Bundestagsrede von Dr. Konstantin Notz 26.01.2012

Änderung des Telemediengesetzes

Dr. Konstantin von Notz (BÜNDNIS 90/DIE GRÜNEN): Der mit nur einem Paragrafen etwas knapp gehaltene Gesetzentwurf der Kolleginnen und Kollegen der SPD-Fraktion führt mitten hinein in das Herz der Debatte um den Internetdatenschutz. Dabei geht es beispielsweise um die Probleme der Profilbildung und des Behavioral Targeting. Und um es gleich vorweg zu sagen: Der Gesetzentwurf wirft die schwierige Frage auf, ob für die Bürgerinnen und Bürger und den Schutz ihrer Daten mit derlei chirurgischen Eingriffen tatsächlich etwas gewonnen werden kann.

Bevor ich dazu einige Punkte erläutere, möchte ich zunächst zum Handeln, oder sollte ich besser sagen, zum Nicht-Handeln der Bundesregierung in diesem Bereich etwas erläutern: Die schwarz-gelbe Koalition muss im Bereich des Datenschutzes endlich tätig werden. Insoweit der Entwurf der SPD hier einen Anstoß geben will, geht er in die richtige Richtung. Denn die Bundesregierung verweigert seit über zwei Jahren hartnäckig jegliche Verantwortung für einen zeitgemäßen Schutz der Bürgerinnen und Bürger und dem Ausverkauf ihrer Daten und Grundrechte.

Sämtliche Versprechen, selbst die, die im Koalitionsvertrag vereinbart wurden, sind bis heute nicht eingelöst – sei es der Beschäftigtendatenschutz, die Stiftung Datenschutz, die Überarbeitung des Bundesdatenschutzgesetzes, der Beschäftigtendatenschutz oder die zunächst vom vormaligen Innenminister angekündigte, aber vom jetzigen Minister bereits wieder beerdigte Rote-Linie-Gesetzgebung.

Mussten wir uns noch bis vor kurzem anhören, man wolle diese oder jene Maßnahme mit Blick auf die anstehende Datenschutzreform in Brüssel nicht vorwegnehmen, heißt es nun, nachdem die Europäische Kommission einen recht ambitionierten Entwurf vorgelegt hat, die Reform aus Brüssel gebe Anlass zu allergrößten Bedenken und der bundesdeutsche Gesetzgeber dürfe sich nicht ausbremsen lassen. Mit dieser anhaltenden Verweigerungshaltung untermauert die Bundesregierung einmal mehr ihren Unwillen, hier endlich für die Rechte der Bürgerinnen und Bürger einzustehen. Es bleibt offen, ob dies allein aus Überzeugung oder aus Unfähigkeit geschieht. Gerade der Fall der heute hier zu verhandelnden Cookies hinterließ jedenfalls – im Rahmen der Diskussion um die Novellierung des Telekommunikationsgesetzes etwa – den Eindruck, man sei schlicht nicht in der Lage, eine tragfähige Antwort zu präsentieren.

Die Bundesregierung war sich des Ablaufs der Frist zur Umsetzung der Vorgaben der E-Privacy-Richtlinie bewusst. Und auch die schwierigen, mit der Cookie-Problematik verbundenen Rechtsfragen waren hinlänglich bekannt. Gelöst hat die schwarz-gelbe Bundesregierung diese wichtigen Fragen bis heute nicht, weshalb für das Setzen von Cookies nach wie vor im Grundsatz die bestehende Rechtslage im Telemediengesetz gilt, nämlich eine Opt-out-Regelung. Und das ganz im Widerspruch zu der von der E-Privacy-Richtlinie geforderten Opt-in-Lösung.

Wie ich allerdings bereits eingangs betont habe, führt die Diskussion um eine Cookie-Regelung ins Herz der Fragen um den Internetdatenschutz. Und damit sind wir bei der tatsächlich nichttrivialen Frage angelangt, ob überhaupt und, wenn ja, auf welcher Weise es gelingen kann, effektive rechtliche Bindungen für Betreiber bereits auf der Ebene des mittlerweile recht ausdifferenzierten Tableaus von Wiedererkennungstechniken anzusetzen. Hier gilt es zum Beispiel, die hochumstrittene Frage des Personenbezuges von IP-Adressen mit zu bedenken, denn gerade auch für Cookies spielt diese eine Rolle.

Hier liegt nun eine Richtlinie, die E-Privacy-Richtlinie, vor. Auf den ersten Blick scheint sie klare Vorgaben zu machen. Auch vor dem Hintergrund der aktuellen Reformvorschläge der Europäischen Kommission für eine grundlegende Datenschutzreform dürfen wir eine kritische Prüfung der EU-Vorlagen nicht vernachlässigen.

Die Anforderungen an eine zeitgemäße gesetzliche Regelung sind vielfältig: Da wären die guten alten Session-Cookies und die dauerhaften Cookies. Zu ihnen gesellen sich heute sogenannte Web Bugs und Flash-Cookies. Zudem gibt es noch anderweitige Auswertungsmöglichkeiten – etwa durch Browser-Footprints. Ein präventiv ansetzender Datenschutz müsste bereits hier ansetzen – auch wenn die unterschiedlichen Zwecksetzungen von Cookies Fragen aufwerfen. Dementsprechend nimmt etwa der SPD-Entwurf, der im Wortlaut eine ganz erstaunliche Ähnlichkeit mit dem Bundesratsentwurf – BR-Drucksache 156/11 – aufweist, die Session-Cookies sowie diejenigen Cookies gänzlich vom Einwilligungserfordernis aus, die „unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten elektronischen Informations- oder Kommunikationsdienst zur Verfügung stellen zu können.“

Dieses Vorgehen erscheint zwar zunächst sinnvoll, aber schon hier stellt sich die Frage, ob etwa die von Facebook im Rahmen von Like-Buttons platzierten datr-Cookies unter eine solche Privilegierung fallen, die nach Einlassung des Konzerns allein zu Sicherheitszwecken unbedingt erforderlich sein sollen.

Ferner unterwirft der Gesetzesvorschlag der SPD unterschiedslos alle anderen Cookie-Verwendungen dem Einwilligungsvorbehalt, ganz gleich, ob diese für eine Webseite nur zu Sicherheitszwecken, für Werbezwecke, allein durch Drittanbieter oder webseitenübergreifend zur Profildatenerstellung gesetzt werden. Auch Lebensdauer und Inhalt finden insoweit keine Berücksichtigung. Zugleich bleibt der Einwilligungsbegriff unpräzise, weil Bezug genommen wird auf die bestehenden TMG-Vorschriften und damit auf die zumindest in der Literatur vertretene Auslegung, wonach eben auch die konkludente Einwilligung per Browservoreinstellung genügen können soll.

Auch der Begründung des Entwurfs der SPD ist zu dieser Frage leider keine Stellungnahme zu entnehmen. Damit weicht der Gesetzentwurf einer der entscheidenden regulatorischen Fragen der Cookie-Problematik schlicht aus und verfehlt damit das Ziel, Rechtssicherheit zu bringen. Die entscheidende Frage also bleibt offen: Sollte angesichts der in der Praxis auf Webseiten oftmals bis zu 20 oder 30 gleichzeitig platzierten Cookies auf die nahezu unmöglichen Einzeleinwilligungen verzichtet und eine pauschale, letztlich von den Datenschutzeinstellungen des Users selbst vorzunehmende Absicherung umgestellt werden?

Von einer solchen alleinigen Selbstverantwortung der Nutzerinnen und Nutzer halten wir, genau wie die Artikel-29-Datenschutzgruppe der Datenschutzbehörden der EU-Mitgliedstaaten, nur wenig. Sie wird von der Wirtschaft gefordert, die, insoweit durchaus nachvollziehbar, die Praktikabilität nicht durch eine Vielzahl von Pop-up-Fenstern mit Einwilligungserfordernissen unterbrechen will. Hier gilt es zu bedenken, dass noch längst nicht alle Browser über einfache und verständliche Datenschutzeinstellungen verfügen: So umgehen Flash-Cookies den Browser vollständig.

Die Medienkompetenz der Bürgerinnen und Bürger würde zum gegenwärtigen Zeitpunkt überschätzt, überließe man ihnen allein die Last der zu treffenden Schutzmaßnahmen.

Neuere Studien zu den bestehenden technischen Selbstschutzmöglichkeiten kommen zu dem Schluss, dass diese nach wie vor lückenhaft sind. Es stellt sich also die Frage, wie eine differenzierte gesetzliche Regelung ausgestaltet werden müsste. Womöglich müsste sie risikoabgestufte Lösungen anbieten und den Fall der webseitenübergreifenden Anwendungen zur Profilerstellung im Schwerpunkt aufgreifen. Zusätzlich wären für alle Techniken der Wiedererkennung Privacy-by-Design-Vorgaben verpflichtend zu machen.

Eine weitere, gegenüber den EU-rechtlichen Vorgaben sogar missliche Verkürzung enthält der SPD-Entwurf schließlich bei den Informationspflichten: Während die Richtlinie Einwilligungen nur auf der Grundlage „klarer und umfassender Informationen“ zulassen will, gibt sich der Entwurf mit den weitaus spärlicheren Anforderungen von § 13 Abs. 1 des bestehenden Telemediengesetzes zufrieden. Das kann gerade deshalb nicht akzeptiert werden, weil zum einen die Komplexität der Problematik selbst, aber auch die Vielfalt und Undurchsichtigkeit möglicher Selbstschutzmaßnahmen eher zusätzliche Informationen für die Verbraucherinnen und Verbraucher erforderlich machen.

Insgesamt sind diese vagen und unpräzisen Regelungen des SPD-Gesetzentwurfs nicht geeignet, die sich im Zusammenhang mit der Verwendung von Cookies stellenden Fragen zu beantworten.

Facebook und Google veröffentlichten nicht zufällig zeitgleich mit der Vorstellung der EU-Verordnung für eine Reform des Datenschutzes ihre weitreichenden Umstellungen in der Datenverarbeitungspraxis. Diese Unternehmen, deren Geschäftsmodell maßgeblich vom maximal perfekten Targeting der Nutzerinnen und Nutzer lebt, wollen vor Umsetzung der regulatorischen Anstrengungen der EU offenbar vollendete Tatsachen schaffen. Wir sollten ihnen mit umfassenden und differenzierten Regelungsansätzen zeigen, dass wir willens und in der Lage sind, verfassungsrechtlich gebotene Vorgaben zu formulieren und auch durchzusetzen.

401816