Das neue Datenschutzrecht für (freie) Journalistinnen und Journalisten

Ab dem 25. Mai 2018 gilt ein neues Datenschutzrecht. Die Ziele der Gesetzgebung sind ganz unterschiedlich und mitunter widersprüchlich: Einerseits sollen Bürger/innen mehr Rechte gegenüber der umfänglichen Datenerfassung im digitalen Zeitalter haben, andererseits sollen Unternehmen europaweit mehr Rechtssicherheit im Umgang mit Daten erhalten.

Der Datenschutz wird daher nicht etwa nur ausgebaut, sondern zum Teil sogar abgebaut. Wer sich etwa über Facebook beschweren will, muss jetzt zunächst einmal nach Irland schauen, auch wenn man sich formal noch bei der für Deutschland zuständigen Stelle beschweren kann. Nur können die Datenschutzämter dann erst einmal wenig machen. Das ist halt auch Europa: wer also wirklich meinen sollte, dass die neuen Regelungen nun alles absolut verschärfen, kann durchaus einfach mal den Firmensitz in einen EU-Staat mit wenig Personal im Datenschutzamt und wenig Begeisterung für staatliche Maßnahmen verlagern. Weswegen Irland bekanntlich seit langem der Hafen für viele internationale Internetfirmen ist.

Wird einfach alles schwieriger? Daten von Personen können auch in Zukunft unter bestimmten Bedingungen ohne deren Einwilligung verarbeitet werden. Dazu findet sich eine ganze Palette von Kriterien, etwa das Vorliegen eines Vertrages, aber auch das durchaus schillernde „berechtigte Interesse“, das durchaus vieles ermöglichen kann.Andererseits kann es aber auch teuer werden: Wer sich nicht an die Regeln hält, dem drohen Sanktionen von bis zu 4 Prozent des weltweiten Umsatzes oder 20 Millionen Euro.

Das neue Datenschutzrecht beruht im Wesentlichen auf einer Europäischen Richtlinie, allerdings waren und sind dem deutschen Gesetzgeber auch einige Detailregelungen erlaubt. In einigen Punkten verlangt die Richtlinie sogar, dass der Gesetzgeber aktiv wird – was er zum Teil noch gar nicht gemacht hat, gerade auch im Medienbereich. Daher sind die nachstehenden Bemerkungen zum Thema auch teilweise im Konjunktiv gefasst – was demnächst Rechtslage ist, steht noch gar nicht fest.

Hinzu kommt auch noch, dass weitere praxisbezogene Detailregelungen demnächst noch in einer weiteren Regelung, der europäischen ePrivacy-Richtlinie, festgelegt werden sollen. Dann wird eventuell noch einiges weiter verschärft – und anderes liberalisiert, etwa das Recht zur Werbung per Telefonanruf. Also – vieles ist leider noch gar nicht mit Bestimmtheit zu sagen.

Klar ist, dass die neue europäische Regelung – Datenschutz-Grundverordnung, abgekürzt DSGVO – schon längst gilt, allerdings noch bis zum 25. Mai 2018 eine Übergangsfrist läuft, in der sie noch nicht angewendet werden muss. Darüber hinaus gilt das Bundesdatenschutzgesetz mit einigen spezielleren Regelungen, ohne aber von der DSGVO inhaltlich abweichen zu dürfen. Darüber hinaus gibt es dann selbstverständlich auch noch Landesdatenschutzgesetze.

Der Artikel 85 der Europäischen Richtlinie postuliert immerhin ganz klar, dass es für Medien Ausnahmen beim Datenschutz geben soll:

Art. 85 DSGVO Verarbeitung und Freiheit der Meinungsäußerung und Informationsfreiheit
(1) Die Mitgliedstaaten bringen durch Rechtsvorschriften das Recht auf den Schutz personenbezogener Daten gemäß dieser Verordnung mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang.

(2) Für die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, sehen die Mitgliedstaaten Abweichungen oder Ausnahmen (...) vor, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen.

Deutschland muss also Gesetze schaffen, mit denen sichergestellt wird, dass der Journalismus durch die neuen Datenschutzregeln nicht zur Strecke gebracht wird. Denn es wäre nicht realistisch, einen Mafiosi oder korrupten Politiker um die Einwilligung zur Verarbeitung seiner Daten in einer Reportage zu fragen. Genauso wenig wäre es zweckmäßig, Verzeichnisse zu verlangen, in denen eine Redaktion ihre investigativen Software-Verfahren darlegt. Wenn eine Datenschutzbehörde zudem festlegen könnte, über was recherchiert werden darf und welche Daten in Beiträgen nichts zu suchen haben, wäre wohl das Ende der Pressefreiheit gekommen. Europa will so etwas im Prinzip auch gar nicht, denn genau dazu wurde der Artikel 85 geschaffen. Die Deutschen müssen jetzt halt Gesetze machen, die den Journalismus von wesentlichen Bestimmungen des Datenschutzrechts ausnehmen.

Ausnahmen vom Datenschutzrecht wären nichts Neues. Auch bisher waren Redaktionen weitgehend außerhalb der Reichweite des Bundesdatenschutzgesetzes. Beim Presserat gibt es zu diesem Thema eine kostenlose Broschüre „Redaktionsdatenschutz“, in der die bisherige Rechtlage nachzulesen ist.

Wie sieht es aktuell in Deutschland aus? Hier sind für die Arbeit der Redaktionen in erster Linie die Bundesländer zuständig, da das Presserecht in Deutschland aus Gründen des Föderalismus nicht auf nationaler Ebene geregelt wird. Erforderlich sind Ausnahmeregelungen in den Landespresse-/Landesmediengesetzen. Außerdem ist eine Änderung der Rundfunkstaatsverträge erforderlich, auch hier sind Ausnahmebestimmungen beim Datenschutz angesagt.

Die Bundesländer haben jedoch ihre Hausaufgaben noch längst nicht gemacht. Zwar liegen den Landesparlamenten Vorschläge von DJV und anderen Medienverbänden vor, in denen detaillierte und ausformulierte Regelungen enthalten sind. Doch die Zeit läuft, und manche/r Verantwortliche in Landesministerien und Landtagsfraktionen scheint sich über die mögliche Probleme der Presse und des Rundfunks keine größeren Gedanken zu machen. Vielleicht geht es sogar so weit, dass persönliche Erfahrungen mit Medien oder auch politische Abneigungen eine Rolle spielen. Eine Presse, die sich bei jeder Recherche und jedem Beitrag Gedanken machen muss, ob nicht ein Strafverfahren wegen Datenschutzverstoß im Raume steht, wäre wohl manchen Leuten, die vieles unter die Decke kehren wollen, ganz recht. Immerhin hat in Thüringen die Mehrheit im dortigen Landtag der Änderung des MDR-Rundfunkstaatsvertrag zugestimmt.

Ein weiterer Punkt bei der Gesetzgebung sind die Regelungen im so genannten „KUG“. Dieses Gesetz regelt die Zulässigkeit der Aufnahme und Veröffentlichung von Fotografien. Dazu gehört der Grundsatz, dass für eine Veröffentlichung die Einwilligung der abgebildeten Personen oder ihrer Sorgeberechtigten erforderlich ist. Dann gibt es einige Ausnahmen, wie etwa Fotos von zeitgeschichtlicher Bedeutung, Fotos von Veranstaltungen und Landschaften, künstlerische Fotos. Auch diese Ausnahmen gelten nicht absolut, sondern stehen wieder unter dem Vorbehalt, dass eine Veröffentlichung auch in diesen Fällen unzulässig sein kann, wenn ein „berechtigtes Interesse“ der abgebildeten Person berührt wird. Wann das dann im Einzelfall in Ordnung geht, darüber gibt es viele Gerichtsentscheidungen, Bücher und sogar Webinare beim DJV.

In letzter Zeit gab es im Internet einige Publikationen, in denen die Auffassung vertreten wurde, das „KUG“ würde durch die neuen Regelungen quasi automatisch eingeschränkt. In der juristischen Fachwelt wurde dagegen vor allem die Auffassung vertreten, dass das „KUG“ zu den Regelungen gehöre, die als Ausnahmen im Sinne des oben erwähnten Artikel 85 den freien Journalismus vor überzogenem Datenschutz schützen sollen. Der Bundesgesetzgeber sieht das in juristischer Hinsicht offenbar genauso, weswegen es aber dort Kreise gibt, die nunmehr ins „KUG“ explizit hineinschreiben wollen, dass die DSGVO vorgeht. Der DJV setzt sich derzeit beim Bundesgesetzgeber natürlich dafür ein, dass das „KUG“ als Ausnahme von den Datenschutzregeln gilt und nicht umgekehrt das DSGVO dem „KUG“ vorgehen soll. Fotografie nur mit Einwilligungserklärung wäre sonst praktisch gesehen nicht mehr möglich.

Abgesehen davon darf darauf hingewiesen werden, dass die DSGVO die Verarbeitung von (Foto-)Daten auch dann erlaubt, wenn es ein „berechtigtes Interesse“ gibt. Sollte die Arbeit von Medien etwa kein solches berechtigtes Interesse sein, obwohl deutsche Gerichte bereits in zahlreichen Gesetzen gesagt haben, dass die Absicht zur Berichterstattung stets ein „berechtigtes Interesse“ darstellt, etwa bei Gerichtentscheidungen über Auskunftsrechte?

Was würde nun gelten, wenn der DJV und die übrigen Medienverbände erfolgreich wären und es im Prinzip beim bisherigen Redaktionsdatenschutz bliebe? Dann würde gelten, was bisher schon galt: Redaktionen müssen keinen Datenschutzbeauftragten bestellen, sie müssen aber ihre Mitarbeiter/innen auf sorgfältigen Umgang bei der Organisation der Daten und bei der verwendeten Technik verpflichten. Bußgelder oder Strafen durch Datenschutzämter wären nicht möglich, aber durchaus Schadensersatzansprüche von Personen, deren Rechte durch Fehler bei der Organisation oder Technik verletzt wurden und die einen Schaden auch nachweisen können. Hinzu käme das Recht von Personen, Auskunft über gespeicherte Daten zu verlangen. Ein Anspruch allerdings, dem entgegengetreten werden kann, wenn es dafür Gründe gibt: etwa, wenn es um eine Langzeitrecherche geht, die ansonsten gefährdet wäre.

Diese Regeln würden dann nicht nur für Redaktionen gelten, sondern auch ihre freien Mitarbeiter/innen. Natürlich auch Freie, die 1-Personen-Redaktionen betreiben – beispielsweise bei lokalen Online-Zeitungen.  

Was könnten solche Verstöße bei Organisation oder Technik sein? Beispielsweise wenn ich aus irgendeinem Grund wegen einer Recherche die Konstruktionsdaten eines neuen Fahrzeugs erhalten habe, diese aber auf einem chinesischen Internetspeicher ablege und sie dort gestohlen werden. Wenn dann nachgewiesen werden kann, dass die Firma Schäden erlitten hat, könnte eine Haftung entstehen. Allerdings auch nur dann.
DJV-Mitglieder können sich aber auch gegen solche – am Ende doch recht unwahrscheinlichen – Haftungsfälle absichern. Der DJV-Versicherungsmakler bietet schon seit langem eine international geltende Versicherung gegen Vermögenschäden an. Nach seinen Aussagen gilt sie auch für Schäden durch Datenschutzverletzungen. Einzige Ausnahme: der Schaden wurde vorsätzlich verursacht. Das wird aber wohl die absolute Ausnahme sein. Hinzu kommt die Möglichkeit, die Haftung für solche Schäden auf die Auftraggeber bzw. die veröffentlichende Redaktion zu verlagern.

Mitarbeiter/innen von Redaktionen wiederum können mit ihren Geschäftsführungen entweder Betriebsvereinbarungen schließen oder aber Zusätze zu ihren Arbeitsverträgen, mit denen Regelungen zum Umgang mit Daten eingeführt werden und die Firma zusagt, die Mitarbeiter/innen in Haftungsfällen vollumfänglich von Ansprüchen freizustellen (mit der Ausnahme bei Vorsatz). DJV-Mitglieder können sich dazu vom Verband beraten lassen.

Natürlich heißt das alles nicht, dass Redaktionen und Freie sich jetzt darauf verlassen können, dass der DJV und die Landesparlamente das schon irgendwie hinbekommen. Natürlich wäre es hilfreich, wenn DJV-Mitglieder die/den Abgeordnete/n ihres Landtagswahlkreises ansprechen und darum bitten, sich entsprechend der DJV-Vorschläge für die Freiheit der Medien einzusetzen. Dazu sind keine langen Ausführungen notwendig, der Hinweis auf die DJV-Vorschläge genügt in dieser Kürze, da sie in voller Länge bei jedem Landtag vorliegen. Am besten formuliert ein solches Schreiben jede/r selbst, weil es so am authentischsten ist. E-Mail an die/den Abgeordnete/n genügt.

Darüber hinaus gilt es natürlich, sich selbst für den Fall, dass die gewünschten Änderungen der Landesgesetze erreicht werden, mit der Organisation und Technik im eigenen Journalistenbüro zu befassen. Das fängt damit an, dass Passwörter nicht einfach an der Pinnwand hängen und sensible Recherchedaten in einen abschließbaren Schrank gehören. Es gilt beispielsweise auch zu prüfen, ob der Gebrauch von Mailsystemen wie Google Mail wirklich verantwortungsbewusst ist, ebenso wie Datenspeicher im Nicht-EU-Ausland kritisch geprüft werden sollten. Länder wie die USA fallen derzeit noch unter besondere Bestimmungen, gelten also noch als datenschutzrechtlich zulässig, für andere Staaten muss das aber nicht gelten.

Für Internet-Seiten gibt es mittlerweile in den gängigen „Impressum-Generatoren“ einschlägige Muster für Informationsklauseln in Sachen Datenschutz (der DJV liest die Ergebnisse für Mitglieder gegen, falls jemand am Ergebnis Zweifel hat). Die Verwendung von Statistik-Tools wie Google Analytics muss kritisch überprüft werden und deren Einstellungen auf datenschutzfreundliche Standards gesetzt werden (am besten sind natürlich Systeme wie etwa etracker).

Problematisch ist es beispielsweise, wenn der Besuch auf der Seite von Dritten erfasst werden kann („Tracking“), beispielsweise wenn Plug-Ins von Facebook genutzt werden. Hier sollte der Nutzerin/dem Nutzer eine Wahlmöglichkeit geboten werden, die Seite auch ohne eine solche Erfassung besuchen zu können. Bei Newsletter-Abonnements muss der Umfang der abgefragten Daten untersucht werden. Es sollte regelmäßig geprüft werden, welche Daten noch gebraucht werden. Zu schnell gelöscht werden darf im Journalistenbüro aber auch nicht, da es eine steuerrechtliche Pflicht zur Aufbewahrung von Geschäftsvorfällen (6 Jahre) und Rechnungen (10 Jahre) gibt.

Über Details zu solchen Punkten wird der DJV in Zukunft weiter informieren, es gilt aber auch die gängigen Branchenmeldungen und IT-Informationsdienste zu nutzen. Updates von verwendeten Software-Systemen sollten zeitnah eingespielt, datensaugende Betriebssysteme kritisch geprüft werden. Wie bereits gesagt, wird dazu weiter informiert werden.

Vertragsmuster und andere Musterformulierungen des DJV werden voraussichtlich bis Ende April 2018 in überarbeiteter Form vorliegen, dazu genügt dann der Besuch von djv.de/freie bzw. djv.de/honorare.

Es darf aber gleichzeitig darauf hingewiesen werden, dass Internetauftritten von Journalisten in Einzelfällen einiges erlaubt sein kann, was anderen Internetseiten vielleicht als Datenschutzverstoß vorzuwerfen wäre. Nutzt eine Journalistin ihre Internetseite beispielsweise dazu, um für einen Beitrag zu recherchieren, wer sich alles für ein bestimmtes Thema interessiert, könnte eine Erfassung unter Daten aus DJV-Sicht durchaus zulässig sein, selbst wenn das gewählte Verfahren für andere Webseiten längst ein „No-Go“ wäre. Gleiches könnte auch geltend gemacht werden, wenn eine Redaktion auswerten will, aus welchen Gegenden Leute kommen, die sich für bestimmte Schlagwörter interessieren und so weiter. Was Günter Wallraff durch das Bundesverfassungsgericht erlaubt wurde, kann in bestimmten Umfang auch für digitale Recherchemethoden von Journalisten gelten. Einen Persilschein kann zwar an dieser Stelle nicht erteilt werden, nur klar sollte sein: Journalisten müssen aus Gründen der Pressefreiheit mehr digitale Maßnahmen erlaubt sein als dem Kaufmann, dem es am Ende nur um das Geld geht.

Das Journalistenbüro als PR-Dienstleister: das eigentliche Problem

Wenn es also (fast schon) so aussieht, als würde die journalistische Arbeit weitgehend aus der Anwendung des Datenschutzrechts ausgenommen, gilt das nicht für einen Bereich, in dem Journalistinnen und Journalisten zum Teil ebenfalls tätig sind. Gemeint ist die Presse- und Öffentlichkeitsarbeit. Hier stellt sich die Frage, inwieweit auch diese Tätigkeitsgebiete von den Ausnahmen des Artikels 85 erfasst sind.

Immerhin spricht Artikel 85 Absatz 1 davon, dass Deutschland bei der Umsetzung der DSGVO das „Recht auf freie Meinungsäußerung und Informationsfreiheit“ zu beachten hat. Nun haben auch Unternehmen ein grundgesetzlich garantiertes Recht auf Meinungsäußerung und auf Informationsfreiheit, so dass bereits daraus gefolgert werden könnte, dass die Landesgesetzgeber Ausnahmen für die Arbeit von Pressestellen schaffen müssten. Für Pressestellen von öffentliche Einrichtungen könnte das durchaus ähnlich gefordert werden, auch wenn sie sich hierzu nicht direkt auf das Grundgesetz berufen können.

Hinzu könnte argumentiert werden, dass die in Artikel 85 Absatz 2 geforderten Ausnahmen für Journalismus auch schon deswegen Pressestellen betreffen, weil hier Beiträge für die Presse vorbereitet oder bei Anfragen unterstützt werden. Eine Kontrolle durch Datenschutzbeauftragte könnte letztlich das Recherchegeheimnis von Journalisten verletzen, deren Informationsflüsse und Netzwerke aufgedeckt würden.

Demgegenüber steht das Problem, dass manche Aktivitäten von Stellen der Presse- und Öffentlichkeitsarbeit durchaus mit der Marketingabteilung verknüpft oder sogar identisch sind. Wenn eine freie Journalistin den Auftrag bekommt, Daten zu erfassen, damit ein Hotel geeignete Personen zu einer Einweihung einladen kann, wird schwerlich als Tatbestand zu verkaufen sein, der unter das Redaktionsgeheimnis fällt und mithin von einem Datenschutzamt nicht eingesehen werden darf. Um Daten zu erfassen, die eindeutig nicht der Pressekommunikation, sondern der Kundenbindung oder Werbung dienen, werden die neuen Datenschutzregeln daher wohl zur Anwendung kommen müssen. Gleiches gilt für Journalistinnen und Journalisten, die Tagungen organisieren – wie früher einfach Teilnehmerlisten für alle auszulegen, ist ohne das neue, aufwändigere Einwilligungsverfahren nicht denkbar.

Unter Umständen könnte das darauf hinauslaufen, dass Einrichtungen der Presse- und Öffentlichkeitsarbeit grundsätzlich vollumfänglich den Regelungen des Datenschutzrechts unterliegen, einschließlich der Kontrollrechte der Datenschutzämter und deren Sanktionsrechte, und sich nur in Einzelfällen für ganz bestimmte Projekte oder Teilbereiche der Arbeit verweigern dürften.

Wird auch das bereits erwähnte „KUG“ für Presse- und Öffentlichkeitsarbeit nicht mehr gelten? Auch hier gilt bereits das oben Gesagte: das „KUG“ gilt nach Meinung vieler Juristinnen und Juristen als Ausnahmeregelung beim Datenschutz. Der DJV setzt sich derzeit beim Bundesgesetzgeber dafür ein, dass die bisherigen Regelungen erhalten bleiben – damit würde das „KUG“ auch weiterhin im Bereich der Presse- und Öffentlichkeitsarbeit Anwendung finden können. Allerdings ist darauf hinzuweisen, dass schon bisher Verwendungen von Personenfotos ohne Einwilligung kritisch zu sehen waren, wenn sie zur Werbung verwendet wurden.

Die Regelungen, die in Zukunft für viele – nicht alle – Bereiche der Presse- und Öffentlichkeitsarbeit gelten dürften, werden demnächst noch ausführlich dargestellt; im DJV-Webinar vom 16. März 2018 (im DJV-Intranet abrufbar) sowie im kommenden am 16. April 2018 wird daraufhin bereits eingegangen. An dieser Stelle würde das zu weit führen.

Eine der nächsten Fragen wäre die Arbeit von Corporate-Publishing-Magazinen und Auftritten. Hier wäre die Frage, ob sie sich auf die Ausnahmen für Redaktionen berufen können. Aus Sicht des DJV wird das stets dann zutreffen, wenn eine Redaktion vorhanden ist, die journalistisch arbeiten kann. Um das nachzuweisen, wäre natürlich das Vorhandensein eines Redaktionsstatuts, mit dem die redaktionelle Eigenständigkeit plausibel dargestellt werden kann, hilfreich. Der DJV hilft Redaktionen von Corporate-Publishing-Magazinen gerne, wenn sie Hilfe bei der Abfassung solcher Statuten benötigt.

Weitere Informationen kommen

DJV-Mitglieder können zum Thema selbstverständlich die Rechtsberatung in Anspruch nehmen. Weitere Informationen folgen. Noch einmal ist deutlich zu machen, dass die Gesetzgebung derzeit im Fluss ist und daher noch vieles unklar bleibt. DJV-Mitglieder können aber im eigenen Interesse aktiv werden, wenn sie die/den Landtagsabgeordneten ihres Wahlkreises anschreiben und dafür werben, die DJV-Vorschläge für die Reform des Landespresserechts und der Rundfunkstaatsverträge umzusetzen. Das kann jeder tun, E-Mail genügt. Es genügt der Hinweis auf „Vorschläge des DJV“, der Volltext ist nicht erforderlich. Er liegt den Landesparlamenten längst vor, nur müssen sie jetzt zum Jagen getragen werden. Dank an jede/n, die/der sich daran beteiligt.

Michael Hirschler, hir@djv.de