www.digma.info

14. Jahrgang, Heft 4, Dezember 2014

Schwerpunkt:

Tracking fokus: Der «betreute» Mensch fokus: Tracking im Internet und Selbstdatenschutz report: Recht auf Vergessen bei Suchmaschinen

Herausgegeben von Bruno Baeriswyl Beat Rudin Bernhard M. Hämmerli Rainer J. Schweizer Günter Karjoth

inhalt fokus Schwerpunkt:

Tracking auftakt Niemand entkommt dem totalen Blick von Aurel Schmidt

Seite 133

Tracking – und was man dagegen tun kann von Beat Rudin

Seite 136

Der betreute Mensch von Günter Karjoth

Seite 138

Tracking im Internet und Selbstdatenschutz von Norbert Pohlmann

Seite 144

Notwehr oder notwendiger Ungehorsam? von Dominik Herrmann

Seite 150

Tracking – rechtliche Standortbestimmung von Roland Mathys/ Christian Meier

Seite 156

Tracking im Internet – durch Geheim­ dienste, aber auch durch die IT-Markt­ führer aus den USA, die es mit dem ­Datenschutz und unserer Privatsphäre nicht so genau nehmen. Die Politik scheint mit dieser globalen Herausforderung überfordert zu sein. Mit welchen ITSicherheitsstrategien und IT-Sicherheitsmassnahmen können die Nutzer selber das Risiko eines Schadens reduzieren?

Tracking im ­Internet und Selbstdatenschutz

Durch Techniken zum Selbstdatenschutz können sich Nutzer vor der Überwachung durch übermächtige Staaten und Konzerne schützen. Darüber hinaus eignen sie sich jedoch auch als Werkzeug zur Ausübung zivilen Ungehorsams, also als Mittel zum Protest gegen die allgegenwärtige Überwachung im Internet.

Notwehr oder ­notwendiger ­Ungehorsam?

Mittels Tracking werden Personendaten in grosser Zahl gesammelt und bearbeitet, wobei Bearbeitungszwecke und Daten­ empfänger oft unklar bleiben. Was ist beim Einsatz von Tracking zu beachten und wie kann sich der Einzelne gegen ­unerwünschtes Tracking wehren?

Tracking – rechtliche Standortbestimmung

impressum digma: Zeitschrift für Datenrecht und Informationssicherheit, ISSN: 1424-9944, Website: www.digma.info Herausgeber: Dr. iur. Bruno Baeriswyl, Prof. Dr. iur. Beat Rudin, Prof. Dr. Bernhard M. Hämmerli, Prof. (em.) Dr. iur. Rainer J. Schweizer, Dr. Günter Karjoth Redaktion: Dr. iur. Bruno Baeriswyl und Dr. iur. Beat Rudin Rubrikenredaktorin: Dr. iur. Sandra Husi-Stämpfli Zustelladresse: Redaktion digma, c/o Stiftung für Datenschutz und Informationssicherheit, Postfach 205, CH-4010 Basel Tel. +41 (0)61 201 16 42, [email protected] Erscheinungsplan: jeweils im März, Juni, September und Dezember Abonnementspreise: Jahresabo: CHF 158.00, Einzelheft: CHF 42.00 Anzeigenmarketing: Publicitas Publimag AG, Mürtschenstrasse 39, Postfach, CH-8010 Zürich Tel. +41 (0)44 250 31 31, Fax +41 (0)44 250 31 32, www.publimag.ch, [email protected] Herstellung: Schulthess Juristische Medien AG, Arbenzstrasse 20, Postfach, CH-8034 Zürich Verlag und Abonnementsverwaltung: Schulthess Juristische Medien AG, Zwingliplatz 2, Postfach, CH-8022 Zürich Tel. +41 (0)44 200 29 19, Fax +41 (0)44 200 29 08, www.schulthess.com, [email protected]

134

digma 2014.4

r e p oo rr tt Recht auf ­Vergessen bei Suchmaschinen

Auftragsdaten­ bearbeitung – zum Vierten

«Micropayment»: IT-Security & ITRisk

Big Mother im Kinderzimmer

Potentes Tracking

digma 2014.4

Im Urteil des Europäischen Gerichtshofes vom 13. Mai 2014 zu Google Search wird die Anwendbarkeit des EU-Datenschutzrechts auf Google Spain festgehalten und ein Recht auf Vergessen anerkannt. Allerdings wäre eine sorgfältigere Abwägung zwischen Meinungsfreiheit und Datenschutz äusserst wünschenswert gewesen.

Auftragsdatenbearbeitung – zum Vierten Der vierte und abschliessende Teil ­widmet sich der Ausgestaltung und dem Inhalt der datenschutzrechtlichen Regelungen, die unmittelbar von der konkreten Risikolage des Einzelfalls abhängen. Die Autorin stellt die risikotreibenden Faktoren zusammen, zeigt Lösungsansätze auf und stellt eine Checkliste zur Verfügung.

Bei Micropayment geht es um die ­Möglichkeit, im Internet kleinste Beträge bezahlen zu können. Solche Systeme ­müssen einfach und angemessen sicher sein. Der Beitrag stellt die Weiterentwicklung eines solchen Bezahldienstes in einer Kooperation zwischen Fachhochschule und einem Industriepartner dar.

Nicht nur Geheimdienste und Werbe­ wirtschaft «bemuttern» uns. Auch mit der Angst der Mütter und Väter lassen sich gute Geschäfte machen – die Datensammelwut beginnt im Kinderzimmer …

Rechtsprechung Recht auf Vergessen bei Suchmaschinen von Kurt Pärli

Seite 162

agenda

Seite 167

Recht Auftragsdatenbearbeitung – zum Vierten von Barbara Widmer

Seite 168

Forschung «Micropayment»: IT-Security & IT-Risk von Ralf Mock/ Tomas Hruz

Seite 180

forum privatim Aus den Datenschutzbehörden von Sandra Husi-Stämpfli

Seite 184

Der Blick nach Europa und darüber hinaus Was tun, wenn Rechtsunsicherheit droht? von Barbara Widmer

Seite 186

schlusstakt Big Mother im Kinderzimmer von Beat Rudin

Seite 188

cartoon von Reto Fontana

Wozu Tracking im Alltag führen kann, zeigt unser Cartoonist Reto Fontana anschaulich.

135

fokus

Tracking – rechtliche Standortbestimmung Wie Standort- und Verhaltensinformationen analysiert werden und welche Regeln dabei zu beachten sind

Roland Mathys, lic. iur. et lic. oec. publ., LL.M. (LSE), Rechts­ anwalt, Schellen­ berg Wittmer AG, Zürich roland.mathys@ swlegal.ch

Christian Meier, lic. iur., LL.M., Rechtsanwalt, Schellenberg Witt­ mer AG, Zürich christian.meier@ swlegal.ch

156

Tracking ist das Wort der Stunde für die Werbeindustrie – und für Datenschützer. Doch was genau umfasst der Begriff und welchen Regeln untersteht Tracking in der Schweiz?

T

racking steht für verschiedene Technologien, die zur Aufzeichnung und Analyse des Standorts, der Bewegungen und des Verhaltens von Personen dienen. So vielfältig wie die zum Einsatz kommenden Technologien sind auch die Einsatzbereiche von Tracking.

Tracking Heute werden im Wesentlichen die folgenden Tracking-Methoden zu den folgenden Zwecken verwendet: n Web­Tracking: Bezieht sich auf das Erfassen und Auswerten des Surf-Verhaltens von Website-Besuchern, wobei die gewonnenen Daten hauptsächlich für gezielte Werbung verwendet werden. Zu diesem Zweck werden die Log-Dateien auf dem Server der aufgerufenen Webseite ausgewertet1 oder kleine Textdateien, sogenannte Cookies, auf dem Computer des Besuchers gespeichert, die bei jedem Aufruf einer Seite an den Server übermittelt werden. Neben Cookies werden neuerdings auch Technologien wie «browser fingerprinting» oder «canvas fingerprinting» eingesetzt, die WebsiteBesucher anhand der Konfiguration ihres Web-Browsers oder anderer Soft- und Hardwarekomponenten ihres Computersystems identifizieren2. Häufig wird das Tracking von spezialisierten Drittanbietern übernommen, die Benutzer über Webseiten verschiedener Anbieter hinweg verfolgen3. n Mobile­Tracking: Bestimmen der Position und Bewegungen einer Person mithilfe eines Endgeräts, typischerweise eines Mobiltelefons oder Tablet Computers, mittels Satelliten (GPS), Mobilfunkortung oder anderer Techno-

logien4. Die Daten werden für eine Vielzahl von Diensten verwendet, insbesondere für Navigationsdienste, Touristenführer, Friend-Finder, Partner- oder Kinderortung und für Notfalldienste5. n Videobasiertes Tracking: Mit Kameras oder anderen optischen Sensoren wird die Position von Personen oder Objekten erfasst. Gewisse Systeme können auch personenbezogene Merkmale wie Gesichtsdaten erfassen und machen es möglich, die erfassten Personen in Kategorien wie Alter, Geschlecht oder Ethnie einzuteilen. Die so gewonnenen Daten können für verschiedene Anwendungen genutzt werden, etwa zur effizienten Steuerung von Verkehrsund Personenströmen, für die Analyse von Kundenverhalten sowie zu Marketing- und anderen Zwecken6. n RFID­Tracking: Basiert auf einem Transponder, dem RFID-Tag, der an einem Produkt angebracht wird und Daten enthält. Die Daten können von einem Lesegerät über Funk (auf kurze und mittlere Distanzen) ausgelesen und verändert werden. RFID-Systeme werden vor allem im Supply Chain Management, in der Logistik, im Rahmen von Identifikations- und Zugangskontrollen (Ticketing) sowie zur Bestandskontrolle in Warenhäusern und zur Artikelüberwachung eingesetzt7. Rechtlicher Rahmen Datenschutzgesetz8 Das Datenschutzgesetz (DSG) regelt die Bearbeitung von Personendaten durch private Personen und Bundesorgane9. Unter Personendaten werden sämtliche Angaben verstanden, die sich auf eine bestimmte oder bestimmbare (natürliche oder juristische) Person beziehen10. Im Kontext von Tracking können insbesondere die folgenden Informationen als Personendaten qualifizieren: n IP­Adressen/Cookies: Gemäss dem «Logistep»-Urteil des Bundesgerichts muss von Fall zu Fall bestimmt werden, ob bei IP-Adressen ein Personenbezug besteht; dies sei aus Sicht des jeweiligen Inhabers der Adresse zu ent-

digma 2014.4

scheiden11. IP-Adressen sind jedenfalls dann Personendaten, wenn sie mit anderen personenbezogenen Informationen wie Name, Adresse oder Kundennummer verknüpft werden können. Gleich verhält es sich mit Cookies, die als Personendaten qualifizieren, wenn sie mit Angaben verbunden werden können, die auf eine bestimmte Person schliessen lassen12. n Positionsdaten: Falls der Anbieter des auf Positionsdaten basierenden Dienstes die Positionsdaten mit personenbezogenen Daten verknüpfen kann, wie etwa den Angaben eines Benutzerkontos, die einen Personenbezug zulassen, handelt es sich bei Positionsdaten um Personendaten. Soweit Positionsdaten über das Mobilfunknetz ermittelt werden, stellen sie jedenfalls für den Mobilfunkanbieter Personendaten dar, da diesem die Identität des betreffenden Mobilfunk-Abonnenten bekannt ist13. n Videoaufzeichnungen: Sofern Videoaufzeichnungen sich auf eine bestimmte Person beziehen oder sofern diese Person aufgrund der Aufzeichnungen oder anderweitig bestimmbar ist14, handelt es sich bei den Aufzeichnungen um Personendaten. n RFID-Daten: RFID-Daten können als Perso­ nendaten qualifizieren, wenn die mit RFID-Tags gekennzeichneten Produkte einer Person zugeordnet werden können. Dieser Bezug kann etwa durch Verknüpfung dieser Daten mit einem Kundenkonto oder einer Kundenkarte geschehen15. Bei der Bearbeitung von Personendaten sind insbesondere die folgenden Grundsätze des DSG zu beachten: n Erkennbarkeit: Für die betroffenen Personen muss die Erhebung ihrer Daten erkennbar sein. Sofern die Erhebung und deren Zweck für die betroffenen Personen nicht ohne Weiteres erkennbar sind, müssen diese darüber informiert werden16. n Zweckbindung: Personendaten dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist. n Einwilligung: Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt17. n Verhältnismässigkeit: Es sind nur diejenigen Personendaten zu erheben, die für die Aufgabenerfüllung erforderlich sind; es ist wenn möglich mit Pseudonymen oder mit anonymisierten Daten zu arbeiten. n Datensicherheit: Die Vertraulichkeit, Integrität und Verfügbarkeit der Daten müssen durch

digma 2014.4

angemessene technische und organisatorische Massnahmen sichergestellt werden. Enthalten die gesammelten Informationen besonders schützenswerte Personendaten, wie Hinweise auf die politische Einstellung, Weltanschauung, Religion oder Gesundheit, oder lassen die gesammelten Daten Rückschlüsse auf wesentliche Aspekte der Persönlichkeit der betroffenen Personen zu und qualifizieren demnach als Persönlichkeitsprofile, gelten strenge-

So vielfältig wie die zum Einsatz kommenden Technologien sind auch die Einsatzbereiche von Tracking. re Regeln hinsichtlich der Information der betroffenen Personen, der Zustimmung und der Weitergabe der Daten. Die regelmässige Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen kann zudem eine Registrierungspflicht für Inhaber von Datensammlungen mit Sitz oder Wohnsitz in der Schweiz auslösen. Fernmeldegesetz Das Fernmeldegesetz (FMG) schränkt die Verwendung von Standortdaten durch Fernmeldedienstanbieter (FDA) ein. Diese dürfen die Daten grundsätzlich nur zur Erbringung der Fernmeldedienste und zu Abrechnungszwecken bearbeiten. Für andere Dienste dürfen sie die Daten nur in anonymisierter Form oder mit vorgängiger Einwilligung der Kunden bearbeiten18. Die Einschränkung gilt indessen nicht für Drittanbieter ortsbasierter Dienste, und ihre praktische Relevanz ist entsprechend gering. Das FMG enthält überdies in Art. 45c lit. b eine Spezialregelung für die Verwendung von Kurz&bündig Tracking wird immer häufiger als Methode eingesetzt, um Personen zu lokalisieren und ihr Verhalten zu analysieren. Dabei kommen verschiedene Technologien zur Anwendung, die für den Einzelnen nicht immer leicht erkennbar sind und denen er sich nur schwer entziehen kann. Tracking stellt Segen und Fluch zugleich dar: Zwar kann es angenehm sein, in einem Kaufhaus vor dem Regal auf Sonderangebote via Mobiltelefon hingewiesen zu werden. Jedoch werden mittels Tracking Personendaten in grosser Zahl gesammelt und bearbeitet, wobei Bearbeitungszwecke und Datenempfänger oft unklar bleiben. In diesem Beitrag wird Tracking aus datenschutzrechtlicher Optik näher beleuchtet. Die wichtigsten Technologien werden einleitend vorgestellt, und der rechtliche Rahmen wird abgesteckt. Danach wird aufgezeigt, was beim Einsatz von Tracking zu beachten ist und wie sich der Einzelne gegen unerwünschtes Tracking wehren kann.

157

fokus Cookies durch Website-Betreiber in der Schweiz. Diese müssen Website-Besucher über verwendete Cookies und deren Zweck informieren und erklären, wie Cookies abgelehnt werden können. Im Gegensatz zur einschlägigen EURichtlinie19 folgt die schweizerische Regelung dem Opt-out-Prinzip, wobei eine ausdrückliche Einwilligung des Nutzers nicht notwendig ist. Was müssen Unternehmen beachten, die Tracking einsetzen? Die Pflichten der Unternehmen, die Tracking verwenden, unterscheiden sich je nach

Ein Hinweis mit entsprechenden (Video­ kamera-)Symbolen dürfte nicht genügen, da die Kunden daraus nicht auf die Auswertung der Daten und das Erstellen von Verhaltens­ mustern schliessen werden. Art und Einsatzgebiet der «Tracking»-Technologie. Die folgenden minimalen Anforderungen dürften jedoch für alle Formen des Tracking Gültigkeit haben: n Transparenz und Information: Der Einsatz einer Tracking-Technologie muss für die betroffenen Personen erkennbar sein. Da der Einsatz von Tracking-Technologien in der Regel nicht aus den Umständen ersichtlich sein wird, ist eine aktive Information der betroffenen Personen über Art, Umfang und Zweck des Tracking erforderlich. Dabei ist auch anzugeben, an welche Person oder Stelle innerhalb des Unternehmens Auskunftsgesuche zu richten sind. Falls erforderlich, ist zudem auf die Ablehnungsmöglichkeit für Cookies hinzuweisen. Bei Web- und Mobile-Tracking werden diese InforLiteratur n Jandt

Silke/Schnabel Christoph, Location Based Services im Fokus des Datenschutzes, Kommunikation und Recht 2008, 723–729 (zitiert: Jandt/ Schnabel) n Kettiger Daniel, Rechtliche Rahmenbedingungen für Location Sharing Systeme in der Schweiz, in: Jusletter vom 9. August 2010 (zitiert: Kettiger) n Maurer-Lambrou Urs/Blechta Gabor-Paul (Hrsg.), Basler Kommentar, Datenschutzgesetz/Öffentlichkeitsgesetz, 3.  A., Basel 2014 (zitiert: BSK-DSGAutor, Art. X N Y) n Müller Lucien, Private Videoüberwachung in öffentlich zugänglichen Räumen – Datenschutzrechtliche Aspekte, Sicherheit & Recht 2012, 63–75 (zitiert: Müller) n Rosenthal David/Jöhri Yvonne (Hrsg.), Handkommentar zum Datenschutzgesetz, Zürich 2008 (zitiert: Autor, Handkommentar DSG, Art. X N Y) n Schmitz Peter/Eckhardt Jens, Einsatz von RFID nach dem BDSG, CR 2007, 171–177 (zitiert: Schmitz/Eckhardt) n Schneider Markus/Enzmann Matthias/Stopcynski Martin, Web-Tracking-Report 2014, Fraunhofer-Informationszentrum Raum und Bau IRB, Stuttgart 2014 (zitiert: Schneider et al.)

158

mationen den betroffenen Personen häufig über eine spezielle Datenschutzerklärung bekannt gegeben. Insbesondere bei Video- und RFIDTracking sehen sich Unternehmen diesbezüglich mit praktischen Problemen konfrontiert, da die Datensubjekte von der Tracking-Technologie erfasst werden können, bevor eine (umfassende) Information möglich ist, etwa beim Betreten eines Warenhauses, das (videobasiertes) «Customer Tracking» einsetzt. Ein Hinweis mit entsprechenden (Videokamera-)Symbolen dürfte in der Regel nicht genügen, da die Kunden daraus wohl auf die Videoüberwachung, nicht aber auf die Auswertung der aufgezeichneten Daten und das Erstellen von Verhaltensmustern im Hintergrund schliessen werden. Unseres Erachtens müsste in diesen Fällen ein spezieller Hinweis auf das Tracking erfolgen20. n Zweckbindung: Die im Rahmen des Tracking gesammelten Informationen dürfen ausschliesslich zu den ursprünglich kommunizierten Zwecken verwendet werden. Für eine nachträgliche Änderung oder Erweiterung des Verwendungszwecks ist die Zustimmung der betroffenen Personen einzuholen. Der Zweckbindungsgrundsatz dürfte häufig mit den Inter­ essen der Unternehmen kollidieren, die erhobenen Daten möglichst uneingeschränkt und auch für Zwecke und mit Methoden zu analysieren, die im Zeitpunkt der Datenerhebung noch nicht aktuell oder noch nicht verfügbar waren21. Um sich hier nicht selbst über Gebühr einzuschränken, werden die Informationen zu Art, Umfang und Zweck der Datenerhebung daher von vielen Unternehmen bewusst offen formuliert. Das ist grundsätzlich zulässig. Im Einzelfall kann es aber Schwierigkeiten bereiten, die Balance zwischen zulässiger Abstraktion und notwendiger Konkretisierung des angegebenen Bearbeitungszwecks zu finden. n Einwilligung: Sofern im Rahmen des Tracking besonders schützenswerte Personendaten oder Persönlichkeitsprofile erhoben und an Dritte weitergegeben werden, ist vorgängig die (ausdrückliche) Zustimmung der betroffenen Personen einzuholen. Diese müssen umfassend informiert werden und die Möglichkeit haben, die Weitergabe abzulehnen und die angebotene Dienstleistung trotzdem zu nutzen. Andernfalls kann kaum von einer freiwilligen Zustimmung gesprochen werden. Auch hier können sich beim Einsatz von Video- und RFID-Tracking praktische Probleme beim Einholen der (ausdrücklichen) Einwilligung ergeben: Wird die Einwilligung beispielsweise noch freiwillig erteilt, wenn die einzige Handlungsalternative darin besteht, eine Lokalität mit Video-Tracking nicht zu betreten?

digma 2014.4

n Verhältnismässigkeit:

Es sind nur diejenigen Daten von den betroffenen Personen zu erheben, die zur Erbringung der Dienstleistung nötig sind (keine Datenerhebung und -speicherung auf Vorrat!). Daten, die nicht mehr benötigt werden, sind zu löschen. n Datensicherheit: Das Unternehmen muss angemessene technische und organisatorische Massnahmen treffen, um die Datensicherheit zu gewährleisten. n Registrierungspflicht für Tracking-Daten­ sammlung: Werden im Rahmen des Tracking regelmässig besonders schützenswerte Personendaten oder Persönlichkeitsprofile bearbeitet oder (gewöhnliche) Personendaten an Dritte bekannt gegeben, muss die entsprechende ­Datensammlung beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) registriert werden. n Pflichten bei Bekanntgabe in Drittländer: Falls Daten in Drittländer übermittelt werden, deren Gesetzgebung keinen adäquaten Datenschutz bietet, muss ein angemessener Schutz in den Zielländern anderweitig (beispielsweise durch Vertrag) sichergestellt werden. n Bearbeitungsreglement: Es empfiehlt sich, ein Bearbeitungsreglement mit diesen und den übrigen internen Regeln für den Umgang mit Tracking-Daten zu erstellen. Welche Möglichkeiten haben Betroffene zur Unterbindung von Tracking? Der Einzelne hat verschiedene technische und rechtliche Möglichkeiten, um seine Privatsphäre gegen Tracking zu schützen, wobei die technischen Möglichkeiten aus praktischen Gründen im Vordergrund stehen dürften. Technische Möglichkeiten Webtracking oder Web Analytics: Die meisten Internet-Browser erlauben dem Benutzer, Cookies ganz oder teilweise zu blockieren. Die gängigsten Browser bieten auch die Möglichkeit, Cookies von Dritt-Websites auszuschliessen, womit der Einsatz von Tracking-Cookies effektiv unterbunden werden kann. Die meisten Browser verfügen zudem über einen «Do Not Track»-Schalter, womit Webseiten oder Anwendungen signalisiert wird, dass über die Aktivitäten des Besuchers kein Nutzungsprofil erstellt werden soll22. Es gibt jedoch keine gesetzliche Pflicht für Website-Betreiber, die «Do Not Track»-Einstellung zu beachten. Diese Einstellungen sind ausserdem wirkungslos gegen den Einsatz von «canvas fingerprinting». Hiergegen helfen allenfalls spezielle BrowserErweiterungen23 oder der für anonymes Surfen entwickelte Tor-Browser, der Websites über das n 

digma 2014.4

Tor-Netzwerk24, mehrfach verschlüsselt und über ständig wechselnde Routen25, abruft. n Mobile-Tracking: Die meisten Mobiltelefone und sonstigen Mobilgeräte bieten die Möglichkeit, den Zugriff auf Standortdaten einzuschränken26 oder den integrierten GPS-Empfänger ganz zu deaktivieren. Damit wird jedoch in vielen Fällen auch die Funktionalität von Apps eingeschränkt, die auf Standortdaten zugreifen. n  Videobasiertes und RFID-Tracking: Es bestehen (noch) keine technischen Möglichkeiten für Endnutzer, diese Tracking-Methoden zu unterbinden. Die einzige praktische Möglichkeit, ein Tracking zu verhindern, ist das NichtBetreten überwachter Bereiche bzw. die Meidung von Angeboten mit RFID-Tracking. Rechtliche Möglichkeiten Jede Person kann vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob und welche Daten über sie bearn Auskunftsrecht:

Es gibt keine gesetzliche Pflicht für WebsiteBetreiber, die «Do Not Track»-Einstellung von Browsern zu beachten. beitet werden. Die Auskunft ist in der Regel kostenlos und innert 30 Tagen seit Eingang des Begehrens zu erteilen. Zur Stellung eines Auskunftsbegehrens muss zunächst der Inhaber der Datensammlung bekannt sein. In der Praxis kann es schwierig sein, diesen zu identifizieren, obwohl diese Angabe eigentlich Teil der Information gegenüber der betroffenen Person bilden sollte. n Recht zur Berichtigung fehlerhafter Daten: Zeigt sich infolge einer Auskunft oder anderweitig, dass Daten unrichtig oder unvollständig sind, kann die Berichtigung der entsprechenden Daten verlangt werden. n Klagemöglichkeit: Werden die oben genannten Grundsätze oder andere Bestimmungen des DSG verletzt, kann die betroffene Person auf Beseitigung oder zukünftige Unterlassung derartiger Verletzungen sowie auf Feststellung und Bekanntmachung der Verletzung klagen. Es besteht überdies die Möglichkeit, Schadenersatz und Genugtuung für die Verletzung zu verlangen. Entsprechende Klagen sind jedoch selten, da sich insbesondere bei Unternehmen mit Sitz im Ausland die Frage nach der Zuständigkeit schweizerischer Gerichte stellt. Ausserdem ist jede Klage mit einem erheblichen Kostenrisiko verbunden. n  Anzeige an den EDÖB: Falls Datenbearbeitungsmethoden geeignet sind, die Persönlich-

159

fokus keit einer grösseren Anzahl von Personen zu verletzen, nimmt der EDÖB von sich aus oder auf Anzeige von Dritten hin Sachverhaltsabklärungen vor. Gestützt auf diese Abklärungen kann der EDÖB Empfehlungen zur Änderung oder Unterlassung der Datenbearbeitung geben

Der Gesetzgeber setzt in erster Linie auf Transparenz und die Entscheidungsfreiheit des Einzelnen, entsprechende Angebote in Anspruch zu nehmen oder abzulehnen. und, falls die Empfehlung nicht befolgt wird, die Sache dem Bundesverwaltungsgericht zum Entscheid vorlegen. Fazit Tracking kommt in den verschiedensten Formen vor und kann zu den verschiedensten Zwecken eingesetzt werden. Entsprechend fragmentiert ist der rechtliche Rahmen, den es beim

Einsatz von Tracking-Technologien einzuhalten gilt. Im Vordergrund steht dabei das Datenschutzgesetz, das ergänzt wird durch bereichsspezifische Bestimmungen, die je nach eingesetzter Technologie zur Anwendung gelangen. Zur Schaffung eines Interessenausgleichs zwischen Unternehmen, die Tracking einsetzen, und den betroffenen Personen setzt der Gesetzgeber in erster Linie auf Transparenz (durch entsprechende Informationspflichten) und die Entscheidungsfreiheit des Einzelnen, entsprechende Angebote in Anspruch zu nehmen oder abzulehnen. Die Möglichkeit einer klageweisen Verhinderung oder Unterbindung von Missbräuchen steht dem Einzelnen zwar zur Verfügung, wird aber aus Kostengründen selten in Anspruch genommen. Neben technischen Möglichkeiten zur Unterbindung von Tracking wird die Ablehnung entsprechender Angebote für den Einzelnen oft die einfachere (und erfolgversprechendere) Möglichkeit sein, die Erfassung und Ausn wertung seiner Daten zu verhindern.

Fussnoten 1

2

3

4 5

6

7

8

9 10 11

Beim Aufruf einer Website werden verschiedene Daten an den Server übermittelt, auf dem die Site gehostet wird, unter anderem Browsertyp, Betriebssystem, Browser-Sprache und IP-Adresse des Internet-Anschlusses, von dem die Site abgefragt wird. Siehe zu «browser fingerprinting» und zu «canvas fingerprinting» . Sogenanntes «cross-domain-tracking»; siehe dazu etwa die FAQ zu Google Analytics: ; für statistische Angaben zum Einsatz von Webtracking siehe sChneiDer et al., 87 f. Siehe KettiGer, 3 und 4. Eine Aufzählung standortbezogener Dienste findet sich bei janDt/ sChnabel, 723. Siehe hierzu das Glossar auf der Website des EDÖB zu «Personentracking», abrufbar unter . Siehe auch die Aufzählung in BSK-DSG-maurer-lambrou/steiner, Art. 4 N 25a; vgl. auch den 12. Tätigkeitsbericht 2004/2005 des EDÖB, Datenschutzrechtliche Aspekte beim Einsatz der RFID-Technologie, abrufbar unter: . Neben den nachfolgend aufgeführten Bestimmungen enthalten auch Art. 179quater StGB (Verletzung des Geheim- oder Privatbereichs durch Aufnahmegeräte), Art. 179novies StGB (Unbefugtes Beschaffen von Personendaten), die Verordnung über die Videoüberwachung im öffentlichen Verkehr (SR 742.147.2) sowie gewisse kantonale Polizeigesetze und andere kantonale Erlasse Bestimmungen, die beim Einsatz von Tracking-Technologien relevant sein können. Wird Tracking im Rahmen eines Arbeitsverhältnisses eingesetzt, sind insbesondere Art. 328 und 328b OR sowie die Verordnung 3 zum Arbeitsgesetz (SR 822.113) zu beachten. Auf Ausführungen zu diesen Bestimmungen muss aus Platzgründen verzichtet werden. Art. 2 Abs. 1 DSG. Art. 3 lit. a DSG. BGE 136 II 508 E. 3.4. In Deutschland ist zur Frage, ob dynamische IP-Adressen personenbezogene Daten im Sinne der

160

12 13 14 15 16 17

18 19 20

21

22 23

24 25 26

Richtlinie 95/46/EG (Datenschutzrichtlinie) darstellen, gegenwärtig ein Verfahren vor dem deutschen Bundesgerichtshof anhängig. Der Bundesgerichtshof hat die Frage dem Europäischen Gerichtshof zur Vorabentscheidung vorgelegt (Beschluss vom 28. Oktober 2014, AZ. VI ZR 135/13). rosenthal, Handkommentar DSG, Art. 3 N 40. Vgl. KettiGer, 10. müller, 65. Vgl. hierzu sChmitz/eCKharDt, 172. rosenthal, Handkommentar DSG, Art. 4 N 51. Sogenannter «Informed Consent»; die Einwilligung muss in Kenntnis der relevanten Aspekte der Datenbearbeitung und ohne irgendwelchen Zwang erklärt werden. Art. 45b FMG. Richtlinie 2009/136/EG, ABl. L 337 vom 18.12.2009,11. In diese Richtung auch BSK DSG-maurer-lambrou/steiner, Art. 4 N 38, m.w.H. Zu denken ist etwa an das Anbringen eines kurzen Hinweises in Textform, verbunden mit der Angabe, wo weitere Informationen zu Art, Umfang und Zweck des Tracking erhältlich sind. Allgemein bekannte und verständliche Symbole, die auf den Einsatz von Tracking-Technologien hinweisen, existieren soweit ersichtlich (noch) keine. In diesem Zusammenhang ist der Grundsatz der Verhältnismässigkeit zu beachten, der eine Datenerhebung und -speicherung auf Vorrat, für eine (mögliche) zukünftige Verwendung grundsätzlich ausschliesst. Siehe dazu . So etwa die Plugins «No Script» für Firefox () oder «Chameleon» für Chrome (). Siehe dazu . Siehe dazu . Eine relativ umfassende Anleitung dazu findet sich auf der Website des rheinland-pfälzischen Landesbeauftragten für den Datenschutz und die Informationsfreiheit, abrufbar unter: . (Alle URL letztmals kontrolliert am 15.12.2014).

digma 2014.4

d i g m a Zeitschrift für Datenrecht und Informationssicherheit

www.digma.info

erscheint vierteljährlich

Meine Bestellung ❑ 1 Jahresabonnement digma (4 Hefte des laufenden Jahrgangs) à CHF 158.00 bzw. bei Zustellung ins Ausland EUR 131.00 (inkl. Versandkosten)

Name

Vorname

Firma Strasse PLZ Datum

Ort

Land Unterschrift

Bitte senden Sie Ihre Bestellung an: Schulthess Juristische Medien AG, Zwingliplatz 2, CH-8022 Zürich Telefon +41 44 200 29 19 Telefax +41 44 200 29 18 E-Mail: [email protected] Homepage: www.schulthess.com