14-08-2018 04:30
Pet 1-18-06-298-039992 Datenschutz
Der Deutsche Bundestag hat die Petition am 07.06.2018 abschließend beraten und
beschlossen:
Das Petitionsverfahren abzuschließen, weil dem Anliegen teilweise entsprochen
worden ist.
Begründung
Mit der Petition wird zum Schutz persönlicher Daten und privater Wohnanschriften eine
gesetzliche Regelung gefordert, wonach diejenigen DE-Domains einfach und
unbürokratisch vom Netz genommen werden können, deren Betreiber sich nicht um
die Richtigkeit ihrer Daten bemühen und „ins Blaue hinein Informationen präsentieren“.
Zu der auf der Internetseite des Deutschen Bundestages veröffentlichten Eingabe
liegen dem Petitionsausschuss 66 Mitzeichnungen und 14 Diskussionsbeiträge vor.
Es wird um Verständnis gebeten, dass nicht auf alle der vorgetragenen Aspekte im
Einzelnen eingegangen werden kann.
Zur Begründung des Anliegens wird im Wesentlichen ausgeführt, dass z. B. in Fällen
von Krankenhausärzten, die inzwischen im Ruhestand seien, die Privatadresse im
Internet so dargestellt sei, als handele es sich um eine Praxis. Um diese Daten zu
schützen, sei eine klare Regelung nötig. Wer Angaben im Netz mache, solle für deren
Richtigkeit einzustehen haben. Deshalb sollte es eine Meldestelle für solche
Beschwerden geben, soweit die Inhalte auf einer in Deutschland registrierten Domain
lägen. Zudem solle gesetzlich geregelt sein, dass der Betreiber für die Richtigkeit der
Angaben hafte und einen Nachweis darüber zu liefern habe. Schließlich solle eine
Höchstzahl von Verstößen festgelegt werden. Für jeden darüber liegenden Verstoß
käme die Domain für einen bestimmten Zeitraum vom Netz. Die Betroffenen sollten
nicht die Inhalte im Internet durchsuchen müssen, um dann bei den einzelnen
Betreibern um Löschung ihrer Daten bitten zu können.
Der Petitionsausschuss hat der Bundesregierung Gelegenheit gegeben, ihre Ansicht
zu der Eingabe darzulegen. Das Ergebnis der parlamentarischen Prüfung lässt sich
unter Einbeziehung der seitens der Bundesregierung angeführten Aspekte wie folgt
zusammenfassen:
Der Petitionsausschuss weist zunächst darauf hin, dass die Veröffentlichung der
Wohnanschrift mit dem Hinweis auf eine praktizierende Arztpraxis auf Adressportalen
eine Verarbeitung von personenbezogenen Daten darstellt, die nach derzeitiger
Rechtslage rechtswidrig ist.
Die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten ist nach
dem Bundesdatenschutzgesetz (BDSG) nur bei Vorliegen einer Einwilligung der
betroffenen Person oder Vorliegen einer Rechtsgrundlage zulässig (§ 4 Absatz 1
BDSG). Auf Grundlage des mit der Petition geschilderten Sachverhaltes sind weder
eine Einwilligung noch eine Rechtsgrundlage für die Veröffentlichung der unrichtigen
personenbezogenen Daten, die eine Verarbeitung im Sinne des
Bundesdatenschutzgesetzes darstellt, ersichtlich. Für die Zulässigkeit der
Verarbeitung von personenbezogenen Daten trägt die verantwortliche Stelle – mithin
der Verwender – auch die Beweislast, da das Bundesdatenschutzgesetz die
Verarbeitung von personenbezogenen Daten grundsätzlich verbietet. Das Vorliegen
einer rechtfertigenden Einwilligung oder das Vorliegen einer Rechtsgrundlage für die
Verarbeitung von personenbezogenen Daten muss von der verantwortlichen Stelle
dargelegt werden.
Im Bundesdatenschutzgesetz ist zudem vorgeschrieben, dass personenbezogene
Daten zu berichtigen sind, wenn sie unrichtig sind (§ 35 Absatz 1 Satz 1 BDSG).
Außerdem sind personenbezogene Daten zu löschen, wenn ihre Speicherung
unzulässig ist (§ 35 Absatz 2 Satz 2 Nummer 1 BDSG). Im Gesetz ist für die von der
Datenverarbeitung betroffenen Personen ausdrücklich ein Löschungs- und
Berichtigungsanspruch vorgesehen (§ 6 Absatz 1 BDSG).
Ferner macht der Ausschuss darauf aufmerksam, dass Beschwerdestellen für die
unrechtmäßige Verarbeitung von personenbezogenen Daten bereits vorhanden sind.
Für die Verfolgung von Datenschutzverstößen sind aufgrund der europarechtlichen
Vorgaben die unabhängigen Datenschutzaufsichtsbehörden alleine zuständig
(Artikel 8 Absatz 3 Grundrechtecharta). Die Zuständigkeit der einzelnen
Landesdatenschutzaufsichtsbehörde für die Verfolgung von Verstößen bei nicht-
öffentlichen Stellen richtet sich danach, in welchem Bundesland das Unternehmen die
Datenverarbeitung betreibt.
Soweit personenbezogene Daten unbefugt verarbeitet werden, können die
Datenschutzaufsichtsbehörden geeignete Anordnungen treffen und
Datenverarbeitungen auch verbieten (§ 38 Absatz 5 BDSG). Solche Anordnungen
sind mit verwaltungsrechtlichen Zwangsmitteln durchsetzbar. In dem geschilderten
Sachverhalt wäre der Erlass einer solchen Anordnung gegen die Betreiber des
jeweiligen Adressportals durch die zuständige Landesdatenschutzaufsichtsbehörde
möglich. Daneben kommt wegen der unrechtmäßigen Datenverarbeitung auch die
Verhängung eines Bußgelds in Höhe von bis zu 300.000 Euro durch die
Datenschutzaufsichtsbehörde (§ 43 BDSG) oder die Einleitung eines Strafverfahrens
bei der Staatsanwaltschaft in Betracht (§ 44 BDSG), wobei zu Letzterem die betroffene
Person oder die zuständige Landesdatenschutzaufsichtsbehörde Strafantrag stellen
müssten.
Die Möglichkeit, eine Sperrung von DE-Domains bei der Veröffentlichung von
unrichtigen personenbezogenen Daten vorzunehmen, steht den
Datenschutzaufsichtsbehörden bisher nicht zur Verfügung. Eine solche Maßnahme ist
angesichts der bereits schon vorstehend geschilderten verwaltungsrechtlichen
Möglichkeiten und hohen Sanktionsandrohungen aber auch nicht notwendig. Nach
dem Dafürhalten des Ausschusses stehen den Aufsichtsbehörden bereits effektive
Beseitigungsmöglichkeiten bei einer unrechtmäßigen Datenverarbeitung zur
Verfügung, die den Schutz personenbezogener Daten ausreichend gewährleisten.
Mit Wirksamwerden der Datenschutzgrundverordnung ab dem 25. Mai 2018 werden
die Sanktionsandrohungen außerdem noch einmal erheblich verschärft. Die
Datenschutzgrundverordnung sieht für unrechtmäßige Datenverarbeitung von
Unternehmen einen Bußgeldrahmen von bis zu 20 Millionen Euro oder im Fall eines
Unternehmens von bis zu vier Prozent des gesamten weltweiterzielten
Jahresumsatzes des vorangegangenen Geschäftsjahres vor (Artikel 83
Datenschutzgrundverordnung). Die aufsichtsrechtlichen Befugnisse der
Datenschutzaufsichtsbehörde legt die Datenschutzgrundverordnung hingegen
abschließend fest. Eine nationale Öffnungsklausel, die für den nationalen Gesetzgeber
weitere Möglichkeiten der Regelungen der Aufsichtsbefugnisse eröffnet, ist nicht
vorgesehen. Spielräume für weitere nationale Reglungen bestehen daher nach
Auffassung des Ausschusses nicht.
Vor diesem Hintergrund sieht der Petitionsausschuss im Ergebnis keinen
parlamentarischen Handlungsbedarf. Der Ausschuss empfiehlt daher, das
Petitionsverfahren abzuschließen, weil dem Anliegen teilweise entsprochen worden
ist.
Begründung (PDF)