Bis vor wenigen Jahren pflegten nicht nur die Politik, sondern auch deutsche Gerichte das Bild, wonach das Datenschutz-Niveau hierzulande vorbildhaft sei und deutlich mehr Schutz biete als die europäischen Gemeinschaftsstandards. Dieses Bild ist mittlerweile überholt, wie nicht zuletzt die beiden Entscheidungen des Bundesverfassungsgerichts und des Gerichtshofs der Europäischen Union zur Vorratsdatenspeicherung zeigen: was in Deutschland noch als verfassungskonform galt, stufte das europäische Gericht als Verstoß gegen die Grundrechte-Charta und weitgehend unzulässig ein. Die Maßstäbe haben sich verschoben, grundrechtliche Schutzstandards (wie etwas das „Recht auf Vergessenwerden“) werden in zunehmendem Maß auf europäischer Ebene definiert und durchgesetzt. Umso größer waren und sind die Erwartungen an die neue Datenschutz-Grundverordnung (DSGVO) der EU, die am 25. Mai 2018 auch in Deutschland anwendbar wird. Was beinhaltet das neue europäische Datenschutzrecht? Welche Zugewinne, aber auch welche Verluste für den Schutz der informationellen Selbstbestimmung gilt es zu verzeichnen? Und was ändert sich konkret für Bürger, Verbraucher und private Anbieter? Mit diesen Fragen befasst sich die neue Ausgabe der vorgänge in ihrem Schwerpunkt.

Der erste Beitrag des Themenschwerpunkts stammt von Thilo Weichert. Er stellt die Grundzüge der neuen Verordnung vor: ihre Ziele, ihre grundlegenden Prinzipien und Regelungsinhalte sowie ihren Anwendungs- und Geltungsbereich. Die Gewinne der Verordnung sieht er vor allem in einer stärkeren Systematik des Datenschutzrechts (die freilich durch zahlreiche nationale Öffnungsklauseln wieder verschenkt wird), in einigen neuen Betroffenenrechten (z.B. Breach Notification und Übertragbarkeit), in verbesserten Möglichkeiten ihrer Durchsetzung sowie in schärferen Sanktionsmöglichkeiten für die Aufsichtsbehörden.

Eine grundlegende Einordnung des neuen Datenschutzrechts nimmt Alexander Roßnagel vor. Er beschreibt die bisherige Entwicklung des Datenschutzrechts seit den 1970er Jahren, das zunächst als Reaktion auf maschinelle Informationsverarbeitungen in Großrechenanlagen entstand. Dabei macht er drei Stufen des Datenschutzrechts aus, die an technologische Entwicklungssprünge der Informationsverarbeitung gekoppelt sind: die Computerisierung von Abläufen; die zunehmende Vernetzung der IT-Systeme; die Durchdringung aller Lebensbereiche mit Smarten Technologien. Die DSGVO ist nach Roßnagels Einschätzung kaum in der Lage, die speziellen Risiken neuer Informationstechnologien adäquat einzuhegen. Von einigen kleinen Neuerungen (etwa dem Recht auf Datenübertragbarkeit oder den Vorgaben zur Systemgestaltung) abgesehen, bleibe die Verordnung auf dem Stand der alten EU-Datenschutzrichtlinie von 1995; eine wirkliche Modernisierung des Datenschutzrechts finde nicht statt. Letztlich beschränken sich die materiellen datenschutzrechtlichen Vorgaben der Grundverordnung auf ein zu allgemeines und formelhaftes Niveau, das den „Bäcker um die Ecke“ mit den gleichen Maßstäben wie Facebook behandle. Konkrete Antworten auf spezielle Risiken, wie sie etwa mit Sozialen Netzwerken, mit Cloud Computing, Big Data oder „intelligenter“ Videoüberwachung einher gehen, suche man daher in der Verordnung vergebens. Ihren größten Gewinn sieht Roßnagel noch in den teilweise gestärkten Kontrollkompetenzen und den verschärften Sanktionsmöglichkeiten gegen Datenschutzverstöße.

Nach dieser Darstellung des europäischen Standards widmet sich Peter Schaar der Umsetzung der europäischen Vorgaben im neuen Bundesdatenschutzgesetz (BDSG). Obwohl die DSGVO als Verordnung in allen Mitgliedstaaten unmittelbar geltendes Recht darstellt, das keiner speziellen Umsetzung in deutsches Recht bedarf, enthält sie 70 Öffnungsklauseln, mit deren Hilfe die nationalen Gesetzgeber einzelne Bereiche des Datenschutzrechts (z.B. für Gesundheitsdaten, die Datenverarbeitung von Berufsgeheimnisträgern oder Kirchen) gesondert regeln können bzw. dort, wo die Verordnung selbst keine Regelungen trifft, sogar erlassen müssen. Mit den Öffnungsklauseln bietet sich die Chance, auf besondere Gefahren einzelner Sachgebiete sowie auf nationale Tradierungen zu reagieren. Von dieser Möglichkeit hat der Bundesgesetzgeber im vergangenen Jahr reichlich Gebrauch gemacht, als er das Bundesdatenschutzgesetz (BDSG) an die Vorgaben der DSGVO anpasste. Schaar geht zunächst auf die Entstehungsgeschichte der Grundverordnung ein, vor deren Hintergrund die Öffnungsklauseln zu verstehen sind. Dann stellt er das neu gefasste BDSG in Grundzügen vor, das nicht nur die bestehenden Öffnungsklauseln exzessiv nutzt, sondern zum Teil sogar darüber hinaus Sonderregeln aufstellt, mit denen der deutsche Datenschutzstandard gegenüber der DSGVO abgesenkt wird: So werden die Rechte der Betroffenen beschnitten, die Zuständigkeit der Aufsichtsbehörden sowie ihre Sanktionsmöglichkeiten gegenüber staatlichen Stellen deutlich eingeschränkt. Für die Zukunft sieht Schaar sogar die Gefahr, dass sich andere Mitgliedstaaten an der deutschen Umsetzung auf Minimalniveau orientieren und Deutschland zum Negativvorbild eines Unterbietungswettbewerbs im Datenschutz werde.

Nach diesen eher grundsätzlichen Abhandlungen widmen wir uns im Folgenden konkreten Einzelfragen der Datenschutzreform: Marie-Theres Tinnefeld diskutiert die Möglichkeiten und Grenzen der selbstbestimmten Einwilligung durch Betroffene, die nach wie vor wichtigste Legitimationsquelle für Datenverarbeitungsvorgänge ist. Tinnefeld schildert zunächst den menschenrechtlichen Kontext des Datenschutzes und der freien Einwilligung, bevor sie die konkreten Anforderungen an die Freiwilligkeit, die Folgenabschätzung, die Transparenz und die Formerfordernisse bzw. Nachweispflichtigkeit der Erteilung darstellt. Zum Schluss ihres Beitrags zeigt sie die Grenzen der Einwilligung auf, d.h. welche Datenverarbeitung auch bei etwaiger Zustimmung der Betroffenen unzulässig ist. Angesichts der immer komplexeren Verarbeitungsprozesse, die gerade bei smarten, global vernetzten Systemen zum Einsatz kommen, bleibt jedoch offen, wie weit das Konzept einer informierten und sachkundigen Entscheidung heute noch realistisch ist, wo die AGB-Texte vieler Angebote fast so umfangreich wie klassische Romane sind und die Konsequenzen selbst für IT-Kundige kaum zu überblicken sind.

Marit Hansen und Sven Polenz knüpfen an diese grundsätzlichen Betrachtungen an und stellen die wichtigsten Änderungen vor, die sich aus Verbrauchersicht mit der DSGVO ergeben. Sie erläutern die praktischen Voraussetzungen, die für eine wirksame Einwilligung erfüllt sein müssen und geben anschließend einen Überblick über die wichtigsten Neuerungen bei den Verbraucherrechten, etwa den Informations- und Benachrichtigungspflichten. Nach einem kurzen Überblick der technischen und systemischen Vorgaben zum Datenschutz gehen sie auf die Möglichkeiten zur Durchsetzung der Betroffenenrechte sowie die Klage-, Untersagungs- und Sanktionsmöglichkeiten von Verbraucherverbänden bzw. Aufsichtsbehörden ein.

Wenn die rechtlichen Möglichkeiten zur Durchsetzung von Datenschutz-Anforderungen an ihre Grenzen kommen, wird häufig der Ruf nach einem bereits auf technischer bzw. systemischer Ebene verankerten Datenschutz laut. Privacy by design und Privacy by default finden sich als Vorgaben auch in der DSGVO wieder. Inwiefern sie dazu beitragen können, das europäische Schutzniveau anzuheben, ist Thema des Beitrags von Clemens Heinrich Cap. Bevor er diese Frage beantwortet, geht er zunächst auf den Stellenwert von Privatheit und informationeller Selbstbestimmung in der heutigen Gesellschaft ein. Daran schließt eine Bestandsaufnahme an, welche Möglichkeiten für einen stärkeren Datenschutz sich ergeben, wenn dessen Anforderungen von Anfang an beim Technik- und Ablaufdesign berücksichtigt werden. Cap warnt jedoch vor zu hohen Erwartungen an einen programmierten Datenschutz, denn die Gestaltung neuer Informationstechniken folge i.d.R. anderen (mutmaßlichen) Nutzerwünschen, und das schwächste Glied in der IT-Systemreihe seien immer noch die nach Bequemlichkeit strebenden Anwender, die Sicherheitsvorkehrungen außer Kraft setzen. Cap fordert deshalb eine digitale Aufklärung 2.0, um den unmündigen Umgang mit IT-Systemen und ihrer Datenverarbeitung zu beenden.

Mit einigen Banalisierungen und Verengungen des Datenschutz-Begriffes befasst sich Martin Rost: Seine Kritik wendet sich dagegen, Datenschutz allein auf die Minimierung von technischen Risiken und damit ein Problem der Systemsicherheit zu reduzieren. Das Ziel des Datenschutzes sei nicht die Bewahrung einer ‚idyllischen Privatheit‘, die sich von der Gesellschaft abschotten will, sondern bestehe darin, den Einzelnen gegenüber staatlicher wie unternehmerischer Übermacht zu bewahren, die sich aus der Verfügbarkeit über Daten ergeben kann. Wenn die DSGVO daher von den Risiken der Datenverarbeitung spreche (wie in Erwägungsgrund 75 der Verordnung), dürfe die Risikoanalyse nicht auf Missbrauchs- und Fehlerszenarien beschränkt bleiben, sondern müsse auch die strukturellen Gefahren für die Betroffenen in den Blick nehmen, die mit einer fehlerfrei funktionierenden Verarbeitung verbunden sind. Rost spannt dazu acht Dimensionen des Risikobegriffs auf, die für eine umfassende Folgeabschätzung, aber auch für eine wirksame Datenschutzkontrolle zu berücksichtigen sind.

Den Themenschwerpunkt schließen wir mit drei Beiträgen ab, die über den Tellerrand der DSGVO hinaus schauen: Parallel zur DSGVO wurde auch eine europäische Richtlinie zur Datenverarbeitung bei Strafverfolgungs- und Strafvollstreckungsbehören verabschiedet (EU-RL 2016/680), die einen einheitlichen Datenschutzstandard in diesem Bereich vorgibt. Mit dem Anwendungsbereich der Richtlinie, den zahlreichen Ausnahmen und ihrer ersten Umsetzung im Bundesdatenschutzgesetz sowie im BKA-Gesetz befasst sich der Beitrag von Hartmut Aden.

Florian Glatzer geht auf die Verordnung über Privatsphäre und elektronische Kommunikation (ePrivacy-Verordnung) ein, mit der die Datenschutzstandards für den gesamten digitalen Kommunikationsbereich neu geregelt werden. Mit der Verordnung soll der Schutz vertraulicher Kommunikation, der nach der bisherigen EU-Richtlinie nur für klassische telefoniegestützte Kommunikation (einschließlich SMS) gilt, auf die neuen netzbasierten Angebote von Instant Messenger Diensten (bspw. WhatsApp) und Sozialen Netzwerken (etwa Facebook) erweitert werden. Die neue ePrivacy-Verordnung sollte ursprünglich zeitgleich mit der DSGVO in Kraft treten – bisher liegen aber erst der Kommissionsentwurf und die Stellungnahme des EU-Parlaments vor, im Herbst beginnen voraussichtlich die Trilog-Verhandlungen mit dem Rat.

Martin Kutscha nimmt einen kürzlich erschienenen Sammelband zur „Informationellen Selbstbestimmung im digitalen Wandel“ zum Anlass, um die ketzerische Frage zu stellen, ob das Datenschutz-Grundrecht überhaupt noch eine realistische Zukunft habe. Mit seinem Kommentar beenden wir diesen Schwerpunkt.

Daneben bietet diese Ausgabe eine Fülle weiterer Berichte, Kommentare und Hintergrundbeiträge: So bewerten die Mitglieder des Bundesvorstands der Humanistischen Union verschiedene Politikfelder des neuen Koalitionsvertrags; Zahra Jamal schildert die bürgerrechtliche Lage in den USA nach einem Jahr Präsidentschaft von Donald Trump; Rainer Land befasst sich mit der Frage, wie Produktivitäts- und Lohndifferenzen zwischen Volkswirtschaften ausgeglichen werden können – und warum dieser Ausgleich innerhalb des europäischen Wirtschaftsraums nicht mehr funktioniert; Wolfang Wette schließlich geht auf die rechtsradikalen Traditionen innerhalb der Bundeswehr und deren historischen Hintergrund ein.

Ich wünsche Ihnen wie immer eine interessante und anregende Lektüre mit den vorgängen.

Sven Lüders
für die Redaktion

Heftvorschau:

Nr. 223 (3/2018) Bürgerrechte im Sport (erscheint voraussichtlich August 2018)

Nr. 224 (4/2018) Die Rechte im Osten? (erscheint voraussichtlich November 2018)

Der Beitrag Editorial erschien zuerst auf Humanistische Union.

Die am 25.5.2016 in Kraft getretene Datenschutz-Grundverordnung zielt auf den Schutz des Grundrechts auf Datenschutz bzw. generell der in der Europäischen Grundrechte-Charta (GRCh) enthaltenen Freiheiten und die Garantie des freien Verkehrs personenbezogener Daten zwischen den Mitgliedstaaten. Der Autor stellt den Inhalt der Verordnung im Einzelnen dar und zieht Vergleiche zur bisherigen Rechtslage. Er kommt dabei zu dem Ergebnis, dass der EU mit der DSGVO zweifellos ein fortschrittliches Regelwerk zum Datenschutz gelungen ist. Es hat indes weiterhin Defizite, die sich möglicherweise erst bei der Anwendung erweisen.

1. Rechtlicher Rahmen

Am 2.5.2016 trat nach Beschlüssen des Rats der Europäischen Union (EU) und des Parlaments der EU ein neuer Rechtsrahmen zum Schutz personenbezogener Daten in der Europäischen Union in Kraft, auf den sich diese am 15.12.2015 mit der Kommission der EU im sog. Trilog geeinigt hatten. Dieser Rechtsrahmen hat zwei Bestandteile: eine Richtlinie für den Datenschutz in den Bereichen Justiz und Polizei[1] sowie eine Europäische Datenschutz-Grundverordnung (DSGVO).[2] Das Kernstück des neuen Rechtsrahmens ist die DSGVO, mit der die Europäische Datenschutzrichtlinie (EG-DSRl) aus dem Jahr 1995[3] abgelöst wird.

Die DSGVO zielt auf den Schutz des Grundrechts auf Datenschutz bzw. generell der in der Europäischen Grundrechte-Charta (GRCh) enthaltenen Freiheiten und die Garantie des freien Verkehrs personenbezogener Daten zwischen den Mitgliedstaaten. Die völkerrechtlichen Grundlagen dafür sind insbesondere Art. 8 der Europäischen Menschenrechtskonvention (EMRK) sowie die Art. 7 und 8 GRCh mit den Grundrechten auf Achtung des Privat- und Familienlebens sowie auf Datenschutz.

2. Zielset­zungen

Um die Ziele eines hohen Datenschutzstandards und eines freien Datenflusses im Binnenmarkt zu erreichen, normiert die DSGVO folgende Zwischenziele:

• Es werden einheitliche verbindliche Regelungen angestrebt, die europaweit gelten und direkt anwendbar sind.
• Für die Anwendbarkeit der DSGVO soll das Marktortprinzip gelten; d. h. die europäischen Verbraucher und Betroffenen sollen durch das für sie vor Ort geltende europäische Recht geschützt werden, unabhängig davon, wo die Datenverarbeitung erfolgt und wo der Sitz der verarbeitenden Stelle liegt.
• Über den sog. One-Stop-Shop steht für Unternehmen und Betroffene vorrangig die jeweilige örtliche Datenschutzbehörde bereit, mit der die wesentliche Kommunikation erfolgt. Deren Abstimmung mit den anderen Aufsichtsbehörden, in deren Zuständigkeit ein Unternehmen auf dem Markt agiert, hat innerhalb des administrativen Bereichs zu erfolgen und ist über umfangreiche Kooperations- und Kohärenzregeln festgelegt (s. u. 11).
• Die Transparenz für die Betroffenen soll verbessert und den modernen technischen Gegebenheiten angepasst werden.
• Der technische Datenschutz soll durch neue Instrumente verbessert werden. Privacy by Design, Privacy by Default und Datensparsamkeit werden zu zentralen Prinzipien bei der Technikgestaltung.
• Über eine Risikofolgenabschätzung wird zwischen risikoreichen Anwendungen und sonstigen Verfahren differenziert. Bei geringerem Risiko soll für die Unternehmen der bürokratische Aufwand reduziert werden; bei komplexen Verfahren wird ein adäquater Schutz angestrebt.
• Nicht nur der Datenaustausch innerhalb der EU bzw. des Binnenmarktes soll gefördert werden, sondern auch mit Staaten, in denen ein angemessener Datenschutz besteht. Fehlt dieser, so sind verbindliche und rechtssichere Instrumente für den Drittland-Datentransfer vorgesehen.
• Über verbesserte Rechtsansprüche der Betroffenen und bessere Rechtsschutzmöglichkeiten sowie über administrative und gerichtliche Verfahren sollen Vollzugsdefizite abgebaut werden.
• Über präventiv wie auch repressiv wirkende, angemessen hohe Sanktionen soll die Bereitschaft zur Umsetzung des Datenschutzes und zur Compliance bei den verantwortlichen Stellen gefördert werden.

3. Anwen­dungs­be­reich

Die DSGVO wird die zentrale Datenschutzregelung in der EU, ist aber nicht in allen Bereichen in der EU anwendbar. Dort, wo Unionsrecht keine Gültigkeit hat, gilt auch die DSGVO nicht, z. B. im Geheimdienstbereich. Entsprechendes gilt für Tätigkeiten nach Titel V Kapitel 2 EUV, also die gemeinsame Außen- und Sicherheitspolitik. Für Tätigkeiten zum Zweck der polizeilichen und justiziellen Verhütung und Verfolgung von Straftaten gilt die zeitgleich konsentierte EU-Datenschutzrichtlinie für Justiz und Polizei.[4] Eine weitere Ausnahme ist die personenbezogene Datenverarbeitung, die ausschließlich den persönlichen oder familiären Bereich erfasst (sog. Haushaltsausnahme). Soweit Organe der EU tätig werden, gilt weiterhin die Verordnung EG Nr. 45/2001. Unberührt bleibt auch die Datenschutzrichtlinie für den Telekommunikationsbereich, welche die Verarbeitung von Bestands- und Verkehrsdaten von Netzdiensteanbietern regelt (Art. 2). Diese Richtlinie sollte noch bis zum 25.5.2018 durch eine ePrivacy-Verordnung abgelöst werden. Hierzu gibt es einen Vorschlag der EU-Kommission vom Januar 2017[5] und eine Stellungnahme des EU-Parlaments vom Oktober 2017[6] (s. hierzu den Beitrag von Glatzner in diesem Heft).

Es gilt das Marktortprinzip. Danach kommt es nicht darauf an, wo physisch die Datenverarbeitung erfolgt. Relevant ist vielmehr, dass die Verarbeitung einer verantwortlichen Stelle oder eines Auftragsdatenverarbeiters auf eine Person abzielt, die sich in der EU aufhält (Art. 3).

Die Begriffsbestimmungen bringen im Vergleich zur EG-DSRl keine wesentlichen inhaltlichen Änderungen, wohl aber Erweiterungen: Neu definiert werden z. B. Begriffe wie „Profiling“, „Pseudonymisierung“, „genetische Daten“, „biometrische Daten“, „Hauptniederlassung“, „Vertreter“, „Unternehmen“, „Unternehmensgruppe“ oder „verbindliche unternehmensinterne Datenschutzvorschriften“, was bisher mit dem englischen Begriff „Binding Corporate Rules“ (BCRs) bezeichnet worden ist (Art. 4).

4. Grund­prin­zi­pien

Das deutsche Datenschutzrecht kannte bisher keine normierten Grundprinzipien, anders nun in Europa gem. Art. 5 DSGVO. Bei der Auslegung der Regelungen kann und muss hierauf zurückgegriffen werden:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben,
• Transparenz,
• Zweckbindung,
• Richtigkeit,
• Erforderlichkeit, die etwas sperrig „Speicherbegrenzung“ genannt wird,
• Integrität und Vertraulichkeit,
• Verantwortlichkeit, die unter dem Begriff „Rechenschaftspflicht“ geführt wird.

Als weiterer Grundsatz wird die „Datenminimierung“ erwähnt. Wirtschaftsvertreter wie auch die deutsche Bundesregierung hatten noch kurz vor Abschluss des Trilogs dafür gekämpft, das Prinzip der Datensparsamkeit aus der DSGVO zu verbannen, weil damit die Chancen der europäischen Wirtschaft bei der Entwicklung zukunftsweisender und lukrativer Big-Data-Konzepte beschnitten würden.[7] Davon unbeeindruckt findet sich dieser Grundsatz nicht nur eingangs prominent, sondern an vielen weiteren Stellen, so insbesondere in Art. 25, wo als Instrumente der Datenminimierung die Pseudonymisierung und Privacy by Default genannt werden.

Das schon bisher in der EG-DSRl geltende Verbot mit Erlaubnisvorbehalt ergibt sich aus Art. 6, der die „Rechtmäßigkeit der Verarbeitung“ regelt. Übersichtlicher und systematischer als z. B. in den bisher in Deutschland gültigen §§ 28 ff. Bundesdatenschutzgesetz (BDSG) werden die Legitimationsmöglichkeiten für die Verarbeitung aufgezählt:

• Einwilligung,
• Vertragserfüllung,
• Erfüllung einer rechtlichen Verpflichtung,
• Schutz lebenswichtiger Interessen,
• Erfüllung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt,
• Wahrnehmung berechtigter Interessen, sofern die schutzwürdigen Interessen nicht überwiegen.

Der letztgenannte Punkt war umstritten. Während Datenschützer für eine Eingrenzung der berechtigten Interessen plädierten, setzten sich vor allem der Rat und die Wirtschaftslobby für eine Ausweitung ein. Letztendlich kam es insofern zu keiner Änderung des bisherigen Rechtszustands, der eine offene Abwägungsformel enthält.

Den Mitgliedstaaten wird in Art. 6 Abs. 3 und 4 insbesondere für die Verarbeitung öffentlicher Stellen und zur Erfüllung rechtlicher Pflichten ein sehr weitgehendes Konkretisierungsrecht zugesprochen. Dabei sind aber Regeln zu beachten: Eine klare Zweckbestimmung muss erkennbar sein. Datenarten und Verarbeitungsbedingungen (z. B. Speicherfristen), die Betroffenen und die verarbeitenden Stellen müssen präzise benannt werden. In jedem Fall muss ein im öffentlichen Interesse liegendes Ziel in verhältnismäßiger Weise verfolgt werden.

Damit können die meisten in Deutschland geltenden bereichsspezifischen Datenschutzregelungen im Wesentlichen beibehalten werden. Die in der Verordnung genannten Anforderungen an solche bereichsspezifischen Regelungen entsprechen denen des  Bundesverfassungsgerichts (BVerfG) an die Verfassungsmäßigkeit gesetzlicher Regelungen zur personenbezogenen Datenverarbeitung.

Äußerst umstritten war Art. 6 Abs. 4, der die Voraussetzungen für Zweckänderungen regelt. Die Norm muss im Zusammenhang mit den Absätzen 1 und 2 gelesen werden, die allgemeine Voraussetzungen für rechtmäßige Datenverarbeitungen definieren. Zusätzlich werden Kriterien benannt, die bei einer Zweckänderung zu berücksichtigen sind: a) die Verbindung des neuen mit dem ursprünglichen Zweck, b) der Erhebungszusammenhang, c) die Sensibilität der Daten, d) die möglichen Folgen der Weiterverarbeitung für die Betroffenen und e) angemessene Schutzmaßnahmen wie z. B. Verschlüsselung oder Pseudonymisierung.

5. Einwil­li­gung

Die Einwilligung bleibt eine zentrale Legitimation für die Datenverarbeitung (Art. 7). Die allgemeinen Anforderungen an die Einwilligung ändern sich nicht: inhaltliche Bestimmtheit, Hervorhebungspflicht, Widerrufsmöglichkeit, Freiwilligkeit.
Künftig muss die Einwilligung bzw. das Ersuchen danach „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ erfolgen. Beim Widerruf dürfen keine formellen Hürden errichtet werden. In Art. 7 Abs. 4 wird unter dem Stichwort Freiwilligkeit ein Koppelungsverbot normiert: Wird für einen Vertrag oder eine Dienstleistung eine Einwilligung abverlangt, „die für die Erfüllung des Vertrags nicht erforderlich ist“,  ist sie im Zweifel nicht freiwillig und damit unwirksam.

Die Autoren der DSGVO legten sich nicht auf eine Altersgrenze für die Einwilligungsfähigkeit von Kindern bzw. Jugendlichen fest. In Deutschland wird bisher auf die Einsichtsfähigkeit abgestellt. Da hierüber in den nationalen Rechtskulturen unterschiedliche Vorstellungen herrschten und eine Einigung nicht möglich war, können die nationalen Gesetzgeber künftig zwischen vollendetem 13. und 16. Lebensjahr eigene Festlegungen vornehmen. Unter dieser Grenze muss bei einem Einwilligungsbedarf die Zustimmung der Eltern eingeholt werden (Art. 8).

6. Besondere Daten­ka­te­go­rien

Hinsichtlich der Verarbeitung sensitiver Daten, also von Daten aus „besonderen Kategorien“, gibt es keine wesentlichen Änderungen: Einen besonderen Schutz gibt es für Daten zur rassischen und ethnischen Herkunft, zu politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, zur Gewerkschaftszugehörigkeit, Gesundheit, zum Sexualleben und zur sexueller Ausrichtung. Hinzugekommen sind mit der DSGVO genetische Daten sowie biometrische Daten zur eindeutigen Personenidentifizierung (Art. 9 Abs. 1).

Die Ausnahmen von dem grundsätzlichen Verarbeitungsverbot erinnern an den bisherigen europäischen Regelungsrahmen. Möglich bleibt die explizite Einwilligung; per Spezialgesetz können aber auch Einwilligungsverbote festgelegt werden. In folgenden Fällen genügt eine gesetzliche Regelung und bedarf es keiner Einwilligung: bei Ausübung von Rechten aus dem Arbeitsrecht, der sozialen Sicherheit und des Sozialschutzes, zum Schutz lebenswichtiger Interessen bei Einwilligungsunfähigkeit, bei der Verarbeitung durch einen sog. Tendenzbetrieb, bei vom Betroffenen offenkundig veröffentlichten Daten, zur Durchsetzung rechtlicher Ansprüche, zur Gesundheitsvorsorge, Arbeitsmedizin, medizinischen Diagnostik, zur Versorgung und Behandlung, zur Verwaltung im Gesundheits- und Sozialbereich, im öffentlichen Gesundheitswesen, für Archivzwecke, zur wissenschaftlichen und historischen Forschung und für statistische Belange.

Bezüglich der sensitiven Daten bestehen weitgehend nationale gesetzliche Konkretisierungsmöglichkeiten. Damit kann z. B. das hochkomplexe Regelungsgeflecht beim Datenschutz in den deutschen Sozialgesetzbüchern (SGB) weitgehend beibehalten werden. Spezifisch (national) regelungsfähig bleibt auch die Verarbeitung besonders sensibler Berufsgeheimnisse durch Fachpersonal.

7. Betrof­fe­nen­rechte

Die Rechte der Betroffenen und deren Beschränkungen sind in den Art. 12 bis 23 geregelt. In einem allgemeinen Teil werden dabei Adressatengerechtigkeit, Präzision, Transparenz, Verständlichkeit, leichte Zugänglichkeit und weitestgehende Unentgeltlichkeit eingefordert. Als Standard-Reaktionsfrist wird der verantwortlichen Stelle ein Monat vorgegeben (Art. 12).

Die meisten der normierten Betroffenenrechte sind bekannt: Information bei der Erhebung (Art. 13) bzw. Information, wenn die Daten nicht beim Betroffenen erhoben werden (Art. 14), Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Sperrung (Art. 18), was technisch präziser als „Einschränkung der Verarbeitung“ bezeichnet wird, Widerspruch generell (Art. 21) bzw. bei automatisierten Einzelentscheidungen (Art. 22) und der zu einem Nutzungsverbot für Werbezwecke führende spezifische Werbewiderspruch (Art. 21 Abs. 2 u. 3). Der Löschanspruch wird mit dem schillernden Marketing-Begriff des „Rechts auf Vergessenwerden“ flankiert. Als Abwägungstopoi für den Löschungsanspruch werden u. a. die Rechte auf freie Meinungsäußerung und auf Information genannt.

Neu ist das Recht auf Datenübertragbarkeit. Dieses Recht bezieht sich auf Daten, die ein Wirtschaftsunternehmen vom Betroffenen auf der Basis eines Vertrages oder einer Einwilligung erhalten hat. Wenn die Verarbeitung automatisiert erfolgt, soll der Betroffene deren Bereitstellung in einer zu einem anderen Unternehmen übertragbaren Form verlangen können (Art. 20). Wie dies in der Praxis umgesetzt werden soll, ist noch weitgehend unklar.

Die Norm zur automatisierten Einzelentscheidung wird mit dem Zusatz „einschließlich Profiling“ ergänzt (Art. 22). Letztlich wird versucht, damit insbesondere sog. Big Data-Auswertungen zu regulieren. In Ermangelung eines differenzierenden Instrumentariums behilft sich die DSGVO auch hier mit einer Öffnungsregelung. Gefordert werden aber „geeignete Maßnahmen zum Schutz der Rechte und Freiheiten“. Unter Juristen ist streitig, ob von der Regelung auch das Profiling für Werbezwecke erfasst wird. Dafür spricht die explizite Nennung des Profilings, dessen praktisches Hauptanwendungsfeld das Marketing ist.
Ungewöhnlich und ärgerlich ist, dass bei der Beschränkung der Betroffenenrechte zugunsten nationaler Gesetzgebung eine Öffnungsklausel besteht, etwa zum „Schutz der nationalen Sicherheit“ oder zum „Schutz der Rechte und Freiheiten anderer Personen“ (Art. 23). Der deutsche Gesetzgeber hat von dieser Möglichkeit zum Nachteil der Betroffenen übermäßig Gebrauch gemacht (vgl. dazu den Beitrag von Schaar in diesem Heft).

8. Verant­wort­lich­keit

Fehlt es in der EU an einer zur Verantwortung zu ziehenden Niederlassung,  muss gemäß Art. 27 ein in der EU ansässiger „Vertreter“ benannt werden, der im Auftrag der verantwortlichen oder der auftragsverarbeitenden Stelle bzgl. aller Datenschutzfragen als „Anlaufstelle“ tätig wird.

Die Auftragsdatenverarbeitung in Art. 28 hat einen über den heutigen § 11 BDSG hinausgehenden Detaillierungsgrad, ohne aber die darin enthaltenen Grundprinzipien in Frage zu stellen. Der Auftragsverarbeiter muss den Verantwortlichen präziser über Unterauftragsverhältnisse informieren, welche die gleiche Regelungstiefe aufweisen müssen wie Aufträge. Es wird klargestellt, dass ein Auftragsverarbeiter, der auftragswidrig Zwecke und Mittel der Datenverarbeitung bestimmt, als Verantwortlicher zu behandeln ist.

Ein erklärtes Ziel der EU-DSVGO ist es, den bürokratischen Aufwand des Datenschutzes abzubauen. Dies soll aber nicht dazu führen, dass der für einen wirksamen Datenschutz nötige Aufwand nicht erbracht wird. Und nötig ist in jedem Fall der Überblick über die personenbezogene Datenverarbeitung für die Verantwortlichen bzw. Vertreter, weshalb diese weiterhin ein Verfahrensverzeichnis, genauer ein „Verzeichnis von Verarbeitungstätigkeiten“ führen müssen (Art. 30). Dies gilt auch für Auftragsverarbeiter.

Hinsichtlich der Datensicherheit wird neuerdings ein risikoorientierter Ansatz verfolgt. Es werden keine Schutzmaßnahmen aufgeführt; vielmehr wird die Umsetzung von Datenschutzgrundsätzen eingefordert, zu denen auch die Datenminimierung zählt (Art. 25 Abs. 3; s. dazu auch den Beitrag von Rost in diesem Heft).

An die Stelle des technisch völlig überholten § 9 BDSG mit Anlage tritt hinsichtlich der technisch-organisatorischen Maßnahmen der Art. 32. Dieser fordert statt bestimmter Schutzmaßnahmen die Einhaltung der Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit und benennt als Instrumente u. a. die Pseudonymisierung und die Verschlüsselung. Gefordert werden vor Durchführung einer Verarbeitung eine explizite Risikobewertung, ein darauf abgestimmtes Schutzkonzept sowie eine regelmäßige Evaluierung.

An die Stelle der bisherigen Vorabkontrolle tritt die risikoorientierte „Datenschutz-Folgeabschätzung“ bei spezifisch benannten Verfahren (systematische Personenbewertung, Verarbeitung sensibler Daten, Überwachung öffentlicher Räume) unter Einbeziehung eines möglicherweise vorhandenen Datenschutzbeauftragten (Art. 35). Es besteht die Pflicht zu einer „Konsultation“ der Datenschutzaufsichtsbehörde, wenn ein hohes Risiko besteht, sofern der „Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft“ (Art. 36).

In den Art. 33 und 34 ist die Meldung bzw. Benachrichtigung von Datenschutzverletzungen gegenüber der Aufsichtsbehörde sowie den Betroffenen (sog. Breach Notification) geregelt.

Entgegen der Befürchtung vieler deutscher Datenschützer sind in den Art. 37 bis 39 prominent die Benennung, die Stellung und die Aufgaben der (betrieblichen bzw. behördlichen) Datenschutzbeauftragten festgeschrieben. Die Pflicht zur Bestellung besteht bei öffentlichen Stellen, bei der „systematischen Beobachtung von betroffenen Personen“ und bei der Verarbeitung sensibler Daten. Dies kann national noch umfassender geregelt werden. Deutschland hat hiervon Gebrauch gemacht.

9. Regulierte Selbst­re­gu­lie­rung

Das Instrument der Verhaltensregeln im privaten Bereich hat in Deutschland (§ 38a BDSG) bisher wenig Resonanz gefunden. Das soll sich künftig dadurch ändern, dass deren Funktion und die Anreize hierfür erhöht werden (Art. 40, 41). So können hierüber für Kleinst- bzw. kleinere und mittlere Unternehmen durch Wirtschaftsverbände Standardisierungen und damit Vereinfachungen vorgenommen werden. Über Verhaltensregeln können „geeignete Garantien“ festgelegt werden, die bei Datenübermittlungen in Drittländer innerhalb einer Branche verpflichtend sind. Die Regeln müssen eine „obligatorische Überwachung“ durch installierte Verbandsmechanismen z. B. in einer Branche vorsehen. Sie unterliegen, wie bisher, der Genehmigungspflicht durch die zuständige Aufsichtsbehörde und können künftig von der EU-Kommission für verbindlich erklärt werden.

Völlig neu ist auf europäischer Ebene die Zertifizierung gemäß den Art. 42, 43. Zertifizierungsverfahren, die freiwillig sind und transparent sein müssen, können von privaten Zertifizierungsstellen oder Aufsichtsbehörden durchgeführt werden. Private Zertifizierungsstellen bedürfen einer Akkreditierung durch die Aufsichtsbehörde oder durch eine nationale Akkreditierungsstelle, wobei die Voraussetzungen präzise in der Verordnung festgelegt sind.

10. Auslands­da­ten­transfer

Hinsichtlich des grenzüberschreitenden Datentransfers ergeben sich gegenüber der Richtlinie keine grundsätzlichen Veränderungen. Es wurden Konkretisierungen vorgenommen, die auf die Rechtsprechung des EuGH zurückgehen.

Innerhalb der EU gibt es keine spezifischen Übermittlungsbeschränkungen (Art. 1 Abs. 3). Gleiches gilt, wenn von der Kommission die Angemessenheit des Datenschutzstandards im Empfängerland festgestellt wurde. Für die Angemessenheitsprüfung enthält Art. 41 Abs. 2 einen umfangreichen Kriterienkatalog, der an die Kriterien des Safe-Harbor-Urteils des EuGHs[8] anknüpft und als Bedingungen nennt: Grundrechtsgeltung (auch im Sicherheitsbereich), geltende Datenschutz-Rechtsvorschriften und unabhängige Datenschutzkontrolle.

Liegt kein genereller Angemessenheitsbeschluss der Kommission vor, so können anstelle staatlicher Datenschutzsicherungen im Empfängerland „geeignete Garantien“ treten, die bindend und durchsetzbar sein müssen. Als Beispiele werden nun ausdrücklich Standardvertragsklauseln und unternehmensinterne Datenschutzvorschriften (sog. Binding Corporate Rules – BCRs) genannt, aber auch genehmigte Verhaltensregeln oder Zertifizierungen (Art. 46). In einem neuen Artikel 48, der implizit auf US-Regelungen wie den Patriot Act Bezug nimmt, wird klargestellt, dass Drittlands-Gerichts- oder Verwaltungsentscheidungen nach europäischem Recht nur dann umgesetzt werden dürfen, wenn diese auf internationalen Abkommen basieren.

11. Aufsichts­be­hörden, Kooperation und Kohärenz

Dass es bisher massive Vollzugs- und Durchsetzungsdefizite im Datenschutz gibt, liegt u. a. daran, dass es keine verbindlichen Konfliktlösungsinstrumente zwischen den unabhängigen Datenschutzbehörden gab. Unternehmen z. B. in Irland profitierten von der dortigen unzureichenden Datenschutzkontrolle. Hinsichtlich der Rechtsstellung der Datenschutzbehörden wurde einiges präzisiert, etwa zur Unabhängigkeit (Art. 52), zur demokratischen Legitimation und fachlichen Qualifikation (Art. 43), zur Verschwiegenheit (Art. 54 Abs. 2), zur Zuständigkeit (Art. 55), zu den sehr umfassenden Aufgaben (Art. 57) und zu den ebenso äußerst umfassenden Befugnissen (Art. 58). Die Aufsichtsbehörden sind mit den benötigten „personellen, technischen und finanziellen Ressourcen“ auszustatten (Art. 52 Abs. 4).

Für jedes Unternehmen gibt es künftig eine federführende Aufsichtsbehörde, welche die wesentliche Datenschutzkommunikation mit dieser verantwortlichen Stelle führt. Für die Federführung ist der Ort der Hauptniederlassung in Europa ausschlaggebend (Art. 56).

Handelt es sich um einen Vorgang, der mehrere Aufsichtsbehörden betrifft oder zieht die federführende Behörde einen Fall an sich, kommen die Regelungen zur Zusammenarbeit zur Anwendung (Art. 60). Dazu gehören die Amtshilfe für einzelne Fragestellungen oder Sachverhaltsermittlungen, wozu der angefragten Behörde regelmäßig nur ein Monat zur Verfügung steht (Art. 61), ein umfassender zweckdienlicher Informationsaustausch und die Vorlage eines Beschlussvorschlags durch die federführende Behörde. Besteht zwischen den betroffenen Aufsichtsbehörden keine Einigkeit, kommt ein recht komplizierter verbindlicher Abstimmungsprozess zur Anwendung (Art. 67). Bei diesem Kohärenzverfahren kommt der Europäische Datenschutzausschuss (EDSA) zum Einsatz. Jede betroffene Aufsichtsbehörde kann sich dabei einbringen. Die Beschlussfassung erfolgt regelmäßig innerhalb von 8 Wochen mit einer einfachen Mehrheit der EDSA-Mitglieder, im Rahmen eines qualifizierten Streitbeilegungsverfahrens durch den EDSA mit 2/3-Mehrheit (Art. 65).

Der Europäische Datenschutzausschuss (EDSA) besteht aus den Leitern der Aufsichtsbehörden, je einer pro EU-Mitgliedsland. In Deutschland muss aus den föderalen Aufsichtsbehörden nach nationalen Regeln ein Behördenleiter benannt werden (Art. 68). Geleitet wird der EDSA von einem Vorsitzenden und zwei Stellvertretern. Das EDSA-Sekretariat wird beim Europäischen Datenschutzbeauftragten eingerichtet (Art. 75).

12. Rechts­schutz und Sanktionen

Bisher waren die national geregelten Rechtsfolgen im Datenschutzrecht beschränkt wirkungsvoll. Im Safe-Harbor-Urteil hat der EuGH in Bezug auf Rechtsschutz und Sanktionsmöglichkeiten Verbesserungen eingefordert,[9] welche die DSGVO nun bereitstellt:

Betroffene haben nicht nur gegenüber der Aufsichtsbehörde ein Beschwerderecht (Art. 77), sondern auch gerichtliche Rechtsbehelfsmöglichkeiten (Art. 78). Ein Informationsanspruch besteht nicht nur zu den Verfahrensergebnissen, sondern auch zum Bearbeitungsstand. Mit dem neuen Instrument kann ein Betroffener eine materiellrechtlich korrekte Entscheidung gegenüber der Aufsichtsbehörde einklagen. Rechtsschutzmöglichkeiten bestehen für den Betroffenen weiterhin gegenüber der verantwortlichen Stelle oder dem Auftragsverarbeiter, wobei verbraucherfreundlich gegen private Verantwortliche die Klage im Mitgliedstaat des Betroffenen eingelegt werden kann.

Neu ist die nationale Möglichkeit zur Regelung einer Verbandsklage, bei der eine Einrichtung, Organisation oder Vereinigung die Rechte des Einzelnen oder von vielen Betroffenen gerichtlich geltend machen kann (Art. 80). Eine solche Norm besteht seit 2016 in Deutschland im Unterlassungsklagegesetz.[10]

Wie schon bisher (in Deutschland nur im privaten Bereich), haben die Aufsichtsbehörden die Möglichkeit, Warnungen und Untersagungsverfügungen zu erlassen (Art. 58 Abs. 2 lit. a-h, j).

Daneben sind Sanktionen in Form von empfindlichen Geldbußen möglich, die „in jedem Fall wirksam, verhältnismäßig und abschreckend“ sein müssen (Art. 83 Abs. 1). Abhängig vom Verstoß können Geldbußen bis zu einer Höhe von 10 Mio. Euro, in vielen Fällen bis zu 20 Mio. Euro bzw. „im Fall von Unternehmen von bis zu 2 % (4%) seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres“ verhängt werden. Geldbußen gegen öffentliche Stellen können national ausgeschlossen werden (Art. 83 Abs. 7). Hiervon hat Deutschland Gebrauch gemacht.

13. Sonder­re­ge­lungen

In einigen Bereichen überlässt der europäische Verordnungsgeber es den Mitglied­staaten, spezifische Regelungen zu erlassen und macht hierfür allgemeine Vorgaben. Dies gilt u. a. für die Datenverarbeitung „zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken“ (Art. 85), für den Zugang der Öffentlichkeit zu amtlichen Dokumenten (Art. 86), die Datenverarbeitung im Beschäftigtenkontext (Art. 88) und die Verarbeitung „zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen und historischen Forschungszwecken und zu statistischen Zwecken“ (Art. 89).

Europäisch oder national geregelte (berufliche) Geheimhaltungspflichten können neben dem Datenschutzrecht weiterhin Anwendung finden. Dies betrifft in Deutschland beispielsweise den § 203 StGB und bereichsspezifische Konkretisierungen etwa im Anwalts-, Arzt- oder Notarrecht. Das in Deutschland geltende Kirchenprivileg zur Normierung des Datenschutzes soll weiterbestehen, soweit die Vorschriften „mit dieser Verordnung in Einklang gebracht werden“ (Art. 91).

In Art. 97 ist eine regelmäßige Evaluation der Verordnung vorgesehen, deren Ergebnis erstmals spätestens vier Jahre nach Inkrafttreten vorgelegt werden muss.

14. Ausblick

Die DSGVO ist ab dem 25.5.2018 direkt anwendbar. Der Anspruch der Verordnung, ein EU-weit einheitliches Datenschutzniveau festzulegen, wurde in vielen Bereichen wegen der Öffnungsklauseln nicht erreicht. Diese gehen insbesondere auch auf deutsche Forderungen zurück. Das Resultat ist auch künftig eine begrenzte Heterogenität.

Diese Heterogenität wird aber in keiner Weise zementiert. Zwar ist es sehr wahrscheinlich, dass auslegungsbedürftige Regelungen der DSGVO national oder gar regional von Anwendern, Aufsichtsbehörden und Gerichten unterschiedlich ausgelegt werden. Durch die Vorlagemöglichkeit beim EuGH nach Art. 267 AEUV sowie generell durch die Rechtsprechung des EuGH – etwa in Fällen des Art. 263 AEUV – kommt diesem Gericht auf lange Sicht eine wichtige, rechtsvereinheitlichende Funktion zu.

Die Öffnungsklauseln belassen den nationalen Gesetzgebern in den Mitgliedstaaten noch wichtige Regelungsspielräume. Nationale Gesetzgeber könnten darüber mit innovativer Gesetzgebung zum Vorbild für andere Mitglieder der EU werden und dadurch den digitalen Grundrechtsschutz voranbringen. Dies ist etwa im Bereich des Beschäftigtendatenschutzes möglich und wünschenswert.[11] Innovationsbedarf besteht aber nicht nur hier, sondern in vielen Bereichen der personenbezogenen Datenverarbeitung, etwa bei Big-Data-Anwendungen, bei Anforderungen an Hersteller, bei der Forschung oder im Bereich des Persönlichkeitsschutzes im Internet. Deutschland hat insofern bisher leider wenig Ehrgeiz gezeigt.

Der EU ist mit der DSGVO zweifellos ein fortschrittliches Regelwerk zum Datenschutz mit globaler Strahlkraft gelungen. Dieses hat aber weiterhin Defizite, die sich möglicherweise erst bei der Anwendung erweisen. Die technische, ökonomische und soziale Entwicklung fordert schon heute und laufend weitere Ergänzungen und Modifikationen, mit denen der digitale Grundrechtsschutz fortgeschrieben werden kann und muss.

DR. THILO WEICHERT   Jahrgang 1955, studierte Rechts- und Politikwissenschaften und promovierte mit einer Arbeit zum Datenschutz im strafrechtlichen Ermittlungsverfahren. Er gehörte von 1984 bis 1986 dem Landtag von Baden-Württemberg an, danach war er als Rechtsanwalt und Berater und ab 1992 als Referent beim niedersächsischen Datenschutzbeauftragten tätig. 1998 wechselte er nach Schleswig-Holstein, wo er von 2004 bis 2015 Datenschutzbeauftragter des Landes war. Er ist Mitglied des Netzwerks Datenschutzexpertise: www.netzwerk-datenschutzexpertise.de.

Anmerkungen:

1 Weichert, Die EU-Richtlinie für den Datenschutz bei Polizei und Justiz, DANA 1/2016, 8ff.,
http://www.netzwerk-datenschutzexpertise.de/dokument/eu-datenschutzrichtlinie-f%C3%Bcrpolizei-und-justiz.

2 ABl. L 119/1 v. 04.05.2016, http://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32016R0679&from=DE.

3 Richtlinie 95/46/EG, ABl. L 281 v. 23.11.1995

4 Weichert 2016 (Anm. 1), 8.

5 Europäische Kommission, Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der
elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG (Verordnung über Privatsphäre und elektronische Kommunikation), v. 10.1.2017 2017/0003 (COD).

6 Europäisches Parlament, Bericht über den Vorschlag für eine Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation,
COM(2017)0010 – ‘C8-0009/2017 – 2017/003(COD).

7 Weichert/Schuler, Datenschutz contra Wirtschaft und Big Data, 31.12.2015, http://www.netzwerkdatenschutzexpertise.de/big-data.

8 EuGH, U. v. 06.10.2015, C-362/14, NJW 2015, 3151 ff.

9 EuGH, U. v. 06.10.2015, C-362/14, NJW 2015, 3151 ff., Rn. 64 f.

10 Gesetz zur Verbesserung der zivilrechtlichen Durchsetzung von verbraucherschützenden Vorschriften des Datenschutzrechts v. 17.02.2016, BGBl. I S. 233.

11 Siehe hierzu die Vorschläge des Netzwerks Datenschutzexpertise, http://www.netzwerk-datenschutzexpertise.de/file/150/download?token=1y0VgnAz.

Der Beitrag Die Europäische Datenschutz-Grundverordnung erschien zuerst auf Humanistische Union.

Die Datenschutz-Grundverordnung der Europäischen Union hat hohe Erwartungen geweckt und wird mit großen Hoffnungen erwartet. Der Beitrag untersucht, ob diese berechtigt sind und ob die Verordnung dazu beitragen kann, den Datenschutz tatsächlich zu verbessern. Das Ergebnis ist gemischt: Nüchtern betrachtet führt sie weder zu einem einheitlichen Datenschutzrecht in Europa noch zu Datenschutzregelungen, die den modernen Herausforderungen gerecht werden. Gewisse Hoffnungen sind jedoch berechtigt, dass sie den Vollzug des Datenschutzrechts verbessert.

1. Daten­schutz-­Grund­ver­ord­nung – Hoffnungen und Erwartungen

Nach mehreren Jahren vorbereitender Diskussion und einem anschließenden Gesetzgebungsprozess von über vier Jahren ist die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO)[1] am 25. Mai 2016 in Kraft getreten. Sie gilt vom 25. Mai 2018 an mit all ihren Regelungen[2] in allen Mitgliedstaaten unmittelbar und wird Teil ihrer Rechtsordnung.

Die DSGVO sollte durch eine Verordnung über den Schutz der Privatsphäre in der elektronischen Kommunikation, abkürzend E-Privacy-VO genannt, bereichsspezifisch ergänzt werden. Diese Verordnung soll die Datenschutzrichtlinie für elektronische Kommunikation (RL 2002/58/EG) von 2002 ablösen. Sie sollte ebenfalls am 25. Mai 2018 Geltung erlangen. Da sie aber bisher nur in Form eines Vorschlags der Kommission vom 10. Januar 2017 [3] und einer Stellungnahme des Parlaments vom 24. Oktober 2017 [4] vorliegt, ist mit ihrer Verabschiedung vor Ende 2018 nicht zu rechnen.[5]

Die DSGVO wurde mit großen Versprechen angekündigt,[6] mit hohen Erwartungen versehen,[7] mit tiefen Enttäuschungen aufgenommen[8] und durch viel Lobby-Arbeit beeinflusst.[9] Sie wird im Ergebnis sehr unterschiedlich bewertet. Sie wird – vor allem von den an ihrem Entstehen Beteiligten – als „Meilenstein“ bezeichnet,[10] als „Goldstandard“ gepriesen[11] sowie als „Beginn einer neuen Zeitrechnung im Datenschutzrecht“[12] und als „festes Fundament für die anstehenden Herausforderungen der Digitalisierung“ gefeiert.[13] Umgekehrt wird sie von anderen zu „einem der schlechtesten Gesetze des 21. Jahrhunderts“ gekürt und für das Datenschutzrecht als „größte Katastrophe des 21. Jahrhunderts“ bezeichnet.[14]

2. Daten­schutz-­Grund­ver­ord­nung – ein weiterer Schritt in der Entwicklung des Daten­schutz­rechts

Das geltende Datenschutzrecht – auch die DSGVO – stammt konzeptionell aus den 1960er und 1970er Jahren. In dieser Zeit fand die Datenverarbeitung in Rechenzentren statt. Die Daten wurden in Formularen erfasst und per Hand eingegeben. Die Datenverarbeitung betraf nur einen kleinen Ausschnitt des Lebens und war – soweit die Daten bei der betroffenen Person erhoben worden waren – für diese weitgehend kontrollierbar. Wurde die Zweckbindung beachtet, wusste der Betroffene in der Regel, wo welche Daten über ihn verarbeitet wurden. Für diese erste Stufe der Datenverarbeitung sind die grundlegenden Schutzkonzepte des Datenschutzrechts entwickelt worden. Aus dieser Zeit stammen die Regelungen zur Zulässigkeit der Datenverwendung, die Individualisierung der Rechtsdurchsetzung durch Unterrichtung und Benachrichtigung der betroffenen Person, durch ihre Einwilligung und durch ihre Kontrolle in Form von Rechten auf Berichtigung und Löschung, die Anforderungen an Zweckbestimmung, Zweckbindung und Erforderlichkeit der Datenverarbeitung sowie die ergänzende Kontrolle durch Aufsichtsbehörden. Die Nutzung von PCs ab den 1980er Jahren hat die Datenschutzrisiken zwar deutlich erhöht, aber nicht auf eine neue qualitative Stufe gehoben.

Die zweite, qualitativ neue Entwicklungsstufe wurde mit der – weltweiten – Vernetzung der Rechner erreicht. Dadurch entstand ein eigener virtueller Sozialraum, in den nahezu alle Aktivitäten aus der körperlichen Welt übertragen wurden. Jede Handlung in diesem Cyberspace hinterlässt Datenspuren, die ausgewertet werden können und auch werden. Weder die Erhebung der Daten noch deren – letztlich weltweite – Verbreitung und Verwendung können von der betroffenen Person noch kontrolliert werden. Web 2.0 oder Cloud-Computing sind weitere Ausprägungen dieser Entwicklungsstufe. Für sie versuchten die in den 1990er Jahren erlassenen Multimedia-Datenschutzgesetze die Risiken in den Griff zu bekommen. Sie haben für die Internetdienste die Anforderungen an Transparenz, Zweckbindung und Erforderlichkeit verschärft und vor allem die neuen Prinzipien der Datensparsamkeit und des Datenschutzes durch Technik eingeführt. Diese normativen Vorgaben konnten allerdings nur im Wirkungsbereich des Nationalstaats zur Geltung gebracht werden. Die neue Datenverarbeitung betrifft das komplette Leben im virtuellen Sozialraum, je nach Nutzung des Internet einen großen oder kleinen Ausschnitt des täglichen Lebens. Diesen Risiken zu entgehen, würde voraussetzen, den virtuellen Sozialraum zu meiden – für viele keine realistische Alternative. Jedoch besteht zumindest grundsätzlich die Möglichkeit, bildlich gesprochen, den Stecker zu ziehen.

In einer weiteren, dritten Entwicklungsstufe gelangt die Datenverarbeitung in die körperliche Welt. Ubiquitous Computing mit seinen Ausprägungen wie z.B. Smart Cars, Smart Health, Smart Home, Smarten Assistenten, Robotern und sonstige Techniken des Internet der Dinge, die auf der Erfassung der Umgebung durch vielfältige Sensoren und auf der Lernfähigkeit der Systeme durch Künstliche Intelligenz aufbauen, führen zu einer allgegenwärtigen Verarbeitung personenbezogener Daten, die potenziell alle Lebensbereiche und diese potenziell vollständig erfasst. In dieser Welt wachsen Körperlichkeit und Virtualität zusammen. Informationen aus der virtuellen Welt werden in der körperlichen Welt verfügbar, Informationen aus der realen Welt in die virtuelle Welt integriert. Aus dieser Welt und der in ihr stattfindenden Datenverarbeitung gibt es aber keinen Ausweg mehr. Insofern verschärft sich das Problem des Datenschutzes radikal und seine Lösung wird existenziell. Für diese neuen Herausforderungen gibt es noch keine datenschutzrechtlichen Regelungen.

Und auch die alten Regelungen greifen nicht mehr. In einer Welt allgegenwärtiger Datenverarbeitung laufen die bekannten Anforderungen der Zweckbindung, der Erforderlichkeit, der Transparenz, der Einwilligung und der Betroffenenrechte ins Leere. Wenn die allgegenwärtige Rechnertechnik gerade im Hintergrund und damit unmerklich den Menschen bei vielen Alltagshandlungen unterstützen soll, wird es niemand akzeptieren, wenn er täglich zur Durchsetzung des Transparenzprinzips tausendfach bei meist alltäglichen Verrichtungen Anzeigen, Unterrichtungen oder Hinweise zur Kenntnis nehmen müsste. Wenn die Techniksysteme kontextsensitiv und selbstlernend sein sollen, werden sie aus den vielfältigen Datenspuren, die der Nutzer bei seinen Alltagshandlungen hinterlässt, und seinen Präferenzen, die seinen Handlungen implizit entnommen werden können, entgegen jeder Zweckbindung im Interesse des Nutzers vielfältige und umfassende Profile erzeugen. Wenn die Nutzer auf die Datenspeicher der sie umgebenden Gegenstände zurückgreifen, um ihr eigenes löchriges Gedächtnis zu erweitern, läuft das Erforderlichkeitsprinzip in Leere. Für die Gedächtnisfunktion ist für sehr lange Zeit eine Datenspeicherung auf Vorrat erforderlich, weil niemand wissen kann, an was man sich irgendwann einmal erinnern möchte. Diese Beispiele zeigen: Die allgegenwärtige Datenverarbeitung verursacht nicht nur ein weiteres Vollzugs-, sondern ein grundlegendes Konzeptproblem. Sie stellt die zentralen Schutzkonzepte des Datenschutzrechts in Frage.[15]

Alle drei Entwicklungsstufen bestehen heute parallel und beeinflussen sich gegenseitig. Für jede besteht ein spezifischer Modernisierungsbedarf – für die erste Stufe etwa in der Umsetzung der Datenschutzprinzipien beim Aufbau großer Datenverarbeitungssysteme für staatliche oder private Zwecke. Die unterschiedliche Umsetzung der Datenschutzrichtlinie (DSRL) von 1995 hat zu verschiedenen Datenschutzniveaus geführt, die auch als Standortvorteil genutzt wurden (Stichwort: Irland). Noch immer hat das Datenschutzrecht mit einem großen Vollzugsdefizit zu kämpfen. Für die zweite Stufe besteht der Modernisierungsbedarf vor allem darin, dass global agierende Konzerne mit Suchalgorithmen, sozialen Netzwerken, Plattformen und modernen Kommunikationsmöglichkeiten unverzichtbare Internet-Infrastrukturen ausgebildet haben, die Monopolcharakter haben und deren Geschäftsmodell die massenhafte Verarbeitung personenbezogene Daten voraussetzt. Moderne Datenschutzregelungen müssen den Gefährdungen der informationellen Selbstbestimmung durch diese neuen Infrastrukturen in einer Weise entgegentreten, die der Abhängigkeit von ihnen gerecht wird. Für die dritte Stufe besteht der Modernisierungsbedarf vor allem darin, neue Schutzkonzepte für die informationelle Selbstbestimmung zu entwickeln, weil die bisherigen gegenüber den neuen Technikanwendungen leerlaufen. Die Zukunftsfähigkeit neuer Datenschutzregelungen muss daran gemessen werden, ob sie den Herausforderungen auf allen drei Entwicklungsstufen gerecht werden und neue Lösungen für die Gefährdungen der Grundrechtsverwirklichung bieten.

3. Zielsetzungen der Datenschutz-Grundverordnung
 
Die DSGVO erhebt den Anspruch, den genannten Anforderungen an den Datenschutz gerecht zu werden und die festgestellten Defizite zu beseitigen. Ausweislich ihrer Erwägungsgründe (EG) verfolgt sie drei große Zielsetzungen:

• Zum einen will sie das Datenschutzrecht unionsweit vereinheitlichen und einen soliden, „kohärenten und durchsetzbaren Rechtsrahmen im Bereich des Datenschutzes in der Union“ schaffen (EG 3, 9 und 13).
• Zum anderen will sie einheitliche Vorgaben für gleiche wirtschaftliche Bedingungen in der Union bieten und damit den Binnenmarkt stärken (EG 5, 10, 13). „Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und einheitlich angewandt werden“ (EG 10).
• Schließlich stellt sie fest, dass „rasche technologische Entwicklungen und die Globalisierung … den Datenschutz vor neue Herausforderungen gestellt“ haben (EG 6). Die Verordnung will den Datenschutz angesichts dieser Herausforderungen modernisieren und den Schutz der Grundrechte verbessern (EG 1, 2 und 4).

4. Wirkungen der Daten­schutz-­Grund­ver­ord­nung

Um zu verstehen, warum die DSGVO diese Ziele weitgehend verfehlt, ist der Machtkampf um die Zukunft des europäischen Datenschutzrechts während der Entstehung der Verordnung zu berücksichtigen. Da nahezu alle Lebens-, Wirtschafts- und Verwaltungsbereiche davon abhängig sind, personenbezogene Daten zu verarbeiten, hat derjenige, der über die Fortentwicklung des Datenschutzes bestimmt, ein zentrales Instrument zur Gestaltung der digitalen Gesellschaft in Europa in der Hand. Daher entspann sich ein heftiger Kampf, wer mit welchen Kompetenzen künftig die Datenverarbeitung reguliert (4.1). Er wirkte sich auf die Kontroversen über die Inhalte der Verordnung aus (4.2 – 4.4), mit denen diese Entwicklung begonnen werden sollte.

4.1 Kompetenzen zur Steuerung der Zukunft

Seit einigen Jahren hat die Kommission ihre Strategie zur europäischen Integration verschärft. Sie wechselte von einer „Angleichung der Rechtsvorschriften“ (Art. 114 Abs. 1 AEUV) durch die Mitgliedstaaten zur einer „Vereinheitlichung der Rechtsordnungen“ durch den Unionsgesetzgeber. Als Instrument nutzt sie nicht mehr vorrangig die Richtlinie, sondern die Verordnung.[16] Während eine Richtlinie durch die Mitgliedstaaten umgesetzt werden muss und diese nur hinsichtlich ihrer Zielsetzungen bindet, gilt eine Verordnung in den Mitgliedstaaten unmittelbar. Verordnungen entziehen daher ganze Politikbereiche der nationalen Demokratie.[17]

In ihrem Entwurf vom 25. Januar 2012[18] schlug die Kommission eine sehr radikale Lösung für die notwendige kontinuierliche Modernisierung des Datenschutzrechts vor: Durch die Wahl einer Verordnung wollte sie die Mitgliedstaaten von der weiteren Gesetzgebung im Bereich des Datenschutzes ausschließen, durch viele unbestimmte und ausfüllungsbedürftige Vorgaben sowie inhaltsleere Generalklauseln wichtige Datenschutzregelungen offen halten und innerhalb der Union sich selbst die Kompetenz vorbehalten, sie auszufüllen und fortzuentwickeln. Zu diesem Zweck sah der Entwurf 26 Ermächtigungen vor, die Verordnung durch delegierte Rechtsakte nachträglich zu konkretisieren, und 23 Ermächtigungen, sie durch Durchführungsrechtsakte auszugestalten. Außerdem behielt sie sich das Recht vor, bei einer Meinungsverschiedenheit zwischen verschiedenen Aufsichtsbehörden am Ende verbindlich zu entscheiden. Dadurch hätte die Kommission die künftige Rechtsetzung im Datenschutzrecht bei sich zentralisiert und monopolisiert.[19]

Dieser Entwurf hätte zur Folge gehabt, dass die Datenschutzregelungen der Mitgliedstaaten, die gerade für öffentliche Stellen stark ausdifferenzierte bereichsspezifische Regelungen enthalten, aufgrund des umfassenden Regelungsanspruchs der Verordnung hinfällig geworden wären. Doch nicht nur für das bestehende Datenschutzrecht hätte der Entwurf gravierende Auswirkungen gehabt. Seine tiefgreifendste Folge wäre die Entmachtung der Mitgliedstaaten und die Ermächtigung der Kommission zur Fortentwicklung des Datenschutzrechts gewesen.

Auf den Angriff der Kommission auf Gewaltenteilung und Demokratie in der Union hat das Parlament nur beschränkt reagiert.[20] Im Machtkampf zwischen Union und Mitgliedstaaten hielt das Parlament am Rechtsinstrument einer Verordnung fest. Insofern trug es die Entmachtung der Mitgliedstaaten mit. Es gab jedoch der Kritik insofern nach, als es Öffnungsklauseln für nationale Regelungen vorsah. Dadurch aber gab das Parlament selbst die Zielsetzung eines einheitlichen europäischen Datenschutzrechts weitgehend auf.

Hinsichtlich der Gewaltenteilung innerhalb der Union reagierte das Parlament stärker. Es beließ der Kommission nur zehn Ermächtigungen und war bemüht, vieles in der Verordnung selbst zu regeln. Die normative Inhaltsleere der Regelungen versuchte es mit vielfältigen Präzisierungen und Erweiterungen auszugleichen, ohne jedoch ein eigenständiges Regelungskonzept zu entwickeln. In den entscheidenden Fragen kam auch das Parlament angesichts der Komplexität und Breite der Regelungsmaterien über abstrakte Regelungen selten hinaus.

Auch der Rat hat die Wahl einer Verordnung, die, soweit sie reicht, den Mitgliedstaaten den Datenschutz als Gegenstand ihrer Politik und Gesetzgebung nimmt, akzeptiert.[21] Nicht akzeptiert hat er aber die Machtkonzentration der Kommission und beließ ihr nur neun Ermächtigungen für nebensächliche Fragen. Der Rat strich auch viele Detaillierungen des Parlaments. Die Macht, über die Zukunft der digitalen Gesellschaft zu bestimmen, sollte zum großen Teil bei den Mitgliedstaaten bleiben – insbesondere, wenn es ihre eigenen Angelegenheiten und nicht den europäischen Binnenmarkt betrifft. Überall, wo die geringe Komplexität der Regelungen des Kommissionsentwurfs Detaillierungen forderten, wurden – statt der Kommission – die Mitgliedstaaten ermächtigt, bestehende eigene Regelungen beizubehalten oder neue zu erlassen.

Im „Trilog“, in dem sich Vertreter des Rats und des Parlaments unter Vermittlung der Kommission auf eine gemeinsame, die später verabschiedete Fassung einigten, blieben nur zwei Ermächtigungen der Kommission, delegierte Rechtsakte zu erlassen, und sieben Ermächtigungen für Durchführungsrechtsakte übrig. In Verhältnis der Union zu den Mitgliedstaaten konnte der Rat seine Ziele uneingeschränkt durchsetzen. Die mangelnde Komplexität der Verordnungsregelungen wird dadurch ausgeglichen, dass die Mitgliedstaaten ihre bereichsspezifischen Datenschutzreglungen beibehalten oder neue erlassen können. Der Machtkampf bewirkte aber auch, dass die drei expliziten Ziele der DSGVO weitgehend verloren gingen. 

4.2 Ko-Re­gu­lie­rung statt Verein­heit­li­chung des Daten­schutz­rechts

Die DSGVO hat ein grundlegendes Problem, das durch den Machtkampf verstärkt und nicht beseitigt wurde: die hohe Diskrepanz zwischen der enormen Komplexität des Regelungsbedarfs einerseits sowie die Abstraktheit und damit Unterkomplexität ihrer Vorschriften andererseits. Sie will in 50 Artikeln des materiellen Datenschutzrechts die gleichen Probleme behandeln, für die im deutschen Datenschutzrecht Tausende von bereichsspezifischen Vorschriften bestehen. Wer Datenschutz regelt, verursacht Veränderungen in allen Gesellschaftsbereichen – vom Archivwesen bis zum Zeitungsverlag. Wer meint, die vielen und vielfältigen gesetzlichen Regelungen zum Datenschutz in den Mitgliedstaaten durch wenige generelle und abstrakte Regelungen ersetzen zu können, unterschätzt nicht nur diese Aufgabe gewaltig, sondern übersieht auch die negativen Auswirkungen, die dadurch entstehen, wenn er die Vielfalt und Differenzierung bestehender Regelungen beseitigt und dadurch gewaltige Lücken der Rechtsunsicherheit erzeugt.[22]

Durch diesen unterkomplexen Regelungsansatz muss die DSGVO ihr eigentliches Ziel, einen soliden, kohärenten, einheitlichen Rechtsrahmen für den Datenschutz in allen Mitgliedstaaten der Union zu bilden, verfehlen. Vollzugsfähig und rechtssicher sind die Regelungen der Verordnung nur, wenn sie präzisiert, konkretisiert und ergänzt werden. Dies ist überwiegend Aufgabe der Mitgliedstaaten.[23] Das wichtigste Ergebnis aus dem Machtkampf um die Verordnung sind die 70 Öffnungsklauseln, durch die die Union den Mitgliedstaaten explizit Regelungskompetenzen im Datenschutzrecht überträgt. Diese sind unterschiedlich ausgestaltet. Sie eröffnen den Mitgliedstaaten eigene Regelungsbereiche ohne spezifische Vorgaben – wie in Art. 88[24] für den Beschäftigtendatenschutz.[25] Sie ermächtigen aber auch die Mitgliedstaaten, „spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser“ zu bestimmen. Die umfangreichsten Ermächtigungen dieser Art sind in Art. 6 Abs. 2 und 3 zu finden.[26] Danach kann jeder Mitgliedstaat für den gesamten Bereich der Datenverarbeitung in öffentlichen Stellen und in nicht öffentlichen Stellen, die zur Datenverarbeitung verpflichtet werden oder diese im öffentlichen Interesse vornehmen, eigene Regeln erlassen oder beibehalten.

Die Öffnungsklauseln verhindern eine unionsweite Vereinheitlichung des Datenschutzrechts. Dies widerspricht zwar den Wünschen und Hoffnungen, die viele mit der Verordnung verbunden haben. Mehr als dieses Nebeneinander von Unions- und nationalem Datenschutzrecht, das im günstigen Fall zu einer Ko-Regulierung führt, hat der Unionsgesetzgeber aber nicht gewollt.

Wie sehr im Ergebnis ein unionsweit einheitliches Datenschutzrecht verfehlt wird, kann in der Anpassung des deutschen Datenschutzrechts an die DSGVO besichtigt werden. Noch in der 18. Legislaturperiode hat der deutsche Gesetzgeber ergänzend zu ihr erste neue Datenschutzgesetze erlassen. Das Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 vom 30. Juni 2017[27] enthält in Art. 1 das neue Bundesdatenschutzgesetz (BDSG). Dieses tritt am 25. Mai 2018 in Kraft und wird das bisherige BDSG vollständig ersetzen.[28] Art. 2 bis 6 enthalten Anpassungen des BVerfSchG, des MAD-G, des BND-G, des SiÜG und des G10-G. Außerdem hat der Bundesgesetzgeber im Gesetz zur Änderung des Bundesversorgungsgesetzes vom 24. Juli 2017[29] durch Art. 17 Neuregelungen zum Datenschutzrecht in der AO und durch Art. 19 und 24 im SGB I und X getroffen.

Das in Kürze in den Gesetzgebungsprozess einzubringende Zweite Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 wird in etwa 140 Artikeln weitere Regelungen zum Datenschutz in Fachgesetzen des Bundes an die Verordnung anpassen. Auch die Länder haben Gesetzgebungsverfahren angestoßen, in denen ihre jeweiligen Landesdatenschutzgesetze sowie ihre bereichsspezifischen Datenschutzregelungen neu gefasst werden.

Der Regulierungsstil dieser nationalen Anpassungsgesetze ist identisch. Sie sind von der Zielsetzung geprägt, das bestehende materielle Datenschutzrecht zu erhalten und nur formelle Anpassungen vorzunehmen. Es entfällt jedoch kein einziges Datenschutzgesetz und auch kein Abschnitt zum Datenschutz in den Fachgesetzen.

Im Ergebnis verfehlt die DSGVO weitgehend ihr Ziel, das Datenschutzrecht in der Union zu vereinheitlichen. Für Rechtsanwender und Rechtsbetroffene ist die Gemengelage aus DSGVO sowie dem weitgehend unveränderten deutschen Datenschutzrecht schwer zu durchschauen und verursacht ein hohes Maß an Rechtsunsicherheit.

4.3 Kontinuität in den Mitglied­s­taaten statt einheit­li­cher Daten­schutz­praxis

Stärker kommt die DSGVO im Bereich der Wirtschaft zur Anwendung. Doch auch wenn in allen Mitgliedstaaten die gleichen Vorschriften gelten, führt dies nicht immer zu unionsweit einheitlichen Wettbewerbsbedingungen. Gerade ihre vielen abstrakten und unbestimmten Regelungen bedürfen in der Praxis der Präzisierung und Konkretisierung durch die Verantwortlichen, betroffenen Personen, nationalen Aufsichtsbehörden und Gerichte.

Es ist ein entscheidender Unterschied, ob eine Richtlinie fünf Erlaubnistatbestände als Ziele vorgibt, die eine bereichs- und problemspezifische Konkretisierung durch nationale Gesetze erfahren sollen, oder ob die gleichen fünf Erlaubnistatbestände in einer Verordnung unmittelbare Rechtsgeltung haben und die bestehenden ausdifferenzierten und risikobezogenen nationalen Regelungen ersetzen sollen. Die Auslegung der identischen abstrakten Begriffe wird in jedem Mitgliedstaat nach der jeweiligen Datenschutztradition und -kultur erfolgen. Insbesondere die offene Abwägung berechtigter Interessen der Verantwortlichen mit den schutzwürdigen Interessen der betroffenen Person wird in jedem Mitgliedstaat unterschiedlich sein. Dies ist z.B. für die Videoüberwachung, für Werbung, Auskunfteien, Marktforschung, Scoring, Bonitätsauskünfte oder Internetangebote zu erwarten. Europäischer Datenschutz wird hinsichtlich der Zulässigkeit der Datenverarbeitung in jedem Mitgliedstaat praktisch einen anderen Inhalt haben. Dadurch entsteht kein einheitlich durchgesetztes und gelebtes Recht. Wettbewerbsgleichheit ist so nicht zu erreichen.[30]

Indem die Verordnung die Entscheidung über die Abwägung letztlich auf die Gerichte überträgt, entstehen aber noch viel unterschiedlichere Ergebnisse als unter der DSRL. Bisher waren die typisierten vom Gesetzgeber vorgenommenen Interessenabwägungen wenigstens für Deutschland einheitlich. Jetzt wird es möglich sein, dass sie für lange Zeit von Gerichtsbezirk zu Gerichtsbezirk unterschiedlich ausfallen. Zwar haben für die Anwendung der unbestimmten Rechtsbegriffe die Aufsichtsbehörden des Bundes, der Länder und aller Mitgliedstaaten einen bestimmenden Einfluss. Um diesen unionsweit zu vereinheitlichen, gibt es umständliche Koordinationsmechanismen.[31] Da aber die Beschlüsse des Europäischen Datenschutzausschusses nach Art. 65 DSGVO nur die Aufsichtsbehörden verpflichten und kein allgemeinverbindliches (Exekutiv-)Recht setzen,[32] unterliegen die divergierenden oder vereinheitlichten Versuche der Aufsichtsbehörden, die Verordnung zu interpretieren, der Überprüfung durch die örtlichen Gerichte. Diese können jeden vereinheitlichten Interpretationsversuch durch den Datenschutzausschuss konterkarieren. Eine Vereinheitlichung der Rechtsprechung ist allenfalls in einzelnen Fällen bezogen auf die jeweils enge Fallfrage nach jahrelangen Prozessen[33] durch den EuGH zu erwarten.

4.4 Keine inhaltliche Moder­ni­sie­rung des Daten­schutz­rechts

Die DSGVO führt für das materielle Datenschutzrecht die Grundkonzeption der Datenschutz-Richtlinie von 1995 fort. Sie enthält keinen grundlegenden innovativen Ansatz, weist jedoch einige sinnvolle Neuerungen auf: Angesichts der Globalisierung der Datenverarbeitung ist die Ausweitung ihres räumlichen Anwendungsbereichs hilfreich. Danach ist die Verordnung auch anwendbar, wenn ein Datenverarbeiter – egal wo – personenbezogene Daten von Personen verarbeitet, die sich in der Union aufhalten und der er entweder Waren oder Dienstleistungen anbietet oder die er durch seine Datenverarbeitung in ihrem Verhalten beobachtet.[34] Bisher unbekannt ist das Recht für betroffene Personen in Art. 20 DSGVO, ihre Daten, die sie einem Verantwortlichen bereitgestellt haben, auf einen anderen Datenverarbeiter zu übertragen. Innovativ sind auch die Anforderungen an den Datenschutz durch Systemgestaltung und Voreinstellungen in Art. 25 DSGVO[35] und die Datenschutz-Folgenabschätzung in Art. 35 DSGVO.[36]

Inhaltlich verursacht die Verordnung Defizite – auch gegenüber dem bisherigen Datenschutzniveau[37] – und verfehlt ihr Modernisierungsziel vor allem durch ihren spezifischen Ansatz der Technikneutralität.[38] Technikneutralität ist sinnvoll, wenn sie verhindern soll, dass rechtliche Vorschriften technische Weiterentwicklungen ausschließen.[39] In der DSGVO wird Technikneutralität aber ideologisch überhöht und im Sinne einer Risikoneutralität[40] genutzt: In keiner Regelung werden die spezifischen Grundrechtsrisiken z.B. von smarten Informationstechniken im Alltag, von Big Data, Cloud Computing oder datengetriebenen Geschäftsmodellen, Künstlicher Intelligenz und selbstlernenden Systemen angesprochen oder gar gelöst. Die gleichen Zulässigkeitsregeln, Zweckbegrenzungen oder Rechte der betroffenen Person gelten für die wenig riskante Kundenliste beim „Bäcker um die Ecke“ ebenso wie für diese um Potenzen risikoreicheren Datenverarbeitungsformen. Insbesondere durch abstrakte Zulässigkeitsregelungen wie in Art. 6 Abs. 1 werden die spezifischen Grundrechtsrisiken verfehlt.[41] Damit wird die Verordnung keiner der identifizierten Herausforderungen der zweiten und dritten Entwicklungsstufe der Datenverarbeitung[42] auch nur im Ansatz gerecht.  

Letztlich muss klar sein, welche Anforderungen an die Verarbeitungsvorgänge gestellt werden. Diese Zielsetzung darf einerseits nicht dazu führen, dass die Vorschriften an technische Detailmerkmale anknüpfen, so dass sie technische Weiterentwicklungen ausschließen. Andererseits dürfen technikunspezifische Regelungen nicht dazu führen, dass der demokratisch legitimierte und zur Regelung berufene Gesetzgeber sich nicht mit den besonderen Interessenlagen und Risiken sowie passenden Lösungen einer Technikanwendung auseinandersetzt. Technikbezogene Regelungen sind gerade in einem so technikgeprägten Bereich wie dem Datenschutz unabdingbar, sollen die rechtlichen Ziele erreicht werden. Daher müssen spezifische Technikfunktionen und die typischen Verarbeitungszwecke, ihre Risiken und Lösungsansätze interessengerecht und risikoadäquat geregelt werden. Nur so kann die notwendige Rechtssicherheit und Interessengerechtigkeit erreicht werden. Dass es im Unionsrecht sehr wohl möglich ist, sowohl technikneutrale als auch funktions- und risikobezogene Datenschutzvorgaben vorzusehen, zeigen etwa Art. 6 der eCall-VO (EU) 2015/758,[43] der klare Datenschutzanforderungen an die Zulässigkeit des automatisierten Notrufs stellt, oder die Regelungen zur Datenverarbeitung in der elektronischen Kommunikation, zum Schutz von Endgeräten und zur Steuerung zulässiger Werbung in den Art. 6, 8 und 16 des Entwurfs einer E-Privacy-VO.[44]

Die deutschen Gesetzgeber haben bisher weder im neuen BDSG noch in den Entwürfen zu den neuen Landesdatenschutzgesetzen die innovativen Impulse der DSGVO aufgenommen noch deren Risikoneutralität durch die risikobezogene Regelung moderner Herausforderungen überwunden. Sie haben die Öffnungsklauseln fast ausschließlich dazu benutzt, Möglichkeiten zur Verarbeitung personenbezogener Daten zu erweitern und Rechte der betroffenen Personen zu beschränken. Damit haben sie im Ergebnis das Datenschutzniveau in Deutschland sowohl gegenüber dem bisherigen BDSG als auch sogar gegenüber der DSGVO reduziert.[45]

5. Innova­ti­onen im Vollzug

Die Differenz zwischen Sollen und Sein ist im Datenschutzrecht besonders groß. Daher ist es vor allem relevant, wie die Rechtsdurchsetzung in der DSGVO geregelt ist. Hier dürfte die wirkliche Innovation der Verordnung zu finden sein.

Die Regelung der Unabhängigkeit, der Aufgaben und der Befugnisse der Aufsichtsbehörden sowie deren Zusammenarbeit in der Union umfasst insgesamt 26 Artikel. Die Verordnung hat die Aufgaben und die Befugnisse erheblich ausgeweitet. Wichtig ist vor allem, dass die Aufsichtsbehörde nach Art. 58 Abs. 2 unmittelbare Durchsetzungsbefugnisse hat und z.B. eine rechtswidrige Datenverarbeitung verbieten kann. Eine auffällige Veränderung bringt auch Art. 83, der für Verstöße gegen die Verordnung drastische Sanktionen ermöglicht. Wichtig ist ferner, dass die Aufsichtsbehörde nach Art. 83 Abs. 6 bei Nichtbefolgung ihrer Anweisung Geldbußen von bis zu 20 Mio. Euro oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängen kann, je nachdem, welcher der Beträge höher ist.

Bei Vollzug der Verordnung entsteht allerdings ein Spannungsverhältnis zwischen der Sicherung der „völligen“ Unabhängigkeit jeder einzelnen Aufsichtsbehörde in Art. 52 Abs. 1 und dem einheitlichen Vollzug der Verordnung in der Union. Wie der EuGH in drei Entscheidungen zur Stellung der Aufsichtsbehörde in Deutschland, in Österreich und in Ungarn festgestellt hat, darf niemand der unabhängigen Aufsichtsbehörde Weisungen erteilen. Genau dies aber erlaubt Art. 65 Abs. 6 dem Europäischen Datenschutzausschuss. Er kann Entscheidungen treffen, die die betreffende Aufsichtsbehörde binden. Diese ist insoweit nicht mehr unabhängig, sondern muss die Entscheidung der Mehrheit der anderen Aufsichtsbehörden im Ausschuss befolgen. Auch in Deutschland wird die einzelne Aufsichtsbehörde im „kleinen Kohärenzverfahren“ nach § 18 BDSG-neu in ihrer Entscheidung von der Mehrheit der anderen Aufsichtsbehörden abhängig. Ein einheitlicher Vollzug in der Union wird wohl ohne Koordination der Aufsichtsbehörden nicht zu erreichen sein und diese Koordination kann nur nach dem Mehrheitsprinzip erfolgen. Dennoch ist zu konstatieren, dass die Mehrheit die einzelne Aufsichtsbehörde zwingen kann und Art. 65 die in Art. 52 garantierte Unabhängigkeit „auf dem Altar“ des einheitlichen Vollzugs „opfert“.

Wichtig ist aber auch, dass die Zivilgesellschaft in den Vollzug eingebunden wird. Bürger und in ihrer Vertretung Datenschutzverbände können bei der Aufsichtsbehörde Beschwerde einlegen und gegen die Aufsichtsbehörde und gegen den Verantwortlichen Rechtsbehelfe einlegen, wenn sie der Meinung sind, dass gegen die Verordnung verstoßen wird. Haben sie dadurch einen Schaden erlitten, können sie auch Schadensersatz geltend machen.  

Ob diese neuen Regelungen die Durchsetzung des Datenschutzrechts in der Wirklichkeit verbessern, hängt davon ab, wie sie in der Praxis angewendet werden. Dies setzt eine den neuen Aufgaben entsprechende Ausstattung der Aufsichtsbehörden voraus,[46] die derzeit noch fehlt. Daran wird der politische Wille zu besserem Datenschutz zu messen sein.[47] Die bisherigen Regelungen im BDSG und in den Landesdatenschutzgesetzen beschränken jedoch die Aufsicht im öffentlichen Bereich im Vergleich zur Verordnung.

6. Moder­ni­sie­rung des europä­i­schen Daten­schutz­rechts

Die DSGVO hat weder zu einer Vereinheitlichung und Modernisierung des Datenschutzrechts geführt noch wird sie eine einheitliche Datenschutzpraxis in allen Mitgliedstaaten begründen. Statt einer Monopolisierung und Zentralisierung in der Weiterentwicklung des Datenschutzrechts hat sie eine sinnvolle Arbeitsteilung zwischen Union und Mitgliedstaaten eingerichtet. Nur so ist die notwendige Komplexität der Datenschutzregelungen angesichts einer gesellschaftsweiten Verarbeitung personenbezogener Daten zu erreichen. Die angeordnete Ko-Regulierung kann auch für die Suche nach einem modernen Datenschutzrecht eingesetzt werden: Angesichts der Vielfalt und Dynamik der zukünftigen, heute noch unbekannten Herausforderungen der Informationstechnik und ihrer Anwendungen für die Grundrechte kann auf der Ebene der Mitgliedstaaten mit unterschiedlichen Regelungskonzepten experimentiert werden. Deren Vielfalt kann dazu beitragen, dass sich in der Union ein lebendiger Datenschutz entwickelt. Statt einer Vereinheitlichung der Datenschutzpraxis ermöglichen unbestimmte Rechtsbegriffe und ihre situationsgerechte Konkretisierung, dass in den einzelnen Mitgliedstaaten Datenschutz den lokalen Bedingungen angepasst werden kann. Schließlich bieten die vielen Regelungsmöglichkeiten der Mitgliedstaaten Chancen für eine Modernisierung des Datenschutzrechts, indem dort versucht wird, durch risikoadäquate Regelungen einen ausreichenden Schutz der Grundrechte gegen künftige Herausforderungen zu gewährleisten. In den Evaluationen und Überarbeitungen der DSGVO gemäß Art. 97 kann dann das Bewährte unionsweit übernommen werden. 

PROF. DR. ALEXANDER ROßNAGEL   ist Universitätsprofessor für öffentliches Recht, Leiter der Projektgruppe verfassungsverträgliche Technikgestaltung (provet) im Wissenschaftlichen Zentrum für Informationstechnikgestaltung (ITeG) und Sprecher der Forums Privatheit.

Anmerkungen:

1 EU ABl. L 119 vom 4.5.2016, 1.

2 Zu den einzelnen Regelungen der DSGVO s. die Beiträge von Schaar und Weichert in diesem Heft.

3 KOM(2017) 10 endg.

4 Europäisches Parlament, A8-0324/2017.

5 S. Roßnagel, MedienWirtschaft 1/2018, 32ff.

6 Mitteilung der Europäischen Kommission: Der Schutz der Privatsphäre in einer vernetzten Welt. Ein europäischer Datenschutzrahmen für das 21. Jahrhundert, KOM(2012) 9 endg.; Justizkommissarin Reding, ZD 2012, 195.

7 S. z.B. Schaar, DuD 2012, 154.

8 S. z.B. Berufsverband der Datenschutzbeauftragten Deutschlands (BvD), Positionspapier zum Entwurf der DSGVO vom 25.1.2012.

9 S. z.B. Albrecht, CR 2016, 97.

10 Albrecht, CR 2016, 97; BfDI Voßhoff nach heise-online, http://heise.de/-3179872 vom 21.4.2016.

11 Albrecht, CR 2016, 98.

12 Schantz, NJW 2016, 1841.

13 Albrecht, CR 2016, 97.

14 Hoeren, nach heise-online, http://heise.de/-3190299 vom 27.4.2016; ähnlich negativ Giesen, Euphorie ist kein Prinzip des Rechtsstaats, in: Stiftung Datenschutz (Hrsg.), Zukunft der informationellen Selbstbestimmung, 2016, 23 ff.

15 S. hierzu Roßnagel, Datenschutz in einem informatisierten Alltag, 2007.

16 So z.B. in der Mitteilung der Kommission „Eine Vision für den Binnenmarkt für Industrieprodukte“ vom 22.1.2014, KOM(2014) 24 endg., 9.

17 S. hierzu auch Roßnagel, in: ders. (Hrsg.), Das neue Datenschutzrecht, 2018, § 1 Rn. 16 ff.

18 KOM(2012) 11 endg.

19 Nach dem Scheitern dieser Strategie werden beide Instrumente der Machtsteigerung vom Generalsekretär der Kommission, Selmayr, nachträglich als geniale Scheingefechte dargestellt, die nie
ernst gemeint waren, sondern nur die Mitgliedstaaten zu entsprechenden Entscheidungen verleiten sollten – s. Selmayr/Ehmann, in: Ehmann/Selmayr, DSGVO, 2017, Einleitung Rn. 56.

20 EU-Parlament, P7_TA-PROV(2014)0212.

21 Rat der Europäischen Union, 9565/15.

22 S. näher Roßnagel/Geminn/Jandt/Richter, Datenschutzrecht 2016 – „Smart“ genug für die Zukunft?, 2016, 176f.

23 S. hierzu näher Roßnagel (Fn. 17), § 1 Rn. 31 ff. und § 2 Rn. 1 ff.

24 Art. und EG ohne Gesetzesbezeichnung sind solche der DSGVO.

25 S. z.B. Maier, DuD 2017, 169; Roßnagel, DuD 2017, 292.

26 S. Roßnagel, in: Simitis/Hornung/Spiecker, DSGVO, 2018, Art. 6 Abs. 2 Rn. 1 ff. und Art. 6 Abs. 3 Rn. 1 ff.; Roßnagel (Anm. 17), § 2 Rn. 21 ff.; Schaller, in: Roßnagel (Hrsg.), Das neue Datenschutzrecht,
2018, § 7 Rn. 16f.

27 BGBl. I, 2097.

28 S. dazu den Beitrag von Schaar in diesem Heft.

29 BGBl. I, 2541.

30 So aber Voßhoff, in: BfDI-Info 6: Datenschutz-Grundverordnung, 2016, 7.

31 S. Roßnagel, Datenschutzaufsicht nach der EU-Datenschutz-Grundverordnung, 2017, 77 ff., 146 ff.

32 S. Roßnagel (Anm. 31), 151 ff.

33 Das Urteil zur Vorratsdatenspeicherung vom 8.4.2014 erfolgte über acht Jahre nach Erlass der Richtlinie zur Vorratsdatenspeicherung, das Urteil zu Safe Harbor vom 6.10.2015 erging über 15 Jahre nach der Entscheidung der Kommission zur Anerkennung des Safe-Harbor-Systems.

34 Diese Erweiterung sorgt auf dem europäischen Markt für Wettbewerbsgleichheit zwischen Anbietern in der Union und Anbietern außerhalb der Union und vereinfacht die Wahrnehmung von Betroffenenrechten.

35 Die Anforderung richtet sich jedoch an den verantwortlichen Technikanwender, statt an den Hersteller.

36 Die sich hoffentlich nicht in einem Formalismus erschöpfen wird.

37 Entgegen der Zusicherung der damaligen Justizkommissarin Reding, ZD 2012, 197.

38 S. EG 15; Reding, ZD 2012, 198.

39 S. grundsätzlich Roßnagel, Technikneutrale Regulierung: Möglichkeiten und Grenzen, in: Eifert/Hoffmann-Riem (Hrsg.), Innovationsfördernde Regulierung, 2009, 323 ff.

40 Der „Risikoansatz“ der DSGVO – s. z.B. Albrecht, CR 2016, 94 – beschränkt sich darauf, bestimmte Pflichten des Verantwortlichen „entsprechend der Risiken von Datenverarbeitungsprozessen“ zu
reduzieren; s. kritisch Roßnagel, DuD 2016, 565, weil dieser Ansatz bewirkt, dass nur ein Bruchteil der Verantwortlichen und Auftragsverarbeiter diese Pflichten erfüllen muss.

41 S. näher Roßnagel, DuD 2016, 565.

42 S. Kap. 2.

43 EU ABl. L 123 vom 19.5.2015, 77.

44 S. hierzu Roßnagel, MedienWirtschaft 1/2018, 32ff.

45 S. dazu den Beitrag von Schaar in diesem Heft.

46 Roßnagel (Anm. 31), 179 ff.

47 S. zum Datenschutz in der Koalitionsvereinbarung Forum Privatheit, Datenschutz stärken, Innovationen ermöglichen – Wie man den Koalitionsvertrag ausgestalten sollte, Policy Paper, 2018.

Der Beitrag Datenschutz-Grundverordnung – was bewirkt sie für den Datenschutz? erschien zuerst auf Humanistische Union.

Lange Zeit wurden Verhandlungen um eine Reform und weitergehende Angleichung der europäischen Datenschutznormen von deutscher Seite mit dem Einwand entgegnet, dem stünde das höhere Datenschutzniveau hierzulande im Wege, das man nicht der Gemeinschaft zuliebe absenken wolle. Die Geschichte des Zustandekommens der Datenschutz-Grundverordnung sowie ihre Umsetzung in Deutschland sprechen jedoch eine andere Sprache: Peter Schaar schildert im folgenden Beitrag die Verhandlungen zur DSGVO, bei der sich deutsche Regierungsvertreter darum bemühten, den europäischen Standard möglichst niedrig zu definieren und mit vielen Öffnungsklauseln zu versehen, die nationale Abweichungen auch nach unten erlauben. Er stellt zudem die Grundzüge des mitterweile reformierten Bundesdatenschutzgesetzes vor, das die Verordnung in deutsches Datenschutzrecht umsetzt und zahlreiche Verschlechterungen gegenüber dem europäischen Referenzrahmen enthält.

„Wir brauchen […] endlich eine smarte Datenkultur vor allem für Unternehmen. Tatsächlich existiert in Deutschland aber ein Datenschutz wie im 18. Jahrhundert.“ Dieser Satz stammt nicht etwa von dem Vertreter einer der viel gescholtenen Datenkraken aus den USA, sondern von Dorothee Bär (CSU), der Staatsministerin „für Digitales“ der neu aufgelegten großen Koalition.[1] Was kennzeichnet die „smarte Datenkultur“, die hier gefordert wird? Ganz bestimmt nicht Datenvermeidung und Datensparsamkeit, also die Minimierung personenbezogener Daten, wie sie in § 3a des bisherigen Bundesdatenschutzgesetzes gefordert werden. An Stelle dieser „Datensparsamkeitsdiktatur“ soll die Digitalisierung dem Leitbild des „Datenreichtums“ und der „Datenvielfalt“ folgen.[2]

Wer geglaubt hatte, dass das Grundrecht auf informationelle Selbstbestimmung mehr als 30 Jahre nach dem Volkszählungsurteil des Bundesverfassungsgerichts[3] in Deutschland eine Selbstverständlichkeit sei, den haben die Diskussionen der letzten Jahre eines Schlechteren belehrt. Grundlegende Kritik an den angeblich überholten Vorstellungen des an Grundrechten orientierten Datenschutzes wurde insbesondere im Zusammenhang mit der Reform des Datenschutzrechts laut, deren Kernstück, die „Datenschutz-Grundverordnung“ der EU (DSGVO)[4], ab dem 25. Mai 2018 auch in Deutschland anwendbares Recht sein wird.

Auch die immer neuen Sicherheitsgesetze[5] mit ihrer Befugniserweiterung für staatliche Stellen belegen, dass der Datenschutz im Verhältnis zu anderen Rechtsgütern und Interessen vielfach als zweitrangig betrachtet wird und hinter anderen Gestaltungszielen zurückstehen müsse, etwa hinter dem vom ehemaligen Bundesinnenminister Friedrich vor fünf Jahren proklamierten „Supergrundrecht auf Sicherheit“.[6]

Europa geht voran

Anders als in vielen anderen Politikbereichen hat die Europäische Union beim Datenschutz ihre Handlungsfähigkeit bewiesen. Die mit dem Vertrag von Lissabon 2011[7] erfolgte Aufwertung der EU-Grundrechtecharta (EUGrCh) hat die datenschutzrechtliche Landschaft stark verändert. Art. 7 der Charta verlangt – wie schon Art. 8 der Europäischen Menschenrechtskonvention[8] – die Achtung des Privat- und Familienlebens, Art. 8 EUGrCh garantiert den Schutz personenbezogener Daten und schreibt eine unabhängige Datenschutzaufsicht vor.

Die Aufwertung des Datenschutzes durch die Grundrechtecharta hatte Konsequenzen auf unterschiedlichen Ebenen: So hat der Gerichtshof der Europäischen Union (EuGH) in verschiedenen Urteilen verdeutlicht, dass er sich – ebenso wie schon der Straßburger Gerichtshof für Menschenrechte – nun als Hüter der EU-Grundrechte auf Privatsphäre und Datenschutz versteht und sich nicht mehr auf die Rolle eines EU-Verwaltungsgerichtshofs beschränkt. Diese neue Rollenbestimmung des EuGH wurde besonders deutlich in den Urteilen zur Vorratsdatenspeicherung[9] und zu Safe Harbour[10] – eine angesichts der zunehmenden Bedeutung der Informationstechnologie und anschwellender transnationaler Datenströme uneingeschränkt positiv zu beurteilende Entwicklung.

Ohne den Vertrag von Lissabon wäre auch die im Mai 2016 im EU-Amtsblatt verkündete Datenschutzreform – bestehend aus einer Datenschutz-„Grundverordnung“ (DSGVO) und einer Datenschutzrichtlinie für Polizei und Justiz (DS-JIRL)[11] – kaum durchsetzbar gewesen. Die Datenschutz-Grundverordnung hatte den Trilog von Rat, Kommission und Europäischem Parlament vergleichsweise gut überstanden. Dazu beigetragen hat sicherlich auch der Umstand, dass nach den auf Edward Snowden zurückgehenden Erkenntnissen die globalen Überwachungsaktivitäten[12], maßgeblich ins Werk gesetzt von US-Nachrichtendiensten, aber mit tatkräftiger Unterstützung befreundeter Dienste (darunter auch des BND) nicht mehr ernsthaft bestritten werden konnten.

Gleichwohl darf nicht ausgeblendet werden, dass die EU-Datenschutzreform in mancherlei Hinsicht die erhoffte Stärkung des Datenschutzes nicht in vollem Umfang bringen wird. Dies gilt zum einen für Polizei und Justiz, denn hier legt die zeitgleich mit der DSGVO verkündete Richtlinie nur datenschutzrechtliche Mindeststandards fest. Die Richtlinie ermöglicht es den Mitgliedstaaten zwar, strengere nationale Bestimmungen zu erlassen. Andererseits werden die Zugriffsmöglichkeiten von Polizei- und Justizbehörden auf Daten, die in anderen Mitgliedstaaten gespeichert sind, weiter ausgebaut – auch von Behörden aus Staaten, in denen das nach der Rechtsprechung des Bundesverfassungsgerichts geforderte hohe Schutzniveau nicht garantiert ist.

Weiterhin gibt es keine europarechtlichen Beschränkungen für die Tätigkeit der Nachrichtendienste, sofern sie der „nationalen Sicherheit“ dient, denn dieser Bereich fällt nach dem Primärrecht der Europäischen Union weiterhin in die alleinige Verantwortung der Mitgliedstaaten.[14] Die Hoffnung, das EU-Recht würde der weltweiten geheimdienstlichen Überwachung zumindest in Europa wirksame Grenzen setzen, wird sich deshalb in absehbarer Zukunft nicht erfüllen.

Bremsen oder beschleu­ni­gen?

Welche Rolle hat Deutschland bei der EU-Datenschutzreform eingenommen? Eigentlich hätte man annehmen müssen, dass Deutschland – wie bereits beim Ringen um die Datenschutzrichtlinie von 1995 – erneut eine Vorreiterrolle einnehmen würde. Schließlich war das erste Datenschutzgesetz der Welt – das hessische – „Made in Germany“. Und auch sonst beriefen sich manche Politiker und Journalisten immer wieder auf das angeblich „hohe deutsche Datenschutzniveau“, das bewahrt werden müsse. Hier soll die Frage nicht vertieft werden, ob angesichts der vielfältigen, in den letzten zwei Jahrzehnten vorgenommenen Einschränkungen des Grundrechts auf informationelle Selbstbestimmung von einem besonders hohen deutschen Datenschutzniveau noch ernsthaft die Rede sein kann.

Auch der Blick auf den Werdegang der Datenschutzreform verstärkt den Eindruck, dass es sich beim Hohelied auf den guten deutschen Datenschutz vielfach eher um eine Floskel statt um innere Überzeugung handelt. Nachdem die Europäische Kommission im Januar 2012 nach mehrjährigen Vorarbeiten ihren Entwurf des Datenschutz-Reformpakets[14] auf den Tisch gelegt hatte, setzte ein erbittertes Ringen ein, bei dem über lange Zeit nicht einmal klar war, ob es überhaupt am Ende zu der beabsichtigten Reform kommen würde. Unternehmen und Wirtschaftsverbände liefen Sturm gegen die strengeren Regeln zur Verarbeitung personenbezogener Daten und insbesondere gegen die beabsichtigte Stärkung der Aufsichtsbehörden und die erheblich verschärften Sanktionen bei Datenschutzverstößen. Abgeordnete des EP berichteten darüber, dass große US-Unternehmen ganze Flugzeugladungen an Lobbyanwälten nach Brüssel in Bewegung setzten, um das drohende Unheil für ihre datengetriebenen Geschäftsmodelle abzuwenden. Auf der anderen Seite bemühten sich Datenschutzbehörden, Verbraucherschutz- und Datenschutzverbände und Bürgerrechtsorganisationen erfolgreich um den Aufbau von Gegenpositionen.

Die äußerst intensive Lobbyarbeit in Brüssel und in den Hauptstädten der EU-Mitgliedstaaten blieb nicht ohne Folgen. Eine Vielzahl der mehreren Tausend im Europäischen Parlament eingebrachten Änderungsanträge hatten eine Verwässerung der Kommissionsvorschläge zum Gegenstand. Das Europäische Parlament positionierte sich nach zähem Ringen mit erstaunlich klaren Mehrheiten für eine deutliche Verbesserung des Datenschutzes in der Union[15], nicht zuletzt aufgrund der zähen Arbeit des Berichterstatters Jan-Phillip Albrecht (Grüne) und der Schattenberichterstatter aus den anderen Parlamentsfraktionen, von denen viele aus Deutschland stammen oder zumindest – wie etwa der Berichterstatter zur JI-RL, der griechische Abgeordnete Dimitris Droutsas (S&D Fraktion) – umfassende Kenntnisse des deutschen Rechtssystems hatten. Zudem war es schon auffällig, dass auch maßgebliche Vertreter der Europäischen Kommission, die sich mit der Datenschutzmaterie beschäftigten, aus Deutschland stammen.

Deutlich schwieriger als im EP verlief die Debatte im Rat, der Vertretung der Regierungen der Mitgliedstaaten.[16] Niemanden konnte es verwundern, dass die britische Regierung sich sehr zurückhielt. Für viele Beobachter überraschend war es aber, dass auch die Bundesregierung lange Zeit nicht etwa zu den treibenden Kräften der Reform gehörte, sondern im Bremserhäuschen Platz genommen hatte. Während man einerseits in eher allgemeiner Form Zustimmung signalisiere, wurde bei den Fachdebatten soviel Sand ins Getriebe gestreut, dass der Reformprozess zu scheitern drohte.[17] Die deutsche Verhandlungsführung war dabei gekennzeichnet durch eine eigenartige Melange von fundamentalistischen und opportunistischen Positionen. So wurde beklagt, das Reformpaket der Kommission ginge nicht weit genug. Erforderlich wären vielmehr deutlich klarere, die Datenverarbeitung begrenzende Regelungen. Zum anderen setzten sich die Deutschen in den Gremien, speziell in der Dapix-AG des Rats, dafür ein, statt der vorgeschlagenen, in sämtlichen Mitgliedstaaten direkt anwendbaren Verordnung eine neue Datenschutz-Richtlinie zu beschließen, deren Umsetzung durch nationales Recht erfolgen müsste. Damit wollten die Regierungsvertreter den Änderungsbedarf am deutschen Recht möglichst klein halten. Zugleich bekämpften sie ausdauernd Regelungen, die als „Hindernis“ für die Wirtschaft angesehen wurden, (etwa Vorgaben zur strikten Zweckbindung), obwohl sie dem bisherigen deutschen Datenschutzrecht entsprachen. Besonders erbittert war das Bemühen der Bundesregierung, die öffentlichen Stellen generell von der Verordnung auszunehmen. Erst in der Endphase der Verhandlungen im Rat gab der seinerzeitige Bundesinnenminister de Maizière den grundsätzlichen Widerstand gegen die Verordnung auf, als klar geworden war, dass Deutschland und Großbritannien (anders als offenbar erwartet) für ihre Position kaum Verbündete in den anderen Mitgliedsstaaten gefunden hatten.

Wesentliche Elemente des Reformpakets, die während des mehr als vierjährigen Verhandlungsmarathons immer wieder in Frage gestellt worden waren, blieben bei der im April 2016 vom EP gebilligten Datenschutzreform erhalten oder wurden sogar gegenüber dem Anfang 2012 vorgelegten Entwurfstext[18] stärker akzentuiert. Dies gilt etwa für die Ausdehnung des Anwendungsbereichs auf Anbieter elektronischer Dienste mit Sitz in einem Drittland („Marktortprinzip“) oder die sehr deutliche Verschärfung der Sanktionen bei Datenschutzverstößen.

Auf den Rat ist es allerdings zurückzuführen, dass die beschlossene Datenschutzgrundverordnung viele – je nach Zählart bis zu 70 – Klauseln enthält, die den nationalen Gesetzgebern Regelungskompetenzen belassen. Zwar beharrt die Europäische Kommission darauf, dass es sich dabei nicht um „Öffnungsklauseln“ handele, sondern lediglich um Möglichkeiten zur Konkretisierung der Bestimmungen der DSGVO durch nationales Recht. Festzustellen ist jedenfalls, dass diese Klauseln herangezogen wurden, um erhebliche Abweichungen des neu gefassten deutschen Datenschutzrechts[19] von der DSGVO zu rechtfertigen.

Deutscher Sonderweg?

Spätestens im September 2016, als der Blog „Netzpolitik“ einen ersten Referentenentwurf des Bundesinnenministeriums für ein neues Bundesdatenschutzgesetz veröffentlichte,[20] wurde klar, dass es dem BMI in erster Linie nicht darum ging, das „hohe deutsche Datenschutzniveau“ zu erhalten, sondern vorrangig um dessen Absenkung.

Staatliche Stellen sollten mehr Befugnisse zur Verarbeitung personenbezogener Daten erhalten. An die Stelle spezifischer Vorgaben für die Erhebung, Speicherung, Änderung und Nutzung sollten Generalermächtigungen zur Verarbeitung treten. Spezifische Zweckbindungsregeln sollten durch biegsame Verwendungsregeln abgelöst werden, die den Vorgaben des Bundesverfassungsgerichts (und der DSGVO) Hohn sprachen. Bei den Nachrichtendiensten – die ja durch das EU-Reformpaket gar nicht berührt waren[21] – sollten nach dem Referentenentwurf die Schwellen zur Erhebung von Daten weiter abgesenkt werden. Die Betroffenenrechte und die Kontrollbefugnisse der Datenschutzbehörden sollten dagegen eingeschränkt werden, wo immer es die EU-Vorgaben zulassen und teils sogar dort, wo solche Spielräume nicht bestehen. Bemerkenswert waren die vorgesehenen Lockerungen der Zweckbindung für die Verwendung personenbezogener Daten. Zugleich sollten Unternehmen erheblich von lästigen Auskunfts- und Löschungspflichten entbunden werden, etwa wenn damit ein „unverhältnismäßiger Aufwand“ verbunden wäre. Letztlich zog das Bundesjustizministerium aus verfassungsrechtlichen und handwerklichen Gründen die Notbremse und stoppte die offizielle Versendung des Entwurfs.

Während des Gesetzgebungsverfahrens zum deutschen Datenschutzanpassungsgesetz konnten eine Reihe besonders problematischer Vorschläge entschärft werden. Dennoch trägt das vom Bundestag im Sommer 2017 beschlossene neue Bundesdatenschutz­gesetz (BDSG-neu)[22] der im Gesetzgebungsverfahren vorgebrachten Kritik an dem Regierungsentwurf[23] nur unzureichend Rechnung. Das neue BDSG belegt die anhaltende Distanz der Bundesregierung und der sie tragenden Parteien zur Europäischen Datenschutzreform, unbeschadet der Tatsache, dass Deutschland dem EU-Datenschutzpaket im Rat letztlich doch zugestimmt hatte. Die Unhandlichkeit der neuen deutschen Regelungen – allein das neue BDSG ist mit 85 Paragraphen fast doppelt so umfangreich wie das bisherige Gesetz – ist ein Indiz dafür, dass die Bundesregierung in vielen Punkten mit der Europäischen Datenschutzreform unzufrieden ist. Den ganzen Text durchzieht das Bemühen, soviel vom alten BDSG zu „retten“ wie möglich.

Noch gravierender war es, das in der Substanz des neuen BDSG von den europarechtlichen Vorgaben abgewichen werden sollte, deutlich über die von der DSGVO eingeräumten Regelungsspielräume für die nationalen Gesetzgeber hinaus. Dies gilt in besonderem Maße für diejenigen Regelungen, die sich auf Unternehmen beziehen.

So enthält das neue BDSG deutliche Einschränkungen der Betroffenenrechte. Abweichend von den Vorgaben der DSGVO muss der Betroffene nicht über die Datenverarbeitung informiert werden, soweit „die ordnungsgemäße Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgaben […] gefährden würde […]“ oder „[…] die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde […]“ (§ 32 Abs. 1 BDSG-neu). Auch die Auskunftsrechte der betroffenen Person werden eingeschränkt. Kritisch zu sehen ist auch die gegenüber der DSGVO abgeschwächte Zweckbindung personenbezogener Daten.

Im Zuge des Gesetzgebungsverfahrens wurde eine brisante Neuregelung nur wenig thematisiert, die von zentraler Bedeutung für den Schutz der Privatsphäre ist: Die Einschränkung der Datenschutzkontrolle bei „Berufsgeheimnisträgern“ (§ 29 Abs. 3 BDSG-neu). Die Mitarbeiter der Aufsichtsbehörden haben danach keinen Anspruch mehr, Krankenhäuser, Arztpraxen, Anwalts- oder Notariatskanzleien, Apotheken, Steuerberatungs- und Buchführungsbüros oder Suchtberatungsstellen zu betreten, um vor Ort die Datenverarbeitung zu kontrollieren, wenn dadurch der Bruch eines strafbewehrten Berufsgeheimnisses zu befürchten sei. Nicht mehr effektiv prüfbar wären auch Unternehmen der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle. Die Aufsichtsbehörden hätten auch keinen Zugang mehr zu den sensiblen Daten, die in diesen Bereichen verarbeitet werden.

Die bisherige einschlägige Regelung, welche die Datenschutzbehörden ausdrücklich zur Prüfung entsprechender Daten ermächtigte, wurde nicht ins neue Gesetz übernommen („die Kontrolle der oder des Bundesbeauftragten erstreckt sich auf […] personenbezogene Daten, die einem Berufs- oder besonderen Amtsgeheimnis … unterliegen.“)[24]. Die neue Rechtslage bedeutet, dass sich Berufsgeheimnisträger nach § 203 StGB strafbar machen würden, wenn sie den Aufsichtsbehörden entsprechende Daten zugänglich machen. In diesen für den Datenschutz zentralen Bereichen – hier werden besonders sensible Daten verarbeitet – könnten die Datenschutzbehörden nur noch allgemeine Befragungen hinsichtlich der Datenverarbeitung durchführen, aber keinen Einblick in Datenbanken oder übertragene Informationen nehmen; und sie können Behauptungen zum konkreten Umgang mit personenbezogenen Daten nicht mehr nachprüfen. Da ein derartiger aufsichtsfreier Raum den Vorgaben des Bundesverfassungsgerichts und den Maximen der Datenschutz-Grundverordnung widerspricht, wonach eine lückenlose Kontrolle der Einhaltung der datenschutzrechtlichen Vorschriften durch unabhängige Datenschutzbehörden unverzichtbar ist, bleibt abzuwarten, wie die entsprechenden Regelungen durch das Bundesverfassungsgericht oder durch den EuGH bewertet werden.

Paradoxer Weise werden trotz der hohen Regelungsintensität der deutschen Bestimmungen zur Umsetzung der DSGVO – neben dem BDSG wurden inzwischen zahlreiche weitere, bereichsspezifische Gesetze novelliert – die in der Verordnung enthaltenen Gestaltungsspielräume für konkretisierende nationale Datenschutzbestimmungen bisher nur unzureichend ausgefüllt. Dies gilt in besonderem Maß für den Beschäftigtendatenschutz, der durch das neue BDSG nur unzureichend geregelt wird.

Auch fehlen im Bundesrecht Bestimmungen zum Ausgleich zwischen den Rechtsgütern Datenschutz und Meinungsfreiheit. Diese schwierige Materie hat der Bund vollständig den Ländern überlassen. Diese beschränken sich allem Anschein nach darauf, Regelungen für Medienunternehmen auszuarbeiten, nicht jedoch für die immer wichtigeren sozialen Netzwerke. Solche Konkretisierungen wären aber dringend erforderlich. Die vielleicht wichtigste Länderregelung zum Datenschutz in den Medien ist der 21. Rundfunkänderungsstaatsvertrag, der den Landesparlamenten seit Ende letzten Jahres zur Ratifizierung vorliegt.[25] Danach sollen der Rundfunk und die von Rundfunkanstalten angebotenen Mediendienste bei ihrer redaktionellen Datenverarbeitung von sämtlichen materiellen Datenschutzbestimmungen, der Kontrolle durch die Datenschutzbehörden und den Rechten der betroffenen Personen ausgenommen bleiben. Auch bei den Ländern dominiert offensichtlich eine Haltung, den bisherigen, teils unbefriedigenden deutschen Rechtszustand unverändert beizubehalten, obwohl der europäische Gesetzgeber hier eine genaue Interessenabwägung gefordert hat. Es darf bezweifelt werden, dass die vorgesehene vollständige Suspendierung der materiellen Datenschutzbestimmungen und der Betroffenenrechte diese Mindestanforderungen des europäischen Rechts erfüllt.

Fazit

Angesichts der neuen deutschen Datenschutzbestimmungen und der DSGVO wird viel Arbeit auf die Datenschutzbehörden zukommen, welche die Bestimmungen auszulegen und anzuwenden haben. Die nationalen Gerichte und letztlich auch der EuGH werden sich in den nächsten Jahren verstärkt mit dem Datenschutz befassen müssen, um Auslegungsprobleme zu klären. So wird es voraussichtlich viele Jahre dauern, bis die wesentlichen Streitfragen geklärt sind, die sich aus den widersprüchlichen Vorgaben des europäischen und des nationalen Rechts ergeben.

Problematisch ist zudem die Perspektive, dass sich die Gesetzgeber anderer Mitgliedstaaten am deutschen Beispiel orientieren und eigene Sonderwege beim Datenschutz einschlagen. Entsprechende Gesetzgebungsverfahren sind in verschiedenen Mitgliedstaaten bereits auf den Weg gebracht, zum Teil schon abgeschlossen. Statt des angestrebten einheitlichen EU-Datenschutzrechts besteht deshalb die Gefahr, dass es in der Europäischen Union weiterhin einen datenschutzrechtlichen Flickenteppich geben wird – mit allen Problemen, die eigentlich durch die mit der Datenschutzreform angestrebten Vollharmonisierung überwunden werden sollten. Dies wäre insbesondere für diejenigen Unternehmen eine schlechte Nachricht, die grenzüberschreitende Dienste anbieten wollen. Es wäre aber vor allem eine schlechte Nachricht für die Bürgerinnen und Bürger, deren Grundrechte auf Privatsphäre und Datenschutz auch weiterhin nur unzureichend geschützt würden.

PETER SCHAAR   Jahrgang 1954, ist gelernter Ökonom. Er war ab 1980 in der Verwaltung der Hansestadt Hamburg tätig und wechselte 1986 zum Hamburger Landesdatenschutzbeauftragten. 2003 wurde er auf Vorschlag der rot-grünen Bundesregierung vom Deutschen Bundestag zum fünften Bundesbeauftragte für Datenschutz gewählt. Seine zweite Amtszeit endete am 16. Dezember 2013. Seit September 2013 steht Schaar der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID) vor.

Anmerkungen:

1 S. „Die neue Digital-Ministerin Dorothee Bär im Bild-Interview“, Bild v. 5.3.2018.

2 Vgl. Bundesministerium für Wirtschaft und Energie, Leitplanken Digitaler Souveränität, 2015, S. 5.

3 Bundesverfassungsgericht, Urteil v. 15.12.1983 (= BVerfGE 65, 1, S. 1).

4 Verordnung (EU) 2016/679 v. 27.4. 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), EU-Amtsblatt L 119/1 v. 4.5.2016.

5 Vgl. Schaar, Peter, Trügerische Sicherheit – Wie die Terrorangst uns in den Ausnahmezustand treibt, Hamburg 2017, S. 231 ff.

6 Die Welt v. 16.7.2013, „Friedrich erklärt Sicherheit zum ,Supergrundrecht‘“.

7 Vertrag von Lissabon zur Änderung des Vertrags uuber die Europäische Union und des Vertrags zur Gruundung der Europäischen Gemeinschaft, unterzeichnet in Lissabon, EU-Amtsblatt C 306, 13.12. 2007.

8 Konvention zum Schutz der Menschenrechte und Grundfreiheiten (Europäische Menschenrechtskonvention) v. 4. 11.1950.

9 EuGH, Urteil vom 8.4.2014, (verbundene Rechtssachen C-293/12 und C-594/12); Urteil v. 21.12.2016 (verbundene Rechtssachen 203/15 und 698/15).

10 EuGH, Urteil vom 6.10.2015 (Rechtssache C-362/14).

11 Richtlinie (EU) 2016/680 vom 20.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung (EU-Amtsblatt L 119, S. 89).

12 Vgl. Rosenbach/Stark, der NSA Komplex, München 2014; Schaar, Überwachung total, Berlin 2014.

13 Art. 3a Abs. 2 Vertrag uuber die Europäische Union (AEUV), vgl. Anm. 7.

14 Europäische Kommission, Mitteilung „Der Schutz der Privatsphäre in einer vernetzten Welt – ein europäischer Datenschutzrahmen für das 21. Jahrhundert“, KOM (2012) 0009 v. 25.1.2012.

15 Legislative Entschließung des Europäischen Parlaments vom 12. März 2014, http://www.europarl.-europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P7-TA-2014-0212+0+DOC+XML+V0//DE.

16 Vgl. Berichte der „Gruppe Informationsaustausch und Datenschutz (DAPIX)“ des Rats, Parlamentsdokumentation der Republik Österreich, https://www.parlament.gv.at

17 Vgl. Spiegel online v. 2.12.2013, „EU-Ministerrat Deutsche Beamte bremsen Europas Datenschutz aus“, http://www.spiegel.de/netzwelt/netzpolitik/deutsche-beamte-bremsen-europas-datenschutz-aus-a-936704.html

18 Europäische Kommission, Vorschlag für eine Verordnung zum Schutz natürlicher Personen Datenschutz- Grundverordnung), Mitteilung KOM (2012) 0011 v. 25.1.2012.

19 Vgl. insb. den Entwurf der Bundesregierung v. 1.2.2017 für ein Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 (DSGVO) und zur Umsetzung der Richtlinie (EU) 2016/680 (JI-RL) – Datenschutz-Anpassungs- und -Umsetzungsgesetz EU DSAnpUG-EU).

20 Netzpolitik.org v. 7.9.2016, „Innenministerium will rechtswidrige Datenverarbeitung bei Geheimdiensten sanktionsfrei machen“, https://netzpolitik.org/2016/innenministerium-will-rechtswidrige-datenverarbeitung-bei-geheimdiensten-sanktionsfrei-machen/

21 Vgl. Anm. 13.

22 Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUGEU) v. 30.6.2017, BGBl. I S. 2097).

23 Vgl. Stellungnahme der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID) vom 23.11.2016, https://www.eaid-berlin.de/wp-content/uploads/2016/12/EAID-Stellungnahmezum-DSAnpUG-EU_final.pdf

24 § 24 Abs. 2 Satz 1 BDSG-alt. Diese Bestimmung galt gem. Abs. 6 auch für die zuständigen Landesdatenschutzbehörden.

25 Einundzwanzigster Staatsvertrag zur Änderung rundfunkrechtlicher Staatsverträge (Einundzwanzigster Rundfunkänderungsstaatsvertrag), Bremische Bürgerschaft, Drs. 19/1282 vom 2.11.2017.

Der Beitrag Deutscher Sonderweg beim Datenschutz? erschien zuerst auf Humanistische Union.

Die Einwilligungserklärung Betroffener ist nach wie vor eine der wichtigsten Rechtsgrundlagen für die Verarbeitung personenbezogener Daten durch öffentliche Stellen und durch Private (z.B. Online-Händler). Die EU-Datenschutz-Grundverordnung konkretisiert die Anforderungen an eine rechtswirksame Einwilligung. Der Beitrag von Marie-Theres Tinnefeld analysiert diese Bestimmungen im Kontext der zunehmend europäisch geprägten Menschenrechte.

Der wichtigste Schritt auf dem mühseligen Weg hin zur freien Selbstbestimmung des Menschen beginnt in Europa nach den traumatischen Unrechtserfahrungen am Ende des Zweiten Weltkrieges. Ohne dieses Ende im Jahre 1945 zur Stunde Null stilisieren zu wollen, so stellt jene Erfahrungsgeschichte doch eine Zäsur dar. Hier beginnt die Konstitution Europas – nicht nur Deutschlands – als ein eindeutiges anderes Europa, als ein Europa durch Menschenrechte (Schmale/Tinnefeld 2017: 343).

Gemeint ist eine veränderte Betrachtung des Individuums. Das europäische Recht spricht seitdem jedem Menschen wegen seiner Menschlichkeit eine unantastbare Würde zu, allein weil er lebt und unabhängig von der Frage, wie er lebt, welcher Herkunft oder welchen Geschlechts er ist, ob er alt oder jung, ob er krank oder gesund ist. Auch ein unheilbar Kranker oder „schwieriger“ Mensch darf nicht entrechtet werden, wie dies unter den Nationalsozialisten der Fall war. Beispielhaft sei hier nur auf die Geschichte des 1944 ermordeten Ernst Lossa im Dritten Reich verwiesen.[1] Die Rekonstruktion dieser Geschichte legt die Zielsetzungen der Nationalsozialisten offen, zu denen unter Mitwirkung von Ärzten, Anthropologen und Genetikern eine Politik gehörte, die auf „Rassenreinheit“ setzte und zu Euthanasie und staatlich gelenkten Massenmorden führte.

Mit der Anerkennung der Gleichheit aller Menschen vor dem Gesetz im deutschen Grundgesetz (Art. 3 Abs. 1 GG) ist die Aufforderung verbunden, keinen Menschen zu entwürdigen oder verächtlich zu machen (Diskriminierungsverbot, Art. 3 Abs. 3 GG, und Gleichberechtigungsgebot, Art. 3 Abs. 2 S. 1 GG). Eine Rechtsvorstellung, die sich von der Menschenwürde her versteht, gewinnt nur einen übereinstimmenden Sinngehalt in „Gleichheit in der Freiheit“ (Fries 1803: 33). Es ist daher grundlegend immer zu fragen, ob personenbezogene Unterschiede rechtlich überhaupt beeinflusst werden können und dürfen. Das Gleichheitsgebot entspricht der verfassungsrechtlichen Garantie von Menschenwürde und individueller Freiheit, die das Bundesverfassungsgericht in der digitalen Informationsgesellschaft immer wieder hervorgehoben hat.

Das Gericht hat schon frühzeitig auf grundrechtliche Schutzlücken reagiert, die durch die automatisierte Verarbeitung personenbezogener Daten in den siebziger Jahren des zwanzigsten Jahrhunderts entstanden sind, und aus dem allgemeinen Persönlichkeitsrecht (Art. 2 Abs. 1 i.V.m Art. 1 Abs. 1 GG) ein Grundrecht auf informationelle Selbstbestimmung bzw. ein Grundrecht auf Datenschutz geschöpft (BVerfGE 65, 1). Das „neue“ Grundrecht basiert auf dem uralten Schutz von Privatheit und Intimität. Das Bundesverfassungsgericht hat den Sinn von Privatheit unter dem Aspekt der räumlichen Privatheit – hier der Wohnung – eindrücklich als Innenraum beschrieben, wo man „sich selbst besitzt“ (BVerfGE 27, 1, 6). Der Schutz schließt heute vielfältige Formen des Raumes ein (Tinnefeld 2018: 44, 48 f.).

Zu den notwendigen Bedingungen gleicher Freiheit ist zu sagen, dass der Einzelne auf geschützte, abgeschirmte Sphären des privaten Lebens angewiesen ist, die Hannah Arendt „die Dunkelheit des Verborgenen und Geborgenen“ nennt (Arendt 1967: 50). Ohne unbeobachtete Freiräume und ohne Zeiten für ein intimes und privates Leben abseits vom „blendend unerbittlichen Licht, das aus der Öffentlichkeit strahlt“, gäbe es keine Möglichkeit, eine individuelle Identität zu entwickeln und soziale Kontakte mit der Außenwelt zu knüpfen.

Das Recht auf Privatheit bedarf angesichts der subtilen neuen Technologien, des multifunktionalen Einsatzes von „Big Data“ und „Data Analytics“, einer Gewährleistung durch höhere datenschutzrechtliche Barrieren. Das Bundesverfassungsgericht betonte in seinem bahnbrechenden Volkszählungsurteil bereits im Jahre 1983: „Im Mittelpunkt der grundgesetzlichen Ordnung stehen Wert und Würde der Person, die in freier Selbstbestimmung als Glied einer freien Gesellschaft wirkt“ (BVerfGE 65, 1, 41). Das heißt auch, dass die informationelle Selbstbestimmung nicht nur eine Grundbedingung für die „individuellen Entfaltungschancen des Einzelnen“ ist, sondern auch für seine freien „Handlungs- und Mitwirkungsrechte in einem demokratischen Gemeinwesen“ (BVerfGE 65, 1, 43).

Die Orientierung am Individuum als einem „autonomen Willens- und Handlungssubjekt“ scheidet die Bereiche von Staatsmacht und Bürgerfreiheit (Denninger 1994: 9). Die eigene Person und ihre Privatheit kennzeichnen den Lebensbereich, in den der Staat nicht oder nur unter einer rechtfertigungsbedürftigen Ausnahme aufgrund eines Gesetzes oder/und der wirksamen Einwilligung einer betroffenen Person eingreifen darf. Das Vorrecht der betroffenen Person, grundsätzlich selbst über die Verwendung ihrer Daten im Wege der Einwilligung zu entscheiden, ist auch gegenüber Privaten von Bedeutung. Angesichts der Möglichkeiten der exzessiven globalen Verbreitung persönlicher Daten kann eine Einwilligung aber nur dann Wirkkraft entfalten, wenn sie an einen bestimmten Zweck gebunden wird. Nur dann kann die betroffene Person die Verarbeitungskonsequenzen überschauen. Dieses Rechtsverständnis entspricht dem supranationalen Unionsrecht.

Europäische Tonlage

Das Recht auf Privatheit (right to privacy) ist vor allem in der Europäischen Menschenrechtskonvention (Art. 8 EMRK) von 1950 verankert und umfasst heute auch das Recht auf Datenschutz. Dieses Recht findet seinen Vorläufer im Recht der Vereinten Nationen, das in der Allgemeinen Erklärung der Menschenrechte (Art. 12 AEMR) von 1948 festhält, dass das Private als „universelles Menschenrecht“ zu schützen ist (Guradze 1956: 201 ff.). Das right to privacy wurde später im UN-Zivilpakt[2] von 1966 eigens verbrieft (Art. 17 IPbpR) und von allen Mitgliedern des Europarates unterzeichnet.

Das Recht auf Privatheit und Datenschutz hat Eingang in die EU-Grundrechtecharta gefunden. Die Charta ist zusammen mit dem Vertrag von Lissabon am 1. Dezember 2009 in Kraft getreten und besitzt den gleichen Rang wie diese, sie gehört also zum Primärrecht der Union. Die Charta hat das Menschenrecht auf Privatheit (Art. 7 GRCh) verankert und es explizit um ein Datenschutzgrundrecht (Art. 8 GRCh) ergänzt. Damit wird auf der Unionsebene das historische Menschenrechtsverständnis an den Lebensverhältnissen und -bedingungen im digitalen Zeitalter ausgerichtet: Art. 8 Abs. 2 S. 1 GRCh hält fest, dass personenbezogene Daten „nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlichen legitimen Grundlage verarbeitet werden [dürfen].“ Das Grundrecht schreibt zudem ein Auskunfts- und Berichtigungsrecht der betroffenen Person über die sie betreffenden Daten fest (Art. 8 Abs. 2 S. 2 GRCh) und statuiert die Überwachung dieser Vorschriften durch eine unabhängige Stelle (Art. 8 Abs. 3 GRCh).

Die Auslegung des Menschen- und Grundrechts auf Privatheit und Datenschutz hat sich von nationalen Verfassungsgerichten auf die höchsten europäischen Gerichte verlagert: den Europäischen Gerichtshof für Menschenrechte (EGMR) in Straßburg und den Europäischen Gerichtshof (EuGH) in Luxemburg. Das Straßburger Gericht stärkt europarechtlich seit langem die Abwehr von unzulässigen oder unverhältnismäßigen staatlichen Informationszugriffen. In den letzten Jahren ist auch der EuGH zunehmend zu einer herausragenden Instanz in Fragen des Grundrechtsschutzes mit dem Schwerpunkt Datenschutz geworden, der gegenüber staatlichem und privatem Eingreifen Wirkkraft entfaltet.[3]

Voraussetzung einer freiwilligen Einwilligung ist eine umfassende Information (Jarass 2016: Art. 8 Rn. 9). Die betroffene Person ist über die jeweiligen Verwendungsabsichten und deren mögliche Konsequenzen zu informieren. Sie muss vor einer Zustimmung, etwa für die Datenverarbeitung bei einer Kreditvergabe durch die Bank, einer Behandlung durch den Arzt oder einer Videoüberwachung durch den Arbeitgeber so aufgeklärt werden, dass sie in der Lage ist, sich von der Bedeutung ihrer Erklärung ein Bild zu machen, um eine Einwilligung ggf. auch verweigern zu können.

Die Forderung nach Autonomie des Einzelnen macht es verständlich, dass im Datenschutzrecht die Einwilligung und ihre für die Datenverarbeitung konstitutive Funktion betont wird. Vor dem Hintergrund praktischer Erfahrungen mit der Einwilligung ist es allerdings fraglich, ob die vorausgesetzte autonome Entscheidung etwa im Bereich des Datenschutzes für Arbeitnehmer oder für Patienten nicht in erster Linie dazu dient, einseitige Regelungen im Interesse des Verantwortlichen für die Datenverarbeitung zu sanktionieren. Ist daher eine Reduktion der Legitimationswirkung der Einverständniserklärung in abhängigen Verhältnissen zugunsten von zwingenden gesetzlichen Vorgaben notwendig? Diese Frage stellt sich auch bei der Einwilligung von Kindern, Jugendlichen oder Schwerkranken. Sind sie einsichtsfähig? Es gibt nicht immer ein klares Ja oder Nein. Hier ist eine Rückbesinnung auf die primäre Funktion der Einwilligung im Datenschutzrecht notwendig. Eine letztlich die betroffene Person völlig übergehende Verarbeitung ihrer persönlichen Daten ist jedenfalls ohne eine Legitimationsgrundlage schrankenlos, so wie dies in der Zeit des Nazi-Regimes der Fall war.

Die Charta bindet die Legitimation der Datenverarbeitung an den „Grundsatz von Treu und Glauben mit Rücksicht auf die vereinbarte Zweckbindung“. Anders ausgedrückt: Zweckentfremdungen sind nur zulässig, wenn sie gesetzlich vorgesehen sind oder mit Kenntnis der betroffenen Person und deren Einwilligung erfolgen. Mit der informationellen Selbstbestimmung wäre es unvereinbar, wenn der Zweckbindungsgrundsatz vom Verantwortlichen für die Datenverarbeitung ignoriert oder heruntergespielt würde.

Seit dem Volkszählungsurteil des BVerfG folgt aus der informationellen Selbstbestimmung, dass eine Verarbeitung personenbezogener Daten für die betroffene Person durch die Möglichkeiten von Kontrolle und Korrektur durchsichtig sein muss. Zu den flankierenden prozeduralen Schutzvorschriften gehört daher der Grundsatz der Transparenz sowie auch das Gebot unabhängiger Aufsichtsbehörden. Ziel ist es, die Autonomie des Einzelnen und somit seine Kommunikations- und Partizipationsfähigkeit zu sichern. Eben diese Fähigkeit ist auch erforderlich, um eine demokratische Gesellschaft zu erhalten.

Im Vertrag von Lissabon findet sich eine grundsätzlich umfassende Rechtsetzungskompetenz für das sekundäre Datenschutzrecht (Art. 16 AEUV). Der Unionsgesetzgeber hat auf dieser Grundlage die allgemeine Datenschutz-Grundverordnung (DSGVO) 2016 (VO (EU) 2016/679) verabschiedet. Sie gilt ab 25. Mai 2018 in allen EU-Mitglied­staaten und löst die bis dahin geltende Datenschutz-Richtlinie (RL 95/46/EG) ab.

Unionsweite Verordnung

Im digitalen Zeitalter sind staatliche Aktivitäten für die betroffene Person ebenso gefährlich wie diejenigen von Privaten, etwa der Konzernriesen Google und Facebook. Die neuen Technologien werden im öffentlichen wie im nicht-öffentlichen Sektor mit dem stets gleichen Ziel angewendet, über die betroffene Person nicht nur alles zu erfahren, sondern auch alltägliche Prozesse durch Big Data und datenauswertende Algorithmen zu steuern. Die Verarbeitungsanlässe mögen im öffentlichen und privaten Bereich verschieden sein. Der Informationswert ist aber auch dann in beiden Bereichen von großem Interesse, wenn die Reaktionen verschieden ausfallen. Für beide gilt „Ordne so lange, bis du Dein Ziel erreicht hast“ (Schirrmacher 2011: 191). Erst recht kommt es darauf an, dass die betroffene Person von jedem öffentlichen und nicht-öffentlichen Verantwortlichen für die Datenverarbeitung in verständlicher Form über ihre jeweils verarbeiteten Daten informiert wird und ggf. auch ein Beschwerderecht bei einer zuständigen Aufsichtsbehörde hat. Im Zeichen der digitalen vernetzten Datenverarbeitung ist allerdings eine getrennte Kompetenz der Aufsichtsbehörden nach den Kategorien öffentlicher bzw. nicht-öffentlicher Bereich unhaltbar.

Die DSGVO hat unmittelbare Geltung: Sie will in den Mitgliedstaaten ein gleichmäßig hohes Datenschutzniveau unionsweit gewährleisten und bezieht in ihrem Anwendungsbereich grundsätzlich öffentliche und nicht-öffentlich Verantwortliche ein. Grundvoraussetzungen einer wirksamen Einwilligung sind in der DSGVO in Übereinstimmung mit der Grundrechte-Charta geregelt.

Maßstäbe für die Einwil­li­gung

Es stellt sich die Frage, ob ein selbstbestimmtes Entscheiden angesichts von Vorselektionen durch die digitale Auswertung enormer Datenmengen in der Praxis noch möglich ist. Der ehemalige Bundesverfassungsrichter und ausgewiesene Kenner riskanter Datenverarbeitung, Wolfgang Hoffmann-Riem, der federführend ein IT-Grundrecht[4] initiiert hat, beantwortet diese Frage positiv mit Blick auf die Reformen in der DSGVO (Hoffmann-Riem 2016: 646). Es gilt, die Maßstäbe der Einwilligung zu betrachten, die im Spiegel der Grundrechte-Charta und technischer Gefährdungslagen entstanden sind.

Unter der Verordnung kommt der Einwilligung als Erlaubnistatbestand für eine rechtmäßige Datenverarbeitung weiterhin eine zentrale Rolle zu.[5] Die Verordnung enthält eine Definition der freiwilligen Einwilligung (Art. 4 Nr. 11 DSGVO), die in Art. 7 Abs. 4 DSGVO sowie in den Erwägungsgründen (EG) ausdifferenziert wird. EG 43 macht die Freiheit in der Gleichheit zur Antriebsfeder bei der Beurteilung der Freiwilligkeit. Anders ausgedrückt: Es darf kein Ungleichgewicht zwischen der betroffenen Person und den Verantwortlichen in staatlichen oder privaten Lebensbereichen geben. Damit sich Machtungleichheiten etwa zwischen Arbeitgeber und Arbeitnehmer durch eine „fiktive“ Einwilligung nicht verfestigen, kann diese durch eine geschärfte, ggf. auch nationale gesetzliche Regelung in angemessene Bahnen gelenkt werden. Bei einer informationellen Unterlegenheit kann keine freiwillige Entscheidung der betroffenen Person angenommen werden (Spindler 2012: F 99 f.). Sie steht auch nicht im Einklang mit dem Grundsatz von Treu und Glauben (Art. 5 Abs. 1 lit. a DSGVO).

Welche Person kann eine wirksame Einwil­li­gung abgeben?

Voraussetzung ist, dass eine betroffene Person einwilligungsfähig ist. In diesem Kontext muss auch die Handlungskompetenz und Selbstverantwortlichkeit von solchen Personengruppen, die im Dritten Reich rechtlos gestellt waren (Erbkranke, Juden, „Asoziale“ u.a.), nach dem Gleichheitsgrundsatz gesehen werden. Es gilt auch einen verantwortungsvollen Umgang mit den Möglichkeiten und Konsequenzen etwa genetischer Diagnostik zu suchen. In seinem 1970 erschienenen Buch „The Patient as Person“ fordert Paul Ramsey eine nicht-paternalistische, nicht-direktive Arzt-Patient-Beziehung ein, in der die Entscheidungsfreiheit des Patienten geachtet wird.

Die Verordnung behandelt vor allem die Einwilligungsfähigkeit von Kindern (EG 65). Kinder bedürfen eines besonderen Schutzes, weil sie sich der langfristigen und weitreichenden Folgen ihres Handelns hinsichtlich der Verarbeitung ihrer Daten in der Regel (noch) weniger bewusst sind als Erwachsene (EG 38, 58, 65). Diese Einschätzung findet sich in mehreren Artikeln (Art. 6, 8, 12, 14 und 57) der DSGVO wieder. Die der Einwilligung vorausgehenden Hinweise sollen in einer verständlichen Sprache erfolgen (EG 58), die allerdings häufig in Online-Klauselwerken fehlt, die vielfach schon volljährige Personen nicht verstehen.

Die im deutschen Recht zu findende Unterscheidung von Kindern und Jugendlichen trifft die Verordnung zwar nicht. Sie sieht aber in Bezug auf „Dienste der Informationsgesellschaft“ eine Regelgrenze von 16 Jahren vor. Bei Präventions- und Beratungsdiensten, die unmittelbar einem Kind angeboten werden, ist davon auszugehen (EG 38), dass eine Einwilligung des Trägers der elterlichen Verantwortung entbehrlich sein kann bzw. sein muss (Ernst 2017: 111). Die Verordnung legt allerdings eine absolute Untergrenze von 13 Jahren fest, die der Gesetzgeber in den Mitgliedstaaten auf keinen Fall unterschreiten darf.

Wann ist eine selbst­be­stimmte Einwil­li­gung „freely given“ und konkret?

In der Verordnung lautet durchgängig die Vorgabe: Es darf keinen Zwang bei der Abgabe einer Einwilligung geben, jede/r muss so handeln können, wie es ihr/ihm bis zur Todesstunde richtig erscheint (Borasio 2014:116 ff.).
Die Freiwilligkeit lässt sich an vielen Kriterien festmachen. Sie knüpft u.a. auch an das aus dem deutschen Recht bekannte Koppelungsverbot an. Danach darf die Erfüllung eines Vertrages nicht von der Verarbeitung personenbezogener Daten abhängig gemacht werden, „die für die Erfüllung eines Vertrages nicht erforderlich sind“ (Art. 7 Abs. 4 DSGVO und EG 43). Beispielsweise kann die Koppelung einer Leistung, etwa die des Zugangs zu einem Telemediendienst, nicht mit einer Einwilligung in eine Datennutzung, die dafür nicht zwingend erforderlich ist, verbunden werden. Dies dürfte für die Mehrzahl der Online-Dienstleistungen gelten, die ihre Geschäftsmodelle auf dem Prinzip „Dienstleistungen gegen Daten“ aufbauen.

Die Verordnung hält fest, dass die betroffene Person ihre Einwilligung nur „für einen oder mehrere bestimmte Zwecke“ geben darf (Art. 6 Abs. 1 lit. a EG 32). Die autonome Zwecksetzung darf keinen pauschalen Charakter haben, darf nicht zur Bedeutungslosigkeit herabsinken. Auch mit Hilfe der Technik darf der Zweck eines Verwendungszusammenhangs nicht determiniert werden, etwa im präventiv-medizinischen Bereich. Je tiefer der Eingriff in das informationelle Selbstbestimmungsrecht ist, desto exakter muss der Zweck der Datennutzung oder -weitergabe angegeben werden, in die eingewilligt werden soll. Demnach ist auch eine Zweckänderung zu nicht kompatiblen Zwecken bei einer Weiterverarbeitung nur unter ganz bestimmten Voraussetzungen möglich (Art. 6 Abs. 4 DSGVO).

Was sind die Voraus­set­zungen für eine informierte und trans­pa­rente Einwil­li­gung?

Die betroffene Person muss ihre Einwilligung in „informierter Weise“ (Art. 4 Nr. 11 DSGVO) abgeben. Ein „informed consent“ liegt nur dann vor, wenn sie zumindest weiß, „wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen“ (EG 42 S. 4).

Im Nachlass von Franz Kafka findet sich eine kurze Erzählung mit dem Titel „Zur Frage der Gesetze“ (Kafka 2004), in dem der Autor davon spricht, wie quälend es sei, von Gesetzen beherrscht zu werden, die man nicht kennt. Deshalb sollte ein Gesetz jedem zugänglich sein und einfach, klar und verständlich formuliert und publiziert werden. Ähnliches gilt für eine selbstbestimmte Einwilligungserklärung, die Legitimationswirkung erzeugen kann. Die betroffene Person muss daher nicht nur wissen, wer nach der von ihr zu gebenden Einwilligung welche seiner Daten zu welchem Zweck verwenden darf, sondern auch, dass sie ihre Einwilligung für die Zukunft jederzeit widerrufen kann (Art. 7 Abs. 3 S. 1 DSGVO). Die Forderung betrifft insbesondere auch vorformulierte Einwilligungen in Allgemeinen Geschäftsbedingungen (AGB), die nicht nur hervorgehoben, sondern von anderen Sachverhalten klar unterschieden werden müssen (Art. 7 Abs. 2 S. 1 DSGVO). Von einer informierten Einwilligung kann nur gesprochen werden, wenn die Hinweise, die die erforderlichen Fragen erklären sollen, in einer verständlichen Sprache verfasst sind. Anders gesagt: Normen, die juristische Regeln für die Einwilligung und damit für das Zusammenleben der Menschen enthalten, sollten nicht in einer unverständlichen Rechtssprache vorgelegt werden. Wenn ein internationaler Konzern von deutschen Verbrauchern eine wirksame Einwilligung in die Nutzung ihrer Daten erwartet, dann sollte er die Datenschutzhinweise in deren Muttersprache formulieren. Er ist zudem verpflichtet, eine Widerrufsbelehrung anzufügen. Sie ist notwendig, um eine „faire und transparente“ Verarbeitung zu gewährleisten (vgl. Art. 13 Abs. 2 lit. c).

In welcher Form ist die Abgabe einer Einwil­li­gung zulässig?

Eine unmissverständliche Einwilligungserklärung (Art. 4 Nr. 11 DSGVO) ist grundsätzlich in jeder Form möglich, auch als elektronisch in Textform abgegebene Erklärung (EG 32). Ebenso ist die mündliche Einwilligung möglich, wegen der Beweislastverteilung aber weniger praktikabel (Art. 7 Abs. 1 DSGVO). Eine Einwilligung kann auch dann vorliegen, wenn die betroffene Person per Mausklick „ich bin einverstanden“ erklärt (EG 32). Möglich ist auch eine aktive Auswahl technischer Einstellungen bei Diensten der Informationsgesellschaft (EG 31). Schweigen und Untätigkeit sind anders als etwa im römischen Recht keine Erklärung (EG 31). Dasselbe gilt für sogenannte Widerspruchslösungen. Bei einer vorformulierten „fingierten“ Einwilligung, die die betroffene Person etwa per Mail erreicht, muss sie bei Einwänden nicht widersprechen. Verzicht auf den Widerspruch ist keine eindeutige bestätigende Handlung. Gleiches gilt für Opt-out-Kästchen. Ihre Nichtbeachtung erzeugt keine Einwilligung.

Die Frage nach der Formwirksamkeit einer Einwilligung stellt sich auch im Medizinbereich (Buchner 2013: 340). Die Einwilligung des betroffenen Patienten in die ärztliche Verarbeitung seiner Daten muss zwar grundsätzlich nicht in Schriftform erfolgen. Stimmt der Patient damit aber auch wirksam der Weitergabe seiner Daten etwa an eine externe Abrechnungsstelle zu? Die freie Selbstbestimmung des Einzelnen würde bedeutungslos, wenn er sich bestimmten Angeboten und Entscheidungen nicht aktiv entziehen kann bzw. sich nicht dem Maß einer Anwendung zu entziehen weiß.

Ist eine wirksame Einwil­li­gung in die Verar­bei­tung besonderer (sensitiver) Daten möglich?

Für die Verarbeitung besonderer Kategorien personenbezogener Daten enthält die Verordnung bereichsspezifische Verbote (Art. 9 Abs. 1 DSGVO). Es handelt sich jeweils um gebotene und nunmehr auch im Unionsrecht anerkannte informationelle Diskriminierungsverbote. Eine Einwilligung in die Verarbeitung von Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse und weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist nur dann wirksam, wenn die betroffene Person für einen oder für mehrere festgelegte Zwecke ausdrücklich eingewilligt hat (Art. 9 Abs. 2 lit. a DSGVO).

Diese Regelung kommt nicht zur Anwendung, wenn nach dem Unionsrecht oder dem Recht der Mitgliedstaaten das Verarbeitungsverbot durch die Einwilligung der betroffenen Person nicht aufgehoben werden kann (Art. 9 Abs. 2 lit. a DSGVO). Anders ausgedrückt: Die nationalen Gesetzgeber haben bei der Umsetzung der Einwilligungsbestimmung einen Gestaltungsspielraum. Sie können die Einwilligung in die Verarbeitung besonderer Datenkategorien ausschließen oder mit zusätzlichen Bedingungen versehen, etwa für genetische und biometrische sowie für Gesundheitsdaten (s. Art. 9 Abs. 4 DSGVO). Denn biometrische und genetische Daten (Art. 4 Nr. 13 und 14 DSGVO) zeichnen sich dadurch aus, dass sie eine eindeutige Identifikation der betroffenen Person ermöglichen.[6] Wenn Fingerabdrücke oder biometrische Daten zur Gesichtserkennung (EG 53 S. 3) verwendet werden oder Gesundheitsdaten (Art. 4 Nr. 15 DSGVO) Rückschlüsse auf den Gesundheitszustand oder die sexuelle Orientierung einer Person zulassen, dann fallen sie unter die Kategorie und den Schutz sensitiver Daten (Art. 9 Abs. 1 DSGVO). Ausnahmen von dem allgemeinen Verbot der Verarbeitung etwa von Gesundheitsdaten für Forschungszwecke (Art. 9 Abs. 2 lit. j und i DSGVO) sollten speziell im mitgliedstaatlichen Recht oder bei ausdrücklicher Einwilligung der betroffenen Person und bei bestimmten Notwendigkeiten (EG 51) konkretisiert werden.

Perspektiven

Die allgemeine Datenschutz-Grundverordnung hat notwendige Bedingungen gleicher informationeller Selbstbestimmung in der Union geschaffen. Varianten des mitgliedstaatlichen Datenschutzrechts – so auch das am 25. Mai 2018 in Kraft tretende neue Bundesdatenschutzgesetz – dürfen nur in vorgesehenen Fällen von den Vorgaben des Unionsrechts abweichen.

Bei der Berlin-Brandenburgischen Akademie der Wissenschaften findet sich zu einem Projekt der Verständlichkeitsforschung des Rechts folgender Text: „Ein juristischer Text soll verständlich, aber zugleich unmissverständlich sein, zwei Eigenschaften, die leicht im Widerstreit stehen“.[7] Übertragen auf die Anforderungen an eine selbstbestimmte Einwilligung kann demnach betont werden: Das Gemeinte muss nicht nur im Gesetz stehen, sondern sich auch aus einer unmissverständlichen wirksamen Einwilligungserklärung ergeben – und zwar einfach und nicht verklausuliert. Das Recht muss für diejenigen verständlich sein, die nach ihm handeln und leben sollen. Diese Forderung gewinnt im Europäischen Kulturerbejahr 2018 für das Menschenrecht auf Privatheit und Datenschutz als Teil unseres Kulturerbes große Bedeutung: Im Jahre 2018 darf nach der Datenschutzgrundverordnung die selbstbestimmte Einwilligung einer betroffenen Person in den einzelnen EU-Mitgliedstaaten nicht mehr unterschiedlich stark oder gering gewährleistet werden.

MARIE-THERES TINNEFELD   Prof. Dr. iur. utr., Publizistin. Zuletzt erschienen: Überleben in Freiräumen. 12 Denkstücke 2018, Verlag Böhlau, Wien/Köln/ Weimar; Marie-Theres Tinnefeld in: Dies./ Buchner, Benedikt/Petri, Thomas/ Hof, Hans-Joachim, Einführung in das Datenschutzrecht. Datenschutz und Informationsfreiheit in europäischer Sicht, 6. Auflage 2017, Verlag de Gruyter, Berlin/ Boston

Literaturverzeichnis:

Arendt, Hannah 1967: Vita activa oder vom Tätigen Leben, München

Buchner, Benedikt 2013: Outsourcing in der Arztpraxis – zwischen Datenschutz und Schweigepflicht, MedR (Zeitschrift für Medizinrecht) S. 337- 342

Borasio, Gian Domenico 2014: selbst bestimmt sterben, München

Ernst, Stefan 2017: Die Einwilligung nach der Datenschutzgrundverordnung, ZD (Zeitschrift für Datenschutz), S. 110-114

Fries, Jakob Friedrich 1803: Philosophische Rechtslehre und Kritik aller positiven Gesetzgebung, Jena

Guradze, Heinz 1956: Der Stand der Menschenrechte im Völkerrecht, Göttingen

Hoffmann-Riem, Wolfgang 2016: Innovation und Recht – Recht und Innovation, Frankfurt a. Main

Jarass, Hans D. 2016: GRCh, Charta der Europäischen Grundrechte, Kommentar (3. Auflage), München

Kühling, Jürgen/Buchner, Benedikt 2017: Datenschutz-Grundverordnung, Kommentar, München

Kafka, Franz 2004: Zur Frage der Gesetze und andere Schriften aus dem Nachlass (Taschenbuchausgabe), Frankfurt a. Main

Ramsey, Robert 1970: The Patient as Person, Yale University Press, New Haven

Schirrmacher, Frank 2011: Payback. Warum wir im Informationsalter gezwungen sind zu tun, was wir nicht tun wollen, und wie wir die Kontrolle über unser Denken zurückgewinnen, München

Schmale, Wolfgang/Tinnefeld, Marie-Theres 2017: Europa durch Menschenrechte, in: Datenschutz und Datensicherheit (DuD) Heft 6, S. 343 – 347

Spindler, Gerold 2012: Persönlichkeitsschutz im Internet – Anforderungen und Grenzen einer Regulierung, Gutachten F zum 69. Deutschen Juristentag, F 1 ff.

Tinnefeld, Marie-Theres 2018: Überleben in Freiräumen. 12 Denk-Stücke, Wien/Köln/ Weimar 

Tinnefeld et al. 2017: Einführung in das Datenschutzrecht. Datenschutz und Informationsfreiheit in europäischer Sicht (6. Auflage), Berlin, Boston

Anmerkungen:

1 Mit der Perversion des „Euthanasie“-Systems am Beispiel der Ermordung von „geisteskranken“ oder „schwierigen“ Kindern durch Aushungern oder tödliche Spritzen von Nazi-Psychiatern befasst sich der Film „Nebel im August“ (2016, Regie: Kai Wessel) nach dem gleichnamigen, 2008 erschienenen Buch, in dem Robert Domes das Leben und die Ermordung von Ernst Lossa darstellt, der zum fahrenden Volk der Jenischen gehörte, einer heterogenen Gruppe, die von den Nationalsozialisten als „Zigeuner“ bezeichnet wurde.

2 Internationaler Pakt über bürgerliche und politische Rechte (IPbpR).

3 Tinnefeld, in Tinnefeld et al. 2017: Prolog S. XIX.

4 IT-Grundrecht = Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme; s. BVerfG, Urteil des Ersten Senats v. 27. Februar 2008 – 1 BvR 370/07 (=BVerfGE 120, 274 ff.).

5 Buchner/Kühling, in Kühling/Buchner 2017: Art. 7 Rn. 5 ff.

6 Tinnefeld, in Tinnefeld et al. 2017: 208 ff.

7 „Sprache des Rechts. Vermitteln, Verstehen, Verwechseln.“ Interdisziplinäre Arbeitsgruppe an der BBAW, http://www.bbaw.de/iag/ag_sprache/ueber.html.

Der Beitrag Die selbstbestimmte Einwilligung – Bedeutung, Möglichkeiten und Grenzen Menschenrechtliche Betrachtung erschien zuerst auf Humanistische Union.

Während die europäische Datenschutz-Grundverordnung die Befugnisse zur Erhebung und Verarbeitung persönlicher Daten für private Stellen (sprich: für Firmen) ausweitet, werden im Gegenzug eine Reihe neuer Rechtsansprüche und Durchsetzungsmöglichkeiten für die Verbraucher*innen geschaffen. Marit Hansen und Sven Polenz stellen die wichtigsten Neuerungen aus Verbrauchersicht dar.

1. Einleitung

Ab dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO), die für ein einheitliches und gutes Datenschutzniveau in allen europäischen Mitgliedstaaten sorgen soll. Neben der Grundverordnung treten in der nächsten Zeit weitere Neuregelungen in Kraft, z.B. die Datenschutz-Richtlinie für den Bereich Justiz und Inneres, die ebenfalls bis zum 25. Mai 2018 von den Mitgliedstaaten in nationales Recht umgesetzt werden muss und u.a. die Datenverarbeitung der Polizei regelt, oder die für einen etwas späteren Zeitpunkt erwartete ePrivacy-Verordnung, die Datenschutzvorgaben für Telekommunikation und Internet machen wird.[1]

Mit dieser europäischen Datenschutzreform soll das Datenschutzrecht modernisiert und gleichzeitig der starken Zersplitterung der rechtlichen Anforderungen in den Mitgliedstaaten entgegengewirkt werden. Dieses Ziel hatte bereits die EU-Datenschutz-Richtlinie von 1995, doch zum einen sind die Datenverarbeitung und die Risiken von damals mit der heutigen informationstechnisch geprägten Welt nicht vergleichbar, zum anderen haben die Mitgliedstaaten die Vorgaben unterschiedlich interpretiert. Dies – so die Hoffnung des europäischen Gesetzgebers – soll sich nun ändern, denn die DSGVO gilt unmittelbar in allen Mitgliedstaaten. Eigentlich. Denn im mehrjährigen Gesetzgebungsprozess konnte man sich nicht auf alle Details einigen und hat den Mitgliedstaaten in etwa 70 Öffnungsklauseln eigene Regelungsmöglichkeiten eingeräumt, in denen abweichende Interpretationen möglich sind, beispielsweise im Beschäftigtendatenschutz oder bei der Festlegung, ab welchem Alter Jugendliche selbst ihre Einwilligung zu einer Verarbeitung ihrer Daten geben können.

Eine riesige Gesetzesanpassungswelle rollt durch Deutschland, da nicht nur auf Bundesebene, sondern auch in den Bundesländern im Sinne der Rechtsklarheit Hunderte, vielleicht Tausende von Gesetzen, Verordnungen, Erlassen oder Staatsverträgen angepasst werden müssen. Für die Verbraucher*innen in Deutschland besonders wichtig sind aber vor allem zwei Gesetze: die DSGVO selbst und das neue Bundesdatenschutzgesetz (BDSG) mit seinen Regelungen für die Wirtschaft.[2]

Die Grundzüge des Datenschutzrechts bleiben aber dieselben: Personenbezogene Daten dürfen in der Regel nur auf Basis einer Rechtsgrundlage oder einer Einwilligung verarbeitet werden. Die für die Verarbeitung verantwortliche Stelle („der Verantwortliche“) muss im Rahmen ihrer Rechenschaftspflicht nachweisen können, dass sie die DSGVO einhält. Auftragsverarbeiter haben erweiterte Pflichten im Gegensatz zum bisherigen Datenschutzrecht.

Für die Verbraucher*innen – als betroffene Personen – ergeben sich zahlreiche Neuerungen, die im Folgenden vorgestellt werden.

2. Neue Anfor­de­rungen an eine Einwil­li­gung

Die Anforderungen an eine Einwilligung, die Verbraucher*innen erteilen können, waren schon immer anspruchsvoll. Die Grundlage einer wirksamen Einwilligung ist die freie und informierte Entscheidung der betroffenen Person – so die rechtliche Anforderung. Die DSGVO ändert dies nicht und sattelt sogar noch etwas drauf: z.B. dass immer ein Tätigwerden der betroffenen Person nötig ist und aus Stillschweigen keinesfalls auf die Einwilligung geschlossen werden darf (was der Bundesgerichtshof vor Jahren auf Basis des alten BDSG noch anders entschieden hatte) oder dass auf das Widerspruchsrecht explizit hingewiesen werden muss. Die Schriftform wird für die Einwilligung nicht mehr erforderlich sein. Mehr Klarheit soll es online geben, wenn Kinder oder Jugendliche einwilligen. Unschön, dass sich die Mitgliedstaaten nicht auf eine fixe Altersgrenze einigen konnten. Alles zwischen 13 und – so in Deutschland festgelegt – 16 Jahren kann der Mitgliedstaat als Altersgrenze bestimmen, damit nicht zusätzlich die Eltern ihre datenschutzrechtliche Einwilligung für ihren Sohn oder ihre Tochter abgeben müssen. Voraussetzung ist natürlich ein Altersnachweis, wie dies beispielsweise mit dem elektronischen Personalausweis auch online und ohne überschießende Informationen technisch möglich ist.

Im Folgenden wird für die Einwilligung erläutert, was bleibt und was sich ändert:
 
2.1 Was bleibt unverändert?

Wie bisher in § 4a Abs. 1 BDSG a.F.[3] geregelt, bedarf die Einwilligung für ihre Wirksamkeit einer freien Entscheidung der betroffenen Person. Dies erfordert auch weiterhin, dass die entsprechenden Erklärungen ohne Druck, Täuschung oder Zwang erfolgen. Der betroffenen Person muss eine echte Wahlmöglichkeit zustehen. Ferner muss sie auf den Zweck der Verarbeitung hingewiesen werden. Dies impliziert für Verantwortliche etwa die Verpflichtung, konkret über die Verfolgung von Werbe- oder Marketingzwecken aufzuklären. Unverändert bleibt auch die Pflicht, auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben (§ 4a Abs. 1 Satz 4 BDSG a.F.), Die entsprechenden Anforderungen spiegeln sich in der Definition für die Einwilligung in Art. 4 Nr. 11 DSGVO wider. Demnach ist als Einwilligung zu verstehen jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

2.2 Was ist nun zusätzlich zu beachten?

2.2.1 Keine Schriftform erforderlich

Einwilligungen bedürfen zu ihrer Wirksamkeit nicht mehr der Schriftform. Die DSGVO enthält keine dem § 126 BGB vergleichbare Voraussetzung. Nach Erwägungsgrund (ErwGr) 32 Satz 1 DSGVO sind neben schriftlichen auch elektronische oder mündliche Erklärungen ausreichend. Auch an die elektronischen Erklärungen werden keine besonderen Anforderungen geknüpft, insbesondere wird nicht die Verwendung einer qualifizierten elektronischen Signatur gefordert. Erklärungen in Textform sind wirksam. Insbesondere wird nicht die Verwendung einer qualifizierten elektronischen Signatur gefordert. Erforderlich ist nur, dass bei elektronischen Erklärungen die Aufforderung zur Abgabe einer Einwilligung in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes, für den die Einwilligung gegeben wird, erfolgt. Unabhängig von der Wirksamkeit mündlicher und elektronischer Erklärungen bleibt der Verantwortliche nach Art. 5 Abs. 2 DSGVO verpflichtet, die Einhaltung der allgemeinen Grundsätze für die Verarbeitung personenbezogener Daten nachweisen zu können (Rechenschaftspflicht). Von Bedeutung sind hier vor allem die Grundprinzipien einer rechtmäßigen und transparenten Verarbeitung (Art. 5 Abs. 1 a) DSGVO) und der Datenerhebung für festgelegte, eindeutige und legitime Zwecke (Art. 5 Abs. 1 b) DSGVO).

Vor diesem Hintergrund erweist sich die Einholung einer schriftlichen Einwilligung als Vorteil, da der Verantwortliche so die Einhaltung der Anforderungen (Art. 7 und 8 DSGVO) belegen kann. Für elektronische Erklärungen kann der Verantwortliche seinen Pflichten aus Art. 5 Abs. 2 DSGVO u.a. nachkommen, indem er vor allem gewährleistet, dass die betroffene Person ihre Erklärung unter Berücksichtigung der Voraussetzungen nach Art. 7 und 8 DSGVO bewusst und eindeutig abgibt und die Einwilligung protokolliert wird. Bei mündlichen Erklärungen kann zur Erfüllung der Rechenschaftspflicht die Bitte an die betroffene Person um Übersendung einer schriftlichen oder elektronischen Bestätigung der abgegebenen Erklärung ratsam sein.

2.2.2 Verpflichtung auf Opt-in

Einwilligungen können auch in Allgemeinen Geschäftsbedingungen vorformuliert werden. Bisher wurde es dabei als ausreichend betrachtet, dass die betroffene Person eine „Einwilligung“ erklärt, indem sie von der Möglichkeit einer Streichung der Einwilligungsklausel Gebrauch macht oder etwa ein Feld ankreuzt, wonach eine Einwilligung nicht erklärt werde (BGH, Urteil vom 11.11.2009, VIII ZR 12/08). Die Abgabe einer wirksamen Einwilligung muss nach ErwGr 32 DSGVO nun durch eine eindeutige und bestätigende Handlung erfolgen. Stillschweigen, bereits angekreuzte Kästchen oder eine unterstellte Zustimmung, ohne dass die betroffene Person tätig geworden ist, stellen daher keine Einwilligung mehr dar. Erklärungen im Wege eines „Opt-out“ sind nicht mehr zulässig.

2.2.3 Belehrung über ein Widerrufsrecht

Gemäß Art. 7 Abs. 3 DSGVO hat die betroffene Person das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf wird die Rechtmäßigkeit der vorher erfolgten Verarbeitung nicht berührt. Die betroffene Person ist vor der Einwilligung über das Widerrufsrecht und die entsprechende Wirkung eines Widerrufs vom Verantwortlichen in Kenntnis zu setzen. Die bisherigen Einwilligungen nach § 4a BDSG a.F. sind zwar auch widerrufbar. Allerdings fehlte bisher eine entsprechend umfassende Unterrichtungsverpflichtung des Verantwortlichen. Diese Verpflichtung ist ab dem 25. Mai 2018 nun ein zwingender Bestandteil einer jeden Einwilligungserklärung. Jeder betroffenen Person wird damit vor Augen geführt, dass der Bestand ihrer Erklärung von ihrem Willen abhängt.

2.2.4 Anforderungen an die Freiwilligkeit der Einwilligung

Einwilligungen müssen bereits nach § 4a BDSG a.F. auf der freien Entscheidung der betroffenen Person beruhen. Erklärungen, die unter Druck oder Zwang abgegeben werden, sind unwirksam. Nach § 28 Abs. 3b BDSG a.F. darf die verantwortliche Stelle den Abschluss eines Vertrags nicht von einer Einwilligung der betroffenen Person bezüglich der Verarbeitung oder Nutzung personenbezogener Daten für Zwecke des Adresshandels oder der Werbung abhängig machen, wenn der betroffenen Person ein anderer Zugang zu gleichwertigen vertraglichen Leistungen ohne die Einwilligung nicht oder nicht in zumutbarer Weise möglich ist. Eine unter solchen Umständen erteilte Einwilligung ist unwirksam. § 28 Abs. 3b BDSG a.F. soll dabei Sachverhalte erfassen, bei denen der Verantwortliche eine marktbeherrschende Stellung hat, dieser etwa die Preise für Waren oder Dienstleistungen bestimmen kann, und folglich kein gleichwertiger Zugang zu vertraglichen Leistungen anderer Anbieter möglich ist.

Das Kriterium der marktbeherrschenden Stellung des Verantwortlichen sowie die Begrenzung auf Fälle der Werbung und des Adresshandels werden mit der neuen Gesetzeslage aufgegeben. Nach Art. 7 Abs. 4 DSGVO muss künftig bei der Beurteilung der Freiwilligkeit der Einwilligung geprüft werden, ob die Erfüllung eines Vertrags, einschließlich die Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung personenbezogener Daten abhängig gemacht wird, die für die Erfüllung des Vertrags nicht erforderlich sind.

Beispiel: Ein Verbraucher kauft Schuhe und möchte diese an seinen Wohnsitz liefern lassen. Hierfür benötigt der Verkäufer die Lieferanschrift. Diese ist zur Erfüllung des Vertrags erforderlich. Der Schuhkauf, einschließlich der Lieferung der Schuhe, dürfen aber vom Verkäufer z.B. nicht davon abhängig gemacht werden, dass der Verbraucher ihm die Schuhgröße seiner Ehefrau offenbart. Das letztere Datum ist zur Erfüllung des Vertrags über den Erwerb der Schuhe nicht erforderlich. Der Verbraucher wird davor geschützt, personenbezogene Angaben zu übermitteln, die für die Abwicklung einer vertraglichen Leistung nicht erforderlich sind.

2.2.5 Bedingungen bei Einwilligungen von Kindern

Richten sich Dienste der Informationsgesellschaft (Art. 4 Nr. 25 DSGVO) direkt an Kinder, so ist die auf einer Einwilligung basierende Verarbeitung personenbezogener Daten des Kindes rechtmäßig, wenn das Kind das sechzehnte Lebensjahr vollendet hat. Anderenfalls ist die Zustimmung eines Elternteils[4] maßgebend (Art. 8 Abs. 1 DSGVO). Dienste der Informationsgesellschaft sind regelmäßig gegen Entgelt, in elektronischer Form, im Wege des Fernabsatzes erbrachte Dienstleistungen. Es müssen Geräte zum Einsatz kommen, die eine Speicherung der Daten vornehmen, und das Kind muss die Dienstleistung gezielt abrufen können. Sprachtelefonie und die bloße Nutzung eines Fernsehangebots zählen nicht hierzu. Im Kern sind solche Dienste erfasst, die im Internet auf Webseiten für Kinder angeboten werden. Hierbei wird neben dem Inhalt auch die grafische und sprachliche Gestaltung des Angebots den Ausschlag dafür geben, ob sich der Dienst direkt an Kinder richtet. Verbraucher*innen, die das sechzehnte Lebensjahr noch nicht vollendet haben, sollen generell aufgrund fehlender Einsicht und Reife davor bewahrt bleiben, wirksame Einwilligungserklärungen im Internet abzugeben.

3. Änderungen bei den Betrof­fe­nen­rechten

Verbraucher*innen haben häufig noch nichts davon gehört, dass sie Datenschutzrechte gegenüber den Verarbeitern ihrer personenbezogenen Daten wahrnehmen können. Dabei ist es gar nicht neu, dass jede betroffene Person Auskunft über die zur eigenen Person gespeicherten Daten verlangen, die Berichtigung unrichtiger Daten einfordern oder auf die Löschung von nicht mehr benötigten Daten hinwirken kann. Einen Schritt nach vorn leistet die DSGVO bei den Anforderungen an die Transparenz: Verbraucher*innen sollen künftig mehr Informationen über die Datenverarbeitung erhalten. Schließlich wurde ein ganz neues Recht begründet, dessen langfristige Auswirkungen noch nicht abzuschätzen sind: das Recht auf Datenübertragbarkeit.

Die Betroffenenrechte und ihre Wirkung für die Verbraucher*innen werden im Folgenden erklärt:

3.1 Generelle Anforderungen

Zu den Rechten der Verbraucher*innen nach der DSGVO zählen Informationspflichten bei der Erhebung von personenbezogenen Daten (Art. 13 und 14 DSGVO), das Auskunftsrecht (Art. 15 DSGVO), das Recht auf Berichtigung (Art. 16 DSGVO), das Recht auf Löschung (Art. 17 DSGVO), das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO), die Mitteilungspflicht in Bezug auf die Berichtigung, Löschung oder Einschränkung der Verarbeitung (Art. 19 DSGVO), das Recht auf Datenübertragbarkeit (Art. 20 DSGVO), das Widerspruchsrecht (Art. 21 DSGVO) und das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Die Verantwortlichen müssen den betroffenen Personen die Ausübung ihrer Rechte künftig nach Art. 12 Abs. 2 Satz 1 DSGVO erleichtern. Hierzu zählt etwa, dass Verbraucher*innen auf ihre Rechte mündlich, schriftlich oder elektronisch hingewiesen werden.

Ferner besteht die Verpflichtung des Verantwortlichen, im Falle der Geltendmachung eines Rechts durch eine Verbraucherin/einen Verbraucher innerhalb eines Monats entsprechende Maßnahmen zu ergreifen und die gestellten Anträge zu erfüllen – also beispielsweise die Anfrage bei einem Verantwortlichen nach allen gespeicherten personenbezogenen Daten im Sinne des Auskunftsrechts. Die Monatsfrist darf unter Berücksichtigung der Komplexität und der Anzahl der Anträge um weitere zwei Monate verlängert werden. In dieser Situation muss der/die Verbraucher*in allerdings eine Zwischennachricht innerhalb des ersten Monats nach Antragseingang erhalten.

3.2 Informationspflichten

Werden personenbezogene Daten bei Verbraucher*innen erhoben, so muss der Verantwortliche diesen zum Zeitpunkt der Datenerhebung eine Reihe von Angaben mitteilen. Gleiches gilt bei Datenerhebungen bei Dritten in Abwesenheit des Verbrauchers, wobei eine nachträgliche Unterrichtung erfolgt. Dazu zählen etwa Angaben zu den Verarbeitungszwecken, zu den Kontaktdaten des Datenschutzbeauftragten, zu den Datenempfängern, zur Speicherdauer, zu den Rechten betroffener Personen nach der DSGVO und zum Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde. Gleiches gilt bei Datenerhebungen bei Dritten in Abwesenheit der Verbraucher*in, wobei eine nachträgliche Unterrichtung erfolgt. Da die Angaben im Zeitpunkt der Datenerhebung vorliegen müssen, können Verantwortliche gehalten sein, z.B. Vertragstexte und Allgemeine Geschäftsbedingungen anzupassen. Im Falle einer Datenerhebung am Telefon wird die Erfüllung der Informationspflichten am Telefon in Betracht kommen. Da mündlich weitergegebene Informationen beim Verbraucher schneller in Vergessenheit geraten können und der Verantwortliche die Einhaltung der Informationspflichten andererseits nachweisen können muss (Art. 5 Abs. 2 DSGVO), ist zu empfehlen, dass für den/die Verbraucher*in die am Telefon mitgeteilten Informationen zusätzlich über elektronische Dienste abrufbar bereitgehalten oder übermittelt werden.

3.3 Auskunftsrecht

Neu ist zugunsten der Verbraucher*innen, dass jede betroffene Person gemäß Art. 15 Abs. 1 DSGVO von dem Verantwortlichen eine Bestätigung darüber verlangen kann, ob sie betreffende personenbezogene Daten verarbeitet werden. Diese Negativauskunft war nach bisherigem Datenschutzrecht nicht vorgesehen und führte in der Praxis zu dem Problem, dass im Einzelfall nicht deutlich wurde, ob der Verantwortliche seiner Auskunftsverpflichtung nicht nachkommt oder er schlicht nicht über Informationen verfügt. Neu ist weiterhin, dass die Auskunftsverpflichtung neben den gespeicherten Daten, den Angaben zu den Empfängern und der Herkunft der Daten nun auch weitere Informationen umfasst, wie etwa Verarbeitungszwecke, geplante Speicherdauer und Hinweise zu Rechten nach der DSGVO. Die betroffene Person muss allerdings in Zukunft damit rechnen, dass ihr nur eine einzige Kopie kostenfrei zusteht. Nach Art. 15 Abs. 3 Satz 2 DSGVO dürfen die Verantwortlichen für jede weitere Kopie ein angemessenes Entgelt verlangen.

3.4 Mitteilungspflicht

Zugunsten der Verbraucher*innen hat der Verantwortliche nach Art. 19 DSGVO künftig die Pflicht, allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede Berichtigung, Löschung oder Einschränkung der Datenverarbeitung mitzuteilen – es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden. Die Verbraucher*innen haben das Recht, von dem Verantwortlichen eine Unterrichtung über die Empfänger der Daten einzufordern. Mit der Neuregelung ist der Verantwortliche einerseits gehalten, seinen Datenbestand im eigenen Wirkungskreis mit korrekten Angaben zu führen (vgl. Art. 5 Abs. 1d) DSGVO – Grundsatz der Richtigkeit der Daten), wozu auch die Datenverarbeitung durch beauftragte Dienstleister im Wege einer Auftragsverarbeitung (Art. 28 DSGVO) zählt. Andererseits besteht die Verpflichtung, eigene Korrekturen auch Dritten mitzuteilen, um diesen die Führung eines korrekten Datenbestands zu ermöglichen. Hierdurch sollen Nachteile für Verbraucher*innen vermieden werden, die sich stattdessen an jeden Verantwortlichen wenden müssten, um Korrekturwünsche geltend zu machen. Von Bedeutung kann dies z.B. sein, wenn Verantwortliche an Auskunfteien Angaben übermittelt haben (etwa rechtskräftige Schuldtitel, anerkannte Ansprüche, Informationen zu fälligen und angemahnten Forderungen), die sich nach der Übermittlung als falsch herausgestellt haben. Die Auskunftei wird ihren Datenbestand auf Hinweis des Verantwortlichen aktualisieren und somit dafür sorgen, dass bezüglich der betroffenen Person keine falsche Bonitätsaussage getroffen wird.

3.5 Werbung

Verbraucher*innen müssen vom Verantwortlichen auch weiterhin darüber unterrichtet werden, dass ein Recht besteht, einer Datenverarbeitung für Zwecke der Direktwerbung zu widersprechen. Im Falle eines Widerspruchs ist eine weitere Verarbeitung für Werbezwecke unzulässig (Art. 21 Abs. 2-4 DSGVO). Insoweit bestehen keine wesentlichen Abweichungen gegenüber der bestehenden Rechtslage (vgl. § 28 Abs. 4 BDSG a.F.). Neu für die Verbraucher*innen ist der Umstand, dass das sogenannte Listenprivileg ab dem 25. Mai 2018 entfällt. Der entsprechende in § 28 Abs. 3 BDSG a.F. geregelte Grundsatz räumt den Unternehmen bisher die Möglichkeit ein, einen bestimmten Datensatz (bestehend aus z.B. Namen, Vorname, Titel, Anschrift, Geburtsjahr) für Werbezwecke zu verarbeiten, soweit die Daten aus öffentlich zugänglichen Branchenverzeichnissen stammen oder im Zusammenhang mit einem Vertragsverhältnis rechtmäßig erhoben wurden. Mit der neuen Generalbefugnis zur Rechtmäßigkeit der Datenverarbeitung (Art. 6 Abs. 1 DSGVO) kommt künftig grundsätzlich jedes personenbezogene Datum für Werbezwecke in Betracht. Einschränkungen werden voraussichtlich dort bestehen, wo die Spezialregelungen wie in § 7 Abs. 2 UWG (z.B. Werbung per Telefon und E-Mail) zur Anwendung kommen und damit regelmäßig Einwilligungserklärungen erforderlich sind.

Für die übrigen Werbeformen, für welche keine Spezialbestimmungen eingreifen, ist nach Art. 6 Abs. 1f DSGVO zu prüfen, ob die Verarbeitung des jeweiligen Datums zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Das gilt insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Nach ErwGr 47 DSGVO kann eine Datenverarbeitung für Zwecke der Direktwerbung einem berechtigten Interesse des Verantwortlichen entsprechen. Es zeichnet sich ab, dass besondere Datenkategorien (Art. 9 Abs. 1 DSGVO) wie Gesundheitsdaten, politische Meinungen und Religion regelmäßig nicht für Werbezwecke verarbeitet werden dürfen, da die Interessen der Verbraucher*innen überwiegen werden. Werbung gegenüber Kindern wird selbst mit personenbezogenen Daten, die nicht unter Art. 9 Abs. 1 DSGVO fallen (z.B. Adresse, Angaben zu Hobbys), regelmäßig kaum zulässig sein, da hier vor allem das Kindeswohl und die Einsichtsfähigkeit von Kindern von hoher Bedeutung sind und auch das Vorhandensein eines berechtigten Interesses eines Verantwortlichen zur Datenverarbeitung für die Direktwerbung im Einzelfall argumentativ verneint werden kann.

3.6 Recht auf Datenübertragbarkeit

Art. 20 DSGVO erlaubt es den Verbraucher*innen, die sie betreffenden personenbezogenen Daten vom Verantwortlichen in einem maschinenlesbaren Format zu erhalten. Dahinter steht die Überlegung, dass die betroffenen Personen mit ihren Daten zu anderen Anbietern „umziehen“ können – besonders interessant, wenn (datenschutzfreundlichere) Alternativen zu Quasi-Monopol-Anbietern auf dem Markt auftauchen. Allerdings erwarten einige Beobachter des Marktes einen Effekt, der dem Datenschutzgedanken zuwiderlaufen könnte: Statt ein Mehr an Schutz und Selbstbestimmung zu erreichen, könnten Verbraucher*innen ihre Daten immer dorthin bringen, wo sie den besten monetären Gegenwert erwarten – also Daten(nutzungs)verkauf statt grundrechtlicher Schutz.

4. Technischer Datenschutz

Die Basis der DSGVO sind die Datenschutz-Grundsätze aus Art. 5 DSGVO, die so umzusetzen sind, dass etwaige Risiken für die Rechte und Freiheiten natürlicher Personen eingedämmt werden. Die Stelle, die für die Datenverarbeitung verantwortlich ist, muss sich der Risiken bewusst sein und angemessene Gegenmaßnahmen treffen. Ein Schwerpunkt dabei besteht im technischen Datenschutz. Dabei geht es jedoch nicht nur um technische und organisatorische Schönheitskorrekturen der Datenverarbeitung, sondern die Gestaltung der Verarbeitung soll von Anfang an darauf ausgerichtet sein, dass die Anforderungen der DSGVO erfüllt werden.[5] Datenschutz soll in die Systeme eingebaut und nicht nachträglich – meistens mit geringerem Wirkungsgrad – aufgepfropft werden. Das soll auch durch Zertifizierungen bestätigt werden können. Außerdem fordert die DSGVO einen professionellen Umgang mit hohen Risiken: In solchen Fällen ist eine Datenschutz-Folgenabschätzung verpflichtend.

Die wichtigsten Auswirkungen für die Verbraucher*innen: Zum einen führen die Anforderungen an Datenschutz und Sicherheit zu einer gesteigerten Vertrauenswürdigkeit der Verarbeitung, wenn der Verantwortliche seine Systeme fortlaufend im Griff hat – d.h. er verfügt über ein funktionierendes Datenschutz- und Informationssicherheitsmanagement. Dann sind auch die personenbezogenen Daten der Verbraucher*innen ausreichend gut geschützt. Zum anderen wird sich die aufgrund der DSGVO zwangsläufig erhöhte Nachfrage für Produkte und Dienstleistungen mit eingebautem Datenschutz auf den Markt auswirken. Auch für Verbraucher*innen werden verbesserte Systeme mit mehr Schutz zur Verfügung stehen. Besonders relevant dabei: Datenschutz als Default-Einstellung.

4.1 Eingebauter Datenschutz und Datenschutz „by Default“

Basis für die Anforderungen des technischen Datenschutzes ist Art. 24 DSGVO, der die Verantwortung regelt. Der darauffolgende Art. 25 regelt Datenschutz durch (Technik-) Gestaltung (Abs. 1) und Datenschutz durch datenschutzfreundliche Voreinstellungen (Abs. 2). Der Verantwortliche muss schon beim Festlegen der Mittel für die Verarbeitung dafür Sorge tragen, dass die rechtlichen Datenschutzanforderungen in geeigneter Weise erfüllt werden. Dies betrifft sämtliche Datenschutz-Grundsätze. Besonders genannt wird die Datenminimierung. Welche technischen und organisatorischen Maßnahmen für den eingebauten Datenschutz geeignet sind, muss der Verantwortliche abwägen. Dabei sind der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Risiken zu berücksichtigen.

Eine solche Abwägung wird nicht gefordert für die Wahl der Voreinstellungen:[6] Hier besteht die absolute Notwendigkeit, solche Defaults vorzusehen, dass nur die für den jeweiligen Zweck erforderlichen Daten und nur im nötigen Umfang verarbeitet werden. Die Verbraucher*innen müssen aktiv die Konfiguration ändern, damit mehr Daten als erforderlich verarbeitet werden. Hierbei handelt es sich um einen Paradigmenwechsel, denn sehr häufig – beispielsweise in sozialen Netzwerken oder in Apps – sind die Voreinstellungen alles andere als datenschutzfreundlich.

4.2 Datenschutz-Folgenabschätzung

Bei einem voraussichtlich hohen Risiko der Verarbeitung muss der Verantwortliche nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung durchführen, bevor die Verarbeitung beginnt. Dies ist beispielsweise der Fall bei einer systematischen und umfassenden Bewertung persönlicher Aspekte wie beim Profiling, bei einer umfangreichen Verarbeitung sensibler Daten und bei einer systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche. Ziel ist die Beherrschbarkeit des Risikos und Abhilfe durch geeignete Maßnahmen. Interessant für Verbraucher*innen: Art. 35 Abs. 9 DSGVO sieht vor, dass der Verantwortliche ggf. den Standpunkt der betroffenen Personen oder ihrer Vertreter einholt. Das kann z.B. bedeuten, dass Verbraucherschützer um Stellungnahme gebeten werden.

4.3 Sicherheit und Meldepflichten bei Datenpannen

Auch bei der Informationssicherheit sollen die Verantwortlichen und Auftragsverarbeiter nachlegen. Dies ergibt sich aus Art. 32 DSGVO, wonach geeignete technische und organisatorische Sicherheitsmaßnahmen zu treffen sind. Mindestens genauso motivierend für ein gutes Sicherheitsniveau ist aber die Meldepflicht im Falle von Datenpannen: Nach Art. 33 DSGVO muss der Verantwortliche die Aufsichtsbehörde möglichst binnen 72 Stunden informieren. Wenn aus der Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Verbraucher*innen resultiert, müssen nach Art. 34 DSGVO grundsätzlich auch die betroffenen Personen benachrichtigt werden. Der verlorene USB-Stick mit Kundendaten ist also meldepflichtig – nur dann nicht, wenn ein Risiko faktisch ausgeschlossen werden kann, z.B. wenn es sich um eine Datensicherung handelt, die mit einem Verschlüsselungsverfahren nach Stand der Technik verschlüsselt wurde und ein Finder des USB-Sticks nicht an die Daten herankommen kann.

5. Rechts­be­helfe und Sanktionen

Bislang hatte kaum ein Unternehmen Angst vor möglichen Strafen bei Verstößen gegen das Datenschutzrecht. Zum einen war die Wahrscheinlichkeit, von der Datenschutzaufsichtsbehörde geprüft zu werden, ziemlich klein. Zum anderen waren die Sanktionen, die verhängt werden könnten, vergleichsweise zahnlos, d.h. bestimmt nicht beeindruckend für große Firmen, die ein Bußgeld zur Not aus der Portokasse begleichen konnten.

Die Prüfdichte wird sich auch im neuen Datenschutzregime nicht wesentlich ändern, da die meisten Datenschutzaufsichtsbehörden bislang kaum mehr Prüfpersonal bekommen. Aber innerhalb von drei Monaten nach Eingang einer Beschwerde müssen die Behörden aktiv geworden sein – sonst laufen sie Gefahr, verklagt zu werden. Neu sind auch mögliche Schadensersatzansprüche von betroffenen Personen und der stark erweiterte, recht eindrucksvolle Bußgeldrahmen, selbst wenn nicht ständig die Maximalhöhe an Bußgeldern verhängt werden wird.

5.1 Rechtsbehelfe

Betroffene Personen können nach Maßgabe von Art. 77 Abs. 1 DSGVO im EU-Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes Beschwerde bei einer Aufsichtsbehörde einlegen. Die kontaktierte Aufsichtsbehörde wird die betroffene Person über den Stand des Beschwerdeverfahrens oder gegebenenfalls über das Ergebnis dieses Verfahrens unterrichten. Betroffene Personen können nach Art. 78 Abs. 2 DSGVO einen gerichtlichen Rechtsbehelf gegenüber einer zuständigen[7] Aufsichtsbehörde im Zusammenhang mit einem Beschwerdeverfahren geltend machen, wenn innerhalb von drei Monaten keine Befassung mit der Beschwerde erfolgte. Weiterhin besteht ein gerichtlicher Rechtsbehelf auch dann gegenüber einer Aufsichtsbehörde, wenn diese den Beschwerdeführer nicht innerhalb von drei Monaten zum Stand des Beschwerdeverfahrens oder gegebenenfalls zu den Prüfergebnissen unterrichtet. Betroffene Personen haben darüber hinaus das Recht, eine Klage gegen Verantwortliche oder Auftragsverarbeiter wegen der Verletzung von Vorgaben der DSGVO zu erheben. Nach Art. 79 Abs. 2 DSGVO sind in diesem Fall die Gerichte des Mitgliedstaats zuständig, in dem der Verantwortliche oder Auftragsverarbeiter eine Niederlassung hat. Wahlweise wäre auch eine Klageerhebung am Ort des Aufenthaltsorts der betroffenen Person zulässig, soweit es sich bei der Klagegegnerin nicht um die Behörde eines anderen Mitgliedstaats handelt.

5.2 Schadensersatz

Entsteht den Verbraucher*innen aufgrund der Verletzung von Vorgaben der DSGVO ein materieller oder immaterieller Schaden, so kommt ein Schadensersatzanspruch gegen den Verantwortlichen oder Auftragsverarbeiter in Betracht. Auftragsverarbeiter haften nur dann für einen verursachten Schaden, wenn diese ihre spezifischen Pflichten aus dem Auftragsverhältnis verletzen (vgl. vor allem Art. 28 Abs. 2, 3 und 10 DSGVO) oder einer rechtmäßig erteilten Weisung des Auftraggebers (vgl. Art. 29 DSGVO) zuwiderhandeln. Dem Verantwortlichen und dem Auftragsverarbeiter obliegen die Beweislast dafür, dass sie für einen eingetretenen Schaden nicht verantwortlich sind. Eine Besonderheit ist künftig auch die gesamtschuldnerische Haftung von Verantwortlichem und Auftragsverarbeiter nach Art. 82 Abs. 4 DSGVO. Die Zuständigkeit der Gerichte in den Mitgliedstaaten für Klagen, mit denen ein Schadensersatzanspruch verfolgt wird, richtet sich nach Art. 79 Abs. 2 DSGVO und damit nach dem Sitz der Niederlassung des Klagegegners oder wahlweise nach dem Ort des Aufenthalts der betroffenen Person, mit Ausnahme von Klagen gegen eine Behörde im letzteren Fall.

5.3 Bußgelder

Die Aufsichtsbehörden haben nach Art. 58 Abs. 2i DSGVO die Befugnis, bei Verstößen gegen die Vorgaben der DSGVO Geldbußen zu verhängen. Der europäische Verordnungsgeber hat dafür hohe Bußgeldrahmen vorgesehen, die Geldbußen von bis zu 10 bzw. 20 Millionen Euro oder im Falle eines Unternehmens von bis zu 2 bzw. 4 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres umfassen können. Die Mitgliedstaaten können nach Art. 83 Abs. 7 DSGVO für ihren Hoheitsbereich Vorschriften festlegen, ob und in welchem Umfang gegen Behörden und andere öffentliche Stellen Geldbußen verhängt werden können. Nach derzeitigem Kenntnisstand ist für die laufenden Gesetzgebungsverfahren in den Bundesländern nicht zu erwarten, dass von dieser Gesetzgebungsbefugnis Gebrauch gemacht wird – es bleibt also dabei, dass Datenschutzbehörden gegenüber öffentlichen Stellen in Deutschland keine Bußgelder verhängen können. Im Zusammenhang mit Auskunftsverlangen von Darlehensgebern bei Verbraucherkrediten kommt ein neuer Bußgeldtatbestand nach nationalem Recht hinzu (vgl. § 30 BDSG n.F. – BGBl. I, Nr. 44 v. 5.7.2017).

6. Instru­men­ten­-Mix neben der Daten­schutz­auf­sicht

Neben den Datenschutzaufsichtsbehörden werden weiterhin die Verbraucherzentralen eine wichtige Rolle im Sinne der Datenschutz-Compliance spielen. Außerdem können Vereine die Verbraucher*innen in ihren Rechten unterstützen:

Wer Vorschriften zuwiderhandelt, die dem Schutz der Verbraucher*innen dienen, kann im Interesse des Verbraucherschutzes nach § 2 Abs. 1 Satz 1 des Unterlassungsklagengesetzes (UklaG) auf Unterlassung und Beseitigung in Anspruch genommen werden. Die Verbraucherzentralen prüfen in diesem Kontext nach § 2 Abs. 2 Nr. 11 UKlaG auch Vorschriften, welche die Zulässigkeit der Datenerhebung von Verbraucher*innen durch ein Unternehmen bzw. der Verarbeitung oder der Nutzung personenbezogener Daten, die von Unternehmen über Verbraucher*innen erhoben wurden, betreffen. Das können Fälle sein, in denen die Daten zu Zwecken der Werbung, Markt- und Meinungsforschung, des Betreibens einer Auskunftei, des Erstellens von Persönlichkeits- und Nutzungsprofilen, des Adresshandels, des sonstigen Datenhandels oder zu vergleichbaren kommerziellen Zwecken erhoben, verarbeitet oder genutzt werden. Um der Gefahr einer divergierenden Beurteilung von Datenschutzverstößen durch die Verbraucherzentralen und die Aufsichtsbehörden zu begegnen, sind die Gerichte (wie bisher auch) angehalten, vor ihrer Entscheidung in Verfahren über einen Anspruch nach § 2 UKlaG die zuständige inländische Datenschutzaufsichtsbehörde anzuhören.

Die Verbraucher*innen können sich zudem durch Nicht-Regierungs-Organisationen wie den jüngst gegründeten Verein noyb[8] helfen lassen. Diesem und ähnlich ausgerichteten Vereinen geht es darum, den Klageweg für eine effektivere Durchsetzung des neuen EU-Datenschutzrechts zu nutzen und mit strategischen Klagen die Rechte und Freiheiten der Bürger*innen zu stärken. Diese Herangehensweise basiert auf Art. 80 DSGVO, nach dem solche Organisationen im Namen von betroffenen Personen die Beschwerde einreichen oder auch das Recht auf Schadensersatz gemäß Art. 82 in Anspruch nehmen können.

Die nächsten Jahre werden geprägt sein von Aushandlungsprozessen, wie die einzelnen Regelungen in der Praxis europaweit möglichst einheitlich zu interpretieren sind. Im optimalen Fall wird ein Wetteifern über den besseren Datenschutz und die cleversten Lösungen zum Schutz der Rechte und Freiheiten entstehen. Risiken werden eingedämmt, jeder ist sich seiner Verantwortung bewusst, Missstände werden sanktioniert und abgestellt. Und wenn die DSGVO keinen Fortschritt im Datenschutz bringen sollte? Die DSGVO ist nicht statisch, sondern sieht einen Anpassungsmechanismus vor. Nach Art. 97 DSGVO steht die erste Evaluation bis zum 25. Mai 2020 an. Bis dahin sollte Klarheit bestehen, wo Verbesserungen notwendig sind.

MARIT HANSEN   Jahrgang 1969, Dipl.-Inform., seit 2015 Landesbeauftragte für Datenschutz Schleswig-Holstein und Leiterin des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein, seit 1995 beruflich im Datenschutz tätig. Ihr Schwerpunkt liegt auf der Gestaltung von Systemen im Sinne des Datenschutzes „by Design & by Default“.

SVEN POLENZ   Jahrgang 1976, Dr. iur., LL.M., Referatsleiter für die Bereiche Datenschutz in der Privatwirtschaft und Informationsfreiheit am Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein. Jüngste Veröffentlichung: Brink/Polenz/Blatt, Informationsfreiheitsgesetz (Kommentar), C.H. Beck 2017.

Anmerkungen:

1 S. dazu die Beiträge von Aden und Glatzner in diesem Heft.

2 S. dazu die Beiträge von Weichert und Schaar in diesem Heft.

3 Das bisherige BDSG wird in diesem Beitrag mit „BDSG a.F.“ bezeichnet, das ab dem 25.05.2018 geltende BDSG mit „BDSG n.F.“.

4 Um ganz präzise zu sein: die Zustimmung der Träger des elterlichen Sorgerechts.

5 Zur Reichweite des Risikobegriffs nach der DSGVO vgl. den Beitrag von Rost in diesem Heft.

6 Wer aus dem Wort „grundsätzlich“ in Art. 25 Abs. 2 S. 1 DSGVO schließt, dass Ausnahmen vorgesehen sind, sei auf die englische Sprachfassung verwiesen – es handelt sich im Deutschen um einen
Übersetzungsfehler.

7 Dies ist der Fall, sofern die Aufsichtsbehörde in ihrem eigenen Hoheitsbereich bzw. Mitgliedstaat tätig werden kann (Art. 55 DSGVO) bzw. es sich um eine federführende Aufsichtsbehörde i.S.v. Art. 56 DSGVO handelt.

8 Der Verein wurde von dem Datenschutz-Aktivisten Max Schrems gegründet. Der Namen steht für „none of your business“, s. https://www.noyb.eu/.

Der Beitrag Die DSGVO – die wichtigsten Neuerungen aus Sicht der Verbraucher*innen erschien zuerst auf Humanistische Union.

Mit dem Konzept einer Privacy by Design verbinden manche Datenschützer die Hoffnung, Datenschutz ließe sich auch jenseits nachlässiger Nutzer realisieren. Aber lässt sich das Grundrecht auf Informationelle Selbstbestimmung rein technisch, durch Privacy by Design gewährleisten? Um diese Frage zu beantworten, geht Clemens Cap im folgenden Beitrag zunächst auf den Stellenwert der Privatheit ein: Brauchen wir Privatheit noch – oder kann das weg? Anschließend klärt er einige Begrifflichkeiten zum technischen Datenschutz und gibt eine (vorläufige) Prognose: Da das Problem weniger bei der Technik, sondern bei den Menschen zu suchen sei, kann auch nur dort eine Lösung gefunden werden.

1 Was heißt und zu welchem Ende brauchen wir Privatheit?

Privatheit ist ein alter menschlicher Wert. Bereits die Antike erkannte seine Bedeutung und formulierte im hippokratischen Eid die ärztliche Schweigepflicht. Veränderungen in der Informationstechnologie führten dann regelmäßig zu einem Nachjustieren des gesellschaftlichen und juristischen Konzepts: So definierten Warren und Brandeis[1] 1890 Privatheit als right to be left alone und das deutsche Bundesverfassungsgericht leitete 1983 im sogenannten Volkszählungsurteil[2] das Grundrecht auf informationelle Selbstbestimmung direkt aus der Menschenwürde und dem ersten Artikel des Grundgesetzes ab. Seine Forderung: Die Bürger müssen wissen können, wer was wann und bei welcher Gelegenheit über sie weiß, denn wer unsicher ist, ob abweichende Verhaltensweisen jederzeit notiert und als Information dauerhaft gespeichert, verwendet oder weitergegeben werden, wird versuchen, nicht durch solche Verhaltensweisen aufzufallen. Diese Sorge würde die Selbstbestimmung und individuelle Entfaltung des Einzelnen und damit die Handlungsfähigkeit einer freiheitlichen, demokratischen Gesellschaft beschädigen.

Aus heutiger Sicht sind das damalige Urteil und seine Definition von Privatheit von bemerkenswerter Aktualität. Die Weiterentwicklung der Technologie, insbesondere die allgegenwärtige Präsenz des Internet und die mit ihm verbundenen Geschäftsmodelle und Überwachungsmöglichkeiten haben die Privatsphäre massiv beschädigt. Wesentliche Schuld an dieser Entwicklung trifft die Nutzer, da sie vielen Verletzungen ihrer Privatsphäre aus Unkenntnis, aus Bequemlichkeit, im Interesse angeblich erhöhter Sicherheit oder für kurzfristige ökonomische Vorteile zustimmen.

Die Preisgabe von Daten kann im heutigen Internet rasch teuer kommen. So verraten die meisten Internetbrowser, welche Webseiten ein Anwender besucht hat und welche Hardware er beim Surfen benutzt. Beim sogenannten Cookie-Pricing[3] macht ein Server die Preise angebotener Produkte von diesen Informationen abhängig. Nach einer amerikanischen Studie[4] zahlen Nutzer von Apple-Produkten (einer hochpreisigen Marke) bei Hotelbuchungen 30% mehr als andere Anwender. Selbstfahrende Staubsauger orientieren sich über Kameras und entwickeln dadurch neben einer Hinderniskarte auch eine gute Vorstellung über die Größe der Wohnung, die Anzahl der Möbelstücke und die Lebensqualität der Bewohner. Manche Systeme übertragen diese Informationen an den Hersteller, der daraus detaillierte Profile erstellt, um die Daten selber zu verwenden oder weiterzuverkaufen.[5] Bei Sicherheitslücken im System erfahren Kriminelle, wann niemand zu Hause ist und ob sich ein Einbruch angesichts der Wohnungsausstattung der Opfer rentiert.

In sogenannten pay-as-you-drive-Tarifen[6] überwacht ein Sensor das Verhalten von Autofahrern. Neben nutzungsabhängigen Tarifen erlaubt das Gerät auch eine allgemeine Einschätzung des Risikoverhaltens seiner Nutzer. Aus Sicht der Versicherungswirtschaft gilt das als Vorteil, da die Datenbestände genutzt werden, um das asymmetrische Informationsverhältnis zwischen Versicherer und Versicherten zu reduzieren.[7] Bei anderen Versicherungsprodukten wird die Problematik noch deutlicher: Fitness-Tracker und Smart Watches beobachten die Sportaktivitäten und den Herzrhythmus ihrer Träger. Die Daten sind für Krankenversicherungen interessant, die Sammelgeräte werden von ihnen daher bezuschusst.[8] Je nach Lebenssituation kann sich daraus ein besonders günstiger oder teurer Tarif ergeben, eine Ablehnung bei der Abdeckung bestimmter Risiken oder eine Karriereentscheidung durch den Arbeitgeber. Sicherlich erzeugen diese Geräte vielschichtige Motivationslagen für den Nutzer, die sowohl für das Wohlbefinden des Einzelnen als auch für die Gesundheitskosten der Gesellschaft von Vorteil sein können.[9] Trotz der Beliebtheit und der finanziellen Förderung der Geräte zur Selbstvermessung bleiben die Effekte auf das individuelle Verhalten Studien[10] zufolge überschaubar. Übernehmen Versicherungen weiterhin die Rolle einer Solidargemeinschaft zum Ausgleich von Risiken und Schicksalsschlägen, wenn Datenbestände eine präzise Vorhersage der Schadenserwartung erlauben? Sobald konkrete Verhaltensweisen ökonomisch abgerechnet werden, tangiert das die Handlungs- und Entscheidungsfreiheit des Einzelnen viel stärker als bei einer simplen Volkszählung.

Die Nutzer erlauben die Weitergabe aller dieser Daten typischerweise durch den berühmten „OK-Klick“ unter seitenlange, komplexe juristische Texte, die sie weder verstehen noch lesen.[11] Jeder gesetzliche Schutz wird aber ausgehebelt, wenn die Bürger ihre Rechte freiwillig preisgeben.

Die Nachteile einer Datenweitergabe werden gelegentlich erst über erstaunliche Umwege bemerkbar: Viele Benutzer von Fitness-Trackern laden ihre Sportdaten (teilweise unbewusst) in öffentliche Lauf-Foren hoch. Eine kürzlich veröffentlichte Studie zeigte, dass sich daraus die Positionen und die Belegungszahlen militärischer Einrichtungen ermitteln lassen.[12] Aber auch persönliche Nachteile sind denkbar. Bei einer Einreise in die USA werden die Benutzernamen für soziale Netze wie Facebook oder Twitter abgefragt. Damit können die Beamten die öffentlichen Beiträge den einreisenden Personen zuordnen. Medienberichten zufolge wird darüber nachgedacht, Reisende auch nach den Passwörtern für diese Dienste zu fragen – dann wäre auch ein Zugriff auf persönliche Nachrichten möglich.[13] Eine unbedachte Äußerung auf Facebook, von einem Beamten im falschen Kontext interpretiert, kann Probleme bei der Einreise machen.[14]

Häufig hört man in Datenschutz-Debatten den Satz ‚Ich habe doch nichts zu verbergen.‘ Theoretisch und in einem ideal funktionierenden Staat können leichtgläubige Bürger hoffen, dass gesetzestreues Verhalten vor Strafverfolgung schützt. Diese Ansicht offenbart jedoch ein ungeheures Maß historischer Naivität und vollständige Unkenntnis über das Funktionieren der Wirtschaft im Zeitalter der Digitalisierung. Der Konkurrenzkampf fordert von heutigen Unternehmen, dass sie jede Information über Kunden zur Gewinnmaximierung nutzen – die Weitergabe von Daten wird daher nicht im Interesse der Kunden sein. Das staatliche Rechtssystem ist nicht vor Fehlinterpretationen und Justizirrtümern gefeit. Interpretationsrahmen ändern sich und mit ihnen auch die möglichen Vor- und Nachteile von Daten.[15]
Diskriminierung wird nicht erst zur Gefahr, wenn sie real wird: Bereits die Beobachtung durch Dritte lässt Menschen ihr Verhalten verändern und an die mutmaßlichen Normen der Beobachter anpassen. Einschüchterung und „chilling effects“, also die berühmte „Schere im Kopf“, wirken bereits bei der Datenerfassung, aber auch schon durch die grundsätzliche Möglichkeit einer Beobachtung und Erfassung unseres Verhaltens. „Wir fühlen uns frei, aber wir sind es nicht“, meint Byung-Chul Han[16] und ergänzt: „Vertrauen macht Beziehungen zu anderen Menschen auch ohne genauere Kenntnisse über diese möglich. Die digitale Vernetzung erleichtert die Informationsbeschaffung dermaßen, dass Vertrauen als soziale Praxis immer unbedeutender wird.“

Bis vor kurzem standen nur jene Daten im Brennpunkt der Diskussion, die sich unmittelbar auf identifizierbare Personen bezogen. Mit der Nutzung automatisierter Entscheidungen tauchen weitere Probleme auf, hier sei nur auf die mögliche Diskriminierung durch Algorithmen und den Zwang des Normativen verwiesen.

In vielen Situationen dürfen[17] Menschen gegen Mitmenschen nicht aufgrund von Merkmalen wie Herkunft oder religiöse Orientierung diskriminieren. Nun gibt es Fälle, in denen Algorithmen genau dies tun und beispielsweise Schwarze bei Entscheidungen über strafrechtliche Rückfälle anders beurteilen als Weiße.[18] Handelt es sich hier um eine echte Benachteiligung, die ein Algorithmus etwa durch Beobachtung von Menschen gelernt hat? Wie ist damit umzugehen, wenn sich aus Datenbeständen tatsächlich für Menschen einer bestimmten Hautfarbe eine erhöhte Rückfallquote ergibt? Was macht unterschiedliche Behandlung aufgrund „objektiver“ Eingangsdaten zur gesellschaftlich unerwünschten Diskriminierung? Will man die entsprechenden Algorithmen verbieten oder rechnet man die Ungleichbehandlung gegen „besseres“, weil statistisch belegbares Wissen heraus?

Die statistische Analyse von Daten erzeugt eine fiktive Normalität: Die ermittelten Durchschnittswerte besagen, was als „okay“ gilt. Durch die Bewertung üben sie einen Zwang auf das Individuum aus und verändern sein Verhalten. Das Wissen um angeblich mögliche Selbstoptimierung – nach welchen fremden Maßstäben und Wertvorstellungen auch immer – löst das Schicksalhafte der menschlichen Existenz auf zugunsten einer Illusion der Erreichbarkeit aller Ziele. Die – sinnvolle – Verantwortlichkeit für das eigene Dasein weicht dem Gefühl einer Schuld und erzeugt einen dauernden Druck zur Optimierung. Gesamtgesellschaftliches Resultat ist eine Müdigkeitsgesellschaft (Byung-Chul Han[19]), die in permanenter Selbstüberforderung gefangen ist und sich immer mehr einer Beschleunigung und Entfremdung (Hartmut Rosa[20]) ausliefert. Heute bietet es sich an, die Definition von Privatheit als „right to be left alone“ zu erweitern zu einem „right to be different“.[21]

2 Was ist und was leistet Privacy by Design?

Privacy by Design ist[22] der Entwurf eines (Informatik-)Systems auf eine solche Art, dass Fragen der Privatheit und des Schutzes personenbezogener und personenbeziehbarer Daten in allen Phasen der Verarbeitung umfassend beachtet werden.

In allen Phasen der Verarbeitung bedeutet beispielsweise, dass auch archivierte Daten einbezogen werden und nicht mehr benötigte Daten wirksam[23] zu löschen sind. Nachnutzungen gewonnener Daten in anderen Systemen, Kontexten oder Jurisdiktionen sind zu beachten, soweit sie nicht ohnehin verboten sind. Fragen des Datenschutzes müssen bereits ganz zu Beginn berücksichtigt werden, wenn der Ablauf eines Vorgangs beschrieben und seine technische Umsetzung geplant wird, sie dürfen nicht erst im Nachhinein oder gar als Reaktion auf einen Datenunfall umgesetzt werden.

Privacy by Default bedeutet: Wenn an bestimmten Stellen im System Nutzer den Schutz ihrer Privatsphäre aufgeben können, so ist bei den Voreinstellungen darauf zu achten, dass von einer Ablehnung der Zustimmung ausgegangen wird. Die Aufgabe der Privatheit darf den Nutzern nicht durch Vertrauen auf Bequemlichkeit oder Unwissenheit abgerungen werden, sondern muss als dokumentierter, informierter, aktiver Vorgang von den Anwendern bestätigt werden (Opt-In statt Opt-Out).

Die genutzten Prinzipien des Datenschutzes sollen dokumentiert werden, die Beschreibung wird in verständlicher Form den Endanwendern zugänglich gemacht. Die Überprüfung der Umsetzung durch eine unabhängige Stelle ist wesentlich. Natürlich sind weitere Konzepte des Datenschutzes zu beachten: Grundsätzlich sollen so wenig Daten wie nötig anfallen (Datenminimierung); es sollen nur jene Daten erhoben und verarbeitet werden, die für den entsprechenden Zweck unbedingt erforderlich sind, keine weiteren Daten (Datenvermeidung); die benötigten Daten sollen nur so lange gespeichert werden, wie es für den entsprechenden Zweck erforderlich ist (Datensparsamkeit); und sie dürfen nur für einen bestimmten, bereits vor der Erhebung dokumentierten Zweck benutzt werden (Zweckbindung).

Zwei Beispiele sollen die Anwendung von Privacy by Design illustrieren:

Welche Informationen erhalten Sachbearbeiter, die über einen Antrag nach Hartz 4 befinden? Dürfen sie wissen, welche Fahrzeuge auf die Antragsteller zugelassen sind? Mit welchen Personen sie zusammenleben? Die Gesetzgebung bejaht beide Fragen und kennt den Begriff der Bedarfsgemeinschaft, in dessen Rahmen die Finanzkraft der Mitbewohner geprüft wird. Dürfen die Sachbearbeiter auf die Ortungsinformation von Mobiltelefonen zugreifen oder die in einem Lauf-Forum hochgeladenen Daten eines Fitness-Trackers mit GPS-Funktion nutzen, um aus dem regelmäßigen nächtlichen Aufenthalt von Antragstellern bei wohlhabenden Personen oder aus gemeinschaftlichem Freizeitverhalten Bedarfsgemeinschaften zu behaupten? Mit Privacy by Design könnte dieses Problem so gelöst werden: Die Beschreibung des Entscheidungsvorgangs muss (abschließend) alle Daten anführen, die in die Bewertung einfließen dürfen. Die technische Umsetzung darf in der spezifischen Beratungs-Situation dem Sachbearbeiter nur diese Daten vorlegen. Die Prozessbeschreibung soll die Einhaltung nachvollziehbar und überwachbar gestalten.

Ein weiteres Beispiel sind Hochleistungskopierer: Dabei handelt es sich meist um kleine Computer mit Scanner-Einheit und Drucker. Eingelesene Dokumente werden auf einem internen Speicher abgelegt. Verkauft ein Unternehmen später diesen Kopierer, so finden sich alle in der Vergangenheit kopierten Dokumente auf diesem Speicher und können vom neuen Inhaber ausgelesen werden. Privacy by Design müsste sich hier um ein dauerhaftes Löschen der Dokumente Gedanken machen, das in sinnvollem Verhältnis zur Protokollierung und Abrechnung der Kopierer-Nutzung steht.[24]

Privacy by Design ist in seiner Wirkung aber insofern eingeschränkt, da es sich (nur) um die Personenbezogenheit oder Personenbeziehbarkeit von Daten kümmert. Viele andere Schwierigkeiten umfassender Datenspeicherung und -auswertung, etwa die Diskriminierung oder ein normativer Druck, bleiben bestehen.

Datenschutz kann zudem auch unerwünschte Nebeneffekte verursachen. Naturgemäß sind in einer völlig transparenten Gesellschaft, die alle Vorgänge speichert, viele Dinge leichter kontrollierbar und die Menschen besser zu überwachen. Ob man diese Tatsache als Vorteil oder Nachteil empfindet, hängt von der eigenen Rolle in der Gesellschaft ab und ist eine Frage des persönlichen politischen Standpunkts sowie der Präferenzen für offene oder totalitäre Gesellschaftsformen.

Auf einer abstrakten Ebene scheint die Entscheidung für oder gegen Datenschutz einfach zu sein, am konkreten Beispiel zeigen sich die Schwierigkeiten: 2013 hatte ein Autobahnschütze über 700 Mal auf andere Lastwagen geschossen, bevor er durch eine eigens für diesen Tatbestand eingerichtete Kennzeichenerfassung verhaftet werden konnte. Die erforderlichen Bewegungsdaten wären bereits beim Mautbetreiber Toll Collect vorrätig gewesen, konnten aber aus Datenschutzgründen nicht genutzt werden.[25] Solche Beispiele  führen immer wieder zu dem Vorwurf, dass Datenschutz eigentlich Täterschutz sei. Überwachung scheint zur Überführung von Tätern sinnvoll und kann als Präventionsmaßnahme das Sicherheitsgefühl der Bürger verbessern. Wie wirksam großflächige Datenerfassungen jedoch sind, ist aber stark umstritten.[26] Zudem kann ein abgestufter Datenschutz helfen: Dieser könnte bei Video- und Handyüberwachung aus einer strikten Zweckbindung bestehen, aus einem Richtervorbehalt vor der Datennutzung, aus engen Löschfristen, sowie aus Maßnahmen zur Verringerung des Missbrauchsrisikos, indem bspw. nur mehrere Personen die Daten einsehen können (technische Vorkehrungen) und dürfen (juristische Vorkehrungen).

Aber auch gegen derart abgesicherte Überwachungsmaßnahmen gibt es theoretische und praktische Einwände: Theoretische, weil eine solche Regelung einen demokratiepolitisch problematischen Generalverdacht gegen alle Bürger festschreibt; und praktische, weil der tatsächliche Umgang der Behörden mit bestehenden Einschränkungen von Überwachungsmaßnahmen wenig vertrauenserweckend ist. Das wurde zuletzt durch einen Sachstandsbericht über Abhörmaßnahmen des BND in Bad Aibling deutlich, aber auch ein älterer Bericht des Bundesbeauftragten für den Datenschutz zur Quellen-Telekommunikationsüberwachung durch das BKA, der beim Chaos Computer Club als Leak[27] verfügbar ist, offenbart den hemmungslosen Eingriff in die Intimsphäre der Betroffenen. So zitiert der Bericht aus den Akten zu einem überwachten Skype Telefonat des Verdächtigen mit seiner Freundin: „Danach Sexgespräch. (Anm. Übers. Ab 15:52:20 bis 16:01:00 finden offensichtlich Selbstbefriedigungshandlungen statt)“. Obwohl hier der gesetzlich geschützte Kernbereich privater Lebensgestaltung betroffen ist, wurden persönlichste Details rechtswidrig protokolliert. Die Tondateien zu diesen Gesprächen lägen ebenso noch vor und wären deshalb nicht wie vorgesehen gelöscht worden, weil „eine Teillöschung technisch nicht möglich gewesen sei“ [sic].

Ein weiteres Problem entsteht durch jene Anwendungen, die auf einer umfassenden Datenspeicherung und -auswertung beruhen, beispielsweise im medizinischen Bereich. Gesundheitsdaten können in der Hand von Arbeitgebern, Krankenversicherungen oder Banken zu Entscheidungen führen, die nicht im Interesse der Betroffenen sind. Andererseits sind wir an medizinischem Fortschritt interessiert und wollen die Vorteile individualisierte ärztlicher Behandlung nutzen. Als datenschutzfreundlicher Ansatz bietet sich Anonymisierung von Gesundheitsdaten an, doch ist diese nicht so effektiv und zuverlässig, wie man sich das erhofft hat.[28]

Fazit: Privacy by Design ist ein wichtiges Entwurfsprinzip, das auf datenschutzfreundliche Informationsverarbeitung abzielt. In seiner praktischen Anwendung zeigen sich jedoch viele grundsätzliche Probleme.

3 Menschen zwischen Regulierung und Program­mie­rung

In diesem Abschnitt untersuche ich den Menschen und sein Verhalten im Spannungsfeld zwischen einer de jure Position (Regulierung) sowie einer de facto Position (Programmierung). Die Analyse soll eine Antwort auf die Frage nach der Chance vertrauenswürdiger, datensparsamer Systeme und Dienste ermöglichen.

Regulie­rung: Die de-ju­re-­Si­tua­tion

Datenschutz wird unterschiedlich bewertet. Versucht man die einzelnen Positionen etwas zu sortieren, so kann man drei Doktrinen ausmachen:

1. Grundrecht: Datenschutz, Privatheit und informationelle Selbstbestimmung begründen ein Abwehrrecht des Einzelnen gegen Staat, Gesellschaft und Wirtschaft zur Wahrung seiner Menschenwürde. Als Grundrecht besteht es absolut, es ist konstitutiv für den Menschen als Person und Individuum, alle Eingriffe müssen vom Gesetzgeber besonders gerechtfertigt oder von Betroffenen genehmigt werden. Daten sind die virtuellen Entsprechungen menschlicher Wesen und sind als solche besonders zu schützen. Diese Position findet sich (derzeit noch) in Deutschland und einigen europäischen Staaten.

2. Wirtschaftsgut: Daten und Aufmerksamkeit für Daten sind ein immaterielles Wirtschaftsgut mit hohem monetarisierbarem Wert. Es kann gehandelt und getauscht werden, etwa Verhaltensdaten auf Webseiten gegen Suchdienste und Speicherplatz auf Portalen, Fitnessdaten gegen Tarifreduktion oder Aufmerksamkeit auf Produktplatzierungen gegen Nachrichten. Es bestehen Besitz-, Eigentums- und Nutzungsrechte. Regulierung zielt auf die Sicherung dieser Rechte ab, auf die Vereinfachung des Austausches und den Abbau von Handelsschranken. Menschen und ihre Daten sind Objekte des Wirtschaftskreislaufs. Diese Position findet sich in den USA und Asien, sowie bei internationalen Handelsorganisationen; von dort dringt sie nach Europa.

3. Archaische Fiktion: Nach dieser Position ist Privatheit veraltet und in der heutigen digitalen Gesellschaft nicht mehr vorhanden. Wir sollten uns damit abfinden, da wir in einer Post Privacy Gesellschaft leben. Glaubt man dieser Position, bewegen wir uns hin zu einer radikalen Transparenz- und Abrechnungsgesellschaft, in der alles über jeden bekannt ist. In dieser werden die gesellschaftlichen Entscheidungen von uninformierten Massen, einem Smart Mob oder sogar von Algorithmen automatisiert getroffen. Angesichts der Brisanz dieser Zero-Privacy Doktrin[29] kann man leidenschaftliche Proteste[30] dagegen gut nachvollziehen. Diese Position findet sich in Dystopien, aber auch bei Unternehmen der Informations- und Kommunikationstechnologie sowie bei Sicherheitsfirmen und ihnen nahestehenden Lobbys.

Das Spannungsfeld zwischen der Position Grundrecht und der Position Wirtschaftsgut ist insofern von Bedeutung, als sich hier die Frage klärt, wem welche Rechte an Daten zukommen:[31] den Personen, von denen die Daten stammen und auf welche sich die Daten beziehen; oder den Unternehmen, welche diese Daten ermitteln, nutzen und mit ihnen handeln. Für beide Positionen können Gründe gefunden werden – jedoch mit gänzlich unterschiedlichen Auswirkungen auf die Würde des Menschen und seine Stellung in der digitalen Wirtschaft.

Rechtlich wird die Speicherung und Nutzung personenbezogener Daten meist als Verbot mit Erlaubnisvorbehalt konstruiert. Dies besagt: Grundsätzlich dürfen personenbezogene Daten nicht gespeichert oder verwendet werden. Wie stringent dieses Verbot umgesetzt wird, ist von Land zu Land sehr verschieden. Noch wichtiger ist aber die Erlaubnis: Geben Betroffene Einblick in ihre Daten oder gestatten sie gar in aktiver Mitwirkung die Nutzung, so enden die Schutzmöglichkeiten dieses Rechtsansatzes. Die Freiheit einer offenen Gesellschaft erlaubt ihren Mitgliedern die Entscheidung zu selbstschädigendem Verhalten. Hat diese Selbstbeschädigung einen ökonomischen Vorteil für Dritte und verfügen diese über eine finanzstarke Lobby, dann wird die öffentliche Kommunikation über das Thema schwierig. Die Debatten über Tabak-Konsum und Tabak-Werbung sind bekannt und verlaufen entlang ähnlicher Linien wie die Warnungen vor einer datenschutztechnischen Selbstbeschädigung bei der Nutzung von Diensten wie Google oder Facebook.[32]

Rechtliche Probleme im Datenschutz bestehen viele: Zu den wichtigsten zählen uneinheitliche Standards in den Ländern, die zum Forum-Shopping einladen (d.h. Anbieter wählen das Recht jenes Landes, das ihnen die meiste Handlungsfreiheit bietet) oder wirkungslose Sanktionen, die für den Täter ökonomisch wenig schmerzhaft sind. Ob dies innerhalb der EU durch die neue Datenschutz-Grundverordnung besser wird, muss sich zeigen; im internationalen Umfeld bestehen diese Probleme fort.

Program­mie­rung: Die de-fac­to-­Si­tua­tion

Programmierung ist ein faktisches Normativ. Code is law. Der technische Aufbau eines informationsverarbeitenden Systems erzeugt eine Datenschutz-Realität, die wirksam wird und unabhängig von den rechtlichen Rahmenbedingungen und den Präferenzen der Anwender von diesen hinzunehmen ist. Ich will hier exemplarisch drei Aspekte herausarbeiten:
Die Anwender wollen ihre Daten nicht schützen. Der Zugang zu wichtigen Kommunikationsdiensten, etwa der Google-Suche, dem sozialen Netzwerk Facebook oder den vielen Diensten auf Smart Phones, wird erst freigegeben, wenn die Benutzer der weitgehenden Nutzung ihrer privaten Daten zugestimmt haben. Der Konstruktionsfehler ist, dass es zwar für die Grundversorgung mit unerlässlichen Diensten wie Wasser- und Stromversorgung Kontrahierungspflichten gibt, Verträge über digitale Dienste aber der Privatautonomie unterliegen. Aus der Sicht der Anbieter beruht die Finanzierung ihrer Dienste auf der Vermarktung der Nutzerdaten. Darauf lassen sich die Anwender „freiwillig“ ein.

Problematisch ist dabei die Asymmetrie des Preises: Würden die Dienstleistungen in Euro oder Dollar bezahlt, könnten die Nutzer eine Vorstellung vom Wert ihrer Daten ableiten. Bei den „kostenlosen“ Angeboten können sie jedoch den „Wert“ ihrer Gesundheits- und Verhaltensdaten– im Gegensatz zu den Dienst-Providern – nicht einschätzen.

Den Anwendern wird es praktisch verwehrt, ihre Daten zu schützen. Für Emails gibt es etwa relativ zuverlässige Verschlüsselungssysteme.[33] Sie werden von den Massenanbietern jedoch nicht eingesetzt, da diese die Mails ihrer Nutzer auswerten wollen.[34] Die verfügbaren Systeme erfordern vom Benutzer einen hohen Aufwand, sind schwer zu bedienen und verlangen für die tatsächliche Gewährleistung von Sicherheit fortgeschrittene technische Fertigkeiten.[35] Darüber hinaus gibt es Systeme, die zwar kraft Gesetz als sicher gelten, den Herstellern aber eine technisch unsichere Umsetzung erlauben. Das deutsche De-Mail-System etwa fordert nur eine Transport-Verschlüsselung (für die Übertragung zwischen den Providern), aber keine Ende-zu-Ende Verschlüsselung (vom Absender bis zum Empfänger). Damit können die Betreiber des Dienstes weiterhin auf die Inhalte der Mails zugreifen.[36]

Die Anwender können ihre Daten nicht schützen, wenn informationstechnische Systeme so (fehl-)konstruiert wurden, dass Dritte unerkannt auf ihre Datenbestände zugreifen können. Der amerikanische Geheimdienst NSA hat beispielsweise dafür gesorgt, dass die Normierungsbehörde NIST einen kryptografischen Algorithmus standardisierte, in den die NSA zuvor eine Hintertüre eingebaut hatte.[37] Der Forschung sind viele systematische Fehler in der Sicherheitsarchitektur der Mobilfunksysteme GSM, LTE sowie im Signalisierungssystem 7 bekannt.[38] Dabei handelt es sich nicht um theoretische Spitzfindigkeiten, sondern um Lücken, die von Kriminellen unter anderem bereits genutzt wurden, um sich Zugriff auf fremde Bankkonten zu verschaffen und diese abzuräumen.[39]

Bequem­lich­keit und mensch­li­ches Verhalten – Plädoyer für die Digitale Aufklärung 2.0

Das schwächste Glied in der Kette zwischen Recht und System sind die Menschen mit ihren Verhaltensweisen. Aus Bequemlichkeit und Unkenntnis nehmen sie ihnen zustehende Rechte nicht wahr und verzichten auf ihre Möglichkeiten als Konsumenten und Stimmbürger. Die Wahlmöglichkeiten sind bereits eingeschränkt: Wir können aus hunderten Modellen von Mobiltelefonen und Computern nach Bildschirmgrößen, Farbe und Formen wählen, wir können Profile auf Facebook, Twitter, Instagram etc. gestalten. Die Freiheit, diese Systeme in datenschutzfreundlicher Weise zu nutzen, ist jedoch sehr eingeschränkt. Die Gestaltung des digitalen Lebensraums ist Informatikern unter Einsatz von sehr viel Zeit möglich, wird aber durch Unternehmen und Politik erschwert. Die digitale Gesellschaft entwickelt sich in Richtung eines Feudalismus 2.0. Es mehren sich daher die Stimmen, die nach einer Aufklärung 2.0 rufen. Mit Kant wollen wir fordern:[40]

Digitale Aufklärung ist der Ausgang des Menschen aus seiner selbst verschuldeten Unmündigkeit. Unmündigkeit ist das Unvermögen, sich seiner Daten und digitalen Endgeräte ohne Leitung, Bevormundung und Überwachung eines anderen zu bedienen. Selbst­ver­schuldet ist diese Unmündigkeit, wenn die Ursache derselben nicht am Mangel technischer Möglichkeiten sondern der Entschließung und des Mutes liegt, sich seiner ohne Leitung, Bevormundung und Überwachung eines anderen zu bedienen.

Der Leitspruch einer digitalen Aufklärung könnte lauten:
Habe Mut, die eigene Hoheit über Deine Daten zurück zu gewinnen!

4 Ein Ausblick

Die Debatte über Privatheit ist nur ein Symptom der Krise unserer Gesellschaftsordnung. Die präzise Einschätzung des Gegenüber erlaubt gute Vorhersagen von Werten, Präferenzen und Interessen. Informationen über Mitmenschen werden umgerechnet in Chancen der Machtausübung. Die wirksamste Form struktureller Machtausübung ist jene, welche den Gegner eliminiert und dem Einzelnen die Illusion der Chance zur Selbstverwirklichung vermittelt: Aus Fremdausbeutung wird Selbstausbeutung. Ermöglicht wird diese durch glaubhafte Phantasien der Allmachbarkeit: das Versprechen, dank weitgehender Unterstützung durch digitale Systeme und smarte Assistenten das persönliche Optimum erreichen zu können. Diese Illusion ist auf vielen Ebenen wirksam, sie zieht sich von der Hochschule 4.0 bis zur Industrie 4.0.

Die Entwicklung ist nur schwer zu hinterfragen, da alles nur der Optimierung dient. Kritiker sehen sich rasch als Nörgler verunglimpft, deren angeblich rückständigen Argumente ins Lächerliche gezogen werden, da sie sich dem Rausch ewiger Verbesserung entgegenstellen.[41] Die philosophische Antwort gibt Byung-Chul Han in seinem Text über die Müdigkeitsgesellschaft mit dem Hinweis:[42] „Protect me from what I want“. Eine treffende künstlerische Charakterisierung liefert das Lied ‚Der Wilde mit seiner Maschin‘‘, in welchem der österreichische Kabarettist Gerhard Bronner 1956 die Begeisterung eines Halbstarken an seinem Motorrad beschreibt:[43]

„Zwar hab ich ka Ahnung wo ich hinfahr, aber dafür bin i g’schwinder dort.“

Man kann die Situation mit Paul Watzlawick als ein systemisches Problem zweiter Ordnung betrachten, bei dem ein „mehr der bisherigen Lösung“ das Problem nur weiter verschlimmert, und bei dem das Ignorieren der eigentlichen Problematik dafür benutzt wird, sich echten Lösungen zu verweigern.

Die Debatte über Privatheit ist wichtig. Sie ist aber nur ein Stellvertreterkrieg für die wichtigere Frage, wie ökonomische Probleme unseres Zusammenlebens gelöst werden sollen. Erstaunlich daran ist, dass sich diese Frage zu einer Zeit stellt, in der wir über unglaublich leistungsfähige Technologien und bemerkenswerte wissenschaftliche Erkenntnisse verfügen. Das Problem besteht daher nicht in einem Mangel an technischen Lösungen oder einer unerwarteten, unvermeidlichen Katastrophe. Nachhaltige Lösungen könnten bei den philosophischen Fragen nach der Bestimmung des Menschen und seinem Verhältnis zu Mitmensch und Umwelt ansetzen.

CLEMENS HEINRICH CAP   hat Mathematik, Informatik und Physik studiert und in Mathematik promoviert. Nach Tätigkeiten an den Universitäten Innsbruck, Mannheim und Zürich hat er derzeit den Lehrstuhl für Informations- und Kommunikationsdienste an der Universität Rostock inne. Seine fachlichen Interessen umfassen Internet-Anwendungen und Dienste, Systemsicherheit, verteilte Systeme und gesellschaftliche Auswirkungen der Informatik. Er ist Titularprofessor an der Universität Zürich und hält regelmäßig Vorlesungen im Baltikum.

Anmerkungen:

1 Louis Brandeis and Samuel Warren: The Right to Privacy. Harvard Law Review 4 (1890-1891), pp 193-220.

2 BVerfG, Urteil v. 15. Dezember 1983, Az. 1 BvR 209, 269, 362, 420, 440, 484/83.

3 William J. McGee: How to Get the Lowest Airfares. Consumer Reports, 25. 8. 2016, https://www. consumerreports.org/airline-travel/how-to-get-the-lowest-airfares/ und Catherine McGloin: Do Browser Cookies Increase Flight Prices? Skyscanner v. 20.1.2017, https://www.skyscanner.net/ news/tips/do-cookies-increase-flight-prices/ sowie Jennifer Valentino-DeVries et al: Websites Vary Prices, Deals Based on Users Information. The Wall Street Journal v. 24.12.2012, https://www. wsj.com/articles/SB10001424127887323777204578189391813881534

4 Dana Mattioli: On Orbitz, Mac Users Steered to Pricier Hotels. The Wall Street Journal, 23. 8. 2012, https://www.wsj.com/articles/SB10001424052702304458604577488822667325882

5 Patrick Beuth: Wenn der Staubsauger die Wohnung filmt. Die Zeit v. 26.5.2015, http://www.zeit.de/digital/internet/2015-05/staubsauger-roboter-roomba-vernetzter-haushalt und Martin Holland: Roomba: Hersteller der Staubsaugerroboter will Karten der Wohnungen verkaufen. Heise Online v. 25.7.2017, https://www.heise.de/newsticker/meldung/Roomba-Hersteller-der-Staubsaugerrobot er-will-Karten-der-Wohnungen-verkaufen-3782216.html

6 Mia Franke: Pay-as-you-Drive-Versicherungen noch Zukunftsmusik? Individuelle Prämien. Auto Zeitung v. 12.10.2015, https://www.autozeitung.de/pay-as-you-drive-versicherungen-deutschl and-praemien-74153.html

7 Wiltrud Weidner im Interview mit Rafael Kurz. Versicherungswirtschaft Heute v. 11.4.2016, http://versicherungswirtschaft-heute.de/vertrieb/echter-pay-as-you-drive-bleibt-zukunftsmusik/

8 Stephan Dörner: Diese Krankenkassen bezuschussen die Apple Watch. Die Welt v. 4.8.2015, https://www.welt.de/wirtschaft/article144818188/Diese-Krankenkassen-bezuschussen-die-Apple-Watch.html sowie Irene Berres und Nina Weber: Zuschuss für Wearables: die Kasse trainiert mit. Spiegel Online v. 7.8.2015, http://www.spiegel.de/gesundheit/ernaehrung/apple-watch-und-co-was-soll-die-krankenkasse-bezuschussen-a-1046835.html

9 Oliver Budzinski und Sonja Schneider: Smart Fitness: Ökonomische Effekte einer Digitalisierung der Selbstvermessung. Diskussionspapier Nr. 105, TU Ilmenau, Institut für Volkswirtschaftslehre, März 2017, https://www.tu-ilmenau.de/fileadmin/media/wth/Diskussionspapier_Nr_105.pdf

10 Mitesh S. Patel et al: Wearable Devices as Facilitators, Not Drivers, of Health Behavior Change. JAMA, 2015; 313(5):459-460. doi:10.1001/jama.2014.14781

11 Nach einer Analyse von Rich Parris (Online T&Cs Longer Than Shakespeare Plays – Who Reads Them Which Conversation, 23.3.2012, https://conversation.which.co.uk/technology/length-of-75 Cap: Privacy by Design vorgänge #221/222 website-terms-and-conditions/) sind die Terms of Services von Paypal länger als Shakespeares Hamlet und die Bedingungen von Apples iTunes immerhin noch länger als Shakespeares Macbeth.

12 Martin Holland: Fitnesstracker: Strava-Aktivitätenkarte legt Militärbasen und Soldaten-Infos in aller Welt offen. Heise Online, 29.1.2018, https://www.heise.de/newsticker/meldung/Fitnesstracker-Strava-Aktivitaetenkarte-legt-Militaerbasen-und-Soldaten-Infos-in-aller-Welt-offen-3952875.html

13 S. http://www.sueddeutsche.de/digital/donald-trump-tausche-usa-visum-gegen-facebook-passwo rt-1.3369298

14 Bernd Kramer: Gescheiterte US-Einreise: Ich kam mir vor wie eine Schwerverbrecherin. Spiegel Online, 5.8.2015, http://www.spiegel.de/lebenundlernen/schule/usa-einreise-abgelehnt-20-jaehri ge-wegen-facebook-chat-abgewiesen-a-1046792.html

15 Das klassische Beispiel ist das sog. Judenregister, dass aus Mitgliederdaten jüdischer Gemeinden sowie Volkszählungsdaten erstellt wurde und den Nationalsozialisten dabei half, die „Effizienz“ des Holocaust erheblich zu steigern, s. https://de.wikipedia.org/wiki/Judenkartei

16 Byung-Chul Han: Im digitalen Panoptikum. Spiegel Online, 6. 1. 2014, http://www.spiegel.de/spiegel/print/d-124276508.html

17 In Deutschland aufgrund des Allgemeinen Gleichbehandlungsgesetzes, das im Bereich der Arbeitswelt, des Sozialschutzes, der Gesundheitsdienste, der Bildung und der Versorgung mit öffentlich zugänglichen Gütern, Dienstleistungen und Wohnraum Benachteiligungen wegen Rasse, Ethnie, Geschlecht, Religion, Weltanschauung, Behinderung, Alter oder sexueller Orientierung verbietet.

18 Aaron M. Bornstein: Are Algorithms Building the New Infrastructure of Racism? Nautilus 55 (2017). http://nautil.us/issue/55/trust/are-algorithms-building-the-new-infrastructure-of-racism

19 Byung-Chul Han: Müdigkeitsgesellschaft. Reihe: Fröhliche Wissenschaft. Matthes & Seitz, 2010.

20 Hartmut Rosa: Beschleunigung und Entfremdung – Entwurf einer kritischen Theorie spätmoderner Zeitlichkeit. Suhrkamp, 2013.

21 Clemens H. Cap: Risks and Side Effects of Data Science and Data Technology. In: M. Braschler, T. Stadelmann, & K. Stockinger (Hrsg.): Applied Data Science – Lessons Learned for the Data-Driven Business, Springer, 2018.

22 Gürses Seda, Carmela Troncoso und Claudia Diaz: Engineering Privacy by Design. Computers, Privacy & Data Protection 14 (2011).

23 Im Unterschied zur oftmals gleich bezeichneten Löschmarkierung, die zwar den normalen Zugriff auf die Daten unterbindet, deren Rekonstruktion aber technisch gestattet.

24 Das deutsche Bundesamt für Sicherheit in der Informationstechnik hält dazu im Dokument SYS.4.1 Drucker, Kopierer und Multifunktionsgeräte Richtlinien bereit: https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/bausteine/SYS/SYS_4_1_Drucker,_Kopierer_und_Multifunktionsger%C3%A4te.html

25 Deutsche Vereinigung für Datenschutz e. V.: Polizei ermittelt Autobahnschützen mit Kfz-Kennzeichenerfassung und Funkzellenkontrolle. Datenschutznachrichten 3/2013, S. 115-116. https://www. datenschutzverein.de/wp-content/uploads/2015/04/DANA_13_3_Heft.pdf

26 Eine gute Zusammenfassung findet sich in der Stellungnahme von Thomas Feltes und Andreas Ruch zum Videoüberwachungsverbesserungsgesetz, A-Drs. 18 (4) 785 C des Innenausschusses, https://www.bundestag.de/blob/495434/95e763508e5400acbad1bc0b71386d98/18-4-785-c-data.pdf

27 S. https://www.ccc.de/system/uploads/103/original/Schaar-Bericht.pdf

28 Paul Ohm: Broken Promises of Privacy: Responding to the Surprising Failure of Anonymization. UCLA Law Review 1701 (2010), 1701-1777, http://www.uclalawreview.org/pdf/57-6-3.pdf

29 “You have zero privacy. Get over it”. Scott Mc Nealy in: Polly Sprenger: „Sun on Privacy: ‚Get Over It'“. Wired, 26. 1. 1999, http://www.wired.com/politics/law/news/1999/01/17538

30 „I’ve heard quite a lot of people that talk about post-privacy, and they talk about it in terms of feeling like, you know, it’s too late, we’re done for, there’s just no possibility for privacy left“ in vorgänge #221/222 Schwerpunkt: Perspektiven des Datenschutzes nach der DSGVO „[…] and we just have to get used to it. And this is a pretty fascinating thing, because it seems to me that you never hear a feminist say that we’re post-consent because there is rape. And why is that? The reason is that it’s bullshit.“ Jacob Appelbaum an der re:publica 2012 in: Appelbaum & Kleiner – Resisting the Surveillance State and its Network Effects., https://www.youtube.com/watch?v=Y3h46EbqhPo&t=7m46s

31 „Meine Daten gehören mir“. Es drängt sich ein Vergleich mit dem Satz aus der Abtreibungsdebatte auf: „Mein Bauch gehört mir“.

32 Clemens H. Cap: Verpflichtung der Hersteller zur Mitwirkung bei informationeller Selbstbestimmung. In: Friedewald, M., Lamla, J. & Roßnagel, A. (Eds.): Informationelle Selbstbestimmung im digitalen Wandel. Springer Vieweg, DuD-Fachbeiträge, 2016 und Clemens H. Cap: Vertrauen in der Krise: Vom Feudalismus 2.0 zur Digitalen Aufklärung. In: Haller, M. (Ed.): Öffentliches Vertrauen in der Mediengesellschaft. Halem Verlag.

33 Etwa die Systeme PGP (Pretty Good Privacy) oder GPG (Gnu Privacy Guard).

34 Jose Pagliery: Microsoft Defends Its Right to Read Your Email. CNN Tech, 21. 3. 2014, http://money.cnn.com/2014/03/21/technology/security/microsoft-email/index.html, Russell Brandom: Microsoft Just Exposed Email’s Ugliest Secret. The Verge, 21.3.2014, https://www.theverge.com/ 2014/3/21/5533814/google-yahoo-apple-all-share-microsofts-troubling-email-privacy-policy und Janko Roettgers: Google Will Keep reading Your Emails, Just Not for Ads. Variety, 23.6.2017, http://variety.com/2017/digital/news/google-gmail-ads-emails-1202477321/

35 Alma Whitten und J. D. Tygar: Why Johnny Can’t Encrypt. In: L. Cranor und G. Simson (Hrsg.): Security and Usability: Designing Secure Systems that People Can Use. O’Reilly, 2005, pp. 679-702, https://people.eecs.berkeley.edu/~tygar/papers/Why_Johnny_Cant_Encrypt/Oreilly.pdf; 10 Jahre später: Scott Ruoti, Jeff Andersen et al: Why Johnny Still, Still Can’t Encrypt: Evaluating the Usability of a Modern PGP Client. https://arxiv.org/pdf/1510.08555.pdf

36 Einige Anbieter haben nachgebessert. Siehe auch Holger Bleich: De-Mail: Ende-zu-Ende-Verschlüsselung mit PGP gestartet. Heise Security v. 22.4.2015, https://www.heise.de/security/meldung/De-Mail-Ende-zu-Ende-Verschluesselung-mit-PGP-gestartet-2616388.html Die Nachbesserungen – Javascript-basierte Verschlüsselung oder Browser-PlugIns – sind aus technischer Sicht problematisch und erlauben dem Anbieter ein einfaches Unterlaufen der angeblich sicheren Verfahren.

37 Nicole Perlroth, Jeff Larson und Scott Shane: NSA Able to Foil Basic Safeguards of Privacy on Web. The New York Times, 5.9.2013, http://www.nytimes.com/2013/09/06/us/nsa-foils-much-internet-encryption.html sowie Thomas C. Hales: The NSA Back Door to NIST. Notices of the AMS, Vol 62 No 2, 2014, http://www.ams.org/notices/201402/rnoti-p190.pdf

38 Mohsen Toorani und Ali A. Beheshti: Solutions to the GSM Security Weaknesses, Proc. 2nd IEEE International Conference on Next Generation Mobile Applications, Services, and Technologies, pp. 576–581, Cardiff, UK, September 2008, arXiv:1002.3175 sowie Syed Raiful Hussain, Omar Chowdhury et al: LTEInspector: A Systematic Approach for Adversarial Testing of 4G LTE. Network and Distributed Systems Security Symposium, San Diego, 2018, http://homepage.divms.uiowa.edu/~comarhaider/publications/LTE_NDSS18_paper.pdf und Swati Khandelwal: Real-World SS7 Attack — Hackers Are Stealing Money from Bank Accounts. The Hacker News, 3.5.2017, https://thehackernews.com/2017/05/ss7-vulnerability-bank-hacking.html

39 Fabian Scherschel: Deutsche Bankkonten über UMTS-Sicherheitslücken ausgeräumt. Heise Online, 3.5.2017, https://www.heise.de/newsticker/meldung/Deutsche-Bankkonten-ueber-UMTS-Sicherheitsluecken-ausgeraeumt-3702194.html

40 Clemens H. Cap: Verpflichtung der Hersteller zur Mitwirkung bei informationeller Selbstbestimmung. In: Friedewald, M., Lamla, J. & Roßnagel, A. (Eds.): Informationelle Selbstbestimmung im digitalen Wandel. Springer Vieweg, DuD-Fachbeiträge, 2016.

41 August-Wilhelm Scheer: Hochschule 4.0. Whitepaper Nr 8, AWSi Institut, 2015. Hier: Seite 32.

42 Niels Boeing und Andreas Lebert: Interview mit Byung-Chul Han. Zeit Online v. 7.9.2014. 77 Cap: Privacy by Design vorgänge #221/222 http://www.zeit.de/zeit-wissen/2014/05/byung-chul-han-philosophie-neoliberalismus/komplettansicht

43 Gerhard Bronner: „Der Wilde mit seiner Maschin’“. Weltmusik Edition International. Aufgeführt auf https://www.youtube.com/watch?v=vM3CmTkwHVM 78

Der Beitrag Privacy by Design – Chancen eines programmierten Grundrechts erschien zuerst auf Humanistische Union.

Der bisherige Kommentarliteratur zur Datenschutz-Grundverordnung (DSGVO) bezieht den Begriff des „Datenschutz-Risikos“ überwiegend auf die Vermeidung sichtbarer Schäden oder Kontrollverluste für Betroffene durch die Nutzung einer notorisch unsicheren IT. Eine solche Engführung des Verständnisses vom „risk-based-approach“ (RBA) verliert jedoch den Grundrechtseingriff und die Konditionierung der Machtasymmetrie zwischen Organisationen und Personen aus dem Blick. Martin Rost stellt in diesem Beitrag acht klar unterscheidbare Risikotypen vor.

Einleitung

Datenschutz wird mittlerweile häufig auf einen Schutz der Privatheit reduziert und missverstanden. Die Dringlichkeit oder Entbehrlichkeit des Datenschutzes wird dadurch zu einer Frage lediglich persönlicher Wertungen und Vorlieben. Datenschutz hat jedoch eine viel weiter reichende Funktion: Er wacht in modernen Gesellschaften darüber, dass Organisationen die bestehenden Autonomieerwartungen, die sich mit verschiedenen Rollen verknüpfen (bspw. als Bürger*in, Kund*in, Patient*in) nicht unterlaufen. Zu einem solchen Verständnis von Datenschutz gehören deshalb auch Elemente von Staatlichkeit, wie die Gewaltenteilung, die Rechtsstaatlichkeit und die Demokratie, die einerseits die Willkür von Organisationen brechen und andererseits „den modernen Bürger“ historisch überhaupt erst haben entstehen lassen. Der Umgang der Organisationen – z.B. Behörden, Unternehmen, Hochschulinstitute, Vereine, Arztpraxen und Notare – mit ihrem internen und externen Personal in einer modernen Gesellschaft ist einer der deutlichsten Indikatoren für Beschädigungen strukturell notwendiger Trennungen und Gewaltenteilungen zum Schutz vor Organisationswillkür. Organisationswillkür zielt darauf ab, aus würdevollen Subjekten willfährige Objekte zu machen. Die Willkür findet ihre Grenzen da, wo Grundrechte anerkannt sind und durch Aufsicht und wirksame Sanktionen durchgesetzt werden, nicht aber dort, wo nur ein Markt durchgesetzt ist. Wer gehört zu einer Organisation und muss mit einer weitgehend ungefragten Auswertung und Verarbeitung seiner personenbezogenen Daten rechnen? Wer kommt mit einer Organisation nur punktuell, etwa als Kundin oder Bürger, in Berührung und darf mit einem gewissen Schutz seiner personenbezogenen Daten rechnen? Diese Fragen zu entscheiden und die Beziehungen zu gestalten fallen heute wieder zunehmend ausschließlich in das Belieben der Organisationen. Dass der wirksame Schutz vor Organisations-Willkür, gleichgültig ob durch staatliche oder private Stellen, die zentrale Funktion von Datenschutz ist, kann man seit den 1970er Jahren wissen. Dieses Wissen erodierte allerdings in den letzten Jahrzehnten (vgl. Pohle 2018). Es zeigt sich aktuell wieder sehr deutlich: Ein operativ wirksamer Datenschutz erfordert klare staatliche und zivilrechtliche Sanktionen. [1]

Risiko­dis­kus­si­ons­felder im Kontext von Datenschutz

Die DSGVO legt hinsichtlich ihrer Auswahl und Dimensionierung technisch-organisatorischer Schutzmaßnahmen eine Orientierung an Risiken nahe. Es wäre aber falsch, deshalb gleich von einem „risk-based-approach“ der Grundverordnung zu sprechen, wie er bspw. in der IT-Sicherheit verfolgt wird. Dieser aus der Finanz- und Versicherungswirtschaft stammende Begriff findet sich in der DSGVO jedenfalls nicht.

Die Orientierung an Risiken soll es ermöglichen, die in Artikel 5 DSGVO abstrakt formulierten Grundsätze der Datenverarbeitung sowie die auf deren Umsetzung, Wirksamkeit und Nachweisbarkeit abzielenden Vorschriften (bes. Artikel 24, 25, 32 und 35) in konkrete Verarbeitungs- und Schutzfunktionen zu transformieren. Die Risiko-Orientierung folgt der durchaus einleuchtenden Idee, dass ein Betroffener am Eintreten oder Ausbleiben von Schäden handfest und unmittelbar spüren kann, ob die operative Behandlung von Risiken, die durch eine personenbezogene Verarbeitungstätigkeit entstehen, gelungen ist oder nicht. In Erwägungsgrund (EG) 75 wird zudem die betriebswirtschaftlich bewährte Risikoformel zur Anwendung empfohlen, wonach ein unmittelbares Risiko für Personen nach der Formel „Schadenshöhe mal Eintrittswahrscheinlichkeit“ bestimmbar sei. Die Anwendung dieser Formel im Datenschutz erscheint plausibel, zumal sie z. B. Teil der bewährten IT-Grundschutz-Methodik des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist, mit der die Auswahl und die Intensität der Wirksamkeit von Schutzmaßnahmen der IT-Sicherheit festgesetzt wird. Allerdings schränkt das BSI den Nutzen dieser Risikoformel ein: „Solche umfangreichen Erfahrungswerte fehlen in den meisten Fällen im sehr dynamischen Umfeld der Informationssicherheit. Daher ist es in den meisten Fällen praktikabler, sowohl für die Eintrittshäufigkeit als auch für die potenzielle Schadenshöhe mit qualitativen Kategorien zu arbeiten.“ (BSI 2017: 26) Mit anderen Worten: Die Risikoformel ist im Kontext der IT-Sicherheit nur als Heuristik geeignet.

Im Datenschutz beschäftigt man sich mit Risiken, seit die Sicherheit von Informationstechnologien – zunächst im professionellen Umfeld, später dann auch im privaten Nutzungsbereich und in Computernetzen – zu einem relevanten Problem wurde. Mittlerweile haben die anhaltende „Computerisierung“, „Digitalisierung“ und „Vernetzung“ insbesondere bei technischen Datenschützern dazu geführt, Risiken des Datenschutzes mit Risiken der IT weitgehend gleichzusetzen (vgl. Rost 2013). Aus Sicht der IT-Sicherheit sind personenbezogene Daten lediglich „besonders schützenswerte Daten“, die es sicherheitstechnisch vor unbefugtem Zugriff (von Außen wie von Innen) zu schützen gilt. Vielfach vertreten selbst professionelle Datenschützer*innen die Ansicht: Wenn die IT nur hinreichend sicher betrieben wird und eine Rechtsgrundlage für eine Datenverarbeitung vorliegt, ist auch grundrechtlich alles Notwendige getan. Eine solche Auffassung greift aus Datenschutzsicht nicht nur zu kurz, sie ist falsch. IT-Sicherheit herzustellen ist selbstverständlich auch für den operativen Datenschutz unverzichtbar. Aber dies kann erst der zweite Schritt sein, davor besteht die anders gelagerte Aufgabe, die Grundrechtseingriffe operativ auf ein unabweisbares Mindestmaß zu reduzieren. Dazu gleich mehr.

Die technisch verengte, die Interessen Dritter und der Allgemeinheit vernachlässigende, Vorstellung vom Datenschutz wird zusätzlich durch eine ökonomische Sichtweise verstärkt. Danach besteht das zu lösende Problem der Betroffenen bzw. Kund*innen vornehmlich darin, ihre personenbezogenen Daten möglichst teuer an die sich dafür interessierenden Firmen zu verkaufen: „Meine Daten gehören mir (und ich bestimme ihren Preis)!“ In dieser Wahrnehmung besteht das Risiko der Betroffenen darin, dass sie ihre Daten zu billig verkaufen. Wenn diese Schnäppchen-Mentalität nicht in ein grundrechtliches Verständnis von Sinn und Zweck des Datenschutzes übergeht (was eine trivialisierende Ökonomisierung von Daten ausschließt), ist nichts an einer Souveränität für Betroffene gewonnen.

Eine weitere Trivialisierung des Datenschutzes besteht darin, den Schutz vor Werbematerialien für dessen Kardinalproblem zu halten. Hier gilt es zu verstehen, dass es im Kontext von „Werbung“ inzwischen viel weiter greifend um die Vorhersage von Verhalten und um die gezielte Steuerung von Personen auf Basis der Auswertung entsprechender gesammelter Daten geht. Das muss ebenfalls berücksichtigt werden, wenn ein Unwohlsein vor US-amerikanischen Kommunikationsunternehmen und Geheimdiensten formuliert wird, nur weil deren Aktivitäten nicht hinreichend transparent sind. Es geht um mehr als Transparenz, es geht inzwischen auch um subtiles Fälschen und Manipulieren von Kommunikationen. Ebenso wird das Hacker-Risiko als großes Problem in den Blick gestellt, wonach Bürger*innen damit rechnen müssen, dass Kriminelle beliebigen Zugriff auf PCs nehmen können. Mit jedem dieser Narrative gerät der Datenschutz mehr aus dem Blick oder wird kleingeredet. Zudem legen sie den Gedanken nahe, dass der einzelne Betroffene Datenschutz nur bei sich und für sich selbst lösen könne. Insofern erscheint dann „Selbstschutz“ sogar als aussichtsreichste Risikobewältigungsstrategie, die (wenn überhaupt) nur jenen IT-Expert*innen vorbehalten bleibt, die Privacy-Enhancing-Technologies beherrschen. Nein, nicht die Menschen sind Schuld, wenn Organisationen sich nicht an Datenschutzrecht halten.

Nach derartigen falschen Vereinfachungen zum Datenschutzproblem ist es an der Zeit, die Dimensionen des Risiko-Begriffs im Kontext eines grundrechtsorientierten Datenschutzes neu zu bestimmen. Diese Bestimmung muss ansetzen an einer wirksamen Umsetzung der „Rechte und Freiheiten von Personen“, wie die französische Formel das nennt, was im Deutschen „Grundrechte“ heißt.

Risiken im Kontext der DSGVO

Im EG 75 ist hinsichtlich der Risiken mangelhaften Datenschutzes von einem „physischen, materiellen oder immateriellen Schaden“, von „Diskriminierung, Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, Rufschädigung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten, der unbefugten Aufhebung der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen“ die Rede. Weiterhin wird auf Fälle verwiesen, bei denen Personen „… daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren, wenn personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Zugehörigkeit zu einer Gewerkschaft hervorgehen, und genetische Daten, Gesundheitsdaten oder das Sexualleben oder strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln betreffende Daten verarbeitet werden, wenn persönliche Aspekte bewertet werden, insbesondere wenn Aspekte, die die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, die Zuverlässigkeit oder das Verhalten, den Aufenthaltsort oder Ortswechsel betreffen, analysiert oder prognostiziert werden …“

In einem der ersten, vom Bundesministerium des Innern herausgegebenen Kommentare zur DSGVO interpretiert Winfried Veil den EG 75 unter der problematischen Überschrift „risikobasierter Ansatz“. Ihn überzeugt die „holzschnittartige Auflistung“ nicht, u. a. weil die DSGVO an keiner Stelle die Schutzgüter definiere, gegen die das Risiko bzw. die Schäden für Rechte und Freiheiten abgeschätzt werden können (vgl. Veil 2018: 721). Er übersieht jedoch, dass gerade durch die Auflistung möglicher Schäden der Grundrechtsbezug verloren geht. Anstatt diesem Problem zu begegnen, weitet Veil die EG-75-Liste aus und ergänzt sie um weitere Risiken, die er dadurch zu rechtfertigen versucht, dass sie nunmehr „wissenschaftlich fundiert“ seien. Als weitere Risiken nennt Veil: „Erhöhung individueller Verletzlichkeit durch Straftaten“, „Schamgefühl und Publizitätsschäden“, „Selektivitätsschäden“ (unerwünschte Informationsverwendung in Auswahlprozessen), „Informationspermanenz“ (Schäden aus unbegrenzter Speicherbarkeit von Daten), „Entkontextualisierung“, „Informationsemergenz“, „Informationsfehlerhaftigkeit“, „Behandlung des Menschen als Objekt“, „Fremdbestimmung“ und die „Enttäuschung von Vertraulichkeitserwartungen“ (Veil 2018: 724). Die Auflistung möglicher Datenschutz-Risiken in dieser Konkretion ist durchaus verdienstvoll. Aber Veil teilt offenbar nicht die Auffassung, dass die von ihm genannten Risiken bereits vollständig durch die Grundsätze in Artikel 5 DSGVO erfasst werden! Das Schutzgut der DSGVO ist, anders als Veil behauptet, ganz klar ausgewiesen: Es betrifft zum einen die aus Artikel 5 DSGVO ableitbaren Rechte, die auf Artikel 8 der EU-Grundrechte-Charta (GrCh) zurückgehen. Und es sind zum anderen die daraus resultierenden tatsächlichen Freiheitsgarantien für Personen, die aus einer wirksamen Umsetzung dieser und weiterer Grundsätze der DSGVO gegen die strukturelle Übermacht der Organisationen resultieren.

Diese Interpretation des Artikels 5 verlangt die Bereitschaft, die Grundsätze im Sinne von Gewährleistungs- und Schutzzielen auszulegen, die in IT-Systemen methodisch umzusetzen sind. Veil weist darauf hin, dass der Normengeber in Artikel 5 explizit nicht von Schutzzielen spreche (Veil 2018: 722). Diese Lesart kann nicht überzeugen. Schutzziele sind ein inzwischen methodisch etabliertes Instrument, um Beeinträchtigungen, also Grundrechtseingriffe und Schutzmaßnahmen, zu identifizieren. Schutzziele sind insofern eine Antwort auf die rechtsphilosophische Einsicht David Humes, wonach aus dem Sein kein Sollen folge, und auch aus einem Sollen kein unmittelbar erzeugbares Sein. Genau dafür, für die Vermittlung zwischen Sein und Sollen, bedarf es vermittelnder Modelle. Schutzziele machen in einer gegenseitig schonenden Weise beide Seiten – Technik und Recht – füreinander relevant und aufeinander beziehbar. Zumindest das Bundesverfassungsgericht findet dieses Konzept der Schutzziele überzeugend, wie sich im 2008 ergangenen Urteil über die Vertraulichkeit und Integrität von IT-Systemen zeigt (vgl. BVerfG 2008).

Für jeden der Grundsätze aus Artikel 5 sowie die „Optimierungsgebote der Schutzziele“ (Bock/Robrahn 2018) steht ein Katalog mit Umsetzungsmaßnahmen bereit, deren Wirkintensität durch die Höhe des Risikos bzw. die Höhe des Schutzbedarfs bestimmbar ist (vgl. SDM 2016). Die Risiken für Betroffene bestehen im engen Sinne darin, dass Organisationen die in Artikel 5 DSGVO bzw. in Artikel 8 GrCh formulierten Grundsätze nicht beachten. Diese Grundsätze und deren Umsetzung sind es, gegen die jede Verarbeitungstätigkeit – bspw. im Kontext der Datenschutz-Folgenabschätzung gemäß Artikel 35 oder des Data-Protection-By-Design gemäß Artikel 25 – zu planen, zu betreiben und nicht zuletzt auch zu prüfen ist. Die Liste konkret erwartbarer Schäden in EG 75 gibt dafür zusätzlichen Halt, sie ist aber bei Weitem nicht hinreichend, um alle wesentlichen Datenschutz-Risiken zu identifizieren und mit Blick auf die betroffenen Personen zu analysieren, zu bewerten und angemessen zu bearbeiten.

Felix Bieker hat einen ungleich überzeugenderen Ansatz vorgestellt, wie die Datenschutz-Risiken auf den Schutz der Rechte und Freiheiten zu fokussieren sind. Bieker macht zunächst die vergleichsweise kurze Passage des EG 75 stark, in der ausdrücklich auch von den „immateriellen Schäden“ und der „Verletzung der Rechte und Freiheiten der Personen“ die Rede ist. Zusätzlich zieht er EG 94 hinzu, der noch einmal ausdrücklich besagt, „… dass ein Risiko nicht nur einen möglichen Schaden, sondern bereits die Beeinträchtigung eines Grundrechts umfasst. Für das Grundrecht auf Datenschutz nach Art. 8 GrCh bedeutet dieses Risiko, dass die – bereits durch jegliche Verarbeitung bestehende – Beeinträchtigung nicht in dem Maße verringert wird, wie es der Schutz der natürlichen Person erfordert.“ (Bieker 2018: 29)

Bezogen auf die technisch-organisatorischen Maßnahmen heißt das: Für eine personenbezogene Verarbeitung sind Vorkehrungen zu treffen, die die Beeinträchtigungen und Risiken für die Rechte und Freiheiten, die bereits durch die bloße Verarbeitungstätigkeit immer und notwendig entstehen, auf das geringst mögliche Maß verringern. Es gilt, nicht erst einen möglicherweise eintretenden materiellen (finanziellen) oder immateriellen (Rufschädigung) Schaden abzuwarten, um einen manifesten Datenschutzkonflikt identifiziert zu haben.

Acht Risikotypen

Viele Kommentatoren, und vor allem viele Datenschutz-Praktiker beziehen sich in einer Risikoanalyse ausschließlich auf die in EG 75 konkret gelisteten Risiken (typisch: Schmitz 2018). Mit den sich daraus ergebenden wenigen Schutzmaßnahmen zur Erhöhung der IT-Sicherheit können Organisationen sehr gut leben. So beruhigt bspw. Veil die Verantwortlichen damit, dass zwar zu berücksichtigen sei, „… in welchem Ausmaß Risiken durch die konkrete Art der Datenverarbeitung entstehen, aber auch, wie sie bspw. durch technisch-organisatorische Maßnahmen, Transparenzmaßnahmen oder die Möglichkeit zur Geltendmachung von Betroffenenrechten wieder begrenzt werden […]. Aus Sicht eines Verantwortlichen können zusätzliche risikobegrenzende Maßnahmen also ein Weg sein, eine Interessensabwägung zu ‚gewinnen‘.“ (Veil 2018: 238, Rn. 143)

Diese Kommentatoren verkennen die Funktion des Rechts bei der Bearbeitung spezifischer Konflikte: Recht macht Konflikte sichtbar, indem es diesen eine kommunizierbare Form gibt.[2] Allerdings löst die rechtliche Bearbeitung eines Datenschutzkonflikts den Konflikt nicht auf; das muss man auch vielen Datenschutz-Jurist*innen immer wieder ins Gedächtnis rufen. Um bspw. Umweltschutz durch ein angemessenes Umweltschutzrecht zu befördern, müssen Sachexpert*innen auch zu den biologischen, chemischen, physikalischen Eigenschaften der Umwelt herangezogen werden, die dem Konflikt zwischen Ökologie und Ökonomie eine kommunikativ zugängliche Form geben können, die sich dann politisch, rechtlich, wissenschaftlich bearbeiten lässt. Für die Umsetzung von Datenschutz müssen analog dazu Expert*innen für Organisationen, Sozialstrukturen und technische Systeme zu Rate gezogen werden. Das war in der ersten Phase der Entwicklung des Datenschutzrechts in den 1970er Jahren auch noch der Fall (vgl. Podlech et al. 1976). Seit der Machtübernahme der Jurist*innen in den Datenschutzaufsichtsbehörden werden materielle Analysen zentraler Datenschutzkonflikte offenbar für entbehrlich gehalten; Datenschutz wird spätestens seit dem Volkszählungsurteil auf Datenschutzrecht reduziert. Ohne die verschiedenen Dimensionen struktureller Datenschutzkonflikte zu berücksichtigen ist es jedoch unmöglich, einen Maßstab für die Beurteilung der Qualität und Wirkung datenschützerischer Aktivitäten zu gewinnen (vgl. Pohle 2018). Der durch Datenschutz zu bearbeitende Konflikt besteht eben gerade nicht im unmittelbaren Abwenden von Schäden für einzelne Personen oder im „Bewahren einer Schneckenhaus-Privatheit“ (Paul Müller), die es so auch nie gab, sondern in der strukturellen Machtasymmetrie zwischen Organisationen als notorischen Risikogebern und Personen als unterlegenen Risikonehmern. Diese Asymmetrie wird durch die Nutzung der Informations- und Kommunikationstechnik auf Seiten der Organisationen seit den 1980er Jahren beständig verstärkt und hat sich gegenwärtig dermaßen verfestigt, dass es den Anschein hat, als ließe sie sich mit den aktuellen rechtsstaatlichen Normen und kontrollierenden Aktivitäten nicht mehr ausreichend bearbeiten. Mehr noch: Gewaltenteilung, Rechtsstaatlichkeit, Märkte und freie Diskurse als moderne Quellen der personalen Souveränität und Autonomie sind nicht mehr nur bedroht, sondern sie sind dabei, sich aufzulösen.

Es gibt ungleich mehr und andere Risiken für Personen, die der operative Datenschutz deshalb thematisieren und die die Datenschutzaufsichtsbehörden sowohl im Hinblick auf den unmittelbaren Schutz für Betroffene als auch zum Schutz der gesellschaftlichen Strukturen moderner Gesellschaften bearbeiten müssen. Wenn aber niemand den professionellen Datenschützer*innen die Prüfung der real wirksamen Bearbeitung aller Risiken tatsächlich abverlangt, dann wird das auch nicht geschehen.[3]

1. Legitimitätsrisiko: Es ist heute durchaus möglich, als Organisation innerhalb der EU eine personenbezogene Verarbeitungstätigkeit zu betreiben, die nicht legitim ist, d. h. genauer: die sich gar nicht grundrechtskonform betreiben lässt, weil schon ihre Zwecksetzung unzulässig ist und die Subjektqualität der betroffenen Personen nicht beachtet. Diese Objektivierung macht den Kern einer jeden „automatisierten Entscheidung“ aus, wenn Maschinen intelligent erscheinend auf Aktivitäten von Menschen reagieren. Automatisierte Einzelfallentscheidungen sind insofern betrieblicher Alltag, selbstverständlich auch bei Organisationen, die ihren Firmensitz innerhalb der EU haben und insofern von der DSGVO erreichbar sind. Diese Formen der Datenverarbeitung sind aber insbesondere bei den durchindustrialisierten Verarbeitungstätigkeiten amerikanischer Kommunikationsfirmen anzutreffen. Wenn offensichtlich illegitime Verarbeitungstätigkeiten, in denen personenbezogene Daten wie Erbsen betrachtet werden, massenhaft betrieben werden können, untergräbt das das Vertrauen von Bürger*innen in die Rechtsordnung. Zugleich ist offensichtlich: Die staatliche Exekutive, insbesondere die Sicherheitsbehörden inklusive ihrer Geheimdienste profitieren vom ungezügelten Agieren der Unternehmen, auf deren Datenbestände gern zurückgegriffen wird.[4] Warum sollte ein Staat diese Win-Win-Situation beenden wollen?

2. Legalitätsrisiko: Selbst wenn eine Organisation mit einer Verarbeitungstätigkeit grundsätzlich legitime Zwecke verfolgt, kann die Rechtsgrundlage, die das Verbot mit Erlaubnisvorbehalt aus Artikel 6 DSGVO (bzw. Artikel 8 der EU-Grundrechtecharta) für den gesondert auszuweisenden Zweck aufheben würde, fehlen oder unzureichend sein. Fehlt eine Rechtsgrundlage, geht das zunächst einmal zu Lasten der Organisation, denn gerade das Fehlen lässt sich leicht feststellen und sanktionieren. Ungleich schwieriger kann es seitens der Datenschutzaufsichtsbehörden oder Gerichte sein zu beurteilen, ob eine vom Verantwortlichen vorgelegte Rechtsgrundlage zur Rechtfertigung einer Verarbeitungstätigkeit ausreicht. Für den Betroffenen bedeutet eine vorhandene, belastbare Rechtsgrundlage vor allem: der/die Verantwortliche hat sich mit der Datenverarbeitung befasst. Das verbessert zumindest die Chancen, dass eine Datenverarbeitung von anderen Verarbeitungen getrennt betrieben wird und auch Maßnahmen der IT-Sicherheit getroffen wurden. Ist der Zweck einer Datenverarbeitung hinreichend eng ausgewiesen, können insbesondere die Erforderlichkeit der Datenerhebung und mögliche „Zweckdehnungen“ im Betrieb vor Gericht nachgewiesen werden. Allerdings spricht die DSGVO bspw. in Art. 24 von Verarbeitungszwecken im Plural und erleichtert rechtlich begründbare Zweckänderung gegenüber den bisher gültigen deutschen Datenschutzregelungen.

3. Modellierungsrisiko: Selbst bei einer datenschutzrechtlich konformen Datenverarbeitung besteht das Risiko, dass in der praktischen Umsetzung des Verarbeitungszwecks die Intensität des Grundrechtseingriffs durch Datenschutzmaßnahmen nicht auf das unbedingt erforderliche Maß verringert wird. Das ist eine häufig anzutreffende Konstellation: Die Datenverarbeitung sieht auf der konzeptionellen Ebene rechtskonform aus, der Betrieb ist es jedoch nicht, allein weil die Intensität des Grundrechtseingriffs nicht auf der Grundlage eines relevanten Angreifermodells bestimmt oder die Intensität unterschätzt wurde. Bei der Modellierung sind deshalb zwei Aspekte zu beachten: a) Es ist ein Angreifermodell zu explizieren: Wer ist Angreifer mit welchen Motiven und Ressourcen? b) Was sind die spezifischen operativen Risiken für den Betroffenen?

zu a) Der Hauptangreifer auf Personen bzw. personenbezogene Daten ist aus Datenschutzsicht immer die datenverarbeitende Organisation selbst, nicht aber bspw. „der Hacker“. Dass die Organisation, die die Datenverarbeitung betreibt, als Hauptangreifer zu modellieren ist, bildet den Kern jeder grundrechtlich orientierten Risikobestimmung und Datenschutzanalyse. Hiervon ausgehend gilt es, weitere strukturelle Angreifer-Organisationen zu identifizieren und deren Zugriffsmotive und -ressourcen auf eine Verarbeitungstätigkeit abzuschätzen. Konkret sind dabei die Sicherheitsbehörden, die Leistungsverwaltung, die Bereitsteller von IT-(Infrastruktur)Diensten und kritischen Infrastrukturen (wie Energieversorger), Versicherungen und Banken, die Finanzämter, die Forschungsinstitute (insbesondere psychologischer und sozialwissenschaftlicher Art), Krankenhäuser, Ärzte, Rechtsanwälte, aggressive Start-ups und Werbeagenturen in Betracht zu ziehen. Am Ende bilden dann natürlich auch Hacker bzw. Cracker ebenso wie bspw. untätige Datenschutzbeauftragte oder Datenschutz-Aufsichtsbehörden ein zu beachtendes Risiko für Betroffene.

zu b) Die spezifischen operativen Risiken, die durch Schutzmaßnahmen zu bearbeiten sind, sind den Anforderungen der DSGVO zu entnehmen. Einen konkretisierenden ersten Ausgangspunkt bilden die Grundsätze aus Artikel 5 DSGVO. Artikel 5 enthält, teilweise unnötig verklausuliert, sieben Schutzziele. Negiert man diese Grundsätze – eine Datenverarbeitung wird nicht sicher verfügbar, nicht integer, nicht vertrauenswürdig, nicht transparent, nicht eng zweckbestimmt, nicht änderbar und nur mit den unbedingt nötigen Datenvolumen betrieben – dann lassen sich aus diesem Ansatz heraus konkrete Schutzmaßnahmen gewinnen. So muss eine Verarbeitung personenbezogener Daten redundant ausgelegt sein, es müssen Datenbestände und Kommunikationen verschlüsselt erfolgen, alles muss spezifiziert, dokumentiert und protokolliert sein, es muss wirkungsvoll geändert und gelöscht werden können usw.. Das alles immer mit dem Blick darauf, dass die betroffenen Personen zu schützen sind, nicht die Organisationen. Die deutschen Datenschutz-Aufsichtsbehörden empfehlen, ebenso wie das Bundesamt für Sicherheit in der Informationstechnik (BSI), zur Bestimmung angemessener Schutzmaßnahmen die Anwendung des Standard-Datenschutzmodells (SDM).[5]

Eine Risikoanalyse derart methodisch entlang eines Angreifermodells zu entwickeln, das die Organisation als Angreifer begreift und die betroffenen Personen als zu schützen in den Mittelpunkt stellt, und die sich dabei auch nicht auf Risiken und Sicherheitsmängel der IT beschränkt, ist natürlich heikel. Es fehlt in vielen Organisationen, aber auch bei vielen Datenschutzaufsichtsbehörden, an der Bereitschaft und der Erfahrung, den Datenschutzkonflikt derart klar herauszuarbeiten. Wenn die nunmehr verlangte Datenschutz-Folgenabschätzung in Artikel 35 DSGVO ernsthaft durchgeführt wird und sich die Datenschutz-Aufsichtsbehörden nicht mit schlechten Simulationen davon abspeisen lassen, wird es für Organisationen schwieriger als bislang werden, diesen Konflikt ins Unkenntliche zu verschmieren (vgl. Forum Privatheit 2017).

4. Transparenzrisiko: Selbst wenn eine Organisation eine legitime Verarbeitungstätigkeit rechtskonform betreibt und den Grundrechtseingriff auf das nach dem Stand der Technik minimale Maß reduziert, so ist diese Tätigkeit vielfach in den realen Auswirkungen nicht transparent im Sinne von beobachtbar oder sogar messbar. Viele Eigenschaften von IT-Systemen (Hardware/Software) und Prozessabläufen können in der Praxis nicht geprüft werden, weder durch Betroffene noch durch die Datenschutzaufsichtsbehörden, noch durch die verantwortliche Organisation (bzw. deren interne Datenschutzbeauftragte). Meist scheitert dies allein an der mangelnden Prüfkompetenz, da die Komplexität insbesondere der Informationstechnik sehr groß geworden ist. Die Transparenz einer Datenverarbeitung herzustellen ist dabei kein Selbstzweck (vgl. Engeler 2018), Transparenz hat allein eine dienende Funktion: Sie ist wesentliche Voraussetzung für die Kontrollierbarkeit (für das Zusammenstellen aller für die Verarbeitungstätigkeit relevanten Komponenten), die Prüfbarkeit (Soll-Ist-Abgleich der Aktivitäten der Komponenten) und die Beurteilbarkeit (der Prüfergebnisse durch Jurist*innen) von Verarbeitungstätigkeiten im Hinblick darauf, ob Verantwortliche die Grundsätze insbesondere des Artikels 5 sowie weiterer Anforderungen der DSGVO beachtet und wirksam umgesetzt haben. Eine Organisation die beabsichtigt, Datenschutz-Anforderungen nachzukommen, und die Schutzmaßnahmen und Prüftools installiert, muss allerdings damit rechnen, dass sogar von diesen Maßnahmen neue Risiken ausgehen, die nicht zu erkennen und zu bewältigen sind.

5. Zweckbindungsrisiko: Selbst wenn eine Organisation ordnungsgemäß rechtskonform und transparent bzw. prüfbar personenbezogene Daten verarbeiten sollte, so ist im laufenden Betrieb permanent damit zu rechnen, dass die Organisation den mit der Rechtsgrundlage ausgewiesenen Zweck unterläuft, ausdehnt oder erweitert. Dies kann vorsätzlich, etwa durch den Einsatz von Big-Data-Technologien, oder spontan angeregt durch besondere sich ergebende Gewinnmitnahmechancen, durch „leichte Unfairness“ oder durch die schleichende Ausbildung einer leichtsinnigen Kultur des weitgehend zweckbefreiten Datenumgangs passieren. Typisch werden in sicherheitskritischen Ausnahmesituationen Regeln missachtet und Schutzmaßnahmen umgangen. Das schleichende Unterlaufen des ursprünglichen Verarbeitungszwecks geschieht oft durch neue IT-Optionen und Schutzmaßnahmen, die zur Überwachung von Mitarbeiter*innen genutzt werden, deren Nutzung aber nicht durch den Zweck gedeckt ist. Viele der in der zweiten Hälfte von EG 75 aufgezählten Schäden unterfallen dem hier angesprochenen Risikotypus.

6. IT-Sicherheitsrisiko: Natürlich ist es ein Risiko für Betroffene, wenn eine Organisation keine angemessene Auswahl und Dimensionierung an Schutzmaßnahmen für ihren operativen Datenschutz und ihre IT-Sicherheit getroffen hat. Diese Risiken sind es, die der EG 75 besonders klar und gut in den Blick stellt und die durch Grundschutzmaßnahmen des BSI bearbeitbar sind. Ein weiteres, häufig unbeachtetes Risiko im Kontext der IT-Sicherheit ist allerdings die Notwendigkeit, dass die IT-Schutzmaßnahmen ihrerseits nach Maßgabe des Datenschutzrechts bzw. des operativen Datenschutzes zu konfigurieren sind. Denn auch die Maßnahmen der IT-Sicherheit müssen grundrechtskonform betrieben werden. Nicht datenschutzkonform betriebene IT-Sicherheitsmaßnahmen intensivieren in aller Regel den Grundrechtseingriff.

7. Datenschutzdurchsetzungsrisiko: Unterlassene oder mangelhafte Datenschutzkontrollen stellen ein in der Praxis sehr hohes Datenschutz-Risiko dar. Dieses Risiko resultiert nicht primär aus der skandalös geringen personellen Ausstattung der Datenschutz-Aufsichtsbehörden (vgl. Schulzki-Haddouti 2015), sondern mehr noch aus deren mangelhafter Prüfqualität.

Selbst wenn personenbezogene Verarbeitungstätigkeiten von Aufsichtsbehörden geprüft werden, dann ist in der Regel unklar, was genau und wie Datenverarbeitungen geprüft wurden. Die Transparenz und Integrität der meisten Datenschutzprüfungen durch die Aufsichtsbehörden ist massiv infrage zu stellen, wenn keine Auskünfte über den Prüfstandard und die Prüfmethode gegeben und keine Prüfkonzepte, Prüfdokumente und Prüfprotokolle vorgelegt werden können, die über das Niveau kurzer Rechenschaftsberichte für das Parlament hinausgehen.

Den Anforderungen, die Datenschutzaufsichtsbehörden an die Verarbeitungstätigkeiten anderer Organisationen stellen, müssen die Kontrollbehörden gegenüber ihren Verfahren – nämlich Verarbeitungstätigkeiten anderer Organisationen zu überwachen und die Anforderungen der DSGVO durchzusetzen (vgl. Art. 57, Abs. 1 lit. a DSGVO) – selbst genügen. Selbst wenn Datenschutzprüfungen im Sinne des Art. 5 DSGVO hinreichend transparent, integer, zweckorientiert usw. durchgeführt werden, bspw. mit Rückgriff auf das bereits erwähnte Standard-Datenschutzmodel, so bleiben negative Prüfergebnisse seitens der Aufsichtsaufsichtsbehörden vielfach ohne Konsequenzen für den verantwortlichen Datenverarbeiter. Negative Prüfergebnisse führen darüber hinaus auch nicht zwingend zur Verbesserung von Verarbeitungstätigkeiten, selbst wenn Sanktionen erfolgten. Bei mehrfachen Beanstandungen im Tätigkeitsbericht eines Landesbeauftragten verliert sich, wenn keine weiteren Konsequenzen hinzutreten, schnell der ohnehin mäßige Sanktionscharakter.

Aber selbst wenn eine Datenschutz-Aufsichtsbehörde einen Datenschutzkonflikt mit den Verantwortlichen vor Gericht bringt, entscheiden Gerichte vielfach nicht in der Sache, sondern retten sich mit der Beanstandung von Formfehlern. Und selbst wenn ein Gericht bereit ist, in der Sache zu entscheiden, dann erweisen sich die gesetzlichen Regelungen oft als unzureichend – was wiederum auf das anhaltend mangelnde Interesse des Gesetzgebers am Datenschutz schließen lässt.

8. Politikrisiko: Gegenwärtig ist in Deutschland keine Partei auszumachen, die den vom Datenschutz zu bearbeiten Konflikt und die daraus resultierenden Grundrechtsrisiken analytisch auf den Grund zu gehen vermag, von Einzelpersonen insbesondere bei den Grünen abgesehen. Das gleiche gilt für NGOs oder Interessensvertretungen, denen über sinnfällige Skandalisierungen hinaus schnell die Luft ausgeht (vgl. Rost 2017). Betroffene haben aktuell keinen mächtigen Anwalt ihrer Interessen; die Schutzfunktion der Datenschutz-Aufsichtsbehörden ist nicht mehr nennenswert. Das vorherrschende Framing (vgl. Wehling 2016) der politischen Diskurse zum Datenschutz verzwergt und trivialisiert die wirksame Umsetzung von Grundrechten entweder, wie oben gezeigt, zur Privatangelegenheit oder zu einem Risiko der IT-Sicherheit und nimmt den Datenschutzgesetzen ihre Schärfe, wenn anstatt auf deren Durchsetzung zu dringen wohlfeile Ethik-Diskurse geführt werden, wie das der europäische Datenschutzbeauftragte Butarrelli gern praktiziert. Das alles nützt einzig den ohnehin übermächtigen Organisationen, die die gesellschaftlichen Kommunikationen weiter ausformen und beherrschen. Wenn Datenschutz parteipolitisch nicht mehr auf Resonanz stößt – das war mal anders –, dann könnte dies ein Indikator dafür sein, dass die Gesellschaft sozialstrukturell in die Vormoderne zurückzufallen droht – also in eine Zeit, als wenige Organisationen und einzelne Personen noch strikt hierarchisch das Leben von Menschen bestimmten. Zugespitzt formuliert lautet die These: Gegenwärtig können wir dabei zusehen, wie eine moderne, und das heißt soziologisch fundiert formuliert, funktional-differenzierte Gesellschaft entweder zu einer stratifizierten Gesellschaft regrediert (so Rost 2012) oder alt wird (so Lehmann 2015). An der wirksamen Umsetzung von Grundrechten zeigt sich, ob Modernisierungschancen der funktionalen Differenzierung genutzt werden.

Fazit

Die Zuspitzung der Interpretation von Risiken der DSGVO auf einen risk-based-approch wird selbst zum Risiko für einen an der wirksamen Umsetzung von Grundrechten interessierten Datenschutz, wenn sich der Fokus auf die in Erwägungsgrund 75 DSGVO aufgelisteten konkreten Schäden und Kontrollverluste reduziert. Es geraten zumindest die grundrechtlich wesentlichen Risiken für Personen dann in den Blick, wenn der für den Datenschutz konstitutive Konflikt der asymmetrischen Machtbeziehung zwischen den Risiken erzeugenden Organisationen und Personen zum Ausgangspunkt von Risikoanalysen wird. Die DSGVO gibt, insbesondere mit den Grundsätzen der Datenverarbeitung in Artikel 5 sowie den auf die wirksame Umsetzung abzielenden Artikeln 24, 25, 32 und 35, einen guten Rahmen für die Bestimmung und Dimensionierung technisch-organisatorischer Maßnahmen zur Verringerung einer Vielzahl von Datenschutz-Risiken. Ohne eine politisch gewollte massive Stärkung der Datenschutz-Aufsichtsaktivitäten, die auch zu wirksamen Sanktionen führen, ist allerdings, gerade wegen des Einsatzes besonders wirksamer moderner Überwachungstechniken, der gesellschaftliche Rückfall wieder in die Vormoderne wahrscheinlich.

MARTIN ROST   Martin Rost arbeitet als stellvertretender Leiter des Technikreferats des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein. Er leitet die Unterarbeitsgruppe „Standard-Datenschutzmodell“ des „Arbeitskreis Technik“ der Konferenz der Datenschutzbeauftragten des Bundes und der Länder Deutschlands.

Literatur:

Bieker, Felix, 2018: Die Risikoanalyse nach dem neuen EU-Datenschutzrecht und dem Standard-Datenschutzmodell, in: Datenschutz und Datensicherheit (DuD), 2018, Nr. 1: 27-31.

BSI 2017: Standard-200-3, Risikoanalyse auf der Basis von IT-Grundschutz, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/standard_200_3.html (abgerufen: 20.01.2018).

BVerfG 2008: Urteil des Ersten Senats vom 27. Februar 2008 – 1 BvR 370/07 (=BVerfGE 120, 274 – 350), „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“.

Engeler, Malte, 2018: Das überschätzte Kopplungsverbot. Die Bedeutung des Art. 7 Abs. 4 DS-GVO in Vertragsverhältnissen; in: Zeitschrift für Datenschutz (ZD), Nr. 2: 55ff.

Forum Privatheit, 2017: Whitepaper Datenschutz-Folgenabschätzung, 3. überarbeitete Auflage, https://www.forum-privatheit.de/forum-privatheit-de/publikationen-und-downloads/veroeffentlichungen-des-forums/themenpapiere-white-paper/Forum-Privatheit-WP-DSFA-3-Auflage-2017-11-29.pdf (abgerufen: 20.01.2018).

Lehmann, Maren, 2015: Das „Altwerden funktionaler Differenzierung“ und die „nächste Gesellschaft“, in: Soziale Systeme (Special Issue), Jg. 20, Nr. 2: 308-336.

Podlech, Adalbert; Dierstein, Rüdiger; Fiedler, Herbert; Schulz, Arno (Hg.), 1976: Gesellschaftstheoretische Grundlage des Datenschutzes, Datenschutz und Datensicherung, Bachem-Verlag: 311-327.

Pohle, Jörg, 2018: Datenschutz und Technikgestaltung (Dissertation, im Erscheinen).

Robrahn, Rasmus; Bock, Kirsten, 2018: Schutzziele als Optimierungsgebote; in: Datenschutz und Datensicherheit (DuD), 2018, Nr. 1: 7-12.

Rost, Martin, 2012: Zur Soziologie des Datenschutzes; in: Datenschutz und Datensicherheit (DuD), Nr. 37: 85-91.

Rost, Martin, 2013: Eine kurze Geschichte des Prüfens, in: BSI (ed.), Informationssicherheit stärken – Vertrauen in die Zukunft schaffen, Secumedia-Verlag: 25-35.

Rost, Martin, 2017: Bob, es ist Bob!, in: FifF-Kommunikation, Jg. 34, Nr. 4: 63-66.

Schmitz, Barbara, 2018: Der Abschied vom Personenbezug. Warum der Personenbezug nach der DS-GVO nicht mehr zeitgemäß ist; in: Zeitschrift für Datenschutz (ZD), Nr. 2: 5-8.

Schulzki-Haddouti, Christiane, 2015: Zu kurz gekommen. Deutsche Datenschutzbehörden leider unter Personalknappheit; in: c‘t 2015, Nr. 17: 76-78.

SDM 2016: Das Standard-Datenschutzmodell. Eine Methode zur Datenschutzberatung und -prüfung auf der Basis einheitlicher Gewährleistungsziele, V 1.0, https://www.datenschutzzentrum.de/uploads/sdm/SDM-Methode_V1.0.pdf (auch in englischer Version verfügbar; abgerufen: 20.01.2018).

Veil, Winfried, 2018: Risikobasierter Ansatz; in: Gierschmann, S.; Schlender, K.; Stentzel, R.; Veil, W., 2018: Kommentar Datenschutz-Grundverordnung, 1. Aufl., Köln, Bundesanzeiger-Verlag: 712ff.

Wehling, Elisabeth, 2016: Politisches Framing. Wie eine Nation sich ihr Denken einredet – und daraus Politik macht; edition Medienpraxis 14.

Anmerkungen:

1 Versicherbare Risiken können in Preise hinein verrechnet werden. Nicht-bezifferbare und deshalb auch nicht versicherbare Risiken lassen sich jedoch nicht verrechnen. Als Beispiel für eine zivilrechtliche Behandlung ließe sich an ein Sammelklagesystem mit dem Ziel eines nicht prognostizierbaren und deshalb nicht versicherbaren Strafschadenersatzes etwa US-amerikanischer Prägung denken.

2 Der gesellschaftliche Bezug, den die DSGVO in den EG 4 und 6 herstellt, ist auffallend schwach ausgebildet und offenbar von dem Motiv getrieben, dass Datenschützer Verständnis für die besonderen Nöte der Datenverarbeiter aufbringen sollen. Man muss grundrechtlich nicht zwingend die Vorstellung teilen, dass durch die „Globalisierung Datenschutz vor neuen Herausforderungen steht“ (EG 6). Das leitet schon analytisch fehl, weil es nicht „die Globalisierung“ sein kann, sondern es international agierende Organisationen sind, die sich nicht an Grundrechte halten, u. a. weil ihre Aktivitäten keiner wirksamen Datenschutzkontrolle unterliegen.

3 Eine intrinsische Motivation gilt unter Verwaltungsmitarbeiter*innen als unprofessionell. Dabei sind die Mitarbeiter*innen einer oder eines Beauftragten für den Datenschutz keine neutralen Verwaltungsmitarbeiter*innen und auch keine Richter*innen, die alle beteiligten Interessen abzuwägen haben: Sie sollen entschieden Partei für Betroffene ergreifen.

4 Das ist natürlich auch dem Bundesverfassungsgericht längst aufgefallen. Prof. Voßkuhle, der aktuelle Präsident des Bundesverfassungsgerichts, deutete bereits im November 2011 an, dass sich das BVerfG mit Facebook beschäftigen werde. „Verfassungsgerichtspräsident warnt vor Facebook (…) Er deutete an, dass das Bundesverfassungsgericht gezwungen sein könnte zu prüfen, ob sich das Facebook-Angebot mit dem Recht auf informationelle Selbstbestimmung verträgt. ‚Da will ich dem für solche Fragen zuständigen Ersten Senat nicht vorgreifen. Es spricht jedenfalls einiges dafür, dass das Bundesverfassungsgericht in den nächsten Jahren gefordert sein wird, die Bedeutung und Reichweite der Grundrechte in einer Welt der digitalen Vernetzung neu zu bestimmen.'“ (RP-Online v. 6.11.2011, http://www.rp-online.de/ digitales/internet/verfassungsgerichtspraesident-warnt-vor-facebook-aid-1.2542329, abgerufen: 21.01.2018).

5 Bislang ist Anwendung des SDM in einigen Aufsichtsbehörden allerdings noch keine gängige Prüf- und Beratungspraxis (vgl. SDM 2016).

Der Beitrag Risiken im Datenschutz erschien zuerst auf Humanistische Union.

Parallel zur EU-Datenschutz-Grundverordnung wurde eine EU-Richtlinie für den Datenschutz im Polizei- und Strafjustizbereich ausgehandelt und verabschiedet. Sie war von den Mitgliedstaaten bis zum 6. Mai 2018 umzusetzen. Hartmut Aden analysiert im folgenden Beitrag diese Richtlinie und stellt ausgewählte Aspekte ihrer teilweise defizitären Umsetzung in Deutschland im Kontext des Ausbaus der polizeilichen Informationsverarbeitung in Europa vor.

Die EU-Datenschutz-Grundverordnung (DSGVO) klammert die Datenverarbeitung durch Polizei und Strafjustiz weitgehend aus (Art. 2 Abs. 2 lit. d DSGVO). Diese Felder der EU-Politik waren bis 2009 als „dritte Säule“ von der Zusammenarbeit zwischen den Regierungen der Mitgliedstaaten, also intergouvernemental geprägt. Auch unter den Rahmenbedingungen des Vertrages von Lissabon sind die Regierungen der Mitgliedstaaten in diesem Bereich weiterhin faktisch besonders einflussreich (hierzu Albrecht 2015). Sie konnten sich daher für den Polizei- und Strafjustizbereich nicht auf eine ähnlich weitreichende Harmonisierung des Datenschutzrechts verständigen wie für den privaten Sektor und die übrigen staatlichen Behörden, die in den Anwendungsbereich der direkt wirkenden DSGVO fallen. Prägend für die Datenverarbeitung durch Polizei und Strafjustiz ist, dass sie in der Regel auf gesetzlichen Eingriffsbefugnissen und nicht auf einer freiwilligen Einwilligung der Betroffenen beruht.[1]

Datenschutz und Privatsphäre sind seit dem Vertrag von Lissabon (2009) auch in der EU verbindliche Grundrechte, garantiert in Art. 7 und 8 der Grundrechte-Charta. Folglich ist auch der grenzüberschreitende Datenaustausch von Polizei und Strafjustiz an diese Grundrechte gebunden. Datenschutzmaßnahmen haben mit Art. 16 des Vertrages über die Arbeitsweise der EU (AEUV) eine weitere primärrechtliche Grundlage. Parallel zur DSGVO wurde daher eine EU-Richtlinie ausgehandelt und verabschiedet, die nicht unmittelbar gilt, sondern deren Ziele die EU-Staaten in ihre Gesetzgebung übernehmen müssen. Der offizielle Titel lautet: Richtlinie (EU) 2016/680[2] des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr […]. Wie bei der DSGVO macht bereits der Titel deutlich, dass es nicht nur um Datenschutz geht, sondern auch um „freien Datenverkehr“ – was im Anwendungsbereich der Richtlinie vor allem die Erleichterung des grenzüberschreitenden Austauschs von Informationen mit oder ohne Personenbezug zwischen den fachlich zuständigen Behörden meint. Zuvor gab es für den Datenschutz beim Informationsaustausch durch Polizei und Strafjustiz nur den nun aufgehobenen Rahmenbeschluss 2008/977/JI[3] aus der ehemaligen dritten EU-Säule, dessen Inhalte weder besonders ambitioniert waren noch engagiert von den Mitgliedstaaten umgesetzt wurden.

In Deutschland wurde die Richtlinie (EU) 2016/680 als eigener Teil des für die Anpassung an das EU-„Datenschutzpaket“ grundlegend überarbeiteten Bundesdatenschutzgesetzes (BDSG) umgesetzt. Gesetzgebungstechnisch ungewöhnlich wurden dabei quasi „zwei Gesetze in einem“ geschaffen. Mit Teil 3 des neuen BDSG (§§ 45ff.) beginnt ein völlig eigenständiger Abschnitt mit neuen Begriffsdefinitionen. Diese gesetzgeberische Umsetzung erscheint wenig überzeugend. Denn das Anfang 2012 von der Europäischen Kommission vorgelegte EU-„Datenschutzpaket“ verfolgte die Intention, einen Datenschutz „aus einem Guss“ zu schaffen. Die Trennung in Richtlinie und Verordnung sollte lediglich den Mitgliedstaaten etwas größere Gestaltungsspielräume für das Datenschutzrecht im Polizei- und Strafverfolgungsbereich überlassen.

1. Daten­schutz­richt­linie für Polizei und Strafjustiz im Schatten der DSGVO

Die Datenschutzrichtlinie (EU) 2016/680 für Polizei und Strafjustiz stand in der öffentlichen Wahrnehmung seit der gemeinsamen Einbringung der Entwürfe durch die Europäische Kommission Anfang 2012 im Schatten der DSGVO. Dies ist angesichts der hohen praktischen Relevanz problematisch, die der Datenaustausch zwischen Sicherheitsbehörden seit den 1990er Jahren und verstärkt im Zusammenhang mit der Terrorismusbekämpfung der letzten Jahre erlangt hat. Kernanwendungsbereich der Richtlinie ist der grenzüberschreitende Datenaustausch. Der transnationale Informationsaustausch ist seit langem das zentrale Instrument der internationalen Zusammenarbeit (ausführlich hierzu Aden 2014 und 2016). Die technischen Möglichkeiten, die Rechtsgrundlagen und die Kooperationspraxis zwischen den hier relevanten Behörden der Mitgliedstaaten (Polizei u.a.) haben sich in den letzten Jahren aber erheblich weiterentwickelt.
Die ausgeweitete Praxis ist mit Risiken für die Grundrechte der Bevölkerung verbunden, insbesondere für die Privatsphäre und die informationelle Selbstbestimmung sowie die daran anknüpfenden Grundrechte im Strafverfahren (Unschuldsvermutung, Schutz vor willkürlichen Freiheitsentziehungen usw.). Diese Grundrechtspositionen lassen sich nur durch rigorose Maßnahmen zur Gewährleistung der Qualität der hier verarbeiteten personenbezogenen Daten schützen, die Fehlinformationen, Verwechslungen oder unberechtigte Datenverarbeitung verhindern. Eine solche Qualitätssicherung für die Datenbestände liegt zugleich im Interesse der Sicherheitsbehörden selbst, da Reibungsverluste und fehlinvestierte Arbeitszeit durch veraltete oder unrichtige Daten so vermieden werden können (näher hierzu Aden 2014). Daher ist die Harmonisierung der Datenschutzstandards durch die Richtlinie (EU) 2016/680 grundsätzlich sowohl für die Betroffenen als auch für die erfassten Behörden ein Schritt in die richtige Richtung.

2. Wachsende Datenmengen bei der europä­i­schen Sicher­heits­zu­sam­me­n­a­r­beit – veraltete und zersplit­terte Rechts­grund­lagen

Das Datenschutzrecht für die polizeiliche Zusammenarbeit in der Europäischen Union war bisher stark fragmentiert und entsprach weder dem Stand der Zusammenarbeitspraxis noch der technischen Entwicklung (kritische Würdigung bei Boehm 2012: 175ff.; Gutiérrez Zarza 2015; de Hert & Papakonstantinou 2015: 181ff.).

Ein Kernelement der polizeilichen Informationszusammenarbeit in Europa ist der Datenaustausch über zentralisierte Datenbanken, der allerdings von der Richtlinie (EU) 2016/680 gar nicht erfasst wird. Datenbanken wie das Schengener Informationssystem und die Europol-Datensammlungen enthalten wachsende Mengen personenbezogener Daten, ebenso Eurodac und das Visainformationssystem als Datenbanken, die für die Migrationssteuerung errichtet wurden, aber in erheblichem Umfang von Sicherheitsbehörden mit genutzt werden. In den nächsten Jahren werden neue Datenbanken im Zusammenhang mit der Außengrenzsicherung der EU (Entry-Exit-System) hinzukommen. Diese Datenbanken werden von eu-LISA, der 2012 gegründeten EU-Agentur für das Betriebsmanagement von IT-Großsystemen im Bereich Freiheit, Sicherheit und Recht verwaltet und betrieben. Da die Richtlinie – ebenso wie die DSGVO – nicht für die Datenverarbeitung durch die EU-Organe und -Agenturen gilt, ist die Rechtslage weiterhin zersplittert. Jede Datenbank hat eigene Rechtsgrundlagen und Kontrollstrukturen. Zwar ist bei der Überführung der Rechtsgrundlagen aus der ehemaligen dritten EU-Säule in verbindliche EU-Verordnungen zu beobachten, dass die Datenschutzbestimmungen ausführlicher werden. Die Potentiale für eine Vereinheitlichung auf hohem Niveau wurden aber bisher nicht ausgeschöpft (näher hierzu Aden 2016: 334ff.). Pläne, die „Interoperabilität“ dieser Datenbanken zu erhöhen,[4] also die Trennung zwischen den Datenbeständen für Recherchezwecke teilweise aufzuheben, werden eine Neukonzeption des Datenschutzes erfordern (hierzu FRA 2017).

Die Richtlinie (EU) 2016/680 gilt für die behördliche Verarbeitung personenbezogener Daten „zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit“ (Art. 1 Abs. 1). Damit umfasst sie nach deutschem Recht die Tätigkeit von Polizei, Staatsanwaltschaften, Zoll, Steuerfahndung und Strafvollstreckungsbehörden. Auch die Verfolgung von Ordnungswidrigkeiten wird erfasst (näher hierzu Bäcker 2017: 65f.). Soweit Polizeibehörden auch andere Aufgaben wahrnehmen, fallen diese unter die DSGVO.

Überall wo Polizei und Strafjustiz der Mitgliedstaaten bei der Wahrnehmung der genannten Aufgaben in horizontalen Netzwerken direkt zusammenarbeiten und Informationen austauschen, gilt die Richtlinie (EU) 2016/680. Hierunter fallen auch die Instrumente, die einen Abgleich mit Datenbanken anderer Mitgliedstaaten im Direktzugriff ermöglichen, wie sie 2006 von Deutschland und einigen anderen EU-Staaten im Vertrag von Prüm vereinbart wurden. Dieses Instrumentarium wurde später weitgehend in den Rahmen der EU überführt (näher hierzu Balzacq & Hadfield 2012). Die beteiligten Länder können so wesentlich einfacher als zuvor herausfinden, ob z.B. eine gefundene DNA-Spur auch in dem anderen Mitgliedstaat bereits in strafrechtlichen Ermittlungsverfahren eine Rolle gespielt hat.

Auch die vielfältigen Formen der Informationszusammenarbeit in Polizei- und Zollkooperationszentren in den Grenzgebieten (näher hierzu Gruszczak 2016) fallen in den Anwendungsbereich der Richtlinie. Da die Bediensteten der beteiligten Mitgliedstaaten hier „unter einem Dach“ zusammenarbeiten, ist der Informationsaustausch wesentlich weniger standardisiert als bei Datenbankabfragen, bei denen die Zugriffsberechtigungen technisch festgelegt und begrenzt sind. Ähnlich funktionieren die Zusammenarbeit und der Informationsaustausch über informelle Netzwerke – etwa zwischen Personen, die sich aus früheren gemeinsamen Ermittlungsverfahren, aus Gremien oder gemeinsamen Fortbildungsveranstaltungen kennen. Der rechtliche Rahmen des zulässigen Informationsaustausches ist hier wesentlich gröber abgesteckt als bei den zentralisierten Datenbanken – was die Durchsetzung von Datenschutzstandards erschwert (näher hierzu Aden 2016: 330ff.).

Tätigkeiten, die nicht in den Anwendungsbereich des EU-Rechts fallen, sind vom Geltungsbereich der Richtlinie ausgenommen (Art 2 Abs. 3 lit. b). Damit würde die rein innerstaatliche Datenverarbeitung auf der Basis von Rechtsgrundlagen des mitgliedstaatlichen Rechts nicht unter die Richtlinie fallen. Allerdings kann damit gerechnet werden, dass der Gerichtshof der EU (GHEU/EuGH) diese Regel in konkreten Streitfällen eher eng auslegen und damit – wie in vergleichbaren Fällen auf anderen Rechtsgebieten – den Anwendungsbereich des EU-Rechts und der Richtlinie eher ausweiten wird.

3. Neue Impulse für höhere Daten­schutz­stan­dards in der EU

Seit der Etablierung des Grundrechts auf informationelle Selbstbestimmung durch das Bundesverfassungsgericht im Jahr 1983[5] gelten für Sicherheitsbehörden Mindeststandards für das Datenschutzrecht – auch wenn die Einhaltung in der Praxis mit vielen Defiziten behaftet ist. So bedarf jede Verarbeitung personenbezogener Daten einer normenklaren Rechtsgrundlage. Der Verhältnismäßigkeitsgrundsatz ist gerade im Hinblick auf die Ableitung der informationellen Selbstbestimmung auch aus der Menschenwürde (Art. 1 Abs. 1 GG) besonders zu beachten. Der Zweckbindungsgrundsatz, nach dem Daten nur für die Zwecke verarbeitet werden dürfen, für die sie erhoben wurden, ist einzuhalten. Sollen Daten für einen anderen Zweck verarbeitet werden, so ist auch hierfür eine Rechtsgrundlage erforderlich.

Diese in Deutschland bereits geltenden rechtlichen Rahmenbedingungen werden mit der Richtlinie auch für die Datenverarbeitung durch Polizei und Strafjustiz in der EU zum Standard. So verpflichtet die Richtlinie die Mitgliedstaaten, in den Rechtsgrundlagen für die Datenverarbeitung „zumindest die Ziele der Verarbeitung […] und die Zwecke der Verarbeitung“ anzugeben (Art. 8 Abs. 2). Dieser Mindeststandard für gesetzliche Eingriffsbefugnisse zur Verarbeitung personenbezogener Daten ist essentiell für die Kontrolle der rechtmäßigen Datenverarbeitung durch Datenschutzaufsicht und Gerichte. Personenbezogene Daten, „aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zu Sexualleben oder sexueller Orientierung“ dürfen nur verarbeitet werden, wenn dies unbedingt erforderlich ist und geeignete „Garantien für die Rechte und Freiheiten der betroffenen Person“ vorgesehen sind (Art. 10). Auch der Zweckbindungsgrundsatz wird weiter konkretisiert (Art. 9). Selbst wenn diese Grundsätze bereits seit langem im deutschen Recht gelten, gibt die Richtlinie doch Anlass, die bestehenden gesetzlichen Eingriffsbefugnisse auf ihre Notwendigkeit und die klare Definition der Verarbeitungszwecke hin zu überprüfen.

Für den grenzüberschreitenden Informationsaustausch sind die Vorschriften der Richtlinie zur Berichtigung fehlerhafter Daten von besonderer Bedeutung. Denn gerade hier besteht das Risiko, dass nur eine der beteiligten Behörden fehlerhafte Daten löscht oder berichtigt, diese aber weiterhin bei Behörden anderer Mitgliedstaaten vorhanden sind, an die diese Informationen zuvor übermittelt wurden. Die Richtlinie verpflichtet die Mitgliedstaaten nun ausdrücklich dazu, die Quellen und Empfänger von Informationen über Berichtigungsbedarf zu informieren (Art. 16 Abs. 5 und 6).

Darüber hinaus enthält die Richtlinie einige Elemente, die auch im Vergleich zum bisherigen deutschen Recht Verbesserungen bringen. Hier sei insbesondere die Data Breach Notication genannt – die Verpflichtung, die Datenschutzaufsicht und unter Umständen auch die Betroffenen zu informieren, wenn bei der Datenverarbeitung 2Verletzungen“ bekannt werden, die zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führen. Neben Pannen, die innerhalb der Behörde verursacht werden, können auch Angriffe von außen solche „Verletzungen“ sein, wenn sie dazu führen, dass Unbefugte Kenntnis von personenbezogenen Daten erlangen. Diese für die Transparenz gegenüber den Betroffenen und daher auch für die informationelle Selbstbestimmung wichtigen Informationspflichten gelten somit nicht nur im Anwendungsbereich der DSGVO (dort Art. 33 und 34), sondern auch für die Informationsverarbeitung durch Polizei und Strafjustiz (Art. 30 und 31 RL (EU) 2016/680). Für die Benachrichtigung der Betroffenen enthält die Richtlinie allerdings die für den Sicherheitsbereich übliche „Hintertür“, nach der die Benachrichtigung u.a. aus Sicherheitsgründen unterbleiben kann (Art. 31 Abs. 5 i.V.m. Art. 13 Abs. 3). Die Datenschutzaufsicht wird darauf zu achten haben, dass diese „Hintertür“ nicht dazu führt, dass Auskünfte an Betroffenen bei Sicherheitsbehörden weitgehend unterbleiben – so wie es bei vergleichbaren gesetzlichen Auskunftsregelungen in Deutschland zu beklagen war und ist.

4. Weiterhin große Spielräume für Daten­samm­lungen

Die Richtlinie wählt einen vorwiegend prozeduralen Ansatz: Sie legt Verfahren fest, die zu beachten sind, wenn Daten erhoben oder übermittelt werden, wenn sie berichtigt oder gelöscht werden müssen oder wenn Datenverarbeitungspannen passiert sind (s.o., Abschnitt 3).

Ihr größtes Defizit besteht indes darin, dass sie keine konkreten inhaltlichen Maßstäbe enthält, die darüber entscheiden, ob Daten für Sicherheitszwecke gesammelt, aufbewahrt und übermittelt werden dürfen. Die Mitgliedstaaten haben hier weiterhin erhebliche Spielräume, etwa bei der Frage, inwieweit Strategien der Big Data-Analyse für Strafverfolgungsbehörden zugelassen werden. Erforderlich wären klarere materiell-rechtliche Grenzen für die Datenerhebung und die weitere Verarbeitung. Diese müssen nun von der mitgliedstaatlichen Gesetzgebung etabliert werden. Auch für das deutsche Recht gibt es hier noch erheblichen Entwicklungsbedarf. Immerhin haben die Mitgliedstaaten dabei aber Grundsätze wie die Fairness der Datenverarbeitung, die Zweckbindung und die Pflicht zur Löschung nicht mehr erforderlicher Daten zu beachten (Art. 4 RL (EU) 2016/680). Auf der Basis dieser Maßstäbe werden die Datenschutzaufsicht, die mitgliedstaatlichen Gerichte und der Gerichtshof der EU die Datenverarbeitung der Strafverfolgungsbehörden zukünftig überprüfen können.

5. Probleme der Umsetzung im Bundes­da­ten­schutz­ge­setz und in weiteren Bundes- und Landes­ge­setzen

Mit der Umsetzung im neu gefassten Bundesdatenschutzgesetz[6] und im Gesetz über das Bundeskriminalamt[7] hat der Bundesgesetzgeber gegenüber der EU signalisiert, dass er bereit ist, die Richtlinie fristgerecht in das deutsche Recht umzusetzen. Allerdings ist die Umsetzung damit noch lange nicht abgeschlossen. Denn auch die anderen Gesetze über die Tätigkeit der Strafverfolgungs- und Gefahrenabwehrbehörden der Länder und des Bundes müssen entsprechend angepasst werden.

Ob die Umsetzung in einem eigenständigen Teil des novellierten Bundesdatenschutzgesetzes (BDSG) auf die Dauer zielführend ist, kann bezweifelt werden. Das neue BDSG spiegelt eher die Zuständigkeitsverteilung für die beiden EU-Rechtsakte in einer arbeitsteilig organisierten Ministerialverwaltung wider als eine ambitionierte, an der Schaffung systematischer Rechtsgrundlagen orientierte Gesetzgebung. Chancen für die Schaffung eines einheitlichen, benutzerfreundlichen Datenschutzrechts wurden damit vertan. Wesentlich sinnvoller wäre es gewesen, allgemeine Fragen wie Definitionen und Grundsätze in einem gemeinsamen allgemeinen Teil voranzustellen und sodann in einem besonderen Teil zunächst die Anpassung an die DSGVO und in einem weiteren Teil die Umsetzung der Richtlinie vorzunehmen. Trotz des Nebeneinanders unmittelbar geltender Verordnungsinhalte und umsetzungsbedürftiger Richtlinienvorgaben wäre eine Vereinheitlichung der Begrifflichkeiten und allgemeinen Prinzipien im Interesse kohärenter Rechtsanwendung sinnvoll gewesen.

Mangelhaft ist u.a. die Umsetzung der Richtlinienvorgaben zur Zweckbindung. Die Zweckbindung folgt unmittelbar aus dem Grundrecht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) und auf den Schutz personenbezogener Daten (Art. 8 EU-Grundrechte-Charta). Sie ist damit ein zentraler Grundsatz für die Datenverarbeitung in Deutschland und in der EU, auch und gerade für den Sicherheitsbereich. Sicherheitsbehörden können für einen bestimmten Zweck erhobene Daten nicht nach Belieben für andere Zwecke verwenden. Zweckänderungen stellen vielmehr erneute Grundrechtseingriffe dar und bedürfen daher einer klaren gesetzlichen Grundlage. Art. 9 der Richtlinie (EU) 2016/680 regelt dies den üblichen Standards entsprechend. Problematisch ist dagegen die Umsetzung der Zweckbindung in § 49 BDSG (neu). Sie dürfte kaum den Anforderungen des grundgesetzlichen Bestimmtheitsgebots genügen. Der pauschale Verweis in § 49 Satz 1 auf die in § 45 genannten „Zwecke“ ist viel zu allgemein und unbestimmt. Denn dort sind die nur sehr allgemein genannten Zwecke „Verhütung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten“ genannt. Die neue Regelung ermöglicht es dem Wortlaut nach, im Rahmen des Verhältnismäßigen vorhandene Datenbestände zwischen diesen verschiedenen Aufgabenbereichen und Zweckbestimmungen hin- und herzuschieben. Eine so allgemein und weit gefasste Zweckänderungs-Generalklausel fiele erheblich hinter den bisherigen Stand der spezialgesetzlichen Zweckänderungsvorschriften in der Strafprozessordnung, den Polizeigesetzen und anderen Fachgesetzen zurück (kritisch zur Entwurfsfassung auch Bäcker 2017: 72). Das Bestimmtheitsgebot erfordert vielmehr spezialgesetzliche Zweckänderungsregelungen. Im Hinblick auf das Wesentlichkeitsprinzip für gravierende Grundrechtseingriffe können diese nur in anderen Parlamentsgesetzen erlassen werden. Die Aufweichung bisheriger Zweckbindungsstandards dürfte auch kaum den Vorgaben in Art. 9 der Richtlinie (EU) 2016/680 entsprechen.

Problematisch ist auch die deutsche Umsetzung der EU-Richtlinienvorgaben zur Verarbeitung besonders sensibler personenbezogener Daten im neuen BDSG, die für die Betroffenen einen schweren Grundrechtseingriff darstellt: Informationen zur rassischen und ethnischen Herkunft, zu religiösen oder weltanschaulichen Überzeugungen, genetische und biometrische Daten sowie Informationen zur Gesundheit oder zum Sexualleben dürfen von Sicherheitsbehörden nur ausnahmsweise und mit besonderer Vorsicht verarbeitet werden. Art. 10 der Richtlinie (EU) 2016/680 erkennt an, dass dieser Ausnahmecharakter auch einer besonderen rechtlichen Absicherung bedarf. Die Regelung in § 48 BDSG (neu) könnte so interpretiert werden, dass eine Verarbeitung solcher Daten bereits dann zulässig sein soll, wenn die dort genannten Voraussetzungen und nur beispiel­haft aufgeführten Verfahrensvorkehrungen getroffen werden. Dies würde indes der Schwere des Grundrechtseingriffs durch die Verarbeitung derartiger Daten nicht gerecht. Vielmehr sind im Hinblick auf das grundgesetzliche Bestimmtheitsgebot die Zwecke, für die solche Daten ausnahmsweise erhoben und weiter verarbeitet werden dürfen, in den Fachgesetzen konkret darzulegen. Wegen der Eingriffsintensität erfordert das Wesent­lichkeitsprinzip auch hier normenklarere parlamentsgesetzliche Regelungen – die BDSG-Regelung allein kann als Eingriffsbefugnis nicht ausreichen.

Die Auskunftsrechte der betroffenen Personen sind in Art. 14 und 15 der Richtlinie (EU) 2016/680 geregelt und gehen bezüglich des Umfangs des Auskunftsanspruchs weiter als die bisherigen Regelungen im deutschen Recht (hierzu näher Bäcker 2017: 81). Art. 15 ermöglicht zwar Einschränkungen des Auskunftsrechts. Diese sind aber im Lichte der grundrechtlichen Verbürgungen auszugestalten. In § 57 Abs. 7 BDSG (neu) wird eine Konstruktion gewählt, die vorsieht, dass die Bundesdatenschutzbeauftragte in Fällen der Auskunftsverweigerung die mit der Auskunftserteilung verbundene Kontrolle bezüglich der Korrektheit der Daten und der Rechtmäßigkeit der Verarbeitung für die Betroffenen wahrnimmt. Diese Konstruktion ist grundsätzlich geeignet, das Spannungsverhältnis zwischen berechtigten Auskunfts- und Kontrollbegehren der Betroffenen und in manchen Fällen berechtigten Geheimhaltungsanliegen der Sicherheitsbehörden aufzulösen. Allerdings enthält § 57 Abs. 7 Satz 3 BDSG (neu) eine Ausnahmeklausel, nach der diese Überprüfung durch die Datenschutzaufsicht im Einzelfall durch die zuständige oberste Bundesbehörde wegen Gefährdung „der Sicherheit des Bundes oder eines Landes“ verweigert werden kann. Diese und weitere Ausnahmeklauseln dürften kaum mit den Bestimmungen der EU-Richtlinie vereinbar sein.[8] Die Bundesbeauftragte verfügt über genügend vertrauenswürdiges und sicherheitsüberprüftes Personal, um diese Aufgabe auch in solchen besonderen Fällen zuverlässig zu erfüllen. Die Einschränkung im BDSG (neu) ist daher weder erforderlich noch mit der Richtlinie vereinbar.

Schwierigkeiten in der praktischen Anwendung können sich auch dort ergeben, wo Vorschriften im Zuge der Richtlinien-Umsetzung auf mehrere Gesetze verteilt wurden. So finden sich die Regelungen zur Data Breach Notification in §§ 65, 66 BDSG. Das novellierte BKA-Gesetz enthält zu diesem und weiteren Themen ergänzende Regelungen mit zahlreichen Querverweisen auf das BDSG. Solche Querverweise führen dazu, dass die Vorschriften für interessierte Bürgerinnen und Bürger und für die anwendenden Polizeibediensteten nicht mehr aus sich heraus verständlich sind.

6. Schluss­fol­ge­rungen und Ausblick

Führt die Europäisierung des Datenschutzrechts im Ergebnis auch zu einem verbesserten Datenschutz für Polizei und Strafjustiz? Für die EU-Staaten, die bisher über kein ausdifferenziertes Eingriffsrecht auf diesem Gebiet verfügten, dürfte diese Frage mit „ja“ zu beantworten sein.

Darüber hinaus wird es darauf ankommen, wie die Potentiale der Richtlinie und ihrer mitgliedstaatlichen Umsetzung in der Praxis genutzt werden. Eine zentrale Rolle dürfte dabei der Gerichtshof der EU spielen. Er hat in den letzten Jahren signalisiert, dass er den Grundrechten auf Privatsphäre und Datenschutz auch in der Abwägung mit Sicherheitsbelangen einen hohen Stellenwert zumisst – so in seinen Entscheidungen zur Vorratsdatenspeicherung[9] und zur Passagierdatenübermittlung.[10] Daher kann erwartet werden, dass der Gerichtshof auch den Grundrechtsschutz durch die EU-Richtlinie für den Datenschutz im Polizei- und Strafjustizbereich eher ausweitend interpretieren wird. Manche Regelung der halbherzigen Umsetzung in das deutsche Recht dürfte daher nicht lange Bestand haben.

HARTMUT ADEN   ist Jurist und Politikwissenschaftler. Er ist Professor für Öffentliches Recht, Europarecht, Politik- und Verwaltungswissenschaft an der Hochschule für Wirtschaft und Recht Berlin, dort stellv. Direktor des Forschungsinstituts für Öffentliche und Private Sicherheit (FÖPS) sowie behördlicher Datenschutzbeauftragter der Hochschule. Webseite: www.hwr-berlin.de/prof/hartmut-aden.

Literatur:

Aden, Hartmut 2014: Koordination und Koordinationsprobleme im ambivalenten Nebeneinander: Der polizeiliche Informationsaustausch im EU-Mehrebenensystem, in: Der Moderne Staat, Zeitschrift für Public Policy, Recht und Management (7. Jg., Nr. 1), 55-73.

Aden, Hartmut 2016: The Role of Trust for the Exchange of Police Information in the European Multilevel System, in: Ross, Jacqueline & Delpeuch, Thierry (eds.), Comparing the Democratic Governance of Police Intelligence. New Models of Participation and Expertise in the United States and Europe. Cheltenham, UK: Edward Elgar, 322-344.

Aden, Hartmut 2017: Europäisierung der Polizeiarbeit – ein Sonderfall im europäischen Verwaltungsraum?, in: Kopke, Christoph & Kühnel, Wolfgang (Hg.), Demokratie, Freiheit und Sicherheit. Festschrift zum 65. Geburtstag von Hans Gerd Jaschke, Baden-Baden: Nomos, 241-253.

Albrecht, Jan Philipp 2015: EU police cooperation and information sharing: more influence for the European Parliament?, in: Aden, Hartmut (ed.), Police Cooperation in the European Union under the Treaty of Lisbon – Opportunities and Limitations, Baden-Baden: Nomos, 223-233.

Bäcker, Matthias 2017: Die Datenschutzrichtlinie für Polizei und Strafjustiz und das deutsche Eingriffsrecht, in: Hill, Hermann, Kugelmann, Dieter & Martini, Mario (Hg.), Perspektiven der digitalen Lebenswelt, Baden-Baden: Nomos, 63-88.

Bäcker, Matthias & Hornung, Gerrit 2012: EU-Richtlinie für die Datenverarbeitung bei Polizei und Justiz in Europa, in: Zeitschrift für Datenschutz, 147-152.

Balzacq, Thierry & Hadfield, Amelia 2012: Differentiation and trust: Prüm and the institutional design of EU internal security, in: Cooperation and Conflict (vol. 47, no. 4), 539-561.

Boehm, Franziska 2012: Information Sharing and Data Protection in the Area of Freedom, Security and Justice. Towards Harmonised Data Protection Principles for Information Exchange at EU-level, Heidelberg: Springer.

FRA (European Union Agency for Fundamental Rights) 2017: Fundamental rights and the interoperatbility of EU information systems: borders and security, Wien: FRA

Gruszczak, Artur 2016: Police and Customs Cooperation Centres and their Role in EU Internal Security, in Bossong, Raphael & Carrapico, Helena (eds.), EU Borders and Shifting Internal Security. Heidelberg: Springer, 157-175.

Gutiérrez Zarza, Ángeles (ed.) 2015: Exchange of Information and Data Protection in Cross-border Criminal Proceedings in Europe, Heidelberg: Springer.

Hert, Paul de & Papakonstantinou Vagelis 2015: Data protection. The EU institutions’ batlle over data processing vs individual rights, in: Trauner, Florian & Ripoll Servent, Ariadna (eds.), Policy Change in the Area of Freedom, Security and Justice. London: Routledge, 178-196.

Stief, Matthias 2017: Die Richtlinie (EU) 2016/680 zum Datenschutz in der Strafjustiz und die Zukunft der datenschutzrechtlichen Einwilligung im Strafverfahren, in: Strafverteidiger (StV) (37. Jg., Nr. 7), 470-477.

Anmerkungen:

1 Zur möglichen Rolle von Einwilligungen in diesem Bereich: Stief 2017.

2 Verabschiedete Fassung: Amtsblatt EU L 119 v. 4.5.2016, 89ff.; Entwurf: KOM 2012(10) endgültig v. 25.1.2012; kritische Würdigung der Entwurfsfassung bei Bäcker & Hornung 2012.

3 Amtsblatt EU L 350 vom 30.12.2008, 60ff.

4 Vgl. hierzu die Vorschläge der Europäischen Kommission, COM(2017) 793 endgültig v. 12.12.2017.

5 BVerfGE 65, 1.

6 BDSG in der Fassung des Datenschutz-Anpassungs- und Umsetzungsgesetzes EU v. 30.6.2017, BGBl. I, 2097.

7 Gesetz zur Neustrukturierung des Bundeskriminalamtgesetzes v. 1.6.2017, BGBl. I, 1354ff.

8 S. auch Bäcker 2017, 81f. zu den Ausnahmen zur Auskunftsregelung in der deutschen Umsetzung und ihrer Unvereinbarkeit mit der Richtlinie.

9 U.a. GHEU/EuGH, Rechtssachen C-293/12 und C-594/12, Urteil v. 8.4.2014.

10 U.a. GHEU/EuGH, Gutachten 1/15 v. 26.7.2017.

Der Beitrag Besserer Datenschutz – auch für Polizei und Strafjustiz?* erschien zuerst auf Humanistische Union.

Die EU-Datenschutz-Grundverordnung klammert den Datenschutz im Zusammenhang mit der elektronischen Kommunikation aus. Für die Internetnutzung und andere Formen elektronischer Kommunikation hat die Europäische Kommission daher Anfang 2017 einen Vorschlag für eine ePrivacy-Verordnung vorgelegt, die eine EU-Richtlinie zu diesem Thema aus dem Jahr 2002 ablösen soll. Florian Glatzner analysiert diesen Vorschlag und die Debatten hierzu aus der Perspektive des Verbraucherschutzes.

Die Datenschutzrichtlinie für elektronische Kommunikation[1] (folgend ePrivacy-Richtlinie) spezifizierte und ergänzte die bisherige europäische Datenschutzrichtlinie[2], die ab Mai 2018 durch die europäische Datenschutz-Grundverordnung[3] (folgend DSGVO) abgelöst wird. In der Mitteilung „Strategie für einen digitalen Binnenmarkt für Europa“ (COM(2015) 192 final) vom 6. Mai 2015 legte die EU-Kommission fest, dass die ePrivacy-Richtlinie überprüft werden sollte, sobald die DSGVO beschlossen wurde. Infolge dieser Überprüfung legte die EU-Kommission am 10. Januar 2017 einen Vorschlag für eine Verordnung über Privatsphäre und elektronische Kommunikation[4] (folgend ePrivacy-Verordnung) vor. Das Europäische Parlament stimmte nach kontroversen Verhandlungen seine Position am 23. Oktober 2017 ab. Die generelle Ausrichtung des Rats der Europäischen Union steht bisher noch aus.

Grund­sätz­liche Betrach­tungen

Während die europäische Datenschutzrichtlinie und die ePrivacy-Richtlinie weitgehend aufeinander abgestimmt waren, wird das Zusammenspiel der DSGVO und der ePrivacy-Richtlinie ab Mai 2018 von Unklarheiten für alle Beteiligten geprägt sein. Dementsprechend ist eine Überarbeitung der ePrivacy-Richtlinie unausweichlich, um einen konsistenten Rechtsrahmen in Europa zu schaffen. Doch nicht nur Änderungen des europäischen Rechts, auch die schnell voranschreitenden technischen Entwicklungen im Bereich der elektronischen Kommunikation machen eine Novelle dringend erforderlich. Eine Modernisierung und die Entwicklung eines EU-weit einheitlichen Rechts ist also geboten, um den Schutz der persönlichen Daten und die Privatsphäre der Verbraucher_innen auch in Zukunft zu gewährleisten und gleichzeitig die Rechtssicherheit und Wettbewerbsfähigkeit der europäischen Unternehmen zu stärken.

Notwen­dig­keit einer sektor­spe­zi­fi­schen Regelung

Ziel der kommenden ePrivacy-Verordnung ist, das Recht auf Privatsphäre und der Vertraulichkeit der elektronischen Kommunikation sicherzustellen. Dieses Ziel kann nur mit einer sektorspezifische Regelung erreicht werden. Die ab Mai 2018 geltende DSGVO ist dafür alleine nicht ausreichend. Aufgrund der spezifischen Risiken im Bereich der elektronischen Kommunikation müssen die abstrakten Vorschriften der DSGVO für diesen spezifischen Bereich konkretisiert werden. Insofern soll die ePrivacy-Verordnung in erforderlicher Weise die DSGVO detaillieren.

Ferner bildet die DSGVO lediglich Artikel 8 der EU-Grundrechtecharta (Schutz personenbezogener Daten) ab, während die ePrivacy-Verordnung darüber hinaus Artikel 7 der EU-Grundrechtecharta (Achtung des Privat- und Familienlebens) ausgestaltet. Dieser schreibt unter anderem das Recht auf vertrauliche Kommunikation fest. Vertrauliche Kommunikation ist nicht nur unerlässlich, um die Persönlichkeitsrechte Einzelner zu schützen, sondern auch um die Funktionsfähigkeit demokratischer Gesellschaften sicherzustellen. Allerdings steht die Vertraulichkeit der Kommunikation in Zeiten der Digitalisierung durch die neuen Möglichkeiten und Fortschritte bei der Datenverarbeitung unter starkem Beschuss. Daher sind weiterhin klare und strikte Regelungen notwendig, um diese Vertraulichkeit zu schützen.

Vor diesem Hintergrund erklärt sich auch, dass auf Basis der ePrivacy-Verordnung eine Verarbeitung von Daten der elektronischen Kommunikation nur auf Grundlage eines gesetzlichen Erlaubnistatbestands oder mit Einwilligung der Nutzer_innen möglich sein soll und eine Verarbeitung auf Basis einer Interessenabwägung für diesen besonders sensitiven Bereich ausgeschlossen wird. Eine solche Abwägung zwischen den berechtigten Interessen eines Unternehmens und den Interessen oder Grundrechten einer betroffenen Person ist in der DSGVO als eine mögliche Rechtgrundlage für die Verarbeitung von personenbezogenen Daten vorgesehen.

Darüber hinaus werden wesentliche verbraucherschützende Vorschriften der ePrivacy-Verordnung durch die DSGVO nicht abgedeckt. Dazu gehören beispielsweise Regelungen zum Schutz von Informationen, die auf den Kommunikationsgeräten der Nutzer_innen gespeichert sind sowie Vorschriften zu unerbetener Kommunikation, wie beispielweise telefonischer Direktwerbung. Somit detailliert die ePrivacy-Verordnung nicht nur die DSGVO, sondern ergänzt sie auch.

Darüber hinaus ist eine Überarbeitung der ePrivacy-Richtlinie notwendig, um das verlorene Vertrauen der Menschen in die digitale Wirtschaft wieder herzustellen. Im Jahr 2015 vertrauten lediglich 32 Prozent der Deutschen den Internet- und Telefonanbietern, nur 19 Prozent vertrauten der Internetwirtschaft (Europäische Kommission 2015:66). 70 Prozent der Deutschen zeigten sich besorgt, dass ihre Daten zu anderen Zwecken verwendet werden, als sie ursprünglich erhoben wurden (wie Direktmarketing, Profilbildung oder interessensbezogene Werbung) (Europäische Kommission 2015:69). 42 Prozent der deutschen Internetnutzer_innen vermeiden sogar bestimmte Webseiten, weil sie befürchten, dass ihre Onlineaktivitäten beobachtet werden (Europäische Kommission 2016:39).

Auch in einer breit angelegten Umfrage des Vodafone Instituts für Gesellschaft und Kommunikation vom Januar 2016 spiegelt sich das geringe Vertrauen der Verbraucher_innen in datenverarbeitende Dienste wider. Beispielsweise vermeiden es 56 Prozent der deutschen Befragten, in E-Mails oder Textnachrichten über sehr persönliche Dinge zu schreiben, da sie befürchten, dass Dritte auf diese zugreifen könnten (Vodafone Institut 2016:53). Außerdem gaben 36 Prozent der Deutschen an, gänzlich auf soziale Netzwerke zu verzichten, um ihre Daten zu schützen (Vodafone Institut 2016:76). Und selbst wenn ihre Daten anonymisiert wären, würden sich nur 42 Prozent der deutschen Befragten damit wohl fühlen, diese Daten an die Gesundheitsforschung zu geben (Vodafone Institut 2016:122). Dies zeigt, dass sogar die Erfolgschancen vorbildlicher oder datenschutzfreundlicher Dienste durch das mangelnde Vertrauen der Verbraucher_innen in Mitleidenschaft gezogen werden können. Im Gegensatz dazu wirken Privatsphäre und Vertraulichkeit der Kommunikation vertrauensbildend, da sie Risiken für die Nutzer_innen verringern. Das Vertrauen der Verbraucher_innen ist eine Grundbedingung für den Erfolg datenintensiver Geschäftsmodelle in Europa.

Europaweite Harmo­ni­sie­rung

Ein weiteres Ziel der ePrivacy-Verordnung ist es, eine europaweite Harmonisierung des Rechts auf Privatsphäre und der Vertraulichkeit der elektronischen Kommunikation auf einem hohen Niveau sicherzustellen. Dieses Ziel wurde zwar schon bisher durch die ePrivacy-Richtlinie verfolgt, konnte in der Vergangenheit jedoch nicht erreicht werden. Die Mitgliedsstaaten nutzten nicht nur die ihnen eingeräumten Spielräume, sondern setzten auch einzelne Vorschriften höchst unterschiedlich um, wie beispielsweise Regelungen zu Cookies und ähnlichen Tracking-Technologien (DLA Piper 2016). In Folge dessen konnten zum Beispiel deutsche Verbraucher_innen in der Vergangenheit ihre europarechtlich vorgesehenen Rechte zum Schutz ihrer Privatsphäre nur unzureichend wahrnehmen (DSK 2015).

Vor diesen Hintergrund ist es positiv, dass die EU-Kommission in ihrem Vorschlag die Form einer Verordnung gewählt und in diesem entsprechend der DSGVO das Marktortprinzip festgelegt hat. Demnach ist einheitlich jede Bereitstellung elektronischer Kommunikationsdienste für Verbraucher_innen und die Nutzung dieser Dienste in der EU erfasst, unabhängig davon, ob eine Bezahlung verlangt wird und unabhängig davon, ob ein Unternehmen in der EU niedergelassen ist oder nicht. So kann die europaweite Harmonisierung und eine hohe Konsistenz zur DSGVO erreicht werden.

Ausweitung des Anwen­dungs­be­rei­ches

Zwar war die ePrivacy-Richtlinie schon bisher ein wichtiges Instrument, um das Recht auf Privatsphäre und Vertraulichkeit in der elektronischen Kommunikation sicherzustellen, jedoch konnte ein umfassender Schutz aufgrund des eingeschränkten Anwendungsbereichs der Richtlinie auf klassische Telekommunikationsanbieter nicht gewährleistet werden. Dem ökonomischen, sozialen und politischen Bedeutungszuwachs von Over-The-Top-Kommunikationsanbietern[5] (folgend OTTs) wurde die ePrivacy-Richtlinie bisher nicht ausreichend gerecht.

Während noch vor wenigen Jahren der Großteil der elektronischen Kommunikation über traditionelle Telekommunikationsanbieter geführt wurde, kommunizieren Verbraucher_innen heute in erster Linie über diese OTT-Dienste. Beispielsweise sendeten die deutschen Verbraucher_innen im Jahr 2012 – als die ePrivacy-Richtlinie in Deutschland umgesetzt wurde – noch über 160 Millionen SMS-Nachrichten und 20 Millionen WhatsApp-Nachrichten am Tag. Im Jahr 2015 hatten sich diese Zahlen umgekehrt: die Deutschen sendeten weniger als 40 Millionen SMS-Nachrichten pro Tag, aber über 660 Millionen WhatsApp-Nachrichten (Statista 2015). Diese Nachrichten stehen jedoch nicht unter einem vergleichbaren Schutz wie klassische SMS-Nachrichten.

Diese Unterscheidung ist für viele Verbraucher_innen im höchsten Maße irritierend. So glauben 62 Prozent der Deutschen fälschlicher Weise, dass per Gesetz Instant-Messaging- und VoIP-Telefonate vertraulich seien und niemand auf diese ohne ihre Einwilligung zugreifen dürfe (Europäische Kommission 2016:27). Für sie ist nicht verständlich, weshalb eine Nachricht die per SMS versendet wird, einen höheren Schutz genießt als eine Nachricht, die sie – möglicherweise sogar über dieselbe Smartphone-Applikation – über das Internet versenden. So verstehen sie beispielsweise nicht, warum Anbieter von OTT-Diensten derzeit die Inhalte von Nachrichten auslesen und auswerten dürfen.

Damit einhergehend ist auch aus grundrechtlicher Perspektive die bisherige Unterscheidung heutzutage nicht mehr nachvollziehbar. Denn würde das Schutzniveau nicht an die heutigen Kommunikationsgegebenheiten angepasst werden, würde sich das allgemeine Schutzniveau durch die Verlagerung der Kommunikation massiv verringern. Daher ist es richtig, dass der Anwendungsbereich der ePrivacy-Verordnung auf alle Kommunikationsdienste ausgeweitet werden soll, wenn diese äquivalent zu klassischen Telekommunikationsdiensten sind und diese substituieren.

Die Regelungen im Einzelnen

Aber was sehen nun die einzelnen Regelungen der ePrivacy-Verordnung vor? Schon der Vorschlag der EU-Kommission enthielt aus Verbrauchersicht viele gute Ansätze, aber auch kritische Punkte und offene Detailfragen. Das Europäische Parlament führte diesen grundsätzlich verbraucherfreundlichen Ansatz fort und schärfte ihn weiter. Aus dem EU-Rat und den Mitgliedsstaaten sind bisher nur wenige konkrete Vorschläge an die Öffentlichkeit gedrungen.
Besonders strittig wird derzeit die Frage diskutiert, auf welchen Rechtsgrundlagen elektronische Kommunikationsdaten verarbeitet werden dürfen. Außerdem stehen die Regelungen zum Schutz von Informationen, die mit den Kommunikationsgeräten der Nutzer_innen in Verbindung stehen, sowie Vorgaben zur datenschutzfreundlichen Voreinstellung von Kommunikationssoftware im Zentrum der kontroversen Debatte.

Schutz der Kommu­ni­ka­tion

Die ePrivacy-Verordnung soll regeln, unter welchen Bedingungen und auf Basis welcher gesetzlichen Grundlagen elektronische Kommunikationsdaten verarbeitet werden dürfen. Demnach soll eine Verarbeitung von elektronischen Kommunikationsdaten künftig nur auf Grundlage eines gesetzlichen Erlaubnistatbestands oder mit Einwilligung der Nutzer möglich sein. Zu diesen elektronischen Kommunikationsdaten gehören sowohl die Inhalte elektronischer Kommunikation, als auch Metadaten. Grundsätzlich ist es also untersagt, Verbindungsdaten und Inhalte von Nachrichten abzufangen oder zu überwachen, außer wenn die betroffenen Nutzer_innen eingewilligt haben oder es dafür eine gesetzliche Ermächtigung gibt.

Inhalte der elektronischen Kommunikation können hochsensible Informationen über die daran beteiligten natürlichen Personen offenlegen, von persönlichen Erlebnissen und Gefühlen oder Erkrankungen bis hin zu sexuellen Vorlieben und politischen Überzeugungen, was zu schweren Folgen im persönlichen und gesellschaftlichen Leben oder zu wirtschaftlichen Einbußen führen kann. Daher war es Telekommunikationsanbietern bisher nicht gestattet, überhaupt die Inhalte elektronischer Kommunikation zu verarbeiten. Künftig soll die Verarbeitung von Inhalten jedoch für die Betreiber elektronischer Kommunikationsdienste erlaubt sein, wenn alle betroffenen Nutzer_innen ihre Einwilligung zur Verarbeitung ihrer elektronischen Kommunikationsinhalte für bestimmte Zwecke gegeben haben.

Währen diese Regelungen also für Telekommunikationsunternehmen neue Verarbeitungsmöglichkeiten eröffnen, stellen sie für die OTT-Dienste eine aus Verbrauchersicht begrüßenswerte Einschränkung dar. So war es beispielsweise bei vielen vermeintlich kostenlosen E-Mail-Anbietern bisher üblich, die Nachrichteninhalte der Nutzer_innen zu analysieren, um diesen dann maßgeschneiderte Produktinformationen anzuzeigen (vzbv 2016). Da auch OTT-Dienste künftig von der ePrivacy-Verordnung erfasst werden, wird nach den bisherigen Vorschlägen die Einwilligung aller beteiligten Kommunikationspartner_innen notwendig sein, wenn beispielsweise ein E-Mail-Anbieter die Inhalte von Nachrichten zu Werbezwecken verarbeiten möchte.

Wichtig ist jedoch, dass sich der besondere Schutz der ePrivacy-Verordnung nicht nur auf elektronischen Kommunikationsdaten während ihrer Übertragung erstrecken darf, sondern sich auch auf Kommunikationsdaten, die auf den Servern der Anbieter gespeichert sind. Ansonsten würden die engen Ausnahmen für die Verarbeitung ins Leere laufen. Würde sich der Schutz nur auf die Übertragung erstrecken, könnten die Anbieter künftig unter anderem Inhaltsdaten auf Basis der DSGVO verarbeiten. Diese Ausweitung der Verarbeitungsmöglichkeiten könnte das derzeitige Schutzniveau massiv verringern und würde dem Recht auf vertrauliche Kommunikation nach Artikel 7 der EU-Grundrechtecharta entgegenstehen.

Auch hinsichtlich der Kommunikationsmetadaten ist es kritisch, dass die Möglichkeiten der Verarbeitung durch die Telekommunikationsanbieter ausgeweitet werden sollen. Zu diesen Metadaten gehören unter anderem angerufene Nummern, der geografische Standort, Uhrzeit, Datum und Dauer eines getätigten Anrufs. Deren Verarbeitung war für Telekommunikationsunternehmen bisher auf Dienste beschränkt, für die Betroffene einwilligten und die gleichzeitig einen Mehrwert für diese Betroffenen boten. Nach den Vorschlägen der EU-Kommission und des EU-Parlaments soll die Verarbeitung künftig zu jedem Zweck möglich sein, zu dem die Betroffenen einwilligen. Auf der anderen Seite ist es hier ebenso zu begrüßen, dass in Zukunft somit auch andere Anbieter von OTT-Diensten die Metadaten der Nutzer_innen nur mit deren Einwilligung verarbeiten dürfen.

Besorgniserregend sind jedoch vor allem aktuelle Debatten – besonders in der Wirtschaft aber auch innerhalb der Bundesregierung und des EU-Rats – die diese grundlegende Stoßrichtung der Verordnungsvorschläge in Frage stellen und weitere Verarbeitungsbefugnisse fordern. Nach diesen Vorschlägen sollen in Zukunft auch ohne Einwilligung der Betroffenen Kommunikationsmetadaten auf der Rechtsgrundlage der Interessenabwägung von Betreibern elektronischer Kommunikationsdienste genutzt oder sogar „für kompatible Zwecke“ weiterverarbeitet werden dürfen. Andere Forderungen lauten, dass es grundsätzlich gestattet sein sollte, pseudonymisierte Metadaten auch ohne Einwilligung der Betroffenen zu verarbeiten.

Da Kommunikationsmetadaten eine besondere Aussagekraft haben, können durch sie sehr sensible und persönliche Informationen offengelegt werden – wie es auch der Europäische Gerichtshof ausdrücklich feststellte.[6] Daher sollten entsprechende Informationen grundsätzlich nur mit Einwilligung der betroffenen Nutzer_innen oder auf Basis einer rechtlichen Grundlage verarbeitet werden dürfen. Eine Datenverarbeitung auf Basis einer durch die Unternehmen vorgenommenen Abwägung zwischen ihren berechtigten Interessen und den schutzwürdigen Interessen der Verbraucher_innen sowie eine Weiterverarbeitung für „kompatible Zwecke“ wäre im besonders sensiblen Kommunikationsbereich nicht akzeptabel.

Schutz der mit den Geräten der Nutzer_innen in Verbindung stehenden Infor­ma­ti­onen

Kommunikationsgeräte können – wie es der verstorbene Vizepräsident des Bundesverfassungsgerichts Winfried Hassemer formulierte – so etwas wie ein ausgelagertes Gehirn der Nutzer_innen sein. Entsprechend relevant sind die mit den Kommunikationsgeräten verbundenen Informationen für die Persönlichkeit und Privatsphäre ihrer Nutzer_innen. Daraus ergibt sich ein hohes Schutzbedürfnis für diese Geräteinformationen.

Gleichzeitig ist es heutzutage nahezu unmöglich, auf moderne Kommunikationsmittel oder Dienste der Informationsgesellschaft zu verzichten, wenn man am sozialen Leben oder am gesellschaftlichen Diskurs teilnehmen möchte. Jedoch speichern viele dieser Dienste und Anwendungen Informationen auf den Kommunikationsgeräten, rufen bereits gespeicherte Informationen von diesen Geräten ab oder nutzen deren Verarbeitungsmöglichkeiten. So legen nahezu alle Webseiten oder Applikationen Cookies auf den Rechnern oder Smartphones der Verbraucher ab oder verwenden Technologien wie das Device- oder Browser-Fingerprinting, um die Anwender zu identifizieren (Artikel-29-Datenschutzgruppe 2014).

Der Einsatz dieser Technologien kann zu vielen Zwecken erfolgen, beispielsweise zur Reichweitenmessung von Inhalten oder zur Individualisierung von Preisen. Häufigster Anwendungsfall dürfte aber sein, das Verhalten der Nutzer_innen über Webseiten, Apps oder Endgeräte hinweg zu erfassen bzw. Profile zu erstellen, um diesen anschließend personalisierte Werbung anzeigen zu können. Viele Verbraucher_innen empfinden ein solches „Tracking“ als Eingriff in ihre Privatsphäre und die Vertraulichkeit ihrer Kommunikation. Nach einer Studie der EU-Kommission fühlen sich lediglich 29 Prozent der Deutschen damit wohl, dass Internet-Unternehmen Informationen über ihre Online-Aktivitäten nutzen, um Werbung an ihre Interessen anzupassen (Europäische Kommission 2015:66).

Problematisch ist, dass sich das Tracking im Internet und auf dem Smartphone kaum umgehen lässt. Im Jahr 2014 untersuchte das Fraunhofer SIT 1.600 Webseiten und fand auf diesen über 600 verschiedene Tracking-Dienste eingebunden (Schneider et al. 2014). Die Top-3-Tracker wurden auf 994, 780 und 474 Seiten verwendet. Auf den Top-3-Seiten fand das Fraunhofer SIT jeweils über 70 verschiedene Tracker, die Top-25-Seiten hatten alle über 50 Tracker eingebunden.

Auf mobilen Geräten sieht die Lage nicht besser aus. Das Australia’s Information and Communications Technology Research Centre of Excellence untersuchte im Jahr 2015 die Top-100 Android-Apps (Seneviratne et al. 2015). Über 85 Prozent der kostenlosen Apps beinhalteten mindestens ein Tracking-Framework, 30 Prozent mehr als fünf. Bei kostenpflichtigen Apps beinhalteten über 60 Prozent einen Tracker, etwa 20 Prozent drei oder mehr. Über 50 Prozent der Smartphones waren mit mehr als 25 Trackern in Kontakt, 20 Prozent der Telefone sogar mit über 40 Trackern. Diese Tracker übertrugen eine Vielzahl von personenbezogenen Daten und Identifikationsnummern (inklusive des Standorts, der Kontakte oder der Kalender).

Darüber hinaus versäumte die Werbeindustrie jahrelang die Gelegenheit, wirksame Selbstverpflichtungen einzurichten. So wird seit dem Jahr 2007 der Do-Not-Track-Standard entwickelt, der inzwischen von allen Webbrowsern unterstützt wird.[7] Von der Werbeindustrie wird der Standard jedoch nicht anerkannt. Die Do-Not-Track-Liste enthält gerade einmal 21 eingetragene Unternehmen, Google, Facebook, Yahoo etc. fehlen (Mayer, Narayanan 2018). Auch andere „Selbstverpflichtungen“ und Widerspruchssysteme gelten als wirkungslos (BEUC 2011). Insofern gibt es derzeit kaum eine Möglichkeit, sich dem umfassenden Tracking zu entziehen, außer keine modernen Kommunikationsmittel zu nutzen und damit auf Teilhabe am sozialen Leben und der politischen Willensbildung zu verzichten.

Schon nach der bisherigen ePrivacy-Richtlinie war eigentlich eine Einwilligung der Nutzer_innen notwendig, wenn Daten auf ihren Kommunikationsgeräten gespeichert oder von diesen abgerufen wurden. Jedoch muss in den meisten Fällen bezweifelt werden, dass diese Einwilligungen frei, informiert und unmissverständlich erteilt wurden. So wurde bisher beispielsweise die schlichte Nutzung einer Webseite als eine Einwilligung zum Tracking gewertet. Darüber hinaus wurde die ePrivacy-Richtlinie in Deutschland nach Ansicht von Daten- und Verbraucherschützer_innen nicht richtlinienkonform umgesetzt, da das Telemediengesetz lediglich eine Widerspruchslösung vorsieht (DSK 2015).
Die kommende ePrivacy-Verordnung soll die bisherigen Regelungen EU-weit vereinheitlichen, konkretisieren und der Datenschutzaufsicht Mittel zur effektiven Durchsetzung des Rechts an die Hand geben. Unternehmen sollen nach den Vorschlägen der EU-Kommission und des EU-Parlaments weiterhin nur mit Einwilligung der Betroffenen Informationen von den Endgeräten nutzen oder darauf speichern dürfen – es sei denn diese Verarbeitung ist notwendig, um einen von den Nutzer_innen gewünschten Dienst zu erbringen. Diese Einwilligung soll den strengen Vorgaben der Datenschutz-Grundverordnung entsprechen.

Beide Vorschläge sehen außerdem eine Ausnahme für die Reichweitenmessung vor, die vom Parlament nochmals etwas klarer gefasst wurde. Demnach ist eine solche Reichweitenmessung bzw. Webseitenanalyse auch ohne Einwilligung erlaubt, wenn sie durch den Anbieter oder im Rahmen einer Auftragsverarbeitung vorgenommen wird, lediglich einer statistischen Zählung dient, die Daten aggregiert werden, Sicherheitsmaßnahmen (wie Pseudonymisierung der Daten) getroffen werden und die Daten nach Erreichen des Zwecks gelöscht werden. Außerdem sollen die Nutzer_innen über die Verarbeitung und ihre Zwecke informiert werden und über eine Widerspruchsmöglichkeit verfügen.
Darüber hinaus sollen Verbraucher_innen ihren Widerspruch zum Tracking künftig über die Einstellungen ihrer Softwareprogramme ausdrücken können, also beispielsweise über ihren Webbrowser oder innerhalb einer App. Die Software soll den Wunsch der Nutzer den Diensteanbietern signalisieren. Dieses Signal soll rechtlich verbindlich sein.

Der Parlamentsentwurf sieht darüber hinaus ein Kopplungsverbot vor, so dass Nutzer_innen der Zugang zu einem Dienst nicht mit der Begründung verweigert werden darf, sie hätten ihre Einwilligung in die Verarbeitung personenbezogener Daten nicht gegeben, die für die Erbringung des Dienstes nicht notwendig ist. Ein solches Kopplungsverbot ist ein wichtiger Baustein, um die Freiwilligkeit der Einwilligung sicherstellen.

Eine Datenverarbeitung auf Basis einer durch die Unternehmen vorgenommenen Abwägung zwischen ihren berechtigten Interessen und den schutzwürdigen Interessen der Verbraucher_innen, wie Teile der Wirtschaft fordern, wäre auch hier nicht akzeptabel und würde hinter dem geltenden Recht zurück bleiben. Dementsprechend sind auch reine Widerspruchslösungen für das Tracking von Nutzer_innen abzulehnen.

Daten­schutz­freund­liche Vorein­stel­lungen

In ihrem Vorschlag konnte sich die EU-Kommission leider nicht zu einer Regelung durchringen, dass Kommunikationssoftware stets datenschutzfreundlich voreingestellt sein muss. Sie schlug lediglich vor, dass die Software bei der Installation die Nutzer_innen über die Einstellungsmöglichkeiten zur Privatsphäre informieren soll. Die Installation ließe sich dann nur fortsetzen, wenn die Nutzer_innen sich für eine Privatsphäreneinstellung entschieden haben.

Dabei zeigt das Flash Eurobarometer 443 der EU-Kommission, dass sich die Verbraucher_innen datenschutzfreundliche Voreinstellungen ihrer Kommunikationssoftware wünschen. 90 Prozent der deutschen Internetnutzer_innen sprachen sich für solche Voreinstellungen in ihren Webbrowsern aus (Europäische Kommission 2016:46). Gleichzeitig zeigt die Studie auch, dass besonders Ältere, Personen mit niedrigerer Bildung sowie Menschen, die das Internet wenig verwenden, seltener Änderungen der Datenschutzeinstellungen ihrer Software vornehmen (Europäische Kommission 2016:37). Datenschutzfreundliche Voreinstellungen schützen also in erster Linie diese besonders vulnerablen Verbrauchergruppen.

Das EU-Parlament griff diese Kritik auf und schlägt vor, das Hersteller von Kommunikationssoftware Datenschutz und Datensicherheit durch technische Gestaltung der Systeme und entsprechende Voreinstellungen gewährleisten müssen. Nach der Installation der Software sollen Nutzer_innen dann entscheiden können, ob sie die datenschutzfreundlichen Voreinstellungen beibehalten oder abändern wollen.

Ausblick

Die Zeit drängt. Nach den ursprünglichen Plänen der EU-Kommission sollte die ePrivacy-Verordnung gemeinsam mit der Datenschutz-Grundverordnung ab dem 25. Mai 2018 angewendet werden. Inzwischen hat sich jedoch herauskristallisiert, dass dieser Termin nicht zu halten ist. Zwar hat das Europäische Parlament seine Position bereits im Oktober 2017 abgestimmt, die Verhandlungen im EU-Rat waren aber bis März 2018 noch nicht sehr weit fortgeschritten. Auch innerhalb der Bundesregierung gab es zu den oben genannten Punkten bis März 2018 noch keine abgestimmte Position. Die bulgarische Ratspräsidentschaft kündigte zwar an, eine allgemeine Ausrichtung des Rates bis Juni 2018 anzustreben, um anschließend in die Trilog-Verhandlungen mit dem EU-Parlament und der EU-Kommission eintreten zu können. Aber es ist fraglich, ob die Verhandlungen im Rat zu diesem Zeitpunkt abgeschlossen sein werden.

Diese Situation ist für alle Beteiligten höchst unbefriedigend. Das Nebeneinander von Datenschutz-Grundverordnung und ePrivacy-Richtlinie führt vor allem zu Rechtsunsicherheit. Diese Rechtsunsicherheit wird voraussichtlich noch einige Jahre aufrechterhalten bleiben. Selbst optimistische Prognosen gehen inzwischen davon aus, dass die Trilog-Verhandlungen bis Ende 2018 andauern werden. Außerdem ist derzeit eine Übergangsfrist von einem Jahr vorgesehen, so dass die ePrivacy-Verordnung voraussichtlich Ende 2019 in Kraft treten könnte.

Es ist zu hoffen, dass die europäischen Gesetzgeber und die Mitgliedsstaaten eine schnelle Lösung finden. Gleichzeitig dürfen sie den Datenschutz und die Vertraulichkeit elektronischer Kommunikation nicht den Versprechungen und Wünschen der Telekommunikations- und Werbeindustrie opfern, die oftmals auf Mythen und fehlgeleiteten Argumenten basieren und gesellschaftlichen Interessen entgehen stehen können (vgl. Dachwitz 2017). Der Entwurf des Parlaments bietet eine gute Grundlage, der der EU-Rat folgen sollte.

Wohin die Reise gehen wird, ist derzeit aber noch nicht absehbar. Klar ist: Ein Rückschritt hinter das Schutzniveau der bisherigen ePrivacy-Richtlinie wäre nur in eng begrenzten Fällen unter strengen Voraussetzungen tragbar. Viele der derzeit diskutierten Vorschläge sind dies aber nicht. Besonders Bestrebungen, das Schutzniveau der Datenschutz-Grundverordnung durch die ePrivacy-Verordnung abzuschwächen, sind aus Verbrauchersicht inakzeptabel. Ob die ePrivacy-Verordnung zu einer Verbesserung des Datenschutzes und der Vertraulichkeit der Kommunikation führen wird oder ob der unbefriedigende Status Quo erhalten bleibt, hängt nun stark von den Mitgliedsstaaten im Rat der EU – und damit auch von der deutschen Bundesregierung – ab.

FLORIAN GLATZNER   Jahrgang 1980, Politikwissenschaftler (M.A.), Referent im Team Digitales und Medien des Verbraucherzentrale Bundesverbands e.V. (vzbv) in Berlin, begleitet den Gesetzgebungsprozess zur ePrivacy-Verordnung aus Verbrauchersicht. Wichtigste Buchveröffentlichung: „Die staatliche Videoüberwachung des öffentlichen Raumes: Spielräume und Grenzen eines Instruments der Kriminalitätsbekämpfung“ (2008).

Literaturverzeichnis:

Artikel-29-Datenschutzgruppe 2014: Opinion 9/2014 on the application of Directive 2002/58/EC to device fingerprinting; abrufbar unter https://collections.internetmemory.org/haeu/20170615232552/http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp224_en.pdf

BEUC – Bureau Européen des Unions de Consommateurs 2011: EASA – IAB Best Practice Recommendations; abrufbar unter http://www.beuc.eu/publications/2011-09975-01-e.pdf

DLA Piper 2016: EU Law on Cookies; abrufbar unter https://www.dlapiper.com/~/media/Files/Other/EU_Cookies_Update.pdf

Europäische Kommission 2015: Special Eurobarometer 431; abrufbar unter http://ec.europa.eu/public_opinion/archives/ebs/ebs_431_en.pdf

Europäische Kommission 2016: Flash Eurobarometer 443; abrufbar unter https://data.europa.eu/euodp/en/data/dataset/S2124_443_ENG

Dachwitz, Ingo 2017: ePrivacy-Mythen unter der Lupe: „Eine der schlimmsten Lobby-Kampagnen, die wir je erlebt haben“ ; abrufbar unter https://netzpolitik.org/2017/ eprivacy-mythen-unter-der-lupe-eine-der-schlimmsten-lobby-kampagnen-die-wir-je-erlebt-haben/

DSK – Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder 2015: Keine Cookies ohne Einwilligung der Internetnutzer; abrufbar unter https://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/DSBundLaender/Entschliessung_Cookies.html

Mayer, Jonathan et al. 2018: Do Not Track: Implementations; abrufbar unter http://donottrack.us/implementations

Schneider, Markus et al. 2014: Web-Tracking-Report 2014; abrufbar unter https://www.sit.fraunhofer.de/de/wtr/

Seneviratne, Suranga 2015: Short: A Measurement Study of Tracking in Paid Mobile Applications; in: WiSec ’15 Proceedings of the 8th ACM Conference on Security & Privacy in Wireless and Mobile Networks, Article No. 7; abrufbar unter https://dl.acm.org/citation.cfm?id=2766523

Statista 2015: Anzahl gesendeter SMS-Nachrichten pro Tag in Deutschland bis 2015; abrufbar unter http://de.statista.com/statistik/daten/studie/3624/umfrage/entwick lung-der-anzahl-gesendeter-sms–mms-nachrichten-seit-1999/ vzbv – Verbraucherzentrale Bundesverband e.V. 2016: vzbv mahnt Datenschutzerklärung von Google erneut ab; abrufbar unter https://www.vzbv.de/pressemitteilung/ vzbv-mahnt-datenschutzerklaerung-von-google-erneut-ab

Vodafone Institut für Gesellschaft und Kommunikation 2016: Big Data – A European Survey on the Opportunities and Risks of Data Analytics; abrufbar unter http://www.vodafone-institut.de/wp-content/uploads/2016/01/VodafoneInstitute-Survey-BigData-en.pdf

Anmerkungen:

1 Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) in der Fassung der Richtlinie 2009/136/EG vom 25. November 2009

2 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr

3 Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG.

4 Vorschlag für eine Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG, COM (2017) 10 final vom 10. Januar 2017. 113 Glatzner: Erwartungen an die ePrivacy-Verordnung vorgänge #221/222

5 OTTs sind Dienste, die über einen Internetzugangsdienst angeboten werden, ohne jedoch dafür eine eigene Telekommunikationsinfrastruktur zu verwenden. Darunter fallen zum Beispiel Voice-Over-IP-Telefonate oder Instant Messaging.

6 Siehe verbundene Rechtssachen C-293/12 und C-594/12 Digital Rights Ireland und Seitlinger und andere, ECLI:EU:C:2014:238; verbundene Rechtssachen C-203/15 und C-698/15 Tele2 Sverige AB und Secretary of State for the Home Department, ECLI:EU:C:2016:970

7 Do Not Track (DNT; englisch für „nicht verfolgen“) ist ein HTTP-Header-Feld und signalisiert einer Website oder Webanwendung den Wunsch, dass diese über die Aktivitäten des Besuchers kein Nutzungsprofil erstellt

Der Beitrag Erwartungen an die ePrivacy-Verordnung aus Sicht des Verbraucherschutzes erschien zuerst auf Humanistische Union.