Der bisherige Kommentarliteratur zur Datenschutz-Grundverordnung (DSGVO) bezieht den Begriff des „Datenschutz-Risikos“ überwiegend auf die Vermeidung sichtbarer Schäden oder Kontrollverluste für Betroffene durch die Nutzung einer notorisch unsicheren IT. Eine solche Engführung des Verständnisses vom „risk-based-approach“ (RBA) verliert jedoch den Grundrechtseingriff und die Konditionierung der Machtasymmetrie zwischen Organisationen und Personen aus dem Blick. Martin Rost stellt in diesem Beitrag acht klar unterscheidbare Risikotypen vor.

Einleitung

Datenschutz wird mittlerweile häufig auf einen Schutz der Privatheit reduziert und missverstanden. Die Dringlichkeit oder Entbehrlichkeit des Datenschutzes wird dadurch zu einer Frage lediglich persönlicher Wertungen und Vorlieben. Datenschutz hat jedoch eine viel weiter reichende Funktion: Er wacht in modernen Gesellschaften darüber, dass Organisationen die bestehenden Autonomieerwartungen, die sich mit verschiedenen Rollen verknüpfen (bspw. als Bürger*in, Kund*in, Patient*in) nicht unterlaufen. Zu einem solchen Verständnis von Datenschutz gehören deshalb auch Elemente von Staatlichkeit, wie die Gewaltenteilung, die Rechtsstaatlichkeit und die Demokratie, die einerseits die Willkür von Organisationen brechen und andererseits „den modernen Bürger“ historisch überhaupt erst haben entstehen lassen. Der Umgang der Organisationen – z.B. Behörden, Unternehmen, Hochschulinstitute, Vereine, Arztpraxen und Notare – mit ihrem internen und externen Personal in einer modernen Gesellschaft ist einer der deutlichsten Indikatoren für Beschädigungen strukturell notwendiger Trennungen und Gewaltenteilungen zum Schutz vor Organisationswillkür. Organisationswillkür zielt darauf ab, aus würdevollen Subjekten willfährige Objekte zu machen. Die Willkür findet ihre Grenzen da, wo Grundrechte anerkannt sind und durch Aufsicht und wirksame Sanktionen durchgesetzt werden, nicht aber dort, wo nur ein Markt durchgesetzt ist. Wer gehört zu einer Organisation und muss mit einer weitgehend ungefragten Auswertung und Verarbeitung seiner personenbezogenen Daten rechnen? Wer kommt mit einer Organisation nur punktuell, etwa als Kundin oder Bürger, in Berührung und darf mit einem gewissen Schutz seiner personenbezogenen Daten rechnen? Diese Fragen zu entscheiden und die Beziehungen zu gestalten fallen heute wieder zunehmend ausschließlich in das Belieben der Organisationen. Dass der wirksame Schutz vor Organisations-Willkür, gleichgültig ob durch staatliche oder private Stellen, die zentrale Funktion von Datenschutz ist, kann man seit den 1970er Jahren wissen. Dieses Wissen erodierte allerdings in den letzten Jahrzehnten (vgl. Pohle 2018). Es zeigt sich aktuell wieder sehr deutlich: Ein operativ wirksamer Datenschutz erfordert klare staatliche und zivilrechtliche Sanktionen. [1]

Risiko­dis­kus­si­ons­felder im Kontext von Datenschutz

Die DSGVO legt hinsichtlich ihrer Auswahl und Dimensionierung technisch-organisatorischer Schutzmaßnahmen eine Orientierung an Risiken nahe. Es wäre aber falsch, deshalb gleich von einem „risk-based-approach“ der Grundverordnung zu sprechen, wie er bspw. in der IT-Sicherheit verfolgt wird. Dieser aus der Finanz- und Versicherungswirtschaft stammende Begriff findet sich in der DSGVO jedenfalls nicht.

Die Orientierung an Risiken soll es ermöglichen, die in Artikel 5 DSGVO abstrakt formulierten Grundsätze der Datenverarbeitung sowie die auf deren Umsetzung, Wirksamkeit und Nachweisbarkeit abzielenden Vorschriften (bes. Artikel 24, 25, 32 und 35) in konkrete Verarbeitungs- und Schutzfunktionen zu transformieren. Die Risiko-Orientierung folgt der durchaus einleuchtenden Idee, dass ein Betroffener am Eintreten oder Ausbleiben von Schäden handfest und unmittelbar spüren kann, ob die operative Behandlung von Risiken, die durch eine personenbezogene Verarbeitungstätigkeit entstehen, gelungen ist oder nicht. In Erwägungsgrund (EG) 75 wird zudem die betriebswirtschaftlich bewährte Risikoformel zur Anwendung empfohlen, wonach ein unmittelbares Risiko für Personen nach der Formel „Schadenshöhe mal Eintrittswahrscheinlichkeit“ bestimmbar sei. Die Anwendung dieser Formel im Datenschutz erscheint plausibel, zumal sie z. B. Teil der bewährten IT-Grundschutz-Methodik des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist, mit der die Auswahl und die Intensität der Wirksamkeit von Schutzmaßnahmen der IT-Sicherheit festgesetzt wird. Allerdings schränkt das BSI den Nutzen dieser Risikoformel ein: „Solche umfangreichen Erfahrungswerte fehlen in den meisten Fällen im sehr dynamischen Umfeld der Informationssicherheit. Daher ist es in den meisten Fällen praktikabler, sowohl für die Eintrittshäufigkeit als auch für die potenzielle Schadenshöhe mit qualitativen Kategorien zu arbeiten.“ (BSI 2017: 26) Mit anderen Worten: Die Risikoformel ist im Kontext der IT-Sicherheit nur als Heuristik geeignet.

Im Datenschutz beschäftigt man sich mit Risiken, seit die Sicherheit von Informationstechnologien – zunächst im professionellen Umfeld, später dann auch im privaten Nutzungsbereich und in Computernetzen – zu einem relevanten Problem wurde. Mittlerweile haben die anhaltende „Computerisierung“, „Digitalisierung“ und „Vernetzung“ insbesondere bei technischen Datenschützern dazu geführt, Risiken des Datenschutzes mit Risiken der IT weitgehend gleichzusetzen (vgl. Rost 2013). Aus Sicht der IT-Sicherheit sind personenbezogene Daten lediglich „besonders schützenswerte Daten“, die es sicherheitstechnisch vor unbefugtem Zugriff (von Außen wie von Innen) zu schützen gilt. Vielfach vertreten selbst professionelle Datenschützer*innen die Ansicht: Wenn die IT nur hinreichend sicher betrieben wird und eine Rechtsgrundlage für eine Datenverarbeitung vorliegt, ist auch grundrechtlich alles Notwendige getan. Eine solche Auffassung greift aus Datenschutzsicht nicht nur zu kurz, sie ist falsch. IT-Sicherheit herzustellen ist selbstverständlich auch für den operativen Datenschutz unverzichtbar. Aber dies kann erst der zweite Schritt sein, davor besteht die anders gelagerte Aufgabe, die Grundrechtseingriffe operativ auf ein unabweisbares Mindestmaß zu reduzieren. Dazu gleich mehr.

Die technisch verengte, die Interessen Dritter und der Allgemeinheit vernachlässigende, Vorstellung vom Datenschutz wird zusätzlich durch eine ökonomische Sichtweise verstärkt. Danach besteht das zu lösende Problem der Betroffenen bzw. Kund*innen vornehmlich darin, ihre personenbezogenen Daten möglichst teuer an die sich dafür interessierenden Firmen zu verkaufen: „Meine Daten gehören mir (und ich bestimme ihren Preis)!“ In dieser Wahrnehmung besteht das Risiko der Betroffenen darin, dass sie ihre Daten zu billig verkaufen. Wenn diese Schnäppchen-Mentalität nicht in ein grundrechtliches Verständnis von Sinn und Zweck des Datenschutzes übergeht (was eine trivialisierende Ökonomisierung von Daten ausschließt), ist nichts an einer Souveränität für Betroffene gewonnen.

Eine weitere Trivialisierung des Datenschutzes besteht darin, den Schutz vor Werbematerialien für dessen Kardinalproblem zu halten. Hier gilt es zu verstehen, dass es im Kontext von „Werbung“ inzwischen viel weiter greifend um die Vorhersage von Verhalten und um die gezielte Steuerung von Personen auf Basis der Auswertung entsprechender gesammelter Daten geht. Das muss ebenfalls berücksichtigt werden, wenn ein Unwohlsein vor US-amerikanischen Kommunikationsunternehmen und Geheimdiensten formuliert wird, nur weil deren Aktivitäten nicht hinreichend transparent sind. Es geht um mehr als Transparenz, es geht inzwischen auch um subtiles Fälschen und Manipulieren von Kommunikationen. Ebenso wird das Hacker-Risiko als großes Problem in den Blick gestellt, wonach Bürger*innen damit rechnen müssen, dass Kriminelle beliebigen Zugriff auf PCs nehmen können. Mit jedem dieser Narrative gerät der Datenschutz mehr aus dem Blick oder wird kleingeredet. Zudem legen sie den Gedanken nahe, dass der einzelne Betroffene Datenschutz nur bei sich und für sich selbst lösen könne. Insofern erscheint dann „Selbstschutz“ sogar als aussichtsreichste Risikobewältigungsstrategie, die (wenn überhaupt) nur jenen IT-Expert*innen vorbehalten bleibt, die Privacy-Enhancing-Technologies beherrschen. Nein, nicht die Menschen sind Schuld, wenn Organisationen sich nicht an Datenschutzrecht halten.

Nach derartigen falschen Vereinfachungen zum Datenschutzproblem ist es an der Zeit, die Dimensionen des Risiko-Begriffs im Kontext eines grundrechtsorientierten Datenschutzes neu zu bestimmen. Diese Bestimmung muss ansetzen an einer wirksamen Umsetzung der „Rechte und Freiheiten von Personen“, wie die französische Formel das nennt, was im Deutschen „Grundrechte“ heißt.

Risiken im Kontext der DSGVO

Im EG 75 ist hinsichtlich der Risiken mangelhaften Datenschutzes von einem „physischen, materiellen oder immateriellen Schaden“, von „Diskriminierung, Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, Rufschädigung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten, der unbefugten Aufhebung der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen“ die Rede. Weiterhin wird auf Fälle verwiesen, bei denen Personen „… daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren, wenn personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Zugehörigkeit zu einer Gewerkschaft hervorgehen, und genetische Daten, Gesundheitsdaten oder das Sexualleben oder strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln betreffende Daten verarbeitet werden, wenn persönliche Aspekte bewertet werden, insbesondere wenn Aspekte, die die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, die Zuverlässigkeit oder das Verhalten, den Aufenthaltsort oder Ortswechsel betreffen, analysiert oder prognostiziert werden …“

In einem der ersten, vom Bundesministerium des Innern herausgegebenen Kommentare zur DSGVO interpretiert Winfried Veil den EG 75 unter der problematischen Überschrift „risikobasierter Ansatz“. Ihn überzeugt die „holzschnittartige Auflistung“ nicht, u. a. weil die DSGVO an keiner Stelle die Schutzgüter definiere, gegen die das Risiko bzw. die Schäden für Rechte und Freiheiten abgeschätzt werden können (vgl. Veil 2018: 721). Er übersieht jedoch, dass gerade durch die Auflistung möglicher Schäden der Grundrechtsbezug verloren geht. Anstatt diesem Problem zu begegnen, weitet Veil die EG-75-Liste aus und ergänzt sie um weitere Risiken, die er dadurch zu rechtfertigen versucht, dass sie nunmehr „wissenschaftlich fundiert“ seien. Als weitere Risiken nennt Veil: „Erhöhung individueller Verletzlichkeit durch Straftaten“, „Schamgefühl und Publizitätsschäden“, „Selektivitätsschäden“ (unerwünschte Informationsverwendung in Auswahlprozessen), „Informationspermanenz“ (Schäden aus unbegrenzter Speicherbarkeit von Daten), „Entkontextualisierung“, „Informationsemergenz“, „Informationsfehlerhaftigkeit“, „Behandlung des Menschen als Objekt“, „Fremdbestimmung“ und die „Enttäuschung von Vertraulichkeitserwartungen“ (Veil 2018: 724). Die Auflistung möglicher Datenschutz-Risiken in dieser Konkretion ist durchaus verdienstvoll. Aber Veil teilt offenbar nicht die Auffassung, dass die von ihm genannten Risiken bereits vollständig durch die Grundsätze in Artikel 5 DSGVO erfasst werden! Das Schutzgut der DSGVO ist, anders als Veil behauptet, ganz klar ausgewiesen: Es betrifft zum einen die aus Artikel 5 DSGVO ableitbaren Rechte, die auf Artikel 8 der EU-Grundrechte-Charta (GrCh) zurückgehen. Und es sind zum anderen die daraus resultierenden tatsächlichen Freiheitsgarantien für Personen, die aus einer wirksamen Umsetzung dieser und weiterer Grundsätze der DSGVO gegen die strukturelle Übermacht der Organisationen resultieren.

Diese Interpretation des Artikels 5 verlangt die Bereitschaft, die Grundsätze im Sinne von Gewährleistungs- und Schutzzielen auszulegen, die in IT-Systemen methodisch umzusetzen sind. Veil weist darauf hin, dass der Normengeber in Artikel 5 explizit nicht von Schutzzielen spreche (Veil 2018: 722). Diese Lesart kann nicht überzeugen. Schutzziele sind ein inzwischen methodisch etabliertes Instrument, um Beeinträchtigungen, also Grundrechtseingriffe und Schutzmaßnahmen, zu identifizieren. Schutzziele sind insofern eine Antwort auf die rechtsphilosophische Einsicht David Humes, wonach aus dem Sein kein Sollen folge, und auch aus einem Sollen kein unmittelbar erzeugbares Sein. Genau dafür, für die Vermittlung zwischen Sein und Sollen, bedarf es vermittelnder Modelle. Schutzziele machen in einer gegenseitig schonenden Weise beide Seiten – Technik und Recht – füreinander relevant und aufeinander beziehbar. Zumindest das Bundesverfassungsgericht findet dieses Konzept der Schutzziele überzeugend, wie sich im 2008 ergangenen Urteil über die Vertraulichkeit und Integrität von IT-Systemen zeigt (vgl. BVerfG 2008).

Für jeden der Grundsätze aus Artikel 5 sowie die „Optimierungsgebote der Schutzziele“ (Bock/Robrahn 2018) steht ein Katalog mit Umsetzungsmaßnahmen bereit, deren Wirkintensität durch die Höhe des Risikos bzw. die Höhe des Schutzbedarfs bestimmbar ist (vgl. SDM 2016). Die Risiken für Betroffene bestehen im engen Sinne darin, dass Organisationen die in Artikel 5 DSGVO bzw. in Artikel 8 GrCh formulierten Grundsätze nicht beachten. Diese Grundsätze und deren Umsetzung sind es, gegen die jede Verarbeitungstätigkeit – bspw. im Kontext der Datenschutz-Folgenabschätzung gemäß Artikel 35 oder des Data-Protection-By-Design gemäß Artikel 25 – zu planen, zu betreiben und nicht zuletzt auch zu prüfen ist. Die Liste konkret erwartbarer Schäden in EG 75 gibt dafür zusätzlichen Halt, sie ist aber bei Weitem nicht hinreichend, um alle wesentlichen Datenschutz-Risiken zu identifizieren und mit Blick auf die betroffenen Personen zu analysieren, zu bewerten und angemessen zu bearbeiten.

Felix Bieker hat einen ungleich überzeugenderen Ansatz vorgestellt, wie die Datenschutz-Risiken auf den Schutz der Rechte und Freiheiten zu fokussieren sind. Bieker macht zunächst die vergleichsweise kurze Passage des EG 75 stark, in der ausdrücklich auch von den „immateriellen Schäden“ und der „Verletzung der Rechte und Freiheiten der Personen“ die Rede ist. Zusätzlich zieht er EG 94 hinzu, der noch einmal ausdrücklich besagt, „… dass ein Risiko nicht nur einen möglichen Schaden, sondern bereits die Beeinträchtigung eines Grundrechts umfasst. Für das Grundrecht auf Datenschutz nach Art. 8 GrCh bedeutet dieses Risiko, dass die – bereits durch jegliche Verarbeitung bestehende – Beeinträchtigung nicht in dem Maße verringert wird, wie es der Schutz der natürlichen Person erfordert.“ (Bieker 2018: 29)

Bezogen auf die technisch-organisatorischen Maßnahmen heißt das: Für eine personenbezogene Verarbeitung sind Vorkehrungen zu treffen, die die Beeinträchtigungen und Risiken für die Rechte und Freiheiten, die bereits durch die bloße Verarbeitungstätigkeit immer und notwendig entstehen, auf das geringst mögliche Maß verringern. Es gilt, nicht erst einen möglicherweise eintretenden materiellen (finanziellen) oder immateriellen (Rufschädigung) Schaden abzuwarten, um einen manifesten Datenschutzkonflikt identifiziert zu haben.

Acht Risikotypen

Viele Kommentatoren, und vor allem viele Datenschutz-Praktiker beziehen sich in einer Risikoanalyse ausschließlich auf die in EG 75 konkret gelisteten Risiken (typisch: Schmitz 2018). Mit den sich daraus ergebenden wenigen Schutzmaßnahmen zur Erhöhung der IT-Sicherheit können Organisationen sehr gut leben. So beruhigt bspw. Veil die Verantwortlichen damit, dass zwar zu berücksichtigen sei, „… in welchem Ausmaß Risiken durch die konkrete Art der Datenverarbeitung entstehen, aber auch, wie sie bspw. durch technisch-organisatorische Maßnahmen, Transparenzmaßnahmen oder die Möglichkeit zur Geltendmachung von Betroffenenrechten wieder begrenzt werden […]. Aus Sicht eines Verantwortlichen können zusätzliche risikobegrenzende Maßnahmen also ein Weg sein, eine Interessensabwägung zu ‚gewinnen‘.“ (Veil 2018: 238, Rn. 143)

Diese Kommentatoren verkennen die Funktion des Rechts bei der Bearbeitung spezifischer Konflikte: Recht macht Konflikte sichtbar, indem es diesen eine kommunizierbare Form gibt.[2] Allerdings löst die rechtliche Bearbeitung eines Datenschutzkonflikts den Konflikt nicht auf; das muss man auch vielen Datenschutz-Jurist*innen immer wieder ins Gedächtnis rufen. Um bspw. Umweltschutz durch ein angemessenes Umweltschutzrecht zu befördern, müssen Sachexpert*innen auch zu den biologischen, chemischen, physikalischen Eigenschaften der Umwelt herangezogen werden, die dem Konflikt zwischen Ökologie und Ökonomie eine kommunikativ zugängliche Form geben können, die sich dann politisch, rechtlich, wissenschaftlich bearbeiten lässt. Für die Umsetzung von Datenschutz müssen analog dazu Expert*innen für Organisationen, Sozialstrukturen und technische Systeme zu Rate gezogen werden. Das war in der ersten Phase der Entwicklung des Datenschutzrechts in den 1970er Jahren auch noch der Fall (vgl. Podlech et al. 1976). Seit der Machtübernahme der Jurist*innen in den Datenschutzaufsichtsbehörden werden materielle Analysen zentraler Datenschutzkonflikte offenbar für entbehrlich gehalten; Datenschutz wird spätestens seit dem Volkszählungsurteil auf Datenschutzrecht reduziert. Ohne die verschiedenen Dimensionen struktureller Datenschutzkonflikte zu berücksichtigen ist es jedoch unmöglich, einen Maßstab für die Beurteilung der Qualität und Wirkung datenschützerischer Aktivitäten zu gewinnen (vgl. Pohle 2018). Der durch Datenschutz zu bearbeitende Konflikt besteht eben gerade nicht im unmittelbaren Abwenden von Schäden für einzelne Personen oder im „Bewahren einer Schneckenhaus-Privatheit“ (Paul Müller), die es so auch nie gab, sondern in der strukturellen Machtasymmetrie zwischen Organisationen als notorischen Risikogebern und Personen als unterlegenen Risikonehmern. Diese Asymmetrie wird durch die Nutzung der Informations- und Kommunikationstechnik auf Seiten der Organisationen seit den 1980er Jahren beständig verstärkt und hat sich gegenwärtig dermaßen verfestigt, dass es den Anschein hat, als ließe sie sich mit den aktuellen rechtsstaatlichen Normen und kontrollierenden Aktivitäten nicht mehr ausreichend bearbeiten. Mehr noch: Gewaltenteilung, Rechtsstaatlichkeit, Märkte und freie Diskurse als moderne Quellen der personalen Souveränität und Autonomie sind nicht mehr nur bedroht, sondern sie sind dabei, sich aufzulösen.

Es gibt ungleich mehr und andere Risiken für Personen, die der operative Datenschutz deshalb thematisieren und die die Datenschutzaufsichtsbehörden sowohl im Hinblick auf den unmittelbaren Schutz für Betroffene als auch zum Schutz der gesellschaftlichen Strukturen moderner Gesellschaften bearbeiten müssen. Wenn aber niemand den professionellen Datenschützer*innen die Prüfung der real wirksamen Bearbeitung aller Risiken tatsächlich abverlangt, dann wird das auch nicht geschehen.[3]

1. Legitimitätsrisiko: Es ist heute durchaus möglich, als Organisation innerhalb der EU eine personenbezogene Verarbeitungstätigkeit zu betreiben, die nicht legitim ist, d. h. genauer: die sich gar nicht grundrechtskonform betreiben lässt, weil schon ihre Zwecksetzung unzulässig ist und die Subjektqualität der betroffenen Personen nicht beachtet. Diese Objektivierung macht den Kern einer jeden „automatisierten Entscheidung“ aus, wenn Maschinen intelligent erscheinend auf Aktivitäten von Menschen reagieren. Automatisierte Einzelfallentscheidungen sind insofern betrieblicher Alltag, selbstverständlich auch bei Organisationen, die ihren Firmensitz innerhalb der EU haben und insofern von der DSGVO erreichbar sind. Diese Formen der Datenverarbeitung sind aber insbesondere bei den durchindustrialisierten Verarbeitungstätigkeiten amerikanischer Kommunikationsfirmen anzutreffen. Wenn offensichtlich illegitime Verarbeitungstätigkeiten, in denen personenbezogene Daten wie Erbsen betrachtet werden, massenhaft betrieben werden können, untergräbt das das Vertrauen von Bürger*innen in die Rechtsordnung. Zugleich ist offensichtlich: Die staatliche Exekutive, insbesondere die Sicherheitsbehörden inklusive ihrer Geheimdienste profitieren vom ungezügelten Agieren der Unternehmen, auf deren Datenbestände gern zurückgegriffen wird.[4] Warum sollte ein Staat diese Win-Win-Situation beenden wollen?

2. Legalitätsrisiko: Selbst wenn eine Organisation mit einer Verarbeitungstätigkeit grundsätzlich legitime Zwecke verfolgt, kann die Rechtsgrundlage, die das Verbot mit Erlaubnisvorbehalt aus Artikel 6 DSGVO (bzw. Artikel 8 der EU-Grundrechtecharta) für den gesondert auszuweisenden Zweck aufheben würde, fehlen oder unzureichend sein. Fehlt eine Rechtsgrundlage, geht das zunächst einmal zu Lasten der Organisation, denn gerade das Fehlen lässt sich leicht feststellen und sanktionieren. Ungleich schwieriger kann es seitens der Datenschutzaufsichtsbehörden oder Gerichte sein zu beurteilen, ob eine vom Verantwortlichen vorgelegte Rechtsgrundlage zur Rechtfertigung einer Verarbeitungstätigkeit ausreicht. Für den Betroffenen bedeutet eine vorhandene, belastbare Rechtsgrundlage vor allem: der/die Verantwortliche hat sich mit der Datenverarbeitung befasst. Das verbessert zumindest die Chancen, dass eine Datenverarbeitung von anderen Verarbeitungen getrennt betrieben wird und auch Maßnahmen der IT-Sicherheit getroffen wurden. Ist der Zweck einer Datenverarbeitung hinreichend eng ausgewiesen, können insbesondere die Erforderlichkeit der Datenerhebung und mögliche „Zweckdehnungen“ im Betrieb vor Gericht nachgewiesen werden. Allerdings spricht die DSGVO bspw. in Art. 24 von Verarbeitungszwecken im Plural und erleichtert rechtlich begründbare Zweckänderung gegenüber den bisher gültigen deutschen Datenschutzregelungen.

3. Modellierungsrisiko: Selbst bei einer datenschutzrechtlich konformen Datenverarbeitung besteht das Risiko, dass in der praktischen Umsetzung des Verarbeitungszwecks die Intensität des Grundrechtseingriffs durch Datenschutzmaßnahmen nicht auf das unbedingt erforderliche Maß verringert wird. Das ist eine häufig anzutreffende Konstellation: Die Datenverarbeitung sieht auf der konzeptionellen Ebene rechtskonform aus, der Betrieb ist es jedoch nicht, allein weil die Intensität des Grundrechtseingriffs nicht auf der Grundlage eines relevanten Angreifermodells bestimmt oder die Intensität unterschätzt wurde. Bei der Modellierung sind deshalb zwei Aspekte zu beachten: a) Es ist ein Angreifermodell zu explizieren: Wer ist Angreifer mit welchen Motiven und Ressourcen? b) Was sind die spezifischen operativen Risiken für den Betroffenen?

zu a) Der Hauptangreifer auf Personen bzw. personenbezogene Daten ist aus Datenschutzsicht immer die datenverarbeitende Organisation selbst, nicht aber bspw. „der Hacker“. Dass die Organisation, die die Datenverarbeitung betreibt, als Hauptangreifer zu modellieren ist, bildet den Kern jeder grundrechtlich orientierten Risikobestimmung und Datenschutzanalyse. Hiervon ausgehend gilt es, weitere strukturelle Angreifer-Organisationen zu identifizieren und deren Zugriffsmotive und -ressourcen auf eine Verarbeitungstätigkeit abzuschätzen. Konkret sind dabei die Sicherheitsbehörden, die Leistungsverwaltung, die Bereitsteller von IT-(Infrastruktur)Diensten und kritischen Infrastrukturen (wie Energieversorger), Versicherungen und Banken, die Finanzämter, die Forschungsinstitute (insbesondere psychologischer und sozialwissenschaftlicher Art), Krankenhäuser, Ärzte, Rechtsanwälte, aggressive Start-ups und Werbeagenturen in Betracht zu ziehen. Am Ende bilden dann natürlich auch Hacker bzw. Cracker ebenso wie bspw. untätige Datenschutzbeauftragte oder Datenschutz-Aufsichtsbehörden ein zu beachtendes Risiko für Betroffene.

zu b) Die spezifischen operativen Risiken, die durch Schutzmaßnahmen zu bearbeiten sind, sind den Anforderungen der DSGVO zu entnehmen. Einen konkretisierenden ersten Ausgangspunkt bilden die Grundsätze aus Artikel 5 DSGVO. Artikel 5 enthält, teilweise unnötig verklausuliert, sieben Schutzziele. Negiert man diese Grundsätze – eine Datenverarbeitung wird nicht sicher verfügbar, nicht integer, nicht vertrauenswürdig, nicht transparent, nicht eng zweckbestimmt, nicht änderbar und nur mit den unbedingt nötigen Datenvolumen betrieben – dann lassen sich aus diesem Ansatz heraus konkrete Schutzmaßnahmen gewinnen. So muss eine Verarbeitung personenbezogener Daten redundant ausgelegt sein, es müssen Datenbestände und Kommunikationen verschlüsselt erfolgen, alles muss spezifiziert, dokumentiert und protokolliert sein, es muss wirkungsvoll geändert und gelöscht werden können usw.. Das alles immer mit dem Blick darauf, dass die betroffenen Personen zu schützen sind, nicht die Organisationen. Die deutschen Datenschutz-Aufsichtsbehörden empfehlen, ebenso wie das Bundesamt für Sicherheit in der Informationstechnik (BSI), zur Bestimmung angemessener Schutzmaßnahmen die Anwendung des Standard-Datenschutzmodells (SDM).[5]

Eine Risikoanalyse derart methodisch entlang eines Angreifermodells zu entwickeln, das die Organisation als Angreifer begreift und die betroffenen Personen als zu schützen in den Mittelpunkt stellt, und die sich dabei auch nicht auf Risiken und Sicherheitsmängel der IT beschränkt, ist natürlich heikel. Es fehlt in vielen Organisationen, aber auch bei vielen Datenschutzaufsichtsbehörden, an der Bereitschaft und der Erfahrung, den Datenschutzkonflikt derart klar herauszuarbeiten. Wenn die nunmehr verlangte Datenschutz-Folgenabschätzung in Artikel 35 DSGVO ernsthaft durchgeführt wird und sich die Datenschutz-Aufsichtsbehörden nicht mit schlechten Simulationen davon abspeisen lassen, wird es für Organisationen schwieriger als bislang werden, diesen Konflikt ins Unkenntliche zu verschmieren (vgl. Forum Privatheit 2017).

4. Transparenzrisiko: Selbst wenn eine Organisation eine legitime Verarbeitungstätigkeit rechtskonform betreibt und den Grundrechtseingriff auf das nach dem Stand der Technik minimale Maß reduziert, so ist diese Tätigkeit vielfach in den realen Auswirkungen nicht transparent im Sinne von beobachtbar oder sogar messbar. Viele Eigenschaften von IT-Systemen (Hardware/Software) und Prozessabläufen können in der Praxis nicht geprüft werden, weder durch Betroffene noch durch die Datenschutzaufsichtsbehörden, noch durch die verantwortliche Organisation (bzw. deren interne Datenschutzbeauftragte). Meist scheitert dies allein an der mangelnden Prüfkompetenz, da die Komplexität insbesondere der Informationstechnik sehr groß geworden ist. Die Transparenz einer Datenverarbeitung herzustellen ist dabei kein Selbstzweck (vgl. Engeler 2018), Transparenz hat allein eine dienende Funktion: Sie ist wesentliche Voraussetzung für die Kontrollierbarkeit (für das Zusammenstellen aller für die Verarbeitungstätigkeit relevanten Komponenten), die Prüfbarkeit (Soll-Ist-Abgleich der Aktivitäten der Komponenten) und die Beurteilbarkeit (der Prüfergebnisse durch Jurist*innen) von Verarbeitungstätigkeiten im Hinblick darauf, ob Verantwortliche die Grundsätze insbesondere des Artikels 5 sowie weiterer Anforderungen der DSGVO beachtet und wirksam umgesetzt haben. Eine Organisation die beabsichtigt, Datenschutz-Anforderungen nachzukommen, und die Schutzmaßnahmen und Prüftools installiert, muss allerdings damit rechnen, dass sogar von diesen Maßnahmen neue Risiken ausgehen, die nicht zu erkennen und zu bewältigen sind.

5. Zweckbindungsrisiko: Selbst wenn eine Organisation ordnungsgemäß rechtskonform und transparent bzw. prüfbar personenbezogene Daten verarbeiten sollte, so ist im laufenden Betrieb permanent damit zu rechnen, dass die Organisation den mit der Rechtsgrundlage ausgewiesenen Zweck unterläuft, ausdehnt oder erweitert. Dies kann vorsätzlich, etwa durch den Einsatz von Big-Data-Technologien, oder spontan angeregt durch besondere sich ergebende Gewinnmitnahmechancen, durch „leichte Unfairness“ oder durch die schleichende Ausbildung einer leichtsinnigen Kultur des weitgehend zweckbefreiten Datenumgangs passieren. Typisch werden in sicherheitskritischen Ausnahmesituationen Regeln missachtet und Schutzmaßnahmen umgangen. Das schleichende Unterlaufen des ursprünglichen Verarbeitungszwecks geschieht oft durch neue IT-Optionen und Schutzmaßnahmen, die zur Überwachung von Mitarbeiter*innen genutzt werden, deren Nutzung aber nicht durch den Zweck gedeckt ist. Viele der in der zweiten Hälfte von EG 75 aufgezählten Schäden unterfallen dem hier angesprochenen Risikotypus.

6. IT-Sicherheitsrisiko: Natürlich ist es ein Risiko für Betroffene, wenn eine Organisation keine angemessene Auswahl und Dimensionierung an Schutzmaßnahmen für ihren operativen Datenschutz und ihre IT-Sicherheit getroffen hat. Diese Risiken sind es, die der EG 75 besonders klar und gut in den Blick stellt und die durch Grundschutzmaßnahmen des BSI bearbeitbar sind. Ein weiteres, häufig unbeachtetes Risiko im Kontext der IT-Sicherheit ist allerdings die Notwendigkeit, dass die IT-Schutzmaßnahmen ihrerseits nach Maßgabe des Datenschutzrechts bzw. des operativen Datenschutzes zu konfigurieren sind. Denn auch die Maßnahmen der IT-Sicherheit müssen grundrechtskonform betrieben werden. Nicht datenschutzkonform betriebene IT-Sicherheitsmaßnahmen intensivieren in aller Regel den Grundrechtseingriff.

7. Datenschutzdurchsetzungsrisiko: Unterlassene oder mangelhafte Datenschutzkontrollen stellen ein in der Praxis sehr hohes Datenschutz-Risiko dar. Dieses Risiko resultiert nicht primär aus der skandalös geringen personellen Ausstattung der Datenschutz-Aufsichtsbehörden (vgl. Schulzki-Haddouti 2015), sondern mehr noch aus deren mangelhafter Prüfqualität.

Selbst wenn personenbezogene Verarbeitungstätigkeiten von Aufsichtsbehörden geprüft werden, dann ist in der Regel unklar, was genau und wie Datenverarbeitungen geprüft wurden. Die Transparenz und Integrität der meisten Datenschutzprüfungen durch die Aufsichtsbehörden ist massiv infrage zu stellen, wenn keine Auskünfte über den Prüfstandard und die Prüfmethode gegeben und keine Prüfkonzepte, Prüfdokumente und Prüfprotokolle vorgelegt werden können, die über das Niveau kurzer Rechenschaftsberichte für das Parlament hinausgehen.

Den Anforderungen, die Datenschutzaufsichtsbehörden an die Verarbeitungstätigkeiten anderer Organisationen stellen, müssen die Kontrollbehörden gegenüber ihren Verfahren – nämlich Verarbeitungstätigkeiten anderer Organisationen zu überwachen und die Anforderungen der DSGVO durchzusetzen (vgl. Art. 57, Abs. 1 lit. a DSGVO) – selbst genügen. Selbst wenn Datenschutzprüfungen im Sinne des Art. 5 DSGVO hinreichend transparent, integer, zweckorientiert usw. durchgeführt werden, bspw. mit Rückgriff auf das bereits erwähnte Standard-Datenschutzmodel, so bleiben negative Prüfergebnisse seitens der Aufsichtsaufsichtsbehörden vielfach ohne Konsequenzen für den verantwortlichen Datenverarbeiter. Negative Prüfergebnisse führen darüber hinaus auch nicht zwingend zur Verbesserung von Verarbeitungstätigkeiten, selbst wenn Sanktionen erfolgten. Bei mehrfachen Beanstandungen im Tätigkeitsbericht eines Landesbeauftragten verliert sich, wenn keine weiteren Konsequenzen hinzutreten, schnell der ohnehin mäßige Sanktionscharakter.

Aber selbst wenn eine Datenschutz-Aufsichtsbehörde einen Datenschutzkonflikt mit den Verantwortlichen vor Gericht bringt, entscheiden Gerichte vielfach nicht in der Sache, sondern retten sich mit der Beanstandung von Formfehlern. Und selbst wenn ein Gericht bereit ist, in der Sache zu entscheiden, dann erweisen sich die gesetzlichen Regelungen oft als unzureichend – was wiederum auf das anhaltend mangelnde Interesse des Gesetzgebers am Datenschutz schließen lässt.

8. Politikrisiko: Gegenwärtig ist in Deutschland keine Partei auszumachen, die den vom Datenschutz zu bearbeiten Konflikt und die daraus resultierenden Grundrechtsrisiken analytisch auf den Grund zu gehen vermag, von Einzelpersonen insbesondere bei den Grünen abgesehen. Das gleiche gilt für NGOs oder Interessensvertretungen, denen über sinnfällige Skandalisierungen hinaus schnell die Luft ausgeht (vgl. Rost 2017). Betroffene haben aktuell keinen mächtigen Anwalt ihrer Interessen; die Schutzfunktion der Datenschutz-Aufsichtsbehörden ist nicht mehr nennenswert. Das vorherrschende Framing (vgl. Wehling 2016) der politischen Diskurse zum Datenschutz verzwergt und trivialisiert die wirksame Umsetzung von Grundrechten entweder, wie oben gezeigt, zur Privatangelegenheit oder zu einem Risiko der IT-Sicherheit und nimmt den Datenschutzgesetzen ihre Schärfe, wenn anstatt auf deren Durchsetzung zu dringen wohlfeile Ethik-Diskurse geführt werden, wie das der europäische Datenschutzbeauftragte Butarrelli gern praktiziert. Das alles nützt einzig den ohnehin übermächtigen Organisationen, die die gesellschaftlichen Kommunikationen weiter ausformen und beherrschen. Wenn Datenschutz parteipolitisch nicht mehr auf Resonanz stößt – das war mal anders –, dann könnte dies ein Indikator dafür sein, dass die Gesellschaft sozialstrukturell in die Vormoderne zurückzufallen droht – also in eine Zeit, als wenige Organisationen und einzelne Personen noch strikt hierarchisch das Leben von Menschen bestimmten. Zugespitzt formuliert lautet die These: Gegenwärtig können wir dabei zusehen, wie eine moderne, und das heißt soziologisch fundiert formuliert, funktional-differenzierte Gesellschaft entweder zu einer stratifizierten Gesellschaft regrediert (so Rost 2012) oder alt wird (so Lehmann 2015). An der wirksamen Umsetzung von Grundrechten zeigt sich, ob Modernisierungschancen der funktionalen Differenzierung genutzt werden.

Fazit

Die Zuspitzung der Interpretation von Risiken der DSGVO auf einen risk-based-approch wird selbst zum Risiko für einen an der wirksamen Umsetzung von Grundrechten interessierten Datenschutz, wenn sich der Fokus auf die in Erwägungsgrund 75 DSGVO aufgelisteten konkreten Schäden und Kontrollverluste reduziert. Es geraten zumindest die grundrechtlich wesentlichen Risiken für Personen dann in den Blick, wenn der für den Datenschutz konstitutive Konflikt der asymmetrischen Machtbeziehung zwischen den Risiken erzeugenden Organisationen und Personen zum Ausgangspunkt von Risikoanalysen wird. Die DSGVO gibt, insbesondere mit den Grundsätzen der Datenverarbeitung in Artikel 5 sowie den auf die wirksame Umsetzung abzielenden Artikeln 24, 25, 32 und 35, einen guten Rahmen für die Bestimmung und Dimensionierung technisch-organisatorischer Maßnahmen zur Verringerung einer Vielzahl von Datenschutz-Risiken. Ohne eine politisch gewollte massive Stärkung der Datenschutz-Aufsichtsaktivitäten, die auch zu wirksamen Sanktionen führen, ist allerdings, gerade wegen des Einsatzes besonders wirksamer moderner Überwachungstechniken, der gesellschaftliche Rückfall wieder in die Vormoderne wahrscheinlich.

MARTIN ROST   Martin Rost arbeitet als stellvertretender Leiter des Technikreferats des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein. Er leitet die Unterarbeitsgruppe „Standard-Datenschutzmodell“ des „Arbeitskreis Technik“ der Konferenz der Datenschutzbeauftragten des Bundes und der Länder Deutschlands.

Literatur:

Bieker, Felix, 2018: Die Risikoanalyse nach dem neuen EU-Datenschutzrecht und dem Standard-Datenschutzmodell, in: Datenschutz und Datensicherheit (DuD), 2018, Nr. 1: 27-31.

BSI 2017: Standard-200-3, Risikoanalyse auf der Basis von IT-Grundschutz, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/standard_200_3.html (abgerufen: 20.01.2018).

BVerfG 2008: Urteil des Ersten Senats vom 27. Februar 2008 – 1 BvR 370/07 (=BVerfGE 120, 274 – 350), „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“.

Engeler, Malte, 2018: Das überschätzte Kopplungsverbot. Die Bedeutung des Art. 7 Abs. 4 DS-GVO in Vertragsverhältnissen; in: Zeitschrift für Datenschutz (ZD), Nr. 2: 55ff.

Forum Privatheit, 2017: Whitepaper Datenschutz-Folgenabschätzung, 3. überarbeitete Auflage, https://www.forum-privatheit.de/forum-privatheit-de/publikationen-und-downloads/veroeffentlichungen-des-forums/themenpapiere-white-paper/Forum-Privatheit-WP-DSFA-3-Auflage-2017-11-29.pdf (abgerufen: 20.01.2018).

Lehmann, Maren, 2015: Das „Altwerden funktionaler Differenzierung“ und die „nächste Gesellschaft“, in: Soziale Systeme (Special Issue), Jg. 20, Nr. 2: 308-336.

Podlech, Adalbert; Dierstein, Rüdiger; Fiedler, Herbert; Schulz, Arno (Hg.), 1976: Gesellschaftstheoretische Grundlage des Datenschutzes, Datenschutz und Datensicherung, Bachem-Verlag: 311-327.

Pohle, Jörg, 2018: Datenschutz und Technikgestaltung (Dissertation, im Erscheinen).

Robrahn, Rasmus; Bock, Kirsten, 2018: Schutzziele als Optimierungsgebote; in: Datenschutz und Datensicherheit (DuD), 2018, Nr. 1: 7-12.

Rost, Martin, 2012: Zur Soziologie des Datenschutzes; in: Datenschutz und Datensicherheit (DuD), Nr. 37: 85-91.

Rost, Martin, 2013: Eine kurze Geschichte des Prüfens, in: BSI (ed.), Informationssicherheit stärken – Vertrauen in die Zukunft schaffen, Secumedia-Verlag: 25-35.

Rost, Martin, 2017: Bob, es ist Bob!, in: FifF-Kommunikation, Jg. 34, Nr. 4: 63-66.

Schmitz, Barbara, 2018: Der Abschied vom Personenbezug. Warum der Personenbezug nach der DS-GVO nicht mehr zeitgemäß ist; in: Zeitschrift für Datenschutz (ZD), Nr. 2: 5-8.

Schulzki-Haddouti, Christiane, 2015: Zu kurz gekommen. Deutsche Datenschutzbehörden leider unter Personalknappheit; in: c‘t 2015, Nr. 17: 76-78.

SDM 2016: Das Standard-Datenschutzmodell. Eine Methode zur Datenschutzberatung und -prüfung auf der Basis einheitlicher Gewährleistungsziele, V 1.0, https://www.datenschutzzentrum.de/uploads/sdm/SDM-Methode_V1.0.pdf (auch in englischer Version verfügbar; abgerufen: 20.01.2018).

Veil, Winfried, 2018: Risikobasierter Ansatz; in: Gierschmann, S.; Schlender, K.; Stentzel, R.; Veil, W., 2018: Kommentar Datenschutz-Grundverordnung, 1. Aufl., Köln, Bundesanzeiger-Verlag: 712ff.

Wehling, Elisabeth, 2016: Politisches Framing. Wie eine Nation sich ihr Denken einredet – und daraus Politik macht; edition Medienpraxis 14.

Anmerkungen:

1 Versicherbare Risiken können in Preise hinein verrechnet werden. Nicht-bezifferbare und deshalb auch nicht versicherbare Risiken lassen sich jedoch nicht verrechnen. Als Beispiel für eine zivilrechtliche Behandlung ließe sich an ein Sammelklagesystem mit dem Ziel eines nicht prognostizierbaren und deshalb nicht versicherbaren Strafschadenersatzes etwa US-amerikanischer Prägung denken.

2 Der gesellschaftliche Bezug, den die DSGVO in den EG 4 und 6 herstellt, ist auffallend schwach ausgebildet und offenbar von dem Motiv getrieben, dass Datenschützer Verständnis für die besonderen Nöte der Datenverarbeiter aufbringen sollen. Man muss grundrechtlich nicht zwingend die Vorstellung teilen, dass durch die „Globalisierung Datenschutz vor neuen Herausforderungen steht“ (EG 6). Das leitet schon analytisch fehl, weil es nicht „die Globalisierung“ sein kann, sondern es international agierende Organisationen sind, die sich nicht an Grundrechte halten, u. a. weil ihre Aktivitäten keiner wirksamen Datenschutzkontrolle unterliegen.

3 Eine intrinsische Motivation gilt unter Verwaltungsmitarbeiter*innen als unprofessionell. Dabei sind die Mitarbeiter*innen einer oder eines Beauftragten für den Datenschutz keine neutralen Verwaltungsmitarbeiter*innen und auch keine Richter*innen, die alle beteiligten Interessen abzuwägen haben: Sie sollen entschieden Partei für Betroffene ergreifen.

4 Das ist natürlich auch dem Bundesverfassungsgericht längst aufgefallen. Prof. Voßkuhle, der aktuelle Präsident des Bundesverfassungsgerichts, deutete bereits im November 2011 an, dass sich das BVerfG mit Facebook beschäftigen werde. „Verfassungsgerichtspräsident warnt vor Facebook (…) Er deutete an, dass das Bundesverfassungsgericht gezwungen sein könnte zu prüfen, ob sich das Facebook-Angebot mit dem Recht auf informationelle Selbstbestimmung verträgt. ‚Da will ich dem für solche Fragen zuständigen Ersten Senat nicht vorgreifen. Es spricht jedenfalls einiges dafür, dass das Bundesverfassungsgericht in den nächsten Jahren gefordert sein wird, die Bedeutung und Reichweite der Grundrechte in einer Welt der digitalen Vernetzung neu zu bestimmen.'“ (RP-Online v. 6.11.2011, http://www.rp-online.de/ digitales/internet/verfassungsgerichtspraesident-warnt-vor-facebook-aid-1.2542329, abgerufen: 21.01.2018).

5 Bislang ist Anwendung des SDM in einigen Aufsichtsbehörden allerdings noch keine gängige Prüf- und Beratungspraxis (vgl. SDM 2016).

Der Beitrag Risiken im Datenschutz erschien zuerst auf Humanistische Union.

Das Unabhängige Landeszentrum für Datenschutz (ULD) unterbreitete Mitte August 2011 ein Gutachten mit ersten technischen Fakten und rechtlichen Bewertungen von facebook-Aktivitäten. Darin werden beispielsweise die Datenflüsse zu facebook bei der Nutzung einer Fanseite und von social plugins wie den Like-Button auf einer Webseite analysiert. [1] Das  Urteil des ULD fällt negativ aus. Wie groß das facebook-Problem aber tatsächlich ist, zeigt sich, wenn man an den Anlass der Institutionalisierung des Datenschutzes in Deutschland erinnert und sich um einen theoretischen Begründungszusammenhang des Datenschutzes bemüht.

Zur Zeit wirken viele am Schutz der Bürgerrechte Interessierte, angesichts der unbezweifelbaren emanzipatorischen Potentiale der internetgestützten Kommunikationstechniken einerseits und der ebenso jedes Recht unterlaufenden Aktivitäten einiger global agierender Monopolisten andererseits, etwas hilflos in der Beurteilung der Chancen und Risiken. Soll man selber auf facebook aktiv sein? Sollten die datenschutzrechtlich möglicherweise zweifelhaften Aktivitäten von facebook und Co. legalisiert werden, einfach weil sich die Zeiten geändert haben? Sollte vielleicht nur das Schlimmste verhindert werden, weil die Vorteile der Nutzung überwiegen und ja ohnehin niemand gezwungen wird, Dienste wie die von facebook zu nutzen? Oder sollte der gesamte Ansatz verboten werden?

Worin besteht das Daten­schutz­pro­blem?

„Eine Gesellschaftsordnung … und die sie ermöglichende Rechtsordnung, in der jemand nicht mehr weiß, wer wann was und bei welcher Gelegenheit über ihn weiß, ist mit unserer Verfassung nicht vereinbar.“ (Adalbert Podlech 2008)

Versteht man diesen Satz soziologisch, dann geht der Rechtsordnung eine Gesellschaftsordnung voraus. Das heißt: Datenschutz lässt sich, als ein gesellschaftliches Phänomen moderner Gesellschaften, nicht auf Datenschutzrecht reduzieren. Es ist allerdings das Datenschutzrecht, dass den vielfältigen Datenschutzproblemen einer Gesellschaft eine gut strukturierte, entscheidbare Form geben kann.

Deutsches Datenschutzrecht entstand Ende der 1960er Jahre. Damals sah sich der Gesetzgeber veranlasst, auf die zunehmende Nutzung datenverarbeitender Techniken der Verwaltung, insbesondere der Sicherheitsbehörden, zu reagieren. Es bestand das strukturelle Risiko der operativen Auflösung der Gewaltenteilung zu Gunsten der Exekutive und zu Lasten von Legislative und Jurisdiktion. Die Datenschutzrechtler der ersten Generation thematisierten dieses Risiko und veranschaulichten die negativen Auswirkungen auf die Handlungsfreiheit und Würde von Einzelpersonen. Sie koppelten somit den Schutz von Privatsphäre an den Erhalt einer sozialen Struktur und von Grenzen, die Voraussetzung von Rechtsstaat und Demokratie sind. Datenschutz entstand somit als staatlich institutionalisierter Zweifel des Staates an sich selbst.

„Das Recht selbst darüber zu entscheiden, wer die Daten des Einzelnen, wann, unter welchen Bedingungen, wofür benutzt, dieses Recht … ist eine elementare Funktionsbedingung einer demokratischen Gesellschaft. Das ist nach meiner Überzeugung die Grundlage des Datenschutzes … nicht (!) das Persönlichkeitsrecht. … Es steht die Struktur der Gesellschaft auf dem Spiel. Und diese Struktur der Gesellschaft definiert unsere Aufgabe. … Alles ist heute erhoben. Ich kann eine Politik entwickeln, die den Einzelnen als steuerbares Subjekt ansieht …. Heute ist das eigentliche Stichwort für die Datenverarbeitung Prävention. Und in dem Maße wie ich bei der Prävention bin, steuere ich!“ (Spiros Simitis 2009)

Es ist die Struktur der Gesellschaft, die die Aufgabe als Datenschützer definiert, nicht erst das Persönlichkeitsrecht. So wie es zu kurz greift, das Datenschutzproblem als ein Konstrukt bzw. als eine Folge erst eines zuvor ausgebildeten Datenschutzrechts aufzufassen, ist es ebenfalls kurzschlüssig, das Datenschutzproblem aus der Persönlichkeit eines Menschen, aus dem privaten Bedürfnis nach Privatheit, herzuleiten. Vielmehr ist die schützenswerte Individualität und Freiheit des einzelnen Menschen selbst ein Konstrukt einer sozialen Struktur, die bestimmte Eigenschaften aufweist. Aber noch mal ein Schritt zurück getreten: Was heißt „Gesellschaftsordnung“ oder „soziale Struktur“?

Politische und juristische Macht, Geld und wissenschaftliche Wahrheit lassen sich in der modernen Weltgesellschaft nicht mehr trivial ineinander umrechnen. Die Schwierigkeit dieser „Umrechnungen“ ist das, was Soziologen als „funktionale Differenzierung“ bezeichnen. Diese Differenzierung erzeugt unterschiedliche Rollen. So ist es der Markt, der das Konzept des „Kunden“ hervorbringt; es sind Rechtsstaat und Demokratie, die das Konzept des „Bürgers“ erzeugen; es ist die wissenschaftliche Befassung mit dem Menschen, die Konzepte wie „Individuum“, „Patient“, „Klient“, „Subjekt“ entstehen lassen und die von Menschen als generalisierte Rollen auszufüllen sind. Diese verschiedenen Rollenanforderungen lassen sich nicht in Deckung bringen. Am Umgang mit einer Fülle von Konflikten und Unvereinbarkeiten, die ihrerseits nicht sozial reguliert sind, entsteht dann eine Fülle von spezifischen Persönlichkeiten. Mit diesen „Personenkonzepten“ gehen Freiheits-, Souveränitäts- und Privatsphären-Anforderungen für Einzelpersonen einher, die an eine gesellschaftliche Ordnung gekoppelt sind, die durch Gewaltenteilung, Markt und freie Diskurse bestimmt ist. Latent bedroht wird diese differenzierte Struktur jedoch durch Organisationen, weil diese die Vielfältigkeit dieser separierten Logiken notwendig auf einen Punkt zusammenziehen: Unternehmen agieren unter dem Primat der Kapitalverzinsung, Politik unter dem Primat des Machterhalts/Machtausbaus, Verwaltungen unter dem Primat der Sicherung der öffentlichen Ordnung und Wissenschaft unter dem Primat von Letztwahrheiten. Organisationen zwingen in diesem Sinne zur Entscheidung.  Der Datenschutz thematisiert an den dadurch provozierten Deformationen der Freiheit bzw. der Privatsphäre von Personen die Deformationen der funktionalen Differenzierung. Darin besteht die soziale Funktion des Datenschutzes. Das Datenschutzrecht ist deshalb vor allem eine Gefahrenabwehr gegenüber den Organisations-Egoismen datentechnisch bewaffneter Technokraten, die insbesondere durch Prävention ihre systemischen Risiken bzgl. der Kapitalverzinsung, Macht, Sicherheit und Wahrheitsdefinition einseitig zu verringern trachten.

„Ich bin davon überzeugt, dass Recht Technik gestalten kann. … Es gibt kein Privateigentum an Daten, sondern es gibt eine Ordnung wie man mit diesen Daten umgeht. Ich kann aber auch nicht jeden Umgang mit den Daten verbieten, weil, – ich lebe ja in einer sozialen Gemeinschaft, da muss man kommunizieren. Damit diese Kommunikation freiheitlich ist und die Selbstentwicklung des Individuums ermöglicht, deswegen brauche ich informationelle Selbstbestimmung.“ (Alexander Roßnagel 2008)

Es lohnt, an dieser Stelle soziologisch genau zu sein, denn es geht weniger um „soziale Gemeinschaft“. Eine Gemeinschaft könnte sich selbst weitgehend vernünftige, logisch-konsistente Regeln, die jedes Mitglied der Gemeinschaft verstünde und anerkennen könnte, geben. Gemeinschaft ist genau kein Ort funktionaler Differenzierung, und damit kein Ort, in dem die Schutzwirkung des Datenschutzes greift. Es geht vielmehr um „Organisationen in Gesellschaft“, noch genauer: in der „Weltgesellschaft“. In der Weltgesellschaft besteht jede Menge an widersprüchlichen aber trotzdem verbindlichen Regelungen.

Eine moderne Weltgesellschaft ist deshalb auf Vertrauen angewiesen. Personen müssen in Systeme anstatt in Personen vertrauen, was Kommunikationen besonders effektiv machen kann. Bei komplexen Handlungsketten müssen Organisationen und Nutzer einander, über alles rechtlich Geordnete und alle bilateralen Einwilligungsvereinbarungen hinaus, vernünftig begründete, gegenseitige Vertrauensvorschüsse gewähren. Personen müssen vertrauen, obwohl staatliche wie private Organisationen in ihrem Verhältnis zum Bürger, Kunden, Nutzer, Klienten, Patienten aus der genuinen Datenschutzsicht grundsätzlich nicht vertrauenswürdig sind.

„Aufgaben in Staat und Wirtschaft lösen Informationsströme aus, die zugeteilt werden müssen für die Aufgaben. Wenn man die hinreichend aufteilt ist das kein Problem. Die Aufteilung ist nicht das Problem, sondern die Lobbies. Es geht nicht um Privatsphären. Sondern es geht darum, eine Technik sozial beherrschbar zu machen – das ist alles.“ (Wilhelm Steinmüller 2009) [2]

Spezifische Aufgaben erfordern zugeschnittene Informationsströme in spezifischer Zuordnung. Die Zweckbindung verträgt dabei keine Gegenstände, die im Unbestimmten bleiben. Und erst recht keine unbestimmt bleibenden künftigen Gegenstände in den Händen von Akteuren, die ihre eigene Verantwortlichkeit in den Handlungsmodellen internationaler Arbeitsteilung verschwinden lassen. So dass sogar zunehmend im Unklaren bleibt, welches Rechtsregime überhaupt gilt.

So sehr es darum gehen muss, dass ein Datenschützer dem bedrängten einzelnen Petenten ganz konkret hilft, so geht es auch darum, dass Datenschutzinstitutionen darauf hinwirken, dass Deformationen an der Privatsphäre der Menschen durch Organisationen strukturell, also: auf Vorrat, verhindert und nicht nur im Nachhinein und im Einzelfall leidlich repariert werden können. Um es noch einmal, gegen den derzeit vorherrschenden Trend im Datenschutzrecht, zu betonen: Es geht dem Datenschutz nicht nur um Privatsphären und deren Schutz. Sondern es geht insbesondere darum, eine Technik sozial beherrschbar zu machen. [3]

Thesen

These 1: Sich für einen starken, sozialstrukturelle Grenzen setzenden und sichernden Datenschutz auszusprechen, bedeutet den Ruf nach einem ordnungspolitisch starken Staat– und zwar stark in Sachen bürgerrechtlicher Gefahrenabwehr.

Ein solcher Staat weiß nicht nur seine eigene Exekutive zurückzunehmen, so dass diese genau nicht auf andere Spielfelder ausgreift. Er weiß zugleich sowohl gute Marktbedingungen als auch herrschaftsfreie Diskurse auch dort sicherzustellen, wo er selbst nicht aktiv ist. Also dort, wo der Markt, die Religion, die Wissenschaft und Kultur ihren berechtigten aber zugleich auch begrenzten Platz haben. So wie auch er sich selbst kunstvoll auf das eigene Spielfeld zu beschränken trachtet. Zugleich muss ein solch starker Staat aber in der Lage sein, dirigistisch-autoritär anzuspringen, wenn private Spieler sich aggressiv an des Staates und des Marktes Stelle setzen, beliebig Regeln aufstellen oder auch nicht, und die staatliche Selbstbeschränkung und deren Sicherungsmechanismen unterlaufen.

Das Sammeln von Vorratsdaten für unbestimmt bleibende künftige Zwecke und Aufgaben produziert Verwaltungsprozesse und Geschäftsmodelle, die unterhalb einer wahrnehmbaren Schwelle in Form von Intransparenz, Manipulation, Übergriff und Willkür geheime staatliche Maßnahmen ermöglichen bzw. Profit erbringen sollen.

These 2: Wenn man eine Vorstellung von den materiellen Datenschutzproblemen und der gesellschaftlichen Funktion des Datenschutzes ausgebildet hat, ist man in der Lage, Pseudodatenschutz auch als einen solchen nachzuweisen.

Insbesondere professionelle Datenschützer sind dazu verpflichtet, einen solchen Nachweis zu führen. Man kann als Jurist allerdings keine Spielregeln (Gesetze) anwenden oder gar im intendierten Sinne des Gesetzgebers auslegen, wenn man keinen inhaltlichen Begriff von dem Spiel ausgebildet hat, um das es eigentlich geht.
Alles was facebook bislang in Bezug auf Datenschutz gemacht hat, ist materiell betrachtet unzureichend. So bleibt facebook selbst dann ein Problem, wenn es sein Textwerk in den „Allgemeinen Geschäftsbedingungen“ nachbessert, die Privacyeinstellungen übersichtlicher macht, häufiger seine Aktivitäten schildert und Nutzereinwilligungen einholt oder einen Like-Button anbiett, der nur dann Daten sammelt, nachdem ein Nutzer ihn tatsächlich angeklickt hat. Wenn facebook seine Antragsteller weiterhin dazu auffordert, das Passwort ihrer Webmail-Accounts zu verraten, so ist allein das eine Kriegserklärung an materielle Datenschutzbemühungen.

These 3: Die soziale Funktion des Datenschutzes besteht darin, darauf hinzuwirken, dass die strukturellen Grenzen der Gewaltenteilung, des Kartellrechts und der Freiheit der Diskurse bestehen bleiben.

Datenschutz operationalisiert die Vertrauenswürdigkeit von Organisation. Diese Operationalisierung kann dann gelingen, wenn die strukturell grundsätzlich nicht vertrauenswürdigen Organisationen durch die Betroffenen und unabhängigen Aufsichtsinstanzen kontrolliert werden. Konkret heißt das für Organisationen in Bezug auf die Gestaltung der Systeme zur Verarbeitung personenbezogener Daten:

· die Herstellung der Prüffähigkeit der Systeme
· den Nachweis der Beherrschung der zu verantwortenden Systeme
· den Nachweis der Umsetzung der für die betroffenen Personen gültigen Gesetze.

Ein Plädoyer für die Intensivierung von Prüftätigkeiten der Datenschutzinstanzen ist, wie schon der Ruf nach dem Staat, weder neu noch originell. Aber die Betroffenen technisch in die Lage zu versetzen, die Zusagen von Organisationen selbsttätig überprüfen zu können, ist ein Aspekt, der im Paradigma der „Privacy Enhancing Technologies“ oder dem „Privacy By Design“ bislang kaum thematisiert wurde.

These 4: Schutzziele lassen sich als rational begründbare Kriterien für vernünftig gestaltete Infrastrukturen ausweisen.

Jürgen Habermas hatte zu Beginn der 1980er Jahre eine Theorie des kommunikativen Handelns vorgelegt. [4] Darin wies er die Geltungsansprüche vernünftiger Rede aus, mit denen sich der seltsame Zwang des besseren Arguments entfalten könne. Was Habermas Anfang der 80er Jahre noch nicht ausweisen konnte, waren die materiell-operativen Anforderungen, die erfüllt sein müssen, damit sich faire Diskurse auch bei Einsatz bspw. von Internettechniken bzw. generell von Informationstechniken entfalten können. Diese Anforderungen sind zu formulieren. Es ist nicht wirklich gut denkbar, dass sich eine diskursive Vernunft entfalten kann, wenn die darunter liegende Infrastruktur unfair gestaltet ist und deren technische Betreiber diese nicht sicher und funktional korrekt beherrschen. Diese operativen Anforderungen an technische und organisatorische Infrastrukturen finden ihren konzentrierten und systematischen Ausdruck in den „Neuen Schutzzielen“. Welche Ziele sind das?

Zum ersten sind da die konventionellen Schutzziele der Datensicherheit [5], nämlich Verfügbarkeit, Integrität und Vertraulichkeit, zu nennen. Sie fokussieren primär solche Anforderungen, die an eine sichere Aufrechterhaltung des Betriebs und der Infrastruktur einer Organisation zu stellen sind. Die spezifisch auf Datenschutzanforderungen ausgerichteten Schutzziele spiegeln die Perspektive der von den Organisationstätigkeiten betroffenen Personen wider. So ist Transparenz eine Voraussetzung für die Steuerung und Regulation technisch-organisatorischer Prozesse sowie für Abwägungen bezüglich des Zwecks der Datenverarbeitung, der Erforderlichkeit, der Datensparsamkeit, des Informationsbedarfs der Betroffenen usw. Die Nichtverkettbarkeit operationalisiert Zweckbindung/Zwecktrennung sowie der Erforderlichkeit einer Datenverarbeitung. Und Intervenierbarkeit operationalisiert insbesondere Betroffenenrechte und versetzt informationsverarbeitende Stellen bzw. Betreiber von Systemen in die Lage nachzuweisen, dass sie ihre Systeme steuernd beherrschen – und nicht von den technischen Systemen beherrscht werden. [6]

Die faceboo­k-Re­a­lität

Legt man diese sechs Kriterien an die Datenverarbeitung bei facebook an, zeigt sich folgendes Bild: facebook macht keine Zusagen bzgl. der Verfügbarkeit des Dienstes, dieser kann jederzeit schlicht geschlossen werden. Bezüglich der Integrität der Daten besteht keine Manipulationssicherheit, facebook kann jederzeit willkürlich auf die Daten zugreifen, beliebig verändern, somit Personen beliebig Daten und Kommunikationsbeziehungen unterschieben. Mit Blick auf Vertraulichkeit ist zu sagen: Das Brief-, Post- und Fernmeldegeheimnis wird nicht gewahrt, facebook kann alles mitlesen und liest offenbar alles mit. Nutzer werden bei der Erstanmeldung, und zwischendurch immer wieder, aufgefordert, Passworte, die sie bei anderen Netzdiensten nutzen, preiszugeben und darüber hinaus andere Nutzer auf Bildern zu identifizieren. Das führt wiederum dazu, dass die Qualität der ohnehin schon automatisierten Bilderkennung weiter zunimmt. Vertraulichkeit gibt es keine, vielmehr gibt facebook zahlenden Organisationen Zugriff auf Nutzerdaten und reichert sie auf Wunsch der Kunden an. Während facebook die Nutzer kennt, ist es umgekehrt nahezu aussichtslos, als Nutzer mit facebook zu kommunizieren, sogar für Aufsichtsbehörden. Der Nutzer weiß nicht, was facebook alles über ihn weiß oder wissen könnte – was rechtlich ausreicht, um eine Einwilligungserklärung unwirksam zu machen. Durch Anreicherungen ist es sogar so, dass facebook in einem gewissen Sinne mehr über einen Nutzer weiß – oder zumindest jederzeit wissen kann –, als dieser über sich selbst. Sämtliche Änderungen des Nutzers werden seitens facebook protokolliert, können also von facebook rekonstruiert werden; ein Vergessen im Sinne eines echten Löschens („Wipen“) ist nicht gegeben bzw. vom Nutzer nicht durchsetzbar. Auch werden Accounts nach dem Ausstieg eines Nutzers aus facebook nicht gelöscht. Und Verkettbarkeit ist genau die Basis für das Geschäftsmodells, das facebook verfolgt: Gewinnung von Präventionsdaten und Profilierung von Nutzern zu beliebigen Zwecken. Das ist das perfekte Gegenteil von Datenschutz. [7]

Fazit

facebook verstößt gegen sämtliche Anforderungen an einen tatsächlich wirksamen Datenschutz. [8] facebook sackt parasitär die Gewinne ein, die sich aufgrund einer unfairen Ausbeute der bislang bestehenden kommunikativen Allmende und der Nichtbeachtung rechtsstaatlicher Grenzen im Internet ergeben. Ich persönlich halte die Aktivitäten, wie wir sie derzeit besonders eindringlich von facebook vorgeführt bekommen, für unvereinbar mit einem demokratischen Rechtsstaat. Ein Verbot durchzusetzen mag nicht realistisch sein. Es ist jedoch zu bedenken, dass sich hier eine amerikanische Firma anschickt, die ordnungspolitische Souveränität des deutschen Staates faktisch zu unterlaufen.

Martin Rost
ist Mitglied der HU, stellv. Leiter des Technikreferats beim Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD), u.a. Herausgeber des Buches „Die Netzrevolution – Auf dem Weg in die Weltgesellschaft“, Frankfurt/M. 1996. Webseite: www.maroki.de.

Anmerkungen:

[1] Siehe https://www.datenschutzzentrum.de/facebook/. An der Reichweitenanalyse von facebook bei nationalen Webseitenbetreibern wird deutlich, wie schwierig es ist, auf der Grundlage von Telemediengesetz und Bundesdatenschutzgesetz das verfassungswidrige Treiben einer amerikanischen Firma auf deutschem Boden juristisch wasserdicht darzustellen.

[2]  Die vier herausgehobenen Zitate sind Videointerviews entnommen, abrufbar unter: http://www.datenschutzzentrum.de/interviews/.

[3] Das bezeichnet den wesentlichen Unterschied zwischen europäischem Datenschutz und amerikanischer Privacy. Beim erstmals in Kanada propagierten „Privacy By Design“ dominiert die privatrechtlich bedeutsame Einwilligung, beim Datenschutz in Deutschland dagegen der Nachweis der Zweckbindung (vgl. Rost, Martin; Bock, Kirsten: Privacy By Design und die Neuen Schutzziele – Grundsätze, Ziele und Anforderungen; in: DuD – Datenschutz und Datensicherheit 2011, H. 1, S. 30-35).

[4] Habermas, Jürgen: Theorie des kommunikativen Handelns, Frankfurt/M. 1981.

[5] In neueren Konzepten ist anstelle von Datensicherheit von Informationssicherheit die Rede.

[6] Vgl. Rost, Martin; Pfitzmann, Andreas,: Datenschutz-Schutzziele – revisited in: DuD – Datenschutz und Datensicherheit 2009, H. 6, S. 353-358.

[7] Privatnutzern verspricht facebook die Verbesserung von Kontakt-Chancen, oder um es scharf zugespitzt zu formulieren: von sexuellen Chancen. Genau das war anfangs die zündende Idee von Zuckerberg. Natürlich kann man auch anderes damit machen. Organisationen finden es selbstverständlich sexy, Berichte über Zugriffe auf ihre Fanseiten mit soziodemografischen Daten der Nutzer präsentiert zu bekommen, die sehr viel höher auflösen als alles, was derzeit google analytics bieten kann (s. https://www.datenschutzzentrum.de/facebook/facebook-ap-20110819.pdf, Seite 13). Man darf vermuten, dass die Firma Google mit google+ diesbezüglich an facebook vorbeiziehen möchte.

[8] Zum Hintergrund insbesondere der Risikokapitalgeber von facebook, die offenbar vornehmlich aus der CIA-nahe stehenden Firmen bestehen, siehe: Adamnek, Sascha: Die facebook-Falle. Wie das soziale Netzwerk unser Leben verkauft, München 2011.

Der Beitrag Das facebook-Problem erschien zuerst auf Humanistische Union.

aus: Vorgänge 184 ( Heft 4/2008), S.48-58

Worum geht es? Vordergründig um das gesteigerte Datenschutzrisiko, das durch die Nutzung von Bürgerportalen, einheitlichen Ansprechpartnern und E-Government-Gateways sowie durch die Aktivitäten von Google Analytics besteht. Bringt man diese in einen Zusammenhang, dann zeigt sich nämlich, in welchem Ausmaß die Funktionstrennungen, die eine wesentliche Eigenschaft eines modernen Rechtsstaates kennzeichnen, durch Zugriff auf Personendaten) aufgehoben werden. Was die eindeutige Personenkennziffer als zentrales Verkettungssymbol fair Beziehungen von Personen und Organisationen nur verspricht, lösen diese aktuell betriebenen Projekte tatsächlich ein: An einigen wenigen Konzentratoren befinden sich sämtliche Daten und Kommunikationsbeziehungen der Menschen im komfortabel automatisierten Zugriff.

Warum ist das ein Problem? Die moderne Gesellschaft kennt; so lautet der erkenntniskritische Befund aktueller sozialwissenschaftlicher Theorien, keinen logisch zentralen Attraktor (mehr). Moderne Gesellschaft erschließt sich nicht hinreichend, wenn alles von DER Wirtschaft und DEM Kapital oder DER Politik oder DER Wissenschaft oder DEM Recht oder gar DER Religion aus analysiert wird. Sie zeichnet sich durch eine ganze Reihe von steuerungsunfähigen Intransparenzen aus, die sich nicht untereinander hierarchisch anordnen lassen. Man denke an die Unwägbarkeiten der Gewaltenteilung und die „checks and balances”, ebenso natürlich an die des Marktes, an die politisch konkurrierenden Programme und öffentlichen Meinungen sowie wechselnden politischen Führungen in den Verwaltungsspitzen oder an die verunsichernden wissenschaftlichen Diskurse oder künstlerischen Provokationen. Diese moderne Gesellschaft bietet einem Großteil der Menschen, überwiegend und in historischer Sicht, gute Lebens-, Gestaltungs- und Partizipationsbedingungen.

Eine Person kann und muss dabei verschiedene Rollen einnehmen, die in ihrer VielgestaItigkeit zur Ausbildung der schätzenswerten Individualität beitragen. Freiheit zeigt sich u.a. darin, dass gleiche Rollen in unterschiedlicher Form und, wichtiger noch, in unterschiedlichen Kontexten unabhängig voneinander, gestaltet werden können oder müssen. Es gibt derzeit keine zentrale gesellschaftliche Instanz, die das gesamte Tun ei-nes einzelnen Menschen überblickt, dieses Tun zu einem schlüssigen Ganzen orchestriert und davon abweichendes Tun zur Rechenschaft zieht.[1] Gegenwärtig entstehen je-doch einige wenige Beobachtungsplätze, an denen sich die gesellschaftlich funktionalen und persönlich wünschenswerten Intransparenzen, durch automatisierbaren Zugriff auf die Daten der einzelnen Person, aufheben lassen. Für Gesellschaft kann diese Entwicklung eine zumindest teilweise Aufhebung funktionaler Differenzierung und somit einen Rückfall in eine stratifizierte Sozialstruktur bedeuten, für den Einzelnen das Entstehen eines freiheitsbedrohlichen latenten Rechtfertigungsdrucks.

Die angelaufene Indus­tri­a­li­sie­rung der Verwaltung

Die europäischen Behörden sichten derzeit unter Hochdruck ihre Strukturen und Prozesse, um sie im Hinblick auf Kostenreduktion, Steuerbarkeit sowie technische Umsetzbarkeit zu optimieren. Die Beachtung der Rechtskonformität, welche die Grundlage einer jeden Verwaltungstätigkeit ist, gilt dabei zunehmend als lästige, abzuschüttelnde Pflicht, der man durch ruppige Reformen, etwa die Föderalismusreform II, beizukommen trachtet. Gesetze, Verordnungen und Zuständigkeiten werden umstandslos zusammengekloppt oder die im Weg stehend vorhandenen geschliffen und dann, wie die ors ganisatorischen und technischen Prozesse auch, mit dem Ziel standardisiert, die Verwaltungstätigkeiten kostensenkend zu industrialisieren.[2]

Der Druck zur Technisierung von Verwaltungstätigkeiten besteht auch von außen, durch Wirtschaft, Bürger sowie durch technische Entwicklungen. So verlangt die EU-Dienstleistungsrichtlinie, dass bis Ende 2009 Gewerbetreibende ihre Gewerbeanträge mit in ganz Europa per Internet zugänglichen „Einheitlichen Ansprechpartnern” (EAP) zentral abwickeln können sollen[3]. Wenn eine Behörde im Beantragungsprozess nicht innerhalb enger Fristen mit einer Entscheidung reagiert, soll eine Genehmigung als automatisch erteilt gelten.

Druck üben ferner die vom Bundesministerium des Inneren jüngst konzipierten Bürgerportale aus.[4] Bürgerportale (BP) sollen Bürgern, Verwaltungen sowie Unternehmen eine sichere Infrastruktur insbesondere zur E-Mail-Kommunikation über das Internet bieten, die den technischen Aufwand für den unumgänglichen Einsatz von Sicherheitsprogrammen insbesondere beim Bürger gering halten.
Und nicht zuletzt sind die Versprechen der Computerindustrie verführerisch, dass sich mit ihren Produkten die gesamte interne und externe Kommunikation der Verwaltungen, trotz immens steigender Anforderungen, transparenter, dadurch endlich überhaupt steuerbar und kostengünstiger über zentrale E-Government-Gateways (GG) abwickeln lassen. Das Herzstück der Government-Gateways ist ein „Nachrichtenbroker” oder „Entenprise-Services-Bus”, über den sämtliche Kommunikationen, an der die Verwaltung eines Landes teilhat, zentral gesteuert und in die verschiedenen Formate unterschiedlicher Verfahren und Programme gewandelt und den Empfängern dann, typischerweise über Webservices, zugeleitet werden.

FAP, BP und GG fungieren somit als Konzentratoren von Datenbeständen und Datenflüssen für juristische und natürliche Personen sowie für Maschinen, die die Datenströme untereinander steuern. Damit ist das Setup kommunikativ erreichbarer Entitäten vollständig abgedeckt, nämlich: Organisationen agieren über Einheitliche Ansprechpartner, Bürger über Bürgerportale, Maschinen über Government-Gateways. Da läuft eine technische Entwicklung in aller Breite an, die aus Sicht des Datenschutzes hoch brisant ist.

Datenschutz als Wächter funkti­o­naler Diffe­ren­zie­rung

Worin besteht die gesellschaftliche Funktion des Datenschutzes? Datenschutz wirkt dar-auf hin, dass die Kommunikationen zwischen Organisationen (öffentliche Verwaltungen, private Unternehmen, wissenschaftlich orientierte Praxen und Institute, private Interessensvereine) und ihrem Klientel (Bürger, Kunden, Patienten, Menschen) formbar sind. Formbar soll heißen, dass diese Kommunikationen unter Bedingungen stehen bzw. gestellt werden können. Datenschutzrechtlich muss deshalb jede Kommunikation auf einer Rechtsgrundlage (Gesetz, Vertrag, Einwilligung), die den Zweck und die gegenseitigen Zusicherungen ausweist, sowie datenschutztechnisch gesichert und datensparsam erfolgen.[5] Als Regulativ zwecks Herstellung materiellrechtlicher Bewertbarkeit derartiger Kommunikationen dienen der explizierte Zweck der Kommunikation, der wiederum die Zugänglichkeit der erhobenen und ausgetauschten Daten und der dabei zum Einsatz kommenden Prozesse voraussetzt („Transparenzgebot“), um deren Erforderlichkeit nachzuweisen.

Die juristische Bewertung der Datenverarbeitung richtet sich nach der Rechtmäßigkeit der Kommunikation, die politisch letztlich auf eine faire Beziehung bzw. grundrechtlich auf eine Achtung der immer bedrohten Autonomie des Bürgers, des Kunden, des Patienten und des Menschen (als Subjekt und einzigartigem Individuum) durch die latent ihre Klientel imperialistisch vereinnahmenden Organisationen hinausläuft. Die Durchsetzung dieser Achtung auf Seiten der Organisation erfordert es, dass auch auf deren interne Speicherung und Nutzung von Informationen zur Formung von Kommunikation staatlicherseits Einfluss genommen wird. Diese normativen Anforderungen und technischen Umsetzungen bzw. Zusicherungen müssen deshalb so ausgestaltet sein, dass sie von einer unbeteiligt-neutralen, externen Instanz – d.h. konkret in Deutschland: den Datenschutzbeauftragten der Länder bzw. des Bundes sowie den Aufsichtsbehörden für den Privatbereich – geprüft und bei Verstößen sanktioniert werden können. Datenschutz soll verhindern, dass Kunden zu Marionetten privater Unternehmen, Bürger zu Befehlsempfängern öffentlicher Verwaltungen und Menschen zur Verfügungsmasse von Praxen bzw, wissenschaftlichen Institutionen werden, ohne dass deshalb Organisationen auf den Einsatz effizienter Informations- und Kommunikationsmaschinen verzichten müssen.

Die im vorigen Absatz hervorgehobene gesellschaftliche Funktion des Datenschutzes – nämlich dass dieser die Formbarkeit der Kommunikationen zwischen Organisationen und deren Klientel in den Blick nimmt – setzt voraus, dass Kommunikationen bzw. deren Inhalte und Formen, überhaupt konstruktiv zugänglich und nicht bedingungslos, etwa durch kulturelle und psychologisch verankerte Traditionen oder technische Vorkehrungen, unverrückbar festgezurrt sind. Kommunikationen lassen sich nur unter rechtliche und operative Bedingungen stellen, wenn auf Datenflüsse tatsächlich operativ und regulativ Einfluss genommen werden kann, also wenn unterschiedliche Datenbestände vorhanden sind und entsprechend Datenströme aus unterschiedlichen Quellen über bestehende Grenzen der eigensinnigen Konstitution und des Prozessierens von Informationen hinweg erfolgen. Das setzt wiederum voraus, dass es stabile kommunikative Grenzen gibt.

Und von derartigen kommunikativen Grenzen gibt es bislang eine ganze Reihe. Zum einen lässt sich auf die kommunikative Grenze zwischen der rechtsorientierten öffentlichen Verwaltung und der kapitalverzinsungsorientierten privaten Wirtschaft verweisen, zum zweiten auf die durch Gewaltenteilung in Jurisdiktion, Legislative und Exekutive, ein Teil der Publizistik sei noch dazugegeben, konstituierten Grenzen des politischen Raumes. In den derzeitigen Verhandlungen über den Zuschnitt der neuen IT sehr praxiswirksam sind auch die Grenzen zwischen verschiedenen Organen der Kommunen, Länder und des Bundes, aber auch die zur EU und zu den Vereinten Nationen. In diesen Auseinandersetzungen geht es darum, dass zwischen den Institutionen auf Augenhöhe im gegenseitigen Zugriff und Auferlegen von Beschränkungen und Inanspruchnahmen kooperiert und nicht einseitig subordiniert werden kann.

Die Existenz weiterer sozialer Grenzen, die Kommunikationen und damit soziale Systeme generieren [6] behaupten die Sozialwissenschaften. So unterscheidet die moderne Soziologie zwischen a) Gemeinschaften der Interaktion und b) Organisationen, deren Mitglieder an der Reproduktion von Entscheidungen aus Entscheidungen beteiligt sind sowie c) Funktionssystemen der Gesellschaft, die funktional differenziert bestimmte eigensinnige Formen kommunikativer Erreichbarkeit bereitstellen [7] Als die strukturell führenden gesellschaftlichen Funktionssysteme sind Ökonomie, Recht, Politik und Wissenschaft zu nennen. Diese gesellschaftlichen Funktionssysteme zeichnen sich dadurch aus, dass sie funktional separiert voneinander operieren, wonach bspw, politische Macht nicht umstandslos und verlustfrei auf Recht oder Zahlungen oder Wahrheitsdiskurse durchgreifen kann. Steuern sind wirtschaftlich nur Kosten, politisch dagegen Rohstoff für Gestaltungschancen. Es gibt kein übergeordnetes Funktionssystem, dem die anderen Systeme sich zu fügen haben. Diese gleich„berechtigten“ Sozialsysteme stören einander gegenseitig, sie müssen aus den Störungen ihrer Umwelten ihre eigenen Formen an Informationen konstruieren. Indem sie das tun, reproduzieren sie ihre Grenzen als spezifische Systeme.

Die Separation der Funktionssysteme in der Moderne hat zu einer ungeheuren Vielfalt und Komplexität sozialer Kommunikationen geführt, die durch Medienausbildungen unwahrscheinliche kommunikative Anschlüsse in wahrscheinliche Kopplungen transformieren. Diese Systeme haben, und das ist für den hier angesprochenen Aspekt wichtig, die kommunikativen Erwartungsschemata des Bürgers, des Kunden und Subjekts erst ausgebildet, die gesellschaftlich angeliefert als verallgemeinerte kommunikative Rollenschemata den Bezug zwischen Organisationen und ihrem Klientel regulieren, an denen sich dann die konkreten Rollenausgestaltungen mit konkreten Personen und deren psychischen Erwartungen orientieren. Der Bürger gilt als souverän, der sich trotzdem dem staatlichen Gewaltmonopol bzw. den Gesetzen zu unterwerfen hat; der Kunde gilt als Nutzen/Kosten-Optimierer, dessen entsprechend rationalen Präferenzen durch verführerische Werbung und Verhandlungstricks beeinflusst werden dürfen; und der Mensch gilt als vernunftbegabt aber triebgeleitetes Individuum, das deshalb vielfach gegen die eigenen Interessen handelt. Und bei Mitarbeitern will man es nicht allzu genau wissen, wie es um deren Souveränität als Bürger und Mensch tatsächlich steht.[8] Es sind diese Widersprüche, die die Kommunikation zwischen Organisationen und deren Klientel überhaupt unter Formungsbedingungen stellen. Die Funktion des Datenschutzes besteht insofern auch darin darauf hinzuwirken, dass diese Widersprüche nicht einseitig aufgelöst sondern als solche reproduziert werden. Das ist einer der Gründe, warum Datenschutz politisch nicht einseitig vereinnahmbar ist.

Traditionell beargwöhnt der Datenschutz moderne Informations- und Kommunikationstechniken. Diese Techniken können von Organisationen zu leicht dafür eingesetzt werden, um Informationen auch über die funktionalen Trennungsgrenzen hinweg zur Informationsgewinnung für ihre speziellen Interessen zweckzuentfremden, was sich als eine konkrete Gefahr für den einzelnen Menschen auswirken kann. Etwa in der Mitte der 90er Jahre machte der staatlich institutionalisierte Datenschutz allerdings einen paradigmatischen Schwenk durch. Die ersten Erfahrungen mit dem Internet zeigten einerseits, dass sich bestimmte Bereiche der sozialen Realität dem Zugriff durch das Recht zu entziehen drohten, und andererseits, dass sich verbesserte Chancen abzeichneten, grundrechtliche Zusicherungen tatsächlich durchzusetzen. Progressive Datenschützer ließen sich deshalb zunehmend auf ein Spiel mit dem Teufel oder zumindest mit dem Feuer ein: Sie suchten nach technischen Lösungen, um Datenschutz in Technik zu gießen und ihn, in technischer Infrastruktur geronnen, durchzusetzen („Privacy Enhancing Technologies“, PET). Die Aufgabe der datenschutzgerechten Gestaltung von Technik besteht darin, dass die Datenverarbeitung, ihrerseits technisch gestützt!, geplant, kontrolliert, transparent und sicher geschieht und sich dadurch auf der inhaltlichen Ebene Kommunikationen unter Bedingungen stellen lassen. Daher stellt sich die Frage, ob oder wie die in den letzten zehn Jahren entwickelten PETs helfen können, die oben genannten Probleme zu lösen. Wir kommen gleich auf diese Frage zurück.

Konzen­tra­toren für die Verwaltung, unique users für die Wirtschaft

Die durch die Verwaltungsmodernisierung derzeit anstehende Bündelung von Kommunikationsströmen und Datenbeständen für natürliche und juristische Personen durch Bürgerportale und Einheitliche Ansprechpartner sowie durch die Nachrichtenbroker der E-Government-Gateways in den Rechenzentren der Verwaltungen sind aus Datenschutzsicht hochproblematisch, weil diese die oben angesprochenen konstitutiven Funktionstrennungen des modernen Rechtsstaates operativ, in der Zuspitzung auf Personen, unterlaufen. Sie machen das wahr, was die von den Datenschützern seit je her bekämpf te Personenkennziffer, die zu bekämpfen in rein technischer Hinsicht allerdings sinnlos[9] ist und die spätestens mit der SteuerID als real eingeführt gelten darf, als Katastrophe nur in Aussicht stellte: Die Portale und zentralen Nachrichtenbroker machen die Daten der verschiedenen Kormnunikationsbeziehungen des einzelnen Bürgers, Kunden, Patienten und Menschen ganz real, an nur wenigen Zugriffspunkten konzentriert, technisch leicht zugänglich.[10] Sie agieren als zentrale Verkettungsinstanzen direkt an den einzelnen Personen.[11] Bürgerportale müssen beispielsweise die E-Mails der Bürger auf ihren Servern bereits ver- und entschlüsseln oder signieren, um das Komfortversprechen einzulösen, dass sich niemand mit den als kompliziert geltenden, aber unerlässlichen Sicherheitssverfahren beschäftigen muss. Damit sind diese Daten dem Zugriff und etwaigen Manipulationen oder Fehlfunktionen der Portalbetreiber sowie externen Angriffen ausgesetzt.

Neben diesen aktuellen Projekten und Entwicklungen aus dem Bereich des EGovernments muss man noch einen weiteren Akteur aus der Wirtschaft betrachen, der insbesondere die Aktivitäten der Internetnutzer im Netz beobachtet: Google Analytics. Mit Hilfe von Google Analytics lassen sich in vielen Fällen bereits Server und Organisationen übergreifend sogenannte „unique users” generieren. Unique users sind Profile von Netznutzern, von denen der Beobachter, sprich ein Betreiber der Google-Analytics-Technologie, vieles genau weiß, mit Ausnahme vielleicht nur noch des Namens und der Straße, in der dieser User wohnt. Der Betreiber von Google Analytics kennt den charakteristischen Klickstream des unique users und weiß, welche Links und Server, also: Themen, dieser derart beobachtete User typischerweise anklickt. Zusätzlich kann er einen User über den typischen Zeitpunkt der Netznutzung und den verwendeten IP-, Adresspool der Internet-Provider recht eng geolokalisieren. Und falls ein Zugriff auf die weltweit einzigartigen MAC-Adressen oder Timing-Eigenschaften eines PCs besteht, so kann der PC des Users sogar eineindeutig identifiziert werden.[12] Je mehr Daten von einem Web-Nutzer derartig organisiert gesammelt werden können, desto konturierter wird das Profil eines unique users. Und wenn ein unique user sich an irgendeiner Stelle authentisiert – beispielsweise bei Google Mail oder anlässlich einer Bestellung bei einem Betreiber, der von Google Analytics zugänglich ist –, so verfügt Google anschließend sogar über die Zuordnung des unique-user-Profils zu einer konkreten Person. Über diese Person weiß Google, bei denen die mit Google Analytics gewonnenen Daten zentral gespeichert und ausgewertet werden, dann möglicherweise sehr viel, weil schon über Jahre Informationen in einem unique-user-Profil zusammengetragen wurden. Und die Verwendung des Google-Browser Chrome wird die Beobachtung der Nutzer sicher noch um vieles vereinfachen. Also, selbst wenn ein Nutzer nach dem datenschutzrechtlich ersten Sündenfall einer Authentisierung weiterhin das Web nur passiv lesend benutzt, kann er über die Charakteristik seines Schlenderns im Web, je länger es anhält, als immer wahrscheinlicher werdendes Profil genau dieses Nutzers identifiziert werden. Er ist somit nicht (nur) auf der Ebene von IP-Adressen, sondern anhand seiner inhaltlichen Nutzung des Internet mit hoher Wahrscheinlichkeit identifizierbar.

Was kann getan werden?

Es ist auf zwei wichtige Entwicklungen im Rahmen der PET hinzuweisen. Zum einen auf Anonymisierungstechniken, zum anderen auf „nutzerkontrolliertes Identitätsmanagement”.Das Ziel der Anonymisierung besteht darin, dass weder ein Betreiber eines Webservers noch ein Internet-Zugangsprovider erkennen kann, wohin ein Nutzer surft oder für welche Themen sich der Nutzer interessiert. Bei den ambitionierten Anonymisierungstechnilcen ist zudem das Problem gelöst, auch vor den Betreibern des Anonymisierungsservice geschützt zu sein. Die konzeptionelle Kernidee der Anonymisierung im Irternet besteht darin, internetgestützte Kommunikationsbeziehungen in einer möglichst großen Anonymitätsgruppe, die von den Nutzern eines Anonymitätsdienstes gebildet wird, verschwinden zu lassen. Dadurch kann auch ein technisch sehr gut ausgestatteter Beobachter im Internet keine Ereignisse auf Seiten eines Nutzers und Ereignisse auf Seiten der technischen Systeme, wie etwa Webserver, in eine kausal zweifelsfreie Beziehung setzen.[13] Grundsätzlich sollte aus Sicht des Datenschutzes jede Nutzung des Internet von Vornherein anonym erfolgen.[14] Erst bei bestimmten Kommunikationen, die eine Authentifizierung nötig machen, etwa in der Kommunikation von Bürgern und Kunden mit Behörden und Unternehmen, muss dann eine Authentifizierung der Kommunikationspartner erfolgen. Aber selbst eine Identifikation einer Eigenschaft einer Person, ob sie volljährig ist oder über einen Führerschein verfügt oder krankenversichert ist, muss nicht zwangsläufig zur Preisgabe des Namens und weiterer Daten einer bestimmten Person führen. Sehr viele Kommunikationen lassen sich auch unter Pseudonym bzw. mit „anonymen Credentials” abwickeln.[15]

Nutzerkontrolliertes Identitätsmanagement [16] soll Nutzern helfen, im Hintergrund verschiedene Pseudonyme für verschiedene Kommunikationsituationen und Transaktionen zu verwenden.[17] Der Zweck des Pseudonymmanagements besteht zum einen darin, dass Organisationen Daten nicht auf Personen zurechnen können, wenn eine Person sich nur informieren möchte und die Zuordnung zur Person deshalb funktional nicht notwendig ist. Wichtiger aber ist die Eigenschaft von Pseudonymen zu verhindern, dass Organisationen unterschiedliche Ereignisse miteinander über den gleichen Namen oder das gleiche Pseudonym verketten können. Dafür ist es notwendig, dass für jede Kommunikation oder Transaktion ein anderes Pseudonym genutzt werden kann. Pseudonyme für das alltägliche Handling mit Organisationen muss man grundsätzlich, zu vernachlässigbaren Kosten und unter ausschließlicher Verfügungsgewalt des Nutzers, nach Belieben generieren und wegwerfen können.[18] Das anlassbezogene Auffieben der Anonymität einer Person oder die Herausgabe der Zuordnungsregel eines Pseudonyms zu einer konkreten Person darf nur unter rechtstaatlichen Bedingungen, bspw, durch Freigabe eines Richters, erfolgen. Ganz anders sieht es der aktuelle Gesetzentwurf zum Betrieb von Bürgerportalen vor: Hier soll ein Portalbetreiber selber darüber entscheiden, ob es auf Anfrage gerechtfertigt ist, ein Pseudonym aufzudecken. Dabei ist schon die Tatsache inakzeptabel, dass für den Portalbetreiber die Pseudonyme ihre Nutzer auf deckbar sein sollen. Und das ist nur ein Indikator für die sicherheitstechnisch und datenschutzrechtlich inakzeptablen Bestimmungen dieses Entwurfs.[19]

Allerdings: Die Anonymisierung im Internet, die derzeit weitgehend darauf beruht, dass Nutzer unter einer einzigen, massenhaft genutzten IP-Adresse erscheinen, müsste um weitere Vorkehrungen ergänzt werden, die die Profilbildung von unique user auf der Anwendungsebene der Internetnutzung zumindest erschwert. So könnte der Browser im Hintergrund bspw, zufällige Seiten aufrufen, dann zufällige Links verfolgen, um so die Klickcharakteristiken der Nutzer zu nivellieren. Der Aufwand ist allerdings absehbar beträchtlich.

Generell gilt zudem: Wer über das Internet nach dem aktuellen Stand der Technik sicher kommunizieren möchte, muss grundsätzlich Sicherheit herstellende Programme auf dem eigenen PC, im eigenen Verfügungsbereich, installieren.[20] Dies ist zum Beispiel zunehmend häufiger bei Rechtsanwälten und Notaren der Fall, die das elektronische Gerichts- und Verwaltungs-Postfach (EGVP) von Gerichten benutzen wollen oder zunehmend häufiger auch müssen.[21] Diese nutzen zum Transport von Daten die Sicherheits-Technik OSCI-Transport, die nach Stand der Technik als sicheres und revisionsfähiges Protokoll gilt und von Behörden zum Datentransfer untereinander eingesetzt wird. In dieser Form können, mit Hilfe eines angeschlossenen Kartenlesers und einer Chipkarte, auf einem sicheren technischen Niveau elektronische Unterschriften geleistet und Dateien auf eine Weise sicher verschlüsselt werden, die wirklich erst der vom Sender adressierte Empfänger wieder entschlüsseln kann.

Anstelle eines obskuren Bürgerportals sollte ein Projekt aufgesetzt werden, das Bürger in die Lage versetzt, derartige Programme, die konzeptionell auf Sicherheit getrimmt sind, auf dem eigenen Privat-PC zu installieren, um sicher und rechtskräftig kommunizieren zu können. Es bedarf der Entwicklung einer wirklich funktionierenden Technik, die auch dann angeboten wird, wenn die Nachfrage stockt, allein damit über-, haupt die Chance auf einen Migrationspfad entsteht, so dass zukünftig die bessere Technik, die sicherheitstechnisch tatsächlich hält, was sie verspricht, vermehrt eingesetzt werden kann. Auch das zählt zur Infrastrukturverantwortung eines Staates. Andernfalls breitet sich schlechte Technik aus Mangel an Alternativen mit der normativen Kraft des Faktischen aus.

Und auch der EAP ließe sich intelligenter datenschutzkonform einsetzen. Hier besteht die Kernidee darin, dass der EAP den Beantragungsprozess über sämtliche Verwaltungen hinweg als Gesamtworkflow modellierte, diesen Workflow dann in seiner technischen Beschreibung, etwa in OWL oder BPEL[22] formulierte und auf den PC des Antragstellers übertrüge. Fortan kann die Kommunikation zwischen dem Antragsteller und den Verwaltungen direkt, auf der Basis von OSCI-Transport oder einem europäischen Pendant, geschehen. Der EAP verfügt zwar über eine ganze Reihe an personenbezogenen Daten und würde auch den Workflow überwachen, so wie es die EU-Dienstleistungsrichtlinie fordert[23], muss deshalb aber keinen Einblick in die Inhalte der Kommunikation zwischen Antragstellern und Behörden nehmen.[24] Controlling und Operating wären tatsächlich, gemäß reiner Lehre, weitestgehend auseinander gezogen.

Und zuletzt: Die technischen Systeme der Organisationen, insbesondere der Verwaltungen, müssen so entworfen, konfiguriert und betrieben werden, dass jederzeit Transparenz darüber hergestellt werden kann, für welchen Zweck ein System betrieben wird, welche Funktionen und welche Sicherheitslevel dem Nutzer zugesichert werden, was das System aktuell mit den Daten getan hat oder was das System in der Vergangenheit mit Daten tat. Dafür müssen die Systeme schon von vornherein konzeptionell so ausgelegt werden, dass sie derart automatisiert prüffähig sind[25] Solche Prüfungen müssen im Prinzip von den Nutzern selbst und zumindest durch Experten anhand interner und externer Audits vorgenommen werden können. Aber vor allem müssen unabhängige und sanktionsfähige externe Aufsichtsinstanzen diese Prüfungen, ihrerseits durch Maschinen unterstützt, vornehmen. Andernfalls wird es unter den industrialisierten Verhältnissen der europaweit zusammenarbeitenden Verwaltungen schlicht unmöglich, Betroffenen zu ihrem Recht auf informationelle Selbstbestimmung zu verhelfen.

Ein progressiver Datenschutz zielte nicht nur auf das Bewahren der vorhandenen, sondern auf die Ausweitung der Funktionstrennungen noch bis in die Organisationen selbst hinein, wie es beispielsweise das „Sozialgeheimnis” für staatliche Leistungserbringer fordert (vgl. SGB I, §35), das allerdings derzeit in keinster Weise tatsächlich berücksichtigt wird. Dazu müsste der Datenschutz allerdings über eine Theorie verfügen, die ihn besser als bislang verstehen ließe, welche gesellschaftliche oder vielleicht genauer formuliert: welche kommunikationsökologische Funktion er mit der Beobachtung des auf den einzelnen Menschen zielenden Rechts auf informationelle Selbstbestimmung erfüllt.[26]

[1] Es gibt allerdings schon einige entgegenstehende Ansätze, wenn bspw. Krankenversicherungen mit der Bepreisung ihrer Leistungen anfangen zu bestimmen, wie aus ihrer Sicht eine gesunde Lebensgestaltung auszusehen hat oder genetische Dispositionen die Lebensgestaltung des Einzelnen ein-schränken (vgl. Stockter, Ulrich, 2008: Das Verbot genetischer Diskriminierung und das Recht auf Achtung der Individualität, Duncker & Humblot).
[2] Bislang ist deutschlandweit das Meldewesen das einzige weitgehend durchdigitalisierte Verwaltungsverfahren. An diesem Pionierprojekt wollte man in Deutschland die Standardisierung und Automation von Verwaltung lernen. So sind seit 1.1,2007 knapp 5200 deutschen Meldebehörden gesetzlich verpflichtet, Meldedatensätze ausschließlich elektronisch zu bearbeiten und zu übertragen. Dies verlangte viele Anderungen und Angleichungen im Melderecht der Bundesländer sowie die Entwicklung eines Standards zur technischen Darstellung („OSCI-XMeld“) und zum sicheren und revisionsfesten Transport („OSCI-Transport“) von Daten, damit diese auch über das unsichere Internet verschickt werden können.Vgl. OSCI-Leitstelle, auch zur Geschichte des Entstehens des „Online Services Computer Interface”: httpa/wwwl.osci.de/sixcros/detail.php?id=1181.
[3] Konzept: Deutschland-Online-Projektbericht „Blaupause” (Stand: 05.09.08): httpa/www.deutschland-online.de/DOL_Internet/broker. Technikempfehlungen: von Lucke, Jörn; Eckert, Klaus Peter; Breitenstrom, Christian, 2008: IT-Umsetzung der EU Dienstleistungsrichtlinie, Gestaltungsoptionen, Rahmenarchitektur, technischer Lösungsvorschlag – Fraunhofer-Institut für Offene Kormnunikationssysteme, Version 2.0, 5. August 2008.
[4] Zur freundlichen Zielstellung des Aufbaus eines Bürgerportals: httpa/www.bundesregierung.de/ Content/DElMagazine/MagazinSozialesFamilieBildung/0641t6 mit-buergerportalen-fuer-sichereund-verbindliche-elektronische-kommunikation.html; Gesetzentwurf sowie Debatte des Entwurfs: httpsa/www.ekonsultaton.de/buergerportalgesetz/index.php?page=viewcompiler_paragraph_items &id_view=14&menucontext=3&layoutfield=misc3; Erläuterungen zum Entwurf des Gesetzes zu Bürgerportalen:https a/www.ekonsultation.de/buergerportalgesetz/site/pictures/Erlaeuterungen_ Buergerportalgesetz.pdf; Vortragsfolien zum technischen Entwurf: http;//www.eco.de/dokumente/080716_ BP_Technische_Konzeption_v02.pdf.
[5] Das Bundesdatenschutzgesetz wurde noch unter dem Eindruck von Großrechnertechnologie in einigen wenigen Landesrechenzentren formuliert. Inzwischen stehen PCs auf jedem Schreibtisch, und die Rechnersysteme weiten sich ubiquitär, bis in die Körper der Menschen hinein, aus. Rechnet man dann noch die absehbare Entwicklung der Service-Oriented-Architectures ein, wonach nicht mehr im Vorhinein klar festlegbar ist, welche Daten mit welchem Prozess auf welcher Maschine verarbeitet werden, dann zeigt sich, dass das BDSG-Gutachten von 2001, und selbst die aktuellen
Novellierungsansätze zur Jahresmitte 2008 (vgl. https://www.datenschutzzentrum.de/vortraege/ 20080701-weichert-neuerungen-bdsg.html), in Teilen schon wieder als unzureichend gelten müssen.
[6]Und damit Infoimationen generieren: Information definiert als „a difference that makes a difference.” (Gregory Bateson).
[7] Vgl. Luhmann, Niklas, 1997: Die Gesellschaft der Gesellschaft, Frankfurt am Main: Suhrkamp.
[8] Appelle wie den des „Bürgers in Uniform” kennzeichnen, wie andere Appelle bspw. an den „Kunden als König”, den „Bürger als Souverän” oder den „Mensch als Individuum” das latente Problem, kaum die Lösung.
[9] GeburtsortGeburtszeitNachnameVorname ist, derart zusammengeschrieben, operativ eine eindeutige Personenkennziffer. Sie wird real, mit Lehrzeichen dazwischen, von Organisationen nicht anders eingesetzt.
[10] Die Provider der Bürgerportale sind technisch bereits perfekt vorbereitet, um auf diese Daten zu-zugreifen, nämlich über die Leitungen, über die auch die gespeicherten Vorratsdaten zugänglich sind oder sein werden.
[11] Der Begriff „Verkettung” schält sich als attraktiver Begriff einer sich langsam abzeichnenden Technik, Recht und Organisation übergreifenden allgemeinen Theorie des Datenschutzes heraus, vgl. Hansen, Marit/ Meissner, Sebastian, 2008 „Verkettung digitaler ldentitäten”. https:!/www.datenschutzzentrum.de/projekte/verkettung/2007-uld-tud-verkettung-digitaleridentitaeten – bmb £p df.
[12] Was im Rahmen eines Digital Rights Managements oder bei Trustet Platform Moduls wiederum gewünschte Eigenschaften sein könnten. Zur Zweischneidigkeit vgl. Hansen, Markus: „Über die Auswirkungen von Trusted Computing auf die Privatsphäre.” https://www.datenschutzzentrum.de/ allgemein/trusted_computing.htm.
[13] Siehe die Auflistung konzeptionell vertrauenswürdiger Anon-Platformen: httpa/hp.kairaven.de/ bigb /asurf.html.
[14 ]Genau so, wie Menschen, die einen Bürgersteig benutzen möchten, sich nicht zuvor erst ausweisen müssen. Die Nutzung von Straßen mit einem Auto ist dagegen eine Anwendung einer Pseudonymisierung, wobei die Aufdeckung des Halternamens streng der Polizei vorbehalten ist.
[15] Vgl. das Idemix-Konzept, http://www.zurich.ibm.com/security/idemix/.
[16] Hansen, Marit; Berlich, Peter; Camenisch, Jan; Clauß, Sebastian; Pfitzmann, Andreas; Waidner, Michael, 2004: Privacy-Enhancing Identity Management; Information Security Technical Report (ISTR) Vol. 9, No. 1 (2004); Elsevier Ltd, Cambridge (UK); 35-44; httpa/dx.doi.orgl10.10161 S 1363-4127(04)00014-7.
[17] Vgl. das EU-Projekt PRIME zu nutzerkontrolliertem Identitätsmanagement: https:/lwww.primeproject.eul.
[18] Pfitzmann, Andreas; Hansen, Marit: Anonymity, Unlinkability, Undetectability, Unobservability, Pseudonymity, and Identity Management – A Consolidated Proposal for Terminology; http://dud. in£tu-dresden.de/ Anon_Terminology.shtml.
[19] Und wenn das Bürgerportal etabliert ist, muss man damit rechnen, dass ein faktischer Anschluss-zwang für Bürger und Kunden entstehen wird, allein weil Verwaltungen und Unternehmen diesen konstengünstigeren Weg als Standard nutzen und dafür den sichereren Papierweg teurer machen werden.
[20 ]„Cloud Computing” ist der absehbar nächste, strukturell folgenschwere Angriff auf die Privatssphäre, wenn nicht nur Dateien anstatt auf der eigenen Festplatte auf irgendwelchen Servern gespeichert sind, sondern Programme genutzt werden, die anstatt auf einem Privat-PC irgendwo draußen im Netz installiert sind. Der Nutzer hat dann noch weniger Kontrolle als derzeit darüber, was mit seinen Daten und den Verarbeitungsprozessen dieser Daten geschieht.
[21] Vgl. http://www.egvp.de/.
[22] OWL (Web Ontology Language) und BPEL (Business Process Execution Language) bieten formale Semantiken, mit denen sich organisatorische Ereignisse steuern lassen.
58 vorgänge Heft 4/2008, S. 48-58
[23] Richtlinie 2006/123/EG des Europäischen Parlaments und des Rates vom 12. Dezember 2006 über Dienstleistungen im Binnenmarkt: http://eur-lex.europa.eu/LexUriServ/site/de/oj/2006/1_376/ 1_37620061227de00360068.pdf.
[24] Rost, Martin, 2008: Das etwas andere Modell vom Einheitlichen Ansprechpartner (EAP), in: Verwaltung und Management, 2008/ 04: 179f.
[25] Hier werden die Policies, mit denen WebServices gesteuert werden, eine entscheidende Rolle spielen. Diese Policies setzen rechtliche Anforderungen in technische Anweisungen um, bei denen dann gute Chancen bestehen, dass sich deren Korrektheit, bzw. die korrekte Beachtung bei der Nutzung, mit maschineller Unterstützung feststellen lassen.
[26] Ich danke M. Häuser, M. Kamp, Dr. K. Storf und W. Zimmermann für die kritische Diskussion der hier vorgestellten Thesen.

Der Beitrag Gegen große Feuer helfen große Gegenfeuer erschien zuerst auf Humanistische Union.