Telekommunikation-Telemedien-Datenschutz-Gesetz

Das TTDSG regelt das Fernmeldegeheimnis und enthält Vorschriften für den Schutz von Nutzungsdaten, für die Rufnummernunterdrückung und -anzeige, für Endnutzerverzeichnisse, für den Schutz der Privatsphäre bei Cookies und für die Aufsichtsbehörden für Datenschutz und Schutz der Privatsphäre in der Telekommunikation. Die Bestimmungen zum Telemediendatenschutz ergänzen die DSGVO um die Vorgabe bestimmter technischer und organisatorischer Vorkehrungen, um die Regelung der Verarbeitung personenbezogener Daten von Minderjährigen sowie um Vorgaben zur Auskunftserteilung über Bestands- und Nutzungsdaten durch Diensteanbieter.

Das TTDSG verwendet die Begriffe des TKG, des TMG und der DSGVO. Zusätzlich werden die sechs Begriffe „Anbieter von Telemedien“, „Bestandsdaten“, „Nutzungsdaten“, „Nachricht“, „Dienst mit Zusatznutzen“ sowie „Endeinrichtung“ für den Anwendungsbereich des TTDSG legaldefiniert.

Das Fernmeldegeheimnis schützt den Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere wer an einem Telekommunikationsvorgang beteiligt ist oder war. Es umfasst auch erfolglose Verbindungsversuche. Zur Wahrung des Fernmeldegeheimnisses verpflichtet sind die Anbieter von öffentlich zugänglichen und von geschäftsmäßig angebotenen Telekommunikationsdiensten einschließlich mitwirkender Personen und die Betreiber der Netze und Anlagen. Die Verpflichteten dürfen weder sich noch anderen Kenntnis vom Inhalt oder von den näheren Umständen der Telekommunikation verschaffen. Eine Weitergabe an andere ist nur zulässig, soweit eine gesetzliche Vorschrift dies vorsieht.

Erben, rechtliche Betreuer oder Bevollmächtigte können die Rechte des Endnutzers wahrnehmen. Das Fernmeldegeheimnis steht dem nicht entgegen.

Mit einer Funkanlage dürfen nur solche Nachrichten abgehört werden, die für den Betreiber der Funkanlage, für Funkamateure, für die Allgemeinheit oder für einen unbestimmten Personenkreis bestimmt sind. Der Inhalt anderer Nachrichten sowie die Tatsache ihres Empfangs dürfen anderen nicht mitgeteilt werden, auch wenn die Nachricht unbeabsichtigt empfangen wurde.

Nachrichteninhalte wie Sprach-, Ton-, Text- oder Grafikmitteilungen dürfen nur aufgrund von Eingaben des Endnutzers verarbeitet werden. Der Anbieter muss die erforderlichen technischen und organisatorischen Maßnahmen treffen, um Fehlübermittlungen und unbefugte Zugriffe innerhalb des Unternehmens und durch Dritte auszuschließen.

Bei der Beantragung eines Telekommunikationsanschlusses kann der Anbieter die Vorlage eines amtlichen Ausweises verlangen und eine Kopie fertigen, die er nach Feststellung der Endnutzerdaten zu löschen hat. Wird eine Prepaidkarte verkauft, besteht sogar die Pflicht, die Personenfeststellung anhand eines Ausweises durchzuführen, (§ 172) TKG.

Telekommunikationsanlagen, die geeignet und dazu bestimmt sind, jemand anderes heimlich abzuhören oder aufzunehmen, sind verboten. Ausnahmen können von den zuständigen obersten Bundes- oder Landesbehörden genehmigt werden, wenn es zum Beispiel aus Gründen der öffentlichen Sicherheit erforderlich ist.

Verkehrsdaten (einschließlich Berechtigungskennungen, Kundenkartennummern oder bei mobilen Anschlüssen Standortdaten) dürfen nur für die Durchführung der Kommunikationsvorgänge und zur Entgeltabrechnung verwendet werden. Für die Entgeltabrechnung dürfen Daten bis zu sechs Monate nach Versendung der Rechnung gespeichert werden. Für die Abrechnung nicht erforderliche Daten sind unverzüglich zu löschen. Darüber hinaus gehende Verwendungen sind nur nach Einwilligung des Nutzers zulässig. Für Einzelverbindungsnachweise muss der Anschlussinhaber erklären, dass alle Haushaltsangehörigen informiert sind, in Betrieben und Behörden muss der Betriebsrat oder die Personalvertretung beteiligt werden. Für Dienste mit Zusatznutzen (z. B. Beratung hinsichtlich der billigsten Tarifpakete, Navigationshilfen, Handyortung, Verkehrsinformationen, Wettervorhersage oder touristische Informationen) dürfen Standortdaten nur in dem Umfang verarbeitet werden, der für den Dienst erforderlich ist, wenn sie anonymisiert wurden oder wenn der Nutzer eingewilligt hat.

Anrufende und angerufene Endnutzer müssen die Möglichkeit haben, die Rufnummernanzeige dauernd oder für jeden Anruf einzeln zu unterdrücken. Die Anzeige von Rufnummern darf bei Notrufnummern sowie bei Anschlüssen von Sicherheitsbehörden nicht ausgeschlossen werden.

Jeder Anschlussinhaber kann sich mit seiner Rufnummer, seinem Namen und seiner Anschrift in öffentlich zugängliche Endnutzerverzeichnisse eintragen lassen. Er ist über weitere Nutzungsmöglichkeiten aufgrund der eingebetteten Suchfunktionen zu informieren. Er kann jederzeit verlangen, dass seine Angaben unentgeltlich eingetragen, gespeichert, berichtigt oder gelöscht werden. Die Anbieter müssen die Verzeichnisdaten anderen Unternehmen zur Bereitstellung von öffentlich zugänglichen Auskunftsdiensten oder von Endnutzerverzeichnissen bereitstellen. Sie dürfen dafür angemessene Entgelte verlangen.

Telemedienanbieter müssen durch technische und organisatorische Vorkehrungen sicherstellen, dass der Nutzer die Nutzung des Dienstes jederzeit beenden kann. Die Nutzung muss gegen Kenntnisnahme Dritter geschützt sein. Die Anbieter müssen Nutzung und Bezahlung anonym oder unter Pseudonym ermöglichen. Sie müssen durch technische und organisatorische Vorkehrungen ausschließen, dass jemand unerlaubt auf ihre technischen Einrichtungen zugreift. Sie müssen sicherstellen, dass ihre Einrichtungen gegen Verletzungen des Schutzes personenbezogener Daten und gegen Störungen gesichert sind. Die Vorkehrungen müssen den Stand der Technik berücksichtigen.

Telemedienanbieter dürfen personenbezogene Daten Minderjähriger, die sie aus Jugendschutzgründen zur Altersverifikation erhoben haben, nicht für kommerzielle Zwecke verarbeiten.

Telemedienanbieter dürfen auf Anordnung der zuständigen Stellen im Einzelfall Auskunft über Bestandsdaten erteilen, soweit dies zur Durchsetzung der Rechte am geistigen Eigentum erforderlich ist. Dies gilt auch in Bezug auf die Durchsetzung zivilrechtlicher Ansprüche wegen der Verletzung absolut geschützter Rechte auf Grund bestimmter rechtswidriger Inhalte, sofern der Verletzte eine vorherige gerichtliche Anordnung erwirkt hat.

Telemedienanbieter dürfen zur Erfüllung von Auskunftspflichten gegenüber Sicherheitsbehörden Bestandsdaten und Nutzungsdaten verwenden. Die in eine Auskunft aufzunehmenden Bestandsdaten dürfen auch anhand einer zu einem bestimmten Zeitpunkt zugewiesenen IP-Adresse bestimmt werden. Für die Auskunftserteilung muss der Telemedienanbieter sämtliche unternehmensinterne Datenquellen berücksichtigen. Passwörter oder andere Zugriffsschutzdaten dürfen nur nach gerichtlicher Anordnung an Strafverfolgungsbehörden zum Zweck der Verfolgung besonders schwerer Straftaten oder an Sicherheitsbehörden zur Abwehr einer konkreten Gefahr für Leib, Leben oder Freiheit einer Person, für den Bestand des Bundes oder eines Landes gegeben werden. An andere öffentliche und nichtöffentliche Stellen dürfen diese Daten nicht übermittelt werden.

Informationen dürfen nur gespeichert oder ausgelesen werden, wenn der Endnutzer eingewilligt hat. Für die Einwilligung gelten die Voraussetzungen der DSGVO. Die Einwilligung muss auf der Grundlage von klaren und umfassenden Informationen beruhen und mit einer eindeutigen bestätigenden Handlung erfolgen. Eine Einwilligung ist aber nicht erforderlich, wenn die Cookies allein der Durchführung der Übertragung einer Nachricht dienen, oder wenn sie unbedingt erforderlich sind, um einen ausdrücklich gewünschten Telemediendienst zu erbringen.

Unabhängige PIMS-Dienste (Personal Information Management Systems) zur Verwaltung von Einwilligungen sind zulässig, wenn sie kein eigenes wirtschaftliches Interesse an der Erteilung der Einwilligung und an den verwalteten Daten haben. Sie müssen ein Sicherheitskonzept vorlegen. Voraussetzung ist ihre Anerkennung durch eine unabhängige Stelle. Die genauen Anforderungen und technischen Anwendungen für PIMS-Dienste sowie das Verfahren zur Anerkennung und die notwendigen technischen und organisatorischen Maßnahmen werden nicht direkt im TTDSG festgelegt, sondern bedürfen einer weiteren von der Bundesregierung zu erlassenden Verordnung.[1]

Strafen und Bußgelder für Verstöße entsprechen weitgehend den seitherigen Vorschriften des TKG. Wesentliche Änderungen betreffen Spionagegeräte. Deren Besitz ist jetzt nicht mehr strafbar, sondern nur noch deren Herstellung und Auf-den-Markt-Bringen. Der Bußgeldkatalog orientiert sich am Bußgeldrahmen des TKG und an den Vorgaben des Ordnungswidrigkeitengesetzes. Für die unerlaubte Unterdrückung der Rufnummer bei Werbeanrufen wird der Bußgeldrahmen von bisher 100.000 Euro auf 300.000 Euro kräftig angehoben. Er entspricht jetzt demjenigen für unzulässige Werbeanrufe im Gesetz gegen den unlauteren Wettbewerb (UWG).

Der Bundesbeauftragte für den Datenschutz (BfDI) ist zuständig für die Datenschutzaufsicht für Telekommunikationsdienste. Das betrifft nicht nur Daten von natürlichen, sondern im Unterschied zum Bundesdatenschutzgesetz auch von juristischen Personen. Ebenso beaufsichtigt der BfDI Anbieter von Telekommunikationsdienstleistungen in Bezug auf die Speicherung und Nutzung von Cookies. Die Bundesnetzagentur ist zuständig für die Aufsicht über Telekommunikationsdienstleister, soweit es sich nicht um die Verarbeitung von Daten handelt, also zum Beispiel das Abhörverbot oder Maßnahmen zum Schutz von TK-Einrichtungen vor Missbrauch. Die Aufsicht über Telemediendienstleister erfolgt durch die Datenschutzaufsichtsbehörden der Länder.

Das TTDSG soll die seitherigen Datenschutzbestimmungen des TKG und des TMG an die DSGVO anpassen. Insbesondere regelt es die Datenschutzaufsicht. Entsprechend dem spezialgesetzlichen Verhältnis der E-Privacy-Richtlinie zur DSGVO gelten die Bestimmungen der DSGVO zur Verarbeitung von Verkehrsdaten und Standortdaten nur, soweit das TTDSG nichts anderes bestimmt.

Zudem enthält das TTDSG die Anpassung der Datenschutzbestimmungen für Telemedien an die DSGVO, die bisher in den §§ 11 bis 15d des TMG enthalten waren. Es enthält die Bestimmungen zum Telemediendatenschutz, die nicht durch die DSGVO verdrängt werden. Dazu gehören die Vorgabe bestimmter technischer und organisatorischer Vorkehrungen, die Regelung der Verarbeitung personenbezogener Daten Minderjähriger sowie Vorgaben zur Auskunftserteilung und zu Auskunftsverfahren durch Diensteanbieter.

Bezüglich der Frage, ob Webseitenbetreiber über Cookies hinreichend informieren und ob die Einwilligung wirksam erteilt wurde, gelten die Anforderungen der DSGVO.

Das TTDSG setzt die Datenschutzrichtlinie für elektronische Kommunikation (E-Privacy-Richtlinie) um. Dabei regelt es in § 25 TTDSG auch den Schutz der Privatsphäre bei Endeinrichtungen (Artikel 5 Absatz 3 der E-Privacy-Richtlinie) und setzt somit auch das Einwilligungserfordernis der so genannten Cookie-Richtlinie von 2009 um. Der Telemedienbegriff entspricht dem europäischen Begriff der Dienste der Informationsgesellschaft.[2]

Die Europäische Kommission hat am 16. Januar 2017 einen Vorschlag für eine E-Privacy-Verordnung[3] vorgelegt. Diese wird die seitherige Richtlinie ablösen und dann unmittelbar geltendes Recht sein. Das Parlament hat am 26. Oktober 2017 seinen Standpunkt für den Trilog beschlossen, aber der EU-Ministerrat einigte sich erst am 10. Februar 2021 auf eine Version für die jetzt folgenden Trilog-Verhandlungen.[4] Das TTDSG muss dann in den Teilen angepasst werden, die durch die E-Privacy-Verordnung unmittelbar geregelt sind.

Die Richtlinie (EU) 2018/1972 vom 11. Dezember 2018 über den Europäischen Kodex für die elektronische Kommunikation (EKEK) setzt einen EU-weit harmonisierten Rahmen für die Regulierung elektronischer Kommunikationsnetze und -dienste, zugehöriger Einrichtungen und bestimmter Aspekte der Endeinrichtungen. Der EKEK legt fest, dass nicht nur die klassischen Telekommunikationsdienste, sondern auch die Over-the-Top-Dienste (OTT-Dienste) als nummernunabhängige inter-personelle Kommunikationsdienste der E-Privacy-Richtlinie und somit dem TTDSG unterliegen.[5] OTT-Dienste sind z. B. Voice-over-IP-Telefonie, Instant-Messaging oder webgestützte E-Mail-Dienste.

Im EU-Kontext wird der Begriff „elektronische Kommunikation“ verwendet. Für die deutschen Gesetze wird der Begriff „Telekommunikation“ beibehalten. Beide Begriffe sind inhaltsgleich.[6]

Zentraler Kritikpunkt war in der Debatte im Bundestag zur 1. Lesung am 25. März 2021 die Bestandsdatenauskunft. Die FDP sah die Regelung zur Herausgabe von Passwörtern kritisch. Die Linke kritisierte, dass nicht nur die Anbieter von Telemediendiensten, sondern auch wer an der Erbringung mitwirkt oder wer einen Nutzungszugang vermittelt, z. B. Krankenhäuser und Cafés, Nutzerdaten herausgeben müssen.

Ein weiterer Punkt war in der Aussprache die Neuregelung zu den Cookies. Sie reiche nicht aus, um das ständige Wegklicken von Cookiewarnungen zu verhindern. Gewünscht würden pauschale Entscheidungen pro oder kontra Tracking zum Beispiel mittels Do-not-track-Funktionen im Browser oder in Apps. Die Grünen bekräftigten zudem, dass Regelungen zum digitalen Nachlass in Telemediendiensten dringend erforderlich seien.[14]

Bekräftigt wurde die Kritik an der Praxis zur Einholung von Einwilligungen für Cookies und andere Tracking-Mechanismen. Der Anreiz, wegen der umständlichen Ausführungen und einem Labyrinth von Unterseiten den „Alle akzeptieren“-Button anzuklicken, werde nicht verhindert. Das Einwilligungsprinzip fördere auch soziale Ungleichheit: wer Privatsphäre will, der solle dafür zahlen.[13]