E-Privacy Richtlinie

Botschaft zur Richtlinie 2002/58/EG des europäischen Parlaments und des Rates vom 12. Juli 2002:

20 Diensteanbieter sollen geeignete Maßnahmen ergreifen, um die Sicherheit ihrer Dienste, erforderlichenfalls zusammen mit dem Netzbetreiber, zu gewährleisten, und die Teilnehmer über alle besonderen Risiken der Verletzung der Netzsicherheit unterrichten. Solche Risiken können vor allem bei elektronischen Kommunikationsdiensten auftreten, die über ein offenes Netz wie das Internet oder den analogen Mobilfunk bereitgestellt werden. Der Diensteanbieter muss die Teilnehmer und Nutzer solcher Dienste unbedingt vollständig über die Sicherheitsrisiken aufklären, gegen die er selbst keine Abhilfe bieten kann. Diensteanbieter, die öffentlich zugängliche elektronische Kommunikationsdienste über das Internet anbieten, sollten die Nutzer und Teilnehmer über Maßnahmen zum Schutz ihrer zu übertragenden Nachrichten informieren, wie z. B. den Einsatz spezieller Software oder von Verschlüsselungstechniken. Die Anforderung, die Teilnehmer über besondere Sicherheitsrisiken aufzuklären, entbindet einen Diensteanbieter nicht von der Verpflichtung, auf eigene Kosten unverzüglich geeignete Maßnahmen zu treffen, um einem neuen, unvorhergesehenen Sicherheitsrisiko vorzubeugen und den normalen Sicherheitsstandard des Dienstes wiederherzustellen. Abgesehen von den nominellen Kosten, die dem Teilnehmer bei Erhalt oder Abruf der Information entstehen, beispielsweise durch das Laden einer elektronischen Post, sollte die Bereitstellung der Informationen über Sicherheitsrisiken für die Teilnehmer kostenfrei sein. Die Bewertung der Sicherheit erfolgt unter Berücksichtigung des Artikels 17 der Richtlinie 95/ 46/EG.

Botschaft zur Richtlinie 2009/136/EG des europäischen Parlaments und des Rates vom 25. November 2009:

53 Die Verarbeitung von Verkehrsdaten in dem für die Sicherstellung der Netz- und Informationssicherheit strikt notwendigen Ausmaß, d.  h. der Fähigkeit eines Netzes oder Informationssystems, mit einem vorgegebenen Grad der Zuverlässigkeit Störungen oder unrechtmäßige böswillige Eingriffe abzuwehren, die die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von gespeicherten oder übermittelten Daten und die Sicherheit damit zusammenhängender Dienste, die über dieses Netz oder Informationssystem angeboten werden bzw. zugänglich sind, beeinträchtigen, durch Anbieter von Sicherheitstechnologien und -diensten bei Ausübung ihrer Tätigkeit als Verantwortliche für die Verarbeitung der Daten unterliegt Artikel 7 Buchstabe f der Richtlinie 95/46/EG. Dazu könnten beispielsweise die Verhinderung des unberechtigten Zugangs und der Verbreitung schädlicher Programmcodes oder die Abwehr von Angriffen, die Dienstleistungsverhinderungen bewirken, und von Schädigungen von Computersystemen und Systemen der elektronischen Kommunikation gehören.

54 Die Marktliberalisierung im Bereich der elektronischen Kommunikationsnetze und -dienste sowie die rasante technische Entwicklung treiben gemeinsam den Wettbewerb und das Wirtschaftswachstum voran, die ihrerseits eine große Vielfalt von Diensten für die Endnutzer hervorbringen, die über öffentliche elektronische Kommunikationsnetze zugänglich sind. Es ist erforderlich sicherzustellen, dass den Verbrauchern und Nutzern unabhängig von der zur Erbringung eines bestimmten Dienstes verwendeten Technik der gleiche Schutz ihrer Privatsphäre und personenbezogenen Daten gewährt wird.

56 Der technische Fortschritt erlaubt die Entwicklung neuer Anwendungen auf der Grundlage von Datenerfassungs- und Identifizierungsgeräten, bei denen es sich auch um kontaktlos mit Funkfrequenzen arbeitende Geräte handeln könnte. So werden beispielsweise in RFID Funkfrequenzerkennungsgeräten (Radio Frequency Identification Devices) Funkfrequenzen genutzt, um von eindeutig gekennzeichneten Etiketten Daten abzulesen, die dann über bestehende Kommunikationsnetze weitergeleitet werden können. Die breite Nutzung solcher Technologien kann erhebliche wirtschaftliche und soziale Vorteile bringen und damit einen großen Beitrag zum Binnenmarkt leisten, wenn ihr Einsatz von den Bürgern akzeptiert wird. Um dieses Ziel zu erreichen, muss gewährleistet werden, dass sämtliche Grundrechte des Einzelnen, einschließlich des Rechts auf Privatsphäre und Datenschutz, gewahrt bleiben. Werden solche Geräte an öffentlich zugängliche elektronische Kommunikationsnetze angeschlossen oder werden elektronische Kommunikationsdienste als Grundinfrastruktur genutzt, so sollten die einschlägigen Bestimmungen der Richtlinie 2002/58/EG (Datenschutzrichtlinie für elektronische Kommunikation), einschließlich der Vorschriften über Sicherheit, Datenverkehr, Standortdaten und Vertraulichkeit, zur Anwendung kommen.

57 Der Betreiber eines öffentlich zugänglichen elektronischen Kommunikationsdienstes sollte geeignete technische und organisatorische Maßnahmen ergreifen, um die Sicherheit seiner Dienste zu gewährleisten. Unbeschadet der Richtlinie 95/46/EG sollten derartige Maßnahmen sicherstellen, dass nur ermächtigte Personen für rechtlich zulässige Zwecke Zugang zu personenbezogenen Daten erhalten und dass die gespeicherten oder übermittelten personenbezogenen Daten sowie das Netz und die Dienste geschützt sind. Außerdem sollte ein Sicherheitskonzept für die Verarbeitung personenbezogener Daten eingeführt werden, um Systemschwachstellen zu ermitteln, es sollte eine Überwachung erfolgen und es sollten regelmäßig vorbeugende, korrektive und schadensbegrenzende Maßnahmen getroffen werden.

58 Die zuständigen nationalen Behörden sollten unter anderem durch einen Beitrag zur Sicherstellung eines hohen Niveaus des Schutzes personenbezogener Daten und der Privatsphäre die Interessen der Bürger fördern. Hierzu sollten die zuständigen nationalen Behörden über die zur Erfüllung ihrer Aufgaben erforderlichen Mittel verfügen, wie z.  B. den Zugang zu vollständigen und verlässlichen Daten über Sicherheitsverletzungen, in deren Folge die personenbezogenen Daten natürlicher Personen preisgegeben wurden. Sie sollten die getroffenen Maßnahmen überwachen und optimale Verfahren unter den Betreibern öffentlich zugänglicher elektronischer Kommunikationsdienste verbreiten. Die Anbieter sollten daher ein Verzeichnis der Verletzungen des Schutzes personenbezogener Daten führen, um eine weitere Analyse und Prüfung durch die zuständigen nationalen Behörden zu ermöglichen.

59 Das Gemeinschaftsrecht erlegt den für die die Verarbeitung der Daten Verantwortlichen Pflichten im Hinblick auf die Datenverarbeitung auf, die die Umsetzung geeigneter technischer und organisatorischer Schutzmaßnahmen, z.  B. gegen Datenverlust, umfassen. Die Pflichten zur Anzeige von Verstößen gemäß der Richtlinie 2002/58/EG (Datenschutzrichtlinie für elektronische Kommunikation) enthalten eine Struktur zur Benachrichtigung der zuständigen Behörden und Personen für den Fall, dass personenbezogene Daten trotzdem missbraucht werden. Diese Anzeigepflicht ist auf Sicherheitsverletzungen im Bereich der elektronischen Kommunikation beschränkt. Die Anzeige von Sicherheitsverletzungen spiegelt jedoch ein allgemeines Interesse der Bürger an der Benachrichtigung über Sicherheitsverletzungen wider, die zum Verlust oder zur Preisgabe personenbezogener Daten der Nutzer führen, und über vorhandene oder empfohlene Vorkehrungen, die sie treffen könnten, um mögliche wirtschaftliche Schäden oder soziale Nachteile, die sich aus solchen Sicherheitsverletzungen ergeben, so gering wie möglich zu halten. Das Interesse der Nutzer an der Benachrichtigung ist ersichtlich nicht auf den Bereich der elektronischen Kommunikation beschränkt, so dass ausdrückliche Anzeigepflichten vorrangig in allen Wirtschaftsbereichen auf Gemeinschaftsebene eingeführt werden sollten. Bis zu einer Überprüfung aller einschlägigen gemeinschaftlichen Rechtsvorschriften auf diesem Gebiet durch die Kommission sollte die Kommission in Abstimmung mit dem Europäischen Datenschutzbeauftragten unverzüglich geeignete Maßnahmen ergreifen, um die gemeinschaftsweite Anwendung der in der Richtlinie 2002/58/EG (Datenschutzrichtlinie für elektronische Kommunikation) enthaltenen Leitlinien für die Anzeigepflicht bei Verstößen gegen die Datensicherheit, ungeachtet des Sektors oder der Art der betreffenden Daten, zu fördern.

60 Die zuständigen nationalen Behörden sollten die getroffenen Maßnahmen überwachen und optimale Verfahren unter den Betreibern öffentlich zugänglicher elektronischer Kommunikationsdienste verbreiten.

61 Eine Verletzung des Schutzes personenbezogener Daten kann erhebliche wirtschaftliche Schäden und soziale Nachteile einschließlich des Identitätsbetrugs für den Teilnehmer oder die betroffene Person nach sich ziehen, wenn nicht rechtzeitig und angemessen darauf reagiert wird. Deshalb sollte der Betreiber öffentlich zugänglicher elektronischer Kommunikationsdienste unmittelbar nach Bekanntwerden der Verletzung die zuständige nationale Behörde von der Verletzung benachrichtigen. Teilnehmer oder natürliche Personen, für die eine solche Verletzung des Datenschutzes und der Privatsphäre nachteilige Auswirkungen haben kann, sollten unverzüglich benachrichtigt werden, damit sie die erforderlichen Schutzvorkehrungen treffen können. Die Auswirkungen einer Verletzung werden für den Datenschutz oder die Privatsphäre des Teilnehmers oder der natürlichen Person als nachteilig erachtet, wenn sie z.  B. Identitätsdiebstahl oder -betrug, physische Schädigung, erhebliche Demütigung oder Rufschaden in Verbindung mit der Bereitstellung öffentlich zugänglicher Kommunikationsdienste in der Gemeinschaft zur Folge haben. Die Benachrichtigung sollte Informationen über die vom Betreiber nach der Verletzung ergriffenen Maßnahmen sowie Empfehlungen für die betroffenen Nutzer oder Personen enthalten.

64 Bei der detaillierten Regelung des Formats und der Verfahren für die Meldung von Verletzungen des Schutzes personenbezogener Daten sollten die Umstände der Verletzung hinreichend berücksichtigt werden, z.  B. ob personenbezogene Daten durch geeignete technische Schutzmaßnahmen geschützt waren, die die Wahrscheinlichkeit des Identitätsbetrugs oder anderer Formen des Missbrauchs effektiv verringern. Überdies sollten solche Regeln und Verfahren den berechtigten Interessen der Strafverfolgungsbehörden in Fällen Rechnung tragen, in denen die Untersuchung der Umstände der Verletzung durch ein frühzeitiges Bekanntwerden in unnötiger Weise behindert würde.

65 Computerprogramme, die heimlich zugunsten Dritter das Verhalten des Nutzers überwachen oder die Funktionsweise seines Endgerätes beeinträchtigen („Spähsoftware“) sind genauso wie Viren eine ernste Bedrohung für die Privatsphäre des Nutzers. Ein hoher und einheitlicher Schutz der Privatsphäre der Nutzer muss unabhängig davon gewährleistet werden, ob unerwünschte Spähprogramme oder Viren versehentlich über elektronische Kommunikationsnetze heruntergeladen werden oder aber versteckt in anderer Software, die auf externen Speichermedien wie CD, CD-ROM oder USB-Speicherstift verbreitet wird, ausgeliefert und installiert werden. Die Mitgliedstaaten sollten zur Bereitstellung von Information an Endnutzer über mögliche Schutzvorkehrungen auffordern und die Endnutzer auffordern, die notwendigen Maßnahmen zu ergreifen, um ihre Endgeräte vor Viren und Spähsoftware zu schützen.