Wikimediaprojecten en de AVG

Visie juridisch adviseur WMDE

Is it allowed to systematically gather [biographical data on living people]  in one place, even if the data itself is publicly available on other sites/databases?	Is het toegestaan om [biografische gegevens over levende mensen] systematisch op één plaats te verzamelen, zelfs als de gegevens zelf openbaar beschikbaar zijn op andere sites / databases?
Im Fall von Wikidata basiert die Berechtigung zur Erhebung und Verarbeitung der Daten nicht auf der Einwilligung des Betroffenen nach Art. 6 Abs. 1 a) DSGVO, sondern auf einer gesetzlichen Ermächtigung. Es kommt deshalb nicht auf die Kenntnis des Betroffenen von den Daten in Wikidata und dessen Einwilligung an. Eine Ermächtigung zur Verarbeitung allgemeiner personenbezogener Daten liegt hier nach Art. 6 Abs. 1 f) DSGVO auch ohne Kenntnis und Einwilligung der Betroffenen vor. Demnach ist eine Verarbeitung zulässig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordert, überwiegen (was insbesondere dann der Fall ist, wenn es sich bei der b­etroffenen Person um ein Kind handelt). Mangels konkreter Leitlinien bzgl. einer entsprechenden Interessenabwägung wird diese nach den allgemeinen Ansätzen durchgeführt. Zur Interessenabwägung: Der Betroffene ist in seinem Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG, Art. 8 Abs. 1 EMRK, Art. 7, 8 EU GrCh betroffen. Dieses Recht ist mit dem Recht des Nutzers und des Datenempfängers auf Kommunikationsfreiheit i. S. d. Art. 5 Abs. 1 GG, Art. 10 Abs. 1 EMRK, Art. 11 EU GrCh. Zu beachten ist dabei vorliegend, dass es sich um bereits veröffentlichte Daten handelt. Nach Art. 9 Abs. 2 e) DSGVO ist es zulässig, Daten zu verarbeiten, welche der Betroffene selbst veröffentlicht hat. Dies betrifft nach Art. 9 Abs. 1 DSGVO sogar personenbezogene Daten, aus denen die politische Meinung des Betroffenen deutlich wird. Bei der Verarbeitung besonderer personenbezogener Daten nach Art. 9 Abs. 1 DSGVO ist die Erlaubnisnorm des Art. 9 Abs. 2 j) DSGVO einschlägig. Besondere personenbezogene Daten sind Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person. Diese dürfen nur Verarbeitet werden, wenn der Betroffene diese nach Art. 9 Abs. 2 e) DSGVO selbst veröffentlicht hat oder sie nach Art. 9 Abs. 2 j) DSGVO für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Art. 89 Abs. 1 DSGVO erforderlich sind. Da die Daten zur politischen Meinung besonders sensible Daten sind, ergibt sich aus der Wertung des Art. 9 Abs. 2 e) DSGVO (wonach sogar diese sensiblen Daten im Falle einer Selbstveröffentlichung verarbeitet werden dürfen), dass eine Verarbeitung nach Selbstveröffentlichung bei den übrigen weniger sensiblen personenbezogenen Daten erst recht zulässig sein muss. Sofern es sich um wahre Tatsachenbehauptungen handelt, die ohnehin bereits veröffentlicht sind, wird das Recht auf informationelle Selbstbestimmung des Betroffenen somit hinter den Interessen des Nutzers und des Datenempfängers zurücktreten. Dem Art. 89 DSGVO liegt der EWG 158 zugrunde. Dieser stellt zwar klar, dass auch „private Stellen“ im öffentlichen Interesse liegende Archivzwecke wahrnehmen können. Allerdings wird dies in S. 2 des EWG 158 eingeschränkt: „[...] private Stellen [...] sollten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten rechtlich verpflichtet sein“ gerade diese Archivzwecke auch wahrzunehmen.” Dies bedeutet im Ergebnis, dass das bloße Bestehen eines öffentlichen Interesses allein nicht ausreicht. Hinzu kommen muss in formaler Hinsicht eine gesetzliche Aufgabenzuweisung, wie sie etwa im Bundes- sowie den Landesarchivgesetzen zu finden ist. Für besondere Kategorien von personenbezogenen Daten i. S. d. Art. 9 Abs. 1 DSGVO steht somit nach dem Datenschutzrecht nach dieser Ansicht keine Ermächtigungsgrundlage zur Verfügung. Allerdings ist in diesem Zusammenhang auch die Gegenansicht wohl vertretbar, dass private Stellen auch ohne entsprechende gesetzliche Aufgabenzuweisung im öffentlichen Interesse liegende Archivzwecke wahrnehmen können. Ein entsprechendes Argument könnte sowohl den Wortlaut der Norm wie auch einen systematischen Vergleich mit der Vorschrift des Art. 6 Abs. 1 e) DSGVO anführen. Dort ist explizit von einer im „öffentlichen Interesse liegenden Aufgabe“ die Rede. Hieraus lässt sich schließen: Sofern die DSGVO eine gesetzliche Aufgabenzuweisung zusätzlich zum bloßen Bestehen eines öffentlichen Interesses fordert, stellt sie das explizit klar – wie in Art. 6 Abs. 1 e) geschehen. In Art. 9 Abs. 2  j) ist jedoch gerade keine öffentliche Aufgabenzuweisung genannt. Dies spricht dafür, dass schon das bloße Bestehen des öffentlichen Interesses hier ausreicht, um sich auf diese Ermächtigungsgrundlage berufen zu können. Wer sich auf dieses Interesse beruft und auf welcher Grundlage ist unerheblich. Diesem systematischen Argument ließe sich allenfalls mit der Annahme eines gesetzgeberischen Redaktionsversehens entgegentreten. Im Übrigen stehen nämlich Wortlaut und systematische Betrachtung einer Auslegung entgegen, die auch für Art. 9 Abs. 2 lit. j) eine gesetzliche Aufgabenzuweisung fordert. Ein solches Redaktionsversehen erscheint allerdings auch anhand der Gesetzgebungshistorie abwegig: Die Sondervorschriften zu Verarbeitungen für im öffentlichen Interesse liegende Archivzwecke wurden im Gesetzgebungsverfahren intensiv diskutiert und mehrfach geändert. Soweit ersichtlich ist diese Auslegung jedoch bisher weder in Rechtsprechung noch in der Literatur diskutiert worden und wäre angesichts des Wortlauts von EWG 158 mit rechtlichen Unsicherheiten verbunden. Ob ein Gericht dieser Auslegung im Streitfall folgen würde, lässt sich nicht mit Sicherheit vorhersagen. Abschließend lässt sich also sagen, dass wenn ein berechtigtes Interesse i. S. d. Art. 6 Abs. 1 f) DSGVO vorliegt, die personenbezogenen Daten für Wikidata verwendet werden können.  Das berechtigte Interesse ist in den Fällen von Wikidata, das Informationsinteresse der Allgemeinheit. Für die besonderen personenbezogenen Daten i. S. d. Art. 9 DSGVO besteht für die Rechtmäßigkeit der Verarbeitung keine umfängliche Rechtssicherheit. Wenn der Betroffene die Daten selbst öffentlich stellt, ist die Verarbeitung in Wikidata zulässig. Da es sich bei Wikimedia um eine private Stelle handelt ist es bei Daten, die der Betroffene nicht selbst veröffentlicht hat, nicht eindeutig, ob die Verarbeitung nach Art. 9 j) DSGVO gestattet ist. Fraglich ist dabei, ob für die Verarbeitung nach Art. 9 j) DSGVO eine gesetzliche Aufgabenzuweisung erforderlich ist.	In het geval van Wikidata is de toestemming om de gegevens te verzamelen en te verwerken niet gebaseerd op de toestemming van de betrokken persoon in overeenstemming met artikel 6, lid 1, onder a), AVG, maar op een wettelijke machtiging. Het gaat dus niet om de kennis van de betrokkene over de gegevens in Wikidata en zijn of haar instemming. Er bestaat hier een machtiging om algemene persoonsgegevens te verwerken overeenkomstig artikel 6, lid 1 f) AVG, zelfs zonder medeweten en toestemming van de betrokkene. Bijgevolg is verwerking toegestaan indien deze noodzakelijk is om de gerechtvaardigde belangen van de voor de verwerking verantwoordelijke of van een derde partij te vrijwaren, op voorwaarde dat de belangen of de fundamentele rechten en vrijheden van de betrokkene niet zwaarder wegen dan de noodzaak om persoonsgegevens te beschermen (wat met name het geval is als de betrokkene een kind is). Bij gebrek aan specifieke richtlijnen met betrekking tot de belangenafweging wordt dit uitgevoerd volgens de algemene beginselen. Inzake de afweging van belangen: Dit raakt het recht op informatie-zelfbeschikking van de betrokkene op grond van artikel 2, lid 1, in samenhang met Art. 1, lid 1, van de basiswet, art. 8, lid 1, EVRM, art. 7, 8 EU GrCh. Dit recht is in overeenstemming met het recht van de gebruiker en de ontvanger van de gegevens op vrijheid van communicatie in de zin van artikel 5, lid 1, van het EVRM, artikel 10, lid 1, van het EVRM en artikel 11 van het EU-GRH. In het onderhavige geval moet worden opgemerkt dat de gegevens reeds zijn gepubliceerd. Volgens artikel 9, lid 2 e) AVG is het toegestaan gegevens te verwerken die de betrokkene zelf heeft gepubliceerd. Volgens artikel 9, lid 1, AVG geldt dit zelfs voor persoonsgegevens waaruit de politieke mening van de betrokkene duidelijk blijkt. Bij de verwerking van bijzondere persoonsgegevens overeenkomstig artikel 9, lid 1, AVG is de autorisatieregel van artikel 9, lid 2, j) AVG relevant. Bijzondere persoonsgegevens zijn gegevens waaruit de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging of het lidmaatschap van een vakbond blijkt, alsmede genetische gegevens, biometrische gegevens die een natuurlijke persoon op unieke wijze identificeren, gezondheidsgegevens of gegevens over het seksuele leven of de seksuele geaardheid van een natuurlijke persoon. Deze mogen alleen worden verwerkt als de betrokkene ze zelf heeft gepubliceerd overeenkomstig artikel 9, lid 2 e) AVG of als ze vereist zijn overeenkomstig artikel 9, lid 2 j) AVG  voor archiveringsdoeleinden in het algemeen belang, voor wetenschappelijke of historische onderzoeksdoeleinden of voor statistische doeleinden overeenkomstig artikel 89, lid 1, van de AVG. Aangezien gegevens met betrekking tot de politieke opinie bijzonder gevoelig zijn, volgt uit de beoordeling van artikel 9, lid 2, onder e), van de AVG (volgens welke zelfs deze gevoelige gegevens mogen worden verwerkt in het geval van zelfpublicatie) dat verwerking na zelfpublicatie des te meer toelaatbaar moet zijn in het geval van de overige minder gevoelige persoonsgegevens. Voor zover het gaat om echte feiten die sowieso al zijn gepubliceerd, komt het recht op informatiezelfbeschikking van de betrokkene dus op de tweede plaats ten opzichte van de belangen van de gebruiker en de ontvanger van de gegevens. Art. 89 AVG is gebaseerd op EEG 158. Het maakt duidelijk dat "particuliere instanties" ook archiveringsdoeleinden in het algemeen belang kunnen uitvoeren. Dit is echter beperkt in blz. 2 van EEG 158: "[...] particuliere instanties [...] moeten volgens het recht van de Unie of het recht van de lidstaten wettelijk verplicht zijn" om ook precies deze archiveringsdoeleinden uit te voeren.” Dit betekent dat het bestaan van een openbaar belang alleen niet voldoende is. Daarnaast moet er een formele taakverdeling zijn bij wet, zoals te vinden is in de federale en staatsarchiefwetten. Voor bijzondere categorieën van persoonsgegevens in de zin van artikel 9, lid 1, van de AVG is er in dit verband dus geen grondslag voor een vergunning op grond van de wet op de gegevensbescherming. In dit verband is de tegengestelde opvatting dat particuliere instanties ook zonder een overeenkomstige wettelijke taakverdeling archiveringsdoeleinden in het algemeen belang kunnen uitvoeren, waarschijnlijk ook te rechtvaardigen. Een overeenkomstig argument zou zowel de formulering van de bepaling als een systematische vergelijking met de bepaling van artikel 6, lid 1, onder e), van de AVG kunnen aanvoeren. Daar wordt expliciet verwezen naar een "taak in het algemeen belang". Hieruit kan worden geconcludeerd: Voor zover de AVG naast het enkele bestaan van een openbaar belang een wettelijke taakopdracht verlangt, maakt zij dit uitdrukkelijk duidelijk - zoals in artikel 6, lid 1, onder e), is gedaan. In artikel 9, lid 2, onder j), wordt echter geen melding gemaakt van een openbare taakopdracht. Dit suggereert dat alleen al het bestaan van het algemeen belang hier voldoende is om een beroep te kunnen doen op deze basis voor toestemming. Wie zich op dit belang beroept en op welke basis is irrelevant. Dit systematische argument kan in het beste geval worden tegengegaan door uit te gaan van een redactionele fout in de wetgeving. Voor het overige zijn de bewoordingen en de systematische overweging in strijd met een interpretatie die ook een wettelijke taakverdeling voor artikel 9, lid 2, onder j), vereist. Een dergelijke redactionele fout lijkt echter ook op grond van de wetgevingsgeschiedenis absurd: de bijzondere bepalingen inzake de verwerking voor archiveringsdoeleinden in het algemeen belang zijn in de wetgevingsprocedure intensief besproken en meermaals gewijzigd. Voor zover we kunnen zien, is deze interpretatie echter nog niet besproken, noch in de jurisprudentie noch in de literatuur, en zou ze onderhevig zijn aan juridische onzekerheden gezien de bewoordingen van EEG 158. Of een rechtbank deze interpretatie in een geschil zou volgen, is niet met zekerheid te voorspellen. Concluderend kan dus worden gesteld dat als er een rechtmatig belang in de zin van artikel 6, lid 1, onder f), van de AVG bestaat, persoonsgegevens kunnen worden gebruikt voor Wikidata.  Het legitieme belang in het geval van Wikidata is het belang van het grote publiek bij informatie. Er bestaat geen volledige rechtszekerheid over de rechtmatigheid van de verwerking van specifieke persoonsgegevens in de zin van artikel 9 van de AVG. Als de betrokkene de gegevens zelf openbaar maakt, is verwerking in Wikidata toegestaan. Aangezien Wikimedia een particuliere instantie is, is het niet duidelijk of verwerking volgens artikel 9 j) AVG is toegestaan voor gegevens die de betrokkene zelf niet heeft gepubliceerd. Het is de vraag of er een wettelijke taakverdeling nodig is voor de verwerking in overeenstemming met artikel 9 j) AVG.
To what extent can the local organisation who manages such a biographical data project be held legally accountable, even if the data themselves are on a wikimedia.org site?	In hoeverre kan de lokale organisatie die zo'n biografisch dataproject beheert, wettelijk aansprakelijk worden gehouden, zelfs als de gegevens zelf op een wikimedia.org-site staan?
Nach Art. 4 Nr. 7 DSGVO ist Verantwortlicher die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Entscheidend für die Verantwortlichkeit der lokalen Organisation ist die Möglichkeit der Einflussnahme auf die Wikibase-Software und die Wikidata-Inhalte. Der Verein Wikimedia Deutschland übergibt nach der Testphase die Wikibase-Software an die WMF. Ab diesem Zeitpunkt besteht auch kein Zugriff mehr auf die WMF-Server, auf denen die Wikibase-Software arbeitet. Es fehlt also ab diesem Zeitpunkt am tatsächlichen Einfluss von Wikimedia Deutschland e. V. auf den Produktivbetrieb der Wikibase-Software oder Wikidata im Allgemeinen. Auch die Nutzungsbedingungen oder Wikipedia-Richtlinie “Biographies of living people” stehen allein in der Verantwortung der WMF, so dass auch unter diesem Gesichtspunkt eine rechtliche Einflussmöglichkeit des auf die Mittel und Zwecke der Verarbeitung von Inhaltsdaten auf Wikidata ausscheidet. Dies zeigt sich auch an der grundsätzlichen rechtlichen Unabhängigkeit Verein Wikimedia Deutschland von der WMF. Für die Annahme der Mitverantwortlichkeit der Nutzer reicht es bereits aus, dass sie dem Primärverantwortlichen die Möglichkeit zur Datenverarbeitung geben und dadurch zur Datenverarbeitung beitragen, sie auslösen. Für eine gemeinsame Verantwortlichkeit ist eine gleichwertige Verteilung der Verantwortung zwischen den Beteiligten nicht zwingend notwendig. Für die Annahme einer gemeinsamen Verantwortlichkeit ist nicht einmal Voraussetzung, dass jeder der gemeinsamen Verantwortlichen überhaupt Zugang zu den betreffenden Daten hat. Auch sofern die jeweilige Verarbeitungstätigkeit des gemeinsamen Verantwortlichen eine wesentliche Betätigungsform des Primärverantwortlichen darstellt, spricht dies für eine gemeinsame Verantwortlichkeit. Deutlich wird dies auch in Ziffer 1 der Nutzungsbedingungen, dort insbes. lit. b) „Sie sind für Ihre Handlungen selbst verantwortlich“. Insoweit ist ausreichend, dass eine Verarbeitungstätigkeit zur Umsetzung des Ziels des oder der weiteren Verantwortlichen erfolgt und in seinem/ihrem Interesse vorgenommen wird. Dieses weite Verständnis einer gemeinsamen Verantwortlichkeit ist auf die Nutzer von Wikidata anwendbar: Auch hier handeln die Nutzer eigenverantwortlich im Rahmen der von der WMF zur Verfügung gestellten Plattform. Eine Verantwortlichkeit des WMDE besteht indes nicht. Es liegt also zwar eine gemeinsame Verantwortlichkeit der WMF und der Nutzer vor. Lokale unabhängige Organisationen wie WMNL (oder auch WMDE als lediglich Software beisteuernde Stelle) dagegen sind keine Verantwortlichen in diesem datenschutzrechtlichen Sinne.	Volgens artikel 4 nr. 7 AVG is de voor de verwerking verantwoordelijke de natuurlijke of rechtspersoon, de autoriteit, de instelling of het andere orgaan dat alleen of samen met anderen het doel van en de middelen voor de verwerking van de persoonsgegevens vaststelt. Doorslaggevend voor de verantwoordelijkheid van de lokale organisatie is de mogelijkheid om de Wikibase-software en de inhoud van Wikidata te beïnvloeden. Na de testfase draagt de Wikimedia Deutschland vereniging de Wikibase software over aan WMF. Vanaf dit punt is er ook geen toegang meer tot de WMF-servers waarop de Wikibase-software werkt. Vanaf dit punt heeft Wikimedia Deutschland e. V. geen daadwerkelijke invloed meer op de productieve werking van de Wikibase-software of Wikidata in het algemeen. De WMF is ook als enige verantwoordelijk voor de gebruiksvoorwaarden of de Wikipedia-richtlijn "Biografieën van levende mensen", zodat er vanuit dit oogpunt geen juridische invloed is op de middelen en doeleinden van het verwerken van inhoudsgegevens op Wikidata. Dit is ook te zien in de fundamentele juridische onafhankelijkheid van Wikimedia Duitsland van WMF. Voor de veronderstelling van de medeverantwoordelijkheid van de gebruikers, is het voldoende dat zij de primair verantwoordelijke persoon de gelegenheid geven om de gegevens te verwerken en zo bij te dragen aan de verwerking van de gegevens, deze in gang te zetten. Voor een gezamenlijke verantwoordelijkheid is een gelijke verdeling van de verantwoordelijkheid tussen de betrokken partijen niet absoluut noodzakelijk. Het is zelfs niet eens een voorwaarde voor het veronderstellen van gezamenlijke verantwoordelijkheid dat elk van de gezamenlijke verantwoordelijken überhaupt toegang heeft tot de gegevens in kwestie. Ook in zoverre de respectieve verwerkingsactiviteit van de gezamenlijke verantwoordelijke een essentiële vorm van activiteit van de primaire verantwoordelijke is, pleit dit voor een gezamenlijke verantwoordelijkheid. Dit wordt ook duidelijk gemaakt in paragraaf 1 van de Gebruiksvoorwaarden, met name onder b) "U bent verantwoordelijk voor uw eigen handelen". In dit verband is het voldoende dat een verwerkingsactiviteit wordt uitgevoerd om het doel van de verdere voor de verwerking verantwoordelijke(n) te verwezenlijken en in zijn of haar belang wordt uitgevoerd. Dit brede begrip van gedeelde verantwoordelijkheid is van toepassing op de gebruikers van Wikidata: Ook hier handelen de gebruikers op eigen verantwoordelijkheid in het kader van het door WMF geboden platform. De WMDE is echter niet verantwoordelijk. Daarom zijn WMF en de gebruikers gezamenlijk verantwoordelijk. Lokale onafhankelijke organisaties zoals WMNL (of WMDE als instantie die alleen software bijdraagt) zijn daarentegen niet verantwoordelijk in deze zin van gegevensbescherming.