgaben an eine nicht genau feststehende Mehrzahl von Dritten unter den Übermittlungsbegriff des BDSG fassen.14 Es ist jedoch genauer zu beleuchten, inwiefern der Nutzer tatsächlich Daten abruft, die gerade von der Suchmaschine bereitgehalten werden. Das Bereithalten von Daten setzt voraus, dass bei der verantwortlichen Stelle gespeicherte oder durch Datenverarbeitung gewonnene Daten vorliegen.15 Die zu den Suchtreffern erscheinenden Snippets sind originär von der Suchmaschine anhand des Indexverzeichniseintrags generiert und auf eigenen Servern gespeichert. Mithin sind die Snippet-Inhalte von der Suchmaschine bereitgehalten. Neben den Snippets weisen die Ergebnislisten einen Hyperlink zu den Originalquellen des jeweiligen Treffers aus. Wenn der Nutzer nun auf den zu einem Treffer gehörenden Link klickt, ruft er das vollständige Webdokument nicht von der Suchmaschine, sondern von dem Server, auf dem das Originaldokument liegt, ab. Daraus folgt, dass wenn ein Nutzer eine Suchanfrage stellt und das Snippet zu einem Treffer keine personenbezogene Informationen enthält, das dazugehörige Trefferdokument aber sehr wohl, und der Nutzer dem Trefferlink folgt und die Daten erlangt, dann hat die Suchmaschine zwar letztlich den Zugang zu den personenbezogenen Informationen vermittelt, es erfolgte aber – bei einer engen Wortlautauslegung – keine Übermittlung i. S. d. § 3 Abs. 4 S. 2 Nr. 3 BDSG, weil die Informationen selber nicht von der Suchmaschine zum Abruf bereitgehalten wurden, sondern die Suchmaschine dem Nutzer lediglich mitgeteilt hat, wo dieser die Informationen finden kann.16 Eine derart enge Auslegung des Übermittlungsbegriffs steht jedoch im Widerspruch zu der EG-Datenschutzrichtlinie (DSRL)17. Die DSRL schreibt eine Vollharmonisierung des mitgliedstaatlichen Datenschutzrechts vor.18 Um ein einheitliches Schutzniveau innerhalb der Europäischen Union zu gewährleisten, darf der Anwendungsbereich des deutschen Datenschutzrechts nicht durch eine zu restriktive 13

Dammann, in: Simitis, BDSG, § 3 Rn. 152. Dammann, in: Simitis, BDSG, § 3 Rn. 157. 15 Dammann, in: Simitis, BDSG, § 3 Rn. 143. 16 Ott, MMR 2009, 158 (162). 17 Richtlinie 95/46/EG v. 24. 10. 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten u. zum freien Datenverkehr, ABlEG Nr. L 281 v. 23. 11. 1995, S. 31. 18 ErwGr. 8 u. 10 der DSRL; EuGH, Slg. 2003, I-12971, Tz. 95 f [Bodil Lindqvist/èklagarkammaren Könköping]. 14

114

D. Bundesdatenschutzgesetz und Telemediengesetz

Handhabung der Terminologie verkürzt werden. Daher muss auch der Begriff des Übermittelns auf richtlinienkonforme Weise ausgelegt werden. Die DSRL differenziert nicht zwischen den fünf Stufen der Datenverarbeitung des BDSG (Speichern, Verändern, Übermitteln, Sperren, Löschen), sondern wählt als einheitlichen Oberbegriff für jeglichen Datenumgang die Verarbeitung. Der Verarbeitungsbegriff erfasst nach der Definition in Art. 2 lit. a DSRL „jeden […] ausgeführten Vorgang […] im Zusammenhang mit personenbezogenen Daten“ und ist damit sehr weit gewählt. Die DSRL setzt den Schwerpunkt der Prüfung des Anwendungsbereichs auf die Frage der Verantwortlichkeit für den Datenumgang.19 Die Vermittlertätigkeit einer Suchmaschine ist ein Vorgang im Zusammenhang mit personenbezogenen Daten und somit von dem weiten Verarbeitungsbegriff der DSRL erfasst. Folglich muss, damit auf die Vermittlertätigkeit von Suchmaschinen das BDSG anwendbar ist, der Begriff des Übermittelns in § 3 Abs. 4 Nr. 3 lit. b BDSG in richtlinienkonformer Weise erweiternd ausgelegt werden. Sowohl bei der Darstellung der Snippets als auch beim Aufruf der Trefferseiten erfolgt daher eine datenschutzrechtlich relevante Übermittlung personenbezogener Daten durch die Suchmaschine. (5) Nutzen, § 3 Abs. 5 BDSG Denkbar wäre auch, die Vermittlung von Webdokumenten mit personenbezogenen Daten unter den Begriff des Nutzens gem. § 3 Abs. 5 BDSG zu subsumieren. Dieser ist umfassend angelegt20 und erfasst nach der Legaldefinition „jede Verwendung personenbezogener Daten, soweit es sich nicht um Verarbeitung handelt“. § 3 Abs. 5 BDSG ist ein Auffangtatbestand, wenn keine Datenverarbeitung i. S. d. § 3 Abs. 4 BDSG vorliegt.21 Ein Rekurrieren auf § 3 Abs. 5 BDSG ist daher hier nicht erforderlich. (6) Ergebnis zu bb) Zusammenfassend lässt sich somit zu den einzelnen Datenverarbeitungsschritten von Suchmaschinen festhalten, dass sie personenbezogene Informationen erheben und speichern, soweit sich diese auf Webseiten befinden, die durch ihre Crawler herunter geladen werden.22 Bei der anschließenden Bearbeitung der Dokumente durch den Indexer erfolgt nur dann ein Verändern von Daten, wenn die Ergebnisse der Dokumentstrukturanalyse einen Personenbezug aufweisen und somit dem Dokument ein weiterer personenbezogener Aussagegehalt angefügt wird. Schließlich fungieren 19 Artikel-29-Datenschutzgruppe, Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 15, http://ec.europa.eu/justice/policies/privacy/ docs/wpdocs/2008/wp148_de.pdf (15. 3. 2011). 20 Dammann, in: Simitis, BDSG, § 3 Rn. 189. 21 Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 3 Rn. 45. 22 A. A. OLG Hamburg, BeckRS 2010/11648 – Keine Datenverarbeitung durch Suchmaschine, weil sie „lediglich die Fundstellen bereits in anderen Beiträgen im Internet vorhandener persönlicher Daten aufzeigt u. nicht Daten selbst erhebt, verarbeitet oder nutzt“.

I. Konfliktfeld 1: Datenschutz des Suchobjekts

115

Suchmaschinen bei der Anzeige von Snippets und wenn der Suchmaschinennutzer einem Trefferlink folgt als Übermittler von Daten, soweit die Snippets oder die verlinkte Trefferseite personenbezogene Informationen beinhalten. Das Vermitteln von personenbezogenen Suchergebnissen könnte man auch als ein Nutzen von personenbezogenen Daten werten. cc) Kein Vorrang des TMG oder TKG Bei Internetdiensten sind im Hinblick auf den Datenschutz neben den Bestimmungen des BDSG die bereichsspezifischen Datenschutzregelungen in den §§ 91 ff. Telekommunikationsgesetz (TKG)23 sowie den §§ 12 ff. Telemediengesetz (TMG)24 zu beachten. Zur Abgrenzung der Anwendungsbereiche hat sich das sog. 3-Schichten-Modell etabliert.25 Dieses Modell differenziert nach dem Kontext und der Funktion der jeweiligen Datenübertragungen. Man unterscheidet die Transportebene, Interaktionsebene und die Inhaltsebene. Die unterste der aufeinander aufbauenden Schichten bildet die Transportebene. Sie betrifft die grundlegende Kommunikationsinfrastruktur, die erforderlich ist, um Daten überhaupt senden zu können; auf ihr sind die Telekommunikationsdienste angesiedelt.26 Auf der Transportebene ist der Inhalt der transportierten Daten ohne Bedeutung. Soweit die Transportebene betroffen ist, sind die Datenschutzbestimmungen des TKG zu beachten. Die Interaktionsebene ist die nächsthöhere Schicht. Gegenstand der Interaktionsebene sind alle äußeren Details des Nutzungsvorgangs.27 Dies sind vor allem Aktionen des Nutzers innerhalb der Programmvorgaben des Dienstes, wie z. B. „Nutzer loggt sich ein/aus“ oder „Nutzer legt Artikel X in den Warenkorb“.28 Nach § 15 Abs. 1 S. 1 TMG sind Nutzungsdaten personenbezogene Daten, die für die Inanspruchnahme von Telemedien erforderlich sind. Für die Interaktionsebene greifen die Datenschutzbestimmungen des TMG oder andere Rechtsvorschriften, die sich ausdrücklich auf Telemedien beziehen (vgl. § 12 Abs. 1 TMG). Die Inhaltsebene betrifft den Austausch solcher Daten, deren Bedeutungsgehalt sich von dem zugrunde liegenden Dienst abstrahieren lassen.29 Für diese Daten ist nicht entscheidend, auf welche Weise sie übermittelt wurden. Es sind die Daten, die Anbieter und Nutzer austauschen, um das durch den Dienst begründete Leistungs- und Rechtsverhältnis zu erfüllen.30 Wenn 23

Telekommunikationsgesetz v. 22. 6. 2004 (BGBl. I S. 1190), zuletzt geändert durch Art. 2 des Gesetzes v. 14. 8. 2009 (BGBl. I S. 2821). 24 Telemediengesetz v. 26. 2. 2007 (BGBl. I S. 179), zuletzt geändert durch Art. 2 des Gesetzes v. 14. 8. 2009 (BGBl. I S. 2814). 25 Dazu Schleipfer, DuD 2004, 727; Ballhausen/Roggenkamp, K&R 2008, 403 (407); Buchner, DuD 2010, 39 (40); Schaar, Datenschutz im Internet, Rn. 246 ff. 26 Schleipfer, DuD 2004, 727 (729). 27 Schleipfer, DuD 2004, 727 (729). 28 Schleipfer, DuD 2004, 727 (729). 29 Schleipfer, DuD 2004, 727 (728 f.). 30 Spindler/Nink, in: Spindler/Schuster, Recht der elektronischen Medien, § 15 TMG Rn. 3.

116

D. Bundesdatenschutzgesetz und Telemediengesetz

ein Nutzer z. B. über einen Internetdienst etwas bestellt und über eine Eingabemaske auf einer Webseite seine zunächst falsch angegebene Lieferanschrift korrigiert, dann ist für den Vorgang „Übermittlung der korrigierten Lieferanschrift an Verkäufer“ unerheblich, ob der Nutzer die Eingabemaske verwendet hat oder telefonisch die Korrektur vornahm. Für die Inhaltsebene sind die Vorschriften des BDSG maßgeblich.31 Nach diesem Einordnungsmuster unterfallen personenbezogene Daten im Rahmen der Suchmaschinenergebnisse dem Regelungsregime des BDSG, denn in der Übermittlung dieser Daten liegt gerade das Leistungsangebot von Suchmaschinen.32 dd) Verantwortliche Stelle, § 3 Abs. 7 BDSG i. V. m. Art. 2 lit. d DSRL Nach § 1 Abs. 2 BDSG richtet sich das Gesetz nur an „verantwortliche Stellen“. Die Klassifizierung als verantwortliche Stelle ist also der Anknüpfungspunkt für die Geltung der sich aus dem BDSG ergebenden Rechte und Pflichten.33 Verantwortliche Stelle ist gem. § 3 Abs. 7 BDSG jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt. Für die Auslegung des Rechtsbegriffs ist auch die Definition des Verantwortlichen in Art. 2 lit. d DSRL zu berücksichtigen. Danach ist „für die Verarbeitung Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder jede Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Sie bezeichnet also die Stelle, die als „Herrin der Daten“ die Verantwortung für die Beachtung datenschutzrechtlicher Vorschriften beim Umgang mit Daten trägt.34 Ob Suchmaschinen als „Herrin der Daten“, zu denen sie den Zugang vermitteln, angesehen werden können, ist umstritten. Hinsichtlich der tatsächlichen Umstände ist jedenfalls zunächst zu konstatieren, dass Suchmaschinen in jeder Millisekunde Unmengen von Daten verarbeiten, weil ihre Crawler ununterbrochen auf der Suche nach noch nicht erfassten Webseiten sind oder bereits „gecrawlten“ Seiten einen erneuten Besuch abstatten.35 Die Verarbeitungen erfolgen ohne Rücksicht auf einen möglichen Personenbezug. Eine inhaltliche Kontrolle der Daten auf die datenschutzrechtliche Zulässigkeit ihrer Veröf31

So wie hier Teil D. Fn. 25; ebenso Heckmann, Internetrecht, Kap. 1.12 Rn. 50; Spindler/ Nink, in: Spindler/Schuster, Recht der elektronischen Medien, § 15 TMG Rn. 3 m. w. Nachw. in Fn. 8. – Die Inhaltsdaten hingegen zu den Nutzungsdaten einordnend Imhof, CR 2000, 110 (112 ff.); Schmitz, in: Spindler/Schmitz/Geis, TDG, § 6 TDDSG Rn. 18, 20 f. 32 Ebenso Ott, MMR 2009, 158 (159); Weichert, MR-Int 2007, 188 (189 f.); ders., in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (292 ff.). 33 Dammann, in: Simitis, BDSG, § 3 Rn. 224. 34 Wedde, in: Roßnagel (Hrsg.), HbDSR, Kap. 4.3 Rn. 5. 35 Karzauninkat/Alby, Suchmaschinenoptimierung, S. 26, zählten bei einer eigenen Webseite im Dezember 2006 allein durch den Google Crawler „Googlebot“ über 8000 Zugriffe.

I. Konfliktfeld 1: Datenschutz des Suchobjekts

117

fentlichung im World Wide Web wäre nur schwerlich umsetzbar und kann kaum von den Suchmaschinenbetreibern verlangt werden.36 Schwer vorstellbar ist es auch, wie Suchmaschinen das Vorliegen von besonderen personenbezogenen Daten i. S. d. § 3 Abs. 9 BDSG, an deren Verarbeitung verschärfte Datenschutzanforderungen gestellt sind, feststellen sollen.37 Die faktisch begrenzten Möglichkeiten der Datenkontrolle aufgrund der enormen Datenmassen erweisen sich als problematisch für eine Verantwortungszuweisung zu den Suchmaschinen. Die Inpflichtnahme von Suchmaschinen als datenschutzrechtlich verantwortliche Stelle würde jene zu der Installation aufwendiger Filter zwingen und dadurch Einschränkungen der Suchfunktion provozieren. Funktionseinbußen bei Suchmaschinen hemmen die Verwirklichung der Informationsfreiheit der Suchmaschinennutzer und führen damit, aufgrund der überragenden Bedeutung von Suchmaschinen, zu Einschränkungen der Informationsfreiheit im Internet insgesamt. Die Art. 29-Datenschutzgruppe hatte die Schwierigkeiten der Einhaltung datenschutzrechtlicher Verpflichtungen durch Suchmaschinen zur Kenntnis genommen und festgestellt, dass Suchmaschinen jedenfalls nicht als Hauptverantwortliche für die inhaltliche Verarbeitung personenbezogener Daten angesehen werden könnten, jedoch durchaus in der Lage seien, auf Hinweis nachträglich Webseiten aus dem Index zu entfernen und insofern auch für Datenschutzverstöße zur Verantwortung zu ziehen seien.38 Der Datenschutzbeauftragte von Google Fleischer lehnt jegliche datenschutzrechtliche Verantwortlichkeit von Google für die Vermittlung von Webseiten Dritter ab.39 Bei den im Rahmen eines Suchdienstes notwendigen Datenverarbeitungsschritten träfen Suchmaschinen gar keine eigene relevante Zwecksetzung; sie bestimmten weder den Zweck, aufgrund dessen die Daten im WWW veröffentlicht wurden, noch den Zweck, warum jemand diese Daten über eine Suchmaschine im Web nachfragt.40 Suchmaschinen seien bloß Datenverarbeiter mit einer durch den Nutzer klar vorgegebenen Marschroute, welcher anhand von Suchkriterien die Suche initiiert.41 Suchmaschinen hätten auch nicht wirklich Kontrolle über die Daten in ihrem Index, denn sie könnten den Zugang zu diesen Daten nicht effektiv verhindern. Zwar könnten sie einzelne Dokumente aus dem Suchindex entfernen, dadurch werde jedoch nicht verhindert, dass das gleiche Webdokument unter einer anderen Web36

Weichert, MR-Int 2007, 188 (189). Weichert, MR-Int 2007, 188 (189). 38 Artikel-29-Datenschutzgruppe, Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 15, http://ec.europa.eu/justice/policies/privacy/ docs/wpdocs/2008/wp148_de.pdf (15. 3. 2011). 39 Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 11, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). 40 Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 11, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). 41 Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 11, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). 37

118

D. Bundesdatenschutzgesetz und Telemediengesetz

adresse erneut veröffentlicht und von Crawlern erfasst wird und somit (wieder) über die Suchmaschine erreichbar ist.42 Trotz aller tatsächlichen Schwierigkeiten der Einhaltung des Datenschutzes durch Suchmaschinen ist die Frage der datenschutzrechtlichen Verantwortlichkeit einzig am durch das Datenschutzrecht in § 3 Abs. 7 BDSG i. V. m. Art. 2 lit. d DSRL vorgegebenen Maßstab zu beantworten. Mit der Subsumtion des einschlägigen Datenschutzrechts muss das letzte Wort in Sachen Verantwortlichkeit noch nicht gesprochen sein. Das deutsche Recht reagiert nämlich auf die faktischen Schwierigkeiten der Wahrnehmung rechtlicher Verantwortung durch Informationsvermittler im Internet durch allgemeine Regelungen zur Entbindung von der rechtlichen Verantwortlichkeit in den §§ 7 ff. TMG (dazu später43). Suchmaschinen erheben und verarbeiten personenbezogene Daten mit dem Ziel, einen Internet-Suchdienst anzubieten und dadurch Geld zu verdienen. Insofern kann man schwerlich eigene Interessen der Suchmaschinenbetreiber in Abrede stellen. Zwar ist es durchaus so, dass Suchmaschinen nicht gezielt speziell personenbezogene Daten erheben und verarbeiten,44 sondern vielmehr den Anspruch besitzen, alle Inhalte des WWW zu erfassen. Dieser Ansatz ist aber zugleich auch eine bewusste Entscheidung für das Erfassen sämtlicher personenbezogener Daten. Dem Herunterladen von personenbezogenen Webinhalten wird nicht dadurch der Charakter einer Datenerhebung genommen, dass zugleich auch sonstige Webseiteninhalte erfasst werden. Suchmaschinen erfassen gezielt (mit generellem Erhebungswillen45) die durch ihre Crawler aufgefundenen Webseiten und werten diese aus. Durch entsprechende Programmiervorgaben steuern Suchmaschinen den Einsatz der Crawler, z. B. ob die Crawler solche Seiten ignorieren sollen, die durch einen NoFollowVermerk in der Datei robots.txt kenntlich gemacht haben, dass eine Indexierung durch Suchmaschinen nicht erwünscht ist. Über die Art der Datenaufbereitung sowie die Dauer der Speicherung oder Aktualisierung der Daten, entscheiden ausschließlich die Suchmaschinenbetreiber.46 Auch legen Suchmaschinenbetreiber alleinverantwortlich fest, zu welchem Zweck sie Webseiten erfassen und katalogisieren. Dies spricht dafür, Suchmaschinen als verantwortliche Stelle zu qualifizieren. Da Suchmaschinen somit Daten erheben und dies zu eigenen Zwecken erfolgt, sind sie als verantwortliche Stelle anzusehen, sodass auch Suchmaschinen Adressat der datenschutzrechtlichen Vorschriften sind.47

42 Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 11, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). 43 Unten D. I. 3. 44 Außer spezielle, sog. Personensuchmaschinen. 45 Oben D. I. 1. a) bb) (1). 46 Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (293). 47 Ebenso Weichert, MR-Int 2007, 188 (189); ders., in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (293).

I. Konfliktfeld 1: Datenschutz des Suchobjekts

119

b) Räumlicher Anwendungsbereich Je nachdem, wo der Betreiber einer Suchmaschine seinen Sitz hat und Niederlassungen unterhält, bestimmt sich der Anwendungsbereich des BDSG auf unterschiedliche Weise. aa) Sitz in Deutschland Im Ausgangspunkt richtet sich die räumliche Geltung des BDSG nach dem Territorialprinzip.48 Das bedeutet, dass das BDSG Anwendung findet, wenn eine verantwortliche Stelle personenbezogene Daten in Deutschland erhebt, verarbeitet oder nutzt. Die Geltung des Territorialprinzips ergibt sich aus dem Zusammenspiel von § 1 Abs. 2 und Abs. 5 BDSG. Wenn der Suchmaschinenanbieter ausschließlich in Deutschland seinen Sitz hat, ist jedenfalls für sämtlichen Datenumgang, der innerhalb Deutschlands erfolgt, das BDSG anzuwenden. bb) Sitz außerhalb Deutschlands innerhalb des Europäischen Wirtschaftsraums Seit der Novellierung des BDSG im Jahr 2001 aus Anlass der Umsetzung der DSRL finden sich aufgrund zwingender Richtlinienvorgaben in § 1 Abs. 5 BDSG Regelungen zur Anwendbarkeit des BDSG beim Datenumgang von ausländischen verantwortlichen Stellen. Diese sind spezialgesetzliche Kollisionsnormen, die den Vorschriften zum Internationalen Privatrecht im zweiten Teil des ersten Kapitels des EGBGB vorgehen.49 Wenn die verantwortliche Stelle gleichzeitig ihren Sitz innerhalb des Europäischen Wirtschaftsraums (EWR) hat, ist gem. § 1 Abs. 5 S. 1, 1. Hs. BDSG allein der Sitz der verantwortlichen Stelle maßgeblich (Sitzlandprinzip). Der Anknüpfungspunkt für die räumliche Geltung des BDSG ist in dieser Konstellation also nicht mehr der Ort des Datenumgangs, sondern der Sitz der für den Datenumgang verantwortlichen Stelle. Diese Regelung soll der Wirtschaft den grenzüberschreitenden Geschäftsverkehr erleichtern,50 indem diese nicht mit unterschiedlichen Datenschutzgesetzen konfrontiert wird, sondern sich auf die Beachtung ihres „Heimatrechts“ beschränken kann.51 Eine ausländische verantwortliche Stelle kann sich jedoch nicht auf die Anwendung ihres Sitzlandrechts berufen, wenn sie in Deutschland über eine Niederlassung verfügt und die Datenverarbeitung im Rahmen der Tätigkeit der Niederlassung erfolgt. Dann ist nach § 1 Abs. 5 S. 1, 2. Hs. BDSG das BDSG anzuwenden (es sei denn, 48 RegE zur Änderung des BDSG u. anderer Gesetze v. 13. 10. 2000, BT-Drs. 14/4329, S. 31 f. 49 Dammann, in: Simitis, BDSG, § 1 Rn. 216. 50 ErwGr. 1, 7, 8 der DSRL. 51 BT-Drs. 14/4329, S. 31.

120

D. Bundesdatenschutzgesetz und Telemediengesetz

die Niederlassung ist an dem von der Hauptniederlassung ausgehenden Datenumgang nicht oder nur als Auftragsdatenverarbeiter beteiligt,52 mithin nicht selbst verantwortliche Stelle). cc) Sitz außerhalb des EWR Da die größten Suchmaschinenanbieter in den USA ansässig sind,53 ist die Frage der Anwendbarkeit des BDSG für Stellen mit Sitz außerhalb des EWR von besonderer Bedeutung. § 1 Abs. 5 S. 2 BDSG erklärt das BDSG für anwendbar, wenn die außerhalb des EWR belegene Stelle personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt. (1) Niederlassung in Deutschland Ein Datenumgang innerhalb Deutschlands ist jedenfalls dann gegeben, wenn der Datenumgang durch eine deutsche Niederlassung der außereuropäischen Stelle erfolgte.54 Nach der DSRL setzt eine Niederlassung „die effektive und tatsächliche Ausübung einer Tätigkeit mittels einer festen Einrichtung voraus“55. Auf die Rechtsform der Niederlassung kommt es nicht an.56 Ausweislich des Gesetzentwurfs der Bundesregierung zur Novellierung des BDSG 2001 kann auf die Definition der Niederlassung in § 42 Abs. 2 GewO zurückgegriffen werden, wonach von einer Niederlassung gesprochen werden kann, wenn der Gewerbetreibende „einen zum dauernden Gebrauch eingerichteten, ständig oder in regelmäßiger Wiederkehr von ihm benutzten Raum für den Betrieb seines Gewerbes besitzt“57. Die Art. 29-Datenschutzgruppe betont, dass die Niederlassung an der konkreten Verarbeitung personenbezogener Daten tatsächlich in bedeutender Funktion beteiligt sein muss.58 Eine Beteiligung an Datenverarbeitungen in bedeutender Funktion sei bei einer Niederlassung einer Suchmaschine anzunehmen, wenn die Niederlassung für die Pflege der Beziehungen zu den Benutzern in einem bestimmten gerichtlichen Zuständigkeitsbereich verantwortlich ist oder am Verkauf zielgruppenspezifischer Werbung beteiligt ist oder in Bezug auf Benutzerdaten behördlichem Ersuchen oder richterlichen Anordnungen eines Mitgliedstaats zur Strafverfolgung nachkommt.59 52

Dammann, in: Simitis, BDSG, § 1 Rn. 202. Weichert, MR-Int 2007, 188 (188). 54 Dies ergibt sich auch aus Art. 4 Abs. 1 lit. a DSRL, der das Niederlassungsprinzip gleichermaßen für inner- u. außerhalb des EWR belegene Stellen normiert. 55 ErwGr. 19 der DSRL. 56 ErwGr. 19 der DSRL. 57 BT-Drs. 14/4329, S. 31. 58 Artikel-29-Datenschutzgruppe, Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 11, http://ec.europa.eu/justice/policies/privacy/ docs/wpdocs/2008/wp148_de.pdf (15. 3. 2011). 59 Artikel-29-Datenschutzgruppe, Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 11, http://ec.europa.eu/justice/policies/privacy/ docs/wpdocs/2008/wp148_de.pdf (15. 3. 2011). 53

I. Konfliktfeld 1: Datenschutz des Suchobjekts

121

Diese Fallgruppenbildung findet allerdings keinen Anknüpfungspunkt in Art. 4 Abs. 1 lit. a DSRL.60 Art. 4 Abs. 1 lit. a DSRL stellt auf konkrete Datenverarbeitungsvorgänge ab; die oben beschriebenen Tätigkeiten stehen aber in keinem unmittelbaren Zusammenhang zur eigentlichen Websuche und deren Funktionsweise. Daher können diese Tätigkeiten auch nicht Indiz dafür sein, dass eine Niederlassung in bedeutender Weise an Datenverarbeitungen, die zur Ermöglichung des eigentlichen Suchangebots erfolgen, beteiligt ist.61 Bei einer mit dem Wortlaut des Art. 4 Abs. 1 lit. a DSRL zu vereinbarenden Auslegung kann man für Datenschutzverstöße innerhalb der Trefferlisten nur zu einer Anwendung des BDSG gelangen, wenn die deutsche Niederlassung imstande ist, Einfluss auf den Suchalgorithmus zu nehmen, z. B. eigenverantwortlich Webseiten aus den Trefferlisten entfernen kann. Soweit ersichtlich, betreuen die deutschen Niederlassungen großer amerikanischer Suchmaschinen vor allem lokale Direktmarketingkunden oder bieten nur untergeordnete Beratungs- und Informationsdienste an.62 Diese Tätigkeiten verleihen den Niederlassungen keine bedeutende Funktion in den hier relevanten Datenverarbeitungsprozessen. Weiterhin betreiben deutsche Niederlassungen möglicherweise Rechenzentren innerhalb der Bundesrepublik Deutschland. Diese Rechenzentren beinhalten tausende zusammengeschlossener Computer, sog. „Serverfarmen“, über die Suchanfragen bearbeitet werden.63 Eine dezentrale Verteilung der Rechenzentren verkürzt aufgrund kürzerer Datenübertragungsstrecken die Antwortzeiten und ermöglicht eine gleichmäßige Auslastung der eigenen Rechnerkapazitäten.64 Suchanfragen werden i. d. R. automatisch durch den Server beantwortet, der in dem konkreten Moment die entsprechenden Daten am schnellsten liefert. Dies können bei mehreren Suchanfragen des gleichen Nutzers jedes Mal Server unterschiedlicher Rechenzentren sein. Möglich ist, dass eine Suchanfrage über ein in Deutschland gelegenes Rechenzentrum bearbeitet wird. Wenn eine deutsche Niederlassung einer ausländischen Suchmaschine entsprechende Rechenzentren betreibt, führt jedoch auch diese Tätigkeit nicht zu einer Beteiligung der Niederlassung an der Datenverarbeitung in bedeutender 60

Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 8 f., http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011); dem folgend Ott, MMR 2009, 158 (160). 61 Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 8 f., http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011); Ott, MMR 2009, 158 (160). Auch Dammann, in: Simitis, BDSG, § 1 Rn. 203 betont, dass eine noch so intensive u. zielgerichtete Direktwerbung am Zielort bei einer bestimmten, genau lokalisierten Zielgruppe keine Niederlassung am Zielort begründet. 62 Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 8, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). 63 Schätzungen bereits aus 2005 über die Gesamtzahl der von Google eingesetzten Server schwanken zwischen 60.000 u. über 100.000, Auf dem Hövel, Google setzt auf Billigware, http://www.joergo.de/google.html (15. 3. 2011). 64 Auf dem Hövel, Google setzt auf Billigware, http://www.joergo.de/google.html (15. 3. 2011).

122

D. Bundesdatenschutzgesetz und Telemediengesetz

Funktion, denn insofern beschränkt sich die Tätigkeit der Niederlassung i. d. R. auf die Wartung und Instandhaltung der Hardware, ohne Einflussmöglichkeit auf die ablaufenden Datenverarbeitungsvorgänge.65 Nach dem Gesagten dürfte sich für die meisten ausländischen Suchmaschinen, allein aus der Tatsache, dass sie Niederlassungen hierzulande betreiben, keine Geltung des BDSG ergeben. (2) Rückgriff auf Mittel in Deutschland Jedenfalls ist der Geltungsbereich des BDSG eröffnet, wenn eine Suchmaschine Daten im Inland erhebt, verarbeitet oder nutzt. Mit § 5 Abs. 5 S. 2 BDSG hat der deutsche Gesetzgeber die Vorgaben der DSRL nur ungenau umgesetzt. Art. 4 Abs. 1 lit. c DSRL erklärt das einzelstaatliche Recht für im Ausland belegene Stellen nur unter der weitergehenden Voraussetzung für anwendbar, dass die verantwortliche Stelle zum Zweck der Verarbeitung auf Mittel im Mitgliedstaat zurückgreift. Insofern ist § 1 Abs. 5 S. 2 BDSG richtlinienkonform einschränkend auszulegen.66 Ein Rückgriff auf inländische technische Mittel i. S. d. Art. 4 Abs. 1 lit. c DSRL kann dabei nur dann bejaht werden, wenn die technischen Mittel durch die ausländische Stelle gesteuert werden können, also einem nicht unerheblichen Einfluss der ausländischen Stelle unterliegen.67 Die Art. 29-Datenschutzgruppe empfiehlt eine behutsame Anwendung der Umsetzungsvorschriften zu Art. 4 Abs. 1 lit. c DSRL; Betroffene sollen den Schutz nationaler Datenschutzgesetze genießen, „wo dies nötig ist, wo es sinnvoll ist und wo unter Berücksichtigung der grenzüberschreitenden Situation ein angemessenes Maß an Durchsetzbarkeit gewährleistet ist“68. Nicht ausreichend ist es daher, dass eine Internetseite eines in einem Drittland ansässigen Betreibers aufgerufen wird.69 Gewisse Verkehrsdaten werden bei einem Seitenaufruf zwar immer technisch bedingt an den ausländischen Anbieter übertragen, doch werden diese Datenübertragungen nutzerseitig initiiert, ohne dass der Anbieter den durch technische Protokolle festgelegten Umfang der an ihn übermittelten Daten steuern kann.70 Fremde Rechner sind jedoch dann Mittel zur Datenerfassung, wenn 65 Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 8, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). 66 Dammann, in: Simitis, BDSG, § 1 Rn. 217 ff. 67 Duhr/Naujok/Peter u. a., DuD 2002, 5 (7). 68 Artikel-29-Datenschutzgruppe, Arbeitspapier über die Frage der internationalen Anwendbarkeit des EU-Datenschutzrechts bei der Verarbeitung personenbezogener Daten im Internet durch Websites außerhalb der EU, WP 56, S. 10, http://ec.europa.eu/justice/policies/ privacy/docs/wpdocs/2002/wp56_de.pdf (15. 3. 2011). 69 Artikel-29-Datenschutzgruppe, Arbeitspapier über die Frage der internationalen Anwendbarkeit des EU-Datenschutzrechts bei der Verarbeitung personenbezogener Daten im Internet durch Websites außerhalb der EU, WP 56, S. 10, http://ec.europa.eu/justice/policies/ privacy/docs/wpdocs/2002/wp56_de.pdf (15. 3. 2011); ebenso Duhr/Naujok/Peter u. a., DuD 2002, 5 (7). 70 Duhr/Naujok/Peter u. a., DuD 2002, 5 (7).

I. Konfliktfeld 1: Datenschutz des Suchobjekts

123

der Datenverarbeiter sich spezieller Softwareinstrumente zur Erlangung von Daten von den fremden Rechnern bedient.71 Datenquelle der Suchmaschinen sind sämtliche an das Internet angeschlossene Webserver. Im Fall der Erfassung der Webinhalte durch Suchmaschinen bedienen sich Suchmaschinen eines bestimmten Softwaretools, den Crawlern. Diese erfassen entsprechend den Programmiervorgaben Webinhalte von auch auf deutschen Servern bereitgehaltener Webseiten. Auf diese Weise übt der Suchmaschinenbetreiber einen hinreichenden steuernden Einfluss über den Zugriff auf inländische Server aus. Dies führt dazu, in dieser Konstellation die fremden Rechner als Mittel i. S. d. Art. 4 Abs. 1 lit. c DSRL anzusehen. Die weiteren Datenverarbeitungsschritte des Speicherns, Bearbeitens und Übermittelns unterliegen insofern den deutschen Datenschutzbestimmungen, als diese über in Deutschland gelegene Rechenzentren (potentiell) ablaufen. Diese sind ebenfalls Mittel i. S. d. Art. 4 Abs. 1 lit. c DSRL.72 Mithin führt der Betrieb von Rechenzentren in Deutschland zur Anwendung deutschen Datenschutzrechts.73 Schließlich erfolgt eine dem deutschen Datenschutzrecht unterfallende Übermittlung von Daten, wenn eine Suchmaschine eine Trefferliste auf eine aus Deutschland kommende Suchanfrage hin übermittelt und die Suchmaschine erkennbar mit ihrer Dienstleistung den deutschen Markt bedienen will.74 Ansatzpunkt ist, dass der Suchmaschinenbetreiber über das Ob und den Inhalt der Datenübermittlung entscheidet.75 Für die Beantwortung der Frage, ob eine Suchmaschine einen bestimmten Markt bedienen will, ist es nicht sachgerecht, allein auf den Standort eines Nutzers abzustellen. Webangebote sind generell weltweit abrufbar. Es ist einem Suchmaschinenbetreiber unzumutbar, bei jedem Webangebot automatisch sämtlichen nationalstaatlichen Rechtsordnungen der Erde unterworfen zu sein. Es gilt zu berücksichtigen, dass der Seitenbetreiber gar nicht weiß, wer seine Seite nutzen wird und insofern es dem Betreiber an einem konkreten Übermittlungswillen in ein bestimmtes Land fehlen kann.76 Der Wille, gerade in einem bestimmten Zielland Daten zu verarbeiten, kann daher nur dann unterstellt werden, wenn sich das Internetangebot

71 Artikel-29-Datenschutzgruppe, Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 12, http://ec.europa.eu/justice/policies/privacy/ docs/wpdocs/2008/wp148_de.pdf (15. 3. 2011). 72 Duhr/Naujok/Peter u. a., DuD 2002, 5 (7); Artikel-29-Datenschutzgruppe, Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 12, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2008/wp148_de.pdf (15. 3. 2011), dies anerkennend Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 9, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). 73 Voigt, MMR 2009, 377 (378). 74 Ott, MMR 2009, 158 (160). 75 Ott, MMR 2009, 158 (160). 76 Ott, MMR 2009, 158 (160).

124

D. Bundesdatenschutzgesetz und Telemediengesetz

erkennbar an Nutzer eines bestimmten Landes richtet.77 Indizien sind das Auftreten unter der entsprechenden Länderkennung, die Sprache der Webseiteninhalte oder das Vorhandensein einer Vertretung des Betreibers in dem Land.78 Diese Umstände begründen eine sachliche Nähe zu einem Land, die es rechtfertigt, bei Datenübermittlungen in dieses Land den Zielrechner als ein Mittel der Datenverarbeitung zu werten.79 Soweit diese Kriterien bei einer Suchmaschine erfüllt sind, ist deutsches Datenschutzrecht anwendbar. Da sämtliche großen Suchmaschinenbetreiber jedenfalls auch unter deutscher Länderkennung auftreten und deutschsprachige Suchseiten betreiben, unterliegen diese dem Anwendungsbereich deutschen Datenschutzrechts. c) Ergebnis zu 1. Wenn in den Suchtreffern personenbezogene Daten erscheinen, haben Suchmaschinenbetreiber datenschutzrechtlich relevante Handlungen als verantwortliche Stelle vorgenommen. Die Rechtmäßigkeit des Datenumgangs bestimmt sich nach dem BDSG, wenn die Suchmaschine ihren Sitz oder eine Niederlassung in Deutschland hat, außerdem wenn die Suchmaschine für die Datenverarbeitung sich in Deutschland belegener Mittel bedient. Letzteres ist der Fall, wenn eine Suchmaschine mittels Crawler personenbezogene Daten von in Deutschland belegenen Servern erhebt, ferner, wenn eine Suchmaschine Rechenzentren in Deutschland betreibt und schließlich soweit eine Suchmaschine mit ihrer Dienstleistung erkennbar auf den deutschen Markt zielt und gerade an deutsche Nutzer Suchergebnisse übermitteln will. Nach diesen Kriterien unterliegen sämtliche namhaften Suchmaschinenanbieter den Vorschriften des BDSG.

2. Zulässigkeit der Datenverarbeitung Die Datenverarbeitungen sind unproblematisch zulässig, wenn sie von einer Einwilligung des Betroffenen gedeckt sind; anderenfalls, wenn ein gesetzlicher Erlaubnistatbestand den Datenumgang rechtfertigt, § 4 Abs. 1 BDSG.

77 Duhr/Naujok/Peter u. a., DuD 2002, 5 (7); Weichert, MR-Int 2007, 188 (188 f.); Ott, MMR 2009, 158 (160); Jotzo, MMR 2009, 232 (236); Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (291). 78 Weichert, MR-Int 2007, 188 (188 f.); Ott, MMR 2009, 158 (160); Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (291). 79 Ähnliche Wertungen erfolgen im Verbraucherschutzrecht im Hinblick auf die Nichtigkeit einer Rechtswahl eines Nicht-EWR-Staates im Rahmen von Vertragsverhältnissen; dazu Jotzo, MMR 2009, 232 (236 f.).

I. Konfliktfeld 1: Datenschutz des Suchobjekts

125

a) Einwilligung, § 4 Abs. 1, 4 a BDSG Wenn jemand Informationen über sich ins Netz stellt und das Webdokument nicht als für Suchmaschinen nicht zu indexierendes Dokument kennzeichnet, gibt er sein Einverständnis in die Erfassung, Indexierung und Übermittlung an Dritte der entsprechenden Daten durch Suchmaschinen zu erkennen.80 Dieses Verhalten ist als Einwilligung i. S. d. §§ 4 Abs. 1, 4 a BDSG zu werten.81 Nach dem in § 4 Abs. 1 BDSG erkennbaren gesetzgeberischen Willen ist die Einwilligung neben der gesetzlichen Erlaubnis als gleichwertige Legitimationsbasis für die Zulässigkeit der Verarbeitung personenbezogener Daten anzusehen.82 Allgemein setzt die Wirksamkeit der datenschutzrechtlichen Einwilligung nach dem Rechtsgedanken des § 183 BGB voraus, dass sie vor der durch sie legitimierten Datenverarbeitung einzuholen ist.83 Wirksam ist die Einwilligung nach § 4 a Abs. 1 S. 1 BDSG ferner nur dann, wenn sie auf der freien Entscheidung des Betroffenen beruht. Die Norm verbietet daher z. B. den Erhalt einer Leistung von der Einwilligung des Betroffenen abhängig zu machen, wenn der Zugang zu vergleichbaren Leistungen nicht oder nicht in zumutbarer Weise möglich ist (Koppelungsverbot) oder das Unterschieben einer Einwilligungserklärung (Übertölpelung).84 In Arbeitsverhältnissen schließt die Androhung eines nicht zwingend gebotenen Nachteils eine freie Entscheidung aus.85 § 4 a Abs. 1 S. 2 BDSG statuiert ferner die Pflicht, auf den Verarbeitungsumfang, den Verarbeitungszweck sowie die Folgen einer Verweigerung der Einwilligung hinzuweisen, um eine informierte Einwilligung zu ermöglichen. Schließlich bedürfen datenschutzrechtliche Einwilligungen nach dem gesetzlichen Leitbild des § 4 a Abs. 1 S. 3 BDSG der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Wirksamkeitsmängel der Einwilligung in eine Online-Veröffentlichung entziehen auch der Datenverarbeitung durch Suchmaschinen die Einwilligung als Legitimationsgrundlage. Die Existenz von Suchmaschinen, deren Funktionsweise und die Konsequenzen einer Veröffentlichung im WWW können unter Internetnutzern als bekannt vorausgesetzt werden.86 Wer sich daher im (auch für Suchmaschinen) frei zugänglichen Internet auf sich bezogener Daten entäußert, gibt dadurch konkludent seine Einwilligung i. S. d. § 4 Abs. 1, 4 a BDSG in die Erfassung und Verarbeitung der Daten durch Suchmaschinen.87 Gleiches gilt für die Einwilligung, die eine Person in die 80

Vgl. oben Teil C. Fn. 158 u. 162. Weichert, MR-Int 2007, 188 (189); ders., in: Lewandowski (Hrsg.), Handbuch InternetSuchmaschinen, S. 285 (292). 82 Holznagel/Sonntag, in: Roßnagel (Hrsg.), HbDSR, Kap. 4.8 Rn. 16. 83 Petri, RDV 2007, 153 (155); Däubler, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 4 a Rn. 4. 84 Petri, RDV 2007, 153 (156). 85 Däubler, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 4 a Rn. 27. 86 Oben C. II. 1. c). 87 Oben Teil D. Fn. 81. 81

126

D. Bundesdatenschutzgesetz und Telemediengesetz

Veröffentlichung von Daten im Internet durch Dritte gibt. Will der Betroffene seine Einwilligung inhaltlich darauf beschränken, dass seine personenbezogenen Daten auf einer Internetseite veröffentlicht werden, die Seite aber nicht über Suchmaschinen erreichbar sein soll, so muss er dies in seiner Einwilligungserklärung klarstellen. Der Regelfall ist die Erreichbarkeit von Internetseiten auch über Suchmaschinen. Ist gerade dies nicht gewollt, muss ein der Erfassung von Suchmaschinen entgegenstehender Wille erkennbar werden. Eine derart beschränkte Einwilligung bietet eine interessengerechte Lösung, etwa wenn Außendienstmitarbeiter Vorbehalte gegen eine Veröffentlichung personenbezogener Daten auf der Firmenhomepage haben. Die arbeitgeberseitige Einholung der datenschutzrechtlichen Einwilligung unter Androhung der Versetzung in den Innendienst beschneidet die Freiwilligkeit der Einwilligungsentscheidung nicht in unzulässiger Weise, weil ein zwingendes betriebliches Bedürfnis für die Veröffentlichung der Kontaktinformationen von Außendienstmitarbeitern anzuerkennen ist.88 Im Rahmen der verhältnismäßigen Befriedigung des betrieblichen Bedürfnisses an einer Veröffentlichung verbleiben dem Arbeitnehmer allerdings weiterhin Handlungsoptionen.89 Er könnte daher seine datenschutzrechtliche Einwilligung unter dem Vorbehalt erteilen, dass seine Daten auf einer Unterseite des Webauftritts der Firma veröffentlicht werden und diese Unterseite als für Suchmaschinen gesperrt markiert wird. Wenn nur die Unterseite der Firmenhomepage mit den Mitarbeiterprofilen von einer Erfassung durch Suchmaschinen ausgeschlossen ist, können Firmenkunden immer noch die Startseite der Firmenhomepage über eine Suchmaschine finden und über das Menü auf der Startseite sich zu der entsprechenden Unterseite „durchklicken“. Eine gezielte Personenrecherche zu einem der Mitarbeiter lieferte hingegen aufgrund der Sperrung der Unterseite keinen Hinweis auf dessen Anstellung bei der Firma. b) Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung, § 29 Abs. 1 S. 1 Nr. 2, Abs. 2 BDSG Als den Datenumgang nach § 4 Abs. 1 BDSG rechtfertigender Erlaubnistatbestand kommt vorliegend § 29 BDSG in Betracht. Diese Norm ist anwendbar für den geschäftsmäßigen Datenumgang zum Zweck der Übermittlung. Prägendes Merkmal der Anwendungsfälle des § 29 BDSG ist, dass die übertragenen personenbezogenen Daten als Geschäftsgegenstand fungieren, die personenbezogenen Daten also als „Ware“ vermarktet werden, die einen Marktpreis besitzt.90 § 29 BDSG differenziert zwischen der Erlaubnis für die Erlangung und Aufbereitung der Daten (Abs. 1) und der anschließenden Übermittlung (Abs. 2). Außerdem existieren Sonderregeln für die 88

Däubler, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 4 a Rn. 27. Däubler, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 4 a Rn. 27. 90 Ehmann, in: Simitis, BDSG, § 29 Rn. 1; Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 29 Rn. 1. 89

I. Konfliktfeld 1: Datenschutz des Suchobjekts

127

Veröffentlichung in Verzeichnissen (Abs. 3) und für den Datenumgang durch den Empfänger (Abs. 4). Für die Datenverarbeitungsschritte des Erhebens, Speicherns, Veränderns und Nutzens ist die Anwendung des Erlaubnistatbestands nach § 29 Abs. 1 S. 1 Nr. 2 BDSG nahe liegend, der den Datenumgang rechtfertigt, wenn die Daten aus allgemein zugänglichen Quellen herrühren,91 denn die von Suchmaschinen indexierten Webseiten sind ohne Überwindung von besonderen Zugangsschranken erreichbar und damit allgemein zugänglich.92 Der Tatbestand setzt voraus, dass schutzwürdige Interessen des Betroffenen nicht offensichtlich überwiegen. Die Prüfung des Vorliegens dieser Bedingung obliegt der verantwortlichen Stelle. So ist für die Feststellung des nicht offensichtlichen Überwiegens schutzwürdiger Betroffeneninteressen eine Abwägung gefordert, die Suchmaschinen nicht leisten und in Anbetracht der massenhaften Datenverarbeitungen auch nicht leisten können.93 Die Übermittlung der personenbezogenen Daten an die Suchmaschinennutzer ist nach § 29 Abs. 2 S. 1 BDSG nur zulässig, wenn der Empfänger (Nutzer) ein berechtigtes Interesse an der Übermittlung glaubhaft dargelegt hat (Nr. 1) und kein schutzwürdiges Interesse des Betroffenen am Ausschluss der Übermittlung ersichtlich ist (Nr. 2). Zu der Verbreitung von Lehrerbewertungen durch Schüler über die Online-Bewertungsplattform spickmich.de hat der Bundesgerichtshof zu § 29 Abs. 2 S. 1 Nr. 1 BDSG ausgeführt, dass die Norm in der streitgegenständlichen Fallkonstellation verfassungskonform in dem Sinne einschränkend auszulegen sei, dass es auf das Erfordernis der Darlegung eines berechtigten Interesses des Empfängers an der Übermittlung der personenbezogenen Daten für die Rechtmäßigkeit einer Datenabfrage nicht ankommen dürfe.94 Der Gesetzgeber habe bei der Fassung der Vorschrift im Jahr 1991 den Informationsaustausch mittels Online-Portalen noch nicht im Blick haben können; eine wortlautgetreue Anwendung setze sich in Widerspruch zu dem „sich aus Art. 5 Abs. 1 GG ergebenden Recht auf uneingeschränkte Kommunikationsfreiheit“ und sei auch mit dem „Recht des Internetnutzers auf Anonymität“ unvereinbar.95 Stattdessen habe eine Gesamtabwägung zwischen dem Persönlichkeitsrecht des Betroffenen und dem Informationsinteresse des Empfängers zu erfolgen.96 Der Bundesgerichtshof hat zutreffend erkannt, dass die Durchsetzung der gesetzlichen Forderung der Darlegung und Protokollierung eines berechtigten Interesses des Abrufenden das Internet in seiner Funktionsfähigkeit lahm legen 91

OLG Hamburg, K&R 2010, 63 (65). Hoeren, in: Roßnagel (Hrsg.), HbDSR, Kap. 4.6 Rn. 35; Ehmann, in: Simitis, BDSG, § 29 Rn. 198. 93 Weichert, MR-Int 2007, 188 (189); ders., Handbuch Internet-Suchmaschinen, S. 285 (293). 94 BGHZ 181, 328 (343 Tz. 42); die anschließende Verfassungsbeschwerde wurde ohne Begründung nicht zur Entscheidung angenommen, Beschl. v. 16. 08. 2010, 1 BvR 1750/09. 95 BGHZ 181, 328 (343 Tz. 42); gleiches gilt für die Aufzeichnungspflicht der berechtigten Gründe nach § 29 Abs. 2 S. 4 BDSG. 96 BGHZ 181, 328 (344 Tz. 43). 92

128

D. Bundesdatenschutzgesetz und Telemediengesetz

würde. Ein wesentliches Element des Erfolgsrezepts des WWW ist die schnelle und einfache Möglichkeit des Abrufs und des Zugänglichmachens von Informationen. Durch die unkomplizierte Möglichkeit der Verbreitung von Informationen leistet das Internet einen erheblichen Beitrag zur Verwirklichung der Meinungs- und Informationsfreiheit. Vor dem Hintergrund der besonderen Bedeutung der Meinungs- und Informationsfreiheit ist die verfassungskonforme Einschränkung des § 29 Abs. 2 BDSG bei Internetabrufen sachgerecht. Der Verzicht auf die Darlegung und Protokollierung eines berechtigten Abrufinteresses entbindet jedoch nicht insofern von einer Interessenabwägung, als nach Nr. 2 Gründe abgewogen werden müssen, die für die Annahme eines berechtigten Interesses des Betroffenen an dem Ausschluss der Übermittlung sprechen.97 Idealerweise hat eine umfassende Abwägung in jedem Einzelfall zu erfolgen.98 Im Interesse der Praktikabilität der Normanwendung wird Datenverarbeitern, die geschäftsmäßig massenweise Datenverarbeitungen vornehmen, zugestanden, sich auf eine pauschale Abwägung unter Betrachtung der typischerweise auftretenden Interessenkonstellationen zu beschränken und nur eine Einzelfallprüfung bei offensichtlicher besonderer Schutzwürdigkeit bzw. in Konfliktfällen vorzunehmen.99 Die Interessen des Betroffenen überwiegen z. B. das Interesse an der Datenerhebung, wenn das personenbezogene Datum rechtswidrigerweise im Internet veröffentlicht wurde.100 Aber auch eine Einzelfallprüfung des atypischen Falles erfolgt, soweit ersichtlich, nicht durch die großen Suchmaschinenbetreiber.101 Es ist auch fraglich, ob und wie eine solche Prüfung beim Erheben, Speichern, Verändern und Nutzen technisch bewerkstelligt werden könnte;102 eine Einzelfallprüfung bei der Übermittlung der Daten ist schlechterdings unmöglich.103 Jedenfalls scheint das maßgebliche Kriterium für das Ergebnisranking ausschließlich das Interesse des Nutzers zu sein.104 Datenschutzbelange finden keine Berücksichtigung. Trotz aller tatsächlichen Schwierigkeiten der Einhaltung des Datenschutzes kann die Konsequenz nur

97 Insofern zu weitgehend Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 29 Rn. 45, der den gesamten Abs. 2 für unanwendbar erklärt. 98 Ehmann, in: Simitis, BDSG, § 29 Rn. 226. 99 Ehmann, in: Simitis, BDSG, § 29 Rn. 226; Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 29 Rn. 13; auch BGH, ZUM 2009, 753 (756 ff.). 100 Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 29 Rn. 46. 101 Weichert, MR-Int 2007, 188 (189); ders., Handbuch Internet-Suchmaschinen, S. 285 (293). 102 Weichert, MR-Int 2007, 188 (189); ders., in: Lewandowski (Hrsg.), Handbuch InternetSuchmaschinen, S. 285 (293) äußert ferner Zweifel an den Möglichkeiten der technischen Umsetzung der Erkennung von besonderen personenbezogenen Daten i. S. d. § 3 Abs. 9 BDSG durch Suchmaschinen. 103 Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 29 Rn. 2. 104 Weichert, MR-Int 2007, 188 (189); ders., in: Lewandowski (Hrsg.), Handbuch InternetSuchmaschinen, S. 285 (293).

I. Konfliktfeld 1: Datenschutz des Suchobjekts

129

sein, dass die Verarbeitung personenbezogener Daten im Rahmen eines Suchdienstangebots nicht nach § 29 BDSG zulässig ist.105 c) Übermittlung ins Ausland, § 4 b Abs. 2 S. 1, 2 BDSG, und automatisierter Datenabruf, § 10 BDSG Genau genommen führt jedes Anfordern von Suchergebnissen eines Nutzers aus einem Land mit nicht angemessenem Datenschutzniveau i. S. d. § 4 b Abs. 3 BDSG nach § 4 b Abs. 2 S. 2 BDSG zu einem überwiegenden Interesse des Betroffenen am Ausbleiben der Datenübermittlung und somit (auch aus diesem Grund) zur Unzulässigkeit der Datenübermittlung gem. § 4 b Abs. 2 S. 1, 2 BDSG.106 Aufgrund der faktisch weltweiten Erreichbarkeit jeder Webseite würde ein derartiges Verständnis des § 4 b Abs. 2 S. 1 BDSG zu einem allgemeinen Verbot der Veröffentlichung von personenbezogenen Daten im Internet führen, schließlich kann bei einer weltweiten Erreichbarkeit nicht ausgeschlossen werden, dass ein in einem Drittland mit nicht angemessenem Datenschutzniveau Ansässiger einen Seitenaufruf vornimmt.107 Der Europäische Gerichtshof stellte in der Rechtssache Lindqvist bereits zutreffend fest, dass der europäische Gesetzgeber diese Konsequenz nicht gewollt haben kann, als er Art. 25 DSRL, auf den § 4 b BDSG beruht, konzipierte, angesichts des Entwicklungsstands des Internet im Erlasszeitpunkt der Richtlinie.108 Daher kann nach Ansicht des Gerichts das Zugänglichmachen von Inhalten im Internet nicht als Übermittlung in einen Drittstaat i. S. d. Art. 25 DSRL verstanden werden.109 Dieses Ergebnis lässt sich auch mit einer verfassungskonformen, einschränkenden Auslegung des § 4 b Abs. 2 BDSG im Lichte des Art. 5 Abs. 1 GG unter Verweis auf das Spickmich-Urteil des Bundesgerichtshofs begründen.110 Die weltweite Nutzbarkeit einer Suchmaschinenseite konfligiert daher jedenfalls nicht auch mit § 4 b Abs. 2 BDSG. Ebenfalls keine rechtlichen Schwierigkeiten ergeben sich aus den Vorgaben von § 10 BDSG. Diese Norm unterwirft automatisierte Verfahren zum Abruf personenbezogener Daten besonderen Zulässigkeitsvoraussetzungen. Begegnet wird den besonderen Gefahren für das informationelle Selbstbestimmungsrecht durch die Einrichtung von Online-Abrufmöglichkeiten.111 Suchmaschinendienste sind auch Abrufverfahren in diesem Sinne, sie übermitteln allerdings nur ohnehin im Internet

105 A. A. OLG Hamburg, K&R 2010, 63 (65), das i. R. d. § 29 BDSG eine allgemeine Interessenabwägung vornimmt u. kein proaktives Handeln fordert. 106 So Weichert, DuD 2009, 7 (8). 107 EuGH, Slg. 2003, I-12971 Tz. 69. 108 EuGH, Slg. 2003, I-12971 Tz. 68. 109 EuGH, Slg. 2003, I-12971 Tz. 71. 110 BGHZ 181, 328 (343 Tz. 42). 111 Gola/Schomerus, BDSG, § 10 Rn. 1.

130

D. Bundesdatenschutzgesetz und Telemediengesetz

allgemein zugängliche Daten und haben daher die besonderen Vorgaben gem. § 10 Abs. 5 BDSG nicht zu beachten. d) Ergebnis zu 2. Nach dem bisher Gesagten bleibt als Zwischenfazit festzuhalten, dass die Verarbeitung personenbezogener Daten in den Suchinhalten nicht im Einklang mit § 29 Abs. 1 S. 1 Nr. 2, Abs. 2 BDSG steht.

3. Verantwortlichkeitsfreistellung nach den §§ 7 ff. TMG Gleichwohl könnten Suchmaschinenbetreiber für Datenschutzverstöße durch ihre Suchdienste nach geltender Rechtslage von der Verantwortlichkeit aufgrund des Eingreifens einer Verantwortlichkeitsfreistellungsnorm aus den §§ 7 ff. TMG frei gestellt sein.112 Mit der Schaffung der §§ 7 ff. TMG bzw. deren Vorläuferregelungen113 verfolgte der Gesetzgeber den Zweck, bestimmte Tatbestände einer rechtlichen Verantwortung zu entbinden,114 unabhängig davon, ob sich die Verantwortlichkeit aus zivil-, straf- oder öffentlich-rechtlichen Normen ergibt.115 Der Europäische Gerichtshof hat in einer Vorabentscheidung jüngeren Datums die Anwendbarkeit der Haftungsprivilegierung für Host-Provider nach Art. 14 E-Commerce-Richtlinie (ECRL)116 auf Suchmaschinen bejaht, soweit es um die Haftung Googles für Werbeanzeigen in den Suchergebnissen von Teilnehmern des Google Adwords-Programms geht.117 Unter Verweis auf jene Vorabentscheidung äußerte der Bundesgerichtshof in einem obiter dictum die Möglichkeit der Anwendung selbiger Norm auf Suchmaschinen bei der Haftung für urheberrechtswidrige Inhalte in den 112 Die datenschutzrechtlichen Vorgaben begründen eine verwaltungsrechtliche Verantwortlichkeit der datenverarbeitenden Stelle. Der dem Zivilrecht zuzuordnende Rechtsbegriff der „Haftung“ wird im Folgenden daher nur verwendet, wenn ein Zivilrechtsverhältnis in Rede steht oder rechtsgebietsübergreifend Inhalt und Umfang der §§ 7 ff. TMG untersucht werden. Soweit es um die Beachtung von datenschutzrechtlichen Verarbeitungsbeschränkungen geht, wird der Begriff der „Verantwortlichkeit“ verwendet. 113 § 5 Teledienstegesetz v. 22. 7. 1997 (BGBl. I S. 1870; kurz: TDG 1997); §§ 8 ff. Teledienstegesetz v. 14. 12. 2001 (BGBl. I S. 3721; kurz: TDG 2001) sowie §§ 8 ff. Staatsvertrag über Mediendienste v. 20.1. bis 7. 2. 1997 (GBl. BW S. 181). 114 Vgl. die GesBegr. zum TDG 1997 BT-Drs. 13/7385, S. 20; zum TDG 2001 BT-Drs. 14/ 6098, S. 23; die GesBegr. zum TMG verweist auf die unveränderte Übernahme der TDGRegelungen, BT-Drs. 16/3078, S. 15. 115 Heckmann, Internetrecht, Vorb. Kap. 1.7 Rn. 63. 116 Richtlinie 2000/31/EG v. 8. 6. 2000 über bestimmte rechtliche Aspekte der Dienste der Informationsgesellschaft, insbesondere des elektronischen Geschäftsverkehrs, im Binnenmarkt, ABlEG Nr. L 178 v. 17. 7. 2000, S. 1, umgesetzt in das deutsche Recht durch § 10 TMG. 117 EuGH, MMR 2010, 315 (320 Tz. 114); zur Suchmaschinenwerbung oben B. IV. 5. a).

I. Konfliktfeld 1: Datenschutz des Suchobjekts

131

Suchtreffern.118 Trotz jener zwei Entscheidungen bleibt weiterhin unbeantwortet, ob die Verantwortlichkeitsfreistellungsnormen auch bei Datenschutzverstößen Anwendung finden, denn jene Entscheidungen behandelten Markenrechts- bzw. Urheberrechtsverstöße. Ferner ist fragwürdig und bedarf daher einer näheren Untersuchung, ob der Verweis des Bundesgerichtshofs auf den Privilegierungstatbestand des Art. 14 ECRL für Datenschutzverstöße in den Suchtreffern sachgerecht ist oder ob nicht vielmehr eine andere Freistellungsnorm naheliegender erscheint. Diese offenen Fragen rechtfertigen eine nähere Auseinandersetzung mit der Anwendbarkeit der §§ 7 ff. TMG. a) Dogmatische Einordnung Umstritten ist, wie die §§ 7 ff. TMG rechtsdogmatisch einzuordnen sind.119 Aufgrund der Formulierungen in der Gesetzesbegründung zum TDG 1997120 werden die §§ 7 ff. TMG teilweise als „Vorfilter“ betrachtet, deren Tatbestände zuerst zu prüfen sind und nur bei deren Verneinung eine Verantwortlichkeit nach den allgemeinen Vorschriften zu untersuchen ist.121 Nach anderer Ansicht lassen sich die §§ 7 ff. TMG aufgrund des rechtsgebietsübergreifenden Anwendungsbereichs nicht in die tradierten Haftungssysteme einheitlich integrieren und sind daher als eigenständige Prüfungsstufe nach der Bejahung eines Haftungstatbestandes der allgemeinen Gesetze zu prüfen.122 Diese Auffassung betont, dass eingrenzbar nur etwas bereits Vorhandenes sei und stützt sich zudem auf den Wortlaut der Gesetzesbegründung zum TDG 2001.123 Auch wird vertreten, die Frage der Einschlägigkeit einer Haftungsprivilegierung auf der Ebene der Zurechenbarkeit zu verorten. Wenn eine der durch das TMG privilegierten Tätigkeiten vorliegt, entfällt danach der Zurechnungszusammenhang dieser Handlung zu einer möglichen Rechtsgutsverletzung. Die letztere Lösung verdient den Vorzug, weil sie die Verwirklichung eines Haftungstatbestands von vornherein sperrt und somit Probleme der akzessorischen Haftung vermeidet und außerdem die Zurechenbarkeit ein Kriterium für die Begründung von Verantwortlichkeit in allen Rechtsgebieten ist.124 Entscheidend ist jedenfalls, die Haftungsprivilegierungen des TMG als tatbestandsausschließende,

118

BGH, NJW 2010, 2731 (2736 Tz. 39). Zum Streit Sobola/Kohl, CR 2005, 443 (445); Hoffmann, in: Spindler/Schuster, Recht der elektronischen Medien, Vorb. §§ 7 ff. TMG Rn. 24 ff. 120 BT-Drs. 13/7385, S. 20. 121 Zum TDG 1997 BGH, NJW 2003, 3764 (3764); OLG Düsseldorf, MMR 2004, 315 (316); Engel-Flechsig/Maennel/Tettenborn, NJW 1997, 2981 (2984 f.); daran anknüpfend zum TDG 2001 Köhler/Arndt/Fetzer, Recht des Internet, S. 252 f. m. w. Nachw.; zum TMG Heckmann, Internetrecht, Vorb. Kap. 1.7 Rn. 66. 122 Stadler, Haftung für Informationen im Internet, Rn. 22; für eine Prüfung nach den allgemeinen Vorschriften auch BGH, NJW 2007, 2558. 123 Stadler, Haftung für Informationen im Internet, Rn. 20; BT-Drs. 14/6098, S. 23. 124 Spindler, in: Spindler/Schmitz/Geis, TDG, Vorb. § 8 Rn. 28 m. w. Nachw. 119

132

D. Bundesdatenschutzgesetz und Telemediengesetz

rechtsgebietsübergreifende Normen zu verstehen. Ob eine Prüfung der § 7 ff. TMG vor dem Haftungstatbestand oder danach geprüft wird, ist weniger bedeutsam.125 b) Umfang Nach bisheriger Rechtsprechung des Bundesgerichtshofs erstrecken sich die Privilegierungstatbestände der §§ 8 ff. TMG nicht auf Unterlassungsansprüche.126 Dies ergebe sich aus einer Zusammenschau der §§ 7 Abs. 2 S. 2 und 10 Nr. 1 Alt. 2 TMG. Zwar stellt § 7 Abs. 2 S. 1 TMG klar, dass Diensteanbieter i. S. d. §§ 8 bis 10 TMG keine proaktive Überwachung der von ihnen übermittelten Informationen leisten müssen, gleichwohl bleiben Verpflichtungen zur Entfernung und Sperrung gem. § 7 Abs. 2 S. 2 TMG von den Haftungsfreistellungen unberührt.127 Ausweislich der Gesetzesbegründung soll § 7 Abs. 2 S. 2 TMG die identische Gesetzeslage zu § 5 Abs. 4 TDG 1997 fortschreiben.128 Nach dessen Wortlaut war eine Verpflichtung zur Löschung und Sperrung ab Kenntnis der rechtswidrigen Inhalte möglich. Gem. § 10 Nr. 1 Alt. 2 TMG sind Hostprovider im Hinblick auf Schadensersatzansprüche bereits dann verantwortlich, wenn ihnen Umstände bekannt sind, aus denen sich die Rechtswidrigkeit der gespeicherten Informationen ergibt. Nach Ansicht des Bundesgerichtshofs kann es nicht sein, dass Diensteanbieter hinsichtlich Unterlassungsansprüchen nach § 7 Abs. 2 S. 2 TMG ab Kenntnis der Rechtslage anspruchsverpflichtet sind, während für die schärfere Haftung auf Schadensersatz gem. § 10 Nr. 1 Alt. 2 TMG bereits die Kenntnis der Tatsachen und Umstände, anhand deren die Rechtslage festzustellen ist, ausreicht.129 Dies lege den Schluss nahe, dass Unterlassungsansprüche überhaupt nicht von den §§ 7 ff. TMG erfasst seien.130 Im Rahmen der Störerhaftung sei anhand des Kriteriums der zumutbaren Prüfpflicht zu einer sinnvollen Haftungsbegrenzung für den Einzelfall zu gelangen.131 Der Bundesgerichtshof hält es für zulässig, im Rahmen eines vorbeugenden Unterlassungsanspruchs von einem an sich nach den §§ 8 ff. TMG haftungsprivilegierten Diensteanbieter auch die Unterbindung zukünftiger, ähnlich gelagerter Rechtsverletzungen verlangen zu können.132

125 Sieber/Höfinger, in: Hoeren/Sieber, Hb. Multimedia Recht, Teil 18.1 Rn. 26; Rath, Das Recht der Internet-Suchmaschinen, S. 259 f. 126 BGHZ 158, 236 (246 ff.); 172, 119 (125 Tz. 17); BGH, NJW 2007, 2558 (2558 f.); NJW 2009, 2888 (2889 f.). 127 Exemplarisch zu den Prüfpflichten des Webhosters Rapidshare OLG Hamburg, MMR 2008, 823 (824). 128 BT-Drs. 14/6098, S. 23. 129 BGHZ 158, 236 (248). 130 BGHZ 158, 236 (248). 131 Anschaulich zur zivilrechtlichen Störerhaftung Heckmann, Internetrecht, Vorb. Kap. 1.7 Rn. 70 ff. 132 BGHZ 158, 236 (252); 172, 119 (126 Tz. 19).

I. Konfliktfeld 1: Datenschutz des Suchobjekts

133

Diese Rechtsprechung wird in Teilen der Literatur als zu weit gehend empfunden.133 Die Verurteilung zur Vermeidung nicht identischer, sondern bloß ähnlich gelagerter Rechtsverstöße würde im Ergebnis dem Diensteanbieter eine allgemeine Überwachungspflicht seines Angebots aufbürden, obwohl eine solche Pflicht gem. § 7 Abs. 2 S. 1 TMG und dem zugrundeliegenden Art. 15 Abs. 1 ECRL gerade nicht bestehen soll.134 Daher sollten Unterlassungsansprüche nur insofern von den TMGRegelungen unberührt bleiben, als es um das Entfernen und Löschen von bereits erkannten Inhalten geht;135 maximal könne vom Diensteanbieter die Verhinderung des exakt gleichen Rechtsverstoßes verlangt werden, z. B. dass der rechtswidrige Inhalt nicht unter der gleichen URL erneut abrufbar ist.136 Äußerungen obiter dictum in einer jüngeren Entscheidung lassen vermuten, dass der Bundesgerichtshof sich der Literaturmeinung annähert und die Anwendung der §§ 7 ff. TMG auf Unterlassungsansprüche in Zukunft nicht mehr grundsätzlich ablehnen wird.137 Unabhängig von der Reichweite möglicher Unterlassungsansprüche im Detail gilt jedenfalls grundsätzlich, dass keine allgemeine Überwachungspflicht der Diensteanbieter besteht (§ 7 Abs. 2 S. 2 TMG bzw. Art. 15 Abs. 1 ECRL), jedoch auf Hinweis das Abstellen konkreter Rechtsverletzungen verlangt werden kann (§ 7 Abs. 2 S. 2 TMG bzw. Art. 12 Abs. 3, 13 Abs. 2, 14 Abs. 3, 15 Abs. 2 ECRL). c) Anwendbarkeit auf datenschutzrechtliche Sachverhalte Das Datenschutzrecht könnte allerdings aus dem Anwendungsbereich der TMGRegelungen ausgenommen sein. § 1 TMG bestimmt den Anwendungsbereich des TMG. Diese Vorschrift enthält keine Einschränkung des Anwendungsbereichs für den Bereich des Datenschutzes. Eine Herausnahme des Datenschutzrechts könnte jedoch aufgrund europarechtlicher Vorgaben geboten sein. Die Novellierung des TDG im Jahr 2001138 erfolgte zur Einarbeitung der durch die ECRL erforderlich gewordenen Anpassungen.139 Auch die 133 Vgl. die Darstellung bei Sieber/Höfinger, in: Hoeren/Sieber, Hb. Multimedia Recht, Teil 18.1 Rn. 46 ff. 134 Berger/Janal, CR 2004, 917 (919 ff.); Hoeren, MMR 2004, 668 (672); Gercke, CR 2005, 233 (234); Rücker, CR 2005, 347 (348); Sobola/Kohl, CR 2005, 443 (450); Sieber/Höfinger, in: Hoeren/Sieber, Hb. Multimedia Recht, Teil 18.1 Rn. 59; Stadler, Haftung für Informationen im Internet, Rn. 30c. 135 Berger/Janal, CR 2004, 917 (922); Gercke, CR 2005, 233 (234); Rücker, CR 2005, 347 (351 ff.). 136 Sieber/Höfinger, in: Hoeren/Sieber, Hb. Multimedia Recht, Teil 18.1 Rn. 60. 137 BGH, NJW 2010, 2731 (2736 Tz. 39). 138 Durch das Gesetz über rechtliche Rahmenbedingungen für den elektronischen Geschäftsverkehr v. 14. 12. 2001 (BGBl. I S. 3721; kurz: EGG). 139 Vgl. die GesBegr. BT-Drs. 14/6098, S. 1.

134

D. Bundesdatenschutzgesetz und Telemediengesetz

Regelung zur Verantwortlichkeit140 war aufgrund der neuen europarechtlichen Vorgaben novellierungsbedürftig geworden.141 Zu diesem Teilaspekt strebte die ECRL eine Vollharmonisierung der nationalen Vorschriften der Mitgliedstaaten an.142 Gem. Art. 1 Abs. 5 lit. b ECRL i. V. m. Erwägungsgrund 14 findet die ECRL keine Anwendung auf Fragen, die von der DSRL oder der Telekommunikations-Datenschutzrichtlinie (ISDN-RL)143 erfasst werden. Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten sei ausschließlich Gegenstand jener Richtlinien. Erwägungsgrund 14 der ECRL betont, „die Grundsätze des Schutzes personenbezogener Daten [, wie sie in der DSRL und der ISDN-RL niedergelegt sind,] sind bei der Umsetzung und Anwendung dieser Richtlinie uneingeschränkt zu beachten, insbesondere in Bezug auf […] die Verantwortlichkeit von Vermittlern“. Aufgrund dieser Passage wird die Anwendbarkeit der §§ 7 ff. TMG auf das Datenschutzrecht von manchen abgelehnt.144 Gleichwohl ist zu hinterfragen, ob diese Schlussfolgerung für das deutsche TMG tatsächlich zwingend ist. Nach Art. 1 Abs. 5 lit. b ECRL i. V. m. Erwägungsgrund 14 sind, wie bereits gesagt, für das Datenschutzrecht ausschließlich die Bestimmungen der DSRL und der ISDN-RL maßgeblich. Richtig ist daher, dass sich aus der ECRL keine Verpflichtung zur Schaffung von datenschutzrechtlichen Verantwortlichkeitsprivilegierungen ergibt. Gleichwohl steht es dem nationalstaatlichen Gesetzgeber frei – in welchem Gesetz auch immer –, Regelungen zum Datenschutz zu erlassen, soweit sich diese Regelungen innerhalb des Rechtsrahmens bewegen, der durch das europäische Datenschutzrecht vorgegeben ist. Dies ergibt sich aus dem Umstand, dass die europarechtlichen Vorgaben zum Datenschutz in Form von Richtlinien erlassen wurden und Richtlinien nur hinsichtlich des zu erreichenden Zieles verbindlich sind, während sie den Mitgliedstaaten die Wahl der Form und der Mittel überlassen, Art. 288 Abs. 3 AEUV.145 Der deutsche Gesetzgeber ist also befugt, die §§ 7 ff. TMG auf den Bereich des Datenschutzes zu erstrecken, wenn eine Auslegung der DSRL (als das allgemeine Regelungsregime des europäischen Datenschutzrechts) ergibt, dass Diensteanbieter in den Fällen der §§ 7 ff. TMG auch nach der DSRL im Hinblick auf ihre Verantwortlichkeit privilegiert werden können, mithin die DSRL nationalstaatlichen Regelungen wie den §§ 7 ff. TMG nicht entgegensteht.

140

§ 5 TDG 1997. Vgl. Art. 12 bis 15 ECRL u. zum Umsetzungsbedarf BT-Drs. 14/6098, S. 13. 142 So ausdrücklich die GesBegr. BT-Drs. 14/6098, S. 22. 143 Richtlinie 97/66/EG v. 15. 12. 1997 über die Verarbeitung personenbezogener Daten u. den Schutz der Privatsphäre im Bereich der Telekommunikation, ABlEG Nr. L 24 v. 30. 1. 1998, S. 37. 144 Hoffmann, in: Spindler/Schuster, Recht der elektronischen Medien, Vorb. §§ 7 ff TMG Rn. 14; auch Zweifel ob der vollständigen Übertragbarkeit äußernd Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (293). 145 Oppermann/Classen/Nettesheim, Europarecht, § 10 Rn. 93 ff. 141

I. Konfliktfeld 1: Datenschutz des Suchobjekts

135

Da es in dieser Untersuchung letztlich nur um die Frage der Beschränkung der datenschutzrechtlichen Verantwortlichkeit von Suchmaschinen geht, ist lediglich zu untersuchen, ob eine entsprechende Verantwortlichkeitsfreistellung – unterstellt, die §§ 7 ff. TMG seien auf Suchmaschinen anwendbar, was noch zu prüfen ist – im Widerspruch zu der DSRL steht. Ob in den sonstigen Anwendungsfällen der §§ 7 ff. TMG eine datenschutzrechtliche Privilegierung europarechtskonform ist, kann dahinstehen. Die Art. 29-Datenschutzgruppe betrachtet die Betreiber von Suchmaschinen nur in einem eingeschränktem Umfang als verantwortliche Stelle i. S. d. Art. 2 lit. d DSRL. Wie bereits an anderer Stelle dargelegt,146 sieht sie Suchmaschinenbetreiber nur in dem Maße als verantwortliche Stelle an, als es um das nachträgliche Entfernen datenschutzwidriger Inhalte aus dem Suchindex nach einem Hinweis geht. Damit gelangt sie aber zu einer Auslegung der DSRL, die dem Datenschutzniveau entspricht, wenn man die Verantwortlichkeitsnormen der §§ 7 ff. TMG auf das Datenschutzrecht erstreckte: Die §§ 8 bis 10 TMG stellen Diensteanbieter auch nur für die Verantwortlichkeit für fremde Informationen frei, soweit deren Anknüpfungspunkt rechtswidrige Handlungen sind, die von den Tatbeständen der §§ 8 bis 10 TMG erfasst sind; nicht jedoch von der Verantwortlichkeitsfreistellung erfasst sind Unterlassungsansprüche nach Erteilung eines Hinweises auf rechtswidrige Inhalte.147 Da also die DSRL hinsichtlich der datenschutzrechtlichen Verantwortlichkeit einer Auslegung zugänglich ist, durch die ein Schutzniveau erreicht wird, dass nach dem BDSG unter Anwendung der §§ 7 ff. TMG besteht, steht die DSRL einer Anwendung der §§ 7 ff. TMG auf datenschutzrechtliche Sachverhalte nicht entgegen.

d) Suchmaschinen als Telemedien i. S. d. TMG Nach § 1 Abs. 1 S. 1 TMG findet das TMG nur Anwendung auf Telemedien i. S. d. Vorschrift. Telemedien sind gem. § 1 Abs. 1 S. 1 TMG alle elektronischen Informations- und Kommunikationsdienste, soweit sie nicht Telekommunikationsdienste i. S. d. § 3 Nr. 24 TKG, telekommunikationsgestützte Dienste nach § 3 Nr. 25 TKG oder Rundfunk nach § 2 Abs. 1 Rundfunkstaatsvertrag (RStV)148 sind. Der Begriff des elektronischen Informations- und Kommunikationsdienstes erfasst als Oberbegriff sämtliche Telekommunikations-, Telemedien- und Rundfunkdienste149 und ist, im Hinblick auf die Ermöglichung einer Entwicklungsoffenheit des TMG, in einem weiten Sinne zu verstehen.150 Abzugrenzen sind elektronische Informations- und 146

Oben D. I. 1. a) dd). Oben D. I. 3. b). 148 Staatsvertrag für Rundfunk u. Telemedien vom 31. 8. 1991 i. d. F. d. Dreizehnten Staatsvertrages zur Änderung rundfunkrechtlicher Staatsverträge vom 10. März 2010 (GBl. BW S. 307), in Kraft getreten am 01. 04. 2010. 149 BT-Drs. 16/3078, S. 13. 150 Heckmann, Internetrecht, Kap. 1.1, Rn. 33. 147

136

D. Bundesdatenschutzgesetz und Telemediengesetz

Kommunikationsdienste von den „Offline“-Diensten, wie z. B. die bloße Auslieferung von Waren151 oder herkömmliche Print- und Presseprodukte.152 Entscheidend ist die Negativabgrenzung zu Rundfunk und Telekommunikation. Telekommunikationsdienste nach § 3 Nr. 24 TKG sind legaldefiniert als Dienste, die ganz oder überwiegend in der Übertragung von Signalen über Telekommunikationsnetze bestehen, einschließlich der Übertragungsdienste in Rundfunknetzen. Die rein technische Seite der Informationsübermittlung, das Aussenden, Übermitteln und Empfangen von Signalen als bloße Transportleistung, ist somit Regelungsgegenstand des TKG.153 Ob ein Dienst eine Inhaltsleistung oder eine Transportleistung erbringt, ist anhand einer funktionalen Betrachtung zu ermitteln.154 Telekommunikationsgestützte Dienste werden in § 3 Nr. 25 TKG umschrieben als Dienste, die keinen räumlich und zeitlich trennbaren Leistungsfluss auslösen, sondern bei denen die Inhaltsleistung noch während der Telekommunikation erfüllt wird. Typische Beispiele sind Angebote, die über Sonderrufnummern (0190- oder 0900-Rufnummern) erbracht und über die Telefonrechnung abgerechnet werden.155 Suchmaschinen bieten keine Transportleistung an, sondern bauen auf dem Bestehen einer Kommunikationsverbindung auf und offerieren eine inhaltliche Dienstleistung, nämlich ein Hilfsmittel zur Datensuche im World Wide Web. Daher handelt es sich bei Suchmaschinen um einen Inhaltsdienst und somit weder um einen Telekommunikationsdienst noch um einen telekommunikationsgestützten Dienst. Suchmaschinen sind auch kein Rundfunk. Das entscheidende Abgrenzungskriterium zwischen Rundfunk und einem Telemediendienst ist die Linearität des Dienstes.156 Ein linearer Informations- und Kommunikationsdienst und damit Rundfunk i. S. d. § 2 Abs. 1 RStV ist nach dem Gesetzeswortlaut eine für die Allgemeinheit zum zeitgleichen Empfang bestimmte Veranstaltung und Verbreitung von Angeboten in Bewegtbild oder Ton entlang eines Sendeplans. Beispiele für lineare Dienste sind das klassische Fernsehen, Internet-Live-Streaming, Webcasting oder Near-Video-On Demand (mehrfache, zeitversetzte Ausstrahlung des gleichen Fernsehprogramms). Typische nicht-lineare Dienste sind sämtliche Dienste, bei denen die Diensteerbringung auf individuellen Abruf des Empfängers erfolgt (sog. Pull-Dienste), also der Empfänger und nicht der Anbieter den Übertragungszeitpunkt bestimmt (dann sog. Push-Dienste).157 Suchmaschinen bieten eine individuelle Dienstleistung aufgrund des spezifischen Informationsbedürfnisses des Suchma151

ErwGr. 18 der ECRL. Heckmann, Internetrecht, Kap. 1.1, Rn. 35. 153 Hoeren, NJW 2007, 801 (802); zum TDG 2001 Wittern/Schuster, in: BeckÏscher TKGKommentar, § 3 Rn. 49. 154 Wittern/Schuster, in: BeckÏscher TKG-Kommentar, § 3 Rn. 49. 155 Piepenbrock, in: BeckÏscher TKG-Kommentar, § 3 Rn. 51 mit Verweis auf den GesE zum TKG. 156 Fechner, Medienrecht, Kap. 10 Rn. 25 sowie oben Teil C. Fn. 195. 157 Beispiele nach Fechner, Medienrecht, Kap. 10 Rn. 25. 152

I. Konfliktfeld 1: Datenschutz des Suchobjekts

137

schinennutzers und stellen damit einen nicht-linearen Dienst dar, sind also kein Rundfunk.158 Die Negativabgrenzung ergibt mithin, dass Suchmaschinen als Telemedien i. S. d. § 1 Abs. 1 S.1 TMG einzuordnen sind.159 Diese Einschätzung deckt sich mit der Gesetzesbegründung zum TMG,160 Erwägungsgrund 18 der ECRL und entspricht auch der Einordnung als Multimediadienst vor Inkrafttreten des TMG.161 e) Generelle Einwände gegen die Anwendbarkeit der §§ 7 ff. TMG auf Suchmaschinen Von der wohl herrschenden Meinung wird die Anwendbarkeit der §§ 7 ff. TMG auf Suchmaschinen grundsätzlich abgelehnt.162 Hierfür wird auf einen vermeintlichen gesetzgeberischen Willen bei der Umsetzung der ECRL durch das TDG 2001 verwiesen. Im Gesetzgebungsverfahren hatte die Bundesregierung bewusst davon abgesehen, eine ausdrückliche Verantwortlichkeitsfreistellung für Suchmaschinen in den Gesetzentwurf zum TDG 2001 aufzunehmen.163 Daher sei eine Anwendbarkeit der §§ 8 ff. TDG 2001 (§§ 7 ff. TMG) mit dem Telos der Normen unvereinbar, bzw. verbiete sich eine Analogie mangels planwidriger Regelungslücke.164 Auch habe der europäische Gesetzgeber in Kenntnis der Suchmaschinenproblematik auf eine Verantwortlichkeitsfreistellung für Suchmaschinen in der ECRL bewusst verzichtet.165 Trotz dieser Vorbehalte in der Literatur hat der Bundesgerichtshof in der einleitend erwähnten Entscheidung die Anwendbarkeit der Verantwortlichkeitsfreistellungsnormen auf Suchmaschinen grundsätzlich für möglich erachtet.166 Diese Rechtsprechung verdient Zustimmung. Sieber/Liesching legen überzeugend dar, dass ein entgegenstehender Wille des (deutschen und europäischen) Gesetzgebers tatsächlich

158

Danckert/Mayer, MMR 2010, 219 (220). Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (4 ff.); Hoeren, NJW 2007, 801 (802 f.); Sieber/Höfinger, in: Hoeren/Sieber, Hb. Multimedia Recht, Teil 18.1 Rn. 107; Heckmann, Internetrecht, Kap. 1.1 Rn. 62. 160 BT-Drs. 16/3078, S. 13. 161 Als Teledienst einordnend schon die GesBegr zum TDG 1997 BT-Drs. 13/7385, S. 19; bestätigend zum TDG 2001 Koch, K&R 2002, 120 (121); Spindler, in: Spindler/Schmitz/Geis, TDG, § 2 Rn. 53. 162 s. Nachw. bei Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (9 in Fn. 74); aus jüngerer Zeit z. B. Hoeren, Internet- und Kommunikationsrecht, Rn. 724; Heckmann, Internetrecht, Kap. 1.8 Rn. 61 ff. 163 BT-Drs. 14/6098, S. 37, Gegenäußerung der BReg zu Punkt 10 der Stellungnahme des BRats. 164 Statt vieler Spindler, in: Spindler/Schmitz/Geis, TDG, Vorb. § 8 TDG Rn. 59; Rath, Das Recht der Internet-Suchmaschinen, S. 28 ff., 275 ff. 165 Rath, WRP 2005, 826 (829). 166 BGH, NJW 2010, 2731 (2736 Tz. 39) u. oben D. I. 3. e). 159

138

D. Bundesdatenschutzgesetz und Telemediengesetz

nicht besteht.167 Durch die bewusste Nichtregelung der Verantwortlichkeit von Suchmaschinen wollte der deutsche Gesetzgeber keine endgültige Weichenstellung für eine Verantwortlichkeit nach den allgemeinen Vorschriften stellen, sondern die Beantwortung der Frage des Umfangs der Verantwortlichkeit zunächst der Rechtsprechung und Lehre überlassen.168 Des Weiteren trifft es zwar zu, dass die ECRL eine Verantwortlichkeitsprivilegierung für Suchmaschinen nicht vorsieht und eine solche Regelung auch nach einer zweijährigen Evaluierungsphase als nicht für nötig erachtet wurde,169 gleichwohl stellt die Kommission in ihrem Evaluierungsbericht fest, dass einige Mitgliedstaaten bei der Umsetzung der ECRL über die Richtlinie hinaus gegangen sind und Verantwortlichkeitsbefreiungstatbestände für Suchmaschinen geschaffen haben170 und dies auch aus Sicht des Europarechts nicht zu beanstanden sei.171 Daher bestehen gegen eine Anwendung der §§ 7 ff. TMG auf Suchmaschinen (direkt oder analog) keine grundlegenden Bedenken.172 f) Verantwortlichkeitsfreistellung für Drittinhalte der Trefferlinks gem. § 8 Abs. 1 Alt. 2 TMG Suchmaschinen erstellen auf Suchanfragen hin Ergebnislisten, die zu den einzelnen Treffern einen kurzen Vorschautext mit einem Ausschnitt aus dem Ergebnisdokument (Snippet) sowie den Link auf die jeweilige Trefferseite beinhalten.173 Bei der Frage einer möglichen Verantwortlichkeitsprivilegierung sind die Bestandteile der Suchergebnisseite (Linktexte, Snippets) und verlinkte Drittinhalte einer getrennten Beurteilung zu unterziehen. Diese Vorgehensweise ist deshalb geboten, weil Suchergebnisseiten und die verlinkten Drittinhalte in unterschiedlichem Umfang dem Einflussbereich der Suchmaschinenbetreiber unterliegen und daher unterschiedliche Privilegierungstatbestände des TMG in Betracht kommen. Im Hinblick auf die durch die Trefferlinks vermittelten Inhalte könnten Suchmaschinen aufgrund von § 8 Abs. 1 Alt. 2 TMG nur eingeschränkt verantwortlich sein. Nach dieser Vorschrift sind Diensteanbieter für fremde Informationen (aa), zu denen sie den Zugang zur Nutzung vermitteln (bb), nicht verantwortlich, wenn sie die Übermittlung weder veranlasst und den Adressaten ausgewählt (cc), noch die übermittelten Informationen ausgewählt oder verändert haben (dd). Die Vorschrift zielt auf die Privilegierung von Access-Providern, für deren inhaltsneutral und au167

Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (4 ff.). Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (10) verweist in Fn. 81 auf BT-Drs. 14/ 6098, S. 37. 169 Erster Bericht über die Anwendung der ECRL v. 21. 11. 2003, KOM (2003) 702. 170 Spanien, Österreich, Liechtenstein, Portugal. 171 Erster Bericht über die Anwendung der ECRL v. 21. 11. 2003, KOM (2003) 702, 15. 172 s. auch die Auflistung der Befürworter einer Anwendung auf Suchmaschinen bei Sieber/ Liesching, MMR 2007 Beil. Heft 8, 1 (7 in Fn. 47). 173 Oben B. III. 1. 168

I. Konfliktfeld 1: Datenschutz des Suchobjekts

139

tomatisiert erfolgende, telekommunikationsähnliche Tätigkeit der Zugangsvermittlung und Übermittlung.174 Die Untersuchung des Vorliegens der einzelnen Voraussetzungen bedarf einer getrennten Betrachtung. aa) Fremde Informationen Suchmaschinen sind Navigationshilfen für das gesamte WWW, entsprechend sind die Webseiten, zu denen sie in ihren Trefferlisten verlinken, regelmäßig für die Suchmaschine fremde Informationen.175 Teilweise werden die von Suchmaschinen für den Nutzer bereit gestellten Informationen als eigene Informationen der Suchmaschine qualifiziert, weil der Prozess des Zusammenstellens und Auswählens aus den im Internet befindlichen Informationen zur Folge habe, dass Suchmaschinen den Inhalten nicht neutral gegenüberstünden.176 Diese Sichtweise differenziert aber nicht zwischen den originär von der Suchmaschine generierten Inhalten, wie z. B. Snippets, und den verlinkten Drittinhalten. Die Tatsache, dass Suchmaschinen die Drittinhalte sortieren und indexieren, ändert nichts daran, dass die Drittinhalte außerhalb des Einflussbereichs der Suchmaschine liegen. Die Suchmaschine ist weder Autor jener Inhalte noch kann sie auf die Löschung oder Änderung jener Seiten Einfluss nehmen.177 bb) Vermittlung des Zugangs zur Nutzung Fraglich ist, ob Suchmaschinen als Diensteanbieter angesehen werden können, die den Zugang zu Informationen zur Nutzung vermitteln. Dies wird teilweise mit dem Argument abgelehnt, dass § 8 TMG und seine Vorgängerregelungen einzig auf Access-Provider zugeschnitten seien, die den technischen Zugang zu einem Kommunikationsnetz ermöglichen.178 Dem ist allerdings entgegenzuhalten, dass der Wortlaut des § 8 TMG durchaus offen für eine weite Auslegung ist. Es ließe sich argumentieren, dass Suchmaschinen dem Nutzer zeigen, wo seine gewünschten Informationen im Netz zu finden sind und dass er diese ohne Zuhilfenahme einer Suchmaschine nie gefunden hätte.179 Daher vermitteln Suchmaschinen durchaus den Zugang zu Informationen.180

174

Hoffmann, in: Spindler/Schuster, Recht der elektronischen Medien, § 8 Rn. 1 ff. Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (12). 176 Rath, Das Recht der Internet-Suchmaschinen, S. 300 f.; Köhler/Arndt/Fetzer, Recht des Internet. S. 271; Hoeren, Internet- und Kommunikationsrecht, Rn. 724. 177 Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (12). 178 Rath, Das Recht der Internet-Suchmaschinen, S. 304 f. 179 Koch, K&R 2002, 120 (123). 180 Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (12); auch Spindler, in: Spindler/Schmitz/ Geis, TDG, Vorb. § 8 TDG Rn. 59, der aber gleichwohl eine Anwendung mangels Analogiefähigkeit ablehnt. 175

140

D. Bundesdatenschutzgesetz und Telemediengesetz

cc) Keine Veranlassung der Übermittlung (Nr. 1) und Auswahl des Adressaten (Nr. 2) Da der Prozess der Websuche und der Vermittlung von Webseiten auf Initiative des Suchmaschinennutzers erfolgt, hat der Suchmaschinenbetreiber weder die Übermittlung der verlinkten Suchergebnisse veranlasst noch den Adressaten der übermittelten Informationen ausgewählt. Die Ausschlussgründe des § 8 Abs. Nr. 1 und 3 liegen eindeutig nicht vor. dd) Keine Auswahl oder Veränderung der übermittelten Informationen (Nr. 3) Es trifft zu, dass eine Suchmaschine auf eine Suchanfrage des Nutzers hin nur einen Ausschnitt aus sämtlichen indexierten Webseiten in der Trefferliste anzeigt und somit eine Auswahl der letztlich übermittelten Informationen trifft. Aufgrund dieses Umstands verneinen einige Stimmen die Anwendbarkeit des § 8 Abs. 1 Alt. 2 TMG auf Suchmaschinen.181 Suchmaschinen träfen durch ihre Indexierung und Gewichtung der Seiten anhand ihrer Suchalgorithmen „eine Auswahl“ unter den „gecrawlten“ Seiten und seien damit kein neutraler Datenvermittler.182 Dieser Betrachtungsweise wird jedoch zu Recht entgegengehalten, dass eine Suchmaschine lediglich abstrakte Regeln aufstellt, um möglichst genau das Suchinteresse des Nutzers zu befriedigen.183 Suchmaschinen grenzen keine Webinhalte aus, sondern indexieren alle Seiten gleichermaßen. Insofern können auch alle Webinhalte theoretisch bei einer ausreichend konkreten Suchanfrage in der Trefferliste einer Suchmaschine weit oben auftauchen. Eine Suchmaschine versucht, das Suchbedürfnis des Nutzers möglichst genau zu erraten und deren Betreiber entwickeln zu diesem Zweck Suchalgorithmen, die die Wahrscheinlichkeit einer richtigen Deutung des Suchverlangens des Nutzers erhöhen.184 Daher ist es auch nicht die Suchmaschine, die Informationen auswählt, sondern der Nutzer. Die Suchmaschine steht sämtlichen Informationen des WWW neutral gegenüber und gibt lediglich ein (inhaltsneutrales) Ordnungsprinzip vor.185 Auch ist zu berücksichtigen, dass der Prozess der Deutung des Nutzerwillens voll automatisch abläuft, also keiner re-

181

Rath, Das Recht der Internet-Suchmaschinen, S. 306 f.; Hoeren, Internet- und Kommunikationsrecht, Rn. 724. 182 Rath, Das Recht der Internet-Suchmaschinen, S. 306 f. 183 Koch, K&R 2002, 120 (124). 184 Hansell, Google Keeps Tweaking Its Search Engine, New York Times v. 3. 6. 2007, http://www.nytimes.com/2007/06/03/business/yourmoney/03google.html (15. 3. 2011); vgl. bereits zur Funktionsweise von Suchmaschinen oben B. II. 3. c) sowie zum Schutzbereich von Art. 5 Abs. 1 S. 1 Var. 1 GG oben C. II. 2. a). 185 Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (12); zur Meinungsneutralität oben C. II. 2. a).

I. Konfliktfeld 1: Datenschutz des Suchobjekts

141

daktionellen Selektion, d. h. keiner menschlichen Auswahl, unterliegt.186 Dieser Gesichtspunkt ist zu betonen, weil ausweislich der Gesetzesbegründung zum TDG 2001 der § 9 TDG 2001 (§ 8 TMG) der Schaffung einer Verantwortlichkeitsbeschränkung für eine Tätigkeit „automatischer Art, bei der der Diensteanbieter i. d. R. keine Kenntnis über die weitergeleitete […] Information hat und diese auch nicht kontrolliert“ dient. Daher kann nicht davon gesprochen werden, dass eine Suchmaschine eine „Auswahl“ i. S. v. § 8 Abs. 1 Nr. 3 TMG trifft.187 ee) Ergebnis zu f) Die Untersuchung hat gezeigt, dass der Privilegierungstatbestand des § 8 Abs. 1 Alt. 2 TMG auf Suchmaschinen anwendbar ist. Suchmaschinen sind daher für Datenschutzverstöße durch die Vermittlung von Drittinhalten nur eingeschränkt verantwortlich. g) Verantwortlichkeitsfreistellung für Inhalte der Ergebnisseite Zur besseren Übersichtlichkeit der Suchtreffer werden den einzelnen Trefferlinks Linktexte und Snippets beigefügt. Zwar erfolgt die Erzeugung dieser Informationen automatisch, allerdings können die Suchmaschinenbetreiber die Vorgaben zur Erzeugung steuern, z. B. indem sie festlegen, welcher Textauszug der Drittseite in welcher Länge als Snippet verwendet werden oder wie der angezeigte Linktext erzeugt werden soll. Damit hat die Suchmaschine trotz automatischer Generierung dieser Trefferseiteninhalte ein höheres Maß an Kontrolle und Einflussmöglichkeit auf die Informationen, als dies bei einem nach § 8 TMG privilegierten Diensteanbieter der Fall ist.188 Ferner vermittelt die Suchmaschine nicht den Zugang zu jenen Informationen, sondern erzeugt diese erst zum Zweck der einfacheren Handhabung der Suchergebnisse.189 Eine Privilegierung von Suchmaschinen für die Informationen auf der Suchergebnisseite nach § 8 TMG scheidet somit aus. Für die Haftung für Urheberrechtsverstöße durch die Anzeige von Miniaturbildern (Thumbnails) als Ergebnisvorschau bei der Bildersuche (unzulässiges, öffentliches Zugänglichmachen i. S. d. § 19 a UrhG) hat der Bundesgerichtshof obiter die Anwendbarkeit von § 10 TMG für möglich erklärt.190 Diese Rechtsprechung wäre grundsätzlich auf Snippets und Linktexte übertragbar, weil jene strukturell mit 186

Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (12). Diesen Aspekt betonend Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (12), die auf BTDrs. 14/6098, S. 24 verweisen. 188 Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (14). 189 Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (14). 190 Für den BGH, NJW 2010, 2731 (2736 Tz. 39) ergibt sich die Möglichkeit einer Haftungsbeschränkung aus Art. 14 Abs. 1 ECRL unter Verweis auf EuGH, MMR 2010, 315 (320 Tz. 114). § 10 TMG ist die deutsche Umsetzungsvorschrift von Art. 14 ECRL. 187

142

D. Bundesdatenschutzgesetz und Telemediengesetz

Thumbnails vergleichbar sind, da es sich jeweils um durch die Suchmaschine generierte Inhalte der Trefferseite handelt.191 Der Bundesgerichtshof begründet jedoch nicht näher, warum ausgerechnet § 10 TMG die maßgebliche Haftungsfreistellungsnorm sein soll, sondern übernimmt (scheinbar unreflektiert) die Judikatur des Europäischen Gerichtshofs zur Haftung von Suchmaschinen in einer gänzlich anderen Sachverhaltskonstellation.192 In der vom Europäischen Gerichtshof beantworteten Vorlagefrage ging es um die Haftung einer Suchmaschine für die Inhalte von Werbeanzeigen, die Werbekunden erstellten und auf Server der Suchmaschine hochluden. Dies weckt Zweifel an der Richtigkeit der Einordnung der Behandlung von Thumbnails in das Haftungsregime der §§ 7 ff. TMG und bietet Anlass zu einer genaueren Betrachtung der Regelungsgehalte insbesondere der §§ 9 und 10 TMG. Untersuchungsgegenständlich ist weiterhin die rechtliche Verantwortung für die Inhalte von Snippets und Linktexten. Da es sich bei diesen Inhalten gleichermaßen wie Thumbnails um durch die Suchmaschine generierte Suchergebnisseiteninhalte handelt, gilt das im Folgenden Gesagte auch für Thumbnails. aa) Anwendbarkeit von § 10 TMG Fraglich ist, ob der durch den Bundesgerichtshof angedeutete Weg der Verantwortlichkeitsfreistellung für Suchmaschinen über § 10 TMG tatsächlich gangbar ist. § 10 TMG privilegiert Host-Provider. Das sind Diensteanbieter, die fremde Information für ihre Nutzer speichern und zum Abruf bereithalten, wie z. B. WebspaceAnbieter oder Anbieter von „User Generated Content“-Plattformen (Meinungsforen,193 Video194- oder Bildportalen195 und Ähnliches).196 Typisch für diese Dienstleister ist, dass das Hochladen von Informationen durch Nutzer veranlasst wird und ansonsten technisch automatisiert abläuft, sodass der Host-Provider regelmäßig von den Einzelnen Inhalten, die er zum Abruf bereit hält, keine Kenntnis nimmt.197 Aufgrund dieser Abläufe wäre eine proaktive Prüfpflicht für die Diensteanbieter sehr aufwendig und ist die Normierung einer Verantwortlichkeitsfreistellung sachgerecht.198 191

Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (21). EuGH, MMR 2010, 315 (320 Tz. 114). 193 Zur Haftung von Forenbetreibern BGHZ 181, 328 (343 f. Tz. 42); Ballhausen/Roggenkamp, K&R 2008, 403; Greve/Schärdel, MMR 2008, 645; Peifer/Kamp, ZUM 2009, 185; Härting, CR 2009, 21; Gomille, ZUM 2009, 815; Gounalakis/Klein, NJW 2010, 566; Nieland, NJW 2010, 1494. 194 Zur Haftung von Videoplattformen LG Köln, MMR 2009, 778; LG Hamburg, MMR 2009, 870. 195 Zur Haftung von Bildportalen KG, MMR 2010, 203; OLG Hamburg, BeckRS 2009, 13688. 196 Heckmann, Internetrecht, Vorb. Kap. 1.7 Rn. 54 u. Kap. 1.10 Rn. 7. 197 Sieber/Höfinger, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 18.1. Rn. 79. 198 Sieber/Höfinger, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 18.1. Rn. 79. 192

I. Konfliktfeld 1: Datenschutz des Suchobjekts

143

Die automatische Erstellung der Suchergebnisseiteninhalte (Linktexte, Snippets, Thumbnails) erfolgt allein auf Eigeninitiative der Suchmaschine, um die Benutzerfreundlichkeit des eigenen Dienstes zu verbessern. Es handelt sich bei jenen Informationen nicht um von Dritten hochgeladene Inhalte.199 Daher können Suchmaschinen in Bezug auf diese Informationen auch nicht als Host-Provider betrachtet werden. Gleichwohl hat der Bundesgerichtshof § 10 TMG für anwendbar erklärt.200 Das Gericht begründet die Anwendbarkeit mit einem Verweis auf jene bereits erwähnte Vorabentscheidung des Europäischen Gerichtshofs201 zu der Haftung von Google für Inhalte von Werbeanzeigen auf ihrer Suchseite, die Werbekunden von Google durch das Google Adwords-Programm erstellt haben. Diese Begründung überzeugt nicht, weil der Bundesgerichtshof die Unterschiede der Sachverhalte des eigenen und des Verfahrens vor dem Europäischen Gerichtshofs nicht hinreichend gewürdigt hat. Teilnehmer von Adwords kaufen Werbeflächen auf den Trefferseiten von bestimmten Suchbegriffen. Die Teilnahme an Adwords erfolgt vollautomatisch: Über eine Webseite können sich Werbekunden registrieren, den Erscheinungsort der Werbung bestimmen, das eigene Werbebudget festlegen und vor allem den Werbeanzeigentext selbst formulieren sowie die Suchbegriffe angeben, in deren Umfeld die Werbung erscheinen soll.202 Anhand dieser Parameter berechnet Google die Platzierung der Werbung und rechnet die Werbekosten ab. Markenrechtsverstöße stehen im Raum, wenn der Werbekunde als Erscheinungsort der eigenen Werbung die Trefferseite zu der Websuche eines fremden Markennamens (einer Konkurrenzmarke oder einer Marke, zu der er Imitate vertreibt) verwendet. Eine Markenrechtsverletzung von Google kommt in Betracht, weil Google seinen Werbekunden die Möglichkeit einräumt, fremde Marken als Schlüsselwörter und in der Anzeige Begriffe wie „Imitat“ oder „Kopie“ zu verwenden.203 In dieser Konstellation ist ein Rekurrieren auf die Verantwortlichkeitsfreistellungsnorm für Host-Provider nach § 10 TMG naheliegend, weil die Werbeanzeigen eine Form von „User Generated Content“ darstellen, den Google für seine Werbekunden auf deren Initiative hin speichert und seinen Nutzern zugänglich macht. In seiner Funktion als Betreiber von Adwords kann daher Google als Host-Provider betrachtet werden und ist die Einordnung des Europäischen Gerichtshofs unter die Verantwortlichkeitsfreistellung nach Art. 14 ECRL schlüssig. Der Betrieb von Adwords ist allerdings streng zu unterscheiden von der eigentlichen Websuche und dem Erscheinen von rechtwidrigen Inhalten in den automatisch erstellten Ergebnisseiteninhalten. Diese sind Teil der Aufmachung des Suchmaschinenlayouts und werden ohne Mitwirkung von Dritten erstellt. Linktexte, Snippets und Thumbnails werden von den Suchmaschinen eigeninitiativ erzeugt, um 199 200 201 202 203

Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (21); Fahl, K&R 2010, 437 (441). BGH, NJW 2010, 2731 (2736 Tz. 39). EuGH, MMR 2010, 315 (320 Tz. 114). Vgl. http://www.google.de/intl/de/adwords/jumpstart/phone.html (15. 3. 2011). Vgl. EuGH, MMR 2010, 315 (Tz. 29, nicht abgedruckt).

144

D. Bundesdatenschutzgesetz und Telemediengesetz

einen schnellen Überblick über die Suchtreffer zu ermöglichen. Bei diesen Bestandteilen handelt es sich also nicht um von Dritten erstellte und hochgeladene Inhalte. Diese Unterschiede hat der Bundesgerichtshof wohl übersehen, als er pauschal von der Verantwortlichkeitsfreistellung von Suchmaschinen für Inhalte der Werbeanzeigen nach § 10 TMG auf eine Verantwortlichkeitsfreistellung für die Veröffentlichung von Thumbnails schloss. Insofern ist den Ausführungen des Gerichts nicht zuzustimmen, § 10 TMG ist auf Thumbnails nicht anwendbar. Gleiches gilt für Linktexte und Snippets. bb) Anwendbarkeit von § 9 TMG Eine Verantwortlichkeit für Inhalte auf der Suchergebnisseite könnte aber aufgrund der Anwendbarkeit von § 9 TMG entfallen. Mit § 9 TMG verfolgt der Gesetzgeber die Intention, die Tätigkeit des „Cachings“ haftungsrechtlich zu privilegieren.204 Das „Caching“ erfolgt durch Proxy-Cache-Server. Auf diesen Servern werden Informationen zum Zweck der effizienteren Übermittlung zwischengespeichert.205 § 9 TMG setzt voraus, dass die Zwischenspeicherung automatisch und zeitlich begrenzt erfolgt und allein dem Zweck der effizienteren Übermittlung fremder Informationen dient. Dabei darf die Information nicht verändert werden (Nr. 1), es sind die Bedingungen für den Zugang zu der Information (Nr. 2) und die Regeln für die Aktualisierung der Information, die in weithin anerkannten und verwendeten Industriestandards festgelegt sind (Nr. 3), zu beachten, die erlaubte Anwendung von Technologien zur Sammlung von Daten über die Nutzung der Information, die weithin anerkannten und verwendeten Industriestandards festgelegt sind, dürfen nicht beeinträchtigt werden (Nr. 4) und es sind Informationen unverzüglich zu löschen oder zu sperren, sobald der Diensteanbieter von der Löschung der Information auf dem Quell-Server oder einer Sperrverfügung Kenntnis erlangt (Nr. 5). (1) Fremde Informationen Grundvoraussetzung ist zunächst, dass die Suchergebnisseiteninhalte keine eigenen Informationen des Suchmaschinenbetreibers sind, denn für eigene Informationen greift der Privilegierungstatbestand des § 9 TMG nicht, vielmehr bleibt es nach der Grundregel des § 7 Abs. 1 TMG bei der Verantwortlichkeit nach den allgemeinen Gesetzen. Eigene Informationen sind nach der Rechtsprechung nicht nur solche Informationen, die originär durch den Diensteanbieter geschaffen wurden, sondern auch sog. „zu Eigen gemachte Inhalte“.206 Dies sind Inhalte, die von Dritten stammen, für die aber der Provider aus der Sicht eines objektiven Nutzers Verantwortung tragen 204

BT-Drs. 14/6098, S. 24. Oben B. I. 1. d). 206 OLG Köln, MMR 2002, 548 (548); OLG Brandenburg, MMR 2004, 330 (330); LG Potsdam, CR 2009, 194 (194). 205

I. Konfliktfeld 1: Datenschutz des Suchobjekts

145

will.207 Ob „zu Eigen gemachte Inhalte“ in diesem Sinne vorliegen, ist anhand einer Gesamtschau des jeweiligen Angebotes aus der Perspektive eines objektiven Betrachters zu bestimmen; maßgebliche Kriterien sind die Art der Datenübernahme, ihr Zweck und die konkrete Präsentation der Inhalte durch den Übernehmenden.208 Teilweise wird darüber hinaus ein subjektives Element, also ein „wissentliches zu Eigen machen“ gefordert.209 Die Generierung der Snippets und Linktexte ist ein ausschließlich technischer, automatisch ablaufender Vorgang, bei dem es Suchmaschinenbetreibern an einem Motiv, Zweck oder Nutzen für eine Persönlichkeitsverletzung fehlt.210 Der Zweck des Suchmaschinenbetriebs ist nicht auf die Bereitstellung eigener Inhalte gerichtet, sondern auf das Auffinden fremder Informationen im WWW.211 Aus der Gestaltung der Suchergebnisseiten ist regelmäßig dem durchschnittlichen Suchmaschinennutzer klar erkennbar, dass die dort zu den Links bereitgestellten Informationen fremde Inhalte darstellen.212 Diese Erkennbarkeit ist jedenfalls dann gegeben, wenn die Inhalte unveränderte Ausschnitte der Drittseiten sind und nicht erkennbar verändert wurden.213 In der Gesamtschau zu berücksichtigen ist auch, dass der Betrieb einer Suchmaschine in Anbetracht der enormen Datenmengen nicht anders als automatisch denkbar ist.214 Schließlich lässt sich auch eine Parallele zu der Verantwortlichkeit von Versteigerungsplattformen (wie eBay) für dort eingestellte Angebote ziehen.215 Für Versteigerungsplattformen ist entschieden, dass die dort präsentierten, von Dritten eingestellten Angebote fremde Inhalte für den Plattformbetreiber sind.216 Dies gilt, obwohl Versteigerungsplattformen den eingestellten Angeboten wesentlich näher stehen als eine Suchmaschine ihren Ergebnissen, da schließlich eBay und Co. an erfolgreichen Geschäftsabschlüssen mitverdienen. Wenn also schon für eine Versteigerungsplattform die bei ihr eingestellten Angebote für sie fremde Inhalte sind, dann müssen erst recht die Inhalte der Suchergebnisseite als für den Suchmaschinenbetreiber fremde Informationen klassifiziert werden.217

207

OLG Köln, MMR 2002, 548 (548). Heckmann, Internetrecht, Kap. 1.7 Rn. 12 m. w. Nachw.; Köhler/Arndt/Fetzer, Recht des Internet, S. 254; auch jurisPR-ITR 3/2009 Anm. 2 zu LG Potsdam, CR 2009, 194; OLG Köln, MMR 2002, 548; OLG Brandenburg, MDR 2004, 330. 209 Stadler, Haftung für Informationen im Internet, Rn. 74. 210 OLG Stuttgart, CR 2009, 187 (187). 211 Zimmermann/Stender-Vorwachs, in: Spindler/Schuster, Recht der elektronischen Medien, § 7 TMG Rn. 54. 212 Zimmermann/Stender-Vorwachs, in: Spindler/Schuster, Recht der elektronischen Medien, § 7 TMG Rn. 54. 213 Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (16). 214 OLG Stuttgart, CR 2009, 187 (187). 215 Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (16). 216 BGHZ 158, 236 (Tz. 33); 172, 119 (Tz. 14); 173, 188 (Tz. 20). 217 Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (16); a. A. Seidel/Nink, CR 2009, 666 (667). 208

146

D. Bundesdatenschutzgesetz und Telemediengesetz

(2) Automatisches, zeitlich begrenztes Zwischenspeichern Die jeweilige Suchergebnisseite wird in Bezug auf die individuelle Suchanfrage automatisch erstellt und auch nur kurzfristig zum Zweck der individuellen Bearbeitung der Suchanfrage gespeichert. Das Kriterium der automatischen, zeitlich begrenzten Zwischenspeicherung ist daher ebenfalls als erfüllt anzusehen. (3) Zur effizienteren Übermittlung Allerdings erfolgt die zeitlich begrenzte Zwischenspeicherung nicht ausschließlich zu dem Zweck der effizienteren Übermittlung von Informationen.218 Die eigentliche Übermittlung fremder Informationen wird bei Suchmaschinen durch das Anklicken eines Trefferlinks zur Drittwebseite initiiert. Streng genommen wird der Übermittlungsvorgang der Drittinformationen in keiner Weise durch die Suchmaschine beschleunigt. Der Übermittlungsvorgang zwischen Suchmaschinennutzer und Drittwebseite läuft genauso effizient ab, wie wenn der Nutzer die URL der Drittseite manuell, ohne Zuhilfenahme einer Suchmaschine, in seinen Browser eingegeben hätte. Versteht man „Übermittlung“ in einem weiteren, funktionellen Sinne, könnte man die Tätigkeit einer Suchmaschine, das Auffinden von Webseiten, die der Nutzer sonst nicht gefunden hätte, auch als ein Übermitteln von Drittinhalten bezeichnen. Dieser Zweck wird durch das Generieren der Suchergebnisseiteninhalte gefördert. Die Suchergebnisseiteninhalte erfüllen daneben aber auch den Zweck, dem Suchmaschinennutzer die Auswahl unter den Suchtreffern zu vereinfachen, indem sie ihm eine gewisse Vorschau auf die zu erwartenden Inhalte liefern.219 Sie verbessern damit auch die Funktionalität und Benutzerfreundlichkeit der Suchmaschine und dienen nicht ausschließlich der Effizienzsteigerung des Übermittlungsvorgangs. Da die Zwischenspeicherung der Suchergebnisseiteninhalte bei einem engen, technischen Verständnis gar nicht, bei einem weiteren, funktionellen Begriffsverständnis zumindest nicht ausschließlich dem Zweck der effizienten Übermittlung fremder Daten dient, ist § 9 TMG im Hinblick auf die Suchergebnisseiteninhalte nicht direkt anwendbar. cc) Anwendbarkeit von § 9 TMG analog Da keine Vorschrift der §§ 8 bis 10 TMG unmittelbar auf Suchmaschinen passt, ist eine Analogiebildung zu erwägen. Denkbar wäre eine analoge Anwendung von § 9 TMG. Ein Analogieschluss ist nur möglich, wenn eine planwidrige Regelungslücke vorliegt und eine vergleichbare Interessenlage besteht.220

218

Koch, K&R 2002, 120 (126); Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (17). Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (17). 220 Zum Ausfüllen von Gesetzeslücken durch Analogie Larenz/Canaris, Methodenlehre der Rechtswissenschaft, 1995, S. 191 ff. (insbes. zur planwidrigen Lücke S. 194 ff. u. zur Analogie S. 202 ff.). 219

I. Konfliktfeld 1: Datenschutz des Suchobjekts

147

(1) Planwidrige Regelungslücke Wie bereits erwähnt, verneint die herrschende Meinung die Planwidrigkeit der Regelungslücke aufgrund der bewussten Entscheidung des deutschen und europäischen Gesetzgebers gegen eine explizite Regelung der Suchmaschinenverantwortlichkeit.221 Auf die Forderung des Bundesrates zur Schaffung eines den §§ 8 ff. TMG vergleichbaren Suchmaschinentatbestandes erwiderte die Bundesregierung: „Im Hinblick auf die Komplexität der damit zusammenhängenden Fragen, die sich insbesondere aus den unterschiedlichen Verfahren und Handlungsformen […] und den vielfältigen Fallgestaltungen ergeben, ist zunächst die weitere Entwicklung in Wissenschaft und Rechtsprechung zu verfolgen und eine generelle Regelung möglichst auf europäischer Ebene anzustreben.“222 Zu diesem Satz ist anzumerken, dass eine analogiefähige Lücke auch eine vom Gesetzgeber bewusst gelassene Lücke sein kann, wenn der Gesetzgeber die Klärung dieser Frage der Rechtsprechung und Lehre überlassen wollte.223 Man könnte den Verweis der Bundesregierung auf die vorherige Schaffung einer Regelung auf EU-Ebene als eine aufschiebende Bedingung für das Tätigwerden des deutschen Gesetzgebers verstehen, sodass die Entscheidung für ein Abwarten auf eine europaweite Regelung die Entscheidung gegen eine vorläufige Anwendung von Verantwortlichkeitsfreistellungsnormen ist und somit doch ein einer Analogie entgegenstehendes „beredtes Schweigen“ gegeben wäre. Der Vorrang der Bemühung um eine europaweite Normierung ist jedoch nicht unbedingt formuliert („möglichst“). Gleichzeitig zeichnet sich auf EU-Ebene ein gesetzgeberisches Tätigwerden nicht ab. Die EU hat sogar die Schaffung einer Suchmaschinenverantwortlichkeitsregelung einzelner Staaten auf dem Boden des aktuellen europäischen Rechtsrahmens ausdrücklich gebilligt.224 In Anbetracht dieser Umstände ist anzunehmen, dass eine Erstreckung der TMG-Regelungen auf Suchmaschinen durch Analogiebildung im nationalen Alleingang nicht dem Willen des deutschen Gesetzgebers zuwider läuft. Eine Analogiebildung zur Schließung der Regelungslücke im Bereich der Suchmaschinenverantwortlichkeit ist somit möglich. (2) Vergleichbare Interessenlage Die Interessenlage bei der Verantwortlichkeit von Suchmaschinenbetreibern für die Inhalte der Ergebnisseite ist auch mit der Situation von Betreibern von ProxyCache-Servern hinreichend vergleichbar. Denn über die Feststellung, dass die Ergebnisseiteninhalte ebenfalls fremde, automatisch und zeitlich begrenzt zwischengespeicherte Informationen sind, drängen sich auch weitere Parallelen auf. So ließe sich argumentieren, dass es sich bei einer Suchmaschine in funktioneller Hinsicht 221

Oben D. I. 3. e). BT-Drs. 14/6098, S. 37. 223 Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (10); Vogel, Juristische Methodik, 1998, S. 133 f. 224 Erster Bericht über die Anwendung der ECRL v. 21. 11. 2003, KOM (2003) 702, 15. 222

148

D. Bundesdatenschutzgesetz und Telemediengesetz

ebenfalls um einen informationsvermittelnden Dienst handelt.225 Außerdem ermöglichen die Ergebnisseiteninhalte dem Nutzer einen schnellen Überblick über die Suchtreffer, dadurch eine Beschleunigung des Auffindens und Auswählens des relevanten Suchergebnisses und gestalten so letztlich die Übermittlung der gesuchten Inhalte effizienter.226 Soweit Suchmaschinen darüber hinaus die Ausschlusskriterien nach § 9 Nr. 1 bis 5 TMG einhalten, ähnelt die Interessenlage in einem ausreichenden, einen Analogieschluss zulassenden Maße der Konstellation der als gesetzlichen Regelfall vorgesehenen Verantwortlichkeitsfreistellung des Caching.227 Suchmaschinenbetreiber sind mithin für die Ergebnisseiteninhalte gem. § 9 TMG analog von der Verantwortlichkeit weitgehend frei gestellt.

4. Ergebnis zu I. Nach aktueller Rechtslage verstößt die Tätigkeit von Suchmaschinen, das Erfassen sämtlicher frei zugänglicher Webinhalte in einem Suchindex und die Übermittlung von Suchergebnissen, gegen die Bestimmungen des BDSG, namentlich § 29 Abs. 1 S. 1 Nr. 2, Abs. 2 BDSG, soweit Suchmaschinen rechtswidrig ins Netz gestellte personenbezogene Daten erfassen. Allerdings sind Suchmaschinen von ihrer datenschutzrechtlichen Verantwortlichkeit freigestellt. Entgegen weit verbreiteter Ansicht lassen sich die §§ 7 ff. TMG auf Suchmaschinen anwenden; dies gilt auch im Hinblick auf datenschutzrechtliche Verpflichtungen. Dabei ist folgendermaßen zu differenzieren: Für Drittinhalte, zu denen Suchmaschinen ihre Nutzer weiter vermitteln, sind Suchmaschinen gem. § 8 Abs. 1 Alt. 2 TMG eingeschränkt verantwortlich und für die Bestandteile, die auf der Suchergebnisseite erscheinen und durch die Suchmaschine zusammengestellt wurden (Linktexte und Snippets) ist § 9 TMG in analoger Anwendung einschlägig. Bei der Vermittlung von Drittinhalten greift somit die auf Access-Provider zugeschnittene Verantwortlichkeitsfreistellung des TMG. Für die Erzeugung von Linktexten und Snippets besteht eine Vergleichbarkeit zu Proxy-Cache-Providern. Die Ähnlichkeit liegt in der Funktion jener Suchergebnisseiteninhalte begründet, eine schnellere und effizientere Vermittlung des passenden Suchergebnisses zu ermöglichen. Suchmaschinen sind im Hinblick auf ihr Suchangebot mithin bereits de lege lata von den Verantwortlichkeitsfreistellungsnormen der §§ 7 ff. TMG erfasst. Zu beachten bleibt, dass Suchmaschinenbetreiber trotz der Verantwortlichkeitsfreistellungen nach dem TMG nach § 7 Abs. 2 S. 2 TMG zur Beseitigung datenschutzwidriger Inhalte verpflichtet sind, sobald sie Kenntnis von einer Rechtsverletzung erlangen. § 7 Abs. 2 S. 2 TMG statuiert eine „allgemeine Reaktionsoblie225

Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (18). Sieber/Liesching, MMR 2007 Beil. Heft 8, 1 (18). 227 I. E. auch Koch, K&R 2002, 120 (126); Zimmermann/Stender-Vorwachs, in: Spindler/ Schuster, Recht der elektronischen Medien, Vorb. § 7 ff. TMG Rn. 74. 226

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

149

genheit“ im Rahmen des Zumutbaren für die Beseitigung rechtswidriger Zustände.228 Suchmaschinenbetreiber sind daher verantwortlich für die Beseitigung datenschutzwidriger Inhalte in ihren Suchergebnissen, wenn sie auf rechtswidrige Suchtreffer hingewiesen wurden.229

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen Ohne dass viele Suchmaschinennutzer sich dessen bewusst sind, protokollieren Suchmaschinenbetreiber sämtliche Interaktionen zwischen Nutzer und Suchseite. Suchmaschinen bedürfen dieser Daten für den Betrieb und die Verbesserung des Suchdienstes; vor allem aber lassen sich anhand der Daten Persönlichkeitsprofile der Nutzer generieren, die eine zielgerichtete Werbeansprache ermöglichen und daher einen hohen wirtschaftlichen Wert besitzen.230 In den letzten Jahren ist eine Diskussion darüber entbrannt, ob und in welchem Umfang Suchmaschinenbetreiber beim Sammeln von Nutzerdaten datenschutzrechtlichen Restriktionen unterworfen sind.

1. Anwendbarkeit des TMG a) Sachliche Anwendbarkeit des TMG aa) Personenbezogene Daten Schutzgut des Rechts auf informationelle Selbstbestimmung und Gegenstand des datenschutzrechtlichen Verarbeitungsverbots mit Erlaubnisvorbehalt (§ 4 Abs. 1 BDSG, § 12 Abs. 1, 2 TMG) sind personenbezogene Daten. Dies sind nach der Legaldefinition des § 3 Abs. 1 BDSG Einzelangaben über persönliche und sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Bestimmt ist eine Person, wenn die Daten mit dem Namen des Betroffenen verbunden sind oder sich aus dem Inhalt oder dem Zusammenhang der Bezug unmittelbar herstellen lässt.231 Bestimmbar ist sie, wenn die Person zwar nicht durch die Daten allein identifiziert wird, jedoch ihre Identität mithilfe zusätzlicher Informationen festgestellt werden kann.232

228

Heckmann, Internetrecht, Kap. 1.7 Rn. 136. Ein Hinweis begründet eine Kenntnis der Suchmaschine allerdings nur bei eindeutigen Rechtsverstößen, OLG Nürnberg, ZUM 2009, 249, (251). 230 Oben A. II. 2. u. B. IV. 5. b). 231 Gola/Schomerus, BDSG, § 3 Rn. 10. 232 Dammann, in: Simitis, BDSG, § 3 Rn. 22. 229

150

D. Bundesdatenschutzgesetz und Telemediengesetz

Kurz sollen nochmals die untersuchungsgegenständlichen Daten vergegenwärtigt werden: Suchmaschinen protokollieren regelmäßig IP-Adresse und Uhrzeit der Anfrage, Cookie-ID (falls vorhanden), Suchfeldeingaben, Computerkonfigurationsdaten, Referrer und angeklickte Trefferlinks. Die rechtliche Einordnung dieser Daten – ob anonym, pseudonym und/oder personenbezogen – ist umstritten und seit einigen Jahren Gegenstand einer breiten Diskussion. Kern des Problems ist insbesondere, aufgrund des Fehlens einer eindeutigen Positionierung des Gesetzgebers,233 eine noch immer bestehende Uneinigkeit darüber, wann Daten als bestimmbar anzusehen sind.234 (1) IP-Adressen Besonders offen treten die Meinungsunterschiede zum Verständnis des Personenbezugs bei der Einordnung von IP-Adressen zutage. Am Internet angeschlossene Rechner verwenden zur Kommunikation im Netz entweder statische oder dynamische IP-Adressen. Dynamische IP-Adressen werden durch den Access-Provider für jede Internetsitzung neu zugeteilt, während statische IP-Adressen einem Rechner dauerhaft zugeordnet sind.235 Ein Content-Provider, der die Zugriffe auf sein Webangebot in Logdateien protokolliert, kann in der Datenbank der regionalen IP-Vergabestelle RIPE NCC abfragen, wem das RIPE NCC die IP-Adresse zugeteilt hat.236 Bei einer statischen IP-Adresse erhält er Auskunft über die Stelle, der der Adressraum zugewiesen wurde, aus dem die Adresse stammt sowie Kontaktinformationen.237 Whois-Anfragen sind auch über andere Seiten im Internet möglich und ermöglichen, den Domainnamen zu einer IP-Adresse aufzulösen.238 Ist der Domainname in einer Weise gewählt, die den Nutzer der statischen IP-Adresse erkennen lässt, ist der Personenbezug der IP-Adresse ohne Weiteres herstellbar. Strenggenommen ist durch die Zuordnung einer IP-Adresse zu einem Rechner nicht die Frage beantwortet, welche natürliche Person vor dem Rechner sitzt. Man wird allerdings

233

So der Befund von Dammann, in: Simitis, BDSG, § 3 Rn. 31. Ein Bsp. aus einem ganz anderen „Offline-Kontext“ für die Schwierigkeit der Bestimmung der Personenbeziehbarkeit von Daten bietet OVG Lüneburg, DVBl 2009, 855 – Zulässigkeit der Veröffentlichung von freiwilligen Anliegerbeitragszahlern. 235 Oben B. I. 2. a). 236 http://www.ripe.net/db/index.html (15. 3. 2011); darauf auch schon hinweisend Heidrich, CR 2009, 168 (171), der aber verkennt, dass dies nichts mit der Möglichkeit einer natürlichen Person zu tun hat, selbst Mitglied der RIPE NCC zu werden u. somit unmittelbar von der Vergabestelle IP-Adressen zu beziehen. Als Mitglied beträgt nämlich die Mindestabnahmemenge 2048 IP-Adressen u. es ist ein Bedürfnis für die Zuteilung des Adressraums darzulegen, oben B. I. 2. a). 237 Zu der statischen IP-Adresse des Rechners an meinem Arbeitsplatz am Institut für Öffentliches Recht der Universität Freiburg z. B. erfährt man durch eine Whois-Anfrage bei dem RIPE NCC, dass die IP-Adresse aus dem Adressraum der Universität Freiburg stammt u. erhält Kontaktinformationen eines Mitarbeiters des universitären Rechenzentrums. 238 Z. B. unter http://www.hirnbrauser.de/ac/index.html (15. 3. 2011). 234

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

151

eine ausreichend hohe Wahrscheinlichkeit annehmen dürfen, dass die Person vor dem Rechner der Internetanschlussinhaber ist.239 Bei einer dynamischen IP-Adresse lässt sich anhand einer Whois-Abfrage nur der Access-Provider ermitteln, aus dessen IP-Adressen-Pool die Adresse stammt. In der Konstellation der Protokollierung einer festen IP-Adresse ist der Nutzer der Adresse unter Umständen bestimmbar, im Falle einer dynamischen Adresse ist nur ersichtlich, dass der Nutzer Kunde eines bestimmten Access-Providers ist; eine unmittelbare Bestimmbarkeit der Person ist dann nur unter Mithilfe des Access-Providers möglich. Dieser verfügt über die Zuordnungsdaten, aus denen sich ergibt, zu welchem Zeitpunkt welche IP-Adresse welchem Kunden zugeteilt wurde. Zur Vorratsdatenspeicherung der Verkehrsdaten für den Zeitraum von sechs Monaten ist der AccessProvider nach Art. 3 Abs. 1 i. V. m. 5 Abs. 1 lit. a Nr. 2 VDSRL – die nach der Nichtigerklärung der §§ 113 a, 113 b TKG, § 100 g StPO durch das Bundesverfassungsgericht noch erneut in das deutsche Recht umzusetzen sind – verpflichtet.240 Nach Ablauf der sechs Monate sind die Daten mangels Erlaubnis zur fortgesetzten Speicherung zu löschen;241 eine Herstellung des Personenbezugs ist dann nicht mehr möglich. Die Vorratsdatenspeicherung unterliegt einer engen Zweckbindung. Eine Übermittlung ist nur an Polizeibehörden und Nachrichtendienste zu eng begrenzten Zwecken zulässig.242 Da kein datenschutzrechtlicher Erlaubnistatbestand ersichtlich ist, wäre die Übermittlung an einen Webseitenbetreiber rechtswidrig.243 Außerdem würde sich ein Access-Providers bei einer rechtswidrigen Übermittlung nach § 206 StGB strafbar machen, da die Telekommunikationsverkehrsdaten als Umstände der Telekommunikation dem Fernmeldegeheimnis i. S. d. § 206 Abs. 5 S. 2 und 3 StGB unterliegen.244 Schließlich könnte ein Webseitenbetreiber an die Daten des Accessproviders wohl nur unter Überwindung von Zugangssicherungen gelangen (vgl. § 113 a Abs. 10 S. 2 TKG) und würde sich somit außerdem nach § 202 a StGB strafbar machen. 239

Iraschko-Luscher/Kiekenbeck, RDV 2010, 261 (265). Bis zur Umsetzung der VDSRL ist dem Accessprovider die Speicherung nach § 100 TKG ausschließlich zur Störungsbeseitigung u. zu Abrechnungszwecken gestattet. Die dafür zulässige Speicherdauer richtet sich nach den tatsächlichen Gegebenheiten beim Telekommunikationsunternehmen; gerichtliche Billigung fand eine Speicherung für sieben Tage, BGH, K&R 2011, 193 (196 Tz. 28) – vorgehend LG Darmstadt, CR 2007, 574 u. OLG Frankfurt, MMR 2010, 645). 241 Art. 6 VDSRL sieht eine maximale Speicherdauer von 6 bis 24 Monaten vor. Das Bundesverfassungsgericht sieht eine Speicherdauer von sechs Monaten als „an der Obergrenze dessen, was unter Verhältnismäßigkeitserwägungen rechtfertigungsfähig ist“ liegend an, BVerfGE 125, 260 (322). 242 Eine allgemeine Zugriffsmöglichkeit für Polizei u. Nachrichtendienste auf die Daten ist verfassungswidrig, BVerfGE 125, 260 (355 f.); vgl. auch die vorangegangene einstweilige Anordnung, BVerfGE 121, 1, die einen Abruf zu Strafverfolgungszwecken einstweilig auf Katalogtaten nach § 100 a Abs. 1 StPO beschränkte. 243 Meyerdieks, MMR 2009, 8 (11). 244 Lenckner, in: Schönke/Schröder, StGB, § 206 Rn. 6. 240

152

D. Bundesdatenschutzgesetz und Telemediengesetz

(a) Relative oder absolute Bestimmbarkeit Hinsichtlich der Auslegung des Merkmals „bestimmbar“ lassen sich die Meinungen in zwei Lager einordnen. Einige, insbesondere die Aufsichtsbehörden,245 lassen eine absolute Bestimmbarkeit ausreichen.246 Sie sehen die hinter einem Datum stehende Person bereits dann als bestimmbar an, wenn es, unabhängig von den Fähigkeiten und Mitteln der Daten verarbeitenden Stelle, irgendeiner Stelle möglich ist, den Personenbezug des Datums herzustellen. Hingegen vertritt die (in der Literatur herrschende) Gegenansicht die Auffassung, die Bestimmbarkeit sei einzig in Relation zu der Daten verarbeitenden Stelle zu beurteilen; es spiele keine Rolle, ob (irgendwo auf der Welt) eine Stelle die Verbindung des Datums zu einer Person herstellen könne, maßgeblich sei allein, ob die Daten verarbeitende Stelle mit den ihr zur Verfügung stehenden Mitteln ohne unverhältnismäßigen Aufwand einen Personenbezug herstellen könne.247 Folglich sind für die Vertreter einer absoluten Bestimmbarkeit dynamische und statische IP-Adressen unterschiedslos als personenbezogene Daten zu behandeln. Für sie macht es keinen Unterschied, ob die Identifizierung der die IP-Adresse nutzenden Person einem Logfiles anlegenden Webseitenbetreiber eigentlich verschlossen und nur durch den Access-Provider möglich ist oder ob der Webseitenbetreiber selbst den hinter einer IP-Adresse stehenden Nutzer durch Abfrage der RIPE NCC-Datenbank ermitteln kann.

245

Artikel-29-Datenschutzgruppe, Stellungnahme 4/2007 zum Begriff „personenbezogene Daten“, WP 136, S. 22, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/ wp136_de.pdf (15. 3. 2011); dies., Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 9, http://ec.europa.eu/justice/policies/privacy/docs/ wpdocs/2008/wp148_de.pdf (15. 3. 2011); Düsseldorfer Kreis, Datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internet-Angeboten, http:// www.lfd.m-v.de/dschutz/beschlue/Analyse.pdf (15. 3. 2011); für Schleswig-Holstein https:// www.datenschutzzentrum.de/ip-adressen/ (15. 3. 2011). 246 AG Berlin Mitte, K&R 2007, 600 (601); Pahlen-Brandt, DuD 2008, 34 (37 ff.); dies., K&R 2008, 288 (290 f.); Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 3 Rn. 14; ders., in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (296); Schaar, Datenschutz im Internet, Rn. 153. 247 LG Frankenthal, MMR 2007, 687 (689); AG München, K&R 2008, 767 (767); LG Wuppertal v. 19. 10. 2010, Az. 25 Qs 10 Js 1977/08 – 177/10, Tz. 10 (juris); OLG Hamburg, RDV 2011, 34 (35); Roßnagel/Scholz, MMR 2000, 721 (722 f.); Eckhardt, K&R 2007, 602 (602); ders., K&R 2008, 768 (769); Schleipfer, RDV 2008, 143 (146); Steidle/Pordesch, DuD 2008, 324 (327); Meyerdieks, MMR 2009, 8 (13); Voigt, MMR 2009, 377 (379); Schnabel, K&R 2009, 358 (360); Kirchberg-Lennartz/Weber, DuD 2010, 479 (480); Barnitzke, DuD 2010, 482 (483); Iraschko-Luscher/Kiekenbeck, RDV 2010, 261 (264 f.); Dammann, in: Simitis, BDSG, § 3 Rn. 20, 33; Gola/Schomerus, BDSG, § 3 Rn. 10 u. 43 ff.; Spindler/Nink, in: Spindler/ Schuster, Recht der elektronischen Medien, § 11 TMG Rn. 5; Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 6, http:// blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011); Roßnagel, in: Roßnagel (Hrsg.), HbDSR, Kap. 3.4 Rn. 60 f.; Tinnefeld, in: Roßnagel (Hrsg.), HbDSR, Kap. 4.1 Rn. 22; Kühling/Seidel/Sivridis, Datenschutzrecht, S. 103.

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

153

Für die Anhänger einer relativen Bestimmbarkeit stellt sich das Bild differenzierter dar. Wenn es um die Protokollierung der Seitenzugriffe durch einen Webseitenbetreiber geht, ist für sie der Nutzer einer IP-Adresse nur bei Nutzung einer statischen IP-Adresse bestimmbar i. S. d. § 3 Abs. 1 BDSG, während bei einer dynamischen IP-Adresse eine Zuordnung mangels (legaler) Zugriffsmöglichkeit auf die Daten des Access-Providers regelmäßig ausscheidet, sodass in letzterem Fall IPAdressen keine personenbezogenen Daten sind und somit deren Verarbeitungen theoretisch keinerlei Restriktionen unterworfen sind. Anders als eine dynamische IPAdresse kommt eine statische IP einer dauerhaften Rechnerkennung gleich. Die vielfältige und dauerhafte Verwendung einer statischen Adresse lässt die Wahrscheinlichkeit als hinreichend groß erscheinen, dass eine Daten verarbeitende Stelle mit verhältnismäßigem Aufwand den dahinterstehenden Rechner mitsamt seinem Nutzer identifizieren kann. Die Vertreter einer relativen Sichtweise stellen im Hinblick auf das weite Schutzbereichsverständnis einer absoluten Bestimmbarkeit ein konkretes Schutzbedürfnis in Abrede.248 Die Verarbeitung von Daten durch eine Stelle, der das zur Personenbezugsherstellung erforderliche Zusatzwissen fehlt, sei nämlich nur insoweit frei von rechtlichen Zwängen, als eben keine Übermittlung an oder Speicherung durch eine Stelle mit Zusatzwissen erfolgt. Für diese Datenverarbeitungen würden (wieder) die Bestimmungen des Datenschutzrechts gelten, die ohne Erlaubnistatbestand oder Einwilligung genau diese Formen des Datenumgangs gesetzlich untersagen.249 Sie sehen zur Identifizierung erforderliches Zusatzwissen nur dann als zugänglich an, wenn die Daten verarbeitende Stelle dieses auf legalem Wege erwerben kann,250 weil zu unterstellen ist, dass sich die meisten Datenverarbeiter rechtstreu verhalten würden251 bzw. illegales Handeln als unverhältnismäßig aufwändiges Handeln nicht in Rechnung gestellt werden könne.252 Auf diese Weise entspräche die relative Auslegung des Begriffs „bestimmbar“ auch dem erkennbaren Willen des Gesetzgebers, nur dort Datenverarbeitungen Restriktionen zu unterwerfen, wo ein Schutzbedarf besteht.253 Schließlich zeige sich an den Regelungen des BDSG zu anonymen Daten, dass der deutsche Gesetzgeber von einer relativen Bestimmbarkeit ausgegangen sei. Aus einem Umkehrschluss aus der Definition des anonymen Datums in § 3 Abs. 6 BDSG folge, dass ein personenbezogenes Datum nur dann vorliege, wenn sich der Personenbezug mit einem verhältnismäßigen Aufwand der Ressourcen „Zeit, Kosten und Arbeitskraft“ und nicht „Auskünfte Dritter“ bewerkstelligen lasse.254 Ferner ergebe unter der Prämisse, dass ein anonymisiertes 248 249 250 251 252 253 254

Eckhardt, K&R 2007, 602 (603); Dammann, in: Simitis, BDSG, § 3 Rn. 31. Eckhardt, K&R 2007, 602 (603); Gola/Schomerus, BDSG, § 3 Rn. 10 u. 44 a. Dammann, in: Simitis, BDSG, § 3 Rn. 37. Schleipfer, RDV 2008, 143 (147). AG München, K&R 2008, 767 (768). Dammann, in: Simitis, BDSG, § 3 Rn. 31. Meyerdieks, MMR 2009, 8 (10).

154

D. Bundesdatenschutzgesetz und Telemediengesetz

Datum kein personenbezogenes Datum mehr sei, die Regelung des § 30 Abs. 1 BDSG, die die Übermittlung anonymer Daten unter Verbleib der Schlüsseldaten bei der übermittelnden Stelle ermöglicht, nur Sinn, wenn das Gesetz von einer relativen Bestimmbarkeit ausgeht.255 Diejenigen, die die Bestimmbarkeit der Person absolut betrachten, betonen das Restrisiko der Herstellung des Personenbezugs, das aus der bloßen Existenz von Zuordnungswissen (irgendwo auf der Welt) erwachse. Sie erachten das informationelle Selbstbestimmungsrecht durch den Verweis auf Gesetze, die eine Deanonymisierung durch Datenzusammenführung untersagen, als nicht hinreichend gewahrt; effektiver Datenschutz müsse vielmehr auch rechtswidriges Handeln in Rechnung stellen.256 Die allgemeine Lebenserfahrung zeige, dass Gesetzesverstöße an der Tagesordnung seien.257 Daher bestehe bereits ein Schutzbedürfnis für absolut bestimmbare Daten. Deren Verarbeitung müsse auf das für personenbezogene Daten zulässige Maß beschränkt bleiben, um das Risiko, dass die Daten in Hände mit ausreichend krimineller Energie für die Herstellung des Personenbezugs unter Inkaufnahme von Rechtsbruch gelangen, zu minimieren. Eine besondere Schutzbedürftigkeit begründe sich auch aus dem Umstand, dass Datenschutzverletzungen oftmals unbemerkt für den Betroffenen erfolgten und die später spürbaren Auswirkungen sich nicht mehr zur Verletzungshandlung zurückverfolgen ließen.258 Ferner deute Erwägungsgrund 26 der DSRL auf den Willen des europäischen Gesetzgebers hin, eine absolute Betrachtung der Bestimmbarkeit dem Begriff des personenbezogenen Datums zugrunde zu legen, nach dessen zweitem Satz für die Frage der Bestimmbarkeit alle Mittel zu berücksichtigen seien, „die vernünftiger Weise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten“.259 Der absoluten Sichtweise kann nicht gefolgt werden, weil sie in sich nicht stimmig ist. Die Regelung zur geschäftsmäßigen Datenerhebung und -speicherung zum Zwecke der Übermittlung in anonymisierter Form in § 30 BDSG ist als klarer Fingerzeig des Gesetzgebers zu einem relativen Verständnis des Personenbezugs zu verstehen. Auch Vertreter einer absoluten Bestimmbarkeit konzedieren, dass es sich bei den an Dritte zur Verfügung gestellten Daten „i. d. R. nicht um personenbezogene 255

Meyerdieks, MMR 2009, 8 (10). AG Berlin Mitte, K&R 2007, 600 (601); Pahlen-Brandt, K&R 2008, 288 (290); Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 3 Rn. 15. – Die Aufdeckung der Nutzeridentität muss nicht durch ein Datenleck beim Access-Provider erfolgen, sondern kann auch durch Dritte mithilfe von Techniken wie „History Stealing“ erfolgen, dazu Probst, DSB 2010, 20. 257 Pahlen-Brandt, K&R 2008, 288 (290). 258 Pahlen-Brandt, DuD 2008, 34 (37). 259 AG Berlin Mitte, K&R 2007, 600 (601); Pahlen-Brandt, DuD 2008, 34 (38); Artikel-29Datenschutzgruppe, Stellungnahme 4/2007 zum Begriff „personenbezogene Daten“, WP 136, S. 22, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_de.pdf (15. 3. 2011). 256

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

155

Daten handelt“,260 obwohl die Vorschrift ausdrücklich den Verbleib von Zuordnungsdaten vorsieht und damit eine Aufhebung des Personenbezugs bei einem absoluten Begriffsverständnis eigentlich nicht möglich ist. Eine absolute Bestimmbarkeit ginge ferner mit einer nicht unerheblichen Rechtsunsicherheit für Datenverarbeiter einher, da es für diese schwer überschaubar ist, ob nicht doch irgendwo eine Stelle über Schlüsseldaten verfügt.261 Sie wären auch dann von den gesetzlichen Restriktionen zur Datenverarbeitung betroffen, wenn sie von der Existenz der Schlüsseldaten und des Dateninhabers gar keine Kenntnis besäßen.262 Bestimmte man das Vorliegen von personenbezogenen Daten absolut und nicht aus Sicht der jeweiligen Daten verarbeitenden Stelle, wäre die Stelle unter Umständen gar nicht in der Lage, einem Auskunfts- oder Löschungsanspruch eines Betroffenen nachzukommen, da sie selbst außerstande ist, einzelne Daten dem Anspruchsteller zuzuordnen.263 Der Verweis auf den 26. Erwägungsgrund der DSRL kann ebenfalls nicht überzeugen, denn strafbares Verhalten kann nicht als vernünftigerweise eingesetztes Mittel betrachtet werden.264 Nur unter Zugrundelegung des relativen Bestimmbarkeitsbegriffs ergibt sich ein in sich stimmiges Datenschutzkonzept. (b) Statische und dynamische IP-Adressen Folgt man also einer relativen Sichtweise auf den Begriff der Bestimmbarkeit, so folgt daraus, dass statische IP-Adressen für einen Content-Provider personenbezogene Daten darstellen, während dynamische es erst einmal nicht sind.265 Zu berücksichtigen ist jedoch, dass der die Adresse in den Logfiles abspeichernde ContentProvider der IP-Adresse nicht ansehen kann, ob sie dem anfragenden Rechner dauerhaft oder dynamisch zugewiesen ist. Eine unterschiedliche Behandlung ist der speichernden Stelle also zunächst gar nicht möglich.266 Auch unter der Berücksichtigung, dass die meisten privaten Websurfer über dynamische IP-Adressen im Internet kommunizieren und statische Adressen bei privaten Surfern eher eine Ausnahmeerscheinung sind,267 sodass die Wahrscheinlichkeit sehr hoch ist, dass die unter den protokollierten Adressen surfenden Personen nicht rückverfolgbar sind, hat diese Unsicherheit nichtsdestotrotz im Interesse eines wirksamen Datenschutzes zu Lasten der Daten verarbeitenden Stelle zu gehen. Solange sie im Vorfeld die Möglichkeit nicht ausschließen kann, dass ihr eine Herstellung des Personenbezugs möglich sein könnte, hat sie im Zweifel von einem Personenbezug aller Daten 260

Weichert, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 30 Rn. 1. Meyerdieks, MMR 2009, 8 (10). 262 Meyerdieks, MMR 2009, 8 (10); Voigt, MMR 2009, 377 (379). 263 Meyerdieks, MMR 2009, 8 (12). 264 Meyerdieks, MMR 2009, 8 (12). 265 Die Deanonymisierung auch bei statischen IP-Adressen in nur sehr seltenen Fällen für möglich haltend Schleipfer, RDV 2010, 168 (170). 266 Heidrich, CR 2009, 168 (171); Voigt, MMR 2009, 377 (380). 267 Voigt, MMR 2009, 377 (378). 261

156

D. Bundesdatenschutzgesetz und Telemediengesetz

auszugehen.268 Sie hat daher zu unterstellen, dass alle IP-Adressen statische Adressen sind, die einen Rückschluss auf den Websurfer zulassen, und somit alle protokollierten IP-Adressen als personenbezogene Daten zu behandeln.269 (2) Cookies Ob Cookies personenbezogene Daten sind, ist abhängig von den im Cookie gespeicherten Informationen und dem sonstigen Wissen der Cookie-setzenden Stelle.270 Bei Suchmaschinen erfüllen Cookies in erster Linie den Zweck, einen Nutzer bei einem erneuten Besuch der Suchseite wiederzuerkennen, um dessen Suchanfragen in Vergangenheit und Zukunft zu einem Persönlichkeitsprofil zusammenzufassen.271 Zu diesem Zweck ist es ausreichend, dass der Cookie eine dem Rechner zugeordnete Identifikationsnummer (Cookie-ID) enthält, die bei jeder Interaktion des Rechners mit dem Server der Suchseite mit übertragen wird. Der Nutzer ist anhand der CookieID bestimmbar i. S. d. § 3 Abs. 1 BDSG, wenn der Suchmaschinenbetreiber über das erforderliche Zusatzwissen verfügt, um die Cookie-ID einer natürlichen Person zuzuordnen.272 (a) Verknüpfung mit IP-Adresse Wenn die Cookie-ID eines Rechners zusammen mit dessen IP-Adresse gespeichert wird, ist der Inhaber des Rechners über die IP-Adresse mit dem Cookie möglicherweise bestimmbar. Da nach dem bereits Gesagten die IP-Adresse als personenbezogenes Datum zu behandeln ist und diese gemeinsam mit den Cookie-Informationen von den Suchmaschinen erfasst werden, „infiziert“ insofern die IPAdresse eine Cookie-ID mit dem Personenbezug bei einer gemeinsamen Speicherung in einem Datensatz.273 Denkbar wäre auch eine Protokollpraxis der Suchmaschinenbetreiber, bei der diese die IP-Adresse umgehend löschen, nur die Cookie-Information als Identifizierungsmerkmal abspeichern und anhand des Cookies das Nutzerverhalten auswerten. Die Verarbeitung von einem Cookie zugeordneten Protokolldaten unterliegt weiterhin den Beschränkungen des Datenschutzrechts, wenn die Daten verarbeitende 268 Heidrich, CR 2009, 168 (171); Schnabel, K&R 2009, 358 (360); Dammann, in: Simitis, BDSG, § 3 Rn. 37 u. § 1 Rn. 227. 269 Ebenso Artikel-29-Datenschutzgruppe, Stellungnahme 4/2007 zum Begriff „personenbezogene Daten“, WP 136, S. 20, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/ 2007/wp136_de.pdf (15. 3. 2011); Köcher MMR 2009, Heft 3, V-VI (Nr. V); Heidrich, CR 2009, 168 (171); Ott, MMR 2009, 448 (452); unter den gleichen Prämissen das entgegengesetzte Ergebnis Voigt, MMR 2009, 377 (378); ablehnend ebenfalls Schleipfer, RDV 2010, 168 (170); Kirchberg-Lennartz/Weber, DuD 2010, 479 (481). 270 Heckmann, Internetrecht, Kap. 1.12 Rn. 34. 271 Oben B. III. 4. 272 Voigt, MMR 2009, 377 (380). 273 Iraschko-Luscher/Kiekenbeck, RDV 2010, 261 (265).

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

157

Stelle auch ohne die IP-Adresse über Zusatzwissen verfügt, das ihr eine Herstellung des Personenbezugs ermöglicht. (b) Sign-In-Informationen Ein erforderliches Zusatzwissen könnte ein Suchmaschinenbetreiber auch durch die Verkettung mit Daten aus Sign-In-Diensten274 besitzen.275 Soweit Suchmaschinen solche Dienste anbieten, kann eine Verbindung zwischen Sign-In-Dienst und Websuche über die Abfrage einer für alle Dienste einheitlichen Cookie-ID erfolgen, möglich wäre auch ein Abgleich von IP-Adressen und Nutzungszeitpunkt.276 Soweit also Zusatzwissen aus Sign-In-Diensten vorhanden ist, sind die mit einer Cookie-ID verknüpften Daten personenbezogen. Unerheblich für die Eröffnung des Anwendungsbereichs des Datenschutzes ist, ob eine Zusammenführung der Datensätze tatsächlich erfolgt.277 (c) Suchanfragen Weiterhin ist es nicht ausgeschlossen, dass anhand der protokollierten Suchanfragen mit zunehmender Verfeinerung des Nutzerprofils die dahinter stehende Person identifizierbar wird, der Nutzer sich also aufgrund seiner spezifischen Suchinteressen (unfreiwillig) zu erkennen gibt.278 Reporter der New York Times haben bereits den Beweis erbracht, dass eine Identifizierung von Nutzern anhand der Auswertung von Cookie-IDs und dazugehörigen Nutzeranfragen möglich ist. Diesen gelang es, mit von AOL veröffentlichten Logdateien eine AOL-Nutzerin namentlich zu identifizieren.279 Nicht sehr schwer ist die Ermittlung des Suchenden insbesondere dann, wenn dieser seinen Namen als Suchbegriff verwendet hat.280 274 Die Nutzung bestimmter Zusatzdienste von Google (beispielhafte Aufzählung oben A. III.) ist etwa von der Erstellung eines Google Kontos abhängig. 275 Steidle/Pordesch, DuD 2008, 324 (327); Ott, MMR 2009, 448 (451); dies setzt natürlich voraus, dass der Nutzer richtige Angaben bei der Anmeldung gemacht hat; zur rechtlichen Beurteilung von Falschangaben vor dem Hintergrund von § 13 Abs. 6 S. 1 TMG, wonach Telemediendiensteanbieter die anonyme oder zumindest pseudonyme Nutzung des Dienstes ermöglichen sollen, Schnabel/Freund, CR 2010, 718. 276 Ott, MMR 2009, 448 (451). 277 Ott, MMR 2009, 448 (451 f.). 278 Ott, MMR 2009, 448 (451). 279 Sehr plastisch der Beitrag von Barbaro/Zeller, A Face Is Exposed for AOL Searcher No. 4417749, New York Times v. 9. 8. 2006, http://www.nytimes.com/2006 /08/09/technology/ 09aol.html?ex=1312776000 (15. 3. 2011); auf deutsch: heise online v. 3. 7. 2008, Google muss YouTube-Logfiles an Viacom herausgeben, http://www.heise.de/newsticker/meldung/Googlemuss-YouTube-Logfiles-an-Viacom-herausgeben-183355.html (15. 3. 2011). 280 Laut einer Studie von BITKOM googeln 34 % der Deutschen gelegentlich ihren Namen, heise online v. 14. 10. 2008, Volkssport ”Ego-Googlen”: Jeder Dritte sucht sich selbst, http:// www.heise.de/newsticker/meldung /Volkssport-Ego-Googeln-Jeder-Dritte-sucht-sich-selbst211168.html (15. 3. 2011).

158

D. Bundesdatenschutzgesetz und Telemediengesetz

Eine Identifizierung wird erschwert, wenn der Nutzer seinen Browser so eingestellt hat, dass sämtliche Cookies mit dem Schließen des Browsers gelöscht werden, weil dann jeweils nur die Nutzerdaten einer einzelnen Internetsitzung zu einem Profil zusammengefasst werden können und mit dem erneuten Seitenaufruf nach zwischenzeitigem Schließen des Browsers ein neues Cookie mit einer anderen Identifizierungsnummer gesetzt wird. Auch ist eine Identifizierung des Nutzers schwer möglich, wenn dessen Suchanfragen derart allgemein gehalten sind, dass sie keine Individualisierung des Nutzers ermöglichen. Insofern kann eine Identifizierung des Nutzers über dessen Suchanfragen in einigen Fällen möglich sein und in anderen nicht. In der Situation, in der der Suchmaschinenbetreiber nicht mit Sicherheit die Möglichkeit der Herstellung eines Personenbezugs bei seiner Speicherpraxis ausschließen kann, gilt das schon zu IP-Adressen Gesagte: Der Betreiber muss sicherheitshalber alle Datensätze als personenbezogen behandeln.281 Daher fallen auch über Cookies verknüpfte Suchmaschinennutzerprofile als personenbezogene Daten in den Anwendungsbereich des Datenschutzrechts. bb) Datenumgang Die §§ 11 ff. TMG finden bei der Erhebung und Verwendung von personenbezogenen Daten, die in den Anwendungsbereich des TMG fallen, Anwendung. Die Formen des Datenumgangs sind im TMG nicht eigens definiert; insofern ist auf die Definitionen des BDSG zurückzugreifen.282 (1) Erheben, § 3 Abs. 3 BDSG Der Erhalt der IP-Adresse und die Kenntnisnahme der Eingabedaten ist auf keine gezielte Aktivität der Suchmaschine zurückzuführen. Vielmehr erlangt der Suchmaschinenbetreiber diese Daten zwangsläufig aufgrund der Eigenarten der Internetkommunikation und des Diensteangebots. Das Auslesen der Cookie-Daten kann aber als ein zielgerichtetes Beschaffen von Daten i. S. d. § 3 Abs. 3 BDSG und mithin als Datenerhebung qualifiziert werden, da der Datenübertragung eine Aktivität der Suchmaschine (das Setzen des Cookie) vorausgeht, wodurch eine spätere Wiedererkennung durch das Auslesen des Cookie erst ermöglicht wird.283 (2) Verarbeiten bzw. Nutzen, § 3 Abs. 4, 5 BDSG Bestehende Nutzerprofile werden mit den Protokolldaten angereichert. Es erfolgt also eine Speicherung. Erkenntnisse aus den Nutzerprofilen werden außerdem von 281

Oben Teil D. Fn. 268. Heckmann, Internetrecht, Kap. 1.12 Rn. 37 ff.; ebenso bereits Engel-Flechsig/Maennel/ Tettenborn, Neue gesetzliche Rahmenbedingungen für Multimedia, 1998, S. 23. 283 A. A. Fröhle, Web Advertising, Nutzerprofile und Teledienstedatenschutz, S. 122. 282

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

159

den großen Suchmaschinenbetreibern für die Schaltung personenbezogener Werbung und zur Suchergebnisoptimierung genutzt. cc) Kein Vorrang der §§ 91 ff. TKG oder des BDSG Im Drei-Schichten-Modell284 sind die hier untersuchungsgegenständlichen Nutzerdaten der Interaktionsebene zuzuordnen, denn die Daten geben Auskunft über die Aktionen des Nutzers bei der Dienstenutzung. Daher richtet sich die Rechtmäßigkeit der Datenverarbeitung nach einhelliger Meinung nach den Bestimmungen der §§ 11 ff. TMG.285 dd) Verantwortliche Stelle Hinsichtlich der Speicherung und weiteren Verarbeitung der IP-Adressen sind Suchmaschinenbetreiber ohne Zweifel „Herren der Daten“ und daher verantwortliche Stellen. Gleiches gilt für Nutzerprofile, bestehend aus Cookie-ID und Nutzersucheingaben, wenn diese allein deshalb personenbeziehbar geworden sind, weil der Nutzer aufgrund seiner Suchanfragen identifizierbar wurde (z. B. durch Verwendung seines Namens als Suchbegriff). Der Betroffene kann zwar über seine Browsereinstellungen den Umgang mit Cookies festlegen und jederzeit auf seinem Rechner gespeicherte Cookies löschen, von einer bewussten Selbstoffenbarung des Nutzers, durch das Stellen von Suchanfragen ohne anschließendes Löschen von Cookies, kann aber keine Rede sein, denn die Existenz und Funktionsweise von Cookies ist in der Bevölkerung immer noch wenig bekannt.286 Die Offenbarung der Identität ist vielmehr nur eine nicht beabsichtigte Nebenfolge der Suchmaschinennutzung, ohne dass der Nutzer eine bewusste Verfügung über seine personenbezogenen Daten trifft, insbesondere nicht in dem Umfang, die Personenbeziehbarkeit eines gesamten über ihn erstellten Profils herzustellen.287 Mithin ist die gesamte Profildatenerstellung dem Suchmaschinenbetreiber als verantwortlicher Stelle zuzurechnen. b) Räumlicher Anwendungsbereich Gem. § 1 Abs. 5 TMG trifft das TMG keine Regelung im Bereich des Internationalen Privatrechts und der gerichtlichen Zuständigkeit. Gleichwohl finden sich in § 3 TMG Regelungen zum anwendbaren Sachrecht. Diesen Regelungen liegt das Herkunftslandprinzip zugrunde. Nach § 3 Abs. 1 TMG gilt für in Deutschland niedergelassene Telemedienanbieter deutsches Recht auch dann, wenn sie Telemedien 284

Oben D. I. 1. a) cc). Statt vieler Geis, CR 2002, 667 (668); Düsseldorfer Kreis, Datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internet-Angeboten, http:// www.lfd.m-v.de/dschutz/beschlue/Analyse.pdf (15. 3. 2011); Heckmann, Internetrecht, Kap. 1.15 Rn. 9. 286 Dammann, in: Simitis, BDSG, § 1 Rn. 227. 287 Dammann, in: Simitis, BDSG, § 1 Rn. 227. 285

160

D. Bundesdatenschutzgesetz und Telemediengesetz

im Ausland erbringen. Vice versa regelt der zweite Absatz der Norm, dass in der Europäischen Union niedergelassene Diensteanbieter, die einen Telemediendienst in Deutschland anbieten, keinen stärkeren gesetzlichen Anforderungen als in ihren Mitgliedstaaten unterliegen. Das Verhältnis zwischen § 1 Abs. 5 TMG und § 3 TMG ist nicht ganz klar,288 bedarf aber im Rahmen dieser Arbeit keiner Vertiefung, da nach § 3 Abs. 3 Nr. 4 TMG ausdrücklich die ersten beiden Absätzen des § 3 TMG die Rechtsmaterie des Datenschutzes unberührt lassen. § 3 Abs. 3 Nr. 4 TMG dient der Umsetzung von Art. 1 Abs. 5 lit. b ECRL.289 Diese Norm der ECRL stellt klar, dass die Anwendbarkeit nationalen Datenschutzrechts sich ausschließlich aus den Vorgaben der DSRL und der ISDN-RL ergibt.290 Das Europarecht regelt die Anwendbarkeit nationaler Datenschutzbestimmungen in Art. 4 DSRL, der in § 1 Abs. 5 BDSG in das deutsche Recht umgesetzt wurde. Damit richtet sich die räumliche Anwendbarkeit der §§ 11 ff. TMG nach § 1 Abs. 5 TMG i. V. m. § 1 Abs. 5 BDSG.291 Aus §§ 1 Abs. 2, 5 BDSG folgt die Anwendbarkeit des deutschen Rechts, wenn der Suchmaschinenbetreiber ausschließlich in Deutschland belegen ist und hier Daten verarbeitet.292 Gleiches gilt gem. § 1 Abs. 5 S. 1 BDSG, wenn eine Stelle mit Sitz im EWR über eine deutsche Niederlassung Daten verarbeitet.293 Wenn ein im Nicht-EWR-Ausland ansässiger Suchmaschinenbetreiber mittels Cookies Daten deutscher Suchmaschinennutzer erhebt, ist für den Umgang mit diesen Daten immer der räumliche Anwendungsbereich des TMG eröffnet.294 Anders als das einfache Protokollieren der bei jeder Internetkommunikation anfallenden Verkehrsdaten erfolgt bei der Verwendung von Cookies ein zielgerichtetes Erheben der Nutzerdaten durch das Auslesen des Cookies.295 Das zielgerichtete Platzieren und Auslesen von Cookies auf dem Zielrechner lässt es sachgerecht erscheinen, den Nutzerrechner als Mittel der Datenerhebung des Suchmaschinenbetreibers zu werten, 288

Dazu Heckmann, Internetrecht, Kap. 1.3 Rn. 7 ff. GesE zur Vorgängerregelung des § 4 Abs. 4 Nr. 10 TDG 2001, BT-Drs. 14/6098, S. 19. 290 Auch ErwGr. 14 ECRL; vgl. ferner oben D. I. 3. c). 291 Jotzo, MMR 2009, 232 (234). 292 Oben D. I. 1. b) aa). 293 Oben D. I. 1. b) bb). 294 Ganz h. M., vgl. Duhr/Naujok/Peter u. a., DuD 2002, 5 (7); Jotzo, MMR 2009, 232; Artikel-29-Datenschutzgruppe, Arbeitspapier über die Frage der internationalen Anwendbarkeit des EU-Datenschutzrechts bei der Verarbeitung personenbezogener Daten im Internet durch Websites außerhalb der EU, WP 56, S. 12, http://ec.europa.eu/justice/policies/privacy/ docs/wpdocs/2002/wp56_de.pdf (15. 3. 2011); dies., Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 12, http://ec.europa.eu/justice/ policies/privacy/docs/wpdocs/2008/wp148_de.pdf (15. 3. 2011); Dammann, in: Simitis, BDSG, § 1 Rn. 227; Scheja, Datenschutzrechtliche Zulässigkeit einer weltweiten Kundendatenbank, S. 83 f.; Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (291); a. A. Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, S. 9, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). 295 Dammann, in: Simitis, BDSG, § 1 Rn. 227. 289

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

161

sodass ein Rückgriff der Suchmaschinenbetreiber auf Rechner von deutschen Suchmaschinennutzern den Anwendungsbereich deutschen Datenschutzrechts begründen.296 Die Erlangung von Nutzerdaten stellt ebenfalls eine Erhebung durch im Inland belegene Mittel dar, wenn der jeweilige Diensteanbieter erkennbar gerade den Markt in jenem Land bedienen und somit gezielt die Nutzerdaten der dortigen Verbraucher erlangen will.297 Diese Auslegung ist für die Beteiligten leicht nachvollziehbar und grenzt die Verantwortlichkeit von Suchmaschinenbetreibern in sinnvoller Weise ein.298 Soweit Suchmaschinen ihr Suchangebot erkennbar für den deutschen Markt erbringen (z. B. aufgrund einer Erreichbarkeit der Suchseite unter der Top Level Domain „.de“), haben sie es gerade auf die Erhebung deutscher Nutzerdaten abgesehen. Für diese Suchmaschinen gilt sodann das deutsche Datenschutzrecht. c) Ergebnis zu 1. Bei der Protokollierung des Nutzerverhaltens durch Suchmaschinen ist der Anwendungsbereich des TMG eröffnet. Dies gilt insbesondere, weil Suchmaschinenbetreiber mithilfe von Cookies gewonnene Profile der Suchmaschinennutzung und IP-Adressen als personenbezogene Daten zu behandeln haben und der räumliche Anwendungsbereich des TMG auch für außerhalb des EWR ansässige Suchmaschinenbetreiber eröffnet ist, soweit diese mithilfe von Cookies Daten deutscher Nutzer sammeln oder unter deutscher Länderkennung auftreten.

2. Zulässigkeit der Datenverarbeitung a) Einwilligung Die einfachste Art für einen Suchmaschinenbetreiber, die Rechtmäßigkeit seiner Datenverarbeitung sicherzustellen, ist die vorherige Einholung einer Einwilligung beim Betroffenen.299 Die Einwilligung ist Rechtfertigungsgrund für die Datenverarbeitung gem. § 12 Abs. 1 TMG. Üblicherweise wird bei Suchmaschinen auf die 296

Artikel-29-Datenschutzgruppe, Arbeitspapier über die Frage der internationalen Anwendbarkeit des EU-Datenschutzrechts bei der Verarbeitung personenbezogener Daten im Internet durch Websites außerhalb der EU, WP 56, S. 12, http://ec.europa.eu/justice/policies/ privacy/docs/wpdocs/2002/wp56_de.pdf (15. 3. 2011). 297 Duhr/Naujok/Peter u. a., DuD 2002, 5 (7); Weichert, MR-Int 2007, 188 (188 f.); Jotzo, MMR 2009, 232 (236 f.); Ott, MMR 2009, 448 (450); Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (291). 298 Jotzo, MMR 2009, 232 (236). 299 Die Verlässlichkeit der Einwilligung als Legitimationsgrundlage gegenüber den gesetzlichen Erlaubnistatbeständen betonend Buchner, DuD 2010, 39 (40); zu Anforderungen der Einwilligung im Massengeschäftsverkehr Petri, RDV 2007, 153.

162

D. Bundesdatenschutzgesetz und Telemediengesetz

Protokollierung des Nutzerverhaltens unter Einsatz von Cookies in einer Datenschutzerklärung hingewiesen. Die Datenschutzerklärung ist regelmäßig auf der Startseite des Suchangebots erreichbar. Zweifelhaft ist, ob die Bereitstellung einer Datenschutzerklärung auf der Startseite bei Suchmaschinen ausreichend ist, um eine wirksame Einwilligung des Nutzers in die Verarbeitung der ihn betreffenden Nutzerdaten anzunehmen. Spezielle Anforderungen für die elektronisch erteilte Einwilligung ergeben sich aus § 13 Abs. 2 TMG; daneben sind die allgemeinen Wirksamkeitsvoraussetzungen für Einwilligungen nach den Vorschriften des BDSG zu beachten.300 Zu den allgemeinen Wirksamkeitsvoraussetzungen zählt zunächst die Pflicht zur Einholung der Einwilligung im Vorfeld der Datenerhebung.301 Dies betont § 13 Abs. 1 S. 1 TMG. Suchmaschinen setzen üblicherweise unmittelbar bei dem Aufruf der Seite einen Cookie auf dem Rechner des Nutzers. Auf diese Weise setzt eine Protokollierung des Nutzerverhaltens bereits zu einem Zeitpunkt ein, zu dem dem Nutzer die vorherige Kenntnisnahme von der Protokollierungspraxis des Suchmaschinenbetreibers noch gar nicht möglich war. Wenn der Nutzer noch gar nicht von den Datenschutzbestimmungen des Suchmaschinenbetreibers Kenntnis nehmen konnte, kann dem erstmaligen Aufrufen einer Suchseite auch nicht der Erklärungsinhalt beigemessen werden, der Nutzer erkläre sich mit den Datenschutzbestimmungen des Suchmaschinenbetreibers einverstanden. Als ein Verhalten, das als eine konkludente Einwilligungserklärung gedeutet werden könnte, kommt frühestens das Absetzen der ersten Suchanfrage in Betracht (nachdem also die Suchseite mitsamt des Sucheingabefelds aufgerufen und möglicherweise bereits ein Cookie auf dem Rechner des Nutzers gesetzt wurde). Der Datenerhebungszeitpunkt liegt somit vor der möglicherweise als Einwilligungserklärung zu deutenden Durchführung einer Suchanfrage. Dies ist ein Verstoß gegen die Pflicht zur Einholung der Einwilligung vor der Verarbeitung personenbezogener Daten. Die Pflicht zur umfassenden Aufklärung über den Verarbeitungsumfang, -zweck und die Folgen einer Verweigerung der Einwilligungserteilung aus § 4 a Abs. 1 S. 2 BDSG wird in § 13 Abs. 1 S. 1 TMG für den Telemedienbereich wiederholt. Darüber hinaus beinhaltet § 13 TMG zwingende Vorgaben bezüglich der Mitteilung bestimmter Informationen, z. B. den Hinweis auf Datenverarbeitungen außerhalb des Anwendungsbereichs der DSRL (Abs. 1 S. 1), die Verwendung automatisierter Verfahren (Abs. 1 S. 2) oder auf die jederzeitige Widerrufsmöglichkeit der Einwilligung (Abs. 3). Die im Gesetz spezifizierten Hinweispflichten erfassen nur den typischen Informationsbedarf des Betroffenen; der rechtlich gebotene Informationsumfang richtet sich allein nach den Bedürfnissen im konkreten Fall und kann daher über das gesetzlich ausdrücklich Zwingende hinausgehen.302 Formularmäßig erteilte Einwilligungserklärungen dürfen nicht zu pauschal gefasst, sondern müssen 300 301 302

Kühling/Seidel/Sivridis, Datenschutzrecht, S. 253. Vgl. auch Zscherpe, MMR 2004, 723 (726). Vgl. Petri, RDV 2007, 153 (156).

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

163

hinreichend konkret formuliert sein.303 Je schwerwiegender das Persönlichkeitsrecht des Betroffenen berührt ist, desto präziser sind die Verarbeitungsmöglichkeiten darzustellen.304 Oftmals legen die Datenschutzbestimmungen von Suchmaschinen nicht mit hinreichender Klarheit den Umfang der Datennutzungen offen.305 Dass etwa die Daten aus der Protokollierung der Suchmaschinennutzung weiter angereichert werden durch Daten, die bei Aufrufen des Nutzers anderer Internetseiten anfallen, wenn jene Drittseiten ihre Werbebanner von den Betreibern der Suchmaschine beziehen (weil der Suchmaschinenbetreiber zugleich als Werbevermarkter aktiv ist306), geht z. B. aus den Datenschutzbestimmungen von Google nicht hinreichend deutlich hervor.307 Insofern kann bei den Datenschutzerklärungen mancher Suchmaschinen Präzisierungsbedarf bestehen. Nach dem gesetzlichen Leitbild ist für die Einwilligungserklärung gem. § 4 a Abs. 1 S. 3 BDSG die Schriftform vorgesehen. Im Telemedienbereich kann die schriftliche unter den besonderen Voraussetzungen des § 13 Abs. 2 TMG durch eine elektronische Einwilligung ersetzt werden. Unter einer elektronischen Einwilligung in diesem Sinne wird die elektronische Äußerung eines Willens und dessen elektronische Übermittlung verstanden.308 Eine mögliche konkludente Einwilligungserklärung durch die Inanspruchnahme einer Suchmaschine könnte man bei dieser weiten Begriffsdefinition als eine Form der elektronischen Einwilligung verstehen. Nach umstrittener Ansicht ist die datenschutzrechtliche Einwilligung auch in konkludenter Form erteilbar.309 Fraglich ist allerdings, ob dem Verhalten der bloßen Suchmaschinennutzung tatsächlich der Erklärungswert einer bewussten Einwilligung in die Nutzerdatenprotokollierung beigemessen werden kann und insofern das für elektronische Einwilligungen in § 13 Abs. 2 Nr. 1 BDSG normierte Erfordernis der bewussten und eindeutigen Erteilung erfüllt ist. Für die Auslegung des Inhalts einer möglichen Einwilligungserklärung kann auf die Auslegungsregeln zivilrechtlicher Willenserklärungen (§ 133 BGB) zurückgegriffen werden.310 Willenserklärungen sind so auszulegen, wie sie der Erklärungsempfänger nach Treu und Glauben unter Berücksichtigung der Verkehrssitte ver303 BGH, MMR 2003, 389 (392); ebenso Däubler, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 4 a Rn. 18 m. w. Nachw. 304 Däubler, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 4 a Rn. 18. 305 Voigt, MMR 2009, 377 (382); Ott, MMR 2009, 448 (453). 306 Zu Werbenetzwerken oben B. IV. 5. b). 307 Vgl. die Datenschutzbestimmungen von Google unter http://www.google.de/intl/de/ privacy/privacy-policy.html (15. 3. 2011): „Außerdem verwendet Google in seinen Werbeprogrammen Cookies, um Werbetreibende und Publisher bei der Schaltung und Verwaltung von Anzeigen im gesamten Web und auf Google-Services zu unterstützen.“ 308 Schmitz, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 16.2 Rn. 121. 309 Däubler, in: Däubler/Klebe/Wedde/Weichert, BDSG, § 4 a Rn. 16; a. A. Simitis, in: Simitis, BDSG, § 4 a Rn. 44; Darstellung des Meinungsstreits bei Holznagel/Sonntag, in: Roßnagel (Hrsg.), HbDSR, Kap. 4.8 Rn. 37. 310 Schmitz, in: Hoeren/Sieber, Hb. Multimedia Recht, Kap. 16.2 Rn. 123.

164

D. Bundesdatenschutzgesetz und Telemediengesetz

stehen musste.311 Bei der Beurteilung der Wirksamkeit von datenschutzrechtlichen Einwilligungsklauseln im Onlinebereich können auch die Grundsätze für vorformulierte Einwilligungsklauseln in Allgemeinen Geschäftsbedingungen als Auslegungshilfe dienen.312 Dies gilt etwa für das Verbot überraschender Klauseln nach § 305 c BGB oder die Inhaltskontrolle nach § 307 BGB.313 Die wirksame Einbeziehung von AGB ist nach § 305 Abs. 2 Nr. 1 BGB durch einen deutlich sichtbaren Aushang am Ort des Vertragsschlusses möglich, wenn wegen der Art des Vertragsschlusses ein ausdrücklicher Hinweis auf die AGB nur unter unverhältnismäßigen Schwierigkeiten möglich ist. Hauptanwendungsfall dieser Regelung sind konkludent geschlossene Massenverträge ohne persönlichen Kontakt der Vertragsparteien.314 Für die wirksame Einbeziehung von AGB bei Vertragsschlüssen im Internet ist anerkannt, dass es ausreichend ist, wenn die AGB auf einer Bestellseite im Internet über einen gut sichtbaren Link aufgerufen und ausgedruckt werden können.315 Die allgemeinen Maßgaben für die Einbeziehung von AGB lassen sich allerdings auf die Einwilligung des datenschutzrechtlich Betroffenen nicht deckungsgleich übertragen. Bei datenschutzrechtlichen Einwilligungen gelten erhöhte Anforderungen an die Erkennbarkeit. Dies wird bereits deutlich an dem Hervorhebungsgebot datenschutzrechtlicher Einwilligungsklauseln, wenn diese zusammen mit anderen schriftlichen Erklärungen eingeholt werden (§ 4 a Abs. 1 S. 4 BDSG). Ferner betont § 13 Abs. 2 Nr. 1 TMG explizit das Erfordernis der bewussten und eindeutigen Einwilligungserklärung für die Wirksamkeit der elektronischen Einwilligung. Ein bloßer Aushang, z. B. im Wartezimmer eines Arztes, der über die Übermittlung der Patientendaten an die ärztliche Verrechnungsstelle informiert, genügt daher datenschutzrechtlichen Anforderungen nicht.316 Entsprechend ist es auch nicht ausreichend, einen Link zu den Datenschutzbestimmungen auf einer Internetseite zu platzieren.317 Daher kann eine bewusste und eindeutige Einwilligung auch nicht durch die bloße Benutzung einer Suchmaschine und die Existenz einer erreichbaren Datenschutzerklärung als erteilt unterstellt werden.318 Eine eindeutige Einwilligungserklärung liegt vor, wenn der Nutzer über ein Benutzerkonto bei der Suchmaschine verfügt, in das er sich eingewählt hat, und das Anlegen eines solchen Kontos von der ausdrücklichen Zustimmung in der Protokollierung des Nutzerverhaltens abhängig

311

Ellenberger, in: Palandt, BGB, § 133 Rn. 9. Holznagel/Sonntag, in: Roßnagel (Hrsg.), HbDSR, Kap. 4.8 Rn. 75. 313 Simitis, in: Simitis, BDSG, § 4 a Rn. 84. 314 Grüneberg, in: Palandt, BGB, § 305 Rn. 31. 315 BGH, NJW 2006, 2976. 316 Simitis, in: Simitis, BDSG, § 4 a Rn. 34 unter Verweis auf u. a. BGH, NJW 1992, 2348; Holznagel/Sonntag, in: Roßnagel (Hrsg.), HbDSR, Kap. 4.8 Rn. 59. 317 Zscherpe, MMR 2004, 723 (726). 318 Ott, MMR 2009, 448 (453); Artikel-29-Datenschutzgruppe, Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 19, http://ec.europa.eu/ justice/policies/privacy/docs/wpdocs /2008/wp148_de.pdf (15. 3. 2011). 312

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

165

gemacht wurde.319 Der Regelfall der Suchmaschinennutzung ist jedoch der anonyme Aufruf der Suchseite, ohne das Vorhandensein eines Benutzerkontos. In dieser Konstellation fehlt es an einer wirksamen Einwilligung des Suchmaschinennutzers in die Protokollierung seiner Daten. Weiterhin kann auch nicht aus den Browsereinstellungen des Nutzers auf dessen Haltung zu einer Überwachung seines Nutzerverhaltens geschlossen werden.320 Nutzer können ihre Browser so konfigurieren, dass Cookies nicht akzeptiert werden oder Persistent-Cookies nach Ablauf einer bestimmten Zeit oder wenn der Browser geschlossen wird gelöscht werden. Zu beachten ist allerdings, dass die gängigen Browser voreingestellt sind, Cookies zu akzeptieren321 und die Kenntnis der Existenz und Funktionsweise von Cookies nicht von einem durchschnittlichen Webnutzers erwartet werden kann.322 Aufgrund der dargestellten Gegebenheiten ist bei Suchmaschinen i. d. R. nicht gewährleistet, dass der Nutzer seine Einwilligung bewusst und eindeutig erteilt hat, wie es § 13 Abs. 2 Nr. 1 TMG fordert.323 Gem. § 13 Abs. 2 Nr. 4 TMG müsste der Nutzer auch seine Einwilligung jederzeit widerrufen können. Eine Möglichkeit, der Protokollierung nachträglich zu widersprechen, ist jedoch bei den gängigen Suchmaschinen ebenfalls nicht ersichtlich. Suchmaschinen können daher das Sammeln der Nutzerdaten nicht auf eine Einwilligung der Nutzer stützen. b) Gesetzliche Erlaubnistatbestände Da sich Suchmaschinenbetreiber regelmäßig für die Protokollierung des Nutzerverhaltens nicht auf eine Einwilligung des Nutzers berufen können, stellt sich die Frage nach gesetzlichen Erlaubnistatbeständen. Erneut ist zwischen IP-Adressen und Cookies zu unterscheiden. aa) IP-Adressen Die Zulässigkeit der Verarbeitung von die IP-Adresse beinhaltenden Datensätzen richtet sich nach § 15 Abs. 1 TMG.324 Mangels Pseudonymeigenschaft kommt eine

319

Artikel-29-Datenschutzgruppe, Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, S. 19, http://ec.europa.eu/justice/policies/privacy/ docs/wpdocs/2008/wp148_de.pdf (15. 3. 2011). 320 Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (297). 321 Ott, K&R 2009, 308 (313). 322 Oben Teil D. Fn. 286. 323 Steidle/Pordesch, DuD 2008, 324 (329). 324 Schleipfer, RDV 2008, 143 (146); Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (297); Zweifel an der Anwendbarkeit von § 15 Abs. 3 TMG bei einer Verbindung mit IP-Adressen äußern Steidle/Pordesch, DuD 2008, 324 (327); Ott, MMR 2009, 448 (453).

166

D. Bundesdatenschutzgesetz und Telemediengesetz

Anwendung von § 15 Abs. 3 TMG nicht in Betracht.325 Da Pseudonyme ein personenbezogenes Datum ersetzen, um die Bestimmung des Betroffenen auszuschließen (vgl. § 3 Abs. 6 a BDSG), kann ein Pseudonym niemals aus sich heraus personenbeziehbar sein, denn dann wäre es gerade kein Pseudonym.326 § 15 Abs. 1 TMG erlaubt die Verarbeitung personenbezogener Nutzungsdaten, soweit dies erforderlich ist, um die Inanspruchnahme des Telemediendienstes zu ermöglichen und abzurechnen. Das Merkmal der Erforderlichkeit ist eng auszulegen und hat sich an der konkreten Diensteerbringung zu orientieren.327 Danach erlaubt § 15 Abs. 1 TMG die Speicherung der Nutzer-IP-Adresse nur für den Zeitraum der Dienstenutzung. Dies ist bei einer Suchmaschine der (relativ kurze) Zeitraum der Beantwortung der Suchanfrage.328 Nach einhelliger Auffassung ist die Speicherung der IP-Adresse darüber hinaus nicht von der Erlaubnis nach § 15 Abs. 1 TMG gedeckt.329 Bei Umsonst-Diensten im WWW – wie Suchmaschinen – ist prinzipiell eine Speicherung von dem Nutzer identifizierenden Daten über die konkrete Nutzung hinaus nicht zulässig.330 Statistische Auswertungen unter Verwendung der IP-Adresse sind für die Inanspruchnahme eines Telemediendienstes nicht erforderlich.331 Derartige Auswertungen bezwecken allein eine Optimierung des Webauftritts, welche als „bedarfsgerechte Gestaltung“ des Telemediendienstes allenfalls durch Zuhilfenahme pseudonymer Nutzungsprofile gem. § 15 Abs. 3 TMG zulässig ist.332 Zu eben diesem Zweck erlaubt § 15 Abs. 1 TMG jedoch nicht den Umgang mit unmittelbar personenbezogenen Daten. Es bestehen legitime Interessen der Suchmaschinenbetreiber an der Anfertigung von Nutzerprotokollen. Für die meisten Zwecke, wie die Suchdienstoptimierung (Algorithmusverbesserung, Spammingabwehr), sind aber IP-Adressen nicht erforderlich. Eine frühzeitige Anonymisierung, z. B. durch Löschung der letzten Ziffer, ist 325 Schleipfer, RDV 2008, 143 (146); Ott, K&R 2009, 308 (312); a. A. Hillenbrand-Beck/ Greß, DuD 2001, 389 (391); Weichert, MR-Int 2007, 188 (191); Härting, CR 2008, 743 (748); trotz eigener Zweifel ebenso zur a. A. neigend Steidle/Pordesch, DuD 2008, 324 (327). 326 Dies verkennen diejenigen, die die Verarbeitung von unter IP-Adressen gespeicherten Datensätzen dem Regelungsregime des § 15 Abs. 3 TMG unterwerfen wollen u. zugleich IPAdressen als personenbezogene Daten einstufen. Die Anwendung von § 15 Abs. 3 TMG wäre wiederum vertretbar, wenn man den Personenbezug von IP-Adressen ablehnte. 327 Spindler/Nink, in: Spindler/Schuster, Recht der elektronischen Medien, § 15 TMG Rn. 5. 328 Weichert, MR-Int 2007, 188 (191); Ott, MMR 2009, 448 (453); Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (297). 329 Düsseldorfer Kreis, Datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internet-Angeboten, http://www.lfd.m-v.de/dschutz/beschlue/Analyse.pdf (15. 3. 2011); Weichert, MR-Int 2007, 188 (191); Steidle/Pordesch, DuD 2008, 324 (327); Ott, MMR 2009, 448 (453); K&R 2009, 308 (311); Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (297); Heckmann, Internetrecht, Kap. 1.15 Rn. 12. 330 Heckmann, Internetrecht, Kap. 1.15 Rn. 12. 331 Steidle/Pordesch, DuD 2008, 324 (327). 332 Ott, K&R 2009, 308 (311).

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

167

wünschenswert. Bei einer derartig verstümmelten IP-Adresse wäre der Personenbezug aufgehoben, gleichwohl besäße die Adresse immer noch einen erheblichen Informationswert, z. B. wäre eine relativ genaue Lokalisation des Rechners weiterhin möglich.333 Andererseits verbleiben legitime Beweggründe von Suchmaschinenbetreibern für eine Speicherung der ungekürzten IP-Adresse.334 Bei Attacken durch Schadsoftware besteht ein Bedürfnis von Suchmaschinenbetreibern zur Speicherung derjenigen IP-Adressen, von denen aus die Angriffe erfolgt sind; gleiches gilt für die Verfolgung von Klickbetrug bei Werbeanzeigen. Es ließe sich argumentieren, dass ein Telemediendienst nur sinnvoll angeboten werden kann, wenn vorgenannte rechtswidrige Handlungen wirksam verfolgt werden können, sodass insofern die Speicherung der IP-Adressen zum Zweck der Inanspruchnahme erforderlich sei. Der Gesetzgeber hat jedoch durch § 15 Abs. 4 S. 1 TMG klargestellt, dass eine Verwendung der Nutzungsdaten über den Kommunikationsvorgang hinaus nur zu Abrechnungszwecken zulässig ist und hat somit im Umkehrschluss zu erkennen gegeben, dass Nutzungsdaten, die nicht zu Abrechnungszwecken erforderlich sind, grundsätzlich umgehend zu löschen sind.335 Folglich kann eine Speicherung der IP-Adresse nicht auf § 15 Abs. 1 TMG gestützt werden. Im Hinblick auf das Interesse von Suchmaschinen- bzw. allgemein von Webseitenbetreibern, wirksam gegen Störungen des eigenen Angebots vorzugehen, ist die Gesetzlage äußerst misslich. Dieser Missstand sollte durch Einfügung einer Erlaubnisnorm zur Datenverarbeitung zum Zweck der Störungsbeseitigung als § 15 Abs. 9 TMG (in Anlehnung an § 100 Abs. 1 TKG) im Zuge der Neufassung des BSIGesetzes336 beseitigt werden.337 Dieses Vorhaben wurde jedoch aufgrund der Zeitknappheit bis zum Ende der Legislaturperiode auf unbestimmte Zeit vertagt.338 Mithin besteht de lege lata keine Erlaubnisnorm für die Speicherung der (ungekürzten) IP-Adresse. Sie ist momentan unverzüglich nach der Bearbeitung der Suchanfrage zu löschen. bb) Cookie-ID Die getrennte Betrachtung von IP-Adresse und Cookie ist sinnvoll, weil auch eine Protokollierungspraxis von Suchmaschinenbetreibern denkbar ist, bei der jene auf eine (jedenfalls längerfristige) Speicherung von IP-Adressen verzichten und sich auf die Erstellung von Nutzerprofilen anhand der über die Cookie-ID verknüpfbaren Suchanfragen beschränken. Behavioral Targeting wäre weiterhin möglich. Eine solche Speicherpraxis ist der nachfolgenden Betrachtung zugrunde gelegt. Wenn in 333

Heidrich/Wegener, DuD 2010, 172 (177). Oben B. IV. 335 Heckmann, Internetrecht, Kap. 1.15 Rn. 15. 336 Gesetz zur Stärkung der Sicherheit in der Informationstechnik des Bundes v. 14. 8. 2009 (BGBl. I S. 2121). 337 Vgl. Art. 3 des RegE eines Gesetzes zur Stärkung der Sicherheit in der Informationstechnik des Bundes v. 23. 1. 2009, BR-Drs. 62/09, S. 10. 338 Siehe BT-Drs. 16/13259, S. 8. 334

168

D. Bundesdatenschutzgesetz und Telemediengesetz

Logdateien ungekürzte IP-Adressen eingestellt werden, ist aufgrund des Personenbezugs der IP-Adressen der Datenbestand personenbezogen, sodass sich die Verarbeitung allein (entsprechend dem oben zu IP-Adressen Gesagten) nach § 15 Abs. 1 TMG richtet. Eine andere rechtliche Beurteilung könnte angezeigt sein, wenn in die Profile keine unmittelbar aus sich heraus personenbezogenen Daten aufgenommen werden. Anders als die IP-Adresse ist ein Cookie (jedenfalls ein solches, dessen Informationswert sich auf eine Cookie-ID beschränkt, also keine weitergehenden Informationen zu dem Nutzer beinhaltet) für sich allein betrachtet ein anonymes Datum. Es ist eine beliebe Ziffernfolge, die einem Nutzerrechner willkürlich zugeteilt wird. Die (potentielle) Personenbeziehbarkeit eines solchen Cookies für den Suchmaschinenbetreiber ergibt sich erst aus weiterem Zusatzwissen. Daher ist die Cookie-ID als Pseudonym anzusehen, sodass die Verarbeitung der mit lediglich der Cookie-ID verknüpften Datensätze unter den (im Vergleich zu § 15 Abs. 1 TMG gelockerten) Voraussetzungen nach § 15 Abs. 3 TMG zulässig ist. (1) Personenbezug und Pseudonyme Eine exakte Bestimmung der Pseudonymität i. S. d. § 15 Abs. 3 TMG stellt sich bei näherer Betrachtung als nicht einfach heraus. Die Schwierigkeiten resultieren aus den nicht ganz klaren gesetzlichen Vorgaben. Zweck des BDSG ist ausweislich § 1 Abs. 1 der Schutz des Einzelnen vor Gefahren für das Persönlichkeitsrecht, die aus dem Umgang mit personenbezogenen Daten resultieren. § 4 Abs. 1 BDSG stellt klar, dass die Erlaubnisnormen des BDSG einzig den Umgang mit einen Personenbezug aufweisende Daten regeln. Personenbezogene Daten sind nach der Definition in § 3 Abs. 1 BDSG Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Der Gegenbegriff des personenbezogenen Datums ist das anonyme Datum, denn Anonymisieren ist nach § 3 Abs. 6 BDSG das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. Personenbezogene und anonyme Daten sind sich gegenseitig ausschließende Datenkategorien. Aus einem Umkehrschluss aus den §§ 1 Abs. 1, 4 Abs. 1 BDSG (vgl. auch § 12 Abs. 1 TMG) ergibt sich, dass die Verarbeitung anonymer Daten keinen datenschutzrechtlichen Restriktionen unterworfen ist,339 also anonyme Daten genauso zu behandeln sind wie Daten, die überhaupt keinen Informationswert in Bezug auf Menschen beinhalten. 339

Roßnagel/Scholz, MMR 2000, 721; Gola/Schomerus, BDSG, § 3 Rn. 43; Roßnagel, in: Roßnagel (Hrsg.), HbDSR, Kap. 3.4 Rn. 57; Kühling/Seidel/Sivridis, Datenschutzrecht, S. 104 f.; a. A. Dammann, in: Simitis, BDSG, § 3 Rn. 196: Der Personenbezug ist nur aufgehoben, wenn er endgültig nicht mehr hergestellt werden kann, also nur in Fällen des § 3 Abs. 6 Alt. 1 BDSG.

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

169

In diesen Kontext ist das Pseudonym einzufügen. Pseudonymisieren ist nach § 3 Abs. 6 a BDSG das Ersetzen des Namens oder anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren. Die Definition in § 3 Abs. 6 a BDSG besitzt eine Unschärfe, die die Bestimmung des exakten Anwendungsbereichs von Datenverarbeitungsvorschriften für Pseudonyme (wie § 15 Abs. 3 TMG) erschwert. Nach der Legaldefinition sind Pseudonyme denkbar, die personenbezogen oder auch nicht personenbezogen sind.340 Wenn charakteristisch für ein Pseudonym ist, dass das identifizierende Merkmal durch ein nicht identifizierendes ersetzt wird, ist einerseits möglich, dass eine Liste mit den Zuordnungsdaten (welches identifizierende Merkmal durch welches nicht identifizierende Merkmal ersetzt wurde) geführt und getrennt gespeichert wird. Auf diese Weise wäre bei dem pseudonymisierten Datenbestand für sich allein betrachtet die Zuordnung zu einer natürlichen Person aufgehoben, allerdings könnte die verantwortliche Stelle durch Zusammenführung des Datenbestands mit den Zuordnungsdaten die Pseudonymisierung jederzeit wieder rückgängig machen. Da eine Personenzuordnung der Stelle möglich bleibt, wären die Datensätze weiterhin personenbezogen. Andererseits könnte die verantwortliche Stelle auch darauf verzichten, die Zuordnungsdaten aufzuheben oder sie könnte den pseudonymisierten Datenbestand von einer anderen Stelle erhalten haben, die den Zugriff auf die Zuordnungsdaten ausschließt. In diesem Fall sind die Pseudonymdaten für die verantwortliche Stelle zugleich anonym. Für pseudonymisierte Datensätze sind drei Elemente wesensbestimmend. Das erste Element ist das Pseudonym. Es ist das Personenkennzeichen, das den Namen oder sonstige Identifizierungsmerkmale des Betroffenen ersetzt und als Zuordnungssubjekt fungiert. Das zweite Element sind die Datensätze, die über das Pseudonym in Beziehung zueinander gebracht werden und Informationen über den Pseudonymträger beinhalten. Das dritte Element ist der Zuordnungsschlüssel, der eine Aufdeckung des Pseudonyms ermöglicht. Das Pseudonym ist dann ein personenbezogenes Datum, wenn sich aus der Beziehung zu den Datensätzen oder aus der Verbindung mit dem Zuordnungsschlüssel der Personenbezug ergibt.341 Wenn eine Stelle pseudonymisierte Daten verarbeitet, die zugleich für sie personenbeziehbar sind, ist der Anwendungsbereich des Datenschutzrechts eröffnet und die Verarbeitung fällt unter das Verbot mit Erlaubnisvorbehalt für personenbezogene Daten (§ 4 Abs. 1 BDSG bzw. § 12 Abs. 1 TMG), aufgrund der Verwendung von Pseudonymen greifen jedoch gelockerte Erlaubnistatbestände, z. B. § 15 Abs. 3 S. 1 TMG statt § 15 Abs. 1 TMG. Wenn die verantwortliche Stelle pseudonymisierte Daten verarbeitet, das Aufdeckungsrisiko allerdings sehr gering ist, sind die pseudonymisierten Daten für die Stelle zugleich anonym.342 Pseudonyme können je 340

Hansen, in: Roßnagel (Hrsg.), HbDSR, Kap. 3.3 Rn. 51. Hansen, in: Roßnagel (Hrsg.), HbDSR, Kap. 3.3 Rn. 55. 342 Schleipfer, RDV 2008, 143 (147); Heckmann, Internetrecht, Kap. 1.15 Rn. 29; dies auch anerkennend Roßnagel/Scholz, MMR 2000, 721 (725 f.). 341

170

D. Bundesdatenschutzgesetz und Telemediengesetz

nach Verwendungskontext eine unterschiedliche Anonymitätsstärke aufweisen, die davon abhängt, wie viel Daten mit dem Pseudonym in Verbindung gebracht werden können und wie oft und wie kontextübergreifend das Pseudonym verwendet wird.343 Aufgrund der Aufhebung des Personenbezugs findet auf anonyme Daten das Datenschutzrecht keine Anwendung, d. h. entsprechende Profile unter Pseudonymen können frei von gesetzlichen Bindungen angelegt werden.344 Konsequenz dieser Sichtweise ist, dass Anonymität z. B. gegeben ist, wenn der Datenverarbeiter die Zuordnungsregel zu den Pseudonymen nicht besitzt und das protokollierte Verhalten seiner Natur nach nur ein minimales Risiko der Offenbarung der Identität in sich birgt. Folgendes Szenario soll der Veranschaulichung dienen: Eine große Tageszeitung möchte ihren Webauftritt optimieren. Zu diesem Zweck setzt sie bei jedem Seitenbesucher einen Cookie mit einer den Rechner identifizierenden Cookie-ID, der es ermöglicht, ein Profil über das Surfverhalten innerhalb des Webauftritts zu erstellen. Die IP-Adressen werden nicht gespeichert.

Die Cookie-ID ist eine willkürlich zugewiesene Nummer, die aus sich heraus keine Herstellung eines Personenbezugs ermöglicht. Zugleich ersetzt sie ein anderes möglicherweise identifizierendes Merkmal, die IP-Adresse, und ist daher ein Pseudonym i. S. d. § 3 Abs. 6 a BDSG. Die unter der Cookie-ID zusammengefassten Nutzerdaten geben nur Aufschluss darüber, welche Unterverzeichnisse der Nutzer aufgesucht hat. Diese Informationen ermöglichen nur einen sehr eingeschränkten Einblick in die Interessen des Nutzers; sie sind nicht individuell genug, um aus ihnen auf den Pseudonymträger rückzuschließen. Mangels der Möglichkeit der Herstellung eines Personenbezugs ist das Profil zugleich für die Tageszeitung anonym. Nach der hier vorgestellten Logik ist § 15 Abs. 3 TMG nicht zu beachten. Die Tageszeitung ist in ihrer Verarbeitung der Daten weitgehend frei. Die Personenbeziehbarkeit pseudonymer Webprofile ist gegeben, wenn der Betroffene z. B. bei einer Webseite zugleich seinen Klarnamen angegeben hat, um sich zu registrieren oder etwas zu bestellen.345 Hier hat der Webseitenbetreiber durch Abgleich seiner Datenbestände die Möglichkeit, die natürliche Person hinter einem Profil aufzudecken. Da die Daten verarbeitende Stelle in dieser Konstellation auch über Schlüsseldaten zur Identifizierung der Pseudonymträger verfügt, sind die unter dem Pseudonym angelegten Datensätze personenbezogene Daten. Solange sie die Pseudonym- und Schlüsseldaten strikt trennt, kann sie die pseudonymen Datensätze unter den erleichterten Bedingungen des § 15 Abs. 3 S. 1 TMG verarbeiten. Den erhöhten Gefahren für das informationelle Selbstbestimmungsrecht der Betroffenen durch die Erweiterung der Verarbeitungszwecke für pseudonyme Datensätze begegnet das Gesetz mit einem strikten Zusammenführungsverbot mit den Schlüsseldaten, § 15 Abs. 3 S. 3 TMG. Würde die verantwortliche Stelle sich über das Zu343 344 345

Hansen, in: Roßnagel (Hrsg.), HbDSR, Kap. 3.3 Rn. 61. Schleipfer, RDV 2008, 143 (147); vgl. oben Teil D. Fn. 339. Schleipfer, RDV 2008, 143 (147); ders., RDV 2010, 168 (170).

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

171

sammenführungsverbot hinwegsetzen, wären die Profildaten nicht mehr pseudonym, sondern unmittelbar personenbezogen, sodass ein Datenumgang nur noch nach § 15 Abs. 1 TMG zulässig wäre. Dieses Beispiel verdeutlicht noch einmal, dass der Profildatenbestand für sich allein anonym ist, aufgrund einer für die verantwortliche Stelle erreichbaren Zuordnungsregel die Daten jedoch personenbezogen, allerdings pseudonym sind. Auch um personenbezogene, pseudonyme Nutzungsprofile handelt es sich, wenn ein Webseitenbetreiber zwar ein pseudonymes Nutzerprofil nur aus anonymen Einzeldaten erstellt, allerdings aufgrund der Natur der erfassten Nutzerdaten mit zunehmender Datenanreicherung der Zeitpunkt zu erwarten ist, zu dem der Betroffene bestimmbar wird.346 In dieser Konstellation erfolgt die Herstellung des Personenbezugs nicht durch eine Verbindung des Pseudonyms mit vorhandenen Schlüsseldaten, sondern aus dem Detailierungsgrad der mit dem Profil verbundenen Datensätze. Datensätze zum Nutzerverhalten von Websurfern sind besonders aussagekräftig auf Webseiten, auf denen der Nutzer in Eingabefelder möglicherweise selbst personenbezogene Daten preisgibt.347 Im obigen Beispiel der Tageszeitung gaben die Nutzerdaten lediglich darüber Aufschluss, ob Nutzer sich beispielsweise überwiegend für Wirtschaftsnachrichten und Sport oder für den Lokalteil und das Feuilleton interessierten. Diese Daten sind ihrer Natur nach nicht individuell genug. Ein aus solchen Daten bestehendes Profil könnte auf sehr viele Leute zugleich zutreffen. Nach der hier vorgestellten Sichtweise würde man diese Datenverarbeitung daher als anonyme Pseudonymverwendung einstufen und konsequenterweise erlaubnisfrei stellen. Ein Beispiel für ein pseudonymes Nutzerprofil, bei dem aufgrund der eingestellten Daten ein hohes Aufdeckungsrisiko der hinter dem Profil stehenden Person besteht, sind Profile von Suchmaschinennutzern, denn der Einsatz von Suchmaschinen zur Informationssuche zu allen Lebensbereichen (inklusive „Ego-Googlen“, das Suchen des eigenen Namens) kann zu besonders umfassenden und aussagekräftigen Profilen führen.348 Zu betonen ist, dass die Bewertung, ob die einem Pseudonym in der Zukunft zugeordneten Datensätze möglicherweise zu einer Aufdeckung der Identität des Pseudonymträgers führen können, bereits zu Beginn der Protokollierung vorzunehmen ist, sodass es nicht darauf ankommt, ob das Profil tatsächlich einmal einen derartigen Detaillierungsgrad erreicht, der der verantwortlichen Stelle eine Identifizierung des Betroffenen ermöglicht. Wenn bereits bei der ersten Datenerhebung aufgrund der Natur der zukünftig erfassten Daten eine Identifizierung als hinreichend wahrscheinlich erscheint, ist von Anfang an das Datenschutzrecht zu beachten. Suchmaschinennutzerdaten sind daher potentiell personenbezogene Pseudonymdaten, deren Verarbeitung nur nach Maßgabe des § 15 Abs. 3 TMG zulässig ist.

346 347 348

Schleipfer, RDV 2008, 143 (147). Schleipfer, RDV 2008, 143 (147); ders., RDV 2010, 168 (170). Oben D. II. 1. a) bb) (3).

172

D. Bundesdatenschutzgesetz und Telemediengesetz

Dieses Konzept ist in sich schlüssig, weil es privilegierte Datenverarbeitungserlaubnistatbestände für Pseudonyme in die Systematik der Datenschutzgesetze stringent einbettet. Problematisch an dieser Sichtweise ist allerdings, dass es nur schwer zu bestimmen ist, wann Verhaltensprotokollen ihrer Natur nach ein erhöhtes Risiko der Individualisierung des Betroffenen innewohnt und wann nicht. Dies erschwert Abgrenzungen im Einzelfall. Für die hier vertretene Auslegung des TMG spricht jedoch, dass sie besonders eng am Wortlaut und der Systematik des TMG orientiert ist. (2) Regelungen zu Pseudonymen als Vorsorgeregelungen Die hier vorgenommene Differenzierung nach personenbezogenen und anonymen Nutzungsprofilen unter dem Blickwinkel des vorhandenen Zuordnungswissens der Daten verarbeitenden Stelle stößt nicht auf einhelligen Zuspruch. Andere erkennen zwar an, dass Profildaten unter Pseudonym ohne Inhaberschaft des Zuordnungsschlüssels nicht mehr personenbezogene Daten sind, gleichwohl betonen sie, dass anonyme Daten weiterhin Daten zu einer Person sind, auch wenn diese nicht identifizierbar ist; daher könne das Risiko der Individualisierung nie ganz ausgeschlossen werden.349 Anders als Daten, die überhaupt keine Information zu einer Person beinhalten, gehe auch von anonymen Daten ein gewisses Restrisiko für das informationelle Selbstbestimmungsrecht aus.350 Es könne nicht ausgeschlossen werden, dass aufgrund veränderter Umstände die verantwortliche Stelle zukünftig doch einen Personenbezug herstellen könne. Anonyme Profile unter Pseudonym können sehr detaillierte Informationen über den Pseudonymträger beinhalten. Sie besitzen zudem die Eigenschaft, dass die Offenlegung der Identität der hinter einem in das Profil eingestellten Datum stehenden Person sämtliche Datensätze des Profils mit Personenbezug „infiziert“, der gesamte Datensatz also auf einen Schlag personenbeziehbar wird.351 Insofern bestehe bei Profilen unter Pseudonym eine verschärfte grundrechtliche Gefährdungslage, die die Schaffung von Vorsorgeregelungen zur Verhinderung der künftigen Aufdeckung erforderlich mache.352 Pseudonyme seien demnach immer Schutzgut des Datenschutzrechts. Insofern erfolge durch Regelungen für den Umgang mit Pseudonymen eine Erweiterung des Anwendungsbereichs des Datenschutzrechts über personenbezogene Daten hinaus, soweit Pseudonymdatensätze eigentlich keinen Rückschluss auf die dahinter stehende Person zulassen. § 15 Abs. 3 TMG vergleichbare Normen seien daher keine (bzw. nicht nur) Regelungen zum Umgang mit personenbezogenen Daten, sondern (auch) Vorsorgeregelungen zur Verhinderung der Herstellung eines Personenbezugs.353 Indem sie 349

Roßnagel/Scholz, MMR 2000, 721 (723); Ott, K&R 2009, 308 (312). Schaar, DuD 2001, 383 (386); Roßnagel/Scholz, MMR 2000, 721 (723 f.). 351 Roßnagel/Scholz, MMR 2000, 721 (729). 352 Roßnagel/Scholz, MMR 2000, 721 (728). 353 Als Beispiel die Regelungen des § 4 Abs. 4 TDDSG 1997 u. § 13 Abs. 4 MDStV aufzählend Roßnagel/Scholz, MMR 2000, 721 (729). 350

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

173

jegliche Pseudonymverwendung regeln, erfassen sie auch den Umgang mit nicht personenbezogenen Nutzungsprofilen.354 Auf das obige Beispiel des Webauftritts der Tageszeitung bezogen hätte dieses Verständnis des § 15 Abs. 3 TMG die Anwendbarkeit dieser Norm in jenem Beispiel zur Folge. Während der Wortlaut des § 15 Abs. 3 TMG und auch die Definition des BDSG von Pseudonymisieren in § 3 Abs. 6 a BDSG einem derart weiten Verständnis des Anwendungsbereichs des § 15 Abs. 3 TMG nicht zwingend entgegenstehen, lässt sich aus der Systematik des TMG und dem Wortlaut des § 11 Abs. 1 TMG auf einen anderen gesetzgeberischen Willen schließen. § 11 Abs. 1 TMG stellt ausdrücklich klar, dass „die Vorschriften dieses Abschnittes“ für die Verarbeitung personenbezogener Daten der Nutzer von Telemedien vorbehaltlich der Ausnahmen nach § 11 Abs. 1 Nr. 1 und 2 TMG gelten. Diese Aussage erfasst auch § 15 Abs. 3 TMG. Systematisch ist § 15 Abs. 3 TMG als lex specialis zu § 15 Abs. 1 TMG einzuordnen, soweit bei der Verarbeitung personenbezogener Daten Pseudonyme verwendet werden.355 Auffallend ist zudem, dass Datenverarbeitungserlaubnistatbestände zu Pseudonymen regelmäßig Konstellationen regeln, in denen die verarbeitende Stelle zugleich Schlüsseldaten behält. Beispielhaft sind in dieser Hinsicht das in § 15 Abs. 3 S. 3 TMG normierte Zusammenführungsverbot sowie diverse Datenschutzvorschriften aus dem Fünften Sozialgesetzbuch zur Organisation der gesetzlichen Krankenversicherungen.356 Dies zeigt, dass der Gesetzgeber bei der Schaffung von Datenverarbeitungsvorschriften unter Verwendung von Pseudonymen regelmäßig solche Fälle im Auge hatte, in denen die Daten für die verarbeitende Stelle weiterhin einen Personenbezug aufweisen. Daher ist das Verständnis von Regelungen zu Pseudonymen als Vorsorgeregelungen, die auf alle Fälle der Pseudonymverwendung (unabhängig von einer konkreten Personenbeziehbarkeit) Anwendung finden, abzulehnen und die vorgenannte Auslegung, die nach pseudonymen und anonymen Profilen differenziert, vorzugswürdig. (3) Anforderungen an die Verarbeitung nach dem TMG Die Verarbeitung der von Suchmaschinen mittels Cookie-ID verknüpfbaren Nutzerdaten ist nur unter den Voraussetzungen des § 15 Abs. 3 TMG zulässig. (a) Zweckbindung, § 15 Abs. 3 S. 1 TMG Als zulässige Datenverarbeitungszwecke nennt § 15 Abs. 3 S. 1 TMG die Werbung, Marktforschung und bedarfsgerechte Gestaltung der Telemedien. Suchmaschinennutzerprofile sind insbesondere zu Zwecken der Online-Werbung von hohem

354 Roßnagel/Scholz, MMR 2000, 721 (728 ff.); Hillenbrand-Beck/Greß, DuD 2001, 389 (391); Ott, K&R 2009, 308 (312); Schaar, DuD 2001, 383 (386). 355 Schleipfer, RDV 2008, 143 (148). 356 §§ 268 Abs. 3 S. 2 u. 3, 269 Abs. 3 S. 3 u. 4, 299 Abs. 3 S. 2, 303 c SGB V.

174

D. Bundesdatenschutzgesetz und Telemediengesetz

Wert und werden dazu auch in der Praxis genutzt.357 Insoweit trägt die gesetzliche Regelung den Bedürfnissen der Suchmaschinenbetreiber Rechnung. (b) Von § 15 Abs. 3 TMG erfasste Daten Da § 15 TMG den Umgang mit Nutzungsdaten regelt, ergibt sich aus systematischen Erwägungen, dass in Profile i. S. d. § 15 Abs. 3 TMG nur Nutzungsdaten einfließen dürfen.358 (c) Zusammenführungsverbot, § 15 Abs. 3 S. 3 TMG Bei der Verarbeitung der Pseudonymdaten hat der Suchmaschinenbetreiber das bereits erwähnte Zusammenführungsverbot nach § 15 Abs. 3 S. 3 TMG zu beachten. Dieses verbietet den Betreibern von Suchmaschinen die gezielte Zusammenführung von Pseudonymdaten und identifizierendem Zusatzwissen. Verboten ist die gezielte Auswertung des Nutzerprofils zur Identifizierung des Nutzers oder der Abgleich mit möglicherweise vorhandenen Sign-In-Daten. Um die tatsächliche Beachtung des Zusammenführungsverbots zu gewährleisten, ist dessen Einhaltung durch entsprechende technische und organisatorische Maßnahmen gem. § 13 Abs. 4 S. 1 Nr. 6 TMG abzusichern und der Verstoß nach § 16 Abs. 2 Nr. 5 TMG bußgeldbewehrt. In öffentlichen Äußerungen haben die großen Suchmaschinenbetreiber deutlich gemacht, dass sie die Trennung von Nutzerprofil- und Registrierungsdaten beachten.359 Nach § 38 Abs. 4 S. 1 BDSG sind die zuständigen Datenschutzaufsichtsbehörden (vgl. Abs. 6) befugt, die Grundstücke und Geschäftsräume der dem BDSG unterworfenen Datenverarbeiter zu betreten und Besichtigungen und Prüfungen vorzunehmen. Dem Autor ist kein Fall bekannt, in dem ein deutscher Datenschutzbeauftragter tatsächlich Einsicht in die Verarbeitungsabläufe einer großen, amerikanischen Suchmaschine genommen hat. Auch unterziehen sich die Suchmaschinenbetreiber nach ihren Datenschutzerklärungen zu urteilen zum gegenwärtigen Zeitpunkt keiner

357

Oben B. IV. 5. b). Schleipfer, RDV 2008, 143 (146); Schaar, in: Roßnagel, RMD, § 4 TDDSG Rn. 336; Dix/Schaar, in: Roßnagel, RMD, § 6 TDDSG Rn. 133; Heckmann, Internetrecht, Kap. 1.15 Rn. 22. 359 So ausdrücklich Yahoo! („Außerdem werten wir ggf. Nutzungsprofile unter einem Pseudonym (das nicht mit Daten in ihrem Account zusammengeführt werden kann) aus […]“) u. Microsoft („Zwar nutzt Microsoft ggf. einige der gesammelten Informationen, um die für ihren Benutzer angezeigte Werbung zu personalisieren, die dazu eingesetzten Systeme sind aber so ausgelegt, dass die Werbung nur auf Grundlage von Daten ausgewählt wird, die den Besucher nicht persönlich u. direkt identifizieren.“) jeweils in ihren Datenschutzbestimmungen; unklar hingegen die Datenschutzbestimmungen von Google i. d. F. v. 11. 3. 2009, jedoch betonte der globale Datenschutzbeauftrage von Google öffentlich, dass eine Zusammenführung definitiv nicht erfolge, vgl. Hamann, „Man muss lernen, anonym zu bleiben“, Zeit Online v. 1. 5. 2008, http://www.zeit.de/2008/19/Interv_-Fleischer (15. 3. 2011). 358

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

175

Zertifizierung durch Externe. Die Einhaltung der Beteuerungen der Suchmaschinenbetreiber unterliegt mithin aktuell keiner externen Kontrolle.360 (d) Unterrichtungspflichten, § 13 Abs. 1 S. 1 TMG Gem. § 13 Abs. 1 S. 1 TMG hat der Diensteanbieter zu Beginn des Nutzungsvorgangs den Nutzer über Art, Umfang und Zwecke der Datenverarbeitung zu informieren sowie auf das Widerspruchsrecht nach § 15 Abs. 3 S. 1 TMG gem. § 15 Abs. 3 S. 2 TMG hinzuweisen. Bei der Websuche eines nicht registrierten Nutzers weiß der Suchmaschinenbetreiber nicht, ab welchem Zeitpunkt das Nutzerprofil hinreichend angereichert ist, sodass die Nutzeridentität hinter dem Profil ohne unverhältnismäßigen Aufwand bestimmbar ist. Die Protokollierung des Nutzerverhaltens kann als ein „automatisiertes Verfahren, das eine spätere Identifizierung des Nutzers ermöglicht und eine Erhebung oder Verwendung personenbezogener Daten vorbereitet“ betrachtet werden, sodass § 13 Abs. 1 S. 2 TMG klarstellt, dass die Unterrichtungspflicht bereits bei der erstmaligen Profilanlage besteht.361 Soweit Suchmaschinen das Verhalten ihrer Nutzer protokollieren, informieren sie den Nutzer nicht explizit von dieser Praxis. Stattdessen platzieren sie auf ihrem Webauftritt einen Link zu den Datenschutzbestimmungen. Folglich erfährt der Nutzer von seiner Verhaltensprotokollierung nur, wenn er sich aus Eigeninitiative die Datenschutzbestimmungen des jeweiligen Anbieters durchliest. Im Interesse einer nicht unverhältnismäßigen Verkomplizierung der Webkommunikation wird man das bloß passive Bereithalten einer Datenschutzerklärung zur Erfüllung der Unterrichtungspflicht nach § 13 Abs. 1 S. 1 TMG genügen lassen, wenn die Datenschutzerklärung unmittelbar auf der Startseite in gut sichtbarer Form als Link mit einem Klick362 zugänglich ist und auch inhaltlich den Nutzer umfassend informiert.363 Der Nutzer wird nicht hinreichend auf sein Widerspruchsrecht aufmerksam gemacht, wenn die Datenschutzerklärung ihn lediglich über den Einsatz von Cookies in Kenntnis setzt und auf die technische Möglichkeit der Deaktivierung von Cookies mittels Browsereinstellungen hinweist.364 Auf diese Weise wird dem Nutzer nicht die 360

Zweifel an der Beachtung des Zusammenführungsverbots durch die Suchmaschinenbetreiber äußernd Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (297). 361 Schleipfer, RDV 2008, 143 (149); Heckmann, Internetrecht, Kap. 1.15 Rn. 32. – Folgte man der Ansicht, dass Profile unter Pseudonym grds. vom Datenschutzrecht erfasst werden sollten, könnte man § 13 Abs. 1 S. 1 TMG ebenfalls als eine Vorsorgereglung begreifen u. so aus ihr eine Unterrichtungspflicht vor der erstmaligen Nutzung herleiten; so z. B. Schaar, DuD 2001, 383 (386). 362 Ein „Vergraben“ der Datenschutzbestimmungen in zu tiefen Unterverzeichnissen monierend Weichert, MR-Int 2007, 188 (191). 363 Dass Datenschutzerklärungen den Umfang der Profilbildung unter Verknüpfung mit Daten aus dem Aufrufen von Drittseiten nicht hinreichend klar offen legen, wurde bereits oben, D. II. 2. a), moniert. 364 Weichert, MR-Int 2007, 188 (191); Ott, K&R 2009, 308 (312); Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (297).

176

D. Bundesdatenschutzgesetz und Telemediengesetz

Möglichkeit eröffnet, sein individuelles, nur diesen einen Dienst betreffendes Widerspruchsrecht gegenüber dem Diensteanbieter wirksam und unkompliziert auszuüben. Vielmehr wird der (möglicherweise technisch nicht versierte) Nutzer mit der Wahrnehmung des Widerspruchsrechts allein gelassen. Da der durchschnittliche Verbraucher wohl (noch) nicht über die Funktionsweise von Cookies und die Einstellungsmöglichkeiten von Browsern hinreichend informiert ist,365 wird auf diese Weise die Realisierung des Widerspruchsrechts in unzulässigem Maße in den Verantwortungsbereich des Nutzers verlagert.366 Die nicht hinreichende Aufklärung des Nutzers über sein Widerspruchsrecht begründet eine Verletzung der Unterrichtungspflicht und kann als Ordnungswidrigkeit nach §§ 16 Abs. 2 Nr. 1, Abs. 3 TMG mit einem Bußgeld geahndet werden. Eine sinnvolle Möglichkeit der Umsetzung des Widerspruchsrechts wäre das Anbieten des Setzens eines permanenten Opt-Out-Cookies, welches allein die Information enthält, dass dieser Nutzer keine Protokollierung wünscht.367 Große Suchmaschinenbetreiber bieten mittlerweile i. d. R. Opt-Out-Cookies an.368 Weiterhin treffen den Diensteanbieter die allgemeinen Informationspflichten gem. § 5 Abs. 1 TMG, die u. a. Details über den Diensteanbieter, Kontaktinformationen und die zuständige Aufsichtsbehörde bei zulassungspflichtigen Diensten beinhalten. Die Nichteinhaltung dieser Informationspflichten erfüllt ebenfalls einen Ordnungswidrigkeitentatbestand (§ 16 Abs. 2 Nr. 1 TMG). (e) Meldepflicht, § 4 d Abs. 1 BDSG Suchmaschinenbetreiber unterliegen, da sie Verfahren automatisierter Datenverarbeitung nutzen, ausnahmslos (vgl. § 4 d Abs. 4 Nr. 3 BDSG) der Meldepflicht an die zuständige Aufsichtsbehörde nach § 4 d Abs. 1 BDSG. (4) Betroffenenrechte Suchmaschinenbetreiber haben ferner die reelle Wahrnehmungsmöglichkeit der Betroffenenrechte zu gewährleisten. Insbesondere haben sie dem Widerspruchsrecht nach § 15 Abs. 3 S. 1 TMG und dem Auskunftsrecht aus § 13 Abs. 7 i. V. m. § 34 BDSG Geltung zu verschaffen.

365

Oben Teil D. Fn. 286. Ott, K&R 2009, 308 (312). 367 Ott, K&R 2009, 308 (312). 368 Über die Webseite der Network Advertising Initiative (NAI) kann auch zentral das Setzen von Opt-Out-Cookies bei allen Diensteanbietern, die Mitglied des Interessenverbands sind (u. a. Google u. Microsoft), mit einem Klick umgesetzt werden, http://www.networkadvertising.org/managing/opt_out.asp (15. 3. 2011). 366

II. Konfliktfeld 2: Nutzerdatensammlung durch Suchmaschinen

177

(a) Widerspruch, § 15 Abs. 3 S. 1 TMG Gem. § 15 Abs. 3 S. 1 TMG ist die Profilerstellung unter Pseudonym nach dem Opt-Out-Prinzip erlaubt, d. h. sie ist solange zulässig, bis der betroffene Nutzer ihr widerspricht. Suchmaschinenbetreiber haben eine Widerspruchsmöglichkeit vorzusehen und insbesondere den Nutzer über dieses Recht zu unterrichten.369 (b) Auskunft, § 13 Abs. 7 TMG § 13 Abs. 7 TMG gibt dem Betroffenen ein Auskunftsrecht zu den über ihn gespeicherten Daten nach Maßgabe von § 34 BDSG. Ausweislich des Wortlauts der Norm erfasst der Anspruch auch die Auskunft über ein zu der Person angelegtes Pseudonym. Freilich kann die verantwortliche Stelle nur dann über die zu einem Pseudonym gespeicherten Daten eine Auskunft erteilen, wenn der Betroffene ihr anstelle seines Namens das Pseudonym nennt.370 Bei Suchmaschinennutzerprofilen müssten Betroffene die Cookie-Informationen mitteilen. Da es der verantwortlichen Stelle aufgrund des Zusammenführungsverbots (§ 15 Abs. 3 S.1 TMG) unmöglich ist, von einem Klarnamen auf das zugehörige Profil rückzuschließen, kann sie eine Auskunft über das einer Person zugehörige Profil einzig anhand des Namens nicht erteilen. Denkbar wäre, in der Bitte um Auskunft zugleich eine Einwilligung in die Zusammenführung von Pseudonym und Zusatzwissen zu sehen, fraglich ist dann jedoch, ob § 13 Abs. 7 i. V. m. § 34 BDSG seinem Anspruchsinhalt nach auch eine Recherchepflicht zur Verknüpfung von Profil und Zusatzwissen umfasst.

3. Ergebnis zu II. Die Speicherung der IP-Adresse ist nur nach § 15 Abs. 1 TMG zulässig. Diese Norm erlaubt die Speicherung, solange es für die Diensteerbringung nötig ist. Bei Umsonst-Diensten, die der Speicherung der IP-Adresse zu Abrechnungszwecken nicht bedürfen, ist die Speicherung nur für die sehr kurze Zeitspanne der Beantwortung der Suchanfrage zulässig. Eine darüber hinausgehende Speicherung ist mangels Rechtsgrundlage rechtswidrig. Die aktuelle Rechtslage trägt den legitimen Speicherungsinteressen von Webseitenbetreibern nicht hinreichend Rechnung. Wünschenswert wäre der Erlass einer § 100 Abs. 1 TKG vergleichbaren Regelung zur kurzfristigen Speicherung von IP-Adressen zur Störungsbeseitigung. Die baldige Ergänzung des § 15 TMG um einen entsprechenden neunten Absatz ist wünschenswert. Diese Novellierung wurde bereits im Gesetzgebungsverfahren zum BSIGesetz vorgeschlagen, damals jedoch nicht umgesetzt. Die Erstellung von Nutzerprofilen anhand von Cookies, die eine eindeutige Cookie-ID zur Wiedererkennung des Nutzers beinhalten, ist rechtlich gem. § 15 369 370

Zur Unterrichtungspflicht oben D. II. 2. b) bb) (3) (a). Schleipfer, RDV 2008, 143 (149).

178

D. Bundesdatenschutzgesetz und Telemediengesetz

Abs. 3 S. 1 TMG zulässig, soweit gewisse Voraussetzungen beachtet werden. Das Profil darf nicht mit der ungekürzten IP-Adresse angereichert werden, durch gut verständliche und leicht erreichbare Datenschutzbestimmungen hat der Suchmaschinenbetreiber seiner Unterrichtungspflicht nachzukommen, die Meldepflicht nach § 4 d Abs. 1 BDSG ist zu beachten sowie die Wahrnehmung der Betroffenenrechte, insbesondere auf Auskunft und Widerspruch (Opt-out), ist zu ermöglichen.

III. Fazit Soweit Suchmaschinen den Zugang zu datenschutzrechtswidrigen Inhalten an Suchmaschinennutzer durch ihre Trefferlisten ermöglichen, unterliegen sie in weitem Umfang deutschem Datenschutzrecht. Dabei nehmen sie als verantwortliche Stelle datenschutzrechtswidrige Handlungen vor. Sie sind jedoch von ihrer Verantwortlichkeit aufgrund der Verantwortlichkeitsfreistellungsnormen nach § 8 Abs. 1 Alt. 2 TMG bzw. § 9 TMG analog freigestellt. Hinsichtlich der Erstellung von Nutzerprofilen zu Werbezwecken hat sich gezeigt, dass die gesetzlichen Regelungen Suchmaschinenbetreiber nicht in unzumutbaren Umfang beschränken, sondern dem Geschäftsmodell von Suchmaschinen nicht grundsätzlich im Wege stehen. Schwere Differenzen zwischen Recht und Praxis bestehen hinsichtlich der Protokollierung von IP-Adressen. Es ist gemeinhin bei Webseitenbetreibern üblich, die ungekürzten IP-Adressen in den Logdateien zu speichern. Diese Speicherpraxis wird sogar von dem Bundesamt für Sicherheit in der Informationstechnik in den IT-Grundschutz-Katalogen ausdrücklich empfohlen.371 Diese Speicherungen sind, soweit nicht für die Diensteerbringung oder Abrechnungszwecke erforderlich, nach derzeitigem Gesetzesstand rechtswidrig. Hier besteht jedenfalls insoweit legislativer Anpassungsbedarf, als die Speicherung für einige Tage zur Beseitigung von Störungen zulässig sein sollte.372 Im Hinblick auf längerfristige Speicherungen ist es Webseitenbetreibern zumutbar, die IP-Adressen zu kürzen, um einen Personenbezug aufzuheben.

371 https://www.bsi.bund.de/cln_156/ContentBSI/grundschutz/kataloge/m/m04/m04182. html (15. 3. 2011). 372 So auch Sachs, CR 2010, 547 (552).

E. Datenschutz in den USA Das Thema Datenschutz im Internet wird in den USA ebenso wie hierzulande als ein gesellschaftliches Problem wahrgenommen.1 Ein Recht auf Datenschutz (privacy) ist in den Vereinigten Staaten auf bundesverfassungsrechtlicher Ebene nicht explizit normiert. Datenschutzrechtliche Garantien werden allerdings aus einzelnen Verfassungsbestimmungen für jeweils schmal umrissene Anwendungsbereiche, insbesondere aus dem vierten Zusatzartikel zu der Verfassung (4th Am.), abgeleitet.2 Datenschutz, verstanden als der Schutz vor der Offenbarung persönlicher Lebenssachverhalte, wird also nicht umfassend im Sinne eines informationellen Selbstbestimmungsrechts bezüglich aller Daten mit Personenbezug gewährleistet, sondern ist auf Bereiche beschränkt, in denen eine besondere Sensibilität der Daten anerkannt wird. Dies ist vor allem die Privatsphäre des Einzelnen. Privatsphäreschutz beinhaltet nach deutschem Verständnis einen engeren Bereich als Datenschutz, weil letzteres die Sozialsphäre einbezieht.3 Da sich in den Vereinigten Staaten der Datenschutz zu weiten Teilen auf den Schutz der Privatsphäre beschränkt und daher Datenschutz in den Vereinigten Staaten deckungsgleich mit Privatsphäreschutz ist, wird im Folgenden oftmals die Bezeichnung Privatsphäreschutz anstelle von Datenschutz verwendet. Anders als in der US-Verfassung ist ein Privatsphäreschutz in vielen bundesstaatlichen Verfassungen ausdrücklich verankert.4 Auf einfachrechtlicher Ebene ist der Privatsphäreschutz für bestimmte Fallgruppen in den meisten Staaten im durch Richtergewohnheitsrecht (common law) entwickelten Deliktsrecht (tort law) anerkannt und punktuell auch durch geschriebenes Bundes- und einzelstaatliches Recht (statutory law) geschützt.

1 So die Feststellung von Grimm/Roßnagel, DuD 2000, 446; vgl. ebenfalls aus dem Jahr 2000 zum Behavioral Targeting Federal Trade Commission, Online Profiling: A Report to Congress 6/2000, http://www.ftc.gov/os /2000/06/onlineprofilingreportjune2000.pdf (15. 3. 2011); sowie aus der Presse: Businessweek Online v. 20. 3. 2000, ItÏs Time for Rules in Wonderland, http://www.businessweek.com/2000/00_12/b3673001.htm (15. 3. 2011); ferner bereits 1996 Federal Trade Commission, Staff Report: Public Workshop on Consumer Privacy on the Global Information Infrastructure 12/1996, http://www.ftc.gov/reports/privacy/privacy.pdf (15. 3. 2011). 2 In Griswold v. Connecticut, 381 U.S. 479 (1965), wurde Privatsphäreschutz hingegen aus einer Zusammenschau des ersten, dritten, vierten, fünften u. neunten Verfassungszusatzes entwickelt, in Roe v. Wade, 410 U.S. 113 (1973) wurde er mit dem vierzehnten Verfassungszusatz begründet. 3 BVerfGE 65, 1 (45) – es gibt kein belangloses Datum mehr; vgl. oben C. II. 1. a) aa) (3). 4 Z. B. für Kalifornien: Cal. Const. Art. I § 1, Alaska: Alaska Const. Art. I § 22, Florida: Fla. Const. Art. I § 23 oder Illinois: Ill. Const. Art. I § 6.

180

E. Datenschutz in den USA

Aufgrund der aus der Eigenständigkeit folgenden Unterschiedlichkeit des Rechts der fünfzig Einzelstaaten der USA würde eine detaillierte Herausarbeitung aller Unterschiede der einzelstaatlichen Rechtsordnungen den Umfang dieser Arbeit sprengen.5 Auch ist eine derart umfassende Betrachtung nicht erforderlich, um die Grundstrukturen des amerikanischen Datenschutzrechts zu verstehen. Daher fokussiert sich diese Abhandlung auf das Verfassungsrecht und einfache Recht auf Bundesebene der Vereinigten Staaten. Das einfachgesetzliche, bundesrechtliche Datenschutzrecht gewährleistet nur einen punktuellen Privatsphäreschutz für bestimmte, als besonders schützenswert anerkannte Bereiche. Aufgrund dieses fragmentarischen Ansatzes (piecemeal approach)6 gleicht das amerikanische Datenschutzrecht einem Flickenteppich.7

I. Verfassungsrecht Die meisten Grundrechte sind nicht im eigentlichen Verfassungstext (Constitution), sondern in den Zusatzartikeln zur Verfassung (Amendments), insbesondere in den ersten zehn Zusatzartikeln, den Bill of Rights, kodifiziert.8 Verfassungsrechtlicher Datenschutz wird als Teilgehalt unterschiedlicher Amendments errichtet.

1. Herleitung eines Privatsphäreschutzes Die erste ausführliche Auseinandersetzung des Supreme Court mit der Frage eines verfassungsrechtlich gewährleisteten Privatsphäreschutzes erfolgte in der Entscheidung Griswold v. Connecticut.9 Zur Überprüfung stand die Verfassungsmäßigkeit eines Gesetzes, das die Verwendung von Verhütungsmitteln unter Strafe stellte. In der Entscheidung bejahten die Richter die Existenz einer verfassungsrechtlich geschützten Privatsphäre und leiteten diese in ihrem Mehrheitsvotum aus

5 Überblick über einzel- u. bundesstaatliche Datenschutzgesetze bei Smith, Compilation of Federal and State Privacy Laws; Rotenberg, The Privacy Law Sourcebook: United States Law, International Law, and Recent Developments, zit. nach DeVries, Berkeley Technology Law Journal 18 (2003), 283 (289 in Fn. 46). 6 So bezeichnend z. B. Levin/Nicholson, University of Ottawa Law and Technology Journal 2.2 (2005), 357 (361). 7 Die Zusammenhanglosigkeit verschiedener Datenschutzgewährleistung auf unterschiedliche Wurzeln des Datenschutzes zurückführend DeVries, Berkeley Technology Law Journal 18 (2003), 283 (305 f). 8 In die Verfassung selbst sind einige punktuelle Grundrechtgewährleistungen inkorporiert, so das Verbot rückwirkender Strafgesetze, Art. I § 9, das Wahlrecht, Art. I §§ 2 – 4 u. die bundesstaatliche Gleichheitsgarantie in Art. IV § 2. 9 Griswold v. Connecticut, 381 U.S. 479 (1965).

I. Verfassungsrecht

181

einer rechtsanalogen Ausweitung10 einer Zusammenschau verschiedener verfassungsrechtlicher Gewährleistungen, namentlich des ersten, dritten, vierten und fünften Verfassungszusatzes, ab.11 Im konkreten Fall sahen die Richter in dem Gesetz einen verfassungswidrigen Eingriff in die Privatsphäre von Eheleuten. Die Existenz einer verfassungsrechtlich geschützten Privatsphäre wurde in der Entscheidung in der Rechtssache Roe v. Wade bestätigt.12 Das Gericht urteilt in jener Entscheidung, dass das Recht auf Privatsphäre auch die Entscheidung einer Frau umfasse, eine Abtreibung vorzunehmen.13 Es löst damit den Privatsphäreschutz von seinem engen Bezug zu einem verfassungsrechtlich besonders geschützten Bereich (wie Ehe und Familie) und erweitert ihn auf das freie und unabhängige Fällen wesentlicher Basisentscheidungen des Lebens.14 In jener Entscheidung leitete das Gericht das Recht auf Privatsphäre aus dem 14. Verfassungszusatz (14th Am.) ab.15 Der erste Absatz des 14th Am. beinhaltet eine allgemeine Rechtstaatlichkeitsklausel (due process clause), die das Gericht für die Entwicklung solcher Grundrechte heranzieht, die nicht ausdrücklich normiert sind, aber als ebenso fundamental angesehen werden und über das 14th Am. den benannten Freiheiten gleichgestellt werden.16 Den Begründungsansatz über das 14th Am. verwendet das Gericht bis heute. Beispielhaft kann auf die Entscheidung des Supreme Court aus dem Jahr 2003 in der Rechtssache Lawrence et. al. v. Texas verwiesen werden, in der das Gericht die in manchen Bundesstaaten zu dem Zeitpunkt der Entscheidung noch bestehenden Sodomiegesetze für verfassungswidrige Eingriffe in die Privatsphäre der Bürger erklärte.17 Zusammenfassend lässt sich feststellen, dass der Supreme Court den verfassungsrechtlichen Privatsphäreschutz nach dem 14th Am. auf Fälle beschränkt, in denen der Staat in die Entscheidungsfindung zu höchstpersönlichen Fragen oder in intime Lebensbereiche hineinregeln will. Damit ist der Ansatz des Supreme Court zum Privatsphäreschutz wesentlich enger als der Schutz durch das deutsche informationelle Selbstbestimmungsrecht. In der Literatur wird als Anknüpfungspunkt für einen verfassungsrechtlich fundierten Online-Datenschutz zur Gewährleistung von anonymer Internetkommunikation auch der erste Verfassungszusatz in den Mittelpunkt gerückt.18 Das 1st Am. 10 Brugger, Grundrechte und Verfassungsgerichtsbarkeit in den Vereinigten Staaten von Amerika, S. 107. 11 Griswold v. Connecticut, 381 U.S. 479, 482 ff. (1965). 12 Roe v. Wade, 410 U.S. 113 (1973). 13 Roe v. Wade, 410 U.S. 113, 153 (1973). 14 Brugger, AöR 108 (1983), 25 (27). 15 So auch schon das Sondervotum Harlan in Griswold v. Connecticut, 381 U.S. 479, 499 ff. (1965). 16 Brugger, Grundrechte und Verfassungsgerichtsbarkeit in den Vereinigten Staaten von Amerika, S. 104 f. 17 Lawrence et al v. Texas, 539 U.S. 558 (2003). 18 So Helms, Boston University Journal of Science and Technology Law 7 (2001), 288 (307 ff.).

182

E. Datenschutz in den USA

garantiert u. a. die Meinungs- und Versammlungsfreiheit. Die Gewährleistung der Meinungsfreiheit wird sehr weit interpretiert und liefert daher in zweierlei Hinsicht Ansatzpunkte für eine Gewährleistung von Datenschutz im Internet. Zum einen wird darauf verwiesen, dass die Meinungsfreiheit nach dem 1st Am. auch die Freiheit der anonymen Meinungsäußerung schützt.19 Ein Bundesbezirksgericht (district court) hat unter Verweis auf das 1st Am. ein Gesetz des Staates Georgia für verfassungswidrig erklärt, welches das Verschleiern der eigenen Identität bei der Onlinekommunikation unter Strafe stellte.20 Ferner wird in den Schutzbereich der Meinungsfreiheit von manchen der gesamte Prozess der Meinungsbildung einbezogen und auf diese Weise aus dem 1st Am. zugleich eine Freiheit der anonymen Informationsaufnahme abgeleitet.21

2. Datenschutzgewährleistung des 4th Amendment Der Schwerpunkt der datenschutzrechtlichen Diskussion in den Vereinigten Staaten kreist jedoch um die Anwendung und Auslegung des vierten Verfassungszusatzes (4th Am). Das 4th Am. gewährt Schutz des Einzelnen vor unbegründeten hoheitlichen Durchsuchungen, Beschlagnahmen und Festnahmen (unreasonable searches and seizures), indem es die Rechtmäßigkeit jener Maßnahmen an die Voraussetzungen einer richterlichen Anordnung (warrant) auf Grundlage eines begründeten Verdachts (probable cause) knüpft. Der Anwendungsbereich des 4th Am. wird sehr restriktiv ausgelegt. Schutz genießt der Betroffene gegenüber Hoheitsmaßnahmen nur, soweit er eine begründete Vertraulichkeitserwartung (reasonable expectation of privacy) hegen durfte.22 In der grundlegenden Entscheidung des Supreme Court Katz v. United States23 formulierte das Gericht eine Art Zwei-Stufen-Test, anhand dessen das Gericht bis heute bestimmt, ob eine begründete Vertraulichkeitserwartung besteht und daher der Schutzgehalt des 4th Am. berührt ist.24 Voraussetzung einer begründeten Erwartung von Privatheit besteht danach nur, wenn (1.) der Betroffene subjektiv eine besondere Vertraulichkeitserwartung hegte und (2.) diese Erwartung objektiv anerkennenswert ist.25 Das 4th Am. etablierte sich im Anschluss an die Entscheidung zu einem Bollwerk 19 Die Entscheidung McIntyre v. Ohio Elections CommÏn, 514 U.S. 334, 341 ff. (1995) betont das Recht, Flugblätter anonym verteilen zu können. 20 ACLU v. Miller, 977 F. Supp. 1228, 1230, 1232 (N.D. Ga. 1997). 21 Cohen, Connecticut Law Review 28 (1996), 981. 22 Leitentscheidungen zum Reasonable Expectation of Privacy Test bei Solove/Schwartz, Information Privacy Law, S. 262 ff. 23 Katz v. United States, 389 U.S. 347 (1967). 24 Vgl. Solove, George Washington University Law School, Public Law & Legal Theory Research Paper Series No. 215, 1 (22). 25 Katz v. United States, 389 U.S. 347, 361 (1967): „[…] there is a twofold requirement, first that a person have exhibited an actual (subjective) expectation of privacy and, second, that the

I. Verfassungsrecht

183

gegen staatliche Eingriffe in die Privatsphäre,26 gleichwohl ist es aufgrund seiner Beschränkung auf den Bereich mit besonderer Vertraulichkeitserwartung wesentlich enger in seinem Schutzbereich, als das jegliche Datenerhebung und -verarbeitung erfassende informationelle Selbstbestimmungsrecht des Grundgesetzes. In Ausgestaltung des 4th Am.-Schutzes hat der Supreme Court in Folgeentscheidungen die Reichweite des Schutzbereichs empfindlich eingeschränkt. Eine begründete Vertraulichkeitserwartung verneint der Supreme Court für alle offen einsichtigen Bereiche (plain view rule bzw. open field doctrine). Dies sind nach seiner Rechtsprechung neben dem Innenraum eines Pkw27 auch Gewächshäuser, die von einem Polizeihubschrauber überflogen werden28 oder der Schulbereich29 bzw. der Arbeitsplatz von Staatsangestellten.30 Besonders hervorzuheben ist die Entscheidung United States v. Miller.31 Dort befand das Gericht, dass die bei der Hausbank vorgehaltenen Bankdaten ihrer Kunden keinen 4th Am.-Schutz genossen, wenn diese von der Bank an staatliche Stellen übermittelt werden. Der Kunde, der freiwillig die Daten seiner Bankgeschäfte einem Dritten (der Bank) offenbare, nehme bewusst in Kauf, dass die Daten in die Hände staatlicher Behörden gelangen können.32 Es bestehe grundsätzlich keine Vertraulichkeitserwartung mehr, sobald Daten freiwillig in die Hände Dritter gegeben werden, auch wenn die Datenübermittlung an eine Bank in dem Vertrauen erfolge, jene werde die Daten nur zu Vertragszwecken verwenden (third party doctrine).33 Diese Rechtsprechungslinie fortsetzend, verneinte der Supreme Court in der Entscheidung Smith v. Maryland34 eine begründete Vertraulichkeitserwartung für die gewählten Telefonnummern. Jene offenbare der Telefonkunde freiwillig gegenüber seiner Telefongesellschaft, daher gälten die Grundsätze nach United States v. Miller zur freiwilligen Weitergabe von Informationen an Dritte; auch gegenüber der eigenen Telefongesellschaft bestehe keine begründete Vertraulichkeitserwartung bezüglich der Verbindungsdaten.35 Die third party doctrine hat der Supreme Court in einer

expectation be one that society is prepared to recognize as ,reasonableÐ.“ (Sondervotum Harlan). 26 Tene, What Google knows: Privacy and Internet Search Engines, S. 49, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011). 27 Pennsylvania v. Labron, 518 U.S. 938 (1996). 28 Florida v. Riley, 488 U.S. 445, 451 f. (1989). 29 New Jersey v. T. L. O., 469 U.S. 325, 340 (1984). 30 OÏConnor v. Ortega, 480 U.S. 709, 725 f. (1987). 31 United States v. Miller, 425 U.S. 435 (1976). 32 United States v. Miller, 425 U.S. 435, 443 (1976). 33 United States v. Miller, 425 U.S. 435, 443 (1976). 34 Smith v. Maryland, 442 U.S. 735 (1979). 35 Smith v. Maryland, 442 U.S. 735, 743 (1979).

184

E. Datenschutz in den USA

Reihe weiterer Entscheidungen bestätigt.36 Darüber hinaus stellte das Gericht in Smith v. Maryland in Abgrenzung zu der Entscheidung Katz v. United States, in der es um das Abhören von Telefongesprächen ging, fest, dass das 4th Am. von vornherein keinen Schutz für Telefonverbindungsdaten gewährleiste, weil sich der Schutz ausschließlich auf Inhalte von Kommunikation beschränke.37 In Anwendung der skizzierten Rechtsprechung verneinte ein Bundesberufungsgericht den Schutz des 4th Am. bei dem behördlichen Einsatz von Überwachungstechniken, die die Aufzeichnung der aufgerufenen Webseiten, Emailempfänger und -sender und des sonstigen Internetverkehrs des Betroffenen ermöglicht.38 Vor diesem Hintergrund ist zweifelhaft, ob Protokolle der Suchmaschinennutzung unter den Schutz des 4th Am. fallen.39 Nicht ganz eindeutig ist bereits die Qualifikation von Suchanfragen als Kommunikationsinhalte.40 Jedenfalls endet der Schutz des 4th Am. aufgrund der third party doctrine bereits mit der als freiwillig qualifizierten, offen geführten Kommunikation mit einem Dritten, dem Suchmaschinenbetreiber.41 Der Zwei-Stufen-Test zur Bestimmung einer geschützten Vertraulichkeitserwartung wird in der Literatur kritisiert.42 Hingewiesen wird auf die Folgen, dass zum einen misstrauische Bürger aufgrund einer geringeren Vertraulichkeitserwartung geringeren Grundrechtsschutz genießen und zum anderen der Staat durch Ausbau seiner Überwachungsaktivitäten Vertraulichkeitserwartungen und damit Grundrechtsschutz eigenmächtig reduzieren kann.43 Auch wird die tatsächliche Freiwilligkeit einer Preisgabe von vertraulichen Informationen gegenüber Vertragspartnern bezweifelt und auf die zwingende Notwendigkeit vieler Vertragsabschlüsse für den Bürger hingewiesen und damit eine Grundannahme der third party doctrine in Zweifel gezogen.44 Lösungsansätze für eine Fortentwicklung der Dogmatik zum 36 United States v. Jacobsen, 466 U.S. 109 (1984) – Versendung von Drogen via FedEx; SEC v. Jerry T. OÏBrien, Inc., 467 U.S. 735 (1984) – Finanzunterlagen bei Wertpapierhändler; California v. Greenwood, 486 U.S. 35 (1988) – Müllsäcke am Bordstein. 37 Smith v. Maryland, 442 U.S. 735, 743 (1979); a. A. Sondervotum Stewart, 746 ff. 38 United States v. Forrester, 512 F.3d 500 (9th Cir. 2008). 39 Ausführlich Lawless, UCLA Journal of Law & Technology 2007, 1; Tene, What Google knows: Privacy and Internet Search Engines, S. 51 ff., http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011). 40 Dazu Tene, What Google knows: Privacy and Internet Search Engines, S. 58 ff., http:// papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011). 41 Tene, What Google knows: Privacy and Internet Search Engines, S. 51, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011). 42 Skok, Michigan Telecommunications & Technology Law Review 6 (2000), 61 (81 ff.); Simmons, Hastings Law Journal 53 (2002), 1303 (1312 ff.); Solove, Southern California Law Review 75 (2002), 1084; Bellia, George Washington Law Review 72 (2004), 1375 (1403 ff.); Lawless, UCLA Journal of Law & Technology 2007, 1 (Tz. 32 ff.). 43 Tene, What Google knows: Privacy and Internet Search Engines, S. 51, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011). 44 Sondervotum Stewart in Smith v. Maryland, 442 U.S. 735, 743, 746 ff. (1979).

I. Verfassungsrecht

185

4th Am. wurden bereits entwickelt.45 Einen Vorstoß zur Weiterentwicklung der 4th Am.-Doktrin leistete das Bundesberufungsgericht des sechsten Gerichtskreises (Sixth Circuit Court) in der Entscheidung Warshak v. United States, indem es urteilte, dass eine berechtigte Vertraulichkeitserwartung für die Inhalte der bei einem EmailProvider gespeicherten Emails, trotz des Speicherungsortes bei einem Dritten, fortbesteht und daher eine Beschlagnahme beim Provider den Schutzbereich des 4th Am. berührt.46 In die gleiche Richtung ging bereits eine schon 1996 ergangene Entscheidung des Court of Appeals for the Armed Forces in United States v. Maxwell,47 letztere Entscheidung blieb jedoch bis Warshak v. United States von anderen Gerichten weitgehend unberücksichtigt.48 Aufgrund des sehr restriktiven Verständnisses des Supreme Court von Vertraulichkeit i. S. d. 4th Am. genießt der Betroffene, dessen Suchmaschinennutzerdaten vom Suchmaschinenbetreiber an hoheitliche Stellen weitergegeben werden, nach aktuellem Stand der Rechtsprechung keinen Grundrechtsschutz nach dem vierten Verfassungszusatz.49

3. Keine Drittwirkung in das Privatrecht Neben den engen Schutzbereichsgrenzen steht einem umfassenden verfassungsrechtlichen Datenschutz vor der Verarbeitung personenbezogener Daten durch Suchmaschinen darüber hinaus ganz elementar entgegen, dass die Amerikaner das Verständnis der Statuierung einer objektiven Wertordnung durch die Grundrechte und einer damit verbundenen Ausstrahlung in private Rechtsverhältnisse im Sinne deutscher Verfassungsrechtsdogmatik nicht teilen. Die Grundrechte aus der Verfassung der Vereinigten Staaten richten sich historisch betrachtet in erster Linie gegen die Bundesgewalt, denn sie verstehen sich als Antwort auf das Misstrauen gegenüber

45

Oben Teil E. Fn. 42. Warshak v. United States, 490 F.3d 455, 475 (6th Cir. 2007); dazu Wright, I/S: A Journal of Law and Policy for the Information Society 3 (2007 – 2008), 531 (543 ff.). – Diese Entscheidung wurde jedoch später revidiert und die Klage aus anderen Gründen abgewiesen, Warshak v. United States, 532 F.3d 521 (6th Cir. 2008). In einem erneuten Verfahren zwischen den gleichen Beteiligten entschied eine andere Kammer des Sixth Circuit Court allerdings am 14. 12. 2010 wieder im Sinne der Ausgangsentscheidung für einen 4th Am.-Schutz der beim Provider gespeicherten Emails, Nos. 08 – 3997, 08 – 4085, 08 – 4087, 08 – 4212, 08 – 4429, 09 – 3176 = CRi 2011, 18 m. Anm. Royalty. 47 United States v. Maxwell, 45 M.J. 406, 416 ff. (C.A.A.F. 1996). 48 So der Befund von Robison, Georgetown Law Journal 98 (2010), 1195 (1233 m. w. Nachw. in Fn. 230). 49 Herausarbeitung einer grundrechtlichen Schutzlücke bezogen auf den Onlinebereich bei Kerr, George Washington Law Review 72 (2004), 1208 (1209 ff.); Robison, Georgetown Law Journal 98 (2010), 1195 (1226); Letzterer prognostiziert auch keine grundlegende Rechtsprechungsänderung des Supreme Court in der nahen Zukunft (1232 f.). 46

186

E. Datenschutz in den USA

der mit der Verabschiedung der Verfassung neugegründeten Zentralgewalt.50 Über die allgemeine Rechtsstaatlichkeitsklausel des ersten Absatzes des nachträglich ergänzten 14th Am., mit seinem allgemeinen Schutzgebot für Leben, Freiheit und Eigentum, sind mittlerweile auch die bundesstaatlichen Gewalten ebenfalls an die bundesverfassungsrechtlichen Grundrechte weitgehend gebunden.51 Eine Bindung Privater an die Grundrechte wird vom Supreme Court jedoch abgelehnt. Mit Ausnahme des 13th Am., der die Sklaverei verbietet, richten sich alle Grundrechte ausschließlich gegen Träger öffentlicher Gewalt (state action).52 Grundlegend für die state action doctrine ist die Entscheidung des Supreme Court zu den Civil Rights Cases, in denen verschiedene Klagen afroamerikanischer Bürger zusammengefasst wurden, die sich unter Berufung auf den Civil Rights Act von 1875 gegen eine fortgesetzte rassistische Diskriminierung bei der Benutzung von öffentlichen – auch privat betriebenen – Einrichtungen, wie Gasthäusern, sonstigen Versammlungs- und Vergnügungsstätten oder öffentlichen Verkehrsmitteln, wehrten.53 Der Civil Rights Act verbot genau diese Formen der Diskriminierung. Anstelle den Klägern zur Durchsetzung ihrer Rechte zu verhelfen, urteilte der Supreme Court, dass Private die Garantien des 14th Am. nicht verletzen können und daher der Civil Rights Act mit seinem Kontrahierungszwang gegenüber afroamerikanischen Kunden nicht der Durchsetzung des 14th Am. dient und folglich jenes Gesetzgebungswerk mangels Regelungskompetenz des Kongresses verfassungswidrig sei.54 Das Gericht betonte, dass die durch die Verfassung gewährleisteten Grundrechte nicht durch Akte Privater verletzt werden könnten, soweit sie nicht durch die Staatsautorität in Form von Gesetzen, Gewohnheitsrecht oder behördliche Verfahren unterstützt werden. Der ungerechte Akt eines Individuums ist nach Auffassung des Gerichts – soweit keine eben beschriebene autoritative Unterstützung vorliegt – ein privates Vergehen oder eine Straftat dieses Individuums. Jener Akt könnte, auch wenn er die Ausübung einer grundrechtlich geschützten Freiheit erschwert, das Grundrecht selbst nicht verletzen, sondern allenfalls eine rechtliche Verantwortung im Hinblick auf staatliche Gesetze, die das konkrete Verhalten verbieten, begründen.55 Aufgrund der strikten Beschränkung der Grundrechtsbindung auf Akte der öffentlichen Gewalt gewährt die Verfassung der Vereinigten Staaten überhaupt keinen 50 Brugger, Grundrechte und Verfassungsgerichtsbarkeit in den Vereinigten Staaten von Amerika, S. 45; Hay, US-Amerikanisches Recht, Rn. 66. 51 Nowak/Rotunda/Young, Constitutional Law, S. 452 ff.; Brugger, Grundrechte und Verfassungsgerichtsbarkeit in den Vereinigten Staaten von Amerika, S. 47 ff. 52 Zur Reichweite der Grundrechtsbindung nach der state action doctrine Nowak/Rotunda/ Young, Constitutional Law, S. 497 ff.; Brugger, Grundrechte und Verfassungsgerichtsbarkeit in den Vereinigten Staaten von Amerika, S. 30 ff. 53 Civil Rights Cases, 109 U.S. 3 (1883). 54 Civil Rights Cases, 109 U.S. 3, 17 (1883). 55 Civil Rights Cases, 109 U.S. 3, 18 ff. (1883); aus jüngerer Zeit vgl. United States v. Morrison, 529 U.S. 598 (2000); speziell in Bezug auf das 4th Am. United States v. Jacobson, 466 U.S. 109, 113 (1984).

I. Verfassungsrecht

187

Grundrechtsschutz gegenüber der Datenverarbeitung privater Akteure. Es wird darauf vertraut, dass sich der private Sektor durch das freie Spiel der Marktkräfte selbst reguliert.56 Die Leistungsfähigkeit des freien Marktes zur Herstellung eines gerechten Ausgleichs wird teilweise kritisch gesehen.57 Die fehlende Drittwirkung verfassungsrechtlichen Privatsphäreschutzes wird in der Literatur als unbefriedigend wahrgenommen.58

4. First Amendment als Recht auf kommerzielle Datenverarbeitung Der Datenschutz hat in den Vereinigten Staaten auf verfassungsrechtlicher Ebene nicht nur aufgrund des oben dargestellten, vergleichsweise eng umgrenzten Schutzes berührter Grundrechte einen schweren Stand. Zu berücksichtigen ist ferner, dass das Verarbeiten und die Weitergabe von personenbezogenen Daten zugleich den Schutz der im ersten Verfassungszusatz garantierten Meinungsfreiheit genießt.59 Die Rede zur Verfolgung kommerzieller Ziele wurde lange Zeit von dem Supreme Court nicht als von der Meinungsfreiheit gedeckt anerkannt.60 Diesen Standpunkt hat das Gericht in den 1970er Jahren aufgegeben.61 Seitdem ist es Unternehmen wiederholt gelungen, sich vor dem Supreme Court unter Berufung auf das 1st Am. gegen neu geschaffene Datenschutzbestimmungen zu wehren.62 Auch ist die Generierung von Suchergebnissen als ein Ausdruck freier Rede i. S. d. 1st Am. gerichtlich beurteilt worden.63

56 Tene, What Google knows: Privacy and Internet Search Engines, S. 53 m. w. Nachw. in Fn 245, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011). 57 Probleme aufzeigend Froomkin, Stanford Law Review 52 (2000), 1461 (1501); Cohen, Stanford Law Review 52 (2000), 1373 (1397); Schwartz, Harvard Law Review 117 (2004), 2055 (2076 ff.). 58 Tene, What Google knows: Privacy and Internet Search Engines, S. 53 ff., http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011); Helms, Boston University Journal of Science and Technology Law 7 (2001), 288 (10). 59 Darauf hinweisend Grimm/Roßnagel, DuD 2000, 446 (447). 60 Valentine v. Crestensen, 316 U.S. 52 (1942); Breard v. Alexandria, 341 U.S. 622 (1951). 61 Bigelow v. Virginia, 421 U.S. 809 (1975); Virginia State Board of Pharmacy v. Virginia Citizens Consumer Council, 425 U.S. 748 (1976); Bates v. State Bar of Arizona, 433 U.S. 350 (1977); aus jüngerer Zeit Turner Broadcasting Systems, Inc. v. FCC, 512 U.S. 622 (1994); Überblick bei Huie/Laribee/Hogan, Tulsa Journal of Comparative and International Law 9 (2002), 391 (430 ff.); Fisher, American Constitutional Law, S. 538 ff. 62 Darauf hinweisend Levin/Nicholson, University of Ottawa Law and Technology Journal 2.2 (2005), 357 (368); vgl. auch Solove/Schwartz, Information Privacy Law, S. 842. 63 Search King, Inc. v. Google Technology, Inc., U.S. Dist. Western Oklahoma, Case No. CIV-02-1457-M, http://www.docstoc.com/docs/618281/Order-%28Granting-Googles-Motion-to-Dismiss-Search-Kings-Complaint%29 (15. 3. 2011); dazu Grimmelmann, New York Law School Law Review 53 (2008/09), 939 (945); ferner Pasquale, Journal of Business & Technology Law 3 (2008), 61.

188

E. Datenschutz in den USA

Die Meinungsfreiheit genießt in den USA einen besonders hohen Stellenwert;64 Beschränkungen dieser stehen Amerikaner eher misstrauisch gegenüber.65 Der 1st Am.-Schutz des Datenverarbeitens verringert den gesetzgeberischen Handlungsspielraum in der Schaffung allgemeiner Datenschutzgesetze, weil durch sie begründete Beschränkungen des 1st Am. einer engmaschigen Verhältnismäßigkeitsprüfung unterworfen sind, der im Zweifel spezifische, auf bestimmte Teilbereiche beschränkte Regeln eher genügen als genereller angelegte Normierungen zum Datenschutz.66

II. Einfaches Recht 1. Bereichsspezifisch kodifiziertes Datenschutzrecht (statutory law) a) Überblick Bundesrechtliche Datenschutzgesetze kann man nach ihrem Regelungsadressaten in Gesetze unterscheiden, welche die Datenverarbeitung hoheitlicher Stellen betreffen und solchen, die den Datenumgang Privater reglementieren. Für die Darstellung der Zulässigkeit der Datenverarbeitung durch Suchmaschinen ist nur die zweite Kategorie relevant. Um in dieser Abhandlung jedoch zugleich einen allgemeinen Überblick über das Datenschutzrecht in den Vereinigten Staaten zu vermitteln, sollen auch die wesentlichen Legislativakte zur Konstituierung eines öffentlichen Datenschutzes kurz Erwähnung finden.67 Der Privacy Act von 1974 verpflichtet alle Bundesbehörden zur Einhaltung gewisser Datenschutzstandards.68 Zu diesen gehören der Grundsatz der Direkterhebung, der Grundsatz der Datensparsamkeit, die Verpflichtung zur Beachtung der Richtigkeit und Vollständigkeit der Datensätze, die Gewährung von Auskunfts- und Berichtigungsansprüchen und die Verpflichtung zu ausreichenden Maßnahmen der

64 Nicht unterschlagen werden soll, dass „commercial speech“ einen abgeschwächten 1st Am.-Schutz nach Maßgabe des Central Hudson-Tests genießt, wie er in der Entscheidung Central Hudson Gas & Elec. Corp. v. Public Svc. CommÏn, 447 U.S. 557, 564 ff. (1980) entwickelt wurde. 65 Levin/Nicholson, University of Ottawa Law and Technology Journal 2.2 (2005), 357 (368). 66 Vgl. United States v. Playboy Group, Inc., 529 U.S. 803 (2000); aus deutscher Sicht Grimm/Roßnagel, DuD 2000, 446 (447); Talidou, Regulierte Selbstregulierung im Bereich des Datenschutzes, S. 204 f.; Überblick zur Meinungsfreiheit in den USA bei Bußmann, Das Verfassungsrecht der elektronischen Medien in Deutschland und den USA, S. 31 ff. 67 Zum Folgenden insbes. Levin/Nicholson, University of Ottawa Law and Technology Journal 2.2 (2005), 357 (362 ff.). 68 5 U.S.C. § 552 a.

II. Einfaches Recht

189

Datensicherheit.69 Der Privacy Act verbietet die Übermittlung personenbezogener Daten an Dritte, beinhaltet jedoch Ausnahmen von dieser Vorgabe z. B. zu Strafverfolgungszwecken oder zur Förderung des Erhebungszwecks.70 Die Beschränkung des Privacy Act auf Bundesbehörden hat zu der prekären Situation geführt, dass Bundesbehörden sich privater Datensammler zur Erlangung personenbezogener Daten in erheblichem Umfang bedienen. Private Auskunfteien bieten Behörden auf eigens für den Behördengebrauch eingerichteten Webseiten den kostenpflichtigen Zugang zu weitreichenden Persönlichkeitsdossiers.71 Weitere Bundesgesetze zum Datenschutz gegenüber öffentlichen Stellen sind in ihrem Anwendungsbereich wesentlich limitierter und legen Zeugnis ab für den fragmentarischen Charakter des Datenschutzrechts in den USA. Sie regeln das Abhören des Telekommunikationsverkehrs,72 stellen für eine journalistische Veröffentlichung bestimmte Unterlagen unter besonderen Schutz,73 regeln die Weitergabe von Schulakten staatlicher Schulen74 oder von Führerscheinunterlagen der Verkehrsbehörden75 bzw. schützen Bankunterlagen vor staatlichem Zugriff ohne richterliche Anordnung.76 Die zur Regulierung des privaten Sektors erlassenen Bundesgesetze sind in ihrem Regelungsbereich noch punktueller, sodass weite Bereiche der privaten Datenverarbeitung nicht bundesgesetzlich limitiert sind.77 Eine Normierung haben nur besonders sensible Bereich erfahren, bei denen die Gefahren für die Bürger durch einen unregulierten Datenfluss besonders augenscheinlich sind oder die durch Datenschutzskandale bereits erschüttert wurden. Der Fair Credit Reporting Act (FCRA) schafft gewisse Mindestregeln für die Branche der Wirtschaftsauskunfteien des Landes, deren Einhaltung von der Federal 69 Levin/Nicholson, University of Ottawa Law and Technology Journal 2.2 (2005), 357 (363); eine ausführliche Analyse des Privacy Act stellt das U.S.-Justizministerium zum Download unter http://www.justice.gov/opcl/1974privacyact-overview.htm (15. 3. 2011) bereit. 70 5 U.S.C. § 552 a (b). 71 Diese Dienstleistung bietet z. B. die Firma ChoicePoint, Inc an; Näheres bei Hoofnagle, North Carolina Journal of International Law and Commercial Regulation 29 (2004), 595; Simmons, Columbia Business Law Review 2009, 950; vgl. auch Iwersen, Wer mit der Angst der Menschen Profit macht, Handelsblatt v. 23. 07. 2010, http://www.handelsblatt.com/unterneh men/industrie/wer-mit-der-angst-der-menschen-profit-macht/3497092.html?p3497092=0 (15. 3. 2011). 72 Electronic Communications Privacy Act, 18 U.S.C. §§ 2510 ff. 73 Privacy Protection Act, 42 U.S.C. § 2000 aa. 74 Family Educational Rights and Privacy Act, 20 U.S.C. § 1232 g. 75 DriverÏs Privacy Protection Act, 18 U.S.C. §§ 2775 ff. 76 Right to Financial Privacy Act, 12 U.S.C. §§ 3401 ff. 77 Auf Bundesstaatsebene existieren teilweise breiter angelegte Datenschutzgesetze, z. B. der Online Privacy Protection Act von Kalifornien, Cal. Bus. & Prof. Code §§ 22575 – 22579. Dieser verpflichtet alle Betreiber kommerzieller Webseiten, die personenbezogene Daten speichern, eine Datenschutzerklärung zu veröffentlichen.

190

E. Datenschutz in den USA

Trade Commission (FTC) überwacht wird.78 Der FCRA statuiert Benachrichtigungspflichten sowie Auskunfts- und Berichtigungsansprüche der Verbraucher und Speicherungshöchstfristen negativer Eintragungen. Ferner gewährt er Schadensersatzansprüche bei vorsätzlichen oder fahrlässigen Verstößen gegen das Regelwerk.79 Regelungsziel des FCRA ist es weniger, den Umlauf personenbezogener Verbraucherdaten zu verhindern, als in erster Linie die Richtigkeit von Angaben zur Kreditwürdigkeit zu gewährleisten.80 Für den Finanzsektor wurden datenschutzrechtliche Mindeststandards mit dem Gramm-Leach-Bliley Act von 1999 (auch bezeichnet als Financial Services Modernization Act) eingeführt.81 Dieser verpflichtet Unternehmen der Finanz- und Versicherungswirtschaft,82 Datenschutzbestimmungen aufzustellen und den Verbraucher mindestens jährlich und bei jeder Änderung der Bestimmungen zu informieren und ihm die Möglichkeit des Widerspruchs gegen die Datenverarbeitungen (Opt-Out) einzuräumen. Ferner werden Maßnahmen zur Gewährleistung der Datenintegrität und Datensicherheit vorgeschrieben, wie die Benennung eines Datensicherheitsbeauftragten und die Entwicklung eines Risikomanagements, das schriftlich festzuhalten ist (safeguard rule).83 Sektorspezifische Datenschutzrestriktionen existieren außerdem gegenüber Anbietern von Kabelfernsehen,84 Telefongesellschaften85 und Akteuren im Gesundheitswesen (Ärzte, private und betriebliche Krankenkassen, Abrechnungsstellen);86 zugleich typische Beispiele für reaktive Gesetzgebung aufgrund von Datenschutzskandalen sind der Video Privacy Protection Act,87 der Datenschutz gegenüber Videothekenbetreibern schafft, indem er die Weitergabe der Ausleihhistorie ohne Einwilligung des Kunden verbietet und eine einjährige Löschungsfrist statuiert, und der Identity Theft and Assumption Deterrence Act,88 der eine Verschärfung der Bestrafung von Betrugsdelikten, die mittels Identitätsdiebstahls begangen werden, zum Gegenstand hat.

78 79 80

(364). 81

15 U.S.C. §§ 1681 ff. 15 U.S.C. §§ 1681 n u. 1681 o. Levin/Nicholson, University of Ottawa Law and Technology Journal 2.2 (2005), 357

15 U.S.C. §§ 6801 ff. Auflistung der Regelungsadressaten in 15 U.S.C. § 6805 (a). 83 Von der FTC entwickelte safeguard rules abrufbar unter http://www.ftc.gov/os/2002/05/ 67fr36585.pdf (15. 3. 2011). 84 Cable Communications Policy Act, 47 U.S.C. §§ 551 ff. 85 Telecommunications Act, 47 U.S.C. §§ 609 ff. 86 Health Insurance Portability and Accountability Act, 45 C.F.R. 164.501 ff. 87 Video Privacy Protection Act, 18 U.S.C. § 2710. 88 Identity Theft and Assumption Deterrence Act, Public Law 105 – 318, 112 Stat. 3007 (Oct. 30, 1998). 82

II. Einfaches Recht

191

Ein strikter Datenschutz existiert schließlich im Onlinebereich nach dem ChildrenÏs Online Privacy Protection Act (COPPA) für Kinder unter dreizehn Jahren.89 Regelungsadressaten sind alle Betreiber von kommerziellen Webseiten, die ihre Angebote an Kinder richten oder wissen, dass sie personenbezogene Daten von Kindern verarbeiten.90 Jene Betreiber haben nach dem COPPA auf ihren Webauftritten Datenschutzbestimmungen zu veröffentlichen und darüber hinaus vor der Erhebung personenbezogener Daten von Kindern die elterliche Einwilligung einzuholen.91 Ferner sind umfassende Auskunfts-, Berichtigungs- und Löschungsrechte der Eltern zu ermöglichen.92 Unter Dreizehnjährige genießen mithin für ihre Aktivitäten im Internet einen rigiden Datenschutz, der sich insbesondere durch ein Opt-In für jegliche Datenverarbeitung auszeichnet. b) Stored Communications Act Soweit es um die Weitergabe von Suchmaschinennutzerdaten an Dritte geht, wird diskutiert, ob sich dafür Beschränkungen aus dem Electronic Communications Privacy Act (ECPA)93 ergeben. Der ECPA reglementiert in erster Linie das Abhören des Telekommunikationsverkehrs sowie die Voraussetzungen einer Herausgabe von Telekommunikationsdaten der Telekommunikationsanbieter an staatliche Stellen und besitzt insofern insbesondere eine Lückenschließungsfunktion für den sensiblen Bereich der Telekommunikation im Hinblick auf den fehlenden 4th Am.-Schutz für bei Dritten liegende Daten.94 Aufgrund des Regelungsschwerpunktes auf die Datenerhebung staatlicher Stellen ist der ECPA in dem vorangestellten Überblick über das einfachgesetzlich normierte Datenschutzrecht dem öffentlichen Datenschutzrecht zugeordnet. Der ECPA setzt sich aus drei Bestandteilen zusammen, dem Wiretap Act95, dem Pen Register Act96 und dem Stored Communications Act (SCA)97. Von Bedeutung für die Datenweitergabe durch Suchmaschinen könnte der SCA sein. Dieser reglementiert in 18 U.S.C. §§ 2702 f. die Übertragung von bei Telekommunikationsanbietern (electronic communication services)98 und bei externen Datenverarbeitern 89

15 U.S.C. §§ 6501. 15 U.S.C. § 6502 (a) (1). 91 15 U.S.C. § 6502 (a) (1) (A). 92 15 U.S.C. § 6502 (b) (1) (B). 93 Oben Teil E. Fn. 72. 94 Vgl. Nachw. in Fn. 964; aufgrund extensiver Schutzbereichsinterpretationen, insbes. der allgemeinen Handlungsfreiheit u. des allgemeinen Persönlichkeitsrechts, ist die Konstellation einer grundrechtlichen Schutzlücke, die durch einfaches Recht geschlossen wird, in Deutschland schwer vorstellbar. 95 18 U.S.C. §§ 2510 – 2522. 96 18 U.S.C. §§ 3121 – 3127. 97 18 U.S.C. §§ 2701 – 2712. 98 18 U.S.C. § 2702 (a) (1). 90

192

E. Datenschutz in den USA

(remote computing services)99 gespeicherten Daten an Dritte. Der SCA besitzt einen umfassenden Regelungsansatz, der die Datenweitergabe nicht nur an öffentliche, sondern auch an private Stellen einbezieht. Schwierigkeiten bei der Anwendung resultieren aus dem Umstand, dass der ECPA aus dem Jahr 1986 stammt und der Gesetzgeber bei dessen Konzeption folglich andere technische Gegebenheiten als die der heutigen Welt vor Augen hatte.100 aa) Suchmaschinen als Anbieter von externer Datenverarbeitung Die Anwendbarkeit der Normen des SCA setzt voraus, dass Suchmaschinenbetreiber entweder als Anbieter von Telekommunikation oder als Anbieter von externer Datenverarbeitung zu qualifizieren sind. Suchmaschinenbetreiber sind zweifelsfrei keine Telekommunikationsanbieter, da sie nicht das Senden und Empfangen von Telekommunikation ermöglichen.101 Ob Suchmaschinenbetreiber als externe Datenverarbeiter i. S. d. SCA zu qualifizieren sind, ist hingegen strittig. Externe Datenverarbeitung ist legaldefiniert als das Anbieten von Datenspeicherungs- und Verarbeitungskapazitäten an die Allgemeinheit über Telekommunikationssysteme.102 Externe Datenverarbeiter sind in Bezug auf Daten, die sie für ihre Kunden speichern oder verarbeiten und auf die sie ausschließlich zu dem vereinbarten Verarbeitungszweck zugreifen dürfen, den Regeln des SCA unterworfen.103 Die Schaffung von Vorschriften für externe Datenverarbeiter sollte das Outsourcing von Datenverarbeitung durch Unternehmen, Krankenhäusern oder Ärzten auf ein rechtlich sicheres Fundament stellen.104 In der Verarbeitung der Suchanfrage und der Zusammenstellung der Trefferliste ließe sich eine extern ausgeführte Datenverar99

18 U.S.C. § 2702 (a) (2). Daraus auf einen sehr eingeschränkten Anwendungsbereich des SCA („not a catch-all statute“) schließend Kerr, George Washington Law Review 72 (2004), 1208 (1214); zu den tatsächlichen Gegebenheiten im Erlasszeitpunkt 1986 vgl. die Senatsprotokolle S. Rep. No. 99 – 541, 2 f. (1986). 101 Vgl. die Definition in 18 U.S.C. § 2510 (15): „,electronic communication serviceÐ means any service which provides to users thereof the ability to send or receive wire or electronic communications”. 102 18 U.S.C. § 2711(2): „the term ,remote computing serviceÐ means the provision to the public of computer storage or processing services by means of an electronic communications system“. 103 18 U.S.C. § 2702 (a) (2): „a person or entity providing remote computing service to the public shall not knowingly divulge to any person or entity the contents of any communication which is carried or maintained on that service – (A) on behalf of, and received by means of electronic transmission from (or created by means of computer processing of communications received by means of electronic transmission from), a subscriber or customer of such service; (B) solely for the purpose of providing storage or computer processing services to such subscriber or customer, if the provider is not authorized to access the contents of any such communications for purposes of providing any services other than storage or computer processing“. 104 s. Rep. No. 99 – 541, 3 (1986). 100

II. Einfaches Recht

193

beitungsdienstleistung erblicken und insofern eine Anwendbarkeit des SCA auf die anfallenden Daten der Suchmaschinennutzung bejahen.105 Ein typisches Anwendungsfeld externer Datenverarbeitungsdienstleistung war auch schon bei Verabschiedung des SCA 1986 die Übernahme komplizierter Rechenoperationen, die die Kunden mangels eigener ausreichender Rechenleistung nicht selber ausführen konnten.106 Befürworter der Anwendung der SCA-Regelungen auf Suchmaschinen sehen eine Übertragbarkeit dieses Gesichtspunktes auf die Verarbeitung von Suchanfragen durch Suchmaschinen und begründen auf diese Weise eine funktionelle Vergleichbarkeit zu externen Datenverarbeitern in den 1980er Jahren.107 Andere nehmen den Wortlaut des Gesetzes sehr genau und sehen das Erfordernis des ausschließlichen Zugriffsrechts zum Zweck der Datenspeicherung und -verarbeitung als nicht erfüllt an, wenn Datenverarbeiter die an sie übertragenen Daten zugleich für Werbezwecke auswerten dürfen.108 Wenn sich Datenverarbeiter über ihre Datenschutzbestimmungen zugleich das Recht einräumen ließen, die zu verarbeitenden Daten zur Schaltung von kontextbezogener Werbung zu nutzen, so beinhalte das ein Recht zur Verarbeitung der Daten, das über den eigentlichen Speicherungs- oder Verarbeitungsauftrag hinausgehe. Diese enge Lesart des 18 U.S.C. § 2702 (a) (2) führe zu einer Unanwendbarkeit des SCA auf Suchmaschinen, die ihre Logdateien zu Werbezwecken auswerten. Ein derart enges Verständnis würde jedoch den Anwendungsbereich der SCAVorschriften enorm einschränken und insbesondere der Entwicklung, dass Dienstleistungen der Datenverarbeitung heute in sehr großem Maße anstelle mit Geld, mit der Preisgabe personenbezogener Daten bezahlt werden,109 ignorieren. Im Prinzip handelt es sich hier um die Änderung der Zahlweise. Fraglich ist, ob es den entscheidenden Ausschlag für eine andere Klassifizierung solcher Dienstleistungen geben sollte, wenn sich die über den Verarbeitungszweck hinausgehende Datenverarbeitung auf die Nutzung zur Schaltung von Werbung beschränkt. Andererseits ist nicht von der Hand zu weisen, dass derjenige, der einem Datenverarbeiter weitergehende Verarbeitungsbefugnisse einräumt, weniger Vertraulichkeit zu erwarten hat. Insofern lassen sich substantielle Unterschiede des Grades von Vertraulichkeit zwischen externen Datenverarbeitern i. S. d. SCA und Suchmaschinen nicht von der 105 So Goldberg, Lewis & Clark Law Review 9 (2005), 249 (271 f.); Tene, What Google knows: Privacy and Internet Search Engines, S. 57, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011). 106 Kerr, George Washington Law Review 72 (2004), 1208 (1214). 107 Goldberg, Lewis & Clark Law Review 9 (2005), 249 (271); Tene, What Google knows: Privacy and Internet Search Engines, S. 57, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011). 108 Robison, Georgetown Law Journal 98 (2010), 1195 (1213 f.); eine sehr enge Interpretation ebenfalls in Flagg v. City of Detroit, 252 F.R.D. 346, 347, 358 (E.D. Mich. 2008); hingegen YouTube als externen Datenverarbeiter qualifizierend u. somit ein etwas weiteres Verständnis vertretend Viacom International Inc. v. YouTube Inc., 253 F.R.D. 256, 264 (S.D.N.Y. 2008). 109 Vgl. Buchner, DuD 2010, 39.

194

E. Datenschutz in den USA

Hand weisen. Daher bestehen ernsthafte Zweifel an einer Anwendbarkeit des SCA auf Suchmaschinen. Wenn Suchmaschinen Suchanfragen beantworten, erbringen sie im Kern eine extern ausgeführte Dienstleistung der Datenverarbeitung, die mangels ausreichender eigener Rechnerkapazität der Nutzer nicht selber erbringen kann. Dies entspricht der typischen Tätigkeit eines externen Datenverarbeiters. Daher ist zumindest ein argumentativer Ansatzpunkt dafür vorhanden, Suchmaschinen als externe Datenverarbeiter i. S. d. SCA einzustufen. Da in der Literatur jedenfalls die Anwendbarkeit des SCA partiell befürwortet wird,110 werden im Folgenden die sich aus dem SCA ergebenden Datenschutzvorgaben näher analysiert. bb) Anwendung des SCA Der SCA unterscheidet zwischen der freiwilligen Mitarbeit des Anbieters bei der Herausgabe von Informationen und der hoheitlich angeordneten Herausgabe und unterwirft jene Konstellationen unterschiedlichen Regelungen.111 Die Norm über die freiwillige Herausgabe unterscheidet weiter zwischen Inhaltsdaten und sonstigen Daten (Nutzer- und Bestandsdaten), ferner zwischen der Weitergabe an verschiedene staatliche sowie private Stellen. Die Weitergabe von Inhaltsdaten ist nur unter den acht Erlaubnistatbeständen des 18 U.S.C. § 2702 (b) zulässig. Neben einer Weitergabe an verschiedene staatliche Institutionen zu bestimmten Zwecken ist die Weitergabe an Private danach nur zulässig an den bestimmungsgemäßen Adressaten,112 an Personen, die in die Diensteerbringung involviert sind,113 außerdem soweit es für die Diensteerbringung und Instandhaltung des Dienstes erforderlich ist114 und ansonsten nur mit Einwilligung des Betroffenen115. Hingegen können Daten, die nicht die Inhalte von Kommunikation betreffen, an Private einschränkungslos übermittelt werden.116 Die Unterscheidung zwischen Inhalts- sowie Bestands- und Nutzungsdaten ist also von entscheidender Bedeutung für die Bestimmung der datenschutzrechtlichen Grenzen. Die Amerikaner kennen keine Dreiteilung zwischen Bestands-, Nutzungsund Kommunikationsdaten, sondern unterscheiden allein zwischen Inhaltsdaten und 110

Oben Teil E. Fn. 107. Freiwillig: 18 U.S.C. § 2702; hoheitlich angeordnet: 18 U.S.C. § 2703. 112 18 U.S.C. § 2702 (b) (1) to an addressee or intended recipient of such communication or an agent of such addressee or intended recipient. 113 18 U.S.C. § 2702 (b) (4) to a person employed or authorized or whose facilities are used to forward such communication to its destination. 114 18 U.S.C. § 2702 (b) (5) as may be necessarily incident to the rendition of the service or to the protection of the rights or property of the provider of that service. 115 18 U.S.C. § 2702 (b) (3) with the lawful consent of the originator or an addressee or intended recipient of such communication, or the subscriber in the case of remote computing service. 116 18 U.S.C. § 2702 (c) (6). 111

II. Einfaches Recht

195

Nicht-Inhaltsdaten (content und noncontent information). Content information erfasst im Kontext von elektronischer Kommunikation nach der Legaldefinition in 18 U.S.C. § 2510 (8) Information, die „das Wesentliche, den Inhalt, die Bedeutung der Konversation“ betrifft, und ist insofern deckungsgleich mit der Kategorie der Inhaltsdaten nach deutschem Verständnis. Demgegenüber erfasst noncontent information sowohl Nutzungs- wie Bestandsdaten.117 Im Wesentlichen erfolgt die Abgrenzung der Informationsarten im deutschen und amerikanischen Rechtskreis nach gleichem Muster. Während in Deutschland bei der Frage der Unterscheidung zwischen Nutzungs- und Inhaltsdaten eine eher formelle Abgrenzung herrschend ist, die sämtliche Interaktionsdaten des Nutzers mit einer Internetseite den Nutzerdaten zuordnet,118 wird in den USA teilweise stärker auf den tatsächlichen Aussagegehalt der jeweiligen Information abgestellt. Der Court of Appeals for the District of Columbia hatte z. B. in einer Entscheidung zu klären, ob Daten zu Telefontastatureingaben, die ein Telefonkunde nach Verbindungsherstellung eingibt, content oder noncontent information ist.119 Von staatlicher Seite aus wurden jene Daten gewählten Rufnummern gleichgesetzt und als noncontent information eingeordnet.120 Dem widersprach das Gericht und stellte fest, dass jene Tastatureingaben je nach den konkreten Umständen unterschiedlich zu beurteilen seien.121 Nach der Verbindungsherstellung eingetippte Daten seien ihrerseits Daten zu gewählten Rufnummern und somit Nutzerdaten bei der Verwendung von Telefonkarten oder der Anmeldung von R-Gesprächen, denn in diesen und vergleichbaren Fällen wählt der Betroffene nach der Verbindungsherstellung mit dem Diensteanbieter erst die Rufnummer seines eigentlichen Adressaten. Anderes gelte, wenn der Betroffene beispielsweise seine Bank anruft und nach Verbindungsherstellung mittels Tastatureingaben Bankgeschäfte erledigt oder den Telefondienst seiner Apotheke in Anspruch nimmt und mit seiner Telefontastatur Rezeptnummern durchgibt. Dann seien die nach der Verbindungsherstellung eingegebenen Tastatureingaben content information. Anders als in Deutschland wird die Einordnung von Suchmaschinennutzerdaten in content oder noncontent in den USA ausführlich untersucht.122 Zutreffend wird analysiert, dass die Unterscheidung von Nutzer- und Inhaltsdaten besondere Schwierigkeiten bereitet, wenn ein Nutzer mit einer Maschine kommuniziert.123 Es 117 Zur Abgrenzung wird auch in den USA gerne das Bild von den Informationen in einem Brief u. auf dem Briefumschlag bemüht, etwa Kerr, George Washington Law Review 72 (2004), 1208 (1228); Goldberg, Lewis & Clark Law Review 9 (2005), 249 (264). 118 Vgl. oben D. I. 1. a) cc). 119 United States Telecom AssÏn v. FCC, 227 F.3d 450 (D.C. Cir. 2000). 120 United States Telecom AssÏn v. FCC, 227 F.3d 450, 458 f. (D.C. Cir. 2000). 121 Zum Folgenden United States Telecom AssÏn v. FCC, 227 F.3d 450, 462 (D.C. Cir. 2000). 122 Dies verwundert nicht, schließlich sind die Folgen dieser Weichenstellung im U.S.Recht gravierender, da im deutschen Recht keine Alternative die Befreiung von allen datenschutzrechtlichen Bindungen zur Folge hat. 123 Goldberg, Lewis & Clark Law Review 9 (2005), 249 (265).

196

E. Datenschutz in den USA

wird gesehen, dass Daten, die Informationen über die durchgeführten Suchanfragen und aufgerufenen Suchtreffer beinhalten, Daten sind, die Aktionen des Nutzers innerhalb der Programmvorgaben der Suchmaschine beschreiben und für die Inanspruchnahme des Dienstes erforderlich sind, mithin die Eigenschaften von Nutzerdaten aufweisen. Zugleich wird aber auch darauf hingewiesen, dass der Austausch einer (Such-)Maschine als Kommunikationspartner durch einen lebenden Bibliothekaren zur Folge hätte, dass die Suchanfragen als Inhalte von Kommunikation zu qualifizieren wären und dies für eine Einordnung der in Rede stehenden Daten als Inhaltsdaten spricht.124 Ferner wird angeführt, dass eine Auflistung der Suchanfragen Einblicke in die Interessen, Neigungen, Ängste und Tätigkeiten des Nutzers lieferten und somit wesentlich mehr Informationsgehalt aufwiesen als „typische“ Nutzerdaten, wie Einzelverbindungsnachweise eines Telefonanschlusses.125 Daher werden Suchmaschinennutzerdaten als content information qualifiziert.126 Somit ist die Weitergabe der Suchmaschinennutzerdaten an Dritte nur unter den Voraussetzungen des 18 U.S.C. § 2702 (b) zulässig, also nur mit Einwilligung des Nutzers möglich. Schutz gewährt der SCA hingegen nicht gegenüber Datenverarbeitungen durch Suchmaschinenbetreiber selbst (z. B. Google), d. h. jene können die Daten ohne Einwilligung des Nutzers zu Werbezwecken verwenden. Hinsichtlich der Übermittlung von Daten an Nutzer auf eine personenbezogene Suchanfrage existiert kein bundesgesetzlicher Schutz der als Suchobjekt betroffenen Person. Der Schutz vor Verbreitung persönlichkeitsrechtsverletzender Inhalte ist vielmehr Gegenstand des Deliktsrechts.

2. Deliktsrecht (tort law) Einen wesentlichen Impuls127 erhielt das amerikanische Datenschutzrecht aus dem gewohnheitsrechtlich verankerten Deliktsrecht (tort law). Einen unzureichenden Privatsphäreschutz aufgrund der zunehmenden Verbreitung der Boulevardpresse sowie der Erfindung kleinerer Fotoapparate konstatierend128 formulierten Warren und Brandeis erstmalig im Jahr 1890 ein deliktsrechtlich geschütztes Recht auf Privatsphäre des Einzelnen (right to be let alone).129 Siebzig Jahre später differenzierte Prosser nach einer Auswertung des einschlägigen Fallrechts vier typische 124

Goldberg, Lewis & Clark Law Review 9 (2005), 249 (265). Tene, What Google knows: Privacy and Internet Search Engines, S. 59, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011). 126 Tene, What Google knows: Privacy and Internet Search Engines, S. 59, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011); Goldberg, Lewis & Clark Law Review 9 (2005), 249 (266 ff.). 127 Als den tiefgreifensten Impuls bezeichnend Solove, George Washington University Law School, Public Law & Legal Theory Research Paper Series No. 215, 1 (10). 128 Warren/Brandeis, Harvard Law Review 4 (1890), 193 (195 ff.). 129 Warren/Brandeis, Harvard Law Review 4 (1890), 193 (205). 125

II. Einfaches Recht

197

Fallgruppen der Verletzung von Privatheit und formulierte vier entsprechende Deliktsrechtsansprüche (privacy torts),130 die auch als Restatements of the Law vom American Law Institute übernommen wurden131 und in der Rechtsprechung der meisten Bundesstaaten Anerkennung gefunden haben.132 Diese Fallgruppen133 erfassen die Verletzung privater Rückzugssphären (intrusion upon seclusion),134 die Veröffentlichung peinlicher privater Details (public disclosure of private facts),135 das Ausnutzen eines fremden Rufs zu kommerziellen Zwecken (appropriation)136 und die Wahrheit verzerrende Darstellungen in der Öffentlichkeit (false light).137 Die Fallgruppen zeigen, dass das einschlägige Deliktsrecht weniger auf die Gewährleistung von Datenschutz im Sinne einer informationellen Selbstbestimmung ausgerichtet ist als auf effektiven Persönlichkeitsschutz gegenüber Dritten. Deliktsrechtliche Ansprüche können gleichermaßen gegenüber hoheitlichen Stellen und Privaten bestehen.138 Wie bereits angeklungen, ist das Deliktsrecht state law und entsprechend unterscheidet sich die Reichweite der Gewährleistung eines right to privacy von Bundesstaat zu Bundesstaat.139 Nicht alle Bundesstaaten haben alle vier Restatements of the Law zum Persönlichkeitsschutz in die eigene Rechtsprechung übernommen, 130

Prosser, California Law Review 48 (1960), 383. Restatement (Second) of Torts, §§ 652 A-652E. Das American Law Institute ist eine unabhängige Einrichtung, die sich um eine Systematisierung des amerikanischen Gewohnheitsrechts bemüht (s. auch http://www.ali.org/ [15. 3. 2011]). Zu diesem Zweck gibt es Abhandlungen zu gewohnheitsrechtlichen Themen heraus, den Restatements of the Law. Diese besitzen zwar keinen Gesetzesrang, haben aber eine hohe Bedeutung u. beeinflussen oftmals die Rechtsprechung (vgl. Hay, US-Amerikanisches Recht, Rn. 32). 132 McClurg, North Carolina Law review 73 (1995), 989 (998). 133 Darstellung bei Solove, George Washington University Law School, Public Law & Legal Theory Research Paper Series No. 215, 1 (14 ff.). 134 Restatement (Second) of Torts, § 652B: One who intentionally intrudes, physically or otherwise, upon the solitude or seclusion of another or his private affairs or concerns, is subject to liability to the other for invasion of his privacy, if the intrusion would be highly offensive to a reasonable person. 135 Restatement (Second) of Torts, § 652D: One who gives publicity to a matter concerning the private life of another is subject to liability to the other for invasion of his privacy, if the matter publicized is of a kind that (a) would be highly offensive to a reasonable person, and (b) is not of legitimate concern to the public. 136 Restatement (Second) of Torts, § 652C: One who appropriates to his own use or benefit the name or likeness of another is subject to liability to the other for invasion of his privacy. 137 Restatement (Second) of Torts, § 652E: One who gives publicity to a matter concerning another that places the other before the public in a false light is subject to liability to the other for invasion of his privacy, if (a) the false light in which the other was placed would be highly offensive to a reasonable person, and (b) the actor had knowledge of or acted in reckless disregard as to the falsity of the publicized matter and the false light in which the other would be placed. 138 Helms, Boston University Journal of Science and Technology Law 7 (2001), 288 (312). 139 Den Umfang der Übernahme der privacy torts in den Bundesstaaten darstellend McCarthy, The Rights of Publicity and Privacy, Stand: 1996, §§ 6.1—127 zit. nach Helms, Boston University Journal of Science and Technology Law 7 (2001), 288 (310 in Fn. 132). 131

198

E. Datenschutz in den USA

allerdings gewähren die meisten Bundesstaaten einen deliktsrechtlichen Persönlichkeitsschutz in irgendeiner Form. Die Fokussierung der privacy torts auf die Abwehr von Persönlichkeitsrechtsverletzungen und weniger auf den Datenschutz ist verbunden mit gewichtigen Einschränkungen in ihrem Anwendungsbereich, die eine Anwendbarkeit auf die Nutzerdatenerhebung durch Suchmaschinenbetreiber weitgehend ausschließen. So ist eine Haftung nach den ersten drei genannten torts ausgeschlossen, wenn der vermeintliche Anspruchsinhaber wusste oder damit rechnen musste, dass der Anspruchsgegner personenbezogene Informationen erlangt.140 Das Berufungsgericht von Illinois stellte fest, dass das Unternehmen American Express kein „intrusion upon seclusion“ begehe, wenn es Namen und Nutzerprofile ihrer Kreditkartenkunden zu Werbezwecken weiterverkaufe; wenn der Kreditkartenkunde sich bewusst sei oder für ihn vorhersehbar sei, dass das Kreditkartenunternehmen Daten über sein Konsumentenverhalten sammle, sei die Offenbarung jener Daten gegenüber American Express als freiwillig (obwohl unvermeidlich) zu qualifizieren und daher seien die Daten nicht schutzbedürftig.141 Leicht einsehbare Datenschutzbestimmungen könnten insofern anspruchsausschließend wirken.142 Die restriktive Linie der Rechtsprechung lässt es ebenfalls als fraglich erscheinen, ob Internetnutzer gegen Profilbildung mittels Cookies erfolgreich deliktsrechtlichen Schutz erlangen können.143 Weiterhin knüpfen die privacy torts eine Haftung für die Veröffentlichung von Informationen regelmäßig an die Bedingung, dass die Veröffentlichung zugleich in höchstem Maße anstößig sein muss (außer appropriation).144 Dies ist in Bezug auf jedes einzelne von einer Suchmaschine erhobene Nutzerdatum – isoliert betrachtet – zu verneinen.145 Das Deliktsrecht gibt insofern auf die Bedrohung für die Persönlichkeit, die sich aus der Aggregation vieler Einzeldaten ergeben, noch keine befriedigende Antwort.146 Aus diesen Gründen ist ein deliktsrechtlicher Schutz vor Suchmaschinennutzerprofilen kaum vorhanden. Eine Haftung von Suchmaschinen nach einem privacy tort für persönlichkeitsverletzende Inhalte in den Suchergebnissen (Datenschutz des Suchobjekts) wäre 140 Helms, Boston University Journal of Science and Technology Law 7 (2001), 288 (309 f.). 141 Dwyer v. American Express Co., 652 N.E.2d 1351, 1354 (Ill. App. Ct. 1995). 142 Die besondere Bedeutung von Datenschutzbestimmungen hervorhebend Robison, Georgetown Law Journal 98 (2010), 1195 (1220 ff.). 143 Helms, Boston University Journal of Science and Technology Law 7 (2001), 288 (310 f.). 144 Helms, Boston University Journal of Science and Technology Law 7 (2001), 288 (310); Hotaling, Commlaw Conspectus 16 (2008), 529 (542). 145 Grimmelmann, Iowa Law Review 93 (2007), 1 (40); Helms, Boston University Journal of Science and Technology Law 7 (2001), 288 (311); Hotaling, Commlaw Conspectus 16 (2008), 529 (551). 146 Auf jene Lückenhaftigkeit des Rechts hinweisend Grimmelmann, Iowa Law Review 93 (2007), 1 (40); Hotaling, Commlaw Conspectus 16 (2008), 529 (551).

III. Datenschutzerklärungen der Unternehmen

199

grundsätzlich denkbar, jedoch sind Suchmaschinenbetreiber aufgrund von 47 U.S.C. § 230 (c) (1) von jeglicher Haftung für Inhalte Dritter innerhalb ihrer Suchergebnisse weitgehend freigestellt.147 Jene Vorschrift wurde als Teil des Communications Decency Act erlassen, der die Regulierung von anstößigen und pornografischen Internetinhalten zum Ziel hat.148 47 U.S.C. § 230 (c) nimmt sämtliche Provider und Internetnutzer aus der Haftung für Inhalte fremder Urheberschaft. Diese Haftungsfreistellung ist sehr weitgehend; erfasst ist nicht nur die Haftung für die Verbreitung fremder Inhalte, sondern es existiert darüber hinaus eine Freistellung der Haftung gegenüber dem Urheber des Inhalts für Löschungen oder Sperrmaßnahmen.149 Jene Haftungsfreistellungsnorm verdeutlicht ein weiteres Mal die besondere Wertschätzung der freien Informationsverbreitung und der freien Rede im Verhältnis zu anderen Interessen, wie dem Persönlichkeitsschutz, in den USA.

III. Datenschutzerklärungen der Unternehmen 1. Wettbewerbsrechtliche Aufsicht der Federal Trade Commission Der fragmentarische Charakter bestehender Datenschutzgesetze hat zur Konsequenz, dass Datenschutz in den Vereinigten Staaten in erster Linie durch die für Wettbewerb und Verbraucherschutz zuständige Bundesbehörde, die Federal Trade Commision (FTC), verwirklicht wird.150 Daher wird sie bisweilen als die „de facto Privacy Protection Commission“ bezeichnet.151 Die FTC überwacht den Vollzug des FTC Acts.152 Dieser verbietet unter anderem unlauteres oder irreführendes Geschäftsgebaren (unfair or deceptive practices).153 Die FTC ist zur Rechtsdurchsetzung berechtigt, Anordnungen zu erlassen und Bußgelder zu verhängen.154 Sie schreitet ein, wenn sie Anlass zu der Annahme von unlauterem Geschäftsgebaren hat und ein 147

Dazu Grimmelmann, Iowa Law Review 93 (2007), 1 (36, 40). Text abrufbar unter http://www.fcc.gov/Reports/tcom1996.txt (15. 3. 2011). 149 47 U.S.C. § 230 (c) (2): No provider or user of an interactive computer service shall be held liable on account of (A) any action voluntarily taken in good faith to restrict access to or availability of material that the provider or user considers to be obscene, lewd, lascivious, filthy, excessively violent, harassing, or otherwise objectionable, whether or not such material is constitutionally protected; or (B) any action taken to enable or make available to information content providers or others the technical means to restrict access to material described in paragraph (1). – Vgl. dagegen § 7 Abs. 2 S. 2 TMG. 150 Kurzinfo zur FTC unter http://ftc.gov/ftc/about.shtm (15. 3. 2011). 151 DeVries, Berkeley Technology Law Journal 18 (2003), 283 (308). 152 15 U.S.C. §§ 41 – 58. 153 15 U.S.C. § 45 (a) (1). 154 15 U.S.C. § 45. 148

200

E. Datenschutz in den USA

öffentliches Interesse an einer Durchsetzung des Wettbewerbsrechts besteht.155 Eine Fallgruppe des unlauteren Geschäftsgebarens ist der Verstoß eines Unternehmens gegen die eigenen Datenschutzbestimmungen.156 Datenschutz wird insofern als ein Aspekt allgemeinen Verbraucherschutzes aufgefasst.157 Die FTC setzt außerdem spezifische Bundesgesetze zu einigen ausdrücklich normierten Bereichen unlauteren Geschäftsgebarens durch, wie Regelungen zum Telemarketing und die Verwaltung und Einhaltung der nationalen Do-Not-Call-List (eine Liste, auf der sich Verbraucher eintragen können, um in Zukunft keine ungefragten Werbeanrufe mehr zu erhalten),158 die Durchsetzung des COPPA159 sowie des Fair Credit Reporting Act160. Sofern ein Unternehmen eine Datenschutzerklärung veröffentlicht, überwacht zwar die FTC deren Einhaltung, Unternehmen sind allerdings grundsätzlich nicht per Gesetz dazu verpflichtet, eine Datenschutzerklärung überhaupt zu veröffentlichen.161 Ausnahmen bestehen nur für spezifische Bereiche oder aufgrund bundesstaatlicher Gesetze, z. B. für Unternehmen der Finanz- und Gesundheitsbranche, soweit Firmen in diesen Branchen Daten von Einwohnern Kaliforniens erheben, oder für die Erhebung von Daten im Internet von Kindern unter dreizehn Jahren.162 Da kein Unternehmen verpflichtet ist, überhaupt eine Datenschutzerklärung zu veröffentlichen, können existierende Erklärungen in ihrer Strenge stark variieren. Diesem Regelungsmodell liegt die Überzeugung zugrunde, dass sich das Datenschutzniveau als ein Wettbewerbsfaktor durch die freien Kräfte des Marktes in einem angemessenen Gleichgewicht zwischen den Bedürfnissen der Verbraucher auf Datenschutz und der Industrie an Datenverarbeitung einpendeln wird.163 Grundvoraussetzung dieses Konzeptes ist die Wahrung von Markttransparenz. Dafür ist die Durchsetzung der Einhaltung von Datenschutzbestimmungen essentiell. Die FTC war in der Vergangenheit auch durchaus aktiv, Verstöße von Unternehmen gegen ihre eigenen Datenschutzbestimmungen öffentlich anzumahnen und rechtliche Schritte einzuleiten.164 Die Hemmschwelle für die Verletzung der eigenen Daten155

15 U.S.C. § 45 (b). King, Federal Communications Law Journal 60 (2008), 229 (248). 157 Edwards, Stepping Up to the Plate: The Google-DoubleClick Merger and the Role of the Federal Trade Commission in Protecting Data Privacy, S. 6, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1370734 (15. 3. 2011). 158 Darauf hinweisend King, Federal Communications Law Journal 60 (2008), 229 (248); vgl. etwa 15 U.S.C. § 6102. 159 15 U.S.C. § 6502 (c). 160 15 U.S.C. § 1681 s (a) (2) (A). 161 Anderes gilt in Kalifornien, s. oben Teil E. Fn. 77. 162 King, Federal Communications Law Journal 60 (2008), 229 (249); Ciocchetti, American Business Law Journal 44 (2007), 55 (69). 163 King, Federal Communications Law Journal 60 (2008), 229 (302 m. w. Nachw. in Fn. 320). 164 Vgl. die Fälle Geocities, Inc., FTC File No. C-3849; Gateway Learning Corp., FTC File No. 042 – 3047; ChoicePoint Inc., FTC File No. 052 – 3069. 156

III. Datenschutzerklärungen der Unternehmen

201

schutzbestimmungen wird nichtsdestotrotz als nicht besonders hoch angesehen, weil Datenschutzverstöße regelmäßig mit moderaten Bußgeldern und der Zusicherung der Unternehmen der zukünftigen Rechtstreue zu den Akten gelegt werden.165 Eine Ursache für die eher milden Sanktionen der FTC könnte sein, dass die FTC nach Hinweisen auf Datenschutzverstöße regelmäßig in Verhandlungen mit dem Datenschutzsünder tritt, in denen der Regelungsinhalt der konkreten Anordnung der FTC ausgehandelt wird (consenting order).166 Ist allerdings ein hoher finanzieller Schaden für Verbraucher entstanden, können durchaus empfindliche Geldstrafen das jeweilige Unternehmen treffen. So führte ein Datenleck bei dem Verbraucherdatenhändler ChoicePoint zu über 800 Betrugsfällen durch Identitätsdiebstahl. Daraufhin einigte sich ChoicePoint mit der FTC auf die Zahlung eines Bußgeldes in Höhe von zehn Millionen Dollar und Zahlung weiterer fünf Millionen als Entschädigung an die Betroffenen.167 Weiterhin wird diskutiert, ob die FTC bei der kartellrechtlichen Genehmigung von Unternehmenszusammenschlüssen in Zukunft datenschutzrechtliche Aspekte berücksichtigen solle. Diese Fragestellung wurde im Zusammenhang mit dem Genehmigungsverfahren zu der Übernahme des Online-Werbevermarkters Doubleclick durch Google akut.168 Die FTC verneinte, dass Datenschutz in dem konkreten Kartellverfahren ein relevanter Wettbewerbsfaktor sei.169 Anders sah dies Kommissarin Harbour in ihrem ablehnenden Sondervotum.170 Die FTC veröffentlichte am gleichen Tag der Entscheidung über die Unternehmensübernahme Leitlinien für den Daten-

165 King, Federal Communications Law Journal 60 (2008), 229 (252). – Vgl. etwa Gateway Learning Corp., FTC File No. 042 – 3047 oder Eli Lilly & Co., FTC File No. 012 3214. 166 King, Federal Communications Law Journal 60 (2008), 229 (252 in Fn. 78). 167 ChoicePoint, Inc., FTC File No. 052 – 3069. 168 Google/DoubleClick, FTC File No. 071 – 0170; dazu etwa Electronic Privacy Information Center, In the Matter of Google, Inc. and DoubleClick, Inc.: Complaint and Request for Injunction, Request for Investigation and other Relief, http://epic.org/privacy/ftc/google/ epic_complaint.pdf (15. 3. 2011); Edwards, Stepping Up to the Plate: The Google-DoubleClick Merger and the Role of the Federal Trade Commission in Protecting Data Privacy, http:// papers.ssrn.com/sol3/papers.cfm?abstract_id=1370734 (15. 3. 2011). – Eine parallele Diskussion entwickelte sich auch in Europa, weil zu dem gleichen Unternehmenszusammenschluss auch ein Kartellverfahren bei der Europäischen Kommission eröffnet wurde, das mit einer Billigung der Übernahme endete (ABlEU 2008 Nr. C 184, S. 10); krit. zu der Entscheidung der EU-Kommission Weichert, DuD 2007, 724; Buchner, DuD 2008, 724. 169 Google/DoubleClick, FTC File No. 071 – 0170, Statement, http://www.ftc.gov/os/ caselist/0710170 /071220statement.pdf (15. 3. 2011), S. 8 in Fn. 7; zu Einzelheiten des Verfahrens Edwards, Stepping Up to the Plate: The Google-DoubleClick Merger and the Role of the Federal Trade Commission in Protecting Data Privacy, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1370734 (15. 3. 2011). 170 In the matter of Google/DoubleClick F.T.C. File No. 071 – 0170: Dissenting Statement of Commissioner Pamela Jones Harbour, http://www.ftc.gov/os/caselist/0710170/071220harbour.pdf (15. 3. 2011), S. 2 f.

202

E. Datenschutz in den USA

schutz beim Behavioral Targeting.171 Dieses Vorgehen verdeutlicht die Präferenz der FTC von unverbindlichen Vorschlägen an die Industrie mit der Erwartung ihrer freiwilligen Beachtung gegenüber regulatorischen Eingriffen in den Markt.172 Überwiegend wird FTC in ihrer Rolle als Hüterin des Datenschutzes als eher schwache, reaktiv agierende Institution eingestuft.173

2. Fair Information Practice Principles der Federal Trade Commission Die zunehmende Internetnutzung in den 1990er Jahren und das Entstehen des ECommerce-Sektors wurde von wachsender Sorge über den Online-Datenschutz begleitet. Datenschutzbedenken der Verbraucher wurden insbesondere als ein Wachstumshemmnis für den E-Commerce wahrgenommen.174 Die FTC als die für den Verbraucherschutz zuständige Bundesbehörde hat schon früh den Dialog mit Verbraucherschutzverbänden und Industrievertretern gesucht, öffentliche Diskussionsrunden organisiert und Stellungnahmen veröffentlicht.175 Im Wege dieses Dialogs ließen sich der Wirtschaft Selbstverpflichtungen abringen, grundlegende Regeln des Datenumgangs zu akzeptieren. Diese Regeln wurden von der FTC als „Fair Information Practice Principles“ formuliert und veröffentlicht.176 Weite Teile der Industrie verpflichteten sich zu deren Einhaltung, um Gesetzgebungsvorhaben zu zwingenden Datenschutzvorgaben (nach europäischem Vorbild) zuvorzukommen. Nach dem Kalkül der Internetwirtschaft sind Selbstverpflichtungen zur Gewährleistung eines gewissen Maßes an Datenschutz das kleinere Übel gegenüber einer umfassenden gesetzlichen Normierung des Datenumgangs.

171

Federal Trade Commission, FTC Staff Proposes Online Behavioral Advertising Privacy Principles v. 20. 12. 2007, http://www.ftc.gov/opa/2007/12/principles.shtm (15. 3. 2011). 172 Dieses Vorgehen in Bezug auf die Entscheidung zum Google/DoubleClick-Deal kritisierend Edwards, Stepping Up to the Plate: The Google-DoubleClick Merger and the Role of the Federal Trade Commission in Protecting Data Privacy, S. 20 ff., http://papers.ssrn.com/sol3/ papers.cfm?abstract_id=1370734 (15. 3. 2011). 173 DeVries, Berkeley Technology Law Journal 18 (2003), 283 (308 f.); Edwards, Stepping Up to the Plate: The Google-DoubleClick Merger and the Role of the Federal Trade Commission in Protecting Data Privacy, S. 7, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1370734 (15. 3. 2011). 174 Federal Trade Commission, Staff Report: Public Workshop on Consumer Privacy on the Global Information Infrastructure 12/1996, S. 3 ff., http://www.ftc.gov/reports/privacy/privacy.pdf (15. 3. 2011). 175 Federal Trade Commission, Online Profiling: A Report to Congress 6/2000, S. 18 in Fn. 65, http://www.ftc.gov/os/2000/06/onlineprofilingreportjune2000.pdf (15. 3. 2011). 176 Abrufbar unter http://www.ftc.gov/reports/privacy3/fairinfo.shtm (15. 3. 2011).

III. Datenschutzerklärungen der Unternehmen

203

Die Regeln der FTC setzen sich zusammen aus fünf Grundsätzen: „Notice, Choice, Access, Security und Enforcement“.177 Unter „Notice“ versteht die FTC die Notwendigkeit der Aufklärung des Betroffenen über beabsichtigte Datenverarbeitungen, „Choice“ betont den Aspekt der Selbstbestimmung des Nutzers. Dieser sollte in die Lage versetzt sein, in Datenverarbeitungen einzuwilligen oder abzulehnen. „Access“ steht für die Bedeutung von Auskunfts- und Berichtigungsansprüchen zu den eigenen Daten gegenüber einer speichernden Stelle, „Security“ betrifft die Gewährleistung der Datensicherheit und „Enforcement“ betont die Bedeutung von Durchsetzungsmechanismen der Grundsätze. Die Fair Information Practice Principles der FTC finden ihre Vorläufer in den fair information practices des US-Gesundheitsministeriums von 1973 und den Richtlinien der OECD über Datenschutz und grenzüberschreitende Ströme personenbezogener Daten von 1980.178 Die Ermöglichung von „Notice“ und „Choice“ erfolgt i. d. R. über einen Link auf der Startseite des Internetauftritts zu der Datenschutzerklärung des Unternehmens. In der Literatur wird kritisch hinterfragt, ob ein Verweis auf die Datenschutzerklärung am Ende der Webseite ausreichend ist, um den Nutzer über mögliche Datenverarbeitungen zu informieren und ihm die Entscheidung zu ermöglichen, das Webangebot zu nutzen oder zu meiden.179

3. Privacy Seal Provider Mittlerweile verfügen beinahe alle kommerziellen Webseiten über für den Nutzer einsehbare Datenschutzerklärungen. Um das Vertrauen der Verbraucher in die tatsächliche Einhaltung der eigenen Datenschutzerklärung zu stärken, lassen sich Internetdiensteanbieter darüber hinaus häufig von privaten Zertifizierungsstellen (Privacy Seal Provider) ein Siegel ausstellen.180 Von jenen Stellen kann ein Zertifikat erworben werden, wenn gewisse, von der Zertifizierungsstelle vorgegebene Mindeststandards, die in etwa den Fair Information Practice Principles entsprechen, eingehalten werden.181 Die größten Zertifizierer auf dem amerikanischen Markt sind die Firmen TRUSTe, BBBOnline und Webtrust.182 Zertifizierer überwachen die 177 Näheres bei Ciocchetti, American Business Law Journal 44 (2007), 55 (63 ff.); King, Federal Communications Law Journal 60 (2008), 229 (58 ff.); für den Bereich des Online Behavioral Advertising hat die FTC ihre Leitlinien präzisiert, vgl. Federal Trade Commission, FTC Staff Report: Self-Regulatory Principles For Online Behavioral Advertising, S. 11 f., http://www.ftc.gov/os/2009/02/P085400behavadreport.pdf (15. 3. 2011). 178 Ciocchetti, American Business Law Journal 44 (2007), 55 (59 ff.). 179 Hotaling, Commlaw Conspectus 16 (2008), 529 (552 ff.). 180 Ciocchetti, American Business Law Journal 44 (2007), 55 (98). 181 Ciocchetti, American Business Law Journal 44 (2007), 55 (98); die einzuhaltenden Datenschutzstandards für Kunden des größten Zertifizierers TRUSTe sind abrufbar unter http:// www.truste.com/pdf/Web_Privacy_Seal_Program_Requirements_Website.pdf (15. 3. 2011). 182 DeMarco, Texas Law Review 84 (2006), 1013 (1055).

204

E. Datenschutz in den USA

Einhaltung ihrer Vorgaben durch regelmäßige Überprüfungen der Webseiten ihrer Kunden, probeweise Übermittlungen von Kundendaten und der Einrichtung einer Beschwerdestelle für Verbraucher.183 Die vergebenen Siegel sind allerdings nur begrenzt als Indikator für hohe Datenschutzstandards tauglich. Zu beachten ist, dass die Datenschutzvorgaben der Zertifizierer i. d. R. kein absolutes Datenschutzniveau einfordern. Die Zertifizierer bewerten vor allem die Transparenz des Datenumgangs der zertifizierten Unternehmen. Maßgeblich sind vor allem die Existenz und der Inhalt von Datenschutzbestimmungen sowie deren Erreichbarkeit. Es muss lediglich gewährleistet sein, dass sich der Nutzer im Vorfeld der Inanspruchnahme eines Dienstes über den Datenschutz informieren kann (notice), um gegebenenfalls von der Nutzung des Dienstes abzusehen (choice). Zertifiziert werden somit auch Unternehmen, die ausgiebig Nutzerdaten verarbeiten und dies in ihrer Datenschutzerklärung offenlegen („good notices of bad practices“).184 Dieser Schwachpunkt ist auch den Fair Information Practice Principles immanent.

4. Platform for Privacy Preferences (P3P) Ein weiteres typisches Beispiel für die Selbstregulierungsbemühungen der Internetwirtschaft ist die Entwicklung der Platform for Privacy Preferences (P3P). P3P ist eine Software, die es einem Nutzer ermöglicht, seine persönlichen Datenschutzpräferenzen einmal einzustellen und mit den Datenschutzerklärungen von Webseitenbetreibern aufgerufener Seiten, die ebenfalls P3P unterstützen, automatisch abzugleichen.185 Diese Software würde also sehr präzise individuelle Datenschutzentscheidungen bei jeder einzelnen Interaktion ermöglichen.186 Die Verwendung von P3P hat sich, soweit ersichtlich, nicht am Markt durchsetzen können.187

5. Network Advertising Initiative Ein weiteres Beispiel für Selbstregulierungsanstrengungen von US-Unternehmen der Internetbranche ist die Network Advertising Initiative (NAI).188 Die NAI ist ein im Jahr 1999 gegründeter Unternehmenszusammenschluss von Onlinewerbung (insbesondere Behavioral Targeting) betreibenden Unternehmen, der sich die Ent183 Grimm/Roßnagel, DuD 2000, 446 (449); zu TRUSTe DeMarco, Texas Law Review 84 (2006), 1013 (1056 f.). 184 Zitat nach Grimm/Roßnagel, DuD 2000, 446 (449); vgl. ferner Osborn, Hastings Communications and Entertainment Law Journal 31 (2009), 369 (385). 185 Dazu Cranor, DuD 2000, 479; Lohse/Janetzko, CR 2001, 55 (58). 186 Osborn, Hastings Communications and Entertainment Law Journal 31 (2009), 369 (385). 187 Ciocchetti, American Business Law Journal 44 (2007), 55 (97). 188 http://www.networkadvertising.org/ (15. 3. 2011).

IV. Fazit

205

wicklung von einheitlichen Datenschutzstandards in der Internetwerbeindustrie und die Verbraucheraufklärung zum Ziel gesetzt hat.189 Auch stellt die NAI auf ihrer Internetseite den Download eines Opt-Out-Cookies für eine Unterbindung der Schaltung personenbezogener Werbung durch Mitglieder der Organisation zur Verfügung.190 In der NAI sind die bedeutendsten Marktteilnehmer auf dem Onlinewerbemarkt, wie z. B. Microsoft oder Google, organisiert. Insgesamt hat die Initiative aktuell 63 Mitglieder.191 Auch wenn sich die NAI das hehre Ziel der Verbraucheraufklärung auf die Fahnen geschrieben hat, so ist doch nicht zu vergessen, dass die NAI letztlich die Interessen der datenverarbeitenden Internetwerbebranche repräsentiert. Daher verwundert es auch nicht, dass Kommentatoren den durch die NAI Principles gewährleisteten Datenschutzstandard als unterhalb des Niveaus der Fair Information Practice Principles der FTC liegend kritisieren.192 Auch wird darauf hingewiesen, dass die NAI nicht die gesamte Internetwerbebranche repräsentiere, sondern bedeutende Marktteilnehmer von einer Mitgliedschaft abgesehen haben und eigene Datenschutzstandards und Opt-Out-Cookies verwenden.193

IV. Fazit Die Analyse des US-amerikanischen Datenschutzrechts offenbart, dass Datenverarbeitungen durch private Stellen nur durch sehr weniges, auf enge Bereiche beschränktes Recht begrenzt wird. Grundrechtlichen Datenschutz gegenüber der Datenverarbeitung Privater sucht der Betroffene, aufgrund der fehlenden Grundrechtswirkung in Privatrechtsverhältnissen, vergeblich. Auf einfachgesetzlicher Ebene unterliegen Suchmaschinenbetreiber bei der Verarbeitung von Nutzerdaten wenigen, bei der Darstellung persönlichkeitsrechtsverletzender Inhalte in den Trefferlisten keinen rechtlichen Beschränkungen. Für die Weitergabe von Suchmaschinennutzerdaten ist die Anwendbarkeit des SCA fraglich, bejahendenfalls beschränkte der SCA die Weitergabe der Nutzerdaten nur, wenn jene Daten nach US-amerikanischem Verständnis als Inhaltsdaten (content information) einzuordnen wären, was ebenfalls umstritten ist. Deliktsrechtlicher Schutz gegen die Datenweitergabe ist regelmäßig ebenfalls nicht zu erlangen. Die Verarbeitung der Nutzerdaten durch die Suchmaschinenbetreiber selber ist gänzlich unreguliert. Die Anzeige persönlichkeitsrechtsverletzender Inhalte in den Trefferlisten unterliegt

189 190 191 192 193

http://www.networkadvertising.org/about/ (15. 3. 2011). http://www.networkadvertising.org/managing/opt_out.asp (15. 3. 2011). Vollständige Liste unter http://www.networkadvertising.org/participating/ (15. 3. 2011). Hotaling, Commlaw Conspectus 16 (2008), 529 (556). Hotaling, Commlaw Conspectus 16 (2008), 529 (556 f.).

206

E. Datenschutz in den USA

ebenfalls keinen gesetzlichen Beschränkungen, sondern ist, im Gegenteil, ausdrücklich von jeglicher Haftung nach 47 U.S.C. § 230 (c) (1) freigestellt. Zusammenfassend stellt sich daher der gesetzlich garantierte Datenschutz des Einzelnen in den USA im Vergleich zu Deutschland als äußerst schwach heraus.194 Legislative Defizite werden im Onlinebereich vordergründig durch Selbstverpflichtungen der Unternehmen der Internetwirtschaft aufgefangen.195 Jene stellen regelmäßig Datenschutzerklärungen bereit, die den interessierten Verbraucher über Umfang und Grenzen der Datenverarbeitung informieren sollen. Datenschutzrechtliche Mindeststandards werden darüber hinaus über Branchenverbände koordiniert. Ein solcher ist für den Bereich des Onlinemarketings die NAI, der auch namhafte Suchmaschinenbetreiber wie Google oder Microsoft angehören. Ferner finden von privaten Zertifizierern vergebene Datenschutz-Gütesiegel eine weite Verbreitung. Unterstützt und überwacht werden diese Bemühungen der freien Wirtschaft durch die FTC, der für Wettbewerb und Verbraucherschutz zuständigen Bundesbehörde. Der beschriebene Ansatz zum Datenschutz im privaten Bereich ist paradigmatisch für das grundsätzliche Misstrauen der Amerikaner gegenüber staatlichen Regulierungsmaßnahmen und dem Vertrauen auf die Selbstregulierungskräfte eines freien Marktes. Bezeichnend für diesen Ansatz ist, dass gemeinhin akzeptierte Regeln des Datenumgangs wie die Fair Information Practice Principles der FTC kein konkretes Schutzniveau bezogen auf den Umfang der Datenverarbeitungen vorgeben, sondern vor allem Mindeststandards für die Rahmenbedingungen der Datenverarbeitung setzen, die es dem Betroffenen ermöglichen sollen, unter den Angeboten am Markt auswählen zu können. Vergleichende Aussagen zum tatsächlichen Datenschutzniveau in den USA und dem europäischen Rechtsraum bleiben trotz der aufgezeigten Regelungsunterschiede schwierig. Jedenfalls lässt sich nicht anhand einer geringeren Regelungsdichte ohne weiteres auf Schutzdefizite jenseits des Atlantiks rückschließen. Weitere Faktoren sind einzubeziehen. Eine unterschiedliche Unternehmenskultur in den USA mit einer höheren Bereitschaft zur freiwilligen Selbstverpflichtung ist in Rechnung zu stellen.196 Ferner ist zu berücksichtigen, dass der Verbraucherschutz in den USA aufgrund 194 So auch die weit verbreitete Meinung in den USA, vgl. Edwards, Stepping Up to the Plate: The Google-DoubleClick Merger and the Role of the Federal Trade Commission in Protecting Data Privacy, S. 5 m. w. Nachw. in Fn. 26, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1370734 (15. 3. 2011). 195 Die zuständige EU-Kommissarin Kroes appelliert ebenfalls an die Internetbranche, mehr Selbstregulierungsmaßnahmen zu etablieren, BVDW, EU-Kommissarin Kroes fordert wirksame Selbstregulierung im Online-Datenschutz Pressemitteilung v. 20. 9. 2010, http:// www.bvdw.org/presse/news.html?tx_ttnews[tt_news] =3093&cHash=1955694e35 (15. 3. 2011); krit. Giesen, RDV 2011, 266 (268). 196 Diese Unternehmenskultur herrscht in den USA branchenübergreifend. Beispielhaft herausgegriffen sei die chemische Industrie. Während hierzulande noch über ein europaweites Verbot der Verwendung des Weichmachers Bisphenol A in Kinderspielzeug aufgrund mögli-

IV. Fazit

207

der Existenz von zivilprozessualen Sammelklagen wohl gerichtlich leichter durchsetzbar ist. Auf europäischer Seite verzerren wiederum erhebliche Vollzugsdefizite bestehender Gesetze das Bild eines stark ausgeprägten Datenschutzes.197 In einer Gesamtschau kann letztlich doch festgehalten werden, dass sich auf dem amerikanischen Onlinemarkt ein Datenschutzniveau eingependelt hat, das als eher niedriger als in Europa anzusehen ist. Die Wirksamkeit der bisherigen Selbstverpflichtungsmaßnahmen der Industrie wird in den USA ebenfalls kritisch gesehen.198 Allgemein wird ein Reformbedarf des amerikanischen Datenschutzrechts für die Herausforderungen des 21. Jahrhunderts attestiert,199 insbesondere ist der Ruf nach strengeren gesetzlichen Vorgaben deutlich vernehmbar.200 Vor diesem Hintergrund kann jedenfalls das geltende Datenschutzrecht in den USA keine Vorbildfunktion für Europa übernehmen. Positiv hervorzuheben ist die Kultur des Dialogs zwischen Aufsichtsbehörden und den betroffenen Industrien in den USA. Die FTC steht seit vielen Jahren im Austausch mit kommerziellen Datenverarbeitern, indem sie Diskussionsrunden organisiert und Stellungnahmen veröffentlicht.201 Daran ein Beispiel nehmend, suchen auch europäische Aufsichtsbehörden zunehmend den Dialog, besonders mit Vertretern der Firma Google, etwa auf europäischer Ebene über die Artikel-29-Datenschutzgruppe202 oder auf deutscher Ebene über den hamburgischen Datenschutzbeauftragten.203 cher gesundheitsschädigender Wirkungen gestritten wird, verzichten große US-Hersteller freiwillig auf ihn. Dieses Verhalten wird als vorbildhaft für Europa bezeichnet in dem Radiobeitrag von dradio kultur v. 29. 11. 2010, 19:30 h, Manuskript der Sendung abrufbar unter http:// www.dradio.de/download/128508/ (15. 3. 2011). 197 Zum Vollzugsdefizit oben Teil A. Fn. 32. 198 Mit detaillierten Kritikpunkten DeVries, Berkeley Technology Law Journal 18 (2003), 283 (308); Ciocchetti, American Business Law Journal 44 (2007), 55 (98 ff.); Hotaling, Commlaw Conspectus 16 (2008), 529 (551 ff.). 199 Die Reformbedürftigkeit als Allgemeinplatz bezeichnend u. einen Überblick über die Reformdiskussion gebend DeVries, Berkeley Technology Law Journal 18 (2003), 283 (309 f.). 200 Center For Democracy and Technology, Search Privacy Practices: A Work in Progress, http://www.cdt.org/privacy/20070808searchprivacy.pdf (15. 3. 2011); Ciocchetti, American Business Law Journal 44 (2007), 55 (98 ff.); Hotaling, Commlaw Conspectus 16 (2008), 529 (559 ff.); ausführliche Auseinandersetzung mit dem Für u. Wider eines allg. Datenschutzrechts Schwartz, Yale Law Journal 118 (2009), 902 (922 ff.). 201 Nachw. oben Teil E. Fn. 1. 202 Vgl. Fleischer, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). u. Artikel-29-Datenschutzgruppe, Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148, http://ec.europa.eu/justice/policies/privacy/ docs/wpdocs/2008/wp148_de.pdf (15. 3. 2011). 203 Die Verhandlungen des hamburgischen Datenschutzbeauftragten Caspar mit Google über Anpassungen der Analytics-Software waren allerdings nicht von Erfolg gekrönt, vgl. Tomik, „Google Analytics“ im Visier der Datenschützer, FAZ.net v. 10. 1. 2011, http://www.faz. net/s/Rub594835B672714 A1DB1 A121534F010EE1/Doc~E3FCFE8EC3AF34FEC84 F22338721DCF2D~ATpl~Ecommon~Scontent.html (15. 3. 2011).

F. Befund aus den Teilen C. bis E. Zu den zwei identifizierten Problemkreisen des Datenschutzes bei dem Betrieb von Suchmaschinen hat die Gesetzesanwendung unterschiedlich befriedigende Lösungen geliefert. Suchmaschinen sind für Datenschutzverstöße im Zusammenhang mit der Suchfunktion nach § 8 Abs. 1 Alt. 2 TMG und § 9 TMG analog in ihrer Verantwortlichkeit beschränkt. Dem Datenschutz von Personen, zu denen datenschutzrechtswidrige Inhalte mittels Suchmaschinen im Internet auffindbar sind (Datenschutz des Suchobjekts), wird dadurch Rechnung getragen, dass die telemedienrechtlichen Verantwortlichkeitsfreistellungsnormen Löschverpflichtungen nach positiver Kenntnis eines rechtswidrigen Inhalts gem. § 7 Abs. 2 S. 3 TMG nicht erfassen. Die Beschränkung der Verantwortlichkeit von Suchmaschinen für datenschutzwidrige Inhalte in den Trefferlisten auf Löschungsansprüche nach Kenntnis der Rechtsverletzung trägt insbesondere der Bedeutung von Suchmaschinen für die Verwirklichung der grundrechtlich geschützten Informationsfreiheit im Internet Rechnung. Ein Indiz für die Angemessenheit der Einräumung einer Verantwortlichkeitsfreistellung für Suchmaschinen ist die Existenz einer vergleichbaren (sogar noch weiterreichenden1) Verantwortlichkeitsfreistellungsvorschrift in 47 U.S.C. § 230 (c) (1) für Suchmaschinen in den USA. Die Untersuchung der rechtlichen Zulässigkeit der Verarbeitung von Suchmaschinennutzerdaten führte zu dem Ergebnis, dass jene Datensätze (in denen IPAdressen, Cookie-Informationen und die Suchhistorien zusammengeführt sind) Personenbezug aufweisen und ihre Verarbeitung daher den Grenzen des Datenschutzrechts unterworfen ist. Sowohl statische als auch dynamische IP-Adressen sind als personenbezogene Daten zu behandeln. Ihre Verarbeitung ist nur nach Maßgabe der engen Voraussetzungen nach § 15 Abs. 1 TMG zulässig. Die Speicherung von IPAdressen über den Zeitraum der Dienstenutzung hinaus ist im Regelfall nicht von § 15 Abs. 1 TMG gedeckt und verstößt daher gegen geltendes Datenschutzrecht. Das Einstellen von IP-Adressen in Nutzerprofile ist somit ebenfalls unzulässig. Derartige Profile können allerdings mithilfe von Cookies erstellt werden und sind unter den Voraussetzungen des § 15 Abs. 3 TMG möglich. Verfassungsrechtlich begründet das Erstellen von Suchmaschinennutzerprofilen einen schwerwiegenden Eingriff in das allgemeine Persönlichkeitsrecht des Betroffenen. Das Anlegen derartiger Profile ist jedoch nicht schlechthin unvereinbar mit der Würde des Menschen. Bei der Untersuchung der Zulässigkeit der Verarbeitung von IP-Adressen und Cookies bereitet die Einordnung als personenbezogene oder nicht-personenbezogene 1

Oben D. II. 2. insbes. Teil E. Fn. 149 u. der dazugehörige Text.

F. Befund aus den Teilen C. bis E.

209

Daten große Schwierigkeiten. Die Auslegung des Begriffs „personenbezogenes Datum“ ist in Rechtsprechung und Literatur hoch umstritten. Gleichzeitig ist die Bestimmung des Personenbezugs eines Datums von enormer Bedeutung, weil mit dieser Klassifizierung der Anwendungsbereich des Datenschutzrechts steht und fällt. Entsprechend bewegen sich die Ansichten zur Zulässigkeit der Protokollierung von Suchmaschinennutzerdaten zwischen den Vertretern eines restriktiveren und eines weiten Verständnisses des personenbezogenen Datums zwischen den Extrempositionen einer umfassenden Geltung des Datenschutzrechts und einer rechtlich ungebundenen Verarbeitungsfreiheit. Der Befund zur Zulässigkeit des Sammelns von Suchmaschinennutzerdaten nach deutschem Recht steht im Kontrast zu der Rechtslage in den Vereinigten Staaten. Dort ist die Verarbeitung der Nutzerdaten durch Suchmaschinenbetreiber nicht durch zwingendes Recht beschränkt. Verarbeitungsbeschränkungen sind lediglich Ausdruck freiwilliger Selbstverpflichtung. Nur Zuwiderhandlungen gegen vorher freiwillig auferlegte Selbstverpflichtungen sind als unlautere Geschäftspraktiken rechtlich sanktionierbar. Das Datenschutzniveau in den Vereinigten Staaten ist daher als niedriger als in Europa einzustufen. Reformbedarf wird in dem amerikanischen Schrifttum angemahnt. Als Vorbild für eine Absenkung des europäischen Datenschutzstandards taugt daher das US-amerikanische Datenschutzrecht nicht.

G. Fortentwicklung des Rechts In dem abschließenden Teil dieser Abhandlung sollen die gefundenen Antworten auf die Frage der Zulässigkeit der Datenverarbeitung der Suchmaschinennutzerdaten noch einmal näher untersucht werden und diesmal die Prämissen, unter denen das hier erzielte Ergebnis gefunden wurde, auf ihre Auswirkungen für den Umgang mit Nutzerdaten allgemein im Internet betrachtet werden. Die Frage der Zulässigkeit der Speicherung und Verarbeitung von Suchmaschinennutzerdaten ist letztlich nur eine spezielle Ausformung der allgemeinen Frage, wie mit den (notwendigerweise produzierten) Datenspuren im Internet umzugehen erlaubt sein sollte. Im Kern geht es darum, unter welchen rechtlichen Bedingungen das Internetsurfverhalten protokollierbar sein sollte.

I. Bisherige Prämissen und ihre Konsequenzen 1. IP-Adressen und relative Bestimmbarkeit Ob ein Nutzer, der sich hinter einer IP-Adresse verbirgt, bestimmbar ist, hängt davon ab, ob die Daten verarbeitende Stelle den Personenbezug mit verhältnismäßigem Aufwand selbst (relative Bestimmbarkeit) herstellen kann.1 Bei statischen IPAdressen ist die Möglichkeit der Herstellung des Personenbezugs anzunehmen, weil statische IP-Adressen einem dauerhaften Personenkennzeichen für sämtliche Interaktionen im Internet gleichkommen und daher die Wahrscheinlichkeit hinreichend groß ist, dass die Daten verarbeitende Stelle irgendwann einen Personenbezug herstellen kann. Hingegen sind dynamische IP-Adressen keine personenbezogenen Daten für andere Stellen, außer dem Access-Provider, weil eine dynamische IPAdresse in zeitlichen Abständen einem anderen Kunden des Access-Providers zugeordnet wird. Die Betreiber von Webserver haben jedoch sämtliche IP-Adressen als personenbezogene Daten zu behandeln, weil einer Adresse nicht anzusehen ist, ob sie eine statische oder eine dynamische IP-Adresse ist und diese Unsicherheit im Interesse des Datenschutzes zu Lasten des Datenverarbeiters geht. Folge dieser Annahmen ist, dass Betreiber von Webservern IP-Adressen restriktionslos speichern dürften, wenn sie zunächst alle statischen IP-Adressen aus ihrem Datenbestand aussondern und löschen würden. Wenn man also die hier vertretenen Annahmen konsequent zu Ende denkt, wäre die beliebige Speicherung und weitere 1

Oben D. II. 1. a) aa) (1).

I. Bisherige Prämissen und ihre Konsequenzen

211

Datenverarbeitung von IP-Adressen rechtlich restriktionslos möglich, wenn die jeweilige Stelle z. B. ein automatisiertes Abrufverfahren seinen weiteren Datenverarbeitungen vorschalten würde. Bei diesem Abrufverfahren würde jede IP-Adresse mit den Datenbanken der Internetvergabestellen (Regional Internet Registries – für Europa das RIPE NCC) abgeglichen und nur solche Adressen weiterhin gespeichert werden, bei denen eine Abfrage ergeben hätte, dass die einzelne Adresse aus dem Adresspool eines Access-Providers stammte, den der Provider zur dynamischen Vergabe an seine Kunden nutzt; mithin sichergestellt ist, dass die konkrete IP-Adresse aufgrund ihrer dynamischen Zuweisung nicht personenbeziehbar ist. Ein solches Verfahren wäre vergleichbar mit dem Abgleich mit Fahndungslisten bei der automatisierten Kfz-Kennzeichenerfassung. Diese hat das Bundesverfassungsgericht partiell für mit dem informationellen Selbstbestimmungsrecht vereinbar erklärt.2 Das Gericht verneinte in der zugrundeliegenden Entscheidung das Vorliegen eines Grundrechtseingriffs, wenn „der Abgleich mit dem Fahndungsbestand unverzüglich vorgenommen wird und negativ ausfällt (sogenannter Nichttrefferfall) sowie zusätzlich rechtlich und technisch gesichert ist, dass die Daten anonym bleiben und sofort spurenlos und ohne die Möglichkeit, einen Personenbezug herzustellen, gelöscht werden.“3 Die Einrichtung eines solchen Verfahrens erscheint auf den ersten Blick nicht sonderlich kompliziert. Es baut jedoch darauf auf, dass Internetnutzer in der Zukunft weiterhin dynamische IP-Adressen verwenden werden. Wahrscheinlich ist jedoch, dass in Zukunft eine statische IP-Adresszuteilung die Regel sein wird.4 Dies ist darauf zurückzuführen, dass IP-Adressen in der Zukunft das IPv6-Protokoll verwenden werden und nicht mehr das bisherige IPv4-Protokoll. Die Umstellung auf IPv6 hat eine erhebliche Ausweitung des verfügbaren Adressraums und somit eine Beseitigung bisheriger Nummernengpässe zur Folge.5 Das Vorhandensein ausreichender Adressen macht es technisch nicht mehr erforderlich, IP-Adressen nur nach tatsächlichem Bedarf dynamisch zu vergeben. Ein Festhalten an der dynamischen Adressierung wäre jedoch aus datenschutzrechtlicher Perspektive unter dem Gesichtspunkt des Datenschutzes durch Technik bzw. der Etablierung anonymer Kommunikationsinfrastrukturen wünschenswert.6

2

BVerfGE 120, 378. BVerfGE 120, 378 (399); vgl. auch BVerfG-K, NJW 2009, 1405 (1406). 4 Zur Anonymität bei IPv6 näher Probst, DSB 2011, 10. 5 Vgl. oben B. I. 2. a). 6 Pseudonyme Infrastrukturen, für die es ein geregeltes Aufdeckungsverfahren gibt, als sinnvolle Identitätsinfrastrukturen bezeichnend Hansen/Thomsen, DuD 2010, 283. 3

212

G. Fortentwicklung des Rechts

2. Cookie-IDs und Pseudonymität Hinsichtlich Cookies führte diese Untersuchung zu dem Ergebnis, dass CookieIDs personenbezogene Daten sind, wenn die Daten verarbeitende Stelle über Zuordnungswissen zur Herstellung des Personenbezugs verfügt.7 Dieses Zuordnungswissen kann sich bei Internetdiensteanbietern typischerweise aus Daten eines Kunden-Login oder aus den bei der Dienstenutzung anfallenden Nutzerdaten ergeben. Wenn ein Internetdienst keinen Nutzer-Login vorsieht und keine IP-Adressen gespeichert werden, steht und fällt die Anwendbarkeit des Datenschutzrechts daher mit der Einschätzung, ob eine fortlaufende Speicherung und Verknüpfung der Nutzerdaten eine Identifizierung des Nutzers als wahrscheinlich erscheinen lassen oder nicht. Diese Prognose kann je nach Internetdienst unterschiedlich ausfallen, weil Internetdienste in unterschiedlich großem Umfang aussagekräftige Daten generieren.8 Gemessen an diesen Vorgaben könnten Internetdiensteanbieter das Verhalten von Nutzern durch die Verwendung von Cookies rechtlich uneingeschränkt nachverfolgen, wenn die Nutzerdaten nicht eins zu eins in ein Nutzerprofil einfließen, sondern das Profil als Faktoren beeinflussen, das Profil allerdings nur eine Einteilung in grobe Kategorien vorsieht, die derart weit gefasst sind, so dass jedes einzelne Profil nicht individuell genug werden kann, um die dahinter stehende Person bestimmbar zu machen. Konsequenz wäre eine Wiedererkennbarkeit des jeweiligen Nutzers anhand dessen Cookie-ID und die Möglichkeit der Schaltung zielgerichteter Werbung anhand der groben Interessenkategorien.

3. Bewertung Es zeigt sich, dass die Auslegung des Datenschutzrechts unter den hier vertretenen Prämissen noch in weitem Umfang das Tracking von Internetnutzern, also das Protokollieren des Nutzerverhaltens, zulässt. Es erfordert nicht sehr viel Kreativität, um datenschutzkonforme Datenverarbeitungsabläufe zu entwickeln, d. h. Datenverarbeitungsabläufe in einer Weise umzugestalten, welche die Möglichkeit der Herstellung eines Personenbezugs für die Daten verarbeitende Stelle ausschließt. Auch Suchmaschinenanbieter könnten ihre Verarbeitungsprozesse der Nutzerdaten in einer Weise anpassen, die eine Herstellung des Personenbezugs vermeidet. Die Verarbeitung anonymer Daten ist nach der aktuellen Rechtslage unbegrenzt möglich. Dieser Befund ist für den Bereich des Internet unbefriedigend. Die Fokussierung des Datenschutzrechts auf die Verarbeitung personenbezogener Daten ist hier nicht mehr sachgerecht, weil dabei die Gefahren für die Persönlichkeitsentfaltung, die auch bei der Verarbeitung nicht-personenbezogener Daten nicht gänzlich eliminiert sind, 7 8

Zum Folgenden oben D. I. 1 a) bb) u. D. I. 2. b) bb). Oben D. II. 2. b) bb) (1).

II. De-Anonymisierbarkeit

213

nicht hinreichend berücksichtigt sind. Wissenschaftliche Fortschritte der letzten Jahre im Bereich der computerisierten Datenverarbeitung haben dazu geführt, dass sich das Gefahrenpotential für das allgemeine Persönlichkeitsrecht durch die Verarbeitung anonymer Daten erhöht hat.

II. De-Anonymisierbarkeit Forscher haben in den letzten Jahren wiederholt bewiesen, dass Anonymität oftmals nicht viel mehr als ein schöner Schein ist, der sich schnell verdunkelt, wenn vermeintlich anonyme Daten mit anderen verfügbaren Quellen abgeglichen und nach Mustern analysiert werden.9 Diverse Datenskandale in den letzten Jahren haben die Schwächen des Konzepts der Kategorienbildung in anonyme und personenbezogene Daten zutage gefördert.10

1. AOL AOL hatte im Jahr 2006 zu Forschungszwecken die Suchhistorien von 657.000 Nutzern aus einem Zeitraum von drei Monaten veröffentlicht. Um die Anonymität der Suchmaschinennutzer zu wahren, hatte die Firma offensichtlich identifizierende Merkmale, wie die AOL-Nutzernamen und IP-Adressen, gelöscht; um einzelne Nutzer unterscheiden zu können, war der Nutzername durch eine Laufnummer ersetzt.11 Gleichwohl war es für Reporter anhand der Suchanfragen ein Leichtes, herauszufinden, dass sich hinter der Nutzerkennung 4417749 Thelma Arnold aus Lilburn, Georgia verbarg, deren Suchanfragen sich thematisch zwischen „numb fingers“, „60 single men“ und „dog that urinates on everything“ bewegten und durch die AOL-Veröffentlichung plötzlich allgemein einsehbar wurden.12

2. Netflix Ein weiteres Datenschutzdefizit wurde bei der größten amerikanischen OnlineVideothek Netflix13 offenbar.14 Diese schrieb ein Preisgeld von einer Millionen Dollar 9

Narayaran/Shmatikov, Communications of the ACM 53 No. 6 (2010), 24. Zu folgenden Beispielen auch Ohm, UCLA Law Review 57 (2010), 1701 (1717 ff.). 11 Barbaro/Zeller, A Face Is Exposed for AOL Searcher No. 4417749, New York Times v. 9. 8. 2006, http://www.nytimes.com/2006/08/09/technology/09aol.html?ex=1312776000 (15. 3. 2011). 12 Barbaro/Zeller, A Face Is Exposed for AOL Searcher No. 4417749, New York Times v. 9. 8. 2006, http://www.nytimes.com/2006/08/09/technology/09aol.html?ex=1312776000 (15. 3. 2011). 13 http://www.netflix.com (15. 3. 2011). 10

214

G. Fortentwicklung des Rechts

für das Forscherteam aus, dem es gelang, einen neuen Algorithmus für das Empfehlungssystem des Internetdienstes zu entwickeln, das anhand der Ausleihhistorie des jeweiligen Nutzers die Interessen für zukünftige Leihen am zuverlässigsten prognostiziert.15 Zu diesem Zweck veröffentlichte Netflix einhundert Millionen Datensätze von knapp fünfhunderttausend Nutzern aus der Zeit von Dezember 1999 bis Dezember 2003 an interessierte Forscherkreise.16 In den Datensätzen war zur Herstellung vermeintlicher Anonymität der Name durch eine Laufnummer ersetzt, die eine Zuordnung unterschiedlicher Ausleihen an denselben Nutzer weiterhin ermöglichte. Ferner beinhalteten die Datensätze den ausgeliehenen Film, das Ausleihdatum und die Kundenbewertung des Films (einer bis fünf Sterne).17 Forscher haben nachgewiesen, dass mithilfe leicht erlangbaren Zusatzwissens viele Kundenprofile natürlichen Personen zugeordnet werden können.18 Im konkreten Fall haben sie die Netflix-Daten mit Filmrezensionen auf dem Kinoportal Internet Movie Database (IMDb)19 abgeglichen. Auf der IMDb-Webseite können Nutzer unter Angabe ihres Namens Filme bewerten. Die Forscher entdeckten Korrelationen zwischen dem Ausleihdatum bei Netflix und der Veröffentlichung von Kundenrezensionen bei IMDb, die eine Verknüpfung der Datensätze ermöglichten. Bei der Untersuchung der Netflix-Daten fanden die Forscher zunächst heraus, dass die jeweiligen Nutzerprofile sehr individuell sind. Konsequenz dessen ist, dass nur wenige Zusatzinformationen erforderlich sind, um die Anonymität einzelner Nutzerprofile aufzuheben. Die Individualität der Kundenprofile wird anhand der folgenden Beispiele deutlich.20 Wenn man die Bewertung von acht Filmen kennt und weiß, dass darunter zwei falsche Bewertungen sind, darüber hinaus die dazugehörigen Ausleihdaten mit bis zu vierzehn Tagen Abweichung verfügbar hat, sind 99 % der Profile eindeutig bestimmbar. Für 68 % der Nutzerprofile ist eine eindeutige Bestimmbarkeit bereits bei Kenntnis von zwei Filmbewertungen möglich, wenn die Ausleihdaten einer möglichen Schwankung von nur drei Tagen unterliegen. Eine 14

Narayanan/Shmatikov, in: IEEE Computer Society (Hrsg.), SP Ï08 Proceedings of the 2008 IEEE Symposium on Security and Privacy, S. 111; vgl. auch die Berichterstattung v. Lischka, Informatiker knacken anonymisierte Datenbank per Web-Suche, Spiegel Online v. 13. 12. 2007, http://www.spiegel.de/netzwelt/web /0,1518,523216,00.html (15. 3. 2011). 15 http://www.netflixprize.com/rules (15. 3. 2011); vgl. auch Thompson, If You Liked This, YouÏre Sure to Love That, New York Times v. 21. 11. 2008, http://www.nytimes.com/2008/11/ 23/magazine/23Netflix-t.html (15. 3. 2011). 16 http://www.netflixprize.com/rules (15. 3. 2011); dies entsprach weniger als 10 % der Gesamtdatenbank zum Veröffentlichungszeitpunkt laut Narayanan/Shmatikov, in: IEEE Computer Society (Hrsg.), SP Ï08 Proceedings of the 2008 IEEE Symposium on Security and Privacy, S. 111 (120). 17 Ohm, UCLA Law Review 57 (2010), 1701 (1722). 18 Narayanan/Shmatikov, in: IEEE Computer Society (Hrsg.), SP Ï08 Proceedings of the 2008 IEEE Symposium on Security and Privacy, S. 111. 19 http://www.imdb.com (15. 3. 2011). 20 Dazu Narayanan/Shmatikov, in: IEEE Computer Society (Hrsg.), SP Ï08 Proceedings of the 2008 IEEE Symposium on Security and Privacy, S. 111 (121 f.).

II. De-Anonymisierbarkeit

215

eindeutige Zuordnung ist für 84 % der Ausleihprofile ferner ohne Kenntnis von irgendwelchen Ausleihdaten möglich, wenn sich die Kenntnis von sechs aus acht Filmbewertungen auf weniger verbreitete Filme21 bezieht.22 Als Zusatzinformation verwendeten die Forscher 50 Profile von IMDb-Rezensenten. Von den fünfzig Rezensenten konnten sie zwei von ihnen konkrete Netflix-Profile zuordnen. Für jene zwei Personen wurde durch das freiwillige Offenbaren einiger weniger Filmpräferenzen auf einen Schlag ihre gesamte Ausleihhistorie sichtbar. Die Forscher weisen darauf hin, dass einige wenige Filmvorlieben auch über andere Quellen in Erfahrung gebracht werden können, etwa durch eine Internetrecherche über die betreffende Person oder im Rahmen eines unverfänglichen Gesprächs.23 Unbeeindruckt von den Datenschutzerkenntnissen schrieb Netflix nach Beendigung des Wettbewerbs einen weiteren Wettbewerb aus, diesmal unter Zurverfügungstellung von noch detaillierteren Nutzerdaten, u. a. zu Verhalten und Demographie.24 Zu einer Ausschüttung des Preisgelds kam es allerdings nicht. Ende 2009 erhoben Netflix-Kunden eine Sammelklage gegen das Unternehmen wegen Datenschutzverstößen.25 Netflix verglich sich mit den Klägern außergerichtlich und beendete den zweiten Wettbewerb vorzeitig.26

3. Gouverneur Welds Krankenakte Ein letztes Beispiel für eine Unterschätzung der Aussagekraft vermeintlich anonymisierter Daten betrifft die Veröffentlichung der Krankenakten aller Staatsbediensteten des Bundesstaates Massachusetts. Die Group Insurance Commission (GIC) ist eine Einrichtung des Bundesstaats Massachusetts, die für die Versorgung der Landesbediensteten mit Krankenversicherungsschutz zuständig ist. In den 1990er 21 Solche Filme, die nicht zu den fünfhundert am meisten bei Netflix bewerteten Filmen gehören. 22 Narayanan/Shmatikov, in: IEEE Computer Society (Hrsg.), SP Ï08 Proceedings of the 2008 IEEE Symposium on Security and Privacy, S. 111 (121) betonen, dass die Einschränkung auf Filme außerhalb der Top-500 keine starke Einschränkung darstellt; so haben laut NetflixDaten 83 % der Kunden mehr als fünf u. immerhin noch 70 % über zehn der außerhalb der Top500 liegenden Filme schon bewertet. 23 Narayanan/Shmatikov, in: IEEE Computer Society (Hrsg.), SP Ï08 Proceedings of the 2008 IEEE Symposium on Security and Privacy, S. 111 (122). – Auf die Möglichkeit der Aufdeckung von Pseudonymen in Gerichtsurteilen mittels einer Google-Recherche hinweisend VGH Mannheim, VBlBW 2011, 64 (66). 24 Lohr, Netflix Awards $ 1 Million Prize and Starts a New Contest, http://bits.blogs.nytimes.com/2009/09/21/netflix-awards-1-million-prize-and-starts-a-new-contest/ (15. 3. 2011). 25 Singel, Netflix Spilled Your Brokeback Mountain Secret, Lawsuit Claims, http:// www.wired.com/threatlevel/2009/12/netflix-privacy-lawsuit/ (15. 3. 2011); Klageschrift abrufbar unter http://www.wired.com/images_blogs/threatlevel/2009/12/doe-v-netflix.pdf (15. 3. 2011). 26 Lohr, Netflix Cancels Contest Plans and Settles Suit, http://bits.blogs.nytimes.com/2010/ 03/12/netflix-cancels-contest-plans-and-settles-suit/ (15. 3. 2011).

216

G. Fortentwicklung des Rechts

Jahren entschied sich die GIC, alle Krankenunterlagen interessierten Forschern unentgeltlich zugänglich zu machen. Der damalige Gouverneur Weld versicherte gegenüber der Öffentlichkeit, dass die Anonymität der Betroffenen gewährleistet sei, weil identifizierende Merkmale, wie die Patientennamen, Adressen oder Sozialversicherungsnummern, entfernt wurden.27 Wenige Tage nach der Veröffentlichung bekam Weld seine persönliche Krankenakte von einer Forscherin zugesandt. Diese hatte aufgrund der ungelöschten Merkmale Postleitzahl, Geburtsdatum und Geschlecht die Akte eindeutig zuordnen können.28 Anhand einer Untersuchung von Volkszählungsdaten aus dem Jahr 1990 fand die Forscherin darüber hinaus heraus, dass 87,1 % der amerikanischen Bevölkerung durch jene drei Merkmale eindeutig identifizierbar sind.29

4. Bewertung der De-Anonymisierungsrisiken Zusammenfassend lassen sich aus den dargestellten Beispielen zwei Erkenntnisse ziehen. Zum einen ist festzuhalten, dass bei den Möglichkeiten der Datenanalyse beachtliche Fortschritte in den letzten Jahren erzielt wurden. Zum anderen verdeutlichen die Beispiele, dass bei (vermeintlich anonymen) Datensätzen die Frage des Personenbezugs letztlich nur von der zur Verfügung stehenden Rechenleistung und dem Aufwand, den die Daten verarbeitende Stelle investieren will, abhängig ist.30 Letztere Erkenntnis ist nicht wirklich neu und sollte auch nicht dazu verleiten, die Dogmatik bestehender Datenschutzgesetze grundsätzlich in Frage zu stellen. Der Personenbezug von Daten wurde immer schon durch eine Einschätzung der Wahrscheinlichkeit der Möglichkeit der Herstellung eines Personenbezugs ermittelt.31 Wenn Anonymität und Personenbezug immer nur eine Frage von Wahrscheinlichkeit ist (und war), bedeutet dies auch, dass die Klassifizierung als anonymes Datum die Möglichkeit der Herstellung eines Personenbezugs nicht gänzlich ausschließt.32 27

Schilderung des Falles bei Ohm, UCLA Law Review 57 (2010), 1701 (1719) u. Greely, Annual Review of Genomics & Human Genetics 8 (2007), 343 (352). 28 Ohm, UCLA Law Review 57 (2010), 1701 (1719). 29 Recommendations to Identify and Combat Privacy Problems in the Commonwealth: Hearing on H.R. 351 Before the H. Select Comm. on Information Security, 189th Sess. (Pa. 2005) zit. nach Ohm, UCLA Law Review 57 (2010), 1701 (1719 Fn. 81). Eine neuere Studie, der Einwohnerstatistiken von 2000 zugrunde liegen, kommt hingegen nur auf eine Identifizierbarkeit von 63 % der US-Bevölkerung, vgl. Golle, in: ACM (Hrsg.), WPES Ï06 Proceedings of the 5th ACM workshop on Privacy in electronic society, S. 77. 30 Narayanan/Shmatikov, in: IEEE Computer Society (Hrsg.), SP Ï08 Proceedings of the 2008 IEEE Symposium on Security and Privacy, S. 111; Narayaran/Shmatikov, Communications of the ACM 53 No. 6 (2010), 24. 31 Roßnagel/Scholz, MMR 2000, 721 (729); Probst, in: Bäumler/von Mutius (Hrsg.), Anonymität im Internet, S. 179 (184 ff.). 32 Probst, in: Bäumler/von Mutius (Hrsg.), Anonymität im Internet, S. 179 (184); Kühling/ Seidel/Sivridis, Datenschutzrecht, S. 105. – Teilweise wird der Eindruck vermittelt, Anony-

II. De-Anonymisierbarkeit

217

Wo die „normative Wahrscheinlichkeitsgrenze für die Annahme von ,PersonenbeziehbarkeitГ33 anzusetzen ist, ist eine Wertungsfrage.34 Die Antwort auf diese Wertungsfrage hat für ein konkretes Einzeldatum zur Folge, dass jenes entweder frei verarbeitet werden kann oder dem datenschutzrechtlichen Verarbeitungsverbot mit Erlaubnisvorbehalt unterliegt. Der „gesetzliche Freifahrtschein“ zur Verarbeitung eines Datums bedeutet aber nicht die Freiheit von Risiken für das allgemeine Persönlichkeitsrecht durch dessen Verarbeitung, sondern nur die Einstufung der Verwirklichung der Risiken als unter der normativen Wahrscheinlichkeitsschwelle liegend. Wenn sich also Fälle finden lassen, in denen als anonym klassifizierte Daten doch auf im Vorhinein unwahrscheinlich eingestufte Weise sich einer Person zuordnen lassen, spricht dies nicht per se gegen das Konzept der Einteilung in personenbezogene und anonyme Daten. Unschärfen in Grenzbereichen sind bei kategorialen Einteilungen in Gesetzen unausweichlich. Grundsätzlich ist der Einsatz komplizierterer mathematischer Formeln, wie z. B. bei der Aufdeckung der NetflixKundenidentitäten, als eher unterhalb der Wahrscheinlichkeitsgrenze anzusiedeln, sodass die theoretische Aufdeckungsmöglichkeit mittels derartiger Verfahren die normative Anonymität der Netflix-Daten nicht zu beseitigen vermag. Sähe man dies anders – qualifizierte man solche Daten also nicht als anonym, sondern als personenbezogen –, hätte dies eine erhebliche Ausdehnung des Anwendungsbereichs des Datenschutzrechts zur Folge und würde die vom Gesetzgeber intendierte Interessenabwägung zwischen Datenschutz und freier Datenverarbeitung erheblich umgestalten.35 Durch Anlegung eines restriktiveren Maßstabs verbleibt den bestehenden Datenschutzgesetzen noch ein sinnvoller Differenzierungsspielraum zwischen als personenbezogen und als anonym klassifizierbaren Datengruppen, der in Bezug auf allgemeine Datenschutzgesetze ein sinnvolles Datenschutz-Grundniveau gewährleistet. Die Verwendung von Pseudonymen zur Herstellung unterschiedlicher Grade von Anonymität ist grundsätzlich sinnvoll, um den Zielkonflikt36 zwischen notwendiger Identifizierung und Datenschutz aufzulösen.37 Es existieren in der Praxis viele Bereiche, in denen sich anhand eines differenzierten Schutzkonzeptes unter Verwendung von Anonymisierung und Pseudonymisierung ein sinnvoller Mittelweg zwischen berechtigten Datenschutzinteressen misierung und Pseudonymisierung seien Allheilmittel zur Beseitigung jeglicher Datenverarbeitungsrisiken, etwa durch Weichert, in: Bäumler/von Mutius (Hrsg.), Anonymität im Internet, S. 95 (100): „Mit ,intelligenterÐ Pseudonymisierung kann die Zusage der Vertraulichkeit erfüllt und zugleich die Effektivität des Informationssystems erreicht werden.“; ähnlich Heckmann, K&R 2011, 1 (3). 33 Roßnagel/Scholz, MMR 2000, 721 (729). 34 Etwa den Aufwand für eine De-Anonymisierung in Verhältnis zu dem Aufwand einer Neuerhebung setzend Kühling/Seidel/Sivridis, Datenschutzrecht, S. 105. 35 Ohm, UCLA Law Review 57 (2010), 1701 (1741). 36 Auf den Punkt gebracht: „Data can be either useful or perfectly anonymous but never both.”, Ohm, UCLA Law Review 57 (2010), 1701 (1704). 37 Roßnagel, in: Roßnagel (Hrsg.), HbDSR, Kap. 3.4 Rn. 64.

218

G. Fortentwicklung des Rechts

und Verarbeitungsbedürfnissen hat finden lassen. Exemplarisch sei etwa der Bereich des medizinischen Datenschutzes herausgegriffen.38 Das Interesse an Datenschutz hochsensibler Patientendaten kollidiert dort mit sehr gewichtigen Datenverarbeitungsinteressen. Für viele Verarbeitungszwecke besteht kein Bedürfnis an der konkreten Zuordnung von Datensätzen zu einzelnen Patienten. In diesen Fällen werden Datenverarbeitungen anhand anonymisierter oder pseudonymisierter Datensätze gesetzlich zugelassen.39 Dies gilt etwa für die medizinische Forschung, bei der die abstrakte Betrachtung von Krankheiten und deren Heilungsmöglichkeiten im Mittelpunkt stehen und die individuelle Zuordnung einer Krankenhistorie zu einer konkreten natürlichen Person weniger bedeutsam ist.40 Im medizinischen Statistikwesen, z. B. bei der Krebsregistrierung, wird eine Pseudonymisierung unter Aufbewahrung des Zuordnungsschlüssels vorgeschrieben, wenn eine nachträgliche Reidentifizierbarkeit der in die Statistik einfließenden Patienten möglich bleiben soll.41 Ein besonderes Bedürfnis für teilweise Anonymität besteht bei der Organtransplantation. Eine Koordinierungsstelle verschlüsselt nach § 13 Transplantationsgesetz (TPG)42 die personenbezogenen Spenderdaten zu einer Kenn-Nummer, um eine Rückschluss auf den Spender auszuschließen und die Neutralität und Objektivität des Allokationsverfahrens zu gewährleisten.43 Ferner finden Anonymisierungsund Pseudonymisierungsverfahren bei der Rechnungsprüfung und Qualitätskontrolle der gesetzlichen Krankenkassen Anwendung.44

5. Konsequenzen aus den De-Anonymisierungsrisiken Im bereichsspezifischen Datenschutzrecht kann hingegen gesetzgeberischer Anpassungsbedarf aufgrund der Fortschritte der Informatik in den Möglichkeiten der Informationsverarbeitung bestehen. In besonders sensiblen Bereichen, in denen das Aufdeckungsrisiko erhebliche Gefahren für die Persönlichkeitsentfaltung birgt, hat das Recht den Fortschritten in der Entwicklung von De-Anonymisierungsverfahren Rechnung zu tragen, indem Datenschutz dort auch auf anonyme Daten zu einer 38 Dazu Menzel/Schläger, DuD 1999, 70 (74 f.); Weichert, in: Bäumler/von Mutius (Hrsg.), Anonymität im Internet, S. 95. 39 Folgende Beispiele nach Weichert, in: Bäumler/von Mutius (Hrsg.), Anonymität im Internet, S. 95 (100 ff.). 40 Vgl. § 40 Abs. 2 BDSG. 41 Eine Datenverschlüsselung erfolgt über eine Vertrauensstelle, vgl. § 5 Gesetz über die Krebsregistrierung in Baden-Württemberg v. 7. 3. 2006 (GBl. BW S. 54). 42 Gesetz über die Spende, Entnahme und Übertragung von Organen und Geweben i. d. F. v. 4. 9. 2007 (BGBl. I S. 2206). 43 Weichert, in: Bäumler/von Mutius (Hrsg.), Anonymität im Internet, S. 95 (101). 44 §§ 268 Abs. 3 S. 2 u. 3, 269 Abs. 3 S. 3 u. 4, 299 Abs. 3 S. 2, 303 c SGB V; zum Interesse eines Landesrechnungshofs an der stichprobenartigen Einsicht in Patientenakten von Universitätskliniken BVerwGE 82, 56 (59 ff.).

II. De-Anonymisierbarkeit

219

Person zu erstrecken ist.45 Auch wenn die Erkenntnisse der Informatik zur De-Anonymisierbarkeit keine grundsätzliche Neuausrichtung des Datenschutzrechts provozieren, sind punktuelle Verschärfungen des Datenschutzrechts als Reaktion auf die immer besser werdende Auswertbarkeit von Daten insbesondere dort angebracht, wo besonders umfassende Profile verarbeitet werden. Dies trifft auf den speziellen Bereich der Internetkommunikation unter Verwendung eigengenutzter informationstechnischer Systeme zu. Dieser Bereich weist eine derartige Sensibilität für die Persönlichkeitsentfaltung auf, die einen auf die Verarbeitung personenbezogener Daten beschränkten Anwendungsbereich der einschlägigen Datenschutzgesetze als defizitär erscheinen lässt. Für diesen Bereich sind die Risiken anonymer Datenverarbeitung nicht hinnehmbar. Das Bundesverfassungsgericht hat in der Entscheidung zur Online-Durchsuchung die besondere Schutzbedürftigkeit der Persönlichkeitsentfaltung durch die Nutzung informationstechnischer Systeme betont und als Risikofaktoren u. a. die Vernetzung46 und Komplexität der Systeme benannt.47 Der Einsatz eigengenutzter Computersysteme hat im Alltag vieler Menschen eine enorme Bedeutung in den letzten Jahren erreicht.48 Dies gilt sowohl für den beruflichen wie für den privaten Lebensbereich.49 Neben dem heimischen PC sind typische Anwendungsbeispiele von eigengenutzten Computersystemen etwa das Navigationssystem im Auto oder das Mobiltelefon.50 Aufgrund der vielfältigen Nutzung von Computersystemen besitzen die dabei anfallenden Nutzerdaten eine besonders hohe Aussagekraft über den Systeminhaber.51 Die Verarbeitung der Nutzerdaten zu Profilen und deren Verwendung insbesondere zu Werbezwecken ist bereits gängige Praxis. Das Entstehen von Nutzerdaten kann der Einzelne nicht verhindern, will er nicht auf die Nutzung des Internet vollständig verzichten.52 Darüber hinaus erfolgt das Hinterlassen einer Datenspur nicht nur unfreiwillig, sondern oftmals auch unbewusst,53 etwa wenn Cookies von Drittanbietern

45 Das Risiko der De-Anonymisierung als ein spezifisches Problem des Ubiquitous Computing benennend Kühling, Die Verwaltung 40 (2007), 153 (170 f.). 46 Zur Entnetzung kritischer Infrastrukturen im Interesse der IT-Sicherheit Gaycken/Karger, MMR 2011, 3. 47 Oben C. III. 1. a) bb). 48 BVerfGE 120, 274 (303 f.). 49 BVerfGE 120, 274 (304). 50 Drall¦, Das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, S. 3. 51 BVerfGE 120, 274 (305); vgl. auch zur Aussagekraft von TK-Verbindungsdaten BVerfGE 115, 166 (189 f.). 52 Brunst, Anonymität im Internet – rechtliche und tatsächliche Rahmenbedingungen, S. 259. 53 BVerfGE 120, 274 (306); Brunst, Anonymität im Internet – rechtliche und tatsächliche Rahmenbedingungen, S. 259; vgl. auch Heckmann, K&R 2011, 1 (3).

220

G. Fortentwicklung des Rechts

ausgelesen werden.54 Ein Grund für das weit verbreitete Protokollieren des Surfverhaltens ist sicherlich auch, dass die elektronische Form der Internetnutzerdaten eine Speicherung und Auswertung mit verhältnismäßig geringem Aufwand ermöglichen. Der wissenschaftliche Fortschritt in den Möglichkeiten der Datenanalyse und die damit verbundenen persönlichkeitsrechtlichen Risiken sind in den obigen Beispielen illustriert worden. Besonders hervorzuheben ist das besondere Bedrohungspotential für das allgemeine Persönlichkeitsrecht, das sich aus der immer stärkeren Vernetzung von Computersystemen ergibt.55 Die Allgegenwärtigkeit vernetzter Systeme gilt als eines der großen Zukunftsthemen der Informatik der nächsten Jahre.56 Zunehmend werden Gegenstände mit Sensoren ausgestattet und miteinander zu sog. „smart systems“ vernetzt und die gesammelten Daten für sinnvolle Anwendungen verwendet.57 Durch den Einsatz von smart systems verspricht man sich Effizienzsteigerungen in vielen Lebensbereichen; Potentiale für ein effizienteres Ressourcenmanagement werden etwa im Gesundheitswesen durch eine verbesserte Patientenüberwachung oder bei der Energiegewinnung durch die Möglichkeit exakterer Bestimmung von Angebot, Nachfrage und unnötiger Energieverluste gesehen.58 Als aufschlussreicher Sensor für die Registrierung von Wahrnehmungen in der wirklichen Welt dienen auch vermehrt Menschen, insbesondere bei der Nutzung von Smartphones.59 Die Verwendung von Smartphone-Standortdaten für die Berechnung des Verkehrsaufkommens zur besseren Routenfindung von Navigationssystemen ist ein anschauliches Beispiel.60 Die steigenden Begehrlichkeiten für mittels informationstechnischer Systeme registrierte menschliche Wahrnehmungen begründen ein grundrechtliches Schutzbedürfnis. Dieses erstreckt sich auf Daten, die entstehen, weil informationstechnische Systeme mit ihrer Umwelt kommunizieren, also in gewisser Weise Daten eigeninitiativ preisgeben. Daher sollte sich ein Schutzkonzept für den Bereich eigengenutzter informationstechnischer Systeme nicht auf den Schutz vor Zugriff von in jenen Systemen gespeicherten Daten beschränken, sondern sich auf durch die Kommunikation solcher Systeme mit der Umwelt offenbarte Daten erstrecken. 54 Zur fehlenden Transparenz der auf Cookie-Verwendung aufbauenden Datenverarbeitung bei Google Analytics etwa Hansen, DuD 2008, 506; Empirie zum Einsatz von Webanalysetools bei Lepperhof/Petersdorf, DuD 2008, 266. 55 Vgl. Schaar, Das Ende der Privatsphäre, 2007, S. 49 ff. 56 The Economist v. 6. 11. 2010, ItÏs a smart world, S. 3. 57 Auch bezeichnet als „internet of things“. 58 The Economist v. 6. 11. 2010, ItÏs a smart world, S. 3. 59 The Economist v. 6. 11. 2010, A sea of sensors, S. 5. 60 Zu dieser Verarbeitungspraxis durch Google oben B. V., insbes. Fn. 172; eine ähnliche Praxis der Navigationssoftwarefirma TomTom unterstellend The Economist v. 6. 11. 2010, A sea of sensors, S. 5; zur De-Anonymisierbarkeit von Geo-Lokalisationsdaten Goodin, Scrubbed geo-location data not so anonymous after all, The Register v. 12. 3. 2010, http://www.theregister.co.uk/2010/03/12/netflix_contest_cancelled/ (15. 3. 2011).

III. Bereichsschutzmodell für Daten aus der Sphäre des Internetnutzers

221

In Bezug auf die Nutzung des Internet wird weiterhin darauf hingewiesen, dass dort stattfindende, umfassende und unübersichtliche Verhaltensbeobachtungen, auch wenn sie ohne die Möglichkeit der Herstellung eines Personenbezugs stattfinden, ein diffuses Gefühl des dauernden Überwachtseins beim Nutzer hervorrufen können, das ihn von der freien Persönlichkeitsentfaltung abhält und zu Verhaltensanpassungen veranlasst.61 Mit der fehlenden Überschaubarkeit, wer was über einen weiß, und eingeschränkten Entscheidungsfreiheit hinsichtlich des eigenen Handelns aus Sorge um die Aufzeichnung, dauerhafte Speicherung und Weitergabe von Verhaltensmustern, ist der Schutzzweck des informationellen Selbstbestimmungsrechts angesprochen,62 ohne dass ein Personenbezug vorliegt.63 Diese Spezifika von Internetkommunikationsdaten sprechen für einen umfassenden Regulierungsansatz des Datenschutzes in diesem Bereich. Die Schutzbedürftigkeit der Internetkommunikation wurde von den Datenschutzaufsichtsbehörden ebenfalls gesehen und es wurde versucht, dieser durch eine extensive Anwendung des Datenschutzrechts zu begegnen. Deutlich wird dies etwa an der Bejahung des Personenbezugs eines Datums bereits bei einer bloß absoluten Bestimmbarkeit durch irgendeine Stelle.64 Anstelle des Versuchs der Ausweitung des Anwendungsbereichs datenschutzrechtlicher Vorschriften, unter Inkaufnahme erheblicher Dehnung von Gesetzeswortlaut und Systematik, ist es transparenter und konsequenter, einen umfassenden Bereichsschutz für alle bei der Internetkommunikation anfallenden Daten zu verwirklichen.

III. Bereichsschutzmodell für Daten aus der Sphäre des Internetnutzers und seine Fundierung Das besondere Gefährdungspotential der Verhaltensprotokollierung im Internet geht vornehmlich von der Verarbeitung von Nutzerdaten i. S. d. TMG und Telekommunikationsdaten nach dem TKG aus. Jene Daten fallen bei der Internetkommunikation automatisch und für den Nutzer oftmals unbewusst an. Anderes gilt für Daten der Inhaltsebene, für welche die Regelungen des BDSG gelten.65 Letztere Daten betreffen regelmäßig die bewusst kommunizierten Inhalte, die sich von der 61

Brunst, Anonymität im Internet – rechtliche und tatsächliche Rahmenbedingungen, S. 259; ähnlich Härting, NJW-aktuell 3/2010, 10 (10). 62 Vgl. BVerfGE 65, 1 (42 f.); dies als Berührung in seiner „personalen Grundbefindlichkeit“ bezeichnend Albers, in: Haratsch/Kugelmann/Repkewitz (Hrsg.), Herausforderungen an das Recht der Informationsgesellschaft, S. 113 (128). 63 Schallaböck, Datenkonzentration bei Suchmaschinen – die Macht von Google & Co., https://www.datenschutzzentrum.de/sommerakademie/2007/sak2007-schallaboeck-datenkonzentration-bei-suchmaschinen.pdf (15. 3. 2011). 64 Oben D. II. 1. a) aa) (1). 65 Zum 3-Schichten-Modell oben D. I. 1. a) cc).

222

G. Fortentwicklung des Rechts

gewählten Kommunikationsform abstrahieren lassen und insofern keine spezifischen Gefahren der Nutzung informationstechnischer Systeme begründen. Den skizzierten Gefahren kann durch eine Erweiterung des Anwendungsbereichs der datenschutzrechtlichen Vorschriften des TMG und TKG begegnet werden. § 12 Abs. 1 TMG und § 91 Abs. 1 S. 1 TKG sollten daher durch die Streichung der Worte „personenbezogene Daten“ und Ersetzung durch „Daten aus der Sphäre des Nutzers“ novelliert werden.66 Entsprechend sind weitere Vorschriften der §§ 12 ff. TMG und §§ 91 TKG anzupassen.67 Konsequenz dieser Gesetzesänderungen wäre ein Bereichsschutz für sämtliche Datenemissionen. Dieser Bereichsschutz für Telekommunikations- und Nutzungsdaten aus der Nutzung eigener Computersysteme bricht mit der Dogmatik des informationellen Selbstbestimmungsrechts, weil sich dieses Schutzkonzept von dem Erfordernis des personenbezogenen Datums löst. Verfassungsrechtlicher Anknüpfungspunkt für diese einfachgesetzliche Innovation ist daher auch nicht das informationelle Selbstbestimmungsrecht, sondern das GGVIIS.68 Jenes neue Grundrecht kann als ein neuer Ansatz zur Gewährleistung von Persönlichkeitsschutz im Internet verstanden werden, der, anders als etwa der spezielle Persönlichkeitsschutz nach Art. 10 GG, in seiner Struktur die Dogmatik des informationellen Selbstbestimmungsrechts verlässt und stattdessen einen Art. 13 GG vergleichbaren Bereichsschutz etabliert,69 der sich nicht nur auf die Infiltration des geschützten Bereichs des eigengenutzten informationstechnischen Systems bezieht, sondern sich darüber hinaus auch auf Interaktionsdaten mit anderen Diensten erstreckt.70 Eingelöst wird damit die schon ältere Forderung nach einem umfassenden grundrechtlichen Mediennutzungsgeheimnis für den Bereich des Internet.71 Die Erweiterung des Anwendungsbereichs des TMG und 66

§ 12 Abs. 1 TMG-E: „Der Diensteanbieter darf Daten aus der Sphäre des Nutzers (gestrichen: personenbezogene Daten) zur Bereitstellung von Telemedien nur erheben u. verwenden, soweit dieses Gesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat.“ § 91 Abs. 1 S. 1 TKG-E: „Dieser Abschnitt regelt den Schutz von Daten aus der Sphäre (gestrichten: personenbezogener Daten) der Teilnehmer u. Nutzer von Telekommunikation bei der Erhebung u. Verwendung dieser Daten durch Unternehmen u. Personen, die geschäftsmäßig Telekommunikationsdienste erbringen oder an deren Erbringung mitwirken.“ 67 Ein Austausch der Worte „personenbezogene Daten“ durch „Daten aus der Sphäre des Nutzers“ ist weiterhin erforderlich in §§ 11 Abs. 1 u. 3, 12 Abs. 2 u. 3, 13 Abs. 1 S. 1 u. Abs. 4 Nr. 2, 15 Abs. 1 u. 8 TMG sowie §§ 91 Abs. 1 S. 2, 92, 93 Abs. 1 S. 1 u. 2, 97 Abs. 2, 109 Abs. 1 Nr. 1 TKG. 68 BVerfGE 120, 274. 69 Näher unten F. III. 1. c). 70 Ansätze in diese Richtung bei Härting, ITRB 2009, 35 (37); NJW-aktuell 3/2010, 10; Weichert, in: Lewandowski (Hrsg.), Handbuch Internet-Suchmaschinen, S. 285 (289). 71 Vgl. Bundesbeauftragter für Datenschutz und Informationsfreiheit, 21. Tätigkeitsbericht 2005 – 2006, S. 58, http://www.bfdi.bund.de/cln_029/nn_531940/DE/Oeffentlichkeitsarbeit/ Taetigkeitsberichte/TaetigkeitsberichteDesBFD.html (15. 3. 2011); Zypries, Null Privatheit?, FAZ.net v. 31. 1. 2008, http://www.faz.net/s/RubD5CB2DA481C04D05AA471FA88471AEF0/ Doc~EED4D8CFA1 A8C47BD9DE8AA696647DB35~ATpl~Ecommon~Scontent.html (15. 3.

III. Bereichsschutzmodell für Daten aus der Sphäre des Internetnutzers

223

des TKG unter Aufweichung des Personenbezugs ist darüber hinaus aufgrund von Art. 5 Abs. 3 der Datenschutzrichtlinie für elektronische Kommunikation (EKDSRL)72 europarechtlich vorgezeichnet und greift auch Impulse aus der aktuellen US-amerikanischen Datenschutzdiskussion auf.

1. Das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme neu gelesen Das Bundesverfassungsgericht hat das GGVIIS bei der Überprüfung der Verfassungsmäßigkeit einer Ermächtigungsgrundlage aus dem nordrhein-westfälischen Verfassungsschutzgesetz, die das Landesamt für Verfassungsschutz zu heimlichen Zugriffen auf informationstechnische Systeme berechtigte, entwickelt. In diesem Kontext hat das Gericht das GGVIIS als ein Abwehrrecht gegen das Eindringen in informationstechnische Systeme konzipiert. Geschützt ist demnach die Vertraulichkeit der in dem System gespeicherten Daten sowie die Integrität des Systems, verstanden als Schutz vor der Vornahme von Veränderungen am System, die der Vorbereitung einer Ausspähung vertraulicher Daten dienen.73 In Teilen der Literatur wurde der Entscheidung eine herausragende Bedeutung für die Fortentwicklung des allgemeinen Persönlichkeitsrechts attestiert74 und insbesondere erhebliche Ausstrahlungswirkungen der neuen grundrechtlichen Ausprägung in seiner objektiv-rechtlichen Dimension auf das Privatrecht prognostiziert.75 Dabei werden die Auswirkungen auf das einfache Recht, aufgrund eines nunmehr spezifischen grundrechtlich geschützten Interesses vor Hacking-Angriffen oder sonstigen Zugriffen Dritter auf Computerdaten, vornehmlich im Bereich des IT-Sicherheitsrechts gesehen.76 Diskutiert wird etwa eine staatliche Schutzpflicht für die 2011); zuletzt aufgegriffen in dem Eckpunktepapier Konferenz der Datenschutzbeauftragten des Bundes und der Länder, Ein modernes Datenschutzrecht für das 21. Jahrhundert, S. 24; krit. Giesen, RDV 2011, 266 (269). 72 Richtlinie 2002/58/EG v. 12. 7. 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation, ABlEG Nr. L 201 v. 31. 7. 2002, S. 37. 73 BVerfGE 120, 274 (314 f.) sowie oben C. III. 1. a) bb) (1). 74 Stögmüller, CR 2008, 435 (435); Heckmann, jurisPR-ITR 5/2008, Anm. 1; krit. Eifert, NVwZ 2008, 521; Britz, DÖV 2008, 411 (413 ff.); Hoeren, MMR 2008, 365. 75 Kutscha, NJW 2008, 1042 (1043); Stögmüller, CR 2008, 435 (435); Heckmann, jurisPRITR 5/2008, Anm. 1; skeptischer Sachs/Krings, JuS 2008, 481 (486). 76 Etwa Heckmann, jurisPR-ITR 5/2008, Anm. 1; Hornung, CR 2008, 299 (305); Roßnagel/ Schnabel, NJW 2008, 3534 (3535 ff.); eine Anwendung des GGVIIS auf IP-Adressen explizit ablehnend Herrmann, Das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, S. 200.

224

G. Fortentwicklung des Rechts

Schaffung eines strafrechtlichen Schutzes vor Hacking,77 die Einordnung der Gewährleistung der Vertraulichkeit und Integrität eigengenutzter informationstechnischer Systeme als absolutes Recht i. S. d. § 823 Abs. 1 BGB78 oder der (mittelbare) Einfluss des Grundrechts auf die Zulässigkeit der Überwachung der IT-Nutzung am Arbeitsplatz.79 Auch wenn die Herausarbeitung des neuen grundrechtlichen Teilgehaltes durch das Bundesverfassungsgericht sich auf einen Schutz vor Eingriffen in ein informationstechnisches System von außen beschränkt,80 können der Entscheidung zur Online-Durchsuchung gleichwohl einige Aspekte entnommen werden, die Anlass für eine Konturierung des GGVIIS zu einem umfassenden Bereichsschutz geben, nicht nur für innerhalb des Systems gespeicherter Daten, sondern sämtliche Telekommunikations- und Nutzungsdaten, die bei der Nutzung eigener informationstechnischer Systeme (auch bei Dritten) generiert werden. Dieser Bereichsschutzansatz bewirkt inhaltlich einen umfassenden grundrechtlichen Schutz gegen die Erhebung und Verarbeitung der genannten Daten. a) Der Vorverlagerungsgedanke als prägendes Element der Persönlichkeitsrechtsentwicklung Die Fortentwicklung des GGVIIS zu einem umfassenden Bereichsschutz fügt sich nahtlos in die bisherige Entwicklung des grundrechtlichen Persönlichkeitsschutzes ein. Aus dem Blickwinkel des Vorverlagerungsschutzes und der sich verändernden Gefährdungslage für das allgemeine Persönlichkeitsrecht lässt sich die Schöpfung des GGVIIS in BVerfGE 120, 274 als logische Fortentwicklung der Datenschutzrechtsdogmatik begreifen. Das Erfassen vieler (Computer-)Einzeldaten, die jedes für sich kein hohes Gewicht für das allgemeine Persönlichkeitsrecht besitzen, war der klassische Anwendungsbereich des informationellen Selbstbestimmungsrechts.81 Mit der Schaffung eines Art. 13 GG vergleichbaren Bereichsschutzes installiert das Bundesverfassungsgericht einen Vorfeldschutz für das informationelle Selbstbestimmungsrecht im Kontext eigengenutzter Computersysteme82 und zeigt zugleich die Schwächen der Dogmatik des informationellen Selbstbestimmungsrechts auf: Dieses Recht greift erst dann ein, wenn konkrete personenbezogene Daten erhoben werden.83 77

Hornung, CR 2008, 299 (305). Roßnagel/Schnabel, NJW 2008, 3534 (3536); Bartsch, CR 2008, 613. 79 Stögmüller, CR 2008, 435 (437 ff.); Herrmann, Das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, S. 202 ff. 80 Deutlich wird dies auch durch die Erklärung der Nichtanwendbarkeit des Grundrechts auf Maßnahmen der Internetaufklärung, BVerfGE 120, 274 (344). 81 Vgl. BVerfGE 115, 166 (187 f.). 82 Den Aspekt der weiteren Vorverlagerung ebenfalls benennend Hornung, CR 2008, 299 (303); Volkmann, DVBl 2008, 590 (592); Petri, DuD 2010, 25 (27). 83 A. A. Volkmann, DVBl 2008, 590 (592). 78

III. Bereichsschutzmodell für Daten aus der Sphäre des Internetnutzers

225

Schutzgut aller Ausprägungen des allgemeinen Persönlichkeitsrechts ist die freie und ungehemmte Persönlichkeitsentfaltung des Einzelnen.84 In der Datenschutzdiskussion ab den 1970er Jahren, die in das Volkszählungsurteil im Jahr 1983 mündete, setzte sich die Erkenntnis durch, dass die Verarbeitung eines einzelnen, noch so banalen personenbezogenen Datums grundrechtlichen Schutz genießen sollte und zwar nicht, weil die Veröffentlichung des Einzeldatums für sich bereits eine Verletzung des allgemeinen Persönlichkeitsrechts begründet, – ist sie unter Umständen tatsächlich aufgrund der Belanglosigkeit der Information nicht vielmehr eine bloße Bagatelle unterhalb der Eingriffsschwelle – sondern aufgrund der noch nicht absehbaren Gefahren, die durch eine Verarbeitung des Datums in Zukunft drohen und in einer Persönlichkeitsverletzung münden könnten.85 Insofern begründet das informationelle Selbstbestimmungsrecht einen Vorfeldschutz vor Handlungen, die das Persönlichkeitsrecht an sich nur minimal beeinträchtigen, die aber in der Zukunft in anderem Kontext zu einer schwerwiegenden Persönlichkeitsverletzung beitragen können.86 Das informationelle Selbstbestimmungsrecht war die Antwort auf eine Bedrohungslage für das allgemeine Persönlichkeitsrecht, die aus dem Aufkommen computerisierter Datenverarbeitung resultierte.87 Der Kerngedanke des Volkszählungsurteils ist, dass es unter den Bedingungen der automatisierten Datenverarbeitungen kein „belangloses“ Datum mehr gibt, weil sich aus dem Datum allein kein Rückschluss auf den Grad der Persönlichkeitsgefährdung durch dessen Verarbeitung ziehen lässt.88 Mit der Fortentwicklung der Technik und der Verbreitung immer leistungsfähigerer und kleinerer Computersysteme im Alltag erfolgte im Jahr 2008 in dem Urteil zur Onlinedurchsuchung eine erneute Neujustierung des Persönlichkeitsschutzes, die, die Entwicklung des Datenschutzes fortsetzend, in eine weitere Vorverlagerung des Persönlichkeitsschutzes für den besonders sensiblen Bereich der informationstechnischen Systeme mündete.89 Bemerkenswert an der Neuschöpfung des GGVIIS ist, dass es im Kern um den Schutz vor der Offenbarung von (in einem Computersystem gespeicherten) personenbezogenen Daten geht, zur Verwirklichung dieses Schutzes aber nicht, in Anwendung der Dogmatik des informationellen Selbstbestimmungsrechts, an der Zulässigkeit der Verarbeitung eines Einzeldatums angeknüpft wird,90 sondern der neue Weg der Schaffung eines Bereichsschutzes einge-

84

Oben C. II. 1. Pointiert BVerfGE 120, 378 (398 f.). 86 BVerfGE 120, 378 (397): „es [das RiS] lässt ihn [den Grundrechtsschutz] schon auf der Stufe der Persönlichkeitsgefährdung beginnen. Eine derartige Gefährdungslage kann bereits im Vorfeld konkreter Bedrohungen von Rechtsgütern entstehen.“; ferner BVerfGE 120, 274 (312); vgl. auch Trute, in: Roßnagel (Hrsg.), HbDSR, Kap. 2.5 Rn. 11 f. 87 Vgl. BVerfGE 65, 1 (42). 88 BVerfGE 65, 1 (45) u. bereits oben C. II. 1. a) aa) (3). 89 Zum Vorverlagerungsgedanken Nachw. in Teil G. Fn. 82. 90 So noch in einem vergleichbaren Fall BVerfGE 115, 166 (183 ff.). 85

226

G. Fortentwicklung des Rechts

schlagen wird.91 Bereits das Eindringen in ein informationstechnisches System begründet eine Beeinträchtigung. Irrelevant ist die Art der im System befindlichen Daten und ob diese ausgelesen werden sollen oder nicht.92 Schutzgut ist nicht mehr das einzelne Datum, sondern ein bestimmter (virtueller Lebens-)Bereich: das eigengenutzte informationstechnische System. Vom Grundrechtsschutz umfasst sind „sowohl die im Arbeitsspeicher gehaltenen als auch die temporär oder dauerhaft auf den Speichermedien des Systems abgelegten Daten“93. Das Bundesverfassungsgericht hat zutreffend erkannt, dass in der heutigen Zeit, in der die Daten eines Computersystems vielfältige Aussagen über den Systemnutzer beinhalten, ein Datenschutzrecht, das erst an der konkreten Verarbeitung eines personenbezogenen Einzeldatums ansetzt, nicht mehr ausreichend ist, um den Persönlichkeitsgefährdungen durch die Verarbeitung von Daten aus eigengenutzten informationstechnischen Systemen Rechnung zu tragen, sondern es vielmehr eines Schutzkonzeptes bedarf, das in diesem besonders sensiblen Bereich früher ansetzt. Die Prägung eines weiteren Teilgehalts des allgemeinen Persönlichkeitsrechts, anstelle eines Verweises auf eine schon Eingriffsqualität besitzende Gefährdung des informationellen Selbstbestimmungsrechts,94 trägt der Bedeutung und spezifischen Gefährdungspotentiale informationstechnischer Systeme in der heutigen Zeit Rechnung. b) Schutzbedürftiger Bereich statt personenbezogenes Einzeldatum Für den Bereich vernetzter Computersysteme liegt mit dieser Akzentverlagerung der Schwerpunkt der rechtlichen Würdigung nicht mehr auf dem Aspekt des Personenbezugs eines Datums, sondern es tritt ein weiterer Gesichtspunkt hinzu: die Schutzbedürftigkeit des betroffenen Bereichs.95 Die Betonung des schutzbedürftigen Bereichs erfolgt in BVerfGE 120, 274 anhand des Begriffs der „berechtigten Vertraulichkeitserwartung“.96 Mit der Formel der „berechtigten Vertraulichkeitserwartung“ greift das Bundesverfassungsgericht den Ansatz zum Privatsphäreschutz des US-Supreme Court auf. Die Anerkennung von Privatsphäreschutz setzt nach dem reasonable expectation of privacy test voraus, dass sich der Betroffene in der konkreten Situation subjektiv in einer besonderen Vertraulichkeitssphäre befindlich fühlt und dieses Vertrauen ob91

Hornung, CR 2008, 299 (303). Hornung, CR 2008, 299 (303). 93 BVerfGE 120, 274 (315). 94 Diesen Weg vorziehend u. daher der Schöpfung des GGVIIS krit. gegenüberstehend Volkmann, DVBl 2008, 590 (592); wie hier hingegen Hoffmann-Riem, JZ 2008, 1009 (1016). 95 Dagegen dem Personenbezug der Daten „maßgebliche Bedeutung“ einräumend Luch, MMR 2011, 75 (76). 96 Etwa BVerfGE 120, 274 (306, 313 f., 315); vgl. auch Britz, DÖV 2008, 411 (412); Böckenförde, JZ 2008, 925 (938). 92

III. Bereichsschutzmodell für Daten aus der Sphäre des Internetnutzers

227

jektiv schutzwürdig ist.97 Angewendet auf die Nutzung eigener informationstechnischer Systeme lässt sich, da sich Nutzer oftmals der Protokollierung ihres Verhaltens nicht bewusst sind, eine subjektive Vertraulichkeitserwartung bei vielen Menschen bejahen. Die Erwartung, dass die Computernutzung nicht systematisch erfasst und dauerhaft gespeichert wird, ist auch objektiv anerkennungswürdig.98 Die bisherige Weichenstellung des Datenschutzrechts zwischen freier Datenverarbeitung und Verbot mit Erlaubnisvorbehalt anhand des Personenbezugs eines Datums verliert an Bedeutung, wenn das Infiltrieren und Auslesen oder Manipulieren jeglicher Daten als Integritätsverletzung des Computersystems eine Verletzung des allgemeinen Persönlichkeitsrechts begründet. Dieser Bedeutungsverlust trägt auch den neueren Erkenntnissen der Informatik zur De-Anonymisierung größerer anonymer Datensätze Rechnung.99 Da dem Schutzkonzept des GGVIIS der Gedanke eines Bereichsschutzes, unter Bedeutungsverlust der Betonung des Personenbezugs eines Einzeldatums, inhärent ist, besitzt das GGVIIS Ansätze für eine Neubestimmung des Datenschutzes im Bereich eigengenutzter informationstechnischer Systeme. c) Vergleichbarkeit des Schutzkonzeptes mit Art. 13 GG Die Bezeichnung des neuen Schutzkonzeptes des GGVIIS als ein „Bereichsschutz“ ruft die Assoziation mit dem Grundrechtsschutz nach Art. 13 GG hervor. Die Eröffnung des Schutzbereichs des Art. 13 GG bei der Online-Durchsuchung eines Rechners, der sich in einer Wohnung befindet, wurde im Vorfeld der Neuschöpfung des GGVIIS kontrovers diskutiert.100 Diese Diskussion war eingebettet in die Untersuchung der übergeordneten Frage der verfassungsrechtlichen Behandlung von mit der Online-Durchsuchung vergleichbarer Maßnahmen anhand des geschriebenen und ungeschriebenen Grundrechtskatalogs in seinem Umfang vor der Schöpfung des GGVIIS. Die Ausprägung eines spezifischen „Computergrundrechts“ ist aufgrund der Spezifika des berührten Lebenssachverhalts ein Gewinn, wenn es in dem hier verstandenen Sinn entfaltet wird. Ob darüber hinaus ein grundrechtlicher Schutz aus Art. 13 GG bei einem Zugriff auf einen in einer Wohnung befindlichen Computer neben den Schutz durch das GGVIIS hinzutreten sollte, bedarf in dem Kontext dieser Abhandlung keiner näheren Vertiefung. Um den Schutzbereich des GGVIIS näher darzulegen, können Parallelen zum Schutz der Unverletzlichkeit der Wohnung untersucht werden.101 Der Vergleich legt offen, dass Ähnlichkeiten zwischen den zwei Grundrechten in nur sehr eingeschränktem Umfang bestehen. 97

Oben E. I. 2. Vgl. auch unten G. III. 1. c). 99 Oben G. II. 100 Nachw. zum Streitstand bei Böckenförde, JZ 2008, 925 (926 in Fn. 10). 101 Eine mögliche Parallelität ansprechend Britz, DÖV 2008, 411 (412); Volkmann, DVBl 2008, 590 (591); Böckenförde, JZ 2008, 925 (926 ff.); Heckmann, K&R 2010, 770 (773). 98

228

G. Fortentwicklung des Rechts

Hinsichtlich des Schutzbereichskonzepts besteht eine Parallelität zwischen der Unverletzlichkeit der Wohnung und dem Schutz von Computersystemen in der pauschalen Unterschutzstellung aller innerhalb des Schutzbereichs befindlicher Informationen, ohne Rücksicht auf ihre Persönlichkeitsrelevanz, durch Statuierung einer normativen Vertraulichkeitserwartung für den jeweiligen Bereich.102 Diese Pauschalität der Unterschutzstellung ermöglicht eine Fortentwicklung des GGVIIS in Richtung einer vollständigen Abkehr vom dem Merkmal des Personenbezugs für den Schutz vor der Verarbeitung von Daten aus dem gegenständlichen Bereich.103 In einer eng am Wortlaut des Urteils angelegten Auslegung des GGVIIS besteht eine weitere Parallele in der Fokussierung des Schutzes vor Zugriff von außen, etwa mittels Durchsuchung bzw. Online-Durchsuchung.104 In der hier vertretenen Fortentwicklung des GGVIIS tritt der Aspekt des Schutzes vor Infiltration in den Hintergrund, weil der Grundrechtsschutz auf gegenüber Dritten preisgegebene Informationen erstreckt wird. Hierin liegt ein elementarer Unterschied zu der Gewährleistung des Art. 13 GG. Der Schutz der Unverletzlichkeit der Wohnung ist auf die äußere Wahrnehmung solcher Vorgänge innerhalb der Wohnung beschränkt, die „der natürlichen Wahrnehmung von außerhalb des geschützten Bereichs entzogen sind“; kein Schutz besteht für nach außen dringende Vorgänge, „weil der Betroffene die räumliche Privatsphäre nicht zu seinem Schutz nutzt, wenn er die Wahrnehmbarkeit der Kommunikation von außen selbst ermöglicht.“105 Die Schutzbedürftigkeit des jeweiligen Lebensbereichs ergibt sich für die beiden grundrechtlichen Gewährleistungen aus unterschiedlichen Gefahrenszenarien. Die Schutzbedürftigkeit der Wohnung begründet sich mit der besonderen Bedeutung der Wohnung als Rückzugsort, als räumliche Privatsphäre.106 Sie ist dadurch gekennzeichnet, dass das wohnungsinterne Geschehen der „natürlichen Wahrnehmung von außerhalb des geschützten Bereichs“ entzogen ist.107 Der Lebensbereich „Wohnung“ ist mithin ein durch Wahrnehmungshindernisse charakterisierter Bereich.108 Die den Wohnungsinhaber abschirmenden, räumlichen Barrieren in Gestalt von Wänden, Decken und Böden begründen eine grundrechtlich schützenswerte Erwartungshaltung, sich innerhalb „der eigenen vier Wände“ frei und unbeobachtet zu wähnen.109 Dieser Erwartungshaltung trägt Art. 13 GG Rechnung.110 102

Britz, DÖV 2008, 411 (412); Böckenförde, JZ 2008, 925 (938). Die Erstreckung des Schutzbereichs des GGVIIS auf „unpersönliche Daten“ diskutierend u. im Ergebnis ablehnend Volkmann, DVBl 2008, 590 (592). 104 Zu Art. 13 Abs. 1 GG etwa BVerfGE 97, 228 (265); zum GGVIIS BVerfGE 120, 274 (314). 105 BVerfGE 109, 279 (327). 106 BVerfGE 32, 54 (72). 107 BVerfGE 109, 279 (327). 108 So bezeichnend Böckenförde, JZ 2008, 925 (926). 109 Vgl. auch BVerfGE 109, 279 (309). 110 Überblick zu Art. 13 GG bei Schoch, JURA 2010, 22. 103

III. Bereichsschutzmodell für Daten aus der Sphäre des Internetnutzers

229

Das Bundesverfassungsgericht begründet die Schutzbedürftigkeit eigengenutzter informationstechnischer Systeme mit einer „berechtigten Vertraulichkeitserwartung“ des Verfügungsberechtigten. Faktisch sind derartige Computersysteme nicht vergleichbar von der Außenwelt abgeschirmt, sondern – im Gegenteil – gerade auf Kommunikation mit und Beeinflussung durch die Umwelt angelegt. Eine der Wohnung vergleichbare Privatheit ist bei Computersystemen daher nicht vorhanden, weil sie kein Rückzugsort in dem gleichen Sinne sind. Daher wird die Berechtigung einer besonderen Vertraulichkeitserwartung in Zweifel gezogen.111 Richtig ist, dass bei der Nutzung informationstechnischer Systeme keine Vertraulichkeitserwartung in der Hinsicht bestehen kann, bei der Nutzung nicht von Dritten wahrgenommen zu werden. Allerdings besteht eine berechtigte Vertraulichkeitserwartung gegenüber einer umfassenden Verhaltensbeobachtung und dauerhaften Speicherung von jeglichen Daten aus der Nutzung eigener informationstechnischer Systeme. Für das informationelle Selbstbestimmungsrecht ist anerkannt, dass es seinen Schutz auch für Verhaltensweisen im öffentlichen Raum entfaltet und nicht auf den Schutz der Privat- oder Intimsphäre beschränkt ist.112 Der sich im öffentlichen Straßenraum Aufhaltende hegt zwar nicht die Erwartung, dass er dort nicht von staatlichen Stellen wahrgenommen wird, allerdings vertraut er darauf, dass sein Verhalten nicht umfassend und rechtsgrundlos aufgezeichnet wird. Aufgrund des Umfangs und der Sensibilität der bei der Computernutzung anfallenden Daten ist eine berechtigte Vertraulichkeitserwartung auch für alle Daten aus dem Bereich der Nutzung informationstechnischer Systeme in der Hinsicht anzuerkennen, dass diese Daten nicht prinzipiell flächendeckend erfasst und für Profilbildungen genutzt werden. Neben der berechtigten Vertraulichkeitserwartung ergibt sich die Schutzbedürftigkeit ferner aus der besonderen Sensibilität des betroffenen Bereichs aufgrund des Umfangs und der Aussagekraft der generierten Daten.113 Die Schutzbedürftigkeit der Daten aus der Sphäre eigengenutzter informationstechnischer Systeme ergibt sich somit nicht aus der Bedeutung des eigenen Computersystems als Rückzugsort, sondern aus der besonderen Bedeutung der Nutzung und daraus resultierenden spezifischen Gefährdungen für die Persönlichkeitsentfaltung. Der Bereichsschutz für Daten aus eigengenutzten informationstechnischen Systemen lässt sich mithin mit einer ähnlichen Schutzbedürftigkeit begründen, die ein vergleichbares Schutzkonzept fordert, die sich allerdings aus anderen Gründen als bei Art. 13 GG ergibt.114

111

Böckenförde, JZ 2008, 925 (926); Heckmann, K&R 2010, 770 (773). BVerfG-K, NVwZ 2007, 688 (690). 113 Ausführlich oben G. II. 5. 114 Verhaltene Zustimmung für die These einer ähnlichen Schutzbedürftigkeit von Böckenförde, JZ 2008, 925 (927). 112

230

G. Fortentwicklung des Rechts

d) Zur konzeptionellen Kritik am Recht auf informationelle Selbstbestimmung Durch die Betonung der Schutzbedürftigkeit des betroffenen Bereichs aufgrund einer berechtigten Vertraulichkeitserwartung unternimmt das Gericht durch das GGVIIS nicht nur eine Abkehr von der Dogmatik des informationellen Selbstbestimmungsrechts in Bezug auf die Lösung von der Bedeutung des Personenbezugs, sondern entfernt sich auch von dem Autonomiegedanken des informationellen Selbstbestimmungsrechts, an dessen Stelle eine Erwartungshaltung an den Staat tritt, Vertraulichkeit der Computersysteme zu gewährleisten.115 Der Autonomiegedanke schwang beim informationellen Selbstbestimmungsrecht, als Statuierung der Befugnis, grundsätzlich selbst über Preisgabe und Verwendung persönlicher Daten zu entscheiden,116 mit und bot manchen Anlass zu Kritik an diesem Recht. In den Augen der Kritiker begründete das informationelle Selbstbestimmungsrecht ein quasi eigentumsanaloges Herrschaftsrecht über die Daten zu der eigenen Person und schaffte auf diese Weise eine realitätsferne Sichtweise auf Datenverarbeitungsberechtigungen, indem dem Interesse des Betroffenen an der Verarbeitung der auf ihn bezogenen Daten durch eine zu weite Fassung des Schutzbereichs ein zu großes Gewicht eingeräumt wurde.117 Die Fokussierung des GGVIIS auf einen konkreten, schutzbedürftigen Bereich anstelle des Selbstbestimmungsrechts des Grundrechtsträgers gibt dem Datenschutzrecht insofern einen Impuls in die Richtung der Kritik der tradierten informationellen Selbstbestimmungsrechtsdogmatik. Die hier vertretene Interpretation des GGVIIS beinhaltet eine Abkehr von der Dogmatik des informationellen Selbstbestimmungsrechts ausschließlich für den spezifischen Bereich der eigengenutzten informationstechnischen Systeme aufgrund der besonderen Sensibilität dieses Lebensbereiches.118 Eine vollständige Neukonzeption des informationellen Selbstbestimmungsrechts, etwa in Gestalt einer grundsätzlichen Hinwendung zu einem mit Sphären operierendem Datenschutzkonzept entsprechend der privacy-Konzeption in den Vereinigten Staaten und der Forderung von manchen auch in Deutschland,119 wird nicht unternommen. Trotz der Unschärfe des Rechtsbegriffs des personenbezogenen Datums gewährleisten nämlich die auf der Dogmatik des informationellen Selbstbestimmungsrechts aufbauenden Gesetze, wie bereits an anderer Stelle dargelegt, in der Regel ein sinnvolles Datenschutzniveau.120 115

Böckenförde, JZ 2008, 925 (938). BVerfGE 65, 1 (43). 117 Etwa Duttge, Der Staat 36 (1997), 281 (303); Albers, in: Haratsch/Kugelmann/Repkewitz (Hrsg.), Herausforderungen an das Recht der Informationsgesellschaft, S. 113 (119 f.); dies., Informationelle Selbstbestimmung, S. 152 ff.; Trute, in: Roßnagel (Hrsg.), HbDSR, Kap. 2.5 Rn. 11; Bull, Informationelle Selbstbestimmung – Vision oder Illusion?, S. 45 ff. 118 Vgl. oben G. II. 5. 119 Jüngst Bull, Informationelle Selbstbestimmung – Vision oder Illusion?, S. 40 ff., 56 ff. 120 Oben G. II. 4. 116

III. Bereichsschutzmodell für Daten aus der Sphäre des Internetnutzers

231

Der grundsätzlichen Kritik an der Weite des Schutzbereichs des Rechts auf informationelle Selbstbestimmung ist zu erwidern, dass mit der Bejahung des Schutzbereichs lediglich die Aussage verbunden ist, dass ein grundrechtlich geschütztes Interesse des Grundrechtsträgers berührt ist. Damit ist jedoch noch nicht entschieden, ob eine Datenverarbeitung Dritter aufgrund einer Schutzbereichsberührung des informationellen Selbstbestimmungsrechts zu unterbinden ist. Bei der Datenverarbeitung durch einen Privaten ist zunächst dessen grundrechtliches Interesse in einer Abwägung gegenüberzustellen.121 Die staatlicherseits erfolgende Datenverarbeitung unterliegt nur dann dem Vorbehalt des Gesetzes, wenn die Grundrechtsberührung Eingriffsqualität aufweist.122 Wann ein Eingriff in das informationelle Selbstbestimmungsrecht vorliegt, ist schwer zu bestimmen. Die Bestimmung der Eingriffsschwelle ist ein noch nicht abschließend geklärtes Problem des informationellen Selbstbestimmungsrechts.123 Dieses ist jedoch von der Festlegung des Schutzbereichs zu trennen und ihr nachgelagert. Die extensive Interpretation grundrechtlicher Schutzbereiche, verbunden mit der Aussonderung der wirklich grundrechtsverletzenden Fälle über das Regulativ der Eingriffsebene, ist kein Novum des informationellen Selbstbestimmungsrechts.124 Exemplarisch für eine extensive Interpretation einzelner Grundrechte ist die allgemeine Handlungsfreiheit;125 beispielhaft für eine weite Interpretation des Schutzbereichs und einer Verengung des Grundrechtsschutzes auf Eingriffsebene sind insbesondere die Berufsfreiheit126 oder das Recht auf körperliche Unversehrtheit.127 Der Anerkennung des besonderen Grundrechtsschutzes für den Bereich der Computernutzung und der dem Bereichsschutz zugrundeliegenden Vertraulichkeitserwartung kann in gleicher Weise die Kritik der Schaffung einer übersteigerten Erwartungshaltung gegenüber Datenverarbeitungsberechtigungen und Datenschutz entgegengehalten werden.128 Diese verfängt aus den gleichen Gründen wie bei dem Recht auf informationelle Selbstbestimmung nicht.

121 Deutlich etwa BVerfG-K, MMR 2007, 93 (Tz. 28, nicht abgedruckt): „Gerade im Verkehr zwischen Privaten lässt sich dem allgemeinen Persönlichkeitsrecht allerdings kein dingliches Herrschaftsrecht über bestimmte Informationen entnehmen.“ 122 Überblick zum Grundrechtseingriff bei Voßkuhle/Kaiser, JuS 2009, 313. 123 Dazu etwa Bull, NJW 2009, 3279 (3281 f.); ders., Informationelle Selbstbestimmung – Vision oder Illusion?, S. 89 ff. 124 Insofern unzutreffend Duttge, Der Staat 36 (1997), 281 (303). 125 Vgl. BVerfGE 6, 32 (36 f., 41); 80, 137 (152 f.). 126 Zur Auslegung von „Beruf“ BVerfGE 7, 377 (397); zum Eingriff aufgrund von Vorschriften mit objektiv berufsregelnder Tendenz BVerfGE 95, 267 (302). 127 Zu Grundrechtsbeeinträchtigungen unterhalb der Eingriffsschwelle BVerfGE 17, 108 (115) – Hirnstrommessungen; BVerwGE 46, 1 (7) – Haareschneiden; BVerwGE 54, 211 (223 f.) – Beschränkung von Erholungsmöglichkeiten; krit. Schulze-Fielitz, in: Dreier, GG, Art. 2 II Rn. 49 f. 128 In die Richtung Böckenförde, JZ 2008, 925 (938).

232

G. Fortentwicklung des Rechts

Das GGVIIS tritt in dem hier verstandenen Sinne neben das informationelle Selbstbestimmungsrecht als ein für den Bereich informationstechnischer Systeme weitergehender Schutz, der sich auch auf nicht-personenbezogene Daten erstreckt. Die bundesverfassungsgerichtliche Neuschöpfung eines weiteren Datenschutzgrundrechts rechtfertigt für den schutzgegenständlichen Bereich das Beschreiten eines Sonderwegs, ohne sich von dem Gedanken des informationellen Selbstbestimmungsrechts grundsätzlich lösen zu müssen.

2. Art. 5 Abs. 3 EK-DSRL Impulse für einen Bereichsschutz für Daten aus eigengenutzten informationstechnischen Systemen unter Lösung von der Beschränkung des Datenschutzrechts auf die Verarbeitung personenbezogener Daten ergeben sich ferner aus der Bestimmung des Art. 5 Abs. 3 EK-DSRL. a) Entstehungsgeschichte und Anwendungsbereich der Richtlinie Die 2002 in Kraft getretene und durch die Richtlinie 2009/136/EG zuletzt geänderte EK-DSRL ersetzt die bis dahin ausschließlich auf den Datenschutz im Telekommunikationsbereich beschränkte ISDN-RL von 1997.129 Regelungsziel der EK-DSRL ist die Anpassung der Bestimmungen der ISDN-RL an die Entwicklung der Märkte und Technologien für elektronische Kommunikationsdienste, um den Nutzern öffentlich zugänglicher elektronischer Kommunikationsdienste unabhängig von der zugrundeliegenden Technologie den gleichen Grad des Schutzes personenbezogener Daten und der Privatsphäre zu bieten.130 Aufgrund dieses Regelungsziels erstreckt sich der Anwendungsbereich der EK-DSRL über den TK-Bereich hinaus auch auf Telemedien.131 Die EK-DSRL trifft in Art. 5 Abs. 3 eine Regelung des Datenschutzes bei der Verwendung von Cookies. Diese Regelung hat durch die Novellierung der EK-DSRL durch die Richtlinie 2009/136/EG eine Präzisierung erfahren.132

129 Übersicht über die Neuerungen der EK-DSRL gegenüber der ISDN-RL bei Ohlenburg, MMR 2003, 82. 130 So ErwGr. 4 der EK-DSRL. 131 Artikel-29-Datenschutzgruppe, Stellungnahme 2/2010 zur Werbung auf Basis von Behavioural Targeting, WP 171, S. 11, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/ 2010/wp171_de.pdf (15. 3. 2011); Schmitz, in: Hoeren/Sieber, Hb. Multimedia Recht, Teil 16.2 Rn. 26. 132 Art. 2 Nr. 5 RL 2009/136/EG.

III. Bereichsschutzmodell für Daten aus der Sphäre des Internetnutzers

233

b) Regelungsgehalt des Art. 5 Abs. 3 EK-DSRL Art. 5 Abs. 3 S. 1 EK-DSRL erklärt die Speicherung von Informationen oder den Zugriff auf Informationen, die im Endgerät des Nutzers gespeichert sind (vorbehaltlich des zweiten Satzes des gleichen Absatzes) nur unter der Voraussetzung der vorherigen, informierten Einwilligung des Nutzers für zulässig. „Informationen“ im Sinne der Vorschrift sind nach Ansicht der Artikel-29-Datenschutzgruppe auch Cookie-Daten. Die datenschutzrechtliche Zulässigkeit des Ablegens und Auslesens eines Cookies unterliegt daher dem Einwilligungsvorbehalt des Nutzers, dessen Computer (in der Terminologie der Richtlinie: Endgerät) betroffen ist.133 Die Auslegung des Art. 5 Abs. 3 S. 1 EK-DSRL durch die Artikel-29-Datenschutzgruppe wird bestätigt durch den 24. und 25. Erwägungsgrund selbiger Richtlinie sowie den 66. Erwägungsgrund der Richtlinie 2009/136/EG. In dem 25. Erwägungsgrund der EK-DSRL stellt der EU-Richtliniengeber klar, dass der Einsatz von Cookies nur unter den Bedingungen der Datenverarbeitungen nach der DSRL zulässig sein sollte, was voraussetzt, dass der Nutzer über die Verwendung von Cookies und die Verarbeitungszwecke zu informieren ist und ihm die Möglichkeit eingeräumt sein muss, die Speicherung eines Cookies abzulehnen. Diese Vorgaben werden durch den 66. Erwägungsgrund der Richtlinie 2009/136/EG präzisiert. Im 66. Erwägungsgrund weist der Richtliniengeber auf die Möglichkeit der Verwendung von Cookies durch Drittanbieter hin. Betont wird insbesondere die herausragende Bedeutung der Information des Nutzers über die Verwendung von Cookies sowie die Bedeutung eines benutzerfreundlichen Cookie-Managements. Vor allem zwei Aspekte in den Erwägungsgründen der Richtlinien zu Art. 5 Abs. 3 EK-DSRL und der Interpretation der Vorschrift durch die Artikel-29-Datenschutzgruppe sind es, die den Ansatz eines Bereichsschutzmodells im deutschen Recht bestärken. Besondere Beachtung verdient der 24. Erwägungsgrund der EK-DSRL. Dieser stellt fest, dass „Endgeräte von Nutzern elektronischer Kommunikationsnetze und in diesen Geräten gespeicherte Informationen […] Teil der Privatsphäre der Nutzer“ sind. In der EK-DSRL wird damit – fünfeinhalb Jahre vor der Bundesverfassungsgerichtsentscheidung zur Online-Durchsuchung – die besondere Schutzbedürftigkeit eigengenutzter informationstechnischer Systeme festgestellt und somit die Sensibilität dieses besonderen Bereichs betont. Bemerkenswert ist weiterhin die Feststellung der Artikel-29-Datenschutzgruppe, dass es für das Merkmal „Informationen“ des Art. 5 Abs. 3 EK-DSRL irrelevant ist, ob diese personenbezogene Daten i. S. d. DSRL sind oder nicht.134 Während die DSRL in ihrer Konzeption durch eine Fokussierung auf die Regelung der Verarbeitung personenbezogener Daten 133

Artikel-29-Datenschutzgruppe, Stellungnahme 2/2010 zur Werbung auf Basis von Behavioural Targeting, WP 171, S. 10, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/ 2010/wp171_de.pdf (15. 3. 2011). 134 Artikel-29-Datenschutzgruppe, Stellungnahme 2/2010 zur Werbung auf Basis von Behavioural Targeting, WP 171, S. 10, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/ 2010/wp171_de.pdf (15. 3. 2011).

234

G. Fortentwicklung des Rechts

(Art. 3 Abs. 1 DSRL) der Logik der informationellen Selbstbestimmungsdogmatik entspricht, bricht Art. 5 Abs. 3 EK-DSRL durch eine Betonung des Bereichsschutzes für Nutzerendgeräte, unter Vernachlässigung des Vorliegens eines Personenbezugs, mit diesem Regelungskonzept.135 Bei der Umsetzung der EK-DSRL in das deutsche Recht wurde dieser Aspekt der europarechtlichen Vorgaben nicht beachtet. Die Etablierung eines Bereichsschutzes unter Lösung von der Fokussierung auf den Personenbezug von Daten ist europarechtlich geboten. Der zwingende Umsetzungsbedarf beschränkt sich dabei auf die Zulässigkeit des Zugriffs oder das Verändern von Daten auf dem informationstechnischen System des Nutzers. Schutz ist insofern nur vor einer Infiltration des Systems zu gewährleisten. Dies entspricht dem Schutzbereich des GGVIIS nach dem aktuellen Verständnis des Bundesverfassungsgerichts, wie es in BVerfGE 120, 274 zum Ausdruck gekommen ist. Der Ansatz eines umfassenden Bereichsschutzes, der zwangsläufig bei der Internetkommunikation bei Dritten anfallende Daten ebenfalls einem Verarbeitungsverbot mit Erlaubnisvorbehalt unterstellt, geht somit über die zwingenden Richtlinienvorgaben hinaus. Gleichwohl lassen sich die europarechtlichen Vorgaben des Art. 5 Abs. 3 EK-DSRL zu der Zulässigkeit der Verarbeitung von Cookie-Daten als Anstoß für eine Entwicklung des Rechts in diese Richtung interpretieren. Zu beachten ist, dass auf dem Gebiet des Datenschutzrechts europarechtlich eine Vollharmonisierung der mitgliedstaatlichen Vorschriften vorgegeben ist.136 Der Ansatz des umfassenden Bereichsschutzes überschreitet das durch die DSRL und EK-DSRL vorgegebene Datenschutzniveau durch eine vollständige Erfassung sämtlicher Daten des Internetverkehrs. Die Mitgliedstaaten besitzen allerdings einen Spielraum bei der Umsetzung des europäischen Rechtsrahmens zur Verarbeitung personenbezogener Daten.137 Dieser Spielraum wird durch das Bereichsschutzmodell nicht überschritten. Bei einem Vergleich mit dem europarechtlich vorgegebenen Datenschutzrechtsrahmen gilt es zu berücksichtigen, dass der Anwendungsbereich der DSRL durch die Artikel-29-Datenschutzgruppe unter Zugrundelegung eines absoluten Personenbezugs sehr weit gefasst wird. Demgegenüber setzt zum einen das aktuelle deutsche Datenschutzrecht die Vorgaben der EK-DSRL nur unzureichend um und zum anderen liegt dem Bereichsschutzmodell zugleich ein restriktives Verständnis des „personenbezogenen Datums“ zugrunde.

135 Deutlich Artikel-29-Datenschutzgruppe, Stellungnahme 2/2010 zur Werbung auf Basis von Behavioural Targeting, WP 171, S. 10, http://ec.europa.eu/justice/policies/privacy/docs/ wpdocs/2010/wp171_de.pdf (15. 3. 2011): „Die in Art. 5 AbS. 3 niedergelegten Verpflichtungen werden durch den Schutz eines Bereichs bedingt, der als Teil der Privatsphäre der betroffenen Person angesehen wird und nicht dadurch, ob diese Informationen personenbezogene Daten sind oder nicht.“ 136 Vgl. ErwGr. 8 der DSRL. 137 ErwGr. 9 der DSRL.

IV. Konsequenzen aus dem Bereichsschutzmodell

235

3. Ansicht der Federal Trade Commission Das Bereichsschutzmodell liegt darüber hinaus international im Trend. In einer Stellungnahme der FTC mit Empfehlungen zum Datenschutz bei der Anwendung von Behavioral Advertising im Internet in den USA weist die FTC ebenfalls auf die Schwierigkeit der Unterscheidung zwischen personenbezogenen und nicht-personenbezogenen Daten bei dem Einsatz sog. Tracking-Technologien hin und spricht sich daher im Kontext von Online Behavioral Advertising auch für eine Überwindung der Unterscheidung von Daten nach ihrem Personenbezug aus.138 Zur Begründung verweist sie auf die Risiken der Zusammenführung anonymer Datensätze mit personenbezogenen Daten sowie auf die zunehmenden Identifizierungsrisiken mit steigendem Aussagegehalt der Datensätze und den Fortschritten in De-Anonymisierungstechniken.139 Die FTC betont ferner die Beeinträchtigung der Privatsphäre von Nutzern desselben Computers innerhalb eines Haushalts, die sich daraus ergibt, dass die Schaltung zielgerichteter Werbung in dieser Konstellation Einblicke in die Internetnutzungsgewohnheiten des jeweils anderen Nutzers liefern kann.140 Schließlich verweist die FTC auf das Misstrauen in der Bevölkerung gegenüber der Auswertung des Internetnutzungsverhaltens zu Zwecken der Internetwerbung, auch wenn die Datenverarbeitungen in vermeintlicher Anonymität erfolgten.141 Mithin ist der Ansatz eines Bereichsschutzmodells auch durch Entwicklungen in der Datenschutzdiskussion in den Vereinigten Staaten inspiriert.

IV. Konsequenzen aus dem Bereichsschutzmodell Das Bereichsschutzmodell führt zu einer ausnahmslosen Geltung des Datenverarbeitungsverbots mit Erlaubnisvorbehalt für die bei der Internetkommunikation mittels eigengenutzter informationstechnischer Systeme anfallenden Daten. Die 138 „Staff believes that, in the context of online behavioral advertising, the traditional notion of what constitutes PII [personally identifiable information] versus non-PII is becoming less and less meaningful and should not, by itself, determine the protections provided for consumer data.“, Federal Trade Commission, FTC Staff Report: Self-Regulatory Principles For Online Behavioral Advertising, S. 21 f., http://www.ftc.gov/os/2009/02/P085400behavadreport.pdf (15. 3. 2011). 139 Federal Trade Commission, FTC Staff Report: Self-Regulatory Principles For Online Behavioral Advertising, S. 22, http://www.ftc.gov/os/2009/02/P085400behavadreport.pdf (15. 3. 2011). 140 Federal Trade Commission, FTC Staff Report: Self-Regulatory Principles For Online Behavioral Advertising, S. 23, http://www.ftc.gov/os/2009/02/P085400behavadreport.pdf (15. 3. 2011). 141 Federal Trade Commission, FTC Staff Report: Self-Regulatory Principles For Online Behavioral Advertising, S. 23 f., http://www.ftc.gov/os/2009/02/P085400behavadreport.pdf (15. 3. 2011).

236

G. Fortentwicklung des Rechts

Verarbeitung dieser Daten ist daher nur aufgrund einer informierten Einwilligung des Nutzers oder einer Erlaubnisnorm nach dem TKG oder TMG (Notwendigkeit der Datenverarbeitung für die Diensteerbringung, Störungsbeseitigung, Verpflichtung zur Vorratsdatenspeicherung, …) zulässig. Die Statuierung eines grundrechtlich geschützten Interesses an einem Bereichsschutz für Daten aus eigengenutzten informationstechnischen Systemen indiziert keinesfalls ein Überwiegen des Interesses des Betroffenen an dem Unterbleiben einer Verarbeitung der ihn betreffenden Nutzerdaten in jedem Fall. Durch die Etablierung des Bereichsschutzes wird vielmehr ein schützenswertes Interesse zunächst einmal definiert, das in einer Abwägung konkreter Datenverarbeitungsvorgänge Berücksichtigung finden kann und entzieht Datenverarbeitungsvorgänge, die keinen Personenbezug aufweisen, dem unregulierten Bereich freier Datenverarbeitung. Attestiert wird mit diesem Ansatz mithin eine Regelungsbedürftigkeit jener Datenverarbeitungsvorgänge, nicht mehr und nicht weniger. § 15 Abs. 3 S. 1 TMG etwa ermöglicht weiterhin das Anlegen von Profilen zu Werbe- und Marktforschungszwecken unter Pseudonym. Jede Form der Verarbeitung von Suchmaschinennutzerdaten würde nach einer Novellierung der §§ 12 ff. TMG dem Regelungsregime der §§ 12 ff. TMG unterworfen sein. Die Analyse der Zulässigkeit der Suchmaschinenutzerdatenspeicherung nach bisherigem Recht führte in Teil D. II. bereits zu einer Anwendbarkeit der §§ 12 ff. TMG. Insofern ändert sich der rechtliche Rahmen für Suchmaschinenbetreiber durch die Novellierungsvorschläge bei der momentanen Datenverarbeitungspraxis nicht. Der Vorteil der vorgeschlagenen Gesetzesnovellierungen liegt damit nicht in einer anderen Handhabung des aktuellen Nutzerdatenumgangs der Suchmaschinenbetreiber. Seine Stärken besitzt das Bereichsschutzmodell im Hinblick auf zukünftige Gefahren des Persönlichkeitsrechts, die aus veränderten Datenverarbeitungsabläufen herrühren, die sich nicht mehr mit dem bisherigen Recht erfassen lassen. An anderer Stelle wurde aufgezeigt, dass eine Nutzerverhaltensprotokollierung auch unter Vermeidung der Verwendung personenbezogener Daten möglich ist.142 Für die Nutzung von Suchmaschinen bedeutet dies konkret, dass eine Beobachtung und Speicherung des Suchverhaltens in anonymer Form ohne Einwilligung der betroffenen Nutzer sich innerhalb des gegenwärtigen Rechtsrahmens bewegen kann. Das Bereichsschutzmodell ändert dies, indem es die Verarbeitung von Suchmaschinennutzerdaten in jeglicher Form unter Erlaubnisvorbehalt stellt und auf diese Weise einen lückenlosen Datenschutz ermöglicht.

142

Oben G. I.

Literaturverzeichnis Aaberg, Ingvar, Wie arbeiten Suchmaschinen?, in: Eberspächer, Jörg/Holtel, Stefan (Hrsg.), Suchen und Finden im Internet, Berlin 2007, S. 47 – 82. Albers, Marion, Zur Neukonzeption des grundrechtlichen Datenschutzes, in: Haratsch, Andreas/Kugelmann, Dieter/Repkewitz, Ulrich (Hrsg.), Herausforderungen an das Recht der Informationsgesellschaft, 36. Tagung der Wissenschaftlichen Mitarbeiterinnen und Mitarbeiter der Fachrichtung Öffentliches Recht, Stuttgart 1996, S. 113 – 139. – Informationelle Selbstbestimmung, Baden-Baden 2005. Artikel-29-Datenschutzgruppe, Privatsphäre im Internet, Ein integrierter EU-Ansatz zum Online-Datenschutz, WP 37 v. 21. 11. 2000, http://ec.europa.eu/justice/policies/privacy/docs/ wpdocs/2000/wp37de.pdf (15. 3. 2011). – Arbeitspapier über die Frage der internationalen Anwendbarkeit des EU-Datenschutzrechts bei der Verarbeitung personenbezogener Daten im Internet durch Websites außerhalb der EU, WP 56 v. 30. 5. 2002, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2002/wp56 _de.pdf (15. 3. 2011). – Stellungnahme 4/2007 zum Begriff „personenbezogene Daten“, WP 136 v. 20. 6. 2007, http:// ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_de.pdf (15. 3. 2011). – Stellungnahme 1/2008 zu Datenschutzfragen im Zusammenhang mit Suchmaschinen, WP 148 v. 4. 4. 2008, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2008/wp148_de. pdf (15. 3. 2011). – Stellungnahme 2/2010 zur Werbung auf Basis von Behavioural Targeting, WP 171 v. 22. 6. 2010, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp171_de.pdf (07. 01. 2011). Badura, Peter, Kodifikatorische und rechtsgestaltende Wirkung von Grundrechten, in: Böttcher, Reinhard/Hueck, Götz/Jähnke, Burkhard (Hrsg.), Festschrift für Walter Odersky zum 65. Geburtstag am 17. Juli 1996, Berlin 1996, S. 159 – 181. Bager, Jo, Der Datenkrake, Google und der Datenschutz, CÏt 10/2006, S. 168. Ballhausen, Miriam/Roggenkamp, Jan-Dirk, Personenbezogene Bewertungsplattformen, K&R 2008, S. 403 – 410. Barbaro, Michael/Zeller, Tom, A Face Is Exposed for AOL Searcher No. 4417749, New York Times v. 9. 8. 2006, http://www.nytimes.com/2006/08/09/technology/09aol.html?ex= 1312776000 (15. 3. 2011). Barnitzke, Benno, Herausgabe von IP-Adressen, DuD 2010, S. 482 – 485. Barth, Dave, The bright side of sitting in traffic: Crowdsourcing road congestion data (Google Blog), http://googleblog.blogspot.com/2009/08/bright-side-of-sitting-in-traffic.html (15. 3. 2011).

238

Literaturverzeichnis

Bartsch, Michael, Die „Vertraulichkeit und Integrität informationstechnischer Systeme“ als sonstiges Recht nach § 823 Abs. 1 BGB, CR 2008, S. 613 – 617. Beater, Axel, Medienrecht, Tübingen 2007. Bedner, Mark, „Deep Packet Inspection“ – Technologie und rechtliche Initiativen, Steht die Freiheit im Internet auch in westlichen Demokratien auf dem Spiel?, CR 2010, S. 393 – 345. Bellia, Patricia L., Surveillance Law Through CyberlawÏs Lens, George Washington Law Review 72 (2004), S. 1375 – 1458. Berger, Arndt/Janal, Ruth, Suchet und ihr werdet finden?, Eine Untersuchung zur Störerhaftung von Online-Auktionshäusern, CR 2004, S. 917 – 925. Berger, Christian/Degenhart, Christoph, Urheberrechtliche und verfassungsrechtliche Aspekte eines Unternehmens zum Vertrieb elektronischer Pressespiegel, AfP 2003, S. 105 – 120. Berkemann, Jörg, in: Umbach, Dieter/Clemens, Thomas (Hrsg.), Grundgesetz, Mitarbeiterkommentar und Handbuch, Heidelberg 2002. Bethge, Herbert, in: Sachs, Michael (Hrsg.), Grundgesetz, Kommentar, 5. Aufl., München 2009. Böckenförde, Thomas, Auf dem Weg zur elektronischen Privatsphäre, Zugleich Besprechung von BVerfG, Urteil v. 27. 2. 2008 – „Online-Durchsuchung“, JZ 2008, S. 925 – 939. Brin, Sergey/Page, Lawrence, The Anatomy of a Large-Scale Hypertextual Web Search Engine, http://infolab.stanford.edu/pub/papers/google.pdf (15. 3. 2011). Britz, Gabriele, Freie Entfaltung durch Selbstdarstellung, Eine Rekonstruktion des allgemeinen Persönlichkeitsrechts aus Art. 2 I GG, Tübingen 2007. – Vertraulichkeit und Integrität informationstechnischer Systeme – Einige Fragen zu einem „neuen Grundrecht“, DÖV 2008, S. 411 – 415. Brugger, Winfried, Der grundrechtliche Schutz der Privatsphäre in den Vereinigten Staaten von Amerika, AöR 108 (1983), S. 25 – 67. – Grundrechte und Verfassungsgerichtsbarkeit in den Vereinigten Staaten von Amerika, Tübingen 1987. Brunst, Philipp, Anonymität im Internet – rechtliche und tatsächliche Rahmenbedingungen, Zum Spannungsfeld zwischen einem Recht auf Anonymität bei der elektronischen Kommunikation und den Möglichkeiten zur Identifizierung und Strafverfolgung, Berlin 2009. Buchner, Benedikt, Informationelle Selbstbestimmung im Privatrecht, Tübingen 2006. – Wissen ist Macht?, Zum Verhältnis von Datenschutz und Wettbewerb, DuD 2008, S. 724 – 728. – Die Einwilligung im Datenschutzrecht, Vom Rechtfertigungsgrund zum Kommerzialisierungsinstrument, DuD 2010, S. 39 – 43. Bull, Hans Peter, Informationelle Selbstbestimmung – Vision oder Illusion?, Tübingen 2009. – Sind Video-Verkehrskontrollen „unter keinem rechtlichen Aspekt vertretbar“?, NJW 2009, S. 3279 – 3282. Bundesbeauftragter für Datenschutz und Informationsfreiheit, 21. Tätigkeitsbericht 2005 – 2006, http://www.bfdi.bund.de/cln_029/nn_531940/DE/Oeffentlichkeitsarbeit /Taetigkeitsbe richte/TaetigkeitsberichteDesBFD.html (15. 3. 2011).

Literaturverzeichnis

239

Burbulla, Rainer, Das Recht (der Presse) auf Grundbucheinsicht – Vorherige Anhörung des Grundstückseigentümers als zusätzliche Voraussetzung?, JURA 2002, S. 182 – 187. Bußmann, Heike, Das Verfassungsrecht der elektronischen Medien in Deutschland und den USA, Technologische und rechtliche Entwicklungen vom Rundfunk bis zum Internet, Aachen 2000. BVDW, Targeting Begriffe und Definitionen, http://www.bvdw.org/medien/targeting-begriffeund-definitionen?media=691 (15. 3. 2011). – Was ist Targeting?, http://www.bvdw.org/medien/bvdw-praesentation—was-ist-targeting? media=1281 (15. 3. 2011). – Eu-Kommissarin Kroes fordert wirksame Selbstregulierung im Online-Datenschutz Pressemitteilung v. 20. 9. 2010, http://www.bvdw.org/presse/news.html?tx_ttnews[tt_news]= 3093&cHash=1955694e35 (07. 02. 2011). Caemmerer, Ernst von, Der privatrechtliche Persönlichkeitsschutz nach deutschem Recht, in: Esser, Josef/Thieme, Hans (Hrsg.), Festschrift für Fritz von Hippel, Tübingen 1967, S. 27 – 40. Callies, Christian, § 44: Schutzpflichten, in: Merten, Detlev/Papier, Hans-Jürgen (Hrsg.), Handbuch der Grundrechte, Band II: Grundrechte in Deutschland, Allgemeine Lehren I, Heidelberg 2006. Canaris, Claus-Wilhelm, Grundrechte und Privatrecht, AcP 184 (1984), S. 201 – 246. Center For Democracy and Technology, Search Privacy Practices: A Work in Progress, CDT Report (8/2007), http://www.cdt.org/privacy/20070808searchprivacy.pdf (15. 3. 2011). Chamoni, Peter, Ausgewählte Verfahren des Data Mining, in: Chamoni, Peter/Gluchowski, Peter (Hrsg.), Analytische Informationssysteme, Business Intelligence-Technologien und -Anwendungen, Berlin 2006, S. 355 – 373. Ciocchetti, Corey, E-Commerce and Information Privacy: Privacy Policies as Personal Information Protectors, American Business Law Journal 44 (2007), S. 55 – 126. Clemens, Thomas, in: Umbach, Dieter/Clemens, Thomas (Hrsg.), Grundgesetz, Mitarbeiterkommentar und Handbuch, Heidelberg 2002. Cohen, Julie E., A Right to Read Anonymously: A Closer Look at “Copyright Management” in Cyberspace, Connecticut Law Review 28 (1996), S. 981 – 1039. – Examined Lives: Informational Privacy and the Subject as Objekt, Stanford Law Review 52 (2000), S. 1373 – 1437. Cranor, Lorrie Faith, Platform for Privacy Preferences – P3P, DuD 2000, S. 479. Cutts, Matt, Using data to fight webspam (Google Blog), http://googleblog.blogspot.com/2008/ 06/using-data-to-fight-webspam.html (15. 3. 2011). Dammann, Ulrich, in: Simitis, Spiros (Hrsg.), Bundesdatenschutzgesetz, 6. Aufl., Baden-Baden 2006. Danckert, Burkhard/Mayer, Frank Joachim, Die vorherrschende Meinungsmacht von Google, MMR 2010, S. 219 – 222. Däubler, Wolfgang, in: Däubler, Wolfgang/Klebe, Thomas/Wedde, Peter/Weichert, Thilo, Bundesdatenschutzgesetz, Kompaktkommentar zum BDSG, 3. Aufl., Frankfurt a. M. 2010. Degenhart, Christoph, in: Dolzer, Rudolf/Kahl, Wolfgang/Waldhoff, Christian/Graßhof, Karin, Bonner Kommentar zum Grundgesetz, Stand: 122. Ergänzungslieferung 7/2006.

240

Literaturverzeichnis

– Duale Rundfunkordnung im Wandel, AfP-Sonderheft 2007, S. 24 – 33. DeMarco, David A., Understanding Consumer Information Privacy in the Realm of Internet Commerce: Personhood and Pragmatism, Pop-Tarts and Six-Packs, Texas Law Review 84 (2006), S. 1013 – 1064. DeVries, Will T., Protecting Privacy in the Digital Age, Berkeley Technology Law Journal 18 (2003), S. 283 – 310. Di Fabio, Udo, in: Maunz, Theodor/Dürig, Günter, Grundgesetz, Kommentar, 39. Ergänzungslieferung 7/2001. Diesterhöft, Martin, Anmerkung zu BGH, Urt. v. 15. 12. 2009 – VI ZR 227/08 und VI ZR 228/08, ZJS 2010, S. 251 – 255. Dietlein, Johannes, Die Lehre von den grundrechtlichen Schutzpflichten, 2. Aufl., Berlin 2005. – § 111: Die Berufs- Arbeitsplatz- und Ausbildungsfreiheit, in: Stern, Klaus/Sachs, Michael/ Dietlein, Johannes (Hrsg.), Das Staatsrecht der Bundesrepublik Deutschland, Band IV/1, München 2006, S. 1757 – 1948. – § 113: Die Eigentumsfreiheit und das Erbrecht, in: Stern, Klaus/Sachs, Michael/Dietlein, Johannes (Hrsg.), Das Staatsrecht der Bundesrepublik Deutschland, Band IV/1, München 2006, S. 2114 – 2344. Dietlein, Johannes/Heinemann, Jan, Ordnungsrecht und Internetkriminalität, Anmerkungen zu den „Düsseldorfer Sperrungsverfügungen“, K&R 2004, S. 418 – 424. Dix, Alexander/Petri, Thomas, Das Fernmeldegeheimnis und die deutsche Verfassungsidentität, Zur Verfassungswidrigkeit der Vorratsdatenspeicherung, DuD 2009, S. 531 – 535. Dix, Alexander/Schaar, Peter, § 6 TDDSG, in: Roßnagel, Alexander (Hrsg.), Recht der Multimedia-Dienste, München 2005. Dörr, Dieter/Kreile, Johannes/Cole, Mark D., Handbuch Medienrecht, Recht der elektronischen Massenmedien, Frankfurt a. M. 2008. Drall¦, Lutz, Das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, Kiel 2010. Dreier, Horst, in: Dreier, Horst (Hrsg.), Grundgesetz, Kommentar, Band 1, 2. Aufl., Tübingen 2004. Duhr, Elisabeth/Naujok, Helga/Peter, Martina/Seifert, Evelyn, Neues Datenschutzrecht für die Wirtschaft, Erläuterungen und praktische Hinweise zu § 1 bis § 11 BDSG, DuD 2002, 5 – 36. Dürig, Günter, Grundrechte und Zivilrechtsprechung, in: Maunz, Theodor (Hrsg.), Vom Bonner Grundgesetz zur gesamtdeutschen Verfassung, Festschrift zum 75. Geburtstag von Hans Nawiasky, München 1956, S. 157 – 190. Düsseldorfer Kreis, Datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internet-Angeboten , Beschl. v. 26./27. 11. 2009, http://www.lfd.m-v.de/ dschutz/beschlue/Analyse.pdf (15. 3. 2011). – Prüfung der Selbst-Zertifizierung des Datenimporteurs nach dem Safe Harbor-Abkommen durch das Daten exportierende Unternehmen, Beschl. v. 28./29. 4. 2010, http://www.datenschutz-berlin.de/content/deutschland/duesseldorfer-kreis (15. 3. 2011). Duttge, Gunnar, Recht auf Datenschutz, Der Staat 36 (1997), S. 281 – 308.

Literaturverzeichnis

241

Eckhardt, Jens, Anmerkung zu AG Berlin-Mitte, K&R 2007, S. 602 – 604. – Anmerkung zu AG München, K&R 2008, S. 768 – 770. Edwards, Eli, Stepping Up to the Plate: The Google-DoubleClick Merger and the Role of the Federal Trade Commission in Protecting Data Privacy, http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1370734 (15. 3. 2011). Ehmann, Eugen, in: Simitis, Spiros (Hrsg.), Bundesdatenschutzgesetz, 6. Aufl., Baden-Baden 2006. Eifert, Martin, Informationelle Selbstbestimmung im Internet, Das BVerfG und die OnlineDurchsuchung, NVwZ 2008, S. 521 – 523. Eimeren, Birgit van/Frees, Beate, Fast 50 Millionen Deutsche online – Multimedia für alle?, Media Perspektiven 2010, S. 334 – 349. Electronic Privacy Information Center, In the Matter of Google, Inc. and DoubleClick, Inc.: Complaint and Request for Injunction, Request for Investigation and other Relief, 10. 9. 2007, http://epic.org/privacy/ftc/google/epic_complaint.pdf (15. 3. 2011). Elixmann, Robert, in: Coester-Waltjen, Dagmar/Ehlers, Dirk/Geppert, Klaus/Petersen, Jens/ Satzger, Helmut/Schoch, Friedrich/Schreiber, Klaus (Hrsg.), JURA Examensklausurenkurs, 4. Aufl., Berlin 2011, S. 135 – 154. Ellenberger, Jürgen, in: Palandt, Otto (Begr.), Bürgerliches Gesetzbuch, 69. Aufl., München 2010. Engel, Christoph, Der Internet-Service-Provider als Geisel deutscher Ordnungsbehörden, Eine Kritik an den Verfügungen der Bezirksregierung Düsseldorf, MMR-Beilage 4/2003, S. 1 – 35. Engel-Flechsig, Stefan/Maennel, Frithjof A./Tettenborn, Alexander, Das neue Informationsund Kommunikationsdienstegesetz, NJW 1997, S. 2981 – 2992. Engel-Flechsig, Stefan/Maennel, Frithjof A./Tettenborn, Alexander, Neue gesetzliche Rahmenbedingungen für Multimedia, Die Regelungen des luKDG und des MDStV, Heidelberg 1998. Epping, Volker/Lenz, Sebastian, Das Grundrecht der Meinungsfreiheit (Art. 5 I 1 GG), JURA 2007, S. 881 – 889. Erd, Rainer, Zehn Jahre Safe Harbor Abkommen – kein Grund zum Feiern, K&R 2010, S. 624 – 627. Erlhofer, Sebastian, Suchmaschinen-Optimierung für Webentwickler, Grundlagen, Funktionsweisen und Ranking-Optimierung, 4. Aufl., Bonn 2008. Fahl, Konstantin, Die Nutzung von Thumbnails in der Bildersuche, Zugleich Kommentar zu BGH, 29. 4. 2010 – I ZR 69/08, K&R 2010, 501 ff. – Vorschaubilder, K&R 2010, S. 437 – 441. Fechner, Frank, Medienrecht, Lehrbuch des gesamten Medienrechts unter besonderer Berücksichtigung von Presse, Rundfunk und Multimedia, 10. Aufl., Tübingen 2009. Federal Trade Commission, Staff Report: Public Workshop on Consumer Privacy on the Global Information Infrastructure 12/1996, http://www.ftc.gov/reports/privacy/privacy.pdf (15. 3. 2011). – Online Profiling: A Report to Congress 6/2000, http://www.ftc.gov/os/2000/06/onlineprofi lingreportjune2000.pdf (15. 3. 2011). – FTC Staff Proposes Online Behavioral Advertising Privacy Principles, 20. 12. 2007, http:// www.ftc.gov/opa/2007/12/principles.shtm (15. 3. 2011).

242

Literaturverzeichnis

– FTC Staff Report: Self-Regulatory Principles For Online Behavioral Advertising, Behavioral Advertising (Tracking, Targeting & Technology), 02/2009, http://www.ftc.gov/os/2009/02/ P085400behavadreport.pdf (15. 3. 2011). Feldmann, Thorsten, Der Schutz der Sozialsphäre bei Internetveröffentlichungen – Prangerwirkung und Informationsinteresse, jurisPR-ITR 11/2010, Anm. 4. Fiedler, Christoph, Meinungsfreiheit in einer vernetzten Welt, Staatliche Inhaltskontrolle, gesetzliche Providerhaftung und die Inhaltsneutralität des Internet, Baden-Baden 2002. Fisher, Louis, American Constitutional Law, 4. Aufl., Durham, NC, USA 2001. Fleischer, Peter, Response to the Article 29 Working Party Opinion On Data Protection Issues Related to Search Engines, http://blogs.taz.de/ctrl/files/2008/09/google.pdf (15. 3. 2011). Fröhle, Jens, Web Advertising, Nutzerprofile und Teledienstedatenschutz, München 2003. Froomkin, Michael A., The Death of Privacy, Stanford Law Review 52 (2000), S. 1461 – 1543. Frosch-Wilke, Dirk, Data Warehouse, OLAP und Data Mining, State of the Art und zukünftige Entwicklungen, DuD 2003, S. 597 – 604. Gaycken, Sandro/Karger, Michael, Entnetzung statt Vernetzung, Paradigmenwechsel bei der ITSicherheit, MMR 2011, S. 3 – 8. Geiger, Andreas, Die Einwilligung in die Verarbeitung von persönlichen Daten als Ausübung des Rechts auf informationelle Selbstbestimmung, NVwZ 1989, S. 35 – 38. Geis, Ivo, Das neue Datenschutzrecht für Teledienste, CR 2002, S. 667 – 674. Gercke, Marco, Anmerkung zu AG Potsdam, Urt. v. 3.12.2004 – 22 C 225/04, CR 2005, S. 233 – 234. Gersdorf, Hubertus, Der verfassungsrechtliche Rundfunkbegriff im Lichte der Digitalisierung der Telekommunikation, Ein Rechtsgutachten, Berlin 1995. Ghosemajumder, Shuman, Using data to help prevent fraud (Google Blog), http://googleblog. blogspot.com/2008/03/using-data-to-help-prevent-fraud.html (15. 3. 2011). Giesen, Thomas, Das Grundrecht auf Datenverarbeitung, JZ 2007, S. 918 – 927. – Zivile Informationsordnung im Rechtsstaat: Aufräumen!, RDV 2011, S. 266 – 274. Ginsberg, Jeremy/Mohebi, Matthew H./Patel, Rajan S./Brammer, Lynnette/Smolinski, Mark S./ Brilliant, Larry, Detecting influenza epidemics using search engine query data, Nature 2009, S. 1012 – 1015. Gola, Peter/Klug, Christoph/Körffer, Barbara/Schomerus, Rudolf , Bundesdatenschutzgesetz, 10. Aufl., München 2010. Goldberg, Matthew A., The Googling of Online Privacy: Gmail, Search-engine Histories and the New Frontier of Protecting Private Information on the Web, Lewis & Clark Law Review 9 (2005), S. 249 – 272. Golle, Philippe, Revisiting the Uniqueness of Simple Demographics in the US Population, in: ACM (Hrsg.), WPES Ï06 Proceedings of the 5th ACM workshop on Privacy in electronic society, New York 2006, S. 77 – 80. Gomille, Christian, Prangerwirkung und Manipulationsgefahr bei Bewertungsforen im Internet, ZUM 2009, S. 815 – 824.

Literaturverzeichnis

243

Goodin, Dan, Scrubbed geo-location data not so anonymous after all, The Register v. 12. 3. 2010, http://www.theregister.co.uk/2010/03/12/netflix_contest_cancelled/ (12. 01. 2011). Gounalakis, Georgios/Klein, Catherine, Zulässigkeit von personenbezogenen Bewertungsplattformen, NJW 2010, S. 566 – 571. Gounalakis, Georgios/Rhode, Lars, Persönlichkeitsschutz im Internet, Grundlagen und OnlineSpezifika, München 2002. Greely, Henry T., The Uneasy Ethical and Legal Underpinnings of Large-Scale Genomic Biobanks, Annual Review of Genomics & Human Genetics 8 (2007), S. 343 – 364. Greve, Holger/Schärdel, Florian, Der digitale Pranger – Bewertungsportale im Internet, MMR 2008, S. 645 – 650. Griesbaum, Joachim/Bekavac, Bernard/Rittberger, Marc, Typologie der Suchdienste im Internet, in: Lewandowski, Dirk (Hrsg.), Handbuch Internet-Suchmaschinen, Nutzerorientierung in Wissenschaft und Praxis, Heidelberg 2009, S. 18 – 52. Grimm, Rüdiger/Roßnagel, Alexander, Datenschutz für das Internet in den USA, DuD 2000, S. 446 – 453. Grimmelmann, James, The Google Dilemma, New York Law School Law Review 53 (2008/09), S. 939 – 950. – The Structure of Search Engine Law, Iowa Law Review 93 (2007), S. 1 – 63. Grüneberg, Christian, in: Palandt, Otto (Begr.), Bürgerliches Gesetzbuch, 69. Aufl., München 2010. Gurlit, Elke, Verfassungsrechtliche Bedingungen des Datenschutzes, NJW 2010, S. 1035 – 1041. Haahr, Paul/Baker, Steve, Making search better in Catalonia, Estonia and everywhere else (Google Blog), http://googleblog.blogspot.com/2008/03/making-search-better-in-catalonia. html (15. 3. 2011). Hahn, Werner/Vesting, Thomas (Hrsg.), BeckÏscher Kommentar zum Rundfunkrecht, Rundfunkstaatsvertrag, Rundfunkgebührenstaatsvertrag, Rundfunkfinanzierungsstaatsvertrag, Jugendmedienschutzstaatsvertrag, 2. Aufl., München 2008. Hamann, Götz, „Man muss lernen, anonym zu bleiben“ (Interview mit Peter Fleischer), Zeit Online v. 1. 5. 2008, http://www.zeit.de/2008/19/Interv_-Fleischer (15. 3. 2011). Hansell, Saul, Google Keeps Tweaking Its Search Engine, New York Times v. 3. 6. 2007, http:// www.nytimes.com/2007/06/03/business/yourmoney/03google.html (15. 3. 2011). Hansen, Marit, Kap. 3.3: Privacy Enhancing Technologies, in: Roßnagel, Alexander (Hrsg.), Handbuch Datenschutzrecht, Die neuen Grundlagen für Wirtschaft und Verwaltung, München 2003, S. 291 – 324. – Google Analytics auf dem Prüfstand, DuD 2008, S. 506. Hansen, Marit/Thomsen, Sven, Lebenslanger Datenschutz: Anforderungen an vertrauenswürdige Infrastrukturen, DuD 2010, S. 283 – 288. Härting, Niko, Datenschutz im Internet, Wo bleibt der Personenbezug?, CR 2008, S. 743 – 748. – „Prangerwirkung“ und „Zeitfaktor“, 14 Thesen zu Meinungsfreiheit, Persönlichkeitsrechten und Datenschutz im Netz, CR 2009, S. 21 – 28.

244

Literaturverzeichnis

– Schutz von IP-Adressen, Praxisfolgen der BVerfG-Rechtsprechung zu Onlinedurchsuchung und Vorratsdatenspeicherung, ITRB 2009, S. 35 – 39. – Spuren im Netz: Google Analytics und das „Computergrundrecht“, NJW-aktuell 3/2010, S. 10 – 11. Hay, Peter, US-Amerikanisches Recht, Ein Studienbuch, 3. Aufl., München 2005. Heckmann, Dirk, Das Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme und seine Auswirkungen auf das IT-(Sicherheits-)Recht, jurisPR-ITR 5/2008, Anm. 1. – Internetrecht, Juris-Praxiskommentar, 2. Aufl., Saarbrücken 2009. – Öffentliche Privatheit – Der Schutz der Schwächeren im Internet, K&R 2010, S. 770 – 777. – Smart Life – Smart Privacy Managment, K&R 2011, S. 1 – 5. Heidrich, Joerg, Rechtliche Fragen bei der Verwendung von DNS-Blacklisting zur Spam-Filterung, CR 2009, S. 168 – 173. Heidrich, Joerg/Wegener, Christoph, Datenschutzrechtliche Aspekte bei der Weitergabe von IPAdressen, DuD 2010, S. 172 – 177. Helms, Shawn C., Translating Privacy Values With Technology, Boston University Journal of Science and Technology Law 7 (2001), S. 288 – 325. Hensel, Dirk, Die Vorratsdatenspeicherung aus datenschutzrechtlicher Sicht, Die Bildung von Persönlichkeitsprofilen und andere Probleme der Vorratsdatenspeicherung, DuD 2009, S. 527 – 530. Herdegen, Matthias, in: Maunz, Theodor/Dürig, Günter, Grundgesetz, Kommentar, 57. Ergänzungslieferung 1/2010. Hermes, Georg, in: Dreier, Horst (Hrsg.), Grundgesetz, Kommentar, Band 1, 2. Aufl., Tübingen 2004. Herrmann, Christoph, Das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, Entstehung und Perspektiven, Frankfurt a. M. 2010. Herzog, Roman, in: Maunz, Theodor/Dürig, Günter, Grundgesetz, Kommentar, 20. Ergänzungslieferung. Hesse, Konrad, Grundzüge des Verfassungsrechts der Bundesrepublik Deutschland, 20. Aufl., Heidelberg 1995. Hillenbrand-Beck, Renate/Greß, Sebastian, Datengewinnung im Internet, Cookies und ihre Bewertung unter Berücksichtigung der Novellierung des TDDSG, DuD 2001, S. 389 – 394. Hoeren, Thomas, Kapitel 4.6: Zulässigkeit der Erhebung, Verarbeitung und Nutzung im privaten Bereich, in: Roßnagel, Alexander (Hrsg.), Handbuch Datenschutzrecht, Die neuen Grundlagen für Wirtschaft und Verwaltung, München 2003, S. 600 – 626. – Anmerkung zu BGH, Urt. v. 11. 3. 2004 – I ZR 304/01, MMR 2004, S. 668 – 673. – Das Telemediengesetz, NJW 2007, S. 801 – 806. – Internet- und Kommunikationsrecht, Praxis-Lehrbuch, Köln 2008. – Was ist das „Grundrecht auf Integrität und Vertraulichkeit informationstechnischer Systeme“?, MMR 2008, S. 365 – 366.

Literaturverzeichnis

245

Hoffmann, Helmut, in: Spindler, Gerald/Schuster, Fabian (Hrsg.), Recht der elektronischen Medien, Kommentar, München 2008. Hoffmann-Riem, Wolfgang, Mediendemokratie als rechtliche Herausforderung, Der Staat 42 (2003), S. 193 – 223. – Informationelle Selbstbestimmung als Grundrecht kommunikativer Entfaltung, in: Bäumler, Helmut (Hrsg.), „Der neue Datenschutz“ – Datenschutz in der Informationsgesellschaft von morgen, Neuwied 1998, S. 11 – 24. – Kommunikationsfreiheiten, Kommentierungen zu Art. 5 Abs. 1 und 2 sowie Art. 8 GG, Baden-Baden 2002. – Der grundrechtliche Schutz der Vertraulichkeit und Integrität eigengenutzter informationstechnischer Systeme, JZ 2008, S. 1009 – 1022. Holznagel, Bernd/Sonntag, Matthias, Kap. 4.8: Einwilligung des Betroffenen, in: Roßnagel, Alexander (Hrsg.), Handbuch Datenschutzrecht, Die neuen Grundlagen für Wirtschaft und Verwaltung, München 2003, S. 678 – 714. Hoofnagle, Chris J., Big BrotherÏs Little Helpers: How Choicepoint and Other Commercial Data Brokers Collect and Package Your Data for Law Enforcement, North Carolina Journal of International Law and Commercial Regulation 29 (2004), S. 595 – 696. Hornung, Gerrit, Ein neues Grundrecht, Der verfassungsrechtliche Schutz der „Vertraulichkeit und Integrität informationstechnischer Systeme“, CR 2008, S. 299 – 306. Hotaling, Andrew, Protecting Personally Identifiable Information on the Internet: Notice and Consent in the Age of Behavioral Targeting, Commlaw Conspectus 16 (2008), S. 529 – 565. Hotchkiss, Gord, Just Behave: GoogleÏs Marissa Mayer on Personalized Search, http://searchen gineland.com/just-behave-googles-marissa-mayer-on-personalized-search-10592 (15. 3. 2011). Hövel, Jörg Auf dem, Google setzt auf Billigware, Die IT-Architektur der größten Suchmaschine, http://www.joergo.de/google.html (15. 3. 2011). Hufen, Friedhelm, Staatsrecht II, Grundrechte, 2. Aufl., München 2009. Huie, Marsha C./Laribee, Stephen F./Hogan, Stephen D., The Right to Privacy in Personal Data: The EU Prods the U. S. and Controversy Continues, Tulsa Journal of Comparative and International Law 9 (2002), S. 391 – 469. Hüsch, Moritz, Thumbnails in Bildersuchmaschinen, Zur rechtfertigenden Einwilligung in die Nutzung von Thumbnails – zugleich eine Besprechung von BGH, Urt. v. 29. 4. 2010 – I ZR 69/ 08, CR 2010, S. 452 – 457. Imhof, Ralf, One-to-One-Marketing im Internet – Das TDDSG als Marketinghindernis, CR 2000, S. 110 – 116. Introna, Lucas/Nissenbaum, Helen, Shaping the Web: Why the politics of search engines matters, The Information Society 2000, S. 171. Iraschko-Luscher, Stephanie/Kiekenbeck, Pia, Datenschutz im Internet – Widerspruch oder Herausforderung?, RDV 2010, S. 261 – 266. Isensee, Josef, § 111, in: Isensee, Josef/Kirchhof, Paul (Hrsg.), Handbuch des Staatsrechts der Bundesrepublik Deutschland, Band V: Allgemeine Grundrechtslehren, 2. Aufl., Heidelberg 2003 – 2009, S. 143 – 241.

246

Literaturverzeichnis

Iwersen, Sönke, Wer mit der Angst der Menschen Profit macht, Handelsblatt v. 23. 07. 2010, http://www.handelsblatt.com/unternehmen/industrie/wer-mit-der-angst-der-menschen-profitmacht/3497092.html?p3497092=0 (15. 3. 2011). Jarass, Hans D., in: Jarass, Hans D./Pieroth, Bodo, Grundgesetz für die Bundesrepublik Deutschland, Kommentar, 10. Aufl., München 2009. – Das allgemeine Persönlichkeitsrecht im Grundgesetz, NJW 1989, S. 857 – 862. Jotzo, Florian, Gilt deutsches Datenschutzrecht auch für Google, Facebook & Co. bei grenzüberschreitendem Datenverkehr?, MMR 2009, S. 232 – 237. Karzauninkat, Stefan/Alby, Tom, Suchmaschinenoptimierung, Professionelles Website-Marketing für besseres Ranking, 2. Aufl., München 2007. Kaumanns, Veit/Siegenheim, Veit, Von der Suchmaschine zum Werbekonzern, Media Perspektiven 2008, S. 25 – 33. Kerr, Orin S., A UserÏs Guide to the Stored Communications Act, and a LegislatorÏs Guide to Amending It, George Washington Law Review 72 (2004), S. 1208 – 1243. Kimminich, Otto, in: Dolzer, Rudolf/Kahl, Wolfgang/Waldhoff, Christian/Graßhof, Karin, Bonner Kommentar zum Grundgesetz, Stand: 65. Ergänzungslieferung 8/1992. King, Nany J., Direct Marketing, Mobile Phones, and Consumer Privacy: Ensuring Adequate Disclosure and Consent Mechanisms for Emerging Mobile Advertising Practices, Federal Communications Law Journal 60 (2008), S. 229 – 324. Kirchberg-Lennartz, Barbara/Weber, Jürgen, Ist die IP-Adresse ein personenbezogenes Datum, DuD 2010, S. 479 – 481. Kloepfer, Michael, Gutachten D, in: Deutscher Juristentag (Hrsg.), Verhandlungen des zweiundsechzigsten Deutschen Juristentags, München 1998, S. D 1–D 149. – Netzneutralität und Presse-Grosso in der Informationsgesellschaft, AfP 2010, S. 120 – 127. Koch, Alexander, Zur Einordnung von Internet-Suchmaschinen nach dem EGG, Zugleich ein Beitrag zum Haftungsrecht nach der Umsetzung der E-Commerce-Richtlinie, K&R 2002, S. 120 – 126. Köcher, Jan K., Gesetzentwurf zum TMG – Erhebung von IP-Adressen zur Störungserkennung bald zulässig, MMR 2009, Heft 3, S. V–VI. Kochinke, Clemens/Tröndle, Rüdiger, Links, Frames und Meta-Tags, RDV 1999, S. 190 – 197. Köhler, Markus/Arndt, Hans-Wolfgang/Fetzer, Thomas, Recht des Internet, 5. Aufl., Heidelberg 2006. Köhntopp, Marit/Köhntopp, Christian, Datenspuren im Internet, CR 2000, S. 248 – 257. Koreng, Ansgar, Meinungsmarkt und Netzneutralität, Kommunikationsgrundrechtliche Aspekte des diskriminierungsfreien Netzzugangs, CR 2009, S. 758 – 760. Krause, Jörg, E-Commerce und Online-Marketing, Chancen, Risiken und Strategien, 2. Aufl., München 2000. Kube, Hanno, § 91: Neue Medien – Internet, in: Isensee, Josef/Kirchhof, Paul (Hrsg.), Handbuch des Staatsrechts der Bundesrepublik Deutschland, Band IV: Aufgaben des Staates, 3. Aufl., Heidelberg 2006, S. 843 – 884.

Literaturverzeichnis

247

– § 148: Persönlichkeitsrecht, in: Isensee, Josef/Kirchhof, Paul (Hrsg.), Handbuch des Staatsrechts der Bundesrepublik Deutschland, Band VII: Freiheitsrechte, Heidelberg 2009, S. 79 – 145. Kugelmann, Dieter, Informationsfreiheit als Element moderner Staatlichkeit, DÖV 2005, S. 851 – 860. Kühling, Jürgen, Datenschutz in einer künftigen Welt allgegenwärtiger Datenverarbeitung, Die Verwaltung 40 (2007), S. 153 – 172. Kühling, Jürgen/Seidel, Christian/Sivridis, Anastasios, Datenschutzrecht, Frankfurt a. M. 2008. Kühling, Jürgen/Sivridis, Anastasios/Schwuchow, Mathis/Burghardt, Thorben, Das datenschutzrechtliche Vollzugsdefizit im Bereich der Telemedien – ein Schreckensbericht, DuD 2009, S. 335 – 342. Kutscha, Martin, Mehr Schutz von Computern durch ein neues Grundrecht?, NJW 2008, S. 1042 – 1043. Larenz, Karl/Canaris, Claus-Wilhelm, Methodenlehre der Rechtswissenschaft, 3. Aufl., Berlin 1995. Lawless, Matthew D., The Third Party Doctrine Redux: Internet Search Records and the Case for a „Crazy Quilt“ of Fourth Amendment Protection, UCLA Journal of Law & Technology 2007, S. 1 – 26. Lenckner, Theodor, in: Schönke, Adolf/Schröder, Horst (Begr.), Strafgesetzbuch, 27. Aufl., München 2006. Lepperhof, Niels/Petersdorf, Björn, Datenschutz bei Webstatistiken, Ergebnisse einer empirischen Analyse, DuD 2008, S. 266 – 269. Lepperhof, Niels/Petersdorf, Björn/Thursch, Sabine, Messung des Datenschutz-Vollzugsdefizits, DuD 2010, S. 716 – 720. Levin, Avner/Nicholson, Mary Jo, Privacy Law in the United States, the EU and Canada: The Allure of the Middle Ground, University of Ottawa Law and Technology Journal 2.2 (2005), S. 357 – 395. Lewandowski, Dirk, Web Information Retrieval, Technologien zur Informationssuche im Internet, Frankfurt a. M. 2005. Libertus, Michael, Determinanten der Störerhaftung für Inhalte in Onlinearchiven, MMR 2007, S. 143 – 149. Lischka, Konrad, Informatiker knacken anonymisierte Datenbank per Web-Suche, Spiegel Online v. 13. 12. 2007, http://www.spiegel.de/netzwelt/web/0,1518,523216,00.html (15. 3. 2011). Lohr, Steve, Netflix Awards $1 Million Prize and Starts a New Contest, http://bits.blogs.nytimes. com/2009/09/21/netflix-awards-1-million-prize-and-starts-a-new-contest/ (15. 3. 2011). – Netflix Cancels Contest Plans and Settles Suit, http://bits.blogs.nytimes.com/2010/03/12/ netflix-cancels-contest-plans-and-settles-suit/ (15. 3. 2011). Lohse, Christina/Janetzko, Dietmar, Technische und juristische Regulationsmodelle des Datenschutzes am Beispiel von P3P, CR 2001, S. 55 – 61. Lorenz, Dieter, in: Dolzer, Rudolf/Kahl, Wolfgang/Waldhoff, Christian/Graßhof, Karin, Bonner Kommentar zum Grundgesetz, Stand: 133. Ergänzungslieferung 4/2008.

248

Literaturverzeichnis

– Allgemeine Handlungsfreiheit und unbenannte Freiheitsrechte, in: Geis, Max-Emanuel/ Lorenz, Dieter/Maurer, Hartmut (Hrsg.), Staat, Kirche, Verwaltung, Festschrift für Hartmut Maurer zum 70. Geburtstag, München 2001, S. 213 – 225. Luch, Annika D., Das neue „IT-Grundrecht“, Grundbedingungen einer „Online-Handlungsfreiheit“, MMR 2011, S. 75 – 79. Machill, Marcel/Neuberger, Christoph/Schindler, Friedemann, Transparenz im Netz, Funktionen und Defizite von Internet-Suchmaschinen, 3. Aufl., Gütersloh 2002. Manssen, Gerrit, in: Mangoldt, Hermann von/Klein, Friedrich/Starck, Christian, Grundgesetz, Kommentar, 6. Aufl., München 2010. Markov, Zdravko/Larose, Daniel T., Data mining the web, Uncovering patterns in web content, structure and usage, Hoboken, NJ, USA 2007. Maurer, Hartmut/Balke, Tilo/Kappe, Frank/Kulathuramaiyer, Narayanan/Weber, Stefan/Zaka, Bilal, Report on dangers and opportunities posed by large search engines, particularly Google, 39. 9. 2007, http://www.iicm.tu-graz.ac.at/iicm_papers/dangers_google.pdf (15. 3. 2011). Mayer, Franz C., Recht und Cyberspace, NJW 1996, S. 1782 – 1791. Mayer, Marissa, Googlebombing ,failureÐ (Google Blog), http://googleblog.blogspot.com/ 2005/09/googlebombing-failure.html (15. 3. 2011). McCarthy, Thomas J., The Rights of Publicity and Privacy, 2. Aufl., Eagan, MN, USA, Stand: 1996. McClurg, Andrew J., Bringing Privacy Law Out of the Closet: A Tort Theory of Liability For Intrusions in Public Places, North Carolina Law review 73 (1995), S. 989 – 1088. Menzel, Hans-Joachim/Schläger, Uwe, Der Patient im Gesundheitswesen, DuD 1999, S. 70 – 75. Meyerdieks, Per, Sind IP-Adressen personenbezogene Daten?, MMR 2009, S. 8 – 13. Michael, Lothar/Morlok, Martin, Grundrechte, 2. Aufl., Baden-Baden 2010. Möncke, Ulrich, Data Warehouses – eine Herausforderung für den Datenschutz?, DuD 1998, S. 561 – 569. Müller, Michael, Konzentrationskontrolle zur Sicherung der Informationsfreiheit, Verfassungsrechtliche Gründe, Möglichkeiten und Grenzen der Konzentrationskontrolle privater Rundfunkunternehmen durch die Kommission zur Ermittlung der Konzentration im Medienbereich (KEK) gemäß § 26 RStV, München 2004. Mulligan, Deirdre, Public Workshop on Online Profiling (Testimony of the CDT Before the Federal Trade Commision), 30. 11. 1999, http://www.ftc.gov/bcp/workshops/profiling/ comments/mulligan.pdf (15. 3. 2011). Murswiek, Dietrich, in: Sachs, Michael (Hrsg.), Grundgesetz, Kommentar, 5. Aufl., München 2009. Mutius, Albert von, Anonymität als Element des allgemeinen Persönlichkeitsrechts – terminologische, rechtssystematische und normstrukturelle Grundfragen, in: Bäumler, Helmut/Mutius, Albert von (Hrsg.), Anonymität im Internet, Braunschweig/Wiesbaden 2003, S. 12 – 26. – Verfassungsrechtliche Grenzen der Einwilligung im Datenschutzrecht, in: Bizer, Johann/ Mutius, Albert von/Petri, Thomas u. a. (Hrsg.), Innovativer Datenschutz 1992 – 2004: Wünsche, Wege, Wirklichkeit, für Helmut Bäumler, Kiel 2004, S. 101 – 128.

Literaturverzeichnis

249

Narayanan, Arvind/Shmatikov, Vitaly, Robust De-anonymization of Large Sparse Datasets, in: IEEE Computer Society (Hrsg.), Proceedings of the 2008 IEEE Symposium on Security and Privacy, May 18 – 21, 2008, Oakland, California, USA 2008, S. 111 – 126. – Privacy and security – Myths and Fallacies of „Personally Identifiable Information“, Communications of the ACM 53 No. 6 (2010), S. 24 – 26. Nieland, Holger, Störerhaftung bei Meinungsforen im Internet, NJW 2010, S. 1494 – 1499. Nowak, John E./Rotunda, Ronald D./Young, J. Nelson, Constitutional Law, 2. Aufl., St. Paul, USA 1983. Ohlenburg, Anna, Die neue EU-Datenschutzrichtlinie 2002/58/EG, Auswirkungen und Neuerungen für elektronische Kommunikation, MMR 2003, S. 82 – 86. Ohm, Paul, Broken Promises of Privacy: Responding to the Surprising Failure of Anonymization, UCLA Law Review 57 (2010), S. 1701 – 1777, http://www.privacyconference2010. org/upload/UCLA%20Ohm%20Failure%20of%20Anonymity%2057-6-3.pdf (15. 3. 2011). Oppermann, Thomas/Classen, Claus Dieter/Nettesheim, Martin, Europarecht, 4. Aufl., München 2009. Osborn, Heather, Targeting Bad Behavior: Why Federal Regulators Must Treat Online Behavioral Marketing as Spyware, Hastings Communications and Entertainment Law Journal 31 (2009), S. 369 – 394. Ott, Stefan, Das Internet vergisst nicht – Rechtsschutz für Suchobjekte?, MMR 2009, S. 158 – 163. – Datenschutzrechtliche Zulässigkeit von Webtracking?, K&R 2009, 308 – 313. – Schutz der Nutzerdaten bei Suchmaschinen, Oder: Ich weiß, wonach Du letzten Sommer gesucht hast …, MMR 2009, S. 448 – 453. Paczkowski, John, European Data Protection Officials: Yahoo and Microsoft Have Search Engines?, http://digitaldaily.allthingsd.com/20070612/google-eu-privacy/ (15. 3. 2011). Pahlen-Brandt, Ingrid, Datenschutz braucht scharfe Instrumente, Beitrag zur Diskussion um „personenbezogene Daten“, DuD 2008, S. 34 – 40. – Zur Personenbezogenheit von IP-Adressen, Zugleich Replik auf Eckhardt, K&R 2007, 602 ff., K&R 2008, S. 288 – 291. Papier, Hans-Jürgen, in: Maunz, Theodor/Dürig, Günter, Grundgesetz, Kommentar, 14. Ergänzungslieferung 6/2002. Pasquale, Frank, Asterisk Revisited: Debating a Right of Reply on Search Results, Journal of Business & Technology Law 3 (2008), S. 61 – 85. Peifer, Karl-Nikolaus/Kamp, Johannes, Datenschutz und Persönlichkeitsrecht – Anwendung der Grundsätze über Produktkritik auf das Bewertungsportal „spickmich.de“?, ZUM 2009, S. 185 – 190. Petersdorff-Campen, Thomas von, Persönlichkeitsrecht und digitale Archive, ZUM 2008, S. 102 – 108. Petri, Thomas, Datenschutzrechtliche Einwilligung im Massengeschäftsverkehr, RDV 2007, S. 153 – 158. – Wertewandel im Datenschutz und die Grundrechte, DuD 2010, S. 25 – 29.

250

Literaturverzeichnis

Piepenbrock, Hermann-Josef, in: Geppert, Martin/Piepenbrock/Hermann-Josef/Schütz, Raimund/Schuster, Fabian, BeckÏscher TKG-Kommentar, 3. Aufl., München 2006. Pieroth, Bodo/Schlink, Bernhard, Grundrechte, Staatsrecht II, 25. Aufl., Heidelberg 2009. Probst, Thomas, Anonymität und Pseudonymität bei biometrischen Identifikationsverfahren, in: Bäumler, Helmut/Mutius, Albert von (Hrsg.), Anonymität im Internet, Braunschweig/ Wiesbaden 2003, S. 179 – 190. – Browserkonfiguration, Soziale Netzwerke und die Aufdeckung von Nutzeridentitäten, DSB 2010, S. 20 – 23. – Weniger Anonymität durch neuen Internet-Standard IPv6, DSB 2011, S. 10 – 12. Prosser, William L., Privacy, California Law Review 48 (1960), S. 383 – 423. Provos, Niels, Using log date to keep you safe (Google Blog), http://googleblog.blogspot.com/ 2008/03/using-log-data-to-help-keep-you-safe.html (15. 3. 2011). Provos, Niels/McClain, Joe/Wang, Ke, Search Worms, http://www.citi.umich.edu/u/provos/ papers/search_worms.pdf (15. 3. 2011). Rath, Michael, Das Recht der Internet-Suchmaschinen, Stuttgart 2005. – Suchmaschinen sind auch nicht mehr das, was sie einmal waren, WRP 2005, S. 826 – 833. Reischl, Gerald, Die Google-Falle, Die unkontrollierte Weltmacht im Internet, Wien 2008. Robbers, Gerhard, Der Grundrechtsverzicht, Zum Grundsatz ,volenti non fit iniuriaÐ im Verfassungsrecht, JuS 1985, S. 925 – 931. – Sicherheit als Menschenrecht, Aspekte der Geschichte, Begründung und Wirkung einer Grundrechtsfunktion, Baden-Baden 1987. Robison, William J., Free At What Cost?: Cloud Computing Privacy Under the Stored Communications Act, Georgetown Law Journal 98 (2010), S. 1195 – 1239. Rolf, Christian/Rötting, Michael, Google, Facebook & Co als Bewerberdatenbank für Arbeitgeber?, RDV 2009, S. 263 – 267. Roßnagel, Alexander, Kapitel 3.4: Konzepte des Selbstdatenschutzes, in: Roßnagel, Alexander (Hrsg.), Handbuch Datenschutzrecht, Die neuen Grundlagen für Wirtschaft und Verwaltung, München 2003, S. 325 – 362. Roßnagel, Alexander/Pfitzmann, Andreas/Garstka, Hansjürgen, Modernisierung des Datenschutzrechts, Gutachten im Auftrag des Bundesministeriums des Innern, 2001. Roßnagel, Alexander/Schnabel, Christoph, Das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme und sein Einfluss auf das Privatrecht, NJW 2008, S. 3534 – 3538. Roßnagel, Alexander/Scholz, Philip, Datenschutz durch Anonymität und Pseudonymität, Rechtsfolgen der Verwendung anonymer und pseudonymer Daten, MMR 2000, S. 721 – 731. Rotenberg, Marc, The Privacy Law Sourcebook: United States Law, International Law, and Recent Developments, Washington, D. C., USA 2005. Rücker, Daniel, Notice and take down-Verfahren für die deutsche Providerhaftung, Zur Begrenzung der Unterlassungshaftung von Online-Diensten durch das „Verbot allgemeiner Überwachungspflichten“, CR 2005, S. 347 – 355.

Literaturverzeichnis

251

Ruffert, Matthias, Vorrang der Verfassung und Eigenständigkeit des Privatrechts, Eine verfassungsrechtliche Untersuchung zur Privatrechtswirkung des Grundgesetzes, Tübingen 2001. Sachs, Michael, § 82: Die Grundrechtskollisionen, in: Stern, Klaus/Sachs, Michael/Dietlein, Johannes (Hrsg.), Das Staatsrecht der Bundesrepublik Deutschland, Band III/2, München 1994, S. 603 – 688. Sachs, Michael/Krings, Thomas, Das neue „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“, JuS 2008, S. 481 – 486. Sachs, Ulrich, Marketing, Datenschutz und das Internet, Köln 2008. – Datenschutzrechtliche Bestimmbarkeit von IP-Adressen, Stand von Rechtsprechung und Schrifttum, Gesetzesauslegung nach der juristischen Methodenlehre und Ausblick für die Praxis, CR 2010, S. 547 – 552. Schaar, Peter, Persönlichkeitsprofile im Internet, DuD 2001, S. 383 – 388. – Datenschutz im Internet, München 2002. – § 4 TDDSG, in: Roßnagel, Alexander (Hrsg.), Recht der Multimedia-Dienste, München 2005. – Das Ende der Privatsphäre, Der Weg in die Überwachungsgesellschaft, 2. Aufl., München 2007. Schallaböck, Jan, Datenkonzentration bei Suchmaschinen – die Macht von Google & Co., Zusammengefasster Beitrag für die Sommerakademie 2007 des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD), https://www.datenschutzzentrum.de/sommeraka demie/2007/sak2007-schallaboeck-datenkonzentration-bei-suchmaschinen.pdf (15. 3. 2011). Scheja, Gregor, Datenschutzrechtliche Zulässigkeit einer weltweiten Kundendatenbank, Eine Untersuchung unter besonderer Berücksichtigung der §§ 4b, 4c BDSG, Baden-Baden 2006. Schleipfer, Stefan, Das 3-Schichten-Modell des Multimediadatenschutzrechts, DuD 2004, S. 727 – 733. – Nutzungsprofile unter Pseudonym – Die datenschutzrechtlichen Bestimmungen und ihre Anwendung im Internet, RDV 2008, S. 143 – 150. – Ist die IP-Adresse zu löschen? – Eine Erörterung im Kontext von Nutzungsprofilen, RDV 2010, S. 168 – 175. Schmitt Glaeser, Walter, § 129: Schutz der Privatsphäre, in: Isensee, Josef/Kirchhof, Paul (Hrsg.), Handbuch des Staatsrechts der Bundesrepublik Deutschland, Band VI: Freiheitsrechte, 1. Aufl., Heidelberg 1989. Schmitz, Peter, in: Spindler, Gerald/Schmitz, Peter/Geis, Ivo, Teledienstegesetz, Teledienstegesetz, Teledienstedatenschutzgesetz, Signaturgesetz, München 2004. – in: Hoeren, Thomas/Sieber, Ulrich (Hrsg.), Handbuch Multimedia Recht, Rechtsfragen des elektronischen Geschäftsverkehrs, München 1999. – TDDSG und das Recht auf informationelle Selbstbestimmung, München 2000. Schnabel, Christoph, Das Recht am eigenen Bild und der Datenschutz, ZUM 2008, S. 657 – 662. – „Ungültigkeit“ der Vorratsdatenspeicherungsrichtlinie?, K&R 2009, S. 358 – 360. Schnabel, Christoph/Freund, Bernhard, „Ach wie gut, dass niemand weiß…“ – Selbstdatenschutz bei der Nutzung von Telemedienangeboten, CR 2010, S. 718 – 721. Schoch, Friedrich, Öffentlich-rechtliche Rahmenbedingungen einer Informationsordnung, VVDStRL 57 (1998), S. 158 – 215.

252

Literaturverzeichnis

– Betätigung öffentlich-rechtlicher Anstalten und Körperschaften im Online-Bereich, AfP 1998, S. 253 – 261. – Grundrechtsfähigkeit juristischer Personen, JURA 2001, S. 201 – 207. – Die Rolle des Staates in der Informationsgesellschaft, in: Leipold, Dieter (Hrsg.), Rechtsfragen des Internet und der Informationsgesellschaft, Symposion der Rechtswissenschaftlichen Fakultäten der Albert-Ludwigs-Universität Freiburg und der Städtischen Universität Osaka, Heidelberg 2002, S. 83 – 96. – Konvergenz der Medien – Sollte das Recht der Medien harmonisiert werden?, JZ 2002, S. 798 – 807. – Das Recht auf informationelle Selbstbestimmung, JURA 2008, S. 352 – 359. – Informationsfreiheitsgesetz, Kommentar, München 2009. – Die Unverletzlichkeit der Wohnung nach Art. 13 GG, JURA 2010, S. 22 – 31. Scholz, Philip, Kapitel 9.2: Datenschutz bei Data Warehousing und Data Mining, in: Roßnagel, Alexander (Hrsg.), Handbuch Datenschutzrecht, Die neuen Grundlagen für Wirtschaft und Verwaltung, München 2003, S. 1833 – 1875. Schultz, Carsten, Suchmaschinenmarketing, in: Lewandowski, Dirk (Hrsg.), Handbuch InternetSuchmaschinen, Nutzerorientierung in Wissenschaft und Praxis, Heidelberg 2009, S. 70 – 98. Schulz, Gabriel/Waldenspuhl, Andreas/Hermerschmidt, Sven, Data Warehouse und Data Mining im öffentlichen Bereich, Datenschutzrechtliche und technische Aspekte 8/2002, http:// www.lfd.m-v.de/dschutz/informat/dwh/index_dw.html (15. 3. 2011). Schulz, Wolfgang, in: Hahn, Werner/Vesting, Thomas, BeckÏscher Kommentar zum Rundfunkrecht, Rundfunkstaatsvertrag, Rundfunkgebührenstaatsvertrag, Rundfunkfinanzierungsstaatsvertrag, Jugendmedienschutzstaatsvertrag, 2. Aufl., München 2008. – Von der Medienfreiheit zum Grundrechtsschutz für Intermediäre, CR 2008, S. 470 – 476. Schulz, Wolfgang/Held, Thorsten/Kops, Manfred, Perspektiven der Gewährleistung freier öffentlicher Kommunikation, ZUM 2001, S. 621 – 645. Schulz, Wolfgang/Held, Thorsten/Laudien, Arne, Suchmaschinen als Gatekeeper in der öffentlichen Kommunikation, Rechtliche Anforderungen an Zugangsoffenheit und Transparenz bei Suchmaschinen im WWW, Berlin 2005. Schulze-Fielitz, Helmuth, in: Dreier, Horst (Hrsg.), Grundgesetz, Kommentar, Band 1, 2. Aufl., Tübingen 2004. Schütz, Raimund, Rundfunkbegriff: Neutralität der Inhalte oder der Übertragung? Konvergenz und Innovation, MMR 2009, S. 228 – 232. Schwartz, Paul M., Preemption and Privacy, Yale Law Journal 118 (2009), S. 902 – 946. – Property, Privacy and Personal Data, Harvard Law Review 117 (2004), S. 2055 – 2126. Seidel, Janine/Nink, Judith, Personensuchmaschinen, Rechtliche Fragestellungen, CR 2009, S. 666 – 671. Seifert, Fedor, Postmortaler Schutz des Persönlichkeitsrechts und Schadensersatz – Zugleich ein Streifzug durch die Geschichte des allgemeinen Persönlichkeitsrechts, NJW 1999, S. 1889 – 1897.

Literaturverzeichnis

253

Sieber, Ulrich, Teil 1: Technische Grundlagen, in: Hoeren, Thomas/Sieber, Ulrich (Hrsg.), Handbuch Multimedia Recht, Rechtsfragen des elektronischen Geschäftsverkehrs, München 1999. – Verantwortlichkeit im Internet, Technische Kontrollmöglichkeiten und multimediarechtliche Regelungen; zugleich eine Kommentierung von § 5 TDG und § 5 MDStV, München 1999. Sieber, Ulrich/Höfinger, Frank Michael, Teil 18.1: Allgemeine Grundsätze der Haftung in: Hoeren, Thomas/Sieber, Ulrich (Hrsg.), Handbuch Multimedia Recht, Rechtsfragen des elektronischen Geschäftsverkehrs, München 1999. Sieber, Ulrich/Liesching, Marc, Die Verantwortlichkeit der Suchmaschinenbetreiber nach dem Telemediengesetz, MMR 2007 Beil. Heft 8, S. 1 – 30. Sieber, Ulrich/Nolde, Malaika, Sperrverfügungen im Internet, Nationale Rechtsdurchsetzung im globalen Cyberspace?, Berlin 2008. Simitis, Spiros, in: Simitis, Spiros (Hrsg.), Bundesdatenschutzgesetz, 6. Aufl., Baden-Baden 2006. Simmons, Joshua L., Buying You: The GovernmentÏs Use of Fourth-Parties to Launder Data About „The Poeple“, Columbia Business Law Review 2009, S. 950 – 1013. Simmons, Ric, From Katz to Kyllo: A Blueprint for adapting the Fourth Amendment to TwentyFirst Century Technologies, Hastings Law Journal 53 (2002), S. 1303 – 1358. Singel, Ryan, Netflix Spilled Your Brokeback Mountain Secret, Lawsuit Claims, http://www. wired.com/threatlevel/2009/12/netflix-privacy-lawsuit/ (15. 3. 2011). Skok, Gavin, Establishing a Legitimate Expectation of Privacy in Clickstream Data, Michigan Telecommunications & Technology Law Review 6 (2000), S. 61 – 88, http://www.mttlr.org/ volsix/skok.html (15. 3. 2011). Smith, Robert E., Compilation of Federal and State Privacy Laws, Providence, USA 2002. Sobola, Sabine/Kohl, Kathrin, Haftung von Providern für fremde Inhalte, CR 2005, S. 443 – 450. Solove, Daniel J., A Brief History of Information Privacy Law, George Washington University Law School, Public Law & Legal Theory Research Paper Series No. 215, 1 – 46, http://papers. ssrn.com/sol3/papers.cfm?abstract_id=914271## (15. 3. 2011). – Digital Dossiers and the Dissipation of Fourth Amendment Privacy, Southern California Law Review 75 (2002), S. 1084 – 1167. Solove, Daniel J./Schwartz, Paul M., Information Privacy Law, 3. Aufl., New York 2009. Spies, Axel/Ufer, Frederic, Netzneutralität: Stichwort oder Unwort des Jahres? Neues Regulierungsverfahren mit Auswirkungen auf Deutschland, MMR 2010, S. 13 – 18. Spindler, Gerald, in: Spindler, Gerald/Schmitz, Peter/Geis, Ivo, Teledienstegesetz, Teledienstegesetz, Teledienstedatenschutzgesetz, Signaturgesetz, München 2004. Spindler, Gerald/Nink, Judith, in: Spindler, Gerald/Schuster, Fabian (Hrsg.), Recht der elektronischen Medien, Kommentar, München 2008. Stadler, Thomas, Haftung für Informationen im Internet, 2. Aufl., Berlin 2005. Starck, Christian, in: Mangoldt, Hermann von/Klein, Friedrich/Starck, Christian, Grundgesetz, Kommentar, 6. Aufl., München 2010. Steidle, Roland/Pordesch, Ulrich, Im Netz von Google. Web-Tracking und Datenschutz, DuD 2008, S. 324 – 329.

254

Literaturverzeichnis

Steinmüller, Wilhelm, Das informationelle Selbstbestimmungsrecht – Wie es entstand und was man daraus lernen kann, RDV 2007, S. 158 – 161. Stögmüller, Thomas, Vertraulichkeit und Integrität informationstechnischer Systeme in Unternehmen, Ausstrahlungswirkungen des „neuen“ Grundrechts in die Privatwirtschaft, CR 2008, S. 435 – 439. Stürner, Rolf, Medien zwischen Regulierung und Reglementierung – Sanktionen gegen Medien?, AfP 2002, S. 283 – 292. Sullivan, Danny, Google Kills BushÏs Miserable Failure Search & Other Google Bombs, http:// searchengineland.com/google-kills-bushs-miserable-failure-search-other-google-bombs10363 (15. 3. 2011). – The Microsoft-Yahoo Search Deal, In Simple Terms, http://searchengineland.com/microsoftyahoo-search-deal-simplified-23299 (15. 3. 2011). Talidou, Zoi, Regulierte Selbstregulierung im Bereich des Datenschutzes, Frankfurt a. M. 2005. Teichmann, Arndt, in: Jauernig, Othmar (Hrsg.), Bürgerliches Gesetzbuch, Kommentar, 13. Aufl., München 2009. Tene, Omer, What Google knows: Privacy and Internet Search Engines, http://papers.ssrn.com/ sol3/papers.cfm?abstract_id=1021490 (15. 3. 2011). Thompson, Clive, If You Liked This, YouÏre Sure to Love That, New York Times v. 21. 11. 2008, http://www.nytimes.com/2008/11/23/magazine/23Netflix-t.html (15. 3. 2011). Tinnefeld, Marie-Theres, Kapitel 4.1: Geschützte Daten, in: Roßnagel, Alexander (Hrsg.), Handbuch Datenschutzrecht, Die neuen Grundlagen für Wirtschaft und Verwaltung, München 2003, S. 485 – 500. Tinnefeld, Marie-Theres/Ehmann, Eugen/Gerling, Rainer W., Einführung in das Datenschutzrecht, Datenschutz und Informationsfreiheit in europäischer Sicht, 4. Aufl., München 2005. Tomik, Stefan, Google Analytics – „Das spottet jeder Beschreibung“, FAZ.net v. 22. 10. 2010, http://www.faz.net/s/Rub594835B672714 A1DB1 A121534F010EE1/Doc~E468477948 C1549C5B3F109ADEE268E96~ATpl~Ecommon~Scontent.html (15. 3. 2011). – „Google Analytics“ im Visier der Datenschützer, FAZ.net v. 10. 1. 2011, http://www.faz.net/s/ Rub594835B672714 A1DB1 A121534F010EE1/Doc~E3FCFE8EC3AF34FEC84 F22338721DCF2D~ATpl~Ecommon~Scontent.html (15. 3. 2011). Trute, Hans-Heinrich, Öffentlich-rechtliche Rahmenbedingungen einer Informationsordnung, VVDStRL 57 (1998), S. 216 – 273. – Der Schutz personenbezogener Informationen in der Informationsgesellschaft, JZ 1998, S. 822 – 831. – Kapitel 2.5: Verfassungsrechtliche Grundlagen, in: Roßnagel, Alexander (Hrsg.), Handbuch Datenschutzrecht, Die neuen Grundlagen für Wirtschaft und Verwaltung, München 2003, S. 156 – 187. Varian, Hal, Why data matters (Google Blog), http://googleblog.blogspot.com/2008/03/whydata-matters.html (15. 3. 2011). Verweyen, Urs/Schulz, Tim-Frederik, Die Rechtsprechung zu den „Onlinearchiven“, AfP 2008, S. 133 – 139.

Literaturverzeichnis

255

Vogel, Joachim, Juristische Methodik, Berlin 1998. Voigt, Paul, Datenschutz bei Google, MMR 2009, S. 377 – 382. Volkmann, Christian, Der Störer im Internet, Zur Verantwortlichkeit der Internet-Provider im allgemeinen Zivil-, Wettbewerbs-, Marken- und öffentlichen Recht, München 2005. Volkmann, Uwe, Anmerkung zum Urteil des BVerfG vom 27. 2. 2008, 1 BvR 370/07 und 1 BvR 595/07, DVBl 2008, S. 590 – 593. Voßkuhle, Andreas/Kaiser, Anna-Bettina, Grundwissen – Öffentliches Recht: Der Grundrechtseingriff, JuS 2009, S. 313 – 315. Warren, Samuel D./Brandeis, Louis D., The Right to Privacy, Harvard Law Review 4 (1890), S. 193 – 220. Wedde, Peter, Kapitel 4.3: Verantwortliche Stellen, in: Roßnagel, Alexander (Hrsg.), Handbuch Datenschutzrecht, Die neuen Grundlagen für Wirtschaft und Verwaltung, München 2003, S. 526 – 545. Weichert, Thilo, in: Däubler, Wolfgang/Klebe, Thomas/Wedde, Peter/Weichert, Thilo, Bundesdatenschutzgesetz, Kompaktkommentar zum BDSG, 3. Aufl., Frankfurt a. M. 2010. – Datenschutz als Verbraucherschutz, DuD 2001, S. 264 – 270. – Anonymität und Pseudonymität als Voraussetzung für den medizinischen Fortschritt, in: Bäumler, Helmut/Mutius, Albert von (Hrsg.), Anonymität im Internet, Braunschweig/ Wiesbaden 2003, S. 95 – 106. – Datenschutz bei Suchmaschinen, MR-Int 2007, S. 188 – 194. – Google übernimmt DoubleClick, Brief an die Wettbewerbskommissarin Neelie Kroes, DuD 2007, S. 724. – BDSG-Novelle zum Schutz von Internet-Inhaltsdaten, DuD 2009, S. 7 – 14. – Datenschutz bei Suchmaschinen, in: Lewandowski, Dirk (Hrsg.), Handbuch Internet-Suchmaschinen, Nutzerorientierung in Wissenschaft und Praxis, Heidelberg 2009, S. 285 – 300. – Dauerbrenner BDSG-Novellierung, DuD 2010, S. 7 – 14. Wendt, Rudolf, in: Sachs, Michael (Hrsg.), Grundgesetz, Kommentar, 5. Aufl., München 2009. Wente, Jürgen, Informationelles Selbstbestimmungsrecht und absolute Drittwirkung der Grundrechte, NJW 1984, S. 1446 – 1447. Wichert, Michael, Web-Cookies – Mythos und Wirklichkeit, DuD 1998, S. 273 – 276. Wieland, Joachim, in: Dreier, Horst (Hrsg.), Grundgesetz, Kommentar, Band 1, 2. Aufl., Tübingen 2004. Wilms, Jan/Roth, Jan, Die Anwendbarkeit des Rechts auf informationelle Selbstbestimmung auf juristische Personen i. S. von Art. 19 Abs. 3 GG, JuS 2004, S. 577 – 580. Wittern, Felix/Schuster, Fabian, in: Geppert, Martin/Piepenbrock/Hermann-Josef/Schütz, Raimund/Schuster, Fabian, BeckÏscher TKG-Kommentar, 3. Aufl., München 2006. Wittig, Petra, Die datenschutzrechtliche Problematik der Anfertigung von Persönlichkeitsprofilen zu Marketingzwecken, RDV 2000, S. 59 – 62. Wright, Erin E., The Right to Privacy in Electronic Communications: Current Fourth Amendment and Statutory Protection in the Wake of Warshak v. United States, I/S: A Journal of Law and Policy for the Information Society 3 (2007 – 2008), S. 531 – 553.

256

Literaturverzeichnis

Yan, Jun/Liu, Ning/Wng, Gang/Zhang, Wen/Jiang, Yun/Chen, Zheng, How much can behavioral targeting help online advertising?, in: Association for Computing Machinery (Hrsg.), Proceedings of the 18th international conference on World wide web 2009, S. 261 – 270. Zimmermann, Andreas/Stender-Vorwachs, Jutta, in: Spindler, Gerald/Schuster, Fabian (Hrsg.), Recht der elektronischen Medien, Kommentar, München 2008. Zscherpe, Kerstin, Anforderungen an die datenschutzrechtliche Einwilligung im Internet, MMR 2004, S. 723 – 727. Zypries, Brigitte, Null Privatheit?, FAZ.net v. 31. 1. 2008, http://www.faz.net/s/RubD5CB2 DA481C04D05AA471FA88471AEF0/Doc~EED4D8CFA1 A8C47BD9DE8AA696647 DB35~ATpl~Ecommon~Scontent.html (15. 3. 2011).

Sachwortverzeichnis 3-Schichten-Modell 115 Abfragemodul 42 f. Access-Provider 32 f., 46, 54, 91, 151 Adserver 54 Adwords 143 Allgemeine Handlungsfreiheit 64, 93 f. Allgemeines Persönlichkeitsrecht 64 ff. – Beeinträchtigung 75 ff. – Personaler Schutzbereich 73 ff, – Recht auf Selbstdarstellung 66 f. – Recht auf Selbstbewahrung 65 f. AOL 157, 213 Artikel-29-Datenschutzgruppe 47 Auskunft 177 Automatisierter Datenabruf 129 f. Behavioral Advertising s. Behavioral Targeting Behavioral Targeting 53 ff., 202 Berechtigte Vertraulichkeitserwartung 182, 185, 226 f. Bereichsschutzmodell 226 ff., 235 ff. Berufsfreiheit 92 f., 94, 107 f. Bestimmbarkeit 149, 152 ff. Betroffenenrechte 176 f. Bill of Rights 180 Browser 39 ChildrenÏs Online Privacy Protection Act 191 Civil Rights Cases 186 Client 32, 46 Communications Decency Act 199 Computerwurm 50 Content information 195 Content-Provider 33, 155 Cookie 47 f., 105, 156, 159 f. Cookie-ID 48, 54, 156 ff., 167 ff. Crawler 41 f., 111

Data Mining 57 ff., 68 Data Warehouse 57 Datenschutzbestimmungen 30, 95, 161 ff., 200 ff. Datenumgang 45 ff., 158 De-Anonymisierbarkeit 213 ff. Deep Packet Inspection 91 DENIC 39 Drei-Schichten-Modell 159 Drittwirkung 185 ff. Düsseldorfer Sperrverfügungen 91 Ebay 145 E-Commerce-Richtlinie 130 f., 133 f., 160 Eigengenutztes informationstechnisches System 219, 224 Eigentumsfreiheit 94 f. Einwilligung 77 ff., 106 f., 125 f., 161 Erheben 111, 158 Erster Verfassungszusatz 181 f., 187 f. Fair Credit Reporting Act 189 Fair Information Practice Principles 202 f. Federal Trade Commission 199 f. Fernmeldegeheimnis 106 Film 82 Geschäftsmäßiger Datenumgang 126 ff. Gouverneur Weld 215 Gramm-Leach-Bliley Act 190 Griswold v. Connecticut 180 f. Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme 103 ff., 223 ff. Grundrechtliche Schutzpflichten 59 ff. Grundrechtsverzicht s. Einwilligung Header 35 Homepage 77 Host 32, 46 Host-Provider 33, 142

258

Sachwortverzeichnis

Hyperlink s. Link Hypertext Transfer Protocol 37 f. ICANN 36 Indexer 42 Informationsfreiheit 95 ff. Informationsgesellschaft 23 Inhaltsebene 115 Interaktionsebene 115 Internet 32 Internet Protokoll 35 IP-Adresse 35 f., 150 ff., 165 ff. Katz v. United States 182, 184 Kommunikationsdaten 46 f. Kommunikationsinfrastruktur 96 f. Leipziger Volkszeitung 95 Lindqvist 129 Link 38, 44 Logdateien 47 Lüth-Rechtsprechung 60 Mediengrundrecht 88 Meinung 80 Meinungsforen 77 Meinungsfreiheit 79 ff., 182 – Institutioneller Schutz 81 f. – Meinungsäußerungsschutz 79 Meldepflicht 176 Menschenwürde 60, 64, 77, 100 ff. Metasuchmaschinen 45 Meta-Tag 42 Netflix 213 f. Network Advertising Initiative 204 f. Netzwerkprotokoll 34 New York Times 157 Niederlassung 120 ff. Noncontent information 195 Nutzen 158 f. Nutzer 34 Nutzerdaten 52, 53, 105, 221 Nutzerprofil 29, 54, 157, 170 ff. Objektive Wertordnung 60 Online-Durchsuchung 105, 219, 227 ff. Online-Veröffentlichung 75, 77

On-Page-Faktor 43 On-Site-Faktor 43 Opt-Out-Cookie 176, 177 Paperboy-Entscheidung 23 Pay-per-valid-click-Prinzip 50 Personenbezogene Daten 110, 149 Persönlichkeitsprofil 26, 56, 76, 101, 104 Phishing 50 Piecemeal Approach 180 Plattform for Privacy Preferences 204 Pressefreiheit 82 Presse-Grosso 90 Privacy Act 188 f. Privacy Seal Provider 203 f. Privatsphäreschutz 179 Protokolldaten 99 Proxy-Cache-Provider 33 f., 144 Pseudonym 168 ff. Räumlicher Anwendungsbereich 159 f. Reasonable Expectation of Privacy s. Berechtigte Vertraulichkeitserwartung Recht auf informationelle Selbstbestimmung 67 ff., 99 ff., 104, 106 – Drittwirkung 69 ff. – Kritik 230 ff. – Sachlicher Schutzbereich 67 ff., 99 f. Referrer 47 Regelungslücke 147 Request 46 Response 46 Richtergewohnheitsrecht 179 RIPE NCC 36 Roe v. Wade 181 Router 35 Routing 35 Rundfunkfreiheit 82 f. Schadsoftware 49 f. Schriftform 163 Server 32 Sign-In-Dienst 157 Sitzlandprinzip 119 Smart systems 220 Smith v. Maryland 184 Social Bookmarkdienste 40 f. Spamming s. Suchmaschinenspamming

Sachwortverzeichnis Speichern 111 Spickmich.de 127 State action doctrine 186 Statutory Law 188 Stored Communications Act 191 ff. Suchalgorithmusverbesserung 51 Suchmaschinen 40 ff. – Algorithmusbasierte 41 ff. – Bedeutung 23 ff. – Datenschutz 25 ff. – Grundrechtsschutz 79 ff. – Intermediärfunktion 23 f., 81 – Neutralität 80 f. Suchmaschinennutzer 26 f. Suchmaschinenspamming 50 Suchobjekt 25 f., 63 ff.

Unterlassungsansprüche 132 Untermaßverbot 62 Unterrichtungspflichten 175

Tatsachenbehauptung 80 Telekommunikationsdaten 221 Telemedien 135 ff. Third party doctrine 183 Thumbnails 141 f. Toolbar 49 Tort law 196 ff. Transmission Control Protocol 36 f. Transparenz 204 Transportebene 115

Warshak v. United States 185 Webkataloge 40 Webtracking 29 Werbebanner 50 Werbekostenabrechnung 50 f. Werbenetzwerk 53 ff., 103 Werbung 26, 52 ff., 107 Wesensgehaltsgarantie 77 Whois-Abfrage 39 Widerspruchsrecht 175 f. Word Wide Web 37

Übermitteln 112 ff., 151 Übermittlung ins Ausland 129 Uniform Resource Locator 38 f. United States v. Miller 183

Verändern 111 f. Verantwortliche Stelle 116 ff., 159 Verantwortlichkeitsfreistellung 130 ff. Verarbeiten 158 f. Verkehrsdaten 102 Vermittlerrolle 24 Vierter Verfassungszusatz 179, 182 ff. Vierzehnter Verfassungszusatz 181 Vollzugsdefizit 30 Vorratsdatenspeicherung 101 f., 151 Vorsorgeregelung 172 f. Vorverlagerungsschutz 224 ff.

Zertifizierung s. Privacy Seal Provider Zusammenführungsverbot 174 Zwei-Stufen-Test 182 ff.

259