Persönlichkeitsschutz 2.0: Profilbildung und -nutzung durch Soziale Netzwerke am Beispiel von Facebook im Rechtsvergleich zwischen Deutschland und den USA

This study uses the example of Facebook to examine the privacy risks of profile usage at social networks and the legal frameworks on either side of the Atlantic. It concludes that based on shared principles, it should be possible to improve privacy protection through the cooperative implementation of transatlantic, sector-wide standards. * Presents compelling research findings on user behavior and interests * Offers innovative proposals for improving privacy protection in consideration of the EU General Data Protection Regulation Geleitwort Vorwort Inhalt Abkürzungsverzeichnis Einleitung I. Problemstellung und Arbeitshypothese II. Methodik der Untersuchung III. Stand von Forschung und Rechtsprechung IV. Gang der Darstellung Teil 1: Einführung Kapitel 1. Grundlagen A. Soziale Netzwerke I. Was ist ein soziales Netzwerk? II. Was ist ein soziales Netzwerk im Internet? B. Persönlichkeitsprofil C. Profilerstellung und -nutzung in Sozialen Netzwerken am Beispiel von Facebook I. Datensammlung 1. Registrierung 2. Facebook-Website a) Facebook-Anwendungen auf der Facebook-Website b) Anwendungen Dritter auf der Facebook-Website 3. Webseiten Dritter a) Cookies b) Pixel-Tags c) Social Plugins d) Open Graph 4. Von Dritten bereitgestellte Daten 5. Zusammenfassung II. Analyse der gesammelten Daten zu Profilbildungszwecken 1. Analysefelder 2. Analysemethode: Knowledge Discovery in Databases a) Clustering b) Klassifikation c) Assoziationsregeln d) Generalisierung e) Evaluation 3. Konsequenzen III. Kommerzielle Profilnutzung 1. Werbung 2. Weitergabe statistischer Daten zur Reichweitenanalyse 3. Künftige kommerzielle Nutzungsmöglichkeiten Kapitel 2. Interessenanalyse A. Betreiber- und Drittinteressen an der Profilbildung und -nutzung B. Privatheitsinteressen der Nutzer I. Besteht ein Interesse an Privatheit noch? II. Ist die (kostenfreie) Nutzung wichtiger als der Schutz der eigenen Daten? 1. Tatsächliche Nutzung 2. Aussagekraft des Nutzungsverhaltens a) Uninformiertheit b) Begrenzte Rationalität c) Schlussfolgerungen 3. Ergebnis III. Beeinträchtigung von Privatheitsinteressen der Nutzer durch Profilbildung und -nutzung Teil 2: Länderberichte Kapitel 3. Deutschland A. Einführung deutscher Persönlichkeitsschutz B. Verfassungsrechtliche Vorgaben I. Verhältnis unions- und mitgliedsstaatlicher Grundrechte 1. Standpunkt des BVerfG 2. Standpunkt des EuGH 3. Auswirkungen der DS-GVO und Schlussfolgerungen II. Grundrechtlich geschützte Betreiber- und Drittinteressen 1. Grundrechtsschutz für ausländische Personen a) Anwendbarkeit von Grundrechten auf ausländische juristische Personen b) Allgemeine Handlungsfreiheit als Auffangtatbestand 2. Meinungs- und Informationsfreiheit a) Art. 5 I 1 GG b) Art. 11 GRCh 3. Berufsfreiheit a) Art. 12 I GG b) Art. 15 GRCh 4. Eigentumsgarantie a) Art. 14 I GG b) Art. 17 GRCh 5. Wirtschaftliche Betätigungsfreiheit a) Art. 2 I GG b) Art. 16 GRCh 6. Ergebnis III. Grundrechtlich geschützte Nutzerinteressen 1. Menschenwürdegarantie a) Art. 1 I GG aa) Vollständige Erfassung der Persönlichkeit bb) Kernbereich privater Lebensgestaltung b) Art. 1 GRCh 2. Allgemeines Persönlichkeitsrecht a) Vorstellung der Leitentscheidungen aa) BVerfGE 65, 1, 43 – Volkszählungsurteil: Recht auf informationelle Selbstbestimmung bb) BVerfGE 120, 274 – Online Durchsuchung: Vertraulichkeit und Integrität informationstechnischer Systeme b) Abgrenzung der Schutzbereiche aa) Streitstand bb) Herleitung aus der Begründung des neuen Schutzbedarfs cc) Abgrenzungsformel und Übertragung auf Soziale Netzwerke c) Schutz durch die EU-Grundrechtscharta 3. Fernmeldegeheimnis a) BVerfGE 125, 260 – Vorratsdatenspeicherung aa) Schutzumfang und Eingriff bb) Schranken und Schranken-Schranken b) Schutz durch die EU-Grundrechtscharta IV. Gesetzgeberischer Gestaltungsauftrag zur Profilbildung durch Private 1. Vertraulichkeitsgarantien a) Schutzauftrag aus der Grundrechtsausprägung der Vertraulichkeit und Integrität informationstechnischer Systeme? aa) Persönlichkeitsbilder neuartiger Tiefe und Breite bb) Anzahl mitbetroffener Personen cc) Qualitativ mit einer heimlichen Infiltration vergleichbarer Eingriff dd) Berechtigte Vertraulichkeitserwartungen ee) Würdigung und Ergebnis b) Schutzauftrag aus Art. 10 I GG 2. Autonomie a) Beeinträchtigung der freien Entfaltung durch Profilbildung Sozialer Netzwerkbetreiber b) Abgeleitete Vorgaben für Profile Sozialer Netzwerke aa) Einschränkungen der Profilbildung bb) Schaffung der Voraussetzungen von Autonomie cc) Reichweite des Schutzbereichs V. Ergebnis C. Einfachgesetzliche Regelungen des Persönlichkeitsschutzes I. Anwendbarkeit deutschen Datenschutzrechts 1. Internationale Anwendbarkeit a) Anwendbares Kollisionsrecht aa) Zulässige Rechtswahl? bb) Spezialgesetzliche Kollisionsnorm b) Anwendbares Datenschutzrecht nach der Kollisionsnorm des § 1 V BDSG aa) Betreiber Sozialer Netzwerke als verantwortliche Stellen bb) Relevanter Standort der verantwortlichen Stelle cc) Ergebnis 2. Sachliche Anwendbarkeit a) Einordnung Sozialer Netzwerke b) Gemeinsame Anwendungsvoraussetzungen der datenschutzrechtlichen Vorschriften des TMG und BDSG aa) Datenverwendung bb) Personenbezogene Daten cc) Ergebnis II. Datenschutzrechtliche Anforderungen an Profile Sozialer Netzwerkseiten 1. Vorgaben des TMG a) Spezielle Anwendungsvoraussetzung des TMG: Anbieter-Nutzer-Verhältnis aa) Anbieter-Nutzer-Verhältnis bei Third-Party-Tools bb) Ergebnis b) Pseudonyme Nutzungsprofile nach § 15 III TMG aa) Erfasste Datenarten bb) Rechtmäßig erhobene Daten cc) Begriffsauslegung Nutzungsprofil dd) Pseudonym ee) Zweckbindung ff) Kein Widerspruch des Betroffenen gegen Erstellung eines Nutzungsprofils gg) Datennutzung zum Zweck des Direktmarketings nach der DS-GVO hh) Ergebnis c) Löschpflicht d) Anonyme oder pseudonyme Dienstenutzung e) Ergebnis 2. Vorgaben des BDSG a) Spezielle Anwendungsvoraussetzungen des BDSG b) Rechtmäßigkeit der Datenerhebung aa) Einordnung Sozialer Netzwerke in §§ 28, 29 BDSG bb) Vorgaben des § 28 I BDSG c) Rechtmäßigkeit der Datenverwendung zu Werbezwecken d) Rechtmäßigkeit der Datenverwendung zu sonstigen Zwecken aa) Sicherheit und Diensteoptimierung bb) Weitere Geschäftsmodelle e) Berichtigung und Löschpflicht, § 35 BDSG f) Ergebnis 3. Unterrichtungs- und Benachrichtigungspflichten der Betreiber gegenüber Nutzern 4. Einwilligung in Profilbildung und -nutzung a) Einholung der Einwilligung b) Wirksamkeitsvoraussetzungen der Erklärung aa) Freiwillige Einwilligung, § 4a I 1 BDSG bb) Informierte Einwilligung, § 4a I 2 BDSG cc) Form der Einwilligung, § 13 II TMG, § 4a I 3 BDSG dd) Hervorhebungsgebot bei AGB, § 4a I 4 BDSG ee) Widerruflichkeit c) Ergebnis 5. Rechtsansprüche des Betroffenen a) Auskunftsrecht, § 34 BDSG b) Schadensersatzanspruch, § 7 BDSG 6. Rechtmäßigkeit der Datenübermittlung in die USA a) Ungültigkeit der Safe Harbor-Entscheidung nach dem EuGH-Urteil vom 06.10.2015 aa) Ausgangsverfahren und Vorlagefragen bb) Entscheidungsinhalt und -begründung b) Konsequenzen für die Datenübermittlung an Facebook Inc aa) Prüfung der Angemessenheit des Datenschutzniveaus durch Behörden bb) Alternativen zu Safe Harbor? c) Neuverhandlung von Safe Harbor aa) Weitere Kritikpunkte an der bisherigen Safe Harbor- Entscheidung bb) Verhandlungsergebnis d) Ergebnis 7. Gesamtergebnis III. Zivilrechtliches allgemeines Persönlichkeitsrecht 1. Anwendbarkeit 2. Anwendung auf Profile IV. Durchsetzungsmechanismen 1. Zivilrechtliche Rechtsdurchsetzung 2. Hoheitliche Rechtsdurchsetzung a) Ordnungsrechtliche Maßnahmen aa) Sanktionsmechanismen bb) Zuständigkeit b) Straftatbestände 3. Ergebnis D. Selbstregulierung I. Gesetzlich vorgesehene Möglichkeiten 1. Normgebende Selbstregulierung 2. Transparenzschaffende Selbstregulierung II. Initiativen 1. FSM-Verhaltenskodex für Anbieter Sozialer Netzwerke 2. Safer Social Networking Principles for the EU 3. Ergebnis E. Gestaltungsbedarf I. Unsicherheit über die Anwendbarkeit nationalen Datenschutzrechts II. Mängel des materiellen Rechts 1. Unterschätzung pseudonymer Nutzungsprofile 2. Unzulänglichkeit von Transparenz- und Einwilligungserfordernissen a) Informiertheit b) Freiwilligkeit 3. Fehlende Konkretisierung der Löschpflichten 4. Ergebnis III. Durchsetzungsdefizit prozeduraler Natur IV. Ergebnis Kapitel 4. USA A. Einführung zum US-amerikanischen Schutz der Interessen an Privacy I. Rechtsquellen 1. Common Law & Equity 2. Kodifiziertes Recht 3. Verhältnis Common Law und kodifiziertes Recht 4. Selbstregulierung II. Rechtsgeschichtliche Entwicklung des Schutzes der Interessen an Privacy in den USA 1. Begriff 2. Entwicklung der Information Privacy im Privatrecht a) Right to be let alone b) Common Law Privacy Torts c) Fair Information Practice Principles d) Gesetzgebung zur Information Privacy von Bund und Bundesstaaten B. Verfassungsrechtliche Vorgaben I. Reichweite des verfassungsrechtlichen Schutzes II. Föderaler verfassungsrechtlicher Schutz 1. Verfassungsrechtlich geschützte Betreiber- und Drittinteressen a) Sorrell v. IMS Health b) Bedeutung für Privacy-Gesetzgebung im privaten Bereich aa) Datenverarbeitung und -weitergabe bb) Datenerhebung cc) Einordnung kostenloser Sozialer Netzwerke und Folgen für die Regulierung c) Ergebnis 2. Verfassungsrechtlich geschützte Nutzerinteressen a) Fourth Amendment aa) United States v. Jones bb) Clapper v. Amnesty International USA cc) Klayman v. Obama und ACLU v. Clapper dd) Ergebnis b) Right to Information Privacy c) First Amendment III. Gliedstaatlicher verfassungsrechtlicher Privatheitsschutz 1. Kaliforniens Right to Privacy 2. Anwendung auf Profile 3. Rechtsdurchsetzung IV. Ergebnis C. Föderale einfachgesetzliche Regelungen I. Electronic Communications Privacy Act 1. Rechtmäßigkeit der Datenerhebung a) Cookies b) Social Plugins c) Ergebnis 2. Rechtmäßigkeit der Datennutzung a) Praktizierte Datennutzung b) Zukünftige Nutzungsmöglichkeiten 3. Rechtsdurchsetzung 4. Ergebnis II. COPPA D. Die Rolle der FTC für den Schutz von US-Privacy-Interessen I. Behördenstruktur II. Zuständigkeit III. Verfahren und weitere Befugnisse IV. Verfahren gegen Betreiber Sozialer Netzwerke V. Prüfungskriterien für Profile und ihre Anwendung 1. Täuschende Geschäftspraktiken a) Prüfungskriterien b) Bewertungsfaktoren zur Bestimmung der Verbraucherperspektive c) Anwendung auf Profile: Information und Wahlmöglichkeit aa) Datenerhebung auf der Facebook-Website bb) Datenerhebung auf Drittseiten cc) Profilbildung dd) Datennutzung ee) Ergebnis 2. Unlautere Geschäftspraktiken a) Dreistufentest b) Fallgruppen und ihre Anwendung auf Profile aa) Rückwirkende Änderung bb) Heimliche Sammlung sensibler Daten cc) Unfaire Gestaltung von Design und Voreinstellungen 3. EU-US Safe Harbor- bzw. Privacy Shield-Prinzipien a) Informationspflicht b) Wahlmöglichkeit c) Anwendung auf Profile Sozialer Netzwerke d) Ergebnis VI. Ergebnis E. Gliedstaatliche Regelungen I. Einfachgesetzliche Regelungen ausgewählter Staaten 1. California Online Privacy Protection Act 2. California Shine the Light Act 3. California Invasion of Privacy Act 4. Unfair Competition Laws und Uniform Deceptive Trade Practices Acts 5. Rechtsdurchsetzung 6. Ergebnis II. Common Law Privacy Torts 1. Intrusion into seclusion a) Eindringen in den Privatbereich aa) Datenerhebung bb) Profilbildung cc) Datenweitergabe dd) Ergebnis b) In hohem Maße beleidigend 2. Appropriation und Right of Publicity 3. Disclosure 4. False light 5. Einwilligung 6. Rechtsdurchsetzung 7. Ergebnis F. Selbstregulierung I. Gesetzlich vorgesehene Möglichkeiten II. Initiativen 1. OBA-Selbstregulierungsprinzipien der FTC a) Erfasste Werbesysteme b) Erfasste Daten c) Vorgaben aa) Wahlmöglichkeit bb) Transparenz cc) Datensparsamkeit und zulässige Speicherdauer d) Ergebnis 2. Wirtschaftsinitiativen a) Network Advertising Initiative (NAI) b) Digital Advertising Alliance (DAA) c) TRUSTe III. Ergebnis G. Gestaltungsbedarf I. Mängel des materiellen Rechts 1. Unzureichende Regulierung der Profilbildung Sozialer Netzwerke 2. Unzulänglichkeit von Transparenz und Wahlmöglichkeiten 3. Keine Löschpflichten II. Durchsetzungsdefizit III. Ergebnis H. Weißbuch der Obama-Regierung: Consumer Data Privacy in a Networked World I. Diskussionsentwurf: Consumer Privacy Bill of Rights Act 1. Privacy Bill of Rights und ihre Anwendung auf Profile a) Transparenz b) Individuelle Kontrolle c) Berücksichtigung des Kontexts d) Erforderlichkeitsprinzip e) Datensicherheit f) Einsichtnahme und Richtigkeit g) Verantwortlichkeit 2. Durchsetzung des Consumer Privacy Bill of Rights Act 3. Durchsetzbare Codes of Conduct als sicherer Hafen a) Ausarbeitungsverfahren: Verhandlungslösung und Registrierung b) Teilnahmevorteil „sicherer Hafen“ c) Durchsetzung der Codes of Conduct durch private Verwalter 4. Verhältnis zu sonstigen Regelungen 5. Realisierungschancen des Consumer Privacy Bill of Rights Act II. Internationale Interoperabilität datenschutzrechtlicher Regulierungen 1. Gegenseitige Anerkennung 2. Internationale Aushandlung der Codes of Conduct 3. Kooperation bei der Durchsetzung a) Multilaterale Initiativen b) Bilaterale Initiativen 4. Ergebnis III. Ergebnis Teil 3: Verbesserung des Privatheitsschutzes durch transatlantische Standards Kapitel 5. Chancen von Interoperabilität A. Gründe für vereinheitlichte Standards I. Aktuelle Interessenlage II. Vorteile III. Nachteile IV. Ergebnis B. Untergesetzliche Regulierungsmöglichkeiten und ihre Eignung für Profile Sozialer Netzwerke I. Verfassungs- und unionsrechtliche Vorgaben II. Vor- und Nachteile untergesetzlicher Regelungsformen III. Freiwillige oder regulierte Selbstregulierung IV. Eignung branchenweiter Regelungen für die Regulierung von Profilen Sozialer Netzwerke Kapitel 6. Formeller Rahmen transatlantischer Standards für Profile Sozialer Netzwerke A. De lege lata I. Bestehender Verfahrensrahmen II. Verbindlicher Prüfungsmaßstab 1. „Common Law“ der FTC? 2. Angemessenheitsentscheidung der EU-Kommission 3. Ergebnis III. Erfahrungen zu Verbreitung und Durchsetzung IV. Ergebnis B. De lege ferenda I. Verfahrensrahmen 1. Verhandlungslösung und Registrierung 2. Internationale Umsetzung a) Registrierung von Codes of Conduct b) Transatlantische Aushandlung mit Registrierung von Codes of Conduct II. Verbindlicher Prüfungsmaßstab: CPBR III. Erzielung branchenweiter Verbreitung 1. Erhöhung der Anreize a) Sicherer Hafen b) Staatliche Gütesiegel 2. Branchenweite verpflichtende Verbindlichkeit a) Internationale Vorbilder b) Negotiated Rulemaking Act, 5 U.S.C. §§ 561–570a 3. Ergebnis IV. Verbesserung der Durchsetzung 1. Kooperation der Aufsichtsbehörden 2. Datenschutzaudits unabhängiger Privater a) Regelmäßige Überprüfung b) Veröffentlichung der Ergebnisse c) Transatlantisches Gütesiegel C. Ergebnis Kapitel 7. Inhalt transatlantischer Standards für Profile Sozialer Netzwerke A. Vom Regelungsbereich der CoC erfasste Daten B. Anforderungen an Profilbildung und -nutzung I. Profilbildung und -nutzung zu Werbezwecken 1. Deutschland 2. USA a) De lege lata b) De lege ferenda 3. Transatlantische Lösung II. Profilbildung und -nutzung zu sonstigen kommerziellen Zwecken 1. Deutschland 2. USA a) De lege lata b) De lege ferenda 3. Transatlantische Lösung III. Informationspflicht und Einholung der Einwilligung 1. Allgemeine Vorgaben 2. Konkrete Vorschläge a) 2-Klick-Lösung b) Informationspräsentation und Auswahlmöglichkeiten aa) Piktogramme bb) Privacy Label cc) Ergänzende Vorschläge unter Einbeziehung verhaltenswissenschaftlicher Studien dd) Präsentation von Widerspruchsmöglichkeiten ee) Ergebnis c) Regelmäßige Erneuerung der Einwilligung IV. Rechtsansprüche des Betroffenen C. Löschpflichten D. Ergebnis Kapitel 8. Schlussbetrachtungen A. Verifizierung der Arbeitshypothese B. Mögliche Kritikpunkte an transatlantischen Standards I. Frage der tatsächlichen Realisierbarkeit 1. Transatlantische Standards – eine Utopie? 2. Transatlantische Kooperation II. Konsequenzen für den Einzelnen 1. Tatsächlicher Nutzen 2. Individueller Datenschutz Literaturverzeichnis Verzeichnis sonstiger Quellen Sachregister Web 2.0-Dienste, allen voran Soziale Netzwerke, verfügen über reichhaltige Nutzerdaten. Durch Datenanalysen können Profile mit neuen, weitreichenden Erkenntnissen über den Einzelnen gebildet und zu verschiedenen Zwecken genutzt werden. Nutzer werden darüber nicht ausreichend informiert. Das führende Soziale Netzwerk Facebook aus den USA zeigt wenig Bereitschaft, sich unionsrechtlichen Datenschutzvorgaben anzupassen. Weder in der EU noch in den USA besteht ein branchenweit einheitlicher Standard für die Profilbildung Sozialer Netzwerke. Die Arbeit untersucht vor diesem Hintergrund, wie der Persönlichkeitsschutz in Sozialen Netzwerken verbessert werden kann und kommt zu dem Ergebnis, dass in Bezug auf die Profilbildung und -nutzung transatlantische Maßnahmen zum effektiven Schutz der Privatheit realisierbar sind, namentlich eine Konvergenz bei grundlegenden Prinzipien, die Verbesserung der Zusammenarbeit auf untergesetzlicher Ebene und ein Ausbau der Kooperation bei der Durchsetzung.