Im Netz herrscht gerade helle Aufregung wegen der Datenschutz-Grundverordnung, die in drei Wochen in Kraft treten wird. Die Auswirkungen dieses Gesetzes sind schwer zu überschauen. Europarecht ist ein schwieriges Feld, Datenschutzrecht sowieso. Was immer klarer wird: Das Gesetz greift auf eine so vielfältige Weise nicht nur in die digitale Welt ein (selbst ein Adressbuch auf Papier stellt rechtliche Fragen), dass es kaum zu vollziehen sein wird. Das Gesetz ist durch Behörden nur sporadisch durchsetzbar. Wir können uns alle nur gegenseitig Glück wünschen, nicht erwischt zu werden.
Heute hörte ich das erste Mal vom Erwägungsgrund 18. Es klang ein bisschen wie ein Heilsversprechen: Vielleicht zieht das drohende Unwetter an unseren Blogs einfach vorüber? Erwägungsgrund ist ein schönes Wort, es hat Tiefe. Die ersten beiden Sätze von Erwägungsgrund 18 lauten:
Diese Verordnung gilt nicht für die Verarbeitung von personenbezogenen Daten, die von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten und somit ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen wird. Als persönliche oder familiäre Tätigkeiten könnte auch das Führen eines Schriftverkehrs oder von Anschriftenverzeichnissen oder die Nutzung sozialer Netze und Online-Tätigkeiten im Rahmen solcher Tätigkeiten gelten.
Zuerst muss man vielleicht wissen, dass die Erwägungsgründe eines unionsrechtlichen Gesetzestextes selbst nicht rechtsverbindlich sind. Sie können aber zur Auslegung des Gesetzes herangezogen werden, weil sie die Ziele beschreiben, die der Gesetzgeber verfolgt hat (vgl. Selmayr/Ehmann, DS-GVO, Einf., Rn. 97). Entscheidend ist daher, was das Gesetz selbst sagt. Deshalb kommen wir zu Artikel 2 Absatz 2 Buchstabe c DSGVO. Dort steht:
Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten.
Wer ein Blog schreibt, verarbeitet fast immer personenbezogene Daten. Besucher der Seite hinterlassen in der Regel Spuren in der Datenbank. Das reicht wahrscheinlich schon (wobei die Frage, ob dynamische IP-Adressen personenbezogene Daten sind, gar nicht so klar ist, wie allgemein angenommen wird). Aber ist das Schreiben eines Blogs eine ausschließlich persönliche oder familiäre Tätigkeit? Das ist die Stelle, an der Juristen mit dem Denken beginnen. Wir haben oben gesehen, dass wir den Erwägungsgrund zur Auslegung des Gesetzes heranziehen können. Beim nochmaligen Lesen fällt auf, dass er eine merkwürdige Abgrenzung enthält. Der Text unterscheidet die (ausschließlich!) persönliche oder familiäre Tätigkeit allein von der beruflichen oder wirtschaftlichen. Durch die Verknüpfung mit dem Adverb somit entsteht der Eindruck, eine Tätigkeit sei immer dann persönlich oder familiär, wenn sie ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen wird (in diesem Sinne Ennöckl, in: Sydow, Europäische Datenschutzgrundverordnung, Art. 2, Rn. 11: Maßgeblich sei, ob die Datenverarbeitung im beruflichen oder im privaten Kontext erfolge und Ausdruck des individuellen Autonomieanspruchs sei; ähnlich von Lewinski, in: Auernhammer, DSGVO/BDSG, 5. Auflage, Art. 2 DSGVO, Rn. 24: Zum privaten Bereich gehöre auch die Selbstdarstellung). Wer also ein Blog führt, auf dem keine Werbung ist und nichts verkauft wird, übt vielleicht ausschließlich eine persönliche Tätigkeit aus. Irgendwo habe ich heute den schönen Disclaimer dient nur der persönlichen Reflexion im Sinne des 18. Erwägungsgrundes gelesen. So ist es. Kommunikation ist Ausdruck unserer persönlichen Autonomie. Warum sollte der Gesetzgeber eigentlich die Kommunikation zwischen Privaten regulieren dürfen, solange in dieser keine Aspekte von Wettbewerb und Verbraucherschutz eine Rolle spielen? Wir sind mit Freiheit ausgestattet.
Damit könnte dieser Text zu Ende sein, er ist es aber nicht. Ich habe einmal durchgesehen, was die mittlerweile zahlreichen juristischen Kommentare zur Datenschutz-Grundverordnung zu dieser Frage schreiben. Man darf sich nichts vormachen. Der Befund, dass ein Gesetz auf einen Lebenssachverhalt nicht anwendbar ist, kann für jemanden, der sich professionell mit genau diesem Gesetz beschäftigt, sehr unbefriedigend sein. Die Kommentatoren sind sich also weitgehend einig, dass Artikel 2 Absatz 2 Buchstabe c DSGVO (ähnlich formuliert schon jetzt in § 1 Absatz 2 Nummer 3 des Bundesdatenschutzgesetzes) als sogenannte Haushaltsausnahme und Bagatellklausel wie jede Ausnahmevorschrift eng auszulegen sei, erst recht angesichts der überragenden Bedeutung des Datenschutzgrundrechts (Exkurs: Es ist ohnehin beachtlich, wie vehement dieses Grundrecht inzwischen gegenüber Privaten in Stellung gebracht wird und man gleichzeitig den Eindruck gewinnen kann, dass die klassische Funktion des Grundrechts als Abwehrrecht gegen den Staat in der Sicherheitspolitik stetig an Boden verliert). Unklar bleibt, ob und inwieweit für die Anwendbarkeit der Datenschutzgrundverordnung von Bedeutung ist, an welchen Personenkreis sich das Blog richtet. Einigkeit besteht, dass die Veröffentlichung von Informationen im Sinne von Daten an einen unbestimmten, nicht abgegrenzten Personenkreis der Verordnung unterfällt (Kühling/Raab, Datenschutz-Grundverordnung/BDSG, 2. Auflage, Art. 2 DSGVO, Rn. 25). Wie dagegen der Fall zu beurteilen ist, dass ein unbestimmter Personenkreis Daten an ein persönliches Blog sendet, ist schwer zu sagen.
Ganz zum Schluss noch Wasser in den Wein. Der dritte Satz des 18. Erwägungsgrundes macht eine Rückausnahme:
Diese Verordnung gilt jedoch für die Verantwortlichen oder Auftragsverarbeiter, die die Instrumente für die Verarbeitung personenbezogener Daten für solche persönlichen oder familiären Tätigkeiten bereitstellen.
Wer sein Blog selbst hostet, könnte gegebenenfalls dieser Verantwortliche sein.
Fast könnte man meinen, die Autoren der Verordnung hätten das echte Bloggen nicht vor Augen gehabt. Wir werden sehen.
Nachtrag
Hält man die Datenschutz-Grundverordnung auf nicht-kommerzielle persönliche Blogs für anwendbar, wäre das zugleich das Ende des anonymen Bloggens. In der Datenschutzerklärung einer Webseite ist nämlich gemäß Artikel 12 Absatz 1 und Artikel 13 Absatz 1 Buchstabe a DSGVO der Verantwortliche mitzuteilen. Das ist der Betreiber des Blogs.
Interessanterweise korrespondiert diese Frage mit der Impressumspflicht. Zu einem Impressum sind gemäß § 55 Absatz 1 des Rundfunkstaatsvertrags nur diejenigen Anbieter von Telemedien verpflichtet,
die nicht ausschließlich persönlichen oder familiären Zwecken dienen.
Diese Formulierung kommt uns doch bekannt vor.