Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

 

2    Datenschutz − national und global

Während auf Landesebene die Diskussion um Datenschutz und Informationsfreiheit – manchmal schwerfällig – vorankommt, erleben wir auf natio­naler Ebene fast nur – manchmal geschwätzige – Untätigkeit, ja Lähmung. So positiv die schwarz-gelbe Koalition mit Absichtserklärungen startete (32. TB, Tz. 2.2), so folgenlos sind diese geblieben. Nicht einmal Ansätze zur überfälligen grundsätz­lichen Überarbeitung des Bundesdatenschutz­gesetzes sind erkennbar; auch in den Spezial­bereichen Internetdatenschutz (Tz. 2.1) und Beschäftigtendatenschutz (Tz. 2.4) war es schwer, ernsthafte Bestrebungen zu sachorientierten Lösun­gen zu erkennen. Das ursprünglich unterstüt­zungswürdige Projekt einer Stiftung Datenschutz wurde sehenden Auges an die Wand gefahren.

Die tendenziell eher zu begrüßenden Aktivitäten der Europäischen Union (EU) (Tz. 2.5) können für diesen Sachverhalt keine Rechtfertigung sein. Bis ein neuer normativer Rahmen für den Datenschutz in Europa in Kraft getreten ist, können die beste­henden Defizite nur schwerlich hingenommen werden. Zugleich bestünde mit einer vorbildlichen deutschen Gesetzesinitiative die Chance, die euro­päische Diskussion konstruktiv voranzubringen. Ein Warten bliebe in den Bereichen ohne Gewinn, wo bisher in Europa keine Gesetzgebungsaktivi­täten geplant sind, also in den Bereichen Tele­kommunikation, Beschäftigtendatenverarbeitung sowie beim Projekt einer Stiftung Datenschutz.

 

 

2.2          Datenschutz bei Social Media

Die Begeisterung für das Web 2.0 scheint unge­brochen. Die Hoffnungen sind groß: an Jugend­liche heranzukommen, die eigene Technikaffinität und Modernität der ganzen Welt unter Beweis stellen zu können, neue kommunikative Werbe- und Vertriebswege zu eröffnen – und all das zu geringen Kosten, mit geringem Aufwand und zumeist mit wenig Datenschutz.

Öffentliche und private Stellen nutzen oft wegen der technischen Möglichkeiten mit ungetrübter
Faszination Facebook, Twitter, Google & Co. Doch nun kommen die Datenschutzbeauftragten, hin­terfragen die Technik und teilen mit, dass die Nutzung vieler Social-Media-Angebote mit der Gesetzmäßigkeit der Verwaltung bzw. mit den gesetzlichen Pflichten von Unternehmen nicht in Einklang zu bringen ist. Bei der Nutzung der Social-Media-Angebote ergeben sich einige zentrale, zumeist nicht befriedigend beantwortete Daten­schutzfragestellungen:

• Übernimmt die Stelle in Deutschland die ihr zukommende datenschutzrechtliche Verant­wortung?
• Sind die Einwilligungen und allgemeinen Geschäftsbedingungen, etwa in Form von Terms of Use und Privacy Policies, mit den rechtlichen Vorgaben vereinbar, mit den Anforderungen an Kleingedrucktes, an Datensparsamkeit und an verbindliche Willenserklärungen der Nutzenden?
• Ist die Inanspruchnahme der Betroffenen­rechte, etwa auf Auskunft und Daten­löschung, technisch und organisatorisch umgesetzt?
• Wo und wie erfolgt die Datenverarbeitung – das Setzen und Nutzen von Cookies, die Auswertung für Werbezwecke, die Nutzungsanalyse, der Zugriff Dritter einschließlich ausländischer Sicherheits­behörden – und ist diese rechtskonform?
• Können die Bürgerinnen und Bürger die Dienste anonym oder unter Pseudonym nutzen?

Ansatzpunkt der Fragen waren zunächst die Fan­pages und Social Plugins von Facebook, die sich bei öffentlichen und privaten Stellen großen Zu­spruchs erfreuen (Tz. 1.5, 7.1.1). Das ULD kam diesbezüglich jeweils zu klaren Antworten: Nein. Die weitere öffentliche Diskussion bestätigte dieses Ergebnis und zeigte, dass die Antworten bei Google+ und anderen Social-Media-Anbietern oft nicht besser ausfallen.

Dies führte dazu, dass einige Stellen auf die Nutzung kritikwürdiger Angebote verzichteten. Andere Stellen versuchten, die kritisierten Aspekte aufzugreifen und zu korrigieren. So wurden für die Nutzenden auf den Seiten Warnhinweise oder Doppelklick-Lösungen bei Social Plugins wie den „Gefällt mir“- und „+1“-Buttons eingeführt nach dem Motto: „Sie nutzen diese Seite auf eigene Gefahr.“ Dies kann nicht wirklich befriedigen: Warnhinweise machen rechtswidriges Handeln nicht rechtmäßig. Verlinkte Inhalte werden z. B. von Facebook vollständig erfasst, gespeichert und ebenso wie originäre Inhalte der Fanpages in die automatisierte personenbezogene Reichweiten­analyse einbezogen. Selbst die Einbindung von Inhalten von Websites in ein sogenanntes Page Tab, auch IFrame-Einbindung genannt, unterliegt einer – auf die Anzeige des Page Tabs beschränk­ten – Reichweitenanalyse.

Social Media können von privaten und öffent­lichen Stellen genutzt werden, selbst in sensiblen Bereichen. Voraussetzung dafür ist aber, dass die Stellen rechtlich wie faktisch, also technisch-orga­nisatorisch, die Verantwortung übernehmen und dass vor der Inbetriebnahme erfolgreich eine qua­lifizierte Prüfung erfolgt. Das gibt es nicht zum Nulltarif, sondern verlangt IT-Qualität und Kompe­tenz bei Entwicklern, Entscheidern, Anwendern und Nutzern.

Statt die billigsten Angebote ungeprüft zu über­nehmen, die sämtliche Inhalts- und Kommunika­tionsdaten sowohl der Werbenutzung als auch ausländischer Sicherheitsbehörden auf dem Tablett servieren, müssen datenschutzkonforme techni­sche Lösungen entwickelt, implementiert und betrieben werden. Zum Betrieb gehören knappe und klare Regeln für Anwender und Nutzer, in denen die Verantwortlichkeiten sowie die Rechte und Pflichten benannt werden, und Privacy-by-Default-Einstellungen.

Es gibt keinen Grund, Social Media insgesamt abzulehnen; diese können eine massive Bereiche­rung für Information und Kommunikation sein. Wichtig ist ein bewusster, verantwortungsvoller Umgang hiermit. So kann die Verbreitung von Nachrichten über Twitter eine sinnvolle Ergänzung – aber eben nur eine Ergänzung – zur eigenen Webpräsenz und Öffentlichkeitsarbeit sein. Statt der Einbindung von Google oder Bing als Daten fressende Suchmaschinen gibt es brauchbare, als datenschutzkonform zertifizierte, kostenfreie Alter­nativen wie Ixquick und Startpage (Tz. 9.3.5).

Hier besteht ein Markt für IT-Dienstleister. Tech­nische Lösungen, die nicht auf ausländischen Servern laufen, sondern selbst verantwortet und administriert werden können, sind – teilweise als Open Source – auf dem Markt verfügbar. Bisher konnten sich datenschutzfreundlichere Alternativ­lösungen wie Diaspora, Friendica oder Identica nicht durchsetzen, weil alle meinen, zu den Billig­angeboten, bei denen schon die Massen der Nutzenden sind, gäbe es keine Alternative.

Facebook & Co. verkommen immer mehr zu reinen Werbeplattformen, die zu promoten es keinen Anlass gibt. Soziale Netzwerke, die diesen Namen zu Recht tragen und die zugleich auch noch das Gütesiegel der Akzeptanz der Datenschutzbehör­den vorweisen können, haben ein – bisher unge­nutztes – Potenzial, gerade in Deutschland, wo informationelle Selbstbestimmung und Rechts­staatlichkeit kulturell anerkannte Werte sind.

Gefordert sind auch die politischen Akteure und Gremien auf Landes- und auf Bundesebene: Statt sich als wirksame Werbeplattform von Anbietern aus Übersee, deren soziales Engagement sich durch Steuervermeidung und Datenschutzigno­ranz auszeichnet, gebrauchen zu lassen, könnten und sollten das Know-how und die Infrastruktur in Deutschland genutzt werden. Hieran fehlt es nicht; woran es fehlt, ist ein wenig Geld und vor allem der politische Wille.

 

2.3          Stiftung Datenschutz

Bei der Einrichtung der Stiftung Datenschutz wur­den die Datenschutzbeauftragten des Bundes und der Länder nicht beteiligt. Das Ergebnis ist der Verzicht der Datenschutzbeauftragten auf die Ent­sendung von Vertretern in den Stiftungsbeirat.

Eines der großen Datenschutzprojekte der aktu­ellen Bundesregierung sollte die Stiftung Daten­schutz werden, die Audit- und Gütesiegelverfahren durchführen, vergleichende Datenschutztests vor­nehmen, Bildungsangebote bereitstellen und For­schungsprojekte koordinieren sollte. Anders als andere Landesdatenschutzbeauftragte reagierte das ULD von Anfang an positiv auf die Idee; wir boten unsere Unterstützung und insbesondere das Einbringen unserer langjährigen Erfahrungen in den Bereichen an, die genau das Tätigkeitsfeld der künftigen Stiftung sein sollten (33. TB, Tz. 2.3). Auch die Konferenz der Datenschutzbeauftragten des Bundes und der Länder erklärte sich zur konstruktiven Zusammenarbeit mit dem feder­führenden Bundesinnenministerium bereit. Dieses zeigte jedoch an einer Zusammenarbeit keinerlei Interesse.

Was sich schon abzeichnete, wurde dann wahr: Alle Energie wurde darauf gelenkt, einen bürokra­tischen Apparat zu schaffen, nicht handlungs­fähige Arbeitsstrukturen: „Um das Stiftungsver­mögen dauerhaft zu erhalten, sollten die Personal- und Sachkosten gering gehalten werden“, so die Bundesregierung. Groß wird dagegen ein Beirat mit über 30 Mitgliedern sein, wovon gemäß der
Satzung etwa die Hälfte von der Wirtschaft gestellt werden soll, weitere Mitglieder von Bundestags­fraktionen und der Verwaltung. Die Datenschutz­behörden sollten insgesamt drei Mitglieder benen­nen können. Ein Verwaltungsrat soll von der Bundesregierung beschickt und vom Bundes­innenministerium dominiert werden. Ein Konzept wurde nicht vorgelegt, geschweige denn ein konkreter Plan, wie die Zertifizierung – also die ursprüngliche Hauptaufgabe – durchgeführt wer­den soll. Damit sind praktisch alle Erwartungen an die Stiftung unerfüllt geblieben: Kompetenz, Unabhängigkeit, Transparenz. Für eine enge Zusammenarbeit zwischen Stiftung und Daten­schutzbeauftragten, bei der die Arbeit nicht auf Letztere abgewälzt wird, gibt es keine Anzeichen.

Angesichts dieses Resultats beschloss die Konfe­renz der Datenschutzbeauftragten des Bundes und der Länder im November 2012, von der Möglich­keit, Vertreter in den Stiftungsbeirat zu entsenden, keinen Gebrauch zu machen. Diesem Vorbild folg­ten einige benennungsberechtigte Stellen aus der politischen Opposition und aus den Bereichen Gewerkschaften und Verbraucherschutz. Die Kon­ferenz wie auch das ULD sind weiterhin zu einer Unterstützung und Beratung bereit. Voraus­setzung hierfür ist aber, dass damit ein Vorteil für den Datenschutz erkennbar wird. Einrichtungen, die entgegen den rechtlichen Anforderungen insbesondere Wirtschaftsunternehmen datenschutz­rechtliche Persilscheine ausstellen, gibt es im kommerziellen Bereich schon mehr als genug.

 

2.4          Beschäftigtendatenschutz

Keinen Erfolg hatte bisher der Versuch der Bundes­regierung, ein bundesweit einheitliches, prakti­kables und auf Ausgleich zwischen Arbeitnehmer- und Arbeitgeberseite abzielendes Beschäftigten­datenschutzrecht zu schaffen.

Es könnte so einfach sein: Es liegt eine Vielzahl von sinnvollen Formulierungsvorschlägen von Opposi­tionsparteien und von Interessenverbänden vor; es kann auf eine gefestigte Arbeitsgerichtsrecht­sprechung zurückgegriffen werden. Doch das seit knapp 30 Jahren bestehende Versprechen, ein valides Beschäftigtendatenschutzrecht zu schaf­fen, das Rechtsfrieden und einen fairen Interes­senausgleich schafft, droht weiterhin unerfüllt zu bleiben. Vorausgegangen waren in den Jahren 2008/2009 Überwachungsskandale im Arbeits­bereich. Im August 2010 war ein Entwurf einer Änderung des BDSG vorgelegt worden, der das Versprechen des Koalitionsvertrages, den Beschäf­tigtendatenschutz zu verbessern, nicht halten konnte (33. TB, Tz. 5.1). Vertreter der Arbeitgeber- wie der Arbeitnehmerseite, juristische und betrieb­liche Praktiker und die Datenschutzbeauftragten machten eine Vielzahl von konstruktiven Vorschlä­gen, wie aus dem schlechten Entwurf noch ein gutes Gesetz gemacht werden kann.

Bei den Gesetzesberatungen wurden die Daten­schutzbeauftragten praktisch nicht eingebunden. Gerüchte waren zumeist die einzige Informations­quelle. Auch nur gerüchtehalber war zu erfahren, dass sich die Arbeitgeberseite massiv in den Ent­scheidungsprozess der Gesetzgebung einmischte. Die Gerüchte über die inhaltlichen Änderungs­vorschläge deuteten darauf hin, dass der Daten­schutz für Beschäftigte noch weiter abgebaut werden könnte. Ein Warten auf Europa ist nicht angebracht; der Regelungsvorschlag der EU-Kom­mission zum Datenschutz (Tz. 2.5) überlässt diesen Bereich ausdrücklich den Mitgliedstaaten. Im Januar 2013 wurde bekannt, dass die Regierungs­koalition mit einem nur in wenigen Punkten geänderten Entwurf im Schnelldurchgang die Gesetzgebung abschließen möchte. Nach hefti­gem öffentlichen Protest, u. a. in Form einer Entschließung der Datenschutzbeauftragten des Bundes und der Länder, wurde die Beschluss­fassung aufgeschoben und weitere Diskussionen angekündigt. Dass diese erfolgreich sein werden, ist nicht zu erwarten.

http://www.datenschutz-bremen.de/konferenzbeschluesse2.php?konfid=166

 

2.5          EU-Rechtsrahmen – Entwurf einer Datenschutz-Grundverordnung

Die EU-Kommission hat am 25. Januar 2012 den Entwurf für eine Datenschutz-Grundverordnung veröffentlicht, die die Maßstäbe für den Schutz personenbezogener Daten in der EU vereinheit­lichen soll. In 91 Artikeln finden sich wertvolle Bestimmungen zum Schutz und zur Stärkung der allgemeinen Persönlichkeitsrechte der Bürgerin­nen und Bürger. Allerdings besteht auch Ände­rungs- und Ergänzungsbedarf, der in die laufenden Abstimmungen und in das Gesetzgebungsverfah­ren einfließen sollte. Das ULD unterstützt die EU-Kommission in ihrem Vorhaben, einen harmoni­sierten und technikneutralen Datenschutz in Europa zu schaffen. Eine Modernisierung des Datenschutzes und dessen Vereinheitlichung auf europäischer Ebene sind dringend notwendig, um den immer neuen Risiken für die Persönlichkeits­rechte der Bürgerinnen und Bürger wirksam zu begegnen und um einen Datentransfer im Binnen­markt zu ermöglichen sowie dessen Zulässigkeit zugleich an klare Bedingungen zu knüpfen.

Positiv hervorzuheben sind Bestimmungen zur Stärkung des Einwilligungserfordernisses, zum Schutz personenbezogener Daten von Kindern, zu den Betroffenenrechten gegenüber den verant­wortlichen Stellen – auf Information, Auskunft, Vergessenwerden bzw. Löschung und Daten­übertragbarkeit –, die Reglementierung von auf Profiling basierenden Maßnahmen, das Gebot datenschutzfreundlicher Voreinstellungen, die haf­tungsrechtliche Gleichstellung von für die Daten­verarbeitung Verantwortlichen und den Auftrags­datenverarbeitern, die Einführung umfassender Dokumentationspflichten, die Verpflichtung zur Datenschutzfolgenabschätzung, die Befürwortung datenschutzspezifischer Zertifizierungsverfahren und die Erweiterung der Sanktionsmöglichkeiten für die Aufsichtsbehörden im Falle von Verstößen gegen die Grundverordnung.

• Die vorgesehenen Ermächtigungen für die Kommission für sogenannte delegierende Rechtsakte müssen auf das erforderliche Maß reduziert werden. Den Mitgliedstaaten muss die Möglichkeit verbleiben, für den Grundrechtsschutz wesentliche Gesichts­punkte selbst zu regeln.
• Technisch-organisatorische Maßnahmen zur Gewährleistung der Datensicherheit und damit auch des Datenschutzes, wie die Grundsätze der Integrität, der Verfügbarkeit, der Vertraulichkeit, der Transparenz, der Intervenierbarkeit und der Nichtverkett­barkeit, sollten in der Grundverordnung verankert werden.
• Beabsichtigt ist, dass im Wege eines „One-Stop-Shops“ nur noch eine Aufsichts­behörde europaweit im Hinblick auf ein bestimmtes Unternehmen als zuständige Kontrollbehörde tätig werden kann. Hier sollte berücksichtigt werden, dass für bestimmte Sachverhalte hauptsächlich nationale Datenschutzvorschriften eingreifen können, sodass die Bestimmung eine Art europäische Federführung vorsehen sollte.
• Für die EU-Kommission enthält der Entwurf zahlreiche Befugnisse, wie etwa die Erarbeitung und Aufstellung von Ausfüh­rungsbestimmungen, was die Unabhän­gigkeit der europäischen Datenschutz­aufsichtsbehörden beeinträchtigen würde. Hier muss Abhilfe geschaffen werden.
• Die vorgesehene Verpflichtung, betriebliche Datenschutzbeauftragte erst ab einer Anzahl von 250 Beschäftigten bestellen zu müssen, ist deutlich zu niedrig. Die Bestell­pflicht sollte vorrangig von qualitativen Aspekten der automatisierten Daten­verarbeitung und weniger von quantitativen Merkmalen abhängig gemacht werden.

Mit Datum vom 17. Dezember 2012 legte der Berichterstatter des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres des Europäischen Parlaments Änderungsvorschläge zur Grundver­ordnung vor, welche die Anregungen der Daten­schutzbeauftragten weitgehend aufgreifen.

http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+COMPARL+PE-501.927+04+NOT+XML+V0//DE

Zurück zum vorherigen Kapitel

Zum Inhaltsverzeichnis

Zum nächsten Kapitel