LUXEMBURG
IZ

In drei Monaten werden neue Rechte zur Erhebung und Verarbeitung personenbezogener Daten europaweit in Kraft treten, was insbesondere Unternehmen des elektronischen Geschäftsverkehrs dazu verpflichten wird, ihre Informationspolitik und Praktiken zu überprüfen.

„Als personenbezogene Daten gelten alle Informationen, mit denen eine Person identifiziert wird, einschließlich aller Elemente, die sich auf ihre physischen, wirtschaftlichen, kulturellen, sozialen oder standortspezifischen Daten beziehen“, erklärt Bob Schmitz, juristischer Berater für Europaangelegenheiten bei der „Union Luxembourgeoise des Consommateurs (ULC)“.

Um welche Rechte handelt es sich?

Das Unternehmen müsse dem Verbraucher alle Informationen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ übermitteln, wie Schmitz darlegt - insbesondere über den Zweck der Verarbeitung seiner personenbezogenen Daten, die Empfänger (mit wem diese Daten geteilt werden), wie lange sie gespeichert werden sowie das Recht auf Berichtigung, Löschung personenbezogener Daten („Recht auf Vergessenwerden“) oder auch das Widerspruchsrecht zu jedem Zeitpunkt, zum Beispiel in Bezug auf Profiling.

Wird die Zustimmung des Verbrauchers eingeholt, „muss dies eine eindeutige positive Aussage oder Handlung sein, was eine radikale Änderung der aktuellen Geschäftsbedingungen über personenbezogene Daten bedeutet“, erklärt Schmitz weiter. „Nehmen wir das Beispiel von zwei großen Unternehmen, die ihren europäischen Sitz in Luxemburg haben: Amazon und eBay.“ Alle Beschwerden, die sie betreffen, und deren Überwachung lägen daher im Prinzip in der Verantwortung unserer Nationalen Datenschutzkommission (CNPD).

Amazons sechs Seiten zur Datenschutzerklärung im Kleingedruckten führen nach Schmitz sofort in Fettdruck an: „Mit dem Besuch der Website Amazon.fr geben Sie uns Ihr Einverständnis dafür, dass Amazon.fr Ihre nachstehend aufgeführten personenbezogenen Daten zu den hier genannten Zwecken erheben, verarbeiten und nutzen darf.“ Für eBay (elf Seiten) heißt es: „Die Datenschutzbedingungen werden wirksam, sobald die Nutzer sich mit ihnen durch die Registrierung bei eBay einverstanden erklärt haben.“

„Nach der neuen EU-Verordnung 2016/679 können diese beiden Unternehmen diese Bedingungen nicht mehr zusammen mit ihren Allgemeinen Verkaufs - und Nutzungsbedingungen (AGB) für ihre Websites veröffentlichen“, stellt Schmitz klar. Zusammen seien diese Texte langwierig, kompliziert und unleserlich, was dem Ziel der Transparenz widerspricht. Heute seien sie implizit, künftig müssen diese Firmen jedoch eine spezielle Einverständniserklärung einholen, „das heißt eine ausdrückliche Zustimmung“, lautet die Ansicht der ULC. Doch die Erhebung und Verarbeitung personenbezogener Daten bedürfe jedoch nicht in allen Fällen einer Einwilligung. Beispielsweise könnten sich Unternehmen, die auf „Big Data“ spezialisiert seien, auf das „berechtigte Interesse“ berufen, um personenbezogene Daten ohne Zustimmung zu erheben, zu verarbeiten und zu verkaufen, erklärt Schmitz weiter. Betroffene können jedoch jederzeit mit dem „Opt-out“ Widerspruch dagegen einlegen, da Unternehmen verpflichtet sind, die Verbraucher über die erhobenen und verarbeiteten Daten aufgrund berechtigter Interessen zu informieren.

Das Ziel der Transparenz sei an sich lobenswert. Notwendig wäre jedoch, die Wirksamkeit der Umsetzung dieser neuen Rechte sicherzustellen.

„In Deutschland empfiehlt ein Gutachten des Sachverständigenrats für Verbraucherfragen zum Thema ‚Digitale Souveränität‘, die Allgemeinen Geschäftsbedingungen und die Rechte hinsichtlich personenbezogener Daten auf einer Seite zusammenzufassen“, sagt Schmitz.

Recht auf Vergessen

Dies sollte es den Verbrauchern ermöglichen, auf einen Blick über ihre Grundrechte (und -pflichten) Bescheid zu wissen, die Unternehmen aber nicht daran hindern, ausführlich darzulegen, welche Daten erfasst werden, wo sie erhoben werden, wofür sie verwendet werden und mit welchen Partnern oder Drittpersonen sie geteilt werden. Schon heute versuche jedes Unternehmen, die Verbraucher bezüglich Beschränkungen zu beruhigen. So schreibe nach Schmitz zum Beispiel Amazon.fr: „Es gehört [...] nicht zu unserem Geschäft, diese Kundeninformationen zu verkaufen.“ Auch in anderen Ländern bemühten sich die Behörden, die besten Lösungen zu finden. Die französische CNIL beispielsweise habe eine öffentliche Konsultation zum Interesse der Standardisierung und Rangfolge der Informationen eingeleitet.

Besonderes Augenmerk gilt dem Recht auf Vergessen mit dem Ziel, Daten wie Informationen oder auch Bilder, die in sozialen Netzwerken gepostet würden, verschwinden zu lassen. „Beim Marketing ist eher das Widerspruchsrecht wichtig, aber das ist nichts Neues, weil es besteht bereits heute.“ Die neuen Transparenzanforderungen sollten die Verbraucher jedoch stärker auf dieses Recht aufmerksam machen. eBay erkläre bereits jetzt, dass der Verbraucher berechtigt sei, sich von Marketingnachrichten abzumelden, und: „Wenn Sie nicht an unseren Programmen zur Anpassung von Werbeanzeigen teilnehmen möchten, können Sie [dem] widersprechen.“ Doch was sind die Folgen des Widerrufs einer Einwilligung?

Bei eBay: „Wenn Sie Ihre Einwilligung in die Nutzung oder Weitergabe Ihrer personenbezogenen Daten für die in dieser Datenschutzerklärung genannten Zwecke widerrufen, sind wir möglicherweise nicht mehr in der Lage, Ihnen den Zugriff auf alle unsere Services zu ermöglichen.“ Hierbei handele es sich um unzureichende Informationen über die Dienstleistungen, die der Verbraucher dann verlieren würde.

Der deutsche Sachverständigenrat stellt fest, dass es für Verbraucher derzeit sehr schwierig ist, sich ein klares Bild der „Fair Value“ ihrer persönlichen Daten zu machen, formuliert Schmitz den Stand der Dinge. Die europäischen und nationalen Behörden wollen aber sicherstellen, „dass den Verbrauchern die gleichen Rechte zuerkannt werden, insbesondere im Hinblick auf die Qualitätssicherung und die Rechtsmittel, unabhängig davon, ob sie einen Preis gezahlt oder eine nicht monetäre Gegenleistung in Form von personenbezogenen Daten geleistet haben.“ Ebenso müsse die Werbung gestoppt werden, die behauptet, dass Dienste „kostenlos“ angeboten werden, obwohl der Verbraucher mit seinen persönlichen Daten oder anderen Daten, den sogenannten „user-generated content“, bezahlt und dem Unternehmen regelmäßig alle Nutzungsrechte überträgt.