Datenschutz im Internet — Quo Vadis?

Am Dienstag flatterte dank @sayho dieser nur auf den ersten Blick staubige Vortrag „Modernes Datenschutzrecht in Europa“ von Prof. Alexander Roßnagel zum 5. Europäischen Datenschutztag in unseren IRC Channel.

Bevor ich mich mit diesem Text auseinandersetze, möchte ich kurz auf  einen Gedanken von @mspro eingehen. Im Rahmen von „wir. müssen reden“ Folge 19 wurde kritisiert, dass eine Gruppe Post-Privacy-verliebter Spackos schlecht glaubwürdig Kritik am Datenschutz formulieren kann, da sie quasi von vornherein des Utopismus verdächtig wäre.
Mir leuchtet das Argument ein. Deswegen versuche ich für diesen Artikel einfach mal einen Disclaimer voranzustellen: Ich bin kein Gegner von Datenschutz und glaube, dass es auch weiterhin eine private Sphäre geben wird, und dass diese durch staatliche Regeln geschützt werden sollte. Wie groß diese Sphäre, welcher Art die Regeln und wie streng die Umsetzung sein werden, sind Fragen, die vernünftigen modernen Datenschutz von staatlicher Zensur unter einem Datenschutz-Deckmantel abgrenzen werden.

Und damit komme ich zurück zum Thema: Moderner Datenschutz, bzw. Datenschutz im Internet. Neben einem formalen Modernisierungsbedarf wegen der verstreuten und unverständlichen Normen im Datenschutzbereich kritisiert Roßnagel in der Einleitung vor allem den skandalgetriebenen politischen Aktionismus (wie ich auch hier schrieb), der Flickwerk produziert statt dem Bürger eine verständliche Form seiner Rechte zu liefern.

Auf der viel spannenderen inhaltlichen Ebene sieht er zwei neu Entwicklungen, die vom aktuellen Datenschutz nicht adäquat berücksichtigt werden:

• Die globale Vernetzung und der neue „virtuelle Sozialraum“, in dem Spuren des realen Lebens hinterlassen werden. Die Erhebung und Verbreitung dieser Daten durch den Betroffenen ist nicht kontrollierbar. Eingesetzte Konzepte wie Zweckbindung und Datensparsamkeit wirken nur innerhalb der Grenzen des Nationalstaats. (Dies hat die EU noch nicht verstanden.)
• Die allgegenwärtige Datenverarbeitung in Fahrzeugen, Handys und demnächst auch Stromzählern und Haushaltsgeräten in allen Teilbereichen unseres Lebens. Aus dieser Entwicklung gibt es keinen Rückzug, da reale Welt und virtuelle Welt zusammenwachsen.

Sehr treffend fand ich hier die Analyse zur nötigen Akzeptanz von Datenschutzregeln bei den Nutzern.

Wenn die allgegenwärtige Rechnertechnik gerade im Hintergrund und damit unmerklich den Menschen bei vielen Alltagshandlungen unterstützen soll, wird es niemand akzeptieren, wenn er täglich zur Durchsetzung des Transparenzprinzips tausendfach bei meist alltäglichen Verrichtungen Anzeigen, Unterrichtungen oder Hinweise zur Kenntnis nehmen müsste.

Als Vorschlage zur Verbesserung der Situation wird ein Abschied von Einzelgenehmigungen und eine ständige Datenschutzerklärung gefordert.

Ein Beispiel sind Transparenzanforderungen. Statt sie auf eine einmalige Unterrichtung und auf einzelne Daten zu begrenzen, sollten sie stärker auf Strukturinformationen bezogen sein und durch eine ständig einsehbare Datenschutzerklärung im Internet gewährleistet werden. Eine andere Transparenzforderung wäre, immer eine technisch auswertbare Signalisierung zu fordern, wenn Daten erhoben werden.

So weit, so unterstützenswert. Danach wird aber nach dem sinnvollen Hinweis auf Pseudonymität als Hilfestellung plötzlich ein „Recht auf Vergessen“ eingeführt, das mich viel zu sehr an den Radiergummi von Frau Aigner erinnert.

Je stärker das Zusammenspiel zwischen enger Zwecksetzung und strenger Erforderlichkeit bei individualisierten adaptiven Systemen an Grenzen stößt, desto stärker muss das Datenschutzrecht die Möglichkeiten sinnvollen anonymen und pseudonymen Handelns einfordern und Zweckbindung stärker auf Missbrauchsvermeidung und Erforderlichkeit stärker auf Löschungsregeln hin konzentrieren – als Voraussetzung für ein Recht auf Vergessen.

Warum brauchen wir ein „Recht auf Vergessen“? Warum sollen wir zur grundsätzlichen informationellen Selbstkontrolle des Einzelnen noch eine zeitliche Eingrenzung erlauben? Und vor allem: Wie soll das realisiert werden?

Mit diesen gemischten Gefühlen geht es weiter im Text. Die Einhaltung der Verarbeitungsregeln sollte „nicht die permanente persönliche Aufmerksamkeit erfordern, sondern muss automatisiert erfolgen“. Möglicherweise mit einer maschinenlesbaren Datenschutzerklärung und Signalsystemen die Nutzer auf Verstöße aufmerksam machen. Klingt gut. Aber auch hier stellt sich die Frage nach der Realisierung. Der Grundgedanke von Roßnagel klingt leider sehr nach staatlicher Infrastruktur.

Technischer Datenschutz hat gegenüber rein rechtlichen Vorgaben Effektivitätsvorteile: Was technisch verhindert wird, muss nicht verboten werden. Gegen Verhaltensregeln kann verstoßen werden, gegen technische Begrenzungen nicht. Datenschutztechnik kann so Kontrollen und Strafen überflüssig machen.

Zensursula, anyone? Wer richtet denn diese Systeme ein und wer will garantieren, was dort „technisch begrenzt“ wird?

Ein Ansatz, der weit viel versprechender klingt, ist der der Freiwilligkeit.

Die datenschutzgerechte Gestaltung der künftigen Welt, insbesondere die Umsetzung von Zielen wie Datensparsamkeit oder Anonymität, fordert die aktive Mitwirkung der Entwickler, Gestalter und Anwender. Sie werden hierfür aber nur zu gewinnen sein, wenn sie davon einen Vorteil haben. Daher sollte die Verfolgung legitimen Eigennutzes in Formen ermöglicht werden, die zugleich auch Gemeinwohlbelangen dienen. Datenschutz muss daher zu einem Werbeargument und Wettbewerbsvorteil werden. Dies ist möglich durch die freiwillige Auditierung von Anwendungen, die Zertifizierung von Produkten und die Präsentation von Datenschutzerklärungen. Werden diese von Datenschutzrankings oder durch die Berücksichtigungbei öffentlichen Auftragsvergaben begleitet, kann ein Wettbewerb um den besseren Datenschutz entstehen. Dann werden die Gestaltungsziele beinahe von selbst erreicht.

Bravo! Weniger Kontrolle, mehr Freiwilligkeit. Dies ist ein Ansatz, der den Benutzern soviel Schutz ihrer Daten ermöglicht, wie sie brauchen. Außerdem erlaubt er viel dynamischere Änderungen als eine statische gesetzliche Detailregelung.

Wenn ich mir die aktuell losgestoßene Datenschutzdebatte und die rasante Entwicklung der sozialen Netzwerke und Internetdienste (z.B. gibt es wohl demnächst sowas wie Fahrtenschreiber für den eigenen Browser) ansehe, dann glaube ich nicht, dass der Staat voreilig eingreifen sollte. Jeden Monat ändern sich die Bedingungen, in denen Nutzer ihre Daten mit Anderen teilen.

Als gute Denkanstöße für eine Zukunft des Datenschutzes sehe ich die durch die maschinenlesbare Datenschutzerklärung ermöglichten vereinfachten Kontrollmechanismen, solange diese in der Hand der Nutzer und nicht einer zentralen Stelle sind. Außerdem ist eine Initative zur Aufklärung über tatsächlich sensible Bereiche der Privatsphäre im Internet (Hint: weder Google Street View noch AdSense waren es) notwendig. Eine Zertifizierung von Diensten basierend auf sinnvollen Kriterien wie Einstellbarkeit der Datenflüsse und Güte der Standardeinstellungen bzw. Informationen dazu wäre eine gute Basis für ein Datenschutzbewusstsein auf Herstellerseite, das auf Freiwilligkeit basiert. So kommt man auch ohne Kontrolle der Datenschützer oder staatlichen wohlmeinenden Stellen zu seinem Schutz der Privatsphäre. Und zwar so viel Privatsphäre, wie jeder sich wünscht.

Dazu müssten die Aktionisten unter den Daten- und Verbraucherschützern sich aber mal wirklich Gedanken machen, und zusammen mit der Öffentlichkeit an einer sinnvollen Weiterentwicklung des Datenschutzrechts arbeiten. Solange die diesbezügliche Politik von Panik bestimmt ist, kann und wird dem Nutzer nicht geholfen.