Category Archives: PETER SCHAAR. Der Blog.

Sichere Kommunikation über das Internet stärken statt schwächen!

Stellungnahme der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID) zu Forderungen, Internetanbieter zum Einbau von Überwachungsschnittstellen zu verpflichten

2019-06-11 Stellungnahme Backdoors

Berlin, 11. Juni 2019

Die sichere Kommunikation über das Internet stärken statt schwächen!

Die Europäische Akademie für Informationsfreiheit und Datenschutz (EAID) lehnt die Forderungen von Innenministern und Vertretern der Sicherheitsbehörden ab, die Internetanbieter  dazu zu verpflichten, in ihre Dienste Schnittstellen einzubauen, über welche die Kommunikation an Sicherheitsbehörden ausgeleitet oder von diesen überwacht werden kann. Derartige Verfahren schwächen die Informationssicherheit, gefährden die Vertraulichkeit der Kommunikation und den effektiven Schutz personenbezogener Daten.

Angesichts der zunehmenden Bedeutung der elektronischen Kommunikation im privaten und geschäftlichen Bereich sind technische Schutzmaßnahmen gegen die unbefugte Kenntnisnahme und Einwirkung durch Dritte von zentraler Bedeutung. Insbesondere bei der Übermittlung hochsensibler Daten ist eine sichere Ende–zu–Ende–Verschlüsselung unverzichtbar. Zudem würden „Backdoors“ und vergleichbare Überwachungsmöglichkeiten unabsehbare Risiken für digital gesteuerte industrielle Prozesse („Industrie 4.0“) bewirken.

Die Vorstellung, technische Überwachungsschnittstellen ließen sich so gestalten, dass sie nur durch Behörden demokratischer Staaten unter Wahrung rechtsstaatlicher Verfahren und entsprechender Schutz– und Kontrollvorkehrungen genutzt werden können, ist wirklichkeitsfremd.

Schließlich ist darauf hinzuweisen, dass mit den 2017 vom Bundesgesetzgeber beschlossenen Befugnissen zur Durchsuchung von informationstechnischen Systemen („Bundestrojaner“) und zur Überwachung digitaler Kommunikation („Quell-TKÜ“) bereits eine bedenkliche Ausweitung der digitalen Überwachung erfolgt ist. Nicht zuletzt vor diesem Hintergrund wäre die nun ins Auge gefasste Ausweitung der Internetüberwachung auch verfassungsrechtlich hochgradig zweifelhaft.

Die EAID empfiehlt deshalb, die Pläne zum verpflichtenden Einbau von Überwachungsschnittstellen in Internetdienste nicht weiter zu verfolgen.

Kontakt: Peter Schaar

psch@eaid-berlin.de

Selbstkorrektur: Neue Kennzeichenentscheidung des Bundesverfassungsgerichts

Das Bundesverfassungsgericht hat in einer heute veröffentlichten Entscheidung die automatisierten Kennzeichenkontrollen Nach dem bayerischen Polizeiaufgabengesetz für in Teilen verfassungswidrig erklärt. Die beanstandeten gesetzlichen Vorgaben 

verstießen gegen das Recht auf informationelle Selbstbestimmung.

Der Beschluss des Ersten Senats vom 18. Dezember 2018 (1 BvR 142/15) enthält mehrere bemerkenswerte Feststellungen:

  • Das Gericht korrigiert seine bisherige Rechtsprechung im Hinblick auf den Eingriffscharakter des Einsatzes automatisierter Kennzeichenerkennungssysteme. Anders als in einer früheren Entscheidungen (BVerfGE 120, 378) stellt das Gericht fest, dass eine automatisierte Kraftfahrzeugkennzeichenkontrolle auch dann einen Eingriff in das Grundrecht auf informationelle Selbstbestimmung aller einbezogenen Personen darstellt, wenn das Ergebnis zu einem „Nichttreffer“ führt und die Daten sogleich gelöscht werden.
  • Da die Kennzeichenkontrolle in die informationelle Selbstbestimmung der Halter und Nutzer der erfassten Fahrzeuge eingreift, ist deren Zulässigkeit an dem verfassungsrechtlichen Kriterium der Verhältnismäßigkeit zu messen. Insofern ist die gesetzliche Erlaubnis zur Kennzeichenerkennung ohne das Vorliegen von Hinweisen auf schwerwiegende Gefahren verfassungswidrig.
  • Die Reichweite der für den Datenabgleich herangezogenen Fahndungsbestände ist anlassbezogen zu begrenzen. Damit nicht vereinbar ist eine Regelung, welche die für den Kennzeichenabgleich verwendeten Fahndungsdateien nicht genau bezeichnet. 
  • Landesrechtliche Regelungen der Kennzeichenerkennung sind nur zulässig, soweit das Grundgesetz entsprechende Gesetzgebungskompetenzen der Länder vorsieht. Die Strafverfolgung und der Grenzschutz gehören nicht dazu.

Die Entscheidung ist über den eigentlichen Gegenstand hinaus bedeutsam. In den letzten Jahren haben sich die Gesetzgebung des Bundes und der Länder bei verschiedenen Gesetzgebungsvorhaben auf die „alte“ Kennzeichenentscheidung (s.o.) des Bundesverfassungsgerichts bezogen, zuletzt bei den Änderungen des Straßenverkehrsgesetzes zur Einführung eines Kennzeichenscannings für die Durchsetzung von Dieselfahrverboten. Zurecht wurde schon bisher angezweifelt, ob die darin vorgesehene Erfassungen, Speicherungen und Abgleiche von Autokennzeichen und Gesichtsbildern verhältnismäßig seien. Diese Zweifel werden durch das jüngste Urteil des Bundesverfassungsgerichtes verstärkt. Das zur Rechtfertigung der Einführung der Überwachungsmaßnahmen angeführte Argument, die bloß temporäre Datenerfassung stelle keinen Grundrechtseingriff dar, ist mit dem Urteil obsolet geworden.

Auch auf die Diskussion über den Einsatz „smarter“ Videoüberwachungssysteme mit biometrischer Gesichtserkennung wird die Entscheidung des Bundesverfassungsgerichts Auswirkungen haben: Auch hier haben Befürworter damit argumentiert, es liege bei mehr als 99 % der erfassten Personen keinerlei Grundrechtseingriff vor, da die Daten ja nur temporär gespeichert und mit Fahndungs- und Gefährderdateien abgeglichen werden sollten. Das Bundesverfassungsgericht hat nun klargestellt, dass schon der Betrieb entsprechender Überwachungseinrichtungen die Grundrechte der erfassten Personen beeinträchtigt, selbst wenn deren Namen und Identität zunächst nicht bekannt sind. Entscheidend sei einzig und allein, ob eine solche Zuordnung möglich sei.

Desweiteren müssten weitere Überwachungsbefugnisse im Lichte der neuen verfassungsgerichtlichen Rechtsprechung überprüft werden, bei denen massenhaft Daten durchsucht und abgeglichen werden, etwa die polizeiliche Rasterfahndung und die „strategische Fernmeldeüberwachung“ durch den Bundesnachrichtendienst. Auch hier liegen – anders als bisher vielfach angenommen – bei „Nichttreffer-Fällen“ Grundrechtseingriffe vor, die am Maßstab der der Verhältnismäßigkeit zu messen sind.

Schließlich ist zu begrüßen, dass das Gericht in einer anderen Frage bei seiner Linie bleibt: „Zur Freiheitlichkeit des Gemeinwesens gehört es, dass sich die Bürgerinnen und Bürger grundsätzlich fortbewegen können, ohne dabei beliebig staatlich registriert zu werden … und dem Gefühl eines ständigen Überwachtwerdens ausgesetzt zu sein. .. Jederzeit an jeder Stelle unbemerkt registriert und darauf überprüft werden zu können, ob man auf irgendeiner Fahndungsliste steht oder sonst in einem Datenbestand erfasst ist, wäre damit unvereinbar. Vielmehr bedürfen solche Maßnahmen vor der Freiheit des Einzelnen eines spezifischen Grundes und sind als Eingriffe in das Grundrecht auf informationelle Selbstbestimmung rechtfertigungsbedürftig.“ (Rnr. 51)

Eine flächendeckende, präventive Massenüberwachung wäre damit nicht vereinbar.

Red Alert: Hard Brexit and Data Protection

After the House of Commons rejected the text of the treaty negotiated between the European Commission and the British Government on the withdrawal of Great Britain from the European Union (https://ec.europa.eu/commission/sites/beta-political/files/draft_withdrawal_agreement_0.pdf), a “hard brexit” – the dissolution of the relationship without a divorce contract – has become more likely. This also has serious implications for data protection and the companies subject to it.

In its statement issued more than a year ago (http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=611943), the European Commission had already pointed out the serious consequences for data protection resulting from the departure of Great Britain. The Commission pointed out that after the Brexit, Great Britain would become a “third country” to which the corresponding rules of the European General Data Protection Regulation (GDPR) for data transfer to countries outside the EU would apply (Art. 44 ff GDPR). 

While the cross border transfer of personal data between the member states of the European Union is permissible without restrictions under data protection law, an adequate level of data protection must be demonstrated if the data are to be transferred to third countries. The GDPR provides various instruments for this purpose.

The silver bullet would be a so-called “adequacy decision” of the Commission (Art. 45 GDPR). On the base of such decision a transfer shall not require any specific authorisation. But it would be an unrealistic presumption such a decision can be implemented in the short term, as it is not only a question of assessing the data protection law as amended last year, but also the entire legal system, including the highly controversial Investigations Powers Act (IPA), which grants the British security authorities comprehensive powers over personal data.

Appropriate safeguards to demonstrate the adequacy of data protection at the recipient (Art. 46 GDPR) are “standard data protection clauses”, approved binding corporate rules (BCR), approved codes of conduct (CoC) and certification mechanisms.

However, until recently, it looked as if companies could take their time looking for alternatives. The text of the agreement negotiated between the Commission and the British government provides in Art. 70 ff that the GDPR (with the exception of the provisions of the seventh section governing supervisory cooperation) should continue to apply in Great Britain for the planned transitional period of two years. It was also agreed that an adequacy decision should be prepared within the transitional period.

Now that the text of the agreement is out of date, there is an urgent need for action by companies exchanging personal data between the EU 27 and business partners in the UK. By the end of March 2019, they must fulfill the requirements of the GDPR for third country transfers by means of one of the above-mentioned instruments or by means of individual contractual arrangements and, if necessary, corresponding authorisation from the competent supervisory authorities. Otherwise, the corresponding transfer transactions would be illegal. 

It is to be hoped that the European data protection supervisory authorities will assist the companies in an advisory capacity in this difficult matter.

Your 

Peter Schaar

Translated with www.DeepL.com/Translator

Alarmstufe rot: Harter Brexit und Datenschutz

Nachdem das Unterhaus den zwischen der europäischen Kommission und der britischen Regierung ausgehandelten Vertragstext zum Austritt Großbritanniens aus der Europäischen Union (https://ec.europa.eu/commission/sites/beta-political/files/draft_withdrawal_agreement_0.pdf) abgelehnt hat, ist ein „harter Brexit“ – die Auflösung der Beziehung ohne Scheidungsvertrag -wahrscheinlicher geworden. Das hat auch gravierende Wirkungen für den Datenschutz und die ihm unterworfenen Unternehmen.

Zwar hatte die Europäische Kommission bereits in ihrem vor mehr als einem Jahr abgegebenen Statement (http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=611943) auf die gravierenden Konsequenzen für den Datenschutz hingewiesen, die sich aus dem Ausscheiden Großbritanniens ergeben. Zu Recht wies Sie darauf hin, dass Großbritannien nach dem Brexit zu einem „Drittstaat“ wird, auf den die entsprechenden Regeln der DSGVO zur Datenübermittlung in Staaten außerhalb der EU anzuwenden sind (Art. 44 ff DSGVO). 

Während zwischen den Mitgliedstaaten der Europäischen Union die Übermittlung personenbezogener Daten ohne datenschutzrechtlichen Restriktionen zulässig ist, muss beim Transfer in Drittstaaten ein angemessenes Datenschutzniveau beim Empfänger nachgewiesen werden. Dafür sieht die Datenschutz-Grundverordnung verschiedene Instrumente vor.

Der „Königsweg“ wäre eine so genannte „Angemessenheitsentscheidung“ der Kommission (Art. 45 DSGVO). Es ist unrealistisch, dass eine entsprechende Entscheidung kurzfristig zu realisieren ist, denn es gilt nicht nur, das im letzten Jahr neu gefasst der britische Datenschutzgesetz zu bewerten, sondern die gesamte Rechtsordnung, darunter auch den höchst umstrittenen „Investigations Powers Act“ (IPA), welcher den britischen Sicherheitsbehörden umfassende zu Befugnisse auf personenbezogene Daten einräumt.

Garantien, mit denen die Angemessenheit des Datenschutzes beim Empfänger demonstriert werden kann (Art. 46 DSGVO), sind „Standarddatenschutzklauseln“, verbindliche Unternehmensregeln (Binding Corporate Rules – BCR), genehmigte Verhaltensregeln (Codes of Conduct – CoC) und Zertifizierungsmechanismen.

Allerdings sah es bis vor kurzem so aus, als könnten sich die Unternehmen mit der Suche nach Alternativen noch etwas Zeit lassen. Der zwischen der Kommission und der britischen Regierung ausgehandelte Vertragstext sieht in Art. 70 ff vor, dass die DSGVO (mit Ausnahme der Bestimmungen des siebenten Abschnittes, welcher die Zusammenarbeit der Aufsichtsbehörden regelt) für die vorgesehene Übergangszeit von zwei Jahren in Großbritannien weiterhin Geltung behalten sollten. Zudem war man übereingekommen, dass innerhalb der Übergangsfrist eine Angemessenheitsentscheidung vorbereitet werden sollte.

Nachdem nun der Vertragstext Makulatur ist, besteht für die Unternehmen dringlichster Handlungsbedarf, die personenbezogene Daten mit Geschäftspartnern in Großbritannien austauschen. Sie müssen bis Ende März 2019 durch eines der oben genannten Instrumente oder durch einzelvertraglichen Gestaltung und ggf. entsprechende Genehmigungen der Aufsichtsbehörden die Vorgaben der DSGVO zum Drittlandstransfer gewährleisten. Andernfalls würden die entsprechenden Übermittlungsvorgänge illegal. 

Es ist zu hoffen, dass die europäischen Datenschutzaufsichtsbehörden den Unternehmen dabei beratend zur Seite stehen.

Ihr 

Peter Schaar

EAID is supporting the Universal Guidelines on Artificial Intelligence (UGAI)

The European Academy for Freedom of Information and Data Protection (EAID) has endorsed the Universal Guidelines on Artificial Intelligence (UGAI) presented by the Civil Rights Coalition “The Public Voice” on 23 October 2018. The guidelines are now supported by more than 50 civil society organisations.

In order to enable the UGAI to be better disseminated to the German-speaking public, we have translated the text. We do not claim any copyrights for the German-language translation – however, we naturally assume responsibility for any translation errors.

English version of the UGAI on the website of The Public Voice. Here you will also find an online form to support the guidelines.

German version of the UGAI on the website of The Public Voice

Translated with www.DeepL.com/Translator

EAID unterstützt die Universal Guidelines on Artificial Intelligence  (UGAI)

EAID unterstützt die Universal Guidelines on Artificial Intelligence  (UGAI)

Die Europäische Akademie für Informationsfreiheit und Datenschutz (EAID) unterstützt die von der Bürgerrechtskoalition “The Public Voice” am 23. Oktober 2018 vorgelegten „Allgemeinen Leitlinien für die künstliche Intelligenz“ (Universal Guidelines on Artificial Intelligence  – UGAI). Die die Leitlinien werden inzwischen von mehr als 50 zivilgesellschaftlichen Organisationen unterstützt. 

Um den UGAI auch in der deutschsprachigen Öffentlichkeit eine bessere Verbreitung zu ermöglichen, haben wir den Text übersetzt. Für die deutschsprachige Übersetzung beanspruchen wir keine Urheberrechte – für eventuelle Übersetzungsfehler übernehmen wir aber selbstverständlich die Verantwortung.

Wortlaut der UGAI auf der Website von The Public Voice. Hier finden Sie auch ein Online-Formular zur Unterstützung der Leitlinien

Deutscher Text bei The Public Voice

 

Deutsche Übersetzung der UGAI:

Allgemeine Leitlinien für die künstliche Intelligenz 

Vorgelegt am 23. Oktober 2018 in Brüssel, Belgien

Neue Entwicklungen in der Künstlichen Intelligenz verändern die Welt. Die Veränderungen betreffen viele Bereiche, von der Wissenschaft und Industrie bis hin zu Verwaltung und Finanzen. Der Bedeutungszuwachs von KI-Entscheidungen berührt die grundlegenden Rechte auf Fairness, Rechenschaftspflicht und Transparenz. Die Ergebnisse der modernen Datenanalyse haben für die Menschen erhebliche praktische Folgen. Sie wirken sich in den Bereichen Beschäftigung, Wohnen, Kredit, Handel und Strafverfolgung aus. Viele dieser Techniken sind völlig undurchsichtig, so dass der Einzelne nicht weiß, ob er überhaupt Gegenstand einer KI-Entscheidung war und ob die Entscheidung richtig und fair getroffen wurde.

Wir schlagen diese allgemeinen Leitlinien vor, um über das Design und die Verwendung von KI zu informieren und diese zu verbessern. Die Leitlinien zielen darauf ab, den Nutzen der KI zu maximieren, das Risiko zu minimieren und den Schutz der Menschenrechte zu gewährleisten. Diese Leitlinien sollten in ethische Standards einfließen. Sie sollten in nationales Recht und internationale Vereinbarungen übernommen, in die Praxis umgesetzt und beim Entwurf von Systemen berücksichtigt werden. Wir stellen klar, dass die Hauptverantwortung für KI-Systeme bei den Institutionen zu liegen hat, welche solche Systeme finanzieren, entwickeln und einsetzen.

  1. Recht auf Transparenz. Jeder Einzelne hat das Recht, die Grundlage einer KI-basierten Entscheidung zu kennen, die ihn betrifft. Dazu gehört die Kenntnis der in die Entscheidung einfließenden Faktoren, der Verarbeitungslogik und der entscheidungsrelevanten Techniken.
  1. Recht auf menschliche Bestimmung. Jeder Einzelne hat das Recht, dass die ihn betreffenden Entscheidungen letztlich von einem Menschen getroffen werden.
  1. Identifikationspflicht. Die für das KI-System verantwortliche Institution muss der Öffentlichkeit bekannt gemacht werden.
  1. Verpflichtung zur Fairness. Die für den KI-Einsatz verantwortliche Institution muss sicherstellen, dass das KI-System keine ungerechten Verhältnisse widerspiegelt, verzerrte Ergebnisse liefert und keine unzulässig diskriminierenden Entscheidungen trifft.
  1. Folgenabschätzung und Rechenschaftspflicht. Ein KI-System sollte nur eingesetzt werden, nachdem die Zwecke, die Ziele, der Nutzen sowie die Risiken in angemessener Weise bewertet wurden. Institutionen, die KI-Systeme einsetzen, müssen für dessen Entscheidungen verantwortlich sein
  1. Richtigkeit, Zuverlässigkeit und Gültigkeit. Die Institutionen müssen die Richtigkeit, Zuverlässigkeit und Validität von Entscheidungen gewährleisten.
  1. Verpflichtung zur Datenqualität. Die Institute müssen festlegen, welche Daten in die KI-Algorithmen einfließen und sie müssen sicherstellen, dass deren Qualität und Relevanz gewährleistet ist.
  1. Verpflichtung zur Gewährleistung der öffentlichen Sicherheit. Die Institutionen müssen die Risiken für die öffentliche Sicherheit bewerten, wenn KI-Systeme Geräte steuern oder kontrollieren. Sie haben die erforderlichen Kontrollmechanismen zu implementieren, um die Sicherheit zu gewährleisten.
  1. Verpflichtung zur Cybersicherheit. Institutionen müssen KI-Systeme vor Bedrohungen schützen, die sich aus ihrer Vernetzung ergeben.
  1. Verbot der geheimen Profilerstellung. Keine Institution darf ein System zur heimlichen Erstellung von Profilen einrichten oder betreiben.
  1. Verbot des umfassenden Scorings. Kein Staat darf eine allgemeine Bewertung seiner Bürger oder Einwohner einrichten oder betreiben.
  1. Abschaltpflicht. Jede Institution, die ein KI-System betreibt, hat die positive Verpflichtung zur Abschaltung des Systems, wenn die menschliche Kontrolle über das System nicht länger gewährleistet ist.

 

Erläuterndes Memorandum und Referenzen

Kontext

Die Universal Guidelines on Artificial Intelligence (UGAI) weisen auf die wachsenden Herausforderungen durch intelligente Computersysteme hin. Sie enthalten konkrete Empfehlungen zur Verbesserung des Designs von KI-Systemen. Im Kern sollen UGAI die Transparenz und Rechenschaftspflicht für diese Systeme voranbringen und sicherstellen, dass die Menschen die Kontrolle über die von ihnen geschaffenen Systeme behalten. Nicht alle Systeme fallen in den Anwendungsbereich dieser Richtlinien. Unser Anliegen sind jene Systeme, die sich auf die Rechte der Menschen auswirken. Vor allem dürfen diese Systeme keinen Schaden anrichten.

Die Erklärung kommt noch zur rechten Zeit. Regierungen in aller Welt entwickeln politische Vorschläge und schaffen öffentliche und private Institutionen, um die Forschung und Entwicklung von „KI” zu fördern. Dies hat enorme Auswirkungen auf die Gesellschaft, unabhängig davon, ob und inwieweit die Öffentlichkeit an der Gestaltung und Entwicklung solcher Systeme mitwirkt. Die UGAI sind eine gesellschaftliche Reaktion auf diese Herausforderungen.

Die UGAI wurden auf der Internationalen Datenschutzkonferenz 2018 veröffentlicht, einem der weltweit bedeutendsten Treffen von Technologieführern und Datenschutzexperten.

Die UGAI bauen auf der bisherigen Arbeit von wissenschaftlichen Gesellschaften, Think Tanks, NGOs und internationalen Organisationen auf. Die UGAI beinhalten Elemente der Menschenrechtslehre, des Datenschutzrechts und ethischer Richtlinien. Die Leitlinien bauen auf  etablierten Grundsätzen für die KI-Governance auf und sie schlagen neue Prinzipien vor, die bisher nicht in politischen Rahmenwerken enthalten sind.

Terminologie

Der Begriff “Künstliche Intelligenz” (KI) ist weit und unpräzise zugleich. Er beinhaltet Aspekte des maschinellen Lernens, regelbasierte Entscheidungsfindung und andere Computertechniken. Es gibt sogar unterschiedliche Meinungen darüber, ob Künstliche Intelligenz überhaupt möglich ist. Die UGAI räumen lediglich ein, dass der Begriff KI im allgemeinen Sprachgebrauch ein breites Spektrum verwandter Themen abdeckt und sie verwenden den Begriff, um die aktuelle Debatte anzuregen. Die Leitlinien versuchen nicht, die begrifflichen Grenzen von KI zu definieren, außer dass die KI einen gewissen Grad an automatisierter Entscheidungsfindung erfordert. Der Begriff “Leitlinien” folgt der Praxis politischer Festlegungen, die sich in erster Linie an Regierungen und private Unternehmen richten.

Die UGAI enthalten Verpflichtungen für “Institutionen” und Rechte der “Einzelnen”. Dies ergibt sich aus den fairen Informationspraktiken im Bereich des Datenschutzes. Die UGAI basieren auf dem Schutz des Einzelnen als grundlegendem Ziel. Unter öffentlichen und privaten Institutionen werden diejenigen verstanden, die KI-Systeme entwickeln und einsetzen. Der Begriff “Institution” wurde anstelle des vertrauteren Begriffs “Organisation” gewählt, um den dauerhaften und nachhaltigen Charakter der in den Leitlinien festgelegten Verpflichtungen zu unterstreichen. Ein Prinzip richtet sich an “nationale Regierungen”. Der Grund dafür wird im Folgenden erläutert.

Anwendung

Diese Leitlinien sollten in ethische Normen aufgenommen, in nationales Recht und internationale Vereinbarungen übernommen und in die Gestaltung von Systemen integriert werden.

Die Prinzipien

Die Elemente des Transparenzprinzips finden sich in mehreren modernen Datenschutzgesetzen, darunter dem US-Datenschutzrecht, der EU-Datenschutzrichtlinie, der Datenschutzgrundverordnung und in dem Übereinkommen 108 des Europarates. Dieses Prinzip soll eine unabhängige Rechenschaftspflicht für automatisierte Entscheidungen ermöglichen, wobei der Schwerpunkt auf dem Recht der Einzelnen liegt, die Gründe von für sie nachteiligen Entscheidungen zu kennen. Auch wenn es einem Einzelnen in der Praxis vielleicht nicht immer möglich ist, die Grundlagen einer bestimmten Entscheidung richtig zu interpretieren, ist es nicht überflüssig, eine solche Erklärung zu ermöglichen.

Das Recht auf eine menschliche Bestimmung bekräftigt, dass Menschen und nicht Maschinen für automatisierte Entscheidungen verantwortlich sind. In vielen Fällen, wie beispielsweise beim Betrieb eines autonomen Fahrzeugs, wäre es nicht möglich oder praktikabel, eine menschliche Entscheidung vor einer automatisierten Entscheidung einzufügen. Das ändert aber nichts an der Notwendigkeit, die Rechenschaftspflicht zu gewährleisten. Wenn also ein automatisiertes System versagt, sollte entsprechend diesem Prinzip eine menschliche Beurteilung des Ergebnisses vorgenommen werden.

Identifizierungspflicht. Dieses Prinzip reagiert auf die Identifikations-Asymmetrie, die bei der Interaktion zwischen Individuen und KI-Systemen entsteht. Ein KI-System weiß typischerweise sehr viel über eine Person; die Person kennt vielleicht nicht einmal den Betreiber des KI-Systems. Die Identifizierungspflicht bildet die Grundlage für die KI-Verantwortlichkeit, die darin besteht, die Identität eines KI-Systems und der verantwortlichen Institution klarzustellen.

Die Fairness-Verpflichtung erkennt an, dass alle automatisierten Systeme Entscheidungen treffen, die Vorurteile und Diskriminierung widerspiegeln. Aber solche Entscheidungen sollten nicht normativ ungerecht sein. Auf die Frage, was ungerecht oder unzulässig ist, gibt es keine einfache Antwort. Die Bewertung hängt oft vom Kontext ab. Die Fairness-Verpflichtung macht jedoch deutlich, dass eine Bewertung der tatsächlichen Ergebnisse allein nicht ausreicht, um ein KI-System zu bewerten. Auch die normativen Folgen müssen bewertet werden, einschließlich derjenigen, die bereits vor dem KI-Einsatz existierten oder durch ein KI-System verstärkt werden können.

Die Folgenabschätzungs- und Rechenschaftspflicht bezieht sich auf die Verpflichtung, ein KI-System vor und während der Implementierung zu beurteilen. Was die Folgenabschätzung betrifft, so besteht ein zentraler Zweck dieser Verpflichtung darin festzustellen, ob ein KI-System eingerichtet werden sollte. Ergibt eine Folgenabschätzung erhebliche Risiken, wie sie in den Grundsätzen zur öffentlichen Sicherheit und Cybersicherheit beschrieben sind, so sollte das Projekt nicht weiter verfolgt werden.

Die Verpflichtungen zur Genauigkeit, Zuverlässigkeit und Gültigkeit legen die Hauptverantwortlichkeiten fest, die mit dem Ergebnis automatisierter Entscheidungen verbunden sind. Die Aspekte sind sowohl einzeln als auch in der Gesamtschau zu interpretieren.

Das Prinzip der Datenqualität folgt aus den vorhergehenden Verpflichtungen.

Die Verpflichtung zur öffentlichen Sicherheit reagiert darauf, dass KI-Systeme Geräte in der physischen Welt steuern. Aus diesem Grund müssen die Institutionen sowohl die damit verbundenen Risiken bewerten als auch angemessene Vorsichtsmaßnahmen ergreifen, welche den Risiken begegnen.

Die Cybersicherheitsverpflichtung folgt aus der Verpflichtung zur öffentlichen Sicherheit und unterstreicht das Risiko, dass selbst gut gestaltete Systeme das Ziel feindlicher Akteure sein können. Wer KI-Systeme entwickelt und einsetzt, muss diese Risiken berücksichtigen.

Das Verbot der heimlichen Profilbildung folgt aus der Identifizierungspflicht. Ziel ist es, die bei KI-Systemen zunehmend auftretende Informationsasymmetrie zu vermeiden und die Möglichkeit einer unabhängigen Rechenschaftspflicht zu gewährleisten.

Das Verbot des umfassenden Scorings soll dem Risiko begegnen, dass eine Regierung dem Individuum einen einzigen, multifunktionalen Scorewert zuweist. Das Datenschutzrecht beurteilt universelle Identifikatoren, die die Profilerstellung von Personen ermöglichen, negativ. Solche Identifikatoren sind vielfach reguliert und teilweise verboten. Noch größer ist die Sorge im Hinblick auf eine umfassende individuelle Bewertung, die als “einheitlicher Scorewert” bezeichnet wird. Ein einheitlicher Score spiegelt nicht nur ein umfassendes Profil sondern auch ein vorgegebenes Ergebnis über mehrere Bereiche der menschlichen Aktivität hinweg wider. Es besteht die Gefahr, dass es auch im privaten Sektor zu einheitlichen Scores kommt. Zwar ist denkbar, solche Systeme dem Wettbewerb auf dem Markt und staatlichen Vorschriften zu unterwerfen. Aber da der Einzelne keine Möglichkeit hat, einem von einer Regierung zugewiesenen einheitlichen Score entgegenzutreten, sollten solche Scores verboten werden.

Die Abschaltpflicht ist das ultimative Bekenntnis zur Verantwortlichkeit für ein KI-System. Die Verpflichtung setzt voraus, dass die Systeme unter menschlicher Kontrolle bleiben müssen. Ist dies nicht mehr möglich, sollte das System abgeschaltet werden.

(Übersetzt aus dem Englischen von Peter Schaar unter Verwendung von deepl.com)

E-Evidence: Kommt jetzt der internationale Daten-Supermarkt der Sicherheitsbehörden?

Die Idee ist alt, aber der konkrete Vorschlag ziemlich neu: Während Waren im EU-Binnenmarkt frei fließen und digitale Dienstleistungen grenzüberschreitend angeboten werden, endet die Kompetenz der Strafverfolgungsbehörden an den nationalen Grenzen. Eine Polizeibehörde, die im Rahmen ihrer Ermittlungen – etwa in einer Betrugssache – auf Daten zugreifen möchte, muss sich bisher an die Behörden des Staates wenden, wo die Daten verarbeitet werden. Wie mit diesem Ersuchen der ausländischen Behörde umgegangen wird, richtet sich nach dem Recht des Staates, auf dessen Territorium die Server stehen. Die Prozeduren hierfür richten sich nach den jeweils anwendbaren internationalen Rechtshilfeabkommen.

Die entsprechenden Prüfungen sind zeitaufwendig und sie führen nicht immer dazu, dass die angeforderten Daten freigegeben werden. Deshalb wird aus Sicherheitskreisen schon seit langem gefordert, den Zugriff zu erleichtern. Idealerweise sollen die Behörden direkt auf die im Ausland gespeicherten Daten zugreifen können. Die Europäische Kommission hat am 18. April 2018 den Entwurf einer entsprechenden EU-Verordnung vorgelegt. Die „Verordnung über Europäische Herausgabeanordnungen und Sicherungsanordnungen für elektronische Beweismittel in Strafsachen“ (E-Evidence-VO) soll den Behörden nun den grenzüberschreitenden Direktzugriff ermöglichen. 

Grundrechtseinschränkung im Schnelldurchgang ?

Seither beschäftigen sich das Europäische Parlament und der Ministerrat mit dem Entwurf. Das Europäische Parlament hat in der letzten Woche eine kritische Studie zum Kommissionsentwurf veröffentlicht.

Die österreichische Regierung hat kürzlich das ambitionierte Ziel verkündet, die Verhandlungen im Ministerrat bis zum 31. Dezember 2018 abzuschließen, wenn Österreich die Ratspräsidentschaft an Rumänien abtritt. 

Dieser gesetzgeberische Schnelldurchgang ist in mehrfacher Hinsicht brisant: Im Unterschied zu einer Richtlinie wäre eine EU-Verordnung direkt anwendbares Recht in den Mitgliedsstaaten und bedürfte keiner Umsetzung in nationales Recht. Sie bedeutet die Verordnung einen erheblichen Einschnitt in die Bürgerrechte, denn Herausgabeanordnungen müssten von den Anbietern elektronischer Dienste unmittelbar befolgt werden, ohne dass eine Behörde oder ein Gericht des Sitzlandes geprüft hat, ob die Herausgabe auch nach nationalem Recht zulässig wäre.

Zum anderen sind aber die Rechtsordnungen der Mitgliedsstaaten nicht harmonisiert; sie unterscheiden sich im Hinblick auf die Strafbarkeit, die Höhe von Strafandrohungen und rechtsstaatliche Sicherungen. Die Europäische Kommission führt  sogar zwei Verfahren gegen die Verletzung der Rechtsstaatlichkeit gegen Polen und Ungarn. Die Einleitung eines entsprechenden Verfahrens gegen Rumänien wird gerade diskutiert, weil auch in diesem Land  nach dem Willen der Regierung die Unabhängigkeit der Gerichte eingeschränkt werden soll. 

Wenn die E-Evidence-Verordnung in der vorgeschlagenen Form beschlossen wird, müssten deutsche Anbieter elektronischer Dienstleistungen (etwa Cloud-Anbieter, Netzbetreiber, Social Media, Hosting- und Telekommunikationsunternehmen) Anordnungen der ausländischen Behörden folgen, ohne eine inhaltliche Prüfung vorzunehmen. Handlungen, die im Anordnungsstaat strafbar sind, nicht aber im Staat, in dem die Verarbeitung stattfindet, können so auch Gegenstand einer Herausgabeverpflichtung sein. 

Umfassender Anwendungsbereich

Anordnungen zur Herausgabe von Teilnehmer- und  Zugangsdaten können für jede Art von Straftaten  erlassen werden. Die Vorgabe, Inhalts- und Transaktionsdaten nur bei Straftaten,  die  im  Anordnungsstaat  mit  einer  Freiheitsstrafe  im Höchstmaß  von  mindestens  drei  Jahren  geahndet  werden, ist wenig geeignet, die Bedenken zu zerstreuen. Anders als es die Erläuterungen der Kommission zum E-Evidence-Paket nahelegen, handelt es sich bei den drei Jahren nicht um eine Mindeststrafe, sondern um eine Mindesthöchststrafe. Ein Blick in das deutsche Strafgesetzbuch zeigt, dass dieses Kriterium auf eine Vielzahl von Straftaten zutrifft und nicht etwa nur auf Verbrechen oder schwere Straftaten. So wird Abtreibung in Polen mit einer Freiheitsstrafe von bis zu drei Jahren bestraft.  Die Voraussetzung zur Herausgabe wäre damit erfüllt. 

Ein deutscher Anbieter müsste die E-Mails und die Verkehrsdaten an die polnische Strafverfolgungsbehörde herausgeben, soweit diese in einem Abtreibungsfall ermittelt. Der Anbieter eines elektronischen Buchhaltungsdienstes, bei dem der Arzt einen Account hat, könnte ggf. auch Adressat einer entsprechenden Herausgabeanordnung sein.

Anschaulich wird diese Problematik auch beim Fall des katalanischen Exilpolitikers Puigdemont, gegen den ein spanischer Haftbefehl wegen „Aufruhr“ ergangen war.

Nach dem Beschluss des OLG Schleswig erfüllte das Tatgeschehen nach deutschem Recht keinen vergleichbaren Straftatbestand. Der von Spanien erlassene Europäische Haftbefehl durfte gegen ihn in Deutschland nicht vollstreckt werden. Nach der E-Evidence-VO wären die deutschen Provider trotzdem zur Herausgabe entsprechender elektronischer Dokumente verpflichtet gewesen, denn anders als beim Eurpäischen Haftbefehl ist hier keine Überprüfung durch ein Gericht desjenigen Staats vorgesehen, in dem die Anordnung vollstreckt werden soll.

Zumutungen für Provider

Völlig unzumutbar ist zudem die Situation für die Provider: Ihnen werden Pflichten auferlegt, die sie in einem rechtsstaatlich einwandfreien Verfahren nicht überprüfen können. Nicht nur Gerichte und Staatsanwaltschaften, sondern jede vom Anordnungsstaat  bezeichneten zuständige  Behörde kann eine entsrechende Anordnung erlassen. Dies können auch Finanz-, Regulierungs- und Verkehrsbehörden oder mit entsprechenden Befugnissen ausgestattete Geheimdienste sein. In den 28 EU-Staaten werden demnach sehr viele, möglicherweise mehr als tausend Behörden nach dem jeweiligen nationalen Recht die Befugnis erhalten, von den Unternehmen grenzüberschreitend die Herausgabe von Daten zu verlangen, vielfach ohne gerichtliche Bestätigung. Den Unternehmen ist es nicht einmal möglich, seriös zu prüfen, ob eine Behörde die entsprechende Befugnis besitzt, ja sogar, ob es sich überhaupt um eine Behörde handelt. Zwar sollen die jeweiligen Behörden eine entsprechende  Validierung durch Schreiben eines Gerichtes oder einer sonstigen Justizbehörde nachweisen. Dafür soll es jedoch ausreichen, wenn der Absender ein entsprechendes Dokument per Fax übermittelt. 

Ob das Fax und der darauf enthaltene Stempel einer Justizbehörde echt ist angesichts der sehr kurzen Fristsetzungen (in bestimmten Fällen sind die Unternehmen verpflichtet, die Daten innerhalb von sechs Stunden zu liefern!) kaum zu überprüfen, ja es ist nicht einmal sicher, ob das Schreiben überhaupt von einer Behörde stammt. Entsprechend groß ist die Gefahr, auf eine gefälschte Herausgabeanordnung hereinzufallen und ohne Rechtfertigungsgrund personenbezogene Daten an Dritte zu übermitteln. 

Bei Nichtbefolgung der Anordnung drohen ihm gleichwohl erhebliche finanzielle und strafrechtliche Konsequenzen. Der so bewirkten erheblichen Verletzung der Grundrechte des Betroffenen entspricht zudem ein erhebliches Haftungsrisiko für den Provider, unrechtmäßig Daten herausgegeben zu haben.

Keine Prüfung der Rechtmäßigkeit

Während bei der Europäischen Ermittlungsanordnung (EEA), einem anderen vor wenigen Jahren einigeführten Instrument, die Vollstreckung den Behörden unterliegt, in dessen Gebiet die Verarbeitung stattfindet, soll die elektronische Herausgabeanordnung soll unmittelbar an den ausländischen Provider ergehen. Irgendeine inhaltliche Überprüfung durch ein inländisches Gericht oder eine inländische Justizbehörde ist in der E-Evidence-VO nicht vorgesehen. Damit werden zukünftig auch Daten an ausländische Stellen übermittelt, bei denen inländischen Behörden eine entsprechende Befugnis nicht zusteht. Auch strafprozessuale Sicherungen – etwa der Richtervorbehalt – werden umgangen, wenn das Recht des Anordnungsstaats solche nicht vorsieht. Schließlich würden Anforderungen, die etwa das Bundesverfassungsgericht aufgestellt hat, z.B. zum Schutz des Kernbereichs privater Lebensgestaltung, nicht gewährleistet.

Die Verantwortung für die Übermittlung unterliegt damit dem Unternehmen, an das sich die Anordnung richtet – letztlich eine Privatisierung der strafprozessualen Verantwortlichkeit. Dabei haben die Unternehmen nur in sehr eigeschränktem Umfang die Möglichkeit, die Rechtmäßigkeit der Anordnung zu überprüfen oder die Übermittlung der angeforderten Daten abzulehnen, wenn er der Ansicht ist,  dass ausschließlich  aus  den  in  der Anordnung enthaltenen Informationen  hervorgeht,  dass  sie „offenkundig“ gegen die Charta der Grundrechte der Europäischen Union verstößt oder offensichtlich  missbräuchlich ist. 

Kommt die Echtzeit-Überwachung?

Strittig ist, inwieweit neben der Herausgabe bereits gespeicherter Daten auch eine Echtzeit-Überwachung („live interception“) in die E-Evidence-VO aufgenommen werden soll. Spätestens hier würden die zum Schutz des Telekommunikationsgeheimnisses bestehenden materiellen und prozessualen Garantien geschleift. Aber selbst wenn – wie zu erwarten – entsprechende Forderungen im Europäischen Parlament keine Mehrheit fänden, wäre die geplante Verordnung ein tiefer Eingriff in die europäischen und nationalen Grundrechte. Es wäre unverantwortlich, eine solche Regelung im Schnelldurchgang ohne gründliche Debatte durchzuwinken.

EMRG: Massenhafte Überwachung durch britischen Geheimdienst verstieß gegen Europäische Menschenrechtskonvention

Am 13. September 2018 hat der Europäische Gerichtshof für Menschenrechte (EGMR) in Straßburg entschieden, dass die massenhafte Überwachung des britischen Geheimdienstes GCHQ (Government Communications Headquarters), die dieser in Zusammenarbeit mit dem US-amerikanischen Computer-Geheimdienst NSA (National Security Agency) durchgeführt hat, die Europäischen Menschenrechtskonvention (EMRK) verletzt.

Das Urteil erging fast auf den Tag genau fünf Jahre nach der Einreichung der Klage durch die Britische Bürgerrechtsorganisation Big Brother Watch und andere, darunter Amnesty International, den britischen PEN-Club und die Sprecherin des deutschen Chaos-Computer-Clubs Constanze Kurz.

 

1. Inhalt der Entscheidung

In dem Kammerurteil (ECHR 299 (2018)) stellte das Gericht fest, dass die Massenüberwachung gegen Artikel 8 EMRK (Recht auf Achtung des Privat- und Familienlebens bzw. der Kommunikation) und gegen Artikel 10 (Meinungs- und Pressefreiheit) verstößt.

Sowohl die Auswahl der überwachten Internetnutzer als auch die Filterung, Suche und Auswahl der abgefangenen Mitteilungen wurden nur unzureichend kontrolliert. Zudem fehlten Garantien für die Auswahl “verbundener Kommunikationsdaten“, insbesondere im Hinblick auf deren Nachprüfbarkeit.

Auch die Mechanismen, derer sich der GCHQ bediente, um an die von Kommunikationsdiensteanbietern gespeicherten Daten zu gelangen, verstößt gegen Artikel 8. Sowohl das Regime der Massenüberwachung als auch die die Beschaffung von Kommunikationsdaten von Kommunikationsdiensteanbietern verstießen zudem gegen Artikel 10 (Presse- und Meinungsfreiheit), da es keine ausreichenden Garantien in Bezug auf vertrauliches journalistisches Material gibt.

Nicht beanstandet hat der Gerichtshof den Austausch der erlangten Daten mit Diensten anderer Staaten. Zurückgewiesen wurden ferner Beschwerden, die sich gegen Mängel in der gerichtlichen Nachprüfbarkeit der Überwachungspraxis und gegen Verstöße gegen das Diskriminierungsverbot richteten.

2. Bewertung 

Es handelt sich um die erste Entscheidung eines höchsten Europäischen Gerichts, die sich direkt mit der durch den Edward Snowden aufgedeckten geheimdienstlichen Überwachungspraxis auseinandersetzt. Zusammen mit früheren Urteilen – etwa der Annullierung des Safe Harbour-Abkommens durch den Gerichtshof der Europäischen Union (EuGH) von 2015 – verdeutlicht die jüngste Entscheidung, dass staatliche Überwachungsmaßnahmen stets dort ihre Grenze finden, wo sie Grund- und Menschenrechte verletzen. Das ist stets dann der Fall, wenn unterschiedlos Daten sehr vieler Menschen betroffen sind, die keinerlei Bezug zu einer schweren Gefährdung der öffentlichen Sicherheit aufweisen. 

Von entscheidender Bedeutung ist auch die effektive Kontrolle des staatlichen Handelns  durch Gerichte, unabhängige Datenschutzbehörden und Parlamente. All dies war bei den 2013 aufgedeckten umfassenden Überwachungsaktivitäten nicht gegeben.

Die Bedeutung der Entscheidung ist erheblich und sie geht weit über die monierte Praxis der britischen Behörden hinaus.  Zwar stellte der Gerichtshof fest, dass nicht jede Regelung, die eine massenhafte Überwachung vorsieht, an sich gegen die EMRK verstößt. Zugleich stellte er aber fest, dass eine solche Regelung die in der EGMR-Rechtsprechung festgelegten Kriterien erfüllen muss. 

Großbritannien ist nun gehalten, die Überwachungspraxis der Geheimdienste deutlich zu begrenzen. Dies ist umso notwendiger, als die Überwachungsbefugnisse durch den Investigative Powers Act 2016 sogar noch ausgeweitet wurden. Seit dem Brexit-Referendum fordern Hardliner, dass das Vereinigte Königreich die EMRK verlässt. Zwar ist die Europäische Union als Institution nicht selbst der EMRK beigetreten, sie unterliegt jedoch den Vorgaben der Grundrechtecharta. Die Europäische Union muss bei den Austrittsverhandlungen klarmachen, dass jedwede „gütliche“ Regelung mit Großbritanniens ausgeschlossen ist, wenn sich das Land nicht mehr an die Menschenrechte gebunden fühlt und weder die Rechtsprechung des EMRG noch des Europäischen Gerichtshofs als bindend anerkennt.

Angesichts der fortdauernden geheimdienstlichen Massenüberwachung ist aber nicht nur in Großbritannien eine deutliche Einschränkung der Befugnisse der Nachrichtendienste erforderlich. Dies betrifft auch Deutschland, wo die Große Koalition mit verschiedenen 2016 beschlossenen Gesetzen die Befugnisse des Verfassungsschutzes ausgeweitet und die bis dahin illegalen Abhörpraktiken des Bundesnachrichtendienstes legalisiert hat.

Die EGMR-Entscheidung ist ein Weckruf, der uns dazu veranlassen sollte, die in den letzten Jahren weitgehend eingeschlafene Diskussion darüber, wieviel Überwachung eine freiheitliche Gesellschaft verträgt, wieder aufzunehmen.

Vier Wochen DSGVO – Plädoyer für einen konstruktiven Dialog

Von Peter Schaar

Dieser Beitrag erschien zuerst in der Zeitschrift BvD-News 2/2018

Der Start des neuen Europäischen Datenschutzrechts verlief holprig, zumindest in Deutschland. Der Datenschutz schaffte es sogar auf die Titelseiten auflagenstarker Tageszeitungen, allerdings vorwiegend mit negativen Schlagzeilen. In kaum einem Lokalblatt fehlten Leidensmeldungen örtlicher Vereinsvorstände, Handwerker und Unternehmer über den mit der Umsetzung verbundenen Aufwand. Auch in Social Media wurden hatten die Kritiker rein zahlenmäßig die Oberhand. Schließlich beschäftigte sich der Deutsche Bundestag genau drei Wochen nach dem Wirksamwerden der Datenschutzgrundverordnung mit der Materie – und auch hier gab es viel Kritik. Irgendetwas ist hier offenbar grundlegend schief gelaufen. Was sind die Ursachen dafür, dass sich jetzt viele überfordert fühlen? Und wie könnte eine Abhilfe aussehen?

Kommunikationsprobleme

Immer wieder hört man die Behauptung, die DSGVO sei am 25. Mai 2018 „in Kraft getreten“. Tatsächlich ist das Regelwerk aber schon seit mehr als zwei Jahren in Kraft, seit Mai 2016. Die Falschaussage belegt, dass sich die wenigsten Entscheidungsträger in der Politik, der Wirtschaft und Gesellschaft rechtzeitig ernsthaft mit dem Datenschutz beschäftigt hatten. Viele Rechtsanwender haben die zweijährige Anpassungszeit bis zum Wirksamwerden der DSGVO ungenutzt verstreichen lassen, wie Umfragen des Digitalverbandes Bitkom belegen. Die wenigsten Unternehmen hatten ihre Vorbereitungen auf das neue Datenschutzrecht fristgerecht abgeschlossen, manche hatten damit sogar erst unmittelbar vor dem 25. Mai begonnen. Noch erheblich gravierender war die Situation in Vereinen, Handwerksbetrieben, Selbstständigen und kleinen Betrieben: Vielfach nahmen Vorstände und andere Verantwortliche erst nach dem Wirksamwerden die Neuregelungen wahr. Umso größer war die Verunsicherung, ja Empörung bei Manchen, denen sehr spät klar wurde, dass sie sich nun ernsthaft mit der Materie auseinandersetzen müssen.

Die vielfach sehr späte Beschäftigung mit den neuen datenschutzrechtlichen Anforderungen ist großen Teils Ergebnis eines gravierenden Kommunikationsproblems: Die Bundesregierung hat dem Thema in ihrer Öffentlichkeitsarbeit kein besonderes Interesse gewidmet. So hat das für den Datenschutz zuständige Bundesinnenministerium erst im April 2018 ein Dokument zu einigen Grundfragen der neuen Datenschutzregeln auf seine Website gestellt, das aber ansonsten sehr allgemein bleibt. Zudem hat das Ministerium einige wenige Informationsveranstaltungen für interessierte Verbände durchgeführt, aber auch diese erst zu einem sehr späten Zeitpunkt.

Auch die Öffentlichkeitsarbeit der unabhängigen Datenschutzbehörden über die Neuregelungen war kein Ruhmesblatt. Die immerhin 18 deutschen Behörden haben zwar einige gemeinsame Positions- und Kurzpapiere zu wichtigen Fragen veröffentlicht. Auf den Websites der Bundes- und Landesdatenschutzbeauftragten findet man darüber hinaus eine zunehmende Zahl von Leitfäden, Handreichungen und Anwendungshilfen. Sie haben allerdings den Nachteil, dass sie vielfach nicht abgestimmt sind und sich in einzelnen Punkten sogar widersprechen. Im Vergleich zu den Informationen, Tools und Medieninformationen der Datenschutzbehörden anderer Mitgliedsstaaten — etwa der britischen ICO oder der französischen CNIL — nimmt sich die Öffentlichkeitsarbeit der deutschen Datenschutzbehörden zum neuen Datenschutzrecht aber eher bescheiden aus.

Interpretationsspielräume

Die DSGVO enthält eine Vielzahl von allgemeinen Rechtsbegriffen und auslegungsbedürftigen Regelungen. Zudem hatten die Regierungen der Mitgliedsstaaten gegenüber der Europäischen Kommission und dem Europäischen Parlament zahlreiche Öffnungsklauseln durchgesetzt, die durch nationales Recht gefüllt werden können oder sogar müssen. Damit wurde das wichtigste Ziel der Neuregelung in Frage gestellt, ein einheitliches Datenschutzrecht in der gesamten EU. Was zu befürchten war, ist inzwischen eingetreten: Die in nationalen Anpassungs- und Umsetzungsgesetze fallen sehr unterschiedlich aus. Dies hat zur Konsequenz, dass sich grenzüberschreitend tätige Unternehmen, anders als versprochen, weiterhin mit den Besonderheiten des nationalen Rechts auseinandersetzen müssen. Für große Unternehmen mit leistungsstarken Rechtsabteilungen ist das kein großes Problem, für kleinere Unternehmen und StartUps schon.

Bei näherem Hinsehen liefert das im Sommer 2017 beschlossene BDSG vor allem zusätzliche Spielräume für die staatliche Datenverarbeitung und schränkt Betroffenenrechte und Kontrollbefugnisse der Datenschutzbehörden ein. Dort, wo konkrete Regelungen erforderlich sind, bleibt das BDSG aber wenig konkret – etwa beim Datenschutz im Beschäftigungsverhältnis. Oder sie fehlen völlig – etwa beim gebotenen Ausgleich von Meinungsfreiheit und Datenschutz. Letzteren wollte die Bundesregierung allem Anschein nach  völlig den Ländern überlassen, obwohl es hier durchaus Regelungsnotwendigkeiten im Bundesrecht gibt. Erst als daran Kritik aufkam, insbesondere im Hinblick auf den Umgang mit digitalen Fotografien, äußerte sich das Bundesinnenministerium dahingehend, dass das Kunsturhebergesetz weiterhin anwendbar sei. Zwar ist diese Klarstellung durchaus vertretbar, sie lässt allerdings weite Aspekte der Nutzung von Social Networks offen. Zudem wäre es durchaus möglich und sinnvoll gewesen, das betagte Gesetz — es stammt aus dem Jahr 1907 — im Sinne der Abwägung der widerstreitenden Grundrechte an die Vorgaben der Datenschutzgrundverordnung anzupassen.

Regelungslücken gibt es auch bei den in Deutschland besonders zahlreichen bereichsspezifischen Gesetzesbestimmungen zum Datenschutz. Eine Reihe davon wurde zwar im letzten Jahr novelliert — aber ohne die gebotene gründliche parlamentarische Beratung. Wie beim BDSG konzentrierte sich die Große Koalition auch hier vor allem darauf, bestehende Befugnisse zur behördlichen Datenverarbeitung abzusichern. Die Chance zu einer echten inhaltlichen Weiterentwicklung wurde verpasst.

Äußerst unklar ist die Rechtslage beim Datenschutz im Internet. So ist fraglich, inwieweit das Telemediengesetz (TMG) noch gilt, denn es ist umstritten, in welchem Verhältnis die Vorgaben der nach wie vor gültigen europäischen E-Privacy-Richtlinie und die Bestimmungen der DSGVO stehen. Die Datenschutzbehörden des Bundes und der Länder vertreten die Position, dass die zentralen TMG-Regelungen zur Zulässigkeit der Verarbeitung nicht mehr angewendet werden dürfen. Vermutlich werden wir auf verbindliche Antworten bis zu einem Beschluss über die diskutierte E-Privacy-Verordnung warten müssen — wenn sie denn überhaupt kommt. Der Brüsseler Trilog darüber verläuft offenbar sehr zäh.

Auch bei der Datenschutzaufsicht bei Telekommunikationsunternehmen besteht große Unsicherheit. Da das Telekommunikationsgesetz (TKG) noch nicht novelliert wurde, stellt sich die Frage nach der Zuständigkeit für die Datenschutzaufsicht und deren Sanktionsbefugnissen. Die Aufgabenzuweisung für die Datenschutzkontrolle an die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) dürfte zwar Bestand haben. Anders sieht es jedoch in Bezug auf die Verfolgung von Ordnungswidrigkeiten und die Verhängung von Bußgeldern aus, die bisher der Bundesnetzagentur (BNA) oblagen. Angesichts der klaren Vorgaben der DSGVO stehen diese Befugnisse seit dem 25. Mai 2018 allein der BfDI zu, denn nur sie ist eine unabhängige Datenschutzbehörde. Sollte die BNA gleichwohl Datenschutzverstöße mit Bußgeldern belegen, würde dies mit einem erheblichen rechtlichen Risiko verbunden sein.

Föderalismus

 Die vom Grundgesetz vorgegebene föderale Struktur Deutschlands wirkt sich auch auf den Datenschutz aus. Dies muss nicht unbedingt schlecht sein, denn die Landesbehörden, denen neben der Datenschutzkontrolle der öffentlichen Stellen der Länder auch die Aufsicht über die Wirtschaft obliegt, sind näher an den Bürgerinnen und Bürgern und an den lokalen Datenverarbeitern, als es eine Bundeszentralbehörde sein könnte. Angesichts der durch die DSGVO bewirkten signifikanten Ausweitung der Aufgaben, zusätzlicher Befugnisse und enger Bearbeitungsfristen sind aber die Nachteile des föderalistisch organisierten Datenschutzes nicht mehr zu übersehen.

Dass die Landesgesetze zum Datenschutz unterschiedliche Vorgaben beinhalten, ist nicht neu. Die DSGVO hätte zum Anlass genommen werden können, diese Differenzen abzubauen oder zu beseitigen. Leider hatten sich die zuständigen Landesministerien aber nicht einmal auf einen Musterentwurf verständigen können. Zudem ist der Gesetzgebungsprozess in den Ländern sehr erst recht spät in Gang gekommen, so dass bis zum 25. Mai 2018 ein Teil der Landesdatenschutzgesetze nicht novelliert war. Das ist ein Problem, denn die alten, als Vollregelungen ausgelegten Gesetze sind nach dem Wirksamwerden der DSGVO zum Teil nicht mehr anzuwenden.

Bei den bereichsspezifischen Bestimmungen der Länder sieht es kaum besser aus. Zwar wurden durch den 21. Rundfunkänderungsstaatsvertrag einige medienrechtliche Regelungen upgedatet, jedoch erfolgte das in einer Weise, die den Vorgaben der DSGVO kaum gerecht zu werden vermochte. Der von der DSGVO erteilte Gesetzgebungsauftrag, für einen Ausgleich zwischen Datenschutz und Informations- und Meinungsfreiheit zu sorgen, wurde von den Ländern einseitig dahingehend interpretiert, den redaktionell-journalistischen Bereich weiterhin pauschal von den wichtigsten Vorgaben des  Datenschutzrechts auszunehmen. In vielen anderen Bereichen haben sich die Länder nicht einmal auf gemeinsame Vorgaben einigen können, etwa im Presserecht. Damit bleibt das Patchwork unterschiedlicher Datenschutzbestimmungen auch hier erhalten.

So stellt sich die Frage, ob das wichtigste zugunsten unterschiedlicher Datenschutzbestimmungen angeführte Argument überhaupt greift: Ein Wettbewerb der Länder um den besten Datenschutz („kompetitiver Föderalismus“). Schon in den letzten zwei Dekaden musste man solche datenschutzrechtlichen Innovationen mit der Lupe suchen. Angesichts der durch die DSGVO eingeschränkten Regelungskompetenzen der Länder werden die Spielräume für  eine kreative Weiterentwicklung des Datenschutzes jedenfalls noch geringer.

Die DSGVO versieht die Datenschutzbehörden mit stärkeren Durchsetzungs- und Sanktionsbefugnissen. Um eine einheitliche Aufsichtspraxis zur gewährleisten, enthält das neue Recht zudem detaillierte Vorgaben zur gegenseitigen Kooperation und zur Kohärenz ihrer Entscheidungen. Eine zentrale Stellung nimmt dabei der Europäische Datenschutzausschuss (EDSA) ein, der von den nationalen Datenschutzbehörden beschickt wird. Es liegt auf der Hand, dass es großer Anstrengungen bedarf, um die Positionen der Vertreter der Aufsichtsbehörden der 28 Mitgliedsländer unter einen Hut zu bringen. In Deutschland mit seinen 18 unabhängigen Datenschutzbehörden — Bundesbeauftragte, Landesbeauftragte und LDA Bayern — (hinzu kommen die Datenschutzbeauftragten der Kirchen und der Landesrundfunkanstalten) besteht zusätzlich die Notwendigkeit zur Vereinheitlichung auf nationaler Ebene.

Die BfDI vertritt Deutschland im EDSA und ist „zentrale Anlaufstelle“ für grenzüberschreitende Datenschutz-Angelegenheiten. Ihre Stellvertreter/in ist vom Bundesrat aus dem Kreis der Leiter/innen der Landesdatenschutzbehörden zu wählen. Leider hat der BR jedoch den bzw. die Ländervertreterin nicht gewählt, so dass die BfDI Deutschland bis auf weiteres allein im EDSA vertritt, aber in Fragen, die in Länderzuständigkeit liegen, an das Votum der Landesdatenschutzbehörden gebunden ist.

Das neue BDSG erklärt die Regelungen der DSGVO für die Zusammenarbeit der Aufsichtsbehörden im EDSA für sinngemäß für die Kooperation der deutschen Datenschutzbehörden untereinander für anwendbar erklärt, allerdings nur, soweit es um Angelegenheiten geht, die im EDSA verhandelt werden. Dies bedeutet, dass die Konferenz der   unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) erheblich aufgewertet wurde und Entscheidungen zur Datenschutzaufsicht per Mehrheitsbeschluss treffen kann. Ob dies generell zu einer Vereinheitlichung der Datenschutzaufsicht in Deutschland führt, bleibt abzuwarten. Absehbar ist aber schon jetzt, dass das zweistufige Verfahren der Meinungsbildung – auf nationaler und auf europäischer Ebene – erheblichen Aufwand erzeugt und die Möglichkeiten Deutschlands, auf die Entscheidungen des EDSA einzuwirken, erheblich einschränkt.

Was jetzt zu tun ist

Angesichts der verbreiteten Verunsicherung brauchen wir zunächst eine Kommunikationsoffensive der Bundesregierung und der Datenschutzbehörden. Es ist Sache insbesondere des Bundesinnenministeriums, den Kenntnisstand in der Bevölkerung über die Bedeutung, die Prinzipien und konkreten Regelungen zum Datenschutz zu verbessern. Besonders gefragt sind die Datenschutzbehörden: Sie müssen unmissverständliche Antworten auf die zentralen Auslegungsfragen geben. Auch wenn sich wirkliche Rechtssicherheit erst mittelfristig einstellen wird, wenn sich eine gefestigte Rechtsprechung herausgebildet hat, brauchen die Bürgerinnen und Bürger, Vereine und Unternehmen und auch die öffentlichen Stellen klare Aussagen der Datenschutzbehörden darüber, wie sie die Rechtsvorschriften verstehen und woran sie sich in ihrer Aufsichtspraxis orientieren werden. Die 19 von der Datenschutzkonferenz bisher veröffentlichten „Kurzpapiere“ sind zwar ein guter Ausgangspunkt, ausreichend sind sie bei weitem nicht. Notwendig sind abgestimmte, zielgruppenorientierte Anwendungshinweise, Musterformulare und elektronische Tools. Statt das Rad immer wieder neu zu erfinden, sehe ich die dringende Notwendigkeit zu gemeinsamen Positionierungen. Wenn nötig, sollte die DSK auch hier mit Mehrheit entscheiden.

Die Gesetzgebung muss auf Bundes- und Landesebene zügig vorangebracht werden. Dies gilt sowohl für die Landesdatenschutzgesetze als auch für die spezialgesetzlichen Datenschutzbestimmungen. Angesichts der verbreiteten Verunsicherung – etwa bei der Benennungspflicht von Datenschutzbeauftragten bei nicht-öffentlichen Stellen – sollte hier eine Präzisierung erfolgen, ebenso hinsichtlich der Bestimmungen zum Ausgleich von Meinungsfreiheit und Datenschutz und beim Datenschutz im Internet und Sozialen Netzwerken. Notwendig sind auch Gesetzeskorrekturen im Wettbewerbsrecht, die sicherstellen, dass Missbräuche von Abmahnmöglichkeiten unterbunden werden.

Schließlich müssen die Datenschutzbehörden besser ausgestattet werden. Die Ausstattung der Datenschutzbehörden mit Personal und Sachmitteln ist in manchen Bundesländern so schlecht, dass sie die vielen ihnen zugewiesenen Aufgaben nicht ansatzweise erfüllen können. Dies hat zur Konsequenz, dass ihre Aufsichtstätigkeit nicht effektiv wahrnehmen können und auch nicht über die notwendigen Beratungskapazitäten für Bürger, Vereine, Unternehmen und Kommunen verfügen.

Es bleibt zu hoffen, dass alle Beteiligten möglichst bald in einen konstruktiven Dialog kommen und die notwendigen Schritte unternehmen, damit das neue Europäische Datenschutzrecht seine zentrale Aufgabe erfüllt: Die datenschutzrechtliche Flankierung der Digitalisierung, die ohne entsprechende Leitplanken sehr schnell zu einer Sackgasse werden könnte. Datenschutz und informationelle Selbstbestimmung sind zentrale Grundrechte des Informationszeitalters – das dürfen wir bei aller Kritik an dieser oder jener Regelung nicht aus dem Auge verlieren!

Mehr Sicherheit durch Fingerabdruck im Personalausweis?

Die Europäische Kommission hat für heute einen Vorschlag angekündigt, der vorsieht, dass zukünftig alle von den EU-Staaten ausgestellten Personalausweise mit den elektronisch erfassten und auslesbaren Fingerabdrücken der Inhaber versehen werden müssen. Die neue Regelung wird – wieder einmal – mit der Notwendigkeit begründet, den internationalen Terrorismus wirkungsvoll zu bekämpfen.

Während die Pässe, in denen die Fingerabdrücke bereits seit 2008 obligatorisch gespeichert werden, nur auf Antrag ausgestellt und für Reisen in bestimmte Länder außerhalb der Union benötigt werden, sind die Bürgerinnen und Bürger in den meisten EU-Mitgliedsstaaten verpflichtet, sich einen Personalausweis ausstellen zu lassen und diesen bei Kontrollen – etwa an den EU-Binnen- und Außengrenzen – vorzulegen. Das neue Vorhaben hat deshalb eine ganz andere Breitenwirkung als die Einführung der biometrischen Merkmale bei den EU-Reisepässen vor zehn Jahren.

Umso wichtiger ist die Frage, wie die erweiterte Datenerfassung begründet wird und welche Konsequenzen sie hat. Das zentrale, von EU-Innenkommissar Dimitris Avramopoulos vorgebrachte Argument ist die Erhöhung der Fälschungssicherheit. Nur durch elektronische Fingerabdrücke ließe sich die Fälschung von Ausweisen sicher verhindern. 

Eigentlich würde man erwarten, dass die Kommission dies mit Zahlen über ge- oder verfälschte Identitätspapiere belegen könnte.  Zudem war ja schon die verpflichtende Einführung des elektronisch im Personalausweis gespeicherten Gesichtsbilds mit der Erhöhung der Fälschungssicherheit begründet worden. Da inzwischen die meisten Personalausweise mit einem elektronisch, in einem Chip gespeicherten Passbild versehen sind, müsste sich doch feststellen lassen, wieviele Teil- oder Komplett-Fälschungen es bei diesen Papieren gegeben hat. Werden entsprechende Zahlen vorgelegt? Gibt es auch nur ein einziges Beispiel dafür, dass sich ein Terroranschlag oder eine andere schwere Straftat hätte verhindern lassen, wenn ein mit modernen Sicherheitsmerkmalen ausgestatteter Personalausweis zusätzlich mit Fingerabdrücken versehen gewesen wäre? Wir können gespannt sein, ob die Kommission heute diese Fakten vorlegen wird. Ich bin da eher skeptisch, denn es ist nicht einml plausibel, worin der zusätzliche Fälschungsschutz bestehen würde, wenn auch der Fingerabdruck elektronisch gespeichert würde. Wenn sich der Chip manipulieren lässt, dann gilt dies für das auf ihm bereits gespeicherte Lichtbild und den Fingerabdruck gleichermaßen. Und wenn der Chip manipulationssicher ist, bringt der elektronische Fingerabdruck keine zusätzliche Fälschungssicherheit.

Vieles spricht also dafür, dass die Erhöhung der Fälschungssicherheit ist ein vorgeschobenes Argument ist. Der zentrale „Vorteil“ der zusätzlichen Speicherung des Fingerabdrucks besteht darin, dass dieser sich deutlich besser dazu eignet, mit Datenbanken abgeglichen zu werden. Dieses Argument wurde aber bisher nicht vorgebracht, vielleicht deshalb, weil dann deutlich würde, dass es wieder einmal nur um mehr Überwachung geht, selbst wenn diese ggf. nicht zur Erhöhung der Sicherheit beiträgt.

Zudem würden beiläufig flächendeckende Fingerabdruckdatenbanken entstehen. Zwar schließt das deutsche Recht (bisher) die zentrale Speicherung biometrischer Merkmale aus, die bei der Ausweis- und Passbeantragung anfallen. Allerdings hat der Bundestag im Sommer 2017 die rechtlichen Voraussetzungen dafür geschaffen, dass sämtliche Sicherheitsbehörden online auf die in den dezentralen Pass- und Personalausweisregistern gespeicherten elektronischen Passfotos zugreifen können, und zwar nicht bloß für die Strafverfolgung, sondern für sämtliche von den Behörden wahrgenommenen Aufgaben. Wenn die dezentralen Register online abgefragt werden, degeneriert jedoch das Verbot der zentralen Speicherung zu einem schmückenden Beiwerk, das einzig dem Zweck dient, die Nerven von Skeptikern zu beruhigen.

Der aktuelle Vorschlag der Kommission ist ein weiterer Schritt zum Ausbau einer flächendeckenden Überwachungsinfrastruktur. Auch wenn dabei rechtliche Nutzungsbegrenzungen vorgesehen werden sollten, wissen wir doch aus Erfahrung, dass solche Begrenzungen mit einem Federstrich beseitigt werden können. So wurden bei fast allen größeren Terroranschlägen die rechtlichen Grenzen der Datenerfassung und -Auswertung zurückgenommen. Gerade deshalb lohnt es sich, genau hinzuschauen, wenn die technischen Voraussetzungen zur stärkeren Überwachung ausgebaut werden sollen.

« Older Entries