Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

I. Die Praxis

Dass Internet-Suchmaschinen etwas mit Bürgerrechten und mit dem Datenschutz zu tun haben, lässt sich aus aktuellen Pressemeldungen ablesen: „Google akzeptiert Zensur in China“.[1] „Google sieht keine Datenschutzprobleme durch DoubleClick-Übernahme“.[2] „Google protestiert gegen deutsche Pläne der Vorratsdatenspeicherung“.[3] „Bürgerrechtler verlangen von Google besseren Datenschutz“.[4] „Internetnutzer kritisieren Googles Datenhunger“.[5] „Durch Google-Suche in Einzelhaft“.[6] „Google fordert auf UNESCO-Konferenz 'globalen Datenschutz'“.[7] „Google befürwortet selbstregulierenden Datenschutz“.[8] „Datenschutz als 'riesiges Problem' bei Suchmaschinen“.[9]

Dass „Google“ mit dem Thema „Suchmaschinen“  assoziiert wird, hat einen trivialen Grund. Die Firma ist auf dem Internet-Suchmaschinenmarkt mit 79% weltweit Marktführer, in Deutschland gar mit einem Marktanteil von 87%.[10] Dem Unternehmen wird heute ein Börsenwert von ca. 116 Mrd. Dollar zugeschrieben, Tendenz steigend.[11] Doch gibt es mehr Suchmaschinen mit teilweise klingenden Namen: Yahoo, MSN, AOLSearch, Lycos/Fireball.

Deren Aufgabe ist v.a. technischer Natur: Die meisten Suchmaschinen durchforsten mit Hilfe von speziellen Programmen, sog. Robots oder Crawlern, das World Wide Web und speichern Informationen von gefundenen Seiten in einer eigenen Datenbank, dem Index. Wird eine Anfrage an eine Suchmaschine gerichtet, so recherchiert diese in ihrer Datenbank, ob sie das Gesuchte findet. Diese Datenbank umfasst nicht das gesamte World Wide Web. Die Firma Google gibt an, mehr als 8 Mrd. Webseiten in ihrer Datenbank erfasst zu haben, was nur ein Teil sämtlicher Inhalte des World Wide Web ist. Da die Suchmaschinenbetreiber unterschiedliche Programme zur Durchforstung des Internet verwenden, landen auch verschiedene Seiten im jeweiligen Index.[12]

Bei Suchmaschinenanfragen fallen zunächst einmal die IP-Adressen der anfragenden Computer an sowie weitere Angaben über den Rechner der Nutzenden, z.B. benutzter Browser und Betriebssystem. Außerdem stehen die Suchbegriffe zur Verfügung sowie das Datum und die Uhrzeit der Anfrage. Schließlich ist erkennbar, welche Webseite der Nutzende auss den gelisteten Resultaten tatsächlich ausgewählt und aufgerufen hat. Schon allein aus diesen Daten lässt sich ableiten, wofür sich eine Person wann interessiert hat. Werden viele solche Anfragen gemeinsam ausgewertet, lassen sich hieraus präzise Interessenprofile erstellen, also mit welchen Themen eine Person sich zu welcher Zeit beschäftigt hat. Werden diese Angaben einer konkreten Person zugeordnet, so lässt sich aus dem Anfrageprofil zumindest bei Personen, die regelmäßig Suchmaschinen nutzen, ein langfristiges Interessenprofil erstellen.

Suchmaschinen gewinnen voraussichtlich in Zukunft noch größere Bedeutung. In Deutschland hat sich das Internet innerhalb von 11 Jahren als dritte Säule des Medienkonsums etabliert, indem die Nutzendenzahl von 6,5% auf 62,7% anstieg. 2007 wurde als wichtigster Grund für die Internetnutzung von 91% die „Suche nach Informationen“ genannt, vor „Spaß und Unterhaltung“ mit 72%. Hinsichtlich der verwendeten Anwendungen stehen die E-Mail-Funktion und Suchmaschinen im Vordergrund der Internetnutzung. 76% nutzen zumindest wöchentlich Suchmaschinen[13] Marktführer Google verzeichnet täglich über 200 Mio. Suchanfragen.[14] Nach einer weltweiten Messung von Websuchanfragen durch das Marktforschungsunternehmen comScore wurden im August 2007 von 750 Mio. Internet-Nutzenden über 15 Jahren 61 Milliarden Mal Suchmaschinen genutzt.[15] Angesichts der zunehmenden Informationsmasse im Internet gewinnt die professionelle technische Hilfe von Suchmaschinen eine immer wichtigere Bedeutung. Was eine bequeme und nützliche Hilfe ist, wird jedoch zugleich zum Datenschutzproblem.

II. Informationelle Selbstbestimmung

Das Bundesverfassungsgericht (BVerfG) hat in einer frühen Entscheidung im Jahr 1969 festgestellt, dass die Erstellung von teilweisen oder weitgehend vollständigen Persönlichkeitsbildern aus vorhandenen Daten nicht mit der Menschenwürde vereinbar wäre.[16] Dies gilt insbesondere, wenn der Betroffene nicht „dessen Richtigkeit und Vollständigkeit zureichend kontrollieren kann“.[17] Das BVerfG hat das Recht auf Selbstbestimmung nicht nur im Hinblick auf das für eine Person mögliche Gesamtabbild festgeschrieben. Mit der Volkszählungsentscheidung wurde dieses Recht grds. in Bezug auf jedes zur eigenen Person bestehende Datum begründet und als umfassendes Recht auf informationelle Selbstbestimmung definiert.[18] Diese Rechtsprechung hat das oberste deutsche Gericht auch beibehalten, als sich die Möglichkeiten der informationellen Fremdbestimmung über das Internet erwiesen, ja es hat gerade im Hinblick auf die damit entstehenden Risiken die Relevanz des Grundrechtsschutzes und des Datenschutzrechtes bekräftigt. Erst jüngst stellte das BVerfG angesichts der technischen Kontrollmöglichkeiten die Bedeutung des Verbots einer Rundumüberwachung dar.[19]

Mit diesem Grundrechtsschutz geht Deutschland keinen nationalen Sonderweg. Vielmehr findet die Rechtsprechung des BVerfG ihre Bestätigung durch die des Europäischen Gerichtshofes für Menschenrechte und des Europäischen Gerichtshofes.[20] Die Fundierung dieser Rechtsprechung erfolgt über Art. 8 der Europäischen Menschenrechtskonvention, der die Achtung des Privatlebens gewährleistet, sowie über die Europäische Datenschutzkonvention aus dem Jahr 1981. In der Europäischen Grundrechtecharta wird in Art. 8 ausdrücklich der Schutz personenbezogener Daten zugesichert. Damit ist Europa zwar Vorreiter in der internationalen Rechtsentwicklung; doch auch in der OECD wie durch die UNO werden Bestrebungen zur weltweiten Anerkennung eines derart verstandenen Datenschutzes verfolgt.[21]

Zur Konkretisierung des verfassungsrechtlich geforderten Grundrechtsschutzes hat der deutsche Gesetzgeber eine Vielzahl von Datenschutzgesetzen erlassen. Im Hinblick auf die Verarbeitung durch Suchmaschinen sind v.a. das Bundesdatenschutzgesetz (BDSG) und das Telemediengesetz (TMG) anwendbar. Auf europäischer Ebene ist die Europäische Datenschutzrichtlinie (EU-DSRL) anwendbar sowie eine spezielle Datenschutzrichtlinie für elektronische Kommunikation. Bisher gibt es zum Datenschutz bei Suchmaschinen keine Rechtsprechung, wenig juristisch-wissenschaftliche Literatur und fast keine Prüferfahrungen der Datenschutzaufsichtsbehörden. Wohl aber gibt es zu Einzelfragen und einzelnen Fällen Stellungnahmen. Demgemäß ist in Bezug auf den Datenschutz bei Suchmaschinen noch vieles ungeklärt und klärungsbedürftig.

Es gibt im Grunde zwei große Datenschutzkomplexe bei Suchmaschinen; bei dem einen ist der Mensch das Suchobjekt, beim anderen das suchende Subjekt. Das eine Mal erfolgt die Beeinträchtigung informationeller Selbstbestimmung durch die systematische Zusammenstellung der im Internet auch abseitig gespeicherten und verfügbaren Informationen. Dieses Thema wird v.a. durch das BDSG behandelt (dazu unten IV. und V.). Das andere Mal beeinträchtigt die Analyse des Such- und Surfverhaltens der Nutzenden durch die Suchmaschinenbetreiber deren Möglichkeit selbst festzulegen, „wer was wann und bei welcher Gelegenheit über sie weiß“.[22] Die informationelle Ausbeutung des Nutzungsverhaltens ist Gegenstand des Telekommunikationsrechtes (TKG, TMG; dazu VI.).

III. Anwendbarkeit des deutschen Rechtes

Sämtliche großen Suchmaschinenanbieter haben ihren Hauptgeschäftssitz in den USA; dort erfolgen auch die wesentlichen Datenverarbeitungsvorgänge. Diese können sich der deutschen bzw. generell der europäischen Datenschutzkontrolle u.U. dadurch entziehen, dass sie behaupten, für sie gelte das europäische Datenschutzrecht nicht. Die Anwendbarkeit des nationalen Rechtes knüpft gemäß § 1 Abs. 5 BDSG am Ort der Datenverarbeitung an. Tatsächlich wird die Ansicht vertreten, dass es für die Anwendung des BDSG auf den Serverstandort ankommt, da der Anbieter keine Vorstellung davon habe, wer von seinem Angebot Gebrauch machen wird. Es fehle ihm insoweit an einem konkretisierten Erhebungswillen. Der Nutzende gehe in freier Entscheidung darauf ein, seine Daten auf dem Server im Ausland verarbeiten zu lassen.[23]

Richtig ist aber, dass für die Anwendbarkeit des Datenschutzrechtes bei Internet-Suchmaschinen i.d.R. der Standort des Clients maßgeblich ist. Über den Clientstandort erfolgt die wesentliche Verarbeitung, insbesondere die Datenerhebung. Träfe es zu, dass ausschließlich der Serverstandort für die Frage der Anwendbarkeit des jeweiligen nationalen Rechts ausschlaggebend wäre, so könnte sich ein Betreiber einfach dadurch dem deutschen Recht entziehen, dass er seinen Server in einem anderen Land aufstellt. Mit dieser Bewertung werden den Betreibern keine übermäßigen rechtlichen Bürden auferlegt. Sämtliche großen Internet-Suchmaschinen-Anbieter haben Tochterunternehmen oder Filialen in Deutschland. Sie zielen auf den deutschen Markt, etwa indem sie ein deutschsprachiges Angebot bereithalten oder unter deutscher Länderkennung auftreten. Die Anbieter verfolgen gezielt die Erhebung der Nutzerdaten; diese werden ihnen nicht aufgedrängt.[24] Die großen Suchmaschinen sind unter Domains mit deutsche Länderkennung „.de“ zu erreichen. Google leitet sogar solche Anfragen, die unter ihrer www.google.com-Adresse von einem Client mit einer deutschen IP-Adresse eingehen, auf die .de-Adresse weiter. Als Option wird die Suche auf deutschsprachigen Seiten angeboten.[25] Es war nicht Intention der europäischen Datenschutzrichtlinie, bei einer Verarbeitung personenbezogener Daten auch im Drittland außerhalb der EU ausschließlich das dortige Rechtsregime für gültig zu erklären. Bei den großen US-Suchmaschinen ist also (auch) deutsches Datenschutzrecht anzuwenden.[26]

Für die Anwendbarkeit des TMG wird nach § 3 Abs. 1 TMG auf das Herkunftslandprinzip abgestellt. Dies bedeutet, dass Anknüpfungspunkt die Niederlassung des Diensteanbieters in der Bundesrepublik Deutschland ist, wenn der Dienst von einem Anbieter in der Europäischen Union erfolgt. Doch bzgl. spezieller rechtlicher Fragen, u.a. auch des Verbraucherschutzes werden gem. § 3 Abs. 5 TMG Ausnahmen vom Herkunftslandsprinzip zugunsten des Territorialitätsprinzips gemacht. Bei Anbietern von außerhalb der EU gelten die allgemeinen Regelungen. Dies bedeutet: Nutzt ein deutscher Internet-Nutzer eine der großen amerikanischen Suchmaschinen, so ist er nicht auf den Rechtsschutz in den USA angewiesen; vielmehr gilt regelmäßig deutsches Recht, das vor deutschen Gerichten geltend gemacht werden kann.

IV. Personen als Suchobjekt

Suchmaschinen als Internet-Fahndungsinstrumente für Jedermann und Jedefrau können für die Objekte der Suchbegierde schlimme existenzielle Konsequenzen bewirken. Die vom stalkenden Ex-Ehemann verfolgte Frau kann sich nicht vor ihrem Bedränger schützen, wenn im Internet Hinweise auf die aktuellen Aufenthalt zu finden sind. Stellenbewerbende können schnell ein Problem bekommen, wenn der potenzielle Arbeitgeber Negatives aus dem Netz zieht. Versicherungsunternehmen munitionieren sich inzwischen im Netz gegen Leistungsforderungen. Ja selbst Sozialbehörden oder die Polizei bedienen sich der über Suchmaschinen erschlossenen Informationen, um Straftaten oder Hilfemissbrauch aufzuklären. Dabei ist die Gefahr des Irrtums und der gezielten Täuschung groß, etwa wenn böswillige Personen falsche Fakten, diskreditierende Bilder oder Beleidigungen und Verleumdungen ins Netz stellen. Die Suchmaschinen differenzieren nicht zwischen wahr und falsch, zwischen rechtmäßig und illegal.

Wer Informationen über sich im Klartext in einer Webseite, während eines Chats oder in einer Social Community über sich ins Netz stellt, muss wissen was sie bzw. er tut. Sie bzw. er erteilt eine Einwilligung nach §§ 4 Abs. 1, 4a BDSG, dass diese Informationen über Suchmaschinen erschlossen werden und in völlig anderen Zusammenhängen genutzt werden können. Die Funktionsweise von Suchmaschinen muss inzwischen jedem Internet-Nutzenden bekannt sein. Wer sich selbst im Netz entblößt, mag die sich ergebenden Konsequenzen nicht bedacht haben; den eingesetzten Suchmaschinen kann jedenfalls deshalb kein Vorwurf gemacht werden.

Die meisten Informationen über Menschen im Netz stammen aber nicht von den Betroffenen selbst, sondern von Dritten. Eine Einwilligung in die elektronische Veröffentlichung wird regelmäßig nicht erteilt. In diesen Fällen muss die Veröffentlichung und die Datensuche nach den gesetzlichen Verarbeitungsregeln des BDSG bewertet werden. Dabei ist wenig förderlich, dass die relevanten Regelungen im BDSG aus dem Jahr 1990 stammen und im Jahr 2001 nur wenig an die technische Entwicklung angepasst wurden. Auf Suchmaschinen anwendbar ist § 29 BDSG zur „geschäftsmäßigen Datenerhebung und -verarbeitung zum Zweck der Übermittlung“.[27]

Fraglich ist, ob die über die Suchmaschinen erschlossenen Daten in die Verantwortlichkeit des Suchmaschinenbetreibers fallen. Hierfür spricht zunächst die klare Regelung des § 3 Abs. 7 BDSG, wonach die Verantwortlichkeit bei der jeweiligen speichernden Stelle liegt, auch wenn es sich bei dem Speicher um den Zwischenspeicher (Cache) einer Suchmaschine handelt. Diese Klarheit wird getrübt durch die tatsächliche Verantwortlichkeit: Eine inhaltliche Kontrolle über die im Zwischenspeicher ausgewerteten Daten können auch einem noch so finanziell gut dastehenden Betreiber nicht zugemutet werden. Daraus zieht das Telemediengesetz (TMG), zumindest für Fragen der polizeilichen und zivilrechtlichen Haftung die Konsequenz einer reduzierten Verantwortlichkeit: Nicht verantwortlich sind nach § 10 TMG, wenn Diensteanbieter 1. „keine Kenntnis von der rechtswidrigen Handlung oder der Information haben und ihnen ... auch keine Tatsachen oder Umstände bekannt sind, aus denen die rechtswidrige Handlung oder Information offensichtlich wird oder 2. sie unverzüglich tätig geworden sind, um die Information zu entfernen oder den Zugang zu ihr zu sperren, sobald sie diese Kenntnis erlangt haben.“ Zwar lassen sich diese Regeln nicht vollständig auf die datenschutzrechtliche Verantwortlichkeit übertragen, doch weisen sie die Richtung für die Lösung des Problems.

Einen weiteren Hinweis zur Problemlösung gibt § 29 BDSG. Danach dürfen Daten zur Auskunftserteilung verarbeitet werden, „wenn die Daten allgemein zugänglich sind“. Allerdings steht diese Erlaubnis unter dem Vorbehalt, dass nicht „das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung ... offensichtlich überwiegt“[28]. Nach dem BDSG muss diese Abwägung grds. im Einzelfall erfolgen, eine Anforderung, die eine Suchmaschine allenfalls im Nachhinein auf der Basis einer Beschwerde vornehmen kann. Faktisch unmöglich ist es, technisch das Vorliegen „besonderer Art personenbezogener Daten“, also „über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben“[29] festzustellen, was zwangsläufig zu einem Überwiegen der schutzwürdigen Belange, ja gar zum Erfordernis der Einwilligung führt.[30] Auch eine pauschale Datenschutz-Abwägung wird derzeit von den Suchmaschinen oder deren Betreiber nicht vorgenommen. Die Anzeige der Suchergebnisse in einer Reihenfolge, das sog. Ranking, orientiert sich ausschließlich am vermuteten Interesse der Suchenden bzw. an der kommerziellen Relevanz des Treffers, nicht aber am Schutzbedarf einer gesuchten Person. Dies gilt selbst für gerade im Aufkommen befindliche Personensuchmaschinen, bei denen eine weitgehend maschinelle inhaltliche Aufbereitung der Suchergebnisse erfolgt.[31]

V. „... generell rechtswidrig“? - Betroffenenrechte

Wendet man das aktuell geltende Recht an, so ist das Ergebnis von verblüffender Eindeutigkeit: Suchmaschinen, mit denen nach Personen gesucht werden kann, sind im Prinzip rechtswidrig. Da diese nicht zwischen sonstigen Begriffen und Personenbezeichnungen, insbesondere Namen unterscheiden, wären Suchmaschinen generell illegal. Diese Konsequenz wird praktisch nicht gezogen. Die Macht des technisch Faktischen beugt das geschriebene Recht. Diese Diskrepanz muss früher oder später vom Gesetzgeber behoben werden. Doch darf dies nicht zu einer Kapitulation des Grundrechtsschutzes vor der Faktizität des Internet führen. Daher sollen im Folgenden einige Lösungsmöglichkeiten aufgezeigt werden.

Die Rechtswidrigkeit einer Datenverarbeitung nach den §§ 28, 29 BDSG hängt in starkem Maße davon ab, in welchem Umfang hierüber für die Betroffenen Transparenz geschaffen ist und in welchem Maße diese eine Einflussmöglichkeit auf die Verarbeitung haben durch Widerspruch, Wahloptionen, Gegendarstellung und Datenlöschung. All diese Betroffenenrechte finden im BDSG sowie im bereichsspezifischen Datenschutzrecht ihre Grundlagen, wenngleich bisher keine dieser Rechte die Besonderheiten des Internet  hinreichend berücksichtigt.

Grundlegend für die Wahrnehmung des Datenschutzes durch die Betroffenen, sog. „Magna Charta“ ist der Auskunftsanspruch nach § 34 BDSG.[32] Dieses Recht lässt sich leicht durch die Eingabe des eigenen Namens als Suchbegriff realisieren. So elegant diese Lösung ist, so unzureichend ist sie in mancher Hinsicht. Der grundrechtlich fundierte Auskunftsanspruch besteht bedingungslos, er setzt nicht die Verfügbarkeit eines Computers mit Internetanschluss voraus. Nach § 34 Abs. 3 BDSG wird die Auskunft „schriftlich erteilt, soweit nicht wegen der besonderen Umstände eine andere Form der Auskunftserteilung angemessen ist“. In jedem Fall darf bei technisch nicht versierten Personen der Verweis auf das Internet nicht zu einem Verletzung des Willkürverbotes führen.[33] Der Anspruch auf Auskunft über Herkunft der Daten wird durch die Angabe des Ursprungslinks realisiert, während die Angabe der Kategorie der Empfänger (potenziell alle) und des Zwecks (zweckfreie Bereitstellung) für den Betroffenen praktisch nicht möglich ist.

Umso wichtiger wäre die Benachrichtigung der Betroffenen (§ 33 BDSG), die aber sowohl faktisch ausgeschlossen ist. Zwar sind die zum Zweck der Übermittlung gespeicherten Daten „aus allgemein zugänglichen Quellen entnommen“ und wäre „eine Benachrichtigung wegen der Vielzahl der betroffenen Fälle unverhältnismäßig“ (§ 33 Abs. 2 Nr. 8a BDSG). Doch ist nur dann die Benachrichtigung rechtlich ausgeschlossen, wenn die Betroffenen selbst „diese Daten veröffentlicht haben“. Dies im Internet regelmäßig nicht der Fall. Die Möglichkeit der anderweitigen Kenntnisnahme - eben durch Eigenrecherche - genügt auch nicht zum rechtlichen Ausschluss der Benachrichtigungspflicht. Nach § 33 Abs. 2 Nr. 1 BDSG ist ein Benachrichtigungsverzicht nur bei positiver Kenntniserlangung zulässig.

Notleidend sind auch die weiteren Betroffenenrechte: So sieht § 29 Abs. 4 i.V.m. § 28 Abs. 4 BDSG ein Widerspruchsrecht für Zwecke der Werbung und Markt- und Meinungsforschung vor. Dem mag entgegengehalten werden, dass Internet-Inhaltsdaten typischerweise nicht bzw. nur selten für diese Zwecke genutzt würden. Dieser Einwand ändert nichts daran, dass derartige Nutzungen stattfinden und vom Gesetz nicht erlaubt sind, wenn ein Widerspruch erfolgt. Selbst ein Hinweis auf ein derartiges Nutzungsverbot (vgl. § 29 Abs. 4 i.V.m. § 28 Abs. 5 BDSG) enthalten Suchmaschinen derzeit nicht.

Passen will auch nicht die Regelung des § 29 Abs. 3 BDSG, wonach eine Aufnahme in elektronische Verzeichnisse dann zu unterbleiben hat, „wenn der entgegen stehende Wille des Betroffenen aus dem zugrunde liegenden ... Register ersichtlich ist.“ Derzeit wird von vielen Suchmaschinen die Markierung einer Webseite mit dem Robots-Metatag[34] oder durch entsprechende Eintragungen in der Datei namens robots.txt beachtet.[35] Diese bezieht sich aber nicht auf ein konkretes personenbezogenes Datum, sondern auf ganze Web-Dokumente. Zudem bedarf es eines Tätigwerdens des Betroffenen gegenüber dem Webseiten-, nicht dem Suchmaschinenbetreiber, um die Suchbarkeit des eigenen Datums auszuschließen.

Über die Anwendung der Verantwortlichkeitsregeln nach dem TMG ließe sich u.U. eine eingeschränkte Rechtspflicht der Suchmaschinenbetreiber gegenüber den Betroffenen legitimieren. Doch auch in diesem Fall besteht zumindest ein Recht zum Widerspruchs, mit dem der Betroffene gegenüber diesem eindeutig zum Ausdruck bringt, dass seine überwiegenden schutzwürdigen Interessen der Verarbeitung entgegenstehen; evtl. wird auf die nicht legitimierte Verarbeitung von Daten nach § 3 Abs. 9 BDSG hingewiesen. In diesen Fällen muss der Suchmaschinenbetreiber die beanstandeten Daten umgehend entfernen oder den Zugang zu diesen sperren (§ 10 S. 1 Nr. 2 TMG).

Eine besondere Problematik des Internet allgemein und der Suchmaschinen im Besonderen besteht darin, dass falsche, unrichtig gewordene oder rechtswidrig erhobene Daten auf Grund der Struktur des Internet nur schwer zu korrigieren oder vollständig zu löschen sind (Korrekturansprüche nach § 35 BDSG), da Datensätze im Netz in Caches abgelegt, gespiegelt und gesondert archiviert werden. Werden Daten auf Grund konkreter Ansprüche der Betroffenen im Originaldatenbestand korrigiert, so ist nicht zu gewährleisten, dass auch sämtliche Kopien dieser Daten entsprechend korrigiert werden. Google empfiehlt bei unliebsamen Inhalten, sich an den Seitenbetreiber zu wenden und diesen aufzufordern, Teile seines Angebots für die Google-Suche zu sperren oder Fotos aus der Bildersuche herauszunehmen.[36] Bei Google dauert es nach Firmenangaben ca. 48 Stunden, bis ein Bild nicht mehr zu erreichen ist. Es dauere sechs bis acht Wochen, bis ganz Webseiten nicht mehr erreichbar gemacht werden können, weil sie dazu aus dem Cache gelöscht werden müssen Die Wahrnehmung der Widerspruchsrechte, die bei Suchmaschinen teilweise nur elektronisch möglich ist, setzt zudem eine komplizierte und oft nicht bekannte Prozedur voraus mit Anmelden, Passwortvergabe und E-Mail-Kommunikation.[37]

Angesichts der technisch und organisatorisch bedingten faktischen Schwierigkeiten der Wahrnehmung der Datenkorrekturansprüche nach § 35 BDSG im Internet gewinnt ein aus dem Presserecht entlehntes Betroffenenrecht gegenüber den Suchmaschinenbetreibern eine zentrale Bedeutung: die Gegendarstellung.[38] Lässt sich schon nicht verhindern, dass unzulässige oder falsche Inhalte verbreitet sind, so muss zumindest die Möglichkeit für die Betroffenen gegeben sein, diese richtigzustellen. Dieses Recht richtet sich nicht nur gegen den Erstveröffentlicher, d.h. den u.U. rechtlich nicht greifbaren Verantwortlichen der Webseite, sondern auch den Zweitveröffentlicher und Verbreiter „Suchmaschine“. 

Die Wahrnehmung der Betroffenenrechte ist wegen der im Internet allgegenwärtigen Homonyme, d.h. der identischen Namen für verschiedene Personen, erschwert. Für die Inanspruchnahme der Rechte bedarf es der zuverlässigen Authentifizierung, d.h. der Identifizierung als Rechteinhaber. Für diese Authentifizierung im Internet werden derzeit technische Lösungen entwickelt, die den Betroffenen ein Identitätsmanagement und die Wahrnehmung ihrer Datenschutzrechte ermöglichen.[39]

VI. Nutzungsdaten

Das zweite große Feld des Datenschutzes bei Suchmaschinen wird eröffnet durch die Verarbeitung der Nutzungsdaten der suchenden Personen. Die ökonomische Verwertung der Nutzungsdaten v.a. für Werbezwecke ist die zentrale Triebkraft für das Angebot von Suchmaschinen.[40] Damit kollidiert das Geschäftsmodell mit dem Grundsatz der Datensparsamkeit nach § 3a BDSG.[41]

Angesichts der Sensitivität der hinterlassenen Nutzungsdaten hat die 28. Internationale Konferenz der Datenschutzbeauftragten von den Anbietern gefordert, ihre Dienste in einer datenschutzfreundlichen Art und Weise anzubieten. Sie sollten keine Informationen über eine Suche, die Nutzenden von Suchmaschinen zugeordnet werden können, oder über die Nutzenden selbst aufzeichnen. Nach Ende eines Suchvorgangs sollten keine personenbeziehbaren Daten gespeichert bleiben, außer der Nutzende hat seine ausdrückliche informierte Einwilligung dazu gegeben, für die Erbringung weiterer Dienste notwendige Daten speichern zu lassen (z.B. zur Nutzung für spätere Suchläufe). Der Datenminimierung käme eine zentrale Bedeutung zu. Dies käme auch den Anbietern zunutze, da dies die Vorkehrungen bei Forderungen nach der Herausgabe von Nutzungsdaten vereinfachen würde.[42] Diese rechtspolitischen Forderungen müssen zwingend nach deutschem Recht umgesetzt werden.

Nach § 15 Abs. 1 TMG ist die Verarbeitung personenbezogener Nutzungsdaten zulässig, soweit dies für die Inanspruchnahme des Teledienstes erforderlich ist. Auf der Grundlage dieser Regelung ist die vorübergehende Speicherung und Nutzung der IP-Adresse des Nutzenden und der Suchanfrage zulässig, soweit die Angaben für die Anfragebearbeitung nötig sind. Für eine Speicherung über die Bearbeitung hinaus sowie für die Nutzung weiterer Daten wie z.B. Zeitstempel oder Angaben über den Browser enthält diese Norm keine Rechtsgrundlage.[43]

Nach § 15 Abs. 3 TMG darf der Diensteanbieter für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Suchmaschine Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzende dem nicht widerspricht. Auf das Widerspruchsrecht ist hinzuweisen. Die Datenschutzerklärungen der größeren Suchmaschinenanbieter weisen darauf hin, dass die Verwendung von Cookies im Browser deaktiviert werden kann, wobei das allerdings dazu führen könne, dass manche Elemente oder Dienste nicht richtig funktionieren. Ob die erteilten Hinweise hinreichend sind, ist zweifelhaft, zumal die Datenschutzerklärung zumeist nicht direkt, sondern über mindestens zwei Klicks erreichbar ist, und da die Deaktivierung von Cookies nicht unbedingt als Ausübung des Widerspruchsrechtes verstanden werden kann. Solange eine Profilbildung über die IP-Adresse als Pseudonym erfolgt, verstößt die derzeitige Praxis gegen § 15 Abs. 3 TMG.[44]

Gemäß § 15 Abs. 3 S. 3 TMG dürfen die Nutzungsprofile nicht mit Daten über den Träger des Pseudonyms zusammengeführt, d.h. personifiziert werden. In welchem Umfang dies passiert, ist bei den Suchmaschinenbetreibern nicht bekannt. Es muss aber davon ausgegangen werden, dass dies eine weit verbreitete Praxis ist. Wie dies möglich ist, kann am Beispiel von Google veranschaulicht werden: Google bietet nicht nur pseudonyme, sondern teilweise auch direkt personenbezogene Dienste an, bei denen Identifizierungsdaten zumindest optional angegeben werden.[45] Werden nun über die IP-Adresse, über ein Cookie oder über sonstige Identifier die personenbezogenen Daten des Nutzenden mit denen des Suchdienst-Profiles kombiniert, so erfolgt eine unzulässige Personifizierung.

Genutzt wird diese Zuordnung vor allem für die individualisierte Werbung: Im April 2007 hat Google Inc. das Unternehmen DoubleClick Inc. für 3,1 Mrd. US-Dollar erworben.[46] DoubleClick vermarktet Werbung durch die zielgerichtete Schaltung von Anzeigen im Internet (targeted advertising) und ist insofern Weltmarktführer. DoubleClick nutzt eine Werbesoftware aus der DART-Produktreihe, die für Werbetreibende oder Werbevertriebsfirmen eingesetzt wird. Auf den Seiten dieser Kunden beziehen die Nutzenden einen Cookie von DoubleClick auf ihrem Rechner, über den dieser beim Ansurfen der Seiten anderer DoubleClick-Kunden erkannt wird. So lässt sich über eine Vielzahl von Sessions und unter Auswertung zusätzlicher Merkmale ein Interessenprofil erstellen, welches wiederum mit den Suchanfragen bei Google verdichtet werden kann. Der Umfang des derart möglichen Profils hängt davon ab, wie stark der Nutzende den Google-Suchdienst nutzt und Seiten frequentiert, die mit DoubleClick kooperieren.[47] Ein derartiger Austausch zwischen rechtlich eigenständigen Unternehmen bzw. im Rahmen von einem Unternehmenserwerb hat nicht nur datenschutz-, sondern auch wettbewerbsrechtliche Implikationen.[48] Auch die Suchmaschinen-Betreiber Microsoft[49] und Yahoo[50] haben im Jahr 2007 Werbedienste gekauft. Personifizierungen sind zudem durch die Kombination der Nutzungsdaten der Suchmaschine mit anderen personalisierten Internet-Angeboten möglich, wie sie z.B. in großem Umfang von Google angeboten werden.[51]

Sollen Nutzungsdaten zu anderen Zwecken als der Bereitstellung des Dienstes oder der Werbung genutzt werden oder sollen die Daten an ein anderes Unternehmen übermittelt werden, so bedarf es hierfür einer ausdrücklichen Einwilligung nach § 12 Abs. 1 TMG. Dabei darf der Betreiber die Bereitstellung des Suchdienstes nicht von der Einwilligung zur Verwendung für anderen Zwecke abhängig machen, wenn dem Nutzenden ein anderer Zugang zu diesen Telemedien nicht oder in nicht zumutbarer Weise möglich ist (Koppelungsverbot, § 12 Abs. 3 TMG). 

Google betrachtet es als ein sehr weitgehendes Zugeständnis, dass die Speicherung der personenbezogenen Nutzungsdaten nicht mehr unbefristet erfolgt, sondern auf 18 bis 24 Monate befristet wird.[52] Demgegenüber hatte die Art. 29-Gruppe der Datenschutzbeauftragten Europas festgestellt, dass Art. 6 Abs. 1e EU-DSRL vorsieht, dass personenbezogene Daten „nicht länger, als es für die Realisierung der Zwecke, für die sie erhoben oder weiter verarbeitet werden, erforderlich ist“.[53] Tatsächlich verzichten viele Suchmaschinen überhaupt auf eine Speicherung der Verbindungsdaten nach Beendigung des Suchvorgangs.[54] Die soeben eingerichtete deutsche Personensuchmaschine „yasni“ meint mit einer dreitägigen Speicherung der IP-Adresse auszukommen.[55] Die langfristige Speicherung der Nutzungsdaten in personenbeziehbarer Form ist nicht erforderlich und damit nach § 15 Abs. 1 TMG unzulässig.

Dass die Löschung bzw. Anonymisierung der Nutzungsdaten erfolgt, kann für die Betroffenen u.U. von eminenter Bedeutung sein, da Dritte an einer zweckentfremdenden Nutzung ein großes Interesse haben können und die Internet-Nutzer beeinträchtigt werden können. Selbst staatlicherseits kann an diesen Daten ein - nicht immer legitimes - Interesse bestehen. So sind auf Grund des Patriot Act (Provide Appropriate Tools Required to Intercept and Obstruct Terrorism) alle Unternehmen in den USA verpflichtet, auf Verlangen alle gespeicherten Nutzungsdaten herauszugeben, auch von deutschen Nutzerinnen und Nutzern.[56] Auch in Deutschland müssen auf der Basis der bestehenden Regelungen diese Daten an Sicherheitsbehörden herausgegeben werden.

Auch im Hinblick auf die Verarbeitung der Nutzungsdaten haben die Betroffenen Rechte. So können sich die Nutzenden gemäß § 5 Abs. 1 TMG umfassend zum Diensteanbieter informieren über Name, Anschrift, Rechtsform, Vertretungsberechtigte, elektronische Kontaktmöglichkeiten und Identifizierungsnummern. Nach § 13 Abs. 1 TMG sind sie zusätzlich zu informieren über die Verarbeitung der Daten außerhalb des Geltungsbereiches der Europäischen Datenschutzrichtlinie. Dabei genügt es nicht, nur auf diesen Umstand hinzuweisen, so wie dies bisher regelmäßig erfolgt, sondern es muss zumindest das Land der Verarbeitung konkret benannt werden. Der Diensteanbieter muss den Nutzenden zudem gemäß § 34 BDSG Auskunft über die zur Person gespeicherten Daten geben, auch „zu seinem Pseudonym gespeicherten Daten“ (§ 13 Abs. 7 TMG).

Die Ansprüche auf Datenkorrektur nach § 35 BDSG bestehen auch hinsichtlich der Nutzungsdaten. Der Anbieter der Suchmaschine wie sonstiger Dienste muss zudem technisch-organisatorisch sicherstellen, dass „die anfallenden personenbezogenen Daten über den Ablauf des Zugriffs oder der sonstigen Nutzung unmittelbar nach deren Beendigung gelöscht“ bzw. zumindest gesperrt werden (§ 13 Abs. 4 Nr. 2 TMG).

VII. Schlussfolgerungen

Die vorstehende - in der Kürze notgedrungen oberflächliche - Analyse der Datenschutzprobleme bei Internet-Suchmaschinen zeigt, dass hier das Recht auf informationelle Selbstbestimmung derzeit nicht hinreichend gewahrt wird. Die gesetzlichen Regelungen sind völlig unzureichend und teilweise auf die eingesetzte Technik nicht anwendbar; die Vollzugsdefizite sich groß; die Aufsichtsbehörden haben keine praktischen Handhaben zur Durchsetzung des Datenschutzes. Zumindest die großen Unternehmen beginnen gerade erst, die Datenschutzimplikationen ihrer Angebote zur Kenntnis zu nehmen und zu reflektieren, um hieraus auch Konsequenzen zu ziehen. Angesichts des bisher bestehenden weitgehenden Monopols ist es bisher kaum möglich, die wettbewerbliche Macht der Verbraucher zu mobilisieren.

Dieser globale Missstand muss und kann sich ändern. Die Aufsichtsbehörden haben begonnen, sich über gemeinsame geforderte Datenschutzstandards selbst auf internationaler Ebene zu verständigen.[57] Hieraus können internationale, zwingende Normen zum Schutz informationeller Selbstbestimmung abgeleitet werden. Auf nationaler Ebene ist eine gezieltere Aufsichtstätigkeit nötig, die bisher an der katastrophalen personellen und technischen Ausstattung der zuständigen Stellen wie an einer verbesserungsfähigen Koordination scheitert. Durch die Entwicklung einer europäischen Alternative zu den US-Marktführern kann erreicht werden, dass die (rechtlich erlaubten) Zugriffsmöglichkeiten auf persönliche Daten sowie Betriebs- und Geschäftsgeheimnisse durch US-amerikanische Dienste ausgeschlossen werden. Unabhängig hiervon muss der nationale Gesetzgeber das Datenschutzrecht an die Notwendigkeiten und Möglichkeiten des globalen Internet anzupassen. Neben dem zwingenden Datenschutzrecht müssen gerade in den Bereichen, in denen die „Flucht ins Ausland“ für Anbieter möglich ist, verstärkt Marktmechanismen zum Einsatz gebracht werden. Hierfür bieten sich Datenschutz-Gütesiegel und -Audits an.[58] Parallel hierzu muss die Sensibilisierung der Nutzerinnen und Nutzer vorangebracht werden. Deren Vertretung in Gestalt der Verbraucherverbände hat die Möglichkeit, z.B. über AGB-Kontrollen die Verbraucherrechte generell zu stärken. Das Datenschutzrecht der User und Betroffenen ist nichts anderes als spezifisches Verbraucherrecht.[59] Auch ohne die Mobilisierung des Rechtes sind die Anbieter von Suchmaschinen aufgefordert, ihr Angebot datenschutzkonform (um-) zu gestalten. Um dies zu erreichen, geht kein Weg vorbei an der öffentlichen Diskreditierung schlechter und der positiven Hervorhebung datenschutzfreundlicher Angebote.  

 

[1] Die Tageszeitung 26.01.2006, 8.

[2] www.heise.de 17.04.2007.

[3] Krempl www.heise.de 20.02.2007.

[4] www.heise.de 10.06.2007.

[5] Presseeklärung Arbeitskreis Vorratsdatenspeicherung 25.07.2007.

[6] www.heise.de 22.08.2007.

[7] www.heise.de 14.09.2007.

[8] Borchers www.heise.de 17.09.2007.

[9] Krempl www.heise.de 20.09.2007.

[10] Speck, Vortrag am 20.09.2007 in Berlin beim SuMa-eV-Kongress 2007.

[11] Süddeutsche Zeitung (SZ) 07.11.2007, S. 2.

[12] Machill, 12 goldene Suchmaschinen-Regeln, Hrsg. Landesanstalt für Medien Nordrhein-Westfalen (LfM), Unabhängige Landesanstalt für Rundfunk und neue Medien Schleswig-Holstein (ULR), 2006, S.12; die Broschüre ist als Ratgeber zur Nutzung von Suchmaschinen für Verbraucherinnen und Verbraucher konzipiert.

[13] Van Eimeren/Frees, Internetnutzung zwischen Pragmatismus und YouTube-Euphorie, Media Perspektiven 8/2007, 362 ff.; zur Geschichte der Suchmaschinen Patzwaldt in Lehmann/Schetsche, Die Google-Gesellschaft, 2005, S. 75 ff.

[14] Speck/Thiele in Lehmann/Schetsche (Fn. 13), S. 181.

[15] Telepolis www.heise.de 12.10.2007.

[16] BVerfGE 27, 1 = Neue Juristische Wochenschrift (NJW) 1969, 1707 (Mikrozensus).

[17] BVerfGE 27, 6 = NJW 1969, 1707.

[18] BVerfGE 65, 1 ff = NJW 1984, 419 ff.

[19] BVerfGE NJW 2005, 1341 (GPS).

[20] Siemen, Datenschutz als europäisches Grundrecht, 2006.

[21] Simitis in Simitis Bundesdatenschutzgesetz, 6. Aufl. 2006, Einleitung Rz. 184 ff.

[22] BVerfG NJW 1984, 422.

[23] Dammann in Simitis (Fn. 21), § 1 Rz. 223.

[24] Scheja, Datenschutzrechtliche Zulässigkeit einer weltweiten Kundendatenbank, 2005, S. 90 f.

[25] Unabhängiges Landeszentrum für Datenschutz (ULD), Verkettung digitaler Identitäten, 2007, S. 126.

[26] Internetanbieter akzeptieren das Territorialitätsprinzip selbst in brisanten Fallgestaltungen, vgl. Yahoo: In China ist das eben so, www.heise.de 28.08.2007.

[27] Weichert in Däubler/Klebe/Wedde/Weichert, Bundesdatenschutzgesetz, 2. Aufl. 2007, § 29 Rz. 6.

[28] § 29 Abs. 1 S. 1 Nr. 3 BDSG.

[29] § 3 Abs. 9 BDSG.

[30] Weichert in Däubler/Klebe/Wedde/Weichert (Fn. 27), § 3 Rz. 57; vgl. § 28 Abs. 8 BDSG.

[31] Z.B. http://www.spock.com.

[32] Weichert Neue Verwaltungsrechtszeitschrift (NVwZ) 2007, 1005.

[33] BVerfG B.v. 18.11.2004 Europäische Grundrechte-Zeitschrift (EuGRZ) 2004, 805 ff.

[34] Z.B. <META Name=„ROBOTS“CONTENT=„NOINDEX, NOFOLLOW“>

[35] Vgl. http://www.robotstxt.org/wc/exclusion.html; Schaar, Datenschutz im Internet, 2002, Rz. 56.

[36] Arns in Lehmann/Schetsche (Fn. 13), S. 136.

[37] Zu Googles „Automatic Removal Tool“ Arns in Lehmann/Schetsche (Fn. 13), S. 136.

[38] Weichert in Kilian/Heussen, Computerrechts-Handbuch, März 2002, Kap. 133 Rz. 35.

[39] Hierzu wird im Rahmen der von der EU geförderten Projekte PRIME (https://www.prime-project.eu/) und FIDIS (http://www.prime-project.eu/) geforscht und diskutiert, an denen das ULD maßgeblich beteiligt ist.

[40] Schaar (Fn. 35), Rz. 427.

[41] Machill in Lehmann/Schetsche (Fn. 13), S. 56.

[42] 28. Int. DSB-Konferenz 2006, in Berliner Beauftragter für Datenschutz und Informationsfreiheit (BlnBDI), Internationale Dokumente zum Datenschutz bei Telekommunikation und Medien, 1983-2006, S. 60.

[43] ULD, Verkettung digitaler Identitäten (Fn. 25), S. 127.

[44] ULD, Verkettung digitaler Identitäten (Fn. 25), S. 127.

[45] ULD, 29. Tätigkeitsbericht 2007, Kap. 10.9 (Google-Szenario).

[46] Die US-Wirtschaftschaftsaufsichtsbehörde Federal Trade Commission - FTC untersucht die Übernahme, u.a. auf Drängen der Konkurrenten Microsoft und AT&T; www.heise.de 19.07.2007.

[47] ULD, Verkettung digitaler Identitäten (Fn. 25), S. 193 ff.; Schallaböck, Beitrag für Sommerakademie v. 27.08.2007 des ULD.

[48] Weichert Datenschutz und Datensicherheit (DuD) 2007, 724.

[49] Microsoft kauft aQuative für 6 Mrd. US-Dollar, www.heise.de 1805.2007.

[50] Yahoo kauft Right Media für 680 Mio. US-Dollar, www.heise.de 30.04.2007.

[51] ULD 29. TB 2007 (Fn. 45), Kap. 10.8; Speck/Thiele in Lehmann/Setsche (Fn. 13), S. 186 ff.

[52] Fleischer googleblog.blogspot.com 11.06.2007; vgl. www.heise.de 12.06.2007.

[53] Zit. nach www.heise.de 12.06.2007.

[54] Anonym suchen mit Ask.com, www.heise.de 22.07.2007.

[55] http://www.yasni.de.

[56] Speck/Thiele in Lehmann/Schetsche (Fn. 13), S. 189; zur Veröffentlichung von AOL-Suchanfragen zu ½ Mio. Nutzenden Schallaböck (Fn. 47).

[57] BlnBDI (Fn. 42), S. 60, 120, 163, 171.

[58] Vgl. hierzu das Angebot des ULD unter https://www.datenschutzzentrum.de/guetesiegel/, https://www.datenschutzzentrum.de/audit sowie zu EuroPriSe.

[59] Weichert Verbraucher und Recht (VuR) 2006, 377 ff.

---