TMG als Garaus für Personensuchmaschinen?

Ich bin über zwei Dinge überrascht: Zum einen über die plötzliche Diskussion über Personensuchmaschinen, die für mich gefühlt aus dem Nichts kommt. Zum anderen über die immer noch recht unkreativen Ansätze bei der Frage, wie man diese “Suchmaschinen” in den Griff bekommt. Hier mein persönlicher Vorschlag.

Anstelle über das KUrhG oder das BDSG, setze ich beim spezielleren Gesetz an: Dem Telemediengesetz. In diesem Fall geht es bei §12 Absatz 1 los:

Der Diensteanbieter darf personenbezogene Daten zur Bereitstellung von Telemedien nur erheben und verwenden, soweit dieses Gesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat.

Eine Personensuchmaschine ist ein Telemediendienst, der Betreiber Diensteanbieter. Es werden personenbezogene Daten (Hier: Die Daten desjenigen, nach dem gesucht wird) verarbeitet. Die Tatsache, dass diese Daten woanders liegen, spielt keine Rolle: Das zuständige Webskript muss die Daten zumindest finden, einlesen und wieder ausgeben – somit verarbeiten. Das hier im Gesetzestext von “verwenden” die Rede ist, schadet nicht, da das verwenden begrifflich noch weiter geht als das verarbeiten im Sinne des Bundesdatenschutzgesetzes. Ob dazwischen eine längerfristige Speicherung stattfindet, spielt dabei keine Rolle, es reicht, dass die Daten erhoben und zumindest bis zur Wiedergabe gespeichert werden.

Diese Verarbeitung erfolgt auch zur Bereitstellung des Dienstes – denn die personensuchmaschine kann schon begrifflich nur bereitgestellt werden, sofern personenbezogene Daten verarbeitet werden. Wer an dieser Stelle herausliest, dass damit nur die direkte Erhebung beim Betroffenen gemeint ist, hat ein Erklärungsproblem: Das steht da nämlich nicht nur nicht, sondern ist vom Wortlaut gar nicht gedeckt. Vielmehr geht es alleine um die Verwendung personenbezogener Daten (gleich aus welcher Quelle) zur Bereitstellung des Dienstes. Eben darum geht es hier, wenn personenbezogene Daten (woher auch immer) eingelesen und gebündelt angezeigt werden.

Der Anwendungsbereich der §§12ff. TMG ist somit eröffnet, was zur Folge hat, dass eine gesetzliche Erlaubnis oder eine Einwilligung des Nutzers vorliegen muss. Bei der gesetzlichen Erlaubnis ist darauf zu achten, dass die betreffende Norm sich auf Telemedien beziehen muss – was bei den Privilegierungen des BDSG gerade nicht der Fall ist. Wer also nun an die §§28, 29 BDSG denkt als Erlaubnisnorm, kann das gleich wieder abstellen. Weitere Erlaubnisnormen sind für mich nicht ersichtlich, speziell die §§14, 15 TMG passen gar nicht.

Es bleibt die Einwilligung des Nutzers. Da eine Einwilligung gegenüber der Personensuchmaschine nicht vorliegt, kommt man zur Frage, ob eine konkludente Einwilligung in der Form vorliegt, dass die Daten öffentlich zur Verfügung gestellt werden.

Anmerkung: Das ist nicht mit dem aktuellen Urteil des LG Köln zu verwechseln! Zwar ging es auch hier um eine konkludente Einwilligung, aber nicht um eine datenschutzrechtliche, sondern um eine bezogen auf das Recht am Bild. Der Unterschied liegt in den Kriterien der Freiwilligkeit und Informiertheit, die bei der datenschutzrechtlichen Eineilligung vorliegen müssen, dazu im Folgenden.

Ich sehe nun die Möglichkeit der stillschweigenden, konkludenten Zustimmung in dieser Form kritisch: Das Instrument der stillschweigenden, konkludenten Einwilligung gibt es im allgemeinen Datenschutzrecht nicht (siehe dazu Gola/Schomerus, §4a, Rn.13 sowie Simitis, §4a, Rn.45).  Dies verdeutlicht sich, wenn nicht einmal gegenüber der eigentlichen verarbeitenden Stelle (Soziales Netzwerk) sondern damit dann verbunden vielmehr gegenüber einer anderen verarbeitenden Stelle (Personensuchmaschine) diese Einwilligung dann auch erteilt worden sein soll. Insofern ist zu bedenken, im Bereich des Telemediengesetzes die konkludente Einwilligung genauso abzulehnen, wie sonst im Datenschutzrecht auch.

Denn in solchen “Ketten” – wie sie bei Suchmaschinen nun einmal auftreten – mit konkludenten Willenserklärungen zu hantieren ist von Natur aus kritisch. Schliesslich muss man sich fragen, ob bei ernsthaftem Verlangen von Informiertheit und Freiwilligkeit – die ja bei allen datenschutzrechtlich relevanten Einwilligungen vorliegen müssen – eine Einwilligung letztlich nicht nur direkt zwischen Betroffenem und unmittelbar verarbeitender Stelle vorliegen kann. Andernfalls ist schon fraglich, inwiefern der Betroffene überhaupt noch über die Wirkung seiner Einwilligung informiert sein kann, da er zwar die Daten an eine Stelle gibt, aber letztlich jeder sich frei bedienen dürfte, sobald es irgendwie publik wird.

Wer nun wieder mit dem Telefonbuch-Vergleich kommt, verkennt die Natur des Telemediengesetzes und seinen speziellen Charakter: Gerade wegen den Gefahren der schnellen Verbreitung digitaler Daten gibt es hier strengere Vorgaben. Zu sehen ist dies in §13 II TMG, wo die elektronische Einwilligung als Sonderfall geregelt wird:

Die Einwilligung kann elektronisch erklärt werden, wenn der Diensteanbieter sicherstellt, dass
1. der Nutzer seine Einwilligung bewusst und eindeutig erteilt hat,
2. die Einwilligung protokolliert wird,
3. der Nutzer den Inhalt der Einwilligung jederzeit abrufen kann und
4. der Nutzer die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen kann.

Es wäre widersinnig, an die elektronische Einwilligung derart schwierige Bedinungen zu knüpfen, wenn daneben (oder besser: Quasi damit verbunden) eine stillschweigende Einwilligung existieren würde, die gegenüber jedem Dritten uferlos wirkt und keinerlei Kontrolle unterliegt. So müsste dann das soziale Netz, bei dem man sich registriert, diesen ganzen Vorgaben gerecht werden – derjenige, der dann aber die Daten automatisiert ausliest, wäre plötzlich privilegiert und dürfte sich aus der Verantwortung stehlen. Da beisst sich was.

Im Ergebnis muss somit den Betreibern von Personensuchmaschinen, mit Hilfe des TMG bei entsprechender Anwendung, die fehlende Einwilligung der Betroffenen entgegen gehalten werden. Eine konkludente Einwilligung ist dem Wesen des TMG insofern ebenso fremd wie sie dem Datenschutzrecht fremd ist. Sie darf im TMG nicht verwendet oder angedacht  werden: Hier schlägt der Charakter als Spezialgesetz durch, wobei die Wertung des §13 II TMG zu beachten ist.

Zum Thema:

• Artikel bei der Zeit
• RA Stadler zum Thema, erlehnt meine These ab

Update: Ich musste den Artikel überarbeiten. Der Aufhänger (die datenschutzrechtliche konkludente Einwilligung) war sachlich falsch und ist verbessert.

Hinzu kommt die Frage, ob dann nicht auch Google ein Problem hätte: Das sehe ich nicht so. Denn – siehe oben – die Erhebung der Daten muss “zur Bereitstellung” erfolgen. Google erhebt aber nicht (alleine) personenbezogene Daten, um seinen Suchdienst zu offerieren, anders als eine Personensuchmaschine. Beispiel: Würde man bei Google alle personenbezogenen Ergebnisse entfernen, bliebe die Suche als solche weiterhin intakt und sogar sinnvoll. Bei einer Personensuchmaschine wie Yasni bliebe gar nichts übrig. An dieser Stelle ist sodann zu unterscheiden, wobei die Kritik, dass diese Grenze schwammig ist, vollkommen richtig ist.
Aber: Dies ist die gleiche Argumentation, wie sie bis heute bei der Frage üblich ist, ob eine Person auf einem Foto ein “Beiwerk” ist. Hier zeigt sich dann auch das Kriterium bei mir zum unterscheiden: Bei Google sind Profil-Daten nur Beiwerk zu den anderen Suchergebnissen, die produziert werden. Bei einer Personensuchmaschine nicht. Das Kriterium zur Unterscheidung von Personensuchmaschine und “normaler” Suchmaschine ist somit zugleich der Anwendungspunkt der verschärften Datenschutzvorschriften des TMG (die natürlich auch für Google gelten, aber nicht bei den Suchergebnissen greifen – vielmehr dann bei Server-Logfiles etc.)