{"id":7668,"date":"2024-10-17T20:31:53","date_gmt":"2024-10-17T19:31:53","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=7668"},"modified":"2024-10-23T14:48:17","modified_gmt":"2024-10-23T13:48:17","slug":"verpestet-ist-ein-ganzes-land-teil-ii","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2024\/10\/17\/verpestet-ist-ein-ganzes-land-teil-ii\/","title":{"rendered":"Verpestet ist ein ganzes Land … (Teil II)"},"content":{"rendered":"

… wo schleicht herum der Denunziant (Max Kegel<\/em>, Der Denunziant<\/a>, 1884).<\/p>\n

In Teil I dieses Blogbeitrags<\/a> wurde das intransparente Zusammenwirken staatlicher und nichtstaatlicher Akteure bei der Inhalte\u00fcberwachung kritisiert. In Teil II geht es um die datenschutzrechtliche Einordnung des\u00a0Systems der EU-Inhalte\u00fcberwachung<\/a>\u00a0des Digital Services Act (DSA).<\/p>\n

6. Wieviel Datenschutz gew\u00e4hrleistet das System der Inhalte\u00fcberwachung des DSA?<\/strong><\/h1>\n

a) Anwendungsbereich<\/strong><\/h1>\n

Der Anwendungsbereich des Datenschutzrechts ist ohne Zweifel er\u00f6ffnet.<\/p>\n

Die Meinungs\u00e4u\u00dferung eines Internetnutzers ist ein personenbezogenes Datum dieses Internetnutzers (vgl. Art. 4 Nr. 1 DSGVO<\/a>). Wird die \u00c4u\u00dferung unter Klarnamen gemacht, ist sie ohne weiteres auf die \u00e4u\u00dfernde Person bezogen.<\/p>\n

Doch auch, wenn die \u00c4u\u00dferung durch einen Account erfolgt, der vermeintlich anonym ist, bleibt das Datum personenbezogen. Nach dem vom Europ\u00e4ischen Gerichtshof<\/em> und der herrschenden Meinung vertretenen weiten Begriff des Personenbezugs bleibt die \u00c4u\u00dferung personenbezogen, denn jedenfalls die Strafverfolgungsbeh\u00f6rden d\u00fcrften in vielen F\u00e4llen in der Lage und bei Straftaten auch rechtlich befugt sein, die \u00e4u\u00dfernde Person zu ermitteln.<\/p>\n

Dass die \u00c4u\u00dferung vom \u00c4u\u00dfernden selbst \u00f6ffentlich gemacht wurde, \u00e4ndert nichts an ihrer Einstufung als personenbezogenes Datum (arg e Art. 9 Abs. 2 lit. e) DSGVO<\/a>).<\/p>\n

Beim Studium der Datenschutzerkl\u00e4rung der Meldestelle REspect!<\/a> bekommt man nicht den Eindruck, dass die Meldestelle sich der Tatsache bewusst ist, dass sie personenbezogene Daten des Urhebers der inkriminierten Inhalte verarbeitet und dass diese in besonderer Weise sch\u00fctzenswert sind. Unter der \u00dcberschrift „Welche personenbezogenen Daten verarbeiten wir?“ findet sich lediglich folgender Eintrag:<\/p>\n

„Ihre personenbezogenen Daten werden von der Jugendstiftung erhoben, wenn Sie mit der Meldestelle, z. B. Meldender oder Interessent in Kontakt treten. Dies kann beispielsweise geschehen, indem Sie eine Meldung \u00fcber das Meldeformular einreichen, sich \u00fcber Kommunikationskan\u00e4le an die Jugendstiftung wenden oder wenn Sie im Rahmen bestehender Gesch\u00e4ftsbeziehungen Angebote und Dienstleistungen nutzen.“<\/em><\/p><\/blockquote>\n

Das klingt, als ginge es der Meldestelle nur um die personenbezogenen Daten der meldenden<\/em> Person, nicht aber um die der gemeldeten<\/em> Person.<\/p>\n

b)\u00a0Verarbeitungsvorg\u00e4nge<\/strong><\/h1>\n

Da jede \u00c4u\u00dferung im Internet auch ein personenbezogenes Datum des \u00c4u\u00dfernden ist, sind s\u00e4mtliche Verarbeitungen dieser \u00c4u\u00dferungen datenschutzrechtlich relevante Vorg\u00e4nge. Auch\u00a0der Verarbeitungsbegriff ist sehr weit (vgl. Art. 4 Nr. 2 DSGVO<\/a>). Die folgenden vom DSA vorgesehenen Handlungen sind daher datenschutzrelevante Verarbeitungen:<\/p>\n

\u00dcbermittlung <\/strong>eines Inhalts durch einen Internetnutzer an einen „vertrauensw\u00fcrdigen Hinweisgeber“.<\/p>\n

Durchsuchung<\/strong> des Internets und Erfassung<\/strong> potentiell rechtswidriger Inhalte durch den „vertrauensw\u00fcrdigen Hinweisgeber“ oder Sammlung<\/strong>\u00a0von Meldungen anderer Internetnutzer \u00fcber ein Meldeportal. Diese Verarbeitungsschritte werden vom DSA zwar nicht ausdr\u00fccklich erw\u00e4hnt, sind aber f\u00fcr die Aufgabenerf\u00fcllung erforderlich. In den Twitterdiskussionen der vergangenen Tage wurde immer wieder eingewandt, der „vertrauensw\u00fcrdige Hinweisgeber“ durchsuche das Internet doch gar nicht selbst, sondern leite nur die Meldungen anderer Internetnutzer weiter. Ob er selbst sucht oder nicht, ist aber f\u00fcr die datenschutzrechtliche Verantwortlichkeit irrelevant. Verantwortlich ist, wer \u00fcber die Zwecke und Mittel der Datenverarbeitung entscheidet (vgl. Art. 4 Nr. 7 DSGVO<\/a>). Das Sammeln der Meldungen anderer Internetnutzer \u00fcber ein Meldeportal reicht aus. Der DSA schlie\u00dft dar\u00fcber hinaus auch nicht aus, dass der „vertrauensw\u00fcrdige Hinweisgeber“ selbst sucht und nicht nur suchen l\u00e4sst. Der Leitfaden der Bundesnetzagentur<\/em><\/a> spricht \u00fcbrigens von „Aufsp\u00fcren, Identifizieren und Melden“.<\/p>\n

Bewertung<\/strong> eines potentiell rechtswidrigen Inhalts durch den „vertrauensw\u00fcrdigen Hinweisgeber“. Die Vornahme einer eigenen Bewertung durch den „vertrauensw\u00fcrdigen Hinweisgeber“ ist f\u00fcr die Erf\u00fcllung der Pflichten des Art. 16 Abs. 2 DSA erforderlich.<\/p>\n

\u00dcbermittlung<\/strong>\u00a0(„Meldung“) eines f\u00fcr rechtswidrig befundenen Inhalts durch den „vertrauensw\u00fcrdigen Hinweisgeber“ an die Online-Plattform. Die Meldung muss „hinreichend genau und angemessen begru\u0308ndet“ sein (Art. 16 Abs. 2 DSA).<\/p>\n

Best\u00e4tigung<\/strong> des Empfangs der Meldung durch die Online-Plattform an den „vertrauensw\u00fcrdigen Hinweisgeber“ (Art. 16 Abs. 4 DSA).<\/p>\n

Entscheidung<\/strong> der Online-Plattform \u00fcber Informationsentfernung, -zugangssperre oder -anzeigebeschr\u00e4nkung (Art. 20 Abs. 1 lit.a) DSA), Aussetzung oder Beendigung der Diensteerbringung (Art. 20 Abs. 1 lit. b) DSA) oder Aussetzung oder Schlie\u00dfung des Nutzerkontos (Art. 20 Abs. 1 lit. c) DSA).<\/p>\n

\u00dcbermittlung<\/strong> der Entscheidung \u00fcber die Meldung durch die Onlineplattform an den „vertrauensw\u00fcrdigen Hinweisgeber“ und an die betroffene Person (Art. 16 Abs.5 DSA).<\/p>\n

Erstellung einer Datenbank suspendierungsgef\u00e4hrdeter Nutzer<\/strong> durch die Online-Plattform. Anders als durch eine solche Datenbank kann die Online-Plattform die Anforderungen der Art. 23 Abs. 1 und 3 DSA realistischerweise nicht einhalten.<\/p>\n

Erstellung einer Datenbank suspendierungsgef\u00e4hrdeter meldender Personen<\/strong> durch die Online-Plattform. Anders als durch eine solche Datenbank kann die Online-Plattform die Anforderungen der Art. 23 Abs. 2 und 3 DSA realistischerweise nicht einhalten.<\/p>\n

Erstellung einer Datenbank<\/strong> suspendierungsgef\u00e4hrdeter Beschwerdef\u00fchrer<\/strong> durch die Online-Plattform. Anders als durch eine solche Datenbank kann die Online-Plattform die Anforderungen der Art. 23 Abs. 2 und 3 DSA realistischerweise nicht einhalten.<\/p>\n

\u00dcbermittlung<\/strong> des Verdachts auf Straftaten durch die Online-Plattform an die Strafverfolgungs- oder Justizbeh\u00f6rden (Art. 18 DSA).<\/p>\n

Betrieb<\/strong> der au\u00dfergerichtlichen Streitbeilegungsstelle (Art. 21 DSA).<\/p>\n

c) Rechtsgrundlage<\/strong><\/h1>\n

Jeder der genannten Verarbeitungsvorg\u00e4nge bedarf einer Rechtsgrundlage. Die ma\u00dfgeblichen Regelungen der Art. 16 und 22 DSA sehen jedoch keine spezifischen datenschutzrechtlichen Vorkehrungen vor. Es gilt aber wie in allen Rechtsakten des EU-Datenrechts der vergangenen Jahre: „Die DSGVO bleibt unber\u00fchrt“ (vgl. Art. 2 Abs. 4 lit. g) DSA). Das bedeutet, dass s\u00e4mtliche Regelungen der DSGVO f\u00fcr alle datenschutzrelevanten Verarbeitungen des DSA gelten.<\/p>\n

Man wird wohl den Digital Services Act als Rechtsgrundlage f\u00fcr s\u00e4mtliche der genannten Verarbeitungsvorg\u00e4nge ansehen m\u00fcssen. Demnach w\u00e4ren die Verarbeitungen des „vertrauensw\u00fcrdigen Hinweisgebers“ und der Online-Plattformen Verarbeitungen im Sinne des Art. 6 Abs. 1 lit. c) DSGVO<\/a>, also Verarbeitungen, die zur Erf\u00fcllung einer rechtlichen Verpflichtung erforderlich sind. Denkbar w\u00e4re auch, dass man die Verarbeitungen als Verarbeitungen im Sinne des Art. 6 Abs. 1 lit. e) DSGVO<\/a> ansieht – also als Verarbeitungen, die f\u00fcr die Wahrnehmung einer Aufgabe erforderlich sind, die im \u00f6ffentlichen Interesse liegt.<\/p>\n

Wenn man das aufw\u00e4ndige System der Inhalte\u00fcberwachung<\/a> an den Grunds\u00e4tzen der Normenklarheit und Normenbestimmheit misst, die das BVerfG f\u00fcr den Datenschutz im \u00f6ffentlichen Bereich ausdifferenziert hat, kann man die datenschutzrechtliche Absicherung kaum f\u00fcr ausreichend halten. Bei staatlicher \u00dcberwachung muss letztlich jeder Verarbeitungsschritt gesetzlich festgelegt werden. Die Verarbeitungszwecke m\u00fcssen hinreichend pr\u00e4zise umgrenzt sein (Anlass, Zweck, Umfang). Und je tiefer die \u00dcberwachungsma\u00dfnahmen in die Grundrechte des Betroffenen (hier die Meinungsfreiheit) eingreifen, desto strenger sind die Anforderungen.<\/p>\n

An dieser Stelle wird der Einwand des Europarechts kommen, der besagt, die Anforderungen des BVerfG g\u00e4lten f\u00fcr den unionsrechtlich vollharmonisierten Bereich des DSA nicht. Doch selbst wenn man den DSA „nur“ am Ma\u00dfstab der DSGVO misst, ist die Rechtsgrundlage d\u00fcnn. Auch die DSGVO sieht f\u00fcr spezialgesetzliche Rechtsgrundlagen (allerdings nur im Sinne einer Kann-Regelung) vor, dass diese\u00a0spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften der DSGVO enthalten k\u00f6nnen (vgl. Art. 6 Abs. 3 Satz 3 DSGVO<\/a>), unter anderem Bestimmungen dar\u00fcber, …<\/p>\n