Detailansicht
Das datenschutzrechtliche Einwilligungserfordernis für den Einsatz von Identifikatoren zur Wiedererkennung von Internetnutzern im World Wide Web
Christoph Diemberger
Art der Arbeit
Master-Thesis (ULG)
Universität
Universität Wien
Fakultät
Postgraduate Center
Studiumsbezeichnung bzw. Universitätlehrgang (ULG)
Universitätslehrgang Informations- und Medienrecht
Betreuer*in
Dietmar Jahnel
DOI
10.25365/thesis.54216
URN
urn:nbn:at:at-ubw:1-14929.29995.426786-6
Link zu u:search
(Print-Exemplar eventuell in Bibliothek verfügbar)
Abstracts
Abstract
(Deutsch)
Die Breyer Entscheidung des EuGH hat in der jahrelangen Diskussion zur Frage „Was sind personenbezogene Daten“ zwei wesentliche Orientierungspunkte vorgegeben: Zum einen gibt es nun eine Leitlinie zur Beurteilung, welcher Aufwand und welche Mittel vertretbar erscheinen, um den Personenbezug eines Pseudonyms wiederaufleben zu lassen. Gleichzeitig lässt der EuGH erkennen, dass die Möglichkeit der Herstellung des Personenbezugs auf die reale Person gerichtet sein muss und eine reine Online-Identität ohne Verknüpfbarkeit zu einer realen Person nicht vom Schutzkonzept des Datenschutzrechts umfasst ist. Auf diesen beiden Eckpfeilern aufsetzend, wird in dieser Arbeit die Theorie über die Verkettung der pseudonymisierten IP Adresse abgeleitet. Diese Theorie führt zu einer breiten Anwendung des Datenschutzrechts beim Einsatz von Identifikatoren im Internet, fordert allerdings die systemimmanente Eindeutigkeit des Identifikators zu einem Endgerät und eine laufende Aktualisierung der Verknüpfung zwischen IP Adresse und Pseudonym (=Identifikator) durch die Wiederkehr des Benutzers. Ohne das starre Verhältnis zur IP Adresse gibt es unter alleiniger Betrachtung des Pseudonyms keine Bestimmbarkeit der realen Person über den Umweg des Access- Providers und somit keinen datenschutzrechtlichen Bezug. Nach der aktuellen Fassung des Telekommunikationsgesetzes - unter Berücksichtigung des Spezialitätsverhältnisses zur DSGVO - führt erst der datenschutzrechtliche Bezug zu einem Einwilligungserfordernis im Hinblick auf die Personalisierung von Webangeboten mithilfe von Identifizierung und Wiedererkennung des Internetbenutzers. Dh solange ein technisches Verfahren zur Identifikation und Wiedererkennung nicht notwendigerweise zur Verarbeitung von personenbezogenen Daten führt, führen die darauf aufbauenden praktischen Anwendungsfälle iA nicht zu einem Einwilligungserfordernis des Internetbenutzers. Im Zuge der Untersuchung wurde dies bspw für verschiedene Ausprägungen der Cookie Technologie unterschiedlich beurteilt. Hingegen löst der Einsatz der device fingerprinting Technologie mangels Personenbezug der verarbeiteten Daten für sich alleine noch keine datenschutzrechtliche Zulässigkeitsprüfung aus. Die datenschutzrechtlichen Problembereiche der MSISDN forwarding Technologie wurden bislang in der deutschsprachigen, rechtswissenschaftlichen Literatur nur ganz vereinzelt angesprochen. Access-Provider, die diese Technologie weiterhin ohne Einwilligung ihrer Kunden großflächig einsetzen und keine zweckbezogene Rechtfertigung vorbringen können, verstoßen gegen das Datenschutzrecht.
Wird ein inhärenter Personenbezug auf der technologischen Ebene bejaht, so kann es dennoch auf der Ebene des jeweiligen Anwendungsfalls zu einer datenschutzkonformen, zweckbezogenen Rechtfertigung der Datenverarbeitung kommen. Womit letztlich das Einwilligungserfordernis wiederum fallweise abgelehnt wird. Mit Hilfe dieser zweistufigen Beurteilung, wie sie hier in dieser Arbeit konsequent angewendet wird, können auch zukünftige Identifikationstechnologien und die darauf aufbauenden Anwendungsfälle auf ihre Datenschutzkonformität geprüft werden.
Dem hier gefunden Ergebnis steht allerdings folgendes gegenüber: Internetbenutzer haben oftmals den Eindruck, dass ihre Aktivitäten beobachtet werden und Daten, zB in der Form von Nutzerprofilen, über sie gesammelt werden. Das wird weit verbreitet als ungerechtfertigt empfunden und zwar unabhängig davon, ob es eine Verknüpfung zur tatsächlichen Identität der Person gibt oder nicht. Falls sich durch die oben erwähnte Einschränkung auf personenbezogene Daten eine Schutzlücke für den einzelnen Internetbenutzer ergibt, dann muss diese außerhalb des Datenschutzrechts geschlossen werden und nicht über eine weitere Ausdehnung desselben. Diese Schutzlücke könnte durch ein paralleles, spezialgesetzliches Schutzregime adressiert werden. Erst mit der Diskussion über die ePrivacy VO hat sich unstrittig ergeben, dass der europäische Gesetzgeber solch ein neues Schutzregime anstrebt. Über die Implementierung der ePrivacy Richtlinie aus dem Jahr 2009 ist dies bislang nicht gelungen. In dieser Arbeit wird schließlich auch noch ein anderer Weg aufgezeigt, wie mithilfe des allgemeinen Persönlichkeitsrechts und den Wertungen von Art 8 EMRK gegen eine exzessive Verfolgung, Beobachtung und Aussonderung des nicht bestimmbaren, aber real existierenden Internetbenutzers vorgegangen werden kann.
Abstract
(Englisch)
This thesis examines data privacy aspects of identifiers as they are used to tag and match internetusers on the WWW for the sake of creating user personalized content. In general, identifiers used for this purpose are pseudonyms which are created and maintained by the provider of the respective webservice. If such an identifier qualifies to be personal data in the meaning of the GDPR, the entire webservice might be subject to the user’s consent.
The analysis follows a 2-step approach: First, the technological methods are examined with respect to their inherent processing of personal data. Three methods have been chosen to be analysed more deeply: HTTP cookies, device fingerprints and MSISDN forwarding. In a second step the analysis extends onto the use case level where the above mentioned technological methods come into play, for instance: Web audience measurement, persistent storage of user inputs, direct carrier billing, online behavioural targeting and others.
Since 25th May 2018 there is an interdependency of the GDPR with the national data privacy regulations for the telecommunication sector. In this context the thesis elaborates the applicable provisions and their extent as needed for the assessment of the necessity for end-user consent. As a side topic, a de lege ferenda approach also touches the upcoming ePrivacy Regulation. For the assessment whether there is a technology inherent processing of personal data or not, the “theory of pseudonymized IP Addresses concatenation” was derived during the creation of this paper. The theory combines some major findings of the EuGH Breyer decision with the predominant opinions on classification of pseudonyms under the GDPR. The thesis argues for a broad understanding of the criteria identifiable to classify data as to be personal but still requires the real person to be identifiable and not only his/her virtual representation. The identifier must be unique in a mathematical sense to represent a distinct and reoccurring relationship to the users IP Address – the latter is the key element for the identification of the real person.
As a result, some of the technologies listed above inevitably lead to the processing of personal data. This is caused by their design in conjunction with the internet transportprotocol TCP/IP. However, the respective use case of the webservice may still legitimate the processing of personal data without the need for the user’s consent. On the other hand: If there is no mandatory processing of personal data on the technical level involved, the realized use case in general is not subject to end-user consent in the meaning of data privacy laws. This qualification might lead to inappropriate results - internetusers often have the feeling of being spied on, their behaviour analysed, their online movements tracked. Addressing this shortcoming, the thesis also introduces the protection regime as proposed within the ePrivacy regulation as well as a possible protection on the grounds of fundamental rights as laid down in Art 8 of the European Convention of Human Rights.
Schlagwörter
Schlagwörter
(Englisch)
Identify tag tracking GDPR WWW Cookie fingerprint privacy WWW internet personal data consent
Schlagwörter
(Deutsch)
Identifizieren DSGVO WWW Cookie Einwilligung fingerprint Datenschutz Internet Identifikator Wiedererkennung tracking DS-GVO personenbezogene Daten
Autor*innen
Christoph Diemberger
Haupttitel (Deutsch)
Das datenschutzrechtliche Einwilligungserfordernis für den Einsatz von Identifikatoren zur Wiedererkennung von Internetnutzern im World Wide Web
Paralleltitel (Englisch)
Data privacy end-user consent requirement when using identifiers for the sake of tagging and matching users on the World Wide Web
Publikationsjahr
2018
Umfangsangabe
vi, 89 Seiten
Sprache
Deutsch
Beurteiler*in
Dietmar Jahnel
Klassifikation
86 Recht > 86.55 Datenschutzrecht
AC Nummer
AC15204794
Utheses ID
47906
Studienkennzahl
UA | 992 | 942 | |