1. Patchwork

Vielfach sind es Krisen oder zumindest die Unzufriedenheit mit dem Status Quo, die zu Veränderungen führen. So war und ist es auch mit dem Datenschutz. Das weltweit erste Datenschutzgesetz wurde 1971 in Hessen verabschiedet. Es folgten andere Bundesländer, europäische und außereuropäische Staaten. Von einem einheitlichen Datenschutzrecht konnte dabei keine Rede sein. Es war schließlich der Europarat, der im Jahr 1981 mit der Konvention 108ⁱⁱⁱ einen ersten internationalen, verbindlichen Datenschutzmindeststandard formulierte. Die Europäische Union folgte diesem Ansatz mit 15jähriger Verspätung, nachdem immer deutlicher geworden war, dass die unterschiedlichen Datenschutzsysteme der Mitgliedstaaten den freien Datenverkehr auf dem gemeinsamen Markt behinderten.

Die EG-Datenschutzrichtlinie von 1995^iv bewirkte zwar, dass alle Mitgliedstaaten eigene Datenschutzgesetze bekamen, doch von einer echten Harmonisierung konnte keine Rede sein. Denn der durch die Richtlinie geschaffene Rahmen war von den Mitgliedstaaten sehr unterschiedlich ausgefüllt worden, so dass das Datenschutzrecht der Mitgliedstaaten weiterhin einen Flickenteppich bildete.

Besonders gravierend waren die Differenzen bei den Durchsetzungsmechanismen: Zwar waren in allen Mitgliedstaaten Datenschutzbehörden eingerichtet worden. Sie unterschieden sich jedoch erheblich im Hinblick auf ihre institutionelle Einbindung, ihre Befugnisse und den Grad ihrer Unabhängigkeit. Wiederholt beschäftigte sich der Europäische Gerichtshof mit fragwürdigen Bestimmungen des nationalen Datenschutzrechts.^v

Schließlich mangelte es an klaren und verbindlichen Regeln für die grenzüberschreitende Zusammenarbeit der Datenschutzaufsicht. Die gem. Art. 29 der Datenschutzrichtlinie eingerichtete Datenschutzgruppe („Artikel 29-Gruppe“), in der alle nationalen Datenschutzbehörden, der Europäische Datenschutzbeauftragte und – allerdings ohne Stimmrecht – die Europäische Kommission vertreten waren, hatte lediglich beratende Funktion. Verbindliche Entscheidungen waren nicht vorgesehen.

Global agierende Unternehmen nutzten das Datenschutzgefälle zwischen den Mitgliedstaaten in ihrem Sinne. Davon profitierten in besonderem Maß Irland und Luxemburg, in denen eine effektive Datenschutzaufsicht nicht stattfand. Die damit verbundene Verwässerung des EU-Datenschutzes wurde in den übrigen Mitgliedstaaten und von den europäischen Institutionen zunehmend kritisch gesehen.

Nicht nur hinsichtlich ihrer mangelnden Harmonisierungswirkung geriet die Datenschutzrichtlinie in die Kritik. Auch angesichts der stürmischen technischen Entwicklung drängte sich die Frage auf, ob eine Regelung aus dem Jahr 1995 den Anforderungen einer global vernetzten, ubiquitär verfügbaren und immer weitere Lebensbereiche durchdringenden Informationsverarbeitung gerecht zu werden vermochte. Immerhin wurde die formuliert, als das Internet und der Mobilfunk noch Nischentechnologien und viele andere – heute alltägliche – Techniken gänzlich unbekannt waren (etwa Biometrie, Cloud, künstliche Intelligenz).

2. Glücksfall Edward Snowden

Die Europäische Kommission erkannte die Zeichen der Zeit und begann im Jahr 2010 mit Konsultationen über die Fortschreibung des EU-Datenschutzrechts. Anfang 2012 legte sie ein umfassendes Reformpaket vor, dessen Kernstück die Datenschutz-Grundverordnung bildete. Die wichtigste Innovation bestand in der Wahl des Regelungsinstruments: Während die Richtlinie der Umsetzung durch die nationalen Gesetzgeber bedurfte, ist eine Verordnung ein unmittelbar in den Mitgliedstaaten anwendbares Gesetz.

Der Gegenwind gegen ein einheitliches, in allen Mitgliedstaaten direkt anwendbares Datenschutzrecht kam von vielen Seiten. Wie schon in den 1990er Jahren in den Beratungen der Datenschutzrichtlinie hielt sich die Begeisterung über ein weitgehend harmonisiertes europäisches Datenschutzrecht, das die Spielräume für nationale Nischen und Alleingänge reduzieren würde, bei den Regierungen der Mitgliedstaaten in Grenzen. In Deutschland wurde insbesondere das Ende des vermeintlich hohen deutschen Datenschutzniveaus beschworen, das sich jedoch bei näherem Hinsehen allzu oft als Schimäre erwies. Im Zuge des europäischen Gesetzgebungsverfahrens („Trilog“) setzten die Regierungen der Mitgliedstaaten schließlich etliche Öffnungsklauseln durch, die sich heute als Schwachstelle der DSGVO erweisen.

Der Widerstand von Wirtschaftsverbänden und Unternehmen richtete sich prinzipiell gegen schärfere Regelungen. Er speiste sich auch aus der Wahrnehmung, dass digitale Geschäftsmodelle in den USA wegen nicht vorhandener gesetzlicher Beschränkungen erfolgreicher waren als in Europa. Schließlich kämpften Vertreter der US-Wirtschaft und der US-Regierung gegen jede Verschärfung des EU-Datenschutzrechts, welche die Geschäftsinteressen der auch auf dem europäischen Markt dominierenden IT-Unternehmen der „GAFAM“-Gruppe (Google, Amazon, Facebook, Apple, Microsoft) behindern könnte.

Der von US-Seite ausgeübte erhebliche Druck auf den europäischen Gesetzgeber blieb nicht ohne Folgen. Anders als beabsichtigt verfestigte er jedoch den (zutreffenden) Eindruck, hier ginge es primär um die Sicherung ihrer datengetriebenen Geschäftsmodelle zu Lasten der EU-Bürgerinnen und Bürger und der europäischen Wirtschaft.

Das weit verbreitete Gefühl der digitalen Abhängigkeit Europas verstärkte sich mit der Aufdeckung globaler Überwachungsaktivitäten durch den Whistleblower Edward Snowden. Es war nicht mehr zu leugnen, dass die US-Geheimdienste die marktbeherrschende Stellung der amerikanischen Digitalunternehmen für ihre Aktivitäten, für ihre auf globale Kontrolle ausgerichteten Überwachungsprogramme nutzten. Vieles spricht dafür, dass die symbiotische Beziehung zwischen Sicherheitsbehörden und Unternehmen mit Wissen und Duldung durch deren Top-Management etabliert wurde, auch wenn die Unternehmen die Geheimdienstaktivitäten sicherlich nicht im Detail kannten.^vi Die Aufdeckung dieses Beziehungsgeflechts wirkte als Katalysator des Gesetzgebungsprozesses zur DSGVO. Edward Snowdens Enthüllungen haben ohne Zweifel dazu beigetragen, dass der ambitionierte Regulierungsansatz schließlich auch von den meisten Europapolitikern befürwortet wurde, die ihm zunächst skeptisch gegenübergestanden hatten.

3. Datenschutz ist Grund­rechts­schutz

In vielen Ländern – darunter die USA und die asiatischen Staaten – wird Datenschutz (jedenfalls im Hinblick auf den nicht-öffentlichen Bereich) als Gegenstand privatrechtlicher Aushandlungen gesehen. Ein entscheidendes Manko auch der Datenschutzrichtlinie von 1995 bestand darin, dass es sich bei ihr in erster Linie um ein Instrument der Marktregulierung handelte, mit dem der freie Datenverkehr im europäischen Binnenmarkt sichergestellt werden sollte.^vii Mit der Weiterentwicklung der Europäischen Gemeinschaft zu einer politischen Union stellte sich die Frage nach europäischen Grundrechten, die kurz nach der Jahrtausendwende in der EU-Grundrechtecharta festgeschrieben wurden. Art. 7 der Charta verlangt – wie zuvor schon Art. 8 der Europäischen Menschenrechtskonvention^viii – die Achtung des Privat – und Familienlebens. Art. 8 EUGrCh garantiert den Schutz personenbezogener Daten und schreibt eine unabhängige Datenschutzaufsicht vor. Zudem hatte die Rechtsprechung in den Mitgliedsstaaten seit den 1980er Jahren dem Datenschutz als Grundrecht der Informationsgesellschaft einen höheren Stellenwert einzuräumen begonnen – zu nennen ist hier besonders das „Volkszählungsurteil“ des Bundesverfassungsgerichts von 1983^ix.

Durch den Vertrag von Lissabon^x wurde die Grundrechtecharta zum anwendbaren Recht in der gesamten EU aufgewertet. Mit der Charta war eine echte EU-weite Datenschutzgesetzgebung geboten, weil nur so ein angemessener Grundrechtsschutz sichergestellt werden konnte.

4. Die ersten 2½ Jahre

Angesichts des teils gravierenden, mit der DSGVO verbundenen Anpassungsbedarfs des nationalen Rechts hatte der europäische Gesetzgeber den Mitgliedstaaten und den Rechtsanwendern eine zweijährige Übergangsfrist eingeräumt. Die am 25. Mai 2016 im EU-Amtsblatt veröffentlichte DSGVO wurde erst am 25. Mai 2018 vollständig wirksam. Trotzdem wurden die notwendigen Anpassungs- und Umsetzungsarbeiten bis heute nicht abgeschlossen. Aber selbst dort, wo der nationale Gesetzgeber tätig geworden ist, bestehen weiterhin viele Probleme. Dies gilt etwa für nationale Regelungen zur Videoüberwachung, zur Verarbeitung biometrischer Daten oder für die Datenverarbeitung zu Forschungszwecken. Als Problem erweist sich auch, dass die Mitgliedstaaten die ihnen durch die DSGVO eingeräumten Regelungsspielräume beim Beschäftigtendatenschutz und beim Austarieren des Datenschutzes mit der Informations- und Meinungsfreiheit sehr unterschiedlich gefüllt haben.

Auch die Unternehmen waren vielfach nicht hinreichend auf die DSGVO vorbereitet. So ergab eine im Dezember 2017 veröffentlichte Umfrage, dass mehr als der Hälfte der deutschen Unternehmen die DSGVO nicht bekannt war oder dass sie sich noch nicht mit ihr beschäftigt hätten.^xi Die Rechtsunsicherheiten waren und sind in Deutschland besonders ausgeprägt, weil das hiesige Datenschutzrecht maßgeblich durch Spezialregelungen geprägt ist und sich vielfach die Frage stellt, in welcher Beziehung die bereichsspezifischen Datenschutzvorschriften zu den Vorgaben der DSGVO stehen. Hinzu kommt die föderale Differenzierung des deutschen Datenschutzrechts, die in keinem anderen Mitgliedsland eine Entsprechung findet.

2018 setzte insbesondere in Deutschland eine teils aufgeregte öffentliche Diskussion darüber ein, was nun verboten und was erlaubt ist. Anstatt den Datenschutz als Chance zu begreifen und so das Vertrauen in digitale Prozesse in Staat und Wirtschaft zu stärken, wurde der Eindruck erzeugt, Datenschutz bedrohe den Wohlstand, verhindere sinnvolle IT-Projekte und erschwere das Leben von Vereinen und kleinen Unternehmen unverhältnismäßig. Die Wahrnehmung der DSGVO als „Innovationsbremse“ oder „Bürokratiemonster“ wurde verstärkt durch vielfach unbegründete Behauptungen und zweifelhafte Rechtsauslegungen. Eine bevorstehende „Abmahnwelle“^xii wurde beschworen. Es wurde in Frage gestellt, ob die namentliche Begrüßung als Erhebung personenbezogener Daten noch zulässig sei.^xiii Die Bild-Zeitung titelte auf ihrer Frontseite: „Datenschutz-Irrsinn: Unsere Klingelschilder sollen weg!“^xiv Inzwischen hat sich die Aufregung weitgehend gelegt. Kunden werden weiterhin namentlich begrüßt, kein Klingelschild wurde abmontiert und die beschworene Abmahnwelle ist ausgeblieben.^xv Zur Beruhigung hat sicherlich beigetragen, dass die Datenschutzbehörden in Deutschland und Europa eine Vielzahl von Auslegungs- und Orientierungshilfen zur DSGVO vorgelegt haben, um Unsicherheiten bei den Rechtsanwendern auszuräumen.^xvi

Inzwischen ist auch deutlich geworden, dass die Datenschutzbehörden nicht mehr dem Bild des „zahnlosen Tigers“ entsprechen. Sie haben seit dem Wirksamwerden der DSGVO hunderttausende Beschwerden bearbeitet und eine Vielzahl von Bußgeldern – einige davon in Millionenhöhe – gegen Verantwortliche für Datenschutzverstöße verhängt. Dass das Engagement und die Konfliktbereitschaft der nationalen Datenschutzbehörden recht unterschiedlich ausgeprägt sind, ist jedoch auch nicht zu übersehen. Während viele Datenschutzbehörden schwerwiegende Datenschutzverstöße mit hohen Bußgeldern geahndet haben, tun sich andere Datenschutzbehörden hier deutlich schwerer. So hat die irische Datenschutzbehörde bis Ende November 2020 nicht eine der vielen Tausend Beschwerden gegen US-amerikanische Internetunternehmen abschließend entschieden, die ihre Europazentralen in Irland haben (s. dazu den Beitrag von Caspar in diesem Heft).

5. Evaluation

Die Europäische Kommission ist verpflichtet, die Anwendung und Wirkungsweise der Verordnung laufend zu überprüfen und erforderlichenfalls Vorschläge zur Änderung und Weiterentwicklung vorzulegen. Die Evaluations- und Berichtspflicht soll verhindern, dass der neue Rechtsrahmen und die technische und soziale Realität auseinanderfallen. Im Rahmen des Konsultationsprozesses haben Wirtschaftsverbände, Datenschutz- und Verbraucherschutzorganisationen sowie Wissenschaftler^xvii Bewertungen der Erfahrungen mit der DSGVO vorgenommen. Auch wenn die Stellungnahmen erwartungsgemäß widersprüchliche Bewertungen einzelner Vorschriften enthielten, sehe ich es als positives Signal, dass die DSGVO grundsätzlich in keiner Stellungnahme in Frage gestellt wurde. Fast alle Teilnehmer des Konsultationsprozesses traten für eine verstärkte EU-weite Harmonisierung und eine bessere Zusammenarbeit der Datenschutzbehörden ein. Die Vielzahl der von den Regierungen der Mitgliedstaaten durchgesetzten Öffnungsklauseln in der DSGVO müsse reduziert werden. Das Regelungspatchwork des nationalen Rechts stehe im Widerspruch zur angestrebten EU-weiten Harmonisierung und beeinträchtige die Datenfreizügigkeit. Die Zusammenarbeit der Aufsichtsbehörden habe sich zwar deutlich verbessert, müsste aber noch effektiver gestaltet werden.

Wirtschaftsverbände und einige Mitgliedstaaten forderten unter der Überschrift „Bürokratieabbau“ weitere Erleichterungen für kleinere und mittlere Unternehmen, speziell im Hinblick auf die Reduktion von Dokumentations- und Meldepflichten. Dagegen konzentrierten sich Datenschutz- und Verbraucherschutzverbände auf Verbesserungen bei den Betroffenenrechten, speziell beim Profiling und automatisierte Entscheidungen. Systeme, welche für den einzelnen Menschen oder für die Gesellschaft wichtige Entscheidungen treffen oder solche vorbereiten, müssten konsequenter reguliert werden, speziell im Hinblick auf den Einsatz von „Künstlicher Intelligenz“ (KI). Daten- und Verbraucherschützer forderten zudem, Hersteller von Hard- und Software datenschutzrechtlich in die Verantwortung zu nehmen.

Der am 24. Juni 2020 veröffentliche erste Bericht der EU-Kommission^xviii zog ein positives Fazit und verzichtet auf den Vorschlag konkreter Änderungen des Verordnungstextes. Die DSGVO habe die meisten ihrer Ziele erreicht. Bei der Unterstützung digitaler Lösungen in unvorhersehbaren Situationen wie der COVID-19-Krise habe sich die DSGVO als flexibel erwiesen. Ferner hätten die Unternehmen eine Compliance-Kultur entwickelt und sähen einen starken Datenschutz immer häufiger als Wettbewerbsvorteil.

Aus Sicht von Datenschützern hat die Kommission die Gelegenheit verpasst, mit neuen Vorschlägen erkennbare Fehlentwicklungen zu korrigieren.^xix Unübersehbar bestünden nach zwei Jahren Erfahrung weiterhin massive aufsichtsbehördliche „Ladehemmungen“ bei der Kontrolle der grenzüberschreitenden Datenverarbeitung. Gerade gegenüber global agierenden großen Internetdiensten und Plattformen, deren Nutzer die DSGVO effektiver schützen sollte, hätte sich die DSGVO bislang als stumpfes Schwert erwiesen (s. dazu den Beitrag von Caspar in diesem Heft).

6. Daten­schutz-­Grund­ver­ord­nung als weltweites Referenz­mo­dell

Trotz mancher Unzulänglichkeiten der DSGVO orientieren sich immer mehr Staaten bei der Regulierung des Umgangs mit personenbezogenen Daten an diesem Regelungswerk. Zu nennen sind beispielsweise die neuen bzw. geänderten Datenschutzgesetze von Brasilien, Thailand, Japan^xx, Singapur und Indien. Selbst in China wurden in verschiedenen Bereichen Regelungen in Kraft gesetzt, die der DSGVO in mancher Beziehung ähneln.^xxi

Der wichtigste Hebel für die Durchsetzung der europäischen Datenschutzanforderungen auf internationaler Ebene ist die schon in der Datenschutzrichtlinie von 1995 enthaltene Anforderung, dass personenbezogene Daten in Staaten außerhalb der Europäischen Union nur übermittelt werden dürfen, wenn beim Empfänger ein angemessener Datenschutz gewährleistet wird. Dafür sieht die DSGVO verschiedene Instrumente vor, speziell einen „Angemessenheitsbeschluss“ der Europäischen Kommission, genehmigte Standarddatenschutzklauseln und verbindliche Unternehmensregelungen (Binding Corporate Rules).

Im Regelfall beziehen sich Angemessenheitsbeschlüsse auf ein Land. Allerdings ist es auch möglich, die Angemessenheit des Datenschutzes für bestimmte Regionen oder Sektoren festzustellen. Solche partiell wirksamen Angemessenheitsbeschlüsse wurden etwa zwischen der EU und den Vereinigten Staaten vereinbart. Diese Beschlüsse annullierte jedoch der Europäische Gerichtshof.^xxii Sowohl das „Safe Harbor“-Abkommen aus dem Jahr 2001 als auch das Nachfolgeabkommen „Privacy Shield“ von 2016 scheiterten vor dem EuGH am unzureichenden Schutz personenbezogener Daten gegen einen Zugriff amerikanischer Sicherheitsbehörden. In beiden Urteilen ging es speziell um Datenübermittlungen zwischen Facebook Europa und dem amerikanischen Mutterunternehmen. Der EuGH hat nicht nur über die Beschwerden gegen konkrete Datentransfers entschieden, sondern auch über die zugrundeliegenden Abkommen. Das oberste EU-Gericht hielt die von der EU-Kommission bei der US-Regierung ausgehandelten rechtlichen Garantien nicht für ausreichend. Insbesondere sei es nicht hinzunehmen, dass EU-Bürgerinnen und -Bürger keinen effektiven Rechtsschutz gegen die Überwachungsmaßnahmen amerikanischer Behörden haben.

Die Gewichte in dem in den 1970er Jahren begonnenen Wettbewerb zwischen dem europäischen und dem amerikanischen Datenschutzmodell haben sich verschoben. Der US-Ansatz sah Datenschutz primär als Gegenstand eines Aushandlungsprozesses auf dem Markt. Dementsprechend verzichtete er weitgehend auf eine Regulierung der Datenverarbeitung im privatwirtschaftlichen Sektor. Dagegen setzte Europa frühzeitig auf gesetzliche Regelungen und unabhängige Datenschutzaufsicht.

Inzwischen ist nicht mehr zu übersehen, dass sich die DSGVO zu dem internationalen Referenzmodell entwickelt, an dem sich die Datenschutzgesetze weltweit orientieren. Mit der gegenseitigen Anerkennung der jeweiligen Datenschutzbestimmungen als „angemessen“ durch die Europäische Kommission^xxiii und die japanische Regierung ist der weltweit größte Datenraum entstanden, in dem personenbezogene Daten unter Wahrung eines hohen Datenschutzniveaus verarbeitet werden.

Die Wirkungen der DSGVO haben längst auch die Vereinigten Staaten selbst erreicht. So greift der kalifornische Consumer Privacy Act (CCPA) wichtige Elemente des EU-Datenschutzrechts auf. Mit dem erfolgreichen, zeitgleich mit der US-Präsidentschaftswahl am 3. November 2020 durchgeführten Referendum („Proposition 24“) wurden u.a. eine kalifornische Datenschutzbehörde eingeführt und die Betroffenenrechte gestärkt.^xxiv Auch andere US-Bundesstaaten haben inzwischen eigene Datenschutzgesetze. Dem US-Kongress liegen mehrere Entwürfe für US-Bundesgesetze zum Datenschutz vor bzw. werden gegenwärtig in ungewohnter Kooperation von demokratischen und republikanischen Mitgliedern des US-Senats und des Repräsentantenhauses erarbeitet.^xxv

Selbst die großen Internet-Konzerne haben ihren früheren Widerstand gegen DSGVO-ähnliche US-Gesetze aufgegeben und fordern mittlerweile ein US-Bundesgesetz zum Datenschutz in der Wirtschaft.^xxvi So hat Marc Zuckerberg vor dem US-Kongress und vor dem Europäischen Parlament die europäische Datenschutz-Grundverordnung als vorbildlich bezeichnet. Unabhängig von der Glaubwürdigkeit solcher Aussagen, die in der Folge des Cambridge Analytica-Skandals^xxvii gemacht wurden, ist unverkennbar, dass der Druck der Wirtschaft auf den US-Kongress zunimmt, ein Datenschutzgesetz zu erlassen, das ein der Grundverordnung entsprechendes Datenschutzniveau gewährleistet und eine unabhängige Datenschutzaufsicht vorsieht, aber zugleich die Datenschutzgesetzgebung in den Bundesstaaten deckelt.^xxviii

Trotz aller positiven Signale ist es heute immer noch alles andere als sicher, ob die DSGVO ihre eigentliche Bewährungsprobe besteht: Die Einhegung der mit der Digitalisierung verbundenen Überwachung und Manipulation und des darin zum Ausdruck kommenden Machtmissbrauchs. Trotz verbaler Zustimmung zur DSGVO sind die GAFAM-Unternehmen bis heute nicht bereit, ihre Geschäftsmodelle den Grundsätzen des europäischen Datenschutzrechts anzupassen. Die bereits während der Beratungen des Europäischen Parlaments zur DSGVO zu Höchstform aufgelaufenen Bemühungen von Lobbyisten, als geschäftsschädigend betrachtete EU-Datenschutzvorgaben zu verhindern, werden fortgesetzt. Sie konzentrieren sich derzeit auf die E-Privacy-Verordnung, die den Umgang mit personenbezogenen Daten durch Telekommunikations- und Internetdiensten EU-weit einheitlich regulieren soll.

Angesichts dessen ist zu wünschen, dass Europa sich nicht von dem eingeschlagenen Weg abbringen lässt und die dringend nötige Regulierung nicht nur im Hinblick auf den Datenschutz, sondern auch im Verbraucherschutz- und Kartellrecht weiter voranbringt. Neben der E-Privacy-Verordnung betrifft dies insbesondere Vorgaben für digitale Plattformen und zur Herstellung eines gemeinsamen europäischen Datenraums.

PETER Schaar Jahrgang 1954, ist gelernter Ökonom. Er war ab 1980 in der Verwaltung der Hansestadt Hamburg tätig und wechselte 1986 zum Hamburger Landesdatenschutzbeauftragten. 2003 wurde er auf Vorschlag der rot-grünen Bundesregierung vom Deutschen Bundestag zum fünften Bundesbeauftragten für Datenschutz gewählt. Seine Amtszeit endete am 16. Dezember 2013. Seit 2013 steht Schaar der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID) vor.

Anmerkungen:

Der Beitrag Datenschutz-Grundverordnung: der neue Goldstandard erschien zuerst auf Humanistische Union.

Lange Zeit wurden Verhandlungen um eine Reform und weitergehende Angleichung der europäischen Datenschutznormen von deutscher Seite mit dem Einwand entgegnet, dem stünde das höhere Datenschutzniveau hierzulande im Wege, das man nicht der Gemeinschaft zuliebe absenken wolle. Die Geschichte des Zustandekommens der Datenschutz-Grundverordnung sowie ihre Umsetzung in Deutschland sprechen jedoch eine andere Sprache: Peter Schaar schildert im folgenden Beitrag die Verhandlungen zur DSGVO, bei der sich deutsche Regierungsvertreter darum bemühten, den europäischen Standard möglichst niedrig zu definieren und mit vielen Öffnungsklauseln zu versehen, die nationale Abweichungen auch nach unten erlauben. Er stellt zudem die Grundzüge des mitterweile reformierten Bundesdatenschutzgesetzes vor, das die Verordnung in deutsches Datenschutzrecht umsetzt und zahlreiche Verschlechterungen gegenüber dem europäischen Referenzrahmen enthält.

„Wir brauchen […] endlich eine smarte Datenkultur vor allem für Unternehmen. Tatsächlich existiert in Deutschland aber ein Datenschutz wie im 18. Jahrhundert.“ Dieser Satz stammt nicht etwa von dem Vertreter einer der viel gescholtenen Datenkraken aus den USA, sondern von Dorothee Bär (CSU), der Staatsministerin „für Digitales“ der neu aufgelegten großen Koalition.[1] Was kennzeichnet die „smarte Datenkultur“, die hier gefordert wird? Ganz bestimmt nicht Datenvermeidung und Datensparsamkeit, also die Minimierung personenbezogener Daten, wie sie in § 3a des bisherigen Bundesdatenschutzgesetzes gefordert werden. An Stelle dieser „Datensparsamkeitsdiktatur“ soll die Digitalisierung dem Leitbild des „Datenreichtums“ und der „Datenvielfalt“ folgen.[2]

Wer geglaubt hatte, dass das Grundrecht auf informationelle Selbstbestimmung mehr als 30 Jahre nach dem Volkszählungsurteil des Bundesverfassungsgerichts[3] in Deutschland eine Selbstverständlichkeit sei, den haben die Diskussionen der letzten Jahre eines Schlechteren belehrt. Grundlegende Kritik an den angeblich überholten Vorstellungen des an Grundrechten orientierten Datenschutzes wurde insbesondere im Zusammenhang mit der Reform des Datenschutzrechts laut, deren Kernstück, die „Datenschutz-Grundverordnung“ der EU (DSGVO)[4], ab dem 25. Mai 2018 auch in Deutschland anwendbares Recht sein wird.

Auch die immer neuen Sicherheitsgesetze[5] mit ihrer Befugniserweiterung für staatliche Stellen belegen, dass der Datenschutz im Verhältnis zu anderen Rechtsgütern und Interessen vielfach als zweitrangig betrachtet wird und hinter anderen Gestaltungszielen zurückstehen müsse, etwa hinter dem vom ehemaligen Bundesinnenminister Friedrich vor fünf Jahren proklamierten „Supergrundrecht auf Sicherheit“.[6]

Europa geht voran

Anders als in vielen anderen Politikbereichen hat die Europäische Union beim Datenschutz ihre Handlungsfähigkeit bewiesen. Die mit dem Vertrag von Lissabon 2011[7] erfolgte Aufwertung der EU-Grundrechtecharta (EUGrCh) hat die datenschutzrechtliche Landschaft stark verändert. Art. 7 der Charta verlangt – wie schon Art. 8 der Europäischen Menschenrechtskonvention[8] – die Achtung des Privat- und Familienlebens, Art. 8 EUGrCh garantiert den Schutz personenbezogener Daten und schreibt eine unabhängige Datenschutzaufsicht vor.

Die Aufwertung des Datenschutzes durch die Grundrechtecharta hatte Konsequenzen auf unterschiedlichen Ebenen: So hat der Gerichtshof der Europäischen Union (EuGH) in verschiedenen Urteilen verdeutlicht, dass er sich – ebenso wie schon der Straßburger Gerichtshof für Menschenrechte – nun als Hüter der EU-Grundrechte auf Privatsphäre und Datenschutz versteht und sich nicht mehr auf die Rolle eines EU-Verwaltungsgerichtshofs beschränkt. Diese neue Rollenbestimmung des EuGH wurde besonders deutlich in den Urteilen zur Vorratsdatenspeicherung[9] und zu Safe Harbour[10] – eine angesichts der zunehmenden Bedeutung der Informationstechnologie und anschwellender transnationaler Datenströme uneingeschränkt positiv zu beurteilende Entwicklung.

Ohne den Vertrag von Lissabon wäre auch die im Mai 2016 im EU-Amtsblatt verkündete Datenschutzreform – bestehend aus einer Datenschutz-„Grundverordnung“ (DSGVO) und einer Datenschutzrichtlinie für Polizei und Justiz (DS-JIRL)[11] – kaum durchsetzbar gewesen. Die Datenschutz-Grundverordnung hatte den Trilog von Rat, Kommission und Europäischem Parlament vergleichsweise gut überstanden. Dazu beigetragen hat sicherlich auch der Umstand, dass nach den auf Edward Snowden zurückgehenden Erkenntnissen die globalen Überwachungsaktivitäten[12], maßgeblich ins Werk gesetzt von US-Nachrichtendiensten, aber mit tatkräftiger Unterstützung befreundeter Dienste (darunter auch des BND) nicht mehr ernsthaft bestritten werden konnten.

Gleichwohl darf nicht ausgeblendet werden, dass die EU-Datenschutzreform in mancherlei Hinsicht die erhoffte Stärkung des Datenschutzes nicht in vollem Umfang bringen wird. Dies gilt zum einen für Polizei und Justiz, denn hier legt die zeitgleich mit der DSGVO verkündete Richtlinie nur datenschutzrechtliche Mindeststandards fest. Die Richtlinie ermöglicht es den Mitgliedstaaten zwar, strengere nationale Bestimmungen zu erlassen. Andererseits werden die Zugriffsmöglichkeiten von Polizei- und Justizbehörden auf Daten, die in anderen Mitgliedstaaten gespeichert sind, weiter ausgebaut – auch von Behörden aus Staaten, in denen das nach der Rechtsprechung des Bundesverfassungsgerichts geforderte hohe Schutzniveau nicht garantiert ist.

Weiterhin gibt es keine europarechtlichen Beschränkungen für die Tätigkeit der Nachrichtendienste, sofern sie der „nationalen Sicherheit“ dient, denn dieser Bereich fällt nach dem Primärrecht der Europäischen Union weiterhin in die alleinige Verantwortung der Mitgliedstaaten.[14] Die Hoffnung, das EU-Recht würde der weltweiten geheimdienstlichen Überwachung zumindest in Europa wirksame Grenzen setzen, wird sich deshalb in absehbarer Zukunft nicht erfüllen.

Bremsen oder beschleu­ni­gen?

Welche Rolle hat Deutschland bei der EU-Datenschutzreform eingenommen? Eigentlich hätte man annehmen müssen, dass Deutschland – wie bereits beim Ringen um die Datenschutzrichtlinie von 1995 – erneut eine Vorreiterrolle einnehmen würde. Schließlich war das erste Datenschutzgesetz der Welt – das hessische – „Made in Germany“. Und auch sonst beriefen sich manche Politiker und Journalisten immer wieder auf das angeblich „hohe deutsche Datenschutzniveau“, das bewahrt werden müsse. Hier soll die Frage nicht vertieft werden, ob angesichts der vielfältigen, in den letzten zwei Jahrzehnten vorgenommenen Einschränkungen des Grundrechts auf informationelle Selbstbestimmung von einem besonders hohen deutschen Datenschutzniveau noch ernsthaft die Rede sein kann.

Auch der Blick auf den Werdegang der Datenschutzreform verstärkt den Eindruck, dass es sich beim Hohelied auf den guten deutschen Datenschutz vielfach eher um eine Floskel statt um innere Überzeugung handelt. Nachdem die Europäische Kommission im Januar 2012 nach mehrjährigen Vorarbeiten ihren Entwurf des Datenschutz-Reformpakets[14] auf den Tisch gelegt hatte, setzte ein erbittertes Ringen ein, bei dem über lange Zeit nicht einmal klar war, ob es überhaupt am Ende zu der beabsichtigten Reform kommen würde. Unternehmen und Wirtschaftsverbände liefen Sturm gegen die strengeren Regeln zur Verarbeitung personenbezogener Daten und insbesondere gegen die beabsichtigte Stärkung der Aufsichtsbehörden und die erheblich verschärften Sanktionen bei Datenschutzverstößen. Abgeordnete des EP berichteten darüber, dass große US-Unternehmen ganze Flugzeugladungen an Lobbyanwälten nach Brüssel in Bewegung setzten, um das drohende Unheil für ihre datengetriebenen Geschäftsmodelle abzuwenden. Auf der anderen Seite bemühten sich Datenschutzbehörden, Verbraucherschutz- und Datenschutzverbände und Bürgerrechtsorganisationen erfolgreich um den Aufbau von Gegenpositionen.

Die äußerst intensive Lobbyarbeit in Brüssel und in den Hauptstädten der EU-Mitgliedstaaten blieb nicht ohne Folgen. Eine Vielzahl der mehreren Tausend im Europäischen Parlament eingebrachten Änderungsanträge hatten eine Verwässerung der Kommissionsvorschläge zum Gegenstand. Das Europäische Parlament positionierte sich nach zähem Ringen mit erstaunlich klaren Mehrheiten für eine deutliche Verbesserung des Datenschutzes in der Union[15], nicht zuletzt aufgrund der zähen Arbeit des Berichterstatters Jan-Phillip Albrecht (Grüne) und der Schattenberichterstatter aus den anderen Parlamentsfraktionen, von denen viele aus Deutschland stammen oder zumindest – wie etwa der Berichterstatter zur JI-RL, der griechische Abgeordnete Dimitris Droutsas (S&D Fraktion) – umfassende Kenntnisse des deutschen Rechtssystems hatten. Zudem war es schon auffällig, dass auch maßgebliche Vertreter der Europäischen Kommission, die sich mit der Datenschutzmaterie beschäftigten, aus Deutschland stammen.

Deutlich schwieriger als im EP verlief die Debatte im Rat, der Vertretung der Regierungen der Mitgliedstaaten.[16] Niemanden konnte es verwundern, dass die britische Regierung sich sehr zurückhielt. Für viele Beobachter überraschend war es aber, dass auch die Bundesregierung lange Zeit nicht etwa zu den treibenden Kräften der Reform gehörte, sondern im Bremserhäuschen Platz genommen hatte. Während man einerseits in eher allgemeiner Form Zustimmung signalisiere, wurde bei den Fachdebatten soviel Sand ins Getriebe gestreut, dass der Reformprozess zu scheitern drohte.[17] Die deutsche Verhandlungsführung war dabei gekennzeichnet durch eine eigenartige Melange von fundamentalistischen und opportunistischen Positionen. So wurde beklagt, das Reformpaket der Kommission ginge nicht weit genug. Erforderlich wären vielmehr deutlich klarere, die Datenverarbeitung begrenzende Regelungen. Zum anderen setzten sich die Deutschen in den Gremien, speziell in der Dapix-AG des Rats, dafür ein, statt der vorgeschlagenen, in sämtlichen Mitgliedstaaten direkt anwendbaren Verordnung eine neue Datenschutz-Richtlinie zu beschließen, deren Umsetzung durch nationales Recht erfolgen müsste. Damit wollten die Regierungsvertreter den Änderungsbedarf am deutschen Recht möglichst klein halten. Zugleich bekämpften sie ausdauernd Regelungen, die als „Hindernis“ für die Wirtschaft angesehen wurden, (etwa Vorgaben zur strikten Zweckbindung), obwohl sie dem bisherigen deutschen Datenschutzrecht entsprachen. Besonders erbittert war das Bemühen der Bundesregierung, die öffentlichen Stellen generell von der Verordnung auszunehmen. Erst in der Endphase der Verhandlungen im Rat gab der seinerzeitige Bundesinnenminister de Maizière den grundsätzlichen Widerstand gegen die Verordnung auf, als klar geworden war, dass Deutschland und Großbritannien (anders als offenbar erwartet) für ihre Position kaum Verbündete in den anderen Mitgliedsstaaten gefunden hatten.

Wesentliche Elemente des Reformpakets, die während des mehr als vierjährigen Verhandlungsmarathons immer wieder in Frage gestellt worden waren, blieben bei der im April 2016 vom EP gebilligten Datenschutzreform erhalten oder wurden sogar gegenüber dem Anfang 2012 vorgelegten Entwurfstext[18] stärker akzentuiert. Dies gilt etwa für die Ausdehnung des Anwendungsbereichs auf Anbieter elektronischer Dienste mit Sitz in einem Drittland („Marktortprinzip“) oder die sehr deutliche Verschärfung der Sanktionen bei Datenschutzverstößen.

Auf den Rat ist es allerdings zurückzuführen, dass die beschlossene Datenschutzgrundverordnung viele – je nach Zählart bis zu 70 – Klauseln enthält, die den nationalen Gesetzgebern Regelungskompetenzen belassen. Zwar beharrt die Europäische Kommission darauf, dass es sich dabei nicht um „Öffnungsklauseln“ handele, sondern lediglich um Möglichkeiten zur Konkretisierung der Bestimmungen der DSGVO durch nationales Recht. Festzustellen ist jedenfalls, dass diese Klauseln herangezogen wurden, um erhebliche Abweichungen des neu gefassten deutschen Datenschutzrechts[19] von der DSGVO zu rechtfertigen.

Deutscher Sonderweg?

Spätestens im September 2016, als der Blog „Netzpolitik“ einen ersten Referentenentwurf des Bundesinnenministeriums für ein neues Bundesdatenschutzgesetz veröffentlichte,[20] wurde klar, dass es dem BMI in erster Linie nicht darum ging, das „hohe deutsche Datenschutzniveau“ zu erhalten, sondern vorrangig um dessen Absenkung.

Staatliche Stellen sollten mehr Befugnisse zur Verarbeitung personenbezogener Daten erhalten. An die Stelle spezifischer Vorgaben für die Erhebung, Speicherung, Änderung und Nutzung sollten Generalermächtigungen zur Verarbeitung treten. Spezifische Zweckbindungsregeln sollten durch biegsame Verwendungsregeln abgelöst werden, die den Vorgaben des Bundesverfassungsgerichts (und der DSGVO) Hohn sprachen. Bei den Nachrichtendiensten – die ja durch das EU-Reformpaket gar nicht berührt waren[21] – sollten nach dem Referentenentwurf die Schwellen zur Erhebung von Daten weiter abgesenkt werden. Die Betroffenenrechte und die Kontrollbefugnisse der Datenschutzbehörden sollten dagegen eingeschränkt werden, wo immer es die EU-Vorgaben zulassen und teils sogar dort, wo solche Spielräume nicht bestehen. Bemerkenswert waren die vorgesehenen Lockerungen der Zweckbindung für die Verwendung personenbezogener Daten. Zugleich sollten Unternehmen erheblich von lästigen Auskunfts- und Löschungspflichten entbunden werden, etwa wenn damit ein „unverhältnismäßiger Aufwand“ verbunden wäre. Letztlich zog das Bundesjustizministerium aus verfassungsrechtlichen und handwerklichen Gründen die Notbremse und stoppte die offizielle Versendung des Entwurfs.

Während des Gesetzgebungsverfahrens zum deutschen Datenschutzanpassungsgesetz konnten eine Reihe besonders problematischer Vorschläge entschärft werden. Dennoch trägt das vom Bundestag im Sommer 2017 beschlossene neue Bundesdatenschutz­gesetz (BDSG-neu)[22] der im Gesetzgebungsverfahren vorgebrachten Kritik an dem Regierungsentwurf[23] nur unzureichend Rechnung. Das neue BDSG belegt die anhaltende Distanz der Bundesregierung und der sie tragenden Parteien zur Europäischen Datenschutzreform, unbeschadet der Tatsache, dass Deutschland dem EU-Datenschutzpaket im Rat letztlich doch zugestimmt hatte. Die Unhandlichkeit der neuen deutschen Regelungen – allein das neue BDSG ist mit 85 Paragraphen fast doppelt so umfangreich wie das bisherige Gesetz – ist ein Indiz dafür, dass die Bundesregierung in vielen Punkten mit der Europäischen Datenschutzreform unzufrieden ist. Den ganzen Text durchzieht das Bemühen, soviel vom alten BDSG zu „retten“ wie möglich.

Noch gravierender war es, das in der Substanz des neuen BDSG von den europarechtlichen Vorgaben abgewichen werden sollte, deutlich über die von der DSGVO eingeräumten Regelungsspielräume für die nationalen Gesetzgeber hinaus. Dies gilt in besonderem Maße für diejenigen Regelungen, die sich auf Unternehmen beziehen.

So enthält das neue BDSG deutliche Einschränkungen der Betroffenenrechte. Abweichend von den Vorgaben der DSGVO muss der Betroffene nicht über die Datenverarbeitung informiert werden, soweit „die ordnungsgemäße Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgaben […] gefährden würde […]“ oder „[…] die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde […]“ (§ 32 Abs. 1 BDSG-neu). Auch die Auskunftsrechte der betroffenen Person werden eingeschränkt. Kritisch zu sehen ist auch die gegenüber der DSGVO abgeschwächte Zweckbindung personenbezogener Daten.

Im Zuge des Gesetzgebungsverfahrens wurde eine brisante Neuregelung nur wenig thematisiert, die von zentraler Bedeutung für den Schutz der Privatsphäre ist: Die Einschränkung der Datenschutzkontrolle bei „Berufsgeheimnisträgern“ (§ 29 Abs. 3 BDSG-neu). Die Mitarbeiter der Aufsichtsbehörden haben danach keinen Anspruch mehr, Krankenhäuser, Arztpraxen, Anwalts- oder Notariatskanzleien, Apotheken, Steuerberatungs- und Buchführungsbüros oder Suchtberatungsstellen zu betreten, um vor Ort die Datenverarbeitung zu kontrollieren, wenn dadurch der Bruch eines strafbewehrten Berufsgeheimnisses zu befürchten sei. Nicht mehr effektiv prüfbar wären auch Unternehmen der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle. Die Aufsichtsbehörden hätten auch keinen Zugang mehr zu den sensiblen Daten, die in diesen Bereichen verarbeitet werden.

Die bisherige einschlägige Regelung, welche die Datenschutzbehörden ausdrücklich zur Prüfung entsprechender Daten ermächtigte, wurde nicht ins neue Gesetz übernommen („die Kontrolle der oder des Bundesbeauftragten erstreckt sich auf […] personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis … unterliegen.“)[24]. Die neue Rechtslage bedeutet, dass sich Berufsgeheimnisträger nach § 203 StGB strafbar machen würden, wenn sie den Aufsichtsbehörden entsprechende Daten zugänglich machen. In diesen für den Datenschutz zentralen Bereichen – hier werden besonders sensible Daten verarbeitet – könnten die Datenschutzbehörden nur noch allgemeine Befragungen hinsichtlich der Datenverarbeitung durchführen, aber keinen Einblick in Datenbanken oder übertragene Informationen nehmen; und sie können Behauptungen zum konkreten Umgang mit personenbezogenen Daten nicht mehr nachprüfen. Da ein derartiger aufsichtsfreier Raum den Vorgaben des Bundesverfassungsgerichts und den Maximen der Datenschutz-Grundverordnung widerspricht, wonach eine lückenlose Kontrolle der Einhaltung der datenschutzrechtlichen Vorschriften durch unabhängige Datenschutzbehörden unverzichtbar ist, bleibt abzuwarten, wie die entsprechenden Regelungen durch das Bundesverfassungsgericht oder durch den EuGH bewertet werden.

Paradoxer Weise werden trotz der hohen Regelungsintensität der deutschen Bestimmungen zur Umsetzung der DSGVO – neben dem BDSG wurden inzwischen zahlreiche weitere, bereichsspezifische Gesetze novelliert – die in der Verordnung enthaltenen Gestaltungsspielräume für konkretisierende nationale Datenschutzbestimmungen bisher nur unzureichend ausgefüllt. Dies gilt in besonderem Maß für den Beschäftigtendatenschutz, der durch das neue BDSG nur unzureichend geregelt wird.

Auch fehlen im Bundesrecht Bestimmungen zum Ausgleich zwischen den Rechtsgütern Datenschutz und Meinungsfreiheit. Diese schwierige Materie hat der Bund vollständig den Ländern überlassen. Diese beschränken sich allem Anschein nach darauf, Regelungen für Medienunternehmen auszuarbeiten, nicht jedoch für die immer wichtigeren sozialen Netzwerke. Solche Konkretisierungen wären aber dringend erforderlich. Die vielleicht wichtigste Länderregelung zum Datenschutz in den Medien ist der 21. Rundfunkänderungsstaatsvertrag, der den Landesparlamenten seit Ende letzten Jahres zur Ratifizierung vorliegt.[25] Danach sollen der Rundfunk und die von Rundfunkanstalten angebotenen Mediendienste bei ihrer redaktionellen Datenverarbeitung von sämtlichen materiellen Datenschutzbestimmungen, der Kontrolle durch die Datenschutzbehörden und den Rechten der betroffenen Personen ausgenommen bleiben. Auch bei den Ländern dominiert offensichtlich eine Haltung, den bisherigen, teils unbefriedigenden deutschen Rechtszustand unverändert beizubehalten, obwohl der europäische Gesetzgeber hier eine genaue Interessenabwägung gefordert hat. Es darf bezweifelt werden, dass die vorgesehene vollständige Suspendierung der materiellen Datenschutzbestimmungen und der Betroffenenrechte diese Mindestanforderungen des europäischen Rechts erfüllt.

Fazit

Angesichts der neuen deutschen Datenschutzbestimmungen und der DSGVO wird viel Arbeit auf die Datenschutzbehörden zukommen, welche die Bestimmungen auszulegen und anzuwenden haben. Die nationalen Gerichte und letztlich auch der EuGH werden sich in den nächsten Jahren verstärkt mit dem Datenschutz befassen müssen, um Auslegungsprobleme zu klären. So wird es voraussichtlich viele Jahre dauern, bis die wesentlichen Streitfragen geklärt sind, die sich aus den widersprüchlichen Vorgaben des europäischen und des nationalen Rechts ergeben.

Problematisch ist zudem die Perspektive, dass sich die Gesetzgeber anderer Mitgliedstaaten am deutschen Beispiel orientieren und eigene Sonderwege beim Datenschutz einschlagen. Entsprechende Gesetzgebungsverfahren sind in verschiedenen Mitgliedstaaten bereits auf den Weg gebracht, zum Teil schon abgeschlossen. Statt des angestrebten einheitlichen EU-Datenschutzrechts besteht deshalb die Gefahr, dass es in der Europäischen Union weiterhin einen datenschutzrechtlichen Flickenteppich geben wird – mit allen Problemen, die eigentlich durch die mit der Datenschutzreform angestrebten Vollharmonisierung überwunden werden sollten. Dies wäre insbesondere für diejenigen Unternehmen eine schlechte Nachricht, die grenzüberschreitende Dienste anbieten wollen. Es wäre aber vor allem eine schlechte Nachricht für die Bürgerinnen und Bürger, deren Grundrechte auf Privatsphäre und Datenschutz auch weiterhin nur unzureichend geschützt würden.

PETER SCHAAR   Jahrgang 1954, ist gelernter Ökonom. Er war ab 1980 in der Verwaltung der Hansestadt Hamburg tätig und wechselte 1986 zum Hamburger Landesdatenschutzbeauftragten. 2003 wurde er auf Vorschlag der rot-grünen Bundesregierung vom Deutschen Bundestag zum fünften Bundesbeauftragte für Datenschutz gewählt. Seine zweite Amtszeit endete am 16. Dezember 2013. Seit September 2013 steht Schaar der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID) vor.

Anmerkungen:

1 S. „Die neue Digital-Ministerin Dorothee Bär im Bild-Interview“, Bild v. 5.3.2018.

2 Vgl. Bundesministerium für Wirtschaft und Energie, Leitplanken Digitaler Souveränität, 2015, S. 5.

3 Bundesverfassungsgericht, Urteil v. 15.12.1983 (= BVerfGE 65, 1, S. 1).

4 Verordnung (EU) 2016/679 v. 27.4. 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), EU-Amtsblatt L 119/1 v. 4.5.2016.

5 Vgl. Schaar, Peter, Trügerische Sicherheit – Wie die Terrorangst uns in den Ausnahmezustand treibt, Hamburg 2017, S. 231 ff.

6 Die Welt v. 16.7.2013, „Friedrich erklärt Sicherheit zum ,Supergrundrecht‘“.

7 Vertrag von Lissabon zur Änderung des Vertrags uuber die Europäische Union und des Vertrags zur Gruundung der Europäischen Gemeinschaft, unterzeichnet in Lissabon, EU-Amtsblatt C 306, 13.12. 2007.

8 Konvention zum Schutz der Menschenrechte und Grundfreiheiten (Europäische Menschenrechtskonvention) v. 4. 11.1950.

9 EuGH, Urteil vom 8.4.2014, (verbundene Rechtssachen C-293/12 und C-594/12); Urteil v. 21.12.2016 (verbundene Rechtssachen 203/15 und 698/15).

10 EuGH, Urteil vom 6.10.2015 (Rechtssache C-362/14).

11 Richtlinie (EU) 2016/680 vom 20.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung (EU-Amtsblatt L 119, S. 89).

12 Vgl. Rosenbach/Stark, der NSA Komplex, München 2014; Schaar, Überwachung total, Berlin 2014.

13 Art. 3a Abs. 2 Vertrag uuber die Europäische Union (AEUV), vgl. Anm. 7.

14 Europäische Kommission, Mitteilung „Der Schutz der Privatsphäre in einer vernetzten Welt – ein europäischer Datenschutzrahmen für das 21. Jahrhundert“, KOM (2012) 0009 v. 25.1.2012.

15 Legislative Entschließung des Europäischen Parlaments vom 12. März 2014, http://www.europarl.-europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P7-TA-2014-0212+0+DOC+XML+V0//DE.

16 Vgl. Berichte der „Gruppe Informationsaustausch und Datenschutz (DAPIX)“ des Rats, Parlamentsdokumentation der Republik Österreich, https://www.parlament.gv.at

17 Vgl. Spiegel online v. 2.12.2013, „EU-Ministerrat Deutsche Beamte bremsen Europas Datenschutz aus“, http://www.spiegel.de/netzwelt/netzpolitik/deutsche-beamte-bremsen-europas-datenschutz-aus-a-936704.html

18 Europäische Kommission, Vorschlag für eine Verordnung zum Schutz natürlicher Personen Datenschutz- Grundverordnung), Mitteilung KOM (2012) 0011 v. 25.1.2012.

19 Vgl. insb. den Entwurf der Bundesregierung v. 1.2.2017 für ein Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 (DSGVO) und zur Umsetzung der Richtlinie (EU) 2016/680 (JI-RL) – Datenschutz-Anpassungs- und -Umsetzungsgesetz EU DSAnpUG-EU).

20 Netzpolitik.org v. 7.9.2016, „Innenministerium will rechtswidrige Datenverarbeitung bei Geheimdiensten sanktionsfrei machen“, https://netzpolitik.org/2016/innenministerium-will-rechtswidrige-datenverarbeitung-bei-geheimdiensten-sanktionsfrei-machen/

21 Vgl. Anm. 13.

22 Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUGEU) v. 30.6.2017, BGBl. I S. 2097).

23 Vgl. Stellungnahme der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID) vom 23.11.2016, https://www.eaid-berlin.de/wp-content/uploads/2016/12/EAID-Stellungnahmezum-DSAnpUG-EU_final.pdf

24 § 24 Abs. 2 Satz 1 BDSG-alt. Diese Bestimmung galt gem. Abs. 6 auch für die zuständigen Landesdatenschutzbehörden.

25 Einundzwanzigster Staatsvertrag zur Änderung rundfunkrechtlicher Staatsverträge (Einundzwanzigster Rundfunkänderungsstaatsvertrag), Bremische Bürgerschaft, Drs. 19/1282 vom 2.11.2017.

Der Beitrag Deutscher Sonderweg beim Datenschutz? erschien zuerst auf Humanistische Union.

(Red.)Peter Schaar zeigt auf, wie die Bundesregierung auf nationaler Ebene für einen besseren Schutz des Fernmeldegeheimnisses sorgen kann. Zunächst einmal sollte Deutschland als gutes Vorbild voran gehen und die bisher gesetzlich ungeregelte Auslandsüberwachung des BND einschränken. Zudem regt er eine konsequente Anwendung des deutschen Strafrechts gegen alle Spionageaktivitäten in Deutschland an. Schließlich sollte die NSA-Spionage mit einer gezielten Förderung sicherer Verschlüsselungstechniken und abhörsicherer Infrastrukturen gekontert werden. Für europäische Anbieter wären datenschutzkonforme Angebote ein Wettbewerbsvorteil gegenüber amerikanischen Konkurrenten, die tief in die in die NSA-Überwachungsaktivitäten verstrickt sind. Eine wesentliche Voraussetzung dafür ist jedoch, dass die zugrundeliegenden Technologien offen und transparent gestaltet werden, denn nur so bleiben sie demokratisch und öffentlich kontrollierbar. Das Prinzip der Geheimhaltung von Sicherheitstechnologien („Security by Obscurity“) habe dagegen ausgedient.

Nationale Handlungsmöglichkeiten gegen globale Überwachungsaktivitäten zu formulieren, erscheint vordergründig als unlösbare Aufgabe – sind doch die Aktivitäten von Regierungen und Parlamenten auf den eigenen Staat ausgerichtet, während die Überwachung der Datenströme vornehmlich exterritorial, außerhalb des jeweiligen nationalen Territoriums erfolgt. Trotzdem sollte man die Flinte nicht allzu schnell ins Korn werfen und allein auf die Entwicklung und Durchsetzung internationaler Rechtsinstrumente setzen, die der globalen Überwachung Grenzen setzen. So wichtig diese internationalen Regeln sind – etwa Art. 17 des UN-Zivilrechtspakts(1), der den Schutz des Privatlebens garantiert –, so schwierig gestaltet sich ihre Weiterentwicklung und vor allem ihre praktische Durchsetzung, solange große Staaten wie die USA, Russland und China sich verweigern. Nicht zuletzt wegen dieser Schwierigkeiten macht es also durchaus Sinn, über die Instrumente nachzudenken, die auf nationaler Ebene zur Verfügung stehen.

Zum einen haben nationale Aktivitäten in globalen Netzen auch direkte Folgen außerhalb des eigenen Territoriums. So wirkt sich nationale Gesetzgebung, die den eigenen Behörden beim Überwachen der Kommunikation Grenzen setzt oder entsprechende Aktivitäten ausländischer Geheimdienste unter Strafe stellt, auf die bi- und multilateralen nachrichtendienstlichen Informationstauschbörsen aus – jedenfalls dann, wenn die Bereitschaft dazu bei Regierungen, Behörden und Gerichten besteht.

Auch technologische Maßnahmen zur Härtung von IT-Infrastrukturen schützen die Computersysteme und Netzwerke nicht nur gegen inländische Angreifer, sondern auch gegen Infiltrationsversuche von Nachrichtendiensten. Die Bereitstellung anonymer Nutzungsmöglichkeiten im Netz, robuste Verfahren zur sicheren Authentifizierung, Verschlüsselungsmechanismen nach dem Stand der Wissenschaft und Technik machen es nicht nur Betrügern sondern auch ausländischen Geheimdiensten schwerer, an begehrte Informationen zu gelangen.

Juristische Stell­schrauben gegen Überwa­chung?

Traditionell entfalten Gesetze ihre Schutzwirkung im jeweiligen territorial definierten Geltungsbereich. Im Unterschied dazu ist das Internet aber so konstruiert, dass Landes- oder auch Kontinentalgrenzen technisch keine Rolle spielen. Wenn etwa ein deutscher Internetnutzer die Webseite eines deutschen Anbieters abruft, können die übertragenen Daten durchaus über amerikanische Netzknoten geleitet („geroutet“) werden. Global agierende Internetunternehmen speichern Daten auf Servern, die auf verschiedene Kontinente verteilt sind. Im folgenden soll deshalb untersucht werden, wie weit dieses offensichtliche Territorialdilemma durch nationales Recht entschärft werden kann.

Die Tatsache, dass Spionage nicht gegen Völkerrecht verstößt, stellt Spione nicht straffrei. Geheimdienstliche Späh- und Lauschaktionen im Ausland beeinträchtigen regelmäßig die Rechte der davon betroffenen Zielpersonen und sind deshalb strafbar. Zwar heißt es in § 3 Strafgesetzbuch (StGB): „Das deutsche Strafrecht gilt für Taten, die im Inland begangen werden.“ Diese territoriale Begrenzung des deutschen Strafrechts wird aber durch § 5 StGB in Bezug auf bestimmte Auslandstaten eingeschränkt, die sich gegen inländische Rechtsgüter richten. Zu diesen unabhängig vom Tatort zu ahndenden Straftaten gehört auch die Verletzung von Betriebs- oder Geschäftsgeheimnissen, nicht jedoch das Post- und Fernmeldegeheimnis oder Verstöße gegen den Datenschutz. Gleichwohl können auch solche Straftaten nach deutschem Recht verfolgt werden, die aus dem Ausland initiiert wurden, sich aber im Inland auswirken („verwirklichen“). Wenn also ein ausländischer Geheimdienst Computer deutscher Nutzer mittels Trojaner infiltriert und überwacht, erfüllt dies den Straftatbestand des Ausspähens von Daten (§ 202a StGB).

Aus dem Ausland agierende Betrüger, die die Konten deutscher Bankkunden unter Verwendung ausspionierter PINs und Passwörter abräumen, machen sich nach deutschem Recht strafbar. Auch Geheimdienste, die mittels Telekommunikation übertragene nichtöffentliche Daten deutscher Teilnehmer unter Anwendung von technischen Mitteln abfangen oder sich aus der elektromagnetischen Abstrahlung einer Datenverarbeitungsanlage verschaffen, begehen eine Straftat. Schon die Vorbereitung einer solchen Straftat, insbesondere das Ausspähen von Passwörtern oder sonstigen Sicherungscodes, die den Zugang zu vertraulichen Daten ermöglichen, ist strafbar.

Ebenso ist nach deutschem Recht strafbar, das nicht öffentlich gesprochene Wort abzuhören oder aufzuzeichnen – dies gilt auch für Telefonate, die mit dem Handy geführt werden. Schließlich verbietet § 99 StGB die geheimdienstliche Agententätigkeit für eine fremde Macht. Der Tatbestand stellt nicht auf konkreten Verrat ab, sondern erfasst jede auf die Beschaffung von Informationen für einen fremden Nachrichtendienst gerichtete Tätigkeit, die deutsche Sicherheitsinteressen beeinträchtigen kann. Geschütztes Rechtsgut ist die äußere Sicherheit Deutschlands im weitesten Sinne. Auch Wirtschaftsspionage kann nach § 99 StGB strafbar sein. Erfasst wird auch die Ausspähung von in Deutschland lebenden Ausländern für Nachrichtendienste ihrer Heimatländer. „Selbst eine Tätigkeit für Nachrichtendienste verbündeter Staaten verletzt deutsche Interessen, wenn sie nicht von deutschen Sicherheitsbehörden abgedeckt ist“, heißt es auf der Website des Generalbundesanwalts.(2)

Auch der Bruch des Fernmeldegeheimnisses ist eine Straftat – genauso wie das heimliche Eindringen in geschützte Computersysteme. Heute können kaum noch Zweifel daran bestehen, dass britische und amerikanische Geheimdienste gegen mehrere dieser Strafvorschriften verstoßen haben, etwa beim Abhören des Handys von Bundeskanzlerin Merkel, aber auch beim massenhaften Ausspähen deutscher Kommunikationsverkehre, die über ausländische Netzknoten und Transatlantikkabel geführt werden.

Dies gilt nicht nur für die genannten angloamerikanischen Nachrichtendienste, sondern auch für die Dienste anderer Staaten und auch für den Bundesnachrichtendienst. Wenn etwa der BND Telefone und E-Mails oder Mobilfunknetze im Hindukusch oder in anderen Operationsgebieten überwacht und dabei milliardenfach Metadaten absaugt, widerspricht dies natürlich dem dortigen Recht – und zwar völlig unabhängig davon, ob das deutsche BND-Gesetz derartige Aktivitäten erlaubt oder nicht, wie etwa im Untersuchungsausschuss des Deutschen Bundestags zu den NSA-Aktivitäten diskutiert wird.(3)

Bei der Rechtfertigung der geheimdienstlichen Tätigkeit im Ausland wird gern ausgeblendet, dass deutsche Behörden die zentralen Wertentscheidungen des Grundgesetzes, insbesondere die Achtung der Menschenwürde (Art. 1 Abs. 1 GG) stets zu beachten haben, egal wo sie tätig sind. Dies gilt unabhängig davon, ob die Beschränkungen, die etwa das G10- oder das BND-Gesetz dem Bundesnachrichtendienst setzen, nicht uneingeschränkt bei der Auslandsaufklärung gelten.

Auch bei nachrichtendienstlichen Lauschaktivitäten kann die Menschenwürde berührt sein: So hat das Bundesverfassungsgericht wiederholt festgestellt, dass es mit der Menschenwürde unvereinbar wäre, wenn staatliche Stellen einen „unantastbaren Kernbereich der Privatsphäre“ ausspionieren: „Zur Unantastbarkeit der Menschenwürde gemäß Art. 1 Abs. 1 GG gehört die Anerkennung eines absolut geschützten Kernbereichs privater Lebensgestaltung. In diesen Bereich darf die akustische Überwachung von Wohnraum zu Zwecken der Strafverfolgung … nicht eingreifen. Eine Abwägung nach Maßgabe des Verhältnismäßigkeitsgrundsatzes zwischen der Unverletzlichkeit der Wohnung … und dem Strafverfolgungsinteresse findet insoweit nicht statt.“4 In weiteren Entscheidungen hat das Gericht festgestellt, dass zu diesem Kernbereich auch höchstpersönliche Lebensäußerungen gehören, die mittels Telekommunikation übertragen werden.(5)

Das lückenlose Abhören der Telekommunikation ist deshalb generell unzulässig, weil Gespräche abgehört werden könnten, die diesem absolut geschützten Bereich zuzurechnen sind. Jedenfalls müssen Vorkehrungen getroffen werden, dass Informationen, die zum Kernbereich privater Lebensgestaltung gehören, nicht aufgezeichnet oder jedenfalls unverzüglich gelöscht werden. Dies gilt nicht nur für inländische Überwachungsmaßnahmen, sondern auch für Aktivitäten des Bundesnachrichtendienstes als Auslandsgeheimdienst. Zudem gilt das deutsche Datenschutzrecht stets dann, wenn der BND personenbezogene Daten im Inland verarbeitet. Wenn der BND Daten aus der Auslandsaufklärung an die amerikanischen Nachrichtendienste weiterleitet – wie durch die Bundesregierung bestätigt(6)– muss er dabei deutsches Datenschutzrecht beachten.

Man muss also nicht allzu lange suchen, um im juristischen Instrumentenkasten Werkzeuge zu finden, die gegen eine überbordende Geheimdienstüberwachung eingesetzt werden könnten. Als eigentliches Problem entpuppt sich deshalb die zögerliche Anwendung und Durchsetzung der bestehenden rechtlichen Vorgaben, sei es aus außenpolitischer Rücksichtnahme oder aber auch im Interesse der deutschen Sicherheitsbehörden, die immer wieder darauf hinweisen, wie abhängig sie von den Informationen seien, die sie von ausländischen – namentlich amerikanischen – Diensten erhalten.

Technik: Vom Teil des Problems zum Teil der Lösung

Der kürzlich verstorbene FAZ-Herausgeber Frank Schirrmacher verglich die Erkenntnisse aus den Snowden-Papieren mit dem „Sputnik-Schock“, den die Vereinigten Staaten 1959 erlitten hatten, als sie feststellen mussten, dass der erste Weltraumsatellit nicht etwa durch die US-Raumfahrtbehörde NASA auf den Weg gebracht worden war, sondern von den Russen. Unter Bezugnahme auf diese Erfahrung meinte Schirrmacher, es wäre angesichts der Meldungen zu geheimdienstlichen Überwachungsaktivitäten grundfalsch, wenn Europa den Kopf in den Sand stecken und sich mit einer digitalen Opferrolle abfinden würde. Vielmehr müsse die „brachliegende digitale Intelligenz“ Europas entfesselt werden, indem man Initiativen für „integre Netzwerke und, wer weiß, auch für Suchmaschinen politisch ins Leben ruft und fördert“.(7)

Was könnte diese „digitale europäische Intelligenz“ bewirken? Es gibt durchaus verschiedene technische und juristische Stellschrauben für einen besseren Schutz der Daten. Mehr noch: Angesichts des grassierenden Vertrauensverlusts in amerikanische Internetdienste und der begründeten Vermutung, aus den USA oder China stammende Produkte enthielten Hintertüren oder bewusst eingebaute Schwachstellen, lässt sich durchaus europäisches Kapital schlagen.

Dies gilt insbesondere auf dem Feld der Datenverschlüsselung. Seit der Erfindung der E-Mail wird deren Vertraulichkeitsgrad ziemlich zutreffend mit dem einer Postkarte verglichen: Jeder, der Zugriff hat, kann mitlesen. Zudem grassieren Datenmissbrauch und Identitätsdiebstahl im Internet. Auch die übrigen Internetdienste wurden zunächst völlig ohne Verschlüsselung betrieben, die Daten also offen und leicht abhörbar übertragen. Auch wenn seit Jahren an verbesserten Schutzmechanismen gearbeitet wird, waren viele der inzwischen etablierten Verschlüsselungsverfahren zu schwach, um geheimdienstlichen Angriffen zu widerstehen.

Die NSA und ihr britischer Partner-Geheimdienst GCHQ waren offenbar in der Lage, nicht nur die unverschlüsselten Daten, sondern auch den verschlüsselten Internetverkehr großflächig auszuwerten. Viele Informatiker setzen jedoch weiterhin auf die Datenverschlüsselung. Selbst wenn man Überwachung letztlich nicht völlig verhindern könne, bestehe zumindest die Chance, sie den Nachrichtendiensten deutlich zu erschweren und für sie teuer zu machen.

Die Möglichkeit eines absolut sicheren Verschlüsselungssystems mag es theoretisch geben. Praktisch muss man allerdings einige Abstriche machen. Alle funktionierenden kryptographischen Systeme gelten nur unter bestimmten Prämissen hinsichtlich der Fähigkeiten der „Gegenseite“, insbesondere in Bezug auf die Rechenkapazitäten als sicher. Die Sicherheit nahezu aller Verschlüsselungsalgorithmen ist zudem nicht vollständig nachgewiesen. Alle Feststellungen zur Sicherheit der jeweiligen Verfahren beruhen vielmehr auf der Prüfung und Diskussion durch die Fachöffentlichkeit. Deshalb ist es von entscheidender Bedeutung, dass Verschlüsselungsalgorithmen dokumentiert und öffentlich nachprüfbar sind.

Dagegen können Verfahren, deren Funktionsweise geheim gehalten wird, nicht durch unabhängige Experten und eine kritische „Netzcommunity“ nachgeprüft werden. Bisweilen wird die Geheimhaltung der Verschlüsselungsalgorithmen sogar als Argument für mehr Sicherheit verkauft. Eine derartige Sichtweise blendet aber aus, dass nicht nur externe Angreifer versuchen, die Verschlüsselung zu durchbrechen, sondern auch Insider, die Kenntnisse über Schwachstellen eines Verschlüsselungsverfahrens besitzen, an Angriffen auf gesicherte Daten mitwirken oder ihr Wissen Dritten verkaufen könnten.

An „Security by Obscurity“ sollte man spätestens jetzt nicht mehr glauben, nachdem bekannt ist, dass die NSA systematisch auf die Schwächung von Verschlüsselungsverfahren hingearbeitet hat. Deshalb sollten grundsätzlich nur solche Verfahren verwendet werden, deren Programmcode und Funktionsweise öffentlich dokumentiert sind („Open Source“).

Die Verschlüsselungsalgorithmen müssen in Software umgesetzt werden. Eine „schlampige“ oder bewusst nachlässige Programmierung kann dazu beitragen, dass an und für sich sichere Algorithmen unterlaufen oder umgangen werden können. Bekanntlich bieten derartige Schwachstellen den Geheimdiensten und anderen Insidern Ansatzpunkte zur Kommunikationsüberwachung. Auch hier gilt: Open-Source-Software ist solchen Programmen vorzuziehen, deren Programmcode und Funktionsweise von den Anbietern geheim gehalten werden.

Die Öffentlichkeit allein kann die Sicherheit von Verschlüsselungsverfahren zwar nicht garantieren, sie ermöglicht es aber, dass Fehler und Schwachstellen erkannt und behoben werden können. Ein weiterer Faktor für die Vertrauenswürdigkeit von kryptographischen Verfahren besteht darin, dass weder die Hersteller noch die Anbieter von Diensten rechtlich dazu verpflichtet werden, Hintertüren in ihre Systeme einzubauen, die Geheimdiensten und anderen Sicherheitsbehörden den Zugriff auf die Kommunikation ermöglichen, wie etwa der US-amerikanische Communications Assistance for Law Enforcement Act (CALEA).

Ob bei der Kryptographie, beim Routing, bei der Gestaltung von E-Mail-Diensten oder bei den Anforderungen an Cloud-Speichern: Ansatzpunkte gibt es mehr als genug. Ob die sich hier bietenden Chancen allerdings auch wirklich wahrgenommen werden, ist indes noch ungewiss. Sehr ambivalent verhält sich etwa die Industrie, die bei anderer Gelegenheit nicht zögert, ihre Interessen einzufordern. Frank Schirrmacher weist darauf hin, dass der „deutsche“ IT-Branchenverband Bitkom maßgeblich von Ablegern globaler US-Firmen beeinflusst werde und sich auch deshalb kaum als Speerspitze deutscher oder europäischer Interessen eigne. Und die Wirtschaftswoche berichtete über einen heftigen Streit in diesem Verband zum Umgang mit der NSA-Affäre. Aus dessen Protokollen gehe hervor, dass sich die amerikanischen Mitglieder vehement gegen den Vorschlag deutscher IT-Unternehmen gewehrt hätten, sichere Hard- und Software „Made in Germany“ zu forcieren. Insbesondere die Forderung, Datenpakete von und nach Deutschland nicht mehr über Server in den USA und Großbritannien umzuleiten, weil diese von der NSA und dem britischen Geheimdienst GCHQ angezapft werden, sei von den Amerikanern blockiert worden.

Dabei gibt es genügend deutsche – und europäische – Unternehmen, die von einem neuen Geschäftsfeld Datenschutz und Datensicherheit profitieren würden. Bereits jetzt stehen leistungsfähige europäische Cloud-Services zur Verfügung, die ohne US-Beteiligung funktionieren. Dies hat US-Cloud-Anbieter dazu veranlasst, europäischen Kunden zuzusichern, dass deren Daten ausschließlich in Europa gespeichert würden.

Ob damit allerdings der gewünschte Schutz vor Überwachung erreicht wird, ist zumindest offen. Denn die amerikanischen Behörden bestehen darauf, dass die US-Unternehmen – völlig unabhängig von der europäischen Rechtslage – auch solche Daten herauszugeben haben, die nicht auf Servern in den Vereinigten Staaten gespeichert sind. Inwieweit die US-Unternehmen diesen Ansinnen folgen, die ggf. gegen das Recht der Staaten verstoßen, in denen die Server stehen, ist nicht bekannt.

Immerhin hat die Bundesregierung eine in der Öffentlichkeit kaum wahrgenommene erste Maßnahme getroffen, um rechtliche und technische Hintertüren zu verschließen, die es ausländischen Geheimdiensten ermöglichen, an vertrauliche Daten zu gelangen. In einem an das Beschaffungsamt des Bundesinnenministeriums gerichteten No-Spy-Erlass vom 30. April 2014 ist vorgesehen, dass in Vergabeverfahren des Bundes jeder Bieter Erklärungen abgeben muss, die heimliche Abflüsse schützenswerter Informationen an ausländische Nachrichtendienste betreffen. Weil dies kaum nachweisbar ist, wurden die Klauseln so ausgestaltet, dass eine Beweiserleichterung zugunsten der Bundesrepublik Deutschland eintritt. Für die Ablehnung eines Bieters bzw. für eine Kündigung des Vertrages soll es ausreichen, wenn nachgewiesen wird, dass der Bieter einer rechtlichen Verpflichtung zur Weitergabe von vertraulichen Informationen, Geschäfts- oder Betriebsgeheimnissen an Dritte unterliegt. Gegebenenfalls müssen entsprechende Weitergabeverpflichtungen im Vergabeverfahren offengelegt werden. Damit werden auch Fälle erfasst, in denen entsprechende Auskünfte nach ausländischem Recht geheim zu halten sind.(8)

In vielen Bereichen, insbesondere bei E-Mails, gibt es deutsche und europäische Alternativen, die den Vergleich mit der amerikanischen Konkurrenz nicht fürchten müssen. Insbesondere wenn gewährleistet wird, dass die Datenübertragung sicher verschlüsselt erfolgt, könnte die Wahl eines solchen Dienstes einen erheblichen Zugewinn an Sicherheit und Datenschutz bedeuten. Problematisch ist dabei bisher allerdings, dass die meisten Angebote für verschlüsselte E-Mails lediglich eine „Verbindungsverschlüsselung“ vorsehen, d.h., die verschlüsselt übertragenen E-Mails werden von den Anbietern temporär entschlüsselt und könnten an diesen Schnittstellen gegebenenfalls im Klartext mitgelesen werden. Technisch ist es allerdings möglich, auf professioneller Basis eine Ende-zu-Ende-Verschlüsselung zu gewährleisten. Es ist nur eine Frage der Zeit, bis entsprechende Angebote auf den Markt kommen.

Noch nicht – oder nicht mehr – wirklich konkurrenzfähig ist die europäische Industrie in weiten Bereichen der Netzwerktechnik. Amerikanische und chinesische Unternehmen haben hier außergewöhnlich starke Marktpositionen errungen. Europäische Kunden können bei beiden Herkunftsländern nicht sicher sein, dass die entsprechenden Produkte frei von Hintertüren und nicht dokumentierten Überwachungsschnittstellen sind. Hier hätte eine europäische Industriepolitik gute Chancen, mit gezielter Förderung sicherer und zugleich leistungsfähiger Produkte die Entwicklung marktgängiger Produkte „made in Europe“ zu erreichen, die sich in der Konkurrenz mit chinesischen und US-amerikanischen Anbietern behaupten. Wenn gewährleistet ist, dass die Systeme ohne Einbußen an Qualität und Komfort zugleich die Vertraulichkeit und Integrität der Datenübertragung garantieren, könnte sich hier eine interessante Marktposition gewinnen lassen, weit über Deutschland und Europa hinaus.

Als Reaktion auf die Berichte über die insbesondere durch die amerikanischen und britischen Geheimdienste betriebenen globalen Überwachungsmaßnahmen wurde schließlich vorgeschlagen, europäische Datenpakete nicht mehr über Netzknoten in Übersee zu senden. So forderten die Datenschutzbeauftragten des Bundes und der Länder, „zu prüfen, ob das Routing von Telekommunikationsverbindungen in Zukunft möglichst nur über Netze innerhalb der EU erfolgen kann.“ Das Internet-Routing sollte so konfiguriert werden, dass die innerhalb eines Gebiets versendeten Nachrichten dieses nicht mehr wie bisher verlassen.

Bemerkenswert ist insbesondere der Vorschlag eines „Schengen-Routing“, benannt nach dem Abkommen über den freien Reiseverkehr in Europa. Dabei würden die Datenpakete ausschließlich über Netzknoten in den Teilnehmerstaaten des Schengener Abkommens geleitet – Umwege über Drittstaaten, etwa die USA, wären auszuschließen. Der Schengen-Raum umfasst die meisten Mitgliedstaaten der Europäischen Union und einige andere europäische Staaten, nicht jedoch Großbritannien und Irland. Die Begrenzung auf die Schengen-Staaten könnte – so die Überlegung – nicht nur die NSA an einem Datenzugriff hindern, sondern auch den britischen Nachrichtendienst GCHQ, der im Rahmen des Programms Tempora maßgeblich an den Überwachungsaktivitäten beteiligt ist. Ein Nebeneffekt könnte darin bestehen, wichtige US-Internetunternehmen mit europäischen Hauptniederlassungen in Großbritannien und Irland zu umgehen.

Technisch ist es heute ohne weiteres möglich, Datenverbindungen, bei denen beide Kommunikationspartner sich in Europa befinden, nur über europäische Netzknoten zu leiten. In den letzten Jahren wurden die europäischen Netzinfrastrukturen massiv ausgebaut, so dass jedes Datenpaket heute auf vielen Wegen innerhalb des Schengen-Raums geroutet werden könnte. Tatsächlich werden aber immer noch viele Datenströme über die USA geleitet. Derzeit erfolgt die Wegewahl im Internet im Wesentlichen nach den Kriterien Preis, Entfernung und Service-Qualität. Die Umleitung europäischer Datenpakete über US-Netzknoten hat weniger technische als finanzielle Gründe, denn die US-Anbieter bieten deutlich günstigere Konditionen als die europäische Konkurrenz. Das Schengen-Routing würde dementsprechend vermutlich zu erhöhten Kosten führen, jedoch kaum mit Einbußen in der Qualität der Verbindungen verbunden sein. Auch die Ausfallsicherheit des europäischen Netzes ist durch vielfach redundante Verbindungen heute weitgehend gewährleistet.

Trotzdem würden entsprechende Vorgaben zum Routing nicht automatisch zum Versiegen der Datenströme über den Atlantik führen. Zum einen werden Daten auch weiterhin stets dann in die USA übertragen, wenn die elektronischen Dienstleistungen von dort aus erbracht werden. Dazu kommt, dass amerikanische Anbieter die Daten ihrer Nutzer über ihre in den USA gelegenen Infrastrukturen leiten und überwiegend dort auf Servern ablegen. Wer einen amerikanischen E-Mail-Dienst nutzt oder Google als Suchmaschine verwendet, muss also – auch wenn das Schengen-Routing kommen sollte – weiterhin damit rechnen, dass seine Daten in den USA landen, auf dem Weg über Netzknoten und Überseekabel durch den GCHQ und die NSA abgehört und auf Anfrage an US-Sicherheitsbehörden herausgegeben werden. Dies gilt auch für Facebook, das seine Dienste seit einigen Jahren europäischen Nutzern offiziell unter der Firma „Facebook Ltd.“ aus Dublin anbietet, denn technisch wird der Dienst weiterhin überwiegend in den USA betrieben.

Nicht vergessen werden darf dabei, dass Vorgaben zum Routing auch Auswirkungen auf die Konkurrenzsituation europäischer Unternehmen untereinander haben können. So erntete die Deutsche Telekom auf ihren Vorschlag eines „nationalen IP-Routings“ empörende Reaktionen bei anderen deutschen Internet-Anbietern. Der Geschäftsführer des größten deutschen Internetknotens DE-CIX, Harald Summa, bezeichnete die Initiative der Telekom als „reine Marketingaktion und Irreführung der Politik“. Die Telekom selbst behindere den Verbleib der Datenpakete im deutschen Rechtsraum, denn sie organisiere den Transport ihrer Daten direkt mit anderen Netzbetreibern und beteilige sich nicht am öffentlichen, gleichberechtigten Datenaustausch („public peering“). Dies habe die Folge, dass nicht mit der Telekom verbundene Netzanbieter an Telekom-Kunden gerichtete Datenpakete vielfach nur über das Ausland zustellen könnten. Inzwischen scheinen sich die verhärteten Fronten zwischen den verschiedenen Internetanbietern jedoch aufzulösen. Wie zu vernehmen ist, verhandelt etwa die Deutsche Telekom mit dem Internetverband Eco über entsprechende Lösungen, die eine sichere Kommunikation über Providergrenzen hinaus ermöglichen.

Fazit

Auch wenn globale Überwachungsaktivitäten nachhaltig nur durch internationales Recht und internationale Vereinbarungen zurückgefahren werden können, sollte nicht darauf verzichtet werden, die auf nationaler oder regionaler Ebene (EU) bestehenden technischen und rechtlichen Instrumente zum verbesserten Schutz der Privatsphäre und zur Gewährleistung der Vertraulichkeit der Kommunikation nutzen. Neben den direkten Schutzwirkungen entfalten solche Maßnahmen eine Ausstrahlung auf andere Nationen und Weltregionen. Globale Überwachung ist nicht schicksalhaft, sondern ein von Menschen verursachtes Phänomen. Der Einzelne, die Gesellschaft und die Weltgemeinschaft haben Mittel, diese Entwicklung wieder zurückzufahren.

PETER SCHAAR   Jahrgang 1954, ist gelernter Ökonom. Er war ab 1980 in der Verwaltung der Hansestadt Hamburg tätig und wechselte 1986 zum Hamburger Landesdatenschutzbeauftragten. 2003 wurde er auf Vorschlag von Bündnis 90/Die Grünen vom Deutschen Bundestag zum fünften Bundesbeauftragte für Datenschutz gewählt. Seine zweite Amtszeit endete am 16. Dezember 2013. Seit September 2013 steht Schaar der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID) vor.

Anmerkungen:

(1) Internationaler Pakt über bürgerliche und politische Rechte vom 19.12.1966 (BGBl. 1973 II 1553).

(2) S. https://www.generalbundesanwalt.de/de/spionage.php.

(3) Vgl. hierzu etwa die Sachverständigengutachten der ehemaligen Bundesverfassungsrichter Papier und Hoffmann-Riem, https://www.bundestag.de/bundestag/ausschuesse18/ua/1untersuchungsausschuss/-/280848.

(4) BVerfG, Urteil zur akustischen Wohnraumüberwachung („großer Lauschangriff“), 1 BvR 2378/98 vom 3.3.2004.

(5) Vgl. etwa BVerfG, Urteil zur präventiven Telekommunikationsüberwachung durch die Polizei, 1 BvR 668/04 vom 27.7.2005.

(6) Vgl. BT-Drs. 17/14560, S. 8.

(7) Schirrmacher, Europas Sputnik-Schock, FAZ v. 1.11.2013, S. 1.

(8) S. Erläuterungen des BMI zum „No-Spy-Erlass“, abrufbar unter http://www.bmi.bund.de/SharedDocs/Kurzmeldungen/DE/2014/08/no-spy-erlass.html.

Der Beitrag Politische Handlungsmöglichkeiten nach dem NSA-Skandal auf nationaler Ebene erschien zuerst auf Humanistische Union.

Der Bundesbeauftragte für Datenschutz und Informationsfreiheit gratulierte der Humanistischen Union zu ihrem 50. Geburtstag. In seinem Grußwort hebt er den Stellenwert der Bürgerrechtsorganisation hervor: „Mit Fug und Recht lässt sich sagen, dass die Humanistische Union in Fragen des Datenschutzes und der Informationsfreiheit zur politischen Avantgarde zählt.“

Da Peter Schaar aus persönlichen Gründen seine Teilnahme am Festakt kurzfristig absagen musste, wurde das Grußwort von Werner Koep-Kerstin auszugsweise verlesen. Sie können den Text hier nachhören bzw. nachlesen:

Dauer: 3 Minuten

Der Beitrag Grußwort zum 50-jährigen Jubiläum der Humanistischen Union erschien zuerst auf Humanistische Union.

aus: Vorgänge 184 ( Heft 4/ 2008), S. 4-8

Computer und Internet sind aus unserem Alltag nicht mehr wegzudenken. Für uns ist es nahezu selbstverständlich, jederzeit und aller Orten erreichbar zu sein. Videokameras, die für unsere Sicherheit sorgen sollen, sind für uns ebenso selbstverständlich wie elektronische Helfer in allen Lebenslagen, z. B. Navigationshilfen und elektronische Sensoren, die die Temperatur in unseren Wohn- und Arbeitsräumen regulieren. Immer mehr Alltagsgegenstände werden mit Mikrochips ausgestattet. Das „Ubiquitous Computing” – die allgegenwärtige Datenverarbeitung – ist die wohl dramatischste Veränderung der Informationstechnik. Schon aber naht die große Rechnerwolke, das „CIoud Computing” – die kommende technische Revolution im Netz. Dokumente, Internetseiten, Fotos oder Videos werden künftig nicht mehr auf dem heimischen Rechner abgelegt, sondern in über die ganze Welt verteilten Datenzentren. Internetnutzer können dann überall und mit allen Geräten auf ihre Daten zugreifen. Wo die Daten tatsächlich gespeichert sind, spielt keine Rolle mehr, die Wolke, die uns umgibt, macht’s möglich.

Diese Entwicklung hat natürlich unbestreitbare Vorteile: federzeitige Verfügbarkeit, zusätzlicher Komfort, erleichterter Zugang zu „passenden” Diensten und Produkten. Die Technologie soll es den Nutzern ermöglichen, ununterbrochen erreichbar zu sein und elektronisch zu kommunizieren, wobei sich die Systeme jeweils spontan an die jeweilige Umgebung anpassen.

Die Entwicklung hat aber auch ihre Kehrseite: Wir sind nie mehr wirklich allein und können unseren „Datenschatten” nicht abschütteln, wir haben zudem kaum eine Möglichkeit, diesen überhaupt zu bemerken. Ob von staatlichen Stellen oder Unternehmen – überall wird unser Verhalten beobachtet, registriert und bewertet.

Videoüberwachung folgt uns zu allen wichtigen Orten, durch Satellitenortung können wir metergenau lokalisiert werden, mittels Kundenkarten können sich Unternehmen über unser Konsumprofil informieren und Auskunfteien haben ein waches Auge auf unsere Zahlungsfähigkeit.

Über die ganze Gesellschaft legt sich schleichend ein unsichtbares Überwachungsnetz. Seine Existenz wird uns häufig erst dann bewusst, wenn wir selbst von negativen Folgen betroffen sind: Der wegen eines schlechten „S corewert” verweigerte Kredit, dasvon Unbekannten elektronisch geplünderte Konto oder die von digitalem Werbemüll voll gestopfte Mailbox. Umfassende Überwachung, Profilbildung und Kontrolle schränken unsere Privatsphäre aber auch dann ein, wenn gesetzliche Vorgaben beachtet werden. So wird der florierende Datenhandel überwiegend aus legalen Quellen gespeist und auch die technologisch bedingten Datensammlungen verstoßen nicht per se gegen geltendes Recht.

Sowohl staatliche Stellen als auch Unternehmen bedienen sich der vielfältigen technologischen Möglichkeiten zum elektronischen Beobachten, zum Erheben, Registrieren und Auswerten persönlichen Verhaltens. Die Rasterfahndung, die in den 1970er Jahren noch vielfältige Befürchtungen vor dem „Überwachungsstaat” auslöste, erscheint – gemessen an den heutigen Möglichkeiten – als verhältnismäßig simple Verknüpfung vergleichsweise unbedeutender Datenbestände. Auch die Volkszählung 1983/87, die seinerzeit massive gesellschaftliche Proteste auslöste, wirkt heute als harmlose Sammlung recht unsensibler Daten und nicht als die Vorbotin eines Überwachungsstaats, als der sie vielen Protagonisten seinerzeit erschienen war.

Trotzdem kann nicht davon die Rede sein, dass sich die Fragen nach dem Umfang und den Folgen von Registrierung und Überwachung mit dem Volkszählungsurteil von 1983 und der Volkszählung von 1987 erledigt hätten. Das Gegenteil ist richtig: Heute stellen sie sich brennender als vor 20 oder 25 Jahren, als das Datenschutzrecht seine noch heute erhaltenen Strukturen annahm. Genauso aktuell ist die Frage nach den Alternativen, nach einer angemessenen Reaktion auf technisch bedingte Herausforderungen und dem Interesse an einer immer umfassenderen Registrierung.

Auch wenn die mit der Volkszählung beschworenen Motive und Gefahren eines autoritären Überwachungsstaates sich im Nachhinein als Fehldeutungen erwiesen haben, darf dabei nicht übersehen werden, dass Überwachung zu einer immer bedeutsameren Grundströmung politischen und privaten Handelns geworden ist, der eine immer leistungsfähigere Technologie den Weg bahnt. So sind die heute heiß diskutierten Verkehrsdaten der Telekommunikation (wer hat wann mit wem telefoniert, ein Fax, eine SMS oder eine Email versandt und wann das Internet genutzt?) ein Nebenprodukt der digitalen Kommunikationstechnik. 1983, im sich dem Ende zuneigenden „analogen Zeitalter”, war die Telekommunikation weitgehend spurenlos und ließ sich nicht nach-vollziehen oder nur mit erheblichem Aufwand. Die heute massenweise anfallenden Verkehrsdaten sind ein Standardinstrument von Polizei und Strafverfolgungsbehörden. Die bei der Handy-Benutzung aufgezeichneten Standortdaten bilden ab, wer wann an welchem Ort war (etwa als Verdächtiger bei einer Straftat, aber auch als Teilnehmer einer Demonstration). Die Verkehrsdaten bilden nicht nur das individuelle Kommunikationsverhalten lückenlos ab, sie gestatten auch – ohne Hinzuziehung irgendwelcher zusätzlicher Daten – das Erstellen von Soziogrammen: Wer steht wie intensiv mit wem in Verbindung? Gibt es Meldeketten? Von wem ging der Anstoß für bestimmte Aktivitäten oder Diskussionen aus?

Dass es sich dabei nicht bloß um Horrorvisionen eines übersensiblen Datenschützers handelt, ist spätestens seit den Überwachungsvorfällen evident, die im Frühjahr 2008 bei der Deutschen Telekom aufflogen. Wer hätte es bis dahin für möglich gehalten, dass das größte deutsche Telekommunikationsunternehmen Verkehrsdaten seiner Kunden dazu nutzt, „undichte Stellen” im eigenen Apparat aufzuspüren? Wer hätte geahnt, dass Daten, die immerhin unter dem Schutz des Grundrechts auf das Fernmeldegeheimnis stehen, an eine obskure Firma zur Auswertung übergeben werden? Wer hätte nur im Entferntesten damit gerechnet, dass sich derartige Schnüffelpraktiken sogar auf Kinder und andere Verwandte auf von Arbeitnehmerseite bestimmte Aufsichtsratsmitglieder, auf führende Gewerkschaftler und Betriebsräte erstrecken? Und war es wirklich ein Zu-fall, dass die Überwachung dieses Personenkreises zeitlich mit dem härtesten Arbeitskampf in der Geschichte des Unternehmens zusammenfiel?

Nicht nur bei der Telekommunikation fallen Daten an, die elektronisch gespeichert und verarbeitet werden und die deshalb besonderen Missbrauchsrisiken ausgesetzt sind. Im Sommer 2008 wurden dubiose Praktiken von Lottogesellschaften ruchbar, die hunderttausende Adress- und Kontodaten zu illegalen Abbuchungen verwendeten. Beunruhigend war dabei weniger die Tatsache an sich, sondern das riesige Ausmaß, in welchem Daten, die auf einem aufblühenden Datenmarkt zu erwerben sind, dazu genutzt wurden. Offensichtlich sind persönliche Daten nahezu aller Bürger/innen zur Handelsware geworden und viele dieser Daten werden ohne Beachtung gesetzlicher Bestimmungen gehandelt. Die illegalen Praktiken riefen Empörung hervor, denn in vielen Fällen wurden die personenbezogenen Daten dazu verwendet, unter falschem Namen Waren zu bestellen oder Dienstleistungen in Anspruch zu nehmen.

Nahezu im Wochentakt wird seither über immer neue „Datenschutzskandale” berichtet, leider nicht immer in der nötigen Differenziertheit. Dabei lohnt es sich durchaus, genauer hinzuschauen, denn es handelt sich nicht durchgängig um unzulässige oder kriminelle Aktivitäten, was indes kein Anlass zur Entwarnung sein soll. Neben dem il-legalen gibt es durchaus einen legalen Datenmarkt. Unternehmen finden nichts dabei, die ihnen zur Verfügung stehenden Informationen freizügig zu nutzen, etwa zur Gewinnung solventer Kunden und zur Abwehr der weniger zahlungskräftigen Kundschaft. Den Daten sieht man in den meisten Fällen nicht an, ob sie aus legalen oder illegalen Quellen stammen. Medien wie Politiker forderten darauf hin eine grundlegende Umkehr beim Datenschutz. An die Spitze der Kritiker stellte sich Bundeswirtschaftsminister Michael Glos, der ein generelles Verbot des Datenhandels forderte. Umfragen ergaben, dass diese Forderung von mehr als 90 Prozent der Befragten unterstützt wurde.
Vielen war bis dahin nicht klar gewesen, dass mit ihren Daten ganz legal gehandelt wird. Neben öffentlichen Quellen wie Telefonbüchern greifen Adresshändler in ungeahntem Ausmaß auf Daten zurück, die aus Kaufverträgen (etwa Zeitschriftenabonnements oder Bestellungen bei Versandhändlern) stammen oder die durch Gewinnspiele und Preisausschreiben erlangt wurden. Dies ist zwar grundsätzlich legal und somit rechtlich nicht zu beanstanden. Trotzdem widerspricht die Datenweitergabe ohne Einwilligung des Betroffenen unserem Verständnis von „informationeller Selbstbestimmung”.

Hatte nicht das Bundesverfassungsgericht schon von mehr als 25 Jahren ausgeführt, dass jeder das Recht hat, über die Preisgabe seiner persönlichen Daten selbst zu bestimmen? Wie kann es dann angehen, dass Unternehmen ihre Geschäftsmodelle dar-auf stützen, die Daten ohne Zustimmung der Betroffenen zu verwenden, und zwar für ganz andere Zwecke?

Der Präsident des Bundesverfassungsgerichts, Prof. Dr. Dres. h.c. Hans-Jürgen Papier, hat kürzlich auf einer Festveranstaltung zum 25. Jahrestag des Volkszählungsur-teils davon gesprochen, dass gerade durch die massenweise Zusammenführung von personenbezogenen Daten durch Unternehmen ein „Super- GAU” des Datenschutzes drohe, dem es zu begegnen gelte. Bemerkenswert ist an diesen Ausführungen weniger die Diagnose, sondern die Konsequenz, die der Verfassungsgerichtspräsident aus der Faktenlage zog: Der Staat solle in der verfassungsgerichtlichen Rechtsprechung zum informationellen Selbstbestimmungsrecht auch eine Regelungs- und Gestaltungsmaxime der Datenverarbeitung der Wirtschaft sehen und nicht bloß eine Grenzziehung zwischen Bürger und Staat im Sinne eines klassischen Abwehrrechts.

Dass hier dringender Handlungsbedarf bestand, darüber bildete sich nach den ersten „Datenschutzskandalen” des Jahres 2008 – durchaus bemerkenswert – auf der politischen Ebene sehr schnell ein parteiübergreifender Konsens heraus. Ein „Datenschutzgipfel” einigte sich Anfang September 2008 auf wesentliche Verschärfungen des Datenschutzrechts. Am bedeutsamsten ist dabei der Wegfall des „Listenprivilegs”, nach dem die Verwendung bestimmter Daten für Werbezwecke auch ohne Zustimmung des Betroffenen zulässig ist. In Zukunft soll gelten, dass die Weitergabe von persönlichen Daten für Werbezwecke nur noch erfolgen darf, wenn die Betroffenen vorher eingewilligt haben.

Wer allerdings gedacht hatte, mit dem parteiübergreifenden Konsens sei alles in trockenen Tüchern, wurde in den folgenden Monaten eines Besseren belehrt. Landauf, landab rührten die Vertreter der Werbe- und Adresshandelsbranche die Trommel, als gelte es, den Untergang des Abendlandes, mindestens jedoch die Zerstörung der Werbewirtschaft, zu verhindern. Innerhalb weniger Wochen wurden Abgeordnete, Parteifunktionäre, Ministerien und Datenschutzbehörden mit entsprechenden Schreiben förmlich zugeschüttet – ein Verfahren, das in seinem Ausmaß allenfalls noch durch die Waffenlobby überboten wird, wenn sie unangenehme Änderungen gesetzlicher Regelungen befürchtet.

Die von den Lobbyisten verwendeten Argumente sind nicht nur überzogen, sondern vielfach sogar falsch. Millionen Arbeitsplätze würden zerstört, Milliarden Euro Verluste produziert und die Unternehmen außer Landes getrieben. Da war von einem „Verbot des Direkt-Marketings” die Rede und das Ende gemeinnütziger Organisationen wurde beschworen, da sie keine Spender mehr finden könnten. Bisweilen drängte sich der Eindruck auf, der Kommunismus würde ausbrechen, wenn zukünftig der Betroffene selbst darüber bestimmen kann, wer seine Daten für Werbezwecke verwenden darf. Angesichts dieses Drucks stimmt es optimistisch, dass das Bundeskabinett Anfang Dezember 2008 eine Datenschutznovellebesch/ossen hat, die den Konsens vom September im wesentlichen abbildet, auch wenn einige Forderungen durch weit gehende Ausnahmetatbestände aufgeweicht wurden. Trotzdem ist noch nicht endgültig entschieden, ob der Bundestag dem Lobbydruck standhalten wird. Der Ausgang dieser Auseinandersetzung wird auch exemplarisch für die Frage nach dem Primat der politischen Mehrheitsentscheidung sein.

Auch wenn sich die Daten-Missbrauchsfälle der letzten Monate vorwiegend im Unternehmensbereich ereignet haben, darf darüber nicht vergessen werden, dass ebenso staatliche Stellen immer mehr Daten von uns erheben und dass ihre Befugnisse weiter ausgebaut werden. So hat das Bundeskriminalamt schließlich doch – nach monatelangem Geplänkel – umfangreiche neue Befugnisse erhalten, die in die Privatsphäre ein-greifen, insbesondere die Befugnis zum heimlichen Zugriff auf informationstechnische Systeme, die sog. „Online-Durchsuchung”. Keine andere deutsche Polizeibehörde hat bisher so umfassende Befugnisse zur verdeckten Datenerhebung wie das BKA. Zugleich wird die Infrastruktur staatlicher Telekommunikationsüberwachung weiter ausgebaut, wobei im Mittelpunkt dabei die Bündelung der Überwachung bei einer zentralen Behörde steht. Damit würde das Trennungsgebot von Polizei und Nachrichtendiensten weiter durchlöchert.

Wie aber können wir, kann die Gesellschaft auf diese Herausforderungen reagieren, ohne sich auf eine Robinsonsche Insel, fern aller technologischen Segnungen, zu verkriechen? Sollen Staat und Wirtschaft etwa auf die Vorteile verzichten, die sich aus der revolutionären Weiterentwicklung elektronischer Datenverarbeitung ergeben?

Eine gewisse Zurückhaltung wäre durchaus angebracht, aber sie wird wohl nicht von selbst einkehren. Zu stark sind die Motive, welche die Entwicklung bisher angetrieben haben und sie wirken weiter. In einem Rechtsstaat ist es in erster Linie das Recht, welches den Rahmen vorgeben kann. Allerdings kann und soll das Recht weder neue wissenschaftliche Erkenntnisse verhindern, noch kann es operative Entscheidungen im politischen oder wirtschaftlichen Raum im Detail vorprägen.

Trotzdem könnte die Weiterentwicklung des Rechtsrahmens entscheidende Weichen für den Datenschutz stellen, etwa im Hinblick auf „Datenaskese”, die der Altmeister des Datenschutzes, Professor Dr. Spiros Simitis, nicht müde wird, einzufordern. Datenvermeidung und Datensparsamkeit sind bei Leibe nicht neue Forderungen. Sie sind sogar seit 2001 im Bundesdatenschutzgesetz verankert (zuvor hatte die Datensparsamkeit bereits in das Tele- und Mediendienstrecht Einzug genommen). In § 3a BDSG heißt es:
„Gestaltung und Auswahl von Datenverarbeitungssystemen haben sich an dem Ziel auszurichten, keine oder so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen.”

Diese Vorgabe ist leider bis heute ganz überwiegend ein frommer Wunsch geblieben, denn meistens dominieren bei der konkreten Entscheidung über die Beschaffung oder Entwicklung eines Verfahrens oder Systems Zweckmäßigkeitserwägungen über die Datensparsamkeit. Fast hat man den Eindruck, die Entwicklung folge der Maxime „im Zweifel für die Datenerfassung.” Dies ist nicht nur im Bereich der öffentlichen Sicherheit so, also bei der Kriminalitätsbekämpfung, Terrorismusabwehr und Strafverfolgung, sondern auch in vielen anderen Bereichen. So werden sehr viele Daten von Steuerbehörden und Sozialleistungsträgern gesammelt. Steuergerechtigkeit, die Bekämpfung von Steuerhinterziehung und ganz allgemein „Gerechtigkeit” sind mindestens genauso starke Motive für eine immer umfangreichere Erhebung und Verarbeitung personenbezogener Daten wie die Sicherheitsinteressen des Staates. In kaum einem Bereich lässt sich die Diskussion über das richtige Maß an Datenverarbeitung und Datenschutz ein-fach und konsensual beenden, denn es geht fast nie um schwarz und weiß oder gut und böse in Reinform.

Eine Datenaskese oder Datendiät, wenn sie denn im Einzelfall einmal beschlossen wird, verspricht indes nur vorübergehenden Erfolg, denn der einmal gefasste Vorsatz verblasst mit der Zeit und der Alltag oder die Routine kehrt wieder ein, ein Alltag, der durch immer umfangreichere Datenverarbeitung geprägt ist. Entscheidend ist vielmehr ein generelles Umdenken, um das Recht auf informationelle Selbstbestimmung nachhaltig zu gewährleisten. Dieses Umdenken muss interdisziplinär sein, also technologische, soziale und rechtliche Aspekte umfassen.

Eine unabdingbare Voraussetzung einer demokratischen Informationsgesellschaft ist ein Mehr an Transparenz hinsichtlich dessen, was tatsächlich abläuft. Dies gilt zunächst einmal im Hinblick auf die Erhebung und Erfassung personenbezogener Daten, die sich allzu häufig außerhalb unseres Blickfeldes abspielt. Transparenz ist aber auch dort geboten, wo Daten, die für einen bestimmten Zweck erhoben worden sind, weiterverwendet werden sollen. Ohne „Durchblick” haben weder der Einzelne noch die Gesellschaft eine realistische Chance, den schleichenden Weg in die Überwachungsgesellschaft zu stoppen.

Transparenz der Datenverarbeitung muss es gleichermaßen geben für die in Geräten und Gegenständen eingebauten IT-Komponenten, etwa für RFID-Chips, wie auch für Prozeduren, mit denen Menschen bewertet werden, etwa beim Kreditscoring. „Mehr Licht” muss es aber auch geben, wenn der Staat zwangsweise personenbezogene Daten seiner Bürgerinnen und Bürger erhebt und für hoheitliche Zwecke verwendet.

Transparenz ist eine notwendige Voraussetzung dafür, dass der Einzelne sein Recht auf informationelle Selbstbestimmung wahrnehmen kann, aber keine hinreichende Bedingung dafür, dass dieses Ziel auch erreicht wird. Informationelle Selbstbestimmung bedeutet im Wortsinne, dass der Einzelne grundsätzlich selbst darüber entscheiden kann, wer was über ihn weiß. Jede selbst bestimmte Entscheidung setzt neben der Kenntnis auch das Vorhandensein von Alternativen voraus. Wenn man sich allerdings die Realität der Datensammlungen und Überwachungsmaßnahmen ansieht, kann von freier Selbstbestimmung häufig keine Rede sein. Wer sich im öffentlichen Raum bewegt, sei es zu Fuß, mit dem Auto oder mit öffentlichen Verkehrsmitteln, kann sich nicht aussuchen, ob er dabei durch Videosysteme überwacht wird. Auch in vielen anderen Bereichen, vom elektronischen Zahlungsverkehr, über die Telekommunikation bis hin zum Medienkonsum ist es dem Einzelnen kaum möglich, einer Registrierung seines individuellen Verhaltens zu entkommen.

Im Bereich des wirtschaftlichen Handelns könnte das als Reaktion auf die Datenschutzvorfälle im Jahr 2008 politisch beschlossene Koppelungsverbot hier weiterhelfen. Unternehmen sollen Vertragsabschlüsse nicht mehr daran binden dürfen, dass der Betroffene in die Datenverarbeitung für andere Zwecke einwilligt.

Aber ein solches Koppelungsverbot – wie überhaupt das Konzept der Einwilligung des Betroffenen – taugt kaum zur Begrenzung der Datenverarbeitung im hoheitlichen Bereich. Entweder sind bestimmte Daten für die Wahrnehmung staatlicher Aufgaben erforderlich, dann muss ihre Verwendung gesetzlich normiert werden, oder sie werden da-für nicht gebraucht, dann dürfen sie nicht erhoben werden. Also muss der Gesetzgeber selbst die Grenzen staatlicher Datenverarbeitung und Registrierung enger ziehen und kann dies nicht auf den Einzelnen abwälzen. Insofern ist hier die politische Entscheidung über den Rechtsrahmen bei staatlichem Datenumgang noch unmittelbarer gefragt als bei der Datenverarbeitung durch private Unternehmen. In den letzten Jahrzehnten hat die Politik diesen Gestaltungsauftrag nicht angenommen, sondern die Befugnisse zur Verarbeitung personenbezogener Daten laufend ausgeweitet. Auch hier ist, wie bei der Datenverarbeitung durch die Wirtschaft, ein gründliches Umsteuern erforderlich.

Im Grunde geht es darum, jeden Geschäftsprozess, jede staatliche Aufgabe darauf-hin zu überprüfen, ob Entscheidungsalternativen bestehen, bei denen der Einzelne von Beobachtung und Registrierung verschont wird. Technologie kann dabei helfen, derartige Ansätze Realität werden zu lassen. In manchen technischen Systemen sind im Prinzip schon die grundlegenden Voraussetzungen vorhanden, die eine anonyme Nutzung ermöglichen würden. Wichtig ist, dass diese Komponenten auch entsprechend konfiguriert und aktiviert werden. So ist es nicht alternativlos, elektronische Zahlungsmittel nur für einen personengebundenen Einsatz zu verwenden. Schon seit langem können Zahlungen auch in Prepaid-Verfahren realisiert werden. Die Kommunikation über das Internet kann so gestaltet werden, dass ein unbeobachtbares Surfen im Web möglich ist. Digitales Telefonieren kann mittels Verschlüsselungstechniken wirksam gegen Abhöraktionen geschützt werden. Häufig fehlt es allerdings an Phantasie und/oder dem Gestaltungswillen, die Potentiale zu erkennen, zu fördern und zu nutzen, welche die moderne Technologie für den Datenschutz bereitstellt.

Einige dieser datenschutzfreundlichen Features sind weit entwickelt, haben sogar in unseren Alltag Einzug genommen, etwa die verschlüsselte Internet-Telefonie. Sehr schnell werden in derartigen Fällen jedoch Stimmen laut, die auf die Missbrauchsmöglichkeiten datenschutzfreundlicher Techniken hinweisen. So können Anonymisierungsdienste im Internet dafür benutzt werden, kriminelle Aktivitäten, etwa in Bezug auf die Verbreitung von Kinderpornographie, zu verschleiern. Verschlüsselte Kommunikationswege könnten von Terroristen dazu verwendet werden, sich unbeobachtet zu organisieren und Attentate zu planen. Prepaid-Systeme könnten dazu verwendet werden, Schwarzgeld zu waschen. Dies alles spricht jedoch nicht gegen den Einsatz datenschutzfreundlicher Techniken, denn auch bei konventionellen Techniken der Kommunikation, des Bezahlens und sonstiger gesellschaftlicher Aktivitäten gab es stets Frei-räume ohne Überwachung und Registrierung. Die Möglichkeit, Verhaltensweisen zu registrieren, darf nicht wie in den letzten Jahrzehnten zu einem unausgesprochenen Automatismus des Registrierens verleiten. Es muss auch in Zukunft Räume geben, die frei von Überwachung und Erfassung sind. Dies ist übrigens eine Überlegung, die auch in der Rechtsprechung des Bundesverfassungsgerichts zum unantastbaren Kernbereich privater Lebensgestaltung zum Ausdruck kommt.

Unsere Gesellschaft muss zu einer Ethik der informationellen Selbstbegrenzung kommen: Nicht alles was möglich ist, darf auch gemacht werden. Zunehmende Überwachung, Registrierung, Bewertung und damit verbundene Gängelung der Bürger passen nicht in ein freiheitliches Gemeinwesen und würden aus uns auf Dauer eine Gesellschaft von Angepassten und Duckmäusern machen. Es bleibt jedem überlassen zu beurteilen, welche Variante er vorziehen würde.

Der Beitrag Datenschutz im Informationszeitalter erschien zuerst auf Humanistische Union.

Der Datenschutz, also das Grundrecht auf informationelle Selbstbestimmung, bindet – wie jedes Grundrecht – Gesetzgeber, Verwaltung und Rechtsprechung. Zum Grundrechtsschutz gehören die unabhängigen Datenschutzbeauftragten als Beratungs- und Kontrollorgane, die über ihre Tätigkeit den Parlamenten regelmäßig Bericht erstatten, um frühzeitig auf Gefahren und Fehlentwicklungen hinzuweisen. Als Bundesbeauftragter für den Datenschutz habe ich nach § 26 Abs. 1 Satz 2 des Bundesdatenschutzgesetzes den Deutschen Bundestag und die Öffentlichkeit über wesentliche Entwicklungen des Datenschutzes zu unterrichten. Diesen Auftrag habe ich in der Vergangenheit wahrgenommen und werde mich nicht davon abbringen lassen, dies auch in Zukunft zu tun.
Mein Tätigkeitsbericht für die Jahre 2003 und 2004, den ich vor Kurzem dem Präsidenten des Deutschen Bundestages übergeben und im Anschluss der Öffentlichkeit vorgestellt habe, zeigt, dass das Grundrecht auf informationelle Selbstbestimmung durch den rasanten technologischen Fortschritt und andere Entwicklungen – insbesondere bei der öffentlichen Sicherheit – bedroht ist.
So wurden immer wieder – nicht erst nach den terroristischen Anschlägen vom 11. September 2001 – zusätzliche Befugnisse für die Sicherheitsbehörden eingeführt. Die Liste der realisierten und geforderten Grundrechtseinschränkungen ist lang, und ein Ende ist leider noch nicht abzusehen: Die – im letzten Jahr vom Bundesverfassungsgericht beanstandeten – Regelungen zum „Großen Lauschangriff“, also zur akustischen Wohnraumüberwachung, sind zwar öffentlich besonders kritisch diskutiert worden; im Hinblick auf ihre praktische Bedeutung, also ihren Einsatz durch die Ermittlungsbehörden, bleiben sie aber weit hinter anderen gesetzlichen Befugnissen zurück, insbesondere hinter der Überwachung der Telekommunikation. So ist nicht nur der Straftatenkatalog für die Telekommunikationsüberwachung immer wieder erweitert worden, auch die Anwendung dieser Befugnisse hat in den letzten Jahren drastisch zugenommen.
Weil es sich beim Datenschutz um ein Grundrecht handelt, müssen diejenigen, die ihn einschränken wollen, den Beweis antreten, dass der geforderte Eingriff erforderlich ist und dem Grundsatz der Verhältnismäßigkeit entspricht. Die bloße Behauptung, diese oder jene Maßnahme diene der Bekämpfung des Terrorismus oder der allgemeinen Kriminalität, reicht bei weitem nicht aus. Und auch die Befugnisse, die staatlichen Stellen bereits eingeräumt wurden, müssen regelmäßig überprüft und gegebenenfalls zurückgenommen werden.
Dies gilt auch für die nach den Anschlägen 2001 als „Sicherheitspakete“ befristet eingeführten Befugnisse. Sie müssen auf ihre Effizienz und Erforderlichkeit hin überprüft werden, wie es bereits im damaligen Gesetzgebungsverfahren vorgesehen war und seinerzeit als wichtige Voraussetzung für ihre Verabschiedung gesehen wurde. Ich halte es für dringend erforderlich, die bei der „Evaluation“ verwendeten Kriterien und die Ergebnisse der Öffentlichkeit zugänglich zu machen, damit die politische Debatte auf Basis einer gesicherten Faktenlage geführt werden kann. Dies ist deshalb besonders wichtig, weil über die Fortsetzung von Grundrechtseingriffen zu entscheiden ist, bei denen der verfassungsrechtliche Verhältnismäßigkeitsgrundsatz gewahrt bleiben muss. Eingriffsbefugnisse, die nicht gebraucht werden oder die sich nicht bewährt haben, sind zurückzunehmen. Einen Automatismus darf es bei der anstehenden Verlängerung nicht geben. Eine generelle Entfristung der Befugnisse, wie sie vom Bundesinnenminister gefordert wurde, lehne ich ab.
Für nicht angemessen hielte ich es, wenn im Prinzip jedes Ergebnis als Argument für die Beibehaltung oder gar Ausweitung der Grundrechtseingriffe verwendet würde. So überzeugt es nicht, wenn eine geringe oder völlig fehlende Nutzung der neuen Befugnisse als Beweis für einen „verantwortungsvollen Umgang“ damit gewertet und daraus zusätzliche Forderungen abgeleitet würden, zugleich aber – wie bei der Telekommunikationsüberwachung – eine starke Nutzung als Beleg dafür angeführt wird, dass neue Eingriffsbefugnisse erforderlich seien.
„Für nicht angemessen hielte ich es, wenn im Prinzip jedes Ergebnis als Argument für die Beibehaltung oder gar Ausweitung der Grundrechtseingriffe verwendet würde.“
Das Bundesverfassungsgericht hat die Bedeutung des Grundrechts auf informationelle Selbstbestimmung in mehreren Entscheidungen eindrucksvoll unterstrichen. So betont das Verfassungsgericht in seiner Entscheidung zum Großen Lauschangriff vom 3. März 2004, dass ein unantastbarer Kernbereich privater Lebensgestaltung vor jeglicher Überwachung geschützt bleiben muss. Diese Entscheidung hat Konsequenzen weit über die akustische Wohnraumüberwachung hinaus, insbesondere für die Telefonüberwachung. Denn das Gericht hat am gleichen Tag in einer weiteren Entscheidung festgestellt, dass die aufgestellten Grundsätze auch bei der Befugnis zur präventiven Telekommunikationsüberwachung durch das Zollkriminalamt zu beachten sind. Ich erwarte deshalb von der Bundesregierung, dass sie noch in dieser Legislaturperiode einen Gesetzentwurf zur Begrenzung und Neuregelung der Telekommunikationsüberwachung vorlegt.
Kritisch sehe ich die auf europäischer Ebene diskutierte Initiative zur Einführung einer Verpflichtung zur Speicherung von Telekommunikationsdaten. Diese Daten (Wer hat wann mit wem telefoniert? Wo hat er/sie sich dabei aufgehalten? Unter welcher IP-Adresse wurde im Internet gesurft und welche Seiten wurden dabei angesehen?) sollen in Zukunft generell zwölf bis 36 Monate aufbewahrt werden. Dies wäre datenschutzrechtlich bedenklich, wie der Deutsche Bundestag mehrfach mit großer Mehrheit festgestellt hat, zuletzt in seinem einstimmigen Beschluss vom 17. Februar 2005. Als Alternative zur generellen und massenweisen Datenspeicherung auf Vorrat könnte die Strafverfolgungspraxis in den USA dienen, bei der auf Ersuchen der Strafverfolgungsbehörden zwar in begründeten Einzelfällen die elektronischen Daten von den Diensteanbietern weiter zu speichern sind, aber nur herausgegeben werden müssen, wenn innerhalb von 90 Tagen ein entsprechender richterlicher Beschluss vorgelegt wird. Ein solcher Ansatz wäre wesentlich datenschutzfreundlicher und würde den geltend gemachten Belangen der inneren Sicherheit in gleicher Weise gerecht.
Ein weiterer wichtiger Punkt sind biometrische Systeme und Verfahren, die in mehreren Bereichen kurz vor der Anwendung stehen, um die Identifikation von Personen zu erleichtern. Sie ermöglichen es jedoch auch, den Einzelnen heimlich zu überwachen. Noch in diesem Jahr sollen die ersten Pässe mit biometrischen Merkmalen ausgegeben werden. Die Biometrie hält aber häufig nicht, was man sich von ihr verspricht. Vor allem ist sie kein Allheilmittel zur Gefahrenabwehr oder Kriminalitätsbekämpfung. Wissenschaftliche Untersuchungen und Anwendungstests zeigen vielmehr, dass sie oft nicht so zuverlässig funktioniert, wie es für ihren flächendeckenden Einsatz erforderlich wäre.
Im Hinblick auf die geplante Einführung der Biometrie-Pässe hat das Bundesinnenministerium kürzlich erklärt, Tests hätten die Zuverlässigkeit der Verfahren belegt. Was spricht dann dagegen, diese Untersuchungen zu veröffentlichen? Schließlich hat die Öffentlichkeit ein Recht darauf, zu erfahren, welche Konsequenzen die Ausstattung der Personalpapiere der EU-Bürgerinnen und -Bürger mit digitalem Gesichtsbild und Fingerabdruck auf einem kontaktlos auslesbaren Funkchip haben wird. Ich halte eine offene und breit geführte Diskussion über biometrische Verfahren für unverzichtbar. Für die Einführung biometrischer Merkmale in Reisepässen erscheint mir deswegen ein Moratorium angebracht, zumal die entsprechenden Vorgaben der EU-Verordnung erst Mitte 2006 und nicht etwa in diesem Jahr umgesetzt werden müssen.
Auch bei anderen elektronischen Verfahren, die derzeit diskutiert werden oder unmittelbar vor der Einführung stehen, muss der Grundsatz gelten, Sorgfalt geht vor Schnelligkeit. Dies gilt sowohl für die Gesundheitskarte als auch für die JobCard, zwei anspruchsvolle elektronische Verfahren, die auch für den Datenschutz eine große Herausforderung darstellen. Die damit verbundenen Probleme sind sicherlich lösbar, aber Entwicklung und Einführung müssen gründlich und sorgfältig vorbereitet werden, nicht zuletzt damit diese Karten auf die zwingend erforderliche Akzeptanz bei den Betroffenen stoßen. Im Mittelpunkt stehen dabei das Selbstbestimmungsrecht der Patientinnen und Patienten und die Vertraulichkeit der medizinischen Daten.
Leider hat die Entwicklung technologischer Instrumente, mit denen sich der Einzelne gegen die Erfassung seiner Daten schützen kann, nicht mit der allgemeinen technologischen Entwicklung Schritt gehalten. Umso wichtiger ist es, bei neuen Systemen den Datenschutz bereits in der Entwicklungs- und Konzeptionsphase zu berücksichtigen, wie dies das Bundesdatenschutzgesetz (BDSG) bereits seit 2001 vorsieht. Offenbar hat diese Erkenntnis noch nicht alle Beteiligten erreicht. So musste ich feststellen, dass selbst bei einem Großprojekt wie der Umstellung der Arbeitslosen- und Sozialhilfe auf das Arbeitslosengeld II elementare Datenschutzanforderungen bei der Systemgestaltung nicht beachtet wurden.
Von grundlegender Bedeutung sind auch die neuen Erkenntnisse bei der Erforschung des menschlichen Genoms und die daraus erwachsenen Anwendungsmöglichkeiten. Aus der DNA lassen sich sowohl die Identität und die Abstammung feststellen als auch Hinweise auf persönliche Eigenschaften und über die Veranlagung zu Krankheiten gewinnen. Die Kontroversen um die Nutzung der DNA als „Fingerabdruck des 21. Jahrhunderts“ und über die Zulässigkeit heimlicher Vaterschaftstest sind dabei nur ein erster Ausdruck für die Umwälzungen, die sich aus den neuen Erkenntnissen ergeben. Die hiermit verbundenen Fragen gehen weit über das kodifizierte Datenschutzrecht hinaus. Die kommenden Jahre werden entscheidende Weichenstellungen bringen, ob angesichts dieser qualitativ neuen Möglichkeiten das Persönlichkeitsrecht bewahrt werden kann. Vor diesem Hintergrund mag zwar der sog. „Richtervorbehalt“ bei der DNA-Identitätsfeststellung bei anonymen Tatortspuren verzichtbar sein, seine weitere Einschränkung, etwa bei Vorliegen zweifelhafter, weil nicht wirklich freiwilliger Einwilligungen, geht jedoch zu weit.
Unverändert kontrovers bleibt auch die staatliche Kontenabfrage, die auch das Bundesverfassungsgericht beschäftigt. Auch wenn das Bundesministerium der Finanzen inzwischen mit einem „Anwendungserlass“ den datenschutzrechtlichen Bedenken zum Teil Rechnung getragen hat und jetzt eine Information der Betroffenen vorsieht, sind noch nicht alle Einwände ausgeräumt. Ich rege deshalb an, dass zumindest die bereits in dem Anwendungserlass geregelten Vorgaben zur Gewährleistung des Datenschutzes in das Gesetz übernommen werden. Generell stellt sich jedoch weiterhin die Frage, ob die in dem Gesetz vorgesehene Verpflichtung der Banken, die Kontostammdaten generell für sehr vielfältige staatliche Aufgaben zum Online-Abruf bereitzuhalten, mit dem Grundsatz der Verhältnismäßigkeit zu vereinbaren ist.
Dieses Beispiel macht im Übrigen deutlich, wie staatliche Stellen zunehmend Zugriff auf Datenbestände der privaten Wirtschaft nehmen, die zu ganz anderen Zwecken angelegt worden sind. Dies ist eine Entwicklung, die in ihrer Tragweite von vielen Bürgerinnen und Bürgern noch gar nicht wahrgenommen worden ist und grundsätzliche Fragen zur Struktur und Wirksamkeit unseres Datenschutzrechts aufwirft, da die klare Trennung zwischen der Datenspeicherung für geschäftliche Zwecke und für staatliche Aufgaben verschwimmt. Bedenklich ist in diesem Zusammenhang auch, dass die Nutzungshäufigkeit von Befugnissen, die das Telekommunikationsgesetz Strafverfolgungs- und Sicherheitsbehörden einräumt, drastisch angestiegen ist. Im Jahr 2004 wurden in fast drei Millionen Fällen Stammdaten von Telekommunikationskunden in einem automatisierten Verfahren bei der Regulierungsbehörde für Telekommunikation und Post nachgefragt (2001: 1,5 Mio.). Diese hat daraufhin insgesamt rund 10 Millionen Abfragen bei Telekommunikationsunternehmen gestellt (2001: 3,2 Mio.). Diese ausufernde Abfrage der Stammdaten von Telekommunikationskunden sollte gesetzlich begrenzt werden.
„Es darf nicht nur den Datenschutzbeauftragten überlassen bleiben, auf Gefährdungen für den Datenschutz hinzuweisen.“
Die grenzüberschreitende Datenverarbeitung und vor allem die Datenübermittlungen zwischen den nunmehr 25 Mitgliedstaaten der EU nehmen deutlich zu. Zwar ist die Europäische Datenschutzrichtlinie inzwischen durchgehend in nationales Recht umgesetzt; sie bezieht sich jedoch nicht auf die Verarbeitung personenbezogener Daten im Sicherheitsbereich. Wenn Polizei- und Strafverfolgungsbehörden intensiver zusammenarbeiten und dabei auch personenbezogene Daten ohne Rücksicht auf nationale Grenzen austauschen sollen, wie dies im Haager Programm beschlossen wurde, muss der Datenschutz auch auf diesem Gebiet europäisiert werden. Ausgangspunkt müssen dabei die Datenschutz-Grundrechte der Europäischen Grundrechtecharta sein, die unverändert in den Entwurf für eine Europäische Verfassung übernommen wurden.
Aber auch der nationale Gesetzgeber bleibt weiter gefordert, denn angesichts der rasanten technologischen Entwicklung ist eine stetige Weiterentwicklung der geltenden datenschutzrechtlichen Bestimmungen zwingend erforderlich. Leider herrscht hier aber eher Stillstand: Das für den Vollzug des BDSG 2001 erforderliche Datenschutzauditgesetz, das vom Bundestag seit langem geforderte Arbeitnehmerdatenschutzgesetz und das dringend notwendige Gendiagnostikgesetz lassen weiter auf sich warten. Auch die angekündigte grundlegende Modernisierung des Datenschutzrechts kommt nicht voran. Lediglich in einigen gesetzlichen Spezialregelungen konnten erfreuliche Ergebnisse erreicht werden, etwa bei der Gesundheitskarte.
Es darf nicht nur den Datenschutzbeauftragten überlassen bleiben, auf Gefährdungen für den Datenschutz hinzuweisen. Vielmehr müssen die Bürgerinnen und Bürger ihr Grundrecht auf informationelle Selbstbestimmung aktiv wahrnehmen und den hierfür erforderlichen gesetzlichen Rahmen einfordern. Denn gerade für bedrohte Grundrechte gilt, dass sie sich nur behaupten werden, wenn sie in Anspruch genommen und verteidigt werden.

Der Beitrag Datenschutz – ein bedrohtes Grundrecht erschien zuerst auf Humanistische Union.