In der Klemme zwischen den USA und China

Informationeller Grundrechtsschutz hat seine Wurzeln in den USA. Es waren die US-Juristen Samuel D. Warren und Louis D. Brandeis, die mit ihrem Aufsatz „The Right to Privacy“ im Jahr 1890 die rechtlichen Grundüberlegungen zu einem Immaterialgüter- und Privatheitsschutz legten.ⁱ Und es war Alan F. Westin, der 1966 mit „Privacy and Freedom“ⁱⁱ die erste umfassende Analyse auf der Grundlage der inzwischen bestehenden Informationstechnik lieferte und hieraus verfassungsrechtliche Anforderungen ableitete. Seitdem ging es mit dem informationellen Grundrechtsschutz in den USA bergab und in Europa bergauf. Wichtige Wegmarken waren die Datenschutzgesetzgebung in Europa in den 1970er Jahren, das Volkszählungsurteil des deutschen Bundesverfassungsgerichts (BVerfG) 1983ⁱⁱⁱ, die europäische Datenschutz-Richtlinie aus dem Jahr 1995^iv, die explizite Grundrechtsfixierung des Datenschutzes in Art. 8 der seit 2009 wirksamen europäischen Grundrechte-Charta (GRCh) und nun jüngst die seit dem 25.05.2018 in der Europäischen Union (EU) direkt anwendbare Datenschutz-Grundverordnung (DSGVO).^v

Rechtlicher Grundrechtsschutz und faktische Grundrechtsdurchsetzung sind indes zwei Welten, die sich im Dauerkonflikt befinden. Alan F. Westin hat dies schon für die 1960er Jahre beeindruckend und ernüchternd dargestellt. Spätestens seit dem Aufkommen des Internets entwickeln sich Rechtsanspruch und Realität schneller und weiter auseinander. US-Unternehmen wie Microsoft, Google, Apple, Facebook und Amazon begründeten ihre auf Informationstechnik basierenden Geschäftsmodelle ohne grundrechtliche Rücksichtnahmen. Es sind insbesondere Google und Facebook, die mit der Vermarktung ihres Wissens über ihre Digitalkunden vorrangig für Werbezwecke den globalen Markt dominieren. Während Google noch minimal Rücksicht auf rechtliche Vorgaben nimmt, basiert das Geschäftsmodell von Facebook von Anfang an und weiterhin auf Rechtsbruch.^vi In den USA wird dieser bisher rechtlich und politisch weitgehend billigend in Kauf genommen, nicht zuletzt, weil damit erwünschte globale ökonomische und sicherheitspolitische, für das Land als positiv bewertete Effekte einhergehen: Es sprudeln nicht nur die Finanzquellen für die Unternehmen, sondern auch die Datenquellen, derer sich die US-Behörden nach Belieben bedienen.

Seit Beginn des 21. Jahrhunderts drängen chinesische Firmen auf diesen globalen Markt. Alibaba entwickelt sich auf den Märkten weltweit als ernsthafte Konkurrenz zu Amazon im Bereich der Online-Vermarktung. Huawei etablierte sich als globaler Marktführer bei der Netzausstattung. Mit TikTok schaffte es ein chinesischer Anbieter, in die Dominanz der US-Firmen im Social-Media-Bereich einzubrechen. Gegenüber den US-Firmen stehen sie direkt unter der Aufsicht und der Fürsorge der chinesischen Regierung bzw. der diese leitenden Kommunistischen Partei. Ihr informationstechnisches Handeln ist von menschenrechtlichen oder demokratischen Erwägungen vollständig befreit.

Von der europäischen und allen voran der deutschen Politik wurde diese Entwicklung über viele Jahre hinweg zunächst mit ungläubigem, dann begeistertem Staunen verfolgt. Erst in jüngster Zeit weicht dies dem Erschrecken. Unternehmen aus Nordamerika und Südostasien besetzen sukzessive die informationstechnischen Märkte und überlassen den europäischen Unternehmen allenfalls Zubringer- oder Hilfsdienste. Gestützt wurde und wird dieses Machtverhältnis durch das in Europa geltende Recht, das zersplittert und nationalen Egoismen folgend keine gemeinsame Antwort auf die Herausforderungen der neuen Digitalmärkte fand: Während die ausländischen Unternehmen ihre illegalen Geschäftsmodelle weiterentwickeln konnten, sahen und sehen sich die inländischen Unternehmen weiterhin einem hohen regulativen Druck, auch im Bereich des Datenschutzes, ausgesetzt. Dies brachte und bringt die europäischen Unternehmen weiter ins technische und wirtschaftliche Hintertreffen.

Die europäische Antwort

Die europäische Politik in Brüssel entwickelte für diese schleichende digitale Entmündigung, früher und klarer als die nationale Politik, ein zunehmendes Bewusstsein. Eine Antwort auf die digitale, ökonomische und letztlich sicherheitspolitische Bedrohung ist die DSGVO: Nur durch einen Zusammenschluss in der Union und eine rechtliche Harmonisierung besteht die Chance, den globalen Herausforderungen durch US- und anderen ausländische Unternehmen entgegenzutreten und dabei zugleich die bestehenden rechtlichen Werte zu bewahren. Der Fokus der DSGVO liegt auf dem Schutz personenbezogener Daten, also letztlich dem Schutz der Privatsphäre sowie des allgemeinen Persönlichkeitsrechts. Diese sind durch die zunehmende Digitalisierung aller Lebensbereiche immer stärker bedroht.

Die Herausforderungen durch außereuropäische Unternehmen gehen aber darüber hinaus: Diese monopolisieren die Digitalmärkte in Europa, gefährden mit ihrer unbeschränkten Verbreitung von Hassreden und Falschnachrichten den demokratischen Diskurs, machen Profit, ohne Steuern zu zahlen oder auch nur für die gesellschaftlich verursachten Schäden aufzukommen und betreiben eine Kommunikationsinfrastruktur, die nicht nach demokratischen Regeln funktioniert und deren Sicherheit vom Wohlwollen der Unternehmen abhängt. Beeinträchtigt ist damit nicht nur die informationelle Selbstbestimmung der Nutzenden, sondern generell die gesellschaftliche und staatliche Souveränität im Bereich der Digitalisierung.

Die Antworten der DSGVO auf die geschilderten Herausforderungen in Sachen Persönlichkeitsschutz scheinen dem ersten Anschein nach angemessen zu sein: Mit einem einheitlichen materiell-rechtlichen und prozeduralen Rahmen wird ein gemeinsamer Rechtsraum geschaffen, in dem eine wirksame Rechtsverfolgung und Sanktionierung angestrebt wird unter Stärkung der Betroffenenrechte und der Möglichkeiten der staatlichen Aufsicht. Anknüpfend an bestehende Strukturen wird durch Kooperations- und Kohärenzmechanismen eine dezentral agierende und zugleich zentral wirksame Exekutive angestrebt. Mit dem EuGH besteht eine Instanz zur verbindlichen Klärung europaweit bestehender Anwendungskonflikte.

Die DSGVO blieb nicht das einzige Instrument zur Abwehr der mit der Digitalisierung entstandenen Gefahren. Europäische Initiativen für mehr Informationssicherheit^vii, für eine Digitalsteuer^viii, gegen die digitalen Marktmonopole oder durch Absprachen bei Ausschreibungen für den neuen 5G-Mobilfunkstandard sind weitere Schauplätze, auf denen die Politik der EU darauf angelegt ist, den Einfluss der außereuropäischen Unternehmen zurückzudrängen und die eigenen zu stärken. Am 19.02.2020 stellten Margret Vestager (Digitales) und Thierry Breton (Binnenmarkt) dazu eine Digitalstrategie der EU-Kommission vor.^ix

Evaluation der DSGVO

Vor diesem Hintergrund ist eine Evaluation der DSGVO zwei Jahre nach ihrem Wirksamwerden von großer Relevanz. Die EU-Kommission stellte sich dieser Herausforderung und legte am 24.06.2020 einen Bericht^x sowie einen diesen erläuternden Arbeitsbericht^xi vor. Auch die Nichtregierungsorganisationen (NGOs) in Europa werteten die bisher gesammelten Erfahrungen aus. Während die EU-Kommission ein grundsätzlich positives Resümee zieht, den Grundansatz der DSGVO als valide bewertet und einige spezifische Korrekturen vorschlägt, äußerten die im Dachverband der europäischen Datenschutzorganisationen EDRi (European Digital Rights) zusammengeschlossenen 44 NGOs aus 19 EU-Mitgliedstaaten eher Fundamentalkritik. EDRi teilt zwar die Grundanliegen der DSGVO, stellt aber infrage, dass diese tatsächlich erreicht werden:^xii Die Umsetzung der Verordnung in vielen Mitgliedstaaten sei ungenügend und systematische Verstöße blieben ungeahndet. Staaten wie Ungarn, die Slowakei oder Rumänien würden die Datenschutzbehörden politisch instrumentalisieren, um gegen die freie Presseberichterstattung vorzugehen. In Polen werde die DSGVO zur Durchsetzung von undemokratischen Regierungszielen missbraucht.

Die NoYB-Initiative des Aktivisten Max Schrems (None of your Business) stellte gar fest, dass die irische Datenschutzbehörde (DPC) mit dem globalen Platzhirsch im Bereich sozialer Medien – Facebook – zwecks Umgehung der geltenden Regelungen regelrecht konspiriert. Schrems wirft der DPC vor, in zehn gemeinsamen Sitzungen mit dem Unternehmen einen Plan ausgearbeitet zu haben, mit dem die strengen Anforderungen der DSGVO an eine wirksame Datenschutzeinwilligung umgangen werden können, indem stattdessen ein „Datennutzungsvertrag“ fingiert wird.^xiii Ein solches Vorgehen trifft einen Nerv der in der DSGVO vorgesehenen Mechanismen zur Durchsetzung des Datenschutzes, da die irische Aufsichtsbehörde wegen des europäischen Hauptsitzes von Facebook in Irland für die Kooperation und Durchsetzung federführend ist. Ihren Hauptsitz in Irland haben außerdem u.a. Google und Apple. Ein ähnliches Problem tut sich in Luxemburg auf, wo weitere wichtige Digitalunternehmen, z.B. Amazon, ihren Hauptsitz haben. Hintergrund dieser Standortpolitik, zu der auch eine nachsichtige Datenschutzaufsicht gehört, sind massive Steuervergünstigungen in diesen eher marginalen EU-Mitgliedstaaten. So wird der Datenschutz als digitaler Grundrechtsschutz zum steuer- und wirtschaftspolitischen Faktor.

Die Defizite bzgl. der Umsetzung der DSGVO sind aber nicht nur ökonomisch bedingt. Sie beruhen auch auf bürokratischen Beharrungskräften und einer Bürgerrechtsverweigerung durch viele Regierungen. Slowenien hielt es bis heute nicht für nötig, die Vorgaben der DSGVO normativ umzusetzen.^xiv In Österreich ist die nationale gesetzliche Umsetzung nach Max Schrems zur „Pfuschaktion“ missraten. Die Umsetzung in Deutschland ist ähnlich kritikwürdig: Sachsen-Anhalt hat eine Anpassung an die DSGVO bisher vollständig verweigert. Niedersachsens Regierung missachtet bewusst zentrale DSGVO-Vorgaben.^xv Und auch auf nationaler Ebene wurde die DSGVO-Umsetzung weitgehend nur nominell umgesetzt und in einigen Bereichen dazu genutzt, den Datenschutz zurückzuschrauben. Die im EDRi-Dachverband organisierten Mitgliedsorganisationen haben Beispiele aufgelistet, bei denen die DSGVO überhaupt nicht umgesetzt, bewusst ignoriert oder deren Intention gar konterkariert wurden.

Liest man dagegen die Evaluation der EU-Kommission, so erscheint die DSGVO in einem erheblich positiveren Licht. Unternehmen mit Hauptsitz in den USA oder China werden mit keinem Wort erwähnt. Doch hinter der diplomatischen Darstellung und zwischen den Zeilen tauchen die gleichen Defizite auf: Das ungenügende Funktionieren der Kooperations- und Kohärenzmechanismen wird konstatiert^xvi, ebenso wie die ungenügende Ausstattung der Datenschutzaufsicht durch die nationale Politik^xvii oder der misslungene Ausgleich zwischen Meinungsfreiheit und Datenschutz.^xviii

Positive Effekte

Das Glas der DSGVO ist zwar halb leer, es ist aber auch halb gefüllt. Für die Bewertung der DSGVO ist relevant, dass Datenschutz zuvor noch weniger ernst genommen wurde, etwa wegen der minimalen drohenden Sanktionen bei Verstößen. Die maximale Bußgeldhöhe betrug z.B. in Deutschland 300.000 Euro, gemäß der DSGVO sind es nun 4% des globalen Jahresumsatzes eines Unternehmens (Art. 83 Abs. 4, 5 DSGVO). Es ist leider kein Paradoxon, dass Liberalität – digitaler Freiheitsschutz – in der DSGVO nur mit massiven Sanktionsandrohungen realisiert werden kann. Datenverarbeitung ist weitgehend ökonomisch motiviert. Solange sich Rechtsverstöße wirtschaftlich lohnen, gibt es keinen Grund, diese einzustellen. Tatsächlich hatten die Sanktionsdrohungen der DSGVO insbesondere in der deutschen Wirtschaft und im gesellschaftlichen Leben die Wirkung, dass die eklatanten Vollzugsdefizite beim Datenschutz reduziert wurden. Datenschutz wird erstmals von vielen Akteuren wahr und ernst genommen und in der Praxis umgesetzt und nicht, wie bisher oft, ignoriert oder eingepreist.

Nach den ersten zwei Jahren der DSGVO-Anwendung muss man aber den Eindruck haben, dass die Kleinen gehängt werden, während man die Großen laufen lässt. Darüber kann auch das Datenschutzgesäusel von Großkonzernen^xix wie von staatlichen Einrichtungen nicht hinwegtäuschen. Medial verbreitete Lippenbekenntnisse haben oft ausschließlich die Funktion, von den tatsächlichen Rechtsverstößen abzulenken. Geht es um eine effektive Umsetzung der DSGVO, stößt man immer noch auf heftige Gegenwehr. Wie wenig Einsicht oft besteht, demonstriert wohl am anschaulichsten Facebook, das trotz vollmundigem Propagierens individueller Selbstbestimmung kein Jota seines die Selbstbestimmung leugnenden Geschäftsmodells aufgibt, solange das Unternehmen nicht durch Aufsicht und Gerichte dazu gezwungen wird.

Die DSGVO – bestärkt durch den EuGH mit seiner Rechtsprechung z.B. zu Safe Harbor^xx, zu Google^xxi oder Facebook^xxii – erweist sich aber trotz aller Ernüchterung in der Praxis als ein Gegenkonzept zur Überwachungsstaatlichkeit und zum Überwachungskapitalismus,^xxiii Sie könnte ein Rezept gegen die US-amerikanische und chinesische Gefährdung digitaler Grundrechte sein. Sie verbietet die digitale Gleichschaltung von Menschen und Gesellschaft nach dem Willen eines dominanten Partei- und Staatsapparats, so wie dies in China praktiziert wird. Sie steht auch der US-amerikanischen Variante entgegen, wo der Staat den Konzernen weitgehend freien Lauf lässt bei ihrem Bestreben, die auf Konsumenten reduzierten Menschen informationell auszubeuten, und wo sich die Geheimdienste der informationellen Möglichkeiten der Konzerne nach Belieben bedienen, auch um daraus politisches Kapital zu schlagen. Für die Bürgerrechtsorganisationen und selbst für Teile des politischen Establishments in den USA ist die DSGVO Vorbild für eine nationale Regulierung von „Privacy“. Im Bundesstaat Kalifornien wurde ein Datenschutzgesetz verabschiedet, bei dem die DSGVO Pate stand.^xxiv

Die DSGVO hat auch Vorbildwirkung in Staaten, die mit Europa Handel betreiben und durch eine entsprechende Gesetzgebung Erleichterungen bei informationellen Wirtschaftsaktivitäten erhoffen. So wurde nach gesetzlichen Änderungen der Datenschutz in Japan von der EU-Kommission als angemessen anerkannt.^xxv Brasilien hat sich ein Gesetz gegeben, das sich an der DSGVO orientiert.^xxvi Auch in Chile, Südkorea, Kenia und Indien steht die DSGVO Pate für entsprechende Regulierungen.^xxvii

Digitaler Grund­rechts­schutz

Bei der DSGVO steht zwar der Grundrechtsschutz nach Art. 8 GRCh im Mittelpunkt, zugleich verfolgt sie aber darüberhinausgehend das Ziel, generell die Grundrechte und Grundfreiheiten natürlicher Personen bei der Digitalisierung zu schützen (Art. 1 Abs. 2 DSGVO). Adressiert werden damit der Schutz des Telekommunikationsgeheimnisses in Art. 7 GRCh, der in Art. 21 GRCh garantierte Schutz vor (digitaler) Diskriminierung sowie anderweitiger Schutz, etwa von Kindern und Familie, von Verbrauchern und Beschäftigten, der demokratischen Meinungsbildung. Mit einer weitgehenden Privilegierung wissenschaftlicher Forschung liefert sie die Grundlagen für einen evidenzbasierten Fortschritt.^xxviii Die DSGVO verfolgt damit umfassend das Ziel der Wahrung von Demokratie und Rechtsstaatlichkeit in einer freiheitlichen Informationsgesellschaft.^xxix

Die DSGVO kann insofern nur ein wichtiger Zwischenschritt sein. Um eine demokratische und freiheitliche Informationsgesellschaft zu wahren bzw. zu entwickeln, bedarf es eines umfassenderen Rechtsrahmens. Grundlage hierfür sollte ein neuer verfassungsrechtlicher Rahmen sein, wozu es mit den Entwürfen für eine „Charta der digitalen Grundrechte der Europäischen Union“ erste Vorschläge gibt.^xxx Dabei geht es um die rechtliche Einhegung von selbstlernenden maschinellen Systemen (der sog. „künstlichen Intelligenz“) und von „Big Data“ bzw. generell: um Algorithmenkontrolle, um die Verwirklichung von Informationsfreiheit in Staat und Wirtschaft sowie um eine Grundversorgung mit digitalen Diensten und Netzen.^xxxi

Nachbesserungsbedarf

Zwei Jahre Praxiserfahrung mit der DSGVO haben offengelegt, dass deren Grundansatz richtig ist, dass es aber schon innerhalb dieses Regelwerks Nachbesserungsbedarf gibt. So ist es offensichtlich, dass die bisherigen Kooperations- und Kohäsionsmechanismen bei der Datenschutzaufsicht zu schwerfällig und zeitaufwändig sind. Diese Mechanismen sind auf deutscher Seite dadurch verkompliziert, dass die Datenschutzaufsicht nicht zentral, sondern durch die Behörden der Länder erfolgt. Die Forderung nach einer nationalen Zentralisierung im Interesse der Rechtssicherheit der Unternehmen steht schon seit längerem zur Diskussion und wurde jüngst von der Wirtschaftsministerkonferenz und in einem Gutachten der Datenethikkommission vorgetragen.^xxxii Das Durchsetzungsproblem beim Datenschutz liegt aber nicht auf der nationalen, sondern auf der europäischen Ebene: Die notorischen Gesetzesverstöße erfolgen europaweit durch internationale Konzerne. Dass lokale Egoismen und Standortinteressen bei der Durchsetzung des Datenschutzes hinderlich sind, ist weniger ein deutsches als ein europäisches Problem. Es ist deshalb naheliegend, auf europäischer Ebene eine einheitliche Instanz zu schaffen, die bei EU-weiten Verarbeitungen die Aufgabe der Datenschutzaufsicht wahrnimmt. Um deren Unabhängigkeit zu wahren, ist es denkbar, dass eine solche Instanz als operativer Arm des Europäischen Datenschutzausschusses (Art. 68 ff. DSGVO) installiert wird.

Die in der DSGVO vorgesehenen Verhaltensregeln (Art. 40, 41), mit denen sich die Wirtschaft im vorgegebenen gesetzlichen Rahmen spezifische Regeln schaffen kann, haben ein hohes Potenzial, das noch nicht ansatzweise ausgeschöpft wird. Die Bereitschaft zur Selbstregulierung nimmt in dem Maße zu, in dem sie als angenehmere Alternative zur staatlichen Regulierung erscheint. Angesichts des weiterhin bestehenden Vollzugsdefizits im Datenschutz wegen Überforderung der Aufsichtsbehörden fehlt dieser Druck derzeit. Dies kann und muss sich dadurch ändern, dass die Kontrolldichte in den einzelnen Wirtschaftssektoren erhöht wird. Auch Klageaktivitäten der Verbraucherschutzorganisationen können den Druck bewirken, der Unternehmen und ganze Branchen zur kontrollierten Selbstregulierung motiviert.

Noch mehr Potenzial als in den Verhaltensregeln liegt in den in der DSGVO vorgesehenen Möglichkeiten zur Zertifizierung von Datenverarbeitungsverfahren. Nach außen hin waren hier in den ersten zwei Jahren keine Fortschritte erkennbar. Der Eindruck drängt sich auf, dass die Aufsichtsbehörden, anders als etwa die EU-Kommission^xxxiii, kein Interesse an solchen Marktmechanismen haben. Es wäre ein vertane Chance, wenn die Regelungen der Art. 42, 43 DSGVO weiterhin fleischlose normative Skelette blieben. Es bietet sich an, das dort vorgesehen Zertifizierungsverfahren nicht auf Verarbeitungssysteme zu beschränken, sondern auch IT-Produkte einzubeziehen, die die Hersteller einer unabhängigen Datenschutzüberprüfung unterziehen lassen können.^xxxiv

Entwicklungsbedürftig ist auch die Regelung automatisierter Entscheidungen – einschließlich Profiling (Art. 22 DSGVO). Sie zielt darauf ab, die Kontrolle über die Menschen kontrollierende Computer zu wahren. Die Tatbestandsvoraussetzungen sind so vage, dass weder ein Mehr an Transparenz noch ein Mehr an individueller Selbstbestimmung erreicht wird. Schuld hieran ist zweifellos auch eine rückständige nationale Rechtsprechung, die invasive Algorithmen als Betriebs- und Geschäftsgeheimnisse im Dunkeln lässt.^xxxv Der verwendete Begriff der „Entscheidung“ erleichtert die Ausblendung manipulativer Werbemaßnahmen und Informationsangebote.^xxxvi Diskriminierung durch Algorithmen, ein inzwischen in Bezug auf sog. Künstliche Intelligenz intensiv diskutierter Topos^xxxvii, wird in Art. 22 nicht direkt adressiert. Algorithmen treffen nicht nur die von der DSGVO geschützten natürlichen, sondern auch juristische Personen. Dessen ungeachtet enthält Art. 22 DSGVO einen ausfüllungsfähigen Rahmen, der von der Politik zum Ausgangspunkt für eine umfassendere Algorithmenkontrolle genommen werden kann.^xxxviii

Spezifizierungsbedarf

Der EuGH hat mit seinen Entscheidungen zur gemeinsamen Verantwortlichkeit, die in Art. 26 DSGVO geregelt ist, einen gewaltigen Klärungsbedarf verursacht. Die gemeinsame Verantwortlichkeit wurde in der Vergangenheit bisher nur selten angenommen, ist in der Praxis aber von umfassender Relevanz.^xxxix Zwar hat der EuGH weitgehend geklärt, wann eine Datenverarbeitung gemeinsam zu verantworten ist. Rechtsunsicherheit besteht aber, wie die Rechtsbeziehung zwischen den Verantwortlichen konkret zu gestalten ist und welche Ansprüche sich hieraus ergeben, etwa auf Information oder auf Vertragsabschluss.^xl Hier sind legislatorische Klarstellungen, wie sie für die einfacher gestaltete Auftragsverarbeitung in Art. 28 DSGVO bestehen, dringend nötig.

Dem Ausgleich zwischen Meinungsfreiheit und Datenschutz kommt eine zentrale Bedeutung für die Wahrung einer freien Meinungsbildung in unserer digitalisierten Gesellschaft zu. Die Erfahrungen mit der Beeinflussung politischer Prozesse über Internetdienste, etwa anlässlich des US-Präsidentschaftswahlkampfs 2016 oder der Brexit-Kampagne in Großbritannien 2016 zeigen, dass es eines rechtlichen Instrumentariums bedarf, um den Medienmissbrauch zu begrenzen. Zwar hat die DSGVO diesen Bereich noch den nationalen Gesetzgebern überlassen (Art. 85), doch besteht die Option, auch auf Unionsebene verstärkt vereinheitlichend und zugleich grundrechtsoptimierend tätig zu werden.

Die DSGVO macht als Grundverordnung nur grundlegende Vorgaben für den Datenschutz. Dies wird gerade in Deutschland oft beklagt, wo wir teilweise hoch differenzierte spezielle Konkretisierungen des Datenschutzes kennen. Die DSGVO steht einer solchen Spezifizierung nicht entgegen, sondern ist die Voraussetzung hierfür. Leider kommt die – überfällige – bereichsspezifische Präzisierung im Bereich der Telekommunikation durch die ePrivacy-Verordnung nicht voran. Auch in anderen Bereichen sollten Präzisierungen nicht durch die Mitgliedstaaten, sondern durch die Union selbst erfolgen. Im Bereich des Verbraucherschutzes haben sich EU-Parlament und Mitgliedstaaten auf ein Regelwerk für kollektiven Rechtsschutz in Form von Sammelklagen geeinigt, das in Art. 80 DSGVO angelegt ist und über die nationalen Instrumente der Verbands- und der Musterfeststellungsklage hinausgeht.^xli Angesichts der Jahrzehnte dauernden Zurückhaltung der nationalen Gesetzgeber beim Beschäftigtendatenschutz ist nun im Rahmen des Art. 88 DSGVO die Union gefordert.^xlii Auch die Digitalisierung der Gesundheitsversorgung^xliii und die informationelle Stärkung der Forschung^xliv lassen sich auf Unionsebene wirksamer realisieren als national.

Über den Datenschutz hinaus

Die DSGVO verknüpft bisher getrennte Rechtsbereiche. Dies gilt nicht nur für den Verbraucherschutz (Art. 80 DSGVO)^xlv und das Arbeitsrecht (Art. 88 DSGVO), sondern kann und sollte auch für die Informationssicherheit gelten (Art 25, 32 DSGVO), wobei einheitliche Zertifizierungen (vgl. Art. 42, 43 DSGVO) als verbindendes Element geschaffen werden könnten. Rudimentär blieben bisher die Verbindungen zwischen Datenschutz und Marktregulierung. Die Orientierung der DSGVO-Sanktionen am Kartellrecht war ein erster Anfang einer Annäherung der beiden Rechtsgebiete. Inzwischen verbreitet sich die Erkenntnis im Kartellrecht, dass Datenschutzverstöße unlauterer Wettbewerb und eine Beeinträchtigung eines freien Marktes sein können.^xlvi

Das nächste Digitalthema lauert schon vor der Tür: Anfang 2019 verkündete Facebook-Chef Mark Zuckerberg die Schaffung einer privaten Weltwährung, die er „Libra“ nennt. Facebook sucht für die „Libra Association“ weltweit Mitstreiter. Schon bisher ist digitales Zahlen ein Vorgang, dem sich allenfalls Finanzaufsichtsbehörden, aber kaum Bürgerrechtler und Datenschützer widmen. Digitales Zahlen hinterlässt Spuren der Nutzer, deren Sekundärnutzung von höchster Sensitivität ist. Durch die Zurückdrängung des anonymen Bargeldes werden diese Spuren immer mehr und aussagekräftiger. Zum Zweck der Geldwäschebekämpfung haben die EU-Staaten schon erste Strukturen aufgebaut, um diese Spuren gezielt auszuwerten.^xlvii Schon bisher haben die Internet-Plattformanbieter ihre eigenen Zahlungsverfahren. Mit einer übergreifenden globalen privaten digitalen Währung könnten sich die Digitalunternehmen als Betreiber nationaler Kontrolle entziehen und ihren ökonomischen Einfluss erheblich ausbauen. Es ist daher an der Zeit, dass sich Finanz- und Grundrechtsaufseher austauschen.^xlviii

Bisher tut sich die EU-Kommission noch schwer, einen Ansatz für eine umfassende Regulierung für Internet-Plattformen zu finden.^xlix Ein Grund dafür liegt wohl darin, dass auch in der Kommission noch sektorspezifische Sichtweisen dominieren. In der Praxis haben sich aber die Bedrohungen für Datenschutz und Verbraucherschutz, durch Hass- und Falschnachrichten, durch Marktkonzentration und Wettbewerbsverzerrung schon längst vereint. Es ist daher nötig, auch die Bekämpfung dieser Gefahren zusammenzuführen. Dies kann durch Aufgabenkonzentration erfolgen, in vielen Fragen wäre aber wohl schon eine engere institutionalisierte Kooperation der zuständigen Stellen ausreichend.

Die DSGVO eignet sich schließlich als ein zentraler Ausgangspunkt für die Sicherung „digitaler Souveränität“.^l Angesichts der globalen informationellen Vernetzung und der damit einhergehenden Abhängigkeiten dringt immer mehr ins Bewusstsein, dass informationelle Selbstbestimmung die technische Unabhängigkeit von Fremdbestimmung voraussetzt. Das gilt nicht nur für natürliche Personen, sondern ebenso für juristische Personen wie Wirtschaftsunternehmen und Behörden, aber letztlich auch für Nationalstaaten und die Europäische Union als supranationales, einheitliches Rechtsgebiet. Seit den Enthüllungen Edward Snowdens über die geheimdienstliche Durchdringung unseres informationellen Lebens durch Geheimdienste wie die NSA oder den GCHQ im Jahr 2013 sollte klar sein, dass Selbstbestimmung die Kontrolle über die selbst genutzte Informationsinfrastruktur bedingt.^li

Fazit

Die DSGVO ist trotz vieler Defizite eine Erfolgsgeschichte, die erst am Anfang steht und die weitergeschrieben werden muss. Dass diese nachhaltig wird und bleibt, ist keine Selbstverständlichkeit. Nötig sind vor allem mehr politische Unterstützung und mehr Druck aus der Zivilgesellschaft. Die DSGVO schafft das Fundament für einen viel umfangreicheren digitalen Grundrechtsschutz in Europa, bei dem der Datenschutz mit weiteren Rechtsgebieten verzahnt werden muss. In der Politik wurde lange Zeit relativ unreflektiert „mehr Digitalisierung“ gefordert. Inzwischen zeigt sich, dass es nicht einfach um „mehr“ geht, sondern um eine hochdifferenzierte Gestaltung. Die DSGVO gibt hierfür wichtige Impulse. Diese dürfen nicht verpuffen. Anderenfalls besteht die realistische Gefahr, dass sich die freiheitsnegierenden Angebote aus den USA und China in Europa weiter verbreiten und etablieren.

Dr. Thilo Weichert Jahrgang 1955, studierte Rechts- und Politikwissenschaften und promovierte mit einer Arbeit zum Datenschutz im strafrechtlichen Ermittlungsverfahren. Er gehörte von 1984 bis 1986 dem Landtag von Baden-Württemberg an, danach war er als Rechtsanwalt und Berater und ab 1992 als Referent beim niedersächsischen Datenschutzbeauftragten tätig. 1998 wechselte er nach Schleswig-Holstein, wo er von 2004 bis 2015 Datenschutzbeauftragter des Landes war. Er ist Mitglied des Netzwerks Datenschutzexpertise (www.netzwerk-datenschutzexpertise.de) und Vorstandsmitglied der Deutschen Vereinigung für Datenschutz (DVD).

Anmerkungen:

Der Beitrag Die DSGVO – Ausgangspunkt für europäischen digitalen Grundrechtsschutz erschien zuerst auf Humanistische Union.

In der europäischen Öffentlichkeit wird seit dem Frühjahr 2001 über Vorratsdatenspeicherung diskutiert. Trotz klarstellender höchstrichterlicher Rechtsprechung ist die politische und juristische Debatte über den Zugriff von Sicherheitsbehörden auf die zunehmende Masse digitaler Datenbestände immer noch verhaftet im Konflikt um Meta-Daten aus der Telekommunikation. Digitale Menschenkontrolle ist aber inzwischen zu einem Phänomen geworden, das marktgetrieben insbesondere von privaten Unternehmen praktiziert wird, was sich der Staat zunutze macht bzw. machen kann. Es ist notwendig, eine umfassende Überwachungs-Gesamtrechnung durchzuführen und eine normative sowie praktische Einhegung vorzunehmen.

1. Kurze Geschichte

2001 wurden Forderungen einer europäischen Polizeiarbeitsgruppe bekannt, die Verbindungsdaten von Festnetz- und Mobil-Telekommunikation (TK) mindestens sieben Jahre lang zu archivieren und sicherheitsbehördlichen „Bedarfsträgern“ zugänglich zu machen. Bis dahin war klar, dass derartige Verbindungsdaten frühestmöglich, also i. d. R. nach Ende der Verbindung bzw. spätestens nach erfolgter Abrechnung gelöscht bzw. anonymisiert werden. Zuvor schon war in Deutschland die Forderung nach Vorratsspeicherung von TK-Verbindungsdaten von Polizeibehörden erhoben und vom damaligen Bundesinnenminister Otto Schily bekräftigt worden. Seitdem tobt eine öffentliche Auseinandersetzung unter dem Begriff „Vorratsdatenspeicherung“, bei der von Bürgerrechtsseite der Überwachungsstaat, von Sicherheitsbehörden die Kapitulation vor dem Verbrechen an die Wand gemalt wird.

Als Schily erkannte, dass er mit seinen Vorstellungen in Deutschland politisch nicht durchdringen würde, verlegte er sich darauf, über den Umweg der Europäischen Union (EU) die TK-Vorratsdatenspeicherung verpflichtend vorzusehen. Die damit verbundenen Normierungsbestrebungen auf europäischer wie auf nationaler Ebene sind bis heute nicht abgeschlossen. Der Europäische Gerichtshof (EuGH) hatte die verbindlichen Vorgaben auf EU-Ebene am 08.04.2014 für grundrechtswidrig erklärt[1] und dies mit Urteil vom 21.12.2016 bestätigt.[2]

Das aktuelle deutsche Gesetz, das am 18.12.2015 in Kraft trat[3], wird derzeit vor dem Bundesverfassungsgericht (BVerfG) angegriffen. Zuvor hatte das BVerfG mit Urteil vom 02.03.2010 eine frühere nationale Regelung wegen des Verstoßes gegen die Verfassung aufgehoben.[4]

Vorratsdatenspeicherung beschränkt sich nicht auf TK-Verbindungsdaten. Digitale Daten fallen bei immer mehr täglichen Verrichtungen an. Sie werden auch in anderen Zusammenhängen für Zwecke von Sicherheitsbehörden auf Vorrat gespeichert. So urteilte der EuGH am 26.07.2017 über eine Vorratsdatenspeicherung von Flugverkehrsdaten auf Grundlage eines geplanten Abkommens zwischen Kanada und der EU.[5]

2. Mehr als Telekom­mu­ni­ka­ti­ons­-­Ver­bin­dungs­daten

Künftig dürfte aus sicherheitsbehördlicher Sicht die Nutzung von digitalen Zahlungsdaten zunehmend relevant werden. Diese entstehen bspw. im Rahmen von Zahlungsvorgängen über das Internet sowie per Karte oder Smartphone am „Point of Sale“ (POS), also an der Ladenkasse. Insofern gibt es noch keine umfassende Pflicht zur Vorratsdatenspeicherung; entsprechende Forderungen werden aber erhoben.[6] Die Pflicht zur ausnahmslosen Aufzeichnung von Online-Zahlungen wurde im Rahmen der 5. Geldwäsche-Richtlinie (5. AMLD)  [7] erst nach Intervention des EU-Parlaments gestrichen. In der bis zum 10.01.2020 umzusetzenden EU-Richtlinie ist vorgesehen, dass anonyme E-Geld-Zahlungen am physischen POS statt bisher bis zu 250 € nur noch bis zu 150 € zulässig sind. Weiterhin besteht die Möglichkeit der Nutzung von anonymem Bargeld. Anonyme Zahlungen im Internet sind nach der 5. AMLD auf maximal 50 € pro Transaktion beschränkt. Angesichts des Umstands, dass die Nutzung von Bargeld immer weiter zurückgedrängt wird und diese teilweise selbst an Ladenkassen nicht mehr angenommen wird, drohen Verhältnisse, bei denen jede finanzielle Transaktion einer konkreten natürlichen Person zugeordnet werden kann. Zugleich werdender Zugriff auf die Finanztransaktionsdaten durch Sicherheitsbehörden erleichtert und technische Schnittstellen zu den Sicherheitsbehörden aufgebaut.

Konsum- und Finanztransaktionen sind hinsichtlich ihrer Aussagekraft über die Persönlichkeit der Betroffenen mit TK-Verkehrs- bzw. TK-Metadaten vergleichbar, auch wenn sie nicht, wie TK-Daten, durch das Telekommunikationsgeheimnis spezifisch verfassungsrechtlich geschützt sind (Art. 7 Grundrechte-Charta – GRCh; Art. 10 GG). Wohl aber kommt den Transaktionsdaten einfachgesetzlich über das Steuergeheimnis sowie über bankenrechtliche Vertraulichkeitszusicherungen ebenso ein verstärkter Schutz zu.

Eine dritte Dimension der Vorratsspeicherung eröffnet sich mit Mobilitätsdaten. Flugdaten, sogenannte Passenger Name Records (PNR), wie sie Grundlage für das Gutachten des EuGH zum Vertrag zwischen Kanada und der EU waren, sind nur die Spitze eines größeren „Datenbergs“. Schon über Smartphones mit Lokalisierungsfunktion erfolgt heute, ohne gesetzlichen Zwang – auf einer in der Praxis wenig freiwilligen Basis und völlig intransparent – für die Betroffenen eine räumlich-zeitliche Zuordnung der meisten Mobilfunkgeräte. Mit der zunehmenden Online-Anbindung von Kfz entstehen nicht nur für Netz-, Plattform-, Dienste- und App-Anbieter, sondern auch über die Kfz-Hersteller Mobilitätsdaten, die konkreten Personen zuzuordnen sind. Diese Mobilitätsdaten genießen keinen speziellen verfassungsrechtlichen Schutz. Das Netz schützender einfachgesetzlicher Regelungen ist leider stark durchlässig.

Das Überwachungsnetz zur Mobilität wird, getragen von der technischen Weiterentwicklung, zunehmend enger: Die klassische Jedermann-Kontrolle erfolgte bisher über die Videoüberwachung. Bei deren Einsatz im öffentlichen Raum besteht eine nahezu unbegrenzte Streubreite. Lange Zeit war eine Individualisierung der Bilder schwierig und fehleranfällig. Dies ändert sich mit Fortschritten bei der Bildmuster- und Gesichtserkennung. Liegen digitalisierte Gesichtsbilder vor, auf die z. B. Sicherheitsbehörden schon heute über Personalausweis- und Passregister Zugriff haben,[8] können Personen einem Ort, zu dem sie sich zu einem bestimmten Zeitpunkt aufhielten, präzise zugeordnet werden. Diese Praxis wird in Berlin am Bahnhof Südkreuz erprobt. Eine technisch weniger anspruchsvolle, aber dafür schon vollautomatisierte Form eines solchen Einsatzes von Mustererkennung per Video für Sicherheitszwecke ist das Kfz-Kennzeichen-Scanning, zu dem das BVerfG am 18.12.2018 seine verfassungsrechtlichen Anforderungen konkretisierte.[9]

3. Verfas­sungs­recht­li­cher Rahmen

Das Spezifische der TK-Vorratsdatenspeicherung war und ist, dass zu einem für einen ursprünglich konkreten Zweck verarbeitete Daten ausschließlich für sicherheitsbehördliche Zwecke weiter aufbewahrt werden, ohne dass absehbar ist, dass die erfassten Daten zu aus Sicherheitssicht unauffälligen Personen von konkretem Nutzen sein werden.

Verfassungsrechtliche Ansatzpunkte für die Bewertung der Vorratsdatenverarbeitung sind das allgemeine Persönlichkeitsrecht (Art. 2 Abs.1 i. V. m. Art. 1 Abs. 1 GG) bzw. das Grundrecht auf Datenschutz (Art. 8 GRCh) in Verbindung mit weiteren Freiheitsrechten, etwa dem Telekommunikationsgeheimnis (Art. 10 GG, Art. 7 GRCh). Die Schutzwirkung dieser Grundrechte beschränkt sich nicht auf die erstmalige Erhebung von Daten, sondern erstreckt sich auch auf deren weitere Nutzung. Die hoheitliche Eingriffsqualität besteht nicht nur, wenn die Daten direkt von staatlichen Einrichtungen erfasst werden, sondern ebenso, wenn diese die Daten bei Privaten beschaffen, wo sie zuvor erhoben wurden.[10]

Staatliche Eingriffe müssen durch ein Gesetz präzise und bereichsspezifisch erlaubt sein, das legitimen Gemeinwohlinteressen dient und dem Grundsatz der Verhältnismäßigkeit genügt, das also zur Erreichung der Zwecke geeignet, erforderlich und angemessen ist (Art. 52 Abs. 1 GRCh). Dabei ist es nötig, dass die betroffenen Daten sowie die Formen der Datenverarbeitung präzise, d. h. hinreichend bestimmt beschrieben werden. Dies gilt insbesondere, wenn auf der Datenbasis automatisierte Analysen durchgeführt werden. Dann muss gewährleistet sein, dass die angewendeten Modelle und Kriterien spezifisch und zuverlässig sind und eine Identifizierung nur erfolgt, wenn ein begründeter Verdacht vorliegt und dabei keine Diskriminierung erfolgt.[11]

In der Rechtsprechung des BVerfG wurde aus den Freiheitsrechten schon früh ein striktes „Verbot einer Speicherung von Daten auf Vorrat“ abgeleitet. Verboten ist die Verarbeitung von Daten zu unbestimmten und noch nicht bestimmbaren Zwecken.[12]

Das BVerfG weist seit dem Volkszählungsurteil darauf hin, dass personenbezogene Datenspeicherung eine abschreckende Wirkung für die Wahrnehmung von Freiheitsrechten haben kann und benennt ausdrücklich die politischen Rechte auf „Teilnahme an einer Versammlung oder einer Bürgerinitiative„. Der Mensch muss wissen können, „wer was wann bei welcher Gelegenheit über ihn weiß.“ Informationelle Selbstbestimmung ist „eine elementare Funktionsbedingung eines auf Handlungs- und Mitwirkungsfähigkeit seiner Bürger begründeten freiheitlichen demokratischen Gemeinwesens„.[13] Der Bundesgerichtshof nimmt ein Recht auf Anonymität auch in Bezug auf die Wahrnehmung der Informations- und Meinungsfreiheit an.[14]

Zur Freiheitlichkeit des Gemeinwesens gehört es auch, „dass sich die Bürgerinnen und Bürger grundsätzlich fortbewegen können, ohne dabei beliebig staatlich registriert zu werden, hinsichtlich ihrer Rechtschaffenheit Rechenschaft ablegen zu müssen und dem Gefühl eines ständigen Überwachtwerdens ausgesetzt zu sein„.[15] Datenverarbeitung darf deshalb nicht „einfach drauflos“, zu beliebiger Zeit und an beliebigem Ort „ins Blaue hinein“ und „für alle Fälle“ erfolgen. Ein „bloßer Betriebsverdacht“ genügt nicht.[16] Das BVerfG hat die gesellschaftliche Relevanz des Rechts auf Anonymität mit seiner Feststellung akzentuiert, dass es „zur verfassungsrechtlichen Identität der Bundesrepublik Deutschland“ gehört, in der persönlichen Freiheitswahrnehmung nicht total erfasst und registriert zu werden (dazu ausführlich unten 6).[17]

4. Abwägung mit legitimen Zwecken

Als „legitime Zwecke“ für eine sicherheitsbehördliche Datenverarbeitung sind die Effektivierung der Strafverfolgung, die Gefahrenabwehr und die Erfüllung der Aufgaben der Nachrichtendienste anerkannt. Der Staat „hat einen wirksamen Schutz der Grundrechte und Rechtsgüter der Bürgerinnen und Bürger zu sichern.“ Die Sicherheit des Staates als verfasste Friedens- und Ordnungsmacht und die von ihm – unter Achtung von Würde und Eigenwert des Einzelnen – zu gewährleistende Sicherheit der Bevölkerung (sind) Verfassungswerte, die mit anderen hochwertigen Verfassungsgütern im gleichen Rang stehen.[18]

Bei einer verfassungsrechtlichen Bewertung geht es darum, die Geeignetheit, die Erforderlichkeit und die Angemessenheit der konkreten Datenverarbeitung für die Sicherheitszwecke zu begründen. Bei der rechtlichen Prüfung läuft es dabei zumeist darauf hinaus, die Angemessenheit, also die Verhältnismäßigkeit „im engeren Sinne“ festzustellen.

Es kommt dabei darauf an, woran die hoheitliche Datenverarbeitung anknüpft: Ist Anknüpfungspunkt ein zurechenbares, vorwerfbares Verhalten, eine – auch nur abstrakte – Gefährlichkeit oder sonst eine qualifizierte Situation; oder geht es um Alltagshandeln, das im täglichen Miteinander elementar und für die Teilnahme am sozialen Leben in der modernen Welt nicht mehr verzichtbar ist? Schwer ist ein Eingriff, wenn Betroffene, „ohne selbst Anlass dazu gegeben zu haben“, dem Risiko von Ermittlungen ausgesetzt werden. [19] Bei einem gefährlichen oder risikobehafteten Tun bzw. zur Beherrschung besonderer Gefahrenquellen sind dagegen anlasslose Kontrollen nicht generell ausgeschlossen. Eine spezifische Eigenschaft der Vorratsdatenverarbeitung ist deren Streubreite.  Es darf dabei keine flächendeckende Totalerfassung, keine „Rund¬um¬überwachung“ erfolgen.[21]

Die Eingriffsintensität wird zudem durch die Missbrauchsmöglichkeiten der Datenverarbeitung bestimmt, wobei als Agierende sowohl staatliche Einrichtungen, die privaten Verarbeiter wie auch Dritte in Betracht zu ziehen sind. Bei einer sensitiven Datenverarbeitung ist ein besonders hohes Sicherheitsniveau gefordert. Werden die Daten automatisiert analysiert, so sind Sicherungsmaßnahmen erforderlich, damit auf dieser Basis keine fehlerhaften oder diskriminierenden Entscheidungen getroffen werden (vgl. Art. 22 DSGVO).[22]

5. Kriterien

Für die Verhältnismäßigkeit ist die Speicherdauer von Relevanz. Generell gilt, dass diese hinsichtlich der jeweiligen Zweckerreichung so kurz wie möglich sein muss (vgl. Art. 5 Abs. 1 lit. e DSGVO). Dass das BVerfG im Jahr 2010 bezüglich der TK-Vorratsdatenspeicherung grundsätzlich eine sechsmonatige Speicherdauer noch als angemessen bewertet hat, war wohl dem Umstand zuzuschreiben, dass bei einer anderen Bewertung eine Vorlage des Verfahrens vor dem EuGH notwendig gewesen wäre, was vermieden werden sollte. Die Speicherdauer ist auf „das absolut Notwendige“ zu beschränken.[23]

Hinsichtlich der Speicherdauer wie der Erhebungs- sowie der Nutzungsvoraussetzungen muss nach der Art der Daten differenziert werden. So kann die Speicherung von reinen Pseudonymen ein geringerer Eingriff als die Speicherung identifizierter Datensätze sein. Angaben aus der Sphäre der Öffentlichkeit sind weniger schutzbedürftig als solche aus dem Sozialbereich oder aus der Intimsphäre. Ein Aspekt bei der Abwägung ist, inwieweit die Datenspeicherung zur Erstellung aussagekräftiger Persönlichkeits- und Bewegungsprofile geeignet ist.[24]  Einer zweckspezifischen Legitimation bedarf es bei sensitiven Daten (vgl. Art. 9 Abs. 1 DSGVO). Absolut tabu ist der „Kernbereich privater Lebensgestaltung“. [25]  Das Gleiche gilt in Bezug auf Vorratsdatenverarbeitungen für Berufsgeheimnisse.[26]

Um Eingriffsmaßnahmen auf das „absolut Notwendige“ zu beschränken, sind als Erhebungsvoraussetzungen restriktive differenzierte Festlegungen in Bezug auf Anlass, Ort und Zeit nötig. Grundlage der Festlegungen müssen objektive, überprüfbare Anhaltspunkte und Sachverhalte sein.

Als prozedurale Kriterien sind „eine für die Öffentlichkeit transparente Kontrolle unter Einbeziehung des unabhängigen Datenschutzbeauftragten sowie ein ausgeglichenes Sanktionensystem, das auch Verstößen gegen die Datensicherheit ein angemessenes Gewicht beimisst“, anerkannt.[27] Als Transparenzaspekte kommen in Betracht: die Offenheit der Erhebung und der Nutzung der Daten sowie die nachträgliche Benachrichtigung gegen über Betroffenen. Hierüber kann auch ein effektiver Rechtsschutz gewährleistet werden. Zusätzlich möglich sind spezielle Anordnungsvorbehalte, etwa durch einen unabhängigen Richter. Der Transparenz dienen weiterhin Begründungs- und Dokumentationspflichten. Zur Gewährleistung der Einhaltung der Nutzungsregelungen ist eine effektive unabhängige Datenschutzkontrolle nötig, über die auch gewährleistet wird, dass Verstöße erkannt und sanktioniert werden.

Notwendig ist nicht nur ein gesetzlich klar definierter enger Rahmen für die Erfassung und Speicherung, sondern auch für die Verwendung der auf Vorrat gespeicherten Daten.

In Bezug auf die TK-Vorratsdatenspeicherung verlangt das BVerfG bzgl. der Strafverfolgung „zumindest den durch bestimmte Tatsachen begründeten Verdacht einer schweren Straftat“. Dabei kann auf einen Katalog zurückgegriffen oder an den jeweils angedrohten Strafrahmen angeknüpft werden. Ergänzend muss für den konkreten Einzelfall die Verfolgung einer schweren Straftat vorliegen. Auch gemäß dem EuGH ist „allein die Bekämpfung der schweren Kriminalität“ zur Rechtfertigung des Einsatzes dieser Maßnahme in der Lage.[28]

Bei der Gefahrenwehr kann nicht an einen Katalog von Straftaten angeknüpft werden, die es zu verhindern gilt. Vielmehr müssen das maßgebliche Ziel des konkret verfolgten Rechtsgüterschutzes und die Intensität der Gefährdung dieser Rechtsgüter zur Grundlage genommen werden. Das BVerfG verwendet bei massiven Eingriffen als Rechtsfertigungskategorie die „Abwehr von Gefahren für Leib und Leben oder Freiheit einer Person, für den Bestand oder die Sicherheit des Bundes oder eines Landes oder zur Abwehr einer gemeinen Gefahr“. Die konkrete Gefahr wird näher beschrieben durch „den Einzelfall, die zeitliche Nähe des Umschlagens einer Gefahr in einen Schaden und den Bezug auf individuelle Personen als Verursacher“. Zur Abwehr einer „drohenden Gefahr“ sind Jedermannkontrollen und Vorratsdatenspeicherungen in jedem Fall unverhältnismäßig.[29] 

Für eine Nutzung von Vorratsdaten durch Nachrichtendienste sind wegen der Zuordnung zum präventiven Bereich die gleichen Anforderungen wie bei der Gefahrenabwehr zu stellen. Da diese Dienste aber oft weit im Vorfeld von Gefahren agieren, scheidet insofern eine Nutzung von Vorratsdaten regelmäßig aus.[30]

6. Überwa­chungs­-­Ge­samt­rech­nung

Die übermäßigen Überwachungsregelungen zum Polizeiaufgabengesetz Bayerns (PAG)[31]  brachten einen Passus des Urteils des BVerfG zur Vorratsdatenspeicherung aus dem Jahr 2010 in die Diskussion zurück: Dass die Wahrnehmung der Freiheitsrechte nicht total erfasst und registriert werde, gehöre „zur verfassungsrechtlichen Identität der Bundesrepublik Deutschland“.[32]

Zur verfassungsrechtlichen Identität der Bundesrepublik gehört es, dass eine „möglichst flächendeckende vorsorgliche Speicherung aller für die Strafverfolgung oder Gefahrenprävention nützlichen Daten“ unzulässig ist. Die vorsorglich anlasslose Speicherung muss die Ausnahme bleiben: „Sie darf auch nicht im Zusammenspiel mit anderen vorhandenen Dateien zur Rekonstruierbarkeit praktisch aller Aktivitäten der Bürger führen.“ Die Datenspeicherung darf zudem nicht durch den Staat direkt, sondern allenfalls durch private Stellen erfolgen und nicht die (Kommunikations-) Inhalte erfassen.

Der Gesetzgeber ist, so das BVerfG, gezwungen, „bei der Erwägung neuer Speicherungspflichten oder -berechtigungen in Blick auf die Gesamtheit der verschiedenen schon vorhandenen Datensammlungen“ Zurückhaltung zu üben. Durch vorsorgliche Datenspeicherungen wie z. B. der TK-Verkehrsdaten werde „der Spielraum für weitere anlasslose Datensammlungen“ geringer.[33]

7. Multiple Verar­bei­tungen für multiple Zwecke

Das BVerfG hatte bei seinen Ausführungen die Vorratsspeicherung von TK-Verkehrsdaten im Blick, die mit der Wahrung und Herstellung der inneren Sicherheit begründet war. Dieser anlassbezogen richtige Ansatz muss indes bei der Erstellung einer Überwachungs-Gesamtrechnung erweitert werden: Nicht nur das Datenvolumen und die Datenqualität explodieren derzeit in der Praxis, sondern auch deren Verwendbarkeit. Die Zeiten, in denen Daten nur für einen Zweck erhoben wurden, sind schon längere Zeit vorbei. Die europäische Datenschutz-Grundverordnung hat hieraus den konsequenten Schluss gezogen, dass die – im Gemeinwohl erfolgende – Zweitverwertung von Daten für Zwecke der Forschung (sowie der Statistik und des Archivwesens) privilegiert wird (Art. 5 Abs. 1 lit. b DSGVO). Mit dieser Privilegierung einhergehen muss eine Abschottung von weiteren Nutzungen und Begehrlichkeiten. Eine ähnliche mit einer strengen Nutzungseinschränkung verbundene Privilegierung kennen wir im deutschen Datenschutzrecht mit der Verwendung von Daten für Zwecke der Datensicherheit und Datenschutzkontrolle (so der bis zum 25.05.2018 anwendbare § 31 BDSG-alt).

TK-Verkehrsdaten sind ein gutes Beispiel für die Ausweitung der Verwendbarkeit. Nicht zuletzt wegen ihrer multiplen Zweckgeeignetheit werden diese auch nicht mehr „Verkehrsdaten“ bzw. „Nutzungsdaten“, sondern präziser „Meta-Daten“ genannt. Die weitere Nutzung für andere Zwecke erfolgt normativ durch eine Abwägung zwischen den legitimen Nutzungsinteressen und den Schutzinteressen der Betroffenen (vgl. Art. 6 Abs. 1 S. 1 lit. f DSGVO). Von der Datenschutzpraxis wurde schon weitgehend der Zweck der „Verbesserung“ des Serviceangebots durch den Verantwortlichen anerkannt. Normativ hatte dieser Zweck eine Grundlage in § 15 Abs. 3 S. 1 TMG, wonach Nutzungsdaten „für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung“ verwendet werden dürfen. Die Nutzung dieser Formel hat sich inzwischen praktisch dahin gewendet, dass Verantwortliche Meta-Daten zur verbesserten Manipulation der Betroffenen nutzen.

Während diesen Nutzungszwecken von Rechtswegen mit Widerspruchsmöglichkeiten noch Einhalt geboten werden kann und es bei den Zwecken auf den individuellen Datensatz regelmäßig nicht ankommt, ist die Nutzung für Zwecke der Datensicherheit vom konkreten Datensatz abhängig. Der bürgerrechtliche Widerstand gegen diesen Verwendungszweck war bei TK-Meta-Daten lang anhaltend[34]  und wurde – zu Recht – durch höchstrichterliche Rechtsprechung gebrochen, als der EuGH am 19.10.2016 feststellte, dass die Verarbeitung von Meta-Daten sich nicht auf die „konkrete Inanspruchnahme des Dienstes durch den fraglichen Nutzer“ beschränken kann, sondern die generelle Gewährleistung „der Funktionsfähigkeit der Dienste“ mit einschließt, wozu die informationstechnische Sicherheit gehört.[35]

Inzwischen werden durch private Betreiber von Applikationen und Plattformen massenhaft personenbezogene Daten erfasst, die nicht nur für die Erbringung der immer komplexer gestalteten Dienste erforderlich sind, sondern die weit darüber hinausgehen. Auch was die Dauer der Datenspeicherung angeht, gibt es bei vielen Betreibern in der Praxis keine Grenzen. Das Geschäftsmodell von Facebook und Google besteht z. B. darin, Alltagsverrichtungen digital zu erfassen und daraus Querschnitts- und Leitzeitprofile zu erstellen, die zur Grundlage für (Online-)Werbung genutzt werden. Dabei erfolgt derzeit schon eine zeitlich unbegrenzte, anwendungsübergreifende Totalüberwachung. Der von diesen Betreibern verfolgte Zweck liegt dabei nicht nur in der Werbung; der Zweck liegt – übergreifender –in der Totalüberwachung selbst. Insofern kann nicht mehr von Vorratsspeicherung, es muss vielmehr von dauernder Verwendungsspeicherung gesprochen werden. Diese Daten sind potenziell und gesetzlich für Sicherheitsbehörden zugänglich, nicht nur in den USA, sondern auch in Deutschland. Über die StPO, über das Polizeirecht oder über sonstiges Sicherheitsrecht kann zwingend – zumindest bei konkreten Anlässen – ein staatlicher Zugriff erfolgen. Dies geht so weit, dass Sicherheitsbehörden schon zwingend Zugriff direkt bei den Betroffenen auf Ton- und Bilddaten nehmen wollen, ohne dass diese Störer sind.[36]

Wir befinden uns derzeit mitten in einer Digitalisierungsphase, bei der das technische Potenzial noch nicht ansatzweise ausgeschöpft ist. Potenziale bestehen z. B. in den Kameras und Mikrophonen von stationären und mobilen Geräten, vom Fernsehgerät bis zum Smartphone, die – einmal initialisiert – optischen und akustischen Einblick in Schlaf- und Wohnzimmer sowie in sämtliche tägliche Verrichtungen erlauben. Potenziale bestehen bei Gesundheits- und Wellness-Apps, die Einblick in das körperliche und seelische Befinden geben. Gewaltige Potenziale liegen noch weitgehend im biotechnischen Bereich brach, der derzeit z. B. über reine Lifestyle-Angebote dabei ist, auch in Europa Fuß zu fassen.[37]  Der digitale Griff auf individuelle Gefühle und Gedanken wie auf genetische Dispositionen ist schon im Gange.

8. Überwa­chungs­-­Ge­samt­rech­nung weiter gedacht

Die Ausführungen des BVerfG zur Überwachungs-Gesamtrechnung wurden zwar im Kontext der europäischen Integration gemacht, gelten aber selbstverständlich ebenso für rein nationale Normierungen und binden nicht nur den Bundes-, sondern auch die Landesgesetzgeber. Sie haben nicht nur die Telekommunikation, sondern generell die Digitalisierung des Alltags im Blick. Erfasst wird nicht nur die hoheitliche Datenerfassung, sondern auch die durch private Unternehmen. Ähnlich wie bei der Verhältnismäßigkeitsprüfung generell kann die Grenze des noch Erlaubten nicht präzise bestimmt werden. Wohl aber kann deren Überschreitung anlassbezogen verbindlich festgestellt werden. Dabei ist der gesamte Instrumentenkasten einzubeziehen, den die Rechtsprechung zur Einhegung der Überwachung entwickelt hat (s. 5.). Diese Instrumente sind weiter zu entwickeln.

Der Gesetzgeber ist verpflichtet, dauernd nicht nur die Gesetzgebung, sondern auch die gelebte Praxis der Überwachung zu beobachten.[38]  Er muss intervenieren, wenn durch private Unternehmen ein Überwachungspotenzial etabliert wird, mit dem unsere Verfassungswerte gefährdet werden. [39]  Die Erstellung der Gesamtrechnung ist also kein einmaliger Vorgang, sondern muss ein dauernder Prozess sein. Bei diesem Prozess können Erfahrungen aus anderen Teilen der Welt erkenntnisfördernd sein, etwa der Blick in die USA, nach China oder nach Russland.

Natürlich besteht, gerade mit Blick auf Überwachungspraktiken in anderen Staaten, die Gefahr, dass die Formel zur „Überwachungs-Gesamtrechnung“ für Rechtfertigungsrhetorik genutzt wird.[40] Dass dies nicht erfolgreich ist, setzt eine Operationalisierung voraus. Diese besteht in einer Präzisierung der „doppelten Verhältnismäßigkeitsprüfung“, also neben der Prüfung der konkreten Maßnahme die Erstellung einer Gesamtbewertung.

Diese Gesamtbewertung ist ohne empirische Feststellungen unmöglich. Da die Digitalisierung des Alltags der Menschen vorrangig im privaten Sektor stattfindet, muss hier ein Schwerpunkt gesetzt werden. Die Evaluation des staatlichen Zugriffs auf die privat gesammelten Daten kann nur der zweite Schritt sein. Angesichts der Rechtspositionen der Datensammler in der Wirtschaft, die sich auf ihre Betriebs- und Geschäftsgeheimnisse berufen, bedarf es der gesetzlichen Regulierung der staatlichen Einblickmöglichkeiten in die privatwirtschaftliche Verarbeitung mit Daten der Bürgerinnen und Bürger.

Bei der Herstellung dieser Transparenz, also bei der Überwachung der Überwachung, kommt es auf die Art der Daten, deren Speicherung und deren Sensitivität für die Freiheitswahrnehmung ebenso an wie auf deren weitere Verarbeitung und Auswertung. Die Datenanalyse darf nicht länger, wie bisher, dem unternehmerischen Arkanbereich vorbehalten bleiben. Dies gilt nicht nur (worüber derzeit eine gewisse Debatte stattfindet) für den Einsatz künstlicher Intelligenz, sondern für jede Form der komplexen Auswertung von Bürgerdaten. Bisher ist den technischen Schnittstellen zwischen den verschiedenen Datenbeständen, insbesondere denen zwischen dem privaten Bereich und staatlichen Behörden, wenig Aufmerksamkeit gewidmet worden. Wegen der sich dadurch ergebenden zusätzlichen Überwachungsrisiken muss sich dies ändern.

9. Abschlie­ßende Bemerkung

Die Diskussion um die Vorratsspeicherung war und ist wichtig. Sie ist geeignet, äußere Rahmenbedingungen für die Digitalisierung unserer Lebenswelt zu definieren. Das BVerfG und der EuGH haben hierzu Bewertungskriterien benannt. In Zeiten von Big Data wird die anlasslose Datenerfassung und -speicherung zunehmen. Diese dient immer weniger ausschließlich hoheitlichen Sicherheitszwecken und muss deshalb auch nicht gesetzlich angeordnet werden. Sie erfolgt – angesichts der beliebig großen Zahl möglicher Zwecke – gezielt und oft zeitlich unbegrenzt. Dies macht es nötig, bei der Diskussion über die Vorratsdatenspeicherung nicht stehen zu bleiben. Ein zentraler Ansatzpunkt für die Weiterentwicklung der Auseinandersetzung sollte sein, die digitalen Spuren, die im privaten Bereich derzeit hinterlassen werden, zurückzudrängen und zugleich den möglichen staatlichen Zugriff auf diese Daten rechtlich zu beschränken. Diese Weiterentwicklung des Rechts ist auf allen Ebenen nötig: auf Verfassungsebene, etwa durch digitale Grundrechte [41] , im Völkerrecht, etwa zur Verhinderung der globalen Bespitzelung, wie sie seit 2013 insbesondere durch Edward Snowden bekannt gemacht wurde,[42]  im Rahmen der EU durch Präzisierung der Grundsätze der DSGVO, wie auch national. Die Regulierung durch Bundesländer und auf Bundesebene eignet sich nicht zuletzt als Erprobungsfeld für Europa zur Sicherstellung des Grundanspruchs auf unbeobachtete Freiheitsbetätigung; sie bleibt aber vor allem die wichtigste Regulierungsebene zur Abwehr übermäßiger Überwachungsbegehren der nationalen und regionalen Sicherheitsbehörden.

DR. THILO WEICHERT   Jahrgang 1955, studierte Rechts- und Politikwissenschaften und promovierte mit einer Arbeit zum Datenschutz im strafrechtlichen Ermittlungsverfahren. Er gehörte von 1984 bis 1986 dem Landtag von Baden-Württemberg an, danach war er als Rechtsanwalt und Berater und ab 1992 als Referent beim niedersächsischen Datenschutzbeauftragten tätig. 1998 wechselte er nach Schleswig-Holstein, wo er von 2004 bis 2015 Datenschutzbeauftragter des Landes war. Er ist Mitglied des Netzwerks Datenschutzexpertise (www.netzwerk-datenschutzexpertise.de) und Vorstandsmitglied der Deutschen Vereinigung für Datenschutz (DVD).

Anmerkungen:

[1] EuGH 08.04.2014 – C-293/12, C-594/12 (Vorratsdaten I).

[2] EuGH 21.12.2016 – C-203/15, C-698/15 (Vorratsdaten II).

[3] Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten v. 10.12.2015, BGBl. I S. 2218

[4] BVerfG 02.03.2010 – 1 BvR 256/08, 1 BvR 263/08, 1 BvR 586/08 (Vorratsdaten).

[5] EuGH 26.07.2017 – Gutachten 1/15 (PNR).

[6] Weichert, Das Recht auf Anonymität finanzieller Transaktionen, 27.12.2016, https://www.netzwerk-datenschutzexpertise.de/sites/default/files/gut_2016_5gwrl271216.pdf, S. 12 ff.

[7] 5. Anti-Money-Laundering-Directive, Richtlinie (EU) 2018/843 v. 30.05.2018, ABl. L 156/43.

[8] S. Gesetz zur Förderung des elektronischen Identitätsnachweises v. 07.07.2017, BGBl. I S. 2310, z. B. § 15 Abs. 1 S. 2 PAuswG.
[9] BVerfG 18.12.2018 – 1 BvR 142/15 (Kfz-Kennzeichen II) und 1 BvR 2795/09, 1 BvR 3187/10.

[10] BVerfG 02.03.2010 (Anm. 4) Rn. 190, 193-196.

[11] EuGH 26.07.2017 (Anm. 5) Rn. 168-174.

[12] BVerfG 15.12.1983 – 1 BvR 209/83 u. a. (Volkszählung) Rn. 101, NJW 1984, 422; BVerfG 02.03.2010 (Anm. 4) Rn. 205f.

[13] BVerfG 15.12.1983 (Anm. 12) Rn. 94; zur gesellschaftlichen Bedeutung der Meinungsfreiheit EuGH 21.12.2016 – C-203/15, C-698/15 Rn. 93.

[14] BGH 23.06.2009 – VI ZR 196/08 Rn. 38; indirekt auch EuGH 21.12.2016 (Anm. 2) Rn. 101.

[15] BVerfG 18.12.2018 (Anm. 9) Rn. 51.

[16] BVerfG 02.03.2010 (Anm. 4) Rn. 261; BVerfG 18.12.2018 (Anm. 9) Rn. 92; BVerfG 24.05.1977 – 2 BvR 988/75 (Drogenberatungsstelle) Rn. 82.

[17] BVerfG 02.03.2010 (Anm. 4) Rn. 218.

[18] BVerfG 20.04.2016 – 1 BvR 966/09, 1 BvR 1140/09 (BKA-Gesetz) Rn. 100.

[19] BVerfG 02.03.2010 (Anm. 4) Rn. 212.

[20] BVerfG 18.12.2018 (Anm. 9) Rn. 94; BVerfG 02.03.2010 (Anm. 4) Rn. 213.

[21] BVerfG 02.03.2010 (Anm. 4) Rn. 218; BVerfG 12.04.2005 – 2 BvR 581/01 (GPS) Rn. 60; BVerfG 18.12.2018 (Anm. 9) Rn. 115.

[22] EuGH 26.07.2017 (Anm. 5) Rn. 173 f.

[23] EuGH 26.07.2017 (Anm. 5) Rn. 140; EuGH 21.12.2016 (Anm. 2) Rn. 96; EuGH 08.04.2014 (Anm. 1) Rn. 52.

[24] BVerfG 02.03.2010 (Anm. 4) Rn. 211; ständige Rechtsprechung seit BVerfG 16.07.1969 – 1 BvL 19, 63; BVerfGE 27, 1 (Mikrozensus); NJW 1969, 1707.

[25] BVerfG 20.04.2016 (Anm. 18) Rn. 120.

[26] BVerfG 20.04.2016 (Anm. 18) Rn. 131, 133; EuGH 21.12.2016 (Anm. 2) Rn. 105; EuGH 08.04.2014 (Anm. 1) Rn. 58.

[27] BVerfG 02.03.2010 (Anm. 4) Rn. 225; ähnlich BVerfG 20.04.2016 (Anm. 18) Rn. 135; BVerfG 18.12.2018 (Anm. 9) Rn. 101; EuGH 21.12.2016 (Anm. 2) Rn. 120; EuGH 26.07.2017 (Anm. 5) Rn. 192, 202.

[28] BVerfG 02.03.2010 (Anm. 4) Rn. 228 f.; EuGH 21.12.2016 (Anm. 2) Rn. 102; EuGH 08.04.2014 (Anm. 1) Rn. 60.

[29] BVerfG 02.03.2010 (Anm. 4) Rn. 231; EuGH 26.07.2017 (Anm. 5) Rn. 179 f.; vgl. BVerfG 18.12.2018 (Anm. 9) Rn. 105.

[30] BVerfG 02.03.2010 (Anm. 4) Rn. 233 f.

[31] G. v. 18.05.2018, BayGVBl. S. 301, 434.

[32] BVerfG 02.03.2010 (Anm. 4) Rn. 218.

[33] BVerfG 02.03.2010 (Anm. 4) Rn. 218.

[34] Dazu Weichert in BvD-News 02/2015, 19 ff.

[35] EuGH 19.10.2016 – C-582/14 Rn. 50-64.

[36] So z. B. § 32a NPOG-E, Nds. LT-Drs. 18/850 v. 08.05.2018.

37] Weichert, AncestryDNA ist in Deutschland, www.netzwerk-datenschutzexpertise.de v. 17.12.2018.

[38] BVerfG 12.04.2005 – 2 BvR 581/01 Rn. 51, 64.

[39] BVerfG 23.10.2006 – 1 BvR 2017/02, Rn. 29, 31-36; BVerfG 17.07.2013 – 1 BvR 3167/08, Rn. 18-20.

[40] Roßnagel in NJW 2010, 1242.

[41] Vgl. Charta der Digitalen Grundrechte der Europäischen Union, https://digitalcharta.eu/.

{42] Weichert in DuD 2014, 402.

Der Beitrag Vorratsdatenspeicherung – unbeschränkt und überall!? erschien zuerst auf Humanistische Union.

Die am 25.5.2016 in Kraft getretene Datenschutz-Grundverordnung zielt auf den Schutz des Grundrechts auf Datenschutz bzw. generell der in der Europäischen Grundrechte-Charta (GRCh) enthaltenen Freiheiten und die Garantie des freien Verkehrs personenbezogener Daten zwischen den Mitgliedstaaten. Der Autor stellt den Inhalt der Verordnung im Einzelnen dar und zieht Vergleiche zur bisherigen Rechtslage. Er kommt dabei zu dem Ergebnis, dass der EU mit der DSGVO zweifellos ein fortschrittliches Regelwerk zum Datenschutz gelungen ist. Es hat indes weiterhin Defizite, die sich möglicherweise erst bei der Anwendung erweisen.

1. Rechtlicher Rahmen

Am 2.5.2016 trat nach Beschlüssen des Rats der Europäischen Union (EU) und des Parlaments der EU ein neuer Rechtsrahmen zum Schutz personenbezogener Daten in der Europäischen Union in Kraft, auf den sich diese am 15.12.2015 mit der Kommission der EU im sog. Trilog geeinigt hatten. Dieser Rechtsrahmen hat zwei Bestandteile: eine Richtlinie für den Datenschutz in den Bereichen Justiz und Polizei[1] sowie eine Europäische Datenschutz-Grundverordnung (DSGVO).[2] Das Kernstück des neuen Rechtsrahmens ist die DSGVO, mit der die Europäische Datenschutzrichtlinie (EG-DSRl) aus dem Jahr 1995[3] abgelöst wird.

Die DSGVO zielt auf den Schutz des Grundrechts auf Datenschutz bzw. generell der in der Europäischen Grundrechte-Charta (GRCh) enthaltenen Freiheiten und die Garantie des freien Verkehrs personenbezogener Daten zwischen den Mitgliedstaaten. Die völkerrechtlichen Grundlagen dafür sind insbesondere Art. 8 der Europäischen Menschenrechtskonvention (EMRK) sowie die Art. 7 und 8 GRCh mit den Grundrechten auf Achtung des Privat- und Familienlebens sowie auf Datenschutz.

2. Zielset­zungen

Um die Ziele eines hohen Datenschutzstandards und eines freien Datenflusses im Binnenmarkt zu erreichen, normiert die DSGVO folgende Zwischenziele:

• Es werden einheitliche verbindliche Regelungen angestrebt, die europaweit gelten und direkt anwendbar sind.
• Für die Anwendbarkeit der DSGVO soll das Marktortprinzip gelten; d. h. die europäischen Verbraucher und Betroffenen sollen durch das für sie vor Ort geltende europäische Recht geschützt werden, unabhängig davon, wo die Datenverarbeitung erfolgt und wo der Sitz der verarbeitenden Stelle liegt.
• Über den sog. One-Stop-Shop steht für Unternehmen und Betroffene vorrangig die jeweilige örtliche Datenschutzbehörde bereit, mit der die wesentliche Kommunikation erfolgt. Deren Abstimmung mit den anderen Aufsichtsbehörden, in deren Zuständigkeit ein Unternehmen auf dem Markt agiert, hat innerhalb des administrativen Bereichs zu erfolgen und ist über umfangreiche Kooperations- und Kohärenzregeln festgelegt (s. u. 11).
• Die Transparenz für die Betroffenen soll verbessert und den modernen technischen Gegebenheiten angepasst werden.
• Der technische Datenschutz soll durch neue Instrumente verbessert werden. Privacy by Design, Privacy by Default und Datensparsamkeit werden zu zentralen Prinzipien bei der Technikgestaltung.
• Über eine Risikofolgenabschätzung wird zwischen risikoreichen Anwendungen und sonstigen Verfahren differenziert. Bei geringerem Risiko soll für die Unternehmen der bürokratische Aufwand reduziert werden; bei komplexen Verfahren wird ein adäquater Schutz angestrebt.
• Nicht nur der Datenaustausch innerhalb der EU bzw. des Binnenmarktes soll gefördert werden, sondern auch mit Staaten, in denen ein angemessener Datenschutz besteht. Fehlt dieser, so sind verbindliche und rechtssichere Instrumente für den Drittland-Datentransfer vorgesehen.
• Über verbesserte Rechtsansprüche der Betroffenen und bessere Rechtsschutzmöglichkeiten sowie über administrative und gerichtliche Verfahren sollen Vollzugsdefizite abgebaut werden.
• Über präventiv wie auch repressiv wirkende, angemessen hohe Sanktionen soll die Bereitschaft zur Umsetzung des Datenschutzes und zur Compliance bei den verantwortlichen Stellen gefördert werden.

3. Anwen­dungs­be­reich

Die DSGVO wird die zentrale Datenschutzregelung in der EU, ist aber nicht in allen Bereichen in der EU anwendbar. Dort, wo Unionsrecht keine Gültigkeit hat, gilt auch die DSGVO nicht, z. B. im Geheimdienstbereich. Entsprechendes gilt für Tätigkeiten nach Titel V Kapitel 2 EUV, also die gemeinsame Außen- und Sicherheitspolitik. Für Tätigkeiten zum Zweck der polizeilichen und justiziellen Verhütung und Verfolgung von Straftaten gilt die zeitgleich konsentierte EU-Datenschutzrichtlinie für Justiz und Polizei.[4] Eine weitere Ausnahme ist die personenbezogene Datenverarbeitung, die ausschließlich den persönlichen oder familiären Bereich erfasst (sog. Haushaltsausnahme). Soweit Organe der EU tätig werden, gilt weiterhin die Verordnung EG Nr. 45/2001. Unberührt bleibt auch die Datenschutzrichtlinie für den Telekommunikationsbereich, welche die Verarbeitung von Bestands- und Verkehrsdaten von Netzdiensteanbietern regelt (Art. 2). Diese Richtlinie sollte noch bis zum 25.5.2018 durch eine ePrivacy-Verordnung abgelöst werden. Hierzu gibt es einen Vorschlag der EU-Kommission vom Januar 2017[5] und eine Stellungnahme des EU-Parlaments vom Oktober 2017[6] (s. hierzu den Beitrag von Glatzner in diesem Heft).

Es gilt das Marktortprinzip. Danach kommt es nicht darauf an, wo physisch die Datenverarbeitung erfolgt. Relevant ist vielmehr, dass die Verarbeitung einer verantwortlichen Stelle oder eines Auftragsdatenverarbeiters auf eine Person abzielt, die sich in der EU aufhält (Art. 3).

Die Begriffsbestimmungen bringen im Vergleich zur EG-DSRl keine wesentlichen inhaltlichen Änderungen, wohl aber Erweiterungen: Neu definiert werden z. B. Begriffe wie „Profiling“, „Pseudonymisierung“, „genetische Daten“, „biometrische Daten“, „Hauptniederlassung“, „Vertreter“, „Unternehmen“, „Unternehmensgruppe“ oder „verbindliche unternehmensinterne Datenschutzvorschriften“, was bisher mit dem englischen Begriff „Binding Corporate Rules“ (BCRs) bezeichnet worden ist (Art. 4).

4. Grund­prin­zi­pien

Das deutsche Datenschutzrecht kannte bisher keine normierten Grundprinzipien, anders nun in Europa gem. Art. 5 DSGVO. Bei der Auslegung der Regelungen kann und muss hierauf zurückgegriffen werden:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben,
• Transparenz,
• Zweckbindung,
• Richtigkeit,
• Erforderlichkeit, die etwas sperrig „Speicherbegrenzung“ genannt wird,
• Integrität und Vertraulichkeit,
• Verantwortlichkeit, die unter dem Begriff „Rechenschaftspflicht“ geführt wird.

Als weiterer Grundsatz wird die „Datenminimierung“ erwähnt. Wirtschaftsvertreter wie auch die deutsche Bundesregierung hatten noch kurz vor Abschluss des Trilogs dafür gekämpft, das Prinzip der Datensparsamkeit aus der DSGVO zu verbannen, weil damit die Chancen der europäischen Wirtschaft bei der Entwicklung zukunftsweisender und lukrativer Big-Data-Konzepte beschnitten würden.[7] Davon unbeeindruckt findet sich dieser Grundsatz nicht nur eingangs prominent, sondern an vielen weiteren Stellen, so insbesondere in Art. 25, wo als Instrumente der Datenminimierung die Pseudonymisierung und Privacy by Default genannt werden.

Das schon bisher in der EG-DSRl geltende Verbot mit Erlaubnisvorbehalt ergibt sich aus Art. 6, der die „Rechtmäßigkeit der Verarbeitung“ regelt. Übersichtlicher und systematischer als z. B. in den bisher in Deutschland gültigen §§ 28 ff. Bundesdatenschutzgesetz (BDSG) werden die Legitimationsmöglichkeiten für die Verarbeitung aufgezählt:

• Einwilligung,
• Vertragserfüllung,
• Erfüllung einer rechtlichen Verpflichtung,
• Schutz lebenswichtiger Interessen,
• Erfüllung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt,
• Wahrnehmung berechtigter Interessen, sofern die schutzwürdigen Interessen nicht überwiegen.

Der letztgenannte Punkt war umstritten. Während Datenschützer für eine Eingrenzung der berechtigten Interessen plädierten, setzten sich vor allem der Rat und die Wirtschaftslobby für eine Ausweitung ein. Letztendlich kam es insofern zu keiner Änderung des bisherigen Rechtszustands, der eine offene Abwägungsformel enthält.

Den Mitgliedstaaten wird in Art. 6 Abs. 3 und 4 insbesondere für die Verarbeitung öffentlicher Stellen und zur Erfüllung rechtlicher Pflichten ein sehr weitgehendes Konkretisierungsrecht zugesprochen. Dabei sind aber Regeln zu beachten: Eine klare Zweckbestimmung muss erkennbar sein. Datenarten und Verarbeitungsbedingungen (z. B. Speicherfristen), die Betroffenen und die verarbeitenden Stellen müssen präzise benannt werden. In jedem Fall muss ein im öffentlichen Interesse liegendes Ziel in verhältnismäßiger Weise verfolgt werden.

Damit können die meisten in Deutschland geltenden bereichsspezifischen Datenschutzregelungen im Wesentlichen beibehalten werden. Die in der Verordnung genannten Anforderungen an solche bereichsspezifischen Regelungen entsprechen denen des  Bundesverfassungsgerichts (BVerfG) an die Verfassungsmäßigkeit gesetzlicher Regelungen zur personenbezogenen Datenverarbeitung.

Äußerst umstritten war Art. 6 Abs. 4, der die Voraussetzungen für Zweckänderungen regelt. Die Norm muss im Zusammenhang mit den Absätzen 1 und 2 gelesen werden, die allgemeine Voraussetzungen für rechtmäßige Datenverarbeitungen definieren. Zusätzlich werden Kriterien benannt, die bei einer Zweckänderung zu berücksichtigen sind: a) die Verbindung des neuen mit dem ursprünglichen Zweck, b) der Erhebungszusammenhang, c) die Sensibilität der Daten, d) die möglichen Folgen der Weiterverarbeitung für die Betroffenen und e) angemessene Schutzmaßnahmen wie z. B. Verschlüsselung oder Pseudonymisierung.

5. Einwil­li­gung

Die Einwilligung bleibt eine zentrale Legitimation für die Datenverarbeitung (Art. 7). Die allgemeinen Anforderungen an die Einwilligung ändern sich nicht: inhaltliche Bestimmtheit, Hervorhebungspflicht, Widerrufsmöglichkeit, Freiwilligkeit.
Künftig muss die Einwilligung bzw. das Ersuchen danach „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ erfolgen. Beim Widerruf dürfen keine formellen Hürden errichtet werden. In Art. 7 Abs. 4 wird unter dem Stichwort Freiwilligkeit ein Koppelungsverbot normiert: Wird für einen Vertrag oder eine Dienstleistung eine Einwilligung abverlangt, „die für die Erfüllung des Vertrags nicht erforderlich ist“,  ist sie im Zweifel nicht freiwillig und damit unwirksam.

Die Autoren der DSGVO legten sich nicht auf eine Altersgrenze für die Einwilligungsfähigkeit von Kindern bzw. Jugendlichen fest. In Deutschland wird bisher auf die Einsichtsfähigkeit abgestellt. Da hierüber in den nationalen Rechtskulturen unterschiedliche Vorstellungen herrschten und eine Einigung nicht möglich war, können die nationalen Gesetzgeber künftig zwischen vollendetem 13. und 16. Lebensjahr eigene Festlegungen vornehmen. Unter dieser Grenze muss bei einem Einwilligungsbedarf die Zustimmung der Eltern eingeholt werden (Art. 8).

6. Besondere Daten­ka­te­go­rien

Hinsichtlich der Verarbeitung sensitiver Daten, also von Daten aus „besonderen Kategorien“, gibt es keine wesentlichen Änderungen: Einen besonderen Schutz gibt es für Daten zur rassischen und ethnischen Herkunft, zu politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, zur Gewerkschaftszugehörigkeit, Gesundheit, zum Sexualleben und zur sexueller Ausrichtung. Hinzugekommen sind mit der DSGVO genetische Daten sowie biometrische Daten zur eindeutigen Personenidentifizierung (Art. 9 Abs. 1).

Die Ausnahmen von dem grundsätzlichen Verarbeitungsverbot erinnern an den bisherigen europäischen Regelungsrahmen. Möglich bleibt die explizite Einwilligung; per Spezialgesetz können aber auch Einwilligungsverbote festgelegt werden. In folgenden Fällen genügt eine gesetzliche Regelung und bedarf es keiner Einwilligung: bei Ausübung von Rechten aus dem Arbeitsrecht, der sozialen Sicherheit und des Sozialschutzes, zum Schutz lebenswichtiger Interessen bei Einwilligungsunfähigkeit, bei der Verarbeitung durch einen sog. Tendenzbetrieb, bei vom Betroffenen offenkundig veröffentlichten Daten, zur Durchsetzung rechtlicher Ansprüche, zur Gesundheitsvorsorge, Arbeitsmedizin, medizinischen Diagnostik, zur Versorgung und Behandlung, zur Verwaltung im Gesundheits- und Sozialbereich, im öffentlichen Gesundheitswesen, für Archivzwecke, zur wissenschaftlichen und historischen Forschung und für statistische Belange.

Bezüglich der sensitiven Daten bestehen weitgehend nationale gesetzliche Konkretisierungsmöglichkeiten. Damit kann z. B. das hochkomplexe Regelungsgeflecht beim Datenschutz in den deutschen Sozialgesetzbüchern (SGB) weitgehend beibehalten werden. Spezifisch (national) regelungsfähig bleibt auch die Verarbeitung besonders sensibler Berufsgeheimnisse durch Fachpersonal.

7. Betrof­fe­nen­rechte

Die Rechte der Betroffenen und deren Beschränkungen sind in den Art. 12 bis 23 geregelt. In einem allgemeinen Teil werden dabei Adressatengerechtigkeit, Präzision, Transparenz, Verständlichkeit, leichte Zugänglichkeit und weitestgehende Unentgeltlichkeit eingefordert. Als Standard-Reaktionsfrist wird der verantwortlichen Stelle ein Monat vorgegeben (Art. 12).

Die meisten der normierten Betroffenenrechte sind bekannt: Information bei der Erhebung (Art. 13) bzw. Information, wenn die Daten nicht beim Betroffenen erhoben werden (Art. 14), Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Sperrung (Art. 18), was technisch präziser als „Einschränkung der Verarbeitung“ bezeichnet wird, Widerspruch generell (Art. 21) bzw. bei automatisierten Einzelentscheidungen (Art. 22) und der zu einem Nutzungsverbot für Werbezwecke führende spezifische Werbewiderspruch (Art. 21 Abs. 2 u. 3). Der Löschanspruch wird mit dem schillernden Marketing-Begriff des „Rechts auf Vergessenwerden“ flankiert. Als Abwägungstopoi für den Löschungsanspruch werden u. a. die Rechte auf freie Meinungsäußerung und auf Information genannt.

Neu ist das Recht auf Datenübertragbarkeit. Dieses Recht bezieht sich auf Daten, die ein Wirtschaftsunternehmen vom Betroffenen auf der Basis eines Vertrages oder einer Einwilligung erhalten hat. Wenn die Verarbeitung automatisiert erfolgt, soll der Betroffene deren Bereitstellung in einer zu einem anderen Unternehmen übertragbaren Form verlangen können (Art. 20). Wie dies in der Praxis umgesetzt werden soll, ist noch weitgehend unklar.

Die Norm zur automatisierten Einzelentscheidung wird mit dem Zusatz „einschließlich Profiling“ ergänzt (Art. 22). Letztlich wird versucht, damit insbesondere sog. Big Data-Auswertungen zu regulieren. In Ermangelung eines differenzierenden Instrumentariums behilft sich die DSGVO auch hier mit einer Öffnungsregelung. Gefordert werden aber „geeignete Maßnahmen zum Schutz der Rechte und Freiheiten“. Unter Juristen ist streitig, ob von der Regelung auch das Profiling für Werbezwecke erfasst wird. Dafür spricht die explizite Nennung des Profilings, dessen praktisches Hauptanwendungsfeld das Marketing ist.
Ungewöhnlich und ärgerlich ist, dass bei der Beschränkung der Betroffenenrechte zugunsten nationaler Gesetzgebung eine Öffnungsklausel besteht, etwa zum „Schutz der nationalen Sicherheit“ oder zum „Schutz der Rechte und Freiheiten anderer Personen“ (Art. 23). Der deutsche Gesetzgeber hat von dieser Möglichkeit zum Nachteil der Betroffenen übermäßig Gebrauch gemacht (vgl. dazu den Beitrag von Schaar in diesem Heft).

8. Verant­wort­lich­keit

Fehlt es in der EU an einer zur Verantwortung zu ziehenden Niederlassung,  muss gemäß Art. 27 ein in der EU ansässiger „Vertreter“ benannt werden, der im Auftrag der verantwortlichen oder der auftragsverarbeitenden Stelle bzgl. aller Datenschutzfragen als „Anlaufstelle“ tätig wird.

Die Auftragsdatenverarbeitung in Art. 28 hat einen über den heutigen § 11 BDSG hinausgehenden Detaillierungsgrad, ohne aber die darin enthaltenen Grundprinzipien in Frage zu stellen. Der Auftragsverarbeiter muss den Verantwortlichen präziser über Unterauftragsverhältnisse informieren, welche die gleiche Regelungstiefe aufweisen müssen wie Aufträge. Es wird klargestellt, dass ein Auftragsverarbeiter, der auftragswidrig Zwecke und Mittel der Datenverarbeitung bestimmt, als Verantwortlicher zu behandeln ist.

Ein erklärtes Ziel der EU-DSVGO ist es, den bürokratischen Aufwand des Datenschutzes abzubauen. Dies soll aber nicht dazu führen, dass der für einen wirksamen Datenschutz nötige Aufwand nicht erbracht wird. Und nötig ist in jedem Fall der Überblick über die personenbezogene Datenverarbeitung für die Verantwortlichen bzw. Vertreter, weshalb diese weiterhin ein Verfahrensverzeichnis, genauer ein „Verzeichnis von Verarbeitungstätigkeiten“ führen müssen (Art. 30). Dies gilt auch für Auftragsverarbeiter.

Hinsichtlich der Datensicherheit wird neuerdings ein risikoorientierter Ansatz verfolgt. Es werden keine Schutzmaßnahmen aufgeführt; vielmehr wird die Umsetzung von Datenschutzgrundsätzen eingefordert, zu denen auch die Datenminimierung zählt (Art. 25 Abs. 3; s. dazu auch den Beitrag von Rost in diesem Heft).

An die Stelle des technisch völlig überholten § 9 BDSG mit Anlage tritt hinsichtlich der technisch-organisatorischen Maßnahmen der Art. 32. Dieser fordert statt bestimmter Schutzmaßnahmen die Einhaltung der Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit und benennt als Instrumente u. a. die Pseudonymisierung und die Verschlüsselung. Gefordert werden vor Durchführung einer Verarbeitung eine explizite Risikobewertung, ein darauf abgestimmtes Schutzkonzept sowie eine regelmäßige Evaluierung.

An die Stelle der bisherigen Vorabkontrolle tritt die risikoorientierte „Datenschutz-Folgeabschätzung“ bei spezifisch benannten Verfahren (systematische Personenbewertung, Verarbeitung sensibler Daten, Überwachung öffentlicher Räume) unter Einbeziehung eines möglicherweise vorhandenen Datenschutzbeauftragten (Art. 35). Es besteht die Pflicht zu einer „Konsultation“ der Datenschutzaufsichtsbehörde, wenn ein hohes Risiko besteht, sofern der „Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft“ (Art. 36).

In den Art. 33 und 34 ist die Meldung bzw. Benachrichtigung von Datenschutzverletzungen gegenüber der Aufsichtsbehörde sowie den Betroffenen (sog. Breach Notification) geregelt.

Entgegen der Befürchtung vieler deutscher Datenschützer sind in den Art. 37 bis 39 prominent die Benennung, die Stellung und die Aufgaben der (betrieblichen bzw. behördlichen) Datenschutzbeauftragten festgeschrieben. Die Pflicht zur Bestellung besteht bei öffentlichen Stellen, bei der „systematischen Beobachtung von betroffenen Personen“ und bei der Verarbeitung sensibler Daten. Dies kann national noch umfassender geregelt werden. Deutschland hat hiervon Gebrauch gemacht.

9. Regulierte Selbst­re­gu­lie­rung

Das Instrument der Verhaltensregeln im privaten Bereich hat in Deutschland (§ 38a BDSG) bisher wenig Resonanz gefunden. Das soll sich künftig dadurch ändern, dass deren Funktion und die Anreize hierfür erhöht werden (Art. 40, 41). So können hierüber für Kleinst- bzw. kleinere und mittlere Unternehmen durch Wirtschaftsverbände Standardisierungen und damit Vereinfachungen vorgenommen werden. Über Verhaltensregeln können „geeignete Garantien“ festgelegt werden, die bei Datenübermittlungen in Drittländer innerhalb einer Branche verpflichtend sind. Die Regeln müssen eine „obligatorische Überwachung“ durch installierte Verbandsmechanismen z. B. in einer Branche vorsehen. Sie unterliegen, wie bisher, der Genehmigungspflicht durch die zuständige Aufsichtsbehörde und können künftig von der EU-Kommission für verbindlich erklärt werden.

Völlig neu ist auf europäischer Ebene die Zertifizierung gemäß den Art. 42, 43. Zertifizierungsverfahren, die freiwillig sind und transparent sein müssen, können von privaten Zertifizierungsstellen oder Aufsichtsbehörden durchgeführt werden. Private Zertifizierungsstellen bedürfen einer Akkreditierung durch die Aufsichtsbehörde oder durch eine nationale Akkreditierungsstelle, wobei die Voraussetzungen präzise in der Verordnung festgelegt sind.

10. Auslands­da­ten­transfer

Hinsichtlich des grenzüberschreitenden Datentransfers ergeben sich gegenüber der Richtlinie keine grundsätzlichen Veränderungen. Es wurden Konkretisierungen vorgenommen, die auf die Rechtsprechung des EuGH zurückgehen.

Innerhalb der EU gibt es keine spezifischen Übermittlungsbeschränkungen (Art. 1 Abs. 3). Gleiches gilt, wenn von der Kommission die Angemessenheit des Datenschutzstandards im Empfängerland festgestellt wurde. Für die Angemessenheitsprüfung enthält Art. 41 Abs. 2 einen umfangreichen Kriterienkatalog, der an die Kriterien des Safe-Harbor-Urteils des EuGHs[8] anknüpft und als Bedingungen nennt: Grundrechtsgeltung (auch im Sicherheitsbereich), geltende Datenschutz-Rechtsvorschriften und unabhängige Datenschutzkontrolle.

Liegt kein genereller Angemessenheitsbeschluss der Kommission vor, so können anstelle staatlicher Datenschutzsicherungen im Empfängerland „geeignete Garantien“ treten, die bindend und durchsetzbar sein müssen. Als Beispiele werden nun ausdrücklich Standardvertragsklauseln und unternehmensinterne Datenschutzvorschriften (sog. Binding Corporate Rules – BCRs) genannt, aber auch genehmigte Verhaltensregeln oder Zertifizierungen (Art. 46). In einem neuen Artikel 48, der implizit auf US-Regelungen wie den Patriot Act Bezug nimmt, wird klargestellt, dass Drittlands-Gerichts- oder Verwaltungsentscheidungen nach europäischem Recht nur dann umgesetzt werden dürfen, wenn diese auf internationalen Abkommen basieren.

11. Aufsichts­be­hörden, Kooperation und Kohärenz

Dass es bisher massive Vollzugs- und Durchsetzungsdefizite im Datenschutz gibt, liegt u. a. daran, dass es keine verbindlichen Konfliktlösungsinstrumente zwischen den unabhängigen Datenschutzbehörden gab. Unternehmen z. B. in Irland profitierten von der dortigen unzureichenden Datenschutzkontrolle. Hinsichtlich der Rechtsstellung der Datenschutzbehörden wurde einiges präzisiert, etwa zur Unabhängigkeit (Art. 52), zur demokratischen Legitimation und fachlichen Qualifikation (Art. 43), zur Verschwiegenheit (Art. 54 Abs. 2), zur Zuständigkeit (Art. 55), zu den sehr umfassenden Aufgaben (Art. 57) und zu den ebenso äußerst umfassenden Befugnissen (Art. 58). Die Aufsichtsbehörden sind mit den benötigten „personellen, technischen und finanziellen Ressourcen“ auszustatten (Art. 52 Abs. 4).

Für jedes Unternehmen gibt es künftig eine federführende Aufsichtsbehörde, welche die wesentliche Datenschutzkommunikation mit dieser verantwortlichen Stelle führt. Für die Federführung ist der Ort der Hauptniederlassung in Europa ausschlaggebend (Art. 56).

Handelt es sich um einen Vorgang, der mehrere Aufsichtsbehörden betrifft oder zieht die federführende Behörde einen Fall an sich, kommen die Regelungen zur Zusammenarbeit zur Anwendung (Art. 60). Dazu gehören die Amtshilfe für einzelne Fragestellungen oder Sachverhaltsermittlungen, wozu der angefragten Behörde regelmäßig nur ein Monat zur Verfügung steht (Art. 61), ein umfassender zweckdienlicher Informationsaustausch und die Vorlage eines Beschlussvorschlags durch die federführende Behörde. Besteht zwischen den betroffenen Aufsichtsbehörden keine Einigkeit, kommt ein recht komplizierter verbindlicher Abstimmungsprozess zur Anwendung (Art. 67). Bei diesem Kohärenzverfahren kommt der Europäische Datenschutzausschuss (EDSA) zum Einsatz. Jede betroffene Aufsichtsbehörde kann sich dabei einbringen. Die Beschlussfassung erfolgt regelmäßig innerhalb von 8 Wochen mit einer einfachen Mehrheit der EDSA-Mitglieder, im Rahmen eines qualifizierten Streitbeilegungsverfahrens durch den EDSA mit 2/3-Mehrheit (Art. 65).

Der Europäische Datenschutzausschuss (EDSA) besteht aus den Leitern der Aufsichtsbehörden, je einer pro EU-Mitgliedsland. In Deutschland muss aus den föderalen Aufsichtsbehörden nach nationalen Regeln ein Behördenleiter benannt werden (Art. 68). Geleitet wird der EDSA von einem Vorsitzenden und zwei Stellvertretern. Das EDSA-Sekretariat wird beim Europäischen Datenschutzbeauftragten eingerichtet (Art. 75).

12. Rechts­schutz und Sanktionen

Bisher waren die national geregelten Rechtsfolgen im Datenschutzrecht beschränkt wirkungsvoll. Im Safe-Harbor-Urteil hat der EuGH in Bezug auf Rechtsschutz und Sanktionsmöglichkeiten Verbesserungen eingefordert,[9] welche die DSGVO nun bereitstellt:

Betroffene haben nicht nur gegenüber der Aufsichtsbehörde ein Beschwerderecht (Art. 77), sondern auch gerichtliche Rechtsbehelfsmöglichkeiten (Art. 78). Ein Informationsanspruch besteht nicht nur zu den Verfahrensergebnissen, sondern auch zum Bearbeitungsstand. Mit dem neuen Instrument kann ein Betroffener eine materiellrechtlich korrekte Entscheidung gegenüber der Aufsichtsbehörde einklagen. Rechtsschutzmöglichkeiten bestehen für den Betroffenen weiterhin gegenüber der verantwortlichen Stelle oder dem Auftragsverarbeiter, wobei verbraucherfreundlich gegen private Verantwortliche die Klage im Mitgliedstaat des Betroffenen eingelegt werden kann.

Neu ist die nationale Möglichkeit zur Regelung einer Verbandsklage, bei der eine Einrichtung, Organisation oder Vereinigung die Rechte des Einzelnen oder von vielen Betroffenen gerichtlich geltend machen kann (Art. 80). Eine solche Norm besteht seit 2016 in Deutschland im Unterlassungsklagegesetz.[10]

Wie schon bisher (in Deutschland nur im privaten Bereich), haben die Aufsichtsbehörden die Möglichkeit, Warnungen und Untersagungsverfügungen zu erlassen (Art. 58 Abs. 2 lit. a-h, j).

Daneben sind Sanktionen in Form von empfindlichen Geldbußen möglich, die „in jedem Fall wirksam, verhältnismäßig und abschreckend“ sein müssen (Art. 83 Abs. 1). Abhängig vom Verstoß können Geldbußen bis zu einer Höhe von 10 Mio. Euro, in vielen Fällen bis zu 20 Mio. Euro bzw. „im Fall von Unternehmen von bis zu 2 % (4%) seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres“ verhängt werden. Geldbußen gegen öffentliche Stellen können national ausgeschlossen werden (Art. 83 Abs. 7). Hiervon hat Deutschland Gebrauch gemacht.

13. Sonder­re­ge­lungen

In einigen Bereichen überlässt der europäische Verordnungsgeber es den Mitglied­staaten, spezifische Regelungen zu erlassen und macht hierfür allgemeine Vorgaben. Dies gilt u. a. für die Datenverarbeitung „zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken“ (Art. 85), für den Zugang der Öffentlichkeit zu amtlichen Dokumenten (Art. 86), die Datenverarbeitung im Beschäftigtenkontext (Art. 88) und die Verarbeitung „zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen und historischen Forschungszwecken und zu statistischen Zwecken“ (Art. 89).

Europäisch oder national geregelte (berufliche) Geheimhaltungspflichten können neben dem Datenschutzrecht weiterhin Anwendung finden. Dies betrifft in Deutschland beispielsweise den § 203 StGB und bereichsspezifische Konkretisierungen etwa im Anwalts-, Arzt- oder Notarrecht. Das in Deutschland geltende Kirchenprivileg zur Normierung des Datenschutzes soll weiterbestehen, soweit die Vorschriften „mit dieser Verordnung in Einklang gebracht werden“ (Art. 91).

In Art. 97 ist eine regelmäßige Evaluation der Verordnung vorgesehen, deren Ergebnis erstmals spätestens vier Jahre nach Inkrafttreten vorgelegt werden muss.

14. Ausblick

Die DSGVO ist ab dem 25.5.2018 direkt anwendbar. Der Anspruch der Verordnung, ein EU-weit einheitliches Datenschutzniveau festzulegen, wurde in vielen Bereichen wegen der Öffnungsklauseln nicht erreicht. Diese gehen insbesondere auch auf deutsche Forderungen zurück. Das Resultat ist auch künftig eine begrenzte Heterogenität.

Diese Heterogenität wird aber in keiner Weise zementiert. Zwar ist es sehr wahrscheinlich, dass auslegungsbedürftige Regelungen der DSGVO national oder gar regional von Anwendern, Aufsichtsbehörden und Gerichten unterschiedlich ausgelegt werden. Durch die Vorlagemöglichkeit beim EuGH nach Art. 267 AEUV sowie generell durch die Rechtsprechung des EuGH – etwa in Fällen des Art. 263 AEUV – kommt diesem Gericht auf lange Sicht eine wichtige, rechtsvereinheitlichende Funktion zu.

Die Öffnungsklauseln belassen den nationalen Gesetzgebern in den Mitgliedstaaten noch wichtige Regelungsspielräume. Nationale Gesetzgeber könnten darüber mit innovativer Gesetzgebung zum Vorbild für andere Mitglieder der EU werden und dadurch den digitalen Grundrechtsschutz voranbringen. Dies ist etwa im Bereich des Beschäftigtendatenschutzes möglich und wünschenswert.[11] Innovationsbedarf besteht aber nicht nur hier, sondern in vielen Bereichen der personenbezogenen Datenverarbeitung, etwa bei Big-Data-Anwendungen, bei Anforderungen an Hersteller, bei der Forschung oder im Bereich des Persönlichkeitsschutzes im Internet. Deutschland hat insofern bisher leider wenig Ehrgeiz gezeigt.

Der EU ist mit der DSGVO zweifellos ein fortschrittliches Regelwerk zum Datenschutz mit globaler Strahlkraft gelungen. Dieses hat aber weiterhin Defizite, die sich möglicherweise erst bei der Anwendung erweisen. Die technische, ökonomische und soziale Entwicklung fordert schon heute und laufend weitere Ergänzungen und Modifikationen, mit denen der digitale Grundrechtsschutz fortgeschrieben werden kann und muss.

DR. THILO WEICHERT   Jahrgang 1955, studierte Rechts- und Politikwissenschaften und promovierte mit einer Arbeit zum Datenschutz im strafrechtlichen Ermittlungsverfahren. Er gehörte von 1984 bis 1986 dem Landtag von Baden-Württemberg an, danach war er als Rechtsanwalt und Berater und ab 1992 als Referent beim niedersächsischen Datenschutzbeauftragten tätig. 1998 wechselte er nach Schleswig-Holstein, wo er von 2004 bis 2015 Datenschutzbeauftragter des Landes war. Er ist Mitglied des Netzwerks Datenschutzexpertise: www.netzwerk-datenschutzexpertise.de.

Anmerkungen:

1 Weichert, Die EU-Richtlinie für den Datenschutz bei Polizei und Justiz, DANA 1/2016, 8ff.,
http://www.netzwerk-datenschutzexpertise.de/dokument/eu-datenschutzrichtlinie-f%C3%Bcrpolizei-und-justiz.

2 ABl. L 119/1 v. 04.05.2016, http://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32016R0679&from=DE.

3 Richtlinie 95/46/EG, ABl. L 281 v. 23.11.1995

4 Weichert 2016 (Anm. 1), 8.

5 Europäische Kommission, Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der
elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG (Verordnung über Privatsphäre und elektronische Kommunikation), v. 10.1.2017 2017/0003 (COD).

6 Europäisches Parlament, Bericht über den Vorschlag für eine Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation,
COM(2017)0010 – ‘C8-0009/2017 – 2017/003(COD).

7 Weichert/Schuler, Datenschutz contra Wirtschaft und Big Data, 31.12.2015, http://www.netzwerkdatenschutzexpertise.de/big-data.

8 EuGH, U. v. 06.10.2015, C-362/14, NJW 2015, 3151 ff.

9 EuGH, U. v. 06.10.2015, C-362/14, NJW 2015, 3151 ff., Rn. 64 f.

10 Gesetz zur Verbesserung der zivilrechtlichen Durchsetzung von verbraucherschützenden Vorschriften des Datenschutzrechts v. 17.02.2016, BGBl. I S. 233.

11 Siehe hierzu die Vorschläge des Netzwerks Datenschutzexpertise, http://www.netzwerk-datenschutzexpertise.de/file/150/download?token=1y0VgnAz.

Der Beitrag Die Europäische Datenschutz-Grundverordnung erschien zuerst auf Humanistische Union.

In diesem Jahr wurden – ausgelöst durch Medienberichte zu spektakulären Kriminalfällen – mehrere Gesetzesinitiativen zur erweiterten Nutzung der DNA-Analyse im strafrechtlichen Ermittlungsverfahren vorgelegt. Am 22. Juni 2017 verabschiedete der Bundestag einen Gesetzentwurf „zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens“ (BT-Drs. 18/11277). Er erlaubt u.a. bei genetischen Massenscrennings, Blutsverwandte bis zum 3. Grad zu ermitteln. Parallel dazu hatten Baden-Württemberg (BR-Drs. 117/17) und Bayern (BR-Drs. 117/1/17) Gesetzesanträge „zur Erweiterung des Umfangs der Untersuchungen von DNA-fähigem Material“ in den Bundesrat eingebracht, mit denen die genetische Untersuchung von Gewebeproben erweitert werden sollten, um Augenfarbe, Haar- und Hautfarbe sowie biologisches Alter und „biogeografische Herkunft“ bestimmen zu können.

Alle Vorschläge fanden eine weitgehend positive Medienresonanz, wurden bisher nur in engen Fachkreisen kritisch diskutiert. Am 9. Juni 2017 veranstaltete das „Freiburg Institute for Advanced Studies“ ein interdisziplinäres Symposium zur „Erweiterten DNA-Analyse in der Forensik: Möglichkeiten, Herausforderungen, Risiken“, auf dem Thilo Weichert über die datenschutzrechtlichen Grundlagen und Grenzen für die Verwertung von DNA-Proben referierte. Der folgende Text ist eine erweiterte Verschriftlichung seines bei diesem Symposium gehaltenen Vortrags.

1 Verfas­sungs­recht­liche Grundlagen

Die verfassungsrechtliche Bewertung von Genanalysen im Strafverfahren hat als zentralen Ausgangspunkt das aus Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG, also das aus dem allgemeinen Persönlichkeitsrecht abgeleitete Grundrecht auf informationelle Selbstbestimmung. Im Volkszählungsurteil vom 15.12.1983 hat das Bundesverfassungsgericht (BVerfG) entschieden, dass jeder Mensch ein Recht darauf hat, grds. selbst zu bestimmen, wer, was, wann, bei welcher Gelegenheit über ihn weiß. In dieses Grundrecht darf nur auf Grundlage einer Einwilligung oder eines Gesetzes aus überwiegenden Allgemeinwohlgründen eingegriffen werden. Das erlaubende Gesetz muss normenklar bestimmt und im Hinblick auf das verfolgte Ziel verhältnismäßig sein, d. h. es muss hierfür geeignet, erforderlich und angemessen sein. Zudem muss es grundrechtsschützende prozessuale sowie technisch-organisatorische Vorkehrungen enthalten.

Inzwischen ist dieses „Grundrecht auf Datenschutz“ in Art. 8 der 2009 in Kraft getretenen Europäischen Grundrechte-Charta (GRCh) in der gesamten Europäischen Union ausdrücklich zugesichert. Dieses Grundrecht wird dahingehend präzisiert, dass die Verarbeitung personenbezogener Daten einem konkreten Zweck dienen und nach Treu und Glauben erfolgen muss, dass die Betroffenen einen Auskunftsanspruch hinsichtlich ihrer Daten haben, und dass die Verarbeitung von einer unabhängigen staatlichen Aufsicht kontrolliert werden muss.

Diese verfassungsrechtlichen Festlegungen gehen auf den in den 1970er und 1980er Jahren in Europa entwickelten Datenschutz zurück, der eine Wurzel in Art. 8 der Europäischen Menschenrechtskonvention hat, welche die Privatsphäre unter Schutz stellt. Konkretisierend regelte der Europarat diesen Schutz in der Datenschutzkonvention aus dem Jahr 1981. Von Anfang an war anerkannt, dass sensitive personenbezogene Daten einen besonderen Schutz genießen müssen, wozu u. a. Angaben zur Ethnie, zur Herkunft, zur Gesundheit oder zur Sexualität gehören.

Der Datenschutz bezieht sich nur auf lebende Personen, nicht auf Angaben zu Verstorbenen, deren Daten nur einen verfassungsrechtlich geringeren Schutz genießen.

Neben dem zentralen Grundrecht auf Datenschutz sind bei der Genanalyse in strafrechtlichen Ermittlungen weitere durch das deutsche Grundgesetz sowie durch die GRCh festgelegte verfassungsrechtlichen Werte und Prinzipien zu beachten. Dies sind insbesondere das Recht auf körperliche Unversehrtheit, einschließlich einem Eugenikverbot und dem grundsätzlichen Erfordernis einer freien Einwilligung bei Eingriffen (Art. 3 GRCh), das Recht auf Freiheit und Sicherheit (Art. 6 GRCh) sowie das Diskriminierungsverbot im Hinblick auf die Ethnie, die Herkunft, die Genetik oder auch der Religion, der politischen Meinung und der Sexualität (Art. 21 GRCh). Weitere tangierte Aspekte sind die Gewährung sozialer Sicherheit (Art. 34 GRCh), der Gesundheitsschutz (Art. 35 GRCh) und evtl. der Verbraucherschutz (Art. 38 GRCh). Gene erforschende Wissenschaftler können für sich die Forschungs- und Wissenschaftsfreiheit ins Feld führen (Art. 13 GRCh). Den von DNA-Analysen betroffenen Menschen wird in Art. 47 wirksamer Rechtsschutz bei unabhängigen Gerichten zugesichert (Art. 47 GRCh).

Die Grundrechte gelten nicht uneingeschränkt. Sie müssen sich messen an der staatlichen Schutzpflicht gegenüber der Gesellschaft allgemein bzw. den einzelnen Menschen konkret. Im Hinblick auf die Verfolgung und Ahndung von Regelverstößen hat das BVerfG das Rechtsinstitut der „Effektivität der Strafrechtspflege“ entwickelt, an dem die Grundrechtseingriffe zu messen sind.

2 Grund­prin­zi­pien des Daten­schutzes

Die verfassungsrechtlichen Vorgaben werden im Datenschutzrecht konkretisiert, das sich sowohl in allgemeinen wie in spezifischen Regelungen findet. Allgemeine Regelungen sind u. a. das seit 1977 mehrfach überarbeitete Bundesdatenschutzgesetz (BDSG) sowie die seit dem 25.05.2016 in Kraft befindliche und ab dem 25.05.2018 direkt anwendbare Europäische Datenschutz-Grundverordnung (DSGVO). Bereichsspezifische Datenschutzregelungen finden sich in vielen Gesetzen, so u. a. auch in der das Strafverfahren regelnden Strafprozessordnung (StPO) sowie in der parallel zur DSGVO verabschiedeten Europäischen Datenschutzrichtlinie für die Polizei und die Justiz (DSRl-JI).

Grunderwägung dieser Regelungen ist das „Verbot mit Erlaubnisvorbehalt“, also die Erfordernis einer gesetzlichen bzw. demokratisch legitimierten normativen Grundlage bei personenbezogener Datenverarbeitung. Jede Verarbeitung bedarf einer gesetzlichen Grundlage, bei der eine Abwägung der individuellen Schutzinteressen mit den Verarbeitungsinteressen Dritter oder der Gesellschaft vorgenommen wird. Eine Verarbeitung kann auch durch eine Einwilligung des oder der Betroffenen legitimiert sein, wobei grds. gewährleistet sein muss, dass diese Einwilligung informiert, bestimmt und freiwillig erfolgt (vgl. Art. 7 DSGVO). Liegen, wie z. B. bei genetischen Massenscreenings, insofern Zweifel vor, oder entstehen besonders hohe Risiken für die Betroffenen, so müssen zusätzlich gesetzliche Vorkehrungen getroffen werden.

Die derartig rechtmäßig erhobenen Daten unterliegen der Zweckbindung, d. h. sie dürfen grds. nur für den Zweck verarbeitet und genutzt werden, zu dem sie erhoben wurden. Anderenfalls bedarf es einer zusätzlichen rechtlichen Legitimation. Unabhängig davon gilt das Prinzip der Erforderlichkeit bzw. der Datenminimierung. Dies bedeutet, dass die Verfahren zur Verarbeitung personenbezogener Daten so gestaltet werden müssen, dass so wenig personenbezogene Daten wie möglich verarbeitet werden und dass diese Daten für den verfolgten Zweck auch tatsächlich erforderlich sind. Informationelle Selbstbestimmung bedeutet zudem, dass die Betroffenen über Art der Daten und deren Verarbeitung, Identität der verantwortlichen Stellen sowie Zweck informiert werden, d. h. dass für die Betroffenen Transparenz besteht. Dieses Transparenzerfordernis besteht auch in Bezug auf die demokratische, staatliche und rechtliche Kontrolle, also gegenüber Parlamenten, Aufsichtsbehörden und Gerichten. Die Datenschutzrechte der Betroffenen beschränken sich nicht auf Transparenz (Auskunftsanspruch und Informationsrechte), sondern umfassen u. a. auch die Sperrung bestrittener und die Berichtigung falscher Daten. Bei falschen und bei rechtswidrig gespeicherten Daten sowie bei solchen, die nicht mehr erforderlich sind, haben die Betroffenen einen Löschanspruch.

Schließlich gilt, dass personenbezogene Datenverarbeitung unter staatlicher Aufsicht bzw. Kontrolle erfolgen muss. Dies gilt insbesondere für sensitive Daten sowie solche, die jenseits der Kenntnis und der Einflusssphäre der Betroffenen (z. B. verdeckt und im Geheimen) erhoben und verarbeitet werden. Im Urteil zum Antiterrordateigesetz hat das BVerfG 2013 präzisiert, dass diese Kontrolle nicht nur theoretisch möglich sein, sondern auch praktisch und mit hinreichender Tiefe erfolgen muss.

Beim Schutz sensitiver Daten geht es nicht nur um die Gewährleistung informationeller Selbstbestimmung. Es werden weitere Schutzziele verfolgt. Diese bestehen zum einen in der Verhinderung von Diskriminierungen z. B. wegen bestimmter Merkmale wie der Herkunft oder der Zugehörigkeit zu einer bestimmten Ethnie. Zudem wird der Schutz von spezifischen Grundrechten beabsichtigt, etwa der Schutz der Gesundheit, der Familie oder der Gedanken- und Gewissensfreiheit. Eine weitere Zielrichtung besteht darin, dass durch die Datenverarbeitung die Inanspruchnahme von Hilfen in einer Notlage nicht beeinträchtigt wird. Dem dienen z. B. das Patienten- und das Sozialgeheimnis oder sonstige berufliche Schweigepflichten. Sie sollen die Intimsphäre und den Kernbereich privater Lebensgestaltung wahren. Eine – moderne – Zielrichtung besteht schließlich darin, die Erstellung umfassender Persönlichkeitsbilder zu verhindern. Die Objektivierung des Menschen durch (informations- und/oder biotechnische) Datenverarbeitung soll vermieden werden. Aus diesem Grund werden nach der DSGVO neuerdings auch persönliche Identifikatoren als sensitiv angesehen, wobei es sich hierbei um digitale und/oder biometrische (z. B. um genetische) Identifikatoren handeln kann. Mit Hilfe solcher Identifikatoren können Datenbestände aus unterschiedlichen Kontexten zu umfassenden Persönlichkeitsbildern zusammengeführt werden, was aus persönlichkeitsrechtlicher Sicht verhindert oder zumindest eingeschränkt werden soll.

Der Datenschutz hat nicht nur eine rechtliche, sondern auch eine technisch-organisatorische Komponente, die mit den sechs folgenden technischen Schutzzielen adressiert wird:

• Die Wahrung der Vertraulichkeit der Daten kann z. B. über deren Verschlüsselung, durch qualifizierte Zugriffskonzepte oder durch räumliche oder logische Trennung erreicht werden.
• Die Datenintegrität bzw. Authentizität lässt sich durch zertifizierte Verfahren der Verarbeitung, durch Maßnahmen der Qualitätssicherung oder durch die digitale Signierung von Datensätzen gewährleisten.
• Mit der Datenverfügbarkeit wird sichergestellt, dass die Funktion der Verarbeitung durch Datenverlust nicht beeinträchtigt wird. Dem kann durch Replizierung der Daten (Backups) sowie durch Redundanz der Verarbeitungssysteme (bis zur Sicherung der Stromversorgung) genügt werden.
• Intervenierbarkeit zielt auf die persönlichkeitsrechtsbedingte Veränderbarkeit des Datenbestandes oder einzelner Daten, also z. B. die spezifische Sperr- und Löschbarkeit.
• Mit der Transparenz durch Dokumentation und Protokollierung wird die Datenverarbeitung revisionsfähig gemacht, um die Verantwortlichkeiten feststellen und prüfen zu können.
• Technische und organisatorische Maßnahmen zur Nichtverkettbarkeit, etwa über eine Datei- oder Mandantentrennung, über Rollenkonzepte, Abschottungen und Treuhändermodelle haben die Absicherung des Zweckbindungsgrundsatzes zum Ziel.

3 Das Spezifische von Gendaten

Gendaten unterscheiden sich von anderen, insbesondere von rein informationstechnisch erhobenen und verarbeiteten Daten, durch folgende persönlichkeitsrechtlich relevante Eigenschaften:

• Es besteht eine weitgehende Unveränderbarkeit dieser Daten eines Menschen von dessen Zeugung bis weit nach dem Tod.
• Dadurch eignen sich diese Daten als eindeutiger (biometrischer) Identifikator des Menschen.
• Dies führt dazu, dass sowohl der genetische Code sowie die Gewebeproben, aus denen dieser gewonnen wird, wirksam nicht anonymisierbar sind.
• Die Gendaten sind somit „schicksalhaft“ den jeweiligen Betroffenen vorgegeben und zwar auch in Bezug auf höchstpersönliche Eigenschaften.
• Diese Eigenschaften sind teilweise von höchster Sensibilität, etwa wenn sie sich auf seelische oder gesundheitliche Dispositionen beziehen.

---

Bisher war unklar, inwieweit genetische Daten generell in die datenschutzrechtlich besonders geschützte Kategorie der sensitiven Daten nach § 3 Abs. 9 BDSG-alt einzuordnen war. Eine Zuordnung konnte damit begründet werden, dass diese zugleich Informationen über die „Gesundheit“ bzw. über die „rassische und ethnische Herkunft“ enthalten. Diese Unklarheit beseitigt die DSGVO: Art. 4 Nr. 13 DSGVO definiert „genetische Daten“ ausdrücklich. Danach handelt es sich um „personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden“.

Durch die eindeutige systematische Zuordnung wird die Frage nach der Zulässigkeit der Datenverarbeitung mit der DSGVO eindeutiger beantwortet. Es handelt sich um sensitive Daten bzw. in der Terminologie der DSGVO um eine „besondere Kategorie personenbezogener Daten“. Deren Verarbeitung ist verboten, wenn nicht ein spezifischer Erlaubnistatbestand gegeben ist. Ein solcher Erlaubnistatbestand ist die auf diese Datenart explizit bezogene Einwilligung (Art. 9 Abs. 1 lit. a DSGVO). Neben weiteren Erlaubnistatbeständen gibt es u. a. auch folgende: die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat (lit. e); die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich (lit. g).

Der Umstand, dass bestimmte genetische Daten durch äußere Umstände für die Öffentlichkeit erkennbar sind, rechtfertigt nicht das Vorenthalten oder die Reduzierung des besonderen rechtlichen Schutzes für sensitive Daten. Die öffentliche Wahrnehmbarkeit genetisch bedingter äußerer Merkmale ist keine gezielte, sondern eine zwangsläufige faktische „Veröffentlichung“. Anders als im US-amerikanischen Recht wird bei öffentlicher Wahrnehmbarkeit die Zulässigkeit der Nutzung von Daten von dem jeweiligen Zweck und der Sensitivität abhängig gemacht.

Es geht nun darum, durch angemessene rechtliche, prozessuale, technische und organisatorische Garantien die Verarbeitungsrisiken derart einzugrenzen, dass die Verarbeitung zu einem konkreten (öffentlichen) Zweck angesichts der Schutzinteressen der Betroffenen gerechtfertigt werden kann. Art. 9 Abs. 3 DSGVO sieht vor, dass eine mögliche Schutzmaßnahme darin bestehen kann, dass die Verarbeitung der genetischen Daten durch Fachpersonal erfolgt, das einem Berufsgeheimnis unterliegt. In Art. 9 Abs. 4 DSGVO heißt es ergänzend: „Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.“ Es besteht also eine Öffnungsklausel für eine nationale Regulierung.

Diese allgemeine europäische Regelung gilt im Grunde auch für den spezifischen Zweck der Strafverfolgung. Zeitgleich zur DSGVO wurde in Art. 10 DSRl-JI eine inhaltlich entsprechende Regelung erlassen.

Dieser europarechtliche Rahmen ist durch nationale Gesetze zu konkretisieren. Solche Konkretisierungen finden sich im Gendiagnostikgesetz hinsichtlich medizinischer Zwecke, der Klärung der Abstammung, des Versicherungsbereichs und des Arbeitslebens. In Bezug auf die menschliche Fortpflanzung gilt das Embryonenschutzgesetz. Explizite Regelungen zur Verarbeitung genetischer Daten enthalten zudem die §§ 81e-81h StPO, die es erlauben, Spurenzuordnungen vorzunehmen, Verdächtige unter bestimmten Voraussetzungen zu erfassen, hierbei auch Abstammungsfeststellungen vorzunehmen und diese Daten möglicherweise auch zum Zweck der Identifizierung für künftige Strafverfahren zu verwenden. Erlaubt wird außerdem unter bestimmten Voraussetzungen das Durchführen von genetischen Reihenuntersuchungen, sog. Massenscreenings.

Wegen der Verbots mit Erlaubnisvorbehaltes, das bei der Verarbeitung sensitiver Daten in besonderem Maße gilt, ist eindeutig, dass ohne eine wirksame Einwilligung oder ohne gesetzliche Regelung eine Erhebung, Speicherung und Nutzung dieser Daten absolut verboten sind. Dies gilt insbesondere auch für den Anwendungsbereich des Aufenthalts- bzw. Ausländerrechts sowie für den Bereich der polizeirechtlich geregelten Gefahrenabwehr. Dabei muss aber darauf hingewiesen werden, dass die Bereiche der Strafverfolgung und der Gefahrenabwehr – im Widerspruch zum Zweckbindungsgrundsatz – rechtlich nicht sauber voneinander getrennt sind: Eine ursprünglich strafprozessual legitimierte Erfassung von DNA-Daten kann dazu führen, dass die Zweitnutzung dieser Daten für präventive Zwecke, z. B. für die künftige Strafverfolgung, gerechtfertigt ist.

Gesetzlich weitgehend ungeregelt blieb bisher leider auch die medizinische oder sonstige Forschung am menschlichen Genom. Dies führte dazu, dass Rechtssicherheit für die Forschenden nur erreicht werden kann, wenn jeweils eine explizite individuelle Einwilligung vorliegt.

4 Bisherige Recht­spre­chung zur DNA-Fo­rensik

Die bisherige Rechtspraxis führte zwar zu einigen höchstrichterlichen Entscheidungen zur Nutzung von Genanalysen, auch im Strafverfahren. Diese Entscheidungen haben jedoch nur eine begrenzte Aussagekraft für die nötige verfassungsrechtliche Bewertung der anstehenden Gesetzesinitiativen im Bereich der DNA-Forensik. In den Jahren 2000/2001 hatte das BVerfG mehrfach über die Zulässigkeit der genetischen Identifizierung im Strafverfahren zu entscheiden.[1] Dabei stellte das Gericht klar, dass die nicht-codierende DNA-Identifizierung nicht in den verfassungsrechtlich absolut geschützten Kernbereich der Persönlichkeit eingreift. Das Gericht ließ es aber offen, dass etwas anderes bei Rückschlüssen auf persönlichkeitsrelevante Merkmale wie Charaktereigenschaften und Krankheiten gilt, oder wenn auf der Grundlage der genetischen Analyse ein Persönlichkeitsprofil erstellt wird.

Dessen ungeachtet stellte das BVerfG Anforderungen, nämlich dass angesichts der Sensitivität der Ergebnisse von Genanalysen und des spezifischen hoheitlichen Eingriffscharakters strafrechtlicher Ermittlungen die genetische Identifikation nur zur Aufklärung von „Straftaten mit erheblicher Bedeutung“ zulässig ist, also bei „mittlerer Kriminalität“, nicht aber bei sog. Bagatell-Kriminalität. Weiterhin verbietet das BVerfG eine pauschale Bewertung und verlangt, dass in jedem Einzelfall eine umfassende Abwägung aller relevanten Aspekte zu erfolgen hat, wozu u. a. die jeweilige Eingriffstiefe der Maßnahme, die Schwere der aufzuklärenden Straftat sowie die Aufklärungswahrscheinlichkeit angesichts der tatsächlichen Umstände gehören. Weiterhin betont das BVerfG unter Bekräftigung des allgemeinen datenschutzrechtlichen Erforderlichkeitsgrundsatzes hinsichtlich einer Speicherung der Daten das Resozialisierungsinteresse von verurteilten Straftätern. Dieses zwingt dazu, bei der Speicherung der DNA-Daten bestimmte angemessene Tilgungsfristen zu beachten. Hinsichtlich der Anforderungen an die Eingriffsnorm bekräftigt das BVerfG seine allgemeine Rechtsprechung, wonach die gesetzliche Regelung normenklar und justiziabel sein muss.

Jenseits des Strafrechts hatte das BVerfG Veranlassung, sich zu Fragen der genetisch festzustellenden biologischen Verwandtschaft zu äußern. Dabei stellte es fest, dass ein Vater keinen verfassungsrechtlich begründeten Anspruch auf Vaterschaftsfeststellung hat.[2] Der rechtliche Vater hat Anspruch auf Kenntnis der biologischen Abstammung seines Kindes,[3] nicht aber auf Auskunft der Mutter über den biologischen Vater.[4] Keine Aussagen des BVerfG oder auch des Europäischen Gerichtshofes liegen zu der Frage vor, wie weit der genetische Kernbereichsschutz geht und welche Abwägungsaspekte in welcher Weise zu gewichten sind.

Aus der bisherigen verfassungsgerichtlichen Rechtsprechung ergibt sich, dass bei jeder personenbezogenen forensischen DNA-Analyse eine Einzelfallprüfung vorgenommen werden muss. Dabei ist die absolute Schranke des Würdeschutzes (Art. 1 Abs. 1 GG) bzw. des Kernbereichsschutzes zu berücksichtigen. Die Erstellung allgemeiner oder spezifischer Persönlichkeitsbilder ist unzulässig. Jenseits dieser absoluten Verbote bedarf es einer umfassenden Abwägung unter Hinzuziehung des Grundsatzes der Verhältnismäßigkeit.

Die erlaubenden Normen müssen normenklar und bestimmt sein und verfahrensrechtliche sowie technisch-organisatorische Schutzvorkehrungen enthalten, die insbesondere die informationelle bzw. genetische Selbstbestimmung sowie die Möglichkeit des individuellen Rechtsschutzes sicherstellen. Hinsichtlich der genetischen Selbstbestimmung ist zu beachten, dass sich diese nicht nur auf das Wissen, sondern auch auf das Nichtwissen bezieht. Die genaue verfassungsrechtliche Ausgestaltung dieses Rechts auf Nichtwissen ist aber bisher verfassungsgerichtlich noch nicht näher geklärt.

5 Bewertung der Gesetz­ge­bungs­vor­schläge

Entwurf der Bundes­re­gie­rung

Der Gesetzentwurf der Bundesregierung (BT-Drs. 18/11277) sieht in § 81e StPO vor, dass die genetische Analyse auf Identität, Abstammung und Geschlecht vorgenommen werden darf und sich nicht nur auf Spurenmaterial, sondern generell auf „Material“ beziehen kann. In § 81h StPO soll bei genetischen Reihenuntersuchungen nicht nur die Identifizierung des Spurenlegers möglich sein, sondern auch die „von Verwandten in gerader Linie oder in der Seitenlinie bis zum dritten Grad“. Erfasst werden also auch Urgroßeltern und Urenkel, in der Seitenlinie auch halbbürtige Geschwister sowie deren Kinder (Nichten, Neffen). Bei der vorab nötigen Einholung der Einwilligung sind die Betroffenen darauf hinzuweisen, dass das Ergebnis des Abgleichs auch zu Lasten ihrer Verwandten verwendet werden darf.

Es dürfte eindeutig sein, dass die vorgesehene Erweiterung keinen Eingriff in den Kernbereich darstellt und absolute Verbote nicht tangiert werden. Wohl aber gibt es eine umfassende Rechtsprechung, dass unverdächtige Personen grds. nicht in Ermittlungsmaßnahmen hineingezogen werden dürfen, wenn sie hierfür keine Veranlassung gegeben haben. Es bedarf für Ermittlungsmaßnahmen eines konkreten Verdachtes. Tatsächlich wird im Gesetzentwurf eine Maßnahme der Verdachtsgewinnung erlaubt gegenüber Personen, für deren Beteiligung an einer konkreten Tat es zunächst keinerlei Hinweise gibt. Der Umstand, dass jemand in die Testung seiner DNA eingewilligt hat, rechtfertigt nicht eine Testung in Bezug auf seine Verwandten. Die biologische Verwandtschaft ist ein klassischer Zufallsfund, der technisch nur schwer ausgeschlossen werden kann.

Anknüpfungspunkt für die Verdachtsgenerierung ist kein äußerer Umstand, sondern die genetische Ähnlichkeit. Ob dies gerechtfertigt werden kann, ist angesichts der spezifischen Merkmale genetischer Daten fragwürdig. Dies gilt umso mehr, je entfernter die biologische Verwandtschaft ist. Die Begrenzung auf die Verwandtschaft dritten Grades wird weniger von rechtlichen Verhältnismäßigkeitserwägungen bestimmt als von den praktischen Erkenntnismöglichkeiten.

Entwürfe der Länder Baden-Würt­tem­berg und Bayern

Die Gesetzesinitiativen der Länder Baden-Württemberg (BR-Drs. 117/17) und Bayern (BR-Drs. 117/1/17) sehen folgende Ergänzung von § 81e Abs. 2 StPO vor: „Ist unbekannt, von welcher Person das Spurenmaterial stammt, dürfen auch Feststellungen über das Geschlecht, die Augen-, Haar- und Hautfarbe, das biologische Alter (sowie die biogeografische Herkunft) der Person getroffen werden. Feststellungen über andere (als die in Satz 2 bezeichneten) Tatsachen dürfen nicht erfolgen; hierauf gerichtete Untersuchungen sind unzulässig.“ Während im Baden-Württemberg-Entwurf auf Intervention des grünen Koalitionspartners auf die Analyse der „biogeografischen Herkunft“ verzichtet wird, ist diese Untersuchung im Bayern-Entwurf eingeschlossen.

Begründet wird der Gesetzentwurf von Baden-Württemberg wie folgt: „Diese äußerlich sichtbaren Körpermerkmale (Augenfarbe, Haarfarbe, Hautfarbe sowie biologisches Alter) können nach den wissenschaftlichen Erkenntnissen durch Untersuchungen genetischer Informationen mit der im Folgenden jeweils angegebenen Vorhersagegenauigkeit bestimmt werden: Augenfarbe blau oder braun: 90-95%, Haarfarben rot, blond, braun oder schwarz: 75-90%, Hautfarbe: helle und dunkle Hauttypen: 98%. … Die Vorhersagegenauigkeit in Bezug auf das biologische Alter einer Person liegt bei +/- 3 bis 5 Jahren. Im Einzelfall sind Abweichungen bis zu zehn Jahren möglich.“ Bayern begründet seine Ergänzung wie folgt: „Nach Auskunft der Gemeinsamen Kommission der rechtsmedizinischen und kriminaltechnischen Institute liegen darüber hinaus aussagekräftige DNA-Tests vor, die ermöglichen, aus kleinsten DNA-Mengen die kontinentale Herkunft einer Person mit einer Wahrscheinlichkeit von über 99,9 Prozent zu bestimmen“.

Gemäß den Entwürfen bestünden keine verfassungsrechtlichen Bedenken gegen die geplante Ausweitung der Untersuchungsmöglichkeiten. Der Kernbereich der Persönlichkeit sei nicht betroffen. Die Merkmale seien ja äußerlich ohnehin erkennbar.

Die Vorschläge können im Rahmen der vorliegenden knappen Darstellung nicht umfassend verfassungs- und datenschutzrechtlich bewertet werden. Doch genügt schon eine allgemeine Analyse für die Feststellung, dass beide Entwürfe unzweifelhaft verfassungswidrig sind: Es gibt im Strafverfahren keine Wahrheitssuche um jeden Preis. Vielmehr müssen die gesellschaftlichen und verfassungsrechtlichen Werte berücksichtigt und im Rahmen der Verhältnismäßigkeitsprüfung gewichtet werden.

Die Problematik der Gesetzentwürfe beginnt schon damit, dass diese von falschen Fakten ausgehen. Die angegebenen Prognosesicherheiten sind teilweise falsch und teilweise grob verzerrend: Es trifft zwar zu, dass bei wenigen Menschen mit eindeutigen genetischen Markern mit großer Wahrscheinlichkeit auf äußerliche Eigenschaften geschlossen werden kann. In der ganz überwiegenden Zahl der Menschen sind aber selbst so einfache Eigenschaften wie die Augen- oder Hautfarbe genetisch erheblich komplexer angelegt und deshalb (derzeit) nur mit einer erheblich geringeren Wahrscheinlichkeit bestimmbar. Dies gilt erst recht für die (bio-) geografische Herkunft. Eine hohe Wahrscheinlichkeit kann nur bei selten vertretenen Merkmalen erreicht werden (in Deutschland z. B. schwarze Hautfarbe), nicht bei weit verbreiteten Merkmalen (z. B. weiße Hautfarbe). Dieser Umstand führt dazu, dass der Methode der phänotypisierenden DNA-Analyse systembedingt ein hohes Diskriminierungsrisiko in Bezug auf Personengruppen mit seltenen Merkmalen innewohnt.

Erlangte Wahrscheinlichkeiten bewegen sich daher in den meisten Fällen unter 50%. Die Geeignetheit der Maßnahme wird dadurch weiter reduziert, dass äußere Merkmale gezielt manipuliert werden können (z. B. Färben von Haaren, farbige Kontaktlinsen). Wenn eine Eignung für die Ermittlung besteht, dann zumeist nur ermittlungsintern. Die öffentliche Kommunikation genetisch abgeleiteter wahrscheinlicher Tätermerkmale zu Fahndungszwecken birgt die Gefahr falscher Hinweise und damit Fehlausrichtung von Hinweisen sowie die Gefahr einer gesellschaftlichen Diskriminierung von seltenen Merkmalsträgern. Wahrscheinlichkeiten lassen sich nicht öffentlich kommunizieren. Angaben zum biologischen Alter oder zur sog. biogeografischen Herkunft sind oft nicht äußerlich erkennbar. Hinsichtlich der biogeografischen Herkunft besteht ein hohes Diskriminierungsrisiko. Das bestehende verfassungsrechtliche Diskriminierungsverbot wird von den Gesetzentwürfen nicht erwähnt, geschweige denn gewichtet.

Die Gesetzesbegründungen beschränken sich auf die – inhaltlich nicht näher erläuterte – Behauptung, der Kernbereich privater Lebensgestaltung werde nicht tangiert. Tatsächlich sind die Grenzen des unantastbaren Kernbereichs im Bereich der Genanalyse noch nicht ansatzweise wissenschaftlich erörtert geschweige denn durch die höchstrichterliche Rechtsprechung präzisiert. Die Frage einer unantastbaren persönlichen Sphäre hängt von bestehenden gesellschaftlichen Werten sowie von technischen Möglichkeiten ab. Dabei müssen die sich rasant entwickelnden biotechnologischen Erkenntnismöglichkeiten berücksichtigt werden.

Die Entwürfe ignorieren, dass außerhalb des Kernbereichsschutzes eine verfassungsrechtliche Verhältnismäßigkeitsprüfung notwendig ist. Die Entwürfe zeichnen sich dadurch aus, dass sie sämtliche europa- und verfassungsrechtlichen Anforderungen an qualifizierte Grundrechtseingriffe ausblenden. So wird entgegen der Rechtsprechung des BVerfG keine Begrenzung auf Straftaten mit einer bestimmten Schwere vorgenommen. Verfahrensrechtliche Vorkehrungen sind nicht vorgesehen. Auch sonstige Abwägungsparameter werden weder gesetzlich noch in der Begründung eingeführt.

Eine vertiefte verfassungsrechtliche Prüfung der Vorschläge ist hier nicht nötig, da die konkreten Vorschläge kurzfristig keine Realisierungschancen haben dürften. Erforderlich ist aber wohl eine umfassende Diskussion über die verfassungsrechtlichen Möglichkeiten und Grenzen der genetischen Phänotypisierung. Die Gesetzesinitiativen werden voraussichtlich in der 18. Legislaturperiode nicht mehr umgesetzt werden, was auch den Initiatoren von Anfang an bewusst gewesen sein dürfte. Die Initiativen sind erkennbar darauf ausgerichtet, im Bundestagswahlkampf zur Wählerwerbung genutzt zu werden. Sie haben eine politisch-ideologische Funktion, in der öffentlichen Debatte Sicherheitsinteressen über Interessen des Persönlichkeitsschutzes und der Bürgerrechte zu stellen. Ihnen kommt zugleich eine Türöffner-Funktion für Initiativen in der 19. Legislaturperiode zu. Mit den Initiativen wird sondiert, welche gesellschaftlichen und rechtlichen Widerstände gegen solche Vorschläge entstehen können und welche gesellschaftliche Akzeptanz diese finden.

6 Kriterien für einen erweiterten DNA-Einsatz in der Forensik

Die technische Entwicklung im Bereich der Genanalyse wird in absehbarer Zeit weiter voranschreiten. Sowenig es im Strafverfahren keine Wahrheitssuche um jeden Preis geben darf, so wenig können neue Ermittlungsmöglichkeiten tabuisiert werden. Ihr potenzieller Einsatz und die Bedingungen hierbei müssen erörtert werden. Es bedarf eines umfassenden wissenschaftlichen interdisziplinären Diskurses, der mit der Veranstaltung in Freiburg am 09.06.2017 begonnen wurde. In der Diskussion geht es um Fragen, zu denen Juristen nur einen begrenzten Beitrag leisten können: die biotechnologische Geeignetheit der wissenschaftlichen Methoden der phänotypischen Genanalysen für strafrechtliche Ermittlungen und die gesellschaftlichen Konsequenzen des Einsatzes solche Methoden.

Aus (datenschutz-)rechtlicher Sicht können aber folgende Aspekte schon heute als weitgehend gesichert gelten:

• Die phänotypische DNA-Analyse muss sich auf die Aufklärung besonders schwerer Straftaten beschränken und darf in keinem Fall zu einer Standardmaßnahme werden.
• Im Interesse des Kernbereichsschutzes darf sich die Analyse nicht auf Merkmale psychischer/seelischer Dispositionen beziehen.
• Im Interesse eines wirksamen Diskriminierungsschutzes sowie eines überwiegenden Grundrechtsschutzes sind diskriminierungsgeeignete Merkmale (Ethnie, Herkunft, sexuelle Ausrichtung, Gesundheitsdisposition) auszuschließen.
• Durch verfahrensrechtliche Vorkehrungen muss gewährleistet werden, dass sowohl die Anordnung wie auch die Überprüfung der Umsetzung durch unabhängige Instanzen erfolgt (Richtervorbehalt, effektive Kontrolle durch Datenschutzaufsichtsbehörden).
• Es bedarf einer Überprüfung und Standardisierung der eingesetzten Verfahren und Methoden.
• Die konkret zur Analyse verwendeten Verfahren sowie die diese durchführenden Einrichtungen müssen eine Zertifizierung durchlaufen haben, wodurch hinsichtlich der Umsetzung und der Dokumentation Wissenschaftlichkeit, Professionalität und Nachprüfbarkeit sichergestellt werden soll.
• Bei der Regulierung ist zu unterscheiden hinsichtlich der Herkunft des Materials, z. B. nach DNA aus Spuren, von Beschuldigen, von Dritten, aus Massenscreenings.
• Hinsichtlich der Nutzung der Analyseergebnisse ist zu differenzieren zwischen datenbankinternen Auswertungen, ermittlungsinterner Kommunikation und Öffentlichkeitsfahndung.
• Hinsichtlich der Speicherung ist zu unterscheiden zwischen der sofortigen Löschung nach Relevanzausschluss, tatbezogener Verwendung, übergreifender Verwendung und langfristiger Speicherung mit Abgleichs- und Übermittlungsmöglichkeiten.

DR. THILO WEICHERT   Jahrgang 1955, studierte Rechts- und Politikwissenschaften und promovierte mit einer Arbeit zum Datenschutz im strafrechtlichen Ermittlungsverfahren. Er gehörte von 1984 bis 1986 dem Landtag von Baden-Württemberg an, danach war er als Rechtsanwalt und Berater und ab 1992 als Referent beim niedersächsischen Datenschutzbeauftragten tätig. 1998 wechselte er nach Schleswig-Holstein, wo er von 2004 bis 2015 Datenschutzbeauftragter des Landes war. Er ist Mitglied des Netzwerks Datenschutzexpertise: www.netzwerk-datenschutzexpertise.de.

Anmerkungen:

1 BVerfG, B. v. 14.12.2000, 2 BvR 1741/99, NJW 2001, 879; BVerfG, B. v. 13.03.2001, 2 BvR 1841/00 u. a., NJW 2001, 2320.

2 BVerfG B. v. 11.01.2017, 1 BvR 2322/16; U. v. 19.04.2016, 1 BvR 3309/13.

3 BVerfG U. v. 13.02.2007, 1 BvR 421/05.

4 BVerfG B. v. 24.02.2015, 1 BvR 472/14.

Der Beitrag Genetische Forensik und Datenschutz erschien zuerst auf Humanistische Union.

Als sich die Landesbeauftragten für Datenschutz im Jahr 2004 gegen das damalige JobCard-Verfahren als übermäßige Datenspeicherung von Einkommensdaten öffentlich zur Wehr setzten, interessierte sich kaum jemand für die schon seit einigen Jahren verfolgten Pläne der damaligen rot-grünen Bundesregierung. Im Jahr 2005 stellte die Konferenz der Datenschutzbeauftragten fest, dasss mit diesem Verfahren eine Datenspeicherung auf Vorrat erfolgt, ohne dass die gesetzgeberisch festzulegenden Zwecke absehbar seien. Die Bundesregierung wurde um verfassungsrechtliche Prüfung gebeten. Die Beauftragten nahmen zur Kenntnis, dass ihr Vorschlag einer sog. Ende-zu-Ende-Verschlüsselung unter der Datenhoheit der Betroffenen von den JobCard-Befürwortern als unrealistisch verworfen wurde. Im Juni 2008 brachte die rot-schwarze Bundesregierung einen Gesetzentwurf für das Verfahren unter dem Begriff ELENA ein. Der verzweifelte Versuch der Datenschutzkonferenz im November 2008, das Schlimmste bei dem Verfahren zu verhindern, zumindest mittelfristig den Betroffenen die technische Verfügungsmöglichkeit über die individuellen Daten den Betroffenen zu übertragen und ein differenziertes Löschungskonzept zu entwickeln und umzusetzen, waren im Ergebnis nicht erfolgreich, so dass das Gesetz vom Bundestag beschlossen wurde und im März 2009 in Kraft trat (BGBl. I, S. 634).

Bürokra­tie­abbau durch Daten­sam­meln

Bezeichnet wird damit nicht eine Göttertochter, die wegen ihrer verführerischen Schönheit von einem trojanischen Königssohn entführt wird. ELENA soll vielmehr die Einkommensdaten der gesamten abhängig beschäftigten Bevölkerung in Deutschland in eine gewaltige Datenbank entführen, wo sie für staatliche Sozialverfahren in Schach gehalten werden. ELENA steht für „Elektronischer Entgeltnachweis“. Geändert hat sich im Laufe der Jahre zwar der Name, nicht aber das geplante Verfahren: Sämtliche öffentlichen und privaten Arbeitgeber, ob Großkonzern oder Miniarbeitgeber, wenn es sich nicht gerade um geringfügige Beschäftigung handelt, sollen monatlich an eine zentrale Speicherstelle, die ZSS bei der Deutschen Rentenversicherung, einen gewaltigen Umfang von Entgelt- und Einkommensdaten elektronisch übermitteln, die dort verschlüsselt gespeichert werden und im Bedarfsfall eines Sozialverfahrens zur Leistungsberechnung abgefragt werden können.

Gemeldet werden müssen so ab Anfang 2010 Name, Anschrift, Versicherungsnummer, Gesamt-, Steuer- und Sozialversicherungs-Bruttoeinkünfte, Abzüge für die Sozialversicherung sowie steuerfreie Bezüge. Zu besonderen Anlässen wie Änderungen eines Arbeitsverhältnisses werden zusätzliche Pflichtangaben fällig, etwa, ob eine Kündigung schriftlich und ob sie per Post erfolgt ist, ob eine Sozialauswahl stattgefunden hat, von welcher Arbeitsagentur diese überprüft worden ist, ob nach Auffassung des Arbeitgebers ein vertragswidriges Verhalten vorgelegen hat. Gefragt wird nach kniffligen Umständen, die oft erst gerichtlich geklärt werden können, etwa ob eine Arbeitsabwesenheit rechtmäßig war oder als Vertragsbruch des Arbeitnehmers anzusehen ist. Es muss unterschieden werden bei unbezahlten Fehlzeiten zwischen sprichwörtlichem Blaumachen und unbezahltem Urlaub, um z.B. einen kranken Angehörigen zu pflegen.

All diese Daten sollen dem Bürokratieabbau und der Kostenersparnis dienen, von jährlich 85 Mio. Euro weniger Kosten, v. a. für die Arbeitgeber, ist die Rede. Im Fall einer Sozialbedürftigkeit soll nämlich nicht aufwändig beim Arbeitgeber eine Entgeltbescheinigung eingeholt werden müssen, was dem (evtl. ehemals) Beschäftigten Lauferei, dem Arbeitgeber Recherche- und Schreibaufwand und der Sozialbehörde Prüf- und Erfassungsaufwand auslöst. Vielmehr soll der Hilfebedürftige mit einer Signatur auf einer Chipkarte den Mitarbeitenden der Sozialbehörde die Befugnis einräumen, die Daten direkt bei der ZSS elektronisch abzurufen und in die Berechnung ab 2012 zunächst des Arbeitslosengeldes I, des Elterngeldes und des Wohngeldes einzubeziehen. Geplant ist die Nutzung des Verfahrens perspektivisch für sämtliche vorstellbaren sozialen Leistungen, vom BAFöG bis zur Prozesskostenhilfe. Dies bedeutet, dass für die Arbeitgeber 2010 und 2011 zunächst Doppelarbeit gefordert wird: Einspeisung der vielen Daten gemäß der 41-seitigen tabellarischen Datensatzbeschreibung unter Beachtung der 50-seitigen Ausfüllhilfe und parallel die Ausstellung von Entgeltbescheinigungen auf Anforderung des Beschäftigten.

Eine gewaltige Datenbank

Betroffen sind vor allem die ca. 40 Millionen Beschäftigten: Deren Daten verschwinden in einer gewaltigen Datenbank. Sie erhalten eine elektronische Signaturkarte, mit der sie ansonsten kaum etwas anfangen können, weil ein Signieren elektronischer Dokumente wohl eher nicht zum Tagesgeschäft des betroffenen Klientels gehört. Diese Karte gibt ihnen aber nicht die technische Hoheit über ihre eigenen Daten. Die liegt letztlich bei den Sozialbehörden, die auf die verschlüsselt abgelegten Daten zugreifen können. Hier setzt die Kritik der Datenschutzbeauftragten an: Der zentrale Datenpool mit hoch differenzierten und sensiblen Einkommensdaten der gesamten abhängig beschäftigten Bevölkerung in Deutschland löst zwangsläufig Begehrlichkeiten bei den unterschiedlichsten Bedarfsträgern aus, insbesondere solche, die ermittelnd tätig sind, vom Zoll bei der Schwarzarbeitbekämpfung über die Finanzämter bis hin zu Polizeien und Staatsanwaltschaften. Es ist erklärtes Ziel des Gesetzes, die Daten nach entsprechenden Gesetzesregelungen in immer mehr Sozialverfahren zu nutzen – unter Einbeziehung der Betroffenen. Es ist aber nicht ansatzweise ausgeschlossen, dass an den Betroffenen vorbei weitere Zugriffe erlaubt werden. Das Kontroll- und Diskriminierungspotenzial dieser Datenbank ist gewaltig. Tatsächlich handelt es sich bei der ELENA-Datenbank um klassische Vorratsdatenspeicherung. Mehr als 90% der Daten werden nie gesetzeskonform gebraucht werden; die Speicherung erfolgt auf den vagen Verdacht, dass die Arbeitnehmerin bzw. der Arbeitnehmer auf der Basis dieser Daten einmal eine Sozialleistung beantragen könnte.

Widerstand von Arbeit­ge­bern und -nehmern

Gewerkschaften und Arbeitgeberverbände entdeckten sehr spät, welch monumentales Kuckucksei nun von ihnen ausgebrütet werden muss. Letztere protestierten gegen den gewaltigen Aufwand, der ihnen nun beim Liefern der Daten abverlangt wird. Arbeitnehmervertreter empörten sich über sensible Datenkategorien, etwa die gesonderte Auszeichnung von Streikzeiten. Die zuständige Arbeitsministerin Ursula von der Leyen kündigte an, den Katalog der abgeforderten Daten zu überprüfen; so soll die direkte Zuordnung von Streiktagen nicht mehr möglich sein. Doch am Gesamtprinzip soll, so der erklärte Wille der Politiker bisher, nichts geändert werden. Die weiterhin bestehende Forderung der Datenschutzbeauftragten, die Daten mit einem asymmetrischen Verschlüsselungsverfahren vor Missbrauch zu schützen, steht weiterhin im Raum. Damit könnte auch noch nachträglich mehr Datensicherheit geschaffen werden: Nur mit dem privaten elektronischen Schlüssel auf der Karte der Betroffenen könnte vom Sozialamt auf die Daten, wie in einem Postfach, zugegriffen werden, sonst nicht, auch nicht vom Finanzamt oder der Polizei.

Der Beitrag ELENA – nicht schöne Göttin, sondern Einkommensdatenmonster erschien zuerst auf Humanistische Union.

Eigentlich war der Fall klar: In der Koalitionsvereinbarung von CDU/CSU und FDP vom Oktober 2009 heißt es, die Bundesregierung werde sich bei den Verhandlungen zum SWIFT-Abkommen „für ein hohes Datenschutzniveau (strikte Zweckbindung, Löschung der Daten, klare Regelungen bezüglich Weitergabe an Drittstaaten) und einen effektiven Rechtsschutz einsetzen“. Die Übermittlung der Daten werde „an Tatbestandsvoraussetzungen geknüpft und aufgrund einer Bedrohungs- und Gefährdungsanalyse eingegrenzt“. Das zugrunde liegende Abkommen müsse vom Bundestag ratifiziert werden. Danach hätte sich die Bundesregierung am letzten Tag vor Inkrafttreten des Lissabon-Vertrages am 1. Dezember 2009 beim SWIFT-Abkommen nicht der Stimme enthalten dürfen. Das hat sie aber, was im Ergebnis auf einen Verzicht auf ihr Veto-Recht und auf ein Inkrafttreten des Abkommens hinauslief. Damit wird deutscher und europäischer Datenschutz, also unser Grundrecht auf informationelle Selbstbestimmung, bei internationalen Finanztransaktionen im Hinblick auf US-Behördenanfragen weiterhin verletzt.

Die Vorge­schichte

Wie kam es zu diesem Verfassungsverstoß? Im Jahr 2006 wurde bekannt, dass sich US-Sicherheitsbehörden nach den Terroranschlägen am 11. September 2001 Zugang zu sämtlichen internationalen Banktransaktionsdaten verschafften, indem sie den Monopolisten für derartige Transaktionen, den in Belgien beheimateten Dienstleister „Society for Worldwide Interbank Financial Telecommunication“ (SWIFT) zwangen, das Abschöpfen der Daten über einen in den USA befindlichen, sämtliche globale Transaktionsdaten enthaltenden Rechner zu dulden (vgl. Grundrechtereport 2007, S. 46 ff.). Die Empörung hierüber verbreitete sich von der Presse, über die europäischen Datenschutzbehörden, die Finanzinstitute und SWIFT bis zu den nationalen Parlamenten und dem Europaparlament. Europäische Unternehmen äußerten die nicht unbegründete Befürchtung, dass die abgezogenen Daten zum Zweck der Wirtschaftsspionage genutzt würden. Die Kritik führte schließlich zu einem begrenzten Eingeständnis durch die Europäische Kommission und die deutsche Bundesregierung, dass die Vorgehensweise problematisch ist. Der öffentliche Druck veranlasste zudem den Finanzdienstleister SWIFT, sein Spiegelrechenzentrum von den USA in die Schweiz zu verlegen und die US-Rechner nur noch für den lokalen und nicht mehr für den innereuropäischen Datenverkehr zu verwenden. Diese Änderung wurde für den Jahreswechsel 2009/2010 angekündigt und tatsächlich auch umgesetzt. So war schon frühzeitig erkennbar, dass den US-Behörden bisher verfügbare Daten entzogen würden.

Dies veranlasste die US-Regierung Kontakt mit dem Rat der Europäischen Union (EU) aufzunehmen, um den drohenden Datenverlust zu verhindern. Anstatt den Sieg des Datenschutzes zu feiern, ließen sich der EU-Kommission und -Rat mit ausdrücklicher Zustimmung der damaligen schwarz-roten deutschen Bundesregierung auf das Ansinnen der USA ein. Geplant wurde ein Abkommen, das den US-Behörden weiterhin die Bankdaten von völlig unverdächtigen Menschen und Unternehmen zur Verfügung stellt. Der Vertrag sollte vor Inkrafttreten des Lissabon-Vertrages geschlossen werden, um die nach diesem Vertrag bestehende Zuständigkeit des Europaparlaments zu vermeiden.

Im Vorfeld der Unterzeichnung des SWIFT-Abkommens kam es zu einem Konflikt zwischen den Koalitionspartnern der Bundesregierung. Nachdem aber sämtliche anderen EU-Staaten ihre Vorbehalte gegen das Abkommen zurückgestellt hatten, verzichtete auch Deutschland mit der Stimme des Innenministers auf ein Veto, so dass der Vertrag mit den USA am 1. Februar 2010 in Kraft treten konnte. Außer Deutschland enthielten sich Österreich, Ungarn und Griechenland. Das Europaparlament reklamierte schließlich, dass ohne dessen Zustimmung das Abkommen nicht umgesetzt werden dürfe.

Das neue SWIFT-­Ab­kommen

Zunächst die positive Botschaft: Das Abkommen soll nach 9 Monaten Ende Oktober 2010 und nach Ersetzung durch ein nach den neuen Lissabon-Regeln zustande gekommenes Vertragswerk ersetzt werden. Doch der Inhalt des Abkommens ist skandalös: Die EU-Staaten verpflichten sich, im Rahmen des „Terrorist Finance Tracking Programme“ (TFTP) des US-Finanzministeriums Banktransferdaten von in Europa ansässigen internationalen Finanzdienstleistern, also v.a. von SWIFT, auf Anfrage zu liefern. Die Formulierung des Vertrages führt dazu, dass nicht nur Transaktionen mit Drittländern, sondern auch innerhalb Europas erfasst sind. Hierunter können auch die des neuen innereuropäischen Überweisungssystems SEPA fallen, ebenso innereuropäische Bargeldauszahlungen und sogar innerdeutsche Eilüberweisungen. Voraussetzung ist, dass die spezifischen Recherchen an Transaktionsart, Raumbezug und vermuteten terroristischen Gefahren anknüpfen. Es genügt, dass diese Recherchen den Zwecken der Prävention, der Ermittlung, des Aufspürens oder der Verfolgung des Terrorismus oder der Terrorfinanzierung dienen können. Der Zugriff soll nicht mehr, wie bisher, direkt erfolgen, sondern auf Nachfrage und nach Prüfung durch die national zuständige Behörde, die sich aber auf die Feststellung der Vertragskonformität der Anfrage beschränkt. Sämtliche Maßnahmen werden „als Eilsache durchgeführt“. Übermittelt werden darf alles, was als Transaktionsdaten anfällt.

Die im Abkommen verabredeten Datenschutzvorkehrungen sind ungenügend: Es würde kein Data Mining betrieben, also kein Suchlauf mit offenen Fragestellungen. Der Datenumfang solle so eng wie möglich sein. Die Bestände würden sicher gespeichert und deren Nutzung auf den Zweck der Terrorismusbekämpfung beschränkt – was immer dies auch nach Ansicht der USA sei. Aus der Datenanalyse erlangte Hinweise sollen mit Verfolgungs- und Sicherheitsbehörden in den USA, Europa und dritten Staaten zum Zweck der Terrorismusbekämpfung ausgetauscht werden können. Die Grunddaten würden spätestens nach 5 Jahren gelöscht.

Als Gegenleistung – und dies ist ein vergiftetes Geschenk – bietet die USA Europa an, aus den Daten erlangte Hinweise mitzuteilen und selbst Daten aus den USA anzuliefern, sollte die EU vergleichbare Auswertungen vornehmen wollen. Entgegen der Ankündigung des Bundesinnenministers im Deutschen Bundestag ist in dem Abkommen in Europa kein gerichtlicher Rechtsschutz gewährleistet, weil Europa auf die Datennutzung in den USA keinen Einfluss nehmen darf und kann. Selbst ein nachschauendes Kontrollrecht wird der EU nicht eingeräumt. Nach 6 Monaten soll lediglich eine Evaluation erfolgen, an der auch zwei europäische Datenschützer teilnehmen, wobei nur die Konformität mit den Vertragsbestimmungen geprüft wird, in denen aber keine substanziellen Datenschutzgarantien enthalten sind.

Die Betroffenenrechte sind unzureichend geregelt: Betroffene können bei ihren in Europa liegenden nationalen Datenschutzbehörden nachfragen, ob ihre Rechte nach dem Abkommen beachtet wurden. Nur: das Abkommen gewährt gerade keine Datenschutzrechte, und die europäischen Datenschutzbehörden dürfen in den USA die Nutzung der Daten nicht überprüfen. Eine unabhängige Kontrolle in den USA gibt es nicht.

Was bleibt

Die EU über deren Rat durften ohne parlamentarische Beteiligung zu einem derartigen Eingriff in die Grundrechte der Betroffenen überhaupt nicht verpflichten. Unstreitig ist, dass die in Deutschland wie in der EU geltenden Standards für effektiven Grundrechtsschutz unterlaufen werden. Angesichts der Verteidigung des Abkommens durch das Bundesinnenministerium, wonach „Verbesserungen“ durchgesetzt worden seien und die Löschungsfrist der verdachtslos übermittelten Daten erst nach 5 Jahren „nicht völlig abwegig“ sei, ist zu befürchten, dass keine wesentlichen Verbesserungen im Fall eines langfristigen Abkommens zu erreichen sind.

Unklar bleibt, was mit den Daten in den USA in der Vergangenheit passiert ist und passieren wird. Unklar ist auch, was der millionenfache Datenabgleich gebracht hat. Angeblich wurden bisher 1.450 Hinweise aus dem TFTP-Programm an Sicherheitsbehörden in der EU gegeben und 800 an Behörden anderer Staaten. Was tatsächlich an sicherheitsrelevanten Erkenntnissen herausgekommen ist, wurde weder überzeugend noch überprüfbar dargelegt. Das deutsche Bundeskriminalamt jedenfalls meint, die Datenauswertung bringe nichts. Statt darauf zu dringen, dass Nicht-EU-Staaten hohe Datenschutzstandards einführen, werden ohne Not die europäischen Standards auf dem Altar der Sicherheitspolitik geopfert – zum Schaden der Menschen in der EU. Europäische Sicherheitsbehörden scharren schon mit den Füßen, selbst von Grundrechtsbindungen befreit ermitteln zu können.

So wurde am Tag vor dem Inkrafttreten des Grundrechtes auf Datenschutz in der Grundrechtecharta – einem Bestandteil des Lissabonvertrags – dieses Grundrecht diskreditiert – kein guter Start für die EU-Grundrechte!

Der Beitrag SWIFT: Europa „befreit“ Banktransaktionsdaten vom Grundrecht auf Datenschutz erschien zuerst auf Humanistische Union.

Das Jahr 2008 könnte als Jahr des electronic Government in die Geschichte eingehen. Allen Bürgerinnen und Bürgern wurde eine zentrale lebenslang gültige Steuernummer vergeben, verbunden mit der Einrichtung eine bundesweiten Steuerdatei beim Bundeszentralamt für Steuern. Das Bundeskabinett beschloss nach dem elektronischen Reisepass die Einführung eines elektronischen Personalausweises. Beschlossen wurde von ihm weiterhin ein Elektronischer Leistungsnachweis (ELENA). Nachdem sich der Bund über die Föderalismusreform die Zuständigkeit für das Meldewesen hat zuweisen lassen, bereitet das Bundesinnenministerium ein zentrales Bundesmelderegister vor. All das wird der Öffentlichkeit damit schmackhaft gemacht, nicht mehr die Bürger, nur noch ihre Daten sollten laufen. Der Staat als Serviceeinrichtung der Bevölkerung kümmert sich mit Hilfe modernster Informationstechnik (IT). Nicht offensiv angesprochene aber erwünschte Nebeneffekte sind die Förderung der deutschen IT-Wirtschaft und der Aufbau eines gewaltigen Kontrollapparates gegenüber der Bevölkerung.

Zentraldateien…

Betrachtet man die deutsche Geschichte, so fällt auf, dass die aktuellen Planungen ein Bruch mit fast sämtlichen bisherigen Verwaltungstraditionen darstellen: Föderalismus, dezentrale Datenverarbeitung, Zweckbindung, Verbot eines Personenkennzeichens, Verbot der Vorratsdatenspeicherung. In den 70er Jahren zielten die Einrichtung von dezentralen Melderegistern auf kommunaler Ebene und der Verzicht auf einheitliche Personenkennziffern (PKZ) darauf ab, die staatliche Fremdbestimmung mit Hilfe der elektronischen Datenverarbeitung zu verhindern. Anlässlich der geplanten Volkszählung 1983 begründete das Bundesverfassungsgericht das Grundrecht auf informationelle Selbstbestimmung, die sog. informationelle Gewaltenteilung zwischen verschiedenen Behördenbereichen und die Zweckbindung, also das Verbot, Daten zweckübergreifend zusammenzuführen und zu nutzen. Als Deutschland wiedervereinigt wurde, löste man zwecks Beseitigung des DDR-Überwachungsapparates das bisher bestehende Zentrale Einwohnerregister (ZER) auf und schaffte die bisherige verwaltungsübergreifende Personenkennzahl ab.

Als im Jahr 2004 die einheitliche lebenslange Steuernummer, kurz die Steuer-ID, beschlossen wurde, kritisierten dies nur ein paar Datenschützer in dem Paragrafenwirrwarr des Steuerrechts. Praktische Auswirkungen waren noch nicht erkennbar. Ein erster Versuch, die Datenbestände aller kommunalen Meldebehörden zwecks Erstellung einer zentralen Steuerdatei, misslang. Im Herbst 2008 bei der Vergabe der Steuer-ID und deren Versendung an die Bürgerinnen und Bürger gab es wieder Pannen. Doch von nun an haben alle Neugeborenen und alle anderen Menschen bis ins Greisenalter und 20 Jahre über den Tod hinaus eine eindeutige staatliche Nummer. Hiermit können sich die Finanzbehörden leichter gegenseitig informieren. Über die neue Steuerdatei beim Bundeszentralamt für Steuern besteht zugleich eine zentrale Informationsplattform. Da jedoch die Steuer-ID zwecks korrekter Zuordnung von steuerrelevanten Wirtschaftsvorgängen auch im Geschäftsverkehr genutzt werden muss, wird diese Nummer bald auch unter Privaten, von Arbeitgebern bis zu Geschäftspartnern, weite Verbreitung gefunden haben. Da hilft es nicht viel, dass das Gesetz die Nutzung dieser ID für andere als Steuerzwecke (noch) verbietet. In verborgenen privaten Datenbanken wird sich die Steuer-ID als nützlicher Identifikator erweisen, über den zweckübergreifend Daten zu einer Person zusammengeführt und deren Persönlichkeitsrechte beeinträchtigt werden.

Gespeichert sein soll die Steuer-ID auch in der im Bundesinnenministerium geplanten zentralen Meldedatei. Dabei soll es sich nicht um eine schlanke Datenbank mit wenigen Strukturdaten handeln. Vielmehr ist vorgesehen, dass fast der vollständige Meldedatensatz gespeichert wird, der für sämtliche Bundeseinrichtungen als Datenbasis herangezogen werden kann. Der doppelten oder gar dreifachen Datenhaltung bei den Ländern und den Kommunen kommt nur noch die Rolle des Datenlieferanten und der Auskunftsstelle bei dezentralem Bedarf zu. Das geplante Bundesmelderegister ist aus Verwaltungssicht nicht nötig. Genügen würde die Koordinierung der Landesmeldedatenbestände. Mit dem Register wird ein gewaltige Datendrehscheibe für die unterschiedlichsten Zwecke aufgebaut, die nicht nur an den bisher zuständigen Kommunen, sondern auch an den Betroffenen selbst vorbeigeht. Es würde nach seinem Aufbau zum Selbstdienungsladen für Sicherheits-, Finanz- und Sozialbehörden, so wie dies bzgl. der hier wohnenden Nichtdeutschen das Ausländerzentralregister (AZR) schon ist. Zwar hat die SPD nach Bekanntwerden des Kontodatenskandals im Sommer 2008 die kurzfristige Umsetzung der Pläne ausgesetzt, doch bleiben diese auf der Tagesordnung.

… und elektro­ni­sche Ausweis­do­ku­mente

Verwaltungsvereinfachung mit Hilfe von Informationstechnik – das ist auch das Credo der Einführung von digitalen Ausweisdokumenten. Seit Herbst 2007 werden nur noch Reisepässe ausgegeben, auf denen auf einem per Funk auslesbaren Chip die biometrischen Daten des Gesichts und der Fingerabdrücke gespeichert werden (ePass). Das was als zusätzliche Fälschungssicherheit verkauft wurde, stellt sich als Sicherheitsrisiko für die Betroffenen dar: Mit wenigen Grundinformationen ist es möglich, die Informationen auf dem Chip unbemerkt aus der Distanz auszulesen, was dazu führen kann, dass Kopien des Passes erstellt werden können, mit denen Identitätstäuschungen möglich sind. Nicht weniger riskant ist für die Zukunft die Detektion der Passinhaber über die Funktechnik (Radio Frequency Identification – RFID). Die neuen – nach internationalen Standards erstellten – Pässe sind eine praktische Basis für Diktaturen, ihren Grenzverkehr lückenlos zu überwachen und über die Reisenden biometrische Datenbanken zu erstellen.

Die Pläne der Bundesregierung, dass Passkonzept auf den Personalausweis (ePerso) auszuweiten, stieß auf Widerstand bei Datenschützern. Dieser war insofern erfolgreich, als die Speicherung der Fingerabdruckdaten nicht verpflichtend sein soll und die vorgesehene Technik einen höheren Sicherheitsstandard erhält. Der ePerso soll auch im elektronischen Geschäftsverkehr über das Internet genutzt werden können zur eindeutigen Identifizierung sowie zur elektronischen Signierung von Dokumenten. Ob und wie es hierbei den Betroffenen ermöglicht wird, mit unterschiedlichen Pseudonymen im Online-Geschäft auftreten zu können, muss erst die weitere technische Umsetzung zeigen.

Um die Einführung digitaler Signaturen schneller voranzubringen hat die Bundesregierung nach langer kontroverser Diskussion mit den Landesdatenschutzbeauftragten beschlossen, den elektronischen Einkommensnachweis bei Sozialleistungsverfahren einzuführen. Das, was harmlos mit dem Namen der schönen griechischen Göttin ELENA angepriesen wird, entpuppt sich bei näherem Hinsehen als Datenmonster und Überwachungsapparat. Erklärtes Ziel ist es, das bisherige aufwändige Papierbelegverfahren für Einkommensnachweise in Sozialverfahren, z.B. zur Berechnung von Sozialhilfe, Arbeitslosengeld oder Bundesausbildungsförderung, durch elektronische Auskünfte aus einem Zentralregister zu ersetzen, in dem über Jahre hinweg sämtliche Einkommensdaten der abhängig beschäftigten Bevölkerung in Deutschland gespeichert werden. Damit wird eine übermäßige Vorratsdatenspeicherung betrieben, weil nur in wenigen Fällen die gespeicherten Angaben wirklich für Sozialverfahren benötigt werden. Alternativverfahren, mit denen eine wirksame Verschlüsselung der Daten gesichert worden wäre, wurden ignoriert. So steht nun eine Datenbank vor der Verwirklichung, die bei unterschiedlichsten Bedarfsträger Begehrlichkeiten auslösen: von der Polizei über die Finanzbehörden bis zum Zoll zum Zweck der Schwarzarbeitsbekämpfung.

Infra­s­truk­turen zur Überwachung

Sämtliche eGovernment-Bestrebungen werden präsentiert als Maßnahmen zur Entbürokratisierung und zur Lebensvereinfachung für die Bürgerinnen und Bürger. Tatsächlich steckt aber in allen Maßnahmen ein gewaltiges Kontrollpotenzial, über das sich die staatliche Verwaltung unabhängig vom ursprünglichen Zweck und teilweise ohne rechtliche oder technische Hindernisse nach Belieben bedienen kann. Dort, wo noch rechtliche Hindernisse vorgesehen sind, ist schon absehbar, dass diese nach Einführung der Technik abgebaut werden sollen. Alternativverfahren, die den Bürgerinnen und Bürgern das Verfügungsrecht über ihre Daten bewahren, wären zwar möglich, werden aber – abgesehen vielleicht vom ePerso – nicht ernsthaft weiterverfolgt. So schafft sich der Staat mit freundlichem Gesicht eine technische Infrastruktur, nach der sich frühere deutsche Diktaturen die Finger geleckt hätten.

Der Beitrag eGovernment als zentralisierte Bürgerkontrolle erschien zuerst auf Humanistische Union.

Internationale Terroristen sind manchmal mit dem Flugzeug unterwegs. Diese Realität wurde der Welt anlässlich der terroristischen Anschläge am 11. September 2001 auf Pentagon und World Trade Center drastisch bewusst. Bei der Suche nach Maßnahmen zur Terrorismusbekämpfung war für die Vereinigten Staaten von Amerika (USA) die Kontrolle der Fluggäste scheinbar naheliegend. Im Aviation and Transportation Act wurden die Fluggesellschaften zur Übermittlung der Daten von Fluggästen und Besatzungsmitgliedern verpflichtet, auch bei internationalen Flügen und Zwischenlandungen in den USA. Seit 2003 verlangen die US-Behörden einen Zugriff auf die so genannten „Passenger Name Records“ („Passenger Name Records“) in den Datenbanken der Fluggesellschaften. Von dort beschafften sie sich im so genannten Pull-Verfahren über einen direkten Abruf zu jedem Fluggast Informationen zu 43 bzw. 38 Datenfeldern.

Diese Überwachung des US-Flugverkehrs hatte auch weitgehende Auswirkungen auf die europäischen Fluglinien und den transatlantischen Flugverkehr, denn die US-Sicherheitsbehörden bestanden darauf, einen technischen Zugang zu den Unternehmenscomputern mit den Kundendaten zu haben. Wirksame Datenschutzgarantien wollten und konnten die USA nicht geben. So kam es schon einmal vor, dass aufgrund der Rasterung der Fluggastdaten aus Europa jemand bei der Grenzkontrolle in den USA deshalb verhaftet und dann zurückgewiesen wurde, weil zusätzlich zu einem arabischen Namen oder zu Reisen in arabische Länder bei Amazon über das Internet ein als verdächtig bewertetes Buch bestellt worden war.

Kritik von Daten­schüt­zern

Trotz heftiger Kritik von Politikern, Bürgerrechtlern und Datenschützern erkannte die EU-Kommission die Angemessenheit des Datenschutzniveaus bzgl. der Verarbeitung von Fluggastdaten in den USA an und erlaubte die Verpflichtung zur Datenübermittlung. 2004 wurde vereinbart, mittelfristig vom Pull- auf das Push-Verfahren zu wechseln, d.h. dass die US-Behörden nicht mehr auf fremde Datenbanken Zugriff erhalten, sondern diesen die geforderten Daten übermittelt werden sollten. Die betroffenen Passagiere seien über die Übermittlung in die USA zu informieren. Eine entsprechende Vereinbarung wurden auch mit Kanada abgeschlossen, wobei jedoch ein geringerer Datenumfang, eine strengere Zweckbindung bei der Datennutzung und eine klarere Beschreibung der Betroffenenrechte vorgesehen ist.

Mit Urteil vom 30. Mai 2005 hob der Europäische Gerichtshof (EuGH) die Entscheidung der Kommission zur Angemessenheit des Datenschutzniveaus der USA und den Beschluss über den Abschluss des Fluggastdatenabkommens mit den USA auf, weil die Kommission für derartige Maßnahmen im Bereich der so genannten dritten Säule der Europäischen Union, also für die Innen- und Justizpolitik, nicht zuständig ist. Zwar wurde das Abkommen auch angegriffen, weil es gegen die Sicherung des Datenschutzes verstieß, der als gemeinsamer Grundrechtsstandard seit langem in der EU anerkannt und in Art. 8 der Europäischen Grundrechtecharta normiert ist, doch machte der EuGH hierzu keine Ausführungen. Dies beflügelte Deutschland während seiner EU-Präsidentschaft in der ersten Hälfte des Jahres 2007, nunmehr ein Abkommen zwischen dem Rat der EU und dem US Department of Homeland Security ohne große inhaltliche Änderungen zu verhandeln, das am 23. Juli 2007 abgeschlossen wurde.

Dem Datenschutz wurde scheinbar dadurch entgegen gekommen, dass die bisherigen 38 Datenfelder auf 19 Datenkategorien reduziert wurden. Abgesehen von marginalen Streichungen wurde dies aber nur dadurch erreicht, dass bisher getrennt geführte Datenfelder zusammengeführt wurden. Die Umstellung auf das Push-Verfahren wurde nun für den 1. Januar 2008 verabredet. Die Daten dürfen laut Abkommen 7 Jahre gespeichert werden, um danach mindestens weitere 8 Jahre in einer „ruhenden“ Datenbank für Sicherheitszwecke zur Verfügung zu stehen. Sie sollen „gemäß den geltenden Gesetzen und verfassungsrechtlichen Erfordernissen“ der USA genutzt werden können. Für die Betroffenen wurde ein – leider wenig transparentes – Auskunftsverfahren vorgesehen. 

„Was den USA recht ist, kann uns in der EU nur billig sein“

Wer meinte, Deutschland und Europa würden aus Datenschutzgründen versuchen, sich der bisherigen Erpressung durch die USA zur Datenlieferung zu entziehen, sah sich getäuscht. Im Gegenteil entstanden nach dem Motto „was den USA recht ist, kann uns in der EU billig sein“ eigene Begehrlichkeiten an der sicherheitspolizeilichen Auswertung der Fluggastdaten. So verpflichtet der Rat die Beförderungsunternehmen seit 2004 zum Zweck der Verbesserung der Grenzkontrollen und der Bekämpfung illegaler Einwanderung zur Übermittlung eines noch begrenzten Datensatzes über die beförderten Personen (Advanced Passenger Information – API), der zum Datenabgleich mit sicherheitsbehördlichen Datenbanken, z.B. des Schengener Informationssystems (SIS) genutzt wird.

Das soll künftig nicht genügen. In der EU wird eine richtige Fluggastdaten-Vorratsdatenspeicherung geplant. Die EU-Kommission schlug im November 2007 einen Rahmenbeschluss vor, der sich von dem abgepressten Abkommen mit den USA praktisch nicht unterscheidet: Speicherung für 5 und danach „ruhend“ weitere 8 Jahre, ergänzend zu den Identifizierungs- und Flugdaten Angaben zu Kontaktangaben (Telefonnummer, Email-Adresse), Kontoverbindungen und Zahlungsart, Reiseverläufe, Vielfliegereintrag und Eincheckstatus, Angaben zu Gepäck und Namen der Mitreisenden. Dienen sollen diese miteinander vernetzten nationalen Vorratsdatenbanken der Bekämpfung terroristischer Straftaten und der organisierten Kriminalität, ohne dass eindeutig geklärt ist, was hierunter jeweils zu verstehen ist. Es soll aber nicht nur um die Verwendung für Ermittlungen zur Verfolgung erfolgter Straftaten gehen, sondern um die „Verhütung“, also – wie auch in den USA – um die „Identifizierung“ von Personen, die an einer Straftat künftig beteiligt „sein könnten“. Hierfür sollen die Daten über eine Risikoanalyse elektronisch ausgewertet und bei verdächtigen Mustern zu weitergehenden Maßnahmen genutzt werden. Als suspekt bewertetes, völlig legales Verhalten, z.B. Telefonate, Reisen, Internetnutzungen, werden mit den Fluggastdaten abgeglichen und führen dann zur verstärkten Grenzkontrolle, zur gezielten Befragung, zur Einreise- oder Ausreiseverweigerung, zur Verhaftung oder zur Einleitung eines Ermittlungsverfahrens.

Vertrau­ens­ver­lust bei Kunden

Datenschützer und Fluggesellschaften laufen Sturm gegen diese Methode. Für die Fluggesellschaften ist damit ein zusätzlicher hoher technischer, finanzieller und personeller Aufwand verbunden, der zugleich das Vertrauensverhältnis zu den Kunden beeinträchtigt. Natürlich gibt es viele Menschen, denen die langjährige Speicherung ihrer Flugdaten suspekt ist und die daher auf alternative Verkehrsmittel, etwa Schiff, Bahn oder Auto ausweichen oder von überwachten Reisen völlig Abstand nehmen. Die Ausweichmöglichkeit hat übrigens dazu geführt, dass ernsthaft von einigen EU-Regierungen darüber nachgedacht wird, auch den Schiffs- und Bahnverkehr entsprechend zu registrieren – ein Unterfangen, das man bisher „aus Kostengründen und wegen fehlender Datenerfassungssysteme“, so die EU-Kommission, fallen ließ.

Was die Registrierung der Reisebewegungen bringen soll, ist absolut unklar. Eine seriöse Evaluation der Maßnahme ist bis heute nicht erfolgt. Bzgl. einer zweijährigen Pilotphase berichtete die britische Regierung stolz „von zahlreichen Verhaftungen, der Aushebung eines Rings von Menschenhändlern und der Gewinnung wertvoller Erkenntnisse im Zusammenhang mit dem Terrorismus“. Tatsächlich dürften aber die Sicherheitsrisiken der „Passenger Name Records“-Datenspeicherung insgesamt größer sein als die erlangten zusätzlichen Ermittlungserkenntnisse – z.B. wegen dem falschen Vertrauen auf das Erfassungsverfahren, der informationellen Ausgrenzung von Personengruppen, der ungezielten Bindung von Sicherheitskräften oder dem ergebnislosen Verfolgen unsubstanziierter Ermittlungsansätze.

In der Nachbar­schaft von Diktaturen

Ängstigend ist, dass sich weder die deutsche Regierung noch die EU ernsthafte Gedanken um den Datenschutz macht, weder in den USA, noch in betroffenen EU- oder Drittstaaten. Ein seit Jahren erörterter Datenschutzrahmenbeschluss im Bereich der so genannten dritten Säule der EU ist bis heute nicht zustande gekommen und verspricht – angesichts der bisherigen Vorlagen – allerniedrigstes Niveau. Bei einem Datenschutz-Ranking der Bürgerrechtsorganisation Privacy International von 1 (Totalüberwachung) bis 5 (freiheitliche Gesellschaftsordnung) landete z.B. Großbritannien abgeschlagen bei 1,5 in der Nachbarschaft von Diktaturen noch hinter den USA mit 2,0 (Deutschland 3, 9, Belgien, Österreich und Griechenland 3,2). Totalitär strukturierte Staaten schauen wegen der „Passenger Name Records“ schon begehrlich auf die EU: So forderte jüngst das datenschutzfreie Korea von den europäischen Fluglinien „Passenger Name Records“. Dieser Forderung könnten sich die europäischen Staaten wegen des Gegenseitigkeitsprinzips nicht entziehen, wenn sie selbst solche Daten langjährig sammeln. Jenseits der Beeinträchtigung der Privatsphäre ist der wirtschaftliche Schaden unabsehbar, z.B. durch die systematische Auswertung der Geschäftsreisen durch fremde Geheimdienste, etwa in den USA durch die CIA.

Der Beitrag Fluggastdaten-Vorratsspeicherung über Reisebewegungen erschien zuerst auf Humanistische Union.

Grundrechte-Report 2007, Seiten 46 – 50

Das deutsche Bundesfinanzministerium sah im Herbst 2006 zu Recht das Bankgeheimnis verletzt, als US-Beteiligungsgesellschaften Darlehen von deutschen Banken im Milliardenumfang aufkauften. Die Daten der Darlehensnehmer fänden in den USA nicht ausreichenden Schutz. Kein großes Problem konnte das selbe Ministerium dagegen erkennen, als kurz zuvor bekannt wurde, dass der belgische Bankendienstleister SWIFT weltweit sämtliche Daten von internationalen Geldtransaktionen in ein Rechenzentrum in die USA übermittelte, die dann von der Central Intelligente Agency, dein US-amerikanischen Auslandsgeheimdienst, oder von der Bundespolizei FBI erfasst und ausgewertet werden. SWIFT steht für »Society for Worldwide Interbank Financial Telecommunications«. Es handelt sich dabei um eine seit 30 Jahren bestehende Datendrehscheibe, über die weltweit sämtliche grenzüberschreitenden Banküberweisungen abgewickelt werden – dies sind täglich oft über 12 Millionen Transaktionen mit einem Gesamtumfang von bis zu 4,8 Billionen Euro. Diese von dem Unternehmen bei Brüssel verarbeiteten und weitergeleiteten Daten werden in den USA für Sicherungszwecke gespiegelt, d. h. in Kopie gespeichert, und zwecks Terrorismusbekämpfung ausgewertet.

Jede Überweisung eine potenzielle Terror­fi­nan­zie­rung?

Seit kurz nach den Terroranschlägen vom 11. September 2001 beschaffen sich die US-Sicherheitsbehörden mit Hilfe der US-Finanzbehörde diese Daten, um die Finanzierungsströme des Terrorismus aufzuspüren. Dies erfolgt auf Grund »administrativer Vollmachten«, also durch reine Regierungsanweisung des US-Präsidenten George W. Bush, ohne dass hierbei eine gerichtliche Überprüfung stattfindet. Obwohl von Anfang an selbst im US-Finanzministerium rechtliche Bedenken gegen diese Praxis bestanden, wird diese bis heute fortgesetzt. Seit dem Jahr 2003 lässt sich SWIFT zwar nicht mehr mit mündlichen Zusagen abspeisen und lässt die Datenbeschaffung durch eine »unabhängige« Firma beobachten. Bis heute haben aber weder SWIFT noch die beauftragenden Banken, geschweige den die Bankkundinnen und -kunden auch nur ansatzweise eine Garantie, dass ihre Daten in der »größten Bankdatenbank der USA« – so die US-Regierung – nicht zweckwidrig genutzt werden.

Zur Auswertung kommen die Bankdaten aller Menschen und Unternehmen, die Geld ins Ausland transferieren – nicht nur von des Terrorismus, der Geldwäsche oder der Terrorfinanzierung Verdächtigen. Dieser Vorgang wurde nach Veröffentlichungen in US-Zeitungen Ende Juli 2006 bekannt. Kein Wunder, dass die europäische Wirtschaft Befürchtungen äußerte, diese Daten könnten zugunsten der US-Industrie zur Wirtschaftsspionage genutzt werden. Tatsächlich gibt es in den USA bzgl. der Datenverwendung keine wirksame Kontrolle: kein Datenschutzgesetz, keine Zweckbindung, keine Ansprüche auf Auskunft und Transparenz, keine unabhängige Kontrollinstanz. Dennoch sah sich nach Bekanntwerden kein Verantwortlicher veranlasst, diese offensichtlich illegale Aktion zu beenden.

Toleranz für milli­o­nen­fache Grund­rechts­ver­stöße

Erschreckend wenig Sinn zeigte auch die deutsche Bundesregierung, die nach Bekanntwerden der Fakten zunächst deren bisherige Kenntnis vehement bestritt, um auf intensive parlamentarische Nachfrage selbst nach Monaten keine Stellungnahme zu geben und es gezielt zu unterlassen, die bürgerrechtlichen Interessen der deutschen Bankkunden zu vertreten. Die Europäische Zentralbank hatte nach eigenem Bekunden seit Juni 2002 von dem Bruch des Bankgeheimnisses Kenntnis, ohne aber etwas zu veranlassen. Die EU-Kommission, die zunächst jede Zuständigkeit bzgl. dieses Vorgangs bestritt, ließ sechs Monate nach dessen Bekanntwerden durch Justizkommissar Frattini verlauten, die EU sei für rasche Verhandlungen mit den USA über den Umgang mit den Bankdaten.

Zwar begannen Datenschutzkontrollinstanzen mit der Aufklärung der rechtlichen und technischen Fakten. Von den Banken oder von den Regierungen waren jedoch keine Aktivitäten zu erkennen, um die millionenfache Verletzung des Rechts auf informationelle Selbstbestimmung und des Bankgeheimnisses zu beenden. Der deutsche Zentrale Kreditausschuss (ZKA), der Zusammenschluss aller Bankenverbände, meinte feststellen zu müssen, es sei unrealistisch, dass sich deutsche Banken als Kunden des konkurrenzlosen SWIFT durchsetzen könnten. Statt die Einhaltung von Recht und Gesetz zu unterstützen, plädierte der ZKA für eine »politische Lösung«.

Die Bemühungen der europäischen Datenschutzinstanzen erwiesen sich als schwerfällig. Obwohl nach einer Analyse der bestehenden Verträge und der stattfindenden Datenverarbeitung durch ein Gutachten des Unabhängigen Landeszentrunis für Datenschutz Schleswig-Holstein nicht mehr ernsthaft bestritten werden konnte, dass SWIFT als Dienstleister an die rechtlichen Vorgaben der Banken gebunden ist, kam sowohl die belgische Aufsichtsbehörde wie auch die Artikel-29-Gruppe – der Zusammenschluss der Datenschutzkontrollbehörden in der EU – zunächst zu dem Ergebnis, dass den betroffenen Banken sowie deren Kunden praktisch keine rechtlichen Möglichkeiten zur Verfügung stünden. Begründet wurde dies mit den technischen Umständen und dem zwingenden Verhalten der US-Administration. Erst fünf Monate, nachdem die deutschen Aufsichtsbehörden einen massiven Datenschutzverstoß von SWIFT und den Finanzinstitute in der EU festgestellt hatten, erkannte auch die Gruppe die Verletzung der Datenschutzrichtlinie an.

Erpressung und Ignoranz

Tatsächlich haben die USA von Anfang an massiven Druck auf SWIFT ausgeübt, das ein Rechenzentrum in den USA betreibt. SWIFT hätte diesem Druck nicht nachgeben müssen und dürfen und hätte – spätestens nach Bekanntwerden des milliardenfachen Gesetzesbruchs – sich diesem entziehen müssen. Mittelfristig besteht kein Grund, die Datensicherung des belgischen Unternehmens in den USA vorzunehmen. Selbst kurzfristig wäre es SWIFT möglich gewesen, die in die USA gespiegelten Daten so zu verschlüsseln, dass diese von den US-Behörden nicht hätten gelesen werden können. Allenfalls auf die Daten der Absender und Empfänger in den USA könnten die dortigen Behörden berechtigterweise zugreifen, wenn hierfür die gesetzlichen Vorschriften und die formalen Anforderungen vorlägen – was anscheinend mit den administrativen Anordnungen auch nicht der Fall ist. SWIFT-Chef Leonard Schrank und die sonstigen Verantwortlichen erwiesen sich aber zu keinem Zeitpunkt problembewusst oder wegen der eindeutigen Rechtslage einsichtig.

Offensichtlich lassen sich SWIFT, die Banken und Bankenverbände, die Politik wie auch die Behörden in Europa und im Rest der Welt von den USA bei der Datenbeschaffung erpressen. Ein Interesse hieran können die Banken nicht wirklich haben. Diese sind ihren Kundinnen und Kunden gegenüber zum vertraulichen Umgang mit den Daten – zum Bankgeheimnis – verpflichtet. Auch die Politik und die Behörden müssen sich darüber bewusst sein, dass die weitergeführte Praxis unzweifelhaft gegen die Europäische Datenschutzrichtlinie verstößt.

Über die Konsequenzen dieses Verstoßes gegen das Recht auf informationelle Selbstbestimmung kann nur spekuliert werden. Dieses Recht besteht nicht nur nach deutschem Verfassungsrecht aus Artikel 2 Absatz 1 i. V. in. Artikel 1 Absatz 1 GG, sondern auch auf Grund von Artikel 8 der Europäischen Menschenrechtskonvention und Artikel 8 der EU-Grundrechte-Charta. Die abgeschöpften Daten stehen den US-Behörden, die an der Terrorismusbekämpfung beteiligt sind, in einem Investigative Data Warehouse (IWD) zur Verfügung. Daran sind über 50 Behörden, von FBI- und CIA-Dienststellen bis hin zu Regierungsbüros beteiligt. Diese Daten werden hei den weltweiten amerikanischen Terrorismusermittlungen herangezogen, bei denen – wie sich immer wieder zeigt – viele absolut Unschuldige getroffen werden. Die Daten werden aber z.B. auch genutzt, um bestimmten Personen die Einreise in die USA zu verweigern. Über die wirtschaftlichen Schäden, die mit der vermuteten Wirtschaftsspionage verbunden sind, kann nur gemutmaßt werden.

Der Beitrag Kontodaten für die CIA erschien zuerst auf Humanistische Union.

Die MasterCard bringt heute den Nachweis für die Zahlungsfähigkeit und Kreditwürdigkeit des besseren Deutschen. In Zukunft soll eine bundeseinheitliche elektronische Chipkarte den Nachweis erbringen, daß ein ausländischer Flüchtling ein solcher ist und kein anderer, woher er kommt, was er darf, wohin er gehört. Während die MasterCard dem Deutschen die finanzielle Selbstbestimmung verspricht, garantiert die AsylCard das Ende der informationellen Selbstbestimmung der Flüchtlinge.

Bisher schon gelten ausländische Flüchtlinge als die besterfaßte und – kontrollierte Bevölkerungsgruppe in der Bundesrepublik Deutschland. Für sie gibt es spezielle Datenbanken. Hinter Kürzeln wie AFIS, AZR oder ASYLON verbergen sich riesige bundesweite Informationssysteme, mit denen Daten von Asylsuchenden erfaßt, gespeichert und übermittelt werden – vom Aktenzeichen der zuständigen Ausländerbehörde bis zum digitalisierten Abdruck aller zehn Finger. Daß dieses komplexe Erfassungssystem mit dem Grundrecht auf Datenschutz vereinbar sei, bezweifeln seit langem Datenschützer und Ausländerinitiativen. Seit über drei Jahren harrt deshalb eine Verfassungsbeschwerde in Karlsruhe der Entscheidung.

Dies ist nicht genug der Erfassung, meinen Ministerialbeamte. Konservative Politiker behaupten, daß der „Asylmißbrauch“ durch das feinmaschige Datennetz noch nicht genügend eingeschränkt ist. Und viele Beamte im Rahmen des Asylverfahrens würden lieber mit Aktenvorgängen als mit Menschen kommunizieren. Sie stellen Fehleranfälligkeit, mangelnde Aktualität und Abweichungen in ihren EDV-Systemen fest. Statt diese selbstverursachten Mängel zu beseitigen, soll nun nach dem Willen einer Bund-Länder-Arbeitsgruppe ein weiteres Kontroll- und Erfassungssystem eingeführt werden, mit dem ultimativ alle bisherigen Probleme zu lösen seien. Auf einer kleinen „intelligenten“ (smart) Prozessor-Chipkarte sollen Fingerabdrücke, Namen, Aktenzeichen, Verfahrensdaten, Meldedaten, Leistungsdaten, Arbeitsangaben usw. gespeichert und übermittelt werden. Träger des Datenträgers, der für diesen zum Identitätsausweis werden soll, wird der Flüchtling selbst. Ziel ist die „Optimierung des Verfahrens durch Minimierung der Verwaltungskosten bei permanenter, bedarfsorientierter Verfügbarkeit von Informationen“. Die Bund-Länder-Arbeitsgruppe kurz und knapp: „1. Kein (Asyl-)Antrag ohne ED-Behandlung. 2. Ohne ED-Behandlung keine AsylCard. 3. Ohne AsylCard keine Leistungen.“ In der Ausschreibung für eine „Machbarkeitsstudie zum Einsatz einer Smart-Card im Asylverfahren“ wurden die politischen Begehrlichkeiten formuliert: „Aktualität und Eindeutigkeit der Daten, Verhinderung von Leistungsmißbrauch, Akzeptanzförderung, flexible Auswertungsmöglichkeiten, Ausbaumöglichkeiten“.

Gesucht war die eierlegende Wollmilchsau des Asylverfahrens. Um die Sache nicht politisch zerreden zu lassen – Datenschutzbeauftragte hatten schon allzu früh ihre mahnenden Finger gehoben -, wurde der Antrag für die Studie ganz im stillen an eine Chipkartenfirma vergeben, im Konsortium mit einem Anwaltsbüro und einem Soziologenteam. Diese sollten sich weniger um die Grundrechtsverträglichkeit als um die Machbarkeit des neuen Kartensystems kümmern. Gesetze, ja selbst die Verfassung sollten nicht als Tabu angesehen werden.

Ende Juni 1998 lag das Gutachten über die Machbarkeit der AsylCard vor. Kurz vor der Bundestagswahl war das Ergebnis für CDU-Minister Kanther aber nicht vorzeigbar: Zwar bestätigte die Studie zu 100 Prozent die Machbarkeit der Smart-Card. Ungefragt schrieb aber das Soziologenteam Kritisches zur praktizierten Asylpolitik Kanthers. Zudem waren die aktuellen Asylbewerberzahlen und die Politik der SPD im Wahlkampf wenig dazu angetan, eine Asyldebatte anzuzetteln. Darum blieb die Studie bis nach der Wahl unter Verschluß. Die Bundesregierung mit Kanther ist abgewählt – die herrschende Asylpolitik damit abgehakt? Nicht abgehakt sind die Pläne für die Asyl-Card. Sie paßt doch allzu sehr ins Image einer modernen, effektiven, technikorientierten und nebenbei auch restriktiven Asylpolitik – wofür auch der neue SPD-Innenminister steht.

Die Machbarkeitsstudie für eine AsylCard wird also erst mal nicht zu den Akten gelegt. Leider lassen deren 380 Seiten dort Klarheit vermissen, wo sie geboten wäre. Ganz nach dem schon existierenden niederländischen Modell eines „Vreemdelingendocuments“ soll sich die AsylCard nicht wie ein besserer Ausweis beschränken müssen. Anders als unsere Krankenversicherungskarte oder unsere „dumme“ Kredit-MasterCard soll die AsylCard eine Zwangskarte werden, für die Ausweispflicht besteht. Anders als die bisher existierenden Chipkarten für Flüchtlinge soll diese multifunktional sein. Folgende Behörden sollen darauf Daten speichern: Meldebehörde, Arbeitsamt, Sozialbehörde, Aufnahmeeinrichtung, Ausländerbehörde und das Bundesamt für Flüchtlinge. Entgegen der datenschutzrechtlichen Zweckbindung erhalten diese Stellen auch gegenseitig Zugriffsrechte auf die jeweils anderen gespeicherten Daten – außerdem zusätzlich umfassend die Polizei.

Nebenbei wird die zentrale Begehrlichkeit genannt: „Verfahren zur Aufenthaltssteuerung“ – ein Euphemismus für die mögliche Totalkontrolle der Flüchtlinge. An Meldesäulen haben diese ihre Karte einzuschieben und den darauf digital gespeicherten Fingerabdruck mit dem auf eine Glasplatte gelegten Finger automatisch abgleichen zu lassen. Wie die Ausgestaltung aussehen könnte, machen uns unsere holländischen Nachbarn vor: Asylsuchende müssen sich dort mehrmals täglich zu vorgegebenen Zeiten an Meldesäulen einfinden und durch ihre Card und durch Auflegen des Fingers identifizieren. Unterbleibt die Meldung zweimal unentschuldigt, so wird das Asylverfahren beendet. Mit der AsylCard wird das Gefängnis ohne Mauern zur realen Möglichkeit.

Chipkarten sind nichts Böses. Wesentlich ist, wie und in welchem Kontext sie genutzt werden. Liest man die in der Studie geäußerten Kontrollwünsche aus der Verwaltung, so wird einem klar, daß auch eine liberale rot-grüne Bundesregierung nicht in der Lage sein wird, die sukzessive Totalüberwachung der Flüchtlinge zu verhindern, ist erst einmal die Smart-Card eingeführt. Angesichts knapper Kassen wird die Chipkarte nicht dafür verwendet werden, Asylbewerbern besondere Vergünstigungen zukommen zu lassen. Angesichts administrativer Überlastung sollte auch nicht davon ausgegangen werden, daß der durch die Entpersönlichung des Umgangs mit Flüchtlingen durch die Karte erreichte Rationalisierungseffekt zu einer Verbesserung der Betreuung dieser Menschen genutzt würde.

Die naheliegendste Lösung wurde in der Machbarkeitsstudie nicht geprüft: die Ausgabe eines schönen modernen optoelektronisch lesbaren Flüchtlingsausweises – statt des bisherigen Pappkartons – nach dem Vorbild des deutschen Personalausweises. Dieser wäre billiger in Anschaffung und Betrieb und würde das zentrale Problem im Asylverfahren lösen: die Unsicherheit bei der Identifizierung der Person.

Das Signal einer multifunktionalen Chipkarte für die Überwachung von Flüchtlingen wäre klar: Dieses Kontrollinstrument läßt sich europaweit und auch für andere gesellschaftliche Minderheiten einsetzen, etwa bei Sozialhilfeempfängern oder Arbeitslosen. Chipkarten sind eine nützliche Sache zur Vermeidung unnützer Verwaltungstätigkeit. Sie werden aber zur gefährlichen Waffe, wenn dabei die bürgerrechtlichen Rahmenbedingungen mißachtet werden: Freiwilligkeit, Transparenz und Zweckbindung. Diese Grundsätze müssen auch für Flüchtlinge gelten. Asylsuchende sind nun einmal auch Menschen. Das allgemeine Persönlichkeitsrecht als Konkretisierung der Menschenwürde gilt auch für sie.

Der Beitrag AsylCard – Die Reduzierung des Flüchtlings zum Informationsmuster erschien zuerst auf Humanistische Union.