 |
Diese Seite ist Teil unser alten Internetpräsenz, die nicht
weiter gepflegt wird. Besuchen Sie auch unsere neue Präsenz unter
http://ig.cs.tu-berlin.de.
This page is part of our former website
that is not being maintained anymore. You may want to visit our
new website at http://ig.cs.tu-berlin.de.
Information Rules 1
Winter 2000/2001
Version 1.0 -- 10.1.2001
Letztes Mal habe ich an der Geschichte des Datenschutzes gezeigt, wie in den Jahrzehnten der Diskussion um die Einführung der Informationstechnik zwei Sachen passiert sind:
| Normenhierarchie in der Bundesrepublik Deutschland | ||||
|---|---|---|---|---|
|
In dieser Vorlesung werde ich diese "Normenleiter" wieder etwas heruntersteigen:
Mit dem Volkszählungsurteil ist sozusagen die höchste Stufe des Rechtssystem erreicht worden: Dem Individuum ist ein Grundrecht gegen den Staat gegeben worden, so daß der Staat nun nicht mehr — selbst durch sein Gesetzgebungsverfahren — beliebig bestimmen kann, wie und welche Datenverarbeitung er durchführen darf.
Die gerichtliche Logik kann man aus zwei Zitaten gut erkennen:
"Wer nicht mit hinreichender Sicherheit überschauen kann, welche ihn betreffenden Informationen in bestimmten Bereichen seiner sozialen Umwelt bekannt sind, un wer das Wissen möglicher Kommunikationspartner nicht einigermaßen abzuschätzen vermag, kann in seiner Freiheit wesentlich gehemmt werden, aus eigener Selbstbestimmung zu planen oder zu entscheiden. Mit dem Recht auf informationelle Selbstbestimmung wären eine Gesellschaftsordnung und eine diese ermöglichende Rechtsordnung nicht vereinbar, in der Bürger nicht mehr wissen können, wer was wann und bei welcher Gelegenheit über sie weiß. Wer unsicher ist, ob abweichende Verhaltensweisen jederzeit notiert und als Information dauerhaft gespeichert, verwendet oder weitergegeben werden, wird versuchen, nicht durch solche Verhaltensweisen aufzufallen. Wer damit rechnet, daß etwa die Teilnahme an einer Versammlung oder einer Bürgerinitiative behördlich registriert wird und daß ihm dadurch Risiken entstehen können, wird möglicherweise auf eine Ausübung seiner entsprechenden Grundrechte (Art. 8 und 9 GG) verzichten" (BVerfGE 65; 1, 43). |
Bürger muß kommunikations- und partizipationsfähig sein, ohne daß der Staat mit seinem Wissen ihn dazu bringen kann, sich konform zu verhalten (d.h. hier keine Freiheit zu haben).
| "... weil Selbstbestimmung eine elementare Funktionsbedingung eines auf Handlungs- und Mitwirkungsfähigkeit seiner Bürger begründeten freiheitlichen demokratischen Gemeinwesens ist" (BVerfGE 65; 1, 41) |
|
Das Maß der Dinge ist jetzt das informationelle Selbstbestimmungsrecht des Individuums: Sobald dies eingeschränkt wird, muß es nach den im Urteil angegebenen Prinzipien erfolgen.
Die Prinzipien des — knapp 70 Seiten langen — Urteils sind in seinen Leitsätzen aufgezählt, die den meisten Urteilen des BVerfG vorangestellt sind und die (aus Sicht des Gerichts) wichtigsten Punkte des Urteils zusammenfaßt.
2. Einschränkungen dieses Rechts auf "informationelle Selbstbestimmung" sind nur im überwiegenden Allgemeininteresse zulässig. Sie bedürfen einer verfassungsgemäßen gesetzlichen Grundlage, die dem rechtsstaatlichen Gebot der Normenklarheit entsprechen muß. Bei seinen Regelungen hat der Gesetzgeber ferner den Grundsatz der Verhältnismäßigkeit zu beachten. Auch hat er organisatorische und verfahrensrechtliche Vorkehrungen zu treffen, welche der Gefahr einer Verletzung des Persönlichkeitsrechts entgegenwirken. [...] Bei der Datenerhebung für statistische Zwecke kann eine enge und konkrete Zweckbindung der Daten nicht verlangt werden. Der Informationserhebung und Informationsverarbeitung müssen aber innerhalb des Informationssystems zum Ausgleich entsprechende Schranken gegenüberstehen. |
Demnach darf der Staat das Informationelle Selbstbestimmungsrecht nur einschränken, wenn ein überwiegendes Allgemeininteresse dies rechtfertigt. Und selbstverständlich muß dies auch per Gesetz geregelt werden.
Darüber hinaus aber formuliert das Gericht inhaltliche Vorgaben an solch ein Gesetz:
Normenklarheit: Das Gesetz muß klar verständlich sein und darf nicht zu unbestimmte Rechtsbegriffe (d.h. Begriffe, die nicht näher definiert sind und somit der Interpretation offen) oder Generalklauseln (die keine konkreten sachlichen Grenzen setzen). Es soll für den Bürger klar erkennbar sein, warum konkret das ISR eingeschränkt wird.
Verhältnismäßigkeit: Die Mittel müssen in einem rechten Verhältnis zu den Zwecken stehen. Konkret wird dies ausgelegt, daß nur unbedingt notwendige Daten verarbeitet werden (Datensparsamkeit), die auch für den konkreten Fall erforderlich sein müssen. Weiterhin dürfen diese Daten grundsätzlich nur für den Zweck benutzt werden (Zweckbindung).
Organisatorische und verfahrensrechtliche Vorkehrungen: Hier ist sozusagen das Arbeitsfeld des Informatikers, der die Vorkehrungen trifft, so daß z.B. die Daten nicht manipuliert werden können etc (Datensicherheit). Die Datenverarbeitung muß organisatorisch auch so ablaufen, daß externe Stellen — z.B. ein Datenschutzbeauftragter — kontrollieren kann, ob alles 'mit rechten Dingen zugeht' (Transparenzgebot).
Somit gibt das VZ-Urteil auch inhaltliche Kriterien vor, wie ein System gestaltet werden muß, so z.B.:
Die Ausführung und Explizierung dieses Bereiches wird in der Literatur auch Systemdatenschutz genannt.
 |
| Datensicherung als informatischer Kern des Datenschutzes |
 |
| Die Elemente der Ordnungsgemäßheit |
[... wird nachgeliefert ...]
Normenklarheit, Verhältnismäßigkeit, Erforderlichkeit, Zweckbindung und organisatorisch/verfahrenstechnische Vorkehrungen — dies die Vorgaben des BVerfG.
Wie geht nun der Jurist in der "Praxis" vor? Hierzu gibt es die Datenschutzgesetze, die in Folge des VZ-Urteils novelliert wurden.
Das Bundesdatenschutzgesetz werde ich im folgenden näher vorstellen, unter Zuhilfenahme eines konkreten Übungsfalles, analog zu der Übungsaufgabe, die Ihr dann bearbeiten sollt. Ziel dieser Übung ist es, Euch einen kleinen Eindruck davon zu geben, in welchen Strukturen Juristen sich Informationstechnik denken.
Fall wie BDSG-Text solltet Ihr jetzt bereithaben.
Aufbau des BDSG
|
Wichtigkeit der Begriffsdefinitionen: Der Dateibegriff Bundesdatenschutzgesetz 1977 § 2 Begriffsbestimmungen […] (3) Im Sinne dieses Gesetzes ist […] 3. eine Datei eine gleichartig aufgebaute Sammlung von Daten, die nach bestimmten Merkmalen erfaßt und geordnet, nach anderen bestimmten Merkmalen umgeordnet und ausgewertet werden kann, ungeachtet der dabei angewendeten Verfahren; nicht hierzu gehören Akten und Aktensammlunge, es sei denn, daß sie durch automatisierte Verfahren umgeordnet und ausgewertet werdne können.
Bundesdatenschutzgesetz 1990 § 3 Weitere Begriffsbestimmungen (2) Eine Datei ist 1. eine Sammlung personenbezogener Daten, die durch automatisierte Verfahren nach bestimmten Merkmalen ausgewertet werden kann (automatisierte Datei), oder 2. jede sonstige Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen geordnet, umgeordnet und ausgewertet werden kann (nicht-automatisierte Datei)
Datenschutzrichtlinie der Europäischen Union 1995 Artikel 2 - Begriffsbestimmungen Im Sinne dieser Richtlinie bezeichnet der Ausdruck c) "Datei mit personenbezogenen Daten" ("Datei") jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, gleichgültig ob diese Sammlung zentral, dezentralisiert oder nach funktionalen oder geographischen Gesichtspunkten aufgeteilt geführt wird;
Novellierung des Bundesdatenschutzgesetz (Entwurf Juni 1999) § 3 n.F. Weitere Begriffsbestimmungen […] (2) Automatisiert im Sinne dieses Gesetzes ist die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten, wenn sie unter Einsatz von Datenverarbeitungsanlagen durchgeführt wird (automatisierte Verarbeitung). Datei ist jede nicht-automatisierte Sammlung personenbezogener Daten, die nach äußerlich vergleichbaren Merkmalen aufgebaut und nach bestimmten Merkmalen zugänglich ist und ausgewertet werden kann (Datei).
|
[...]