Vier Wochen DSGVO – Plädoyer für einen konstruktiven Dialog

Von Peter Schaar

Dieser Beitrag erschien zuerst in der Zeitschrift BvD-News 2/2018

Der Start des neuen Europäischen Datenschutzrechts verlief holprig, zumindest in Deutschland. Der Datenschutz schaffte es sogar auf die Titelseiten auflagenstarker Tageszeitungen, allerdings vorwiegend mit negativen Schlagzeilen. In kaum einem Lokalblatt fehlten Leidensmeldungen örtlicher Vereinsvorstände, Handwerker und Unternehmer über den mit der Umsetzung verbundenen Aufwand. Auch in Social Media wurden hatten die Kritiker rein zahlenmäßig die Oberhand. Schließlich beschäftigte sich der Deutsche Bundestag genau drei Wochen nach dem Wirksamwerden der Datenschutzgrundverordnung mit der Materie – und auch hier gab es viel Kritik. Irgendetwas ist hier offenbar grundlegend schief gelaufen. Was sind die Ursachen dafür, dass sich jetzt viele überfordert fühlen? Und wie könnte eine Abhilfe aussehen?

Kommunikationsprobleme

Immer wieder hört man die Behauptung, die DSGVO sei am 25. Mai 2018 „in Kraft getreten“. Tatsächlich ist das Regelwerk aber schon seit mehr als zwei Jahren in Kraft, seit Mai 2016. Die Falschaussage belegt, dass sich die wenigsten Entscheidungsträger in der Politik, der Wirtschaft und Gesellschaft rechtzeitig ernsthaft mit dem Datenschutz beschäftigt hatten. Viele Rechtsanwender haben die zweijährige Anpassungszeit bis zum Wirksamwerden der DSGVO ungenutzt verstreichen lassen, wie Umfragen des Digitalverbandes Bitkom belegen. Die wenigsten Unternehmen hatten ihre Vorbereitungen auf das neue Datenschutzrecht fristgerecht abgeschlossen, manche hatten damit sogar erst unmittelbar vor dem 25. Mai begonnen. Noch erheblich gravierender war die Situation in Vereinen, Handwerksbetrieben, Selbstständigen und kleinen Betrieben: Vielfach nahmen Vorstände und andere Verantwortliche erst nach dem Wirksamwerden die Neuregelungen wahr. Umso größer war die Verunsicherung, ja Empörung bei Manchen, denen sehr spät klar wurde, dass sie sich nun ernsthaft mit der Materie auseinandersetzen müssen.

Die vielfach sehr späte Beschäftigung mit den neuen datenschutzrechtlichen Anforderungen ist großen Teils Ergebnis eines gravierenden Kommunikationsproblems: Die Bundesregierung hat dem Thema in ihrer Öffentlichkeitsarbeit kein besonderes Interesse gewidmet. So hat das für den Datenschutz zuständige Bundesinnenministerium erst im April 2018 ein Dokument zu einigen Grundfragen der neuen Datenschutzregeln auf seine Website gestellt, das aber ansonsten sehr allgemein bleibt. Zudem hat das Ministerium einige wenige Informationsveranstaltungen für interessierte Verbände durchgeführt, aber auch diese erst zu einem sehr späten Zeitpunkt.

Auch die Öffentlichkeitsarbeit der unabhängigen Datenschutzbehörden über die Neuregelungen war kein Ruhmesblatt. Die immerhin 18 deutschen Behörden haben zwar einige gemeinsame Positions- und Kurzpapiere zu wichtigen Fragen veröffentlicht. Auf den Websites der Bundes- und Landesdatenschutzbeauftragten findet man darüber hinaus eine zunehmende Zahl von Leitfäden, Handreichungen und Anwendungshilfen. Sie haben allerdings den Nachteil, dass sie vielfach nicht abgestimmt sind und sich in einzelnen Punkten sogar widersprechen. Im Vergleich zu den Informationen, Tools und Medieninformationen der Datenschutzbehörden anderer Mitgliedsstaaten — etwa der britischen ICO oder der französischen CNIL — nimmt sich die Öffentlichkeitsarbeit der deutschen Datenschutzbehörden zum neuen Datenschutzrecht aber eher bescheiden aus.

Interpretationsspielräume

Die DSGVO enthält eine Vielzahl von allgemeinen Rechtsbegriffen und auslegungsbedürftigen Regelungen. Zudem hatten die Regierungen der Mitgliedsstaaten gegenüber der Europäischen Kommission und dem Europäischen Parlament zahlreiche Öffnungsklauseln durchgesetzt, die durch nationales Recht gefüllt werden können oder sogar müssen. Damit wurde das wichtigste Ziel der Neuregelung in Frage gestellt, ein einheitliches Datenschutzrecht in der gesamten EU. Was zu befürchten war, ist inzwischen eingetreten: Die in nationalen Anpassungs- und Umsetzungsgesetze fallen sehr unterschiedlich aus. Dies hat zur Konsequenz, dass sich grenzüberschreitend tätige Unternehmen, anders als versprochen, weiterhin mit den Besonderheiten des nationalen Rechts auseinandersetzen müssen. Für große Unternehmen mit leistungsstarken Rechtsabteilungen ist das kein großes Problem, für kleinere Unternehmen und StartUps schon.

Bei näherem Hinsehen liefert das im Sommer 2017 beschlossene BDSG vor allem zusätzliche Spielräume für die staatliche Datenverarbeitung und schränkt Betroffenenrechte und Kontrollbefugnisse der Datenschutzbehörden ein. Dort, wo konkrete Regelungen erforderlich sind, bleibt das BDSG aber wenig konkret – etwa beim Datenschutz im Beschäftigungsverhältnis. Oder sie fehlen völlig – etwa beim gebotenen Ausgleich von Meinungsfreiheit und Datenschutz. Letzteren wollte die Bundesregierung allem Anschein nach  völlig den Ländern überlassen, obwohl es hier durchaus Regelungsnotwendigkeiten im Bundesrecht gibt. Erst als daran Kritik aufkam, insbesondere im Hinblick auf den Umgang mit digitalen Fotografien, äußerte sich das Bundesinnenministerium dahingehend, dass das Kunsturhebergesetz weiterhin anwendbar sei. Zwar ist diese Klarstellung durchaus vertretbar, sie lässt allerdings weite Aspekte der Nutzung von Social Networks offen. Zudem wäre es durchaus möglich und sinnvoll gewesen, das betagte Gesetz — es stammt aus dem Jahr 1907 — im Sinne der Abwägung der widerstreitenden Grundrechte an die Vorgaben der Datenschutzgrundverordnung anzupassen.

Regelungslücken gibt es auch bei den in Deutschland besonders zahlreichen bereichsspezifischen Gesetzesbestimmungen zum Datenschutz. Eine Reihe davon wurde zwar im letzten Jahr novelliert — aber ohne die gebotene gründliche parlamentarische Beratung. Wie beim BDSG konzentrierte sich die Große Koalition auch hier vor allem darauf, bestehende Befugnisse zur behördlichen Datenverarbeitung abzusichern. Die Chance zu einer echten inhaltlichen Weiterentwicklung wurde verpasst.

Äußerst unklar ist die Rechtslage beim Datenschutz im Internet. So ist fraglich, inwieweit das Telemediengesetz (TMG) noch gilt, denn es ist umstritten, in welchem Verhältnis die Vorgaben der nach wie vor gültigen europäischen E-Privacy-Richtlinie und die Bestimmungen der DSGVO stehen. Die Datenschutzbehörden des Bundes und der Länder vertreten die Position, dass die zentralen TMG-Regelungen zur Zulässigkeit der Verarbeitung nicht mehr angewendet werden dürfen. Vermutlich werden wir auf verbindliche Antworten bis zu einem Beschluss über die diskutierte E-Privacy-Verordnung warten müssen — wenn sie denn überhaupt kommt. Der Brüsseler Trilog darüber verläuft offenbar sehr zäh.

Auch bei der Datenschutzaufsicht bei Telekommunikationsunternehmen besteht große Unsicherheit. Da das Telekommunikationsgesetz (TKG) noch nicht novelliert wurde, stellt sich die Frage nach der Zuständigkeit für die Datenschutzaufsicht und deren Sanktionsbefugnissen. Die Aufgabenzuweisung für die Datenschutzkontrolle an die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) dürfte zwar Bestand haben. Anders sieht es jedoch in Bezug auf die Verfolgung von Ordnungswidrigkeiten und die Verhängung von Bußgeldern aus, die bisher der Bundesnetzagentur (BNA) oblagen. Angesichts der klaren Vorgaben der DSGVO stehen diese Befugnisse seit dem 25. Mai 2018 allein der BfDI zu, denn nur sie ist eine unabhängige Datenschutzbehörde. Sollte die BNA gleichwohl Datenschutzverstöße mit Bußgeldern belegen, würde dies mit einem erheblichen rechtlichen Risiko verbunden sein.

Föderalismus

 Die vom Grundgesetz vorgegebene föderale Struktur Deutschlands wirkt sich auch auf den Datenschutz aus. Dies muss nicht unbedingt schlecht sein, denn die Landesbehörden, denen neben der Datenschutzkontrolle der öffentlichen Stellen der Länder auch die Aufsicht über die Wirtschaft obliegt, sind näher an den Bürgerinnen und Bürgern und an den lokalen Datenverarbeitern, als es eine Bundeszentralbehörde sein könnte. Angesichts der durch die DSGVO bewirkten signifikanten Ausweitung der Aufgaben, zusätzlicher Befugnisse und enger Bearbeitungsfristen sind aber die Nachteile des föderalistisch organisierten Datenschutzes nicht mehr zu übersehen.

Dass die Landesgesetze zum Datenschutz unterschiedliche Vorgaben beinhalten, ist nicht neu. Die DSGVO hätte zum Anlass genommen werden können, diese Differenzen abzubauen oder zu beseitigen. Leider hatten sich die zuständigen Landesministerien aber nicht einmal auf einen Musterentwurf verständigen können. Zudem ist der Gesetzgebungsprozess in den Ländern sehr erst recht spät in Gang gekommen, so dass bis zum 25. Mai 2018 ein Teil der Landesdatenschutzgesetze nicht novelliert war. Das ist ein Problem, denn die alten, als Vollregelungen ausgelegten Gesetze sind nach dem Wirksamwerden der DSGVO zum Teil nicht mehr anzuwenden.

Bei den bereichsspezifischen Bestimmungen der Länder sieht es kaum besser aus. Zwar wurden durch den 21. Rundfunkänderungsstaatsvertrag einige medienrechtliche Regelungen upgedatet, jedoch erfolgte das in einer Weise, die den Vorgaben der DSGVO kaum gerecht zu werden vermochte. Der von der DSGVO erteilte Gesetzgebungsauftrag, für einen Ausgleich zwischen Datenschutz und Informations- und Meinungsfreiheit zu sorgen, wurde von den Ländern einseitig dahingehend interpretiert, den redaktionell-journalistischen Bereich weiterhin pauschal von den wichtigsten Vorgaben des  Datenschutzrechts auszunehmen. In vielen anderen Bereichen haben sich die Länder nicht einmal auf gemeinsame Vorgaben einigen können, etwa im Presserecht. Damit bleibt das Patchwork unterschiedlicher Datenschutzbestimmungen auch hier erhalten.

So stellt sich die Frage, ob das wichtigste zugunsten unterschiedlicher Datenschutzbestimmungen angeführte Argument überhaupt greift: Ein Wettbewerb der Länder um den besten Datenschutz („kompetitiver Föderalismus“). Schon in den letzten zwei Dekaden musste man solche datenschutzrechtlichen Innovationen mit der Lupe suchen. Angesichts der durch die DSGVO eingeschränkten Regelungskompetenzen der Länder werden die Spielräume für  eine kreative Weiterentwicklung des Datenschutzes jedenfalls noch geringer.

Die DSGVO versieht die Datenschutzbehörden mit stärkeren Durchsetzungs- und Sanktionsbefugnissen. Um eine einheitliche Aufsichtspraxis zur gewährleisten, enthält das neue Recht zudem detaillierte Vorgaben zur gegenseitigen Kooperation und zur Kohärenz ihrer Entscheidungen. Eine zentrale Stellung nimmt dabei der Europäische Datenschutzausschuss (EDSA) ein, der von den nationalen Datenschutzbehörden beschickt wird. Es liegt auf der Hand, dass es großer Anstrengungen bedarf, um die Positionen der Vertreter der Aufsichtsbehörden der 28 Mitgliedsländer unter einen Hut zu bringen. In Deutschland mit seinen 18 unabhängigen Datenschutzbehörden — Bundesbeauftragte, Landesbeauftragte und LDA Bayern — (hinzu kommen die Datenschutzbeauftragten der Kirchen und der Landesrundfunkanstalten) besteht zusätzlich die Notwendigkeit zur Vereinheitlichung auf nationaler Ebene.

Die BfDI vertritt Deutschland im EDSA und ist „zentrale Anlaufstelle“ für grenzüberschreitende Datenschutz-Angelegenheiten. Ihre Stellvertreter/in ist vom Bundesrat aus dem Kreis der Leiter/innen der Landesdatenschutzbehörden zu wählen. Leider hat der BR jedoch den bzw. die Ländervertreterin nicht gewählt, so dass die BfDI Deutschland bis auf weiteres allein im EDSA vertritt, aber in Fragen, die in Länderzuständigkeit liegen, an das Votum der Landesdatenschutzbehörden gebunden ist.

Das neue BDSG erklärt die Regelungen der DSGVO für die Zusammenarbeit der Aufsichtsbehörden im EDSA für sinngemäß für die Kooperation der deutschen Datenschutzbehörden untereinander für anwendbar erklärt, allerdings nur, soweit es um Angelegenheiten geht, die im EDSA verhandelt werden. Dies bedeutet, dass die Konferenz der   unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) erheblich aufgewertet wurde und Entscheidungen zur Datenschutzaufsicht per Mehrheitsbeschluss treffen kann. Ob dies generell zu einer Vereinheitlichung der Datenschutzaufsicht in Deutschland führt, bleibt abzuwarten. Absehbar ist aber schon jetzt, dass das zweistufige Verfahren der Meinungsbildung – auf nationaler und auf europäischer Ebene – erheblichen Aufwand erzeugt und die Möglichkeiten Deutschlands, auf die Entscheidungen des EDSA einzuwirken, erheblich einschränkt.

Was jetzt zu tun ist

Angesichts der verbreiteten Verunsicherung brauchen wir zunächst eine Kommunikationsoffensive der Bundesregierung und der Datenschutzbehörden. Es ist Sache insbesondere des Bundesinnenministeriums, den Kenntnisstand in der Bevölkerung über die Bedeutung, die Prinzipien und konkreten Regelungen zum Datenschutz zu verbessern. Besonders gefragt sind die Datenschutzbehörden: Sie müssen unmissverständliche Antworten auf die zentralen Auslegungsfragen geben. Auch wenn sich wirkliche Rechtssicherheit erst mittelfristig einstellen wird, wenn sich eine gefestigte Rechtsprechung herausgebildet hat, brauchen die Bürgerinnen und Bürger, Vereine und Unternehmen und auch die öffentlichen Stellen klare Aussagen der Datenschutzbehörden darüber, wie sie die Rechtsvorschriften verstehen und woran sie sich in ihrer Aufsichtspraxis orientieren werden. Die 19 von der Datenschutzkonferenz bisher veröffentlichten „Kurzpapiere“ sind zwar ein guter Ausgangspunkt, ausreichend sind sie bei weitem nicht. Notwendig sind abgestimmte, zielgruppenorientierte Anwendungshinweise, Musterformulare und elektronische Tools. Statt das Rad immer wieder neu zu erfinden, sehe ich die dringende Notwendigkeit zu gemeinsamen Positionierungen. Wenn nötig, sollte die DSK auch hier mit Mehrheit entscheiden.

Die Gesetzgebung muss auf Bundes- und Landesebene zügig vorangebracht werden. Dies gilt sowohl für die Landesdatenschutzgesetze als auch für die spezialgesetzlichen Datenschutzbestimmungen. Angesichts der verbreiteten Verunsicherung – etwa bei der Benennungspflicht von Datenschutzbeauftragten bei nicht-öffentlichen Stellen – sollte hier eine Präzisierung erfolgen, ebenso hinsichtlich der Bestimmungen zum Ausgleich von Meinungsfreiheit und Datenschutz und beim Datenschutz im Internet und Sozialen Netzwerken. Notwendig sind auch Gesetzeskorrekturen im Wettbewerbsrecht, die sicherstellen, dass Missbräuche von Abmahnmöglichkeiten unterbunden werden.

Schließlich müssen die Datenschutzbehörden besser ausgestattet werden. Die Ausstattung der Datenschutzbehörden mit Personal und Sachmitteln ist in manchen Bundesländern so schlecht, dass sie die vielen ihnen zugewiesenen Aufgaben nicht ansatzweise erfüllen können. Dies hat zur Konsequenz, dass ihre Aufsichtstätigkeit nicht effektiv wahrnehmen können und auch nicht über die notwendigen Beratungskapazitäten für Bürger, Vereine, Unternehmen und Kommunen verfügen.

Es bleibt zu hoffen, dass alle Beteiligten möglichst bald in einen konstruktiven Dialog kommen und die notwendigen Schritte unternehmen, damit das neue Europäische Datenschutzrecht seine zentrale Aufgabe erfüllt: Die datenschutzrechtliche Flankierung der Digitalisierung, die ohne entsprechende Leitplanken sehr schnell zu einer Sackgasse werden könnte. Datenschutz und informationelle Selbstbestimmung sind zentrale Grundrechte des Informationszeitalters – das dürfen wir bei aller Kritik an dieser oder jener Regelung nicht aus dem Auge verlieren!

Zuckerberg und der Zauberlehrlings-Effekt

Der Auftritt von Mark Zuckerberg vor dem US-Kongress hat deutlich gemacht, dass der Erfinder und Chef von Facebook mittlerweile weitgehend die Kontrolle über seine Kreatur verloren hat. Zuckerberg, der den Erfolg seines Unternehmens einmal damit erklärte, dass seine Nutzer „dumb fucks“ (Idioten) seien, hat gegenüber dem Senatsausschuss erklärt, dass sein Unternehmen von der Verbreitung von Fake News durch russische Trolle überrascht worden sei. Ob dies auch für das Absaugen von MIlliarden personenbezogener Daten durch Cambridge Analytica und andere App-Entwickler gilt, blieb unklar.

Dies erinnert an die Tatsache, dass auch die National Security Agency bei der weltweiten flächendeckenden Kommunikationsüberwachung zumindest zeitweise die Kontrolle über ihre eigenen Datenverarbeitungssysteme verloren und deshalb die rechtswidrige Ausspähung von US-Bürgern nicht bemerkt hat. Darin war ein doppelter Zauberlehrlings-Effekt zu sehen, denn der Geheimdienst war zuvor bereits der Kontrolle der dafür vorgesehenen staatlichen Institutionen immer wieder entglitten, was durch die Snowden-Enthüllungen unterstrichen wurde.

Ob Zuckerberg aufgrund seines Geschäftsmodells die massenhafte Nutzung der von seinem „Datenstaubsauger“ gesammelten Daten für demokratiegefährdende Zwecke zunächst billigend in Kauf genommen hat (dann wäre die Metapher vom Zauberlehrling zu freundlich) oder ob er schlicht überfordert ist, wird sich noch zeigen. Jetzt aber genügt es nicht mehr, dass das Unternehmen ganzseitige Anzeigen in deutschen Tageszeitungen schaltet und auf die am 25. Mai in Kraft tretende Europäische Datenschutz-Grundverordnung verweist. Jetzt ist es an der Zeit, dass der US-Kongreß dem europäischen Beispiel folgt und ein Datenschutzgesetz für die gesamte Wirtschaft verabschiedet, dass diesen Namen verdient.

Schon 1976 hat der OECD-Experte Hans-Peter Gassmann darauf hingewiesen, dass der Watergate-Skandal zur Verabschiedung des – nur für die US-Bundesverwaltung geltenden – Privacy Act geführt habe. In Europa – so Gassmann – sei der Datenschutz noch nicht so weit entwickelt, weil es dort seinerzeit an großen publikumswirksamen Skandalen gefehlt habe. Der Skandal um Facebook – immerhin bereits der 12. in der Geschichte diese Unternehmens – sollte dazu führen, dass sich endlich eine Mehrheit im Kongreß für ein umfassendes Datenschutzgesetz – nicht nur eine Lex Facebook – findet.

Alexander Dix

Mehr Sicherheit durch Fingerabdruck im Personalausweis?

Die Europäische Kommission hat für heute einen Vorschlag angekündigt, der vorsieht, dass zukünftig alle von den EU-Staaten ausgestellten Personalausweise mit den elektronisch erfassten und auslesbaren Fingerabdrücken der Inhaber versehen werden müssen. Die neue Regelung wird – wieder einmal – mit der Notwendigkeit begründet, den internationalen Terrorismus wirkungsvoll zu bekämpfen.

Während die Pässe, in denen die Fingerabdrücke bereits seit 2008 obligatorisch gespeichert werden, nur auf Antrag ausgestellt und für Reisen in bestimmte Länder außerhalb der Union benötigt werden, sind die Bürgerinnen und Bürger in den meisten EU-Mitgliedsstaaten verpflichtet, sich einen Personalausweis ausstellen zu lassen und diesen bei Kontrollen – etwa an den EU-Binnen- und Außengrenzen – vorzulegen. Das neue Vorhaben hat deshalb eine ganz andere Breitenwirkung als die Einführung der biometrischen Merkmale bei den EU-Reisepässen vor zehn Jahren.

Umso wichtiger ist die Frage, wie die erweiterte Datenerfassung begründet wird und welche Konsequenzen sie hat. Das zentrale, von EU-Innenkommissar Dimitris Avramopoulos vorgebrachte Argument ist die Erhöhung der Fälschungssicherheit. Nur durch elektronische Fingerabdrücke ließe sich die Fälschung von Ausweisen sicher verhindern. 

Eigentlich würde man erwarten, dass die Kommission dies mit Zahlen über ge- oder verfälschte Identitätspapiere belegen könnte.  Zudem war ja schon die verpflichtende Einführung des elektronisch im Personalausweis gespeicherten Gesichtsbilds mit der Erhöhung der Fälschungssicherheit begründet worden. Da inzwischen die meisten Personalausweise mit einem elektronisch, in einem Chip gespeicherten Passbild versehen sind, müsste sich doch feststellen lassen, wieviele Teil- oder Komplett-Fälschungen es bei diesen Papieren gegeben hat. Werden entsprechende Zahlen vorgelegt? Gibt es auch nur ein einziges Beispiel dafür, dass sich ein Terroranschlag oder eine andere schwere Straftat hätte verhindern lassen, wenn ein mit modernen Sicherheitsmerkmalen ausgestatteter Personalausweis zusätzlich mit Fingerabdrücken versehen gewesen wäre? Wir können gespannt sein, ob die Kommission heute diese Fakten vorlegen wird. Ich bin da eher skeptisch, denn es ist nicht einml plausibel, worin der zusätzliche Fälschungsschutz bestehen würde, wenn auch der Fingerabdruck elektronisch gespeichert würde. Wenn sich der Chip manipulieren lässt, dann gilt dies für das auf ihm bereits gespeicherte Lichtbild und den Fingerabdruck gleichermaßen. Und wenn der Chip manipulationssicher ist, bringt der elektronische Fingerabdruck keine zusätzliche Fälschungssicherheit.

Vieles spricht also dafür, dass die Erhöhung der Fälschungssicherheit ist ein vorgeschobenes Argument ist. Der zentrale „Vorteil“ der zusätzlichen Speicherung des Fingerabdrucks besteht darin, dass dieser sich deutlich besser dazu eignet, mit Datenbanken abgeglichen zu werden. Dieses Argument wurde aber bisher nicht vorgebracht, vielleicht deshalb, weil dann deutlich würde, dass es wieder einmal nur um mehr Überwachung geht, selbst wenn diese ggf. nicht zur Erhöhung der Sicherheit beiträgt.

Zudem würden beiläufig flächendeckende Fingerabdruckdatenbanken entstehen. Zwar schließt das deutsche Recht (bisher) die zentrale Speicherung biometrischer Merkmale aus, die bei der Ausweis- und Passbeantragung anfallen. Allerdings hat der Bundestag im Sommer 2017 die rechtlichen Voraussetzungen dafür geschaffen, dass sämtliche Sicherheitsbehörden online auf die in den dezentralen Pass- und Personalausweisregistern gespeicherten elektronischen Passfotos zugreifen können, und zwar nicht bloß für die Strafverfolgung, sondern für sämtliche von den Behörden wahrgenommenen Aufgaben. Wenn die dezentralen Register online abgefragt werden, degeneriert jedoch das Verbot der zentralen Speicherung zu einem schmückenden Beiwerk, das einzig dem Zweck dient, die Nerven von Skeptikern zu beruhigen.

Der aktuelle Vorschlag der Kommission ist ein weiterer Schritt zum Ausbau einer flächendeckenden Überwachungsinfrastruktur. Auch wenn dabei rechtliche Nutzungsbegrenzungen vorgesehen werden sollten, wissen wir doch aus Erfahrung, dass solche Begrenzungen mit einem Federstrich beseitigt werden können. So wurden bei fast allen größeren Terroranschlägen die rechtlichen Grenzen der Datenerfassung und -Auswertung zurückgenommen. Gerade deshalb lohnt es sich, genau hinzuschauen, wenn die technischen Voraussetzungen zur stärkeren Überwachung ausgebaut werden sollen.

Daten als Einkommensquelle für Städte und Gemeinden ?

Der Hauptgeschäftsführer des Deutschen Städte- und Gemeindebundes, Gerd Landsberg, hat vorgeschlagen, die deutschen Kommunen sollten ihre Datenbestände verkaufen. Selbst wenn dies keine personenbezogenen Daten von Bürgerinnen und Bürgern betrifft, sondern z.B. Daten zur Feinstaubbelastung, widerspricht der Voschlag den Grundsätzen der Open Government Partnership, der die Bundesrepublik beigetreten ist. Derartige Daten sollte prinzipiell für jedermann kostenfrei zugänglich veröffentlicht werden.

Die wichtigsten Argumente gegen die Vermarktung von Daten der Städte und Gemeinden, die diese mit Steuergeldern gesammelt haben, haben Walter Palmetshofer und Michael Peters vom Open Government Netzwerk in diesem Beitrag zusammengestellt:

Datenverkauf bei Kommunen: Öffentliche Daten nicht verhökern, sondern sinnvoll nutzen

Alexander Dix

Stellungnahme zu den Hamburger Gesetzentwürfen zur Umsetzung der DSGVO und der JI-Richtlinie

 

Der stellvertretende Vorsitzende der EAID, Dr. Alexander Dix, hat am 27. März 2018 zu den beiden Gesetzentwürfen zur Umsetzung der Datenschutz-Grundverordnung und (teilweise) der JI-Richtlinie, im Justizausschuss der Hamburger Bürgerschaft Stellung genommen. Die Texte finden Sie hier:

Stellungnahme-HmbDSG-Justizausschuss-Dix

Drucksache_21-11636_Entwurf_HmbJVollzDSG Drucksache_21-11638_Entwurf_HmbDSG

Brauchen wir ein neues Datenrecht?

Die Bundesregierung sendet angesichts der Datenaffäre um Facebook und Cambridge Analytica widersprüchliche Signale aus. Während die neue Justiz- und Verbraucherschutzministerin Katarina Barley darauf setzt, dass die ab Mai EU-weit geltende Datenschutz-Grundverordnung (DSGVO) der exzessiven Datennutzung und dem Datenmissbrauch entgegenwirkt, plädiert Kanzleramtschef Helge Braun für ein „neues Datenrecht“.

Das von einer „Daten-Ethikkommission“ innerhalb eines Jahres auszuarbeite Datenrecht solle mehr Transparenz für die Bürger schaffen, kündigte Braun an. „Dem Bürger muss erstmal immer sehr transparent sein, welche Daten er zur Verfügung stellt. Und er muss das grundsätzlich immer sehr einfach und sehr wirksam unterbinden können. Auf der anderen Seite müsse es für die Wirtschaft klare Regeln geben, welcher Umgang mit Daten erlaubt ist und welcher nicht.“

Nachdem sich seine Kanzleramts-Kollegin Dorothee Bär kürzlich dadurch hervorgetan hat, den Datenschutz zu einem Ansatz aus dem 18. Jahrhundert zu erklären, konzentriert sich der Kanzleramtschef auf einen Ansatz, bei dem es weniger um den Schutz des Grundrechts auf informationelle Selbstbestimmung geht, sondern um die Nutzbarmachung von immer mehr Daten. Dies passt zu den Äußerungen von Bundeskanzlerin Angela Merkel, die in letzter Zeit jede positive Bezugnahme auf den Datenschutz peinlich vermeidet, und stattdessen lieber von „Datensouveränität“, „Datenpolitik“, „Dateneigentum“ und „Datenreichtum“ spricht.

Dass es dabei nicht in erster Linie um die Stärkung der Transparenz der Datenverarbeitungsmodelle und um stregere Regeln zum Umgang mit Daten geht, ist anzunehmen. So hat sich die Große Koalition 2017 bei der Novellierung des Bundesdatenschutzgesetzes infolge des Inkrafttretens der DSGVO eher um eine Entschärfung der europaweiten Datenschutzbestimmungen bemüht. Ihr Gesetzentwurf (Bundestags-Drucksache 18/11325) zeichnete sich dadurch aus, die in der DSGVO vorgesehenen Informationspflichten bei der Erhebung und Verarbeitung personenbezogener Daten einzuschränken. Auch die Auskunftsrechte der von der Datenverarbeitung betroffenen Personen sollten beschnitten werden. Dass die vom Bundestag beschlossenen Einschränkungen der Transparenz der Datenverarbeitung weniger gravierend ausfielen, ist nicht zuletzt dem Widerstand von Verbraucher- und Datenschützern zu danken, und war nicht etwa das Ergebnis des Umdenkens in dem für das Gesetzgebungsvorhaben federführenden Bundesministerium des Innern.

Um es zusammenzufassen: Der Umgang mit personenbezogenen Daten ist in der Datenschutz-Grundverordnung umfassend geregelt. Im Hinblick auf die Vorgaben für Internet-Dienste und Telekommunikationsunternehmen ist zwar eine Überarbeitung der bisherigen Regelungen angebracht, aber auch dabei handelt es sich in erster Linie um ein europäisches Thema (ePrivacy). Deutsche Alleingänge machen da wenig Sinn.

Peter Schaar

Der Skandal hinter dem Skandal – Facebook, Cambridge Analytica und die hohe Kunst der Manipulation

Medien und Politiker sprechen von einem „Daten-Skandal“ und verlangen Antworten von Facebook und von Cambridge Analytica. Soweit bisher bekannt, hat die unter maßgeblicher Beteiligung des Trump-Vertrauten Stephen Bannon gegründete Firma „Cambridge Analytica“ mittels einer Facebook-App persönliche Daten von ca. 50 Millionen Facebook-Nutzern abgegriffen, um sie im US-Präsidentschaftswahlkampf 2016 zu verwenden. Um an möglichst viele Informationen zu kommen, tarnte sich die Spionage-App mit dem vielsagenden Namen „thisisyourdigitallife“ als psychologischer Persönlichkeitstest. 270.000 Facebook-Nutzer fielen auf die App herein und eröffneten damit nicht nur den Zugang zu ihren eigenen Facebook-Profilen, sondern darüber hinaus auch zu den Profilen ihrer im Durchschnitt jeweils 190 Facebook-„Freunde“. So ergibt sich die in den Medien genannte Zahl von 50 Millionen Betroffenen.

Nach Aussage von Facebook widersprach das weiträumige Abernten („Harvesting“) der Facebook-Profile den internen Richtlinien des Unternehmens. Umso mehr überrascht die Mitteilung, dass Facebook die Geschäftsbeziehungen zu Cambridge Analytica erst jetzt abgebrochen hat, nach dem öffentlichen Bekanntwerden der Praktiken. Dabei war dem Unternehmen der Missbrauch bereits seit langem bekannt, wurde aber vor der Öffentlichkeit und den betroffenen Nutzerinnen und Nutzern geheim gehalten.

Bei genauerem Hinsehen zeigt sich indes, dass Cambridge Analytica mit seinen Praktiken nicht allein stehen dürfte. Im Grunde geht es auch hier um „Micro-Targeting“, das in der Wirtschaft schon seit längerer Zeit, und zunehmend auch im Politik-Business zum Einsatz kommt. Man will die Hintergründe potentieller Kunden möglichst gut kennen, um sie gezielt anzusprechen. Jeder Nutzer erhält die zu seinem persönlichen Profil passenden Werbebotschaften, die vielfach nicht einmal als solche zu erkennen sind.

Auch Wählerinnen und Wähler werden zunehmend als Kunden angesehen und genauso behandelt. Von besonderem Interesse sind dabei diejenigen, die sich noch nicht endgültig für einen Kandidaten oder eine Partei entschieden haben. So werden etwa einem ehemaligen Stahlarbeiter im US „Rust Belt“ andere Nachrichten vermittelt als dem wohlhabenden Rentnerehepaar in Florida. Die Angesprochenen merken nichts davon, dass ihnen maßgeschneiderte Botschaften übermittelt werden, die an ihren Meinungsäußerungen, ihrer persönlichen Lebenssituation oder an ihren heimlichen Wünschen und Ängsten anknüpfen. Intransparenz ist das A & O jeder erfolgreichen Manipulation.

Vieles im Internet läuft im Hintergrund ab, etwa die Einbindung von Diensten, die die „Reichweite“ der Angebote messen oder die Speicherung der „technischen“ Daten, die bei jeder Interaktion – auch beim bloßen Lesen – anfallen: IP-Adressen der verwendeten Rechner, Hard- und Software, Sprach- und Landeseinstellungen, Standortdaten. Die Profilbildung über den Nutzer geschieht im Hintergrund, ohne dass dieser darauf viel Einfluss nehmen kann. Soziale Netzwerke wie Facebook bieten die idealen Datenfelder, die für Micro-Targeting abgeerntet werden. Die Betreiber der Dienste erfahren auf diese Weise sehr viel mehr über die Nutzer, als diese bewusst preisgeben. Sie kennen nicht nur deren Identität, sondern auch deren Gewohnheiten und Aufenthaltsorte: Wann sie Online sind, von welchen Computern und wo sie ins Netz gehen. Sie wissen nicht nur um die vom Nutzer eingegebenen Vorlieben, sondern können auch aus dem Verhalten der „Freunde“ Schlüsse auf ihn ziehen. So haben Studien ergeben, dass das Geschlecht, die ethnische Zugehörigkeit, die sexuelle Orientierung und die religiöse Ausrichtung eines Facebook-Mitglieds mit einiger Sicherheit allein auf Grund seiner „Likes“ und seines Freundeskreises eingeschätzt werden kann, selbst wenn der Betroffene darüber selbst keine Angaben ins Netz stellt. Nicht nur amerikanische Politiker setzen verstärkt darauf, dass ihre Botschaften von möglichst vielen Nutzern geteilt, favorisiert, weitergeleitet oder kommentiert werden. „Making the community spreading the message for you“ beschrieb eine Facebook-Vertreterin schon vor einigen Jahren dieses Vorgehen, das von den Werbern auch „virales Marketing“ genannt wird. Der Wähler müsse das Gefühl haben, in die Diskussion einbezogen zu werden. Dass es sich dabei nicht um einen gleichberechtigten Dialog handelt, in dem der Wahlkämpfer mit dem potentiellen Wähler spricht, liegt auf der Hand.

Das Geschäftsmodell von Facebook & Co basiert ganz wesentlich darauf, Unternehmen, Wahlkämpfern und Regierungen gegen Entgelt an ihrem Wissen partizipieren zu lassen. Vielfach geschieht dies, ohne dass dabei die Identitätsdaten der Facebook-Mitglieder weitergegeben werden. Aber die entsprechenden Werbebotschaften werden gleichwohl maßgeschneidert ausgeliefert und den Auftraggebern ein genaues Feedback darüber gegeben, wie die Botschaften aufgenommen wurden.

Im konkreten Fall scheint die Cambridge Analytica App aber auch die Profildaten der Facebook-Nutzer ausgelesen zu haben, was dem Micro-Targeting weitere Möglichkeiten eröffnet. Erleichtert wird die Datenzusammenführung durch die „Realnamenspflicht“. Nach den Facebook-Richtlinien müssen sich sämtliche Nutzer unter ihrem echten Namen anmelden und dabei auch ihr Geburtsdatum preisgeben. Diese Identitätsdaten ermöglichen es, die aus dem Facebook-Profil gewonnenen Informationen mit Daten aus der „realen Welt“ zu verknüpfen. Derartige Daten sind in den USA noch sehr viel umfangreicher verfügbar als in Europa, weil es in den USA an klaren Datenschutzregeln für den Umgang mit personenbezogenen Daten durch Unternehmen mangelt. Zudem eröffnen die Wählerverzeichnisse – anders als etwa in Deutschland – Einblicke in die individuellen politischen Präferenzen.

Es geht hier um weitaus mehr als um die Aufklärung des aktuellen „Cambridge-Facebook-Skandals“. Vielmehr müssen wir darüber diskutieren, wie viel Datenmacht akzeptabel ist, wie digitale Geschäftsmodelle gestaltet werden und wie dem Datenmachtmissbrauch vorgebeugt werden kann. Umfangreiche Datensammlungen und Mikro-Targeting eröffnen Manipulationsmöglichkeiten und können Ungleichbehandlung und diskriminierende Praktiken verstärken. Der zunehmenden Transparenz des Einzelnen steht eine wachsende Intransparenz der Algorithmen und der im Hintergrund agierenden Interessen gegenüber.

Es geht um mehr als den Schutz der persönlichen Daten und die Wahrung der Privatsphäre. So wichtig die „Privatsphäreneinstellungen“ sein mögen, halte ich es für den falschen Weg, den Nutzern die Hauptverantwortung für den Ge- und Missbrauch ihrer Daten zuzuweisen. Zum einen sind die Voreinstellungen, die der Dienst seinen Nutzern bei der Kontoeröffnung vorgibt, sehr freizügig: Jeder kann das Profil sehen, alle können nach der E-Mail-Adresse und der Telefonnummer suchen, Freundeslisten sind öffentlich, Apps sind aktiviert und können die Profildaten einschließlich der Daten über Aktivitäten und Interessen auslesen. Zugriff haben nicht nur die Apps, die der Nutzer selbst aktiviert, sondern auch solche, die von Freunden verwendet werden. Zum anderen sind diese Einstellungen nicht leicht zu handhaben. Schließlich sind die wichtigsten Profildaten (Namen, Geschlecht, Nutzernamen und die Nutzer-ID und Netzwerke, denen der Nutzer angehört) bei Facebook stets öffentlich, ohne dass die Nutzer etwas daran ändern können.

Datenschutz ist ein wichtiges Element der notwendigen Gegenstrategie. Hier ist zu erwarten, dass die am 25. Mai 2018 voll wirksam werdende Datenschutz-Grundverordnung Fortschritte bringt.
Rechtliche Grenzen sind aber auch darüber hinaus erforderlich, etwa im Hinblick auf den immer weitergehenden Einsatz von Micro-Targeting und auch zur Vermeidung digitaler Diskriminierung.

Ihr Peter Schaar

Fehlstart! Dorothee Bärs eigenartiges Datenschutzverständnis

„Wir brauchen … endlich eine smarte Datenkultur vor allem für Unternehmen. Tatsächlich existiert in Deutschland aber ein Datenschutz wie im 18. Jahrhundert.“ Dieser Satz stammt nicht etwa von dem Vertreter einer der viel gescholtenen Datenkraken aus den USA, sondern von Dorothee Bär (CSU), der designierten Staatsministerin „für Digitales“ der neu aufgelegten großen Koalition. Ihr zentrales Projekt besteht offensichtlich darin, die sensibelsten Daten weltweit verfügbar zu machen, etwa Patientendaten: „Und auch im Gesundheitsbereich liegen so viele Chancen! Könnten Daten deutscher Patienten mit weltweiten Datenbanken abgeglichen werden, wäre eine Diagnose oft schneller da, als sie zehn Ärzte stellen können,“ meinte sie in einem Interview mit der Bild-Zeitung vom 5. März 2018.

Auch wenn das nicht so gemeint war: Datenschutz hat etwas zu tun mit grundlegenden Wertvorstellungen, die im 18. Jahrhundert – formuliert wurden und die, müsste man meinen, auch heute noch das Fundament unserer freiheitlichen Gesellschaft bilden: Die von Jean-Jacques Rousseau geprägte Vorstellung von Menschenrechten, bürgerlicher Freiheit und Selbstbestimmung. Sie sind in die im Jahr 1776 in die Bill of Rights von Virginia und von der französischen Nationalversammlung am 26. August 1789 beschlossene Erklärung der Menschen- und Bürgerrechte eingeflossen. Datenschutz ist nichts anderes als die Gewährleistung des Selbstbestimmungsrechts im digitalen Zeitalter. Nicht umsonst billigt das Bundesverfassungsgericht seit seinem Volkszählungsurteil von 1983 jedem Menschen ein „Grundrecht auf informationelle Selbstbestimmung“ zu. Die Grundrechte auf Wahrung der Privatsphäre und den Schutz der personenbezogenen Daten sind zudem durch Art. 7 und Art. 8 der Charta der Grundrechte der Europäischen Union direkt anwendbares Recht in allen Mitgliedstaaten der EU.

In der regierungsseitig offensichtlich angestrebten „smarten Datenkultur“ ist für Bedenkenträgerei von Datenschützern offensichtlich kein Platz. Während sich sogar bei US-Unternehmen, nicht zuletzt aufgrund der Neuregelungen im europäischen Datenschutzrecht, allmählich die Auffassung durchsetzt, ohne Datenschutz ließen sich in Zukunft keine guten Geschäfte mehr machen, gibt es in der Bundesregierung offensichtlich die Tendenz, den Schutz personenbezogener Daten auf dem Altar der Profitabilität zu opfern. Zudem sei daran erinnert, dass sich maßgebliche Vertreter der bisherigen Bundesregierung, allen voran Bundesinnenminister Thomas de Maizière, massiv dafür eingesetzt haben, sämtliche Verarbeitungsmöglichkeiten, die der Wirtschaft zur Verfügung stehen, auch staatlichen Stellen zu erlauben.

Man darf gespannt sein, wie sich der Koalitionspartner der Unionsparteien, die SPD, zu einer derartigen Marschrichtung stellt – schließlich hatte sie sich ja einiges darauf zugute gehalten, in der Koalitionsvereinbarung die eine oder andere Formulierung zum Schutz der Bürger und Verbraucher vor der Datenübermacht durchgesetzt zu haben.

Eine Digitalisierung, die auf der umfassenden Überwachung und maximalen Ausnutzung persönlicher Daten beruht, wäre ein Fluch und kein Segen. China macht das gerade mit der Einführung eines umfassenden Social Scoring Systems vor. Deshalb gilt es, dafür einzutreten, dass sich die grundlegenden Werte einer freiheitlichen Gesellschaft auch in der Digitalstrategie im 21. Jahrhundert wiederfinden. Dazu gehört auch der Datenschutz.

Ihr Peter Schaar

Eine schicksalhafte Entscheidung – US-Supreme Court verhandelt über exterritorialen Datenzugriff

von Peter Schaar

Morgen, am 27. Februar 2018, beschäftigt sich der Oberste US-Gerichtshof mit einem Fall, der für die transatlantischen Beziehungen – und darüber hinaus für die Zukunft der globalen Informationsgesellschaft – von erheblicher Bedeutung sein wird: Der Supreme Court verhandelt über die Grundrechte und über die Einhaltung rechtsstaatlicher Verfahren – Werte, die Kernanliegen Europas darstellen und die zugleich zum Grundbestand demokratischen Werte Amerikas gehören.

Es geht um die Frage, ob die Strafverfolgungsbehörden der USA Durchsuchungsbefehle erlassen können, um Internetfirmen zu zwingen, die in Europa gespeicherten E-Mails und andere Dokumente  ohne die Erlaubnis oder Beteiligung der betreffenden Personen oder der jeweiligen Regierung herauszugeben.

Der Fall geht auf Dezember 2013 zurück, als ein New Yorker Richter einen Durchsuchungsbefehl gegen Microsoft ausstellte, der die Beschlagnahme von Kundeninformationen in Verbindung mit einem webbasierten E-Mail-Konto anordnete. Microsoft hat die in den USA gespeicherten Metadaten des Accounts an die US-Behörden herausgegeben, aber das Unternehmen verweigerte die Offenbarung der auf Servern in Irland gespeicherten E-Mail-Inhalte, mit der Begründung, dass US-Anordnungen nicht einseitig zur Erlangung von in anderen Ländern E-Mails und sonstigen Dokumenten verwendet werden dürften.

Die Übermittlung von Informationen aus der Europäischen Union in die USA stellt eine Datenverarbeitung dar, und daher gelten dafür die EU-Datenschutzvorschriften. Der Schutz der Privatsphäre und der Schutz personenbezogener Daten gelten in Europa als Grundrechte. Diese Rechte werden durch die Europäische Menschenrechtskonvention und durch die Charta der Grundrechte der Europäischen Union garantiert.

Das europäische Recht verbietet die extraterritoriale Anwendung der von einem Drittland erlassenen Rechtsvorschriften, die sich auf die Tätigkeiten natürlicher und juristischer Personen auswirken, die der Gerichtsbarkeit des Mitgliedstaats unterliegen. Das europäische Recht bietet verschiedene Rechtsinstrumente für die Offenlegung und Übermittlung von für Unternehmenszwecke erhobenen personenbezogenen Daten an ausländische Behörden. In der Datenschutz-Grundverordnung – Art. 48 – wird ausdrücklich betont, dass jedes Urteil eines Gerichts und jede Entscheidung einer Verwaltungsbehörde eines Drittlandes, die von einem Verantwortlichen oder Auftragsverarbeiter die Übermittlung oder Weitergabe personenbezogener Daten verlangt, nur anerkannt oder vollstreckt werden dürfen, wenn sie „auf eine in Kraft befindliche internationale Übereinkunft wie etwa ein Rechtshilfeabkommen zwischen dem ersuchenden Drittland und der Union oder einem Mitgliedstaat gestützt sind.“

Der Microsoft-Fall und die rechtlichen Argumente der US-Regierung haben auf der ganzen Welt für Besorgnis gesorgt. Viele internationale Interessengruppen haben „Amicus Briefs“ beim Obersten Gerichtshof eingereicht, darunter Regierungen, Parlamentarier, globale Unternehmen und Organisationen, der UN-Sonderberichterstatter für den Schutz der Privatsphäre, Rechtsexperten, Informatiker und zivilgesellschaftlichen Gruppen. Die Europäische Kommission hat dem Gericht eine „neutrale“ Stellungnahme übermittelt, in der sie das EU-Recht und die Regeln für gültige Datenübertragungen erläutert. Die Artikel-29-Datenschutzgruppe, in der die Datenschutzbehörden aller EU-Mitgliedstaaten und der Europäische Datenschutzbeauftragte zusammenarbeiten, hat erklärt, dass die Position der US-Regierung „einen Eingriff in die territoriale Souveränität eines EU-Mitgliedstaats“ darstelle. Das Justizministerium solle stattdessen die Rechtshilfeverträge (Mutual Legal Assistance Treaty – MLAT) verwenden, welche die USA und Europa ausgehandelt haben, um genau diese Art von Problemen zu lösen, darunter auch ein entsprechendes Abkommen mit Irland.

Die MLATs bieten Möglichkeiten der internationalen Zusammenarbeit in Strafsachen, einschließlich der Sammlung von Beweismitteln. Sie definieren den Rahmen für die Lösung grenzüberschreitender Datenerhebungen und legen geeignete Verfahren für den Umgang mit Anfragen ausländischer Regierungen fest. Insbesondere gewährleisten die Verträge die Rechte der betroffenen Personen und die Berücksichtigung anderer lebenswichtiger nationaler Interessen. Beispielsweise haben die nationalen Behörden zu prüfen, inwieweit eine Übermittlung von Daten für Strafverfahren dem nationalen Recht entspricht. Der direkte Zugriff der US-Behörden auf die Daten würde diese Schutzmaßnahmen umgehen und die Grundrechte der Europäer verletzen. Die Auswirkungen solcher einseitiger Praktiken können nicht überschätzt werden. Es wäre mehr als ein unfreundlicher Akt. Die Europäische Union, europäische Regierungen und europäische Bürger würden sie zu Recht als unzulässig betrachten.

Wenn die Strafverfolgungsbehörden in den USA extraterritorialen Zugang zu Daten erhalten — allein auf Grund amerikanischen Rechts, ohne Zustimmung der zuständigen Behörden des betreffenden Staats – , würde dies die Tür öffnen für die Beschlagnahme von Dokumenten von jedem Ort der Welt.

Es ist nicht überraschend, dass die Haltung der US-Regierung in der europäischen Öffentlichkeit auf scharfe Kritik gestoßen ist. Ulrich Kelber, parlamentarischer Staatssekretär im Bundesjustizministerium, nannte die US – Position eine „Besorgnis erregende Angelegenheit“. Es bestehe die Gefahr, dass dann auch andere Länder einen globalen Zugriff auf die Daten von Unternehmen haben wollten. „Damit ist das Grundprinzip des transatlantischen Datenaustauschs gefährdet“, so Kelber. „Wenn die US-Regierung in Datenschutzfragen nur die Einspruchsrechte von US-Bürgern duldet, dann ist das Privacy Shield tot.“ Dorothee Bär, parlamentarische Staatssekretärin im Ministerium für digitale Infrastruktur (CSU), wies es als „absolut nicht akzeptabel“ zurück, wenn per US-Gerichtsbeschluss Daten aus einem anderen Land abgegriffen werden könnten. „Wäre es das, würden wir in Zukunft auch kein Problem mehr damit haben, wenn China dies tun würde oder die Türkei, um an Daten von in Deutschland lebenden vermeintlichen Staatsfeinden zu gelangen“. Eine derartige Entscheidung zugunsten der US-Regierung würde „zu einem Chaos“ führen. Unternehmen müssten entweder das europäische Recht brechen oder ein amerikanisches Urteil ignorieren. Die hohen Standards der am Mai geltenden EU-Datenschutzgrundverordnung und die praktizierte Rechtshilfe dürften „nicht unilateral durch die Entscheidung des Supreme Courts de facto abgeschafft werden“, meinte Fraktionsvize von Bündnis 90/Die Grünen Konstantin von Notz. Der Grünen-Wirtschaftsexperte Dieter Janecek unterstrich, europäische Unternehmen könnten von US-Behörden nicht gezwungen werden, gegen europäisches Recht zu verstoßen. Ein Zugriffsrecht von ausländischen Ermittlungsbehörden auf in Europa gespeicherte Daten wäre daher „absolut fatal“ für die Grundrechte der Bürger und für die Wirtschaft. (Alle Zitate: Handelsblatt, 16.1.2018)

Ob der Supreme Court diese und andere Warnungen Ernst nimmt, werden wir demnächst wissen. Es ist zu hoffen, dass die Europäische Kommission und die Bundesregierung es nicht mit verbalen Warnungen bewenden lassen, falls die Entscheidung zugunsten der US-Regierung ausfällt.

« Older Entries