Datenschutzaufsicht über die Medien in der Praxis (Braun, AfP 2023, 484)

Soweit Medien personenbezogene Daten zu journalistischen Zwecken verarbeiten, unterliegen sie wegen des Medienprivilegs aus Art. 85 DSGVO weitgehend einer eigenen Datenschutzaufsicht. Auf Grundlage von Tätigkeitsberichten von Aufsichtsorganen untersucht und bewertet dieser Beitrag die sechs Formen der Datenschutzaufsicht über die Medien in der Praxis. Während teils regulatorische und praktische Aufsichtsdefizite im Bereich der Presse, der Telemedien und des privaten Rundfunks auszumachen sind, konnte für den öffentlich-rechtlichen Rundfunk eine wirkungsvolle Datenschutzaufsicht etabliert werden.

I. Bedingungen einer wirksamen Datenschutzaufsicht
II. Presse
1. Aufsicht durch den Deutschen Presserat
a) Gesetzliche Grundlagen
b) Aufsichtspraxis
2. Staatliche Datenschutzaufsicht
3. Aufsichtsvakuum: Keine Selbstverpflichtung und keine Aufsicht
III. Journalistische Telemedien und privater Rundfunk
1. Deutscher Presserat
2. Landesmedienanstalten
a) Landesmedienanstalten als Aufsichtsbehörde
b) Bayerischer Mediendatenschutzbeauftragter
c) Leitung der Landesmedienanstalten
3. Betriebliche Datenschutzbeauftragte
4. Staatliche Datenschutzaufsicht
IV. Öffentlich-rechtlicher Rundfunk
1. Gesetzliche Grundlagen
2. Aufsichtspraxis
V. Ausblick


I. Bedingungen einer wirksamen Datenschutzaufsicht
1
Während das Äußerungsrecht auf den Persönlichkeitsschutz nach einer Veröffentlichung abzielt, gewährleistet das Datenschutzrecht den Schutz personenbezogener Daten im Vorfeld einer Äußerung. Vom datenschutzrechtlichen Medienprivileg erfasst ist die Verarbeitung personenbezogener Daten zu journalistischen Zwecken. Dies schließt etwa die Recherche für die Veröffentlichung von Beiträgen ein, die Werbung für Abonnements jedoch aus. In Deutschland ist auf Grundlage der Öffnungsklausel des Art. 85 DSGVO das Medienprivileg vorrangig in den Presse- bzw. Mediengesetzen der Länder sowie in Staatsverträgen normiert. Länderspezifische Besonderheiten sowie eigene Regelungen für je die Presse, Telemedien, den privaten und öffentlich-rechtlichen Rundfunk führen indes zu einem unübersichtlichen „Flickenteppich“ im Bereich des Mediendatenschutzrechts. Zwar haben die Regelungen gemeinsam, dass nahezu alle datenschutzrechtlichen Pflichten abbedungen wurden und im Kern des Medienprivilegs die Gewährleistung von Datensicherheit i.S.d. Art. 5 Abs. 1 lit. f i.V.m. Art. 24 und 32 DSGVO sowie die Verpflichtung auf das Datengeheimnis steht. Hingegen ist die Aufsicht im Mediendatenschutz sowohl in der gesetzlichen Ausgestaltung als auch in der praktischen Aufsichtstätigkeit von Diversität geprägt. Insgesamt lassen sich über die Mediengattungen hinweg sechs Typen der Datenschutzaufsicht ausmachen, die von der Aufsicht im Rahmen der Selbstregulierung, über staatliche Aufsichtsbehörden bis hin zur vollständigen Abwesenheit von Aufsichtsorganen reichen.

2
Eine wirksame externe Datenschutzaufsicht muss im Interesse der Medienfreiheit staatsfern und unabhängig ausgestaltet sein. Ferner bedarf es klar definierter Aufgaben und Befugnisse. Neben erforderlicher Fach- und Sachkompetenz sowie personeller und finanzieller Ausstattung ist eine transparente Berichterstattung über die Aufsichtstätigkeit unerlässlich. Auf Grundlage von Tätigkeitsberichten (nachfolgend TB), die im Zeitraum vom 25.5.2018 bis 31.10.2023 veröffentlicht wurden, werden nachfolgend insb. die gesetzliche Ausgestaltung und die Aufsichtstätigkeit der Mediendatenschutzaufsicht über die Presse, journalistische Telemedien sowie den privaten und öffentlich-rechtlichen Rundfunk in der Praxis nachvollzogen und bewertet.

II. Presse

1. Aufsicht durch den Deutschen Presserat

a) Gesetzliche Grundlagen
3
In Bayern, Hamburg, Rheinland-Pfalz, dem Saarland, Sachsen-Anhalt und Thüringen ist die Aufsicht über den Datenschutz der gedruckten Presse explizit gesetzlich geregelt. Soweit sich Presse der Selbstregulierung durch den Deutschen Presserat unterwirft, kommt diesem die ausschließliche Aufsichtsfunktion im Datenschutz zu. Dies ist in den übrigen Bundesländern ebenfalls der Fall, auch wenn dort die Datenschutzaufsicht über die gedruckte Presse nicht ausdrücklich gesetzlich geregelt ist. Inhaltlich sieht der Pressekodex des Deutschen Presserats verschiedene Regelungen zum Redaktionsdatenschutz im Vorfeld, während und nach einer Veröffentlichung vor. Dazu gehören Grundsätze der sorgsamen Recherche und das Redaktionsgeheimnis. Die in den Landesgesetzen aufgestellten Regelungen zur Datensicherheit werden im Pressekodex hingegen nur implizit berücksichtigt. Da der Presserat seiner Beurteilung ausschließlich den Pressekodex zugrunde legt, nimmt er keine rechtliche, sondern eine ethische Aufsicht über das Medienprivileg wahr.

b) Aufsichtspraxis
4
In seiner Aufsichtspraxis wird der Presserat zum einen präventiv tätig. Er berät Redaktionen und veröffentlicht einen Leitfaden zum Redaktionsdatenschutz. Zum anderen liegt der Schwerpunkt auf dem Beschwerdeausschuss zum Redaktionsdatenschutz, welcher Beschwerden zur Verletzung des Datenschutzes in Presseveröffentlichungen am Maßstab des Pressekodex beurteilt. Bei Feststellung eines Verstoßes stehen dem Ausschuss als Maßnahmen Hinweise, Missbilligungen oder Rügen zur Verfügung, wobei die Sanktionen lediglich appellativen Charakter entfalten.

5
Während einer Auffassung nach eine Datenschutzaufsicht über die Presse ohne bindende Sanktionsmöglichkeiten unzulässig ist, hält die Gegenansicht die Aufsicht im Rahmen der Selbstregulierung für zulässig und bewährt. Letzteres überzeugt, da Art. 85 Abs. 2 DSGVO nicht ausdrücklich eine sanktionsfähige Aufsicht fordert. Hingegen ist fraglich, ob sich diese Form der Aufsicht in der Praxis bewährt hat. So verpflichtet sich der Deutsche Presserat bspw. dazu, alle zwei Jahre einen Tätigkeitsbericht zum Redaktionsdatenschutz zu veröffentlichen. In der Praxis erscheinen die Berichte in deutlich größeren Abständen, zuletzt in den Jahren 2008, 2010, 2014 und 2023. Darüber hinaus finden sich zur Beratungspraxis in den Berichten nur wenige Angaben, was womöglich auf eine reduzierte Aktivität im Bereich der präventiven Arbeit hindeutet. Vielmehr konzentrieren sich die Tätigkeitsberichte auf die Spruchpraxis des Beschwerdeausschusses Redaktionsdatenschutz, der seine Aufgaben unabhängig von der unregelmäßigen Berichterstattung kontinuierlich wahrnimmt. In den Jahren 2018 bis 2021 wurden insgesamt 45 Beschwerden bearbeitet, wobei zwölf Hinweise, sieben Missbilligungen und fünf Rügen ausgesprochen wurden.

6
Gleichzeitig ist der Aufsicht des Presserats die Verarbeitung personenbezogener Daten im Vorfeld einer Veröffentlichung größtenteils entzogen, da der Schwerpunkt auf dem Beschwerdeverfahren und damit der reaktiven Kontrolle von Berichterstattung liegt. Dies betrifft sowohl personenbezogene Daten, die im Rahmen einer Recherche gesammelt, aber nicht veröffentlicht werden, als auch die Verarbeitung in Redaktionssystemen und -archiven oder unter Einsatz künstlicher Intelligenz zur automatisierten Produktion von Berichterstattung. Als rein ethische Aufsicht übt der Deutsche Presserat damit auch keine Aufsicht über die gesetzlichen Anforderungen an die Datensicherheit bei der Verarbeitung personenbezogener Daten zu journalistischen Zwecken aus – die jedoch den Kern des datenschutzrechtlichen Medienprivilegs ausmachen. Damit hinterlässt der Presserat insb. im Bereich des Datenschutzes im Vorfeld journalistischer Veröffentlichungen und gerade im Hinblick auf die gesetzlich verankerte Datensicherheit, die nur indirekt im Pressekodex berücksichtigt ist, vermeidbare Aufsichtslücken.

2. Staatliche Datenschutzaufsicht
7
Bayern, Hamburg, Rheinland-Pfalz, das Saarland und Sachsen-Anhalt sehen eine Aufsicht durch die staatlichen Datenschutzaufsichtsbehörden vor, sofern sich Presse nicht der Selbstregulierung durch den Deutschen Presserat unterwirft. Dies beugt einem „Aufsichtsvakuum“ vor, das entstehen kann, wenn sich Presse nicht der Selbstregulierung unterwirft und gleichzeitig keine alternative Form der Datenschutzaufsicht vorgesehen ist. Dies führt in den betroffenen Ländern dazu, dass...