Ab 25. Mai gilt die neue die EU-weite Datenschutzgrundverordnung DSGVO. Können wir uns nun entspannt zurücklehnen, weil unsere Daten sicher sind? Oder schränkt das Verbotsprinzip die Arbeit von Journalisten und die Meinungsfreiheit ein? „Es gibt den politischen Willen, die anstehenden Probleme zu lösen", beschwichtigt Medienrechts-Fachmann Jan Mönikes.
Datenschutz ist wichtig. Bislang war er auf Ebene der Europäischen Union mittels einer EU-Richtlinie geregelt. Die Gesetzgeber der einzelnen Mitgliedsländer hatten den Auftrag, die EU-Vorgaben in nationales Recht umzusetzen. „Die Länder haben ihre Aufgabe mit sehr unterschiedlichen Ergebnissen umgesetzt", erläutert Jan Mönikes, Datenschutzexperte und Fachanwalt für Medienrecht. „Das veranlasste die EU dazu, eine Datenschutzgrundverordnung (DSGVO) zur Harmonisierung des Datenschutzes in allen Mitgliedsstaaten zu verabschieden." Mit Vorlauf von zwei Jahren ist es nun so weit: Die DSGVO muss in den EU-Mitgliedsländern ab dem 25. Mai angewendet werden. Im Unterschied zur bisherigen Richtlinie gilt diese Verordnung in allen Mitgliedsstaaten unmittelbar. Damit hat sie eine stärkere Brisanz, denn sie beansprucht Vorrang vor nationalem Recht einschließlich des Verfassungsrechts, in Deutschland also vor dem Grundgesetz.
Worum geht es in der DSGVO? Die neue Verordnung widmet sich dem Schutz personenbezogener Daten und deren Verarbeitung und Nutzung. Das Datenschutzrecht soll nutzerfreundlicher sein und dem Bürger die Hoheit über seine Daten soweit wie möglich zurückgeben. Gleichzeitig soll es sicherstellen, dass sich auch Betreiber von sozialen Netzwerken und Cloud-Diensten außerhalb der EU an die Regeln halten müssen.
Gilt auch für Blogger oder Facebook-Nutzer
Personenbezogene Daten: Das sind nicht nur Namen oder Adressen und Fotos eines Menschen, sondern auch Positionsdaten mit Zeit und Ort, IP-Adressen oder Kfz-Kennzeichen. Das Gesetz bezieht somit den Schutz von Informationen mit ein, die indirekt auf eine Person schließen lassen. Der Kauf einer Zugfahrkarte ohne Namensaufdruck des Fahrgastes scheint auf den ersten Blick nicht unter diese Regelung zu fallen. Bezahlt die Person aber den Fahrschein elektronisch oder wird dabei von einer Kamera gefilmt, wäre sie identifizierbar. Die Fahrkarte fällt damit unter die Regelung personenbezogener Daten. Diese dürfen generell nicht verarbeitet werden, wenn es nicht ausnahmsweise gesetzlich erlaubt ist.
Das klingt erst mal gut, endlich mehr Schutz. Doch dieses „Verbotsprinzip" kann andererseits gravierende Auswirkungen auf alle haben, die mit Daten im öffentlichen Raum umgehen. Laut Mönikes „betrifft das nicht nur Unternehmer, Künstler, Medienschaffende, Agenturen, Pressestellen von Unternehmen oder Vereine, sondern jeden, der mit der Öffentlichkeit in Dialog tritt". Darunter fallen auch Betreiber privater Webseiten, Blogger und Nutzer sozialer Medien, die über diese Kanäle ihre Erlebnisse teilen. Denn auch bei Kontaktformularen, Newsletter-Daten, Facebook-Like-Buttons und bei vielen weiteren Gelegenheiten werden personenbezogene Daten verarbeitet.
„Die Bundesrepublik Deutschland war eines der Länder, das mit dem Bundesdatenschutzgesetz (BDSG) bereits ein hohes Datenschutzniveau umgesetzt hatte", sagt der Fachanwalt. Wer sich bislang an die Vorgaben gehalten hat, genießt somit zwar einen Vorteil, kann sich aber nicht darauf ausruhen.
Grundsätzlich gilt bereits, dass die Erhebung, Verarbeitung und Nutzung personenbezogener Daten verboten ist – es sei denn, der Nutzer hat eine Erlaubnis durch die Einwilligung der betroffenen Person oder er agiert auf der Basis einer gesetzlichen Grundlage, beispielsweise aus dem Bundesdatenschutzgesetz, dem Telemediengesetz oder künftig eben aus der DSGVO. Ferner sollen nach dem Prinzip der Datensparsamkeit und Zweckgebundenheit nur die Daten erhoben und verarbeitet werden, die auch tatsächlich für einen bestimmten Zweck erforderlich sind. Sie müssen aktuell sowie sachlich und inhaltlich richtig sein.
Neu positioniert sich die DSGVO zur Datensicherheit. Wer Daten verarbeitet, muss gewährleisten, dass sie angemessen und sicher aufbewahrt werden. Datenverarbeiter sind zudem verpflichtet, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen. Sie unterliegen künftig der Rechenschaftspflicht, sie müssen also nachweisen können, dass sie die Datenschutzprinzipien einhalten. Ferner sind trotz Einwilligungserklärungen auch weiterhin gesetzliche Vorgaben zu beachten. Zum Beispiel muss für einen Newsletter-Abonnenten die Beendigung des Abos genauso leicht sein wie die Anmeldung dafür.
Das Recht auf „Vergessenwerden" beziehungsweise das Verlangen von Löschung personenbezogener Daten hat der europäische Gesetzgeber angepasst. Der Bürger hat künftig nicht nur einen Anspruch darauf, dass seine Daten gelöscht oder gesperrt werden müssen, wenn für ihre Verwendung keine Berechtigung mehr vorliegt. Betroffene haben außerdem das Recht, Auskunft über ihre gespeicherten Daten zu verlangen. Beispielsweise könnte sich das Parteimitglied X an andere Parteien oder parteinahe Stiftungen wenden, und Auskunft über alle dort über sie gespeicherten Daten verlangen.
Bereits bei der Erhebung der Daten gibt es eine Informationspflicht. So muss jemand, der zum Beispiel einen Newsletter abonnieren möchte, über die Speicherung seiner Mail-Adresse informiert werden. In diesem Fall besteht der Kontakt zwischen Datennutzer und Bürger direkt. Der Betroffene muss innerhalb eines Monats aber auch über eine Datennutzung informiert werden, wenn die Daten nicht direkt bei ihm erhoben werden. Das gilt beispielsweise für die Speicherung von Daten für Anfragen zur Kreditwürdigkeit bei einer Auskunftei. Angegeben werden muss unter anderem, aus welcher Quelle die Daten stammen.
Künftig gilt: Datenschutz vor Meinungsfreiheit
Die DSGVO regelt Ausnahmen zum generellen Verbot der Verarbeitung personenbezogener Daten, zum Beispiel in Artikel 6 (Rechtmäßigkeit der Verarbeitung) und Artikel 9 (Verarbeitung besonderer Kategorien personenbezogener Daten). Gestattet ist die Verarbeitung, wenn die betroffene Person einwilligt. Die Verordnung positioniert sich jedoch nicht eindeutig zum Thema Meinungs- und Informationsfreiheit, unter die auch die Pressefreiheit fällt.
Für journalistisch Arbeitende kann sich das zum Problem entwickeln: Meinungsfreiheit unterlag bislang keiner Rechtfertigungspflicht. Sie lebt davon, dass der andere eine Meinung nicht teilen und sie bis zu einem bestimmten Grad – zum Beispiel der Grenze von Schmähung oder Beleidigung – hinnehmen musste. Erst bei Überschreiten der Grenze konnte der Betroffene sich auf seine Persönlichkeitsrechte berufen. Das gilt auch weiterhin.
Künftig wird aber der Datenschutz vor der Meinungsfreiheit akzeptiert. Nach der DSGVO findet nämlich eine Abwägung zwischen Datenschutz und Meinungsfreiheit statt. Die Durchsetzung der Meinungsfreiheit muss also in Zukunft begründet werden. Das berechtigte Interesse an Information wird sogar noch weiter eingeschränkt, wenn es sich zum Beispiel um Informationen zur politischen Überzeugung, sexuellen Orientierung oder Religionszugehörigkeit handelt.
Diesen Konflikt zwischen dem „Verbot mit Erlaubnisvorbehalt" und der Meinungs- und Informationsfreiheit hat der Gesetzgeber auf EU-Ebene erkannt, aber nicht selbst geregelt. Er überlässt die Lösung des Problems den nationalen Gesetzgebern. Ausnahmeregelungen müssen nun die Mitgliedsstaaten jeweils selbst schaffen, das geht über den Artikel 85 DSGVO für journalistische, künstlerische und wissenschaftliche Bereiche.
Ein Vorreiter in Sachen Umsetzung der DSGVO ist Schweden. Dort soll bei einem Streit im Zweifel die Meinungsfreiheit über dem Datenschutz stehen. In Deutschland gibt es bislang keine einheitliche Regelung auf Bundesebene. Presse- und Rundfunkstaatsverträge sind nämlich Ländersache, das heißt, die jeweiligen Landesregierungen befassen sich mit Ausnahmen zur DSGVO. Entsprechend unterschiedlich fallen die Ergebnisse im Hinblick auf die Meinungs- und Informationsfreiheit und das Medien- oder Presseprivileg aus.
Frei arbeitende Journalisten oder Fotografen, die nicht Angestellte einer Redaktion sind und auch nicht im konkreten Auftrag einer Redaktion handeln, haben es künftig schwerer bei ihrer Arbeit. Sie dürfen zwar recherchieren, also Daten erheben. Sofern sie nicht unter das Medienprivileg fallen, müssen sie laut DSGVO die Person, über die sie recherchieren, von sich aus informieren: über die Art der von ihnen gespeicherten Daten, deren Verwendungszweck und die Rechte der betroffenen Person. Besonders für die investigative Recherche wird das zur Herausforderung – vor allem in Bereichen, deren Akteure kein Interesse daran haben, dass ihre Aktivitäten ans Licht kommen: gewaltbereite Gruppierungen, Sekten, korrupte Kreise. Sie könnten diese Rechte sogar zur Ausforschung kritischer Initiativen missbrauchen.
Auch für freie Bildjournalisten birgt die DSGVO einige Hindernisse. Zum Zeitpunkt, wenn der Fotograf auf den Auslöser drückt, weiß er oft noch nicht, ob eine Redaktion sein Foto aufkauft, eine Agentur oder der Veranstalter. Ein konkreter Verwendungszweck für das Foto steht zum Zeitpunkt der Erstellung demnach noch nicht fest. Bislang durfte man Gebäude auf der Straße mit Personen fotografieren, solang diese quasi nur nebenbei auf dem Bild auftauchten, nach dem Kunst- und Urhebergesetz (KUG) nur als „Beiwerk" galten. Künftig gilt: Der Fotograf verarbeitet nach der DSGVO personenbezogene Daten und müsste die betroffenen Personen vor Aufnahme um Einwilligung bitten und über ihre Rechte informieren. Zur Lösung dieses Problems könnte der Gesetzgeber auf Bundesebene eine entsprechende Ausnahme schaffen, damit das KUG weiter Vorrang hätte.
Ob die Verordnung die „Datenkraken" treffen wird, ist fraglich
Für Blogger wird es künftig schwieriger: Wenn sie ihren Blog nicht zu journalistischen Zwecken betreiben und nicht unter das Medienprivileg fallen, dürfen sie ebenfalls im Grundsatz keine personenbezogenen Daten verarbeiten. Und das, selbst wenn sie ihre Blogs datenschutzkkonform machen und alles dafür tun, dass die Nutzer entscheiden können, ob und welche Daten sie im Internet freigeben wollen. Bislang konnte jeder mit seinen Beiträgen an die Öffentlichkeit gehen, auch wenn er kein journalistisches Interesse damit verfolgte. Maßstab der Rechtmäßigkeit war das Äußerungsrecht, nicht der Umstand der Verarbeitung personenbezogener Daten.
Fanclubs, Nutzer von sozialen Medien und Foren sind ebenfalls betroffen, wenn sie sich auf ihren Plattformen äußern, denn „Unwissenheit schützt vor Strafe nicht", sagt Medienanwalt Mönikes. Schießt sich ein Fanclub eines Fußballvereins auf einen Spieler ein und lässt sich in sozialen Medien über dessen schlechte Performance aus, hatte dieser bislang kaum eine Handhabe, um sich zu wehren – solange seine Persönlichkeitsrechte nicht betroffen waren. Ab Ende Mai steht ihm das ganze Instrumentarium der Datenschutzgrundverordnung zur Verfügung, um gegen den Fanclub rechtlich vorzugehen, denn dieser handelt ja nicht aus journalistischem Interesse.
Einen Weg aus der Einschränkung der Meinungs- und Informationsfreiheit durch die Vorrangigkeit der DSGVO sieht Mönikes in einer auf die Bundesrepublik modifizierten Version des schwedischen Modells und weiteren gesetzlichen Ausnahmen, die etwa das KUG betreffen. „Das Problembewusstsein ist da auf Länderebene und es gibt auch den politischen Willen, die anstehenden Probleme zu lösen", sagt der Anwalt. Allerdings könnten diese allein mit Regelungen für Presse und Rundfunk nicht alle Probleme aus dem „Verbotsprinzip" im Datenschutz in den Griff bekommen.
Fraglich wäre zudem, ob die Datenschutzgrundverordnung auch wirklich jene trifft, für die sie in Zeiten der Globalisierung vor allem geschaffen wurde: die großen „Datenkraken". Sie passen ihre allgemeinen Geschäftsbedingungen an und binden die Nutzer weiter an sich. Soziale Medien genießen in der Bevölkerung große Beliebtheit und haben sowohl die Macht als auch die Mittel, um sich trotz der neuen Vorgaben weiter am Markt zu behaupten. Gerade die Anforderung, Daten nur bei Einwilligung der Betroffenen verarbeiten zu dürfen, könnte sich für Facebook & Co sogar als Vorteil erweisen. Denn so verrückt es auch klingt: Großen Plattformen erteilen die Nutzer eher ihre Einwilligungen als „kleinen" Bloggern, Fotografen oder gar freien Journalisten.
