Jörg Pohle, Andrea Knaut (Hrsg.)

Fundationes I:
Geschichte und Theorie des
Datenschutzes

DIE TAGUNGSREIHE FUNDATIONES
UNTERSUCHT DIE GRUNDLAGEN
EINES INTERDISZIPLINÄREN FORSCHUNGS-
GEBIETES IN EINEM RADIKALEN SINN:
VERMEINTLICHE ERGEBNISSE DER
BETEILIGTEN DISZIPLINEN WERDEN HINTERFRAGT
UND GEGEBENENFALLS NEU FORMULIERT,
VERLOREN GEGLAUBTES WIEDER ZUM VORSCHEIN GEBRACHT
UND – WO NÖTIG – ALTERNATIVE WEGE AUFGEZEIGT.

Vor allem aber geht es um das Explizitmachen des Impliziten, das Aufdecken der versteckten Prämissen. So entsteht das Fundament eines komplexen Erkenntnisgebildes. Die Gedankenschritte werden mit feinem Strich nachgezeichnet und zur weiteren Diskussion gestellt. Dieser scholastische Ansatz erlaubt es, scheinbare Widersprüche aufzulösen oder auf Fehlschlüsse hinzuweisen, die immer dann entstehen, wenn zwei (oder mehr) Wissenschaftsdisziplinen, -schulen oder -generationen miteinander sprechen wollen. Bei widersprüchlichen Forschungsergebnissen ist es zu kurz gegriffen, nur eines als das »richtige« zu bezeichnen, beispielsweise das aktuellste. Der Kontext, in dem viele Paradigmen entstanden sind, ist oft verloren gegangen oder wird nicht genug beachtet. Dabei ist er zum Verständnis entscheidend.

DAS ZIEL DES WORKSHOPS BESTEHT DARIN,
IN EINEM RELATIV KLEINEN
KREIS FUNDIERT, KONTROVERS, VOR ALLEM ABER
PRODUKTIV ZU DISKUTIEREN.
AN DIESEM ZIEL HABEN WIR SOWOHL DIE VORBEREITUNG, DEN
ABLAUF SOWIE DIE NACHBEREITUNG DES WORKSHOPS AUSGERICHTET.

Etwa vier bis sechs Monate vor dem Workshop wird der Call for Papers veröffentlicht. Neben einer allgemeinen Verteilung an interessierte Kreise werden gezielt einzelne Personen angesprochen, von denen qualitativ hochwertiger Input für den Workshop erwartet wird. Aus den eingereichten Skizzen wählt die Workshop-Leitung die besten aus und ordnet diese inhaltlich den beiden Disputationsterminen zu: Die Autorinnen und Autoren der acht besten Skizzen werden eingeladen, neben ihren Ausarbeitungen (nicht mehr als 30.000 Zeichen) jeweils zehnminütige Impulsreferate auf dem Workshop zu halten und als zentrale Disputationsteilnehmerinnen und -teilnehmer im Innenkreis der Fishbowl (siehe unten) zu sitzen. Soweit weitere Skizzen die formalen und inhaltlichen Anforderungen erfüllen und von der Workshop-Leitung als hilfreich für die Diskussion erachtet werden, werden deren Einreicherinnen und Einreicher zusätzlich zur Einreichung von Ausarbeitungen aufgefordert. Alle Texte sind spätestens einen Monat vor dem Workshop in einer editierbaren Fassung einzureichen. Spätestens zwei Wochen vor dem Workshop werden an alle bis dahin Angemeldeten Reader mit den eingereichten Texten geschickt. Der Workshop selbst findet dann unter der Voraussetzung statt, dass alle Teilnehmerinnen und Teilnehmer die eingereichten Texte gelesen haben.

Der Workshop besteht aus zwei Disputationsblöcken. Als Disputation bezeichnen wir ein wissenschaftliches Streitgespräch, bei dem vorgetragene Standpunkte sowohl auf innere Konsistenz, die zugrunde liegenden Prämissen als auch auf mögliche Schlussfolgerungen für die Praxis untersucht werden sollen. Die Disputation wird dabei mit der didaktischen Methode des Fishbowl umgesetzt. Dabei sitzen die vier Disputantinnen und Disputanten zusammen mit der Moderatorin oder dem Moderator im Innenkreis, während alle anderen Teilnehmerinnen und Teilnehmer im Außenkreis sitzen. Im Innenkreis gibt es einen leeren Stuhl, auf den sich jeweils diejenigen setzen können, die durch Fragen oder Thesen an der Diskussion teilnehmen wollen. Die Diskussion selbst findet ausschließlich im Innenkreis statt.

Ein Disputationsblock beginnt mit jeweils vier zehnminütigen Impulsreferaten, bei denen nur die jeweils wichtigsten Punkte vorgetragen werden. In dieser Phase sind ausschließlich Verständnisfragen erlaubt. Die Workshop-Leitung sammelt die angeprochenen Punkte, gruppiert sie und erstellt daraus ein Handout für die anschließende Disputation. Zu Beginn der Disputation werden die einzelnen Punkte dann nacheinander aufgerufen und diskutiert. Anschließend werden die im Laufe der Diskussion entstandenen Fragen geklärt. Am Ende sollen jeweils entweder Lösungen oder grundsätzlich neue Forschungsfragen stehen. Der Verlauf der Diskussion wird protokolliert – sowohl thesenhaft schriftlich (Live-Steno-Transkription) als auch als Wortprotokoll (Tonaufnahme zur späteren Volltranskription).

Am Ende des Workshops werden beide Disputationen und deren Ergebnisse von den Moderatorinnen und Moderatoren kurz zusammengefasst.

nnerhalb von drei Monaten nach dem Workshop werden alle Beiträge (Ausarbeitungen, Referate, Diskussionsbeiträge) sowohl online als auch einem gedruckten Tagungsband veröffentlicht.

Tag 1:
14:00 – 14:30: Begrüßung der Teilnehmerinnen und Teilnehmer und Vorstellung der Referentinnen und Referenten
14:30 – 15:30: 4 Impulsreferate à 10 Minuten und Verständnisfragen
15:30 – 16:00: Kaffeepause, Sammeln der Punkte auf einem Handout
16:00 – 19:00: Disputation
19:00: Abendessen

Tag 2:
09:00 – 10:00: 4 Impulsreferate à 10 Minuten und Verständnisfragen
10:00 – 10:30: Kaffeepause, Sammeln der Punkte auf einem Handout
10:30 – 13:30: Disputation
13:30 – 14:00: Zusammenfassung der beiden Disputationen durch die Moderatorinnen und Moderatoren, anschließend Mittagessen

DER DATENSCHUTZ, HEISST ES, DIENE DEM
SCHUTZ VOR BEEINTRÄCHTIGUNG DES
PERSÖNLICHKEITSRECHTS.
ABER WARUM ENTHIELT DANN DAS ERSTE LANDES-
DATENSCHUTZGESETZ VON HESSEN REGELUNGEN
ZUM INFORMATIONSVERHÄLTNIS ZWISCHEN
PARLAMENT UND REGIERUNG?

Im Gutachten »Grundfragen des Datenschutzes« von 1971 wurde die Privatsphäre – wie die ganze Sphärentheorie – als Bezugspunkt für die rechtliche Regelung des Datenschutzes explizit als untauglich verworfen. Aber warum wird die Privatsphäre in der aktuellen Diskussion dann wieder so in den Mittelpunkt gestellt? Privacy sei das »right to be let alone« – das Recht, allein gelassen zu werden. Aber warum galt es denn dann in den sechziger Jahren als ausgemacht, dass Individuen sich auch in der Öffentlichkeit auf ihr Recht auf Privacy berufen können?

Die Datenschutzdiskussion der vergangenen Jahre entspricht strukturell und thematisch den Diskussionen der sechziger und siebziger Jahre: Heute wie damals geht es um Informationsexplosion, Datenintegration und intra- und internationalen Informationsaustausch. An die Stelle staatlicher Planungsinformationssysteme als prototypischer Risikotechnologie ist heute das Internet getreten, Facebook und Google haben die Kreditauskunfteien als herausstechendste Gefährder im privaten Bereich ersetzt. Die Datenspeicherungs- und Datenverarbeitungskapazitäten sind um Größenordnungen gewachsen und der Grad der Automatisierbarkeit und der Automation der Datenverarbeitung hat drastisch zugenommen – die gesellschaftlichen Informationsverarbeitungsfähigkeiten wurden dabei mitgerissen. Und immer noch – oder schon wieder – gibt es Stimmen, die den Datenschutz für überholt halten. Vor allem aber steigt die Zahl der Unwissenden, die sich zum Thema meinen äußern zu müssen: Dass sich der datenschutzrechtliche Begriff »Datum« auf Informationen im Sinne der Semiotik bezieht – vergessen oder nie gewusst? Dass selbst der »Individualdatenschutz« nicht nur individualistisch, sondern auch mit Hilfe Luhmanns soziologischer Systemtheorie, die auf die Funktionen und Strukturen von Sozialsystemen abstellt, erklärt wurde – vergessen oder nie gewusst? Dass die prozessorientierte Beschreibung der Informationsverarbeitung in Organisationen, die zur Grundlage der rechtlichen Regulierung gemacht wurde, Anfang der siebziger Jahre dem Stand der Wissenschaft – der Kybernetik, also auch einer Systemtheorie – entsprach – vergessen oder nie gewusst? Dass »Privacy by Design« keineswegs neu ist, sondern schon Ende der sechziger Jahre als selbstverständliche technische Anforderung an datenverarbeitende Systeme galt – vergessen oder nie gewusst? Kurz: Der aktuellen Datenschutzdiskussion fehlt es sowohl an historischem Bewusstsein wie an theoriegestützter Analysefähigkeit.

Im Workshop sollen Geschichte und Theorie von Privacy und Datenschutz (neu) ermittelt und vermittelt werden. Dabei geht es insbesondere darum, die Begriffe und ihre Bedeutung von den inhaltlichen Entstellungen der letzten Jahre und Jahrzehnte zu befreien. Wenn Datenschutz Anfang der siebziger Jahre die Lösung gewesen sein soll, was war dann das Problem? Hat sich die Problemlage, oder genauer formuliert: die Konfliktsituation, strukturell geändert? Welche Sprachen oder Theorien sind geeignet, das gesellschaftliche Problem, zu dem der Datenschutz als Lösung angetreten ist, auf dem Stand der Wissenschaft zu beschreiben? Welche expliziten und impliziten Annahmen liegen der Problembeschreibung und der Architektur des Datenschutzrechts zugrunde und welche davon sind heute noch haltbar? Welcher Architektur bedürfen Datenschutz und Datenschutzrecht im 21. Jahrhundert? Stehen neue Instrumente zur Verfügung, die einen kontrollierten Transfer zwischen Sollen und Sein, Sein und Sollen möglich machen?

Folgende Bereiche bilden den Schwerpunkt des Workshops:

Geschichte des Datenschutzes und des Datenschutzrechts sowie der damit einhergegangenen Diskussionen

Beschreibung und Einordnung der gesellschaftlichen Problemstellung, zu deren Lösung der Datenschutz angetreten ist oder antreten soll

Gesellschaftliche und gesellschaftstheoretische Grundlagen des Datenschutzes

Explizite und implizite Prämissen, die der Problembeschreibung und der rechtlichen Ausgestaltung des Datenschutzes zugrunde liegen

Architektonische Grundentscheidungen der Gestaltung des Datenschutzrechts und deren theoretische Hintergründe

Instrumente des Datenschutzes und ihre Eignung in der Praxis

Inhaltsverzeichnis

Die Tagungsreihe Fundationes

Das Ziel des Workshops

Call for Papers

Vorwort

Alexander Dix
Datenschutz und Informationsfreiheit als Teil der Informationsökologie des 21. Jahrhunderts

Kai von Lewinski
Zufall und Notwendigkeit bei der Entstehung des Datenschutzrechts — Was sagt die kontrafaktische Geschichtsschreibung zum BDSG?

Martin Rost
Neun Thesen zum Datenschutz

Wolfgang Zimmermann
Privatsphäre. Aufruf zur Konstruktion einer realitätsbezogenen Bildwelt.

Seda Gürses und Claudia Díaz
An activist and a consumer meet at a social network...

Kirsten Bock
Instrumente des Datenschutzes und ihre Eignung in der Praxis – Zur Ungeeignetheit der Selbstregulierung im Datenschutzbereich

Marit Hansen
Hemmnisse für Privacy by Design

Jörg Pohle
Kausalitäten, Korrelationen und Datenschutzrecht

Transkription, Tag 1, 15.02.2013

Transkription, Tag 2, 16.02.2013

Impressum

Inhaltsverzeichnis

Am 15. und 16. Februar 2013 fand in den Räumen des Hermann-von-Helmholtz-Zentrums für Kulturtechnik (HZK) der Humboldt-Universität zu Berlin der erste Workshop in der Reihe »Fundationes« statt.

Organisiert von MitarbeiterInnen der Arbeitsgruppe »Informatik in Bildung und Gesellschaft«, die sich inzwischen – nach der Emeritierung von Wolfgang Coy – in alle Winde verstreuten, trafen sich sechzehn WissenschaftlerInnen und PraktikerInnen, um in interdisziplinärer Diskussion die »Geschichte und Theorie des Datenschutzes« aufzudecken, zu analysieren, kritisch zu hinterfragen und gegebenenfalls neu zu formulieren. Die Enthüllungen Edward Snowdens über die umfassende Überwachung des weltweiten Datenverkehrs einschließlich aktiver Angriffe auf informationstechnische Systeme und Infrastrukturen durch NSA, GCHQ und andere staatliche Stellen lagen zu diesem Zeitpunkt leider noch in der Zukunft.

Zur Vorbereitung auf die Diskussion im Workshop lagen den TeilnehmerInnen acht schriftliche Ausarbeitungen in Form eines Readers vor. Davon können wir sieben – teilweise leicht überarbeitet – im vorliegenden Band dokumentieren. Jeder der beiden großen Disputationsblöcke begann mit kurzen Impulsreferaten – am ersten Tag des Workshops hörten wir fünf, am zweiten Tag zwei Referate. Sowohl die Impulsreferate als auch die anschließenden Disputationen wurden technisch aufgezeichnet und im Anschluss an den Workshop transkribiert.

Die Transkription traf auf unerwartete Schwierigkeiten: Einzelne Passagen der Aufnahme waren durch Rückkopplungen von Mobilfunkgeräten teilweise stark unverständlich. Besonderer Dank gilt daher jenen TeilnehmerInnen, die nicht nur bei der anschließenden redaktionellen Überarbeitung des gesprochenen in das geschriebene Wort tatkräftig halfen, sondern darüber hinaus die fehlenden Passagen halfen zu rekonstruieren.

Berlin, Februar 2014

Andrea Knaut, Jörg Pohle

Alexander Dix

Datenschutz und Informationsfreiheit als Teil der Informationsökologie des 21. Jahrhunderts

[1] Das Datenschutzrecht hat eine sehr viel längere Tradition in Deutschland als das Informationsfreiheitsrecht. Erst 28 Jahre nach dem ersten (Hessischen) Datenschutzgesetz trat in Brandenburg das erste deutsche Informationszugangsgesetz in Kraft. Damit wurde eine verspätete Entwicklung in Gang gesetzt, die das Datenschutz- und Informationsfreiheitsrecht als komplementäre Elemente einer demokratischen Informationsverfassung anerkennt. In anderen Rechtssystemen (z.B. Schweden, Kanada) ist dieser Zusammenhang erheblich früher erkannt worden. Noch immer haben 5 Bundesländer zwar ein Datenschutz-, aber kein Informationsfreiheitsgesetz. Echte Synchronisierung zwischen dem Datenschutz- und dem Informationsfreiheitsrecht wäre allerdings erst erreicht, wenn auch das allgemeine Informationsfreiheitsrecht auf die Wirtschaft erstreckt würde. Bisher gibt es nur eine Vielzahl von speziellen Transparenzpflichten im nicht-öffentlichen Bereich. Letztlich ist eine regionale oder internationale Vereinheitlichung der Transparenz-Anforderungen in gleicher Weise anzustreben (vgl. Tromsö-Konvention), wie sie gegenwärtig im Bereich des Datenschutzes erfolgt.

[2] Der Datenschutz gerät neuerdings verstärkt unter Rechtfertigungsdruck durch die sog. Post-Privacy-Bewegung. Es ist eine legitime Form der informationellen Selbstbestimmung Einzelner, sich digital „nackt zu machen“, zumindest soweit dies auf einer informierten Entscheidung beruht. Nicht hinnehmbar ist es dagegen, wenn Vertreter der Post-Privacy-Bewegung dem Rest der Gesellschaft „Nacktheit“ verordnen wollen. Der Paternalismus-Vorwurf, der insofern gegen die Befürworter des Datenschutzes erhoben wird, kehrt sich gegen seine eigenen Urheber. Ein Grundgedanke der Post-Privacy ist die Vorstellung, in einer diskriminierungsfreien Gesellschaft gebe es keinen Bedarf an geschützten Informationen mehr. Abgesehen davon, dass eine solche Gesellschaft noch nicht Realität, sondern Utopie ist, blieben selbst nach Abschaffung aller Formen der Diskriminierung legitime Geheimhaltungsbedürfnisse.

[3] Die auf europäischer Ebene angestoßene überfällige Modernisierung des Datenschutzes sollte bestimmte Kernelemente des geltenden Datenschutzrechts weiter entwickeln, aber nicht über Bord werfen. Dazu gehören die Grundsätze der Datenminimierung (Datensparsamkeit), der Zweckbindung und das grundsätzliche Verbot mit Erlaubnisvorbehalt. Neu in ein europäisches Datenschutzgesetz aufgenommen werden sollten das Recht auf Pseudonymität und Pseudonymisierung (als Minus zur Löschung), eine effektive Begrenzung der Profilbildung und eine praktikable Beschränkung des Anwendungsbereichs bei privaten Aktivitäten (household exemption). Sie sind angesichts der vorherrschenden Datenmaximierung, systematischen Zweckentfremdung, zunehmenden Identifikationszwängen und der vereinzelt geforderten pauschalen Freistellung der „Alltagsdatenverarbeitung“ von datenschutzrechtlichen Vorgaben zu bekräftigen und mit Leben zu erfüllen. Der neue Rechtsrahmen sollte nicht nur für Google und Facebook gelten, aber es gibt einen Bereich der privaten, nicht-kommerziellen Aktivitäten einzelner Personen, der weniger strikten Anforderungen unterliegen sollte, auch wenn die Betroffenenrechte in jedem Fall angemessen gewahrt sein sollten.

[4] Ein modernes Datenschutzrecht muss informationelle Diskriminierung und Vereinzelung genauso als Problem adressieren wie die Gefährdung bzw. Verletzung der Rechte von Gruppen. Darüber hinaus müssen im Zeitalter des ubiquitous computing auch Maschinenadressen in den Schutzbereich des Datenschutzrechts einbezogen werden, wie dies die U.S. Federal Trade Commission bereits vorgeschlagen hat. Die dingliche Umgebung des Menschen wird nicht nur zunehmend „computerisiert“, sondern auch personalisiert (Beispiel Ambient Assisted Living). Der Begriff des Personenbezugs ist insofern zu erweitern, statt ihn – wie im Zusammenhang mit IP-Adressen vorgeschlagen wird – zu verengen.

[5] Privacy by design sollte durch staatliche Anreizsysteme (unabhängige Zertifizierungen, Vergabeverfahren) sowie eine flankierende Anwendung des Verbraucherschutz-, Wettbewerbs- und Kartellrechts gefördert werden. Neue Betroffenenrechte wie das Recht auf Datenübertragbarkeit (Portabilität) müssen durch ergänzende technische Vorgaben wie die Pflicht sozialer Netzwerke, Schnittstellen zu schaffen, ergänzt werden. Erst dadurch würden sie praktikabel, zugleich würde der Wettbewerb unter den Anbietern solcher Netzwerke gefördert.

[6] Auch der grundsätzlich freie Informationszugang muss bereits bei der Gestaltung von Datenbanken und Informationspools des öffentlichen wie des privaten Sektors berücksichtigt werden (Freedom of information by design).

[7] Datenmaximierung verwandelt Information tendenziell in „Exformation“ (das Gegenteil von Information). Im Datenschutz- wie im Informationsfreiheitsrecht kann der Betroffene wie der Informationsinteressent durch ein Übermaß an unstrukturierter oder unverständlicher Information überflutet und damit in seinen Rechten und Interessen verletzt werden. Die datenschutzrechtliche Information Betroffener als Voraussetzung des informed consent muss intelligent und mehrstufig erfolgen. Textwüsten sind durch bildliche Informationen (Videoclips, Icons, drop-down-Menüs) zu ersetzen. Informationssammlungen sind strukturiert so aufzubauen, dass sie in Teilen ohne Weiteres online verfügbar gemacht werden können, während andere Teile (mit Personenbezug) erst nach Abwägung der Informations- und Betroffeneninteressen im Einzelfall offenzulegen sind. Das reduziert den Aufwand der verantwortlichen Stelle, wenn Informationszugang verlangt wird. Neuere Transparenzgesetze verlangen ohnehin die proaktive Veröffentlichung eines Großteils der Verwaltungsinformationen.

Kai von Lewinksi

Zufall und Notwendigkeit bei der Entstehung des Datenschutzrechts

Was sagt die kontrafaktische Geschichtsschreibung zum BDSG?1

A Einführung

[1] Das Datenschutzrecht ist ein seltsames Rechtsgebiet. Es entstand ohne bzw. vor einem konkreten Anlass, führte aber schon bald zur Kreation eines neuen Grundrechts durch das Bundesverfassungsgericht und später noch zu einem weiteren, hat eine erstaunliche konzeptionelle Totalität, einen merkwürdig eingeschränkten Schutzbereich („grundsätzlich“) und eine singuläre Aufsichtsstruktur. Man könnte meinen, die (Rechts-)Geschichte hätte verrückt gespielt und sich an verschiedenen Weggabeln jedenfalls oft für die außergewöhnlichere Variante entschieden. Für die Klärung der Frage, warum das Datenschutzrecht zu dem geworden ist, was es ist, kann ein Was-wäre-wenn-Ansatz hilfreich sein. Der tatsächliche Gang der Geschichte hat zwar etwas Zwingendes. Das Geschehene ist faktisch und scheint deshalb notwendig. Dabei hätte es in vielen Fällen auch anders kommen können. Zielführend kann dabei die in der Geschichtswissenschaft allerdings durchaus mit einigem methodischen Zweifel2 betrachtete Uchronie3 – auch „Ungeschehene Geschichte“4, „kontrafaktische Geschichte“, „virtuelle Geschichte“5, „kompossible Geschichte“ oder „Alternate History“ genannt – sein, die untersucht, ob oder wie eine Entwicklung auch hätte anders verlaufen können, wenn ein bestimmter Umstand oder Zufall (nicht) eingetreten wäre.

[2] In der Rechtsgeschichte spielt kontrafaktische Geschichte – soweit ersichtlich – keine Rolle, wenngleich aber etwa die nie wirksam gewordene Paulskirchen-Verfassung von 1848 – vielleicht der Fall hypothetischer Rechtsgeschichte – die verfassungsgeschichtliche Phantasie immer wieder anregt.

[3] Auch Datenschutz, zumal die deutsche Datenschutzgeschichte, ist – soweit ersichtlich – nicht Gegenstand kontrafaktischer Geschichtsschreibung gewesen, und auch in der Literaturform der Parageschichte kommt er nicht vor. In einer umfassenden Bibliographie6 ist unter den einschlägigen Stichworten und auch hinsichtlich der Jahreszahl „1984“ kein einschlägiges Werk zu finden7. Gleichwohl kann auf dem Wege der kontrafaktischen Geschichte die Entwicklung des Datenschutzes als Geschichte von Zufällen und Notwendigkeiten erzählt werden, die den notwendigen Kern dieses Gebiets und seine zufälligen Auswüchse und „geschichtlichen Betriebsunfälle“ hervortreten lässt. Natürlich ist die Frage, ob die Geschichte des Datenschutzrechts auch hätte anders verlaufen können, praktisch weniger bedeutsam als die, wie eine zukünftige Informationsrechtsordnung ausgestaltet werden soll. Möglicherweise kann uns aber die tatsächliche Geschichte des BDSG mit ihren hypothetischen Alternativen Fingerzeige geben. Denn der Mensch (als geschichtlicher Akteur) lernt aus dem Nicht-Geschehenen8.

B Methodischer Abriss der kontrafaktischen Geschichtsschreibung

[4] Bevor die uchronistische Methode auf das Datenschutzrecht angewendet wird, sollen kurz deren Erkenntnisziel (I.), ihre methodischen Grundzüge (II.) und das gedankliche Vorgehen (III.) skizziert sowie auf grundlegende Einwände (IV.) eingegangen werden.

I Erkenntnisinteresse

[5] Die Angelsachsen sagen, man solle nicht wegen verschütteter Milch jammern. Auf die kontrafaktische Geschichte gewendet heißt das aber auch und vor allem, nicht über das Verschüttet-Haben von Milch nachzudenken, die man wohlbehalten in der Tasse hat9. In der Tat bekommt kontrafaktische Geschichte ohne eine Zeitmaschine keine praktische Bedeutung. Lediglich bei der Manipulation von Geschichte in totalitären Regimen10, wie wir sie aus Orwells „1984“ und in literaturgeschichtlicher Hinsicht aus der Bücherverbrennung des Jahres 1933 kennen, und in mittelalterlichen Geschichtsfälschungen wie der Lothar-Legende hat sie gegebenenfalls Relevanz. Zudem kann sie in kleinerem Anwendungsrahmen bei Zeugenschutzprogrammen und für die Legende von Verdeckten Ermittlern hilfreich sein.

1 Geschichtliche Kausalität

[6] Im eigentlich wissenschaftlichen Bereich dagegen hilft die alternative Geschichtsschreibung zunächst einmal, geschichtliche Kausalitäten11 durch das Erschaffen eines kontrastierenden Hintergrunds12 festzustellen13. Insoweit kann man die Untersuchung des Ungeschehenen als einen Ersatz für das Labor in den Gesellschaftswissenschaften bezeichnen14. Natürlich ist geschichtliche Kausalität nicht binär, sondern muss immer kontextualisiert werden; Geschichte ist kein geschlossenes System15. Es geht also nur um das Feststellen starker und schwacher Kausalität16, also der Gewichtung einzelner Bedingungen für eine weitere Entwicklung. Nichts anderes tut die konventionelle Geschichtsschreibung auch, wenn sie (unausgesprochen) Wertungen hinsichtlich der geschichtlichen Ereignisse vornimmt und von manchem berichtet wird und von anderem nicht.

2 Identifizierung von Weggabeln und dem Grad der Kontingenz

[7] Neben der Feststellung von geschichtlicher Kausalität zielt die kontrafaktische Geschichtsschreibung – wie jede Geschichtsschreibung17 – darauf ab, Momente der Kontingenz18, der Offenheit der Geschichte, festzustellen. Dabei ist die Kontingenz zu unterschiedlichen Zeiten unterschiedlich groß19. In Zeiten (gesellschaftlicher) Stabilität müssen die Kausalitäten groß sein, um etwas zu verändern, während in bewegten und Umbruchzeiten die Kontingenz größer ist, so dass dann leichter „Geschichte gemacht“ werden kann. Doch sind echte Weggabeln in der Geschichte selten, überraschende Abweichungen werden meist später wieder korrigiert20.

II Arten hypothetischer Argumentation

[8] Alternative Geschichtsverläufe lassen sich nie bestimmt, sondern nur mit einer mehr oder weniger großen Plausibilität vorhersagen. Hierfür werden allgemein eine idiographische (Analyse von Einzelsituationen) und eine nomothetische (Anwendung von Regelhaftigkeiten) Methode sowie deren Kombination angeboten21.

1 Einzelfallbeschreibungen

[9] Das idiographische Herangehen blickt auf eine konkrete Situation, entweder einen Punkt der Verzweigung oder eine sich daraus ergebende (hypothetische) Situation. Dabei wird das Handeln von Personen extrapoliert, indem man ihnen im hypothetischen Verlauf ein rationales Handeln unterstellt22, wobei dies – wie im Alltagsleben und der Politik immer – auch eine begrenzte Rationalität („Bounded Rationality“, H.A. Simon) sein kann. Dies meint in einem juristischen Kontext Gesetzestreue, nicht aber unbedingt immer in Übereinstimmung mit der Regelungsintention des Gesetzgebers (z.B. beim Ausnutzen von Gesetzeslücken). Innerhalb dieser Rationalitäten haben die (wirtschaftlichen oder politischen) Interessen große Bedeutung23.

2 Analogien und Regelhaftigkeiten

[10] Daneben arbeitet die alternative Geschichtsschreibung mit Regelhaftigkeiten. Damit sind nicht die Naturgesetze gemeint, die seriöserweise als gegeben und unveränderlich vorausgesetzt werden. Es sind vor allem (geschichtswissenschaftliche) Analogien24, aber auch Gesetze und Gesetzmäßigkeiten anderer Disziplinen können herangezogen werden25, wobei die Sozial- und Gesellschaftswissenschaften keine „harten“ Ursachenzusammenhängen beschreiben können. Wichtiger sind deshalb empirische Erfahrungen26 und Erfahrungssätze wie der des Struck’schen Gesetzes, dass kein Gesetz den Bundestag so verlässt, wie es dort eingebracht worden ist. Auch können Annahmen, die zu einem früheren Zeitpunkt Vorhersagen gestützt haben, kontrafaktische Geschichtsverläufe tragen27. Für die Rechtswissenschaft bietet sich methodisch noch die (geschichtliche) Rechtsvergleichung an, bei der man die ungeschehene Geschichte mit Entwicklungen in ähnlichen Rechtsordnungen spiegelt28. Allerdings muss man mit Aussagen zur hypothetischen Entwicklung anhand von Normtexten vorsichtig sein, weil diese immer nur einen Rahmen bilden29. So ist der Rechtstext immer nur ein Faktor hypothetischer Geschichtsschreibung neben den gesellschaftlichen Verhältnissen, der politischen Praxis und Verfassungsinterpretation30.

[11] Zu den Regelhaftigkeiten gehört auch der Einfluss und Bedeutung der unterschiedlichen gesellschaftlichen und Interessengruppen sowie der „Schlagkraft“ ihrer Lobbyarbeit31. Auch die Institutionalisierung von Interessen, wie sie im Bereich des Datenschutzes in Gestalt der Datenschutzbeauftragten besteht, ist zu berücksichtigen.

3 Vergleichbare Ansätze in anderen Wissenschaftsfeldern

[12] Wie eingangs erwähnt, wird die alternative Geschichtsschreibung von den Historischen Wissenschaften mit Skepsis und wegen ihres spekulativen Ansatzes als unseriös betrachtet. Allerdings beschäftigen sich auch andere Zweige (angewandter) Wissenschaft mit alternativen Kausalverläufen. Dies kann nicht nur als Argument für die Wissenschaftlichkeit der Uchronie herangezogen werden, sondern fördert auch die methodische Phantasie.

[13] Alle prognostischen Tätigkeiten können Inspiration für die kontrafaktische Geschichtsschreibung sein. Dies gilt für die Wahlforschung und Demoskopie32, für die aus dem Datenschutzrecht (§ 29 BDSG) bekannte Markt- und Meinungsforschung und die Zukunftsforschung (Futurologie) insgesamt. Eine besonders deutliche Parallele hat die alternative Geschichtsschreibung zur Geopolitik33, deren Gegenstand die Identifikation von langfristigen politischen Trends ist, die aber sehr stark auf der Zugehörigkeit von Menschen zu geschichtlich und kulturell gewachsenen Gemeinschaften und auch geographischen Bedingtheiten beruht.

[14] Für den Juristen liegt es besonders nahe, sich aus dem Instrumentenkasten der Gesetzesfolgenabschätzung (GFA) zu bedienen (z.B. das Durchspielen von Szenarien und Simulationen34, Mindmapping35, Expertenanhörungen36). Dabei ist die retrospektive Gesetzesfolgenabschätzung (rGFA)37 für die kontrafaktische Geschichtsschreibung allerdings weniger ergiebig, als man auf den ersten Blick meinen mag, denn bei ihr geht es primär um den zukünftigen Änderungsbedarf, nicht um die Fehler in der Vergangenheit.

[15] Fündig werden Juristen auch vor ihrer eigenen Haustür, nämlich bei der (rechtswissenschaftlichen) Definition für Kausalität. Danach ist jede Ursache, die nicht hinweggedacht werden kann, ohne dass der tatbestandliche Erfolg in seiner konkreten Gestalt entfiele, kausal38. Unausgesprochen arbeitet die Kausallehre des Straf- und Deliktsrechts also seit jeher mit alternativen Geschehensverläufen.

III Vorgehensweisen

[16] Wie kann man nun aber methodisch abgesichert bei den nicht-geschehenen geschichtlichen Alternativen zwischen wahrscheinlichen und unwahrscheinlichen unterscheiden39? Am Anfang muss die Unterscheidung von hypothetischem Ereignis und einem sich daraus ergebenden hypothetischen Verlauf stehen. Dabei kommt es weniger auf die Plausibilität des hypothetischen Ereignisses bzw. seines Nicht-Stattfindens an, sondern auf den jeweiligen weiteren hypothetischen Verlauf40. Denn die kontrafaktische Geschichte will ja die Relevanz von Bedingungen ergründen, was sich manchmal erst in einer ungewöhnlichen und unwahrscheinlichen „Versuchsanordnung“ erweisen kann. Die Wahrscheinlichkeit eines geschichtlichen Alternativverlaufs ist das Produkt der Wahrscheinlichkeit des hinweg- oder dazugedachten Ereignisses und des hypothetischen weiteren Verlaufs41.

1 Setzen einer Verzweigung (Bifurkation)

[17] Grundsätzlich kann jedes Ereignis hinweg- oder hinzugedacht werden. Solche Weggabeln der Geschichte werden in der kontrafaktischen Geschichte dadurch ermittelt, dass man Abzweigungen im Kausalverlauf (Bifurkationen) auf ihre (hypothetischen) Auswirkungen überprüft. Häufig wird man aber nur in Momenten großer Kontingenz ansetzen, in denen schon eine kleine Veränderung des tatsächlichen Ablaufs eine (nicht nur vorübergehende) Veränderung bewirken kann.

[18] Ein deutliches Indiz für die geschichtliche Offenheit ist das (zeitgenössische) subjektive Erleben eines überraschenden oder knappen Ausgangs42. Auch artikulierte Interessen und Interessengegensätze können herangezogen werden, die sich in einem juristischen Kontext oft in einer Klagewelle manifestieren43. Auch in den Gesetzgebungsmaterialien finden sich Indizien für kontingente Momente, etwa kontroverse Sachverständigenanhörungen oder Evaluationsklauseln in Gesetzen (z.B. § 14 IFG44); wenig aussagekräftig ist in diesem Zusammenhang allerdings die Pflichtangabe auf dem Gesetzesvorblatt, bei der zu „Alternativen:“ meist „keine“ geschrieben wird. Denn jedenfalls ist die Nicht-Regelung („Null-Alternative“) immer eine Alternative zur Regelung.

[19] Wenn geschichtswissenschaftlich vorgeschlagen worden ist, nur Alternativen zu berücksichtigen, die Zeitgenossen für möglich gehalten oder jedenfalls bedacht hatten45, ist das allerdings eine unnötige Selbstbeschränkung. Zwar sollte man die „Weisheit der Zeitgenossen“, wie sie im Gesetzgebungsprozess insbesondere in parlamentarischen Sachverständigenanhörungen und in der begleitenden wissenschaftlichen Diskussion ihren Niederschlag findet, keineswegs geringachten. Doch sind wir im Heute immer klüger als im Gestern.

2 Eingrenzung der unendlichen Zahl von Alternativverläufen

[20] Jede hypothetische Verzweigung der Geschichte führt zu einem „Garten von Verzweigungen“46. Es wird ein „Spielraum“47 geschaffen, der aber begrenzt werden muss, wenn er sich nicht in einer unendlichen Zahl verlieren will. Hier ist es nun Aufgabe einer seriösen alternativen Geschichtsschreibung, aus der unendlichen Vielzahl von möglichen Verläufen den oder die herauszupräparieren, die eine gewisse Plausibilität haben. In der methodisch noch wenig bearbeiteten Uchronie hat sich noch keine allseits anerkannte Arbeitsweise herausgebildet. Soweit Kriterien für „gute“ Alternativverläufe angeboten werden48, geht es jeweils um eine Umschreibung von Plausibilität und deren Einhegung.

a Plausibilität

[21] Der Verengung der wissenschaftlichen Betrachtung auf die plausiblen Möglichkeiten dient das Ersetzen des einst ungewissen Schicksals durch Wahrscheinlichkeit49. Tendenzkonforme Ereignisse haben eine höhere Plausibilität und jedenfalls wahrscheinlicheren Bestand50. Ausnahmen von historischen oder sonstigen Regelhaftigkeiten sind weniger plausibel als deren Gegenstück. Im juristischen Kontext haben rechtfertigungsbedürftige dogmatische oder systematische Ausnahmen weniger wahrscheinlich Bestand als systementsprechende Figuren, können aber auch Vorboten einer rechtspolitischen Wende sein. In einem politikwissenschaftlichen Kontext haben (zeitliche) „Mittellösungen“ oder politische Kompromisse eine besondere Plausibilität51.

b Beibehaltung von Grundlinien

[22] Kanalisiert werden können die hypothetischen Szenarien dadurch, dass übergeordnete geschichtliche, technische wie gesellschaftliche Entwicklungen als unverändert gedacht werden. Insoweit sollten Grundzüge der jeweiligen Zivilisations- und Produktionsstufe52 beibehalten werden. Das schließt aber Verlangsamungen und Beschleunigungen (zeitliche Verschiebung)53 nicht aus.

[23] Soweit man in idealistischer Geschichtssicht (s.u. IV.) in der historischen Entwicklung eine Richtung erkennt54, bildet die „ideale Geschichte“ eine Linie, um die die tatsächlichen Ereignisse herumoszillieren55.

[24] Anders als möglicherweise in der Geopolitik gibt es für die Geschichtswissenschaft aber keine sogenannte Minimal-Rewrite Rule56, nach der immer die hypothetische Variante zu wählen ist, die die geringste Abweichung vom tatsächlichen Verlauf bewirkt. Denn gerade eine umfangreiche Änderung des tatsächlich Gewesenen in der hypothetischen Alternative ist Ausweis einer historischen Weggabel. – Was in der Chaostheorie der Flügelschlag des Schmetterlings, ist in der Geschichtswissenschaft Kleopatras Nase57.

c Beschränkung auf eine Variable

[25] Da es um die Feststellung von Kausalitäten geht, sollte bei hypothetischen Alternativen immer nur eine Variable im Geschichtsverlauf geändert und dann betrachtet werden (Klarheits-Regel)58, ansonsten aber von einer unveränderten Lebensumwelt ausgegangen werden. Systemtheoretiker werden hier anmerken, dass auch nur eine geänderte Tatsache das gesamte System über die Interdependenzen verändert59. Insoweit bezweckt die Klarheits-Regel auch (nur), solche Interdependenzen auf ein Mindestmaß zu beschränken.

3 Grenzen und Gefahren von Verzeichnungen

[26] Ernstzunehmende kontrafaktische Geschichtsschreibung muss sich also mäßigen und sich dafür ihrer Voraussetzungshaftigkeit und (impliziten) Annahmen in besonderer Weise bewusst sein60. Noch stärker als sonst in der Geschichtsschreibung ist der Geschichtsschreiber selbst ein Faktor.

[27] So ist aus psychologischer Sicht an den Cognitive Bias des Uchronisten zu denken, wonach schleichende Veränderungen weniger stark als Veränderung wahrgenommen werden als überraschende oder plötzliche Ereignisse61. Auch erscheint rückblickend Geschehenes notwendig gewesen zu sein (Hindsight Bias)62. Und Zeitgenossen wie geschichtlicher Betrachter unterliegen oft dem Motivational Bias, der Neigung zur Rechtfertigung der eigenen Haltung63, der Unzufriedenheit mit der Gegenwart64 oder der Abneigung, schlechte Ursachen mit guten Ergebnissen zu verknüpfen.

[28] Überhaupt muss kontrafaktische Geschichte durch die fachlich gezähmte Phantasie des Fachmanns davor bewahrt werden, in literarische Parageschichte abzugleiten65. Immer wenn es unterhaltend wird, sollte eine rote Warnlampe angehen.

[29] Und schließlich kann kontrafaktische Geschichtsschreibung wegen des „Gartens der Verzweigungen“ (Ferguson)66 immer nur für einen überschaubaren Zeitraum betrieben werden67.

IV Unvereinbarkeit mit Determinismus

[30] Neben den genannten Gefahren der Verzeichnung und der Notwendigkeit methodischer Selbstdisziplinierung sieht sich die kontrafaktische Geschichte auch grundsätzlichen Einwänden ausgesetzt68. Der simpelste lautet: „Counterfactuals are contrary to facts.“69 Dieser kann noch durch den Hinweis auf den möglichen Erkenntnisgewinn kontrafaktischen Vorgehens (s.o. I.) überwunden werden. Schwerer ist dies gegenüber Vertretern einer deterministischen Weltsicht, denn diese ist konzeptionell unvereinbar mit kontrafaktischer Geschichtsschreibung70. Wer als Marxist und Materialist, als Idealist (vornehmlich im 19. Jahrhundert, v.a. Hegel) oder Gläubiger an einen Sinn und Zweck der Geschichte glaubt, kann mit Alternativverläufen, jedenfalls im Großen, wenig anfangen. Dem soll hier mit dem Dogma der Rechtswissenschaft, die an die Willensfreiheit und Autonomie des Menschen glaubt, entgegengetreten werden, dass an die Alternativität menschlichen Handelns geglaubt werden muss; andernfalls müsste das Strafrecht, das auf der Schuldfähigkeit des Menschen beruht (Schuldprinzip)71, verabschiedet werden. Und wenn auf der Grundlage dieser Annahme der Mensch sich willensbestimmt und autonom zwischen Alternativen entscheiden kann, können sich möglicherweise auch die Gesellschaft und damit die Geschichte anders, also alternativ entscheiden. In dieser Sichtweise haben Individuen auch geschichtlich Entscheidungsmacht, können „Geschichte machen“.

C Datenschutzrechtsgeschichtliche Weggabeln

[31] Die kontrafaktische Methode soll nun auf die Datenschutzrechtsgeschichte angewendet werden. Hierfür werden einige naheliegende, letztlich natürlich aber willkürlich herausgegriffene Weggabeln betrachtet werden. Dies sind die Entstehung von Datenschutzgesetzen überhaupt (I.), dann konkret die Entstehung des hessischen Datenschutzgesetzes von 1970 (II.) und die des BDSG von 1977 (III.), weiter das Volkszählungsurteil von 1983 (IV.), das Modernisierungsgutachten von 2001 (V.), die Kreation des sogenannten Computer-Grundrechts 2008 (VI.) und schließlich die Entscheidung des Europäischen Gerichtshofs zur „völligen Unabhängigkeit“ von Datenschutzkontrollstellen 2010 (VII.).

I Datenschutzgesetze

[32] Kaum vorstellbar ist zwar, dass bis Ende des 20. Jahrhunderts keine Regelung informationeller Ungleichgewichte oder des Privatsphärenschutzes eingeführt worden wären. Ungewöhnlich und in gewisser Weise zufällig war aber der frühe Zeitpunkt der Schaffung von Datenschutzgesetzen in Deutschland. Bekanntermaßen stammt das hessische Datenschutzgesetz aus dem Jahre 197072 und das BDSG von 1977, beide sind jedenfalls älter als das Volkszählungsurteil von 1983.

1 Keine allgemeine Datenschutzdiskussion in Deutschland

[33] Die siebziger Jahre sind im Verlauf der datentechnischen Entwicklung und der des Bewusstseins in der Gesellschaft hiervon immer offener für den Erlass von entsprechenden Regelungen geworden. Zwar war der Datenschutz noch weit davon entfernt, im Zentrum der öffentlichen Aufmerksamkeit zu stehen. Allerdings sind durchaus erste Sensibilisierungen durch die kritischen Reaktionen auf die Pläne einer Bundesdatenbank unter der Regierung Kiesinger73 zu beobachten gewesen; das – soweit ersichtlich – erste artikulierte parlamentarische Unwohlsein etwa stammt von dem SPD-Abgeordneten Hermann Schmitt-Vockenhausen am 19.3.196974. In der Wissenschaft wurde u.a. die Debatte aus den USA durch die Dissertation von Ruprecht Kamlah („Right of Privacy“, 1969) importiert75. Diskutiert wurden in Deutschland zunächst aber vornehmlich die Auswirkungen der Automation auf Arbeitsplätze76.

[34] Aber auch, wenn man eine wachsende Kontingenz annimmt, war ein derart frühes gesetzgeberisches Tätigwerden eher unwahrscheinlich. Denn es gibt eine Erfahrungsregel, nach der der Gesetzgeber vor allem reaktiv tätig wird77. Insoweit sind die deutschen Datenschutzgesetze aus den 1970er Jahren eine Ausnahme78. Die geschichtliche Situation war also jedenfalls vorläufig offen auch für eine Nicht-Regelung.

2 Unvermeidbarkeit datenschutzrechtlicher Regelungen

[35] Wenn man nun den Erlass der Datenschutzgesetze der ersten Generation hinwegdenkt, hätte dies aber nicht eine datenschutzlose Gegenwart und Zukunft zur Folge gehabt. Denn eine Informationsgesellschaft im Rechtstaat kommt nicht ohne informationsrechtliche Regelungen aus79. Es hätte also früher oder später eine Regelung gegeben. Möglicherweise wäre das Volkszählungsurteil von 1983 dann der Anlass für eine Regelung gewesen.

[36] Allerdings wären bis dahin unter Umständen die Pläne zu einer Bundesdatenbank weiterverfolgt worden. Sie hätte den Gedanken der Planbarkeit von gesellschaftlichen Entwicklungen verstärkt und hierfür auch die Zusammenarbeit von Staat und Wirtschaft. Unsicher ist allerdings die korrigierende und bremsende Wirkung der Diktaturerfahrung in Deutschland in Bezug auf Verdatungen, sowohl mit Rückblick auf die nationalsozialistische Zeit wie auch auf den damaligen Parallelstaat, der DDR.

II Hessisches Datenschutzgesetz

[37] Das hessische Datenschutzgesetz von 1970 wird in zweierlei Hinsicht für bedeutsam gehalten: Zum einen prägte es den Begriff des „Datenschutzes“ (1.), und zum anderen institutionalisierte es dieses Thema in der Person des Datenschutzbeauftragten (2.).

1 Missverständlicher Begriff „Datenschutz“

[38] Das hessische Gesetz von 1970 führte den Namen „Datenschutzgesetz“ ein. Dieser Begriff ist durchaus missverständlich, da es bekanntermaßen nicht um den Schutz von Daten, sondern um den von Menschen geht. Hinsichtlich der Betitelung des Gesetzes und – was damals aber noch nicht absehbar war – hinsichtlich der Namensgebung eines Rechtsgebiets bestand große Kontingenz. Dies zeigt auch der Blick auf das fast zeitgleich erlassene, inhaltlich vergleichbare, aber weniger plastisch benannte bayerische „EDV-Gesetz“80.

[39] Dass sich eine alternative Bezeichnung zu „Datenschutz“ hätte durchsetzen können, erscheint angesichts der Missverständlichkeit des Begriffs plausibel, angesichts fehlender begrifflicher Alternativen aber nicht übermäßig wahrscheinlich. Dass der Begriff „Datenschutz“ in viele andere Sprachen und Rechtsordnungen übernommen worden ist81, muss allerdings als eine außergewöhnliche Entwicklung angesehen werden.

2 Institutionalisierung

[40] Die Etablierung der Einrichtung eines Amtes des Datenschutzbeauftragten kann zwar hinweggedacht werden, gleichwohl hatte sie nur geringe Kontingenz. Denn die Institutionalisierung von politischen Belangen stimmte mit dem Zeitgeist der Achtundsechziger überein, zumal im „roten“ Hessen, und war also zeitgemäß. Auch waren Beauftragte als Institution dem deutschen Recht nicht unbekannt gewesen82, so dass der hessische Gesetzgeber an eine bekannte Rechtsfigur anknüpfen konnte. Ferner ist bezeichnend, dass die im BDSG-E von 1973 ausdrücklich nicht vorgesehene Einführung eines Bundesdatenschutzbeauftragten83 im Gesetz von 1977 dann doch kam84, was dafür spricht, dass diese Art der Institutionalisierung in der Luft lag.

[41] Jedenfalls aber war die Einführung eines „Datenschutzbeauftragten“ für den (zunächst noch kaum vorhersagbaren) Erfolg des Datenschutzrechts von großer Bedeutung. Hätte es diese Funktion nicht gegeben, wäre der wissenschaftlich und politisch so wirksame Spiros Simitis nur ein „Professor aus Frankfurt“ geblieben. Und vor allem wäre es wahrscheinlich im BDSG von 1977 nicht zu der breiten institutionellen Verankerung des Rechtsgebiets durch die begrifflich deutlich angelehnten betrieblichen und behördlichen Datenschutzbeauftragten gekommen, die wiederum über ihre Berufsverbände (GDD, BvD) seitdem starken Einfluss auf die Datenschutzgesetzgebung nehmen. Insoweit führte die Institution des Datenschutzbeauftragten zu einem sich selbst verstärkenden Effekt.

III BDSG

[42] Das hessische Datenschutzgesetz war eine Initialzündung für das Datenschutzrecht, die aber auch rasch hätte verglühen können, wenn der Impuls auf der Bundesebene nicht aufgenommen worden wäre.

1 Zufälligkeiten im Gesetzgebungsverfahren

[43] Hinsichtlich des Zeitpunkts eines Datenschutzgesetzes auf Bundesebene bestand allerdings durchaus eine gewisse Kontingenz. Das Thema lag politisch schon länger in der Luft, und in Hessen und Rheinland-Pfalz gab es schon vorbildgebende Regelungen.

[44] Auch hatten auf der Bundesebene ministerielle Vorarbeiten zu einem BDSG schon im Frühjahr 196985 begonnen; etwas später, am 7.1.1970, erschien ein (Vor-)Entwurf für ein Datenüberwachungsgesetz eines interparlamentarischen Ausschusses (IPA)86. Der erste Entwurf eines BDSG vom 2.12.197087 fiel dann aber der Diskontinuität des 6. Deutschen Bundestages nach dem (gescheiterten) Misstrauensvotum gegen Willy Brandt und der späteren Vertrauensfrage und somit dem Zufall zu Opfer. In der anschließenden Legislaturperiode wurde das Vorhaben aber erneut aufgegriffen und dann auch im Bundestag verabschiedet88, wäre aber u.U. im Bundesrat gescheitert89.

[45] Wenn 1977 kein BDSG ergangen wäre, spricht doch viel dafür, dass spätestens in der Folge des Volkszählungs-Urteils ein entsprechendes Gesetz zustande gekommen wäre. Nicht nur standen die politischen Zeichen allgemein auf „Datenschutzgesetz“, wie ja schon der an einer externen Ursache gescheiterte Anlauf in der 6. Legislaturperiode zeigt. Sondern auch die Tatsache, dass das BDSG dem Bund die Gelegenheit gab, in den Gesetzgebungskompetenzbereich der Länder überzugreifen (heute § 1 Abs. 2 Nr. 2 BDSG), stellt das Gesetzesvorhaben in eine Reihe ähnlicher Strategien des Bundes in anderen Politikbereichen und über alle Jahrzehnte hinweg und erscheint deshalb folgerichtig.

2 Regelungsbereich

[46] Durchaus offen war aber, in welchem Umfang der nicht-öffentliche Bereich dem BDSG unterfallen würde. Denn die (zunächst) nur sektorielle Aufnahme auch des nicht-öffentlichen Sektors in das Gesetz war nicht zwingend: Datenskandale durch Unternehmen hatte es nicht gegeben; auch hatte der Bund keine dezidierte Gesetzgebungskompetenz für Datenschutz in der Wirtschaft90. Die vorbildgebenden Regelungen aus Hessen (und Rheinland-Pfalz) galten der Kompetenzordnung entsprechend nur für den Staat, ebenso der U.S. Privacy Act v. 1974.

[47] Insoweit sind die Regelungsbereiche im nicht-öffentlichen Bereich im BDSG 1977 auch das in gewissem Umfang zufällige Ergebnis von erfolgreicher und von unterlassener Lobbyarbeit. Dass die Presse und die Medien nicht erfasst wurden, hat sicherlich mit der Scheu vor einer publizistischen Antwort der Medien zu tun gehabt. Für das Arbeitsrecht, für das ausführliche Regelungen im BDSG bis heute fehlen, lässt sich immerhin nachweisen, dass der DGB in den Anhörungen zum BDSG 1977 wenig engagiert und in den Debatten kaum präsent war91. Allerdings entspricht die gesetzgeberische Enthaltsamkeit in der Frage auch weiten Teilen des sonstigen Arbeitsrechts.

[48] Insgesamt muss man davon ausgehen, dass die Regelungsbereiche keiner großen Alternativität unterlagen, jedenfalls nicht auf längere Sicht. Wie man zuletzt 2009 hinsichtlich des Arbeitnehmerdatenschutzrechts gesehen hatte, geben „Skandale“ für alle Bereiche, die regelungsrelevant sind, irgendwann auch einen politischen Regelungsanlass.

3 Regelungstechnik

[49] Hinsichtlich der Regelungstechnik konnte das (noch neue) Datenschutzrecht auf keine Vorbilder zurückgreifen. Es ist deshalb eine gewisse Zufälligkeit, dass man für das BDSG auf ein „einfaches kybernetisches Modell“92 zurückgriff, auch wenn die Kybernetik in den 1960er und 1970er Jahren ihre Hochzeit bereits gehabt hatte. Auch das Verbotsprinzip ist als defensive Regelung in einem neuen Risikobereich durchaus plausibel, für den nicht-öffentlichen Bereich als strukturell freiheitsfeindlich allerdings jedenfalls nicht der Regelfall.

[50] Darüber, ob andere Regelungsmodelle, die also durchaus denkbar wären, sich auf Dauer hätten durchsetzen können, kann durchaus spekuliert werden. Denn das Volkszählungsurteil hat die im BDSG zunächst nur einfachgesetzlich niedergelegten Strukturelemente aufgenommen, dann diese aber deutlich verstärkte, indem es ihnen quasi verfassungsgerichtliche Weihen verlieh. Es scheint deshalb nicht unplausibel, dass eine rechtstechnische Alternativkonstruktion des BDSG eine Zukunft gehabt hätte.

IV Volkszählungsurteil

[51] Wie damit schon angedeutet, ist das Volkszählungsurteil von Ende 1983 von großer, nicht zu überschätzender Bedeutung für das Datenschutzrecht gewesen, das mit dem „Recht auf informationelle Selbstbestimmung“ dem Rechtsgebiet ein maßgeschneidertes Grundrecht gab. Hinsichtlich des Volkszählungsurteils vom 15. Dezember 1983 stellt sich deutlich die Frage, ob dieses Ereignis hinweggedacht werden kann und was dann darauf gefolgt wäre. – Das Urteil kann kontrafaktisch in dreierlei Hinsicht betrachtet werden: hinsichtlich des Ob (1.), des Zeitpunkts (2.) und des Inhalts (3.).

1 Unvermeidlichkeit einer Verfassungsgerichtsentscheidung

[52] Die allgemeine öffentliche Erregung um die Volkszählung beruhte auf einer verbreiteten Staatsskepsis in der Zeit und gegenüber der abgehoben technokratischen Attitüde in Staat und Verwaltung. Sie äußerte sich publizistisch, politisch im Erstarken der Grünen, teilweise auch in zivilem Ungehorsam und natürlich auch rechtlich. Die Verfassungsbeschwerden gegen das Volkszählungsgesetz waren deshalb nicht nur nicht außergewöhnlich, sondern geradezu zwangsläufig. Und weil Gerichte entscheiden müssen, wenn sie (zulässigermaßen) angerufen werden, musste zu den mit der Volkszählung aufgeworfenen Fragen entschieden werden93.

2 Verkündung 1983 oder 1984

[53] Während es zum Ob der Entscheidung über die Volkszählung keine (geschichtlich plausible) Alternative gab, ist das Datum der Entscheidung durchaus variabel gewesen. Innerhalb sehr weiter Grenzen entscheidet das Gericht terminlich über (mündliche) Verhandlung und Verkündung der Entscheidung. Wenngleich es allgemein auf das Datum nicht ankommt, war es im Volkszählungsverfahren sicherlich nicht ohne Belang, ob ein Urteil im Jahr 1983 oder erst im Folgejahr ergeht.

[54] Während die Kontingenz in diesem Falle durchaus hoch gewesen ist, würden sich juristisch hieraus kaum Varianzen ergeben. Publizistisch wären die Wellen wahrscheinlich noch um einiges höher geschlagen, nach einiger Zeit aber auch verebbt. Auch war in der vorangegangenen Debatte hinreichend oft und deutlich auf Orwells „1984“ Bezug genommen worden94.

3 Bendas Ehrgeiz und Steinmüllers Beitrag

[55] Eine hypothetische Verzweigung im Verlauf der Datenschutzgeschichte kann sinnvollerweise nicht hinsichtlich des Ob der Volkszählungs-Entscheidung gesetzt werden und wohl auch nicht hinsichtlich des Wann, sondern nur hinsichtlich des Wie.

a Ausnahmsweise Schaffung eines neuen Grundrechts

[56] Die Schaffung eines neuen Grundrechts wie das des „Rechts auf informationelle Selbstbestimmung“ war (noch) ungewöhnlich und deshalb ein echter Paukenschlag. Die Überraschung der Zeitgenossen ist ein sehr starkes Indiz dafür, dass das Gericht auch anders hätte entscheiden können. Das betrifft beim Volkszählungsurteil sicherlich weniger den eigentlichen Entscheidungsinhalt, der Einzelvorschriften des Volkszählungsgesetzes durchaus sehr differenziert beurteilt. Es geht darum, ob es denkbar gewesen wäre, dass das Bundesverfassungsgericht ein „normales“ Urteil in dieser Sache gefällt hätte.

[57] Hierfür spricht vor allem, dass das Gericht in der Vergangenheit (und auch dann in der Folge) rechtlich und politisch hochumstrittene Sachverhalte auf dem Boden der überkommenen juristischen Dogmatik und Denkfiguren gelöst hat. Dies wäre 1983 auch möglich gewesen, etwa indem man objektive Gehalte und Schutzpflichten des Allgemeinen Persönlichkeitsrechts (Art. 2 Abs. 1 GG) herangezogen hätte. Inhaltlich und im Ergebnis hätte so die tatsächlich ergangene Entscheidung ebenfalls begründet, aber auf den Paukenschlag eines neuen Grundrechts verzichten werden können. So kann man durchaus eine starke Kausalität des scheidenden Verfassungsgerichtspräsidenten Benda sehen, der sich vielleicht mit dieser „Abschiedsentscheidung“ ein Denkmal hatte setzen wollen, so dass er hierfür im Gericht für die Übernahme des hochgradig theoretisierten Konzepts von Steinmüller warb, der zudem einer der Prozessbevollmächtigten in dem Verfahren war.

b Hohe Alternativität

[58] Und nicht nur kann das Schaffen des informationellen Selbstbestimmungsrechts mit einer gewissen Plausibilität hinweggedacht werden, sondern es hatte auch enorme Folgewirkungen. Hier haben wir einen Punkt, in dem die Geschichte höchstwahrscheinlich anders verlaufen wäre.

[59] Zum einen führte das Volkszählungsurteil mit seinen Postulaten eines (grundrechtlichen) Gesetzesvorbehalts und der daraus folgenden Pflicht zur Schaffung normklarer bereichsspezifischer Regelungen zu einer (in der Folge vielbeklagten) Normenflut im Fachrecht.

[60] Auch für die Dogmatik des zu dem Zeitpunkt ja schon bestehenden deutschen Datenschutzrechts war die Entscheidung prägend, so etwa hinsichtlich des engen Verständnisses der Zweckbindung95.

[61] Schließlich darf die Breitenwirkung der Entscheidung nicht unterschätzt werden. „Datenschutz“ ist nicht nur eine oft und gerne unreflektiert verwendete Ausrede für Geheimhaltung. Gerade in der Breite der nicht (voll-)juristisch ausgebildeten betrieblichen und behördlichen Beauftragten für den Datenschutz wird das Volkszählungsurteil mit seinem neugeschaffenen Grundrecht einer heiligen Schrift gleich vor sich hergetragen96, obwohl es (unmittelbar) jedenfalls für die Datenverarbeitung im nicht-öffentlichen Bereich keine Aussage enthält97.

[62] Dass sich das noch junge Rechtsgebiet des Datenschutzrechts ohne das Volkszählungsurteil anders entwickelt hätte, es möglicherweise in einer anderen Konzeption des Privatsphärenschutzes aufgegangen wäre, zeigt einmal der Blick auf andere Rechtsordnungen, die solche gesamthaften, umfassenden und verfassungsunmittelbaren Datenschutzkonzeptionen nicht kennen. Auch war von Zeitgenossen zu Beginn der achtziger Jahre und um die Verfassungsgerichtsentscheidung herum eine Krise des damals gerade erst etablierten Konzepts des Datenschutzes konstatiert worden98, das dann erst durch die Volkszählungsentscheidung eine Stabilisierung erfuhr.

V Das Modernisierungsgutachten

[63] Über die Reform des Datenschutzrechts wird schon lange, wahrscheinlich seit der Volkszählungsentscheidung gesprochen. Unter der rot-grünen Bundesregierung schien eine Reform auch politisch möglich. Insbesondere das sogenannte „Modernisierungs-Gutachten“ von Roßnagel, Garstka und Pfitzmann wird oft als eine „verpasste Chance“ angesehen. Denn dieses als grundlegend geplante Gutachten wurde kurz vor den Terroranschlägen vom 11.9.2001 übergeben, verpuffte dann aber in der anschließenden Sicherheitsdebatte und blieb gesetzgeberisch folgenlos.

1 Kein Datenschutzklima

[64] Der Zufall der zeitlichen unmittelbaren Nachbarschaft von Datenschutzgutachten und der sich am 11. September 2001 entzündenden Sicherheitsdebatte wirft die Frage auf, ob die Anschläge von New York auch die Datenschutzmodernisierung haben zusammensinken lassen.

[65] Allerdings herrschte zu der Zeit ohnehin kein Datenschutzreform-Klima. Der Gesetzgeber hatte das Thema nach der etwas mühsamen und jedenfalls freudlosen Geburt der BDSG-Novellierung von Mai 2001 zunächst beiseitegelegt. Allerdings spricht es an sich für eine gewisse Kontingenz, dass verbreitet Rechtsänderungen für wünschenswert gehalten wurden.

2 Keine große Alternativität

[66] Vor allem aber war der Rahmen für grundlegende Reformen enger, als man dies damals dachte. Während das Modernisierungsgutachten noch davon ausging, dass eine „Öffnung nach oben“, also über das Niveau der Richtlinie hinausgehende Regelungen, möglich wäre99, geht der EuGH von einer „grundsätzlich umfassenden Harmonisierung“ aus100, verbietet also im Interesse des Binnenmarktes auch ein Hinausgehen über die Vorgaben der EG-Datenschutzrichtlinie. Einen allerdings alternativen Verlauf hätte das Gutachten dann haben können, wenn es nicht dem Bundesinnenminister erstattet worden wäre, sondern der Europäischen Kommission.

VI Das „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“

[67] Neben dem „Recht auf informationelle Selbstbestimmung“ ist im Bereich des Datenschutzrechts 2008 noch das „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“, abgekürzt als GRaGVIiS und kurz auch Computer-Grundrecht genannt, kreiert worden101.

1 Erwartbare Entscheidung in ungewöhnlicher Form

[68] Das Bundesverfassungsgericht ist – schon aus Gewaltenteilungsgründen – zurückhaltend mit der Schaffung neuer Grundrechte. Die Schaffung eines neuen Grundrechts ist deshalb stets eine Überraschung; die justizpolitischen Erfahrungswerte sprechen also eher dafür, dass der vom Grundgesetz vorgegebene Bestand an Grundrechten nicht erweitert wird. Dies gilt auch für das Datenschutzrecht, dem die „Ehre“ eines verfassungsgerichtlich geschöpften Grundrechts nach dem „Recht auf informationelle Selbstbestimmung“ nun schon ein zweites Mal zuteil geworden ist.

[69] Überhaupt gibt es (jedenfalls entfernte) Parallelen von Volkszählungsurteil und Online-Durchsuchungs-Entscheidung. Denn die Frage um den „Bundes-Trojaner“ war wie die Volkszählung Gegenstand einer öffentlichen Debatte und Auslöser von Aktivistenaktivitäten. Eine weitere bemerkenswerte Parallele ist, dass die Diskussion um die Volkszählung mit dem Aufstieg der Partei der Grünen einherging und die Auseinandersetzung um den Bundestrojaner und die Vorratsdatenspeicherung zu dem (vorläufigen) Aufstieg der Piratenpartei maßgeblich beigetragen hat. Unabhängig also, ob sich in der Kreation des GRaGVIiS Geschichte wiederholt hat und dann vielleicht als Farce102, ist die Schaffung von Grundrechten ungewöhnlich. Vor allem korreliert sie nicht mit der öffentlichen Erregung über ein Thema.

[70] Während also die Schaffung eines ausdrücklichen Grundrechts als wirkliche Ausnahme gelten muss, die Situation also eine große Kontingenz hin zum Nicht-Geschehenen hatte, ist die Entscheidung in der Sache nicht wirklich überraschend gewesen, hatte die Situation insoweit also eine geringe Offenheit. Das wird dadurch gestützt, dass das Bundesverfassungsgericht vergleichbare Konstellationen sonst durch bloße Auslegung des Grundgesetzes in den Griff bekommt, wie ein Blick auf die doch zahlreichen Entscheidungen des Gerichts zu Datenschutzsachverhalten zeigt103.

2 Erst zukünftige Alternativität

[71] Ob das GRaGVIiS für die rechtswissenschaftliche Dogmatik folgenreich sein wird, ist noch nicht absehbar104 und wird erst von zukünftigen Uchronisten untersucht werden können.

VII Das Urteil des EuGH zur „völligen Unabhängigkeit“ der Datenschutzaufsicht

[72] Am 9.3.2010 hat der EuGH in einem Urteil festgestellt, dass die Datenschutzaufsichtsbehörden für den nicht-öffentlichen Bereich gemäß Art. 28 Abs. 1 UAbs. 1 EG-Datenschutzrichtlinie 95/46/EG „völlig unabhängig“ sein müssen, was eine Fach- und Rechtsaufsicht ausschlösse.

1 Regierungsamtliche Überraschung in Deutschland

[73] Dieses Urteil hat in Deutschland viele überrascht und führt zu erheblichen Spannungen im Verwaltungsorganisationsrecht und mit dem Demokratieprinzip105. Vor allem hatte man von deutscher (Regierungs-)Seite auf Protokollerklärungen aus der Entstehungszeit der Richtlinie vertraut. Auch hatte der üblicherweise hinsichtlich der Gerichtsentscheidungen maßgebliche Generalanwalt die Sichtweise der Bundesrepublik Deutschland geteilt106. Angesichts des Wortlauts der Richtlinie („völlige Unabhängigkeit“) konnte die Entscheidung aber keine völlige Überraschung sein. Wenn man dann noch die europäische Integrationslogik und das Selbstverständnis des Europäischen Gerichtshofs als das eines „Motors der Integration“ berücksichtigt, muss man insoweit zumindest von einer offenen Situation und jedenfalls mittlerer Kontingenz ausgehen.

2 Europäische Integrationslogik

[74] Obgleich die Entscheidung hier viele überrascht hat, bestand und besteht bei der Frage der Unabhängigkeit der Datenschutzaufsicht nur eine geringe Alternativität. Auch wenn das EuGH-Urteil an dieser Stelle so nicht ergangen wäre, ist doch ein allgemeiner Trend zu einer Europäisierung der Verwaltung zu beachten. Auch und gerade weil eine entsprechende Verwaltungskompetenz der EU fehlt, ist sie (als Institution und Gesetzgeber) in vielen Bereichen bemüht, Einfluss auf die Tätigkeit der Verwaltungen der Mitgliedstaaten zu nehmen (z.B. Telekommunikationsbereich, Stoff- bzw. Chemikalienrecht). So wäre das Datenschutzrecht wegen der Besonderheiten der Datenschutzaufsichtsstruktur mit der weitgehenden fachlichen Unabhängigkeit der Datenschutzbeauftragten wohl ohnehin bei einer späteren Gelegenheit Ansatzpunkt für den Versuch der Europäischen Kommission gewesen, diesen Teil der mitgliedstaatlichen Verwaltung mittels der vorgeschlagenen Datenschutz-Grundverordnung zu „europäisieren“.

[75] Jenseits des Rechtlich-Dogmatischen ist die unmittelbare Auswirkung der Entscheidung auf die praktische Situation der Aufsichtsbehörden beschränkt, da sie auch bislang nicht am Gängelband von vorgesetzten Behörden gingen.

VIII Zusammenfassung der Weggabeln

[76] Persönlichkeitsrechtsschützende Regelungen des Daten- und Informationsrechts hätte es mit Blick auf das beginnende Informationszeitalter so oder so gegeben.

[77] Die ersten Datenschutzgesetze – das hessische mehr als das BDSG – waren Produkte des Zufalls. Der Zufall wirkte aber wohl nur im Sinne einer zeitlichen Verschiebung nach vorn, weil vergleichbare Regelungen wohl spätestens als Reaktion auf das Volkszählungsurteil ohnehin gekommen wären.

[78] Das Volkszählungsurteil mit der Schaffung des „Rechts auf informationelle Selbstbestimmung“ war hochgradig zufällig und in seinen Auswirkungen hochgradig kausal für die weitere und spezifisch deutsche Entwicklung mit dem ausgeprägten bereichsspezifischen Datenschutzrecht. Es ist die wichtigste Weggabel des Datenschutzrechts.

[79] Die nicht stattgefundenen und die (nur) halbherzigen Reformen haben angesichts der Vorgaben des Europarechts keine relevante Alternativität. Das „Modernisierungsgutachten“ von 2001 wäre voraussichtlich ohnehin folgenlos geblieben.

[80] Die Auswirkungen des IT-Grundrechts kann geschichtswissenschaftlich noch nicht beurteilt werden, da es noch zu neu und zu wenig folgenreich ist. Überlegungen hierzu sind nicht Alternativgeschichte, sondern prospektive Urteilsfolgenabschätzung.

[81] Die „völlige Unabhängigkeitserklärung“ der Datenschutzkontrollstellen war weder überraschend noch wäre die Entwicklung hin zu einer europäisierten Verwaltung grundsätzlich anders verlaufen.

D Verzweigungen der Verzweigungen

[82] Während so mit den Mitteln der Uchronie gewichtige Ursachen in der Geschichte des Datenschutzrechts von den weniger gewichtigen unterschieden werden können, betritt man den Bereich der Spekulation, wenn man über die Auswirkung von hypothetischen Verzweigungen auf eine zeitlich folgende Bifurkation nachdenkt:

[83] Angesichts der Vorarbeiten auf Bundesebene war das hessische Datenschutzgesetz an sich kein geschichtliches Ereignis von besonderer Kausalität. Wahrscheinlich wäre dann eine ähnliche Entwicklung von der Bundesebene ausgegangen. Da die Vorarbeiten im Bundesinnenministerium schon Ende der sechziger Jahre begonnen hatte, war das hessische Gesetz jedenfalls nicht initial.

[84] Ohne die mit dem hessischen Gesetz von 1970 eingeführte Begrifflichkeit vom „Datenschutz“ hätte es in der Folge keine so benannten Datenschutzgesetze gegeben. Damit hätte auch der Auseinandersetzung um die Volkszählung ein wichtiger politischer Begriff gefehlt, der freilich durch einen anderen („Verdatung“, „maschinenlesbarer Mensch“, „EDV-Schutz“) hätte ersetzt werden können.

[85] Wichtiger scheinen die Folgewirkungen des hessischen Datenschutzgesetzes, die die Institutionalisierung von Datenschutzbeauftragten hatte. Nicht nur war dadurch eine „Lobby“ im öffentlichen Bereich eingerichtet worden. Vor allem bekam die in der Folge so einflussreiche Figur von Spiros Simitis eine Plattform für seine politische Wirksamkeit, die er als „bloßer Wissenschaftler“ nicht erhalten hätte.

[86] Ob das Volkszählungsurteil ohne bereits bestehende Datenschutzgesetze anders ergangen wäre, ist hochspekulativ, wahrscheinlich aber zu verneinen. Der Rückbezug in der Urteilsbegründung auf Regelungen des BDSG ist vereinzelt und – verfassungsdogmatisch auch zu Recht – nicht entscheidend. Allerdings haben das BDSG und das Volkszählungsurteil in dem Gutachten von Steinmüller107 von 1971 eine gemeinsame Wurzel.

[87] Dass es ohne ein Datenschutzgesetz keine hierauf bezogene Modernisierungsdebatte gegeben hätte, ist offensichtlich. Dass die Folgewirkungen des Volkszählungsurteils auf die Gestalt des BDSG 1990 groß waren und ihrerseits Modernisierungsbedarf auslösten, ist jedenfalls plausibel. Angesichts der seit 1995 bestehenden europarechtlichen Vorgaben ist allerdings der Modernisierungsspielraum beschränkt, wobei man die Vorbildwirkung des deutschen Datenschutzrechts für die EG-Datenschutzrichtlinie nicht unterschätzen darf.

[88] Zusammenfassend kann gesagt werden, dass das deutsche Datenschutzrecht also nur dann grundlegend anders aussehen würde, wenn sowohl das hessische Datenschutzgesetz als auch das Volkszählungsurteil hinweggedacht würden.

Fußnoten

1 Geringfügig überarbeiteter und ergänzter Text des Impulsreferats v. 15.2.2013.

2 Bekannt sind die Verdikte von E.H. Carr („parlour game“; „red herring“) und E.P. Thompson („Geschichtswissenschlopf“, „unhistorical shit“), zit. nach Ferguson, Introduction, in: ders., Virtual History, 2008 (Tb.), S. 1, 2f. m.w.N.; ähnlich Carrère, Kleopatras Nase, 1993, S. 121 („Geistesspiel“).

3 Begriff geht auf Charles Renouvier („Uchronie“, 1857) zurück.

4 Nach Alexander Demandt, Ungeschehene Geschichte, 1. Aufl. 1986.

5 Vgl. Ferguson (Hrsg.), Virtual History, 2008 (Tb.).

6 Die Internet-Seite www.uchronia.net enthält eine Bibliographie von 3.100 Werken dieses Genres. Eine Kurzbibliographie findet sich im Anhang bei Carrère, Kleopatras Nase, 1993, S. 140–142, vgl. auch S. 9 m.w.N.

7 Technikgeschichtlich in einer gewissen Nähe steht die kontrafaktische Untersuchung der optischen Nachrichtenübertragung unter der Annahme, dass die elektrische nicht aufgekommen wäre, von Alexander J. Field, French Optical Telegraphy, 1793–1855: Hardware, Software, Administration, Technology and Culture 35 (1994), S. 315–347.

8 Wenzlhuemer, in: Historical Social Research/Historische Sozialforschung, 34 (2009), Nr. 2, S. 27, 41f.

9 Nach Ferguson, Introduction, in: ders., Virtual History, 2008 (Tb.), S. 1, 2.

10 Vgl. Carrère, Kleopatras Nase, 1993, S. 33f., mit einem Beispiel aus dem stalinistischen Russland.

11 Kritisch zu deren Existenz Carrère, Kleopatras Nase, 1993, S. 84, 121.

12 Demandt, Ungeschehene Geschichte, 3. Aufl. 2001, S. 51: „notwendige Folie, vor der wir die Bedeutung des wirklich Geschehenen erst erkennen“.

13 Statt aller Wenzlhuemer, in: Historical Social Research/Historische Sozialforschung, 34 (2009), Nr. 2, S. 27, 39 et pass.

14 Wenzlhuemer, in: Historical Social Research/Historische Sozialforschung, 34 (2009), Nr. 2, S. 27, 31.

15 Wenzlhuemer, in: Historical Social Research/Historische Sozialforschung, 34 (2009), Nr. 2, S. 27, 39.

16 Schiel, Viator (Multilingual) 41 (2010), S. 211, 214, mit Bezug auf Begrifflichkeiten der Chaostheorie (a.a.O., S. 213).

17 Vgl. ausdrücklich zur Zeitgeschichte und ebenfalls mit Bezug zum Datenschutzrecht Kaiser, Die Kommunikation der Verwaltung, 2009, S. 25.

18 Schiel, Viator (Multilingual) 41 (2010), S. 211, 213.

19 Schiel, Viator (Multilingual) 41 (2010), S. 211, 213, mit Verweis auf Erkenntnisse der Chaostheorie.

20 Demandt, Ungeschehene Geschichte, 3. Aufl. 2001, S. 152ff. (Nr. 6.6).

21 Vgl. Tetlock/Belkin, in: dies., Counterfactual Thought Experiments, 1996, S. 1, 7–17, allerdings aus der Perspektive der Geopolitik.

22 Bunzl, American History Review 109 (2004), S. 845, 852.

23 Für das BDSG (von 1977) ist deswegen eine halb-soziologische, halb-juristische Studie wie die von Liedtke („Das Bundesdatenschutzgesetz“, 1980) von großem Wert.

24 Paradigmatisches Beispiel für geschichtswissenschaftliches Analogiedenken ist Spenglers „Untergang des Abendlandes“ (1918/1922).

25 Bunzl, American History Review 109 (2004), S. 845, 851.

26 Demandt, Ungeschehene Geschichte, 3. Aufl. 2001, S. 149 (Nr. 6.5).

27 Bunzl, American History Review 109 (2004), S. 845, 849.

28 Hier ist aber u.U. auf geopolitische Erkenntnisse Rücksicht zu nehmen, wie die, dass es ein „American Computing“ gebe (vgl. Friedman, The Next 100 Years, 2010 (Tb.), S. 61 ff., der ausdrücklich von einem „American Computing“ (a.a.O. S. 62) spricht, das in besonderer Weise auf Pragmatismus beruhe), was bei dem (Rechts-)Vergleich mit den USA zu berücksichtigen wäre.

29 Zu Unterscheidung von Rechtsfolgen und Realfolgen s. die gleichnamige Schrift von Lübbe-Wolff aus dem Jahre 1981.

30 So Grimm, Gewaltengefüge, Konfliktpotential und Reichsgericht in der Paulskirchen-Verfassung, in: Müßig, Konstitutionalismus und Verfassungskonflikt, 2006, S. 257, 257, wenn auch nur in Andeutungen und in einem konkreten Kontext.

31 Vgl. speziell zum Datenschutzrecht Liedtke, Das Bundesdatenschutzgesetz, 1980, S. 36; allgemein Fassbender, in: Isensee/P. Kirchhof, Handbuch des Staatsrechts, Bd. 4, 3. Aufl. 2006, § 76 Rn. 118; Horn, in: Isensee/P. Kirchhof, Handbuch des Staatsrechts, Bd. 3, 3. Aufl. 2004, § 41; aus politikwissenschaftlicher Perspektive v. Winter, ZParl 2004, S. 761ff.

32 Hier hat zuletzt der Ansatz von Nate Silver (The Signal and the Noise: Why So Many Predications Fail – but Some Don’t, 2012; s.a. F.A.Z. v. 9.11.2012, S. 31), der die US-amerikanischen Präsidentschaftswahlen von 2008 und 2012 recht genau vorhergesagt hat, und dabei die Dynamik der betrachteten Systeme miteinbezog, für Aufsehen gesorgt.

33 Ausdrücklich Tetlock/Belkin (Hrsg.), Counterfactual Thought Experiments in World Politics, 1996; vgl. Friedman, The Next 100 Years, 2009 (Tb. 2010).

34 Dazu Böhret/Konzendorf, Handbuch Gesetzesfolgenabschätzung (GFA), 2001, S. 15f., 40ff., 95 (Planspiele).

35 Böhret/Konzendorf, Handbuch Gesetzesfolgenabschätzung (GFA), 2001, S. 17.

36 Böhret/Konzendorf, Handbuch Gesetzesfolgenabschätzung (GFA), 2001, S. 21.

37 Böhret/Konzendorf, Handbuch Gesetzesfolgenabschätzung (GFA), 2001, S. 255ff.

38 BGHSt 1, S. 332 (Ls. 1); BGHSt 49, S. 1, 3; Roxin, Strafrecht Allgemeiner Teil, Bd. 1, 4. Aufl. 2006, § 11 A Rn. 6; Frister, Strafrecht Allgemeiner Teil, 3. Aufl. 2008, Kap. 9. Rn 5.

39 Methodischer Grundriss bei Bunzl, American History Review 109 (2004), S. 845–858.

40 Bunzl, American History Review 109 (2004), S. 845, 857.

41 Carrère, Kleopatras Nase, 1993, S. 83f.; Bunzl, American History Review 109 (2004), S. 845, 848.

42 Wenzlhuemer, in: Historical Social Research/Historische Sozialforschung, 34 (2009), Nr. 2, S. 27, 28.

43 Vgl. Böhret/Konzendorf, Handbuch Gesetzesfolgenabschätzung (GFA), 2001, S. 257.

44 Zu der fehlgehenden zeitlichen Bezugnahme in dieser Norm Schoch, IFG, 1. Aufl. 2009, § 14 IFG Rn. 1; Kloepfer/v. Lewinski, DVBl. 2005, S. 1277, 1287f.

45 Ferguson, Introduction, in: ders., Virtual History, 2008 (Tb.), S. 1, 86; kritisch Wenzlhuemer, in: Historical Social Research/Historische Sozialforschung, 34 (2009), Nr. 2, S. 27, 35 u. 40, vgl. aber S. 43.

46 Begriff von Ferguson, Introduction, in: ders., Virtual History, 2008 (Tb.), S. 1, 68: „Garden of Forking Paths“.

47 Wenzlhuemer, in: Historical Social Research/Historische Sozialforschung, 34 (2009), Nr. 2, S. 27, 35ff., verwendet ausdrücklich diesen deutschen Ausdruck.

48 So etwa (für die Geopolitik) von Tetlock und Belkin (in: dies., Counterfactual Thought Experiments, 1996, S. 1, 16–31): Clarity, Logical Consistency/Cotenablility, Historical Consistency (Minimal-Rewrite Rule), Theoretical Consistency, Statistical Consistency, Projectability.

49 Ferguson, Introduction, in: ders., Virtual History, 2008 (Tb.), S. 1, 85.

50 Demandt, Ungeschehene Geschichte, 3. Aufl. 2001, S. 148f. (Nr. 6.4): „Modell des Fließgleichgewichts“.

51 Vgl. Demandt, Ungeschehene Geschichte, 3. Aufl. 2001, S. 152 (Nr. 6.54).

52 Vgl. Demandt, Ungeschehene Geschichte, 3. Aufl. 2001, S. 130.

53 Carrère, Kleopatras Nase, 1993, S. 87.

54 Vgl. insb. die Hegel’sche Geschichtsauffassung, wonach sich die Menschheit zu immer größerer Selbsterkenntnis und -entfaltung hinbewege.

55 Demandt, Ungeschehene Geschichte, 3. Aufl. 2001, S. 161 (Nr. 6.9).

56 In einem geopolitischen Kontext Tetlock/Belkin, in: dies., Counterfactual Thought Experiments, 1996, S. 1, 23–25 („Historical Consistency”, „Minimal-Rewrite Rule”).

57 Zurückgehend auf Blaise Pascal (1623–1662) Pensées (dt.: Gedanken) 1670, Fragment Nr. 162 (Ed. Brunschvicg): „Qui voudra connaître à plein la vanité de l’homme n’a qu’à considérer les causes et les effets de l’amour. La cause en est un Je ne sais quoi. Corneille. Et les effets en sont effroyables. Ce Je ne sais quoi, qu’on ne peut si peu de chose qu’on ne peut le reconnaître remue toute la terre, les princes, les armées, le monde entier. – Le nez de Cléopâtre s’il eût été plus court toute la face de la terre aurait changé.“; vgl. auch den deutschen Titel von Carrère, Kleopatras Nase, 1993, der allerdings im französischen Original „Le Détroit de Bering“ („Beringstraße“) heißt (zur Titelfindung vgl. Carrère, Kleopatras Nase, 1993, S. 133ff., aber auch S. 33f.).

58 In einem geopolitischen Kontext Tetlock/Belkin, in: dies., Counterfactual Thought Experiments, 1996, S. 1, 19–21 („Clarity“).

59 Tetlock/Belkin, in: dies., Counterfactual Thought Experiments, 1996, S. 1, 19.

60 Carrère, Kleopatras Nase, 1993, S. 83f.

61 Tetlock/Belkin, in: dies., Counterfactual Thought Experiments, 1996, S. 1, 32, mit Bezug auf psychologische und institutionenökonomische Erkenntnisse.

62 Wenzlhuemer, in: Historical Social Research/Historische Sozialforschung, 34 (2009), Nr. 2, S. 27, 48f.

63 Tetlock/Belkin, in: dies., Counterfactual Thought Experiments, 1996, S. 1, 35f.

64 Carrère, Kleopatras Nase, 1993, S. 5f., 56; zu ähnlichen Gefahren bei der (juristischen) Zeitgeschichte Kaiser, Die Kommunikation der Verwaltung, 2009, S. 37.

65 Bunzl, American History Review 109 (2004), S. 845, 848; Betonung der Bedeutung der Selbstdiskreditierung der Uchronie durch ihre Nähe zum (bloßen) geistreichen Gedankenspiel und zur Unterhaltungsliteratur (Ferguson, Introduction, in: ders., Virtual History, 2008 (Tb.), S. 1, 19f.).

66 Ferguson, Introduction, in: ders., Virtual History, 2008 (Tb.), S. 1, 68.

67 Wenzlhuemer, in: Historical Social Research/Historische Sozialforschung, 34 (2009), Nr. 2, S. 27, 40f.

68 Zusammenfassung der Kritik am Ansatz kontrafaktischer Geschichte bei Demandt, Ungeschehene Geschichte, 3. Aufl. 2001, S. 15–21, dort auch mit kurzer Widerlegung (a.a.O., S. 21f.).

69 Bunzl, American History Review 109 (2004), S. 845, 847.

70 Z.B. E.H. Carr, What is History?, 2. Aufl. 1987; anders Bunzl, American History Review 109 (2004), S. 845, 857.

71 S. nur BGHSt 2, S. 194, 200; Kühl, Strafrecht Allgemeiner Teil, 6. Aufl. 2008, § 10 Rn 3; jedenfalls als juristisches Dogma anerkennend Roxin, Strafrecht Allgemeiner Teil, Bd. 1, 4. Aufl. 2006, § 19 D Rn 37.

72 Vgl. zur Haltung der Bundesregierung hierzu BT-Drucks. 6/648, S. 21.

73 Dazu Kaiser, Die Kommunikation der Verwaltung, 2009, S. 174.

74 BT-StenBer. 5. Wahlperiode, 221. Sitzung, S. 11949(B)–11950(C); dazu Liedtke, Das Bundesdatenschutzgesetz, 1980, S. 112.

75 Büllesbach/Garstka, CR 2005, S. 720, 721.

76 Abriss bei Liedtke, Das Bundesdatenschutzgesetz, 1980, S. 81–88. – International hat es bereits Anfang der siebziger Jahre fast 6000 Schriften zur Datenverarbeitung gegeben (vgl. Schubert/Steinmüller, JUDAC [Jurisprudence – Data processing – Cybernetics | Recht – Datenverarbeitung – Kybernetik], 1971; vgl. Kaiser, Die Kommunikation der Verwaltung, 2009, S. 168 Fn. 7, die aber datenverarbeitungsrechtliches und datenschutzrechtliches Schrifttum insoweit nicht trennt).

77 Vgl. Noll, Gesetzgebungslehre, 1973, S. 72ff.; Kloepfer, Informationsrecht, 2002, § 1 Rn. 38.

78 Kaiser, Die Kommunikation der Verwaltung, 2009, S. 175 („Agenda Setting“).

79 Kloepfer, Informationsrecht, 2002, § 1 Rn. 38ff.; speziell zum Datenschutzrecht Liedtke, Das Bundesdatenschutzgesetz, 1980, S. 30ff.

80 Gesetz über die Organisation der elektronischen Datenverarbeitung im Freistaat Bayern v. 12.10.1970, bayGVBl. S. 457.

81 Büllesbach/Garstka, CR 2005, S. 720, 721.

82 v. Lewinski, in: Dix u.a., Jahrbuch Informationsrecht und der Informationsfreiheit 2011, 2012, S. 265, 266ff.; ausführlich Kruse, Der öffentlich-rechtliche Beauftragte, 2007, S. 165ff. m.w.N.; anders Kaiser, Die Kommunikation der Verwaltung, 2009, S. 191f.

83 BT-Drucks. 7/1027, S. 18.

84 Huller, in: Plath, BDSG, 2013, § 23 BDSG, Rn. 3.

85 Ruckriegel, ÖVD 12/1976, S. 350, 350; Auernhammer, BDSG, 1. Aufl. 1977, Einf. Rn. 13; Simitis, NJW 1977, S. 729, 729; Liedtke, Das Bundesdatenschutzgesetz, 1980, S. 112. – Bestätigt wird dies durch einen Verweis auf laufende Vorbereitungsarbeiten im Oktober 1970 (BT-Drucks. 6/1223, S. 3f.), die Vergabe von Gutachtenaufträgen an Steinmüller/Lutterbeck/Mallmann/Harbot/Kolb/Schneider (Grundfragen des Datenschutzes, 1971, BT-Drucks. 6/3826, S. 7ff.), Steinbruch/Wacker (Überlegungen zu technischen Möglichkeiten des Datenschutzes im Hinblick auf ein Bundesdatenschutzgesetz, 1972, BT-Drucks. 6/3826, S. 213ff.) und Kamlah (Datenschutz im Spiegel der anglo-amerikanischen Literatur, 1971, BT-Drucks. 6/3826, S. 195ff.), die zwischen Juli 1971 und Januar 1972 abgeliefert werden (Liedtke, Das Bundesdatenschutzgesetz, 1980, S. 122 Fn. 211).

86 Podlech, DVR 1973, Beiheft 1, S. 33.

87 BT-Drucks. 6/2885; dazu Liedtke, Das Bundesdatenschutzgesetz, 1980, S. 126f.

88 Referentenentwurf v. 1972, Alternativentwurf v. 1973, Regierungsentwurf v. 1973, Fassung des Innenausschusses v. 1976 mit erheblicher Verschärfung für den nicht-öffentlichen Bereich (vgl. BT-Drucks. 7/5277, S. 3; Liedtke, Das Bundesdatenschutzgesetz, 1980, S. 133), Gesetzesbeschluss des Bundestags v. 10.6.1976.

89 Die Verabschiedung am 12.11.1976 auf der Basis des im Vermittlungsausschuss gefundenen Kompromisses war fraglich, weil Niedersachsen und das Saarland von einer CDU/F.D.P.-Koalition regiert wurden. Die beiden Bundesländer stimmten im Bundesrat dann aber letztlich zu (Meister, BB 1976, S. 1584, 1584; ders., Datenschutz im Zivilrecht, 1. Aufl. 1977, S. I; Liedtke, Das Bundesdatenschutzgesetz, 1980, S. 138).

90 Der IPA-Entwurf (DVR 1973, Beiheft 1, S. 1, 1) schlug deshalb auch vor, eine entsprechende Rahmengesetzgebungskompetenz (Art. 75 GG a.F.) zu schaffen.

91 Liedtke, Das Bundesdatenschutzgesetz, 1980, S. 157–159.

92 Steinmüller/Lutterbeck/Mallmann/Harbot/Kolb/Schneider, Grundfragen des Datenschutzes, 1971 (BT-Drucks. 6/3826), S. 86, mit Bezug auf Herzog, StuR 1968, S. 781ff.

93 Zur Frage, warum nicht der Bundespräsident die Ausfertigung des Volkszählungsgesetzes verweigert hat, Epping, JZ 1991, S. 1102, 1109.

94 So auch noch Jahre später der Hinweis von Hoffmann-Riem, JZ 2008, S. 1009, 1009.

95 Eifert, in: FS 400 Jahre Universität Gießen, 2007, S. 139, 141, m. Verweis auf Scholz/Pitschas, AöR 110 (1984), S. 489, 506f., u. Bryde, VVDStRL 46 (1988), S. 181, 204f.

96 Vgl. Meister, DuD 1986, S. 173, 175: „Bergpredigt des Datenschutzrechts“.

97 Hierzu auch Zech, Information als Schutzgegenstand, 2012, S. 227.

98 Simitis, in: v. Schoeler (Hrsg.), Informationsgesellschaft oder Überwachungsstaat, 1986, S. 21, 22: „tiefste Krise“; noch früher Kloepfer, Datenschutz als Grundrecht, 1980, S. 15, s.a. S. 9; dazu Kaiser, Die Kommunikation der Verwaltung, 2009, S. 177.

99 Roßnagel/Pfitzmann/Garstka, Modernisierung des Datenschutzrechts, 2001, S. 56. – Hier hätte es sich wahrscheinlich gerächt, dass diese Einschätzung (ausweislich der Fußnoten auf S. 56) ausschließlich auf den weniger als Europarechtler denn als politisch denkenden Datenschützer hervorgetretenen Simitis gestützt wurde, während die den Verfassern insoweit nicht passende Auffassung des mit dem Europarecht besser vertrauten Brühann (a.a.O. S. 56f.) ohne inhaltliche Auseinandersetzung abgelehnt wurde.

100 EuGH, K&R 2012, S. 40, 42 – ASNEF u. FECEMD. – Die meisten Entscheidungen des EuGH betreffen freilich nicht ein Über-, sondern ein Unterschreiten der europäischen Vorgaben (vgl. EuGHE 2003-I, S. 12971ff. – Lindqvist; EuGHE 2010-I, S. 1885ff. – Unabhängigkeit der deutschen Datenschutzaufsicht; EuGH, Urt. v. 16.10.2012, Rs. 614/10 – Österreichische Datenschutzkommission).

101 BVerfGE 120, S. 274, 302ff. – Online-Durchsuchung.

102 Vgl. zu diesem berühmten Wort Karl Marx (Vorrede zu „Der achtzehnte Brumaire des Louis Bonaparte“, in: Marx/Engels, Werke, Bd. 8, S. 115, 115) mit Bezug auf Hegel.

103 Insb. BVerfGE 100, S. 313ff. – Telekommunikationsüberwachung; BVerfGE 103, S. 21ff – Genetischer Fingerabdruck; BVerfGE 112, S. 304ff. – GPS-Überwachung; BVerfGE 115, S. 320ff. – Rasterfahndung; BVerfGE 120, S. 378 ff. – Kfz-Kennzeichen.

104 Zusammenfassend Kloepfer, Verfassungsrecht, Bd. 2, 2010, § 56 Rn. 99; zuletzt Baum/Kurz/Schantz, F.A.Z. v. 27.2.2013, S. 28 („Das vergessene Grundrecht“).

105 Eingehend Faßbender, RDV 2009, 96ff.; Bull, EuZW 2010, S. 488ff.; Wolff, in: FS Bull, 2011, S. 1071ff.; Ziebarth, CR 2013, S. 60ff.; v. Lewinski, DVBl. 2013, S. 339ff.

106 GenA Mazák, in: EuGHE 2010-I, S. 1885, 1891.

107 Die Formulierung des entscheidenden Satzes der Urteilsbegründung nahm dabei einen Umweg über die Druckfahnen einer Kommentierung von Adalbert Podlech (hierzu Kaiser, Die Kommunikation der Verwaltung, 2009, S. 185).

Martin Rost

Neun Thesen zum Datenschutz

Abstract: Es sind gesellschaftliche Strukturen und nicht menschliche Bedürfnisse, die Handlungs-, Wahl- und Verhaltensalternativen für Personen konstituieren, in denen sich Selbstbestimmung und das Bedürfnis danach tatsächlich ausdrücken. Eine Schutzwirkung vor der Verringerung von Alternativen im Bereich des Ökonomischen, Politischen, Rechtlichen, Wissenschaftlichen kann in Zeiten der Internet-basierten Vollindustrialisierung der Organisationen dadurch erreicht werden, indem Organisationen die von den elementaren Schutzzielen verdichtet formulierten Anforderungen des Datenschutzes nachweislich umsetzen. Die Schutzziele des Datenschutzes erheben deshalb Geltung, weil vernünftige Kommunikationen das fair beherrschte Funktionieren der von Organisationen bereitgestellten Infrastrukturen zur Kommunikation voraussetzen.

Das Recht auf informationelle Selbstbestimmung wird sozial konstituiert.1

Informationelle Selbstbestimmung oder Selbstbestimmbarkeit sind gesellschaftlich induzierte Anforderungen an Kompetenzen von Personen. Diese sind keine Eigenschaften oder Kompetenzen, die Personen aus sich selbst heraus anthropologisch und zeitlos mitbringen.

Im Diskurs über das Recht auf informationelle Selbstbestimmung ist es mit Blick auf Organisationen sinnvoll, den Abwehraspekt aus der Sicht einer Person („Privatssphäre“) von dem Konstitutionsaspekt durch eine Organisation („Datenschutz“) zu unterscheiden.2

Wo der Diskurs mit dem axiomatischen Ausgangspunkt der Selbstgenügsamkeit eines Monaden-Individuums allein auf den Abwehraspekt Bezug nimmt, verordnet er sich selbst eine Blindheit gegenüber der strukturellen Übermacht der Organisationen.

Eine Blindheit gegenüber der Übermacht von Organisationen wird im Privatrechtlichen konserviert durch die zunehmende „Beliebtheit“ der Einwilligung als Regelungsinstrument. Von der Einwilligung geht materiell-rechtlich in der Regel keine unmittelbare Schutzwirkung für den Betroffenen aus. Der Akt der Einwilligung ist vornehmlich eine Souveränitäts-Simulation von Betroffenen gegenüber Organisationen (ähnlich Simitis 2011).

Die unmittelbare Funktion des Datenschutzes ist die Konditionierung der Machtasymmetrie, die in der Regel zwischen Organisationen und Personen besteht. Die Konditionierung dient dazu, den Personen, angesichts ihrer gegenüber Organisationen unterlegenen Strukturierungsmacht, Alternativen zu erhalten bzw. wiederzugeben, die in Selbstbestimmheit gewählt werden können.

Die Funktion des Datenschutzbeauftragten bzw. der Datenschutzaufsicht besteht nicht darin, den Interessensausgleich zwischen Personen und Organisationen immer schon mitzudenken, zumal wenn das Ausmaß der Machtungleichheit mangels Transparenz bzgl. der Vertraulichkeit, Integrität und Verkettungsrisiken sowie der operativen Möglichkeiten der Intervention nicht hinreichend geklärt bzw. gar nicht klärbar sind. Ein Datenschutzbeauftragter hat insofern entschieden die Betroffenenperspektive einzunehmen und ist in diesem Sinne parteiisch.

Die Parteilichkeit der Datenschutzaufsicht hat bspw. zur Folge, dass die Feststellung der Ordnungsmäßigkeit eines Verfahrens, sei es aufgrund der Konformität mit dem Gesetz oder mit einer Einwilligungserklärung oder einem Vertrag, allein für die Beurteilung eines Datenschutzrisikos eines personenbezogenen Verfahrens nicht hinreicht.

Die sozial zur Verfügung stehenden Konzepte der Freiheit, Selbstbestimmung, persönlichen Autonomie, Privatsphäre, Individualität o.ä. entstehen gemäß der Theorie sozialer Systeme (vgl. Luhmann 1997) historisch mit der funktionalen Ausdifferenzierung der modernen Gesellschaft aus ihrem historischen Vorläufer der stratifizierten Gesellschaft, mit ihrer klaren „Oben-Unten“-Schichtung einer von Adel, Klerus und Militär geprägten Gesellschaft. Datenschutz ist insofern ein Projekt einer modernen Gesellschaft.

In der Vormoderne waren Personen in eine überschaubare Ordnung der Dinge eingefügt. Eine situativ-punktuell mögliche, individuelle Selbstbestimmung, die nicht mit einer Exkommunikation aus der Gesellschaft gleichbedeutend war, war dieser Ordnung abzuringen.

In der Moderne wird Personen Selbstbestimmung und Individualität, durchaus in schmerzhaften Individualisierungsprozessen (vgl. Elias 1983), abgefordert. Diese müssen nicht der Gesellschaft abgerungen werden, wie insbesondere der bis heute wirkmächtige Liberalismus/Anarchismus des 19. Jahrhunderts im Hinblick auf die Erinnerungen an eine stratifizierte Gesellschaft oder die kritische Theorie mit dem Diktum der „eindimensionalen Persönlichkeit“ (Marcuse 1967) annahm. Heute ist ein „Zwang zur Individualität“ ungleich plausibler (vgl. Meutert 2002, Luhmann 1993).

Fällt dieser „Zwang zur Individualität“ weg, und muss selbstbestimmte Individualität den Organisationen doch wieder durch Wenige abgerungen werden, dann ist dies ein Indikator für eine Regression gesellschaftlicher Strukturen. In diesem Sinne ist die Qualität des Datenschutzniveaus einer Gesellschaft unmittelbar Ausdruck für den Grad der funktionalen Differenzierung und der Modernität einer Gesellschaft.

Die Konzepte der Konstitution von Privatheit, Selbstbestimmung usw. unterscheiden sich durch die Referenz auf die drei verschiedenen Typen von Sozialsystemen nach Luhmann: „Interaktionssystem“, „Organisationssystem“, „Funktionssystem“.

Wer ausschließlich die Verhältnisse zwischen Personen im Sinne von Interaktionssystemen betrachtet, betreibt lediglich eine Binnenanalyse von Person-Person-Verhältnissen und übersieht die Konstellationen von Organisations- und Funktionssystemen. Ein solcher Ansatz verfehlt in Bezug auf Datenschutz deshalb seinen Gegenstandsbereich.

Noch die besten sozialwissenschaftlichen Beiträge zum Datenschutz aus den 1970er Jahren – man denke insbesondere an die Beiträge von Adalbert Podlech sowie die Begründungstexte des BVerfG insbesondere zum Volkszählungsurteil – rekurrieren in ihrer Begrifflichkeit ganz überwiegend auf den Sozialsystemtypus des Interaktionssystems (so mit der „Gemeinschaftsbezogenheit des Menschen“) oder Vorstellungen zum „Monaden-Individualismus“ (vgl. Becker 1996).

Dieser soziologische Kategorienfehler im frühen Begründungszusammenhang des Datenschutzes zeigt sich in den soziologisch unterkomplexen Figuren wie der „informationellen Selbstbestimmung“ oder einer komplexitätstheoretisch trivialen Vorstellung „wonach der Mensch/Bürger grundsätzlich wissen können sollte, wer was über ihn weiß.“ Diesen Figuren wohnt eine Tendenz der Ausblendung von Gesellschaft inne bzw. präferiert eine erkenntnistheoretisch zweifelhafte Vorstellung von Gesellschaft als „einer Gemeinschaft der Individuen“. Dieser Fehler der 1. Generation der Datenschützer ist insofern entschuldbar, als dass damals noch keine entsprechend entwickelte „Theorie der Gesellschaft“ mit der Differenzierung von Sozialsystemen vorlag.

Eine Fortschreibung einer Theorie des Datenschutzes muss sich zunächst der fortgeschriebenen Theorie der modernen Gesellschaft versichern.

Es können nicht wissenschaftlich haltlose Vermutungen über „Bedürfnisse“ von Menschen nach „Privatheit“ den Ausgangspunkt datenschützerischer Aktivitäten und deren Rechtfertigung bilden. Gleichwohl können politische Diskurse an solchen Vermutungen anknüpfen.

Damit politische Diskurse über (das Bedürfnis nach) Privatheit vernünftig funktionieren können, müssen Kommunikationsinfrastrukturen funktional, vernünftig und fair ausgelegt sein bzw. betrieben werden.

Das Problem „Datenschutz“ reproduziert sich entlang der Differenz Organisationssystem–Funktionssystem.

An der Differenz Organisation–Funktionssystem werden allgemeine aber systemspezifische Kommunikationen von Personen- bzw. „Freiheits-, Autonomie- und Souveränitäts“-Konzepten reproduziert. Ihre beständige Form finden sie in den Konstellationen: Staat (Verwaltung) und Bürger, Unternehmen und Kunde, wissenschaftlich ausgebildeter Dienstleister und Patient/ Mandant/ Klient/ Individuum/ Mensch/ Subjekt/ Person.

Die Konstitution von Unternehmen ist auf Märkte angewiesen; der modernde Staat konstitutiert sich über Gewaltenteilung; die moderne Wissenschaft konstituiert sich über freie, genuin an wissenschaftlicher Wahrheit orientierte Diskurse. Organisationen müssen diese funktional separierten Systeme synthetisieren und unterliegen deshalb latent der Verführung der zumindest teilweisen Aufhebung der Grenzen der Systeme (vgl. Lieckweg 2001).

Werden die Syntheseleistungen der Organisationen zu mächtig, ist das ein Hinweis wiederum auf die Abschwächung der Strukturierungsleistungen der Funktionssysteme.

Organisationen unterliegen mit dem Internet, das sich als universaler Transmissionsriemen über die Welt erstreckt und eine virtuelle Gesamtmaschinerie bildet, einem weiteren, noch mal intensivierten Industrialierungsschub durch automatisierte Steuerung bzw. Entscheidungsverfahren im Zuge der Verarbeitung von Informationen.

Dieser Industrialisierungsschub betrifft auch die Informationsverarbeitungverfahren mit Personenbezug. Diese Verfahren basieren auf technisch normalisierten Personenmodellen. In ihnen schreiben Organisationen den Personen generalisierend Eigenschaften zu, unabhängig davon, ob diese im Konkreten tatsächlich vorliegen. Diese konstruierten Personenmodelle müssen aus Organisationensicht nicht korrekt sein bzw. nicht „objektiv stimmen“, sondern sie müssen nur relativ keine schlechteren Ergebnisse als im Vorjahr oder als die der Konkurrenz liefern.

Industrialisierung führt zur Explikation latenter sozialer Konflikte (Marx/Engels: Standardisierung/Maschinisierung spitzt den Konflikt zwischen Arbeit und Kapital zu). Speziell der aktuelle, nunmehr internetbasierte Industrialisierungsschub durch Vernetzung der Maschinen zur globalen Maschinerie führt zur einseitigen Explikation der Personen-Schemata. Aufgrund des Synthetisierungszwangs und dem naheliegenden Versuch der Externalisierung von Risiken entfalten Organisationen diese Explikation in einseitig organisationsnütziger Weise qua Verfahren („Organisations-Imperialismus“, „AGB-Imperialismus“).

Die gesellschaftliche Funktion des Datenschutzes besteht darin, die Risikoquellen der funktionalen Differenzierung – Markt, Demokratie und Gewaltenteilung sowie freie wissenschaftliche, ästhetische und religiöse Diskurse – gegen die latenten Angriffe der Organisationen zu bewahren oder zu stärken.

Organisationen unterlaufen latent die gesellschaftlichen Risikoquellen: Etablierte Unternehmen haben kein Interesse am Markt (Monopolbildung). Der Staat in seinen Teilen der Legislative und Judikative wird latent dominiert durch die Exekutive (Sicherheitsbehörden), die sich beständig die Pose anmaßt, sie sei nur dann erfolgreich, wenn sie am Übergang zum Rechtsbruch operiere. Und dominante Wissenschaftsorganisationen bedrohen den Wissenschaftsdiskurs dadurch latent, indem sie den Diskurs dogmatisch veröden.

Die Datenschutzaufsicht wird den Anforderungen der gesellschaftlichen Funktion des Datenschutzes nicht gerecht, wenn sie der „Privatisierung“ bzw. „Individualisierung“ des Datenschutzkonflikts im Sinne einer „Let-me-alone-Privacy“ mit der „Einwilligung“ als Rechtsgrundlage nichts entgegensetzt. Der Einfluss der Person wird dadurch überschätzt, die Macht der Organisationen unterschätzt bzw. gerät gar nicht erst in den Blick.

Die Einwilligung entfaltet in der Regel weder eine Schutzwirkung für die Betroffenen noch für die gesellschaftlichen Strukturen der industrialisierten Massenverarbeitung personenbezogener Daten (vgl. Kamp / Rost 2013).

Die derzeit – ob mit oder ohne Einwilligung – verarbeiteten Datenbestände von Unternehmen erfüllen alle Eigenschaften der zweckfrei vorgenommenen Vorratsdatenspeicherung. So kann sich ein Staat faktisch jederzeit Zugriff auf diese Daten verschaffen, zumindest im nationalen Rahmen sowie vermutlich im Rahmen der EU (aktuelles Stichwort: „Strafverfolgung bei Facebook“). Ähnliches lässt sich für das Verhältnis von Wirtschaftsunternehmen untereinander denken, – etwa für den Fall, dass Facebook in die Insolvenz fallen oder sonst von einem anderen Unternehmen übernommen werden sollte (etwa von den Betreibern der festlandchinesischen Suchmaschine Baidu).

Die normativen Datenschutzanforderungen, die sich an Organisationen und deren Tätigkeit richten – also Zweckbestimmtheit, Zweckbindung, Erforderlichkeit, Vertraulichkeit, Transparenz, Datensparsamkeit – bedürfen einer organisatorisch-technischen Operationalisierung, bei der sich der Normengehalt, im Zuge der Transformation von Normen über Organisationstätigkeiten bis auf technische Systeme, nicht verflüchtigt.

Die Transformation vom Sollen zum Sein kann dadurch transparent und integer gelingen, indem Normen in Ziele übersetzt werden, die im Sinne von Konstruktionsvorgaben durch Organisationen umzusetzen sind. Die „elementaren Schutzziele“ (Rost / Bock 2011) – Verfügbarkeit, Integrität, Vertraulichkeit, Transparenz, Nicht-Verkettbarkeit, Intervenierbarkeit – sind solche Zielvorgaben zur praktischen Umsetzung der normativen Anforderungen des Datenschutzrechts.

Die sechs elementaren Schutzziele formulieren Anforderungen an Kommunikationsinfrastrukturen, deren Umsetzung Voraussetung dafür ist, dass die „Geltungsanforderungen an eine vernünftige Rede“ (Habermas 1981) auf der kommunikativ-inhaltlichen Ebene einlösbar sind. Die Schutzziele erben deshalb Vernünftigkeit, wenn sie dazu beitragen, dass Kommunikation semantisch gelingt.

Die Orientierung an den Schutzzielen zur Umsetzung von vertrauenswürdigen und fairen Kommunikationen eröffnet, neben der klassischen Herleitung des Datenschutzrechts aus dem Persönlichkeitsrecht, einen zweiten – genuin soziologischen – Begründungszusammenhang. Erst dieser Begründungszusammenhang erfasst auch die soziale Konstitution der Privatsphäre und damit auch die politische Konstitution des Datenschutzrechts.

Die Schutzziele haben die Funktion, die allgemeinen Anforderungen nach Vertrauenswürdigkeit und Fairness bei Organisationen zu operationalisieren. Organisationen können entlang der Schutzziel-Anforderungen nachweisen, dass sie ihre Verfahren (mit den Komponenten: Daten, Systeme, Prozesse) beherrschen und die Wirkungen und Nebenwirkungen in Bezug auf individuelle Privatssphäre der Personen – im Kontext der funktionalen Differenzierung und der Anforderungen des Marktes, des demokratischen Rechtsstaates und der Wissenschaft – sowohl im Hinblick auf den allgemeinen gesellschaftlichen Bezug als auch in Bezug auf die unmittelbare individuelle Betroffenheit von Einzelpersonen vertrauenswürdig und fair zu steuern gestatten.

„Privacy By Design“ oder das „Privacy-Framework“ (ISO 29100) nutzen nur unsystematisch zusammmengestellte Prinzipienlisten, die nicht an das verdichtete und systematisch-rechtlich abwägungsfähige Niveau der Schutzziele und des „Standard-Datenschutzmodells“ (Rost 2012) heranreichen.

Datenschutz hat nichts von seiner in den 1970er Jahren erstmals ausformulierten Relevanz verloren. Angesichts der historisch betrachtet wieder enormen Machtfülle relativ weniger Organisationen hat die Bedeutung des Datenschutzes, zur Sicherung der Modernität einer Gesellschaft und damit der Freiheit der Menschen, zugenommen (vgl. Rost 2013).

Fußnoten

1 Bitte lesen Sie zunächst die neun Hauptthesen. Springen Sie dazu im Text zu den Abschnitten vor, die von einstelligen ganzen Zahlen gekennzeichnet sind. Kehren Sie anschließend zur Fortsetzung der Lektüre an diese Stelle zurück.

2 Diese instruktive Unterscheidung verdanke ich Wolfgang Zimmermann.

Literatur

Becker, Ulrich, 1996: Das Menschenbild des Grundgesetzes in der Rechtsprechung des Bundesverfassungsgerichts, Berlin: Duncker & Humblot.

Elias, Norbert, 1983: Über den Prozess der Zivilisation, Band 1 und 2, Frankfurt am Main: Suhrkamp.

Habermas, Jürgen, 1981: Theorie des kommunikativen Handelns – Band 1: Handlungsrationalität und gesellschaftliche Rationalisierung, Band 2: Zur Kritik der funktionalistischen Vernunft –, Frankfurt am Main, Suhrkamp.

Kamp, Meike / Rost, Martin, 2013: Kritik an der Einwilligung; in: Datenschutz und Datensicherheit, 37. Jahrgang, Heft 2: 80–83.

Lieckweg, Tanja, 2001: Strukturelle Kopplung von Funktionssystemen „über“ Organisation, in: Soziale Systeme – Zeitschrift für soziologische Theorie, 7. Jahrgang, Heft 2: 267–289.

Luhmann, Niklas, 1993: Individuum, Individualität, Individualismus; in: Gesellschaftsstruktur und Semantik, Band 3, Frankfurt am Main: Suhrkamp.

Luhmann, Niklas, 1995: Die Form Person, in: Soziologische Aufklärung. Band 6, Opladen, Westdeutscher Verlag: S. 142–154.

Luhmann, Niklas, 1999: Gesellschaft der Gesellschaft, Frankfurt am Main: Suhrkamp.

Marcuse, Herbert, 1967: Der eindimensionale Mensch, Studien zur Ideologie der fortgeschrittenen Industriegesellschaft, 1994, München, DTV.

Meuter, Norbert, 2002: Müssen Individuen individuell sein? in: Straub, Jürgen / Renn, Joachim (Hrsg.): Transitorische Identität – Der Prozesscharakter des modernen Selbst, Frankfurt, New York: Campus: 187–210.

Rost, Martin / Bock, Kirsten, 2011: Privacy By Design und die Neuen Schutzziele – Grundsätze, Ziele und Anforderungen; in: DuD – Datenschutz und Datensicherheit, 35. Jahrgang, Heft 1: 30–35.

Rost, Martin, 2012: Standardisierte Datenschutzmodellierung; in: DuD – Datenschutz und Datensicherheit, 36. Jahrgang, Heft 6: 433–438.

Rost, Martin, 2013: Zur Soziologie des Datenschutzes; in: DuD – Datenschutz und Datensicherheit, 37. Jahrgang, Heft 2: 85–91.

Simitis, Spiros (Hrsg.), 2011: Bundesdatenschutzgesetz, 7. Auflage, Nomos.

Wolfgang Zimmermann

Privatsphäre. Aufruf zur Konstruktion einer realitätsbezogenen Bildwelt.1

[1] Wenig behindert das Denken mehr als das Kommunikationsdesign der Dummheit mit ihren alten und eingängigen Bildern, – die aber die neuen Probleme verfehlen (I.). Alte Bilder verstellen so leicht den Blick auf das, was ist. Und auf das, was auf der Grundlage besserer Bilder möglicherweise erreicht werden kann (II. und III.).

[2] In Zeiten, in denen die staatlichen Totalitarismen des zwanzigsten Jahrhunderts technikgetrieben als Totalitarismen vornehmlich privater Akteure wieder auftauchen2 und dabei als „Sachzwänge“ in deregulierter rechtlicher Umgebung ihre Wirkung entfalten, ist die Zeit reif für neue Bilder. Die Datenschutz-Grundverordnung in ihrem Entwurf vom 25.1.20123 will hierzu diskutiert sein.

I „Privatsphäre als Bild. Alles auf einem Blatt.“

1 Das Ich und die Abwehr der störenden Welt. Zum überkommenen Vierschalenmodell.

[3] Vielfach besorgen gewohnte Bilder eine falsche Aggregation von Realitäten zu einer unzulänglichen Theorie von Wirklichkeit. Die Rede ist zum Beispiel von unbewegten Bildern wie dem auf einer „Netzdurchblick“-Seite4 für ältere Kinder und Jugendliche oder von Videos wie jenem5, das wir zurzeit (2012) ausgerechnet auf derjenigen Seite der EU-Kommission6 finden, die das politische Reform-Anliegen der Datenschutz-Grundverordnung vom 25. Januar 2012 erläutert.

Schutzsphären der Privatsphäre. Bildzitat aus „Netzdurchblick“7.

[4] Dort soll das fragliche Video dazu dienen, das gesetzgeberische Politik-Anliegen eingängig zu verbildlichen8.
Worin besteht das gemeinsame Problem an diesen Bildern?

[5] Die dortigen Bilder erzeugen ein Bild von Privatsphäre, das den Blick – in der Fortsetzung überkommener abrahamitisch9-religiöser Wahrnehmungstraditionen – auf „intime Geheimnisse“ als Risikofelder für Privatsphäre richtet. Das zielt auf jene Felder von Wirklichkeit, die je weniger andere Menschen etwas angehen, desto „heikler“ die Information ist. Dieser Idee von Privatsphäre geht es prägend um abwehrendes Tun. Als „heikel“ erscheinen dabei insbesondere solche Informationen, die etwas mit „intimer Weiblichkeit“ zu tun haben. Oder mit „intimer Männlichkeit“. Für ältere Kinder und Jugendliche, also für Menschen in einer Ablösungs- und Individuationsphase und ein entsprechendes Internet-Informationsangebot mag das eine brauchbare erste Annäherung an das Problem sein10, denn in dieser Lebenssituation fällt der Blick zuerst von der eigenen Person auf die Eltern, die „nicht alles wissen“ sollen, – also auf andere Menschen. Und der jugendliche Blick mag unter diesem Fokus verkennen, dass auch Freundinnen, Freunde oder Sportkameraden und weitere andere Menschen ebenfalls „nicht alles wissen“ sollten. Insbesondere nicht alles, was ihnen an der niedrigen Schwelle des eigenen Bildschirms leicht voreilig anvertraut wird. – Und dass es da neben diesen noch jene anderen gibt, die ebenfalls „nicht alles wissen“ sollten, Organisationen11 nämlich, zum Beispiel solche wie etwa das „soziale Netzwerk Facebook“. Diese und Jene erscheinen, zu einer Einheit verdichtet, in dem Vierschalenmodell. Dabei sind andere Menschen und andere Organisationen in dieser Modellbildung zwar „gleich unberechtigte Nicht-Empfänger“ von Informationen, – in den Risiken für die Privatsphäre sind Diese und Jene jedoch gerade ungleich.

Screenshot. Video zu Fußnote 5.
Text: „Online gibst Du mehr von Dir preis als Du denkst.“

[6] Das Vierschalenmodell mit seinen (sonst allgemein in konzentrischen Kreisen dargestellten) Bereichen aus „Intimsphäre“, „Privatsphäre“ „Sozialsphäre“ und „Öffentlicher Sphäre“ prägt – über den „Netzdurchblick“ hinaus – ganz allgemein in den Lehrbüchern und Skripten (jedenfalls der juristischen Ausbildung) die Wahrnehmung davon, was Privatsphäre im Sinne eines ontologischen Seins „sei“, – und zwar auch in dem Sinne, dass das, was in dem Bild nicht vorkomme, für den Gegenstand von Privatsphäre ohne Relevanz sei. Da liegt ein wesentliches Problem.

[7] Beschreibt das Vierschalenmodell das Wesen von Privatsphäre erschöpfend? Nein. Es stellt sich als verkürzende Generalisierung der Verhältnisse dar. Und die Verkürzungen sind keineswegs zufälliger Art. Dazu nun:

2 Privatsphäre. Alles auf einem Blatt, zweiter Versuch.

[8] Oder: Wie die soziale Konstruktion von Respekt funktioniert. Und wie man alles Wichtige dazu vielleicht auf ein einziges Blatt Papier bekommt, wenn man dafür den Blick auf das Verhältnis von Organisationen zu Personen beschränkt:

[9] Bildwelten prägen die Wahrnehmungen der Menschen unterschiedlich. Wer durch soziologische oder sonstige Vorbildung einen eher systemischen als bildhaften Zugang zur Welt hat, der mag sich bitte darauf einlassen, dass das Nachfolgende für eiliges oder allgemein bildhaft geprägtes Denken nicht so sinnfällig ist wie für seines. Darauf, dass wohl die meisten Menschen gern in eingängigen Bildern denken, und solche Bilder gern annehmen. Und dass, wer prägende Inhalte verbreiten will, sich um die Konstruktion einer eingängigen Bildwelt und den Anschluss an sie bemühen sollte.

[10] Was das Vierschalenmodell nicht leistet oder verfälschend verkürzt, soll nun im Detail ausgeführt werden. Leider sind die Verhältnisse zu komplex, als dass der Autor das unzulängliche Vierschalenmodell unmittelbar durch ein eingängiges Bildmodell ablösen könnte.

[11] Der Autor dieses Texts ist Jurist, nicht Kommunikationsdesigner. Deshalb ist dieser Text als Bitte um Hilfe gedacht. Und die Tabelle am Ende des Texts ist die „Baustelle“, an der neben den juristischen die nichtjuristischen „Gewerke“ gefragt sind. Um Verbesserungsvorschläge wird also ausdrücklich gebeten.

[12] 1. Privatsphäre erscheint als Sachverhalt mit klarem „Innen“ und „Außen“ („Ich – Nicht-ich“). Die etwa im Bereich sozialer Netzwerke verbreitete Verlagerung von Organisationsfunktionen (namentlich: von Akquisitionsprozessen) auf Verbraucher ist so nicht abbildbar12. Die absichtsvolle Fehlverlagerung unternehmerischer Verantwortlichkeit – nämlich: vorgenommen durch die Verlagerung von Geschäftsprozessen auf Verbraucher – ist deshalb im Bild des Vierschalenmodells als Störung der Privatsphäre nicht darstellbar.

[13] 2. Privatsphäre erscheint als Ort abgrenzender Selbstgestaltung vorwiegend rezipierender und betreuter Menschen, – und jedenfalls nicht als das Feld erkennbar (auch) erwerbstätiger Personen13. Verhältnisse, in denen Organisationen gegenüber Bürgern, Verbrauchern, – auch gegenüber Selbständigen und Arbeitnehmern – tätig werden und dabei etwa miteinander inkompatible Organisationszwecke verfolgen, sind deshalb im Bild des Vierschalenmodells als Störung der Privatsphäre ebenfalls nicht darstellbar14.

[14] 3. Die Schutzbedürftigkeit einer „geheimen Information“ erscheint im Vierschalenmodell als Eigenschaft ausschließlich der Information (und ihrer Sensitivität) selbst15. Dass hier Verwendungszusammenhänge und Asymmetrien beteiligt sein können, ist im Vierschalenmodell nicht abbildbar.

[15] 4. Privatsphäre erscheint im Vierschalenmodell ausschließlich als Feld abwehrender Tätigkeit16 und nicht auch als Quelle autonomer sozialer Gestaltung aktiver Akteure mit bürgergesellschaftlich willkommenen Anliegen. Privatsphäre hat aber in der demokratischen Bürgergesellschaft neben dem Abwehraspekt einen willkommenen Gestaltungsaspekt. Dieser Aspekt kommt in dem Bild nicht vor. Und auch dieser Mangel verstellt auf sehr generelle Weise den Blick darauf, dass es für den Inhalt von Privatsphäre nicht nur auf die Eigenschaften von Daten ankommen kann17. Natürlich unterstützt die aus dem Kontext des europäischen Binnenmarkts begründete Wahrnehmung von Daten in einer Dichotomie von „Ware“ oder „Nicht-Ware“ das Ausblenden von Gesichtspunkten, die mit dem fehlenden „Warenbezug“ auch keinen binnenmarktrelevanten „Datenbezug“ haben und deshalb in einer Binnenmarktregelung vor der Hand ohne Regelungsrelevanz sind. Trotzdem sind auch die dargelegten Felder autonomer sozialer Gestaltung Gegenstand von Privatsphäre und im Kontext von Datenverarbeitung auch von Datenschutz, vgl. dazu ausdrücklich Art. 2 Nr. 2 Buchst. a des DS-Grundverordnungs-Entwurfs. Diese Felder auch weiterhin mitgliedstaatlich zu regelnden Datenschutzes dürfen nicht aus dem Blick geraten.

[16] 5. Personen und Organisationen erscheinen im Vierschalenmodell mit demselben sozialen Gewicht. Unterschiedliches soziales Gewicht ist als Bedrohung der Privatsphäre in dem Vierschalenmodell nicht darstellbar. Auch dies verstellt auf eine sehr generelle Weise den Blick darauf, dass es für den Inhalt von Privatsphäre nicht nur auf die Eigenschaften von Daten ankommen kann18.

[17] 6. Die Sachbereiche von Intimsphäre, Privatsphäre, Sozialsphäre und Öffentlichkeitssphäre sowie die ihnen als „nach außen hin fallend“ zugeordneten Schutzbedarfe erscheinen im Vierschalenmodell irrig als etwas anthropologisch Vorgegebenes. Die Abgrenzung zwischen den Sphären erscheint als etwas, das für konkrete Sachverhalte trivial entscheidbar und – wo erforderlich – mit offensichtlichen und natürlichen Maßstäben auf eine anthropologisch-psychologische Weise sinnfällig vornehmbar ist19. Tatsächlich ist diese Abgrenzung auf vielen Feldern sehr von zeitlichen Umständen, allgemeinen außerrechtlichen Zeitströmungen, teilgesellschaftlicher Zugehörigkeit, sozialer Vernetzung und der Eigenart des Einkommenserwerbs einer Person abhängig20.

[18] 7. Das Vierschalenmodell kann insbesondere nicht abbilden, dass die Zuordnung einer schutzbedürftigen Information zu einer der vier Sphären in gänzlich ungewisser Weise davon abhängen kann, welche personenbezogenen oder nicht-personenbezogenen Hinweise, Umstände und Zufälligkeiten21 zu einem Lebenssachverhalt als öffentlich zugängliches Zusatzwissen zu einer Person vorhanden sind oder später verfügbar werden22. Es ist zudem vielfach erst die Zusammenstellung jeweils für sich genommen eher belangloser als schutzbedürftiger Einzeldaten einer Person, die als solche zusammen mit ubiquitär verfügbarem oder später verfügbar werdendem öffentlichem Zusatzwissen23 personenbezogener oder nicht-personenbezogener Art eine Aussage über die Sphärenzuordnung ermöglicht.

[19] 8. Ebenfalls problematisch ist die fallende Gewichtung im Maß der Schutzgewährung, die durch das Vierschalenmodell irreführend als „naturhaft“ erscheint. Wieso sollen Informationen im Grundsatz je schutzwürdiger sein, desto weniger Personen sie etwas angehen?24 Insgesamt fehlt dem Vierschalenmodell auch hier der Blick auf den Gestaltungsaspekt von Privatsphäre.

[20] 9. Weiterhin setzt die Modellbildung des Vierschalenmodells externe Beobachter mit absolutem und umfassendem Wissen voraus. Auch dieser Ansatz ist irreal. Sphärenzuordnungen müssten aber aus einer Beobachter- und Empfängerperspektive zuverlässig vornehmbar sein, damit sie zur Grundlage sozialer Normen werden könnten. Daran aber wird es zumeist gerade fehlen. Zudem ist unvollständiges Wissen der Außenwelt über die persönlichen Daten eines Menschen nicht nur (noch) der empirische Regelfall, – es ist in nicht-totalitären Gesellschaften auch normativ der erwünschte Normalzustand.

[21] 10. Immerhin nimmt das Vierschalenmodell durch seinen Aufbau die Themen der Datensparsamkeit und der Datenübermittlung an unterschiedliche Kategorien von Empfängern in den Blick.

[22] 11. Zweckbindung ist im Vierschalenmodell nicht abbildbar. Privatsphäre erlaubt es dem einzelnen Bürger und Verbraucher aber gerade, über einzelne Daten-Arten und Sphären hinweg Sektoren zu errichten und diese Sektoren nach seiner persönlichen Wahl ohne die Offenlegung von Gründen und diskussionslos mit Zwecken zu verbinden. Das wesentliche Risiko für den Verbraucher und Bürger liegt hier in Bedrängung der Person mit angemaßten Offenlegungs- und Begründungswünschen von Seiten der Organisationen, außerdem in der Überschreitung der Zweckbindungsvorgaben durch Organisationen25. Dieser Gesichtspunkt berührt insbesondere den Gestaltungsaspekt von Privatsphäre.

[23] 12. Privatsphäre erlaubt es dem Bürger und Verbraucher, Rollen einzunehmen und ohne die Offenlegung von Gründen und diskussionslos Respekt vor diesen Rollen und ihrem Zuschnitt zu verlangen. Das wesentliche Risiko für den Verbraucher und Bürger liegt hier in Beschränkungen seiner Rollenautonomie, nämlich in der angemaßten Deformation der Rollenbeschreibungen einer Person durch Organisationen26. Und es liegt darin, dass dem Bürger und Verbraucher im allgemeinen sozialen Raum Selbstbeschränkungen abverlangt werden, für die es keine andere Grundlage gibt als die faktische Macht einer Organisation27. Nicht zufällig berührt auch dieser Gesichtspunkt wiederum den Gestaltungsaspekt von Privatsphäre und kommt im eingeführten Vierschalenmodell wiederum nicht vor.

[24] 13. Privatsphäre erlaubt es dem Bürger und Verbraucher, persönliche Ressourcen ohne die Offenlegung von Gründen und diskussionslos nach seiner Wahl zu verteilen und sie voneinander getrennt zu halten28. Das wesentliche Risiko für den Verbraucher und Bürger liegt hier in der angemaßten Deformation von Ressourcenzuweisungen durch Organisationen29, – betroffen ist deshalb die Ressourcenautonomie der Person. Nicht zufällig berührt schließlich dieser Gesichtspunkt wiederum vorwiegend den Gestaltungsaspekt von Privatsphäre und kommt im eingeführten Vierschalenmodell wiederum nicht vor.

[25] 14. Rollen- und Ressourcenautonomie der Person liegen dabei ersichtlich30 weitgehend außerhalb des Fokus‘ der auf Binnenmarktrelevanz fokussierten Datenschutz-Grundverordnung31. Dabei ist aber gerade dies zu bedenken: Es sind die Daten einer Person zu ihren Rollen und Ressourcen, deren Verbindbarkeit zu Daten-Arten, Sphären, Sektoren und Zwecken hin nach Pseudonymisierung verlangt. Jedenfalls sind Pseudonymisierungspflichten deshalb nach der Datenschutz-Grundverordnung auch im Hinblick auf diese nicht binnenmarktrelevanten Gestaltungsaspekte der Rollen- und Ressourcenautonomie zu diskutieren.

[26] 15. Privatsphäre erlaubt es dem Bürger und Verbraucher, bei Organisationen die Rücksicht auf faktische Asymmetrien32 einzufordern. Diese Asymmetrien können in generelle33 und verhaltensabhängige34 Asymmetrien eingeteilt werden. Privatsphäre erzeugt deshalb den Anspruch des Bürgers und Verbrauchers auf fairen Umgang mit solchen Asymmetrien. Unter diesem Gesichtspunkt sind insbesondere Felder irrelevanter Einwilligungen sowie die Gegenstände von Profilbildungsverboten zu identifizieren.

[27] 16. Privatsphäre erscheint traditionell als Bereich, dessen Verteidigung sich gegen Menschen mit schlechten Absichten richtet. Das trifft nicht zu. Tatsächlich richtet sich Privatsphäre ebenso gegen Menschen mit guten Absichten. Sie richtet sich aber schließlich und vor allem gegen Organisationen mit legalen und im Übrigen unbewertet bleibenden Absichten und Organisationszwecken, gegen die der betroffene Verbraucher oder Bürger von Rechts wegen Anspruch auf die Achtung seiner Privatsphäre hat35. Privatsphäre ist deshalb im Verhältnis der Person zu den Organisationen wesentliches Instrument gegen den totalitären Organisationsimperialimus insbesondere von Unternehmen und Arbeitgebern, die als Agenten einer monotheistisch-religiös geprägten Effizienzgläubigkeit Marktgefolgschaft oder Unternehmensgefolgschaft einfordern, wo bürgergesellschaftlich tatsächlich eine denkende Abwägung zwischen Gesichtspunkten robuster Demokratie und effizienter Ökonomie gefragt ist36. In diesem Sinne verstanden, begründet das Recht der Person auf Achtung ihrer Privatsphäre durch die Organisationen einen Anspruch auf die organisationsseitige Unterhaltung einer subeffizienten Fehlanpassung betrieblicher Prozesse, die ausschließlich fremdnützig begründet ist und die dabei dem Schutz der Privatsphäre von Personen (Verbrauchern und Bürgern) dient37. Oder knapper: Die Privatsphäre bildet die Grenze der Organisationseffizienz.

[28] 17. Ist diese Aufzählung vollständig?

3 Die Ablösung des Vierschalenmodells. Anfänge zu einer adäquateren Bildwelt.

Im Einzelnen (als weitere Legende zur Tabelle auf S. 62) noch dies:

[29] Datenschutz dient der sozialen Konstruktion desjenigen Maßes von Respekt und sozialem Abstand, auf den Leute außerhalb der Vertrautheit ihrer persönlichen Lebenswelt – also bei der „Kommunikation unter Fremden“ – Anspruch haben. Dieser Satz gilt in jeder Gesellschaft mit Konsens über die charakterliche Selbststeuerung erwachsener Menschen in einer funktional differenzierten Gesellschaft, die rechtlich als Demokratie verfasst ist, Gewaltenteilung kennt, bürgerliche Grundrechte gewährt und die nach ihrem vorgestellten Selbstkonzept38 die Politik als dem Markt übergeordnet ansieht.

[30] Die soziale Konstruktion von Respekt und Abstand speist sich dabei für das Verhältnis von Personen zu Organisationen aus drei Elementen:

aus den personenbezogenen Daten (mit unterschiedlicher Sensitivität) selbst, die die Organisation zu der Person nutzt,

aus den Verwendungsweisen und Verwendungszusammenhängen personenbezogener Daten bei der Organisation. Hier besteht ein Zusammenhang zu dem zugehörigen Satz anerkannter Ansprüche der Person auf respektvollen Umgang mit dem organisationsseitigen Wissen über andere, und schließlich

aus einer Asymmetrie. Diese rührt her

aus der Ungleichverteilung von Wissen zwischen Organisation und Person,

aus der Ungleichheit bei der Verfügung über eine nachhaltige und arbeitsteilige Zweckverfolgungsinfrastruktur und deren intransparente Repräsentation im politischen Prozess,

aus den sonstigen Machtunterschieden zwischen den Beteiligten.

Details erscheinen in den Spalten A–H der Tabelle, wie zu den obigen Gesichtspunkten jeweils in Bezug genommen.

[31] Damit ist nun – um eine Ablösung des Vierschalenmodells auf den Weg zu bringen – das erste Ziel der untenstehenden Tabelle dargelegt: „Privatsphäre als Bild. Alles auf einem Blatt“. Der Autor bittet um Hilfe bei der Verbesserung.

II Zur zunehmenden Relevanz von Bildwelten im kommenden europäischen Datenschutzrecht.

[32] Bilder sind für den Transport von Normen unterkomplex. Normen werden deshalb in Textform gegossen. Dennoch darf gerade für den neuen Datenschutz in EU-Europa die normative Deutungskraft von Bildern nicht unterschätzt werden. Auch gute Normtexte müssen übersetzt werden. Und, auch in guten Übersetzungen gehen Informationen verloren, auch Nuancen verschieben sich. Und selbst ohne solche Verluste variieren in den Mitgliedstaaten kulturgebundene kontextuelle Referenzen, die als Elemente des Normbereichs den Gehalt von Regelungen stets mit färben. Diese Risiken bestehen auch bei Bildern. Aber sie sind dort geringer. Und vor allem fallen Unterschiede schneller auf. Deshalb brauchen wir gerade für den Schutzgegenstand von Privatsphäre Bilder. Und zwar richtige Bilder, nicht irreführende.

[33] Von der Jahrestagung 2012 der Deutschen Gesellschaft für Recht und Informatik in Hamburg nahm der Autor dieses Texts diese Aussage eines Mitarbeiters von Frau Reding mit: Er zitierte Frau Reding sinngemäß damit, man dürfe den Datenschutz nicht „ausdeutschen“. Diese Begrifflichkeit zielt auf Regelungen, die aus der Perspektive der EU-Kommission zu detailliert sind. Was aus der Sicht der EU-Kommission „zu detailliert“ ist, hat der Autor nicht erfragt. Auch aus einem Satz wie diesem wird aber deutlich, wie bedeutend in EU-Europa für ein ebenso verbraucherrechtliches wie bürgerrechtliches Thema wie den Datenschutz der Konsens über Bilder sein wird, wenn nämlich in Aussicht genommene Regelungsvorhaben offenbar nicht den in Deutschland gewohnten normtextlichen Detaillierungsgrad haben sollen.

[34] Dies gilt umso mehr, als unlängst (im Januar 2013) zum Datenschutz erneut ein Bild die Runde macht, das wiederum das Thema der Asymmetrien verfehlt, – ein Bild, nun nicht von der EU-Kommission, sondern vom deutschen Bundesjustizministerium in Umlauf gebracht. Es ist als Bildzitat39 nebenstehend:

[35] Ein gutes Logo würde – statt einer platten Bezugnahme auf „Nacktheit“ – bildkräftig umsetzen, dass die überlegen standardisierende Strukturierungsmacht von Organisationen gegenüber Bürgern und Verbrauchern der Kontrolle und Grenzziehung bedarf.

[36] Es muss zum Thema der Privatsphäre letztlich um die Verbildlichung des Anliegens gehen, dass die Herstellung demokratiekonformer Märkte dort gefordert ist, wo bisher – getrieben von technisch-ökonomischen „Sachzwängen“ – insbesondere Wirtschaftslobbys eine marktkonforme Demokratie anstrebten.

III Der Datenschutz und das Desiderat einer Bildwelt für die überlegen standardisierende Strukturierungsmacht von Organisationen.

[37] Organisationen40 haben gegenüber Personen Selbstvervielfachungs- und Rationalisierungsvorteile, die sie folgenlos ausspielen können, solange beide in der Bildwelt der Köpfe „gleichermaßen Privatrechtssubjekte, und deshalb ‚gleich‘“ sind41, – die Asymmetrie in einem ideologisch-einseitig wirkmächtigen Bild also verschwindet. Wie bringt man die soziale Konstruktion von Respekt in die Bildwelt der Köpfe?

[38] Kann die Tabelle dabei helfen? Und dann, – kann man auf deren Basis die Voraussetzungen der sozialen Konstruktion von Respekt (mit dessen Elementen zur Datensensitivität, zum Verwendungszusammenhang und zur Asymmetrie) sichtbarer machen, indem man eingängig benannte und mit platten Bildern verbundene Schutztatbestände zusammenstellt?

[39] Das wären also zum Beispiel:

Klauselverbote zum Schutz der Daten-Art, der Sphäre, des Sektors mit seiner Zweckbindung, Verbote zum Schutz der Rollenvulnerabilität und der Ressourcenlimitiertheit bei der Person, schließlich Klauselverbote, die der Asymmetrie Rechnung tragen.

Oder spezifisch gebildete Profilbildungsverbote.

[40] Insgesamt wäre dies das Modell, das in Deutschland und in EU-Europa seit 1977 für die Handhabung ungültiger Allgemeiner Geschäftsbedingungen gegenüber Verbrauchern42 eingeführt ist, – auf den Datenschutz angewandt43. Mit absoluten und relativen Klauselverboten.

[41] Darin bedeuten absolute Klauselverbote: „Diese Regelung oder Gestaltung ist immer verboten und wirkungslos.“ Und relative Klauselverbote: „Diese Regelung oder Gestaltung ist immer verboten und wirkungslos, es sei denn...“, (es folgt eine benannte Aufzählung der Ausnahmen).

[42] Geht das? Falltypen finden, bildkräftig benennen, gut zusammenfassen? Kann das gelingen? Die Unterscheidung in Risikoklassifikation, Äquivalenzregulation44, Sicherung der Neuwahloption45, Schutzmittel, Sanktionsmittel sollte dabei helfen (Tabelle S. 62, Spalten I-N).

[43] Ein altes, die Rollen- und Ressourcenvulnerabilität der Person schützendes Verbot ist etwa – außerhalb des Datenschutzes – das arbeitsrechtliche Truckverbot, vgl. http://de.wikipedia.org/wiki/Truckverbot.

[44] Ein der Asymmetrie Rechnung tragendes Verbot – ebenfalls im Arbeitsrecht außerhalb des Datenschutzes liegend – war das in (West-)Deutschland bis etwa 1970 geltende Verbot, Arbeitnehmer zu „verleihen“. Oder es sind außerhalb des Datenschutzes nach wie vor die Arbeitszeitgesetze (um deren Einhaltung es vielfach ebenso schlecht steht, wie um die Einhaltung der Datenschutzgesetze, weil es auch dort praktisch keine Ausübung staatlicher Aufsicht gibt).

[45] Wenn sich für die tatsächlichen Probleme des Datenschutzes solche platten Bildwelten entwickeln und mit zugehörigen Regeln verbinden lassen, dann sollten sie in die Diskussion um die Datenschutz-Grundverordnung einfließen. Jetzt ist die Zeit, dies auf den Weg zu bringen. Nach Inkrafttreten der Datenschutz-Grundverordnung ist es dazu (jedenfalls für die Dauer der dann anschließenden 15 Jahre) „zu spät“.

Fußnoten

1 Der Autor Wolfgang Zimmermann ist Jurist in Hamburg. Er war langjährig als Rechtsanwalt tätig und ist derzeit mit Rechtsfragen des Datenschutzes in der Medizin befasst.

2 Mit der Erhebung durch Private ist jedoch stets zugleich die Option sekundärer und drittseitiger Nutzung eröffnet, – sekundärer Nutzung durch andere Private sowie durch inländische staatliche Dienststellen von In- und Auslandsaufklärung, Gefahrenabwehr und Strafverfolgung, zudem durch ausländische staatliche Dienststellen offen bleibender Identität. Daneben tritt das Risiko drittseitiger Nutzung durch den parasitären oder kriminellen Zugriff auf Ressourcen, Schnittstellen und Vorgänge der Erst- oder Zweitnutzung, – oder etwa durch im Grundsatz legal agierende staatliche Zweitnutzer im In- und Ausland, die einerseits in übermäßig ausgedünnten Strukturen Erfolge erzielen müssen, die dabei aber andererseits von persönlicher Haftung faktisch frei sind.

3 Abrufbar unter http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2012:0011:FIN:DE:PDF (deutsche Version).

4 http://www.netzdurchblick.de/datenschuetzen.html, Abruf 1.12.2012.

5 http://www.youtube.com/watch?feature=player_embedded&v=24E9yL9B5fY, Videodatei „Werde Herr deiner persönlichen Daten.mp4“.

6 http://ec.europa.eu/justice/data-protection/index_de.htm, Abruf 1.12.2012.

7 http://www.netzdurchblick.de/uploads/RTEmagicC_Sphaeren_02.jpg.jpg – Netzdurchblick. Angebot der Hochschule für Angewandte Wissenschaften in Hamburg, Fakultät für Design, Medien & Information. Abruf 5. Dezember 2012.

8 Bitte ansehen!

9 Die Gesamtheit christlicher, jüdischer und islamischer Wahrnehmungsweisen ist gemeint.

10 An diesen Personenkreis richtet sich der zuvor zitierte „Netzdurchblick“.

11 Der Begriff „Organisation“ fasst staatliche Stellen, Wirtschaftsunternehmen und nichtwirtschaftlich tätige Unternehmen zusammen, also alle, die auf eine technisch organisierte Weise Informationen so aufheben, dass sie sie später leicht finden und weiter verwenden können.

12 Vgl. Tabelle S. 62, Spalte A. Der Gedanke zielt auf den Verbraucher als außerhalb des überkommenen Datenschutzrechts liegenden Zuträger-Datenverarbeiter für die Werbewirtschaft, (Stichwort: „Facebook“).

13 In dem Video zur „Netzdurchblick“-Seite unterhalb der besprochenen Grafik treten Schüler auf. In dem Video der EU treten Verbraucher als Benutzer eines Web-Shops auf. Beides ist dem Zielgruppenzuschnitt der jeweiligen Seite geschuldet und macht darüber hinaus über die Essenz von Privatsphäre keine Aussage. – Bei dem Video der EU ist zudem der plakative sexuelle Bezug deplatziert. Fälle, in denen allgemein Bekanntes unter gleichzeitig am Ort Anwesenden ohne Absicht sichtbar wird, – und der Betroffene dies zudem sogleich bemerken kann –, bilden den irrelevantesten Teil der Datenschutzprobleme unserer Tage. Die demgegenüber entscheidenden Probleme liegen zum einen in den Fällen mit ungewiss bleibendem Kreis der – trotz ihrer Abwesenheit – jetzt oder später Informierten, zum anderen in der Identifikation rechtlich irrelevanter Einwilligungen.

14 Vgl. Tabelle S. 62, Spalte B. Der Gedanke gilt etwa der Störung des Arbeitnehmerschutzes durch Vermischung insbesondere vertrieblicher Unternehmensfunktionen mit der Arbeitnehmer-Privatsphäre.

15Artikel 8 DSRL 95/46/EG. Besondere personenbezogene Daten sind dabei solche über die ethnische Herkunft, politische Meinung, religiöse oder weltanschauliche Überzeugung, Gewerkschaftszugehörigkeit, Gesundheit oder sexuelle Orientierung. Vgl. Tabelle S. 62, Spalte C.

16 Vgl. Tabelle S. 62, Spalte D.

17 Dies zielt auf die weiteren Gesichtspunkte von Privatsphäre, wie sie in den Spalten E – G erscheinen.

18 Dies zielt auf die weiteren Gesichtspunkte von Privatsphäre, wie sie in der Spalte H erscheinen.

19 Vgl. wiederum Tabelle S. 62, Spalte D.

20 Insgesamt besteht ein Zusammenhang zum Konzept der charakterlichen Selbststeuerung, das erstmals von Norbert Elias in seinem Standardwerk „Über den Prozess der Zivilisation“ von 1939 dargelegt wurde. Danach werden – in post-feudalistischen und post-totalitären Gesellschaften – Regeln über die Etikette und über die kommunikative Anschlussfähigkeit unter einander Fremden immer bedeutender. Sie zielen allgemein auf die Bereitschaft zur Folgenabschätzung, auf das Zeigen von Empathiefähigkeit, die Ablehnung von Gewalt als Interaktionsweise, auf die eingeschränkte Kommunikation über mögliche Gegenstände von Scham (Nahrungsaufnahme, Sexualität, Stoffwechsel, Krankheit, Versagen, Verzweiflung, Tod und Verlust) und – weniger allgemein – auf die Beschränkung in der Kommunikation über Sachverhalte von Ungleichheit (etwa: Geld- und Sachbesitz). Näheres unter http://de.wikipedia.org/wiki/Über_den_Prozeß_der_Zivilisation.

21 Man denke an verbreitete oder ungewöhnliche Namen, Verhältnisse in großen oder kleinen Orten usw.

22 Beispiel: „Herr Müller ist mittwochs immer in Hamburg-Altona und kommt erst am späten Abend in seine Wohnung zurück.“ – Selbst zu dieser trivial zusammengesetzten Information ist ohne „absolutes Wissen“ bzw. ohne den Bezug auf das im Internet oder andernorts öffentlich verfügbare Zusatzwissen nicht entscheidbar, welcher der Sphären von Herrn Müller (oder weiterer aus den Umständen erschließbarer Personen, – etwa seiner Lebenspartnerin) die Aussage zurechnet. In Hamburg-Altona ist jemand mit dem Namen Müller vermutlich nur in seiner Öffentlichkeitssphäre betroffen, solange nicht auch Dauer oder Verlauf seines Reisewegs oder das Ziel in Altona bekannt werden. Angenommen, das Ziel sei das wöchentliche Treffen der ABC-Gruppe, das im Veranstaltungskalender eines Altonaer Kulturzentrums unter dem Akronym „XYZ“ erscheine. Verbirgt sich dahinter etwa der fiktive dortige Treffpunkt einer gedachten „Selbsthilfegruppe für fertilitätsgestörte junge Männer mit Vaterschaftswunsch“, dann haben wir es mit einer Angelegenheit der Intimsphäre des Herrn Müller zu tun, deren Aufdeckung von der Zugänglichkeit des Veranstaltungskalenders, etwaiger Berichterstattung und weiterer Zufälligkeiten im Internet abhängt. – Ob allerdings Internet-Löschungspflichten die richtige Lösung sind, muss ebenfalls diskutiert werden (diese müssten dann ja wohl auch bezüglich sogar nicht-personenbezogener Informationen gelten – etwa bezüglich des Veranstaltungskalenders des eben genannten Zentrums).

23 Ubiquitär verfügbares öffentliches Zusatzwissen und der Gehalt legitimer individueller und gesellschaftlicher Strategien dagegen sind noch weitgehend undiskutiert. Dabei ist dieser technikgetriebene Trend zu totalitären Verhältnissen etwas, worüber eine bürgergesellschaftliche Diskussion erwartet werden sollte. Das hierzu im Kontext der aktuellen Datenschutzdiskussion geforderte „Recht auf Vergessen“ adressiert nur einen Teilaspekt dieses Problemfelds.

24 Alternativ zum Treff der ABC-Gruppe von eben stelle man sich – ebenfalls hypothetisch – den Treffpunkt regelmäßiger Zusammenkünfte einer Initiative gegen Massentierhaltung und Antibiotika-Missbrauch und ihrer interessierten Gäste vor, die in einem Stadtkulturhaus in der westniedersächsischen Provinz stattfinde. Ist nicht die Sozialsphäre etwa der Gäste, die zu den Treffen dieser Initiative erscheinen, um sich zu informieren, vielleicht bedrohter und deshalb viel schutzwürdiger als die Intimsphäre des ungewollt kinderlosen Herrn Müller aus dem Beispiel zuvor?

25 Dies würde es gestatten, das überkommene Bild der vier Schalen um einen Bildmodifikation zu ergänzen, in dem eine „bei der Draufsicht aus vier konzentrischen Schalen bestehende Torte“ nun noch in „Tortenstücke“ geschnitten wird. Vgl. dazu stattdessen Tabelle S. 62, Spalte E.

26 Etwa, wenn die Organisation die Verwischung familiärer mit beruflichen Rollen erzwingt. Vgl. Tabelle S. 62, Spalte F.

27 Etwa, wenn Rücksichten auf Auftraggeber des Arbeitgebers es ausschließen, als Angehöriger eines Arbeitnehmers das gemeinschädliche Tun des Arbeitgeber-Auftraggebers (z.B. Umweltverschmutzung) zu thematisieren.

28 Vgl. Tabelle S. 62, Spalte G.

29 Beispiel: Verwischung von Erwerbs- mit Nichterwerbsressourcen bei „BYOD“-Smartphones.

30 Das ist tatsächlich nicht mehr als eine Vermutung, die auf der Grundlage des Datenschutz-Grundverordnungs-Entwurfs gewonnen wurde. Sie bedarf durchaus der Diskussion.

31 Vgl. Artikel 2 Nr. 2 Buchstabe a) des Entwurfs der Datenschutz-Grundverordnung vom 25.1.2012.

32 Vgl. Tabelle S. 62, Spalte H.

33 Organisationen haben weder eine Intim- noch eine Privatsphäre. Sie haben keine nichterwerbliche Sozialsphäre, kein aktives und passives Wahlrecht, keine Würde, keine Gesundheit, keine (und insbesondere: keine nichterwerblichen) Lebensabschnitte, keine Ehe, keine Familie. Sie müssen nicht schlafen und sie sind nicht sterblich. Organisationen können sich leichter Kredit beschaffen als Privatpersonen und haben deshalb umfangreichere Mittel als sie. Sie allein haben die Möglichkeit, ihr Selbst durch das Beschäftigen weiterer Personen zu vervielfachen, es dann arbeitsteilig zu ordnen und dadurch Produktivitätsgewinne aus Arbeitsteilung zu erzielen. Personen dagegen haben keine Möglichkeit, ihre Erwerbsproduktivität durch Rationalisierung, Personalabbau, Maschinen- und sonstigen Kapitaleinsatz zu steigern und auf diese Weise ihre unvermehrbaren nichtfinanziellen und persönlichen Ressourcen zu schonen. Personen sind schließlich unbegrenzt haftbar und haben kaum sinnvolle Möglichkeiten, einmal erworbenes Vermögen durch die geschickte Wahl rechtlicher Gestaltungen und wunschgemäßer nationalstaatlicher Geltungsregimes insolvenzfest zu halten.

34 Organisationen haben – durch ihre überlegene Strukturierungsmacht – die ihnen durch Arbeitsteilung, Rationalisierung und Kapitaleinsatz zuwachsende Chance zur legalen oder jedenfalls unverfolgt bleibenden Übervorteilung von Personen. Personen haben diese Chance umgekehrt nicht. Gleiches gilt für Anmaßungen aller Art, insbesondere für Ausforschungsanmaßungen und die sachfremde Ausnutzung von Rationalisierungsvorteilen.

35 Vgl. Tabelle S. 62, ebenfalls Spalte H.

36 Die Rhetorik-Floskel, wonach geschäftliche Prozesse oder deren Ergebnisse formelhaft als „robust und effizient“ bezeichnet werden, gehört zum festen Bestand des allgemeinen dummen Geredes. Tatsächlich sind Robustheit und Effizienz Gegensätze, die für einen konkreten Anwendungsfall jeweils eine wechselseitige Anpassungslösung erfordern, – wobei die Gewichte dieser Anpassung dann jeweils offengelegt und durchaus kritisiert werden müssen.

37 Hierzu sei abschließend die nachfolgende kluge Sentenz aus einem Werk der 1960er Jahre zitiert. Der Autor, ein Hochschullehrer der Nachrichtentechnik mit gesellschaftspolitischer Ambition und dem Selbstverständnis eines Universalgelehrten vergangener Zeiten, stellt sich einen kommenden Weltcomputer vor, den er wegen dessen weltgesellschaftlicher Bedeutung in der Verantwortlichkeit der UNO sehen möchte. Er schreibt zur Rolle der Menschen in dieser künftigen Weltgesellschaft dennoch dezidiert und zutreffend dies: „Bei technischen Systemen ergibt sich optimale Wechselwirkung zwischen angepassten Quellen und Empfängern. Im sozialen Bereich aber führt diese Überlegung zu der menschlich recht unwürdigen Vorstellung, optimal wäre [Einfügung: auf Seiten der Person] das Verhalten des gut geschmierten Rädchens im Uhrwerk.“ Karl Steinbuch, „Falsch programmiert : Über das Versagen unserer Gesellschaft in der Gegenwart und vor der Zukunft und was eigentlich geschehen müsste.“, 5. Auflage, München : dtv-Taschenbuch, 1970. S. 20ff. („Anklage gegen die Hinterwelt“), S. 26.

38 Der Gegensatz dazu wäre das tatsächlich praktizierte Selbstkonzept.

39 Quelle: http://www.bmj.de/DE/NichtNackig/nichtnackig_node.html, (Abruf Januar 2013). Es handelt sich um ein Logo für einen Wettbewerb.

40 Es sind wiederum staatliche wie privatwirtschaftlich verfasste Organisationen gemeint.

41 Was an eine zweite Ideologie von „Gleichheit“ rührt, an die „Gleichheit“ zwischen einerseits allgemeinen privatrechtlichen Wirtschaftsunternehmen in Märkten mit funktionierendem Wettbewerb, und andererseits privatrechtlichen Wirtschaftsunternehmen, die Infrastrukturdienste erbringen, die als solche entweder gesellschaftlich essentiell erforderliche Leistungen sind oder die von marktbeherrschenden Unternehmen erbracht werden (Versorger mit Strom, Gas, Wasser, Fernwärme, Telekommunikation), – vgl. dazu http://de.wikipedia.org/wiki/Essential-Facilities-Doktrin.

42 In Deutschland seit 2002 im Bürgerlichen Gesetzbuch selbst geregelt, vgl. dort: §§ 305 – 310 BGB. Die Regelung zur beschränkten Gültigkeit Allgemeiner Geschäftsbedingungen in Verträgen beruht in ihrem heutigen Stand auf Richtlinie 93/13/EWG des Rates vom 5. April 1993 über missbräuchliche Klauseln in Verbraucherverträgen (ABl. EG Nr. L 95 S. 29).

43 Es empfiehlt sich für das Jahr 2020 perspektivisch ein rechtshistorischer Textwerk-Vergleich: Katastrophen absehende Rhetorik im Vorfeld des Gesetzes über Allgemeine Geschäftsbedingungen 1977 (heute Teil des BGB) einerseits, Textwerk-Rhetorik im Vorfeld der Datenschutz-Grundverordnung andererseits.

44 Dies zielt auf ein Austauschverhältnis, das trotz der Überlegenheit der Organisation fair gestaltet ist.

45 Dies zielt darauf, der Person Kündigungsrechte einzuräumen und dafür zu sorgen, dass die Organisation der Person diejenigen tatsächlichen Voraussetzungen belässt, die ihr eine Kündigung auch tatsächlich ermöglichen.

Tabelle: Datenschutz und überlegen standardisierende Strukturierungsmacht von Organisationen

Aufgrund ihrer Größe und Komplexität liegt die Tabelle leider nur als PDF vor.

Seda Gürses und Claudia Díaz

An activist and a consumer meet at a social network...

Abstract—Privacy is one of the friction points that emerges when communications get mediated in Online Social Networks (OSNs). That mediation is incumbent upon the socio-technical design of the OSN. In that sense, the privacy problems can be mapped to design decisions, and this mapping can be used to rethink (privacy by) design or develop what are known as privacy enhancing technologies. Different communities of computer scientists have done such mappings and have proposed privacy solutions. These solutions envisage OSN users and uses that are markedly different. We explore the challenges associated with integrating these diverging viewpoints in OSNs.

Anmerkung: Das Manuskript der Autorinnen stand den WorkshopteilnehmerInnen zur Verfügung. Der Text wurde schließlich unter dem Titel »Two tales of privacy in online social networks« abgedruckt in: IEEE Security & Privacy 2013, Vol. 11, Issue 3, S. 29–37.

Kirsten Bock

Instrumente des Datenschutzes und ihre Eignung in der Praxis – Zur Ungeeignetheit der Selbstregulierung im Datenschutzbereich

[1] B>undesinnenminister Friedrich propagierte auf der Konferenz „Datenschutz für das 21. Jahrhundert“ Selbstregulierung der Industrie als ein Instrument zur Förderung des Datenschutzes im Internetzeitalter. Er verspricht eine stärker an den Stand der Technik angepasste und innovationsfreundlichere Lösung für eine sich beständig verändernde Industrie. Angesichts eines völlig ungleichen Kräfteverhältnisses zwischen den Daten verarbeitenden Organisationen und den davon Betroffenen einerseits und einer weitreichenden Intransparenz der Daten verarbeitenden Industrie andererseits stellt sich die Frage nach der Angemessenheit einer freiwilligen Selbstregulierung. Zu befürchten steht, dass die datenschutzrechtlichen Belange der Betroffenen und damit deren Grundrechtsschutz bei der Selbstregulierung auf der Strecke bleiben.

[2] Für den Entwurf einer Datenschutzgrundverordnung hat das Bundesinnenministerium in einem Vorschlag für einen Art. 38a formelle Anforderungen an die Selbstregulierung aufgestellt, die sicherstellen sollen, dass gesetzliche Vorgaben und das Demokratieprinzip auch im Rahmen einer Selbstregulierung eingehalten werden, ohne jedoch wirksame Durchsetzungsmöglichkeiten zu schaffen. Der Verdacht liegt nahe, dass Regulierungs- und Kontrollaufgaben des Staates auf die Wirtschaft abgewälzt werden sollen. Den privaten Regulierungsorganen wird die Definitions- und Subsumtionshoheit überlassen, während die staatlichen Datenschutzbehörden unterfinanziert und unzureichend ausgestattet bleiben.

[3] Bislang haben sich Organisationen nur unzureichend an datenschutzrechtliche Vorgaben gehalten, konnten im Gegenzug aber auch nur unzureichend von den staatlichen Aufsichtsbehörden geprüft und zu rechtstreuem Verhalten gezwungen werden. Der mangelhaften Ausstattung vieler Datenschutzbehörden und dem damit einhergehenden Vollzugsdefizit soll mit Hilfe der Selbstregulierung in der Informationsgesellschaft begegnet werden, die für flexibler und interessengerechter ausgegeben wird.

[4] Es stellt sich damit die Frage, ob und in welchen Bereichen der Informationsgesellschaft Selbstregulierung ein angemessenes Steuerungsinstrument darstellen kann.

Selbstregulierung und regulierte Selbstregulierung

[5] Im Gegensatz zu einer imperativen Regulierung durch den Gesetzgeber sollen im Rahmen der Selbstregulierung die Steuerungsziele durch die zu Steuernden selbst als Regeln, Standards oder Normen definiert werden.1 Ein typisches Beispiel für eine Selbstregulierung ist ein sog. Verhaltenskodex (engl. Code of Conduct). Bei der regulierten Selbstregulierung handelt es sich um eine Mischform, bei der die Schwächen der Selbstregulierung, insbesondere der Überhang an Eigeninteressen, durch imperative Normierung ausgeglichen werden sollen, indem der Staat den Rahmen für die Selbstregulierung vorgibt.2

Ausrichtung an gesetzlichen Vorgaben

[6] Im Anwendungsbereich des Datenschutzrechts hat sich jede Selbstregulierung an den bestehenden gesetzlichen Vorgaben des nationalen und europäischen Rechts auszurichten. Dabei ist die Grundrechtsrelevanz von Eingriffen in die informationelle Selbstbestimmung und das Verbot mit Erlaubnisvorbehalt für die Verarbeitung personenbezogener Daten zu beachten. Die stets bestehende Grundrechtsrelevanz bei der Verarbeitung personenbeziehbarer Daten verbietet generell eine einfache Selbstregulierung ohne gesetzliche Rahmenvorgaben. Für die regulierte Selbstregulierung ist jeweils zu prüfen, ob diese die nationalen gesetzlichen Vorgaben und die der einschlägigen europäischen Richtlinien effektiv umzusetzen vermag.

[7] Anders als beispielsweise im Umweltrecht geht es im Datenschutzrecht nicht um die Einhaltung von gesetzlich vorgegebenen und definierten Grenzwerten, sondern es ist geprägt von Abwägungsentscheidungen über widerstreitende Interessen zwischen den Betroffenen und Organisationen. Dabei stehen sich Betroffene und Organisationen nicht gleichrangig gegenüber. Gerade in der Übermacht der Organisationen besteht das besondere Bedrohungspotential für die Rechte der Betroffenen. In diesem Ungleichgewicht erscheint es mehr als fragwürdig, der Industrie die Hoheit über die für sie geltenden Spielregeln zu überlassen.

[8] Insofern dürfte im Anwendungsbereich des Datenschutzrechts nur Raum für eine Konkretisierung der gesetzlichen Vorgaben z.B. für eine bestimmte Branche oder im Hinblick auf den Einsatz bestimmter Technologien oder Prozesse bestehen.

Anreize zur Selbstregulierung

[9] Selbstregulierung ist stets mit Kosten verbunden und wird von den sich regulierenden Organisationen nur dann in Angriff genommen, wenn es für sie Anreize für die Regulierung gibt, es sich also lohnt. Anreize können sein:

[10] gemeinsame Interessen und Erreichung eines gemeinsamen Ziels von Organisationen, z.B. Standardisierung zu Kompatibilitätszwecken, branchenweite Icons für Informationszwecke;

[11] vorbeugende Regulierung zur Verhinderung strengerer gesetzlicher Vorgaben, z.B. Do-Not-Track-Initiative des W3C;

[12] regulierte, d.h. normativ vorgegebene Selbstregulierung, freiwillig oder verpflichtend, z.B. freiwilliges Gütesiegel und Audit in Schleswig-Holstein;

[13] rechtliche Privilegierung, z.B. bei öffentlichen Ausschreibungen oder Erlass von Meldepflichten.

[14] Diesen möglichen Anreizen wirken die mangelnde Nichtdurchsetzung des Datenschutzrechts und fehlende bzw. unzureichende Sanktionsmaßnahmen entgegen.

[15] Eine mangelnde Rechtsdurchsetzung in der Vergangenheit hat zur Entstehung einer Vielzahl von Angeboten und Geschäftspraktiken geführt, die auf einem Verstoß gegen grundsätzliche datenschutzrechtliche Normen beruhen, z.B. Transparenz- und Einwilligungsgebote. Diese Unternehmen werden in ihrer Existenz durch das Datenschutzrecht bedroht. Von ihnen kann schon aus diesem Grunde nicht erwartet werden, dass sie sich ernsthaft einem Selbstregulierungsprozess unterwerfen, der ihnen ihre Geschäftsgrundlagen entzieht oder mindestens erschweren würde.

These 1: Selbstregulierung kann rechtskonformes Verhalten nicht ersetzen

[16] Ein Anreiz für Selbstregulierung ist das Versprechen der Rechtssicherheit. Allerdings wird es nicht ausreichen, dass sich die Interessenvertreter der Industrie auf eine gemeinsame Auslegung oder Umsetzung der gesetzlichen Regelung einigen. So sind sich bspw. die Vertreter der Online-Werbung weitestgehend einig, dass es sich bei IP-Adressen oder ID-Nummern in Cookies nicht um personenbeziehbare Daten handele. Dem widersprechen die Datenschutzaufsichtsbehörden. Die Erwartung der Bundesregierung,3 dass mit Hilfe der Selbstregulierung strittige Rechtsfragen dahinstehen könnten und ein Mehr an Rechtssicherheit gewonnen werden kann, lässt sich nicht bestätigen. Rechtssicherheit lässt sich letztlich nur erlangen, wenn die Selbstregulierung nicht nur von staatlichen, sondern von unabhängigen und kompetenten Aufsichtsbehörden geprüft und abgesegnet worden ist. Ob die Prüfung im Rahmen der Selbstregulierung stattfindet oder später der Aufsichtsbehörde vorgelegt wird (vgl. § 38 BDSG), spielt dabei letztlich keine Rolle.

[17] Lässt der Staat staatliche Aufgaben durch Private erfüllen, kommt ihm eine besondere Verpflichtung zur Sicherstellung der Kontrolle und Rechtsdurchsetzung zu. Dem kann er sich schwerlich durch einen Aufruf zur Selbstregulierung entziehen.

These 2: Selbstkontrolle ersetzt keine staatliche Rechtsdurchsetzung

[18] Organisationen halten sich oft nur unzureichend an datenschutzrechtliche Vorgaben. Dem entgegen wirken sollen oft finanziell und personell unzureichend ausgestattete staatliche Aufsichtsbehörden, denen bislang kein standardisierter Prüfrahmen zu Verfügung steht und deren Sanktionsmöglichkeiten begrenzt sind. Organisationen können in Folge zu selten geprüft und zu rechtstreuem Verhalten gezwungen werden. Eines der rechtfertigenden Argumente, das sowohl von Unternehmen als auch von den Aufsichtsbehörden und dem Gesetzgeber vorgetragen wird, ist, dass das Gesetz nicht mehr zu den sich schnell entwickelnden Technologien passe. Tatsächlich sind in der Praxis mangelnde Rechtsdurchsetzungsbefugnisse gegenüber Datenverarbeitern in Drittstaaten, aber bislang nur wenige Regelungslücken entstanden wie bspw. das Recht auf Datenportabilität. Innereuropäisch fehlt es an einer standardisierten Prüfpraxis der Aufsichtsbehörden, mangelnden spezifischen Fachkenntnissen und Einblicken in die Geschäftspraktiken moderner IT-Unternehmen und Datenverarbeitern bei den Prüfern.

[19] Die Nichteinhaltung der Safe-Harbor-Prinzipien4 bei teilnehmenden Unternehmen hat gezeigt, dass Selbstregulierung einer externen Kontrolle bedarf. Der rechtliche Rahmen hat daher neben Kontrollmaßnahmen Maßnahmen zur Durchsetzung und Kontrolle von Sanktionen vorzusehen. Sollen bspw. Verstöße gegen einen Branchenkodex mit dem Ausschluss aus dem Branchenverband geahndet werden, so ist auch sicherzustellen, dass der Verband das Mitglied entlässt.

[20] Streitschlichtungsverfahren im Rahmen der Selbstregulierung erscheinen für die Durchsetzung der Betroffenenrechte ungeeignet, wenn die Streitschlichtungsstelle von einem Industrieverband oder einer privaten kostenpflichtigen Stelle betrieben wird. Private Streitschlichtungsverfahren haben ihre Bedeutung unter gleichrangigen Kontrahenten wie bspw. unter Kaufleuten. In typischen Datenschutzfällen besteht aber ein asymmetrisches Machtverhältnis zwischen dem Betroffenen und der Daten verarbeitenden Stelle. Im Rahmen der regulierten Selbstregulierung wäre daher sicherzustellen, dass die Streitschlichtungsstelle sachlich und finanziell unabhängig ist und für die Betroffenen kostenlos.

[21] Das Gros der Verarbeitung personenbeziehbarer Daten finden gegenwärtig ohne Wissen der Betroffenen und oft im Rahmen sog. „Big Data“-Datenverarbeitungen statt. Es muss daher Aufgabe der unabhängigen Datenschutzbeauftragten bleiben, die Rechte der Betroffenen unabhängig von diesen gegenüber den Organisationen zu vertreten und durchzusetzen.

Beispiel: Zertifzierung und Audit

[22] Eine Möglichkeit, der fehlenden Rechtsdurchsetzung durch regulierte Selbstregulierung zu begegnen, stellen Datenschutzzertifizierungen und Audits dar. Aussagekraft erhalten solche Instrumente, wenn ihre Anforderungen und Ergebnisse streng an den gesetzlichen Vorgaben ausgerichtet (Compliance) werden und Mindestanforderungen der Transparenz durch Veröffentlichung von Kriterien und Ergebnissen sowie der Unabhängigkeit der Vergabe erfüllt werden. Auch hier wäre ein verlässlicher normativer Prüfrahmen erforderlich, der Rechtssicherheit ermöglicht und Forumshopping im Hinblick auf Kriterien und Prüftiefe verhindert. Eine Kontrolle der Zertifizierer und qualifizierte Zulassung und Entzug der Akkreditierung sind in einem Verfahren zu regeln und dafür Durchsetzungsmöglichkeiten zu schaffen.

Fazit: Kein effektiver Grundrechtsschutz durch Selbstregulierung

[23] Einfache Selbstregulierung ist für die Ausgestaltung der Rechtsräume im Datenschutzrecht ungeeignet. Der gegenwärtig gescheiterte Versuch, über das World Wide Web Konsortium (W3C) einen Interessensausgleich zwischen Internetnutzern und der Werbeindustrie für einen technischen Do-Not-Track-Standard im Rahmen einer Selbstregulierung zu schaffen, zeigt, dass Industrieinteressen im Datenschutz nicht identisch oder auch nur gleichgerichtet mit den Interessen der Betroffenen sind. Eine Selbstregulierung bedeutet für die Betroffenen daher immer nur Minimalschutz und dies auch nur, soweit Gesetzgebungsbestrebungen abgewendet werden sollen.

[24] Selbstregulierung schafft keine verlässliche Kontrolle. Organisationen, die sich selbst kontrollieren, haben einerseits ein finanzielles Interesse am Bestehen ihrer Klientel, andererseits üblicherweise nur einen Blick für Risiken, die sie selbst betreffen. Angriffsszenarien aus der Organisation selbst, die sich gegen Betroffeneninteressen richten, wie sie typischerweise vom Datenschutz erfasst werden, bleiben zumeist außen vor.

[25] Ohne eine wirksame Rechtsdurchsetzung bestehender Regelungen fehlt es für eine freiwillige regulierte Selbstregulierung an Anreizen.

[26] Selbstregulierung erscheint damit weitestgehend als ein ungeeignetes Instrument, um das informationelle Ungleichgewicht zwischen GrundrechtsträgerInnen und Organisationen auszugleichen.

Fußnoten

1 Wolfgang Schulz, Thorsten Held, Regulierte Selbstregulierung als Form modernen Regierens, Im Auftrag des Bundesbeauftragten für Angelegenheiten der Kultur und der Medien. Endbericht. Arbeitspapiere des Hans-Bredow-Instituts Nr. 10, Hamburg, Mai 2002.

2 Nach Auffassung des Bundesministeriums des Innern bedeutet Selbstregulierung, „dass sich eine Gruppe von Unternehmen oder Personen bestimmte Regeln, Standards oder Normen selbst setzt und diese nach dem Prinzip der Freiwilligkeit auch durchsetzt.“ Es spricht von regulierter Selbstregulierung, „wenn der Staat dafür den Rahmen vorgibt und insbesondere die Anforderungen an das Verfahren der Selbstregulierung bestimmt.“ URL: http://www.bmi.bund.de/DE/Themen/IT-Netzpolitik/Internet-Netzpolitik/Selbstregulierung.

3 Ebenda.

4 Chris Connolly (Galexia), US Safe Harbor – Fact or Fiction?, Privacy Laws and Business International, Heft 96, Dezember 2008, URL: http://www.galexia.com/public/research/assets/safe_harbor_fact_or_fiction_2008.

Marit Hansen

Hemmnisse für Privacy by Design

[1] Privacy by Design“ wird unter vielen Bezeichnungen (Datenschutz durch Technik, Systemdatenschutz, Datenschutz durch Prozessgestaltung) seit Jahrzehnten konzipiert, Forschung und Entwicklung von „Privacy Technologies“ (oder „Privacy-Enhancing Technologies“, datenschutzfreundliche Technik, datenschutzfördernde Technik) gibt es ebenso lange. Allerdings sind die Auswirkungen auf die Praxis der Datenverarbeitung bislang marginal. In diesem Beitrag werden wichtige Gründe dafür diskutiert.

Rückblick

[2] Für Mitte der 1990er Jahre sind mehrere parallele Strömungen in Bezug auf Datenschutz zu erkennen: 1995 wurde mit der Europäischen Datenschutz-Richtlinie die Harmonisierung des Datenschutzrechts innerhalb der EU vorangetrieben. Dies wirkte sich auch auf die rechtlichen Normen in den Mitgliedstaaten aus, die die Richtlinie in ihr Recht implementieren mussten. Von der Richtlinie gehen kaum Impulse für Datenschutztechnik aus; sie beschränkt sich im technischen Bereich auf die herkömmliche Anforderung geeigneter technischer und organisatorischer Maßnahmen. Zu diesem Zeitpunkt hatten die Datenschutzbehörden der Niederlande (Registratiekamer) und von Ontario, Kanada (Information and Privacy Commissioner Ontario) eine Studie „The Path to Anonymity“ [van Rossum et al. 1995] vorgestellt, die einige technische und organisatorische Ideen zur Datenvermeidung und Datensparsamkeit zusammenfasste.

[3] Furch das Prägen des Begriffs „PETs“ für „Privacy-Enhancing Technologies“ durch John Borking fand das Konzept den Weg in die Diskussion innerhalb der Datenschutz-Community [Borking 1996], sowohl international [Burkert 1997] als auch in Deutschland. Der AK Technik erstellte daraufhin ein Arbeitspapier „Datenschutzfreundliche Technologien“ [AK Technik 1997]. „Privacy-Enhancing Technologies“ wurden zusammen mit Systemdatenschutz und Selbstdatenschutz konzeptionell als ein wichtiger Baustein für Datenschutz aufgefasst, und Instrumente wie Datenschutz-Audit und Datenschutz-Gütesiegel sollten dies verstärken. In diesem Zuge begann eine Diskussion über einen weiteren juristischen Novellierungsbedarf, der u.a. in Deutschland im Gutachten „Modernisierung des Datenschutzrechts“ [Roßnagel et al. 2001] mündete, das zwar viel Beachtung fand, dessen Vorschläge aber kaum aufgegriffen wurden. Ein Grund dafür liegt in den Ereignissen des 11. September 2001, die jegliche Datenschutzaktivität des Innenministeriums als Gesetzgeber und Auftraggeber des Modernisierungsgutachtens ausbremsten und in der Priorisierung nach hinten verschoben.

Soft Law

[4] Immerhin hatte die Diskussion seit der Mitte der 1990er Jahre dazu geführt, dass in Deutschland die Prinzipien Datenvermeidung und Datensparsamkeit im Telemedienrecht sowie im Bundesdatenschutzgesetz ihren Platz fanden. Die Einschätzung von Hans Peter Bull, diese Prinzipien seien anachronistisch und von „übermäßiger Angst vor der Technik“ geprägt [Bull 2013], zeigt weder ein ausreichendes technisches noch juristisches Verständnis von der Materie.

[5] Jedoch sind genau diese Regelungen, die Anforderungen an Technikgestaltung stellen, zahnlos: Sie gelten als „Soft Law“ – eine nette Empfehlung, mehr nicht. Sanktionen bei Nichterfüllung sind nicht vorgesehen. Durch die zu wenig konkrete Formulierung der normativen Anforderungen entsteht das Problem, dass kaum Einigkeit in ihrer Auslegung bestünde, wollte man sie anwenden. Das AK-Technik-Papier zu datenschutzfreundlichen Technologien ist nicht geeignet (und war auch nicht zu diesem Zweck geschrieben worden), um als Maßstab für eine Beurteilung zu dienen. Eine Fortschreibung hat es nie gegeben.

[6] Im Vorschlag der Europäischen Datenschutz-Grundverordnung, der im Januar 2012 vorgestellt wurde, ist eine Regelung aufgenommen worden, die „Data Protection by Design“ adressiert. Artikel 23 beschreibt die Anforderungen in Bezug auf „Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen“. Gefordert ist die Anwendung geeigneter Maßnahmen, um die Beachtung der Datenschutzvorschriften sicherzustellen und nachzuweisen. Unterbleibt dies, ist gemäß Artikel 79 Nr. 6 eine Sanktionierung möglich (Geldbuße bis zu 1.000.000 EUR oder im Fall eines Unternehmens bis in Höhe von 2% seines weltweiten Jahresumsatzes). Doch auch hier bleiben die Formulierungen im Allgemeinen, so dass realistisch verantwortliche Stellen wohl kaum irgendwelche negativen Folgen in diesem Punkt befürchten müssten.

[7] Adressat der rechtlichen Datenschutznormen ist die verantwortliche Stelle. Nimmt man „Privacy by Design“ und „Privacy Technology“ ernst, müssen jedoch Entwickler, Hersteller und Betreiber von informationstechnischen Systemen (Produkte, IT-gestützte Dienstleistungen und die sie unterstützenden Infrastrukturen) ebenfalls in die Pflicht genommen werden. Das war auch so von der Artikel 29-Datenschutzgruppe gefordert worden [Art. 29-Datenschutzgruppe 2009], findet sich aber nicht in dem im Januar 2012 vorgelegten Entwurf für eine Europäische Datenschutz-Grundverordnung. Immerhin hat der Entwurf des Parlaments durch den Rapporteur Jan Philipp Albrecht derartige Regelungen aufgenommen.

Aussitzen statt Compliance

[8] In einigen Fällen finden sich jedoch sogar konkretere Regelungen im Recht. Doch heißt das noch lange nicht, dass solche rechtlichen Vorgaben durchgesetzt werden. – Beispiel: Novellierung der E-Privacy-Richtlinie, Opt-in für Cookies. Das Argument lautet: Hierbei hätten diejenigen Firmen, deren Produkte oder Dienste so verändert würden, dass sie rechtskonform sind, einen Nachteil im Markt gegenüber denjenigen, die sich rechtswidrig verhalten.

[9] Aufsichtsbehörden dürfen aber nicht untätig sein,und dasselbe gilt im Gütesiegel-Verfahren: Die Rechtskonformität ist Voraussetzung, um ein seriöses Datenschutz-Gütesiegel zu erhalten. Einen Anreiz für „Privacy by Design“ gäbe es dann, wenn diejenigen, die sich an das Datenschutzrecht halten, einen Vorteil statt einen Nachteil erhalten – und dafür wäre das konsequente Vorgehen gegen alle notwendig, die das Recht ignorieren.

[10] Alternativ wäre die rechtliche Regelung anzupassen, so dass klar ist, was der Gesetzgeber gemeint hat und durchzusetzen gewillt ist. Das ist eigentlich eine Selbstverständlichkeit. Ein Verhaltensmuster von Politikern, Regierungen und vielen Aufsichtsbehörden, solche Probleme auszusitzen, läuft „Privacy by Design“ zuwider.

Recht ist nicht privacy-technikneutral

[11] Bei der Gestaltung von Rechtsnormen wird häufig „Technikneutralität“ gefordert. Dies wird oft so interpretiert, dass keine besonderen Hardware- oder Software-Installationen vorausgesetzt werden dürfen. Im Bereich der Biometrie in Ausweisdokumenten hat es dazu geführt, dass (universell auswertbare) Vollbild-Daten gegenüber (datensparsameren, aber von Anbietern abhängigen) Templates bevorzugt werden. Die Bürgerportale, bei denen zunächst eine echte und direkt unterstützte Ende-zu-Ende-Verschlüsselung im Bereich des Möglichen schien, mussten sich bei aller Funktionalitätsanforderung auf einen SSL-fähigen Browser auf Nutzerseite beschränken.

[12] Die eID-Technik des neuen Personalausweises, die zumindest in Teilen als „Privacy Technology“ gezählt werden kann, benötigt den nPA sowie ein Lesegerät mit Software auf der Client-Seite und ein Berechtigungszertifikat auf Server-Seite. Die angebliche Technikneutralität der im Juni 2012 vorgeschlagenen EU-Verordnung über die elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt würde verhindern, dass Nutzende mit deutschem nPA dieselbe Technik im europäischen Ausland einsetzen – Pseudonyme und Attributselektion sind ebensowenig vorgesehen wie die Installation von Hard- oder Software auf (ausländischer) Anbieterseite.

[13] Eine so gelebte Technikneutralität würde auf Dauer eine Weiterentwicklung gegenüber dem aktuellen Zustand „Nutzer mit SSL-fähigem Browser“ verhindern. Schlimmer noch: Der Trend zu mobiler Nutzung mit Tablets, Smartphones und Cloud-Anbindung führt zu noch weniger Möglichkeiten für eine Kontrolle durch die Nutzenden selbst auf Client-Seite.

[14] Zur „Privacy Technology“ werden auch Selbstdatenschutz-Tools gerechnet. Allerdings würde es rechtlich nicht ausreichen, wenn sich die verantwortliche Stelle darauf verließe, dass die Nutzerinnen und Nutzer Selbstdatenschutz-Tools installieren und nach ihren Wünschen konfigurieren. Selbstdatenschutz-Tools helfen der Stelle also in der Regel nicht zur Erreichung von Rechtskonformität.

[15] Daneben ist es technisch nicht trivial, solche Tools auf IT-Systemen mit unterschiedlicher Ausstattung und ständigen Updates (z. B. beim Betriebssystem oder im Browser) funktionsfähig zu halten. Dies überfordert in der Regel kleine Anbieter, und nur wenige Open-Source-Projekte schaffen es, immer neue Versionen zu produzieren. Zentrale Systeme – ohne Abhängigkeiten von den verschiedenen Plattformen der Clients – sind deutlich einfacher zu betreiben und zu warten, und es können eher Sicherheitsgarantien gegeben werden als bei verteilten Systemen.

Warum etwas ändern?

[16] Die wenigsten verantwortlichen Stellen haben sich mit „Privacy by Design“ oder „Privacy Technologies“ beschäftigt, geschweige denn ihre Datenverarbeitungssysteme entsprechend gestaltet. Änderungen sind stets mit Risiken und Kosten verbunden, und daher werden sie häufig vermieden, solange ihre Dringlichkeit nicht überdeutlich wird (z. B. durch Sicherheitsvorfälle, Prüfungen von Aufsichtsbehörden, Nachfragen von Kunden oder Positionierung von Konkurrenten). „Privacy by Design“ ist kein Modul, das sich einfach dazustecken lässt, sondern es ist zumeist nötig, alle damit zusammenhängenden Prozesse zu überprüfen und entsprechend anzupassen.

[17] Ein wichtiges Prinzip vieler Datenschutz-Techniken ist die Trennung (Nicht-Verkettbarkeit) der Prozesse und der verarbeiteten Daten. Eine echte Separierung erfordert eine Aufteilung der Daten auf mehrere, voneinander unabhängige Parteien, denn bei einer echten Nicht-Verkettbarkeit darf nicht alles in einer Hand laufen. Dies kann z.B. bei Anonymisierungsinfrastrukturen über Mixe geschehen, bei denen die Anonymität solange garantiert ist, wie nicht alle Mixe einer Route bei der Aufdeckung von Daten kooperieren. Auch attribut-basierte Credentials, die Ausweissysteme ersetzen könnten und in ihrem Potenzial für mehr Datenschutz das des neuen Personalausweises deutlich übersteigen, beruhen darauf, dass eine Aufdeckung von hinterlegten Identitätsdaten nur unter vorab definierten Bedingungen ermöglicht wird und wiederum verschiedene Parteien mitwirken.

[18] Solche Ansätze haben ein großes Einsatzfeld. Ihr besonderer Mehrwert liegt darin, dass sogar auf Daten verzichtet werden kann, die traditionell erhoben werden und bei denen Aufsichtsbehörden die Erforderlichkeit bislang nicht infrage gestellt haben [ENISA 2008]. Beispielsweise könnten berechtigte Nutzer ein Online-Angebot nutzen, für das sie bestimmte Nachweise (z.B. Volljährigkeit, Bestandenhaben eines Kurses, Berufsabschluss, Mitgliedschaft) vorlegen müssen, ohne dass der Anbieter Identitätsdaten wie Namen oder Adresse erfährt – außer im Missbrauchsfall. Außerdem ließe sich das System verwenden, ohne dass das Verhalten der Nutzenden für den Anbieter verkettbar ist.

[19] Die Credential-Systeme sind jedoch komplexer als die herkömmlichen Verfahren und benötigen eine entsprechende Infrastruktur. Ohne vorhandene Infrastruktur werden Aufsichtsbehörden nicht fordern können, dass diese bereits jahrzehntealten Techniken eingesetzt werden. Zudem ergeben sich Schwierigkeiten daraus, dass Adressat der Datenschutznormen lediglich die verantwortliche Stelle ist. Juristisch und technisch ist es einfacher, wenn diese Stelle alle Daten verkettbar verarbeitet, als wenn komplexe Strukturen mit Dienstleistern (z.B. Anonymisierer oder Credential-Infrastrukturen) aufgebaut werden, deren Rollen sowie Rechte und Pflichten genau zu regeln sind – dies ist für die meisten ein unbekanntes Terrain.

[20] Dazu kommt, dass nicht jede Implementierung und Anwendung von Anonymisierern oder Credential-Verfahren automatisch datenschutzgerecht ist. Eine Überprüfung sämtlicher Datenflüsse, Verschlüsselungsverfahren und Beziehungen der beteiligten Parteien untereinander erfordert viel Wissen und ist für viele verantwortliche Stellen oder auch Aufsichtsbehörden nicht leistbar.

[21] Der Einsatzbereich von Credential-Verfahren in der öffentlichen Verwaltung müsste zu einer Überprüfung all jener Datenfelder führen, die vielfach in Gesetzen und Verordnungen als erhebungsrelevant aufgezählt werden [ENISA 2008].

Marktversagen

[22] Als man in den 1990er Jahren „Privacy by Design“ und „Privacy Technologies“ diskutiert hat, wurden große Hoffnungen in ökonomische Effekte gesetzt. In der Tat können Datenschutz-Gütesiegel einen Marktvorteil bieten. Jedoch hat sich gezeigt, dass selbst Firmen mit erhöhtem Datenschutzbewusstsein oft ein Werben mit „Privacy“ unterlassen, weil sie einen Vertrauensverlust befürchten, sollten sich (nie vollständig auszuschließende) Datenschutz- oder Informationssicherheitsvorfälle ereignen oder auch nur fälschlicherweise behauptet werden. Nebenbemerkung: Mit Rechtskonformität zu werben, erschiene albern, weil dies der untere Maßstab für alle sein soll – tatsächlich wird Datenschutzkonformität von vielen jedoch nicht erreicht.

[23] Wohl aus Marketing-Gründen betonen die Definitionen von „Privacy-Enhancing Technologies“ [Borking, Raab 2001] sowie „Privacy by Design“ [Cavoukian 2009], dass das Maximum an Datenschutz möglich ist, ohne dass dies mit einer Funktionalitätseinschränkung verbunden ist („all without losing the functionality of the data system“ [Borking, Raab 2001]). Ann Cavoukian betont, dass es sich bei „Privacy by Design“ nicht um „zero-sum“, sondern um „positive-sum“ [Cavoukian 2009] handelt. Diese positive Sicht dem Bild vom einem „Datenschutz als bürokratischer Verhinderer“ entgegenzustellen, ist vielleicht nötig, um ins Geschäft zu kommen. Aber in vielen Fällen muss in die Funktionalität eingegriffen werden, um ein System rechtskonform zu machen – z. B. wenn Zweckbindung gewährleistet werden soll, statt dass Datenbestände beliebig auswertbar sind.

[24] Für „Privacy Technologies“ an sich wird in Studien belegt, dass der freie Markt nicht ausreicht, um die Entwicklung solcher Verfahren und ihren Einsatz voranzubringen [London Economics 2010]. Daher wird empfohlen, Förderprogramme und Anschubfinanzierungen bereitzustellen.

[25] Allerdings wird abgeschichtet, welche Arten von PETs erwünscht sind: Unverblümt wird in einem aktuellen Report – angeblich pro Datenschutz – konstatiert: „Anonymität behindert Interaktion und damit wirtschaftliche Tätigkeit. Sie ist als Technik für eine neue Vertrauensinfrastruktur wirtschaftlich eher unwesentlich [...]“ [Müller et al. 2012]. Durch die Nutzung von persönlichen Daten könnten wirtschaftliche Werte geschaffen werden, deren Grundlage am wirkungsvollsten durch die Kontrolle der Verwendung und nicht durch das Verbot zur Sammlung geschützt werden könnten [Müller et al. 2012].

Unzureichende Förderpolitik, Ergebnisse kaum brauchbar

[26] Zu begrüßen ist, dass seit einigen Jahren „Privacy Technologies“ und „Privacy by Design“ Teil von Förderprogrammen geworden sind. Darüber darf man allerdings nicht vergessen, dass die Förderung von Technik, die die Privatsphäre und Persönlichkeitsrechte von Menschen verletzen kann, zumeist in einem größeren Maßstab gefördert wird.

[27] Dass in Deutschland das Bundeswirtschaftsministerium dem Programm THESEUS zum Thema „Internet der Dienste“ mehr als 100 Millionen Euro Fördermittel bereitgestellt hat, ohne dass (bis kurz vor Ende) Datenschutzthemen Teil der Betrachtungen waren, ist nur ein Beispiel für verfehlte Förderpolitik.

[28] Dazu kommt, dass immer wieder Privacy-Projekte gefördert werden, deren Resultate später nicht der Allgemeinheit zur Verfügung stehen. Dies ist besonders dann der Fall, wenn Firmen beteiligt sind, die ihre Ergebnisse als Intellectual Property interpretieren und unter Verschluss halten. Beispielsweise sind seit Jahren die „Sticky Policies“ [Pearson, Casassa Mont 2011] in der Fachliteratur zu finden, ohne dass sie den Sprung in die echten Systeme schaffen – dort, wo sie in Projekt-Umgebungen eine Rolle spielten, durften diese Code-Teile nicht herausgegeben werden.

[29] Spätestens seit dem Jahr 2000 gibt es mit Beginn der PET-Workshop-Reihe (mittlerweile: PET-Symposium) eine Community von Forschern und Entwicklern, die sich regelmäßig international trifft. Allerdings ist das, was auf den renommierten Veranstaltungen präsentiert wird, nur selten direkt nutzbar für Anwender oder Datenschutzaufsichtsbehörden. Es fehlt an umfassend entwickelten Lösungen, die mit mehr Beharrlichkeit und Ausdauer vorangetrieben werden, als dies durch die zu dem Thema arbeitenden Doktoranden und Projektstelleninhaber geleistet werden kann. Schon deswegen reicht es für „Privacy by Design“ nicht aus, eine Selektion aus dem Repository gesammelter PETs zu treffen und intelligent zusammenzustecken.

[30] Ein weiteres Problem besteht darin, dass es kaum Erkenntnisse gibt, unter welchen Bedingungen ein Kombinieren von PETs deren Datenschutzeigenschaften erhält. Es ist nämlich nicht zwangsläufig so, dass zwei PETs wieder eine PET ergeben, sondern zwei Tools, die auf verschiedene Arten Daten minimieren, können eine Verkettung mit zu vielen Daten ermöglichen. Ebenfalls ungelöst ist das Problem der Verkettbarkeit mit echten Daten, was beispielsweise im Netflix-Fall der Grund war, dass die Identitäten der Nutzenden vielfach herausgefunden werden konnten [Narayanan, Shmatikov 2006].

Migrationspfad unbekannt

[31] Legt man einen strengen Maßstab an „Privacy by Design“ und „Privacy Technology“ an, stellt man fest, dass es in fast allen Fällen zur Erreichung des Verarbeitungszwecks datensparsamere Lösungen gibt. Allerdings wirken dem oft viele Faktoren entgegen: gesetzliche Zwänge (z. B. Vorratsdatenspeicherung), Kompatibilität mit etablierten Diensten, die bestimmte Daten fordern (z. B. Schufa zur Prüfung der Kreditwürdigkeit), Tradition (z. B., dass Vor- und Nachnamen anzugeben sind), Ladungsfähigkeit, Überprüfbarkeit von Urheber- oder Lizenzrechten, Voraussetzungslosigkeit bei den IT-Systemen der Nutzerinnen und Nutzer (z.B. keine Installation von gesonderter Software), Usability (besonders wenn Datenschutztechnik kontra-intuitiv ist, z. B. bei datenschutzfördenden attribut-basierten Credentials). Der Migrationspfad zu einer Welt, die in allen Aspekten Datenschutz berücksichtigt, ist unbekannt.

[32] Transparenz – und darauf aufbauend Intervenierbarkeit – ist in den aktuellen Systemen zu schwach entwickelt. Ein großes Problem ist die mangelhafte Verständlichkeit von Datenschutz-Hinweisen wegen einer zu juristischen Formulierung oder zuviel Unschärfe in den Aussagen. Dies dient fast immer dazu, dass sich die verantwortliche Stelle rechtlich absichert. Anreize für mehr Verständlichkeit fehlen, und gerade die Unschärfen zusammen mit dem Weglassen von Informationen bieten eine gewollte Flexibilität, um Prozesse und Funktionen ad hoc zu ändern, ohne dass die Kundschaft erneut Datenschutz-Erklärungen oder AGBs bestätigen muss. Das Beharren auf juristisch formulierten und unscharfen Datenschutz-Hinweisen stellt für die verantwortliche Stelle ein geringeres Risiko gegenüber Abmahn-Kanzleien oder Gerichtsprozessen dar, als Vorreiter bei Ansätzen wie „Privacy Icons“ oder ansprechenderen Datenschutz-Hinweisen zu werden, die auf mehr Transparenz für die Betroffenen zielen.

Fazit

[33] Der Vorschlag der Europäischen Datenschutz-Grundverordnung, die Datenschutz durch Technik nunmehr aufgreift, sind ebenso wie der internationale Schulterschluss unter den Aufsichtsbehörden zu „Privacy by Design“ [PbD Resolution 2010] (solange es keine Verpflichtungen gibt) hoffnungsvolle Ansätze, die vielleicht dazu geeignet sind, das Thema voranzutreiben. Das wird nicht einfach sein – angesichts der sich häufenden Diskussionen, dass Europa nun dem US-amerikanischen Beispiel folgen sollte, die Verarbeitung personenbezogener Daten generell zu erlauben und nur in Ausnahmen zu untersagen, und angesichts der Realitäten zur Big Data-Verarbeitung.

Literatur

[AK Technik 1997] AK Technik der Datenschutzbeauftragten des Bundes und der Länder: Arbeitspapier „Datenschutzfreundliche Technologien“. 1997. http://www.datenschutz-bayern.de/technik/grundsatz/apdsft.htm.

[Art. 29-Datenschutzgruppe 2009] Artikel 29-Datenschutzgruppe/Arbeitsgruppe Polizei und Justiz: Die Zukunft des Datenschutzes. Gemeinsamer Beitrag zu der Konsultation der Europäischen Kommission zu dem Rechtsrahmen für das Grundrecht auf den Schutz der personenbezogenen Daten. Annahme am 1. Dezember 2009. 02356/09/DE, WP 168. http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2009/wp168_de.pdf.

[Borking 1996] Borking, John: Der Identity Protector. DuD, 1996, S. 654 ff. https://www.datenschutzzentrum.de/sommerakademie/1996/sa96bork.htm.

[Borking, Raab 2001] Borking, John/Raab Charles: Laws, PETs and other Technologies for Privacy Protection. Journal of Information, Law & Technology (JILT) Issue 1, 2001. http://www2.warwick.ac.uk/fac/soc/law/elj/jilt/2001_1/borking/.

[Bull 2013] Bull, Hans Peter: Netzpolitik: Freiheit und Rechtsschutz im Internet. Nomos, 2013.

[Burkert 1997] Burkert, Herbert: Privacy-Enhancing Technologies: Typology, Critique, Vision. In: Agre, Philip E./Rotenberg, Marc (Hrsg.): Techno- logy and Privacy: The New Landscape. Cambridge, 1997. S. 125 ff.

[Cavoukian 2009] Cavoukian, Ann: Privacy by Design ... Take the Challenge. 2009. http://www.privacybydesign.ca/content/uploads/2010/03/PrivacybyDesignBook.pdf.

[ENISA 2008] ENISA Ad Hoc Working Group on Privacy & Technology: Technology-induced challenges in Privacy & Data Protection in Europe. October 2008. http://www.enisa.europa.eu/activities/risk-management/files/deliverables/technology-induced-challenges-in-privacy-data-protection-in-europe.

[London Economics 2010] Study on the economic benefits of privacy-enhancing technologies (PETs). Final Report to The European Commission, DG Justice, Freedom and Security. Prepared by July 2010. http://ec.europa.eu/justice/policies/privacy/docs/studies/final_report_pets_16_07_10_en.pdf.

[Müller et al. 2012] Müller, Günter/Flender, Christian/Peters, Martin: Vertrauensinfrastruktur und Privatheit als ökonomische Fragestellung. In: Buchmann, Johannes (Hrsg.): Internet Privacy. Eine multidisziplinäre Bestandsaufnahme/A multidisciplinary analysis. acatech Studie. acatech – Deutsche Akademie der Technikwissenschaften. München, 2012. S. 143 ff. http://www.acatech.de/de/publikationen/publikationssuche/detail/artikel/internet-privacy.html.

[Narayanan, Shmatikov 2006] Narayanan, Arvind/Shmatikov, Vitaly: Robust De-anonymization of Large Datasets (How to Break Anonymity of the Netflix Prize Dataset). CoRR. arxiv cs/0610105. 2006.

[PbD Resolution 2010] 32nd International Conference of Data Protection and Privacy Commissioners: Privacy by Design Resolution. 27–29 October 2010, Jerusalem, Israel. http://www.ipc.on.ca/site_documents/pbd-resolution.pdf.

[Pearson, Casassa Mont 2011] Pearson, Siani/Casassa Mont, Marco: Sticky Policies: An Approach for Managing Privacy across Multiple Parties. IEEE Computer Magazine, Vol. 44, Nr. 9, S. 60–68. September 2011.

[Roßnagel et al. 2001] Roßnagel, Alexander/Pfitzmann, Andreas/Garstka, Hansjürgen: Modernisierung des Datenschutzrechts. Gutachten im Auftrag des Bundesministeriums des Innern. Berlin, 2001.

[van Rossum et al. 1995] van Rossum, H./Gardeniers, Huib/Borking, John u.a.: Privacy-Enhancing Technologies: The Path to Anonymity, Volume I und II. Hrsg. von Registratiekamer, The Netherlands & Information and Privacy Commissioner/Ontario, Canada, 1995. http://www.cbpweb.nl/downloads_av/av11.pdf (Link zur überarbeiteten Version von 2000).

Jörg Pohle

Kausalitäten, Korrelationen und Datenschutzrecht

Abstract. Korrelationsbasierte Verfahren haben in den letzten Jahren einen starken Aufschwung genommen. Sie sind aber aus der Sicht des Datenschutzes besonders problematisch, da sie nicht den impliziten Annahmen über Verfahren und Verfahrensgestaltung entsprechen, die seit den 70er Jahren die spezifische Ausprägung der Phasenorientierung und die Ausgestaltung des Erforderlichkeitsbegriffes bestimmten. Neben einer Stärkung des Prinzips der Datenvermeidung und Datensparsamkeit als Ersatz für den zahnlos gewordenen Erforderlichkeitsbegriff in diesem Bereich bedarf es vor allem einer Reformulierung der rechtlichen Anforderungen unter Verwendung von Datenschutz-Schutzzielen. Außerdem sind besondere Anforderungen an die Einwilligung der Betroffenen, an die Weitergabe und die Nutzung der dabei erzeugten Daten sowie an die Datensicherheit zu stellen, wenn korrelationsbasierte Verfahren zum Einsatz kommen.

A Einleitung

[1] In den letzten Jahren hat die Verwendung korrelationsgestützter Algorithmen bei der Verarbeitung personenbezogener Daten stark zugenommen. Dabei wird mit statistischen Methoden in vorhandenen Daten nach Verbindungen zwischen den Daten gesucht, die dann zur Grundlage von Entscheidungen gemacht werden. Einer der Hauptgründe dafür ist die gesteigerte Benutzerfreundlichkeit von darauf basierenden Auswertungsprogrammen und ihre vermehrte Einbindung in Standardprogramme. Gemessen an ihrer steigenden praktischen Relevanz ist das Fehlen jeder eingehenden Auseinandersetzung mit ihren gesellschaftlichen Folgen im Allgemeinen und ihren datenschutzrechtlichen Folgen im Besonderen sowohl erstaunlich als auch unverzeihlich.1

[2] Im Folgenden soll der Versuch unternommen werden, den Einsatz korrelationsbasierter Algorithmen datenschutzrechtlich einzuordnen. Zuerst wird ein kurzer Überblick über Informationsverarbeitung und die Gestaltung von Informationsverarbeitungprozessen und deren datenschutzrechtliche Einordnung gegeben. Anschließend wird der Übergang von kausalitätsbasierten zu korrelationsbasierten Ansätzen bei der Informationsverarbeitung mit seinen Gründen und Folgen dargestellt. Aufbauend auf diesen beiden Teilen können dann die Folgen des Einsatzes korrelationsbasierter Verfahren aus datenschutzrechtlicher Sicht dargestellt werden. Es wird erläutert, warum die derzeitigen datenschutzrechtlichen Regelungen in ihrer konkreten Ausprägung bei der rechtlichen Einhegung von korrelationsgestützten Verfahren an ihre Grenzen stoßen. Abschließend wird ein breit gefächerter Lösungsansatz skizziert.

[3] Der Text richtet sich in erster Linie an Rechtswissenschaftlerinnen und Rechtswissenschaftler. Informatische Vorbildung wird nicht vorausgesetzt. Die damit notwendig einhergehende Verkürzung nimmt der Autor in Kauf und versucht sie zu minimieren.

B Informationsverarbeitung und Datenschutzrecht

[4] Das Bundesdatenschutzgesetz – und damit alle Gesetze, die seine Grundarchitektur2 übernommen haben – basiert seit Anbeginn auf zwei „Säulen“: einer individualistisch geprägten und auf die Grundrechte zurückgehenden Menge von Betroffenenrechten und einer systemtheoretisch fundierten, strukturalistisch ausgerichteten und sich aus dem Staatsorganisationsrecht speisenden Regelung von Informationsverarbeitungsprozessen und deren Gestaltung.3 Aus Sicht der Informatik ist diese Trennung grundsätzlich sinnvoller und hilfreicher als eine insbesondere von den meisten Zivilrechtlern geforderte Trennung zwischen öffentlichem und nicht-öffentlichem Bereich:4 Sowohl das Vorgehen bei der Organisations- und Technikgestaltung als auch die Technik und ihr Einsatz sind im öffentlichen Bereich die gleichen wie im nicht-öffentlichen. Der im Datenschutzrecht als Verfahren bezeichnete Informationsverarbeitungsprozess findet seine Entsprechung in den Begriffen Geschäftsprozess und use case, die zentral für die Technikentwicklung sind. Das Recht stellt dabei – das ist die zweite „Säule“ – rechtliche Anforderungen an den Ablauf der Informationsverarbeitung – und tritt damit als besondere Form eines Auftraggebers5 auf –, die dann als Grundlage für die Technikgestaltung dienen. Die Betroffenenrechte auf der anderen Seite wirken direkt als Forderung nach Verfahren, nämlich gerade solchen, mit denen die verantwortlichen Stellen die Betroffenenrechte bedienen können.6

[5] Zum besseren Verständnis wird im Folgenden zuerst der im Datenschutzrecht verwendete Informationsbegriff geklärt. Anschließend werden die Begriffe Zweck, Kausalität und Modell mit ihrer Verbindung zum Datenschutzrecht erläutert. Darauf aufbauend wird dargestellt, wie Informationsverarbeitungsprozesse aus Sicht von Organisationen und Datenschutz aussehen und wie sie unter Kontrolle gebracht werden sollen. Abschließend wird gezeigt, wie sich datenschutzrechtliche Anforderungen in den Prozess der Verfahrensgestaltung integrieren lassen.

I Der Informationsbegriff im Datenschutzrecht

[6] Der Begriff Datum, den das Datenschutzrecht verwendet,7 ist ein Informationsbegriff. Entgegen anderer Annahme8 handelt es sich weder um Gregory Batesons biokybernetischen noch um Claude Shannons technischen Informationsbegriff. Stattdessen liegt dem Datenschutzrecht der Informationsbegriff der Semiotik mit seinen vier Dimensionen Syntax, Semantik, Pragmatik und Sigmatik zugrunde.9 Dabei wird mit Syntax die konkrete, meist zeichenmäßige Repräsentation, mit Semantik die Bedeutung und mithin der Kontext, mit Pragmatik der Zweck und mit Sigmatik der Verweis auf die betroffene Person bezeichnet und damit rechtlich regulierbar. Auch aus Informatiksicht ist das sinnvoll: Zwar können technische Systeme Zeichenfolgen ausschließlich syntaktisch verarbeiten, die Informatik hat allerdings inzwischen langjährige Erfahrung, die anderen Dimensionen datentechnisch, d. h. syntaktisch, unter Verwendung von Meta-Daten zu simulieren.10

II Zwecke, Kausalitäten, Modelle

[7] Im Datenschutzrecht werden Zwecke als gegeben vorausgesetzt, die von nicht-öffentlichen Stellen typischerweise selbst gesetzt werden, während sie öffentlichen Stellen meist gesetzlich vorgegeben sind.11 Erst vor dem Hintergrund dieser gegebenen Zwecke werden die ihnen dienenden Informationsverarbeitungsprozesse datenschutzrechtlich betrachtet. Allein legitim müssen die Zwecke sein. Abstrakter Zweck der vom Datenschutzrecht betrachteten organisierten Informationsverarbeitung ist die Produktion von Entscheidungen.

[8] Kausalitäten sind Ursache-Wirkung-Relationen zwischen Ereignissen oder Zuständen mit einer festen zeitlichen Richtung – auf die Ursache folgt die Wirkung. Es handelt sich nicht um eine zufällig auftretende Verbindung zwischen den Ereignissen oder Zuständen. Insoweit kann davon gesprochen werden, dass Kausalitäten inhaltliche Aussagen zulassen.12

[9] Modelle sind Abbildungen von etwas für jemanden für einen Zweck.13 Sie sind Mengen von (mindestens angenommenen) Kausalitäten,14 (möglichst) strukturäquivalent zum abgebildeten Urbild, in jedem Fall allerdings mit reduzierter Komplexität.15 Sie werden von jemandem erstellt16 und zwar für jemanden. Dieser ist es auch, der den Zweck vorgibt. Mit der Zweckvorgabe werden die Modelle beschränkt – tendenziell so weit, dass sie sich nicht oder nur sehr schwer für andere Zwecke einsetzen lassen. Neben der Zwecksetzung hat der Auftraggeber und Nutznießer des Modells auch weitgehend Kontrolle über den Prozess der Modellbildung selbst und kann dabei insbesondere steuern, welche Ereignisse oder Zustände entweder analysiert oder gerade von der Analyse ausgeschlossen werden, welche Prioritäten ihnen dabei jeweils zugeordnet werden etc.

III Verfahren und Phasen der Informationsverarbeitung

[10] Der Begriff Verfahren wird im Umfeld des Datenschutzrechts in zwei unterschiedlichen Bedeutungen verwendet: Einmal als Gesamtheit eines Informationsverarbeitungsprozesses vom Erheben bis zum Löschen der personenbezogenen Daten, das dem Ziel der Zweckerreichung dient,17 und zum anderen als Art und Weise, in der einzelne Verarbeitungsschritte umgesetzt sind.18 In seiner ersten Bedeutung entspricht ein Verfahren mit seinen Bestandteilen Informationen, Systeme und Prozesse19 dem, was in Organisationslehre und Informatik – und dort vor allem in der Softwareentwicklung – als Geschäftsprozess oder use case bezeichnet wird.

[11] Organisationen haben ein Interesse daran, ihre Verfahren kontrollierbar zu gestalten. Nur Kontrollierbarkeit ermöglicht den Nachweis von Verfahrenseigenschaften. Während öffentliche Stellen an die Rechtmäßigkeit des Verwaltungshandelns gebunden sind und diese dementsprechend nachweisen müssen, bezieht sich die Nachweispflicht in nicht-öffentlichen Stellen vor allem auf die Erreichung von Organisationszielen (etwa Produktionsmenge, Umsatz, Gewinn, Marge o. a.) und die dafür aufgewendeten Mittel (dabei vor allem ihre Effizienz). An diese schon aus Organisationssicht notwendige Kontrollierbarkeit von Verfahren knüpfte in den 70er Jahren der Datenschutz an und formulierte eine datenschutzspezifische Nachweispflicht für Verfahren: Verantwortliche Stellen müssen die Datenschutzkonformität ihrer Informationsverarbeitungsverfahren gegenüber Betroffenen und Datenschutzaufsicht nachweisen können.20

[12] Die Architekten des Datenschutzrechts gingen zu Beginn der 70er Jahre davon aus, dass alle Verfahren in einzelne Verfahrensschritte zerlegt werden könnten.21 Ein jeder Verfahrensschritt entspricht dabei einer der Verarbeitungsphasen des Datenschutzrechts: Erheben, Verarbeiten (Speichern, Verändern, Übermitteln, Sperren, Löschen), Nutzen, Anonymisieren, Pseudonymisieren. An jede Phase werden dann datenschutzrechtliche Anforderungen gestellt.22 Die Kontrollierbarkeit des Verfahrens insgesamt ist dabei gerade dann gegeben, wenn jeder einzelne Schritt kontrollierbar ist. Das Ganze ist also – jedenfalls in den Vorstellungen des Datenschutzrechts – genau die Summe seiner Teile.

IV Verfahrensgestaltung und Datenschutzrecht

[13] In Bezug auf das Vorgehen bei der Verfahrensgestaltung, an das sich das Datenschutzrecht mit seinen Anforderungen anbindet, müssen die Vorstellungen der 70er Jahre zugrunde gelegt werden.23

Abbildung 1: Modell und Zweck. In dem hier dargestellten Modell gibt es drei mögliche Verfahren, die mit unterschiedlich vielen Informationen (links als „Input“ des Modells) den gleichen Zweck („Output“ des Modells) erreichen können.

[14] Gegeben sei ein legitimer Zweck, zu dessen Erreichen die Organisation Informationen verarbeiten muss. Ob sie dazu personenbezogene Informationen braucht, entscheidet sich auf der Basis der von der Organisation entwickelten Modelle. Die Modellbildung unterliegt damit datenschutzrechtlichen Anforderungen. In neuerer Zeit werden diese Anforderungen mit den Begriffen Datenvermeidung und Datensparsamkeit bezeichnet.24 Historisch sollte die Modellbildung durch die Forderung nach Erforderlichkeit gesteuert werden.25

Abbildung 2: Modell, Zweck und Verfahren.

[15] In den Modellen sind Mengen von Kausalitätsbeziehungen zwischen Ereignissen eingespeichert, mit deren Hilfe sich feststellen lässt, welche personenbezogenen Informationen zur Zweckerreichung dienen können. Die Kausalitäten müssen dabei nicht wahr sein. Es reicht, wenn diejenigen, die diese Modelle einsetzen wollen, hinreichend davon überzeugt sind, dass die Kausalitäten korrekt ermittelt wurden. Selbst für eine rationale Organisation ist es hinreichend, dass es sich um sinnvolle Annahmen handelt.26 Nicht nur lassen sich für einen gegebenen Zweck häufig unterschiedliche Modelle erstellen, in einem gegebenen Modell gibt es meistens auch mehrere Wege, d. h. Ketten von Kausalitätsbeziehungen, die zur Zweckerreichung tauglich sind. Als Eingabe erwartet jeder dieser Wege eine Menge von Informationen, entweder mit oder ohne Personenbezug,27 und produziert als Ausgabe gerade die Zweckerreichung. Die Mengen der jeweils notwendigen Informationen sind unterschiedlich groß. Das Gebot der Datensparsamkeit fordert dann die Wahl desjenigen Weges, der die kleinste Datenmenge zur Entscheidungsproduktion erfordert (Abb. 2).

Abbildung 3: Modell, Zweck, Verfahren und Phasen. Jede Phase kann dabei durchaus mehr als einmal im Laufe eines Verfahrens vorhanden sein.

[16] Der Weg wird in Schritten – oder Operationen oder Arbeitsaufgaben – abgelaufen bzw. abgearbeitet.28 Für die einzelnen Schritte kann daraufhin entschieden werden, ob und wie sie automatisiert oder generell technisch unterstützt werden können. Für die Technikgestaltung werden dazu inzwischen fast durchgängig graphische Werkzeuge und Modellierungssprachen wie UML eingesetzt. Deren Vorteil besteht vor allem darin, dass die damit erstellten Abbilder der Informationsverarbeitungsprozesse zumindest für Domänenexpertinnen und -experten sowie Datenschutzbeauftragte vergleichsweise leicht verständlich sind, selbst wenn sie sie nicht selber erstellen können. Die einzelnen Verarbeitungsschritte werden dann so zusammengefasst, dass die dabei entstehenden Gruppen jeweils einer Phase im Sinne des Datenschutzrechts entsprechen, d. h. alle Schritte, die sich mit dem Erheben von personenbezogenen Informationen beschäftigen, werden der Phase „Erheben“ zugeordnet usw. Am Ende muss das gesamte Verfahren, zumindest wo es auf die Verarbeitung personenbezogener Informationen setzt, vom datenschutzrechtlichen Phasenmodell überdeckt werden (Abb. 3).

[17] Unter Verwendung der datenschutzrechtlichen Anforderungen an die einzelnen Verarbeitungsphasen muss das Verfahren dann überarbeitet werden. Neben den Geboten der Datenvermeidung und Datensparsamkeit, die in dieser Phase der Verfahrensgestaltung vor allem durch die Verwendung von Anonymisierungs- und Pseudonymisierungstechniken umgesetzt werden können, sind hier insbesondere die Folgen für die Organisationsgestaltung zu beachten, die sich dann auch wieder technisch abbilden lassen, etwa als rollenbasiertes Rechtemodell. Der praktisch aufwendigste Abschnitt dieser Phase der Verfahrensgestaltung ist die Ableitung konkreter rechtlicher Anforderungen aus den weit verstreuten Rechtsquellen des Datenschutzes. Im Normalfall muss jedes Verfahren genau zwei Mal hinsichtlich der Erfüllung datenschutzrechtlicher Anforderungen überarbeitet werden: Die bei der ersten Überarbeitung aus Datenschutzgründen eingefügten Verfahrensschritte – dazu gehören etwa eine ordentliche Benutzerverwaltung und ein funktionierender Protokolldienst – müssen im zweiten Schritt selbst datenschutzkonform ausgestaltet werden.

[18] Die entstandenen Verfahren können dann manuell oder (teil-)automatisiert umgesetzt werden. Die Verfahren sind datenschutzkonform gestaltet, weil und soweit sie aus datenschutzkonformen Verfahrensschritten zusammengesetzt sind. Sie sind kontrollierbar, weil jeder Verfahrensschritt kontrollierbar und die Schrittfolge deterministisch – und damit auch: kontrollierbar – ist. Damit – und mit Hilfe passender Kontrolltechniken wie Protokollen – kann die verantwortliche Stelle dann die Datenschutzkonformität der Verfahrenspraxis nachweisen.

[19] Soweit die Theorie!

C Von Kausalitäten zu Korrelationen

[20] Auf Kausalitäten und Kausalitätsannahmen basierende Ansätze stoßen seit langem an Grenzen, die nachfolgend kursorisch dargestellt werden sollen. Anschließend werden korrelationsbasierte Ansätze als Alternative vorgestellt, gefolgt von den sich daraus ergebenden Änderungen für die Kontrollierbarkeit von Verfahren.

I Grenzen kausalitätsbasierter Ansätze

[21] Kausalitätsbasierte Ansätze setzen die Bildung geeigneter Modelle voraus. Dazu müssen zumindest sinnvolle Annahmen über die Kausalitäten zwischen Ereignissen getroffen werden.29 Zwei Aspekte sind dabei aus Sicht der Organisation besonders kritisch: Erstens hat die technische Entwicklung inzwischen technische Systeme hervorgebracht, die auch große Modelle effizient verarbeiten können. Dem folgend sind die typischen Modellgrößen stark gestiegen: Heute benutzte Modelle stellen oft nicht nur einen größeren Ausschnitt der Welt dar, sie sind auch gleichzeitig feiner granuliert. Mit der Vergrößerung der Modelle steigt der Aufwand zu ihrer Erstellung mindestens im gleichen Maße, sehr oft allerdings überproportional.30 Zweitens sinkt der Preis für Rechenleistung, während Personalkosten steigen. Das Interesse von Organisationen an großen, validen Modellen wird damit sowohl vom erforderlichen Aufwand wie auch von den zu erwartenden Kosten in Grenzen gehalten.

[22] Insoweit Organisationen ihre eigenen Interessen vor die Interessen aller anderen stellen, mit denen sie in Kontakt treten, reicht es, wenn Verfahren aus ihrer Sicht folgende Eigenschaften erfüllen: Der Anteil falscher Entscheidungen soll relativ klein sein. Die einzelne Fehlentscheidung soll für die Organisation selbst relativ unbedeutend bleiben. Die Gesamtkosten sollen minimiert werden. Aus der Sicht von Organisationen sind statistische Verfahren, die auf der Basis automatisiert berechneter Korrelationen zwischen Ereignissen Ergebnisse produzieren, eine annehmbare Lösung.31

II Korrelationen

[23] Korrelationen sind statistische Verbindungen zwischen Ereignissen. Im Gegensatz zu Kausalzusammenhängen lassen sie sich immer berechnen und setzen insbesondere keine inhaltliche Verbindung zwischen den Ereignissen voraus. So lässt sich unproblematisch eine Korrelation zwischen der Anzahl der jährlichen Meteoriteneinschläge auf der Erde und der Geburtenrate in süddeutschen Mittelstädten berechnen, ohne dass irgendwer auch nur im entferntesten auf die Idee käme, die beiden Ereignisse hätten irgendetwas inhaltlich miteinander zu tun.

[24] Der große Vorteil von korrelationsbasierten gegenüber kausalitätsbasierten Ansätzen ist, dass sich Korrelationen zwischen Ereignissen vollständig automatisiert berechnen lassen. Es ist dabei insbesondere nicht notwendig, dass vorher Annahmen formuliert werden müssen. An die Stelle einer vorherigen Modellbildung tritt eine nachträgliche Bewertung der berechneten Ergebnisse.32 Selbst diese nachträgliche Bewertung muss jedoch nicht mehr explizit vorgenommen werden – auch sie lässt sich automatisieren: als Rückkopplung. Im Falle eingeblendeter Werbung für ein Produkt bei Amazon kann etwa die Anzahl der Klicks, die dem Computer ja bekannt ist, selbst als Maßstab für die Bewertung33 derjenigen Algorithmen benutzt werden, die auf der Basis von Korrelationsmechanismen darüber entscheiden, welche Werbung einem Benutzer eingeblendet wird.

[25] Mathematisch sind Korrelationsberechnungen weder neu noch besonders schwer, allenfalls zeitaufwendig. Auch gehören sie schon lange zu Ausbildungskanon in der Informatik. Lange Zeit war ihre praktische Benutzung jedoch relativ gering, weil die zu korrelierenden Daten oft umständlich vorbereitet und die Algorithmen nicht selten selbst implementiert werden mussten. Inzwischen sind solche statistischen Methoden zur Korrelationsberechnung in großer Zahl in Standard-Programmen implementiert, mit einer relativ einfach zu bedienenden Oberfläche und ausgefeilten Hilfsfunktionen.

III Folgen für die Kontrollierbarkeit

[26] Im Gegensatz zu kausalitätsbasierten Verfahren sind korrelationsbasierte tendenziell nur noch in ihrer Gesamtheit kontrollierbar, nämlich gerade über die Rückkopplung der produzierten Ergebnisse und deren Verwendung als zusätzliche Eingabe für die Korrelationsalgorithmen. Aus Sicht der informationsverarbeitenden Organisation ist das unproblematisch, insbesondere wenn es sich um eine privatwirtschaftliche Organisation handelt, weil sie auch viele andere für sie relevante Informationen wie Geschäftszahlen oder Rückläuferquoten erst nachträglich erhält und daher schon lange gelernt hat, damit umzugehen. Aus der Sicht des Datenschutzrechts als Gefahrenabwehrrecht ist das aber zu spät.34

[27] Da das Datenschutzrecht direkt an den Einzelschritten und deren Kontrollierbarkeit anknüpft und für diese spezifische rechtliche Anforderungen formuliert, greift es gegenüber korrelationsbasierten Ansätzen tendenziell ins Leere. In jedem Fall verliert der Datenschutz dabei einen – vormals – natürlichen Verbündeten: Es ist für die Durchsetzung der Interessen der verantwortlichen Stelle nicht mehr notwendig, ihre eigenen Verfahren über die Sicherstellung der Kontrollierbarkeit der einzelnen Verfahrensschritte unter Kontrolle zu bringen. Das Datenschutzrecht ist demnach in Bezug auf solche Verfahren der einzige Interessent für diese spezifische Art der Kontrollierbarkeit.

[28] Mit dem Fehlen einer ex ante stattfindenden Modellbildung geht auch einher, dass Modelle nicht mehr der Begrenzung der Informationsmenge dienen können, weil der Erforderlichkeitsbegriff leerläuft. Bei der Verwendung von Korrelationsverfahren kann frühestens nach der Berechnung – und damit nach der Verarbeitung im Sinne des Datenschutzrechts – bestimmt werden, welche Daten erforderlich sind.35 Im engeren Sinne handelt es sich bei dieser nachträglich vorgenommenen Einschätzung nicht um eine Bestimmung der Erforderlichkeit von Informationen, sondern um eine Bestimmung ihrer Signifikanz. Die bisher bestehende Möglichkeit, mit dem Erforderlichkeitsbegriff schon bei der Erhebung einzugreifen, indem Informationen, die nicht verwendet werden müssen, um einen Zweck zu erreichen, gar nicht erst erhoben werden, geht damit verloren. Schon die ersten privacy-Anhörungen vor dem US-Repräsentantenhaus Mitte der sechziger Jahre haben deutlich gemacht, dass nur Datenvermeidung einen erfolgversprechenden Regulierungsansatz darstelle, nicht aber Verwendungsbeschränkung.36

D Korrelationen und Datenschutzrecht

[29] Die Alternative zu einem allgemeinen Verbot korrelationsbasierter Verfahren aus Datenschutzgründen kann ausschließlich in einem breit gefächerten Ansatz zur Eindämmung der aus ihnen erwachsenden Risiken für die Betroffenen und die Gesellschaft liegen.

[30] Erstens muss das Gebot zur Datenvermeidung und Datensparsamkeit als „echte“ Pflicht ausgestaltet werden,37 um den zahnlos gewordenen Erforderlichkeitsbegriff beim Umgang mit korrelationsbasierten Verfahren zu ersetzen.

[31] Zweitens muss gesetzlich geregelt werden, dass sich – in Anlehnung an § 4a Abs. 3 BDSG – die Einwilligung ausdrücklich auch auf diese spezifische Verarbeitungsform beziehen muss.38

[32] Drittens müssen Ergebnisse korrelationsbasierter Verfahren, die gespeichert oder weiterverarbeitet werden sollen, besonders gekennzeichnet werden, und diese Kennzeichnung muss auch bei einer Weitergabe aufrechterhalten werden.39

[33] Viertens bedarf es eines Verbotes zur Rückspeicherung der Ergebnisse in den ursprünglichen Datenpool; Korrelationen dürfen mithin nur auf der Basis richtiger Daten berechnet werden.40

[34] Fünftens sind solche Ergebnisse einer besonderen Zweckbindung zu unterwerfen, wobei die Zwecke eng zu definieren sind.

[35] Sechstens sind wegen der großen Menge der gespeicherten Daten und den damit einhergehenden Sicherheitsrisiken besonders hohe Anforderungen an die technischen und organisatorischen Maßnahmen zur Datensicherheit zu stellen. Die einzelnen Maßnahmen müssen dabei dem Stand der Technik entsprechen, während ihre Auswahl auf dem Stand von Wissenschaft und Technik erfolgen muss.41

[36] Insoweit diese großen Datenmengen auch Informationen aus unterschiedlichen Lebensbereichen der Betroffenen enthalten und mithin die Rollentrennung aufheben und die Betroffenen damit vollständig transparent machen können,42 gibt es ein großes Interesse von privater, aber vor allem auch von öffentlicher Seite, auf diese Daten zugreifen zu können, sei es aus ökonomischen oder aus Gründen der Staatssicherheit. Siebtens müssen daher sowohl die Daten, auf deren Basis Korrelationen berechnet werden, als auch die dabei erzeugten Ergebnisse einer strengen Weitergabebeschränkung unterliegen, wie sie auch für personenbezogene Daten in Sozialen Netzwerken zu fordern ist.43

[37] Achtens muss die Phasenorientierung gestärkt werden, gerade auch auf europäischer Ebene, wo sie etwa im Vorschlag zur Datenschutz-Grundverordnung unangemessen stark beschränkt ist.44 Aus dezidiert rechtsinformatischer Sicht bietet die Phasenorientierung zwei große Vorteile: Erstens können für die einzelnen Phasen sachlich angemessene und risikoadäquate Regelungen formuliert werden. Zweitens kann damit sichergestellt werden, dass der Umgang mit personenbezogenen Informationen jederzeit datenschutzkonform ist, weil jeder Verarbeitungsschritt von einem datenschutzkonformen Zustand wieder in einen datenschutzkonformen Zustand führt.45

[38] Neuntens sind die Anforderungen, die an die einzelnen Phasen der Informationsverarbeitung zu stellen sind, unter Verwendung von Datenschutz-Schutzzielen zu formulieren.46 Dieser im Bereich der IT-Sicherheit seit mehr als zwanzig Jahren verbreitete zielorientierte Ansatz formuliert in seiner auf den Datenschutzbereich ausgedehnten Fassung abstrakte Gestaltungsziele (neben den drei traditionellen Zielen der IT-Sicherheit – Verfügbarkeit, Integrität und Vertraulichkeit – auch drei explizite Datenschutz-Schutzziele – Transparenz, Intervenierbarkeit und Nicht-Verkettbarkeit), die für drei Verfahrenskomponenten (Informationen, technische Systeme und Prozesse) und drei Schutzbedarfe (normal, hoch und sehr hoch) gegeneinander abgewogen und dann organisatorisch und technisch umgesetzt werden müssen. Während dieser Ansatz aus informatischer Sicht erfolgversprechend erscheint, wenn die erforderlichen Kenntnisse und Fähigkeiten bei den informationsverarbeitenden Systemen vorhanden sind, und aus juristischer Sicht zumindest als umsetzbar,47 fehlt den Datenschutzbeauftragten jede Durchsetzungsmacht, solange die Schutzziele nicht gesetzlich geregelt sind.

[39] In jedem Fall ist offenkundig, dass korrelationsbasierte Verfahren dem Datenschutzrecht unterworfen werden müssen, um den Schutz der Betroffenen beim Umgang mit ihren personenbezogenen Informationen sicherstellen zu können.

E Schluss

[40] Während der Erforderlichkeitsbegriff in den letzten Jahrzehnten viel von seiner ursprünglich vorhandenen Fähigkeit zur strukturellen Begrenzung der Informationsmenge48 verloren hat, weil sich die herrschende Meinung zur angemessenen Auslegung des Begriffs geändert hat, haben die technische Entwicklung und der vermehrte Einsatz korrelationsbasierter Verfahren dazu geführt, dass Begriff und Prinzip der Erforderlichkeit an jeder juristischen Auseinandersetzung vorbei zahnlos geworden sind. Die Folgen davon sind gravierend: Nicht mehr der demokratisch legitimierte Gesetzgeber bestimmt die wesentlichen Fragen auf der Basis rechtlicher Abwägungen, sondern informationsverarbeitende Organisationen – und mit ihnen Technikerinnen und Techniker – entscheiden einseitig und nur unter Berücksichtigung spezifischer Interessen. Sowohl die Betroffenen, aber auch Juristinnen und Juristen als technische Laien und in ihrem eigenen methodischen Zugang werden damit übergangen.49

[41] Auch die konkrete Ausprägung der Phasenorientierung im derzeitigen Recht stößt mit der Verbreitung korrelationsbasierter Ansätze an ihre Grenzen. Die Phasenorientierung selbst ist aber als analytisches Mittel zur Komplexitätsreduktion – und damit als Grundlage Nachweis datenschutzkomformer Informationsverarbeitung sowohl gegenüber den Betroffenen als auch gegenüber den Aufsichtsbehörden – sowohl für die Formulierung angemessener gesetzlicher Regelungen als auch für deren praktische Umsetzung unverzichtbar. Die Anforderungen an die einzelnen Phasen müssen dazu aber unter Verwendung von Datenschutz-Schutzzielen neu formuliert werden. Anders lassen sich die spezifischen Risiken, die sich bei der Nutzung korrelationsbasierter Verfahren ergeben, und die bisher einseitig von den Betroffenen zu tragen sind, nicht in gesellschaftlich akzeptabler Weise rechtlich regeln.

Anhang. Informationen, Daten und Datenverarbeitung

[42] Anhand eines Beispiels soll nachfolgend der Unterschied zwischen Informationen und Daten deutlich gemacht werden. Darauf aufbauend wird erläutert, wie sich die verschiedenen Dimensionen von Informationen datentechnisch simulieren lassen und welche Probleme dabei auftreten.

[43] In der Semiotik, deren Informationsbegriff dem Datenschutzrecht zugrunde liegt, werden Informationen durch vier Dimensionen beschrieben: Syntax, Semantik, Pragmatik und Sigmatik. Mit Syntax wird dabei die konkrete, meist zeichenmäßige Repräsentation bezeichnet. Unterschiedliche Zeichenfolgen (Worte) wie „cooky“ und „spooky“ bezeichnen deshalb grundsätzlich unterschiedliche Dinge. Einem Computer fällt es sehr leicht, diesen Unterschied zu erkennen – er muss die beiden Zeichenfolgen nur buchstabenweise vergleichen. Andererseits können unterschiedliche Zeichenfolgen sich auf das gleiche Ding beziehen – das gilt etwa für „cooky“ und „cookie“. Diesen Bezug auf das gleiche Ding kann ein Computer grundsätzlich nicht feststellen. Eine Zeichenfolge wie „cookie“ kann auch mehrere Bedeutungen haben – die Dinge unterscheiden sich dann nicht ihrer Syntax nach, sondern nur nach ihrer Semantik. Auch das lässt sich grundsätzlich mit einem Computer nicht feststellen, da sich die Bedeutung von Wörtern erst aus dem Kontext ergibt, in dem die Wörter gebraucht werden. Mit der pragmatischen Dimension wird der Zweck bezeichnet. Ein „cookie“ mit der Bedeutung „Keks“ kann für verschiedene Zwecke eingesetzt werden und bezeichnet dann unterschiedliche Dinge: Ein Keks, der zum Essen hergestellt wird, ist ein grundsätzlich anderer Keks als derjenige, der für eine Theateraufführung gebraucht wird und damit auch noch aus der letzten Reihe sichtbar, aber eben nicht essbar sein muss. Trotzdem ist ihre Bedeutung als Lebensmittel genauso gleich wie das Wort, das sie bezeichnet. Mit der Sigmatik wird der Verweis auf ein konkretes Ding bezeichnet. Die Information, ob „der Keks“ schmeckt, hängt eben auch davon ab, auf welchen Keks sie sich bezieht.

[44] Computer können – stark vereinfacht ausgedrückt – nur Binärzahlen speichern, d. h. Bitfolgen wie 0110 0001. Diese Bitfolge (Syntax) kann unterschiedliche Bedeutungen (Semantik) haben und etwa eine Zahl (97) oder ein Zeichen (a) darstellen. Auf der nächsthöheren Abstraktionsebene ist dann das Zeichen a wieder nur Syntax und es kann daher verschiedene Bedeutungen haben, etwa als Kleinbuchstabe a des lateinischen oder des kyrillischen Alphabets. Die Zeichenfolge „mama“ kann deshalb sowohl mama als auch tata darstellen. Welche Darstellung korrekt ist, kann der Computer nicht wissen. Sie wird von Außen (bei der Programmierung oder bei der Eingabe) vorgegeben.

[45] Als Beispiel werde die Zeichenfolge s1 = „cookie“ betrachtet. Der Computer kann sie von der Zeichenfolge s2 = „cooky“ unterscheiden. Mehr nicht. Wenn der Computer entscheiden können soll, dass beide Zeichenfolgen s1 und s2 die gleiche Bedeutung haben sollen, nämlich „Keks“ bzw. allgemein „Lebensmittel“ – einmal in der allgemeinen englischen Form, einmal in der nur im American English gebräuchlichen –, dann muss ihm das explizit mitgeteilt und gespeichert werden. Und das muss wieder in Datenform geschehen, z.B. s1-sem = „lebensmittel“ und s2-sem = „lebensmittel“. Die Zeichenfolge s1 = „cookie“ kann aber auch eine andere Bedeutung haben und bezeichnet im Zusammenhang mit dem Internet einen Datensatz, der Angaben zum Besuch einer Webseite enthält, so etwa Zugangsdaten oder Zeitangaben. In beiden Fällen kann der Computer die Bedeutung von s1 immer noch nicht verstehen, aber das Verstehen – und damit eine Form der Informationsverarbeitung – kann jetzt in Form von Datenverarbeitung simuliert werden. Das gleiche gilt für die pragmatische und die sigmatische Dimension, z. B. s1-pragm = „rezept_en“ oder s2-pragm = „rezept_us“. Die Daten s1-sem und s1-pragm beschreiben dann Eigenschaften von s1 und werden Meta-Daten genannt.

[46] Es gibt nun zwei grundsätzliche Möglichkeiten, mit Computern Informationen zu verarbeiten. Einerseits können die Programme so gestaltet werden, dass sie zu allen Daten auch jeweils alle relevanten Meta-Daten speichern und bei jeder Verarbeitung prüfen, ob die zu speichernden oder gespeicherten Meta-Daten zu den erwarteten oder geforderten passen. Andererseits können nur die Daten gespeichert und verarbeitet werden, während die eigentliche Informationsverarbeitung an die vor dem Computer sitzenden Menschen übertragen wird. Im zweiten Fall kann etwa in den Lebenslauf einer Informatikerin einfach geschrieben werden, sie sei Expertin für die Verarbeitung von „cookies“, ohne dass der Zeichenfolge das Meta-Datum „internettechnik“ mitgegeben wird. Hier werden auch schon die zentralen Probleme deutlich, die sich in beiden Fällen ergeben. Im ersten Fall sind die Programme entweder besonders aufwendig zu erstellen, weil Informationen intern in allen Dimensionen verarbeitet werden müssen, oder sie sind extrem aufwendig in der Bedienung, weil zu allen einzugebenden Daten auch immer alle relevanten Meta-Daten mit eingegeben werden müssen. Die oft als Alternative dargestellte semantische Analyse durch den Computer selbst ist in vielen Fällen noch nicht praxistauglich: Weil Menschen nicht nur „cookies“ löschen, sondern auch „files“, und „cookies“ automatisch als Backwaren klassifiziert wurden, mussten dann wohl auch „files“ Backwaren sein – das ist der Stand der Wissenschaft!50 Im zweiten Fall muss organisatorisch sichergestellt werden, dass sich die Informationen nicht ändern, nur weil sie ein anderer Mensch aus dem Computer ausliest, oder weil sie an eine andere Abteilung oder eine andere Organisation weitergegeben wurden, oder weil sich die Welt verändert hat. Auch das ist ein bislang grundsätzlich ungelöstes Problem.

Fußnoten

1 Das gilt sowohl für die Informatik als auch für die Rechtswissenschaft. Wenn korrelationsbasierte Algorithmen zum Thema gemacht werden, dann entweder sehr oberflächlich und fast in einem Nebensatz oder nur mit Verweis auf die Betroffenen und deren fehlendem Verständnis – siehe etwa Ochs und Löw 2012, S. 53 oder Birk, Reimer und Wegener 2010.

2 Architektur wird hier in dem allgemeinen Sinn verstanden, wie er in der Informatik breit verwendet wird: ein konzeptuelles Modell, das ein System mit seinen Komponenten und deren Eigenschaften, seiner Struktur, seinem Verhalten und seinen möglichen Sichten beschreibt.

3 Siehe umfassend dazu Steinmüller u.a. 1971, S. 60, die zwar erklären, dass für nicht-öffentliche Stellen die Rechtmäßigkeit des Verwaltungshandelns, wie sie aus Art. 20 GG folgt, kein Maßstab sein kann, dann aber sowohl für den öffentlichen wie für den nicht-öffentlichen Bereich die gleiche Regelungsarchitektur verwenden.

4 Zuzugeben ist aber, dass auch die Informatik – und hier insbesondere die Softwareentwickler – diesen Vorteil bisher nicht nutzen konnten.

5 Auch bei der Softwareentwicklung werden die meisten Anforderungen als Anforderungen an einen Gebrauch der Software gestellt und nicht als Anforderungen an die Technik selbst. Der Hauptgrund dafür ist, dass zwar die meisten Auftraggeber formulieren können, was sie tun wollen, aber nur sehr wenige tatsächlich das notwendige technische Verständnis mitbringen, um Anforderungen als technische Anforderungen zu formulieren. Letzteres ist im Kern gerade auch die Aufgabe der Informatik: Analyse und (Re-)Organisation komplexer Arbeitsprozesse und ihre maschinelle Unterstützung, siehe Coy 1992, S. 18.

6 Dass Datenschutzrecht, Organisations- und Technikgestaltung auf so relativ einfache Weise zusammen betrachtet werden können und dürfen, liegt im Kern an der Geschichte der datenschutzrechtlichen Architekturgestaltung: Die drei Bereiche wurden damals über die Verwendung von kybernetischen und systemtheoretischen Modellen und Methoden integriert bearbeitet. Insoweit die Informatik – und dabei insbesondere die Softwareentwicklung – heute immer noch stark systemtheoretisch geprägt ist, kann sie ein systemtheoretisch beeinflusstes Datenschutzrecht mit seiner starken Prozessorientierung sinnvoll als Anknüpfungspunkt für die Technikentwicklung nutzen. Näheres dazu werde ich in meiner demnächst erscheinenden Dissertation ausführen.

7 Das gilt nicht nur für die deutsche Sprache, siehe data protection, protection des données, protección de datos etc.

8 Siehe etwa Albers 2005.

9 Siehe grundlegend Steinmüller u. a. 1971, S. 42 f.

10 Eine etwas ausführlichere Erklärung findet sich im Anhang.

11 Im Datenschutzrecht wurde historisch versucht, die Begriffe „Zweck“ und „Aufgabe“ sauber voneinander zu trennen. Das verwaltungsrechtliche Verständnis dieser Begriffe wird dem nicht immer gerecht. Unsauber ließe sich sagen, dass die gesetzlichen Aufgaben einer Behörde dem datenschutzrechtlichen Zweck entsprechen, während deren Maßnahmen zur Erreichung dieses Zwecks aus datenschutzrechtlicher Sicht als Aufgaben oder Verfahren beschrieben werden, siehe auch Podlech 1995, S. 20 f.

12 Ein Beispiel dafür ist der Umgang mit mehrbändigen Werken. Menschen lesen Texte linear und kennen „die ganze Geschichte“ erst, wenn sie alle Bände gelesen haben. Wenn jemand also im Buchhandel den ersten Band bestellt, dann ist es durchaus sinnvoll, ihm auch den zweiten Band anzubieten. Wenn jemand hingegen nur den zweiten Band bestellt, dann kann nicht davon ausgegangen werden, dass er danach auch den ersten Band kaufen würde. Wahrscheinlicher ist es, dass er den zweiten Band kauft, weil er den ersten schon gelesen hat. Das ist dann eine inhaltliche Aussage.

13 Umfassend dazu Podlech 1976.

14 Andere als Kausalitätsmodelle wie etwa solche zur Veranschaulichung (z. B. Architekturmodelle) oder zur physikalischen Simulation (z. B. Flugzeugmodelle im Windkanal) werden hier nicht betrachtet.

15 Beispiele für solche Modelle gibt es in allen Bereichen: Schiffsmodelle sind gegenüber dem Original verkleinert und die meisten davon dienen vor allem der Veranschaulichung. Wahlumfragen basieren auf der Befragung ausgewählter Wahlbürger, die sich statistisch ähnlich wie das Wahlvolk insgesamt verhalten. Die Menge der ausgewählten Wahlbürger ist dann das Modell. Ein Verkehrsmodell bildet Verkehrsströme ab, ohne dass dabei einzelne Fahrzeuge betrachtet werden müssten.

16 Die damit möglicherweise einhergehende strukturelle Beschränktheit jedes Modells hat Podlech damals übersehen, wahrscheinlich weil Auftraggeber und Auftragnehmer im Modellbildungsprozess in den 1970er Jahren noch weitgehend gleich waren. Sie wird sogar heute noch viel zu wenig reflektiert, vor allem in der Informatik, obwohl diese häufig in Modellbildungsprozesse involviert ist und dabei vor allem als Auftragnehmerin wirkt.

17 Siehe etwa §§ 4d Abs.1, 4e BDSG.

18 Siehe etwa §§ 3 Abs.4, 28b sowie die Anlage zu § 9 Satz1 BDSG.

19 Siehe dazu Bock und Meissner 2012.

20 Insoweit sind moderne Organisationen und Datenschutz natürliche Verbündete: Die Nachweispflicht zwingt die Organisation zur Selbstbeobachtung bezüglich ihrer eigenen Prozesse, die sich als Grundlage für deren Rationalisierung eignen und mithin Basis einer möglichen Maschinisierung sind, aus der die Organisation wiederum Nutzen durch Effizienzsteigerung ziehen kann.

21 Grundlegend dazu Steinmüller u. a. 1971, S. 57 ff.

22 Im Gegensatz dazu steht der Verarbeitungsbegriff in Art. 2b) EU-DSRL für „jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten“. Im Ergebnis können mit der Auftrennung in verschiedene Phasen, wie sie das BDSG vornimmt, inhaltlich angemessenere Regelungen formuliert werden als mit der EU-DSRL. Gleiches gilt für den derzeit diskutierten Entwurf der Datenschutz-Grundverordnung.

23 Dass solche Vorstellungen zwar dem Datenschutzrecht zugrunde gelegt wurden, gleichzeitig aber nicht immer, und nie vollständig, expliziert wurden, kritisiert schon Leib 1985. Daran hat sich bis heute leider auch nichts geändert.

24 Leider werden diese Anforderungen in der Praxis nur an die Verfahren angelegt, nicht aber auch an die den Verfahren zugrunde liegenden Modelle.

25 Siehe vor allem Podlechs Forderung nach einer Beschreibbarkeit der Erforderlichkeitsrelation, Podlech 1982, S. 455f., wobei es sich gleichzeitig um eine frühe Form einer Schutzzieldefinition handelt. Im Gegensatz dazu steht die heute selbst von „radikalen“ Datenschützern vertretene Ansicht, das Erforderlichkeitsprinzip beziehe sich nicht nur auf einen gegebenen Zweck, sondern auch ein gegebenes technisches System und einen gegebenen Datenverarbeitungsprozess, siehe Scholz in Simitis 2011, § 3a Rn. 33.

26 Für nicht-öffentliche Stellen ist offenkundig, dass deren Modelle nur relativ gut sein müssen: Sie müssen erstens besser sein als die aus dem letzten Jahr, dann verbessert sich das betriebswirtschaftliche Ergebnis. Und sie müssen zweitens besser sein als die der Konkurrenz, und die kocht auch nur mit Wasser.

27 Das Gebot der Datenvermeidung verlangt Verfahren ohne Verwendung personenbezogener Informationen. Dafür winkt das Privileg der Nichtanwendbarkeit des Datenschutzrechts. Die mit dieser explizit eingeräumten Möglichkeit zur „Flucht aus dem Datenschutz“ verbundene Erwartung an den Durchbruch datenvermeidender Verfahren gilt inzwischen als gescheitert, siehe Ohm 2010.

28 Der jeweils gewählte Bezeichner stellt einen oder mehrere Aspekte besonders in den Vordergrund, während er andere eher verdeckt: „Schritt“ und „Operation“ verweisen eher auf den prozessartigen Charakter des Verfahrens, während „Arbeitsaufgabe“ vor allem darauf verweist, dass solche Verfahren immer nach Vorgaben ablaufen, also normativ definiert sind. Solche Bezeichner sind also immer cum grano salis zu verstehen, bieten aber gleichzeitig die Möglichkeit zur transdisziplinären Kommunikation.

29 Siehe oben das Beispiel der mehrbändigen Werke und der Kaufreihenfolge.

30 Beispiel: Wer sollte etwa sinnvolle inhaltliche Verbindungen zwischen allen Büchern bzw. anderen Verkaufsartikeln, die über Amazon angeboten werden, erstellen, um Kundinnen und Kunden passende Angebote unterbreiten zu können, wenn andererseits unter Verwendung korrelationsbasierter Verfahren auf inhaltliche Verbindungen verzichtet werden kann?

31 Dass Organisationen nach solchen Verfahren streben, hat schon Luhmann Ende der 60er Jahre festgestellt, der sie als Zweckprogramme bezeichnete, siehe Luhmann 1977. Ihre breite Einsatzmöglichkeit verdanken sie allerdings dem oben angeführten technischen Fortschritt.

32 Damit sind korrelationsbasierte Ansätze allerdings besonders empfänglich für Fehlinterpretationen. Eine oft zu beobachtende Fehlinterpretation ist die Gleichsetzung von berechneten Korrelationen mit Kausalitäten, also die Annahme, dass das Vorliegen einer Korrelation zwischen zwei Ereignissen bedeutet, dass die beiden Ereignisse in einem inhaltlichen Zusammenhang zueinander stehen. Dazu und zu den Folgen für die Betroffenen sowie mit einer grundsätzlichen Kritik an einem verstärkten Einsatz korrelationsbasierter Ansätze aus Datenschutzgründen, siehe Clarke 1988, S. 507. Umfassend dazu auch Gandy 1993.

33 In der Informatik wird das als „Fitness“ bezeichnet.

34 Siehe § 1 BDSG, wonach schon Beeinträchtigungen des Persönlichkeitsrechts der Betroffenen verhindert werden sollen. Der Schutz wird damit auch zeitlich sehr weit nach vorne verlagert. Diese Anforderung ist unmöglich zu erfüllen, wenn die Beeinträchtigung erst nachträglich festgestellt werden kann.

35 Vgl. Podlechs Definition der Erforderlichkeit: „Eine Information ist zur Erfüllung einer Aufgabe erforderlich, wenn die Aufgabe ohne Kenntnis der Information nicht [...] erfüllt werden kann“, Podlech 1995, S. 21. Weil diese Bestimmung der Erforderlichkeit erst nach der Verarbeitung möglich ist, sind die Informationen vor der Verarbeitung quasi immer erforderlich.

36 Siehe etwa Miller 1969, S. 1220 f.

37 Siehe Scholz in Simitis 2011, § 3a Rn. 57 ff. zum derzeitigen Charakter des Gebots. Im eigentlichen Sinne handelt es sich derzeit gar nicht um ein „Gebot“, sondern um einen „Wunsch“.

38 Unbestreitbar bleibt dabei, dass die Einwilligung selbst in den meisten Fällen immer eine Fiktion bleiben muss, siehe etwa Kamp und Rost 2013. Allerdings handelt es sich um eine Fiktion, die unbedingt erhalten bleiben muss, will man nicht das Menschenbild des Grundgesetzes selbst – der Mensch als informiertes, aufgeklärtes, selbstbestimmtes Wesen – aufgeben.

39 Vorbild könnte hier die Regelung des § 25 Abs. 5a ASOG Bln sein, die Gleiches für verdeckt erhobene oder dem Kernbereichsschutz oder dem Amts- und Berufsgeheimnis unterliegende personenbezogene Daten fordert.

40 Siehe Mallmann in Simitis 2011, § 20 Rn. 9 ff. zur Frage, wann Daten unrichtig sind. Den Ergebnissen korrelationsbasierter Verfahren ist daher auch jeder Beweiswert abzusprechen.

41 Zu den einzelnen Technikklauseln siehe BVerfGE 49, 89, 134 ff. – Kalkar I.

42 Siehe dazu grundlegend Karhausen und Müller 1972, aktualisiert Rost 2013.

43 Siehe ausführlich Pohle 2012.

44 Mit der Definition des Verarbeitungsbegriffs in Art. 4 Abs. 3 der Datenschutz-Grundverordnung durch eine ausdifferenzierte Liste unterschiedlicher Verarbeitungsarten sind zwar die Grundlagen für eine fundierte Phasenorientierung gelegt. Das Problem ist, dass diese Möglichkeit in der weiteren Verordnung nicht aufgegriffen wird, und stattdessen jede Verarbeitungsart grundsätzlich gleich behandelt wird.

45 Eine wichtige Menge von Eigenschaften von Verarbeitungsschritten wird in der Informatik mit dem Akronym ACID bezeichnet: Atomicity (der Verarbeitungsschritt findet ganz oder gar nicht statt), Consistency (ein Verarbeitungsschritt führt wieder zu einem konsistenten Zustand, falls der vorherige Zustand auch konsistent war), Isolation (nebenläufige Verarbeitungsschritte beeinflussen sich nicht) und Durability (das Ergebnis des Verarbeitungsschrittes ist dauerhaft). Eine für den Datenschutzbereich sinnvolle Adaptation dieser Prinzipien befindet sich derzeit in der Entwicklung.

46 Grundlegend dazu Rost und Pfitzmann 2009 und Rost 2012.

47 Siehe Bock und Meissner 2012.

48 Siehe dazu Simitis 2000.

49 Siehe zur Diskussion über das Verhältnis von Recht und Technik, deren Ergebnisse die aufkommende Datenschutzdiskussion stark beeinflusst haben, Bull 1964, S. 44 ff., der ein klares Primat des Rechts fordert.

50 Siehe „Aiming to Learn as We Do, a Machine Teaches Itself“, New York Times, 04.10.2010. URL: http://www.nytimes.com/2010/10/05/science/05compute.html; Stand: 31.01.2013.

Literatur

Albers, Marion (2005). Informationelle Selbstbestimmung. Baden-Baden: Nomos Verlagsgesellschaft.

Birk, Dominik, Helmut Reimer und Christoph Wegener (2010). „Soziale Netze – neue Impulse zum Datenschutz“. In: Datenschutz und Datensicherheit 34.7, S. 492.

Bock, Kirsten und Sebastian Meissner (2012). „Datenschutz-Schutzziele im Recht“. In: Datenschutz und Datensicherheit 36.6, S. 425–431.

Bull, Hans Peter (1964). Verwaltung durch Maschinen – Rechtsprobleme der Technisierung der Verwaltung. 2. Aufl. Köln, Berlin: G. Grote’sche Verlagsbuchhandlung KG.

Clarke, Roger A. (Mai 1988). „Information technology and dataveillance“. In: Communications of the ACM 31.5, S. 498-512. ISSN: 0001-0782. DOI: 10.1145/42411.42413. URL: http://doi.acm.org/10.1145/42411.42413.

Coy, Wolfgang (1992). „Für eine Theorie der Informatik!“ In: Sichtweisen der Informatik. Hrsg. von Wolfgang Coy u. a. Braunschweig/Wiesbaden: Vieweg, S. 17–32.

Gandy Jr., Oscar H. (1993). The Panoptic Sort. Boulder, San Francisco, Oxford: Westview Press.

Kamp, Meike und Martin Rost (2013). „Kritik an der Einwilligung“. In: Datenschutz und Datensicherheit 37.2, S. 80–83.

Karhausen, Mark O. und Paul J. Müller (1972). „Datenbank, Datentransparenz und Datenschutz“. In: Nachrichten für Dokumentation 23.4, S. 148-153.

Leib, Hans-Jürgen (1985). „Technische Entwicklung und Datenschutzrecht“. In: Datenschutz und Datensicherung im Wandel der Informationstechnologien. Hrsg. von Peter Paul Spies. Informatik-Fachberichte 113. Berlin: Springer-Verlag, S. 218–228.

Luhmann, Niklas (1977). Zweckbegriff und Systemrationalität. 2. Aufl. Suhrkamp Verlag.

Miller, Arthur Raphael (1969). „Personal Privacy in the Computer Age: The Challenge of a New Technology in an Information-Oriented Society“. In: Michigan Law Review 67.6, S. 1089–1246. URL: http://www.jstor.org/stable/1287516.

Ochs, Carsten und Martina Löw (2012). „Un/Faire Informationspraktiken: Internet Privacy aus sozialwissenschaftlicher Perspektive“. In: Internet Privacy. Eine multidisziplinäre Bestandsaufnahme. Hrsg. von Johannes Buchmann. acatech – Deutsche Akademie der Technikwissenschaften. Darmstadt, S. 15–62.

Ohm, Paul (2010). „Broken Promises of Privacy: Responding to the Surprising Failure of Anonymization“. In: UCLA Law Review 57, S. 1701–1777.

Podlech, Adalbert (1976). „Information – Modell – Abbildung – Eine Skizze“. In: Informationsrecht und Rechtspolitik. Hrsg. von Wilhelm Steinmüller. Rechtstheorie und Informationsrecht 1. München, Wien: Oldenbourg Verlag, S. 21–24.

– (1982). „Individualdatenschutz – Systemdatenschutz“. In: Beiträge zum Sozialrecht – Festgabe für Grüner. Hrsg. von Klaus Brückner und Gerhard Dalichau. Percha: Verlag R. S. Schulz, S. 451–462.

– (1995). Der Informationshaushalt der Krankenkassen: Datenschutzrechtliche Aspekte. Baden-Baden: Nomos Verlagsgesellschaft.

Pohle, Jörg (2012). „Social Networks, Functional Differentiation of Society, and Data Protection“. In: Arxiv preprint arXiv: 1206.3027. URL: http://arxiv.org/abs/1206.3027.

Rost, Martin (2012). „Standardisierte Datenschutzmodellierung“. In: Datenschutz und Datensicherheit 36.6, S. 433–438.

– (2013). „Zur Soziologie des Datenschutzes“. In: Datenschutz und Datensicherheit 37.2, S. 85–91.

Rost, Martin und Andreas Pfitzmann (2009). „Datenschutz-Schutzziele – revisited“. In: Datenschutz und Datensicherheit 6, S. 353–358.

Simitis, Spiros (2000). „Das Volkszählungsurteil oder der lange Weg zur Informationsaskese – (BVerfGE 65, 1)“. In: Kritische Vierteljahresschrift für Gesetzgebung und Rechtswissenschaft 83, S. 359–375.

– Hrsg. (2011). Bundesdatenschutzgesetz. 7. Aufl. Nomos Verlagsgesellschaft.

Steinmüller, Wilhelm u.a. (1971). Grundfragen des Datenschutzes. Gutachten im Auftrag des Bundesministeriums des Innern, BT-Drs. VI/3826, Anlage 1.

Transkription, Tag 1, 15.02.2013

[1] Jörg Pohle: Verfrüht – es ist noch nicht ganz Viertel nach Zehn und damit eigentlich dem akademischen Ort nicht angemessen – begrüße ich Sie ganz herzlich zum heutigen Workshop »Geschichte und Theorie des Datenschutzes«, der ersten Veranstaltung in der Reihe »Fundationes«. Ich freue mich sehr, dass Sie alle hier zusammengekommen sind. Insbesondere freue ich mich sehr über alle, die einen Beitrag für den Vorbereitungsreader1 verfasst haben, sodass wir vorbereitet in eine hoffentlich sehr spannende Diskussion treten können.

[2] Was ist das Ziel dieses Workshops? Im Kern geht es um die Klärung von Begriffen und von Konzepten, die hinter den Begriffen stehen, um die Übersetzung zwischen den Disziplinen, um die Übersetzung auch zwischen den einzelnen Theorie-Schulen in den einzelnen Disziplinen und um die Klärung, welche sozialen Verhältnisse jeweils zugrunde gelegt werden, wenn man bestimmte Begriffe benutzt und etwa sagt, es gehe hier um »Privacy« oder »Datenschutz« entweder aus der Sicht des einen Akteurs oder aus der Sicht des anderen Akteurs, und welche ihnen vielleicht in der Vergangenheit zugrunde gelegt wurden. Am Ende des Workshops werden wir dann feststellen, über welche Begriffe und Konzepte Konsens oder Dissens besteht und welche offenen Forschungsfragen bleiben.

Ich freue mich auf eine spannende und produktive Diskussion.

Kai von Lewinski

»Zufall und Notwendigkeit bei der Entstehung des Datenschutzrechts – Was sagt die kontrafaktische Geschichtsschreibung zum BDSG?«

[3] Vielen Dank, dass ich die Gelegenheit habe, zu eigentlich etwas sehr, sehr Esoterischem – jedenfalls aus geschichtswissenschaftlicher Sicht – zu sprechen. Anlass, dies mit dem Thema von heute zu verknüpfen, war, dass das Datenschutzrecht – ja, da wird kaum jemand darüber streiten – etwas Besonderes ist, und so stellt sich die Frage nach dem Grund für die Besonderheiten. Und wenn wir die Frage ein bisschen zuspitzen, dann stellt sich die Frage, ob die Rechtsgeschichte verrückt gespielt hat, als es um den Datenschutz ging: Aus juristischer Perspektive hat es singuläre Figuren, eine singuläre Aufsichtsstruktur, es passt ganz schlecht in die verfassungsrechtliche Dogmatik hinein, also es ist Vieles besonders gelaufen, und so stellt sich die Frage nach den Ursachen. Besonderheiten können immer zwei Ursachen haben: Entweder es findet sich ein Grund, oder es war der Zufall am Werk. Und das möchte ich hier beleuchten.

[4] Mein Beitrag in dem Reader ist recht lang geraten, und das mit Absicht, weil ich gerade über die geschichtliche Methode der Uchronie dort sehr ausführlich geschrieben habe, um mich jetzt hier kurz zu halten. Die Uchronie, oder die kontrafaktische Geschichte, ist ein Schmuddelkind der Geschichtswissenschaft, weil es eben nicht ganz seriös ist. Alle Bedenken, die man nun geschichtswissenschaftlich-methodisch gegen die kontrafaktische Geschichte haben kann, bitte ich für diese Veranstaltung hintanzustellen, also keine geschichtswissenschaftlich-methodische Diskussion zu führen, sondern es einfach als gegeben hinzunehmen, dass das ein methodisch sauberes Vorgehen sei. Zwei Bemerkungen nur zur Methode und was diese Methode ausmacht, von der wir unterstellt haben, dass sie seriös ist: Bei der kontrafaktischen Geschichte geht es zum einen darum, Weggabeln zu identifizieren – natürlich nicht aus Selbstzweck, sondern um zu schauen, zu welchen Momenten Geschichte offen war, wo gab es Kontingenz, wo konnten kleine Ursachen in der Folge eine größere Wirkung haben, also wo konnten sie in irgendeiner Weise kausal werden. Das ist der eine Erkenntniszweck von kontrafaktischer Geschichtsschreibung. Und der zweite ist, dass man durchaus auch willkürlich solche Gabelungen, also Abweichungen im Kausalverlauf, sich denken kann, um dann zu schauen, wie wäre es – gleichsam laborhaft, was ja Geschichtswissenschaftler nicht haben –, wenn es irgendwie anders gewesen wäre, als es gewesen ist. Wenn man nun diese Instrumente, wenn man diesen Ansatz auf das Datenschutzrecht anwendet, dann kann man an einigen von mir durchaus willkürlich, aber nicht ohne Plausibilität herausgegriffenen Punkten schauen, wie groß war die Rolle des Zufalls und wie groß war die Rolle von Notwendigkeit in der Geschichte des Datenschutzrechts seit 1970.

[5] Ganz sicher ist es so, dass es unvermeidlich war, dass es gesetzliche Regelungen zum informationellen Persönlichkeitsschutz gibt. Wir sind oder wir bewegen uns in das, was wir Informationszeitalter nennen, und da bleibt es nicht aus, es ist vernünftig nicht anders denkbar, als dass es entsprechende Regelungen dazu dann auch gibt. Das heißt nicht, dass das BDSG geschichtlich notwendig war, aber jedenfalls irgendeine Regelung zu diesem Komplex muss es geben. An diesem Punkt, dass es überhaupt eine Regelung geben muss, fragt man sich – und das ist jetzt der erste konkrete Anknüpfungspunkt und das ist auch der Startpunkt, von dem gemeinhin Datenschutzgeschichte erzählt wird, das Hessische Datenschutzgesetz von 1970 –: Notwendigkeit oder Zufall. Ich denke, es ist ein halber Zufall. 1970 war ein relativ früher Zeitpunkt. Den öffentlich sichtbaren Anwendungsfall für das Gesetz gab es noch nicht – es gab keinen konkreten Datenskandal, der sonst die Triebfeder jedenfalls für BDSG-Novellierungen ist. Sondern es war der relativ selten vorkommende vorauseilende Gehorsam oder die vorauseilende Weisheit der ministerialen Bürokratie. Insoweit hat das Hessische Datenschutzgesetz jedenfalls zu diesem Zeitpunkt durchaus eine gewisse Zufälligkeit gehabt. Dass es aber in den siebziger Jahren in Deutschland zu Datenschutzgesetzen ohnehin gekommen wäre, ist jedenfalls aber darum plausibel, da auch der Bund schon Ende der sechziger Jahre mit Vorarbeiten begonnen hatte, die sich dann eben erst 1976/77 zu einem Gesetz realisiert haben – das Thema lag also in der Luft. Dass es Hessen war, mag ein Zufall gewesen sein. Wenn man aber an die damalige Zeit denkt – »Rotes Hessen«, »Hessen vorn!«, »Speerspitze des Fortschritts« –, ist es so zufällig vielleicht auch nicht. Und, ja nur zwei oder drei Wochen nach dem Hessischen Datenschutzgesetz ist ja auch das Bayerische Datenschutzgesetz, was aber noch damals Bayerisches EDV-Gesetz hieß, erlassen worden, also auch die Bayerische Staatsregierung, die ja auf ihre Weise auch immer die Spitze des Fortschritts ist, hat in diese Richtung gearbeitet. Das Hessische Datenschutzgesetz war aber dann für die weitere Entwicklung durchaus bedeutsam, nämlich einmal, weil der Begriff »Datenschutz« in die gesetzliche Landschaft gesetzt worden ist – das Bayerische EDV-Gesetz ist nicht ohne Grund deshalb vergessen, weil es eben so einen kraftlosen Titel gehabt hat –, also einmal Begriffssetzung, sicher für die Folge wichtig gewesen. Und der zweite wichtige Impuls, den das Hessische Datenschutzgesetz gegeben hat, war, dass es den Datenschutzbeauftragten institutionalisiert hat. Ohne das Hessische Datenschutzgesetz kein Spiros Simitis und kein Alexander Dix. Die Institution wäre nicht da gewesen, und einer der ganz wichtigen Datenschutzprotagonisten hätte keine Plattform gehabt. Von daher: Zufall: ja, und eine große, jedenfalls aber mittelgroße Kausalität für später. Die Kausalität, dass es ein Datenschutzgesetz gegeben hätte, wenn es das hessische nicht gegeben hätte, wäre jedenfalls durch das BDSG überholt worden, das ja auch schon Anfang der siebziger Jahre in der Luft lag. Dass es nun später war, lag an Zufälligkeiten. Das BDSG wäre auch schon deutlich früher gekommen, wenn die Stasi nicht Bundestagsabgeordnete gegen das Misstrauensvotum von Barzel 1972 gekauft hätte – Diskontinuität des 6. Deutschen Bundestages – dem ist der erste Entwurf eines BDSG zum Opfer gefallen. Eine gewisse zeitliche Zufälligkeit in einem engen Rahmen des BDSG.

[6] Interessanter ist bei dem BDSG die Kontingenz, also die Offenheit der geschichtlichen Situation, hinsichtlich des Regelungsbereiches, also »Wie weit fasse ich das BDSG?«, »Regele ich nur staatliche Datenverarbeitung oder weite ich das auch auf den sogenannten nicht-öffentlichen Bereich aus?«. Sicher, wenn man es unbefangen betrachtet, eine sehr offene Situation. Wenn man aber den Umgang des Staates und der Ministerialbürokratie mit Kompetenzvorschriften gerade auf der Seite des Bundes betrachtet, war es sicher nicht so zufällig, dass der Bund dann auch den nicht-öffentlichen Bereich geregelt hat, einfach weil der Bundesgesetzgeber allgemein kompetenzhungrig ist – wenn er etwas regeln kann, regelt er es in aller Regel auch. Von daher ist die Regelung des nicht-öffentlichen Bereiches eher eine Notwendigkeit als ein Zufall. Zufällig würde ich aber die vom damaligen Gesetzgeber gewählte und heute noch geltende Regelungstechnik auch für den nicht-öffentlichen Bereich nennen, nämlich das »Verbot mit Erlaubnisvorbehalt«. Das klingt jetzt sehr juristisch, aber Sie alle wissen ja, im Datenschutzrecht brauche ich, wenn ich personenbezogene Daten verarbeiten will, einen Erlaubnistatbestand, das bedeutet, es ist erst einmal verboten und ich brauche eine Einwilligung oder eine gesetzliche Norm, damit ich etwas machen kann. Das ist etwas, was Sie aus dem Öffentlichen Recht, also im Verhältnis Bürger – Staat, kennen, im Verhältnis Bürger – Bürger sonst nur bei sehr gefährlichen Tatbeständen wie dem Betreiben eines Atomkraftwerkes usw. vorkommt, also ungewöhnlich ist bei Datenverarbeitung. Hier wäre es durchaus denkbar gewesen, dass sich der Gesetzgeber eine andere Regelungstechnik aus einem anderen Bereich abschaut, etwa Generalklauseln aus dem allgemeinen Zivilrecht. Hier, denke ich, war ein Moment großer Offenheit, bei dem sich die Geschichte aber für einen Weg entschieden hat, der heute auch noch nachwirkt, also eine große Kausalität hatte.

[7] Der nächste und wahrscheinlich der wichtigste Punkt der Datenschutzgeschichte ist zweifellos das Volkszählungsurteil, der »Nachbrenner« für das – jedenfalls nach der Aussage von Simitis – zu dieser Zeit ja schon sich in der Krise befindlichem Datenschutzrecht. Man kann es auch in gewisser Weise als Fixiereinheit, wenn man so einen Begriff aus dem Fotobereich wählen will, begreifen. Das eben noch unfertige und um Anerkennung kämpfende Rechtsgebiet hat durch das Volkszählungsurteil von 1983 seinen Ritterschlag bekommen und ist deutlich mehr in den Fokus der Aufmerksamkeit gerückt. Das Volkszählungsurteil als solches war unvermeidlich, alternativlos, denn die Volkszählung – das wissen Sie ja – hat damals eine große politische Bewegung – das war auch das Erstarken der Grünen – hervorgerufen. Dass irgendjemand in Deutschland gegen die Volkszählung klagt, kann nicht sinnvollerweise hinweggedacht werden. Und wenn geklagt wird, muss ein Gericht auch entscheiden. Auch kann nicht hinweggedacht werden, dass es zum Bundesverfassungsgericht ging. Also, dass es ein Urteil dazu gab, war notwendig. Was allerdings dann wieder eine große Offenheit hatte, wo also andere geschichtliche Verläufe sehr gut denkbar gewesen wären, ist der Inhalt des Volkszählungsurteils gewesen (weniger der Entscheidungstenor, in dem ein bisschen an der Volkszählung herumgemäkelt wird, sie aber grundsätzlich durchgewunken wird; das entspräche dem üblichen Umgang des Bundesverfassungsgerichts mit Problemen dieser Art). Denn es ist ungewöhnlich, das ein neues Grundrecht kreiert worden ist. Das macht das Bundesverfassungsgericht ausgesprochen selten und hat es vorher in dieser Deutlichkeit auch nie gemacht, sondern bestehende Grundrechte immer nur ein bisschen erweitert. Das war also ein großer Paukenschlag. Dieser Paukenschlag ist wohl durch ein Zusammenspiel von mehreren Zufällen zustande gekommen: Bei Herrn Benda, dem damaligen Vorsitzenden des entscheidenden Senats und auch Vorsitzender des Gerichts zu dem Zeitpunkt, – es war seine allerletzte Entscheidung – wird man irgendwie den Verdacht nicht los, er wollte sich ein Denkmal setzen (obwohl er in dem Verfahren nicht Berichterstatter war). Auch sind die durchaus theoretisch bemühten Schriftsätze von Herrn Steinmüller und Herrn Podlech zu einem großen Teil in das Urteil eingeflossen. Ein jedenfalls ungewöhnliches Zusammenspiel, dass die Prozessvertreter auch theoretisch involviert und Meinungsführer waren, und auf der anderen Seite, dass, aus welchen persönlichen Motiven auch immer, Herr Benda möglicherweise sehr empfänglich für so etwas war. Da fehlt uns aber Quellenmaterial, das können wir nur mutmaßen. Jedenfalls – und da wird weniger Streit und weniger Spekulieren nötig sein – war das Volkszählungsurteil ausgesprochen wirkungsmächtig. Es ist als die »Bergpredigt des Datenschutzrechts« apostrophiert worden. Das Bild ist in zweierlei Weise richtig: Einmal wird es von vielen vor sich hergetragen, und es ist oft auch ein bisschen aus dem Gesamtkontext losgelöst. Das sieht man auch daran – und ich spreche jetzt hier als Verfassungsrechtler –, dass der Hohepriester des Datenschutzrechts zu der Zeit, Herr Simitis, ein Arbeitsrechtler war, der also eigentlich aus einer anderen Ecke der Juristerei kam, so dass man beim juristisch-dogmatisch-verfassungsrechtlich Handwerklichen bei Herrn Simitis manchmal aus einer verfassungsrechtlichen Perspektive ein Fragezeichen machen muss. Das Volkszählungsurteil hatte auch insoweit eine große Wirkung, als es zur Stabilisierung der bisher geschriebenen, möglicherweise zufälligen Entwicklungen beigetragen hat – das, was ich eben mit dem Begriff der Fixiereinheit benannt habe. Das Volkszählungsurteil war aber sicher das wichtigste Ereignis in der Datenschutzgeschichte.

[8] Der nächste Punkt, den ich mir herausgesucht habe, auch weil er immer wieder auch in dem Reader angesprochen wird, ist das Modernisierungsgutachten von Roßnagel, Pfitzmann und Garstka. Da denke ich, es ist in gewisser Weise ein Mythos, dass ihm eine solche Bedeutung beigemessen wird. Das Modernisierungsgutachten hat letztlich die Gnade erfahren, ehrenvoll unter den Trümmern des 11. September begraben zu werden, so dass es nie zum Schwur kam. Es ist begraben worden in der Sicherheitsdebatte, als man sich im Innenministerium nicht mehr um Datenschutzrecht hatte kümmern wollen. Niemand hat mehr versucht, die Vorschläge aus dem Gutachten umzusetzen. Wenn man das getan hätte, hätte man relativ schnell bemerkt, dass es mit europarechtlichen Vorgaben kollidiert. Die Gutachter haben die europarechtlichen Vorgaben, die eine weitgehende Harmonisierung in Europa vorsehen, einfach argumentativ weggedrückt. Wenn man im Bild bleiben will: Das Modernisierungsgutachten ist ehrenvoll unter den Trümmern des World Trade Centers begraben worden – es wäre sonst an den europarechtlichen Schanzen elendig verblutet.

[9] Die vorletzte Wegmarke, das Grundrecht auf Gewährleistung von Vertraulichkeit und Integrität informationstechnischer Systeme: Es war sicher auch sehr zufällig. Diesmal brauchte Herr Hoffmann-Riem seine Abschiedsentscheidung. Welche Wirkung diese Entscheidung hat, da müssen wir heute noch ein Fragezeichen machen. Durchaus ketzerhaft – auch wenn das sonst nicht meine Art ist, Marx zu zitieren – ist hier die Frage erlaubt, ob sich hier Geschichte wiederholt – und nach Marx (in Bezug auf Hegel) wiederholt sie sich ja, wenn dann, als Farce.

[10] Und der letzte Punkt, relativ aktuell, ist das EuGH-Urteil zur Unabhängigstellung von Aufsichtsbehörden; ein Pyrrhussieg für die institutionalisierten Datenschützer, meiner Meinung nach. Diese Entscheidung ist mit großer Überraschung in Deutschland aufgenommen worden, auch mit großer Freude. Letztlich aber hat diese Entscheidung nur eine ganz geringe Alternativität gehabt. Wenn man schaut, wie Europa in die Verwaltungshoheitsbereiche der Länder eingreift, da ist es ein übliches Vorgehen, auch in anderen Bereichen, Behörden unabhängig zu stellen, um sie dann zu europäisieren. Also ist die Unabhängigkeit, die aus der Perspektive von Datenschützern etwas immanent Wichtiges ist, aus europäischer Perspektive nur ein Mittel zum Zweck, zur Ausweitung der europäischen Kompetenzen.

[11] Datenschutzrecht ist also ein Produkt von verketteten Zufällen, gehärtet durch das Volkszählungsurteil. Seine Notwendigkeit ist nur so groß, wie es vergleichbare Regelungen im europäischen Ausland waren. Argumente sollten deshalb nicht bei zufälligen Ereignissen wie insbesondere im Hessischen Landesdatenschutzgesetz oder im Volkszählungsurteil in seiner konkreten Gestalt mit dem Recht auf informationelle Selbstbestimmung ansetzen, sondern bei den Notwendigkeiten wie informationeller Asymmetrie.

Vielen Dank!

Martin Rost

»Neun Thesen zum Datenschutz«2

[12] Ich habe mir hier zur Aufgabe gestellt, meine Thesen aus dem Ihnen vorliegenden Text nicht einfach zu wiederholen, sondern diese Thesen durch weitere Kontextierungen anzureichern und so für mehr Plausibilität zu sorgen. Weil ich glaube, dass die Thesen zum Teil schwer verständlich sind. Es mangelt an theoretischer Aufbereitung der Diskussion zum Datenschutz, die in den siebziger Jahren startete. Es waren ja keine Juristen, die die Diskussion eröffnet und getrieben haben. Vielleicht sind deswegen auch die ganzen Webfehler aus juristischer Sicht enthalten. Aus einer gesellschaftstheoretischen Sicht haben sie allerdings fast alles richtig gemacht und eine enorme Transferleistung vollbracht. Ich möchte Ihnen nahebringen, was für eine Art von Transferleistung das war. Dazu möchte Ihnen jetzt etwas moderne Soziologie nahebringen und dafür werben, die anstehenden, nötigen Transfers zur Fortentwicklung des Datenschutzes mit Rückgriff auf diese Theorieform zustande zu bringen.

[13] Wie schon Herr von Lewinski fange auch ich mit einer methodischen Selbstversicherung an. Ich beginne mit dem Hinweis auf die 3-Welten-Theorie, die Herr Popper, der eher zur konservativen Seite zählt, dereinst formulierte und auf die Herr Habermas, der eher zur linken Seite zählt, in seiner »Theorie des kommunikativen Handelns« Bezug genommen hat.

[14] Hiernach gibt es drei Welten: Zwei davon kennt man – Natur und Ich, Objekt und Subjekt. Ich frage Sie: Was ist nun die dritte Welt? Die dritte Welt ist Gesellschaft. Eine Realität sui generis. Eine Welt, die sich nicht auf Natur, auf irgendwelche Phasenverschiebungen oder Quantensprünge..., aber auch nicht auf ein »ich denke«, »ich meine«, »ich fühle« reduzieren lässt. Gesellschaft ist vielmehr eine ganz eigene Objektklasse. Und alle drei Welten werden durch »Praxis« zusammengeführt, zusammengehalten. Oder konstruktivistisch formuliert: Sie werden qua Praxis konstituiert! Sehen Sie hier: Wir haben hier »Natur«, begriffen in den Komponenten Energie, Information, Evolution – das ist das, wie Physiker oder Biologen die Welt sehen. Und wir haben eine eigene Welt des Ichs, wie Psychoanalytiker denken – ich habe hier nur irgendwas genommen, ich hätte auch ein anderes Paradigma nehmen können –, aber Sigmund Freud kommunizierte in diesen Kategorien. Und an dieser Stelle haben wir Gesellschaft: Infrastruktur, Kommunikation, Selbstorganisation. Jede Welt hat ihre je spezifischen Begriffe und Plausibilitäten: Objekt, Subjekt, Unjekt, um die spezifisch-eigene Qualität und Struktur bezeichnen zu können. Sie bemerken vielleicht die Selbstähnlichkeit dieses Aufrisses, im Großen wie im Kleinen.

[15] Und bei Praxis denkt man natürlich an Hannah Arendts »Vita Activa« von 1954, die für Habermas eine bedeutende Rolle spielte. Aber da will ich jetzt nicht weitermachen.

[16] Der klassische Objektbereich der Soziologie ist die Relation zwischen den Menschen. Man denke an Simmel, Elias, Durkheim, auch Habermas. »Onkel sein von« ist als eine Relation eine Objektklasse eigener Art. Diese Relation hat in methodischer Hinsicht zunächst nichts mit Menschen zu tun, wenn man von »Onkel sein von«, »Vater sein von«, »Tante sein von« spricht, um nur einmal kurz verschiedene Verwandtschaftskategorien zu benutzen. Das soll bedeuten: Man kann das Soziale, die Formen des Sozialen, die »Formen der Wechselwirkungen«, wie es Simmel formulierte, nicht verstehen und erklären, wenn man sich dabei primär für Subjekte interessiert und diese zum Ausgangspunkt von Gesellschaftstheorie nimmt. Den Verlauf eines Schachspiels kann man nicht erklären, wenn man in die Köpfe der Spieler reinschaute, um deren Denken nachzuvollziehen – was man nicht kann –, sondern es gilt, das Schachspiel an sich zu erklären und an sich zu verstehen. Und erst danach kann man sich auch für die Beiträge der Subjekte an dem Schachspiel interessieren. Dieser Primat des »Dazwischen« ist also die konventionelle Perspektive der Soziologie. Die Pfeile sollen in der Grafik für das Gesellschaftliche stehen.

[17] So, und da sind einige Klassiker zu nennen wie bspw. »Gemeinschaft und Gesellschaft« (1870, Tönnies) oder die »Gesamtheit der Produktionsverhältnisse« (Marx). Das hier Aufgelistete zeigt, mit Ausnahme von Marx, Versuche einer gerade erst erstarkenden Disziplin namens Soziologie, den spezifischen Objektbereich wissenschaftlicher Befassung zu fassen zu bekommen. Und Sie sehen hier ganz unten: »System und Lebenswelt«, das ist das, was Habermas so ungefähr ab Ende der 1970er Jahre anbot. Und Sie sehen hier als letztes aufgelistet, was Luhmann anbietet, nämliche Systemtheorie pur, mit Kommunikation als dem Letztelement des Sozialen »an sich«. Nicht mehr „Relationen“ stehen für das Gesellschaftliche, sondern stattdessen Verkettungen von kommunikativen Elementarkomponenten. Diese Theorien muss man meines Erachtens kennen, wenn man heute über Datenschutz und dessen Weiterentwicklung redet!

[18] Kommen wir nun zur »Evolution sozialer Systeme« nach Luhmann, der übrigens Jurist war und wie Simitis Mitte der 60er Jahre über kybernetische Maschinen promovierte. Auch Podlech hatte 1967 zum Verhältnis von Recht und Kybernetik geschrieben. Hier gibt es also über Technik einen thematischen Kurzschluss der aus meiner Sicht zeitgenössisch wichtigsten deutschen Autoren zur Entwicklung der Datenschutzthematik.

[19] Sie sehen hier die Abfolge »segmentäre Gemeinschaften«, »stratifizierte Organisationen«, »funktional-differenzierte Gesellschaft« – das sind die Komponenten der soziologischen Evolutionstheorie nach Luhmann. Es wird hier keine geschichtliche Notwendigkeit mehr unterstellt, sondern das Vorkommen von Variationen, Selektionen, Stabilisierungen von Kommunikationen konstatiert. Es haben sich geschichtlich Kommunikationen ganz unterschiedlich strukturiert und soziale Systeme ausgeworfen, bis hin zu einer modernen, funktional differenzierten Gesellschaft. Und erst in dem »Moment«, in dem sich die funktional differenzierte Gesellschaft geschichtlich herausbildet und gegenüber stratifizierten Strukturen stabilisiert, entsteht das Datenschutzproblem. Darauf, wie sich funktionale Differenzierung sozialer Systeme herausbildete, möchte ich jetzt nicht eingehen.

[20] Stattdessen soll es jetzt darum gehen, soziale Struktur zu erfassen. Das ist eine andere Aufgabenstellung, hier geht es gewissermaßen um Sozio-Logik, nicht um Zeit oder Geschichte. Sie sehen hier die Typologie von Sozialsystemen: Interaktionssysteme, Organisationssysteme und gesellschaftliche Funktionssysteme. Hier muss ich ein bisschen länger verweilen. Interaktionen und Organisationen kennt man: Aber was sind Funktionssysteme? Funktionssysteme sind nicht Organisationssysteme, sie sind auch keine aggregierten Organisationssysteme, sondern sie sind Sozialsysteme eigener Art: Wirtschaft, Politik, Recht und Wissenschaft. Wirtschaft ist nicht ein oder ganz viele Unternehmen, Politik ist nicht Partei oder ganz viele Interessenverbände. Mit Wirtschaft, Politik, Recht und Wissenschaft sind nur die vier größten Funktionssysteme herausgenommen. Funktionssysteme operieren als »autopoietische Systeme«. Autopoiese ist ein Begriff, bei dem man jetzt verweilen müsste, eigentlich. Um die operative Geschlossenheit der Systeme bei struktureller »Offenheit« verständlich zu machen. Das kann ich aus Zeitgründen nun leider ebenfalls nicht machen.

[21] Wir gehen nun vielmehr davon aus, dass es gesellschaftliche Funktionssysteme wie Wirtschaft, Recht und Politik usw. gibt, die sich von anderen Systemen in der Umwelt stören lassen, aber auch systeminterne, also eigene Quellen der Verunsicherung kennen. Und diese Quellen haben bestimmte Formen. Wirtschaft hat den Markt und Eigentum; Politik hat Gewaltenteilung und öffentliche Meinung; die Wissenschaft kennt den verunsichernden freien Diskurs. Vielleicht ahnen Sie an diesem Punkt, dass ich jetzt langsam die Wendung zum Datenschutz nehmen kann.

[22] Mit den Systemen und deren internen »Verunsicherungsquellen« einher gehen bestimmte Personenkonzepte. Das Wirtschaftssystem konstituiert das Konzept des Kunden, die Politik erzeugt den Bourgeois und den Citoyen – die Franzosen unterscheiden, was wir einfach grob einen Bürger nennen – die Wissenschaft kennt darüber hinaus noch viele weitere Personenkonzepte: den Menschen, das Subjekt, das Individuum, die Person, je nachdem, welche Referenz (Biologie und Anthropologie, Philosophie, Psychologie, Soziologie) man nutzt. Diese Konzepte tauchen, das ist entscheidend, außerhalb von nervös flackernden Experimenten in Organisationseliten stratifizierter Gesellschaften als massenhaft etablierte Schemata erst in der funktional differenzierten modernen Gesellschaft auf.

[23] Entscheidend für die Datenschutzdiskussion ist jetzt, dass im Umkehrschluss die Deformation der Privatheit von Personen als Indikator für die Deformationen von Funktionssystemen durch Organisationen lesbar wird. Wirtschaft tendiert mit Notwendigkeit zur Monopolisierung, Verwaltung steht immer unter dem Risiko der Dominanz der Exekutive, die Politik unter dem Risiko der Willkürherrschaft, Wissenschaft unter dem Risiko dogmatisch verödeter Diskurse. Damit haben wir es fortwährend zu tun. Die Funktionssysteme erzeugen Personenkonzepte, die Autonomie beanspruchen, aber – wichtiger noch – : als funktional unerlässlich abfordern! Während Organisationen diese sozial induzierten Autonomie-Anforderungen auf ihre Art und Weise wieder kleinmachen. Und dieses Kleinmachen detektiert der Datenschutz als Problem.

[24] Funktionale Differenzierung erzeugt einen Zwang zur informationellen Selbstbestimmung von Personen. Informationelle Selbstbestimmung ist somit keine Freiheit, die die Personen sich selbst verordnen oder dies auch seinlassen können. Sie wird sozial konstituiert, wenn Funktionssysteme und Organisationssysteme aufeinanderprallen. Informationelle Selbstbestimmung muss Organisationen sozial abgerungen werden. Die Menschen sind heute gezwungen, individuell zu sein. Wir alle müssen amüsant, witzig, ironisch, intelligent sein. Wir müssen uns inszenieren. Wer das nicht kann – als Beispiel seien Menschen genannt, die der Journalist Gerd Ruge mit einem Kamera-Team mal wieder im hintersten Tupfel von Russland aufspürt, wo die Menschen sich nach unseren Maßstäben nicht zu inszenieren wissen –, da clasht es, während unsere Inszenierungen als nietzscheanische Wölfe der Großstädte entworfen sind. Wir sind dazu verdonnert – das ist keine Frage, ob wir das so wollen –, uns derart autonom zu gerieren. Ich frage nicht danach, ob wir wirklich derart autonom agieren können, mein Punkt ist, dass diese Autonomie, die es als Privacy zu schützen gilt, auch wenn sie von einem authentischen Selbstgefühl begleitet wird, sozial induziert, konstituiert wird und sogleich von den Organisationen wieder bedroht wird.

[25] So. Nun noch einen weiteren Anlauf, was die Soziologie anliefern kann, um darüber hinaus zu klären, welchen Anforderungen Organisationen in der funktional-differenzierten Gesellschaft nachkommen müssen, um diese Struktur moderner Gesellschaften nicht zu unterlaufen, obwohl sie fortgesetzt gezwungen sind, das anzustreben. Damit will ich auf die »Geltungsansprüche einer vernünftigen Rede« von Habermas zu sprechen kommen. Die Geltungsansprüche von Habermas formulieren etwas, was wir in einer Kommunikation immer schon unterstellen müssen, damit Vernunft freigesetzt wird. Verständlichkeit, subjektive Wahrhaftigkeit, normative Richtigkeit und sachliche Wahrheit. Nach Habermas sind das Anforderungen, die Menschen bei jeder Kommunikation unterstellen, damit Kommunikation sich fortsetzen kann. Was ich anstrebe, ist, plausibel zu machen, dass diese Geltungsanforderungen an eine vernünftige Rede sich bei Nutzung von Kommunikationstechnik nur freisetzen können, wenn diese Kommunikationstechnik, die von Organisationen am Laufen gehalten wird, den Schutzzielen des Datenschutzes genügen. Die Schutzziele des Datenschutzes sind das operative Analogon zu den Habermas‘schen Geltungsanforderungen sinnhaft gelingender Kommunikation.

[26] Schutzziele: Diese sechs hier aufgeführten Schutzziele finden mittlerweile unter vielen Kollegen im Datenschutz weitgehend Anerkennung. Der ganz wesentliche Witz dieser Schutzziele ist: Es sind drei Widerspruchsachsen zwischen Verfügbarkeit und Vertraulichkeit, zwischen Integrität und Intervenierbarkeit und zwischen Transparenz und Nichtverkettbarkeit. Die Widersprüchlichkeit innerhalb dieser Schutzzielpaare beunruhigt den Informatiker, weil er es sehr gerne jeweils eindeutig hätte. Er würde gerne jedes Schutzziel mit den entsprechenden Schutzmaßnahmen nutzen können. Aber man kann nicht alles zugleich haben, etwa volle Verfügbarkeit von Daten bei zugleich voller Ausprägung von Vertraulichkeit. Der Jurist fühlt sich mit den Schutzzielen und den inhärenten Widersprüchen dagegen ganz gut aufgehoben, weil er in diesen drei Achsen die Umsetzung von Schutzmaßnahmen rechtlich abwägen kann. Das gesamte Datenschutzrecht deckt diese drei Achsen ab. Diese Achsen sind ein Versuch eines Ansatzes zur Operationalisierung des geheimnisvollen Aspekts des „rechtlichen Abwägens“. Das Modell ist, das haben Frau Bock und Herr Meissner in Ihrem Aufsatz3 nachgewiesen, mit geltendem Datenschutzrecht und Bundesdatenschutzgesetz und EU-Verordnung kompatibel. Und das, was Sie hier sehen, ist ein erster Entwurf eines Maßnahmenkatalogs zu den Schutzzielen.

[27] So, wenn ich nun die Einhaltung von Datenschutzanforderungen bei einer Organisation prüfe, dann transformiere ich Recht und Technik/Organisation wechselseitig über die Schutzziele. Die normativen Anforderungen, die rechtlichen Abwägungen und die technischen und organisatorischen Maßnahmen lassen sich zu einem Standardmodell für Referenzwerte verdichten. Normative Soll-Anforderungen, gewendet in Ziele.... Ziele versteht ein Techniker, da weiß er, was von ihm erwartet wird und was er tun soll. Ziele verstehen Juristen, verstehen auch Kaufleute, die Systeme kalkulieren sollen. Einen Soll-Ist-Vergleich durchzuführen, nennt man eine Prüfung. Das ist das gesamte Modell, von dem ich spreche – ich wollte es Ihnen am Ende, wenn auch ziemlich überhastet dargelegt, zumindest noch einmal in seiner Gesamtheit zeigen.

[28] Ich entnehme dem Modell mal eine Maßnahme. Betrachten wir »Privacy Enhancing Technology«. Seit zehn Jahren werden Komponenten zur Umsetzung der Nicht-Verkettbarkeit, also der technischen Unterstützung zur Konditionierung von Verkettbarkeit von Kommunikationen entwickelt. Techniken der Pseudonymisierung und Anonymisierung liegen als anwendungsreife Prototypen vor, sie harren der Anwendung, sie werden praktisch nicht beansprucht. Die Organisationen können damit nichts anfangen, sie spielen keine Rolle. Der systematische Ort für den Einbau von Privacy Enhancing Technologies in den Organisationen sind die Datenschutzmanagementsysteme. Das bedeutet für uns, dass wir darauf drängen müssen, dass Organisationen Datenschutzmanagementsysteme vorhalten, damit es für die vielen PET-Prototypen überhaupt einen Anker in den Organisationen zu deren Nutzung geben kann. Wir Datenschützer haben eine Bringschuld einzulösen, den Organisationen zu sagen, welche Eigenschaften ein Datenschutzmanagementsystem mitbringen muss.

Ich danke für Ihre Aufmerksamkeit.

Seda Gürses

»An activist and a consumer meet at a social network...«

[29] Ich werde, wenn das für alle in Ordnung ist, auf Englisch sprechen. Ich bin aber auch bereit, während des Vortrags auch immer wieder ins Deutsche zu wechseln, aber ich denke, ich kann es besser erklären, wenn ich das alles auf Englisch sage. Ich werde ein bisschen abweichen von dem Paper, und vielleicht sollte ich gleich ins Englische wechseln. I just thought Impulsvortrag is more like Impulsvortrag.

[30] First of all, I‘m very, very happy to be here because I also studied at Humboldt University. Wolfgang Coy was my supervisor with my master‘s thesis which was actually asking about how can we make security a bit more social by bring in a system‘s stakeholders. It was based on Andreas Pfitzmann‘s work on the terminology of the Schutzziele.

[31] And, since then I moved on to privacy from security, which are of course related. At the same time we see that there are overlaps between the two concepts, especially within computer science but there are also parts where the two concepts are very different. And what really helps about moving institutions is that you see the same definitions used very differently and they are maybe contested in very different ways. I think the work that I was doing in Berlin was very much independent of law. When I went to Belgium, my research became better integrated in law and data protection. So institutional move really changed my work. It also became apparent that actually computer scientists are also not seeing privacy and security in one way but they see these concepts in many different ways. So I started a research project. First, I studied existing literature in computer science where the researchers said they were developing privacy solutions which is kind of what this title of this talk is referring to. And I noticed these researchers all mean something else. They were taking very different definitions of privacy, had very different assumptions about the world, and very different objectives about what a system should do in order to address the privacy issues that they defined. What this work has now become is, and I‘m almost going out of the boundaries of computer science myself, that I have been interviewing computer scientists about their world views and assumptions when they build privacy technologies. And what I‘m going to try to do in forthcoming work is to critically think about these world views and assumptions that inform privacy research and what it means for developing information systems, what people mean and at the same time whether encapsuled...

[Aufgrund technischer Probleme fehlen hier mehr als 30 Sekunden des Impulsreferats und ließen sich auch nicht rekonstruieren.]

[32] Basically, the idea is that if you elicit what a system should do, set what you expect a system to do, also known as the requirements, as an engineer you should eventually be able to build that system as expected. So, you start with this world where somebody tells you something very vague about what the system should do and the engineers translate those requirements into a system specification and at the end of the whole process, as an engineer you have a binary response: either you have fulfilled the requirements or not.

[33] So, now let‘s say you have something called privacy requirements, right? That means that you tell me something vague about the world or you have a privacy issue or concern or problem or compliance requirement and I can tell you at the end that the system has fulfilled it. And one of the things I did in the first chapters of my thesis was to show that in the case of privacy this is very difficult because we will run into the problem of going through a counter factual argument: So, how could I prove that, if I had not designed the system the way I had designed it, that this privacy violation would have happened. I know that counterfactuality is also used in history and statistics, but it turns out that researchers looking at confidentiality in systems using formal methods also use it.

[34] And I think I also see a critique of my own work as a requirements engineer and its underlying ideal that you, as a stakeholder, can look at the world and say what you want from a system, and then at the end you say: it does it — yes or no. It is actually maybe something that we need to put under scrutiny again and again with every type of technology or information system.

[35] Ok, this is an eye test. [Auf eine gezeigte Folie bezogen.] We go into online social networks because that is what I work on in my research project right now. I specifically want to present two existing discourses about online social networks. On the one hand, we have a discourse on how online social networks are ruining our daily life and making us the »gläserner Mensch« and you probably know the worries about youth, who, for example, do not understand the consequences of their online social network disclosures for their future employment. On the other hand, the same online social networks are seen as saving the world, bringing democracy, kicking off revolutions and the whole idea of societal feedback and cybernetics galore, as well as governmental surveillance. And I am trying to say, ok, both of them are a discourse about privacy and how does that translate into technological solutions.

[36] Specifically, we look at two of the three privacy research paradigms within computer science. In what is known as PETs a lot of the research is, I think, very much concerned about the government. What tools can we develop against a government or a state which intrudes upon individual citizens. So this is, kind of, the definition that, I think, they rely on and there are very different reasons why they rely on this definition.

[37] Partially, because there is a libertarian hacker culture that plays a role there, there is the cybernetics culture that also plays a role. There are differences between generations of PETs researchers. For example, we see the replication of some of those libertarian values by PhD students. In one of the interviews I had with a PhD student, who had just immigrated to the USA, who had been working with an established professor in the PETs community, the PhD student was giving an account of the same PETs ideology, but not knowing why. He thought PETs are to be used when you have problems with your government, but he did not feel that his government was »intrusive«. You could see, that there is a kind of world view that the researcher has, that defines his/her ideology which gets passed on to their PhDs. And that gets passed on to communities of developers and researchers etc.

[38] So in the PETs world, it is soften assumed that there is an intrusive state and the state is not the only one pursuing surveillance, it actually works in collaboration with corporations by now. So we can actually observe a phenomenon, which in other fields has been called a »surveillance assemblage« and the response to this is not only data minimisation, but also the minimisation of trust.

[39] It is a very interesting statement because the minimisation of trust means, that you don‘t trust anybody with the protection of your data from unauthorized parties, but you trust the protocols and hence the engineers. So there is a hidden trust in the goal of minimizing trust.

[40] A lot of the systems PETs researchers propose are about: how can I make a communication system so that by default nobody else has my data? Or, is there a way to transfer my data, so that unauthorized parties don‘t see my data or the fact that I am transferring my data?

[41] One other thing, that this community of researchers work on is data minimisation, I think. Data protection and PETs meet each other on data minimisation, however, they, again, have their differences. What do engineers mean by data minimization? We wrote a paper with colleagues and they were very critical of data minimisation as understood in data protection. They thought that data protection had a very analogue view on what data minimisation means. They thought in data protection, data minimisation meant that there is all this data in the world and I, as a data processor, decide not to make use of it unless it is absolutely necessary for my processing needs.

[42] Whereas, PETs engineer would argue in a digital world what has happened is that we have created what can be called »crypto magic«. Wolfgang Coy studied magic and I‘m curious to see, if the others brought that concept together with cryptography. But cryptographers say that they have this magic that is called zero-knowledge functions. And basically what it does is: let’s say I have data that is on my device, I never give it to a centralized database that is going to fulfill some functionality, but I prove to that centralized database that I have something. Let‘s say it is a location system which is a pay-per-drive sort of system, a car tolling system. So my car has a device with all the location data. It then calculates the price I need to pay based on where I have been, and using encryption I can prove to the central entity how many roads I have used and how much I should pay. But I never show my location data to the centralized entity. So the magic bit in crypto is that I don‘t show what I have done but I can prove it. That‘s what the magic is. It turns out for many things we expect computers to be metaphorically doing things we know from the world, but we don‘t have many good metaphors for zero-knowledge functions. So cryptographers complain that they can‘t explain what they do with zero-knowledge functions because there is no counterpart, even metaphorically, to zero-knowledge functions in the real world, therefore their solution is to make crypto invisible to the »end-users«.

[43] Here we have multiple issues. First of all, do we really want pay-per-drive roads and is the main problem with such systems privacy? That‘s a question we will come back throughout the talk.

[44] Second, what do we mean by data minimisation? Is it literally used in the English version? In German it does not work that way that we have data and somehow »minimise« it. And it is a bit freaky, too. If I would tell a user, you know what, I will know things about you without you giving me the data, it could actually be a turn-off. Is that really an empowering thing? And, is the problem, that I have your data or is it that I know things about you and I can use it in a way that is not comfortable for you?

[45] These are some of the questions that we ask, and as we consider the concept of data minimization in depth, we notice that we are not minimizing the data. In fact the data remains, but there are other things that we are doing. There are things like avoiding creation of centralized silos, maybe avoiding unnecessary replication of the data, minimising trust. Again this is data minimizations from an engineering perspective.

[46] So, one of the questions that I would like to pose to you for the coming two days is: Do we ever minimize data? Does it make sense to minimize data? Is that an absolute goal?

[47] Again in the same road toll system the data is kept in the car and this again is congruent with the opinions of privacy advocates and researchers, who say, what we need is to avoid centralized systems, we need to have peer-to-peer systems, the user should control their data and this control should be in their device, that they hold very close to them. But what seems to happen here is that we assume that vicinity of the data is actually privacy. So I wonder how that relates to the concept of »Privatsphäre« again and if this is a reasonable assumption and if the goal again is to locate the data as close to you as possible. Is this de facto, what privacy and data protection is about? Or is there something else that is going on? I am being a bit provocative here but this is again to open up some discussion.

[48] There are a number of people within computer science, who think the people who do PETs are berserk. That they are overdoing things, they are absolutely paranoid, and that the paranoia they have towards governments and their crypto based solutions are an overkill. Further, they criticize that we have never seen crypto solutions function properly. These same people assume that privacy is subjective and depends on the interpretation and needs of the users.

[49] In comparison, PETs researchers do not very post-modern: technology is very much about interpretation. I really love the work of Paul Dourish, he is aware of some of the issues associated with the construction and solution of the privacy problem by PETs researchers. He says, privacy related issues are about how technology can mediate and reinterpret power relationships in a social setting. But I have the suspicion, and I think we played that out in the paper as well, that in this paradigm of privacy research privacy becomes about what end-users perceive and I wonder what we should do about things that end-users don‘t perceive or they don‘t really understand exactly how their sociality and power relationships are changed.

[50] The questions here are, is privacy, or data protection, about where the data resides? Is that how engineers should think or should engineers be thinking about other things? Is it about the transparency of, let‘s say, semi-trusted organisations that data protection is talking about? What if we don‘t assume we have a trusted data collecting organisation, can we even rely on data protection as a guiding set of rules? Is it really about personal data and does »personal data« even make sense any more?

[51] After all, a lot of our information is relational, we can talk about that later. Or is it maybe about intrusive and unfair systems and how should we actually deal with this and move away from this idea of personal data and who has it, who gets it and what they do with it? And maybe it is even more – I heard that in one of the talks this morning – about the significance of data or the monopoly over the interpretation and meaning of data, and my question is, does data protection address these issues?

[52] And just to very quickly finish off, recently at the world bank headquarters there was a session on big data and there were two speakers. Both of them were complaining about big data practices. The first one was a statistician who was complaining about big data, that it is mainly made up of corporate data, that this data is not representative (or collected with good sampling practices in mind) and that companies are not held accountable to good statistical practices like hypothesis building and causality checks. The concerns of these world bank associates was very much about who monopolizes knowledge about the world and populations. In their talks, you could really see that the world bank people felt that their power position was being contested and they were contesting it back.

[53] The second speaker was very worried about who was going to have power over decision making. He is considering ways in which the world bank could get access to this big data. He was arguing that it is not simply possible to migrate big data, since it is really big. So, the alternative is to access company databases directly which costs money, which not everybody will be able to or want to pay. In a sense, he was asking, how can we be part of the power that these big data sets produce.

[54] If you ask computer scientists about the problems with privacy and big data, they will say, one problem is re-identification of principles whose data is in the dataset. Computer scientists have shown that even if you have anonymized data sets using some very cool methods, you might get identified, which is seen as the main horror associated with big data. And, personally, I am not sure if this is something we should be worried about, but it fits with the idea that privacy is mainly about the protection of personal data.

[55] Some computer scientist have also been asking whether the problems associated with big data, is about fairness? Can we look at the way data mining is used and whether the action discriminates certain parts of society. These scientists are working on proposals for discrimination-aware data mining and fairness in data mining.

[56] I finally want to go back to the question »do we want the pay-per-drive road system« to begin with? Is maybe part of the problem we are facing that information is replacing other decision making mechanisms. If information is the basis upon which decisions are made, instead of different participatory or indirect decision mechanisms, then who gets to decide what is going to happen and does data protection even get there.

Wolfgang Zimmermann

»Privatsphäre. Aufruf zur Konstruktion einer realitätsbezogenen Bildwelt.«

[57] Guten Tag allerseits. Ich möchte Ihnen auch etwas von etwas Hypothetischem erzählen. Herr von Lewinski hat ja begonnen mit der hypothetischen Frage, wie der Datenschutz sich auch anders hätte entwickeln können. Ich möchte mich mit Ihnen nun über eine Bildwelt von Kommunikation unterhalten, in dem das kommunizierende Gegenüber nicht vorkommt. Eine Kommunikation ohne kommunizierendes Gegenüber, die ist nicht nur hypothetisch, eigentlich gibt es die gar nicht. Aber eine eingeführte Bildwelt, in der Kommunikation so funktioniert, die gibt es durchaus – das eingeführte Vier-Schalen-Modell, das Sie in meinem Text finden. Und diese Bildwelt ist allgemein akzeptiert. Dazu liegen Ihnen meine Papiere vor, der Fließtext, der die Probleme beschreibt. Und die zugehörige Tabelle, die für meinen Privatsphäre-Beitrag – nach Gegenstand, Herausforderung und Antwort gegliedert – den Anfang zu einer besseren Bildwelt eröffnen soll. Zu einer besseren, als das Vier-Schalen-Modell sie bereitstellt, statt des Vier-Schalen-Modells. Deshalb zu der Phantasie, die mich dazu umtreibt: Das ist nämlich die Phantasie, »Privatsphäre« auf ein einziges Bild zu bringen, in dem das kommunizierende Gegenüber nun aber durchaus vorkommt. Ein einziges Bild auf einem einzigen Blatt Papier, das dann sinnfällig zeigen kann: »Guck mal, das hier ist tatsächlich Privatsphäre.« Vorderhand ist das ein ziemlich unsinniger Ansatz, denn Bilder sind dramatisch unterkomplex. Es gibt dicke Bücher darüber, was Datenschutz leisten soll, und wir hier sind uns sowieso einig, dass alles voller Probleme ist. Wichtig ist aber eigentlich nicht, dass wir hier uns einig sind, sondern dass wir die überzeugen, die den Datenschutz für ein Problem von Leuten halten, deren Phantasie von ihrem vergifteten Morgenmüsli geprägt ist. Also, wichtig ist nicht die wiederholte Konfirmation der bereits Konfirmierten, wichtig ist, Datenschutz in eine allgemeine Wirksamkeit zu bringen, – und dafür braucht man platte Bilder. Endgültig bestärkt in meinem Versuch, ein solch schönes plattes Bild wirklich einmal zu »malen«, wurde ich, als ich mir bei der Vorbereitung dieses Workshops die Seite der Kommission ansah. Dort wird zur Versinnbildlichung des Anliegens, das mit der Datenschutz-Grundverordnung verfolgt wird, ein Film angeboten, den Sie sich bei Youtube ansehen können. Dieser Film enthält eine einzelne Bildsequenz, die ich Ihnen in meinem Papier zur Verfügung gestellt habe. Wir haben dort zwei Personen, die zur gleichen Zeit an demselben Ort miteinander anwesend sind – und nun wird unter diesen Personen ohne Absicht ein allgemein bekannter Sachverhalt sichtbar – und die Beteiligten können dies sofort bemerken: Ich spreche von dem nackten Mann, der von der Dame begleitet wird. Dieser Ablauf ist in den kennzeichnenden Elementen seiner Prozesshaftigkeit – Gegenwärtigkeit, Gleichzeitigkeit, Absichtslosigkeit der Beteiligten, Bekanntheit der Information, Bemerkbarkeit des Fehlers – von lauter Merkmalen gekennzeichnet, die in unseren Datenschutzproblemen gerade nicht vorkommen. Er ist deshalb absolut ungeeignet, die Probleme, die wir mit dem Datenschutz haben, darzustellen. Also, wenn sogar die Kommission mit einem so völlig insuffizienten und an allen Problemen vorbeigehenden Bild versucht, ein wichtiges Anliegen zu vertreten, dann ist die Suche nach besseren Bildern gewiss ein lohnenswertes Anliegen.

[58] Ich habe dazu eine Tabelle gezeichnet, die ihnen vorliegt, und die ich Ihnen in vier Schritte erläutern will: »Privatsphäre als Bild – Alles auf einem Blatt«. Sie können meinem Text entnehmen, dass ich mich zunächst mit dem klassischen Vier-Schalen-Modell beschäftige: Intimsphäre, Privatsphäre, Sozialsphäre und dann Öffentlichkeitssphäre. Da erscheint die Privatsphäre als so etwas wie ein naturwüchsig vorhandener Kosmos, der ontologisch und ohne Gegenüber vorhanden ist. Damit blendet dieses Bild genau die Probleme aus, die wir mit Datenschutz lösen müssen. Die resultieren nämlich daraus, dass wir uns in Kommunikationen bewegen, und zwar zwischen Entitäten mit großen Ungleichgewichten, namentlich also zwischen Personen und Organisationen. Da, wo wir große Ungleichgewichte haben, da brauchen wir einen Mechanismus, der mit diesen Ungleichgewichten umgeht. Was soll dieser Mechanismus? Er soll in der Kommunikation prozesshaft die soziale Konstruktion von Respekt sicherstellen. Und wenn wir über den Datenschutz als Service zur Sicherung von Privatsphäre reden, dann reden wir also über die rechtliche Verfasstheit der sozialen Konstruktion von Respekt. Wie soll die soziale Konstruktion von Respekt zwischen Personen und Organisationen funktionieren? Damit, muss man sich im Wesentlichen befassen, wenn man klären möchte, was Privatsphäre eigentlich leisten soll. Ich habe diesem Anliegen folgend versucht, die Aufgaben von Privatsphäre als Tabelle darzustellen. Diese Tabelle liegt Ihnen vor: Sie ist betitelt mit »Datenschutz und überlegen standardisierende Strukturierungsmacht von Organisationen«. Da haben wir also eine starke Seite, eine schwache Seite und einen Gegenstand, der offenbar gegen die Wirkungen einer Asymmetrie geschützt und stabil gehalten werden soll. Der Gegenstand setzt sich zusammen aus Daten, Verwendungszusammenhängen und Asymmetrien. Wenn wir das betrachten und einen Abgleich vornehmen zu dem, was das Vier-Schalen-Modell leistet – an diesem Modell müssen wir uns verkämpfen, denn das ist das, was uns in der Öffentlichkeit begegnet –, dann können wir zu Daten, Verwendungszusammenhängen und Asymmetrien 17 Gesichtspunkte betrachten, die ich Ihnen aufgeschrieben habe und die ich jetzt wegen der knappen Zeit nicht ausführe. Außer diesem Gefüge von Daten, Verwendungszusammenhängen und Asymmetrien gibt es – das muss nach dem Aufkommen »sozialer Netzwerke« à la Facebook extra ausgeführt werden – zur Aufgabe rechtlich verfasster Privatsphäre noch zwei weitere Gesichtspunkte, die in meinem Fließtext nicht ausgeführt sind, die aber in den ersten beiden Spalten meiner Tabelle anklingen, weil auch sie noch hineingehören in das Bild-Desiderat von Privatsphäre, von dem ich träume und an dem ich mit Ihnen bauen möchte, weil ich das alleine nicht kann. Dazu nun dies: Wir haben zum Einen – und das ist nun die Spalte A in meiner Tabelle – die Organisation, die sich in einem »Akt der Piraterie«, einer »Gebrauchsanmaßung« das Schutzmodell des Verbraucherschutzes aneignet. Inwiefern das? Wir haben Verbraucher, und die haben im Verbraucherrecht eine privilegierte Stellung. Und diese rechtlich privilegierte Stellung erlaubt es nun dem »sozialen Netzwerk« als Datenakquisitionssystem, als Datenverarbeiter, zwei Dinge zu tun: Erstens, es externalisiert Kosten. Das ist hier nicht Thema. Zweitens: Das Datenakquisitionssystem lässt seine Verantwortlichkeit als Datenverarbeiter verschwinden, indem es Verbraucher als Dateneinsammler-Verarbeiter vorschiebt, es sich also im Wege eines Piratenaktes die Schutzposition des Verbrauchers aneignet, und in dieser Kutte, in dieser Tarnung Dinge tut, die es als Unternehmen selbst gar nicht machen dürfte, nämlich überall ohne Beschränkung auf Bedarfe und Zwecke Daten abgreifen. Und ich habe daraus etwas Weiteres abgeleitet, das erst längerfristig wirksam werden wird: Ich muss damit rechnen, dass diese organisationsseitige Gebrauchsanmaßung zur generellen Erosion verbraucherrechtlicher Schutzkonzepte führen wird: Der eilige Betrachter – als den müssen wir uns den zwischen Fraktion und Lobby eingezwängten Parlamentarier vorstellen – dieser eilige Betrachter, der wird irgendwann sagen: »Na, was ist das denn? Verbraucherrecht funktioniert ja gar nicht. Also, für das Feld des Datenschutzes: ›Weg damit!‹« Also, wir haben langfristig einen weiteren Effekt zu gegenwärtigen, nämlich den, dass Verbraucherschutzrecht erodiert wird, wenn wir sozialen Netzwerken solche Piratenakte durchgehen lassen, solche Piratenakte, wie die, die etwa Facebook betreibt. Also noch einmal: Das ist insgesamt mein ergänzender »Punkt Eins«, zu finden in der Spalte A meiner Tabelle auf S. 62.

[59] Das Zweite, was im Hinblick auf »Facebook und Co.« noch in das angestrebte Bild von Privatsphäre gehört, ist die Bildwerdung der Problemlagen, die aus der Vermischung an sich inkompatibler Vertragszwecke folgen. Ich verweise dazu auf die Spalte B meiner Tabelle. Verträge streben – nach den Zivilrechten EU-Europas und darüber hinaus – äquivalente und faire Tauschvorgänge an. Wenn Tauschvorgänge äquivalent und fair sind, dann kann man sie normalerweise leicht einordnen: Sie sind dann Koordinationsverträge, sie sind Subordinationsverträge oder sie sind Transaktionsverträge. Und dort, wo – in konkreten vertraglichen oder vertragsähnlichen Verhältnissen – Koordination, Subordination und Transaktion miteinander vermischt werden, da weist das gewöhnlich auf einen nicht äquivalenten oder sonst unfairen Tausch hin. Zur besseren Verständlichkeit der Begriffe: Ein Koordinationsvertrag ist etwa dies: Ich gründe mit Ihnen eine Gesellschaft, wir verfolgen eine gemeinsame Phantasie und tragen dabei ein gemeinsames Risiko, das heißt, Fragen von Investition und Finanzierung des Risikos betreffen uns beide mit gleichem Gewicht. Dabei kommen wir aus der vertraglichen Bindung zueinander und aus Verhältnissen zu Dritten im Grundsatz so leicht nicht heraus. Subordination dagegen heißt dagegen: Der eine trägt allein ein Risiko und der andere übernimmt künftig die Weisungen, die der Risikoträger ihm erteilt. Das ist der Tausch von Risikominimierung gegen Unterordnung und sichere Einkünfte. Aus diesem Vertrag kommen beide leicht heraus. Gemeinschaftliche Verhältnisse zu Dritten sind im Grundsatz irrelevant. Und Transaktion schließlich heißt: Wir haben eigentlich nichts miteinander zu tun, es gibt nur eine einzige Schnittstelle, und da zahle ich Ihnen Geld, und Sie geben mir etwas dafür, verkaufen mir ein Auto, vermieten mir eine Wohnung. Gemeinschaftliche Verhältnisse zu Dritten sind ebenfalls irrelevant. Alle Verträge können Sie so eintüten. Ein soziales Netzwerk vermischt nun Koordination, Subordination und Transaktion, und auf einmal ist die vertragliche Äquivalenz von Leistung und Gegenleistung nicht mehr bestimmbar. Das traditionelle Koordinatensystem, das wir für die Bestimmung der Fairness im Tauschvorgang sonst haben, es gilt hier nicht mehr. Wo ist nun der Maßstab für die Grenzen von Übervorteilung? Auch das gehört in das angestrebte bessere Bild von dem, was Privatsphäre leisten soll.

[60] Diese zwei Dinge vorab, weil sie nicht im Fließtext meines vorbereitenden Papiers stehen, sondern nur in der zugehörigen Tabelle vorkommen, und zwar in deren Spalten A und B.

[61] Dann haben wir bei einem Ersatz des Vier-Schalen-Modells natürlich die Daten-Arten, die Verwendungszusammenhänge und die Asymmetrien abzubilden. Das Vier-Schalen-Modell erlaubt es nicht zu sagen, es gibt Verwendungszusammenhänge, die sind problematisch, und andere sind es nicht. Auch Asymmetrie findet im Vier-Schalen-Modell nicht statt, es gibt sie gar nicht. Eine bessere Bildwelt muss gerade Asymmetrien plausibel verbildlichen. Wir müssen also heraus aus dieser magisch induzierten Blindheit für Verwendungszusammenhänge und Asymmetrien. Ich hoffe, allein damit ist ausreichend deutlich gemacht, warum man gegen das dumme Bildchen des Vier-Schalen-Modells streiten muss. Also, Privatsphäre ist nicht ontologisch vorhanden. Sie ist stattdessen ein Vorgang, eine Gestaltungsweise, die einen anderen Vorgang reguliert: die Kommunikation. Deshalb: Privatsphäre ist nicht vorhanden, man muss sie machen. Dafür brauchen wir das Bild, zu dem die übergebene Tabelle ein Anfang sein soll.

[62] Schließlich ist nun in EU-Europa noch etwas wesentlich: Sie haben dazu aus meinem Text alle ein Wort gelernt, ein neues Verb, das in keinem Duden steht – das Wort heißt »ausdeutschen«. »Bebildern statt Ausdeutschen!«, sage ich hier. Denn wenn man nämlich – Details dazu stehen in meinem Text –, wenn man den Datenschutz für EU-Europa bitteschön nicht »ausdeutschen« soll, wenn man also bitte nicht so präzise textliche Regelungen machen soll, wie die Deutschen sie immer produzieren: Ja, dann wird das Bebildern noch einmal wichtiger. Deshalb noch einmal, – und bis es wehtut: »Bebildern statt Ausdeutschen!«

[63] Schließlich müssen wir reden über den zweckmäßigen Zuschnitt von Schutzwerkzeugen gegenüber der überlegen standardisierenden Strukturierungsmacht von Organisationen. Welche Schutzwerkzeuge gibt es zur Bewahrung des Respekts in der Asymmetrie zwischen dem Einzelnen und der Daten verarbeitenden Organisation? Ideen dazu stehen in der Tabelle, die Ihnen vorliegt.

Danke schön.

Kirsten Bock

»Instrumente des Datenschutzes und ihre Eignung in der Praxis – Zur Ungeeignetheit der Selbstregulierung im Datenschutzbereich«

[64] Vielen Dank, dass ich heute zu Ihnen sprechen darf. In meinem Beitrag geht es um die Instrumente und mögliche Antworten, die man geben kann auf all die Fragen, die wir heute auf den Folien gesehen haben. Zumindest glaubt die Bundesregierung, dass man auf die Fragen einfache Antworten geben kann. Grundsätzlich – darüber haben wir gesprochen – ist eine direkte Regulierung eine der Antworten. Ob sie vielleicht die naheliegendste im Bereich des Datenschutzes ist, das ist die Frage. Eine andere Möglichkeit ist auch schon angesprochen worden, das ist die Dritte im Bunde: technische Lösungen. Das liest man heute auch immer noch. Losgelöst von rechtlichen Regelungen wird das als eine mögliche Lösungsform betrachtet, um Datenschutz umzusetzen. Warum das nicht sein kann, dazu kommen wir vielleicht zum Schluss noch. Und ich möchte jetzt auf die Zweite zu sprechen kommen, nämlich auf die Selbstregulierung.

[65] Selbstregulierung steht wieder hoch im Kurs. Sie hatte schon einmal so einen Peak in der Diskussion im Rahmen der Umweltgesetzgebung – Umweltaudits ist dabei das Stichwort. Damals wurde auch ein bisschen dazu geforscht, und dann geriet es wieder in Vergessenheit, weil man – so man der Literatur entnehmen kann – sehr schnell gemerkt hat, dass man damit nicht sehr weit kommt. Nun glaubt man aber wieder, damit große Probleme lösen zu können. Insbesondere Innenminister Friedrich hat das im letzten Jahr auf der Konferenz »Datenschutz im 21. Jahrhundert« sehr stark propagiert. Man kann aber, wenn man jetzt zurückschaut in die Historie, feststellen, dass Selbstregulierung immer dann en vogue ist, wenn der Gesetzgeber nicht mehr weiter weiß, wenn der Gesetzgeber die Marktkräfte nicht steuern kann – dann sagt er: »Na ja, wir wissen nicht so genau, was da überhaupt los ist. Macht ihr mal!« Und ein anderer Beweggrund, und den erleben wir derzeit ganz besonders ausgeprägt in den USA oder am W3C bei den Do-Not-Track-Bemühungen, ist, wenn die Industrie nämlich Regelung und Regulierung befürchtet und diese abwehren möchte. Dann sagt sie sehr schnell: »Lass mal, Staat, das können wir schon ganz alleine. Das regeln wir unter uns.«

[66] Grundsätzlich wird Selbstregulierung also gesehen als eine Möglichkeit, neuen technischen Angeboten, Diensten und Geschäftsmodellen Herr zu werden. Man hat das Gefühl, es gebe eine super-schnelle technische Entwicklung, und der Gesetzgeber könne gar nicht hinterher kommen, spezifische Regelungen dafür zu schaffen, also überlasse man das der Industrie selbst, denn diese wisse ja, woran sie forschen würde, und dann solle sie sich untereinander einigen und für sich Regeln schaffen. Dabei wird natürlich implizit immer davon ausgegangen, dass Regulierungsdefizite tatsächlich bestehen, und dass wir über Bereiche reden, die auch reguliert werden sollen und die bisher nicht reguliert sind. Das ist vereinzelt mit Sicherheit richtig, auch in dem Bereich, den Datenschutz zu regeln versucht, etwa wenn wir an Angebote denken von Anbietern, die sich bisher nicht im Zuständigkeitsbereich unserer Gesetzgebung befinden wie Dienstleistungsverarbeitung aus Drittstaaten heraus oder in die EU hinein. Wenn man aber genauer schaut, dann sieht man, dass man es hier weitgehend mit einem gigantischen Rechtsdurchsetzungsdefizit zu tun hat. Wir sehen nämlich, wir haben eigentlich ein – wir haben es heute auch schon gehört – mehr oder weniger wachsendes normatives System, können aber sehen, dass in vielen Bereichen dieses Recht nicht durchgesetzt wird. Durch diese Situation, die sich in den letzten zehn Jahren verschärft hat, haben wir eine Situation, in der sich Geschäftsmodelle etablieren konnten, die auf bewussten oder unbewussten Verstößen gegen das geltende Recht basieren. Und jetzt kommt der Gesetzgeber und sagt: »Oha!« Plötzlich haben wir nämlich Konflikte, weil einerseits das geltende Recht vielleicht auch gar nicht so verkehrt gewesen ist und bestehende Rechte schützt – das haben wir ja auch heute schon gehört – und andererseits plötzlich Geschäftsmodelle, die dem konträr entgegenstehen. Und wenn diese Geschäftsmodelle einmal etabliert sind, dann kommt es unweigerlich zu Konflikten zwischen den Organisationen einerseits und den Betroffenen andererseits. Das ist das derzeitige Gefüge, in dem wir uns bewegen. Ich möchte gegen diese Bestrebungen, die Selbstregulierung wiederzubeleben, heute zwei Thesen vertreten und diese diskutieren: »Selbstregulierung führt nicht und kann nicht zu rechtskonformem Verhalten führen.«, und: »Selbstkontrolle ersetzt keine staatliche Kontrolle.« Dann, und das will ich gerne schon vorweg nehmen, denke ich, kommen wir zu dem Fazit, dass Selbstregulierung und Selbstkontrolle nur ergänzend wirksam sein können, aber immer nur im Zusammenhang und unter unabhängiger Kontrolle. Darauf möchte ich jetzt im Einzelnen eingehen.

[67] Vielleicht konzentrieren wir uns – ich habe das ja in dem Aufsatz auch ein bisschen ausgeführt, wenn auch noch nicht vollständig, nur angerissen – auf die Konflikte, die sich im Rahmen einer Selbstregulierungsbestrebung ergeben können. Da taucht zunächst einmal die Frage der Rechtmäßigkeit auf. Was ist eigentlich rechtmäßig? Wer definiert das im Rahmen der Selbstregulierung? Wenn wir uns Selbstregulierungsinitiativen anschauen, zum Beispiel gegenwärtig das, was der IAB Europe im Bereich der Online-Werbung betreibt, dann stellen wir fest, hier werden plötzlich Definitions- und Subsumtionshoheit durch die Selbstregulierer angeeignet. Was bedeutet das? Es wird nicht auf die gesetzlich bestehenden Definitionen zurückgegriffen, sondern es werden neue Definitionen geschaffen oder aber bestehende Definitionen werden neu interpretiert. Wir sehen das bei der IP-Adresse zum Beispiel praktisch: Da ist man sich im Bereich der Wirtschaft sehr, sehr einig, dass IP-Adressen unmöglich personenbeziehbare Informationen darstellen können – das sind ja nur Nummern, nicht? Diese Definition wird im Rahmen der Selbstregulierung sich angeeignet, normiert und ausgefüllt. Also da sehen wir schon, da haben wir den ersten Konflikt. Ähnliches kann man jetzt für die Einwilligung diskutieren und so weiter, da gibt es noch mehr Beispiele.

[68] Der zweite Konflikt, dem wir regelmäßig begegnen, ist, dass im Rahmen der Selbstregulierung die Interessen der Beteiligten gegenläufig sind. Selbstregulierung, wenn man in die Geschichte der Selbstregulierung zurückschaut, handelte immer auf der Basis der Eigenorganisation. Es wurden immer Verhältnisse geregelt, in Handwerkskammern zum Beispiel, unter Gleichen. Das ist die klassische Situation der Selbstregulierung. Im Bereich des Datenschutzes haben wir – das haben wir heute schon gehört – aber typischerweise eine Situation, in der große, mächtige Organisationen Einzelnen gegenüberstehen, sei es direkt in Interaktionsverhältnissen oder indirekt über Big-Data-Datenverarbeiter. Der zweite Punkt ist – und der hängt dann auch schon mit dem dritten zusammen – das Rechtsdurchsetzungsdefizit. Es gibt also derzeit keine finanziellen Anreize für Unternehmen, sich an das geltende Recht zu halten, weil es keine Rechtsdurchsetzung gibt. Schon daher sehen wir, dass eine Motivation für eine Selbstregulierung nur sehr, sehr niedrig angelegt sein kann – und das notwendigerweise –, denn warum sollte ich eine Situation ändern, die positiv für mich als Organisation ist. Und die Frage der Rechtsdurchsetzung im Rahmen der Selbstregulierung ist zentral, denn auch dazu soll ja Selbstregulierung dienen: Organisationen sollen sich nicht nur selbst Normen schaffen oder Normen konkretisieren, die sie dann ausführen sollen, nein, sie sollen ihre Umsetzung auch kontrollieren. Sie sollen dafür sorgen, dass ihre Mitglieder – klassischerweise dann Verbände – sich auch an die formulierten Normen halten, letztlich also eine Form der Rechtsdurchsetzung durch Branchenverbände. Da sehen wir in vielen Selbstregulierungsinitiativen, dass Verstöße nicht geahndet werden. Also wir brauchen letztlich dann, wenn Selbstregulierung funktionieren soll, Regeln, wie Verstöße geahndet werden. Wir müssen aber nicht nur dafür sorgen, dass sie geahndet werden, sondern wir müssen auch dafür sorgen, dass Sanktionen durchgesetzt werden. Schauen wir zum Beispiel nach Frankreich. Dort hatten wir einen klassischen Fall: Da gab es einen Verstoß, der war dann auch in der Presse, das Unternehmen wurde gescholten, aber es wurde nicht aus dem Branchenverband ausgeschlossen.

[69] Daran anschließend stellt sich dann natürlich die nächste Frage. Also nicht nur, welche Folgen haben Sanktionen für die betroffenen Unternehmen, sondern auch, unter welchen Regeln werden sie aus dem Verband hinausgestoßen, und was passiert dann eigentlich, wenn sie nicht mehr Verbandsmitglieder sind. Das ist auch eine generelle Frage: Was passiert überhaupt mit den Unternehmen, die sich von vornherein nicht den Branchenregeln anschließen. Welchen Regeln sollen die dann unterworfen werden? Gar keinen? Den allgemeinen Gesetzen? Das sind alles Fragen, die im Rahmen der Selbstregulierung, und insbesondere im Bereich der Sozialen Netzwerke, noch überhaupt nicht diskutiert worden sind.

[70] Und letztlich kann man die Frage stellen, ob es bei der Selbstregulierung nicht eigentlich gar nicht um die Frage geht, wie viel Rechtmäßigkeit umgesetzt wird, sondern darum, wie viel Rechtswidrigkeit geduldet wird.

[71] Denn letztlich darf man bei der Selbstregulierung nicht vergessen, dass hier Branchenverbände Regeln setzen, die typischerweise – und das ist auch ihre klassische Aufgabe – die Interessen ihrer Mitglieder vertreten. Daraus folgt, dass im Rahmen der Selbstregulierung eine Einbindung eines legitimierten Normgebers oder irgendeine Einbindung der Gesellschaft erforderlich ist. Wir finden das im Medienrecht zum Teil, da haben wir die Medienräte. Das sollen dann Abbilder der Gesellschaft sein, die dort Regulierung einbinden. Diese Diskussion oder diese Problematik ist aber sehr heikel in Bereichen, in denen es tatsächlich um Grundrechtseingriffe geht. Und das haben wir hier. Das ist in anderen Bereichen, in denen Selbstregulierung auch legitimerweise propagiert wird, häufig nicht der Fall.

[72] So, eigentlich hätte ich Ihnen gerne jetzt auch noch etwas über Beispiele erzählt, etwa zur Zertifizierung oder zu Möglichkeiten, wie man im Rahmen einer regulierten Selbstregulierung die Idee der Selbstregulierung weiterführen kann, aber nur unter einem sehr, sehr stark reglementierten Rahmen. Das können wir vielleicht in der Diskussion vertiefen. Und dann sollten wir jetzt lieber diskutieren.

Vielen Dank für Ihre Aufmerksamkeit.

Diskussion

[73] Andrea Knaut: Wir haben jetzt die Impulsreferate gehört, alle mit eigenen Thesen und mit eigenen Fragen, was natürlich für das Fishbowl-Konzept erst einmal schwierig ist, um sofort eine Diskussion zu starten, in der wir auf einem gemeinsamen Level diskutieren. Daher haben wir uns gedacht – auch weil die Veranstaltungsreihe »Fundationes« heißt und weil es darum geht, über Disziplingrenzen hinweg Grundbegriffe zu klären –, dass wir zuerst die Begriffe, die eigentlich bei allen Referentinnen und Referenten gefallen sind – Privacy, Datenschutz und Privatsphäre –, noch einmal definieren und einander auch übersetzen. Die einzelnen Referentinnen und Referenten der verschiedenen Disziplinen hier im Raum haben unterschiedliche Konzepte dieser Begriffe in ihren Vorträgen genutzt. Und deshalb beginnen wir jetzt mit einer Runde, in der Sie den oder die genannten Begriffe ins Verhältnis zueinander setzen – wenn Sie zum Beispiel besonders vom Konzept des Datenschutzes gesprochen haben: Wie steht dieser Begriff, den Sie von Datenschutz haben, im Verhältnis zu den Begriffen Privacy und Privatsphäre? Das ist die Frage, die wir jetzt an Sie alle in der Runde stellen. Wir würden gerne mit Ihnen, Seda Gürses, anfangen, da Sie die Privacy-Referentin waren. Wie stehen die vielen Privacy-Begriffe, die Sie vorgestellt haben, im Verhältnis zu den deutschen Begriffen Datenschutz und Privatsphäre?

[74] Seda Gürses: Ich versuche, in meiner Arbeit die unterschiedlichen Definitionen von Privacy, die von Informatikern benutzt werden, explizit zu machen. Ich versuche jetzt nicht zu sagen, Privacy ist dies oder jenes, ich versuche, die Problemdefinitionen oder die privacy-Definitionen von Informatikern ans Licht zu bringen. In dem Papier gibt es zwei Definitionen. Eine benutze ich für Privacy gegenüber dem eingreifenden Staat, und diese geht zurück auf die Theorie vom modernen Staat, der erst die Bürger als Subjekte kreiert und danach ein kleines Gesetz macht, das sagt: »OK, lieber Bürger, ich muss Dich auch vor mir schützen.« Ich glaube nicht, dass die Informatiker diese Komplexität immer sehen. Diese Komplexität kenne ich, weil ich zum Beispiel Irma van der Ploeg aus den Niederlanden, die darüber schreibt, gelesen habe. Das ist die eine Definition. Sie wird auch oft verkürzt zu »the right to be let alone«, aber das ist eher die amerikanische Definition. Die andere Privacy-Definition bezieht sich auf kommerzielle Services, und hierbei handelt es sich nicht um eine juristische Definition. Danach ist Privacy »boundary negotiation«, also die Art und Weise, wie wir normalerweise das, was öffentlich sein soll, und das, was privat bleiben soll, voneinander trennen. Neue Technologien ändern das. Und dann ist »privacy practice« eine Möglichkeit, diese geänderte boundary nochmals zu behandeln und zu schauen, ob man das irgendwie so hinbekommt, dass es genauso gut funktioniert wie vorher. Es gibt auch eine ähnliche Privacy-Definition aus der Sicht der Industrie und die lautet, Privacy heiße, die Konsumenten nicht zu überraschen. Diese beiden Definitionen werden eigentlich für die gleichen Fälle benutzt und beziehen sich auf »social privacy«. Wenn die Industrie intern darüber spricht, heißt es: »Privacy geht gut, solange man die Nutzer nicht überrascht.«; und wenn die Forscher darüber reden: »Privacy boundaries – wenn sie verletzt werden, haben die Leute regrets oder sie haben das Gefühl, sie hätten eine schlechte Entscheidung getroffen und seien in einer schwierigen Situation, und dann muss man etwas dagegen machen.« Das sind die zwei Definitionen in dem Artikel und ich glaube, dass der Datenschutz auf gewisse Art und Weise diese staatliche Beziehung auch regulieren soll. Aber ich glaube auch, dass es trotzdem nicht das ist, was diese Indies damit verbinden. Ich glaube, das ist eher so die Human-Rights-Definition von Privacy. Ich bin mir auch nicht sicher, ob Datenschutz auch beinhaltet, wenn der Staat in die Privacy eingreift, ohne Daten zu verarbeiten. Und das mit dem Zwischennutzer – »social privacy« –, ich glaube, das ist eine der Schwächen von Datenschutz, weil der Datenschutz viel mehr auf die Beziehung zwischen einem Individuum und einer Organisation guckt. Er versucht, das Problem in Bezug auf Gesellschaft und Organisation zu beantworten. Ich bin mir nicht sicher, ob er das schafft. Aber was der Datenschutz auf jeden Fall nicht sehr gut macht, ist das, was zwischen Nutzern passiert und passieren soll, vor allem, wenn es durch Organisationen vermittelt wird. Und das ist, glaube ich, was wir bei Social Networks haben. Und dann ist natürlich die Frage, ob Datenschutz überhaupt soziale Relationen regulieren soll. Ich bin mir da auch nicht sicher.

[75] Kai von Lewinski: Ich kann mich ganz kurz fassen. Ich habe ja nicht einmal über Datenschutz gesprochen, sondern über Datenschutzrecht, also über etwas, das auf Datenschutz nur Bezug nimmt. Und das heißt, die Bezugnahme ist auch nur eine indirekte. Ich hatte lediglich in meinem Schlusssatz die Offenheit angedeutet, dass das, was Datenschutz oder dem Begriff Datenschutz oder dem Datenschutzrecht unterliegt, dass das möglicherweise von anderen Konzepten zu unterscheiden ist. Das, was sich entwickelt hat, hat möglicherweise eine Zufälligkeit, und deshalb kann der Begriff Datenschutz etwas anderes sein, eine andere Bedeutung haben, als Privatheit, Privacy, Privatsphäre oder andere Begriffe. Zu den Begriffen oder ob eine Diskrepanz zwischen den Begriffen besteht, da hatte ich nur eine These formuliert, nur die offene These, dass es so sein kann, mehr nicht.

[76] Martin Rost: Was ich nicht verstehe, ist, wieso man Datenschutz nur auf Staat bezieht. Das ist historisch so entstanden. Und im Steinmüller-Gutachten 1971 gab es diese Fokussierung, aber Steinmüller hat auch schon sehr früh die Variante ausgegeben: »Es geht nicht um Privatheit, sondern um die soziale Beherrschbarkeit der Maschinerie.« Das ist ein ganz anderer view. Und da ist die Konstruktion der Juristen, nach privat- und öffentlichrechtlich zu unterscheiden, ein Methoden-Artefakt, wie Juristen sich Probleme halt zurechtlegen. Aber die Frage ist, ob das Problem aus der Sache heraus so konstruiert werden muss. Das kann man mal anzweifeln. Das ist das Eine. Ich hatte dargelegt, dass das Datenschutzproblem an historisch bestimmten Momenten reproduziert wird, nämlich dem, an dem die funktionale Differenzierung entsteht, an dem die moderne Gesellschaft entsteht, wenn Religion und Wissenschaft sich trennen, wenn Religion und Politik sich trennen, sobald verschiedene Sektoren – Funktionssysteme, so heißt es dann bei Luhmann – entstehen. Die Funktionssysteme ziehen Gesellschaft auseinander, sie gebären solche Konzepte wie »den Bürger«... Doof ist, dass ich mich wiederhole. Ich versuche eine Variation ohne Wiederholung, aber es gelingt mir nicht.

[77] Andrea Knaut: Der Datenschutz-Begriff wird hier in Abgrenzung zum Privacy-Begriff gesehen. Gibt es da überhaupt Überschneidung?

[78] Martin Rost: Privacy... da gehe ich darauf ein. Wenn ich mit Juristen darüber spreche, und ich bin dem permanent ausgesetzt, dann ist das Bedürfnis nach Privatheit für sie eine anthropologische Konstante. Ich für meine Person habe ein Bedürfnis nach Sex, und das zu haben unterstelle ich allen. Es gibt aber trotzdem keinen Landesbeauftragten, der sich dieses unser aller Problems annimmt. Das ist für mich die Analogie. Nämlich dass sich die Konstruktion des Datenschutzproblems nicht aus Bedürfnissen rekrutiert – und dann auch nicht mit Sphären abgesichert werden kann –, sondern sozial zugetragen wird, kommuniziert wird, reproduziert wird. Diesem Ansatz versuche ich gerecht zu werden. Ich hole mit dem Verweis auf Funktionssysteme und den Organisationssystemen deshalb so aus, weil diese bestimmte Formen sind, wie Datenschutz zu einem Problem wird und als Problem kommuniziert wird. Und es wird dann in Form eines allgemeinen Konzeptes vom Bürger kommuniziert in dieser Konstellation, wie Seda Gürses das Problem darstellte, nämlich dass der Staat einerseits den Bürger generiert und gleichzeitig die Grundrechte als Abwehrrechte gegenüber dem Staat formuliert. Das ist keine spaßige Konstruktion, sondern eine unglaublich heikle und paradoxale Konstellation. Das wird genau zu dem Zeitpunkt aktiviert, an dem Organisationen, die die große Synthese der verschiedenen Funktionssysteme hinbekommen müssen,... Organisationen müssen boundaries aufheben. Auch eine Verwaltung muss wirtschaftlich agieren, und auch eine Verwaltung kann nicht davon ausgehen, dass Lichtgeschwindigkeit nicht gilt oder das Perpetuum Mobile ausrufen. Das wäre einfach Unsinn! Aber es gibt bei Verwaltungen einen Primat der Rechtskonformität, nach der die Verwaltung zu arbeiten hat. Sie müssen die Grenzen, die die Funktionssysteme bauen... konstruieren... aufheben. Das heißt, wir haben permanent den Konflikt zwischen der unersetzlichen synthetischen Leistung der Organisationen und den Funktionstrennungen der Funktionssysteme. Diese Differenz thematisiert permanent das Datenschutzproblem. Und damit abgeleitet auch das privacy-Problem. Das privacy-Problem ist sozusagen die Binnensicht, und das Datenschutzproblem ist die konstruktive Sicht, das heißt, was für soziale Bedingungen herrschen müssen, nämlich es muss Markt geben, es muss Gewaltenteilung geben, es muss Demokratie geben, es muss freie Diskurse geben, so dass dann so viele Grenzen gezogen werden, die durch die Zweckbindung gesichert werden, dass Privatheit entstehen kann. Oder die andere Variante, dass 1983 das informationelle Selbstbestimmungrecht entstehen kann.

[79] Jörg Pohle: Das heißt aber begrifflich, dass Sie jetzt Privatsphäre und privacy gleichsetzen. Sie haben gerade in Bezug auf die verschiedenen Sichten – views –, also was aus welcher Sicht jeweils Datenschutz und privacy ist, die gleiche Beschreibung – aber mit Datenschutz und Privatsphäre – wie in Ihrem Artikel gegeben. Das sollen die beiden Sichten sein? Das eine ist die individuelle auf das Problem und die andere ist die konstruierende?

[80] Martin Rost: Ja, das ist ein Vorschlag, dass man das so machen kann.

[81] Jörg Pohle: Aber dann fallen bei Ihnen Privatsphäre und privacy begrifflich zusammen.

[82] Martin Rost: Nein. »Privatsphäre« ist auch magisch aufgeladen, mit Individualität, mit Subjektivität und so weiter. Das kann man natürlich noch unterscheiden, nur, es bringt mir nichts. Ich kämpfe auf der Datenschutzseite. Das Thema »Privatheit« betreuen die anderen 98% der Datenschützer, weil sie es nicht anders können, weil sie die Datenschutzperspektive – das Konstitutive von Datenschutz und Privatssphäre daran – nicht sehen. Da gibt es einen »défaut professionelle« bei den Juristen, nach meinen Beobachtungen. Dies werfe ich denen ja auch nicht vor, sondern das wird gepflegt in der ritualisierten Rede von der Privatsphäre. Selbst das Bundesverfassungsgericht, das sich noch in den siebziger Jahren selbst attestierte, dass das Sphärenmodell erledigt und Unsinn ist, changiert damit, benutzt es dann doch wieder, wenn es zupass kommt. Entscheidend aus Datenschutzsicht: Wie auch die Einwilligung erzielt das Sphärenmodell keine Schutzwirkung für Betroffene. Wenn nicht einmal unsere besten Richter, unsere besten Juristen, die wir in Deutschland haben, wenn nicht einmal die das Changieren lassen können, dann kann ich dies von meinen Kollegen auch nicht verlangen.

[83] Jörg Pohle: Darüber werden wir, glaube ich, nachher noch einmal reden, und zwar deshalb, weil es vielleicht daran liegt, dass die Begriffe einfach verschiedene soziale Verhältnisse, verschiedene soziale Situationen, die unterschiedliche Akteurskonstellationen beinhalten, beschreiben. Aber vielleicht machen wir die Runde erst noch zu Ende. Sind es Gegenstücke: Datenschutz, privacy, Privatsphäre?

[84] Stefan Ullrich: Ich würde das noch einmal aufgreifen und unterscheiden, was hier zusammengesetzt worden ist: Privatsphäre, Privatheit und privacy. Der Ansatz von Seda Gürses ist auch, die Definitionen von »privacy« gut zu unterscheiden. Bei »Privatheit« könnte man eben auch eine Begriffsklärung betreiben, man könnte es ein bisschen ausformulieren. Beate Rössler hat das getan,4 und wie finde sehr gut; sie hat unterschieden zwischen der lokalen Privatheit, was dieses »right to be let alone« auch so ein bisschen ist, was übrigens nicht der Abwehr des Staates diente, sondern der Paparazzi und anderer Personen; der körperlichen Privatheit, also die Beispiele (wie auch hier) betreffend, wo etwa ein nackter Mann durchs Video läuft, ganz im Sinne »ich möchte halt nicht, dass man das sieht« (die andere Richtung »ich möchte das auch nicht sehen« geht auch in die Richtung körperliche Privatheit); dann eben das, worüber wir dann hauptsächlich sprechen: informationelle Privatheit, also der Bereich Hoheit über die eigenen Daten. Das, denke ich, ist erst durch die Technik so entstanden.

[85] Und schließlich, was bei Beate Rössler auf einer Ebene ist, die dezisionale Privatheit finde ich aber, ist besonders herauszuheben, weil dann eben das Ganze reinkommt mit der Autonomie, mit der Entscheidung und so fort. Für autonome Entscheidungen braucht man einen gewissen Rückzugspunkt, wo man vor Eingriffen sicher ist. Das würde ich zum Beispiel höher ansetzen, was dann aber auf einer ganz abstrakten Ebene wäre. Das geht dann wirklich in die Richtung (vor der auch Pfitzmann gemahnt hat) der Gedankenkontrolle. Plötzlich hat man keine dezisionale Privatheit mehr, so dass man nicht mehr einschätzen kann, welche Eingriffe in die körperliche oder lokale oder informationelle Privatheit man überhaupt schlimm findet.

[86] In einem Privatheits-Seminar hatten wir diese Einschätzung als »Schieberegler« visualisiert, also wie weit kann man den Informationelle-Privatheit-Schieberegler verstellen, den für lokale oder den für körperliche Privatheit. Welche Einschränkungen der Privatheit toleriert man? Die Einstellung der Schieberegler übernimmt man mit Hilfe der dezisionalen Privatheit. Und das ist eigentlich die, die man eher philosophisch-theoretisch diskutiert, wohingegen die anderen drei ganz praktische Applikationen haben. Das wollte ich nur als Begriffsklärung mal in die Runde werfen.

[87] Andrea Knaut: Beziehungsweise als weitere Sicht.

[88] Stefan Ullrich: Als weitere Sicht; wie diese boundary negotiation hat das Schiebereglerbild auch so etwas Interaktives; das Bild mit den Schiebereglern habe ich ja nicht vorgegeben, das haben wir im Seminar über ein halbes Jahr gemeinsam erarbeitet. Dieser Aushandlungsprozess ist hochdynamisch, wobei die eine Frage ist: Wie passiert er faktisch? Aber auch: Nach welchen Regeln passiert denn so eine Aushandlung? Und dass das eine Aushandlung ist und nichts von vornherein Festgesetztes, das finde ich halt auch ganz spannend. Das kam jetzt bei Seda Gürses rüber, das war in dem Privatheits-Seminar so, eben dass man nicht von vornherein sagen kann, das ist privat, sondern mal das und mal das...

[89] Jörg Pohle: Hier kann man klassisch sehen, dass es relevant ist, welche sozialen Situationen man betrachtet. In der liberalen Ideologie wird es angenommen, dass alle Menschen gleich sind, auch was die Machtpositionen angeht. In traditionellen liberalen Sichten ist es sogar so, dass alle Privaten als gleich betrachtet werden, als gleich mächtig, und dass nur der Staat der stärkere Akteur ist. Das ist der eine Blick. Währenddessen ist der andere Blick auf eine Situation gerichtet, die offensichtlich durch ein Machtungleichgewicht geprägt wird. Und damit haben wir vielleicht schon die eine Trennung zwischen dem vorherrschenden privacy-Diskurs und dem vorherrschenden Datenschutz-Diskurs, dass sich nämlich der eine auf die – das was Martin Rost Interaktionssysteme genannt hat – also Mensch-zu-Mensch-Beziehungen bezieht, und der andere auf die Mensch-Organisations-Beziehungen, oder gar auf die Organisations-Organisations- oder Organisations-Staats-Beziehungen.

[90] Seda Gürses: Welche war welche? Also Mensch-Organisations-Beziehungen, das ist Datenschutz? Aber wer betrachtet Interaktionssysteme?

[91] Jörg Pohle: Die meisten privacy-Theorien beziehen sich auf mikrosoziologische Theoretiker – Simmel, Goffman, Altman, Petronio. Die argumentieren alle aus der gleichen Richtung und argumentieren alle: Da steht ein Gegenüber, das gleich ist – ein anderer Mensch, ein Familienmitglied, irgend etwas in diese Richtung.

[92] Martin Rost: Ist es für Spieler hier vorgesehen, dass man etwas verstärken darf?

[93] Andrea Knaut: Ja, schwierig. Ich wollte auch gleich noch Wolfgang Zimmermann und Kirsten Bock in die Runde einbeziehen. Ich habe das Gefühl, dass jetzt hier eigentlich schon so eine Ebene da ist, auf der die Frage ist: Drücken die Begriffe, die benutzt werden – Privacy oder Datenschutz oder Privatheit –, auch schon eine bestimmte politische Haltung aus? Oder eine bestimmte Richtung einer sozialwissenschaftlichen Sicht darauf? Sagt das eine der Strukturalist? Und sagt das andere der Poststrukturalist? Oder kann man eben so ein Projekt – und da leite ich jetzt erst einmal zu Ihnen über, Wolfgang Zimmermann –, kann man so etwas versuchen wie: Ich nehme mir jetzt Privatsphäre und mache so eine Art Kompromissbegriff daraus, indem ich eine Riesen-Tabelle5 baue, wo ich sage, Privatsphäre – das kennen die Leute –, und jetzt erkläre ich denen das aber so, dass irgendwie alles mit drin ist. Also, ein bisschen wirkte Ihre Tabelle so auf mich. Insofern wäre es jetzt interessant, wie Sie das sehen mit dem Datenschutz und der Privacy?

[94] Wolfgang Zimmermann: Ich muss dazu eines sagen. Mir sind die Diskurse, die im wissenschaftlichen Bereich dazu bestehen, annähernd unbekannt. Ich versuche mit meinem Beitrag zu diesem Workshop lediglich, eine Doppelstruktur zu kommunizieren, die ich für wesentlich halte. Und für wesentlich halte ich, dass bei dem, was Menschen für sich behalten wollen, eine Unterscheidung getroffen werden kann: In den einen Bereich, der klassischerweise und überall betrachtet wird, nämlich das Alleine-gelassen-werden-wollen, das Etwas-geheim-halten-wollen, also das, was ich den Abwehraspekt nenne. Und es gibt daneben einen zweiten Aspekt, den Gestaltungsaspekt. Das habe ich eben in anderen Worten wieder gehört. Dafür braucht der Einzelne – der Bürger, der Verbraucher – Möglichkeiten der Selbstgestaltung. Er braucht dafür Orte, Zeiten und Menschen für Rückzug, Selbstorganisation, Nachdenken, Lernen, schöpferische Gestaltung und soziale Variation. Nur so kann er sich vergewissern, welche Rollen er eigentlich einnehmen möchte, und wann welche Rollen im Verhältnis zu wem. Dafür braucht er die subjektive Kraft und die objektive Handlungsmacht dafür, Rollen, Sektoren und Mittel im Einzelfall verhandeln zu können. Und das ist dann insgesamt das, was ich den Gestaltungsaspekt nenne. Die Sphären mit dem Abwehraspekt, die finden Sie in Spalte D meiner Tabelle, und den Gestaltungsaspekt, dessen Elemente finden Sie in deren Spalten E bis G. So würde ich den Satz der Elemente beschreiben, dessen Gefüge dann stabil gehalten werden muss. Und das muss unter den Bedingungen sozialer Asymmetrie geschehen, das verdeutlicht die Spalte H meiner Tabelle. Datenschutz (namentlich: Datenschutz in der Wirtschaft) beschreibt deshalb zunächst einmal die Art und Weise, wie Unternehmen fremdnützig zu agieren haben, fremdnützig und gegen ihr unmittelbares ökonomisches Interesse handelnd. Also, eine Organisation, etwa ein Unternehmen, möchte idealerweise, dass sich sein Kunde so verhält wie die eigene Buchhaltung oder wie ein anderes Unternehmen, und dass er berechenbar so funktioniert. Er sollte deshalb regelmäßig Aufträge erteilen, man sollte ihn im Zweifel durch Kündigung loswerden können, er sollte eine ordentliche Belegführung haben usw. Diesen Sachverhalt kann man insgesamt dahin generalisieren, dass jede Organisation die Tendenz hat, ihr eigenes Binnenregelwerk auf Externe auszudehnen. Und davor soll Datenschutz schützen – in seiner verbraucherrechtlichen und bürgerrechtlichen Doppelfunktion. Und Datenschutz soll in diesem Zusammenhang daran mitwirken, dass die von Rechenvorgängen geprägte Logik betriebswirtschaftlicher Effizienz nicht prägendes Element alles Gesellschaftlichen ist. Deshalb fordert Datenschutz dem Unternehmen, das gegenüber Bürgern und Verbrauchern überlegen organisiert ist, Formen betriebswirtschaftlicher Suboptimalität ab. Genauer: Ich könnte als Organisation, etwa als Unternehmen, meine Prozesse perfekt organisieren, wenn nicht meine Kunden irgendwelche Entscheidungsmöglichkeiten hätten, die aus meiner betriebswirtschaftlichen Logik gänzlich herausfallen und an denen ich deshalb überhaupt kein Implementationsinteresse habe. Trotzdem bin ich aber als Organisation dazu verpflichtet, die systemfremden Autonomien meiner Kunden, Klienten, Bürger zu ertragen und sie bei mir auch noch prozesshaft zu implementieren. Ich muss also meine Prozesse zu meinen Kunden, Klienten oder Bürgern hin suboptimal organisieren, ihnen etwa Informationsrechte gewähren oder etwa tatsächliche Voraussetzungen für Kündigungsmöglichkeiten schaffen, obwohl das in meinem Unternehmen die Periodizität von Rechnungswesen und Buchhaltung stört. Ich muss für transparent zurechenbare Verantwortlichkeiten sorgen, obwohl mir ein Mehr an Einwirkung und Haftung als Organisation rein gar keinen »benefit« bringt usw. Das ist das, was Datenschutz als der operative Betrieb von Privatsphäre verlangt, wenn man ihn aus der Perspektive der überlegen handlungsmächtigen Organisation betrachtet. Dem Datenschutz geht es da um die robust funktionstüchtige Bereitstellung von systemfremder Autonomie, die meine Organisations-Prozesse stört.

[95] Andrea Knaut: Kirsten Bock, Sie haben es ja eigentlich relativ intuitiv gesagt: Datenschutz ist der Gegensatz zwischen Mensch und Organisation, oder das regelt der jedenfalls im Prinzip. Da kam es mir jetzt am wenigsten sozialwissenschaftlich vor, also derart: Ich ordne das jetzt nicht in ein riesiges wissenschaftliches Gebäude ein, sondern ich mach‘ es praktisch, und es ist mir völlig klar, was Datenschutz ist.

[96] Kirsten Bock: Ein Ausgleichsinstrument. Als Juristin ist für mich der Begriff Datenschutz klar – und ich benutze lieber den Begriff Datenschutz als irgendeinen anderen Begriff. Es gab eine Tendenz vor fünf, sechs Jahren, da haben wir gesagt, wir nehmen lieber privacy, denn das ist weiter und das umfasst mehr. Aber ich würde im Moment fast sagen, das ist rückläufig, vielleicht auch zur Abgrenzung gegen das andere Rechtssystem, das hinter dem anderen Begriff steht. Das darf man ja nicht vergessen. Da steht das angelsächsische Rechtssystem dahinter, und privacy ist ein Rechtsbegriff. Und deswegen hat er ganz spezifische Bedeutungen, die wir gar nicht übersetzen können, weil wir historisch eben dieses Rechtssystem nicht dahinterstehen haben. Und daher finde ich das auch gut, dass auch im allgemeinen Diskurs wieder diesen Rückgriff auf diesen Begriff Datenschutz gibt, auch wenn der nicht treffend ist für das, was wir eigentlich regeln wollen. Aber in erster Linie ist das für mich Grundrechtsschutz, natürlich Abwehrrecht des Bürgers gegen den Staat, aber natürlich mit mittelbarer Drittwirkung – der Ausstrahlung ins Privatrecht. Und dann würde ich das eben auch abgrenzen wollen, ganz bewusst abgrenzen von informationeller Privatheit. Das ist es nicht nur. Der Begriff gehört auch nicht in die Sphäre des Rechts. Das Bundesverfassungsgericht hat den Begriff informationelle Selbstbestimmung mit Bedacht gewählt. Es ist nämlich nicht nur Abwehr – das würde ich so intuitiv sagen, informationelle Privatheit drückt das aus –, es ist auch Gestaltung, ganz wesentlich Gestaltung. Nur, ich denke, wir haben im Moment das Problem, dass wir nicht nur dieses Zweierverhältnis Organisation–Person regeln wollen, sondern auch die gesellschaftlichen Auswirkungen. Und die werden da nicht erfasst davon. Oder sie werden nur teilweise erfasst. Und man kann sich überlegen, wie man das in den Begriff bekommt. Und einer der Ansätze geht wieder zurück auf die Person – und deswegen haben wir ja auch Recht eigentlich nur, denn im Zentrum jeder Rechtsregelung soll das Individuum stehen. Wir schaffen auch Regelungen, um das Ganze zu halten, also Marktmechanismen und so weiter, aber die sollen ja immer dem Individuum nützen. Ich denke manchmal, dass wir den Begriff Datenschutz abgrenzen müssen, oder dass sich daraus noch ein neues Grundrecht entwickeln könnte, was aber bisher politisch nicht gewollt gewesen ist – würde ich mal behaupten –, und das ist das Recht auf Kommunikation oder auf kommunikative Interaktion, das dahinter steht. Ich weiß nicht – das ist nur ein Gedanke –, ob das in die richtige Richtung geht. Es hätte erklärende Bedeutung, weil zum Beispiel diese ganzen Stammheim-Geschichten, also Einzelhaft, das geht dann nicht mehr. Das hat politisch massive Bedeutung, wenn man das zulässt.

[97] Nils Leopold: Ich wollte nur einen Punkt machen. Ich würde für die Begriffsklärung den Datenschutz eher unterordnen wollen unter diesen Oberbegriff der Privatheit, und für den Begriff der Privatheit eher streiten als für den Begriff der Privatsphäre. Und das Besondere in diesem Schritt liegt eben darin begründet, dass man sich abgrenzt von der Sphärentheorie, die nach wie vor eine sehr wirksame Theorie auch in der Debatte um den Datenschutz darstellt, und die eben diesen Raumbezug sehr stark aufnimmt und damit gerade diesen Schritt des Datenschutzes verkennt, nämlich dass der Datenschutz Privatheit erstmalig und konsequent auch verbunden hat mit einem nicht-räumlichen Verständnis von Zugangsgrenzen, auch wenn das ein wichtiger, zentraler Schritt war. Und indem wir diesen Begriff Privatheit voranstellen, lösen wir uns von diesem Sphärendenken und betonen, dass diese Zugänglichkeitsgrenzen und diese Erwartung von Zugänglichkeitsgrenzen eben auch außerhalb dieser räumlichen Barrieren existieren. Und dabei ist es interessant zu sagen, aus dieser Dichotomie Privatheit–Öffentlichkeit oder Staat–Bürger, aus diesen Dichotomien ist eben eine Diskussion darüber entstanden, dass eine Person oder eine Personengruppe etwas als eigene Angelegenheit zugeschrieben bekommt und Zugänglichkeitsgrenzen setzen kann. Das ist das Grundverständnis abstrakt zusammengefasst. Was das aber dann im Einzelnen bedeutet, ist ganz, ganz vielfältig. Privatheit geht eben viel weiter und ist auch viel älter als Datenschutz und umfasst eben den Schutz der Familie, den Schutz der Persönlichkeit, den Schutz des Körpers. Das sind ganz, ganz viele Facetten – das Gewissen, auch Eigentum im weiteren Sinne. Und sozusagen diese Vielfalt ist von dem Begriff der Privatheit mit umfasst. Wir haben nur ein Problem mit dem Begriff der Kontrolle. Wir haben sozusagen aus dem amerikanischen Diskurs, aus dem US-Diskurs, diese Vorstellung, dass privacy ausgeübt wird durch den Einzelnen als dezisionale Privatheit. Das ist ein Element des Verständnisses von Privatheit, das heute am meisten in Rede steht und am meisten angegriffen ist. Und wo man auch realistischerweise die Frage stellen können sollte, ob es überleben kann. Genau dort ist die Entwicklung, der Wandel, der sich vollzieht. Die Vorstellung, dass ich als Einzelner diese Kontrolle über die Zugänge ausübe und weiterhin ausüben kann, genau das ist at stake, dieses Element. Und das ist die Frage, ob dieses Element als Bestandteil von Privatheit überleben kann, bestehen kann, mal unabhängig von der rechtlichen Diskussion, die wir haben, und der Reformdiskussion.

[98] Jörg Pohle: Vielen Dank. Ein kleiner Einschub: Es bringt, glaube ich, für die Debatte nichts, über die »eigentliche« Bedeutung von Begriffen zu reden wie »Datenschutz«, dass der falsch sei, und auf welchen Ebenen und auf wie vielen Ebenen »Daten«schutz falsch sei, denn das gilt für »Computer« auch. Fast niemand benutzt einen Computer als Computer, sondern als allgemeine Medien- und Kommunikationsmaschine. Ein Computer ist ein Rechner, das ist ursprünglich eine Person, die Zahlenkolonnen aufschreibt – eine menschliche Addiermaschine. Und das macht niemand mehr, aber trotzdem sagen wir alle »Computer«. Und wir sagen alle »Computer« und haben kein Problem mit diesem Misnomer, weil die meisten diese Vorgeschichte nicht kennen. Und bei »Datenschutz« kann man das dann auch weglassen, und ich glaube, bei vielen anderen Dingen auch. Die Begrifflichkeiten und die Benutzung der Begriffe wechseln ja auch im Laufe der Zeit, und so kommt es viel mehr darauf an, was die Leute jeweils da hinein interpretieren und was sie davon halten und was sie damit machen wollen, also welche Zwecke sie damit verfolgen. Und dann kann man eben auch mal solche überlebten Begriffe verwenden, die eigentlich falsch sind. Die verselbständigen sich halt, und irgendwann lohnt es sich nicht mehr, über die Begriffe zu diskutieren. Und ich glaube, Sie, Kai von Lewinski, würden eher widersprechen, dass Privatheit älter ist als Datenschutz, und sagen, Datenschutz sei älter als Privatheit, oder?

[99] Kai von Lewinski: Nein, Privatheit ist natürlich das ältere Konzept, auch wenn es in dieser Benennung, mit dieser Begrifflichkeit vor 1970 – das mag es schon gegeben haben –, aber es war jedenfalls kein Kernbegriff. In der jetzt engeren Datenschutz-Debatte ist Privatheit jünger als Konzept, das was wir darunter verstehen, ist älter. Das ist eine typische juristische Sowohl-als-auch- oder Es-kommt-darauf-an-Antwort.

[100] Martin Rost: Jörg Pohle hatte etwas gesagt. Er sagte: Er hatte privacy auf Interaktionssysteme gepackt und Datenschutz auf die Konstellation Organisation–Person. Das Problem ist, dass auch Podlech und das Bundesverfassungsgericht ihre Metaphern aus Imaginationen zu Interaktionssystemen bezogen haben. Das ist mein Vorwurf und das habe ich ja auch in meinem Text zu dieser Veranstaltung geschrieben. Das kann man ihnen aber nicht vorwerfen, weil damals keine besseren Theorien vorhanden waren. Also ist das historisch nicht fair, ihnen das vorzuwerfen. Vorzuwerfen ist sowieso Blödsinn. Im Ergebnis sind aus den unterkomplexen Metaphern dann falsche Bilder und Konzepte entstanden. Die Vorstellung, dass ich wissen könne, was jemand anderes über mich weiß, ist gnadenlos naiv. Gleichzeitig ist diese Vorstellung stilbildend für eine juristische Datenschutzargumentation gewesen, die an vielen Stellen schwach wird. Das heißt, von dieser Metapher gilt es sich zu verabschieden. Juristen sind dazu irgendwie nicht in der Lage – ich weiß jetzt nicht mehr, was das religiöse Bild war, das Kai von Lewinski eben brachte.

[101] Kai von Lewinski: »Bergpredigt«.

[102] Martin Rost: Bergpredigt. Natürlich ist das sehr, sehr schwierig, sich in einer Kirche von dogmatisch leitenden Konzepten und Texten dann zu verabschieden. Mein Plädoyer ist, um beim Datenschutz weiter zu kommen: Im Moment empfinde ich einen unglaublichen Druck auf die Datenschutzproblematik, durch Facebook und durch alles mögliche andere noch ausgelöst. Im Moment habe ich den Eindruck, auch im engen Kollegenkreis, es wird im Datenschutz irgendwie nichts mehr passieren, es geht nur noch bergab. Ich möchte daran erinnern, dass in den siebziger Jahren die Konstellation ähnlich schwierig wie heute war: RAF-Terror, wir hatten Auseinandersetzungen um Atomenergie, wir hatten Polizeistaat, wir hatten Rasterfahndung, Herr Herold wollte, bevor der Kriminelle da ist, aufgrund effektiven EDV-Einsatzes am Tatort sein – was für ein Motiv! In dem Moment, 1971, entstand das Steinmüller-Gutachten, das dann ungelesen in der Schublade verschwand. Dann haben wir noch 1976/77 das BDSG, wir haben die Institutionalisierung der Datenschutzbeauftragten und wir haben 1983 das Bundesverfassungsgerichtsurteil. Alles ist unter gesellschaftlich super schwierigen Bedingungen entstanden. Wir haben jetzt möglicherweise analog wieder ähnlich schwierige Bedingungen: Der Druck besteht weltweit, wir haben aber kein Weltrecht. Es sieht realistischerweise so aus, als dass aufgrund dieses Drucks nun gar nichts mehr geht. Aber es ging schon einmal. Was ist zu tun? Mein Plädoyer ist, sich analytisch nicht weiter mit Metaphern von Interaktionssystemen aufzuhalten, sondern die Konstitution von privacy über drei Systeme – Funktionssysteme, Organisationssysteme und Interaktionssysteme – durchzudeklinieren. Also zumindest drei verschiedene privacy-Begriffe zu haben. Das ist das Mindeste!

[103] Andrea Knaut: Also Datenschutz muss es gar nicht heißen?

[104] Martin Rost: Doch, zur Bezeichnung des konstitutiven Aspekts der Konditionierung der Machtasymmetrie zwischen Organisationen und Personen heißt es am besten Datenschutz. Dass die Privatheit in einer Ehe etwas anderes bezeichnet als beim Arbeitgeber, etwas anderes als bei Menschen, die einander auf der Straße begegnen – das ist das Mindeste, was ich von Privatheits-Theoretikern erwarte. Nicht, dass es uns beim Datenschutz konzeptionell weiterbringt. Aber zumindest das Problem wird etwas deutlicher, was es zu regeln gilt.

[105] Jörg Pohle: Sie haben jetzt gerade wieder ein großes Fass aufgemacht. Ich glaube, historisch hat sich der Datenschutz tatsächlich insoweit zufällig durchgesetzt, weil es ein großes, fertig aussehendes, scheinbar ordentlich operationalisiertes, scheinbar widerspruchsfreies Gesamtsystem gab, das jemand auf den Tisch gelegt hat, und bei dem man in einem Diskurs etwas Besseres vorlegen muss, wenn man dagegen andiskutieren will. Es gibt in der Praxis keine – vor allem nicht, wenn es um die Regelung von Gesetzen geht – herrschaftsfreien Diskurse. Und das bedeutet, wenn man an einem Diskurs teilnimmt und sagt: »Ich finde dieses nicht gut!« oder »Ich finde jenes nicht gut!«, dann wird man nicht ernst genommen, stattdessen wird gesagt: »Präsentieren Sie etwas Besseres!« Und wenn jemand mit einem fertigen, komplexen, in sich geschlossen aussehenden, aus mehreren Disziplinen gespeisten Konzept ankommt und das auf den Tisch legt – und das Konzept ist groß, fertig, quasi ein »Monster« –, dann wird das übernommen, weil sich niemand traut oder es leisten kann, ein besseres System vorzuschlagen. Es sah doch gut aus: Das Datenschutzrecht ist eine passable Operationalisierung für die siebziger Jahre. Es funktioniert, vielleicht nicht sonderlich gut und es steht so ein bisschen auf wackeligen Füßen, aber insgesamt funktioniert es relativ gut, wenn man – und das ist durchaus ein Informatiker-Ansatz – ein bisschen die Bugs, die hin und wieder auftauchen, ignoriert oder patcht. Und ich glaube, das ist eigentlich alles, was dahinter steht. Deshalb hängt es nicht so sehr davon ab, wie die gesellschaftlichen Umstände damals waren, sondern eher, dass da jemand eher ein echtes »Monster« geboren hat.

[106] Kai von Lewinski: Vielleicht kann ich noch, da wir ja über die Begriffsabschichtung sprechen, etwas Allgemeines aus der Juristerei beitragen, und das wäre die Unterscheidung zwischen Schutzgut und Regelungskonzept. Das Regelungskonzept – das ist das, was wir Juristen unter dem Begriff Datenschutz fassen – ist eben die Gesamtheit der Regelungsprinzipien, der Institutionen und so weiter. Was nun das Schutzgut dahinter ist, da müssen wir uns als Juristen, wenn wir nicht verfassungsrechtlich argumentieren, gar nicht so viele Gedanken machen. Das Schutzgut haben wir hinter dem Wortungetüm »Recht auf informationelle Selbstbestimmung« versteckt, und dort schaut man kaum wirklich dahinter. Dass der Begriff jedenfalls problematisch ist, das wird man insgesamt konstatieren können. Deshalb sollte man vielleicht diese Abschichtung vornehmen, die bestehenden Verfahren und Organisationen und Institutionen als »Datenschutz« zu bezeichnen und davon das Schutzgut abzuschichten, was man Privatheit, privacy, informationelle Selbstbestimmung nennen mag, also das, worum es geht. Datenschutz ist (nur) Mittel zu einem Zweck. Und der kann informationelle Selbstbestimmung, privacy und so weiter heißen, wird manchmal aber verwirrenderweise ebenfalls Datenschutz genannt. Das Schutzgut ist das, was primär diskutiert werden muss. Erst wenn man darüber Klarheit hat – was wahrscheinlich nicht heute, nicht morgen, und auch in der Welt nicht übermorgen geschehen ist –, erst dann kann man überlegen, welche Auswirkungen das auf ein System hat, mit dem das Schutzgut konkret umgesetzt wird.

[107] Jörg Pohle: Und dann vielleicht in der Übersetzung [für die Informatik/Softwareentwicklung]: privacy is the goal, Datenschutz [data protection] is the architecture? Also das, was wir in der Informatik Architektur nennen würden, die funktionale Architektur des Umsetzungssystems.

[Widerspruch von Seda Gürses und Martin Rost]

[108] Martin Rost: Das würde ich nicht unterschreiben. Das ist schön knapp und auch wieder ein schönes Bild an dieser Stelle. Die Funktion des Datenschutzes ist es, dass Markt weiter funktioniert. Unternehmen haben kein Interesse an Markt, wenn sie sich etabliert haben. Es haben nur die Pioniere Interesse am Markt. Die Funktion des Datenschutzes besteht sozial darin, dass es auch Gewaltenteilung gibt, dass die Exekutive nicht alles plattmacht. Das war das Problem 1970, dass die Politik und manche Juristen zu Recht die Sorge umtrieb, dass die Exekutive alles plattmacht. Und dann ward ein Moloch geboren, OK – das sagen wir heute vielleicht. Also, die soziale Funktion des Datenschutzes mit seinen Institutionen und der Rechtsprechung ist es auch, dass Diskurse weiter bestehen können. Erst wenn diese Systeme intern über Kontingenzquellen wie Markt, Gewaltenteilung, Diskurse, Demokratie verfügen und diese gewahrt bleiben, dann entstehen viele boundaries – deswegen die Zweckbindung. So, dass man eine politische Stimme nicht kaufen kann. Und wenn dies doch geschieht, kann das aussichtsreich als pathologisch und als falsch empfunden und kommuniziert werden. Wo kommt denn das sonst her? Das kommt aus den Funktionssystemen her. Wissenschaft interessiert sich ganz allein für die Frage, ob der seltsame Zwang des etwas besseren Arguments – Habermas, Apel – eine Chance hat. Und dass das Argument eben nicht gekauft und auch nicht politisch dominiert ist. Während die Organisationen als Synthetisierungsmaschinen genau das aber wiederum versuchen.

[109] Kai von Lewinski: Und das ist alles Datenschutz?

[110] Martin Rost: Nein, das sind Funktionssysteme. Aber es geht darum, welche Funktion der Datenschutz hat. Und deswegen ist das Ding nicht eine architecture. Das ist mir dann zu ingeniös. Die Funktion des Datenschutzes besteht darin, dass der Markt und Diskurse und Gewaltenteilung weiter bestehen können, weil sich daraus Privatheit und informationelle Selbstbestimmung konstituieren – aus diesen Kontingenzquellen von Gesellschaft, die durch die Funktionssysteme reproduziert werden. Das ist das Argument.

[111] Kirsten Bock: Ich würde das unterstreichen und würde ergänzen wollen: Das Schutzgut ist letztlich die Freiheit, die Freiheit von Überwachung. Das ist, wenn man das Volkszählungsurteil liest, ganz klar. Das spannende daran ist, dass es da gemeinsame Wurzeln durchaus mit dem »right to be let alone« gibt. Es ist eigentlich fast schon trivial.

[112] Kai von Lewinski: Aber, dass das Schutzgut erst dadurch zu einem Schutzgut wird, dass es ein Verfahren gibt, es durchzusetzen...? Es muss doch erst das Schutzgut da sein! Das ist nun eine sehr klassisch liberale, aber letztlich dem Grundgesetz zugrunde liegende Perspektive. Es muss doch erst eine Rechtsposition des Individuums da sein, und erst wenn die gefährdet ist, dann muss ich als Staat irgendein Verfahren oder irgendeine Institution einrichten, um sie zu schützen.

[113] Kirsten Bock: Ja, wir hatten halt die Volkszählung.

[114] Jörg Pohle: Aber das war ja 1983 und nicht schon zur Zeit des Datenschutzgutachtens 1971, das im wesentlichen ja die Grundkonstruktionen schon liefert.

[115] Kai von Lewinski: Ja, genau. Und ich argumentiere ja jetzt auch nicht geschichtlich, sondern konzeptionell. Also es ist doch erst das Schutzgut da, das Bedürfnis des Menschen, bevor man einen – zumal noch der Staat – irgendeinen organisatorischen, ja immer auch freiheitsbegrenzenden, und jedenfalls Ressourcen verschlingenden, institutionellen und organisatorischen Überbau in die Welt stellt. Und von daher muss doch das Schutzgut, das individuelle Gut, der Ausgangspunkt der Betrachtung sein. Und das war die Abschichtung, die ich machen wollte. Also: Der Datenschutz schafft nicht überhaupt erst etwas, sondern er ist dazu da, um etwas zu schützen, was vor-datenschutzrechtlich ist. Das ist nicht geschichtlich gemeint, sondern konzeptionell. Es muss erst etwas da sein, also Privatheit muss als ein menschliches Bedürfnis da sein, um durch Datenschutz geschützt zu werden.

[116] Martin Rost: Sie haben keinen Begriff von Gesellschaft. Wenn man keinen Begriff von Gesellschaft hat, dann argumentiert man so.

[117] Jörg Pohle: Ich würde versuchen, das gleich einmal grafisch darzustellen. Ich glaube, das lässt sich dann daran sehr gut sehen.

[118] Stefan Ullrich: Ich habe nur eine ganz kurze Ergänzung: Es heißt nicht »der seltsame Zwang des besseren Arguments«, sondern der »zwanglose Zwang«. Und das ist ja das Bemerkenswerte, dass man vermachtete Räume wieder versucht zu entmachten, damit da eine Deliberation stattfinden kann oder damit das bessere Argument sich durchsetzt, und nicht das des Stärkeren. Der Datenschutz soll ja auch genau das machen: Asymmetrien idealerweise abbauen, den Zwang, den äußeren Zwang ersetzen durch irgendeinen inneren Zwang, durch Selbstverpflichtung, moralischen Druck, bessere Einsicht, oder was auch immer.

[119] Michael Plöse: Noch ein Beitrag aus der Sparte der Berufskranken, oder der Berufsfalschdenkerinnen. [Unruhe: Was heißt das?] Ich bin auch Jurist. – Ich bin mir nicht ganz sicher, wo wir jetzt in der Diskussion eigentlich sind, aber die Frage, um die hier alles zu kreisen scheint, erinnert doch sehr stark an das Grunddilemma: Ei oder Henne, was braucht es zuerst? – Dabei gibt es doch etwas sehr Bemerkenswertes, so gar nicht Selbstverständliches, das bereits in der Rechtsprechung des Bundesverfassungsgerichts zum Datenschutz oder, genauer, zum Recht auf informationelle Selbstbestimmung im Volkszählungsurteil von 1983 angelegt ist, dass nämlich diesem Grundrecht ein objektivierter (Teilhabe-)Anspruch eigen sein soll, der doch sehr stark auf einer gesellschaftsbildenden Komponente aufbaut. Das Bundesverfassungsgericht hat nämlich in einer ganz zentralen Passage seiner Begründung des Volkszählungsurteils darauf abgehoben, dass mit dem Recht auf informationelle Selbstbestimmung eine Gesellschaftsordnung und eine diese ermöglichende Rechtsordnung nicht vereinbar wäre, in der die Bürgerinnen und Bürger nicht mehr wissen können, wer was wann und bei welcher Gelegenheit über sie weiß. Hier bricht sich meines Erachtens die Vorstellung von einem bestimmten gesellschaftlich-demokratischen Grundsystem Bahn, dass es aufzubauen gilt und dessen Voraussetzung ist, dass der Einzelne sich nicht überwacht fühlen soll: Das ist praktisch ein grundrechtlicher Achtungsanspruch der staatsbürgerlichen Paranoia. Inhalt dieser grundrechtlichen Dimension des Rechts auf informationelle Selbstbestimmung ist es, dass sich der Staat so organisieren soll, dass wir ein Gefühl permanenter Überwachung, das uns von der Inanspruchnahme unserer Grundrechte abhalten kann, nicht begründet haben müssen. Und das finde ich doch schon relativ eigentümlich in einer grundrechtlichen Konstruktion. Das kennen wir in dieser Dimension sonst kaum im normativen System der staatsrechtlichen Grundrechtedogmatik.

[120] Und da habe ich schon das Gefühl, dass hier ein ganz starkes Menschenbild hinter diesem normativen Konzept am Wirken ist. Ob nun aus einem grundrechtlichen Bedürfnis heraus eine gesellschaftliche Organisation entstehen soll oder umgekehrt diese Ordnung ein selbstbestimmt handelndes Individuum voraussetzt – jedenfalls wird hier der oder die Einzelne in der Inanspruchnahme ihres oder seines Rechts auf informationelle Selbstbestimmung als Teil einer demokratischen Grundkonzeption verstanden, die vorausgesetzt ist, damit der oder die Handelnde sozusagen diese demokratische Grundkonzeption umsetzen kann. Insofern ist dieses Grundrecht sehr stark menschenbildgeprägt, und ich würde sagen, das ist auch eine sehr starke Vorprägung eines gesellschaftlichen Handlungssystems, das da vorausgesetzt wird. Ich bin mir nicht so richtig im Klaren darüber, ob es zu dessen Verwirklichung der gelebten Geltendmachung dieses Bedürfnisses durch die Grundrechtsträger bedarf oder ob es nicht vielmehr die (damalige) Vorstellung des Bundesverfassungsgerichtes davon beschreibt, wo es gesellschaftspolitisch oder von Verfassung wegen hin will.

[121] Wolfgang Zimmermann: Ich habe, von Jurist zu Jurist sozusagen, versucht zu verstehen, was Sie vermitteln wollten. Und mein Empfinden war, dass Sie eigentlich zwei Dinge thematisieren. Das eine Ding ist: »Wie funktioniert die Drittwirkung der Grundrechte bis 1982?« Und das andere Ding: »Wie muss Drittwirkung funktionieren unter den Bedingungen des deregulierten Staates?« Das ist eigentlich das, was Sie fragen. Wir haben heute einen deregulierten Staat, wir haben wesentliche Infrastrukturen, die nicht mehr staatlich bereitgestellt werden und deren Kontrolle durch den Staat auch nicht mehr möglich ist, einfach weil er die persönlichen, sächlichen und regulativen Ressourcen dafür gar nicht hat und weil er zudem im Tatsächlichen auch die Innovationszyklen nicht mehr beherrscht. Und unter diesen Bedingungen funktioniert Drittwirkung, glaube ich, so, wie Sie es thematisiert haben. Also, Drittwirkung führt dann dazu, dass plötzlich Organisationen – ganz und gar unabhängig davon, ob sie »Staat« sind oder ob nicht – sich stets so verhalten müssen, dass sie eine Grundrechtsbindung einhalten. Ist es das, was Sie sagen wollten?

[122] Michael Plöse: Nein, eigentlich nicht. Aber der Aspekt ist sehr interessant.

[123] Jörg Pohle: Es gibt zwei Dinge, die da hineinspielen. Das eine ist die Frage eines soziologischen Grundverständnisses, das bei Strukturalisten besonders stark ausgeprägt ist – zugespitzt: Das Sein bestimmt das Bewusstsein. Und das andere ist die eher – vielleicht – poststrukturalistische Sicht, dass wir das Sein mit dem Bewusstsein schaffen. Und das heißt im Kern: Was ist zuerst da – Henne oder Ei? Und auch der traditionelle Liberalismus geht davon aus: Da kommt eine Menge von Menschen zusammen und diese schaffen dann Staat, Gesellschaft. Und sie machen das, indem sie zum Beispiel einen Vertrag abschließen. Auf der anderen Seite gehen die meisten strukturalistischen Theorien eher davon aus, dass die Menschen von dem, worin sie sind, geprägt werden. Und das wiederum bedeutet: Die einen sagen: »Wir geben den Menschen Freiheitsrechte, und dann schaffen sie sich eine freie Gesellschaft.« Und die anderen sagen: »Wir schaffen ein System, das strukturell Freiheit garantiert, und das reproduziert dann freie Menschen.« Ich glaube, das begründet den großen Unterschied in den Betrachtungen auf das Thema. Und ich glaube, der ist ideologisch begründet.

[124] Das zweite, was ich hier ansprechen will, ist der Unterschied zwischen einem dyadischen und triadischen System, wenn man über Macht redet, und die Frage, ob staatliches Handeln Freiheit schafft oder Freiheit einschränkt. Im traditionellen liberalen Bild gibt es eine Zweiteilung: Zwei Akteure – Staat und Private – stehen sich gegenüber, und der Staat ist mächtiger als das Private. Und wenn der Staat Regelungen über die Privaten erlässt, dann schränkt er deren Freiheit ein. In einem dreiwertigen oder triadischen System – drei Akteure: Staat, Organisation, Individuum – ist es so, dass wenn der Staat den Organisationen Regelungen auferlegt, dass er dann die Freiheit der Individuen erst kreiert. Denn wenn er den Organisationen keine Regelungen auferlegt, dann wirkt sich diese Machtdifferenz zwischen Organisationen und Individuen direkt aus und sorgt dafür, dass die Individuen keine Freiheit haben.6 Insofern gilt die Aussage, ob gesetzliche Regelungen nun freiheitsbeschränkend oder freiheitsschaffend sind, auch immer nur beschränkt auf solche bestimmten Konstellationen. Und je nachdem, welche Position man dabei vertritt – und ich glaube, die erste Generation der Datenschützer war vor allem von diesem zweiten Bild, der Darstellung als Triade, beeinflusst –, ist das Ergebnis davon abhängig.

[125] Martin Rost: Dem letzten kann ich wieder absolut zustimmen – das war das kybernetische Modell. In den siebziger Jahren haben die so getickt. Und soweit ich das verstanden habe, stimmt das. Ich argumentiere aber in den Kategorien eines Luhmann von 1998. Und mein Plädoyer ist: Wir brauchen neuen Datenschutz. Und das heißt: Wir müssen uns von den Fehlern, die damals gelaufen sind, mit den ganzen Unfällen, die Kai von Lewinski auch aufmerkt, wenn vielleicht auch mit anderen Motiven, abwenden. Wie auch immer. Den großen Unfall BDSG oder das große Glück des BDSG – wir müssen jetzt irgendwie weitermachen. Und ich zitiere Luhmann 1998 und nicht, sagen wir mal, eine Theorie von 1920 oder eine marxistische Theorie. Das zitiere ich alles überhaupt gar nicht. Das Modell trifft auf das, was Luhmann an Architektur macht für Sozialsysteme, überhaupt nicht zu. Gar nicht mehr. Vollständig weg. Diese alten Fragen nach Sein und Bewusstsein und so weiter – mit Luhmann braucht man die nicht mehr zu stellen, und man verliert trotzdem nicht an theoretischer Bestimmtheit. Sondern, wir haben verschiedene Sozialsysteme, die verschiedene Kommunikationen ausspucken – das ist spezifisch. Also, das sind Preise für Zahlungen, und da sind gesetzliche Regelungen für Recht-/Unrecht-Unterscheidungen, Programmatiken zur kommunikativen Unterscheidung von Macht/Nichtmacht in der Politik.

[126] Andrea Knaut: Das sind diese Funktionssysteme?

[127] Martin Rost: Die Theorie der Funktionssysteme ist eine ganz andere Zuspitzung. Ich halte nichts weiter als ein Plädoyer: Man lese, wenn man aus den ewig gleichen Geschichten der letzten 30 Jahre vom Datenschutz herauskommen will und man sich soziologischer Theorie versichern will, wie es damals die Pioniere des Datenschutzes unter sehr schwierigen Bedingungen vormachten, dann verabschiede man sich von diesen ganzen Clichés, und lese tatsächlich die moderne Theorie sozialer Systeme. Man wird nicht darum herumkommen.

[128] Jörg Pohle: Das Problem für die Debatte ist dabei wie folgt: Sie können die gleiche Rede, die Sie jetzt gehalten haben, auch vor 40 Jahren gehalten haben, und dann würden Sie für alles, wo Sie jetzt »Luhmann« eingesetzt haben, den Begriff »Kybernetik« benutzt haben und gesagt haben: »Ihr müsst alle Kybernetik verstehen...«

[129] Martin Rost: Nein, das ist falsch. Es ist falsch! Man hatte in den siebziger Jahren keine Theorie autopoietischer Systeme, man hatte in diesem Sinne keinen Begriff des Gesellschaftlichen.

[130] Jörg Pohle: Das meine ich damit nicht. Es geht nicht so sehr um die Frage der Theorie, die Sie vertreten, sondern um die Frage, wie Sie andere dazu bringen wollen, sich nur mit dieser Theorie diesem Problem zu nähern. Und das ist aber nicht das Ziel dieser Veranstaltung. Sie würden auch nicht die Macht haben, dafür zu sorgen, dass alle anderen diese Theorie übernehmen. Und deshalb ist es besser, mit mehreren, konkurrierenden Theorien einfach weiterzuarbeiten. Und die Frage ist deshalb erst einmal: Wie sehen die unterschiedlichen Theorien aus? Wie unterscheiden sie sich und auf welchen Ebenen unterscheiden sie sich? Und wie können wir miteinander diskutieren, auch wenn wir nicht die gleiche Theorie oder Ideologie teilen?

[131] Martin Rost: Sie haben eine Meta-Theorie gemacht. In der modernen Systemtheorie kennen Sie nur noch Perturbation, keine Relationen. In der Dialektik ist gerade in den Relationen die ganze Musik enthalten – »Sagen Sie mir die Relation, und ich sage Ihnen, wie die Subjekte sind, die miteinander verbunden sind.« Sie gehen in der Argumentation immer von der Relation, von der Beziehung, vom Konflikt, dem Widerspruch, der Wechselwirkung auf das Bezogene los – das ist in Perfektion Hegel, pur. Entäußerung, Aneignung und Selbstreflexion. Luhmann plädiert dafür, dass es zwischen Systemen nur noch Störungen gibt. Ich weiß bspw. nicht, was gerade in Ihrem Kopf abgeht. Was ich davon wissen kann, muss die vollkommene andere Form »Kommunikation« annehmen. Das ist ein komplett neuer Theorieansatz, der mit dem, was in den siebziger Jahren an Strukturalismus und an Kybernetik und so weiter lief, nichts mehr zu tun hat. Und es ist mein Plädoyer, in einem kleinen Kreis motivierter Menschen, sich mit einer neuen Theorieform auch tatsächlich zu beschäftigen. Und sich in Bezug auf Datenschutz nicht mehr mit den alten Fragestellungen und deren Bearbeitung, die Sie gerade aufgeworfen haben, zu bescheiden.

[132] Seda Gürses: Was ich versuche, innerhalb der Informatik zu machen, weil das auch so ein bisschen der Ansatz der ganzen Veranstaltung war, die Annahmen der verschiedenen Wissenschaften in Frage zu stellen. Und das ist manchmal sehr schmerzhaft. Meine Frage ist eine andere. Zum Beispiel wenn ich Ihr Modell nehmen, wo Sie sagen, der Datenschutz sei dazu da, diese Funktionstrennung zu reproduzieren. Was ich auch zum Beispiel in dem Papier versuche zu tun, ist: Man erstellt bestimmte Definitionen, weil es einem auch nutzt. Und das ist das, was wir versuchen zu zeigen. Die PET-Leute erstellen eine Definition der privacy-Verletzungen, die auf jeden Fall auch einer technischen Komponente bedarf. Und der Staat erstellt vielleicht einen Privatheitsbegriff, weil er davon etwas erwartet wie zum Beispiel eine Kontrolle über Menschen und möchte damit irgendwie mit entscheiden. Er sagt: »Ich gebe Dir ein bisschen was, aber ich behalte auch etwas für mich.« Ich weiß, dass gerade die Säkularisierung sehr stark damit konfrontiert wird mit dieser Idee, dass Religion privat sein soll, und dass es eine Trennung gibt zwischen Staat und Religion, wobei der säkulare Staat eigentlich die größte Verbindung zur Religion hat, indem er sie reguliert. Und ich frage mich, warum braucht man Privatheit? In Ihrem Modell, was bestätigt es?

[133] Martin Rost: Nein, man braucht die gar nicht. Privatheit wird konstituiert. Es gibt eine Notwendigkeit zur Privatheit.

[134] Seda Gürses: Aber was würde passieren, wenn man diese Fragestellung umdrehen würde? Warum bräuchte man so ein Konstrukt?

[135] Jörg Pohle: Juristen reden über ein Recht auf Privatheit, nicht weil es Privatheit oder irgendetwas anderes reproduziert, sondern vor allem ihre Position als Juristinnen und Juristen im Bereich der Beantwortung der Frage, was Privatheit ist, oder was da das Problem dahinter ist, stärkt. Und Informatikerinnen und Informatiker sagen dann: »Das hat irgendetwas mit Vertraulichkeit zu tun.«, gefolgt von: »Wir müssen jetzt mal kurz über Kryptographie reden, denn das können wir.« Und Sie sind Soziologe und werden das Problem dann aus Ihrer soziologischen Sicht so als Frage formulieren, dass sie soziologisch beantwortbar ist. Gleichzeitig gibt es sowohl alle Gruppen, alle Leute, alle Disziplinen, die versuchen, das immer wieder für sich zu übernehmen, an sich zu ziehen, dass sie das beantworten. Wenn wir – als Informatikerinnen und Informatiker – die Juristinnen und Juristen hinausdrängen, dann bekommen wir auch die ganzen Jobs dort. Dann müssen nämlich immer alle uns fragen, wie man diese Technik herstellt. Toll! Das schafft Arbeitsplätze – zumindest in der Informatik.

[136] Kai von Lewinski: Genau. Bisher beim Datenschutz war es ja eher anders herum, dass Juristen die Techniker herausgedrängt haben.

[137] Jörg Pohle: Genau, das ist historisch aber eigentlich ja nicht notwendig, weil wir die ganzen Rechtskybernetiker haben, die in den Sechzigern über »automationsgerechte Gesetze« geredet haben und über die Automation der gesamten Verwaltung.

[138] Kai von Lewinski: Genau, das war mal eine gemeinsame Wurzel, aber die Rechtskybernetiker – ich weiß nicht, ob der letzte Kybernetiker..., ob noch einer lebt, der sich selber so bezeichnen würde.

[139] Nils Leopold: Ich bin jetzt noch einmal in die Runde gekommen wegen Martin Rost. Das ist ja ein Kreuz mit ihm. Martin Rost zu verstehen ist eine eigene Aufgabe, und diese Runde – interdisziplinär – ist ja sowieso schon mal schwierig genug, aber das kommt dann hinzu. Mein Plädoyer beim Umgang mit Martin Rosts Thesen wäre, aus der rechtlichen Sicht klarzustellen, dass das, was Sie sozusagen normativ von Ihrer Rede aufnehmen können, begrenzt ist, weil Sie eben bewusst aus Ihrem Theoriegebäude heraus die Rückbeziehung auf das Individuum nicht vollziehen. Und wenn Sie aber grundrechtlich argumentieren, und wenn das sozusagen eine Grundlage ist, und die Verrechtlichung des Datenschutzes eine Grundlage hier des Diskurses ist und auch maßgeblich ist im Grunde für die Weiterentwicklung, dann kommen Sie nur ganz schwer in diese überindividuellen Funktionen der Privatheit rein, wenn Sie grundrechtlich argumentieren. Im Gegenteil: Sie müssen es rückkoppeln, Sie müssen argumentieren über die Freiräume, die als Funktion des Datenschutzes für das Individuum geschaffen werden. Und ich argumentiere, dass ein Problem dieser Anfänge des Datenschutzes, so wie sie früher formuliert wurden, in der Tat in dieser Großtheorie und in diesem Großanspruch, in diesem »Monster«-Ansatz liegen, in der Abstraktheit dieses Ansatzes, der so hoch abstrakt ist, dass er nicht mehr hinreichend rückbezogen werden konnte auf das, was anschlussfähig ist im Recht, in der Grundrechtstheorie. Das hat sich nur kurz gehalten und dann war es in vielen Fragestellungen zu abstrakt, als dass jemand das akzeptiert hätte. Und was der Datenschutz braucht ist, die Funktion des Datenschutzes oder die Funktion der Schaffung von Freiräumen möglichst konkret zu beschreiben, also zum Beispiel die Entlastung von Erwartungserwartung, die Entlastung durch die Zugänglichkeitssperre, dass man dann eben entlastet ist von den Erwartungen der Gesellschaft oder von den Erwartungen, die man selber ja in sich reproduziert, und man erst in diesen Rückzugsräumen sich als frei erlebt. Das müssen Sie klar argumentieren, wie das in einem bestimmten Fall passt oder nicht passt. Sie können nicht hingehen und sagen, der Einzelne solle grundsätzlich selbst entscheiden können und er ist grundsätzlich immer in einem Überwachungsdruck, wenn ihm jemand zuschaut. Das stimmt ja auch in dieser Allgemeinheit nicht. Also, Sie müssen viel konkreter argumentieren und Sie kommen in der rechtlichen Debatte nicht um den Rückzug auf das Individuum herum, auch wenn – und da gebe ich Ihnen recht – es ein Bedürfnis gibt, diesen objektiveren Aspekt des Datenschutzes oder der Privatheit, also die strukturellen Funktionen, auch Demokratie, mit aufzunehmen und sie auch noch konkreter zum Beispiel im Recht auszuformulieren. Da gebe ich Ihnen recht, dass das nötig ist. Aber das ist ein Schritt, der sehr kompliziert ist und der wiederum sehr, sehr konkrete Argumentationen erfordert.

[140] Kai von Lewinski: Ich wollte nur ganz kurz zu dem Stichwort »Großtheorie« als Problem des Datenschutzes nachtragen, dass das Problem vielleicht gar nicht so sehr die Großtheorie ist, sondern dass diese Großtheorie das verdeckt, was wir Juristen Schutzgut nennen. Dass wir eben – worum die Diskussion ja auch geht – schon Schwierigkeiten haben zu benennen, was die Unterschiede zwischen Privatheit, Privatsphäre, informationelle Selbstbestimmung sind. Worum geht es und warum schützen wir es? Und vielleicht schützen wir auch ganz unterschiedliche Sachen. Oder vielleicht sind die Menschen auch ganz unterschiedlich. Aber das nur als Ergänzung und letztlich eine Verstärkung für das, was Nils Leopold gesagt hat.

[141] Martin Rost: Kirsten Bock hat darauf hingewiesen, dass das Thema, um das es hier geht, »Freiheit« ist. Und informationelle Selbstbestimmung ist die Form, wie sie rechtlich gefunden wird in der Eigenlogik eines Rechtssystems. Das ökonomische System hat eine ganz andere Eigenlogik: Es hat Kunden. Kunden, die rational wählen können, aber am Ende dann doch durch die Werbung verführt emotional entscheiden. Das sind sozusagen alles funktionale Analogien zueinander. Die Soziologie behauptet eine Führung gegenüber Informatikern und Juristen, weil diese bereits Lösungen anbieten als Antworten auf die voraus liegende Frage: »Was ist eigentlich das Problem?« Und die Soziologie ist diejenige zuständige Wissenschaft, die zunächst die Reproduktion dieser Probleme thematisiert, bevor die Qualität der Lösungen in Form von Recht und Technik analysiert und bewertet werden kann. Recht und Technik sind schon Reflexe, auf das, was vorgängig gesellschaftlich passiert. Deswegen kann ich mir eine erschöpfende Antwort darauf, was Datenschutz ist, nicht aus dem Recht abholen. Die kann man sich auch von Informatikern nicht abholen. Was ist das eigentliche gesellschaftliche Problem? Zur Position des Individuums: Die liberale Vorstellung ist...

[142] Seda Gürses: Das letzte habe ich nicht verstanden. Können Sie den letzten Satz noch mal wiederholen?

[143] Martin Rost: Nein, kann ich nicht. Ich habe vergessen... Was habe ich denn gesagt? Können Sie noch mal bitte sagen, was Sie nicht verstanden haben?

[144] Seda Gürses: Sie haben das Ziel endlich mal gesagt. Und ich wollte es einfach noch mal genau hören.

[145] Jörg Pohle: Die Soziologie beansprucht die Meinungsführerschaft.

[146] Martin Rost: Richtig. Was die Reproduktion des Problems angeht. Es ist leicht, sich darüber lustig zu machen. Ich habe natürlich eine hohe Beweislast, wenn ich so etwas behaupte. Das ist mir vollkommen klar. Aber ich sage es geht darum: Was reproduziert der Datenschutz als Problem? Was ist das – als Kommunikationsfolie? – auf das bspw. die Informatik eine Lösung geben will. Und auf das auch das Recht eine Lösung geben will. Auf das auch der Markt eine Lösung geben will. Das ist das eine. Nun zum Konkreten: Ich formuliere ganz konkret zugespitzt – was das Datenschutzrecht seit 30 Jahren über die Zweckbindung, Erforderlichkeit und Datensparsamkeit versucht –, dass mit den Schutzzielen jetzt ein Kondensat gefunden ist, auf das sich alle tatsächlich einigen können. Und das ist sehr konkret, was das heißt: Intervenierbarkeit, um Betroffenenrechte wirklich umzusetzen zum Beispiel. Das heißt, ich habe etwa ein Recht auf den Zugriff auf dieses Datum. »Hilf mir, Organisation, dass dieses Datum jetzt korrekt ist.« Ich will unmittelbar darauf zugreifen können. »Gib mir die! Das sind meine Daten. Gib mir die Applikation, mit der ich meine Daten verändern kann.« Und da erwarte ich mir Unterstützung von PET.

[147] Nils Leopold: Also ganz konkret mal darauf die Frage: Bei den Schutzzielen enden Sie wieder mit hoch abstrakten Begriffen, die das sozusagen zusammenfassen sollen. Und dagegen haben Sie eine ausdifferenzierte, detaillierte Einzelfalldiskussion: Wie ist es mit SmartGrid? Wie ist es mit Cloud Computing? Wie ist es mit Big Data? Und das sind Diskussionen, bei denen Sie einen Kontext haben, oder nicht einmal einen Kontext, aber eine ganz konkrete Problematik, in der Sie nämlich dann dieses ganze abstrakte Instrumentarium, von dem Sie reden, dann anpassen müssen und sehen, wie es modifiziert und differenziert und angepasst werden muss. Und plötzlich fehlt dieses Element da. Und um diese Aufgabe dürfen Sie sich nicht herumdrücken. Sie haben natürlich dieses Gerüst, an dem Sie sich abarbeiten – das ist auch wichtig, sowieso aus aufsichtsbehördlicher Sicht –, aber Sie kommen um diese konkreten Diskussionen nicht herum. Das ist das Fleisch. Und da fehlt es mir.

[148] Seda Gürses: Zu den Schutzzielen. Wie ich vorhin gesagt habe, ich habe mit den Schutzzielen angefangen. Obwohl ich diese drei, die Sie in Ihrem Text jetzt erwähnen – Transparenz, Intervenierbarkeit, Nicht-Verkettbarkeit –, in diesem Zusammenhang nicht kannte. Nicht-Verkettbarkeit gibt es schon lange, aber Transparenz und Intervenierbarkeit waren für mich neu. Und ich hätte gerne mehr dazu gehört, weil etwa Transparenz auch so ein »Gebilde« ist. Und was ich vielleicht schlecht dargestellt habe am Ende meines Vortrags, war, dass bestimmte Dinge nicht auf personenbezogene Daten reduzierbar sind. Und ich habe das Gefühl, dass die Schutzziele immer noch sehr auf das individuelle Datum eingehen – obwohl, Verkettbarkeit und Intervenierbarkeit nicht. Und ich denke, dass die Schutzziele eher auf Identifizierbarkeit zum Beispiel gucken, aber nicht zum Beispiel auf die Beziehung zwischen mir und allen meinen collect subjects – das ist ein sehr schöner Begriff – und wie wir über die Zeit – zum Beispiel Schutzziele und Zeit, schwierige Sache – eine Relation herstellen können, und ich meine nicht immer Kontrolle. Und deswegen bin ich mir nicht sicher. Ich bin sehr inspiriert durch die Schutzziele, aber ich habe mit denen drei Jahre gekämpft, und dann irgendwann habe ich Andreas Pfitzmann verzweifelt angerufen und gesagt: »Was soll ich machen?« Und er hat dann damals die Geschichte mit den Kisten erzählt, und dann haben wir dazu auch ein Video gemacht. Wenn man das wirklich zu Ende führt mit den Schutzzielen, dann sollten wir alle Kisten über den Kopf gezogen tragen und so durch die Straßen laufen. Das war auch ein Witz auf gewisse Art und Weise. Also ich würde gerne zum Beispiel in den nächsten zwei Tagen hören: Was funktioniert? Was funktioniert nicht? Welche Probleme werden als wichtig gesehen? Und haben wir die Mittel dazu im Datenschutz oder nicht? Ich glaube, das würde mir sehr helfen, denn ich bin sehr interessiert, wie wir die Signifikanz von Informationen infrage stellen können, wie wir die boundary negotiation da behandeln können, und ich habe wirklich das Gefühl, dass Datenschutz uns das nicht zulässt.

[149] Andrea Knaut: Kirsten Bock, Sie hatten auch noch versucht, direkt zu reagieren. Vielleicht ist es jetzt schon beantwortet oder nicht?

[150] Kirsten Bock: Vielleicht kann ich auch da anfangen. Erst einmal, dieses Video – dieses Burka- oder Kisten-Video, wie auch immer man es nennen will – das ist natürlich viel früher gemacht worden. Wir sind mit den Schutzzielen jetzt schon ein ganzes Stück weiter. Das ist eine sehr technische Beschreibung jetzt gewesen. Was wir mit den Schutzzielen versuchen ist, die Technik und die Juristerei zusammenzubringen, und das schaffen wir über die Abwägungsentscheidungen. Dieses Modell liefert uns das Gerüst, um eben Anforderungen, Rollen zu identifizieren, die Prozesse zu identifizieren, die Daten, die Systeme, das Ganze, was wir in der Zertifizierung TOE – target of evaluation – nennen, zu identifizieren, um darauf dann Abwägungsentscheidungen treffen zu können. Der Jurist kommt da eben mit hinein und muss das Schutzniveau definieren. Das ist ein Bereich, den gab es früher noch nicht, also diese Komponente, und die ist da drin. Und mehr Besteck brauchen wir eigentlich nicht. Natürlich müssen die einzelnen Schutzziele konkretisiert werden, das sind Oberbegriffe, das ist ganz klar. Aber sie helfen. Abstrahieren hilft, um komplexe Dinge zu erfassen. Und genauso machen wir das in diesem Zusammenhang. Ich brauche nur diese sechs Schutzziele abzuarbeiten und dann habe ich eigentlich an alles gedacht. Also, wenn ich natürlich die entsprechende Ausbildung habe. Das ist jetzt verkürzt. Aber genau das, was Nils Leopold wollte, nämlich das Herunterbrechen auf einzelne Branchen-Systeme – RFID oder so –, das gelingt mir viel, viel besser mit dem Instrument der Schutzziele. Das sehen wir immer, wenn wir Projekte mit neuen Technologien begleiten, wo wir nichts wissen, wo wir keinen Rahmen haben, keine Präzedenzfälle, und wir überlegen, wie gehen wir da heran – dann hilft uns das. Und es funktioniert in beide Richtungen – das ist das Geniale. Ich kann damit das Soll prüfen und ich kann damit das Ist prüfen.

[151] Andrea Knaut: Diese Schutzziele hat Steinmüller auf den Weg gebracht?

[152] Martin Rost: Nein.

[153] Jörg Pohle: Die kommen aus der IT-Sicherheit, ursprünglich, Anfang bis Mitte der achtziger Jahre.

[154] Andrea Knaut: Aber das sind Requirements, die entstanden sind?

[155] Jörg Pohle: Die haben sich irgendwann so kondensiert. Ich weiß nicht, ob sie das erste Mal dort formalisiert wurden, aber es gab einen Standard des US-Verteidigungsministeriums dazu, wo sie zusammengefasst wurden.7 Aber ob die das erfunden haben, weiß ich jetzt nicht.

[156] Andrea Knaut: Die haben gut auf die Technik gepasst?

[157] Jörg Pohle: Und die sind in der IT-Sicherheitsforschung und in der Entwicklung dann eingesetzt worden. Und dann gab es 2009 einen Versuch von Martin Rost und Andreas Pfitzmann,..

[158] Martin Rost: Und Marit Hansen war auch dabei, auch wenn sie nicht in Erscheinung getreten ist.

[159] Jörg Pohle: ...die drei zentralen IT-Sicherheitsschutzziele, die es bereits gab – Vertraulichkeit, Integrität, Verfügbarkeit –, um drei weitere, eher datenschutzspezifische, Schutzziele zu erweitern, und dann – das war am Anfang noch nicht so klar – sechs Datenschutz- und IT-Sicherheitsschutzziele in einem Modell zu vereinen.

[160] Seda Gürses: Ich möchte jetzt nicht die Schutzziele aus dem Fenster werfen, denn das ist das, was wir haben. Und ich glaube, das gleiche gilt für Datenschutz. Auch das möchte ich behalten. Das ändert aber nichts daran, dass ich in meiner Forschung, aber auch in der Presse und in der Praxis sehe, dass es Probleme gibt, mit denen die Schutzziele nicht abgebildet werden können. Und ich würde gerne wissen, ob wir etwas anderes haben oder uns denken können, um an diese Dinge heranzukommen. Und ich meine damit so etwas wie diskriminierende Datensätze.

[161] Kirsten Bock: Wir stehen am Anfang.

[162] Martin Rost: Ich habe die Geschichte ja mitgestaltet. Sie haben die sechs Schutzziele drauf, alle sechs, nicht nur die drei. Es geht nicht nur um Vertraulichkeit, Verfügbarkeit und Integrität. Diese sechs stehen in drei Widerspruchsachsen, bei denen juristisch abgewogen werden kann zwischen Verfügbarkeit und Vertraulichkeit, Integrität und Intervenierbarkeit und Transparenz und Nicht-Verkettbarkeit. Im Sinne der Integrität will ich den perfekten Automaten haben, aber der perfekte Automat muss so perfekt sein, dass er wiederum nicht perfekt ist, weil er die Intervention zulassen kann. Das ist insofern keine perfekte Turing-Maschine. Willkür ist sozusagen möglich, was ich wiederum als Perfektionist gar nicht haben möchte. Die Frage nach der Zeit im Modell, die Sie ja richtigerweise gestellt haben, muss gestellt werden. Die ist im Modell natürlich nicht enthalten, weil es zunächst nur ein Strukturmodell ist.

[163] Seda Gürses: Weil Sicherheit zum Beispiel sehr schlecht mit Zeit klar kommt. Man muss also auch erkennen, wo das Problem herkommt.

[164] Martin Rost: Ganz genau. Die Zeitdimension ist nicht enthalten. Das hatte ich ganz kurz auch nur angedeutet. Der Jurist findet sich im Modell wieder. Das ist die eine Seite. Und jetzt kommt die Antwort auf Nils Leopold. Der Vorwurf der fehlenden Konkretheit ist einfach nur falsch und Unsinn. Wenn man von Methodik ein bisschen Ahnung hat, dann weiß man, dass mit den Schutzzielen, wie vom Department of Defense seit 1985 gemacht, ganz konkrete Maßnahmenkataloge verbunden sind. Sogar mit funktionalen Äquivalenten, wenn bestimmte Maßnahmen nicht funktionieren, dann kann man auf Alternativen ausweichen. Es gibt mittlerweile so etwas wie ein Best Practice von Maßnahmenbündeln, da weiß man ganz genau, was zu tun ist. Und das können dann Techniken und Maßnahmen sein, die wirklich bis zum Betroffenen runter gehen. Bis zum »Das da sind meine Daten und ich will unmittelbar selbst in der Applikation arbeiten.«, bis zu ganz großen Infrastrukturmaßnahmen wie zum Beispiel Anonymitätsinfrastrukturen von TOR und so weiter. Das bedeutet, dass die konkreten Maßnahmen auch noch skalierbar sind. Das heißt, man kann die Schutzziele nicht verabschieden, man muss alle sechs erst einmal betrachten und dann die Zeitdimension reinbringen. Das Zweite ist: Die Maßnahmen sind sehr konkret. Beim BSI – das BSI macht nur normalen IT-Sicherheitsschutz über die drei Standard-Schutzziele – sind es typischerweise 3000 verschiedene konkrete Maßnahmen, die man zu betrachten hat. Und das ist auch die Methode, mit der man ganz konkret Datenschutzmaßnahmen umsetzen kann.

[165] Joris van Hoboken: I come to this from a legal perspective. And when I think from a legal perspective, extremely interesting with data protection is that, actually, its goal is relatively unclear, compared to other laws and especially compared to other fundamental rights. And I think also that the hole machinery of data protection has been invented as an instrument to do something without having the kind of formulated legal goal. And it has been kind of in the eighties or in a different times that it has been added. The whole legal machinery and the institutions are quite happy with having not so much clarity about what is actually protected because law in the end is in practice more a conflict resolution instrument. And at that point there is actually quite a big tension with the system of data protection which is ex ante trying to regulate everything and prevent conflicts about data use from taking place that may otherwise have taken place. The last point I want to make is about the character of data protection in relation to actually helping us solve issues that are seen as data protection and privacy problems. I supervise a lot of student work about privacy issues. Students are quite interested to write about these things but if they end up writing about data protection law and the specific technological context, usually what they end up producing is really boring to read. The reason for that is because you have all these principles and you basically every principle you discuss how to apply in this context and in the end you have discussed all the principles but you never reached this point where you really say: »Now you have a legal norm where I really sharply have made clear what the conflict is and how to resolve it.« No, usually you end up having to discuss all of them and you end up balancing a lot of open principles. So it is much more a system to think beforehand of how to see an ideal world that is never gonna be there because data protection in practice is a totally another thing than what is being discussed here now.

[166] Jörg Pohle: Ich wollte nur fragen, ob das nicht das gleiche ist wie beim Rechtstaatsprinzip? Was ist das Ziel des Rechtstaatsprinzips? Auch da gibt es ganz viele Sachen, wo es eigentlich darum geht, Verfahren zu definieren, aber das große Ziel ist eher wolkig. Ich erinnere mich nur deshalb daran, weil Steinmüller in seinem Gutachten sagt, er habe eine »Zwei-Säulen-Theorie« – einerseits Art. 2 GG, andererseits Staatsorganisationsrecht. Und dann nimmt er sich das her und sagt, eigentlich könne man das auf die Privaten nicht anwenden, und dann macht er es trotzdem. Naja, als Informatiker würde ich genau das eben als Architektur bezeichnen: Er designt eine Architektur, und er designt sie auf der Basis von Ideen, die er aus Art. 2 GG und aus dem Staatsorganisationsrecht nimmt. Dann sagt er, eigentlich könne man das Staatsorganisationsrecht da nicht anwenden, aber die Architektur, die er designt hat, die wendet er dann auf die Privaten auch an.

[167] Kai von Lewinski: Genau. Das ist das, was ich in meinem Vortrag mit dem Bedauern darüber geäußert habe, dass der große Protagonist des Datenschutzrechts – Herr Simitis – ein Arbeitsrechtler war, der eben bei den Grundrechten vielleicht auch nicht so zuhause ist. Dasselbe gilt natürlich für Herrn Steinmüller, der als Kirchenrechtler konzeptionell zwar vielleicht noch ein bisschen näher am Staatsrecht dran ist, aber über die überaus problematische Anwendung von Figuren aus dem Staat-Bürger-Verhältnis auf das zwischen Privaten ist er mit leichterer Hand hinweggegangen, weil ihm das als tägliches Arbeitszeug offensichtlich nicht so präsent ist.

[168] Marit Hansen: Ich glaube, mein Kommentar schließt sich ganz gut an. Wir merken ja, dass wir uns nicht im luftleeren Raum befinden. Da sind erst einmal die Leute mit ihrer Historie, also durchaus Individuen, die ja anscheinend auch geschichtlich genau deswegen vielleicht so gewirkt haben – wer weiß, ob da ganz andere Faktoren eine Rolle gespielt haben: Da hat die Partnerin falsch gekocht, und dann musste man das irgendwie anders für sich verarbeiten, also wer weiß, was für Effekte die Schmetterlingsflügel bewirkt hatten.

[169] Aber auch wir befinden uns nicht im luftleeren Raum, das heißt – auch was Joris van Hoboken gerade sagte – wir haben ja schon etwas zum Darauf-Aufbauen. Daher haben wir bei den Schutzzielen geschaut: Wie können wir eigentlich die Welt möglichst erfassen mit etwas, was ganz gut passt? Wo müssen wir eingreifen, um zum Beispiel bestehende Definitionen zu ändern? Tatsächlich haben wir selbst die Schutzziele Verfügbarkeit und Vertraulichkeit in ihren Definitionen geändert, damit deutlicher sichtbar wurde, dass sie sich in einem Spannungsverhältnis befinden, schon immer befunden haben. Die Sichtbarkeit dessen konnte man durch Änderung der Definition erst richtig deutlich machen. Integrität ist noch mal wieder ganz anders: Da unterscheiden Pfitzmann/Federrath mindestens drei verschiedene Varianten – wenn ich dies so verwende und zitiere, bekomme ich von Reviewern dauernd um die Ohren gehauen: »Nein, das Orange Book definiert es anders.« Das heißt also, wir sind auch da nicht im luftleeren Raum.

[170] Bei den Datenschutz-Schutzzielen, die wir hinzugenommen haben, sind wir stolz, dass wir einen Schritt vorangekommen sind mit dem LDSG, dem Landesdatenschutzgesetz Schleswig-Holstein. Das bezieht sich auf personenbezogene Daten von Einzelnen;8 außerdem gilt dieses LDSG nur für Bereich Schleswig-Holstein und nur für den öffentlichen Bereich. Wir haben damals einen ersten Textvorschlag zu den Schutzzielen machen dürfen, der übernommen wurde. Eine weitere Überarbeitung der Definitionen, die wir schon vor Verabschiedung des LDSG hatten, wurde nicht mehr übernommen. Das heißt, wir wissen, dass die LDSG-Fassung hinter den Definitionen zurück sind, die wir mittlerweile erarbeitet haben. Unsere Herangehensweise ist geprägt von der Sicht des ULD, nämlich dass es Aufsichtsbehörde im Datenschutz – ich nehme den Begriff absichtlich, weil er so im Gesetz steht – ist und nicht in einem generellen Informationsflussrecht; das ULD muss sich also auf Datenschutz (und Informationsfreiheit) beschränken. Zum Beispiel betonen wir in den Schutzzielen die Betroffenenrechte in der Intervenierbarkeit, obwohl Intervenierbarkeit ein viel, viel größeres Konzept ist. Bereiche, wie z. B. Diskriminierung, die verwandt sind mit Datenschutz, werden nicht vom Datenschutz geregelt; die Aufsichtsbehörden haben andere Aufgaben.

[171] Wir als Forscher im ULD müssen auch den Spagat machen zwischen dem, was ist unsere Aufgabe ist als Aufsichtsbehörde – das ist das, was unsere heutige gesetzliche Pflicht ist –, und zwischen dem, was für besseren Datenschutz sinnvoll ist, wo wir erkennen: »Die Situation ist doof, wir müssen sie ändern.« Wir versuchen, etwas aufzubauen – die Schutzziele sind ein Versuch einer idealisierten Herangehensweise –, das gleichzeitig anschlussfähig ist an das, was Techniker schon längst hatten, und interessanterweise Juristen hatten und Technikfolgenabschätzer hatten, also viele Disziplinen schon irgendwie kennen. Gerade die Technikfolgenabschätzer, die stellen gar nicht so »komische« Begriffe in Frage, selbst die Mediziner haben schon so etwas wie Intervenierbarkeit. Man muss eben ein bisschen aufpassen, auch welche Begriffe und Definitionen das sind. Und wir sind noch nicht am Ende der Diskussion.

[172] Natürlich ist es komplexer geworden mit sechs Schutzzielen, auf der anderen Seite: nur sechs. Wir haben aus den dreien aus den siebziger Jahren in den achtziger und neunziger Jahren so irgendwie zwanzig abgeleitet, die alle irgendwie miteinander in Beziehung stehen oder auch nicht, und je nachdem, ob man aus Sicht eines Betroffenen oder einer Organisation schaut, gewichtet man verschieden. Deswegen ist das Primat bei uns auch anders: in der Regel die Sicht des Betroffenen.

[173] Intervenierbarkeit können wir aber auch aus Sicht der Aufsichtsbehörde interpretieren: Können wir ein System stoppen? CNIL, die französische Aufsichtsbehörde, konnte Google StreetView stoppen – das Auto! Das konnten wir nicht – wir können so etwas nicht. Intervenierbarkeit durch die Aufsichtsbehörde.

[174] Oder Intervenierbarkeit aus Sicht der Organisation: Ich als Organisation – nicht als Betroffener – packe irgendetwas in die Cloud. Kann ich es anschließend wieder herauslösen? Komme ich aus diesem Lock-In-Effekt heraus? – Intervenierbarkeit. Also, Dinge, die zur ganz normalen Verantwortlichkeit gehören.

[175] Auf einmal wird der Begriff viel größer, vielleicht auf der einen Seite diffuser, auf der anderen Seite auch deutlicher, was die Herangehensweise ist. Und dann, wenn wir jetzt schon etwa 3000 Maßnahmen haben bei den drei Schutzzielen CIA – Confidentiality, Integrity, Availability –, dann sind wir mit sechs Schutzzielen natürlich nicht nur bei 6000, sondern wahrscheinlich bei noch viel mehr, wenn wir es ernst nehmen.

[176] Andersherum: Bei neu entwickelten Techniken kennen wir die Technikfolgen noch gar nicht; wir wissen nicht, welche Risiken sie mit sich bringen. Genau dann ist es viel einfacher, wenn wir mit Prinzipien arbeiten, die über das hinausgehen, was wir an Erforderlichkeit, Zweckbindung und so weiter haben, die sich aus den heutigen Datenschutzgesetzen ableiten lassen. Wo wir eben auch Ubiquitous Computing oder andere neue Entwicklungen mit aufnehmen können; und deswegen auch relational data. Nicht beim Personenbezug stehenbleiben. Linkage-enabling data9 würde ich gerne hinzunehmen, die eine besondere Kategorie bilden. Auch die anderen Beziehungen... Damit wir viel größer, viel allgemeiner, viel umfassender herangehen können. Was das nachher heißt, ob es heißt, man darf jetzt gar nichts mehr oder man darf alles verarbeiten oder irgendwas dazwischen, das müssen wir noch mal ganz anders verhandeln. Aber erst einmal das adressieren zu können, dazu dienen die Schutzziele.

[177] Andrea Knaut: Nach der Pause nehmen wir die Schutzziel-Geschichte wieder auf, weil die eigentlich sehr spannend ist.

[178] Jörg Pohle: Wir werden sie wieder aufnehmen. Wir werden vielleicht dann darüber reden, dass sie vielleicht auch das Äquivalent zu den Generalklauseln in der Juristerei sind. Sind die Schutzziele die neuen Generalklauseln? Ist das nicht, sozusagen diese Einzelfallregelungen, die immer vollständig kontextualisiert sind, der US-amerikanische Ansatz, der auch gescheitert ist?

[179] Nils Leopold: Programmieren die Schutzziele die Abwägung in jeder Hinsicht? Solche Fragen sind interessant. Sie sagen ja selber, das ist sozusagen eine Verbindung von Technik und Recht. Aber dann stellt sich trotzdem auf der juristischen Seite die Frage der Abwägung. Und die ist dann wiederum ganz konkret und auf ganz konkrete Einzelfragen bezogen: Was ist mit der Auftragsdatenverarbeitung oder bei Cloud Computing? Ich wollte nur den begrenzter Erkenntniswert noch einmal betonen. Ich wollte es überhaupt nicht entwerten – im Gegenteil, super. Aber es ist sozusagen in dieser globalen Debatte, so wie wir sie ja abstrakt aufgesetzt haben, eine weitere Perspektive, die wir diskutiert haben.

[Pause]

[180] Andrea Knaut: Ich kann mich noch erinnern, dass Wolfgang Zimmermann zuletzt noch Redebedarf angemeldet hatte. Ich wollte Ihnen das Wort noch einmal geben, um die Frage der Vermittelbarkeit des Privatsphäre-, Privatheits-, Datenschutzbegriffs in die Öffentlichkeit mal wieder aufzunehmen, denn wir hatten in der letzten Runde doch schon sehr expertenlastige Debatten, aber es ist auch wichtig, wie wir diese Modelle, die andere Leute verstehen sollen, gestalten. Wir können darüber dann wieder in die Diskussion einsteigen, weil auch die Schutzziele – das war der Schluss der letzten Runde – auch so etwas sind, was andere verstehen sollen, und nicht nur Juristen und Informatiker.

[181] Wolfgang Zimmermann: Ich hatte in meinem Beitrag für diesen Workshop um Ihre Hilfe bei der Bildschöpfung gebeten, das steht da ausdrücklich drin. Und die Tabelle zu meinem Artikel ist nicht das Bild, das ich anstrebe, sondern sie ist die vermittelnde Instanz zu den Bildern. Sie sollte uns untereinander anschlussfähig machen für die Hilfe, um die ich bat. Was ich dabei wirklich für vermittlungsnotwendig halte, ist dieser Dreiklang aus Daten, Verwendungszusammenhang und Asymmetrie. Das bedarf der Vermittlung durch Verbildlichung. Und es ist daneben, so wünsche ich mir das, auch das bildlich zu vermitteln, was den Piratenakt des verantwortlichen Verarbeiters ausmacht und was zur Erosion des Verbraucherrechts führt, wenn das dauerhaft durchgeht. Und es sollte schließlich auch das Vermeiden inkompatibler Aktivitäten bildlich vermittelbar sein.

[182] Andrea Knaut: Also, diese Tabelle ist auf jeden Fall aus didaktischen Gründen nicht vermittelbar. Man kann die Tabelle zur Vorbereitung nehmen, um daraus dann ein vermittelbares Bild oder vermittelbare Bilder zu erzeugen, genauso wie aus den Schutzzielen.

[183] Wolfgang Zimmermann: Ja. Ich habe dieses Papier doch geschrieben als Ausdruck einer höheren Form von Unvermögen. Und dies ist ja ein Workshop für Fragen, keine Vorlesung für Antworten, so verstand ich die Ankündigung. Ich komme deshalb hierher und sage: »Wir brauchen realitätsbezogene Bilder. Helfen Sie mir, ich kann das nicht allein.« Insofern habe ich es ja relativ leicht. Ich halte es nur für wichtig, dass das getan wird, was ich bisher nicht kann. Deshalb die ausdrückliche Bitte um Hilfe, die in meinem Text steht. Bilder tun not. Und sie tun besonders dort not, wo nicht mehr »ausgedeutscht« werden soll. Dort braucht man Bilder noch mehr als bisher. Und was mir auffällt, ist, dass niemand das so sagt. Und deshalb sage ich es.

[184] Andrea Knaut: Sie haben dieses sehr unterkomplexe Sphärenmodell genommen, das offensichtlich auch auf den Kommissions-Webseiten zu finden ist, und sagen – fast ein bisschen gespielt naiv, denn Sie wissen ja eine ganze Menge darüber – jetzt: »Ich sage mal, was alles falsch daran ist. Und dann packe ich das alles in eine Tabelle.« Und aus dieser Tabelle muss jetzt irgendwer wieder bessere Bilder machen, die aber genauso leicht erfassbar sind wie das Sphärenmodell. Oder fast genauso leicht. Und das Problem ist bei diesen ganzen Datenschutzgeschichten... – die Schutzziele helfen zwar ein bisschen, dass es nicht so eine paternalistische Debatte wird –, aber es ist ein bisschen so, dass Juristen und IT-Security-Leute den eigentlich Betroffenen helfen... Also, so sind Datenschutz-Debatten oft, und so fand ich auch die erste Hälfte. Sie wissen alle, worüber Sie sprechen, und die Betroffenen, die »armen Betroffenen«, die verstehen vielleicht maximal noch die Schutzziele, aber es hat so...

[185] Wolfgang Zimmermann: Mein Adressat ist nicht der arme Betroffene. Mein Adressat ist eigentlich der Bundestagsabgeordnete oder der Landtagsabgeordnete.

[186] Nils Leopold: Für die ist das zu kompliziert.

[187] Wolfgang Zimmermann: Aber er ist doch Entscheider. Er macht doch Gesetze.

[188] Seda Gürses: Das ist noch schlimmer.

[189] Jörg Pohle: Aber gut, das ist die alte Datenschutz-Debatte. In Bezug auf den Betroffenen ist es genauso, stimmt: Der Betroffene entscheidet ja etwa darüber, seine Einwilligung zu geben oder nicht. Und das wird ihm einfach übertragen und dann wird darauf vertraut, dass man ihm so ein paar Informationen gibt, und dann kann er diese Entscheidung treffen. Und letztendlich ist das nichts anderes, ob man hier nun dem Gesetzgeber so etwas vorlegt, damit der eine Entscheidung trifft, oder dort dem Betroffenen. Bei der Frage der Distanz zwischen dem eigentlichen Verständnis und dem, was sie entscheiden sollen, liegen in beiden Fällen Welten dazwischen. Und jetzt geht es um die Frage, wie man diese Entfernung überbrückt.

[190] Kai von Lewinski: Also ich erkenne eine Parallele zu dem, was wir vorhin mal kurz angesprochen haben, bevor wir uns dann mit sowohl Details der soziologischen Theorie als auch der Schutzziele – »verkämpft« will ich nicht sagen – beschäftigt haben. Ich glaube, auch diese Tabelle und die von Ihnen artikulierte Schwierigkeit, daraus ein Bild zu machen, illustriert die Schwierigkeit, uns über die genaue Bedeutung und die Unterschiede von Privatheit, Privatsphäre, informationeller Selbstbestimmung und deren Gehalt zu verständigen. Wir wissen nicht genau – und wir können offensichtlich noch nicht genau artikulieren, geschweige denn einen Konsens darüber finden –, worum es beim Datenschutz überhaupt geht, auch was Datenschutz ist, wie wir das handhaben, wie wir das operationalisieren. Das ist das Thema der Schutzziele: Wie man ein Regelungssystem macht. Worum es aber letztendlich geht, ist uns noch nicht so sehr klar. Wir müssen uns vergegenwärtigen, wo wir geschichtlich stehen, und dass jede, auch die Gegenwartsposition immer eine ist, die relativ in der Geschichte ist – wir stehen am Anfang der Informationsgesellschaft. Und es wäre bemerkenswert, wenn wir jetzt schon genau wüssten, worum es in der Informationsgesellschaft für den Einzelnen überhaupt geht. Erst am Ende der Informationsgesellschaft werden wir ein klares philosophisches usw. Konzept haben. Wir tasten uns da im Moment nur rein. Und diese ungeklärte Begriffsdebatte, die wir am Anfang hatten, die ja dann zu konkreten und zu anderen theoretischen Feldern übersprang, ist genauso ein Ausdruck dieses Noch-nicht-Wissens wie die Tabelle und, wie das Wortungetüm der »informationellen Selbstbestimmung«... Meine These an diesem Punkt ist, dass wir uns hier noch gar nicht auf einen Begriff einigen können und dass wir noch gar nicht verstehen können, worum es bei dem, was wir Datenschutz nennen, eigentlich geht.

[191] Wolfgang Zimmermann: Aber was wir machen können, ist ja eine Baustellensammlung.

[192] Kirsten Bock: Also, ich möchte mich kurz noch einmal wiederholen. Ich habe jedenfalls bisher immer das Gefühl gehabt, ich wüsste sehr wohl, worum es geht: Es geht nämlich um die Herstellung von Freiheit, es geht um den Schutz vor Überwachung und dessen Folgen im informationellen Zeitalter. Die Bedrohungsszenarien haben sich in den letzten fünf Jahren extrem gewandelt. Ich muss nicht immer genau wissen, was auf einen Schadenseintritt passiert. Bei einigen Sachen wie Kernenergie haben wir ja inzwischen eine Vorstellung davon, was passieren kann. Was bei einem globalen nuklearen Desaster passiert, wissen wir auch nicht. Trotzdem ergreifen wir Schutzmaßnahmen, um das abzuwenden, weil wir wissen, dass es schrecklich ist. Wir wissen, was passiert beim Identitätsdiebstahl zum Beispiel: Dass ich nicht mehr über meine Konten verfügen kann, dass ich keinen Zugriff mehr auf meine E-Mails habe, dass ich sozusagen von der elektronischen Kommunikation abgeschnitten bin und so weiter. Diese Folgen kennen wir. Darum geht es letztlich. Aber ich finde nicht, dass es uns weiterbringt oder dass es notwendig ist, jetzt dieses klare Konzept vor Augen zu haben, jede einzelne Bedrohung. Also, wir wissen, wo wir uns sicher sind, und deswegen ist es ein Prozess oder eine Sammlung. Wir wissen, es sind Bedrohungen da draußen, es gibt neue Geschäftsmodelle, die auf uns zukommen, die werden angewendet. Wir kennen nicht die Folgen, die sich daraus ergeben. Und wir versuchen, das irgendwie in den Griff zu bekommen. Und wir tun das, weil wir unsere Handlungsfreiheit schützen wollen. Wir wollen das Funktionieren unseres Staates schützen, also wir wollen keinen Angriff. Wir wollen keine Informationssammlung in einem Maße bei privaten Organisationen außerhalb unseres Staates haben, die diese Organisation in die Lage versetzt, unseren Staat vom einen auf den anderen Tag zu übernehmen, weil sie da irgendwo einen Hebel umlegt. Und wir wollen das Individuum in einer Situation haben, in der es in seinem Umfeld mehr oder weniger freie Entscheidungen treffen kann. Das ist immer bedingt und so weiter, das wissen wir alles, haben wir alles diskutiert.

[193] Kai von Lewinski: Wir reden auf unterschiedlichen Ebenen. Also: Das ist alles eine Sammlung von legitimen Zielen, die jede Aufsichtstätigkeit auch rechtfertigen. Der Punkt, den ich machen wollte, war viel konzeptioneller und theoretischer: Dass wir das, was Sie ja oder wir alle auch nur mit einer Vielzahl sehr abstrakter Topoi umschreiben können, für das, was offensichtlich begrifflich-konzeptionell dahintersteht, noch kein Wort haben. Und das wir es noch nicht beschreiben können. Wir können es umschreiben. Das genügt auch, um einen Regelungsapparat darauf aufzubauen und auch ihn zu rechtfertigen – darum geht es mir hier aber nicht. Aber das, worum Datenschutz letztendlich geht, was das Schutzgut im rechtlichen Sinne ist, kann meiner Meinung nach noch nicht benannt werden. Wir sind noch nicht so weit. Und wir werden es wahrscheinlich auch nicht erleben, weil das Informationszeitalter noch länger als 50 Jahre dauert. Und erst in dessen Herbst und Spätherbst – wie immer, wenn man auf eine Epoche zurückblickt –, erst dann hat man die Begriffe, wenn man sie eigentlich dann nicht mehr braucht.

[194] Martin Rost: Ich halte es für absolut kristallin klar, was die Problemstellung ist: Es ist die Machtasymmetrie zwischen Organisation und Person. Punkt. Das ist konzeptionell-strukturell-theoretisch kristallklar, da gibt es keine Frage. Wo es eine Frage gibt ist, was Privatheit heißen kann. Und da hat Solove 2006 festgestellt, nachdem er die ganzen Liberalen des 19. Jahrhunderts, John Stuart Mill und was er alles ausgegraben hat: Wir haben kein klares privacy-Konzept.10 Brauchen wir auch nicht, es ist verzichtbar. Das Schutzgut – ich weiß nicht genau, ob das juristisch jetzt die genaue Bezeichnung ist – ist die Asymmetrie zwischen Organisation und Person. Und es ist das Versprechen, das im Konzept des Bürgers, des Kunden, des Patienten, des Individuums, des selbstbestimmten Subjekts gegeben wird und dass diese Asymmetrie unter Bedingungen gestellt werden kann. Im Privatrechtlichen gibt es eine Symmetriesuggestion. Und da wo es asymmetrisch ist – zwischen Staat und Bürger –, wird diese durch Transparenz kompensiert. Aber das Verhältnis bleibt asymmetrisch. Man darf seine Tochter nicht »Firlefanz« nennen, vielmehr heißt es: »Nimm Dir einen von den 3.000 Namen!« – aber: »Wir sagen Dir die Rechtsgrundlage. Wir machen es transparent, warum Du Deine Tochter nicht Firlefanz nennen kannst.« Also: Der Objektbereich ist kristallklar. Die Frage ist, mit welchen Mitteln man diese Asymmetrie unter Bedingungen stellen kann: rechtlich, technisch, ökonomisch, organisatorisch. Und da gibt es einen Vorschlag, diese Asymmetrie mit einem standardisierten Datenschutzmodell unter Bedingungen stellen zu können und ganz konkrete Vorschläge. Das heißt, dass nicht nur der Objektbereich völlig klar ist, um den es aus Datenschutzsicht geht, sondern auch darum, was die Mittel sind, um zu einer Resymmetrisierung zu gelangen. Damit ist die Durchsetzungsfrage noch nicht geklärt.

[195] Kai von Lewinski: Die kristalline Sicht auf die Machtasymmetrie ist die Rechtfertigung für Rechtsstaatlichkeit. Sie ist nicht automatisch und per se gleich schon die Rechtfertigung für das, was wir Datenschutz nennen – das ist eine Untermenge davon. Dass es im Rechtsstaat und möglicherweise beim Datenschutz um Machtasymmetrien geht, ist klar, aber das ist noch nicht der Grund bzw. das, was wir schützen. Das ist die Konfliktkonstellation, die das, was wir nicht benennen können, gefährdet.

[196] Jörg Pohle: Aber dann ist es doch genauso wie beim Rechtsstaatsprinzip. Auch da ist es doch so, dass wir vor einer Grundkonstellation stehen, mit der wir ein Problem haben, und die wir deshalb rechtlich regeln. Aber was ist das Schutzgut des Rechtsstaatsprinzips?

[197] Kai von Lewinski: Nein, der Rechtsstaat ist auch in diesem Sinne ein Verfahren. Geschützt durch den Rechtsstaat ist die Freiheit.

[198] Jörg Pohle: Aber das ist ja das, was hier auch immer wieder behauptet wurde. Dann wäre das Schutzgut des Datenschutzes auch die Freiheit. Und dann wäre vielleicht das Schutzgut des Rechtsstaatsprinzips die Freiheit gegenüber dem Staat, also gegenüber dem Staat insgesamt, und das Schutzgut des Datenschutzes ist die Freiheit gegenüber staatlichen und privaten Organisationen.

[199] Kai von Lewinski: Wenn wir Rechtsstaat und Datenschutz gleichsetzen, auf dieselbe Abstraktionshöhe setzen, dann können wir das auch bejahen. Wenn wir aber sagen, dass Datenschutz eine Unter- und Teilmenge, eben eine informationsbezogene Teilmenge von Rechtsstaatlichkeit ist, dann folgt sie auch spezifischen Regeln. Und die müssten wir uns anschauen. Möglicherweise ist dann auch das Rechtsgut – Arbeitsbegriff: »informationelle Freiheit« – eben auch irgendwie ein spezifisches, für das wir aber – und ich wiederhole meine These – kulturell noch nicht so weit sind, sie vollumfänglich zu erkennen. Wir tasten uns da erst hin.

[200] Seda Gürses: Da möchte ich jetzt einsetzen, denn ich hatte die Situation in 2005, glaube ich, mit UbiComp-Szenarien: Ich las Texte, in denen Forscher fast zwanzig Jahren vorher versucht hatten, mit Hilfe von Szenarien in die Zukunft zu schauen und herauszufinden, welche Probleme es da geben werde. Und das war eine sehr ulkige Erfahrung für mich als Promotionsstudentin. Und ich glaube, der Dreh- und Angelpunkt für mich war, als ich einen Artikel von Paul Dourish las, wo er schrieb, die Zeit des UbiComp sei gekommen, und es sieht einfach nicht so aus, wie die Herren das vor zwanzig Jahren beschrieben hatten. Und deswegen ist es nur eine Bitte um Vorsicht. Nicht immer warten auf das, was kommt, um feststellen, was das Problem ist. Ich glaube, wir haben genug Probleme jetzt. Wir können die formulieren. Und wir können schauen, ob Datenschutz das geeignete Werkzeug dafür ist oder nicht. Ich denke, was vielleicht interessant ist, dass wir in einer Phase sind, wo wir lernen, Normen und Kultur zu entwickeln mit diesen Gegenständen, die durch Organisationen getrieben werden, und die Frage ist, ob Datenschutz genau diesen Prozess auch unterstützen kann – das ist vielleicht eine interessante Frage –, statt zu erwarten, dass die Kultur kommt, und dann schauen wir, ob Datenschutz nützlich ist oder nicht, also ob Datenschutz die Entstehung dieser Kultur und dieser Normen jeden Tag unterstützt.

[201] Martin Rost: Was die Morgenröte der Informationsgesellschaft jetzt angeht, auch die kann man klar bezeichnen, ohne dass das Neue darin jetzt unbedingt erstickt wird, nur weil man einen alten Begriff benutzt. Aber der Begriff trägt erst einmal. Und zwar: Die Industrialisierung ist nur zur Hälfte gelaufen, sozusagen im Energie- und Arbeitssektor. Die Industrialisierung, die wir jetzt erleben, die wir drastisch beschleunigt seit dreißig Jahren erleben, betrifft den gesamten Informationssektor. Das ist wahrlich keine originelle These. Aber: Das Industrialisierungsprojekt der Standardisierung, der Automatisierung wird fortgesetzt und zwar unter anderem auch in Bezug auf die Technisierung der vorhin bezeichneten Personenkonzepte. Das heißt, man kann auch ganz in dem Sinne jetzt durchaus sagen, was es heißt, wenn vom Konzept des Bürgers – mit seinen Rechten, mit seinem Autonomieanspruch, mit seinem Freiheitsanspruch – die Rede ist, wenn das jetzt durch Industrialisierungsprojekte standardisiert und automatisiert wird. Die Technisierung macht die inhärenten Konflikte offenbar. Was bleibt mit deren Industrialisierung auf der Strecke und was wird dadurch gewonnen? Das kann man thematisieren – auch jetzt schon – und zwar genau. Und mit einer Vision versehen, was Industriegesellschaft heißen kann, also ohne das Neue darin gleich zu ersticken.

[202] Jörg Pohle: Das heißt, der Datenschutz schließt die Lücke in dem Freiheitsversprechen für das Individuum, das im 19. Jahrhundert formuliert wurde, das durch die organisierte Informationsverarbeitung aufgerissen wurde?

[203] Martin Rost: Ja, kann man so sagen.

Jörg Pohle: Dann haben wir ein Rechtsstaatsprinzip, das die allgemeine Freiheit des Individuums schützt, angegriffen durch die organisierte Informationsverarbeitung, und der Patch für diesen Teil – damit das Rechtsstaatsprinzip überhaupt wieder so funktioniert, wie man das möchte – ist der Datenschutz.

[204] Martin Rost: Was folgt nun daraus? Aus meiner Sicht: Dass nicht die Technik die Schuldige ist und dass die Technik auch nicht der Treiber des gesellschaftlichen Wandels ist. Sondern es sind die Organisationen, die mit Technik umgehen. Das bedeutet für die Aufsichtsbehörden, dass sie sich sehr viel stärker – anders als bisher – nicht weiter in Technik verkämpfen, sondern das Datenschutzmanagement von Organisationen in Augenschein nehmen, also Datenschutzmanagement groß machen müssen. Das wissen die Aufsichtsbehörden aber noch gar nicht. Wir haben zum Beispiel in Schleswig-Holstein Datenschutzmanagement im Gesetz drin, prüfen das aber gar nicht. Wir sind methodisch unfähig, Datenschutzmanagement zu prüfen. Das ist eine ganz große Bringschuld – seit zwanzig Jahren – der Datenschützer. Man darf sie nicht genau fragen, was sie eigentlich mit »Datenschutzmanagement« meinen. 2005/2006 wurde unter dem Label »Datenschutzmanagement« eine Checkliste für Datenschutzbeauftragte herausgegeben, zum Beispiel. Es gibt da immerhin schon einige erste Versuche. Das, was Jörg Pohle gesagt hat, hat zur Folge, dass der Fokus jetzt von der Technik weg geht. Technik kann von Organisationen so oder so eingesetzt werden – jeweils unter dem Primat der Kapitalverzinsung oder unter dem Primat der Sicherung der öffentlichen Ordnung oder unter dem Primat der Diskursermöglichung oder unter dem Primat von fairen Beteiligungssystemen im Zusammenhang von Machtkämpfen – liquid democracy. Um das komplett durchzudeklinieren: Wo die Magie der Freiheit des Bürgers, des Kunden, des Individuums eingelöst wird. Deswegen das Plädoyer, dass die gesellschaftliche Funktion des Datenschutzes darin besteht, diese Kontingenzquellen zu umhegen. Datenschutz ist in diesem Sinne ein konservatives Projekt.

[205] Jörg Pohle: Datenschutz ist also der Arzt am Krankenbett der Informationsgesellschaft?

[206] Martin Rost: Weiß ich nicht. Die Reflexionsfolie, die passt nicht.

[207] Jörg Pohle: Aber die Folgerung, die von vielen Beteiligten gezogen wird, ist dann, dass der Datenschutz keine positive Konnotation hat.

[208] Martin Rost: Das ist von Kai von Lewinski: Sag mir die positive Konnotation! Juristen haben die Privatheit des Subjektes oder irgendwie so etwas vor Augen. Ja, das kann man so sehen. Ich sage, lass das in Ruhe. Nenn Gott nicht beim Namen, sozusagen.

[209] Kai von Lewinski: Da sind wir uns ja tatsächlich ganz einig. Ich habe sozusagen die Skepsis des suchenden Gläubigen, der weiß, dass er den Gott nicht nennen kann. Und der Agnostiker wirft‘s mir noch hinterher. Aber im Befund sind wir uns einig, und in den Konsequenzen – wenn wir uns jetzt darauf verständigen, dass wir den endgültigen Begriff, den nicht zu benennenden, auch nicht benennen können –, dann kann man sehr viel bescheidener, diesseitiger und gegenwärtiger darüber sprechen: Was machen wir mit diesem Befund? Aber es ist ja schon einmal ein erstes Zwischenergebnis, dass wir sagen: Es gibt nicht ein Schlagwort oder auch ein Schlagwort wie in den siebziger, achtziger Jahren: Informationelle Selbstbestimmung ist eben auch nur eine Umschreibung für das, was wir nicht benennen können. Es ist deshalb mit entsprechender Vorsicht und Relativität zu genießen und zu instrumentalisieren. Und wenn wir diese Relativität dieses Leitbegriffes akzeptieren, dann lässt es sich über vieles Weitere besser verständigen. Nachdem wir ja schon die Großtheorie kleingekocht haben, sollten wir uns eben auch vom Großbegriff verabschieden. Das macht die Probleme sehr viel kleinteiliger, damit auch handhabbarer und leichter konsentierbar.

[210] Andrea Knaut: Ich würde gerne noch einmal diese Frage aufwerfen: Wie bringe ich dem zu schützenden Individuen eigentlich den Datenschutz bei? Es kommt mir so vor, als ob die DatenschützerInnen die Hüter, sozusagen, die heimlichen Elfenbeinturm-Hüter, einer Ordnung sind, die die BürgerInnen schützt – was ja schön ist –, aber trotzdem ist es irgendwann einmal wünschenswert, dass die BürgerInnen den Rechtsstaat so gut finden, dass sie tatsächlich selbst diese mündigen Bürger werden, von denen wir immer träumen. Da kann man natürlich als Strukturalist sagen, das sind sie sowieso nie, aber...

[211] Martin Rost: Als Demokrat würde ich das natürlich nicht sagen...

[212] Andrea Knaut: Ja, aber ich will noch auf etwas anderes hinaus. Diese Suche nach einem Modell – wie kann ich den Leuten die Liebe zur Privatsphäre irgendwie nahebringen? –, die ist problematisch. Da geht es dann beispielsweise um die Social Networks oder die Post-Privacy-Geschichte. Wenn die User das cool finden und nicht wissen, dass sie damit auch den Schutzmantel des Rechtsstaats aufgeben, was nützt dann diese abgehobene Debatte unter Datenschutzbeauftragten? Also, wenn das niemand mehr versteht. Jetzt als Provokation, aber...

[213] Kirsten Bock: Nein, ich würde gerne einfach eine Gegenfrage stellen: Wie bringt man den Leuten gesundheitsbewusstes Verhalten bei? Das ist genauso eine spannende Frage. Soll man das? Ich weiß gar nicht, ob da überhaupt unsere vornehmliche Aufgabe darin liegt. Und auch wenn wir diese Frage diskutieren, stellen wir doch nicht in Abrede, dass es Ärzte und Krankenhäuser geben muss, oder nicht?

[214] Kai von Lewinski: Nein, aber dass es ein Konzept von Gesundheit gibt.

[215] Kirsten Bock: Ja, genau. Und deswegen sitzen wir auch hier, weil wir natürlich dieses andere Konzept auch diskutieren wollen.

[216] Martin Rost: Es gibt kein positives Konzept von Gesundheit, nur die Abwesenheit von Krankheit. Wir haben kein Konzept von Gesundheit.

[217] Kirsten Bock: Dann ist Datenschutz die Abwesenheit von Überwachung, oder was?

[218] Martin Rost: Ich möchte diese Frage hier eigentlich nicht beantworten. Ich will erst das Problem klären und erst danach die Frage, was die Vermittelbarkeit des Problems angeht. Weil ich den Kreis nutzen möchte, um zu klären: Was ist das Problem? Um was geht es? Und dann: Was kann man zum Umgang mit dem Problem tun? Und die Frage nach deren Vermittlung stellt sich nachrangig. Der Nutzer ist mir eigentlich erst einmal egal. Die Frage, wie autoritär Datenschutzbeauftragte sind, wie paternalistisch Datenschutzaufsichtsinstanzen agieren dürfen, können, müssen – das halte ich für eine gute Frage, eine richtige Frage. Und dann auch, wie man Datenschutz vermitteln kann und mit welchen Bildern – aber das ist dafür hier der falsche Kreis. Es ist zum Glück ein Kreis, der sich analytisch und strukturalistisch mit den Problemen beschäftigen kann. Das finde ich sehr gut. Das würde ich gerne weiter nutzen und nicht die pädagogische Vermittlungsfrage stellen.

[219] Jörg Pohle: Ich glaube nicht, dass das der falsche Kreis ist. Andere Leute werden mit diesen Konzepten dann zum Beispiel Technik gestalten. Und sie werden dabei auch Bilder benutzen. Und sie sind aus der Sicht der JuristInnen oder aus der Sicht der SoziologInnen dann Laien. Und sie werden einfach diese Bilder benutzen und sie werden Systeme modellieren und dann werden sie irgendwie sagen: »Schau mal hier, und da habe ich so eine Verbindung.«, und das ist ein großes Bild, und dann werden sie sagen: »OK, und jetzt implementieren wir das.« Und das heißt, sie sind in der gleichen Position wie die Betroffenen – in Bezug auf die Grundfrage sind sie Laien.

[220] Martin Rost: So ein Diskurs findet nicht statt. Er findet gerade jetzt mal statt. Und dass er stattfindet, darum muss man ringen, ja auch in diesem Moment schon wieder. Sonst gibt es diese Art von Diskurs, von theoretisch geleiteten Problemaufbereitungen überhaupt gar nicht. Was ich in dem Aufsatz von Seda Gürses gelesen habe, hat mir sehr gefallen: PET macht was ganz Tolles, und was ganz spezifisch Zugespitzes. PET löst ein paar Probleme, die aber gar nicht die eigentlich zu lösenden Probleme sind. Genau: Und dann wird z. B. was für IT-Sicherheit gemacht, es wird überhaupt nicht Datenschutz gemacht. Ich finde außerdem, dass die Vermittlungsfrage in Bezug zu Datenschutz in einer Tour gestellt wird. Unter den Datenschutzbeauftragten gibt es keinen darüber hinaus abgehobenen Diskurs. Es gibt erst einmal überhaupt keinen Diskurs, und den, den es gibt, der ist nicht abgehoben, sondern der ist sehr konkret, sehr handfest, um sich konkret die Probleme vom Hals zu schaffen. Also das ist ein Plädoyer wieder für mehr Diskurse speziell zum Datenschutz, so dass man paradigmatisch streiten kann.

[221] Kirsten Bock: Man muss da schon differenzieren. Der Nutzer oder der Betroffene ist zu differenzieren von dem Systementwickler. Wenn ich mich beruflich mit etwas beschäftige, dann muss ich mich auch mit den Randfragen und den Implikationen beschäftigen, und deswegen verlange ich sehr wohl von einem Softwareentwickler, dass er sich mit Fragen des Datenschutzes auch auseinandersetzt und dass ihm das auch in die Wiege gelegt wird in der Ausbildung. Diese Grenze, die Sie da gezogen haben, die sehe ich nicht.

[222] Jörg Pohle: Die werden nicht unbedingt alle ausgebildet. Im Gegensatz zu Bereichen wie der Medizin oder der Rechtswissenschaft ist das so, dass die Leute auch in dem Fach arbeiten können, ohne dass sie eine formale Ausbildung in diesem Fach bekommen. Das war das erste. Das zweite ist: Ein nicht unwesentlicher Teil der Systeme, die man so allgemein als PETs bezeichnet, sind von Leuten geschrieben, die diese für sich selbst schreiben, weil sie selbst ein Interesse haben. Sie sind sozusagen gleichzeitig Betroffene und EntwicklerInnen: »Ich brauche jetzt ein Anti-Zensur-Tool. Und dann schreibe ich mir halt eines. Weil ich das kann. Und dann finde ich eine Gruppe von Leuten, die da mitmachen.« Die schreiben das nicht für andere, das heißt, sie sind nicht in der gleichen Auftragnehmerposition, in der von ihnen verlangt werden, dass sie sich mit der Verpflichtung auseinandersetzen, die sie anderen gegenüber haben.

[223] Nils Leopold: Ich wollte betonen, dass dieser Akzeptanzdiskurs im Datenschutz ganz zentral ist. Der ist ganz zentral auch für die Datenschutzbehörden. Und wenn es hier sozusagen bei »Fundationes« darum geht, auch Implizites sichtbar zu machen und auch Implizites in diesen Diskursen sichtbar zu machen, dann glaube ich, dass es auch ein ganz wesentlicher Teil der Aufgaben schon jetzt der Aufsichtsbehörden ist, diese Akzeptanzdebatte im Hintergrund zu führen. Die Front-Leute führen diese Debatte wahrscheinlich schon prozentual zum überwiegenden Teil und versuchen nichts anderes, als irgendwo diese Erwartungen abzurufen in der Bevölkerung und darauf hinzudeuten: »Ich erkläre Euch das und vielleicht könnt Ihr dann verstehen, dass es hier eine berechtigte Erwartung an Privatheit gibt.« Es ist nämlich ganz kompliziert, oft im Detail zu erklären, warum es hier ein berechtigtes Interesse geben kann, überhaupt einen Freiraum zu erklären für einen bestimmten Bereich, zum Beispiel bei Facebook. Wenn man eine Akzeptanz hat, die so breit ist in der Bevölkerung, oder wenn man bei der Videoüberwachung von Bahnhöfen – ganz im Gegenteil zu anderen Videoüberwachungen – eine Akzeptanz von 80% hat, dann muss man erklären, was man tut. Und da ist niemand mehr – die Letzten sind das in Kiel –, der dann sich vom Akzeptanzdiskurs zurückzieht. Das Gegenteil ist der Fall: Man ist mit nichts anderem mehr beschäftigt. Und so muss es auch sein. Das heißt, diese ganze Vorstellung von Datenschutz als einer klassischen Ordnungsrechtsumsetzung: »Ich bin bei einer Behörde und setze hier Ordnungsrecht um.«, das ist total unrealistisch, das macht auch niemand mehr. Bei Street View wird der Rückzug angetreten, weil man merkt: »Das ist so heikel, das hier eins zu eins mit unseren Instrumenten, mit unseren Konzepten zu beschreiben, dass wir hier vorsichtig sein müssen.« Und so war auch die Reaktion in der Bevölkerung ja sehr gemischt. Das war eine ganz schwierige Debatte. Also ich würde stark dafür plädieren, gerade weil es ja eine Diskussion im Wandel ist, weil das zugrunde liegende Phänomen Wandel und Veränderung ist, bei der die Erwartungserwartungen und Erwartungen der Menschen nicht klar sind, an die man aber letztlich doch immer ein Stück weit anknüpfen muss. Das ist hier ein zentraler Teil der Datenschutz-Debatte, auf die Akzeptanz zu schauen und da auch Bande zu nähen.

[224] Alexander Dix: Nils Leopold hat schon im Grunde vieles von dem gesagt, was ich auch sagen wollte. Zunächst einmal hatte Wolfgang Zimmermann mit Recht die Sphärentheorie demoliert – sie ist in der Tat untauglich, das sehe ich ganz genauso. Er hat auch den Versuch der Europäischen Kommission kritisiert, ein Bild für das, was Privatheit heißt, zu geben. Ich kenne einen Video-Clip der Kommission – ich weiß nicht, ob das der ist, den Sie auch kritisieren –, da kommt ein nackter Mann vor. Den habe ich nicht gesehen. Ich habe aber einen anderen gesehen, und ich weiß auch, dass die Europäische Kommission sehr stolz darauf ist, dass einer dieser Video-Clips sogar einen Preis in Cannes, glaube ich, gewonnen hat als Kurzfilm. Das will ich auch nicht überbewerten, aber es besteht ein wichtiger Unterschied – und insofern bin ich wie Nils Leopold auch der Meinung, dass die Vermittlung ein ganz zentrales Thema ist, und diesen Vermittlungsversuch macht die Kommission, indem sie sich Bilder ausdenkt. Die mögen mehr oder weniger gelungen sein, aber wir brauchen solche Bilder, gleichzeitig aber wissend, dass es einen zentralen Unterschied zwischen Datenschutz und Privatheit gibt, und den kann man sehr schön am Beispiel Google Street View deutlich machen. Ich habe nie verstanden, wieso man die Auffassung vertreten konnte, Street View sei ein Angriff auf die Privatheit. Es ist aber sehr wohl ein Angriff auf die Selbstbestimmung des Einzelnen, der hinnehmen muss, dass ein international agierender Konzern die Umgebungsdaten, Daten über die Wohnumgebung einzelner Menschen, in eine durchsuchbare Datenbank einstellt, ohne dass dieser einzelne Betroffene irgendeine Chance bisher hatte, daran mitzuwirken oder darauf Einfluss zu nehmen. Das ist ein Unterschied zwischen Datenschutz und Privatheit. Das kann man an solchen Beispielen, denke ich, plastisch machen. Ich verwende andererseits auch mal solche plakativen Bilder, wenn mir der Satz entgegengehalten wird in solchen Gesprächen mit normalen Menschen oder mit Journalisten: »Ich habe nichts zu verbergen. Was sagen Sie denn auf diesen Satz?« Dann zitiere ich einen amerikanischen Journalisten, der darauf erwidert hat: »Wer solche Sätze von sich gibt, der hat noch nicht viel vom Leben gehabt.« Erste mögliche Antwort. Oder die zweite Antwort: »Haben Sie eigentlich bei sich zu Hause keine Tür vor der Toilette?« Das sind auch natürlich plakative Bilder, aber nur so kann man auch das rüberbringen, worum es geht. Das ist alles, wenn es um das Bundesdatenschutzgesetz geht, viel komplizierter und viel detaillierter, bloß so können Sie sich bei den normalen Betroffenen nicht verständlich machen. Das muss man ganz anders machen. Und da muss man unter Umständen wirklich holzschnittartig vorgehen.

[225] Kirsten Bock: Ich hoffe nicht, dass wir so verstanden worden sind. Also natürlich ist es auch unsere Aufgabe, das zu vermitteln. Aber es ist genauso schwierig, wie diese Gesundheitsfragen zu vermitteln. Und wenn wir selbst kein vernünftiges Konzept haben, wenn wir diese Diskussion nicht führen, dann fällt es uns umso schwerer. Und nur das wollten wir eigentlich zum Ausdruck bringen. Deswegen finden wir das so wichtig, dass wir diese Diskussion führen.

[226] Jörg Pohle: Der springende Punkt ist ja nur die Größenordnung. Ich weiß nicht, ob ich mich da jetzt richtig erinnere, aber es hieß in der Presse, ein Unternehmen in Nordrhein-Westfalen müsse damit rechnen, dass die Datenschutzbehörde dort im Durchschnitt alle 40.000 Jahre eine Kontrolle durchführt. Das heißt aber wiederum, dass die Kommunikationen immer an mehrere Adressaten gerichtet ist. Es gibt eine sehr rechtliche Argumentation in Form eines Verwaltungsakts. Man schreibt denen einen langen Brief und da steht drin: »Sehr geehrte Damen und Herren, Sie haben mit folgenden Verarbeitungsweisen gegen folgende Datenschutzregelungen verstoßen. Stellen Sie das ab bis zum Soundsovielten. Mit freundlichen Grüßen, Ihre Datenschutzaufsicht« Und dann folgt noch eine Rechtsbehelfsbelehrung. Gleichzeitig sind aber die Masse der Zielgruppe immer andere, mit denen man nicht so juristisch diskutieren kann, weil sie gerade nicht geprüft wurden. Und denen muss man jetzt im wesentlichen das Gleiche vermitteln, aber völlig anders dargestellt, also in einer anderen Form – nicht als juristischen Text, sondern vielleicht in Bildern. Und diese zweite Kommunikation findet immer statt, und die kann man halt immer auch benutzen, um sie zurückzukoppeln auf das, was man da eigentlich als Konzept dahinter hat. Denn es kann nämlich sein, dass man sich vorstellt, dass man ein gutes Bild hat, um damit etwas darzustellen, und dann kommen ganz viele Fragen auf, und dann stellt man fest, dass man selbst gar keine genaue Vorstellung davon hatte, was dahinter steht. Insofern ist es eigentlich sinnvoll, mit solchen Bildern zu arbeiten, um sich selbst zu hinterfragen auch in Bezug auf die Grundlagen. Und das ist relativ lange nicht gemacht worden.

[227] Martin Rost: Genau.

[228] Alexander Dix: Ich wollte auch die Debatte über die Begriffe in keiner Weise jetzt wieder entwerten oder für überflüssig erklären. Aber um auf Ihren Beitrag noch etwas zu sagen: Man darf sich auch die Durchsetzung von Datenschutz nicht so statisch vorstellen. Wie oft kommen Aufsichtsbehörden in ihrer gegenwärtigen Ausstattung überhaupt dazu, systematisch die Datenverarbeitung zu überprüfen. Das ist verschwindend, viel zu selten, unbestritten, aber: Durchsetzung von Datenschutz passiert auch durch Beschäftigte, die sich wehren, durch Personalräte, Betriebsräte, die sich wehren, durch Whistleblower, durch Journalisten. Wie wäre es sonst bekannt geworden, dass ein nordrhein-westfälischer Fleischfabrikant, der außerdem noch eine tragende Rolle bei Schalke 04 spielt, seine ausländischen Arbeiterinnen im Umkleideraum gefilmt hat? Und daraufhin ist die nordrhein-westfälische Aufsichtsbehörde tätig geworden und hat dem ein Bußgeld aufgedrückt. Ob das nun hoch genug war, ist eine andere Diskussion. Aber Aufsichtsbehörden sind nicht in der Lage, ständig von Amts wegen präsent zu sein, aber sie werden tätig, wenn andere Leute sie darauf stoßen – sie müssen auch angestoßen werden, ihnen muss Druck gemacht werden. So kann Datenschutz besser funktionieren, wenn mehr und mehr Betroffene wissen, sie müssen sich nicht alles gefallen lassen oder Journalisten Informationen bekommen, die sie auch mal an die Öffentlichkeit tragen können. Ich will jetzt nicht die Aufsichtsbehörden aus dem Fokus der Kritik nehmen – das wäre falsch –, aber sie sind nicht die einzigen, die für die Durchsetzung von Datenschutz zuständig sind.

[229] Seda Gürses: Um da noch einmal zu dem Argument zu kommen, dass es da eine Akzeptanz gibt. Also ich glaube, ich bin damit nicht so ganz einverstanden. Also zum Beispiel für mich war es eigentlich ein Fortschritt, dass die Leute Facebook benutzt haben im Vergleich zu Webmail. Bei Webmail haben sie viel mehr Daten hergegeben an große Konzerne. Die Nutzer haben das aber eigentlich als vertraulich betrachtet, einfach aus dem Grund, weil nur sie Zugang zu ihren Daten hatten. Und ich denke schon, dass da Facebook sehr transparent gemacht hat – Transparenz ist ja auch ein Schutzziel –, wie weit Daten gesammelt werden. Ich mache das ein bisschen provokativ jetzt, aber das ist auch wichtig, glaube ich. In dem Sinne ist Facebook eines der größten Bildungswerkzeuge für Datenschutz der letzten Jahrhunderte. Nein, es ist wirklich überzogen, das ist mir klar. Aber es ist eine Tatsache: So viel privacy und Datenschutz wurde nie davor diskutiert. Nie. Wir haben endlich einmal jemanden, der subject access rights endlich einmal ordentlich benutzt hat, das heißt »Europe vs. Facebook«. Davor war es ein kleines, pingeliges Ding, dass man einfach versucht hat zu benutzen, und da bekam man dann ein kleines bisschen Daten, und es war irgendwie weder hilfreich noch spannend. Und »Europe vs. Facebook« hat es auf tausende übertragen. Also, das ist das Erste. Und das Zweite ist, dass wir viel von den Nutzern oder den citizens erwarten, um ihre Daten zu schützen, wenn sie der Organisation gegenüber stehen. Und in einer Art und Weise legen wir doppelte Verantwortung auf ihre Schultern, weil die Organisationen ja bereit sind zu sagen: »Bitte gib acht auf Deine Daten. Das ist nicht unser Problem.« Facebook sagt das und Google sagt das auch in ihren privacy policies. Und der Datenschutz sagt das vielleicht auch: »Du solltest Dich schützen. Du solltest verstehen. Hier ist ein Film. Du sollst jetzt aufpassen. Und hier ist, wie das geht.« Und ich denke, da müssen wir wirklich zurück auf die Organisation gehen und schauen, wie die sich verbessern können und müssen. Und nicht nur auf die Nutzer. Und noch etwas zu den Nutzern: Die sind nicht alle gleich. Und das habe ich auch versucht, in dem Papier herauszuarbeiten. Es gibt Nutzer, die diese Werkzeuge, die eventuell ganz schlimm sind, sehr taktisch benutzen. Die Situation von Migranten und Datenbanken in Europa ist eine Katastrophe – diese Menschen würde ich nicht Nutzer nennen. Ich weiß nicht, ob das data subject ein citizen sein muss oder ob Datenschutz auch für Leute gilt, die keine citizens sind. Und wie deren Rechte dann gehen.

[230] Alexander Dix: Datenschutz ist ein Menschenrecht.

[231] Seda Gürses: Ja. Wer ist Mensch? Also wir sind in einer Situation, wo viele Leute keine legalen Rechte haben. Und die sind diejenigen, die extrem überwacht werden. Und ich frage mich, ob es manchmal nicht ein Mechanismus ist, der diese Situation versteckt, wenn wir von allen Nutzern gleich und Organisationen als akzeptierend oder mitmachend reden. Ich glaube, das passt einfach nicht so gut manchmal.

[232] Martin Rost: Ich springe jetzt nicht billig auf die Facebook-Provokation an, sondern frage freundlich: Was folgt denn daraus, dass privacy überhaupt thematisiert wird? Was ich spüre, ist: »Privacy, get over it.«, »Vergiss privacy!« Dann nehmen wir noch eine privacy-Spackeria hinzu, die in einem sehr autoritären Gestus, wie Herr Dix es bereits zutreffend kommentierte, paternalistisch überheblich der Welt erklärt: »Lass das mit Privacy sein. Gib das auf. Das ist ein veraltetes Konzept.« Das heißt, ich sehe nicht, dass durch den Diskurs tatsächlich jetzt mehr Datenschutz entsteht. Es wird darüber halt etwas »gebrabbelt«. Aber was heißt das Gebrabbel für die Konzepte gegen die notorisch »imperialistischen«, die zur Nutzung der Machtasymmetrie verführten Organisationen? Ich würde sagen: Nichts heißt das. Im Gegenteil, das Thema Datenschutz fällt hinten runter. Dann das nächste Thema: Datenschutz ist Menschenrecht. In Afrika hat man das Problem nicht. Datenschutz hat man auch nicht in China, völlig klar. Datenschutz haben nur moderne Gesellschaften, die tatsächlich leidlich einen Markt, Gewaltenteilung usw. ausgebildet haben.

[233] Andrea Knaut: Wir sind also die moderne Gesellschaft?

[234] Martin Rost: Moderne Gesellschaft meint die, die funktional differenziert ist. Wo man ein Rechtsurteil nicht kaufen kann. Oder wenn das passiert, dass das als Pathologie auch identifiziert wird: »Das geht so nicht.« Oder dass man Stimmen kauft zur Wahl. Das kann hier auch in Deutschland passieren, klar, aber hier kann man aussichtsreich feststellen: »Das geht so nicht. Das ist falsch.« In Afrika sind solche Übergriffe vermutlich an der Tagesordnung.

[235] Seda Gürses: Ich würde auch um Vorsicht bitten, Datenschutz oder irgendwelche Gesetze als einzigen Parameter zu nehmen, dass eine Gesellschaft westlich ist oder nicht. Ich meine, es gibt schon sehr bekannte Probleme mit Daten oder mit Datenschutz, nicht immer auf der digitalen Ebene.

[236] Martin Rost: Das mache ich überhaupt nicht. Sondern ich sage, dass nur moderne Gesellschaften ein Datenschutzproblem generieren, was nicht-moderne, nicht-funktional-differenzierte Gesellschaften so nicht haben. Wir haben auch in Afghanistan kein Datenschutzproblem.

[237] Seda Gürses: Das stimmt nicht! Viele Überwachungswerkzeuge, die jetzt entwickelt werden, werden erst in Afghanistan ausprobiert. Wir haben ein Riesenproblem dort.

[238] Martin Rost: Wir haben ein Überwachungsproblem. Und dass Überwachungstechnik dort entwickelt werden kann, passiert deshalb, weil Afghanistan noch nicht in der Moderne angekommen ist. Deswegen geht das dort. Und das Problem kann dort noch nicht im Datenschutzdiskurs innerhalb Afghanistans thematisiert werden als ein Bürgerrecht und Menschenrecht. In modernen Gesellschaften wäre das eben nicht mehr möglich.

[240] Andrea Knaut: Man kann es ja auch ganz anders herum sehen. Man kann auch sagen: Aus den vermeintlich modernen Gesellschaften wird diese Überwachungstechnologie erst dorthin exportiert.

[241] Seda Gürses: Ja. Und ist es modern, Überwachung zu machen?

[242] Martin Rost: Nein, das sage ich doch auch gar nicht. Ich frage: Wo entsteht Datenschutz? Unter welchen strukturellen Bedingungen entsteht Datenschutz? Datenschutz ist nicht in Asien entstanden. Der entstand auch nicht in Russland, Polen... Wenn ich mir das ansehe, was aus den Twinning-Projekten der EU zu lernen ist. Dort kennt man keine bürgerliche Aufsässigkeit, wie er sich im Datenschutz ausdrückt, historisch, in Estland, Litauen, das haben die nicht. Und entsprechend relativ schlecht ist dort das Datenschutzniveau, was ich so mitbekomme. Ob sich das in den letzten zwei Jahren vielleicht geändert hat, kann ich nicht sagen. Das, was ich aber beobachte: Es ist eine ganz andere Kultur, in der Datenschutz noch immer nicht richtig angekommen ist.

[243] Seda Gürses: Also, ich bin damit einverstanden zu sagen: Vielleicht haben sie andere Prioritäten. Aber ich würde jetzt nicht irgendwie »modern« oder »nicht-modern« verwenden.

[244] Martin Rost: Ich rede davon: Wo gibt es Märkte? Wo gibt es Gewaltenteilung? Wo gibt es Demokratie? Wo gibt es freie Diskurse? Dort, wo es das gibt, da ist der soziologische Begriff: funktionale Differenzierung. Und nur dort entsteht die ganze Datenschutzproblematik, die Menschenrechtsproblematik, die Bürgerrechtsproblematik. Das sage ich. Ich sage doch nicht, dass Überwachung modern ist.

[245] Wolfgang Zimmermann: Martin Rost – an dieser Stelle sieht man jetzt ganz deutlich, wie gefährlich es ist, für den Begriff der funktionalen Differenzierung einen Kurzbezeichnung zu verwenden, der interkulturell missverständlich ist. Was Sie sagen wollen, ist: »funktional differenzierte Gesellschaft«, und weil Ihnen das zu lang ist, sagen Sie: »modern«.

[246] Martin Rost: Luhmann sagt auch »modern«. OK, aber es ist ein Fehler. Ich habe gelernt: Es ist ein Fehler.

[247] Wolfgang Zimmermann: Es ist ein gravierender Fehler, weil man zunächst einmal so tut, als gebe es eine lineare historische Entwicklung, an deren einen Ende die einen Leute im Baströckchen herumlaufen und rückständig sind, – und die anderen Leute – das sind die im Westen –, die sind modern.

[248] Martin Rost: Das meinte ich nicht.

[249] Wolfgang Zimmermann: Das weiß ich ja. Aber das, was Sie gerade in dieser Kommunikation gesehen haben, das doch macht ganz deutlich, wie gefährlich es ist, von »modern« zu sprechen. Weil es den Weg zu den Bündnissen verstellt, die wir bei der Vertretung bürgergesellschaftlicher Interessen interkulturell brauchen. »Modern«, diesen Luhmann‘schen Begriff muss man ablösen. Und ich frage jetzt in die Runde: Wie heißt das dann besser? Und ich schlage vor, das Gemeinte nicht „modern“ sondern »bürgerrechtlich« – zu nennen. »Bürgerrechtlich verfasste Gesellschaft«, – wahrscheinlich ist das richtig. Aber jedenfalls in der Tat, das ist ein wichtiger Hinweis. Es nicht um Modernität.

[250] Seda Gürses: Aber vielleicht können wir trotzdem dabei bleiben, dass es sozusagen Teile der Gesellschaften gibt – in jeder Gesellschaft –, die vielleicht mehr betroffen sind von dieser ganzen Überwachung. Ich glaube auch, dass viele Leute mit Ihnen übereinstimmen, dass der moderne Staat und Überwachung zum Beispiel Hand in Hand gehen. Das ist genau die Theorie von David Lyon und den surveillance studies. Ja, gerne ein Argument dagegen, aber der Grund, warum ich diese Facebook-Geschichte auch angeführt habe, war, weil ich glaube, wir möchten – wie Andrea Knaut gesagt hat – nicht irgendwie die Besserwisser spielen, aber wie auch bei der Gesundheitsdiskussion glaube ich, dass – genauso wie diese liberalen Subjekte immer auf ihre Gesundheit aufpassen müssen – sie jetzt auch noch auf ihre Daten aufpassen müssen. Ich glaube, dieses Bild müssen wir sehr vorsichtig betrachten. Und ich denke auch, dass Organisationen nicht immer diese klare Schwarz-Weiß-Bild haben, und dass diese Organisationen manchmal eine Abhängigkeit schaffen, mit der diese Leute arbeiten oder irgendwie leben müssen. Und ich frage mich, wie wir differenziert da herangehen können.

[251] Kai von Lewinski: Ohne einem nächsten Thema vorgreifen zu wollen: Gerade, wenn wir davon ausgehen, dass es unterschiedliche Sichtweisen und Präferenzen gibt, dann ist natürlich problematisch, wenn der Staat oder die Aufsichtsbehörden oder wer auch immer sich dazu berufen fühlt, irgendeine bestimmte Haltung oder auch nur ein bestimmtes Problembewusstsein in die Welt zu tragen. Ich sage nicht, dass es nicht im konkreten Fall nicht so sein soll. Ich weise nur darauf hin, dass es problematisch ist, ein bestimmtes Bild, eine bestimmte Haltung oder eine bestimmte Problemperspektive zu propagieren, was ja immer auch ein Für-richtig- und Für-falsch-Halten – hoheitlich unterfüttert – enthalten kann, wenn wir Unterschiedlichkeit und Pluralität in der Gesellschaft annehmen und wollen. Also: Mit welcher Berechtigung kann man Datenschutz oder eine bestimmte Haltung zum Umgang mit personenbezogenen Daten in die Gesellschaft hinaustragen, wenn wir davon ausgehen – wieder so ein altes liberales Postulat –, dass das Volk den Staat zu bestimmen hat und nicht der Staat das Volk.

[252] Joris van Hoboken: I just wanted to intervene on the subject of »How to fit in the data subject, or the citizen, or the user?«, because I really believe this is one of the biggest issues that is there. There is currently an ongoing debate about a revision of data protection through a new Regulation at the European level. I am on the board of an organization »Bits of Freedom«, which got into the news beginning last week because it was effective with proposing some language into amendments in the Albrecht Report. Member of Parliament Alvaro is trying to kind of make a bad figure out of Albrecht: »He is too close to civil society and he is working too closely with some of these groups.« But how I perceived the situation from the perspective of civil society is that there is a huge gap between what »Bits of Freedom« is trying to do at the European level and getting people that are following us to understand or to value the work that we‘re doing on data protection. Of a lot of the things that we‘re doing we manage very well to have that connection—on issues like net neutrality, on extreme measures to enforce copyright and ACTA. And on data protection there is a real issue there. And I think there is a real danger that data protection becomes more and more »this legal system«, »this administrative system« where government agencies and companies, big organizations and public authorities are keeping themselves very, very busy and are using all sorts of projections of the citizen, of the data subject to legitimize the way they organize matters and society through data flows. You can draw a parallel with the television viewer in media law where also this idea of the citizen is informing regulation—but like what is the reality there? And I think data protection is very much doing the same at the moment. And I think one of the biggest problems at the moment is actually that Reding is politicizing actually in a way that she tries to bring it close to people. She is proposing all sorts of very nice things like »the right to be forgotten«—everybody wants that but they are not getting anything, you can just look at the regulation. We gonna have something you can use against decisions based on profiling, and it‘s ridiculously full of exceptions. They are promising people more control over their data which is by itself a very problematic idea by now in our societies—it is assuming that it is tenable for people to be in control over their data—What kind of decision making do you expect from individuals? Basically, we are using already an idea of the data subject that is not real, that is not tenable. And there is already a huge disconnect. Maybe one can manage to make a lot of people demand that they want more control over their data but where does that bring us? I am having internal discussions about this within civil society because I think it is really difficult to find the right way to politicize on this regulation and answer the questions of how is this actually going to help people on these matters? Just some thoughts.

[253] Jörg Pohle: Das ist ja fast ein Abschlusswort!

[254] Andrea Knaut: Wir nehmen es als Abschlusswort.

[255] Jörg Pohle: Vielen Dank für die sehr produktive Diskussion.

Fußnoten

1 Bis auf einen sind alle Beiträge aus dem Vorbereitungsreader im vorliegenden Tagungsband abgedruckt.

2 Ich habe stellenweise stark in die Mitschrift meines Vortrags eingegriffen, nicht, um zu verwischen, wie schlecht meine Grammatik in einer freien Rede ist – sie ist eine Zumutung –, sondern weil mir daran gelegen sein muss, dass meine Argumentation verständlich ist. Der Text gibt insofern Sätze in einer Form wieder, die ich mit mehr Bedacht, wie es beim Schreiben möglich ist, gern gewählt hätte.

3 Bock, Kirsten; Meissner, Sebastian: Datenschutz-Schutzziele im Recht, in: 36 Datenschutz und Datensicherheit (2012), S. 425–431.

4 Rössler, Beate: Der Wert des Privaten. Frankfurt am Main: Suhrkamp Verlag, 2001.

5 Siehe Tabelle auf Seite 62 f.

6 »[...] entre le fort et le faible, entre le riche et le pauvre, entre le maître et le serviteur c‘est la liberté qui opprime et la loi qui affranchit.« Jean Baptiste Henri Lacordaire: Conférences de Notre-Dame de Paris, Band 3: 1848–1850, herausgegeben von Ambroise Bray, Paris, 1855. S. 246.

7 Trusted Computer System Evaluation Criteria (TCSEC), 1983, 1985, das sogenannte »Orange Book«.

8 Also nicht relational data oder joint data, die ebenfalls Privacy-relevant sein können und wofür die Datenschutz-Schutzziele zum Einsatz kommen können.

9 Hansen, Marit: Linkage Control – Integrating the Essence of Privacy Protection into IMS. In: Proc. eChallenges 2008, S. 1585–1592.

10 Solove, Daniel J.: A Taxonomy of Privacy? In: 154 University of Pennsylvania Law Review (2006), S. 477–560.

Transkription, Tag 2, 16.02.2013

[1] Jörg Pohle: Ich begrüße Sie zum zweiten Tag unseres Workshops »Geschichte und Theorie des Datenschutzes«. Wir werden jetzt zwei Impulsreferate hören – einmal von Alexander Dix zu »Datenschutz und Informationsfreiheit als Teil der Informationsökologie des 21. Jahrhunderts« und zum anderen von Marit Hansen zum Thema »Hemmnisse für Privacy by Design«. Ich wünsche uns weiterhin einen erfolgreichen Workshop und übergebe jetzt das Wort an Alexander Dix.

Alexander Dix

»Datenschutz und Informationsfreiheit als Teil der Informationsökologie des 21. Jahrhunderts«

[2] Einen Guten Morgen auch von meiner Seite. Zunächst einmal herzlichen Dank für die Einladung zu diesem Workshop. Ich kann die Veranstalter nur beglückwünschen zu dieser Form des interdisziplinären Austausches. Ich habe das immer vermisst – eine inhaltliche Diskussion zwischen Informatikern, Juristen und Sozialwissenschaftlern, und möglicherweise muss man noch an ganz andere Disziplinen denken. Und noch eine weitere Vorbemerkung vielleicht, eine persönliche: Ich erinnere mich an eine heftige Diskussion in einer Referendar-Arbeitsgemeinschaft in meiner Ausbildung als Referendar, wo über das Verhältnis zwischen Sozialwissenschaften und Juristerei gesprochen wurde, und Sozialwissenschaftler und Juristen in einen heftigen Streit darüber gerieten, was sie eigentlich meinten – sie konnten sich nicht darüber verständigen, was eigentlich Sozialwissenschaftler und Juristen tun. Die Juristen warfen den Sozialwissenschaftlern meistens vor, dass sie bestehende Verhältnisse beschreiben und gut finden, und Sozialwissenschaftler warfen den Juristen vor, Sollenssätze und Rechtsnormen so zu formulieren, als würden sie schon der Wirklichkeit entsprechen. Also das beschreibt vielleicht das grundsätzliche Missverständnis zwischen diesen beiden Disziplinen. Und wenn ich etwas pathetisch diese Überschrift formuliert habe: »Datenschutz und Informationsfreiheit als Teil der Informationsökologie des 21. Jahrhunderts«, dann ist das natürlich ein Sollenssatz. Das ist eine Norm. Dahin, meine ich, sollte Gesellschaft sich entwickeln. Da sind wir noch nicht. Aber das ist eine typisch juristische Aussage. Primär ist mein Zugriff ein juristischer und kein sozialwissenschaftlicher, unter Umständen auch ein rechtspolitischer, aber all dies ist wichtig für unsere heutige Diskussion.

[3] Ich will den Rückblick weglassen, wie Datenschutz- und Informationsfreiheitsgesetze sich entwickelt haben – das ist auch alles bekannt. Ich habe eine kritische Bemerkung zur Post-Privacy-Bewegung vorangestellt. Ich glaube, da ist unter den Diskutanten hier auch vermutlich weitgehende Übereinstimmung. Ich will das offen sagen, ich habe auch große Sympathie für die Post-Privacy-Bewegung, soweit sie von einer Utopie der diskriminierungsfreien Gesellschaft träumt. Möglicherweise ist in einer solchen Gesellschaft, in der Menschen aufgrund von Informationen nicht mehr unterschiedlich behandelt werden, möglicherweise kein Platz mehr für Datenschutz. Ich bin da aber sehr vorsichtig, weil es auch in einer solchen, noch nicht existenten diskriminierungsfreien Gesellschaft ein legitimes Bedürfnis nach Geheimhaltung gibt. Selbst wenn der Betreffende nicht mehr fürchten muss, benachteiligt zu werden, hat er vielleicht trotzdem, aus welchen Gründen auch immer, das Bedürfnis, bestimmte Dinge über seine Person nicht offen zu Markte zu tragen.

[4] Das Entscheidende ist aber, denke ich, wenn wir uns über Datenschutz verständigen, im Moment natürlich: Wie soll der Rechtsrahmen für den Datenschutz im 21. Jahrhundert aussehen? Oder jedenfalls für eine erste Phase in diesem Jahrhundert – man muss ja vorsichtig sein mit zeitlichen Horizonten angesichts der dramatischen Entwicklung der Technologie. Und genau das ist im Moment das Thema, das die Europäische Kommission mit ihrem Vorschlag für eine Grundverordnung angefasst hat. Das ist außerordentlich verdienstvoll, weil die nationalen Regierungen, zuvorderst die deutsche Regierung, mehrere Bundesregierungen. nicht in der Lage waren, das Projekt der Weiterentwicklung des Datenschutzes hin zu einem modernen Regelungskonzept aufzugreifen. Diese Chance besteht jetzt. Ob sie genutzt wird, ist noch offen. Es gibt bestimmte Kernelemente des geltenden Datenschutzrechts, die nicht über Bord geworfen werden sollten, auch wenn bestimmte starke wirtschaftliche Interessen das gerne so hätten.

[5] Dazu gehört der Grundsatz der Datenminimierung. Und da erlaube ich mir noch eine Bemerkung zu dem, was Seda Gürses gestern gesagt hat. Sie hat gesagt, das Konzept der Datenminimierung, wenn ich sie richtig verstanden habe, komme ihr zu »analog« vor. Das ist interessant. Ich würde trotzdem darauf insistieren, dass jedenfalls der weitgehende Verzicht oder die Minimierung der Verarbeitung von personenbezogenen Daten ein rechtliches Ziel ist, das weiter aufrechterhalten werden sollte. Man sollte das durchaus kombinieren mit weiteren intelligenten Anforderungen wie dem Verzicht auf Zentralisierung, so wie Seda Gürses das auch gesagt hat, mit »magischen« technischen Lösungen wie ihr Konzept der Autobahnmaut – das sind alles richtige Ideen; wobei ich als Jurist, auch das sage ich hier wiederum, eine gewisse Skepsis habe, wenn ich – obwohl auch das ein verlockender Gedanke ist – von dem »Datenschutz-Knopf« am Computer höre, auf den man nur zu drücken brauchte, um dann die Probleme zu lösen. Den gibt es natürlich nicht. Trotzdem brauchen wir immer mehr Datenschutz auch »in unserer Tastatur«. Es muss »Knöpfe« geben, die auch im Hinblick auf Datenschutz hin konzipiert worden sind, um es jetzt einmal stark vereinfachend auszudrücken.

[6] Es gibt allerdings auch Schwächen in dem Kommissionsvorschlag – das ist schon angesprochen worden. Ich verweise insbesondere auf den Aufruf der sechs Professoren, der in der »ZEIT« in dieser Woche veröffentlicht worden ist, in dem die Professoren Oliver Günther, Kai Ranneberg, Alexander Roßnagel, Sarah Spiekermann und Michael Waidner bestimmte Forderungen formuliert haben.1 Dazu gehört auch, dass man den Begriff des Personenbezugs kritisch hinterfragen muss. Man kann sich nicht mehr darauf beschränken, direkt personenbezogene Daten zu schützen. Die Position, anonyme oder pseudonyme Daten aus dem Anwendungsbereich des Datenschutzes auszunehmen, ist überholt. Es ist heute gefährlich anzunehmen, dass die Verarbeitung anonymer oder verschlüsselter Daten generell unkritisch sei. Vielmehr muss das Konzept des Personenbezuges ausgeweitet werden. Da hat übrigens die amerikanische Federal Trade Commission in einem Vorschlag schon im vergangenen Jahr die Forderung aufgestellt, auch Maschinenadressen im Zeitalter des Ubiquitous Computing in den Anwendungsbereich des Datenschutzrechts oder eines vergleichbaren Rechtsrahmens aufzunehmen. In einer Zeit, wo immer mehr Gegenstände des alltäglichen Gebrauchs im Internet adressierbar werden, und sie zugleich auch im Verhältnis zu Einzelpersonen stehen, ist es offenkundig, dass auch Maschinenadressen, IP-Adressen oder andere Formen der Adressierung Regelungsgegenstand von Datenschutzrecht sein müssen.

[7] Andererseits – und auch da eine kritische Nachbemerkung, da ich gestern nicht vollständig bei der Diskussion sein konnte – ist auch das Verhältnis zwischen Privatpersonen interessant für den Datenschutz. Gestern war die Rede davon – möglicherweise vereinfache ich das jetzt aber zu stark oder habe es nicht vollständig mitbekommen – es gehe nicht nur um Machtgefälle zwischen Organisationen und Einzelpersonen. Es kann auch Machtasymmetrien zwischen einzelnen Privatpersonen geben. Die Frage ist nur: Wie geht das Datenschutzrecht damit um? Das ist die Diskussion um die so genannte »Household Exemption« oder die Frage, inwieweit einzelne Nutzer von Sozialen Netzwerken unter bestimmten Umständen, nämlich abhängig von der Art und Weise, wie sie diese Netzwerke nutzen, auch in die Pflicht genommen werden können, ob das realistisch und ob es notwendig ist – aber ich würde es für zu kurz gegriffen ansehen, wenn man den Datenschutz nur auf das Verhältnis zwischen Staat und Bürger einerseits – unstreitig, ein wichtiges Thema – und mächtigen Organisationen, wirtschaftlichen Organisationen, Kunden, Arbeitnehmern auf der anderen Seite beschränken würde. Es muss auch die Frage angesprochen werden: Was muss ein Einzelner, der personenbezogene Daten über andere sammelt, ins Netz stellt, ungefragt veröffentlicht, welche Anforderungen muss der erfüllen? Das müssen unter Umständen nicht die gleichen hohen Anforderungen sein, die Google, Facebook und Amazon befolgen müssen, aber dieses Thema, diese Situation sollte man nicht ganz ausklammern, weil aus der Sicht des Betroffenen – der Person, deren Daten verarbeitet werden – der Rechtseingriff, die Freiheitsbeschränkung unter Umständen aufs Gleiche hinauslaufen kann. Unter Umständen, sage ich, da muss sehr vorsichtig differenziert werden. Ein modernes Datenschutzrecht muss aus meiner Sicht auch über den Einzelnen hinausgehen. Das ist jetzt eine Idee, die noch sehr unfertig ist, aber ich denke, man muss auch über Gruppendiskriminierung nachdenken. Da geht es jetzt nicht mehr um die Rechte Einzelner, sondern um die Einordnung von Personen in Kategorien, und damit aber auch unter Umständen die Verkürzung von Entfaltungschancen, von Lebenschancen, weil jemand einer bestimmten Gruppe zugerechnet wird – ob zu Unrecht oder zu Recht, sei mal dahin gestellt. Aber auch dieser Gedanke müsste im Grunde angesprochen werden, wie überhaupt das Verhältnis zwischen Datenschutz und Diskriminierungsschutz stärker in den Blick kommen sollte.

[8] Zu Privacy by Design sage ich jetzt nichts, dazu sagt Marit Hansen gleich sehr viel mehr. Vielleicht nur eine Bemerkung: Was man unter Umständen aus rechtlicher Sicht, aus juristischer Sicht tun könnte, um Privacy by Design stärker voran zu bringen, das erfordert auch von den Juristen oder von den Experten im Datenschutzrecht einen Blick über den Tellerrand: Man muss auch über Wettbewerbsrecht, man muss über Kartellrecht nachdenken. Die Franzosen denken über Steuerrecht nach. Sie denken darüber nach, Google zu besteuern für die Sammlung von Kundendaten. Das ist eine Idee, die ich vom Berliner Justizsenator auch schon einmal gehört habe – im Verhältnis zu Facebook, immerhin war er mal Facebook-Anteilseigner, fand ich das ganz erstaunlich. Aber er fand das nicht abwegig. Sobald man überhaupt die Idee in den Raum werfen würde, Facebook für sein Vorgehen zu besteuern, würden da vielleicht gleich einige unternehmerische Entscheidungen etwas anders getroffen. Wenn der europäische Gesetzgeber zu dem Ergebnis kommt, dass hier Begrenzungen eingezogen werden müssen, dann muss er über das Datenschutzrecht auch hinaus gehen und zu anderen Mitteln greifen, die durchaus vorhanden sind. Eine Bemerkung zur Portabilität. Da unterstütze ich sehr das, was Gerrit Hornung entwickelt hat: Der Gedanke Portabilität, Datenübertragbarkeit ist richtig. Ich finde den Vorschlag der Kommission vernünftig, aber er ist unvollständig. Er muss ergänzt werden um die Verpflichtung von Anbietern jedenfalls Sozialer Netzwerke, offene Schnittstellen zu schaffen, damit jemand, der ein Soziales Netzwerk verlässt, um zu einem anderen Netzwerk umzuziehen, auch mit seinen bisherigen Freunden in dem alten Netzwerk kommunizieren kann. Das erfordert eine Öffnung, und das ist gleichzeitig auch ein Beitrag gegen die Monopolisierung solcher Netzwerke und für besseren Wettbewerb zwischen den Anbietern solcher Plattformen.

[9] Zur Informationsfreiheit nur soviel: Ich meine, der Gedanke des Privacy by Design muss auch auf die Informationsfreiheit übertragen werden. Man muss auch über die informationszugangsfreundliche Gestaltung von Informationssammlungen nachdenken. Wie können Datenbanken so organisiert werden, dass eine unproblematische und gefährdungsfreie Veröffentlichung von Datensammlungen oder die Zugänglichkeit von Datensammlungen erleichtert werden. Auch das ist ein Gedanke, der mir bisher noch zu kurz gekommen ist. Und schließlich das Problem der Datenmaximierung, die natürlich im Moment Realität ist – das bestreite ich überhaupt nicht. Wir leben in einer Welt, in der Datenmaximierung vorherrscht, und in der Geschäftsmodelle noch immer auf der informationellen Fremdbestimmung basieren. Ich vertrete nur die These, dass das langfristig keine Perspektive haben wird. Geschäftsmodelle, die so organisiert sind, werden langfristig keinen Erfolg haben. Aber Datenmaximierung hat auch noch aus einem anderen Grunde negative Konsequenzen – sowohl im Datenschutzrecht wie im Informationszugangsrecht. Datenschutzrechtlich werden Einwilligungen unmöglich gemacht, die tragfähig sind, wenn man Betroffene überschüttet mit Informationen – offensichtlich, wenn Sie sich die Textwüsten heute im Internet anschauen bei AGBs oder so. Das ist also für Otto-Normalverbraucher, aber auch für juristisch Belesene ermüdend und unsinnig, so eine Einwilligung einholen zu wollen. Da muss man über kreative und intelligente Alternativen nachdenken. Da komme ich zu den Bildern, über die gestern auch gesprochen worden ist. Es gibt durchaus intelligente Formen: Die VZ-Netzwerke in Berlin, die heißen inzwischen anders, poolworks, haben durchaus intelligente Formen der Information von Jugendlichen entwickelt, wie man über kurze Video-Clips Transparenz darüber herstellt, was eigentlich im Hintergrund eines solchen Netzwerkes passiert. Das mag alles stark vereinfachend und vielleicht auch kindisch oder spielerisch sein, aber es führt zu Erkenntnisfortschritten, die mehr bringen als das Zuschütten mit Textbestandteilen. Auch beim Informationszugang ist natürlich klar, dass man als öffentliche Stelle zum Beispiel Menschen mit Informationen überhäufen kann. Das führt zum »information overkill« und gerade zum Gegenteil von Transparenz. Indem man ein Übermaß von Informationen zugänglich macht, kann man auch für »Exformation« sorgen und »Information« dadurch konterkarieren. Letztlich meine ich aber, dass Datenschutz und Informationsfreiheit sich langfristig durchsetzen werden und dafür sollten alle beteiligten Fachrichtungen und Wissenschaften arbeiten und dafür ist aber auch ein viel intensiverer Austausch nötig. So wie er hier stattfindet, würde ich mir das sehr viel intensiver auch in der Zukunft wünschen. Herzlichen Dank.

Marit Hansen

»Hemmnisse für Privacy by Design«

[10] Vielen Dank für die ganze Organisation dieser Veranstaltung. Mein Name ist Marit Hansen. Ich brauche immer mal Tee, damit meine Stimme noch funktioniert. Außerdem dürfen alle gerne nachher viel diskutieren, damit nicht die beiden Datenschutzvertreter der Aufsichtsbehörden alleine sind.

[11] Ich bin hier nicht als stellvertretende Datenschutzbeauftragte und in diesem Impulsvortrag auch nicht so optimistisch, wie ich sonst meist auftrete – dies aber nur, um mal zu sehen: Was ist denn, wenn wir das ganze System ein bisschen herausfordern? Was muss man noch mehr machen?

[12] Ich denke, es ist schon ganz viel erreicht worden, und ich bin auch immer wieder gerne beim Arbeiten. Das ist etwas, was viel Spaß macht. Trotzdem bin ich ein bisschen enttäuscht im Rückblick über die letzten 18 Jahre, die ich dabei bin, was passiert ist im Bereich Technik und Informatik. Dass wir zusammensitzen und interdisziplinär diskutieren, ist ja schon gut, aber natürlich gab es auch so etwas schon früher. Bloß, wohin führt es eigentlich?

Folie 1

[13] Ich habe mein Thema mal erweitert (Folie 1), weil ich doch hauptsächlich jetzt über die Privacy-Enhancing Technologies spreche, und nicht so sehr über Privacy by Design – Privacy-Enhancing Technologies als ein Modul von Privacy by Design.

Folie 2

[14] Der Begriff ist ja schon seit Jahrzehnten diskutiert, oder ganz viele Begriffe sind diskutiert – ich habe es hier auf der Folie (Folie 2) Privacy Technology genannt –, und es ist, glaube ich, auch unstrittig, dass Technik alleine die Privacy-Probleme nicht lösen kann.

[15] Als Instrument zur Ergänzung von dem, was wir sowieso auch noch alles brauchen – das müssen wir dann noch mal auf den Tisch legen –, ist Privacy Technology durchaus eine Möglichkeit. Es wurden dann besonders Ende der 90er Jahre viele Begriffe diskutiert. »Privacy-Enhancing Technologies« kam etwa 1995 von John Borking auf – also als PETs, etwas Positives. Das dahinterliegende Modell, die niedlichen pets, das schwingt ein bisschen mit. Vielleicht auch die Einwegflaschen...

[16] »Datenschutzfreundliche Technologien« war dann so ein bisschen die – ich finde sie nicht gelungen – Übersetzung ins Deutsche. Wir haben dazu 1997 ein Arbeitspapier erstellt, und das ist eigentlich immer noch der Stand der Aufsichtsbehörden, leider. 1997, 31 Seiten und noch etwas extra für die Telekommunikation. Neulich hat mich ein Kollege gefragt: »Ich brauche gerade einen Überblick über Pseudonymisierungstechniken. Ihr habt doch bestimmt so eine Matrix, wo ich sehe, welches Verfahren welche Eigenschaften besitzt und wie ich das am besten passende Verfahren auswähle.« – Nein, das haben wir nicht. Aber wir können es machen und wir müssen es machen. Ohne, dass man gleich schon dazu schreibt: Das ist die perfekte Lösung für diesen use case. Denn dafür muss man wieder weiter denken. Es reicht nicht, eine blinde Auswahl in einem repository zu treffen.

[17] Weitere Begriffe waren »datenschutzfördernde Technik«, »Systemdatenschutz«, d. h. »Datenschutz eingebaut«, »Selbstdatenschutz« – der Nutzer soll beteiligt werden. Auch das Modernisierungsgutachten 2001 geht von einer Stärkung des Teilnehmers aus, d. h. der Nutzer entwickelt sich zum Teilnehmer. Trotzdem ergibt sich aus der Diskussion, dass, auch wenn viel mehr Teilnehmereigenschaften bei Nutzern vorhanden sind, kein einziges Datenschutzproblem gelöst wird: Die verantwortlichen Stellen haben eigentlich nichts davon, dass sie den Teilnehmer stark machen.

[18] »Mehrseitige Sicherheit« – auch da war die Idee, dass der Teilnehmer selbst bestimmen kann, sich ausdrücken kann – die Idee... alle Interessen der Stakeholder kommen zusammen. Immer noch eine Super-Idee, trotzdem... Und auch die Minimierung des notwendigen Vertrauens wurde da erstmalig so richtig angesprochen: Vertrauen will man minimieren, nicht maximieren, nicht blindes Vertrauen. Diese Diskussionen muss man auch immer wieder von vorne führen. Aber es ist auch unrealistisch zu sagen: Wir überschütten den Nutzer mit Konfigurationsmöglichkeiten, auf Facebook beispielsweise, und der Nutzer kommt damit nicht klar.

Folie 3

[19] »Privacy by Design« kam dann eben als neues Schlagwort auf. All diese Begriffe sind in Nuancen verschieden, aber ich werfe sie hier der Einfachheit halber zusammen. Deswegen definiere ich sie auch nicht (Folie 3). Ein paar Definitionen finden Sie in den Unterlagen.

[20] Ein Problem besteht darin, dass man aus Marketinggründen von Datenschutzseite immer wieder den Anspruch aufstellt: »All without losing functionality. Ihr bekommt alles – und noch Datenschutz drauf! Und macht einfach. Nicht zero-sum, sondern positive-sum.« Das stimmt nicht – jedenfalls nicht immer! Wir haben Geschäftsmodelle, da klappt es nicht, und diese Geschäftsmodelle wollen wir aus Datenschutzsicht auch nicht haben. Wir müssen überlegen, was geht, und wie sehr. Funktionalität kann eventuell erst einmal eingeschränkt zur Verfügung gestellt werden. Die Funktionalität kann vielleicht erweitert werden, wenn die Nutzer warm geworden sind mit dem System, um ihre Selbstbestimmung ausüben zu können. Schutzziele spielen dabei natürlich ebenfalls eine Rolle – das haben wir ja gestern gehört.

[21] Dann kamen also Privacy-Enhancing Technologies. Daran würde ich gerne auch weiterarbeiten – wir sind nicht die ersten, die das denken. Ich glaube, Seda Gürses hatte mich damals auf David J. Phillips gestoßen, der in seinem Artikel von 2004 vier verschiedene Kategorien zu Privacy vorstellt und in allen Bereichen auch Technik-Support sieht. »Privacy policy and PETs« hat er es genannt.2 Da umfasst zum Beispiel die categorization privacy auch die Gruppendiskriminierung, also etwas, das auch schon diskutiert wurde.

Folie 4

[22] Es wurden ins BDSG schon recht früh – nach TMDG oder IuKDG – so etwas wie Gestaltungsideen, also -empfehlungen, eingebracht. Wenn man § 3a BDSG (Folie 4) richtig liest: »Die Systeme sind an dem Ziel auszurichten...« sieht man: Das ist eine Muss-Forderung, eigentlich. Jedoch: Es gibt keine Sanktionen. Es gibt auch wenig Hilfestellung, wie man die gesetzlichen Forderungen genau umsetzen kann. Außerdem ist die verantwortliche Stelle meistens nicht diejenige, die das System wirklich gestaltet – sie kann oft lediglich ein bisschen konfigurieren. Damit läuft § 3a BDSG in der Regel leer. Wir finden in der Praxis eigentlich niemanden, der sagt: »Hey, § 3a BDSG, ich habe das gemacht, meine Konkurrenten nicht.« Wenn doch, dann über Gütesiegel-Audit-Prozesse.

Folie 5

[23] Genau der Punkt der Datenvermeidung wird häufiger aufgegriffen. Ich habe jetzt beispielhaft zwei Publikationen herausgegriffen, die ziemlich neu auf meinen Tisch kamen: Hans Peter Bull, von diesem Jahr schon, »Netzpolitik: Freiheit und Rechtsschutz im Internet«. Hans Peter Bull war der erste Bundesdatenschutzbeauftragte und fühlt sich noch als alter Datenschützer, der nun aber »zum Glück« nicht mehr dieser alten Philosophie anhängt – so klingt es jedenfalls in diesem Buch. Bull sagt dort: »Die Datenschützer – Kulturpessimisten – haben das Prinzip der Datensparsamkeit und Datenvermeidung erfunden, das sogar in das Bundesdatenschutzgesetz (§ 3a) eingefügt worden ist. […] Das ist schlicht anachronistisch und von übermäßiger Angst vor der Technik geprägt.« (Folie 5) Insgesamt meint Bull, man solle einfach alle so viele Daten sammeln lassen, wie es geht – man müsse nachher nur die Auswirkungen beschränken. Das ist aber ein bisschen schwierig an dieser Stelle der Datenverarbeitung.

Folie 6

[24] Und Bull sagt dann auch weiter über Technik (wobei recht wenig Technikdiskussion in diesem 150-Seiten-Dokument vorkommt) zum Beispiel: Selbstbestimmung ist alles Quatsch, denn: »[...] brauche ich nicht einmal auf das Internet mit seinen Untiefen und ›Bermuda-Dreiecken‹ zu verweisen, die nur wenige kennen.« (Folie 6) Ich habe keinen Schimmer, was das bedeuten soll. Wenn das das Niveau der Technikdiskussion ist, dann brauchen wir gar nicht weiter zu reden.

Folie 7

[25] Günter Müller ist ein Informatiker, der sollte das ein bisschen besser draufhaben. Er hat sich aber eher im Wirtschaftsbereich getummelt, auch für eine ganz neue Studie, von September 2012, von acatech. Da wird endlich einmal gesagt, was internet privacy ist – so der Selbstanspruch. Und zusammenfassend: Man findet zum Beispiel das Wort »Anonymität« in diesem Bereich: David Chaum hätte das technisch definiert (Folie 7), die Fußnote verweist auf eine Publikation von 1981. Das Autorenteam um Günter Müller kommt dann aber zu dem Schluss: »Anonymität behindert Interaktion und damit wirtschaftliche Tätigkeit.« Man sieht hier ein Bild: »kein Datenschutz« steht links – »keine Transaktion«, »vollständiger Datenschutz« ist rechts – »keine Transaktion«. Ein sehr einfaches, falsches Bild. Wieder eines der Probleme hier. Chaum hat natürlich – er hat ja tausend Sachen gemacht – insbesondere nicht gesagt: »Man realisiert vollständige Anonymität und nichts geht mehr.« Er hat sich mit den Fragen sehr genau beschäftigt und Vorschläge erarbeitet, wie Anonymität auch in Transaktionen und Interaktionen gewährleistet werden kann. Es ist also unglaublich, dass man solche Sätze hier lesen muss.

[26] Was passiert in der PET-Community?

Folie 9

[27] Ich habe hier das Inhaltsverzeichnis aus den letzten Proceedings des PET-Symposiums (PETS 2012) mitgebracht. Und wenn man dann mal so reinschaut, dann wundert man sich schon (Folie 9).

[28] Also, es sind schon Sachen dabei, die man gebrauchen kann. Ich glaube, keiner, der nicht schon in der Community drinsteckt, bekommt besondere Lust, eines von diesen Papers zu lesen, und er weiß auch nicht, was es mit seinen eigenen Sachen zu tun haben könnte. Alexander Dix hat eben auf das Beispiel mit der Autobahnmaut verwiesen. Er denkt in use cases. Natürlich ist die technische Basis nicht »Autobahnmaut« oder »magic zero knowledge proofs«. Wir wollen verstehen, wie man die Technik, die PET-Verfahren, tatsächlich benutzt. Und da helfen die Papers in den Proceedings fast gar nicht. Hier steht beispielsweise auch nicht der Begriff »Big Data«, sondern im Titel findet man »MapReduce« – jetzt weiß man so ein bisschen, das hängt damit zusammen –, aber es hilft nicht für den umfassenden Ansatz, der nötig wäre. Für die Forschungs-Community ist es in Ordnung, weil die meisten der Autoren – das sind PhD-Studenten oder Doktoranden – in etwa drei Jahren etwas sehr Spezielles erarbeitet haben müssen, was noch keiner vorher getan hat – damit können sie nicht die Weltprobleme lösen. Aber wer macht es denn dann? Wie kriegt man die Forschungsergebnisse überhaupt in die Praxis und in die Aufsichtsbehörden kommuniziert?

[29] Ein paar Beispiele für PETs...

[30] Nutzergesteuertes Identitätenmanagement mit Pseudonymen...

Folie 12

[31] Ein Beispiel, wie man Zero-knowledge-Systeme auch tatsächlich benutzen kann: Normalerweise liegt, wenn wir irgendetwas wie Ausweise oder Berechtigungsnachweise vorzeigen, eine Verkettbarkeit vor – im nachfolgenden Fall sind es Führerschein und Versicherungsnachweis, wobei sowohl Führerscheinstelle als auch Versicherung in der Kommunikation mit Alice stehen. Alice möchte ein Auto haben und muss nachweisen, dass sie einen Führerschein hat und versichert ist, um das Auto zu bekommen (Folie 12). Und dieselben Informationen sind im Hintergrund in den Datenbanken gespeichert und sind verkettbar.

Folie 13

[32] Muss aber nicht so sein. Hier kommen die zero knowledge proofs zum Einsatz, eine Grundlage für die Berechtigungsnachweise, die bei uns attributbasierte Credentials heißen – in dieser Ausweis-Variante. Man kriegt also einen Ausweis, aber nicht für Alice unter ihrem vollständigen Namen und ihrer vollständigen Adresse, sondern eine von ihren digitalen Identitäten (Folie 13). Genauso auch die Versicherung: Man hat also den Nachweis über den Führerschein, gebunden an die Person, und man hat den Nachweis über die Versicherung. Die beiden Informationen sind nicht, wenn man sie übereinanderlegt, technisch verkettbar – man kann nicht sehen, dass die zusammengehören. Aber Alice kann beides vorzeigen – alles mit der »Krypto Magic« –, die Autovermietung bekommt diese Nachweise und händigt Alice einen Schlüssel für das schnelle Auto aus. Doch was passiert, wenn etwas schiefgeht? In diesem Fall ist das Auto leider zu Schrott gefahren, und was muss jetzt getan werden?: Irgendwie müssen die Versicherungsleistungen in Anspruch genommen werden. Das geht natürlich nicht, wenn nur komische digitale Daten vorliegen. In dem System wurde aber dieser mögliche Fall bereits vorbereitet: Es gibt noch eine zusätzliche Instanz. Das heißt, das Bild wird komplexer als vorher. Diese erhöhte Komplexität sorgt dafür, dass die Infrastruktur Unverkettbarkeit bietet.

[33] Mit solchen Systemen zur Datensparsamkeit – zu einer nur im Notfall aufhebbaren Anonymität und Unverkettbarkeit – könnte man alle möglichen Nachweise ersetzen, in denen zurzeit Identitätsdaten wie Vorname, Name, Geburtsdatum, Geburtsort usw. vorkommen. Hätten wir so ein System, könnten wir ungefähr dreitausend Gesetze nehmen in Deutschland, in denen aufgelistet wird, dass bestimmte personenbezogenen Daten zur Aufgabenerfüllung erforderlich sind. Damit könnte man ganz viele Daten herausnehmen. Man könnte damit Ausweise schaffen, die an bestimmte Strukturen – wie vielleicht Meldebehörden – gebunden werden, und ohne die Angabe von Vorname, Nachname, Geburtsdatum und Geburtsort bei jedem Mal auskommen. Es würde vollkommen ausreichen, bestimmte claims aufzustellen, die beweisbar sind. Dies erfordert übrigens eine gute Benutzbarkeit – das ist nicht so einfach. Und wenn die Basis ein kryptographisches System ist: Wie viel Transparenz gewinnt man bei Nutzern durch Offenlegung der implementierten Kryptographie? Natürlich kann man sich die Krypto angucken, aber ich weiß nicht, wie viele hier im Raum dies verstehen würden. Es ist für Nutzer auf jeden Fall nicht ausreichend, nur Code und Algorithmen offenzulegen, selbst wenn dies für Experten sinnvoll ist.

Folie 14

[34] Noch ein Beispiel: Anonymität in der Kommunikationsinfrastruktur als zu Grunde liegend für alle darauf aufbauenden Kommunikationen (Folie 14). Eigentlich ist diese alte Forderung klar: Wenn Anonymität in der Kommunikationsinfrastruktur vorgesehen wäre, wäre es auf höheren Schichten einfacher, den gewünschten Grad an Anonymität oder Identifikation zu realisieren. Man könnte sogar überlegen, ob dies nicht aus dem Computer-Grundrecht ableitbar ist.

Folie 15

[35] Aber was ist 2011 passiert? Die niedersächsische Landesregierung hat es nicht mehr zugelassen, dass Leute, die mit Anonymisierung arbeiteten – also beispielsweise über das TOR-Netzwerk surften – auf Verwaltungs-/Government-Websites in Niedersachsen zugriffen (Folie 15). Wohlgemerkt, es ging nicht darum, Einkäufe zu tätigen, es ging nicht um guest books, sondern erst einmal um das Surfen ganz allgemein. Das Rechenzentrum hatte gedacht, es sei eine Bedrohung, wenn jemand über TOR-Server kommt. Das ist übrigens vergleichbar mit Zensurfiltern (censor filter). Dies bedeutet, die Verwaltung hat – zeitlich übrigens nach dem Computer-Grundrecht – die Regel aufgestellt: »Wir lassen nicht zu, dass über TOR gesurft wird.« Zuerst hießt es, AN.ON-/JonDos-User seien ebenfalls betroffen, aber das stimmte nicht. Dazu kommt: Wer mit TOR surfte, erhielt diese Information über die zurückgewiesene Anfrage (Folie 15). Sie entschuldigen sich, aber sagen noch nicht einmal, woran es liegt. Nicht: »Ihr habt TOR eingesetzt.« Nichts. Das war also eine Reaktion der öffentlichen Verwaltung auf Anonymitäts-Infrastrukturen gewesen.

Folie 16

[36] Und noch eine Sache, nur weil ich sie erwähnt habe: die »Sticky Policies«. Was jetzt nicht zur Datenvermeidung dient – wir haben auch andere PET-Flavors –, sondern dem Durchsetzen von Datenverarbeitungs-Policies. Die Policies werden hier an die Daten geklebt, und auch da ist aufgrund der Verschlüsselung ein Enforcement möglich. Jedoch sind die Sticky Policies von Hewlett-Packard patentiert, die zudem nicht auf Offenlegung ihrer Codes setzen. Immer, wenn HP in einem Projekt mitwirkt, sind die darin zusammengebauten Prototypen nicht mehr öffentlich. Ich mag gern mit den Leuten arbeiten, aber inzwischen ist es ein fast viraler Effekt, dass damit immer wieder der Diskurs, die Weiterentwicklung kaputtgemacht wird.

Folie 17

[37] Jetzt komme ich zur letzten Folie und dem Fazit über die letzten etwa 18 Jahre. Viele Projekte gibt es schon, sehr viele, überall. Das Thema ist viel mehr diskutiert, als man gedacht hätte. Vor zwanzig Jahren war noch sehr sichtbar. Aber der Erfolg von Datenschutzideen und -projekten scheint zufällig zu sein. Es gibt keine umfassenden Lösungen – vielleicht wäre dies auch zu viel gefordert. Zudem bestehen nur wenige Anreize, Privacy by Design oder PETs zu verwenden. Deswegen bin ich auch froh, wenn wir in dieser Runde auch über Wirtschafts- und Kartellrecht diskutieren.

[38] Die Entwicklung zeigt: Man kann ganz viele Tools benutzen – auch ich selbst nutze ganz viele von den Tools. Doch es kommt immer wieder zu Problemen: Neulich wurden beispielsweise meine Kreditkarteninformation während einer Transaktion nicht angenommen. Bei der Fehlersuche habe ich alle Tools sukzessive ausgestellt, um zu sehen: Geht es jetzt? Geht es jetzt? Und damit war mein System nach einiger Zeit natürlich völlig ungeschützt – mit aller Werbung und allem Drum und Dran –, nur daran lag es gar nicht. Es lag an etwas ganz anderem. Ich weiß es nicht. Ich habe am Ende eine andere Kreditkarte nehmen müssen. Im Ergebnis habe ich mein System mit Datenschutz-Tools selbst nicht unter Kontrolle. Und das bedeutet: Wer einfach möchte, dass sein System funktioniert, für den gibt es kaum Privacy-Tools – ich habe Verständnis, wenn die Leute sagen: »Nee, ich muss jetzt wieder alles ausstellen.« Es ist nicht zuverlässig genug.

[39] Außerdem kann man sich nicht darauf verlassen, dass ein Privacy-Tool gepflegt wird. Aktuell ist die Basis immer der Client, der Browser, bei dem wir allenfalls SSL haben. Der Trend geht zu noch weniger Kontrolle durch die Nutzenden, wenn nämlich immer mehr in die Cloud kommt oder über Apps geleistet wird. Wer eine neue Apps für sein Smartphones haben möchte, wird kaum ablehnen, wenn er nicht überblickt, ob die App die richtigen und nicht unverhältnismäßig viele Zugriffsrechte ausbedingt.

[40] Im Bereich der Informationssicherheit übrigens auch. Vielleicht haben wir sogar im Datenschutzbereich jetzt bessere Möglichkeiten, durch rechtliche Regelungen – man hat ja in der Europäischen Datenschutz-Grundverordnung ein paar Ideen, das voran zu bringen – ein Mehr an Informationssicherheit zu erreichen.

[41] Es ist weithin akzeptiert, dass bei PETs ein Marktversagen besteht und dass deswegen eine Förderung nötig ist. Aber eine Förderung kriegt man heutzutage eigentlich nur noch, wenn man belegen kann, dass ein Projekt wirtschaftlich ein Erfolg wird. Sind die beteiligten Firmen zu klein, bleiben meist die Fördergelder aus, denn die gibt es nur, wenn sich eine Firma beteiligt, bei der sicher ist, dass sie auch überleben wird, die groß genug ist, wo man das Geschäftsmodell schon dabei hat. Für Projekte im luftleeren Raum, für Grundlagenforschung, kann man möglicherweise noch DFG-Gelder erhalten, aber auch das ist schwierig.

[42] Es wird immer wieder gesagt, wir haben ein technikneutrales Recht, und es wäre nötig, dass alle Rechtsänderungen technikneutral blieben. Aber wir haben jetzt eine Infrastruktur, die ist gewachsen mit SCHUFA und GEZ und mit allem Drum und Dran. Wie viel Technikneutralität ist denn hier gegeben? Und wir sehen es gerade in einer Verordnung, die im Juni 2012 auf EU-Ebene vorgeschlagen wurde, nämlich zu den elektronischen Identifizierungs- und Authentisierungsdiensten und Signaturen. Es wird also auch in diesem Bereich eine Verordnung geben, die für alle Länder unmittelbar gilt. In dieser Verordnung ist so etwas wie Attributselektion nicht vorgesehen. In der jetzigen Formulierung sehe ich nicht, wie die credentials passen werden. Da wird noch nicht mal unser nPA mit ein paar Features funktionieren können. Stattdessen wird der Aufwand für die Akteure auf Kosten von Privacy-Prinzipien minimiert. Das ist für mich ja nicht technikneutral – im Gegenteil, es verhindert bestimmte Privacy Technology. Heißt dies nicht, dass wir deutlicher die Infrastruktur adressieren und gestalten müssen? Hier würde ich die Juristen bitten zu überlegen, inwieweit dies eine staatliche Aufgabe sein soll oder muss.

Danke.

Diskussion

[43] Jörg Pohle: Dann fangen wir jetzt damit an, dass wir direkt mit den Publikumsfragen einsteigen.

[44] Nils Leopold: Ich hatte eigentlich jetzt an Marit Hansen eine Frage. Sie nennen es Marktversagen. Da gibt natürlich die Begrifflichkeit schon die Richtung vor: Der Markt müsste eigentlich funktionieren an dieser Stelle, aber irgendwie kriegt er es nicht hin. Aber ich glaube, die zentrale Frage bei den PETs, die sich jedem aufdrängt, oder auch bei der Frage Privacy by Design, ist tatsächlich: Gelingt es Ihnen, dieses Interesse zu etablieren in einer Marktstruktur, dass Unternehmen tatsächlich damit ankommen? Und wie kann das wirklich fliegen? Und das ist sozusagen noch dem Marktversagen vorgelagert: Gibt es dafür einen Markt? Das ist vielleicht einfach eine andere Frage, die das ein bisschen neutraler formuliert. Und dann, und das ist vielleicht die zentrale Debatte: Wie kriegt man das hin?

[45] Marit Hansen: Vielleicht ist die zentrale Debatte, ob man Privacy Technology über einen Markt machen muss. Warum ist der Markt jetzt das Bestimmende? 1995 haben die Leute gedacht: »Das geht alles über den Markt. Und wir machen einfach gute Werbung dafür und haben eben catchy Begriffe und ein paar Bilder und so, und dann läuft es.« Und das funktioniert eben nicht.

[46] Ein anderes Beispiel. Transparenz ist ja etwas Feines. In einem Projekt ging es um Transparenz über alle Rechtsgrundlagen, darüber, wie sie umzusetzen sind, unter welchen Bedingungen welche Datenkategorien genutzt werden dürfen usw. – am liebsten per Ampelsystem. Zudem sollte dazugehören: Wie hoch sind die Bußgelder? Wie häufig werden sie verhängt? Gab es schon solche Fälle? Daraus würde sich eine Risikoabschätzung ergeben: Beispielsweise »Rot« für »man darf bestimmte Daten nicht verwenden«, aber auch mit der Information: »Bis jetzt ist nichts passiert, und es ist sehr unwahrscheinlich, dass man gefunden wird.« Mit so einer Software hätten wir auf einmal eine Transparenz, die mit ganz normalen betriebswirtschaftlichen Mitteln arbeitet: Sie weist einfach Euro aus, da wo wir sonst abstrakt über Risiken oder rechtliche Verpflichtungen reden. Und dann würde immer herauskommen: »Mach einfach!« In so einem Fall könnten wir höchstens juristisch argumentieren: »Der hat die Software eingesetzt, die hat Rot gemeldet, also war der Anwender bösgläubig, er muss besonders bestraft werden.« Diese Art der Transparenz mit der Idee, dass gleich Kosten genannt werden – natürlich kann man auch über Versicherungen oder so reden –, führt zur Folgerung: »Das Beachten dieser Rechtsnormen lohnt sich eigentlich nicht.«

[47] Die Grundverordnung eröffnet – theoretisch jedenfalls – einen größeren Rahmen zur Sanktionierung, aber im Augenblick haben wir natürlich noch so viele Fälle, wo ganz viele Dinge wirklich mal schiefgehen – Patientendaten im Internet oder so. Das ist natürlich noch eine andere Dimension, wenn schon was schiefgegangen ist, als wenn man nur abstrakt sagt: »Verkettet mal nicht die Daten!« Denn wo ist ein unmittelbarer Schaden, wenn man ein strukturelles Risiko hat? Dies auszudrücken ist schwierig. Daher, glaube ich, ist es eigentlich keine Marktdiskussion, sondern diese Diskussion müsste viel größer, also staatlich, geführt werden oder überstaatlich.

[47] Nils Leopold: Also als staatlich gefördertes System, das dafür sorgt, dass diese Systeme entwickelt werden, und das dafür Geld zuschießt?

[48] Marit Hansen: Da passiert ja auch ein bisschen. Beispielsweise ist die EU sehr stolz darauf, dass sie PETs fördert. Trotzdem denke ich oft, das verpufft alles. Neulich bei der CPDP-Konferenz (Computers, Privacy and Data Protection, Januar 2013, in Brüssel) hat einer von der Kommission behauptet: »80 Millionen werden jetzt für PETs ausgegeben, für Privacy-Förderung.« Da meldet sich einer aus dem Publikum und fragt: »Das ist aber Security, was Sie meinen, oder?« »Ja, ja, Security ist die Basis für Privacy. Deswegen sind das auch 80 Millionen für Privacy. Stimmt schon.«

[49] Nils Leopold: Wir haben das ja im Forschungsprogramm der Bundesregierung, das 2006 anfing und gerade letztes Jahr wieder eine Neuauflage erfahren hat, wo Datenschutz als – zwar immer noch kleinerer Bestandteil gegenüber der Sicherheit – gesteigert ausgewiesen ist. Und die werden wahrscheinlich diese Forschungsförderung genauso als PET-Förderung abbuchen, wobei das eben auch nur die Vorstufe der Forschung betrifft und nicht ein einsatzfähiges Tool, das dann natürlich auch laufend auf den Stand gebracht werden müsste, angepasst werden müsste, in einem laufenden Prozess wahrscheinlich letztlich für immer gefördert werden müsste. Da kommen einfach die harten Nachfragen. Und das ist eine wichtige Debatte, weil politisch diese Privacy-by-Design-Geschichte derart im Vordergrund steht. Das ist einfach für viele, die ganz positiv über den Datenschutz denken und sich das Thema jetzt neu aneignen, für die ist das eine zentrale Debatte, dass man Datenschutz irgendwie in die Technik hinein bekommt. Und wenn dann aber da ein Zweifel besteht, dass das von sich aus nicht trägt, also praktischen Widrigkeiten begegnet, dann ist es eine schwierige Situation.

[50] Marit Hansen: Ich will auch keinen Hoffnungskeim ersticken, sondern eher dafür sorgen, dass wir gar nicht hoffen müssen, sondern strukturelle Probleme begreifen und da Anreize entgegensetzen.

[51] Nils Leopold: Ich fand es ja gerade so gut, dass Sie skeptisch das so realistisch beschrieben haben.

[52] Alexander Dix: Ich kann das vielleicht noch ergänzen aus einem anderen Bereich, wie wichtig die Wahrscheinlichkeit von Sanktionen und die Glaubwürdigkeit der Sanktionsverhängung ist, um Marktteilnehmer oder Datenverarbeiter überhaupt dazu zu bringen, sich mit Datenschutz auseinander zu setzen. Es gibt eine Diskussion zwischen Europa und den USA in einem sehr speziellen Bereich von grenzüberschreitenden Zivilprozessen. Bei der grenzüberschreitenden Beweiserhebung in Zivilverfahren kennt das amerikanische Recht die so genannte electronic discovery, wo systematisch E-Mail-Systeme der Unternehmen von Prozessgegnern durchforstet werden können, ob irgendwelche kritischen Schlagworte da aufgetaucht sind. Da gilt sozusagen das Fernmeldegeheimnis und der Arbeitnehmerdatenschutz nicht und werden einfach außer Acht gelassen, das interessiert die Amerikaner nicht. Und sie haben solange das auch für unproblematisch gehalten, wie in Europa das nicht aufgegriffen wurde und dagegen auch keine Sanktionen verhängt wurden. Bis in Frankreich in einem speziellen Fall ein Anwalt zu einer Gefängnisstrafe verurteilt worden ist, weil er Daten in diesem e-discovery-Verfahren an ein amerikanisches klagendes Unternehmen herausgegeben hat unter Verletzung eines französischen so genannten Blocking Statutes. Als das passierte, taten sich in Amerika zum ersten Mal die Juristen zusammen und sagten: »Hoppla, wir müssen mal darüber nachdenken, gibt es vielleicht in Europa rechtliche Grenzen, mit denen wir uns auseinandersetzen müssen?« Seitdem ist ein Dialog im Gange, an dem auch ich mich beteiligt habe, wo zum ersten Mal die Wahrscheinlichkeit, dass in Europa Aufsichtsbehörden oder Strafgerichte anfangen, Sanktionen zu verhängen, die Datenverarbeiter auf der anderen Seite des Atlantiks ins Grübeln bringen, und sie fangen an zu denken: »Wie kann man versuchen, den Gegensatz, der zwischen den Rechtssystemen besteht, irgendwie zumindest anzunähern?« Das ist ein anderes Beispiel dafür, dass – ob man das nun über eine Software ausrechnen lässt oder ob man einfach durch Erfahrungswerte dieses Risiko für zu groß hält, dass irgendjemand dafür in den Bau geht oder wirklich drastisch nach der EU-Grundverordnung heftige finanzielle Sanktionen berappen muss, könnte dazu beitragen – vorsichtig formuliert –, dass Datenschutz auch stärker berücksichtigt wird. Das ist nicht so sehr ein Marktargument als vielmehr auch die Aufforderung an die Aufsichtsbehörden, stärker die beschränkten Sanktionsmöglichkeiten, die sie haben, immerhin auch einzusetzen.

[53] Andrea Knaut: Frau Hansen, Sie haben vorhin dieses Beispiel so schön gebracht, wie die niedersächsische Behörde verhindert hat, dass TOR benutzt werden kann...

[54] Marit Hansen: Nach meiner Kenntnis lag es am Rechenzentrum der niedersächsischen Regierung, das diesen Beschluss gefällt hatte.

[55] Andrea Knaut: Und das ist so ein Beispiel, dass Privacy-Tools, die Leute sich selbst, also ganz unabhängig von staatlicher Verordnung, schreiben und nutzen, dass die von staatlicher Seite gesperrt werden. Ich meine, das ist ja noch absurder: Hier gibt es die Forderung, der Staat solle durchsetzen, dass Privacy-Tools benutzt werden. Leute benutzen Privacy-Tools. Und dann verhindert der Staat, dass sie diese benutzen. Also, eigentlich war das ein schönes Beispiel, und auch, finde ich, ein schöner Brückenschlag zum Informationsfreiheitsproblem.

[56] Alexander Dix: Gleichzeitig fordert die niedersächsische Polizei zu anonymen Hinweisen auf. Das kann man auch noch sagen.

[57] Andrea Knaut: Ja, da ist dann die Frage: Muss der Staat vielleicht erst einmal bei sich selbst eingreifen, eben einfach kreative Tools zuzulassen? Eine uralte Diskussion war ja die zum Wassenaar-Abkommen, zu PGP, damals in den USA, wo PGP plötzlich als Waffe galt.

[58] Marit Hansen: Das ist noch nicht vom Tisch, was da an Krypto-Regulierung eingreifen kann. Einmal mussten wir für ein Projekt in der Schweiz entwickelte Software mit Kryptographie auf französischen Servern für die Öffentlichkeit bereitstellen. Es war zunächst unklar, wer wie was wem gegenüber erlauben durfte... Das war natürlich keine Waffe, sondern Credential-Technik.

[59] Alexander Dix: Dual Use. Aber ich habe noch eine Frage an Marit Hansen. Woher haben Sie das geschlossen, dass die niedersächsische Landesregierung wegen der Anonymität der Anfrage die Sache zurückgewiesen hat oder ist das eine Vermutung?

[60] Marit Hansen: Nein, das ist so recherchiert und berichtet worden.

[61] Alexander Dix: Haben sie das »offline« dann so begründet, oder wie?

[62] Marit Hansen: Zunächst war es eine Vermutung. So, wie ich ja auch gesagt habe, wenn etwas nicht funktioniert, muss ich sukzessive meine Tools alle ausstellen, bis ich merke, es geht jetzt wieder. Und so haben die Nutzer dies gemacht. Das Ergebnis war, dass alle TOR-User betroffen waren. Es gab eine Welle in der Berichterstatttung... Auch beim AK Vorratsdatenspeicherung... Das ULD hat einen Brief geschrieben an die niedersächsische Regierung. Dort war man ein bisschen überrascht, weil das Ablehnen der TOR-Requests offensichtlich im Rechenzentrum als Security Policy eingeführt worden war. Nicht jede Security Policy läuft über die politischen Entscheidungsträger. Was das bedeutet, muss man sich ja auch mal überlegen.

[63] Jörg Pohle: Den Aspekt, dass es unterschiedliche Interessen in Organisationen gibt, die dann dazu führen, dass verschiedene Ebenen oder verschiedene Bereiche unterschiedlich für oder gegen den Datenschutz arbeiten oder unterschiedlich IT-Sicherheit gegen den Datenschutz abwägen, haben wir ja bisher gar nicht betrachtet. Und ich glaube, das würde auch etwas den Rahmen sprengen. Aber natürlich kommt das insbesondere bei großen Organisationen immer noch dazu...

[64] Seda Gürses: Guten Morgen. Also wir arbeiten zur Zeit mit Claudia Díaz über die Technikneutralität von Datenschutz. Wir haben darüber mit Ihnen, Frau Hansen, im August diskutiert, als Sie in Leuven waren. Unser Argument, das wir jetzt entwickeln, ist, dass der Datenschutz davon ausgeht, dass der data collector eine vertrauenswürdige Partei ist. Und in PETs ist der service provider oder der data collector immer eine nicht-vertrauenswürdige Partei. Die sollen keine Daten sammeln. Oder die sollen, wenn überhaupt, Daten sammeln, die nicht verkettbar sind zu den Personen. Datenschutz muss die Datensubjekte identifizierbar haben in bestimmter Art und Weise. Also, unsere Ansicht ist, dass PETs eigentlich nicht durch Datenschutz gefördert werden. Viele der PETs – und es ist in dem Sinne, was Sie erlebt haben mit dieser Webseite, ganz normal, denn es geht ja darum, .... I have the suspicion that PETs are actually not supported because PETs are about not having data collected or in any way that is linked to the person. My question is: Is there a way to use data protection to support PETs? Because I think in its case now it doesn‘t, and the people from this state website can say: »This is not in any way compatible with data protection. Because I don‘t know who I‘m speaking with and therefore I can‘t protect their data and therefore I have the right to stop this technology.« And I think we see the same with like cryptography. Like, we developed an application for using encryption on Facebook. We found out – we don‘t experience this in Europe – that U.S. users said: »I was blocked from using this.« And they can make a total argument, right: »If I am responsible for this data, I want also see what it is.« So I think there are lots of complications between the assumptions of PETs and data protection, and I‘m wondering how these could be in any way consolidated.

[65] Jörg Pohle: Ich würde sagen, dass der Datenschutz auf dem Rechtsstaatsprinzip aufbaut. Und der Rechtsstaat geht von einem mächtigen, aber nicht grundsätzlich »bösen« System aus: Das Gegenüber, also der Staat, ist mächtig und soll in seiner Macht beschränkt werden. Nicht, weil er böse ist. Nicht, weil er nicht vertrauenswürdig ist. Erst durch den Rechtsstaat wird Misstrauen institutionalisiert. Aber es ist nicht bereits vorher da. Sondern es wird erst eingebracht, es werden Kontrollstrukturen geschaffen, die sich gegenseitig kontrollieren, und im Ergebnis produziert der Rechtsstaat Vertrauen und reproduziert es. Das ist ein anderer Ansatzpunkt als bei den meisten PETs, die eher aus einer Bürgerrechtsecke kommen und die dann oft auch gleichzeitig als Anti-Zensur-Tools verwendet werden.

[66] Seda Gürses: The organization is an adversary in PETs, right? Actually, data protection always asks you to trust and comply with... or agree with the organization on some level. Where PETs is all about: How I can get rid of the trust... trust minimization. How do I avoid trusting that organization? The best way to do it is not to give them data, not to allow them enter into your communications.

[67] Alexander Dix: Ich würde da keinen so großen Gegensatz sehen, wie Sie ihn formuliert haben. Ich glaube nicht, dass der Datenschutz voraussetzt, dass man dem Datenverarbeiter prinzipiell vertraut, sondern das Datenschutzrecht basiert auf der Annahme, dass jede Verarbeitung personenbezogener Daten riskant ist für den Betroffenen und deshalb einer Kontrolle bedarf. Wenn wir allen Datenverarbeitern grenzenlos vertrauen könnten, dann bräuchten wir kein Datenschutzrecht. Von daher meine ich schon, es gibt Probleme; die Probleme, die Sie beschrieben haben, bei Facebook, die sehe ich auch, die beruhen aber darauf, dass Facebook einem datenschutzunfreundlichen Geschäftsmodell folgt, indem es seine Nutzer zur Identifikation zwingt. Ich vertrete die Meinung, es würde ausreichen – und da bin ich ein bisschen anderer Auffassung als die Kollegen in Kiel –, wenn Facebook eine personenbezogene Registrierung zulassen würde, aber den Nutzern der Plattform das Agieren auf der Plattform unter Pseudonym gestatten würde, sodass im Streitfall eine Aufdeckung des Pseudonyms – bei einer strafbaren Handlung oder so – möglich wäre. Das ist umstritten. Aber das wäre ein Weg, wie man diesen Widerspruch auflösen könnte.

[68] Marit Hansen: Aber noch besser wäre es ja dann, wenn die Registrierungsmimik nicht bei Facebook liefe, sondern getrennt von Facebook. Zum Beispiel könnte man dies dem nPA oder mit Credentials, ausgegeben von einer Institution wie z. B. einer Schule, realisieren und damit im Vergleich zu der anderen Lösung eine Entkettung erreichen. Wie auch Seda Gürses sagt: Datenschutzrechtlich würde eine Realisierung in derselben Organisation vollkommen ausreichen – mit ein paar Ausnahmen, beispielsweise der rechtsstaatlichen Gewaltenteilung. Aber wir können auch innerhalb einer Organisation versuchen, eine Trennung voranzubringen.

[69] Im medizinischen Bereich gehen wir zum Beispiel davon aus, dass bei einem Krankenhauspatienten die Daten nicht für alle Krankenhausmitarbeiter zugreifbar sein dürfen, sondern nur für das jeweilige Behandlungsteam. Wir bilden also kleinere Organisationseinheiten. Auch dort wollen wir eine Nicht-Verkettbarkeit erreichen, die übrigens sehr schwer durchzusetzen ist, wenn alle Prozesse in derselben Organisation ablaufen.

[70] Bei Facebook wären zwei Fälle denkbar: Facebook könnte eine eigene Registrierung anbieten, oder sie verlassen sich auf andere Dienste, die eine Nutzung unter Pseudonymen zulassen und über die unter vordefinierten Bedingungen, zumindest in Haftungsfällen, die dahinterliegenden Personen erreichbar sind oder zur Verantwortung gezogen werden können. Das wäre bedingte Nicht-Verkettbarkeit.

[71] Aber das würde das heutige Datenschutzrecht nicht fordern. Damit fehlt es an Incentives für solche Entkettungen. Solche Lösungen wären umständlicher für Facebook. Allenfalls, wenn solche Identitätsinfrastrukturen bereits etabliert wären und ihr Einsatz vielleicht sogar staatlich gefordert würde... Aber vom heutigen Recht her würde man – und das ist das, was Seda Gürses sagt – davon ausgehen: Der Datenverarbeiter hat seine Verarbeitung im Griff, er realisiert sie zusammen mit seinen Auftragnehmern, die von ihm gebunden sind. Übrigens wollen wir bei vielen PETs gerade, dass die an einem Prozess mitwirkenden Parteien, die zu einer Entkettung beitragen, eher nicht gebunden sind an solche Bedingungen. Selbst die Verpflichtung der producer – wie im Albrecht-Report vorgesehen – führt nicht unbedingt zu entkettenden Komponenten.

[72] Seda Gürses: Can I just quickly follow up with that? My question is: Do you think, data protection now has the elements to say, every website should have anonymous access?

[73] Marit Hansen: No.

[74] Seda Gürses: OK. So, these are the things. It should be a basic right that if you‘re going to use any digital services you should be able to do so, at least partially, anonymously. These are my questions. Does data protection in any way support civil disobedience? For example, if I want to use obfuscation, I want to give false data in order to not be profiled. What does data protection say? Does it say, it‘s now my personal data? Or does it say, this is a valid and interesting strategy to protect your privacy? And I think what you are hitting with what you just said is about trust between organizations and Machtgefälle zwischen Organisationen. So much does data protection deal with that? In a sense that – I don‘t know if you know Jean-François Blanchette‘s work – he looks at e-signatures and why the failed, and he says »Cryptographers completely dismiss that there are power relationships between organizations that are brokering and using information.« Like, I have certain information. If you want that—it affects our power relationship. You have to trust me. I have to trust you. But there is also like dependency relationships. And in cryptography, there is all just parties, communicating with each other, and the power relationship, the burden of proof etc. is all out of the framing. And in e-signatures you have sentries, and bureaucracies, and power relationships that are supposed to be replaced by technology. He says: »Good luck!« I‘m wondering if data protection as you suggested, there is a registry and Facebook, that is a power relationship. And how effective, do you think, data protection is not only in addressing the Machtgefälle zwischen Individuum und Organisation, aber auch zwischen Organisationen?

[75] Martin Rost: Ja, das sind Versuche, darauf eine Antwort zu geben. Dass »privacy enhancing« oftmals mit »security enhancing« übersetzt wird und genutzt wird, ist ein Problem. »Privacy enhancing« meint tatsächlich privacy enhancing, und soll das auch spezifisch meinen. Und das läuft mit Bezug auf Personen im Kern hinaus auf: Identity Management. Weil es um Personenschemata von Organisationen geht. Und dann sind zur Umsetzung des Schutzzieles der Nichtverkettbarkeit – im Kontext des user controlled identity management – Maßnahmen der Pseudonymisierung und der Anonymisierung gemeint. Es gibt bspw. einen Bedarf für Anonymität, wenn es darum geht, den Markt unerkannt zu sondieren. Dann gibt es außerdem ein Anonymitätsmodell für politische Wahlen, also dass niemand zurückverfolgen kann, welche Stimme von wem an wen vergeben wurde. Das ist technisch gesehen sehr schwierig, im Moment im Internet ein gar nicht umsetzbares Thema. Es bedarf der Anonymität auch beim peer review im Wissenschaftsprozess, dass eben wirklich nur der zwanglose Zwang des besseren Arguments sich durchsetzen kann – ohne Rückgriff auf Reputation. Sie sehen, ich gehe die gestern behandelten Funktionssysteme durch. Und vom Modell kann das Datenschutz auch alles bedienen. Die konkrete Umsetzung macht man über das Standard-Datenschutzmodell. Wenn wir bspw. einen Schutzbedarf für personenbezogene Verfahren mit »normal« feststellen, dann reichte vielleicht in vielen Fällen Pseudonymität. Kryptologisch gesicherte Pseudonymität oder sogar Transaktionspseudonyme würden dann noch bis zum Schutzbedarf »hoch« reichen. Und wir brauchen vielleicht Anonymität in Strukturen bei »sehr hohem« Schutzbedarf. Das bietet mittlerweile der Datenschutz an Skalierbarkeit an. Das heißt, wir brauchen Anonymität in Szenarien, wo dies konstitutiv für Markt, für Rechtsstaat, für Demokratie und Wissenschaft in funktional differenzierten Gesellschaften ist. Also: PET heißt vor allem: Identity Management. Und das andere, was dann auch noch unter PET meines Erachtens falsch gehandelt wird, ist meist Security Management – das ist etwas anderes.

[76] Marit Hansen: Ich würde den Begriff »PET« gerne in der weiteren Fassung verwenden – nur so fürs Protokoll.

[77] Alexander Dix: Wenn ich das noch ergänzen darf. Um Ihre Frage genau aus deutscher Sicht zu beantworten. Da gibt es einen Unterschied zwischen deutschem Datenschutzrecht und europäischem Datenschutzrecht im Moment, und möglicherweise auch in Zukunft. Das deutsche Datenschutzrecht gibt ein Recht auf anonyme Nutzung des Internets. In Deutschland sind Anbieter von Webseiten verpflichtet, eine anonyme Nutzungsoption zu eröffnen. Und diese rechtliche Vorschrift ist im Moment in Gefahr, durch die Grundverordnung »übergebügelt« zu werden oder hintenüber zu fallen. Im Moment ist sie noch nicht drin in der Grundverordnung. Es ist auch zweifelhaft, ob es gelingt, sie da rein zu bekommen. Wenn das nicht gelingt, dann muss man versuchen, jetzt argumentativ aus Datenschutzsicht, sie aus den allgemeinen Prinzipien der Grundverordnung wie zum Beispiel Datensparsamkeit abzuleiten. Das wird aber schwierig. Im Moment gibt es eine glasklare Pflicht für deutsche Anbieter von Webseiten, solche anonyme Nutzung zu ermöglichen.

[78] Jörg Pohle: Historisch war die Argumentation jedoch anders herum. Historisch war die Argumentation, dass man immer anonyme Daten verarbeiten muss, d. h. wenn man den Zweck durch Verarbeitung anonymer Daten erreichen kann, dann braucht man keine personenbezogenen Daten.

[79] Seda Gürses: Das war Teil der Definition von Datenschutz?

[80] Jörg Pohle: Ja. Und der Datenschutz3 setzt eigentlich erst dann ein, wenn man nicht nur anonyme Daten verarbeiten kann. Das war die ursprüngliche Idee dahinter. Und dann war die zweite Idee: Na ja, wenn das Datenschutzrecht so aufwendig umzusetzen ist, dann haben doch die Organisationen ein Interesse daran, auf personenbezogene Daten in ihrer Verarbeitung zu verzichten, weil es ihnen dann viel einfacher gemacht wird und sie viel weniger Anforderungen erfüllen müssten, und dann würde sich – und das ist sozusagen der alte Traum der Anonymisierungsbefürworter – Anonymität, die anonyme Nutzung, die nicht-personenbezogene Datenverarbeitung einfach durchsetzen. Und später ist das dann noch einmal aufgekommen mit dem Privacy by Design, das sich am Markt durchsetzen sollte. Und beide Erwartungen, Träume, Ansätze sind, glaube ich, historisch gescheitert.

[81] Marit Hansen: Ich habe den Eindruck, wir sind im rechtlichen Bereich nicht ganz sauber, was das angeht. Zum Beispiel muss man immer sagen: Personenbezogen wem gegenüber? Anonym wem gegenüber? Dass im TMG »anonym oder unter Pseudonym« steht und dass dann die anonyme Variante der pseudonymen gegenüber zu bevorzugen ist, liest man in den Kommentaren. Aus Informatiksicht steht dort: 1 (anonym) oder 2 (unter Pseudonym). Da steht nicht, dass 1 besser ist als 2. Die Kommentare geben das zwar her, aber sagen nichts darüber aus, wem gegenüber. Es ist nicht entschieden – das habe ich in den letzten Wochen versucht nachzuvollziehen, bin aber dankbar für eine Korrektur meiner Meinung hier –, ob das für Facebook nicht auch heißen kann: »Wir wissen alles, aber wir geben Dir als User die Möglichkeit, dass Du einigermaßen anonym oder pseudonym gegenüber anderen Usern bist.« Also: Wer wem gegenüber? Dies ist ja genau eine der Facebook-Argumentationen.

[82] Alexander Dix: Und Facebook will nicht einmal diese Option bieten.

[83] Marit Hansen: Weiterhin gibt es natürlich berechtigte Aufdeckungsbegehren, wo man jetzt überlegt, ob man das jetzt erlauben soll oder nicht. Was macht man zum Beispiel mit Kindern, die belästigt werden? Wie kommt man weiter bei einer Ermittlung? Der heutige Ansatz, über IP-Adressen zu gehen, die dann vielleicht auch wieder anonymisiert sind, ist oft nicht zielführend. Also wieder die Frage: Was wollen wir eigentlich? Die Technik – also zero knowledge proofs usw. – bietet uns erst einmal fast alles an. Es wäre möglich, die Bedingungen mögliche Aufdeckungsfälle ziemlich glasklar zu formulieren und dies dann so zu bauen. Das habe ich in der juristischen Diskussion zur Interpretation des TMG bislang aber kaum gesehen. Es wäre aber nötig.

[84] Im EU-Projekt »ABC4Trust« bauen sie jetzt gerade so etwas für ein schwedisches... Soziales Netzwerk ist zu viel... für die Kommunikation in einer schwedischen Schule. Und die Schweden sind der Meinung, man muss eigentlich immer alle Kinder-Kommunikation aufdecken können, nachher. Erst einmal dürfen sie reden, aber nachher muss alles aufgedeckt werden. Und das sehen wir nicht so. Und wir haben jetzt verschiedene Fälle untergliedert, aber... Es ist ein bisschen schwierig, also wir kommen da jetzt nicht so ganz zusammen. Und interessant ist es ja auch erst jetzt – es ist ein Forschungsprojekt –, wenn man verschiedene Use Cases hat, wo man das einmal abarbeiten kann, warum es verschiedene Bedingungen gibt dafür. Einen weiteren Punkt haben wir – Jörg Pohle hat darauf hingewiesen –, dass wir eigentlich ja gar nicht im Datenschutzrecht sein müssen, wenn wir im anonymen Bereich sind. Die Idee war: Man ist anonym, und kein Problem, man muss sich gar nicht mehr darum kümmern. Jetzt schauen wir – die Beispiele habe ich nicht gezeigt –, es gibt das eigentlich gar nicht. Im technischen Bereich haben wir immer Identifier, also Maschinen-Identifikatoren. Es kann ja sein, dass die jedes Mal wechseln. Es kann ja auch sein, dass sich jetzt eine Gruppe dieselben Identifikatoren teilt. Das sind beides Anonymitätsmöglichkeiten in der Technik. Aber grundsätzlich habe ich pro Zeitpunkt und pro Blick und Betrachter erst einmal irgendetwas, was für den Moment irgendwie identifizierend ist – vielleicht ist es gerade unter den Gegebenheiten nicht aufdeckbar. Dazu kommt noch: Wir bauen jetzt irgendwas mit ganz vielen anonymen Daten – netflix hat ja so etwas auch gemacht – es wurde also irgendwas anonymisiert – man kann ja sagen, na gut, es wurde ja pseudonymisiert –, aber sobald wir im echten Leben ankommen – dass da also echte Inhalte vielleicht irgendwo stehen, dass echt was geklickt wurde, dass man weitere Daten hat, eigentlich – wenn wir sagen würden, das veröffentlichen wir, weil es ja anonym ist, ist ja gar kein Datenschutzrecht applizierbar, kommt man ganz schnell dahin, dass man merkt, wir kommen mit diesen Daten doch an den Personenbezug. Das heißt, die Idee, dass wir sagen, wir machen was mit Anonymität oder auch Pseudonymität – das werfe ich jetzt mal zusammen –, wir privilegieren jetzt die Verarbeitung: »Ihr müsst nicht den ganzen Quatsch rauf und runter machen, sondern ein bisschen weniger oder gar nicht.«, also, mit Anonymität würde man ja gar nicht im Datenschutzrecht sein. Das stimmt ja alles so nicht. Wir haben das im technischen Bereich nicht. Und auch die Privilegierung ist jetzt also schwierig. Das heißt, jemand betreibt Aufwand, er benutzt PETs – also als Organisation –, er will was machen, und eigentlich müssen wir ihm sagen: »Achtung, Du musst trotzdem höllisch aufpassen, was jetzt ist. Du musst jedes Jahr oder jeden Monat oder bei Anlässen immer checken, bist Du noch anonym? Du darfst natürlich nicht schon mal alles publiziert haben, was nachher nicht rückholbar ist.« Also wir haben Bedingungen. Trotzdem ist es oft sinnvoll. Also, wir haben über Bio-Banken gesprochen, wo man verschiedene Dinge... oder Krebs-Register oder so. Also, man muss ja in irgendeine Richtung auch weitergehen.

[85] Jörg Pohle: Es ging mir auch gar nicht darum zu sagen, dass das stimmt. Es ging mir nur darum zu sagen, dass das sozusagen eines der Designziele des Datenschutzrechts war...

[86] Marit Hansen: Aber das wäre ja auch ein Incentive, wenn wir sagen könnten: »Ihr macht mehr PETs. Und das ermöglicht dann auch, dass Ihr nicht so viele Verpflichtungen habt.« Das wäre doch gut. Aber was können wir da anbieten?

[87] Michael Plöse: Ich bin jetzt mal noch auf der Bedarfsebene. [Unruhe und Witze über Bedarfsträger] Ich weiß nicht, was ich anbieten kann. Aber gestern hatten wir uns ja über Schutzziele und Konzepte unterhalten, und darauf würde ich gerne noch einmal kurz zurückkommen wollen. Das Stichwort, das ich hier nennen will, lautet: Anonymität. Mein Kollege, der heute leider nicht da sein kann, Michael Kuhn, promoviert zu dieser Frage: Gibt es ein Recht auf Anonymität? Oder vielleicht sogar ein Grundrecht auf Anonymität? Ich glaube schon gestern hat Kirsten Bock gesagt, es müsste so etwas wie ein Grundrecht auf Kommunikation geben. Die spannende Frage dabei ist: Was ist das Schutzbedürfnis und was die daraus abgeleitete Konsequenz. Geht es eigentlich um Kommunikation oder geht es um Anonymität? Und gerade habe ich so das Gefühl, es geht eigentlich eher um eine Form von Anonymität, die gewährleisten soll, dass man in bestimmten Zusammenhängen – und jetzt komme ich auf das, was Alexander Dix angesprochen hat – diskriminierungsfreie Kommunikation erst gewährleisten kann. Und ich denke, dass auch in der Fortentwicklung der Grundrechtsdebatte das Antidiskriminierungsrecht als Beitrag zu einer wirksamen Umsetzung von Menschenrechten einen zunehmenden Stellenwert bekommen wird. Das betrifft im Besonderen die Frage, was denn eigentlich die Schutzwirkung der einzelnen Grundrechte sein soll. Also, wie viele stigmatisierende Zuschreibungen werden eigentlich erst durch den Prozess der Informationsgenerierung und des Informationsaustauschs produziert? Gerade in der automatisierten Kommunikation wird mitunter ein Herrschafts- oder Machtgefälle aufgebaut, das als solches überhaupt nicht besteht. Und in dem Maße, wie jetzt das Internet dazu kommt und sagt: »Eigentlich kann ich eine Kommunikation schaffen, die fast schon habermas‘schen Ansprüchen an einen herrschaftsfreien Diskurs entspricht. Oder ich kann zumindest eher herrschaftsfreie Voraussetzungen schaffen«, ist natürlich spannend, ob da nicht durch technische Maßnahmen zur Gewährleistung von Anonymität verbunden mit einem grundrechtlichen Gewährleistungsanspruch auf Anonymität die Voraussetzungen für eine gleichberechtigte Marktteilnahme geschaffen werden könnten oder die Kommunikation zumindest ganz anders gewichtet würde.

[88] Alexander Dix: Also ich würde dem im Prinzip zustimmen. Ich bin schon der Meinung, dass Anonymität Voraussetzung für freie Kommunikation sein kann. Es gibt aber auch Situationen, in denen ein Bedarf zur Identifizierung besteht. Das muss man auch sehen. Also wenn wir uns im Bereich der strafbaren Handlungen bewegen oder wenn – ich habe gerade gelesen, dass irgendeine Bande, die den so genannten BKA-Trojaner in Umlauf gebracht hat, Systeme für anonyme Bezahlung genutzt haben – auch das steht im TMG, dass Möglichkeiten zu anonymen Bezahlung von Telediensten gewährleistet sein müssen –, da kommt man an einen schwierigen Punkt, wo es unter Umständen auch notwendig sein kann, Anonymität einzuschränken. Das ist das Problem, dass Anonymität möglicherweise nicht unwiderruflich eingeräumt werden kann. Deshalb habe ich große Sympathie dafür, dass wir uns konzentrieren auf die Gewährleistung von Pseudonymität, weil Pseudonyme immer aufdeckbar sind, und dann muss man sich über die Bedingungen unterhalten, wer unter welchen Voraussetzungen ein Pseudonym aufdecken darf. Aber ich räume ein, das ist eine schwierige Debatte. Anonymität ist zunächst einmal eine Voraussetzung für freie Kommunikation, aber es gibt auch Situationen, in denen das an Grenzen stößt.

[89] Joris van Hoboken: I wanted to go back a bit to enforcement. And I think it touches upon this issue of anonymity as well. Alexander Dix was talking about the lack of a threat of enforcement, the lack of fines that are meaningful and that government agencies not always take data protection seriously. Perhaps a lot of opportunities for enforcement, however, have been left on the table. And I think this has been and still is a big issue. And I‘m not super-optimistic about whether that will be solved by including fines in the new data protection Regulation. I think—and I think I talked about that yesterday shortly before—as well, data protection is a system of norms that are intricately linked to each other. You have to enforce them collectively. It‘s not that you typically have problems in which it is very clear to say what the precise problem is. Actually, that is very interesting with this right to anonymity where for instance like now there is the case against Facebook, I think here in Germany, where it‘s really clear what the problem is. People are not allowed to use the service without giving their real name. There you have an issue. People can understand this. The enforcer of the norm understands the issue really well, and there you can really try do something. I really feel, there is a norm, and there is a conflict where it really fits together. And you could enforce that. But I really wonder what is gonna happen there since data protection may not that clearly protect us from services like Facebook demanding our real names.

[90] Marit Hansen: A court decision appeared two days ago.

[91] Joris van Hoboken: Two days ago? There is a new decision?

[92] Marit Hansen: The first court decision. And ULD lost.

[93] Joris van Hoboken: You lost it?

[94] Marit Hansen: Yes. So, the next instance....

[95] Joris van Hoboken: Are you going to take it there?

[96] Marit Hansen: Yes, of course. After 20,000 Euros.

[97] Joris van Hoboken: There is, I think, a lot to win in cases where there are clear norms. But I wonder which of the norms in data protection that is currently there... of the other norms... really lends itself to that kind of enforcement. Because at the moment there is a proposition to have fines for being not compliant with data protection law, basically. But which of the norms is actually the one that there should be really a heavy fine on? I really wonder, because there are so many open norms in data protection. Where do we really need those fines? For which norms? For data minimization? For privacy by design? For the legitimate ground for processing of personal data? Would that really work?

[98] Ricardo Morte Ferrer: Ja, ich wollte schon etwas sagen, als Herr Dix über Sanktionen sprach: Die Sanktionen sind an sich nicht eigentlich das Instrument. Es kommt auf ihre Wirkung an. In Spanien haben wir Sanktionen bis 600.000 Euro. Und die Wirkung ist Null. Weil die großen Firmen das schon mit einplanen. Man muss weiter denken...

[99] Alexander Dix: Die planen die Sanktionen gleich mit ein?

[100] Ricardo Morte Ferrer: Ja. Also, Moviestar bezahlt jedes Jahr Millionen. Also sind die Sanktionen wirkungslos. Man muss da eine Regel setzen: Wenn mehrmals Sanktionen eingeleitet wurden, könnte man daran denken, dass das Unternehmen vom Markt ausgesperrt wird. Es gibt sogar Versicherungen gegen Datenschutzsanktionen. [Große Unruhe und Frage nach der Situation in Deutschland] Wenn diese Grundverordnung durchkommt und diese Höchstsanktion von 2,5% des Weltumsatzes kommen würde – drei Tage später würde es eine passende Versicherung geben.

[101] Jörg Pohle: Die erste Datenschutzversicherung in Deutschland ist, glaube ich, von 1978. Ich bin mir nicht ganz sicher, aber es gab damals eine Werbung in der DuD, in einer der ersten Ausgaben, von der Allianz, eine Haftpflichtversicherung... Es gibt ja immer Bereiche, in denen bestimmte Regulierungsmodelle funktionieren, und die gleichen Regulierungsmodelle funktionieren in anderen Bereichen nicht. Und wir haben Bereiche, in denen Haftpflichtversicherungen als Regulierungsmodelle – für halbwegs angepasstes Autofahren zum Beispiel – funktionieren. Die Frage ist dann immer, welche Regulierungsmodelle in den anderen Bereichen eingesetzt werden sollen, und das gilt auch hier für den Datenschutz. Auch Durchsetzungsmöglichkeiten sind ja unterschiedlich. Technik kann zum Beispiel bestimmte Dinge durchsetzen. Und dann ist die Frage, wer durchsetzt, dass diese Technik auch eingesetzt wird.

[102] Ricardo Morte Ferrer: Es ist durchaus sinnvoll, dass eine Versicherung einen Schutz gegen einen gewissen Schaden bietet, aber nicht gegen eine Sanktion.

[103] Joris van Hoboken: I think the question is in the combination of substantive rules and enforcement. You can give me any organization that is collecting data about people in Germany or in Spain, and I will go after it, and I will find something that is going wrong. I will find some way in which they are not taking data protection seriously, in which they are not giving people access to their data, they have incorrect data even though people complained about it. You will find something with data protection. It is because you have a whole number of principles that need to be taken seriously. So then, should you fine that organization? What should you do? You‘re not in a situation in which you have good behavior and bad behavior and where there is kind of a clear line. There is always that kind of push: You can do better. You can take it a little bit more seriously. And actually, the idea of data protection is that businesses, organizations should take it seriously. You have tenable principles, and organization internalize those principles into the design of their systems and in the way that they deal with data of data subjects. I really feel that like now, the idea on the European level is: We want fines because the data protection authorities—they see the other public enforcement authorities like anti-trust and consumer protection. These have a stick to beat with—they want something similar. And this is at the political level the kind of discourse. And I really wonder if there is a clear idea where to use these fines for.

[104] Alexander Dix: Es gibt, denke ich, ganz eindeutige Normen, bei denen unstreitig deutliche Sanktionen Sinn machen. Wie zum Beispiel das Auskunftsrecht. Wieso soll ein Unternehmen, das sich weigert, Max Schrems zum Beispiel Auskunft über seine Daten zu geben, wieso soll das nicht mit Sanktionen belegt werden können? Es gibt andere Normen, die sind sehr viel schwieriger durchzusetzen, weil sie generalklauselartig sind. Und da ist das, was Frau Reding als »Ausdeutschen« bezeichnet hat, im Grunde irgendwo auch ein rechtsstaatliches Erfordernis, weil ohne einen klaren Rechtssatz kein Gericht eine solche Sanktion aufrechterhalten würde, wenn sie angegriffen wird. Aber es gibt relativ eindeutige Rechtssätze im Datenschutzrecht und eher schwammige, generalklauselartige. Man braucht vermutlich beides. Und wie man mit Sanktionen umgeht, das ist auch eine Frage an die Aufsichtsbehörden. Die müssen sich sozusagen sehr gut überlegen – und das sieht man jetzt auch wiederum bei Facebook –, wie groß ist die Chance – die Aufsichtsbehörden sind ja nicht die letzte Instanz bei der Verhängung solcher Sanktionen –, dass die Gerichte das auch mittragen. Und wenn sie es nicht mittragen, dann freut sich der Datenverarbeiter und sagt: »Ich habe doch recht gehabt und kann so weitermachen wie bisher.« Das sind alles Dinge, die man mit bedenken muss, wenn man Sanktionen verhängt.

[105] Marit Hansen: Wobei genau deswegen, ich denke, muss man es eigentlich doch öfter wagen, vor Gericht zu gehen. Dann kriegt man wieder Diskussionen oder Entscheidungen, die zu diskutieren sind, die sich eventuell auf eine Rechtsänderung auswirken. Also wir wurden ja gewarnt von Kollegen: »Macht das nicht. Das könnte sein, dass unsere TMG-Regelung fällt, wo Anonymität drinsteht.« Aber wenn das anscheinend sowieso nicht enforced werden kann – wenn das so wäre –, dann müsste man das wirklich diskutieren, und so ist ja auch Rechtsfortbildung. Also, das halte ich für legitim und für notwendig. Das Problem ist: Etwas gerichtsfest vorzubereiten, kostet Personenmonate. Und üblicher Weise verhängen wir ja Sanktionen – auch da schauen wir die Großen mehr an als die Kleinen – auch ein bisschen mit Augenmaß und mit Auswahl, was jetzt gerade brisant ist, sensiblere Daten eher mehr als die anderen oder so; aber natürlich auch, wenn es Beschwerden gibt. Und es ist ja auch sehr wertvoll, dass wir von vielen ja auch auf Punkte hingewiesen werden. Da – nur dass man es weiß, in einigen Bereichen, das kennt Berlin ja auch – werden die Geldbußen sofort bezahlt, und die Unternehmen versuchen damit, einmal das abzufrühstücken, ändern oft auch wirklich dann was, und sind aus der Presse raus. Das Übliche ist aber, sie sagen: »Nö! Wir gehen vor Gericht. Wir haben eine Rechtsschutzversicherung oder einen Anwalt, den wir sowieso bezahlen, und der soll auch mal arbeiten.« Und man geht also vor Gericht. Und es passiert fast immer, dass der Richter sagt: »Na ja, treffen wir uns in der Mitte, also 10%... Da muss ich am wenigsten Protokoll schreiben.« Das ist so das Incentive wiederum da, und dann kann man es annehmen oder auch nicht. Es ist also fast immer so, dass verhandelt wird. Also eigentlich muss man sagen: Für fast jede Firma würde es sich lohnen, gegen eine Sanktion vor Gericht zu gehen. Für uns wird der Aufwand immer größer. Und es kommt immer weniger dabei rüber. Also nur, dass man das so weiß.

[106] Wolfgang Zimmermann: Ich denke, es ist an dieser Stelle wichtig, dass Recht richtig gestrickt sein muss. Nämlich so, dass klar wird, wann und wo die Beliebigkeiten aufhören. Also in Mannheim, das ist die Stadt mit den schönen sprachlichen Bildern, dort sagt man: »Ich muss wissen, wann mir der Kittel brennt.«4 Und der Kittel brennt in unserem Rechtssystem in dem Augenblick, in dem jemand bei riskantem Tun die Schwelle zwischen Fahrlässigkeit und Vorsatz überschreitet. Es gibt keine Versicherung – wahrscheinlich nirgendwo in der zivilisierten Welt –, die einen Straftäter dagegen versichert, etwa veruntreutes Geld zurückgeben zu müssen. Wenn ich danach betrachte, wie ich Datenschutz organisieren muss, dann muss ich Versicherbares von Nichtversicherbarem klar getrennt halten. Dafür sind auch Randbedingungen des sonstigen Rechts wichtig. Es ist zum Beispiel wichtig, sich zu überlegen: Brauchen wir ein Unternehmensstrafrecht, – das ich in Deutschland bisher nicht habe? Das habe ich ja in anderen Staaten. Also ich kann in anderen Staaten Unternehmen strafrechtlich zur Verantwortung ziehen. Das geht in Deutschland nicht. Ich kann in Deutschland nur natürliche Personen strafrechtlich zur Verantwortung ziehen.

[107] Alexander Dix: Man kann Bußgelder gegen Unternehmen verhängen.

[108] Wolfgang Zimmermann: Jaja, Bußgelder. Aber es gibt keinen Verantwortlichen für die Compliance, keinen »Sitzdirektor«, den ich bei fehlender Compliance direkt und persönlich in Strafhaft nehmen kann. So etwas gibt es in anderen Ländern. Das ist also nicht abwegig. Und nicht ohne Grund kam hier vorhin das Beispiel mit dem Anwalt, der in Frankreich verurteilt und in die Haftvollstreckung genommen wurde, weil er Geheimhaltungspflichten des französischen Rechts gebrochen hatte. Erst dann wird die Sache interessant. Denn dann hat man erstens Aufmerksamkeit für geltendes Recht, und zweitens hat man die Schwelle zu dem Bereich hin überschritten, in dem Rechtsbruch nicht mehr versicherbar ist und auch für den Jahresabschluss nicht mehr einfach abgeschrieben und weggebucht werden kann. Wir müssen deshalb uns im Datenschutz so organisieren, dass wesentliche Fälle von Rechtsbruch für Verantwortliche mit persönlichen Risiken verbunden, hochpreisig und nicht versicherbar sind.

[109] Marit Hansen: Hatte der französische Anwalt das vorsätzlich so gemacht? Er hat ja wahrscheinlich, wenn ich das so richtig verstanden habe, die Aufforderung bekommen, die Auskunft zu geben. Er hat sich dann nicht darum gekümmert, was er noch für eigene Verpflichtungen hat, sondern die ersteren höher gewertet.

[110] Alexander Dix: Er hielt die Nachteile, die ihm in dem amerikanischen Verfahren da drohten, und die massiv waren, für schlimmer als das von ihm unterschätzte Risiko, in Frankreich in den Knast gehen zu müssen. »Bedingter Vorsatz« würde man das juristisch nennen.

[111] Marit Hansen: Und wenn er das Risiko korrekt eingeschätzt hätte... Üblicherweise wird man bei solchen Dingen das Gefängnis als letztes Mittel sehen und erst einmal verwarnen oder irgendetwas anderes machen.

[112] Alexander Dix: Das ist schon ein sehr besonderer Fall. Aber: Es war der Anstoß für den Versuch – zum ersten Mal wurde europäisches Recht auch von der amerikanischen Seite ernst genommen.

[113] Nils Leopold: Die Dialektik des Zuhörens bei dieser Runde ist jetzt bei mir so gelaufen, dass wir nach meiner Wahrnehmung jetzt schon ganz lange im Grunde über dieses klassische Ordnungsrecht debattieren. Und es ist sozusagen interessant für einen ehemaligen ULD-ler – oder immer noch ULD-ler im Ruhestand oder so –, dass gerade die ULD-Vertreter so engagiert bei diesem Ordnungsrecht sind, während wir früher immer diese Personenmonate mit allergrößter Sorgfalt bedacht haben. Und vor dem Hintergrund: Die Runde bezieht sich ja mit dem Vortrag von Alexander Dix auch auf die Verordnung. Und da kommt die Realität ins Spiel. Und die wird für die nächsten Jahre total prägend sein. Wie bewerten Sie, Alexander Dix, die Beachtung der Möglichkeit des Zivilrechts als Weg? Sie haben das ja selber im Vortrag noch mal angedeutet mit dem Kartellrecht, mit dem Wettbewerbsrecht. Haben wir da genug getan? Es gibt beispielsweise diese vielen Vorschläge von Spindler aus seinem DJT-Gutachten, der sozusagen ganz stark noch einmal das Zivilrecht fokussiert.5 Oder gibt es so etwas wie Konkurrenz zwischen den Ordnungsbehörden und deren ordnungsrechtlichen Vorstellungen und auch der klassischen verwaltungsrechtlichen Herangehensweise und denjenigen, die sagen: »Nee, wir können mittelbar ganz gut über das Zivilrecht ran an die Fragen, aber wir haben es noch nicht getan.« Die Verordnung scheint ja mehrere Elemente aufzugreifen und diese Mixtur zu versuchen. Und haben wir da die richtigen Elemente des Zivilrechts mit integriert, um mittelbar steuernd auf die Datenverarbeiter zu wirken? Das würde mich noch mal interessieren, zum Beispiel im Hinblick auf die Produkthaftung.

[114] Alexander Dix: Also da kann auf jeden Fall noch mehr und sollte noch mehr getan werden. Ich meine zum Beispiel, dass im Bereich des Kartellrechts – um das noch einmal mit einem Beispiel zu untermauern: Die Fusion zwischen Google und DoubleClick war ja seinerzeit Gegenstand von Kartellverfahren sowohl in den USA als auch in der Europäischen Kommission. Es gab eine Minderheitsposition in der Federal Trade Commission,6 die gesagt hat: »Durch den Zukauf von DoubleClick entsteht auch eine kartellrechtlich relevante, eine marktbeherrschende Situation (ein Informationsmonopol), die sich auch auf die informationelle Selbstbestimmung der Google-Nutzer auswirkt. Deshalb muss dieses Kartell verboten werden.« Ich vereinfache jetzt. Diese Position hat sich in der Federal Trade Commission nicht durchgesetzt. Und auch in der Europäischen Kommission war das kein tragfähiges Argument, weil die Kartellrechtler immer sagen: »Wir müssen uns darum kümmern, was der relevante Markt ist.« Und dabei spielt individueller Datenschutz eher eine nachgeordnete Rolle, oder bisher ist das nicht in ihrem Koordinatensystem. Da müsste unter Umständen im Kartellrecht auch – und das geht nur auf europäischer oder internationaler Ebene – eine Korrektur passieren. Im Moment läuft noch ein Kartellverfahren gegen Google in der Kommission, da geht es aber um den Ranking-Algorithmus, also weniger direkt datenschutzrechtliche Fragen. Trotzdem wird es wieder interessant sein, ob die Kommission zum zweiten Mal dem Vorbild der Federal Trade Commission folgt und wieder sagt: »Ist alles in Ordnung.« Ich hoffe nicht. Aber das ist jetzt kein datenschutzrechtliches Argument. Im Übrigen meine ich, dass Produkthaftung, so wie Spindler das vorgeschlagen hat, mit Sicherheit verstärkt werden sollte. Das könnte auch etwas für das Design von Technik bewirken, indem nämlich das Risiko, später zivilrechtlich in Haftung genommen zu werden für ein gefährliches Gerät, steigt: Für eine datenschutzunfreundliche oder datenschutzeinschränkende Software, die sich über die Rechte der Nutzer hinwegsetzt oder heimlich irgendetwas weitermeldet an dahinterstehende Institutionen... Das ist ein sinnvoller Ansatz. Ich meine nicht, dass man alle datenschutzrechtlichen Fragen mit Hilfe des klassischen, allgemeinen Zivilrechts lösen kann, das allgemeine Zivilrecht ist aber sehr wohl der richtige Weg, um Persönlichkeitsrechtsverletzungen zu ahnden. Da kommt der Unterschied zwischen Privacy und Datenschutz wieder zum Tragen. Und das war ja auch Gegenstand der Debatte auf dem Juristentag. Also man muss schon ein bisschen schauen, was ist wofür ursprünglich angelegt worden. Aber man darf nicht mehr Datenschutz nur in so einem Elfenbeinturm betreiben, sondern man muss auch darüber nachdenken, wie können andere Rechtsmaterien verstärkend wirken. So sollte auch das Vergaberecht dafür eingesetzt werden, um datenschutzkonforme Produkte zu bevorzugen – eine alte Forderung, die aber immer noch nicht umgesetzt ist. Auch da kann mehr geschehen und sollte mehr geschehen.

[115] Kai von Lewinski: Ich habe eigentlich einen institutionellen Einwurf. Das knüpft auch an die Überschrift von Ihrem Impulsreferat an, Alexander Dix. Sie haben ja über Informationsökologie gesprochen, also einen größeren Rahmen des Informationsrechts jedenfalls angedeutet. Und wir haben ja jetzt auch hier über verschiedene Sanktionsmechanismen – Wettbewerbsrecht, Kartellrecht ist erwähnt worden, Zivilrecht eben – gesprochen und dass man sich Gedanken machen muss, wie man diesen ja dadurch sehr ausgeweiteten Instrumentenkasten, mit dem man datenschutzrechtliche Ziele durchsetzen kann, einsetzen kann. Also, ob man aus Datenschutzbehörden Super-Behörden macht, die möglicherweise kartellrechtliche Eingriffsbefugnisse haben, Sonderkartellbehörden, Technikbehörden, spezielle Gewerbebehörden. Eine solche Zuständigkeitsausweitung würde dem Querschnittscharakter von Daten- und Informationsverarbeitung in der Informationsgesellschaft nicht per se widersprechen. Widersprechen würde es allerdings den ja geschichtlich gewachsenen und jedenfalls mit einer geschichtlichen Logik und Plausibilität ausgestatteten Sonderstruktur der Datenschutzbehörden, dieser Unabhängigkeit, dieser ja gerade nicht aus dem Ordnungsrecht kommenden Aufsichtspraxis. Dies ist schwer miteinander zu verheiraten. Man kann sicherlich nicht das Instrumentarium immer weiter ausweiten, gleichzeitig aber diese in gewisser Weise singuläre Behörden- und Aufsichtsstruktur beibehalten. Man wird nicht eine querschnittsartige Super-Behörde, die fast für alle Lebensbereiche zuständig ist, in dieser unabhängigen Stellung akzeptieren können. Da hilft es wenig, dass sie üblicherweise nicht so eingriffsaffin sind – ULD jetzt mal ein bisschen herausgelassen – und eher das überredende, kommunikative Aufsichtshandeln im Vordergrund steht. Die Diskrepanz zwischen umfassendem Aufsichtsbereich und institutioneller Unabhängigkeit darf nicht zu groß werden, um nicht in konzeptionelle, aber auch in rechtsstaatliche Probleme reinzulaufen.

[116] Alexander Dix: Ich denke nicht, dass Datenschutzbehörden Super-Behörden werden sollten und sie auch nicht ausgebaut werden sollen, sondern umgekehrt: Andere staatliche Institutionen müssen verstehen, dass der Datenschutz auch ihre Aufgabe ist. Ich bringe mal ein Beispiel aus dem Telekommunikationsbereich. Da war ursprünglich vom Gesetzgeber geplant worden, dass die Bundesnetzagentur – eine klassische Kartellbehörde im Grunde, eine spezielle Kartellbehörde – auch für den Datenschutz sorgen sollte. Das war verfehlt. Das hätte dazu geführt, dass Datenschutz – wage ich mal die Prognose – zunächst einmal überhaupt nicht stattgefunden hätte. Deshalb ist in letzter Minute der Bundesdatenschutzbeauftragte da als spezielle Kontrollbehörde installiert worden. Der muss immer noch die Bundesnetzagentur einschalten, wenn er etwas beanstanden will – ich kenne jetzt nicht das genaue Verfahren, aber die wirken zusammen. So stelle ich mir aber im Grunde auch vor, dass außerhalb des Telekommunikationsbereichs spezielle Aufsichtsbehörden mit dem Datenschutz kooperieren müssen. Es geht nicht darum, den Datenschutz immer weiter auf andere Rechtsgebiete auszudehnen oder die Befugnisse der Datenschutzbehörden – da gebe ich Ihnen vollkommen recht. Aber die anderen müssen verstehen, dass sie diesen speziellen Aspekt der Informationsmacht oder möglicher Machtasymmetrien in ihre Entscheidungen mit einzubeziehen haben.

[117] Kai von Lewinski: Muss dann diese datenschutzbezogene Behördentätigkeit anderer Behörden – Gewerbebehörde, Regulierungsbehörde – auch völlig unabhängig sein?

[118] Alexander Dix: Das ist eine gute Frage. Da geht es sozusagen um die genaue Form der Kooperation: Wer hat das letzte Wort in Konfliktfällen. Da habe ich jetzt noch keine fertige Antwort, aber ich meine natürlich, die Datenschutzbehörden müssen zumindest bei der Verhängung von finanziellen Sanktionen – Bußgeldern oder so –, da müssen sie mit Sicherheit völlig unabhängig gestellt bleiben. Und Kartellbehörden haben natürlich auch andere Gesichtspunkte zu berücksichtigen, aber sie sind keine politischen Behörden in dem Sinne. Also wenn eine Regierung zur Kartellbehörde sagt: »Jetzt nimm das mal nicht so ernst, was da Google gerade macht.«, dann dürften die sich auch nicht in ihrer Gesetzesausführung beeinträchtigen oder beeinflussen lassen. Ein gewisses Maß an Unabhängigkeit muss in jedem Fall gewährleistet sein.

[119] Marit Hansen: Dazu noch eine Ergänzung. Durch Kooperation auf Arbeitsebene kann man ja eine ganze Menge hinbekommen, denn vieles, was dann so geregelt wird, da ist ja auch gehaltvoll. Also ich finde es sehr gut, wenn wir das mal alles durchdeklinieren, und das hat, glaube ich, noch keiner gemacht. Man kann sich da viele Verdienste jetzt erwerben. Aber zum Beispiel haben wir erst gemerkt, wie wichtig die Kooperation auch mit der Polizei ist, als unsere Prüfer vor die Tür gesetzt wurden – die wurden nicht hereingelassen. Und stattdessen hat die Firma die Polizei geholt. Und die Polizei glaubte unsere Prüfer entfernen zu müssen, weil sie nicht genau wusste, dass wir ein Zutrittsrecht haben. Inzwischen machen wir das so: Bei jeder Prüfung, wo wir vor Ort sind, sagen wir der lokalen Polizeistation Bescheid. Da kommen wir an – und wir haben übrigens das Recht und wir haben auch Briefe dabei, wo das auch alles draufsteht und so, um einfach da Transparenz hinein zu bekommen... Und teilweise jetzt auch anders herum: Wir hatten ja Call-Center-Fälle in Schleswig-Holstein, wo Beschlagnahme notwendig war, das können wir nicht selbst machen – es ist sogar strittig, ob wir so etwas fotografieren dürfen oder was man alles darf –, aber zusammen mit der Polizei kann man natürlich dann durchaus etwas machen und auch helfen bei bestimmten Formen der Auswertung. Nun muss man wieder aufpassen, wann ist man im Bereich der Strafbarkeit – das nehmen wir erst mal heraus – und wann geht es nur um Bußgelder. Also, ich glaube, da ist noch nicht alles ganz genau durchdekliniert. Auf Arbeitsebene klappt es aber seit kurzem. Also einfach damit man sich dann austauscht. In einem anderen Bereich – Sie hatten auch schon die Technikbehörde erwähnt –: Wir kriegen zunehmend, und das kriegen, glaube ich, alle Kollegen, Briefe von Projekten. Die haben die Aufforderung von ihrem Förderer bekommen: »Bei Euch steht noch nicht Datenschutz drin. Sorgt dafür, dass Datenschutz klappt.« Auch aus Akzeptanzgründen ist das eigentlich eine gute Idee, dass sie darauf gedrängt werden, was zu machen. Das ist schon mal ein bisschen schlecht deswegen, weil sie anscheinend bei der Antragstellung noch nicht daran gedacht haben. Das heißt, sie kriegen jetzt so einen Fremdkörper aufgedrückt. Die schreiben dann ans ULD oder an eine andere Behörde: »Bitte bestätigt, dass das alles OK ist.« Ohne, dass da jetzt irgend etwas beigelegt wird. Und dann kann man erst einmal in einen Diskurs eintreten und feststellen: Natürlich kann ich bestätigen, dass ich einen Brief bekommen habe, aber nicht, dass irgendetwas OK ist. In dem einen Fall – da geht es um Krankenhausdaten – ist es jetzt seit einem Jahr so: Die brauchten halt irgendwie einen Nachweis für ihren Förderer, und wir haben denen sogar angeboten, dass wir da bei Workshops dabei sein werden und so – wo wir eigentlich auch überlegen müssen, wie wir das denn machen, wenn viele Leute anfragen mit den Ressourcen –, aber auch das klappt dann eigentlich nicht. Das heißt also, die haben einen Auftrag bekommen, den erfüllen sie so gut, wie der Förderer das eingefordert hat, und es hat natürlich jetzt nicht zu einer realen Verbesserung des Datenschutzes geführt – wir wissen also immer noch nicht, was Sache ist. Im Zweifelsfall würden die jetzt argumentieren: »Wir haben doch das ULD eingeschaltet.« Und wir würden argumentieren: »Wir haben trotz der Nachfragen...« – ich habe die Akte auf monatlicher Vorlage – »...immer noch nicht die Informationen bekommen.« Also, da haben wir so eine aufgedrängte Kooperation, die wir auch gerne mit Leben füllen würden, aber die oft eben nicht so funktioniert. Das heißt, für jeden Einzelfall müsste man das jetzt einmal durchdeklinieren, und das wäre jetzt ja keine Frage, wo man immer die Unabhängigkeit bräuchte. Aber bei welchen Dingen was passiert, und bis jetzt sehe ich eben, dass in vielen Fällen – also etwa Kartelldiskussionen – gar nicht auf die Idee gekommen wird, dass das auch was mit Datenschutz zu tun hat. Und das ist, glaube ich, das größere Problem. Vielleicht ist das wieder eine Frage des Gesamtbewusstseins oder der Sichtbarkeit... Und ein paar Probleme, die hatte ich mir gar nicht vorstellen können: Wer nach TMG zuständig ist, dass das nicht geklärt ist und einheitlich. Also, das ist ja handwerklich danebengegangen.

[120] Andrea Knaut: Also, ich finde die Diskussion inzwischen schon sehr juristisch: Wie regeln wir auf behördlicher und sehr bürokratischer Ebene bestimmte Privacy-Probleme? Und eigentlich ist es sehr weit weg von denen, die wir schützen wollen, sozusagen von dem vielleicht auch von einigen problematisch empfundenen individualistischen Ansatz. Ich fand die Diskussion über die PETs fast ein bisschen interessanter, insofern, dass es für mich als Nutzerin ein einfacherer Weg ist, persönlich meine Rechte zu schützen. Ich nehme mir TOR, ich nehme mir PGP, und Leuten, die auch relativ schwache Teilnehmer von gesellschaftlicher Kommunikation sind, denen oder mir selbst sage ich vielleicht: »Geh zur Datenschutzbehörde, dann kannst Du vielleicht eine Eingabe machen, oder die helfen Dir vielleicht, Auskunft zu bekommen über irgendwelche Daten, die über Dich gespeichert sind. Aber das ist nur ein Weg von vielen, wie Du Deine Rechte schützen kannst.« Diese behördliche, juristische Diskussion wird ab einem gewissen Maß so dermaßen unpolitisch. Und wenn es dann dahin geht zu sagen: »Ja, wir verbessern den nPA.«, »Wir fördern vielleicht sogar ein Identity Management.«, dann sage ich: Das ist überhaupt nicht mehr im Interesse der Betroffenen. Da muss ich dann zurück zu Basics: Recht auf Anonymität. Ansonsten ist das einfach eine Förderung von einer Art der Staatlichkeit, die man eigentlich mit dem Datenschutz bekämpfen wollte. Damit meine ich nicht den Rechtsstaat – gerade dieser muss ja gestärkt werden. Aber dann darf ich es nicht so verbürokratisieren, dass am Ende wieder ein riesiger Apparat da ist, bei dem eigentlich nur noch nachgeschaut werden muss, wen ich – sobald es ins Totalitäre kippt – irgendwie in eine unterlegene Position bringen kann.

[121] Joris van Hoboken: I think that this question—and also the previous discussion—touches on the political position of data protection authorities in our societies. I want to go back to something that Seda Gürses said which goes also towards your point: »Why are data protection authorities not advising people how they can give the wrong data and how to strategically kind of obfuscate their identities?« It‘s not in their set of instruments to give this kind of advice which could indeed be very helpful for people. There are lots of strategies that you can use to prevent certain organizations from doing things with data about you. But it is because of the institutional position of data protection authorities in our societies that they‘re not likely to go about giving this kind of advice. There is also a larger question about politics. There has been a number of cases where data protection was really on the political map. And I think SWIFT—the hole SWIFT case, all of our financial data is shipped to the United States—is a good example of this. I know what happens in the Netherlands with this. And it turned out that not only the banks but also the Dutch national bank knew very well what was happening with the data. But they didn‘t do anything. They also didn‘t feel that they needed to talk with the DPA about this. And you know, this says something about the power the data protection authorities have. In the major cases of the last decade they didn‘t win. Should we expect then that people really feel that there is something going on there that is really helpful? No. The people that are experts in this, they don‘t think that data protection authority—when it comes to the point—that they really have the power to stop things, or to do things. There will be a discussion, there will... and then it will be pushing, pushing, pushing, and after six years it became so complicated—like in the PNR case or in the SWIFT case—that nobody really understands anymore what this is about.

[122] Marit Hansen: So what do you propose? Should there be a role change of DPAs? Or should other institutions such as civil rights organizations be promoted?

[123] Joris van Hoboken: I propose class action possibility. I propose strengthening of civil law measures on selected issues. I propose punitive sanctions on non-compliance with certain very clear rules like access to your data or not correcting the data within reasonable periods of time. So, like very specific measures that allow for enforcement by others than data protection authorities. I think that would just help tremendously. I propose giving more money to do research. I propose things like the possibility of resistance to these kinds of systems in ways that hackers are trying to make technologies and systems transparent. I think there are lots of possibilities there to provide for the lawful possibility of certain types of electronic civil disobedience.

[124] Jörg Pohle: Die ganzen Diskussionsstränge, die jetzt immer wieder auftauchen, die hängen alle miteinander zusammen, und ich glaube, die gehen alle auf die konzeptionelle Trennung zwischen Datenschutz und Privacy zurück. Wenn man das einfach mal von außen rückblickend für die Diskussion betrachtet, dann stellt man fest: Der Datenschutz beschreibt ein sehr eng umgrenztes Problem, das aber sehr genau. Und dann hat er für dieses Problem oder für diesen Problembereich eine Lösungsstruktur und eine passende Behörde umgesetzt. Privacy macht etwas Anderes. Es gibt Überschneidungen, aber es gibt auch viele Bereiche, die sich nicht überschneiden. Wenn man jetzt sowohl das Datenschutzrecht als auch die Aufsichtsbehörden um Dinge erweitert, die weit über den eng beschränkten Datenschutzbereich hinausgehen, dann besteht die Gefahr, dass die Möglichkeiten der sinnvollen Beschreibung, einer sinnvollen Problemlösungsstrategie kleiner werden. Man kann die nicht mehr so gut beschreiben und angehen. Das System ist dann vielleicht besser in der Lage, mehr Fälle abzudecken, mehr Bereiche abzudecken, vielleicht auch mehr Interessen abzudecken, mehr Bedürfnisse abzudecken, aber es ist nicht mehr so gut darauf zugeschnitten. Das verliert man dann. Und deshalb kann es durchaus sein, dass es einfach zwei getrennte Bereiche gibt, und der Datenschutzbereich macht dann Datenschutz und ist strukturell nicht in der Lage, Privacy zu machen. Dafür kann er aber eben Datenschutz sehr gut. Er ist hochspezialisiert, aber sehr beschränkt. Hoch spezialisiert in diesem Bereich, aber sehr beschränkt auf diesen Bereich. Und das Problem ist, dass die meisten Betroffenen, die dem gegenüberstehen, nicht dieses Strukturelle sehen, die Struktur, die dahinter steht, also den Datenschutz, sondern aus einer sehr subjektiven Sicht nur einen Blick darauf haben. Also: Die Betroffenen haben ein Interesse an Privacy, und der Datenschutz versteht nun, dass die Betroffenen ihr Privacy-Interesse nur durchsetzen können, wenn es Datenschutz gibt. Aber darüber erreicht man dann die Betroffenen nicht. Und deshalb braucht es eigentlich dann vielleicht zwei unterschiedliche Strukturen, nämlich eine Datenschutz-Struktur und eine Privacy-Struktur. Und die sind dann auch getrennt.

[125] Joris van Hoboken: But do you mean that the examples I gave are about privacy and not about data protection?

[126] Jörg Pohle: Teilweise. Je nachdem, ob man die zugrunde liegende Struktur betrachtet oder den Umgang der Betroffenen damit.

[127] Marit Hansen: Aber wir haben in Bezug auf diese Rolle auch über die Zeit eine Änderung. Also zum Beispiel: Zum ersten Mal wurde es mir bewusst, glaube ich, so während der Krypto-Regulierungsdebatte, also Ende der 90er. Wir haben behauptet, und andere haben das weiter ausgeführt, dass es verfassungswidrig wäre, wenn man jetzt diese vorgeschlagenen Regelungen verwenden würde. Angenommen, es wäre aber ein Gesetz, selbst wenn das gerade gechallenged ist auf Verfassungsebene, müssten wir uns dem unterwerfen als Aufsichtsbehörde und sagen: »Das ist jetzt OK.« Selbst bei AN.ON, wo wir ein Anonymitätsprojekt haben, haben wir mit der Bundesnetzagentur geredet: »Was bedeutet die Vorratsdatenspeicherung für AN.ON? Also, wie verhalten wir uns compliant?« Natürlich haben wir auch überlegt, wo kann man AN.ON-Server aufbauen im Ausland, die dann außerhalb des Bereichs der Vorratsdatenspeicherung liegen würden. Aber, uns geht es erst einmal darum, innerhalb der Regeln das möglichst gut zu machen. Ein jüngstes Beispiel waren die Rundfunkgebühren. Der Vermieter soll laut Staatsvertrag Auskunft geben über seine Mieter. Wir haben das kritisiert. Und im Augenblick haben sich alle Länder darauf geeinigt, dass diese Regelung zwar im Staatsvertrag steht – viele Länder hatten das nämlich schon unterschrieben, als dann die Kritik erst ins Bewusstsein sickerte –, aber sie wird jetzt nicht gelebt. Und das passiert anscheinend häufiger, dass wir rechtliche Regelungen haben, und alle einige sich darauf: »Das machen wir jetzt grad nicht.« Einfach, weil der Aufschrei dann doch größer war. Das heißt also, einmal sollen wir im politischen Feld der Gesetzgebung agieren. Wir haben da oft sehr starke Positionen und sagen: »Das darf überhaupt gar nicht passieren!« Und eventuelle kommt es trotzdem. Also, das wird jetzt aus anderen Gründen hoffentlich demnächst aufgeräumt, da bin ich optimistisch. Aber, das bedeutet im Endeffekt, wenn das Gesetz eben ist – Vorratsdatenspeicherung –, können wir weiter unterstützen, dass das vor dem Verfassungsgericht fällt oder so – und das ist ja auch in Deutschland im Augenblick noch der Fall –, wir können uns auch für Diskussionen einsetzen, wo die Handlungsoptionen deutlicher werden, und dass wir die überhaupt sehen können und verfolgen können, das finde ich wichtig, aber im Endeffekt, wenn das nachher Gesetz wäre, dann wäre das etwas, an dem wir auch nicht direkt vorbeikommen. Und deswegen: Class action finde ich total wertvoll, wenn wir andere Methoden noch haben, um tatsächlich eine Änderung zu erreichen. Und ich denke auch deswegen, dass Bürgerrechtsorganisationen immer weiter ihre Wichtigkeit haben. Und ich unterstütze stark Selbstdatenschutz-Tools. Ich sehe aber, dass viele von denen, die uns einschalten als Aufsichtsbehörde, weder technisch noch von der Intelligenz oder von dem, wie sie sich ausdrücken, in der Lage sind, ihre Rechte tatsächlich wahrzunehmen. Ein großer Teil wird auch gar nicht auf die Idee kommen, einen Brief oder eine E-Mail an uns zu schreiben, sodass wir also immer welche haben, die wahrscheinlich bei der Rechtewahrnehmung aus verschiedenen Gründen herunterfallen. Aber vielfach sind das eben die, die nicht ihre Rechte sehen oder wahrnehmen könne oder erst uns einschalten, wenn es eigentlich schon zu spät ist. Das heißt also, die Starken zu befördern, finde ich weiter wichtig – also Schüler natürlich mit Tools voran zu bringen, dass wir auch selbst die Nutzungsmöglichkeiten haben für uns, also PGP können und so etwas, dass es also auch etwas ist, das bei uns normal sein sollte. Auch da haben wir ja noch andere Probleme. Aber ansonsten ist eine der Rollen jedenfalls, die wir einnehmen, dafür da, dass es nicht nur reicht, aus Bürgerrechtssicht voranzugehen, sondern eben tatsächlich das durchzudeklinieren, was im Gesetz steht – mit den Einschränkungen, wenn da Dinge drin stehen, die aus unserer Sicht nicht in Ordnung sind.

[128] Alexander Dix: Wenn ich das noch kurz ergänzen darf. Weil Sie das Beispiel PNR gebracht haben. Da hat Marit Hansen völlig zu Recht darauf hingewiesen: Wir machen nicht die Regeln. Auch bei PNR haben wir nicht die Regeln gemacht. Wir haben sie bekämpft. Das Europäische Parlament hat dem aber letztendlich zugestimmt. Wir sind jetzt gerade wieder in einer Situation, wo Europa und die USA eine Freihandelszone aushandeln wollen. Da besteht erneut die Gefahr, dass in einem großen Paket, in das alles Mögliche – Hygienevorschriften, Patentrecht, Urheberrecht – hinein gepackt wird und natürlich die geballte Wirtschaftskraft entfesselt werden soll, der Datenschutz unter die Räder kommt. Und der Gesetzgeber ist da gefordert. Der Europäische Gesetzgeber muss sagen, was er von diesem Grundrecht übrig lassen will in einer solchen Freihandelszone.

[129] Joris van Hoboken: But this is exactly what I mean. But I‘m not confident that data protection authorities will win when it really comes to the point that there is a battle. They didn‘t win with PNR, they didn‘t win SWIFT.

[130] Alexander Dix: Bei SWIFT gebe ich Ihnen recht. Das ist eine andere Situation. Bei der Durchsetzung geschehener Regeln sind möglicherweise da Fehler gemacht worden. PNR ist etwas anders.

[131] Joris van Hoboken: There is a willingness to win but in the really big cases the data protection authorities didn‘t win. And I know also in the Dutch context when not so long after Jacob Kohnstamm started as the new DPA‘s head there was a new chip card system for public transport being discussed and it‘s now being debated for ten years in the Netherlands. And Jacob Kohnstamm at some point said—it was an event we organized, bits of freedom, the Big Brother Awards, and we had Jacob Kohnstamm as a speaker, and the transport card system, they won one of the awards—Jacob was there and he said: »You guys have a problem.« And a year later they didn‘t have a problem anymore. There was a little bit of talking between the government and the DPA, there were a lot of other things that they needed to have done and they needed to have political negotiations, and they decided not to enforce the way they were planning to do it. And this is, like time and again, in the bigger cases, is what I see happen with the data protection authorities, and I actually can see, looking back at the last 15 years of the Dutch data protection authority, I don‘t see in any clear victory in any of the major privacy debates. There is always a willingness to engage and push as far as they can get but not in a way that‘s of »Here is a line.« and then hold that line. And I‘m very, very worried about what happens with the US–EU trade negotiations. It is not a coincidence. Some people think, that has been going for about a month that U.S. officials have been saying: »This is gonna be a trade war!« And now with the trade negotiations it‘s clear that also in the Commission Barroso is mobilized against Reding. It‘s clear that trade negotiations are more important for European politicians than Datenschutz.

[Große Diskussion außerhalb des Protokolls über einen Themenwechsel zurück zu einem früher besprochenen Bereich.]

[132] Martin Rost: Ich möchte darauf hinweisen, dass natürlich auch Datenschutz-Aufsichtsbehörden einem check and balances ausgesetzt sein müssen. Es darf auch in Sachen Datenschutz kein allerletztes Wort geben. Dafür muss man sorgen, erstens. Zweitens: Die Qualität der Prüfungen durch Aufsichtsbehörden ist schlecht! Wie wir auf der Ebene von Technik und Organisation methodisch prüfen, ist Mist! Ich rede jetzt nicht von den Juristen. Aber was wir dann umsetzen von Recht in Technik, ist schlecht. Wenn ich konkret als Prüfer losgehe, sehe ich Kollegen, die Checklisten, die zwanzig Jahre alt sein können, abarbeiten und dann irgendwas feststellen. Die IT-Sicherheitsleute haben dagegen BSI-Grundschutz, die haben eine Methodik zur Feststellung, ob die IT-Sicherheit einer Organisation wirklich taugt oder nichts taugt. Das hat in den letzten fünf, sechs Jahren dazu geführt – auch im ULD –, dass Datenschutzprüfer im besten Falle IT-Sicherheit prüfen. Sie haben das Datenschutzprojekt komplett aus den Augen verloren. Die IT-Sicherheit hat keine gesetzlichen Normen, vom Bund abgesehen, sondern der Datenschutz hat die Normen, die die IT-Sicherheit für ihren Job braucht. Die IT-Sicherheit holt sich die Normen aus dem Datenschutz ab, macht damit dann aber auch nur IT-Sicherheit. Und unsereins holt sich wiederum die Methoden vom IT-Grundschutz, und macht damit ebenfalls vor allem IT-Sicherheit. Und vielleicht kommt da noch ein ganz kleines bisschen Datenschutz über Protokollierung dazu, aber eigentlich auch nicht. Mit der Folge, dass Datenschutz und IT-Sicherheit schon gar nicht mehr auseinander gehalten werden. Und noch eine Pointe, noch ein überspitztes Argument: Die IT-Sicherheitsleute bekommen gerade ihre eigenen gesetzlichen Grundlagen mit den eGovernment-Gesetzen, mit dem nPA-Gesetz, mit dem Bürgerportal-Gesetz, mit der Informationssicherheits-Leitlinie, die jetzt zur CeBIT verabschiedet werden wird, die für die gesamte öffentliche Verwaltung zu gelten hat. Damit kann man die Ordnungsmäßigkeit der IT-Sicherheit feststellen. Das können dann allerdings auch Innenministerien machen. Dafür braucht man nicht länger die Datenschützer. Und die Datenschützer haben keine Methoden. Das heißt, der Erfolg der Datenschützer in den letzten zehn Jahren, dass sie nicht mehr als Paria am Katzentisch irgendwo sitzen, sondern in IT-Dingen gefragt werden, der geht jetzt vorbei. Man braucht uns absehbar überhaupt gar nicht mehr. Es sei denn, dass die Aufsichtsbehörden es langsam schaffen – das ist nämlich der zweite Punkt als Antwort auf Kai von Lewinski – die Qualität ihrer Arbeit zu verbessern. Diese muss ihrerseits den Schutzzielen genügen. Sie muss transparent sein. Wenn ich als Prüfer auf eine Organisation zugehe – die haben einfach Angst. Und ich muss ihnen erst einmal die Angst nehmen, dass da jetzt nicht etwas Beliebiges über sie hereinbrechen wird. Ich muss ihnen sagen: »Das und das erwarten wir. Das steht dort und dort im Gesetz.« Aber was folgt daraus? Wir haben ja sogar eine Verordnung in Schleswig-Holstein. Der lässt sich entnehmen: »Wir wollen zum Beispiel einen Netzplan jetzt mal von Euch haben. Wir wollen wissen, wo die Schnittstellen der Datenbanken sind. Das könnt ihr alles. Zum Teil wisst ihr das auch.« Also, so bedrohlich ist das Ganze nicht. Es muss darum gehen, dass die Aufsichtsbehörden jetzt – spätestens jetzt – die Arbeit professionalisieren, die sie machen. Die befindet sich auf nur handwerklichem Niveau. Wir gucken auf Bildschirme und versuchen nachzuvollziehen, was für eine Datenverarbeitung da hinten in den komplexen Maschinen geschieht. Das ist einfach eine absurde Prüfsituation, die Art und Weise, wie im Moment noch eine Prüfung gestaltet ist, wenn ich rausgehe. Ich kann doch eigentlich nur mit Maschinen Maschinen prüfen. Wir brauchen Prüfmaschinen dieser Art. Und eine Sache muss ich jetzt noch anzeichnen... Das soll dann eine Antwort auf Alexander Dix sein. Wenn wir über Anonymisierung und Pseudonymisierung sprechen. Zunächst einmal muss der Jurist methodisch feststellen: Haben wir normalen Schutzbedarf? Haben wir hohen Schutzbedarf? Oder haben wir sehr hohen Schutzbedarf? So machen es die IT-Sicherheitsleute nach BSI. Wenn wir keinen Schutzbedarf haben, dann können die Beteiligten schlicht identifiziert werden. Bei normalem Schutzbedarf können wir vielleicht ein einfaches Pseudonym benutzen. Und in anderen Fällen bedarf es eines Rollenpseudonyms, an das man sogar eine Reputation binden kann und das unter der Kontrolle des Nutzers aufgedeckt werden können soll. Stellt ein Datenschutzjurist hohen Schutzbedarf für diese Daten fest, dann würde man ein Transaktionspseudonym benutzen oder Credentials. Und hier, bei sehr hohem Schutzbedarf, wie er bspw. für Wahlen über Internet gelten muss, deren Legitimation nicht infrage stehen darf, sollten wir Anonymität herstellen. Und das heißt: Das ist das Mindeste, was ich von Datenschützern eigentlich methodisch verlange, dass sie zu dieser Art von Skalierbarkeit für bestimmte Use Cases in der Lage sind – sind wir aber nicht drin geübt. Die IT-Sicherheitsleute sind darin methodisch geübt, deswegen haben die uns gerade in der Gestaltungspraxis komplett übernommen.

[133] Nils Leopold: Ich würde gerne auf die Professionalisierung noch kurz reagieren. Meine Sorge, wenn es um diese Selbstwahrnehmung der Aufsichtsbehörden geht und diese Rede von der Professionalisierung der Aufsichtsbehörden, dass das in eine Richtung geht, die dann letztlich handhabbare Prüfungsläufe, schmissige Schlagworte und so ergibt, und man eben nur das macht, was man aus Vorlagen in anderen Bereichen da auch schon ausgearbeitet hat. Dass man sich eben auf die BSI-Geschichten alleine konzentriert, und dann darüber vielleicht – Sie haben das ja selbst angesprochen – die klassische juristische Arbeit, die man da zum Beispiel auch machen muss, hinten herunterfallen lässt. Man hat das Problem, dass man auch bei einer Prüfung komplexe Sachverhalte vor sich hat, man hat die IT-Seite und dann hat man aber auch die rechtliche Seite. Und man muss die komplexe Bewertung machen: Ist für diese Geschichte eine Rechtsgrundlage da oder nicht? Wenn es sozusagen über eine Einwilligung zu lösen ist, sind die Voraussetzungen dieser Einwilligung gegeben? Das ist eine aufwendige Geschichte, bei der mit so einem schmissigen »Wir professionalisieren uns hier.« unklar bleibt, was das heißt. Da muss man schauen, was bedeutet das dann konkret.

[134] Marit Hansen: Na gut, aber Martin Rost sieht ja nicht nur für die Bewertung »normal«, »hoch« o. Ä. die Juristen vor, sondern natürlich geht es da noch um mehr, um viel wichtigere Sachen. Ich finde es gut, dass inzwischen oft Datenschutz-Prüfungen zusammen aus Sicht von Recht und von Technik ablaufen. Das ist ja nicht immer der Fall.

[135] Martin Rost: Primat des Rechts. Na, aber selbstverständlich. Aber dann muss man sich auch darum kümmern, wie man aus der Sollens- in die Seins-Sphäre kommt. Und das bitte transparent, integer, nicht-verkettbar – also mit den eigenen Schutzzielen als Maßstäbe der Transformationen vom Sollen zum Sein – das Radbruch-Problem – und umgekehrt vom Sein zum Sollen. [Großes Durcheinander und Aufklärung eines Missverständnisses.]

[136] Nils Leopold: Ich wollte noch einmal einen anderen Punkt ansprechen. Ich wollte reagieren auf Ihren Beitrag, Frau Knaut, zu diesen Tools. Und was ich da heraushöre, ist jetzt ein Punkt, der ganz oft in politischen Debatten und im Datenschutz eine Rolle spielt: »Ich möchte selbst etwas machen können. Wie kann ich mich selber schützen? Ganz praktisch.« Das taucht ja immer auf. Und das Interessante ist, dass Unternehmen beispielsweise in solchen Diskussionen dann in die Hände klatschen und ganz große Zustimmung zeigen und das dann auch gerne noch mal ein bisschen drehen in Richtung Medienkompetenz, und dass die Leute sich eben einfach schlau machen und fit machen müssen, und dann machen wir noch eine Einwilligung, da kann man hier ankreuzen.

[137] Alexander Dix: Und die das nicht machen, sind selber schuld.

[138] Nils Leopold: Genau! Also, das ist im Grunde, was wir erlebt haben in den letzten Jahren, zumindest in der politischen Debatte. Es ist so eine Art – ich sage es in Anführungsstrichen, weil ich die ganzen Konnotationen gar nicht haben will – so eine »Neoliberalisierung« dieses Diskurses dahingehend, dass der Einzelne seines Glückes Schmied ist, und dann natürlich hinten runter fällt, dass Datenschutz aber immer schon ein ganzes Bündel von Komponenten und Elementen beinhaltet, die in der Gesamtschau dann einen gewissen Schutz bieten sollen. Und diese Komponenten, die sich eben direkt an den Datenverarbeiter wenden und ihn adressieren und ihm Pflichten auferlegen, wie er seine Daten verarbeitet, das sind natürlich Komponenten, mit denen man strukturell und präventiv möglicherweise viel mehr erreichen kann. Und das interessante in der verfassungsgerichtlichen Rechtsprechung ist, dass das eben aufgegriffen wird, dass da ein neues Grundrecht erfunden wird, das primär auf diesen Faktor abstellt, also nicht auf diese dezisionale Selbstbestimmung und so; also: »Was kann ich machen?« und »Welches Tool benutze ich?« Da wäre übrigens meine Frage an Andrea Knaut dann: Was geht denn jetzt schon? Was ist mit Ghostery, diesem Tool? Was gibt es und was funktioniert? Und was wird effektiv von den Menschen genutzt? Aber, das ist interessant, dass man den ganzen Blick dort gewendet hat in Karlsruhe und beispielsweise ein Grundrecht erfunden hat, das auf diese strukturelle Komponente abstellt und Datensicherheitsanforderungen festlegt und sagt: »Da setzen wir an und da wollen wir präventiv, ganz früh ansetzen, um eben den Einzelnen zu entlasten.« Das ist auch eine Entlastungsidee, um in diesem Rundumschutz dieses Datenschutzpakets strukturell zu wirken. Dass am Ende nicht der Einzelne allein dasteht mit dem Problem, sondern wichtige Faktoren vorher abgeräumt werden. Das ist also, finde ich, für das politische Verständnis dieser Datenschutzdiskussion wichtig. Und das entspricht ja natürlich auch ein bisschen dem, was Marit Hansen sagt, dass viele mit dem Problem des Selbstschutzes überfordert wären oder sind, und viele es auch einfach nicht wollen. Die sagen: »Ich will mich damit nicht befassen.«

[138] Jörg Pohle: Das sind aber wieder zwei Sachen, die man trennen muss: »Ich will mich damit nicht befassen, aber ich will das haben.« Und bei Infrastrukturen ist es ganz oft so: Die sind einfach da. »Der Strom kommt doch aus der Steckdose.« Infrastrukturen haben die Eigenschaft, dass sie erst zum Problem werden, wenn sie nicht mehr da sind. Und ich glaube, das beim Datenschutz eben genau das gleiche ist. Und deshalb lässt er sich wahrscheinlich so schlecht vermitteln. Deshalb ist die Behörde, die dafür zuständig ist, ihn durchzusetzen, gleichzeitig so schlecht geeignet, um ihn den Betroffenen zu kommunizieren. Und deshalb sind die Dinge, mit denen die Betroffenen sich an so eine Behörde wenden oder sich überhaupt fragend an jemanden wenden, Dinge, die sie aus ihrer Sicht dann sehen, und dann eben nicht dieses Strukturelle betreffen, sondern ihren eigenen Blick darauf und ihre eigene Benutzung davon. Und ganz viel hängt da dann an Privacy.

[139] Andrea Knaut: Aber die Datenschutzbehörde könnte radikaler die Rechte der Betroffenen verteidigen: Sie kümmert sich nicht nur um eine Linderung des »Schlimmen«, sondern sie kämpft vehement dafür, dass es gar nicht erst eingeführt wird.

[140] Marit Hansen: Beim nPA hat es ja einigermaßen geklappt, beim ePass waren die Datenschützer nicht gefragt.

[141] Andrea Knaut: Ja, und beim Elektronischen Aufenthaltstitel hat es auch nicht geklappt. Also, dessen InhaberInnen sind verpflichtet, Fingerabdrücke abzugeben. Und das ist ein Desaster.

[142] Es geht gar nicht so sehr darum, die Verantwortung in die Hände der Betroffenen zu legen, sondern den hochgebildeten, wissenschaftlich ausgebildeten Menschen in den Behörden einen wirklichen Rechtsstaatsschutz abzuverlangen. Die müssen sicherstellen, dass es zum Beispiel keine Wahlcomputer gibt. Die müssen sicherstellen, dass entweder das Meldegesetz endlich abgeschafft wird oder dass diese Geschichte, die jetzt passiert ist im letzten Sommer, dass beinahe die Daten per Gesetz so einfach hätten weitergegeben werden können an beliebige Unternehmen, dass solche Dinge nicht passieren.

[143] Ich sage es jetzt mal ganz platt: Welche Existenzberechtigung hat so eine Behörde, wenn nicht als Anwalt der schwächsten Glieder der Gesellschaft zu wirken?

[144] Alexander Dix: Diese Behörden können durchaus diese Argumente alle bringen, aber noch einmal: Die Datenschutzbeauftragten machen nicht die Regeln. Das macht das Parlament. Und wenn das Parlament so abwegige Entscheidungen trifft wie im Sommer beim Italien-Spiel, dann kann man nur versuchen, da Öffentlichkeit herzustellen und sagen: »Was ist denn da los? Und kann man da vielleicht noch mal zu einer vernünftigen Regelung kommen?« Aber die Datenschutzbeauftragten haben sich auch nicht dafür eingesetzt, dass der Fingerabdruck auf den Pass kommt. Sie haben gerade mal erreicht, dass er beim neuen Personalausweis ein freiwilliges Feature ist, und raten auch davon ab jedem, der so einen neuen Ausweis kriegt, den Fingerabdruck darauf zu bringen. Aber keine Behörde ist in der Lage zu sagen, wie die Regeln sein sollen. Darüber beschließt letztlich der gewählte Gesetzgeber. Das gilt auch auf europäischer Ebene. Und damit müssen wir leben. Wir können alles einsetzen, um auf diesen Prozess Einfluss zu nehmen, was wir haben. Das ist manchmal nicht ausreichend. Aber die Regeln sind dann da. Wir können auch wieder versuchen, sie zu ändern, wenn sie mal da sind. Aber wir haben sie nicht gemacht.

[145] Andrea Knaut: Aber so wird man auch zum Legitimationsinstrument.

[146] Jörg Pohle: Datenschutz ist Legitimationsinstrument. Das ist sozusagen die Grenze des Datenschutzes. Und das ist der Grund, warum der Datenschutz für das, wie wir sonst mit der Informationsgesellschaft umgehen, eben nicht das Ende sein kann. Der Datenschutz gibt ein Mindestmaß an Schutz. Aber nicht mehr. Und ein bisschen hat das ja etwas mit einem Heilsversprechen zu tun, wenn man sich dann an die Datenschutzaufsichtsbehörden wendet und von ihnen Hilfe haben will. Aber es gibt dann eben auch Grenzen, und nicht alles können die leisten. Und die Frage ist dann eher, ob man nicht auch sagt: Nein, das sollen die auch gar nicht leisten, denn das würde eher nur dazu führen, dass sie in ihrer Kernfunktionalität schlechter werden. Oder dass sie nicht mehr genug Zeit haben, um ihre Kernaufgaben zu erledigen.

[147] Alexander Dix: Es gibt natürlich immer noch Situationen, das hat Marit Hansen vorhin gesagt, wo man dann Regeln (Datenverarbeitungsbefugnisse), die einmal beschlossen worden sind, »unterfliegen« kann und dafür sorgen kann, dass sie nicht ausgeschöpft werden – Rundfunkgebühren-Staatsvertrag, oder StudiVZ hatte auch mal in seinen Geschäftsbedingungen drinstehen: »Ihr müsst Euch alle personenbezogen registrieren.« Dann haben wir ihnen gesagt: »Ist rechtswidrig. Lasst das mal besser sein.« Das haben sie dann auch gemacht. Aber ihre Geschäftsbedingungen haben sie unverändert gelassen. Da gibt es dann also eine Differenz zwischen Norm und Realität. Dafür können wir uns auch einsetzen. Aber wir können die Regeln nicht von uns aus verändern.

[148] Michael Plöse: Ich würde davor warnen, Behörden hier zu Advokaten von Bürgerinnen und Bürgern zu machen [Unruhe und ausbrechender Streit] und zwar nicht, weil ich nicht der Meinung wäre, es wäre notwendig – das glaube ich schon. Aber meine Beobachtung ist auch ein fortschreitender Prozess der Entpolitisierung, und zwar gerade im Bereich der Freiheitsrechte. Also, was ich mir eigentlich viel stärker wünschen würde, ist eine ganz breite Form der Aufklärung, also eine Politisierung. Dass sozusagen die Behörde von sich aus eine auch notfalls gegen die Regierung gerichtete oder gegen die Regierungspolitik gerichtete Aufklärung betreibt, die die Bürger dazu bringt, ihre Freiheitsrechte selbst in Anspruch zu nehmen und zu verteidigen. Da will ich jetzt nicht auf ein neoliberales Gleis abgleiten, aber meine Beobachtung ist schon, dass Bürgerrechtsgruppen nicht mehr auf der Straße ihre Forderungen adressieren, sondern in Karlsruhe Verfassungsbeschwerden einlegen. Das heißt also, unsere politische Auseinandersetzung ist zunehmend eine juristische Auseinandersetzung geworden. Und das kann es ja eigentlich nicht sein, wenn es um die Verteidigung von Freiheiten geht, die auf der Grundlage von Zielkonflikten und Ressourcenerwartungen verhandelt werden. Natürlich würde ich sagen, aus der Sicht des Datenschutzes habe ich eine klare Vorstellung von dem, was geleistet werden muss, um Datenschutz herzustellen. Und andererseits aber möchte ich nicht dafür bezahlen, dass ich mich mit Freundinnen und Bekannten vernetzen kann oder sonst irgendwas. Das sind natürlich total widersprüchliche Interessen. Und die müssen nun gesellschaftlich verhandelt werden. Dazu braucht es einen politischen Prozess. Ich finde, die Aufgabe der Behörde ist es einerseits, die Konsequenzen politischer Entscheidungen darzustellen und die Menschen dadurch in die Lage zu versetzen, damit möglichst selbstbestimmt umzugehen, und andererseits eben diesen Schutz ihrer Datensouveränität ungeachtet der Begehrlichkeiten durch Markt und Staat herzustellen, soweit es eben möglich ist. Der Gedanke ließe sich sonst bis ins Absurde weitertreiben, wo dann irgendwann die Super-Behörde anfängt, an Stelle des Verfassungsgerichts den Gesetzgeber zu beschränken.

[Pause]

[149] Jörg Pohle: So, wir haben jetzt im ersten Teil des heutigen Tages vor allem über die rechtliche Seite gesprochen, an ganz vielen Stellen aber aus den unterschiedlichen Perspektiven, die hier beteiligt sind. Und jetzt wollen wir ein bisschen über die informatische Seite, aber auch wieder aus allen beteiligten Perspektiven, sprechen – nämlich genau über Technikgestaltung und die Möglichkeiten, die es da gibt, die Notwendigkeit von Zusammenarbeit – Martin Rost hat ja schon darauf hingewiesen, dass die jeweiligen Grundlagen immer rechtlich gelegt werden müssen und auch rechtlich bewertet werden müssen und dass sie erst dann abgeleitet werden können. Und dass insbesondere auch sichergestellt werden muss, dass nicht die Technikerinnen und Techniker die Entscheidungen und Abwägungen treffen.

[150] Marit Hansen: Also nicht aus technischer Sicht. Wer welche Vorbildung hat, darum geht es jetzt nicht.

[151] Jörg Pohle: Ja, genau, das stimmt. Dass »die Technik« nicht die Entscheidung treffen darf, dass das durchaus aber Technikerinnen und Techniker sein können, wenn sie das können. Wir haben eigentlich seit 1977 im Datenschutzrecht – damals war es § 6, jetzt ist es § 9 BDSG – geregelt, Stellen haben »die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes zu gewährleisten.« Ich habe jetzt den Teilsatz herausgenommen, der sagt: »insbesondere die in der Anlage...« Das einzige, was immer gemacht wird, ist das, was in der Anlage steht. Das, was eigentlich nie gemacht wird, ist der Rest »der Vorschriften dieses Gesetzes« – darüber zu reden, wie man dies technisch umsetzen kann. Das ist erst hinten herum hereingekommen über die PET-Debatte in den 90ern, obwohl das eigentlich ja – insbesondere auch vor dem Hintergrund der Kybernetiker, die sich an der Diskussion beteiligt hatten – überraschend ist. Wie kann man denn oder wie sollte man denn oder welche Möglichkeiten gibt es denn überhaupt, Technik datenschutzkonform, datenschutzfreundlich zu gestalten? Wir haben gestern schon etwas über die Schutzziele gehört, die man benutzen kann.

[152] Marit Hansen: Also, für uns ist das jetzt eine geeignete Strukturierung, um solche Dinge aufzufinden und aufzuspüren, was nämlich vor allen Dingen in § 9 drin steht, ist etwas, was die Techniker leicht – ich nenne es jetzt unter einem Begriff – als access control verwenden. Also natürlich: access – Zutritt, Zugang und Zugriff, das kann man sich alles jetzt noch mal besonders vor Augen führen, auch damit man nichts vergisst, also vom Pförtner bis hin zu der Software, die irgend etwas macht, und da gibt es natürlich noch andere Dinge. Natürlich spielen auch andere Paragraphen eine Rolle – wenn es jetzt um Videoüberwachung geht und wie macht man das transparent oder um Chipkarteneinsatz. Also, wir sehen immer mehr Teile, die natürlich auch in anderen Bereichen auftauchen. Aber grundsätzlich würde ich wieder anfangen mit dem Nichtverketten bzw. der Datensparsamkeit – das ist mir jetzt egal, welchen Begriff wir da verwenden –, von Transparenz bis hin zum Recht auf Zugriff, auf Auskunft des Betroffenen und die Intervenierbarkeit aus Betroffenensicht, auch die Wahrnehmung der Betroffenenrechte. Also jetzt nur mal beispielhaft genannt. Das sind alles Bereiche, die da eine Rolle spielen. Oder aus Sicht der Organisation, zum Beispiel die sticky policies, dass so etwas daran gebunden wird und je nachdem die Daten gar nicht für einen anderen Zweck nutzbar sind – Zweckbindung soll ja da auch dahinterstecken. Aber das ist natürlich eine Sache – ich glaube, Sie hatten das auch in Ihrem Text drin – Meta-Informationen kann man ja technisch natürlich mitführen, ob das jetzt irgendein Garant ist dafür, dass das die Ausführung oder die Auswertung bestimmt, das ist ja eine ganz andere Geschichte. Also, deswegen: Es gibt in allen Bereichen Arbeiten, was geht und wie man was erreichen kann. Das hat natürlich noch andere Effekte, also will man jetzt den Datenbrief haben, der ja organisatorisch ist, aber mit technischen Mitteln? Will man den per E-Mail oder direktem Zugriff, also einzelne Nutzungsnachweise? Ist das jetzt gerade etwas, was wirtschaftlich dann vielleicht doch gar nicht viel kostet, aber einen großen Effekt bringt? Macht man das so, einige nehmen ihre Rechte eben besonders wahr, und das hat dann die Ausstrahlung auf die anderen, die das dann gar nicht mehr in Anspruch nehmen wollen oder müssen? Hat man da noch Filter, die etwas wegfiltern? Also, wir haben da eine ganze Menge, auch für unsere Gütesiegel, durchdekliniert, einfach um zu sehen, welche Mechanismen gibt es oder auf welche Ideen kann man kommen. Und vieles muss eben auch außerhalb des technischen Systems laufen. Aber in vielen Bereichen sind die Antworten noch gar nicht klar. Ein Beispiel ist »Datenschutz by Default«: Welcher Teil soll den konfigurierbar sein? Und was können dann die Voreinstellungen sein? Und, gibt es das eigentlich immer – braucht man nicht eine Metrik? Braucht man nicht eigentlich etwas, was man in Beziehung setzt? Und ist das, was ich individuell möchte, vielleicht anders als das, was die Aufsichtsbehörde denkt, was ich will, was der Staat denkt, was gut ist für Europa, oder so? Man kommt da noch in ganz andere Fragestellungen. Ein Beispiel: Ein Produkt verarbeitet Daten in der Cloud und hat die Auswahl, als Cloud-Anbieter einen europäischen oder einen nicht-europäischen zu nehmen, und möchte jetzt ein Gütesiegel haben. Und dann wäre unsere Herangehensweise... also für uns wäre ein nicht-europäischer Speicherort gerade sehr kritisch. Also soll der das europäische Angebot nehmen. Nun ist es weltweites Angebot: Einem Amerikaner als default zu präsentieren, er solle jetzt die europäische Cloud nehmen, wäre natürlich nicht angemessen. Also müsste man jetzt erst analysieren, wo kommt der Nutzer eigentlich her. Das geht natürlich jetzt einfach, in dem Fall haben die dann eine IP-Lokalisierung – da muss man dann auch wieder berücksichtigen, was aus Datenschutzgründen jeweils notwendig ist –, um dem die richtigen Vorschläge zu machen. Also, was ist der default? Meine Herangehensweise wäre aber, solch ein Verfahren sollte nicht im Hintergrund laufen, sondern der Nutzer sollte darauf hingewiesen werden, was gerade passiert. Der Ort der Datenverarbeitung ist also durchaus relevant. Das wäre nicht etwas, was man einfach voreinstellt, und dann informiert man die Leute da gar nicht darüber. Dazu kommt auch: Was ist mit einem europäischen Bürger, der gerade in Amerika ist und deswegen diesen Cloud-Dienst das erste Mal nutzt? Welche Cloud bekommt er jetzt – die amerikanische, weil er gerade in Amerika ist, oder, weil er eigentlich morgen ja wieder in Europa ist, die europäische? Wie soll er das nachweisen? Genauso übrigens Kinderdaten. In Bezug auf Social Networks, da wird viel diskutiert, dass Kinder striktere defaults haben sollen. Mach ich jetzt erst eine Analyse, wer mein Gegenüber ist? Und basiere ich meine Analyse auf dem, was die Person angegeben hat? Oder muss ich ganz andere Daten noch erheben? Also, es ist in dem Bereich noch ganz viel offen. Und das heißt auch da, dass die technischen Antworten noch nicht klar sind. Weil die rechtlichen Anforderungen auch nicht klar sind.

[153] Jörg Pohle: Aber ich meine, diese Stelle im Gesetz kann man ja nun eigentlich seit 1977 als Pflicht für Privacy by Design lesen.

[154] Marit Hansen: Meinen Sie § 9 BDSG?

[155] Jörg Pohle: Ja, »die technischen und organisatorischen Maßnahmen, die erforderlich sind«.

[156] Marit Hansen: Naja, John Borking hat das ja auch gefeiert auf EU-Ebene, aber das hat mit Datenschutz by Design ja noch relativ wenig zu tun. Es geht erst einmal um minimale Datensicherheitsanforderungen.

[157] Jörg Pohle: Nein! In der Anlage dazu – ja, das stimmt. Aber im Gesetz heißt es »der Vorschriften dieses Gesetzes«.7

[158] Marit Hansen: Ja, ja, alles, was angemessen und erforderlich ist, Stand der Technik, ja. Bloß, was ist das? Als das Datenschutz-Gütesiegel des ULD eingeführt wurde, hatte ich die Vorstellung, dass jedes Jahr der Stand der Technik evaluiert und fortgeschrieben wird. Wenn das eine Unternehmen bestimmte Datenschutzfunktionalität umsetzt, dann sollen es ab dann alle können. Beim Datenschutz-Gütesiegel wird dies dokumentiert, es ist sichtbar. Gut, meine Idee, dass es jährlich vorangeht, ist vielleicht zu ehrgeizig, eher vielleicht alle drei Jahre. Aber eigentlich hat sich seit Einführung des Gütesiegels immer noch nicht so richtig viel voranentwickelt. Natürlich, die Schlüssellängen. Oder Aussagen, dass bestimmte Hash-Algorithmen nicht mehr eingesetzt werden sollen. Aber da ist gar nicht so viel. Ich denke, dass auch im Informationssicherheitsbereich die Entwicklung kaum Fortschritte gemacht haben. Beispielsweise habe ich Schulungen zu Sicherheit gegeben, und die Teilnehmer meinten am Anfang: »Alles ist sicher – wir haben ja SSL.« Insgesamt haben wir nicht viel für Datenschutz und Datensicherheit auf Nutzerseite.

[159] Noch ein Beispiel: Bürger-Portale. Die Regierung wollte tolle Bürger-Portale bauen. Im Projekt dazu wurden Datenschützer von Anfang an hinzugezogen, es wurde versprochen, die Bürger-Portalbetreiber sollten gar nichts von den durchgeleiteten oder gespeicherten Daten sehen können – sie seien nur Dienstleister, die sollten das gar nicht sehen –, es sollte sogar besondere Datenschutzfunktionalität, PETs, realisiert werden. Auf unsere Vorschläge kam dann der Einwand: »Eine Einschränkung: Es muss so funktionieren, dass der Nutzer nichts zusätzlich installiert. Er muss einen Browser benutzen, mehr kann nicht vorausgesetzt werden.« Tja, und jetzt? In diesem Fall ist nicht mehr so viel an zusätzlicher Datenschutzfunktionalität möglich, auch ein mögliches Einbinden von Anonymisierungsdiensten spielte dann keine Rolle mehr.
Unter solchen Prämissen funktioniert Selbstdatenschutz nicht, weil die Datenschutzfunktionalität heute nicht in der Infrastruktur vorhanden ist, weil dies nicht der Normalzustand ist, weil Tablets oder Browser nicht bereits so konfiguriert sind.

[160] Wolfgang Zimmermann: Ich habe eigentlich nur zwei Fragmente hereinzutragen. Das, was Marit Hansen gerade gesagt hat, macht auf eine ganz knackige Weise deutlich, in welche Situationen wir geraten, wenn wir Schenkstrukturen mit Infrastrukturen verquicken. Also, wenn wir uns in Situationen bringen, wo wir einerseits die Qualität nicht mehr klassisch kontrollieren können wie beim Qualitätswettbewerb über entgeltliche Güter. Sondern wo wir uns in die Situation manövrieren, dass wir dem geschenkten Gaul vertrauen müssen, weil es überhaupt nur geschenkte Gäule gibt, – und wo dann die geschenkten Gäule auch noch Teile von Infrastrukturen sind.

[161] Marit Hansen: Also geschenkte Browser, zum Beispiel...

[162] Wolfgang Zimmermann: Richtig, der Browser ist der geschenkte Gaul. Ich habe in meiner persönlichen Internet-Frühzeit – das muss irgendwann etwa 1991 gewesen sein – mal 200 D-Mark für eine Netscape-Lizenz bezahlt. Das war ganz am Anfang der WWW-Welt, da gab es gerade Compuserve. Und jetzt haben wir da nur Schenkstrukturen, und ich kann deswegen keine Qualitätsansprüche durchsetzen. Das ist das eine.

[163] Alexander Dix: Das konnten Sie aber damals für 200 Mark wahrscheinlich auch nicht durchsetzen.

[164] Wolfgang Zimmermann: Ich hatte damals die Phantasie, dass ich ein Produkt kaufe mit einem Qualitätsstandard, der einen Preis von 200 Mark rechtfertigt.

[165] Alexander Dix: Den Eindruck hatten Sie...

[166] Wolfgang Zimmermann: Bitte, ja. Jetzt kritisieren Sie doch nicht meinen subjektiven Eindruck. Es geht doch darum, wann Qualitätswettbewerb eine Chance auf Funktion hat und wann er jedenfalls keine hat. Ich vermute jedenfalls, wenn wir eine andere Entwicklung gehabt hätten, wenn es also etwa bei Browsern zu einem klassischen Qualitätswettbewerb zwischen entgeltlichen Gütern gekommen wäre, dann hätten wir dort heute nicht diese alternativlose Schenk-Infrastruktur, die ich nun beklage. Darum geht es.

[167] Wolfgang Coy: Das war eine Server-Software. Sie haben eine Server-Software gekauft.

[168] Wolfgang Zimmermann: Ich will hier keine persönliche Geschichte berichten, sondern zwei Sachgesichtspunkte beitragen. Und ich denke, das ist auch deutlich. Gesichtspunkt Nummer 1 ist das Elend, das aus der Verquickung zwischen Schenkproduktwelt und infrastruktureller Welt folgt. Der Flucht aus der Grundrechtsbindung folgt damit sozusagen die Flucht aus der Verpflichtung zur Qualität. Und dieser Doppelbefund betrifft nicht irgendeine beliebige Nebensache, er betrifft eine Infrastruktur. Dies bedarf unmissverständlicher Thematisierung. Und so unmissverständlich finde ich das bisher nirgends. Deshalb sage ich es hier. Und Gesichtspunkt Nummer 2 ist: »Beim Datenschutzmanagement bitte endlich fortschreiten von Methoden zu Zielen!« Ich habe in § 9 des deutschen Bundesdatenschutzgesetzes und in dem, was an Normengefüge darum herum liegt, die Verpflichtung auf das Einhalten von Methoden. Das heißt, ich soll auf eine bestimmte Weise verfahren, und dann ist es gut. Wie prüfe ich denn eine Methode? Was ich prüfen kann, sind Ziele, nicht Methoden. Also, ein Ziel kann ich erreichen, da habe ich 25 dB. Und wenn ich diese 25 dB erreiche, dann ist das gut, und 24 dB sind zu wenig. Das kann ich messen. Ziele haben eine Maßeinheit. Methoden haben keine. Und alles, was Maßeinheiten hat, ist prüfbar. Was keine Maßeinheit hat, ist nicht prüfbar. Mein Petitum heißt deshalb: »Im Datenschutzmanagement weg von Methoden-Vorgaben, die nicht prüfbar sind!« und »Hin zu Ziel-Vorgaben, deren Einhaltung der Idee nach eine Maßeinheit haben, sodass man sie prüfen kann!«

[169] Marit Hansen: Es ist aber schon schwierig bei Alternativen. Nehmen wir die Erforderlichkeit: Was ist jetzt wirklich erforderlich? Bei einem Bezahlverfahren sind möglicherweise andere Daten erforderlich als bei einem anderen. Doch die Nutzer haben nicht immer Lust, ihr Bezahlverhalten zu ändern, oder sie haben bereits einen Account für eines der Bezahlverfahren oder eine Bank oder so schon ausgewählt. Es ist schwierig, das zu vergleichen. Und wenn wir dabei zusätzlich die Credential-Technik einbeziehen, dann müssen wir alles noch einmal auf den Prüfstand stellen, weil die erforderlichen Daten bei der verantwortlichen Stelle deutlich reduziert werden können.

[170] Wolfgang Zimmermann: Wogegen ist das ein Einwand?

[171] Marit Hansen: Kein Einwand, nur ein Hinweis zur Metrik. Simple Aussagen sind oft möglich, z. B.: »Die Mail-Adresse war unnötig.« oder »Klarnamen hätten jetzt nicht sein dürfen.« Aber der Teufel steckt meistens im Detail.

[172] Wolfgang Zimmermann: Wenn ich ein vernünftiges Datenschutzmanagement machen will, dann kann ich das mit Zielen viel besser machen als mit Methoden. Das will ich ausdrücken.

[173] Martin Rost: Genau das wollte ich sagen. Management heißt, für Konflikte eine Lösung zu finden. Dafür braucht man Management. Im Hinblick auf Ziele. Und wir haben eine Metrik da drin. Diese 3er-Metrik kann man übernehmen aus der IT-Sicherheit. Man muss da nichts neu erfinden, man muss auch nicht fünf daraus machen, diese drei haben sich bewährt.

[174] Marit Hansen: Also »normal«, »hoch« und »sehr hoch«?

[175] Martin Rost: Ja, zum Beispiel. Das ist eine Grundlage, da kann man erst mal schauen, ob man auch für den Datenschutz dabei bleiben kann. Und noch einmal das Argument: Das, was wir als Komponenten in den letzten 15 Jahren unter PET gesammelt haben, und was auch gedeckt ist, weil es um Privacy und nicht um Security geht – erst das Datenschutzmanagement in den Organisationen gibt diesen Techniken ihren Ort. Wenn man kein Datenschutzmanagement auf Seiten der Organisationen durchdrückt und verpflichtend gesetzlich vorschreibt, dann werden es Organisationen nicht machen. Also, insofern das staatliche Argument: Organisationen haben Datenschutzmanagement einzurichten. Und wenn es Datenschutzmanagement gibt, dann wird es entlang dieser sechs Schutzziele ausgerichtet – die müssen bedient werden durch ein Datenschutzmanagement. Es ist völlig klar, was zu tun ist. Die Ziele sind klar, die dabei gemanaged werden müssen, die Maßnahmen fallen aus der Tüte, die sind alle entwickelt. Dass das Problem im Detail liegt, ist immer so, klar.

[176] Marit Hansen: Also Sie plädieren dafür, den Begriff »Datenschutzmanagement« und eine entsprechende Interpretation auf gesetzlicher Ebene festzuschreiben, damit dies gelebt werden kann.

[177] Martin Rost: Das ist ja sogar drin. Wir haben ja bei uns Datenschutzmanagement. Wir sind nur ungeübt, das zu prüfen. Wir wissen es nicht, weil...

[178] Marit Hansen: Sie meinen, auf LDSG-Ebene haben wir den Begriff drin. Wir brauchen ihn aber EU-weit in der Grundverordnung...

[179] Martin Rost: Richtig! Aber wir haben als Datenschutzaufsichtsinstanz die Bringschuld, was Datenschutzmanagement heißt, bislang nicht eingelöst.

[180] Marit Hansen: Die ersten Datenschutzmanagementberichte kamen meines Wissens aus der Audit-Diskussion. Thomas Königshofen im Bereich Telekom hat erste Audits durchgeführt und Alexander Roßnagel hat eine ganze Menge dazu gemacht. Es ging dabei immer um einen Zustand, den man prüfen und dokumentieren kann – deswegen hieß es auch »Management«, so wie »Privacy Impact Assessment«. Diese Prüfung wird nach einiger Zeit, z. B. ein Jahr später, wiederholt und geschaut, was sich verbessert oder verschlechtert hat. Dies hat man mit Schulungen begleitet. Das war das, was damals gelebt wurde unter dem Begriff Datenschutzmanagement. Dazu kommt so etwas wie Changemanagement – wie monitored man, dass Gesetzesänderungen stattfinden und umgesetzt werden usw.

[181] Martin Rost: Was ist dabei herausgekommen? 2002 hat das ULD ein Papier herausgebracht, das vor allen Dingen betrieblichen Datenschutzbeauftragten eine Checkliste an die Hand gibt, und haben das als »Datenschutzmanagement« bezeichnet. Dann hat die UDIS 2006 aufwändig aufbereitete Checklisten für Datenschutzbeauftragte unter diesem Titel herausgebracht. Ich will die Kollegen ja gar nicht schlecht machen, es war ja ein redliches Bemühen. Mittlerweile wissen wir durch die ISO, wie man standardisiert Qualitätsmanagement macht, als richtig entwickelte Prozesse, die viel mehr als nur Checklisten anzubieten haben. Und das letzte zu diesem Thema machte Frau Quiring-Kock in der DuD 2012/11.8 Ihr Statement lautet: »Da sind so viele schlechte Vorschläge gemacht worden zum Datenschutzmanagement.« Und da hat sie auch absolut recht. Das ist Murks, was da auch dem Markt ist. »Lasst uns das jetzt mal vergessen. Lasst uns bis auf Weiteres zumindest IT-Security-Management nehmen.« Das ist verständlich. Was sie aber nicht anspricht: Die Grundrechtsaufgabe des Datenschutzes besteht auch darin, IT-Sicherheits-Management zu controllen. Also Datenschützer müssen sehen, ob auch die IT-Security noch grundrechtskonform gefahren wird. Wird sie nicht! Ich entnehme dem IT-Security-Handbuch eines IT-gestützten Verfahrens bei DataPort – das ist das Landesrechenzentrum in Schleswig-Holstein und einigen anderen Ländern –, das 35 Seiten umfasst, und ein Kapitel zu Datenschutzmanagement enthält. Mit einer Seite. Ganz schlecht aber das ist derzeit die Realität! Die IT-Security controlled diejenigen, die sich um die Grundrechte von Betroffenen kümmern sollen. Wenn die Datenschützer da jetzt nicht nachziehen – und das können sie nur im Rahmen des Datenschutzmanagements, indem sie sich nicht mehr nur mit der Behandlung von Normen bescheiden. Zugleich sind die Juristen stärker denn je gefragt. IT-Sicherheit wird woanders viel besser als bei den Datenschützern gemacht – ich kann Krypto auch nicht beurteilen: Taugen die Algorithmen? Da fragen wir nach beim BSI, die haben dann ganze fünf Leute für ganz Deutschland, die vielleicht, hoffentlich, ein bisschen Krypto-Algorithmen wirklich lesen können und wirklich verstehen können.

[182] Marit Hansen: Fallen die Prüfmethodiken und Prüftools und Prüfpunkte und so dann aus der Tüte? Oder wie kann man dies noch voranbringen?

[183] Martin Rost: Fragen Sie bitte noch mal genauer.

[184] Marit Hansen: Sie haben ja vorhin argumentiert, man müsse auch automatisiert prüfen können – wir brauchen Tools. Und die müssen ja andocken – an ein Interface. Also so, wie man heutzutage dB messen kann – was können wir im Datenschutzbereich messen? Ich sehe dafür noch nicht den Automatismus, auch wenn man Datenschutzmanagement hätte.

[185] Martin Rost: Wir brauchen im System – und das erwarte ich von Privacy Enhancing Technologies als Entwicklungstrategie – Prüfanker für zu überwachende Systeme. Ein Prüfer braucht im System einen maschinellen Stellvertreter, den er fragen und trauen kann. Und der zum Beispiel bestimmte Messwerte an Schnittstellen ausgibt. Zum Beispiel: Welche Daten gehen da wirklich rüber? Alarm, da gibt es eine Schnittstelle, da gehen Daten rüber! Die Umsetzung des Schutzziels Transparenz würde an dieser Stelle verbessert werden. Oder denken Sie an Hash-Werte: Kann die Organisation nachweisen, dass sie tatsächlich Hash-Wertvergleiche macht, um Integritätssicherungen zu garantieren? Auch da wünsche ich mir, dass an diesen Stellen Tools entstehen. Ganz viele. Also, ich kann hier sofort aus dem Stand heraus ganz viele Anforderungen des Privacy Enhancing vorstellen. Und zwar nicht nur als Skripte realisiert, die irgendwelche Informatiker aus Paranoia – weil der Staat böse ist – für sich selber bauen und dann freigeben. IT-Security macht alle Ports dicht – Firewall-Regel. Und danach: »Na ja, wir müssen ja kommunizieren. Port 80 und 23 müssen auf.« Und jetzt kommt Datenschutz: Dann müssen wir sehen, wie wir diese Ports – Kommunikation soll möglich sein, weil Kommunikation Gesellschaft konstituiert – unter Bedingungen stellen können. Das, was nach der Portöffnung kommt, nämlich das Unterbedingungenstellen, ist unser Job. Dabei werden wir auch die Semantik nie ganz los, deswegen wird man Juristen nicht los. [Große Unruhe] Nein, ich will sie auch nicht loswerden. Das klingt komisch. Nein, ich bin froh, dass es Juristen gibt. Das heißt, es gibt die politische Dimension semantisch und es gibt die juristische Dimension semantisch – und die sind unerlässlich im Spiel. Deshalb lässt sich auch das Geschäft des Datenschutzes nicht so formalisieren wie in der IT-Sicherheit.

[186] Andrea Knaut: Sie hatten gerade gesagt, das BSI stellt zum Beispiel IT-Sicherheitsrichtlinien auf, die interessant sind für Datenschützer. Aber die Informatiker, die »paranoiden« Informatiker, sind eher die Avantgarde. Oder die paranoiden Hacker, sage ich mal. Also, wenn ich wissen will, ob eine Krypto gut funktioniert oder nicht, dann schaue ich mir einen Kongress an wie den Chaos Communication Congress oder ich schaue mir Reports von anderen Hacking-Konferenzen an oder ich lese bei Bruce Schneier nach oder so, aber ich wüsste, dass ich nicht im Grundschutzhandbuch nachschauen würde.

[187] Martin Rost: Es ist vielleicht auch ein bisschen schick, als Behörde auf den CCC zuzugehen... das BSI ist ein struktureller Gegenspieler, weil die machen nur Security und die schützen gegen Hacker. Der Job als Datenschützer ist, vor Organisationen zu schützen, die Hacking-Frage ist dann erst mal sekundär. Man holt sich den Sachverstand heran, den man kriegt. Der Sachverstand des BSI ist da nicht unerheblich. Die haben die besten Praxis-Krypto-Leute, die man so eigentlich kaufen kann. Dann hole ich mir noch ein bisschen CCC dazu, und dann muss man ein Urteil bilden, klar.

[188] Marit Hansen: Es geht natürlich nicht nur um ein »Einkaufen« von Krypto-Leuten, sondern es gibt ja jährliche Experten-Meetings, die das BSI einberuft, um zu bewerten, welche Krypto-Verfahren wie sicher sind. Mit den externen Experten ist das also keine Inzuchtveranstaltung.

[190] Jörg Pohle: Nicht alle sehen das BSI so positiv. Naja, das BSI verstößt gegen 130 Jahre alte IT-Sicherheitsregeln – Kerckhoffs‘ Prinzip –, also solche, die wir heute als IT-Sicherheitsregeln nehmen, weil sie...

[191] Marit Hansen: Die Offenlegung meinen Sie?

[192] Jörg Pohle: Ja, die Offenlegung von kryptographischen Algorithmen, denn die Sicherheit von Krypto-Verfahren darf nur im Schlüssel liegen.

[193] Marit Hansen: Sagt das BSI ja auch.

[194] Jörg Pohle: Ja, aber dann macht es sie eben doch nicht offen...

[195] Marit Hansen: Ein paar, ja. Das stimmt.9

[196] Kai von Lewinski: Ein mir ganz wichtiger Einwurf an den Punkt, gerade wenn man, wie man es hier gesehen hat, darüber streitet, macht es das BSI richtig oder macht es das nicht, gehen wir lieber zum CCC und so weiter: Diese Anforderungen, um die es geht – seien sie jetzt nur rein technisch oder auch organisatorisch gemeint – sind entweder eine Vorgabe dafür, wie die Verwaltung des Staates – im öffentlichen Bereich – funktioniert oder sie sind eine Freiheitsbeschränkung, soweit die Vorgaben Private und Unternehmen beschränken. Solche müssen jeweils legitimiert sein. Und offensichtlich ist es ja schon mal schwer, jetzt in dieser eher technischen Runde dann überhaupt Konsens darüber zu erzielen, was fachlich richtig ist, also kann man nicht einmal fachliche Legitimation unstreitig herstellen. Und selbst mit einer nur fachlichen Legitimation haben wir als Juristen ein enormes Problem, wenn auf dieser Basis der Staat gestaltet oder die Freiheit des Privaten beschränkt werden soll. Der Staat, der Rechtsstaat basiert primär auf einer formellen Legitimation, vor allem durch Gesetz oder durch gesetzlich vorgegebene Verfahren. Und dann kommt man in dieser Sache zu einem Problem: Wenn man als Staat etwas macht, dann muss man auf durch rechtliche Verfahren legitimierte Vorgaben – eben das BSI-IT-Grundschutzhandbuch – zurückgreifen, mag die Legitimationskette noch so lang sein. Jedenfalls kann der Staat nicht irgendwie freihändig sagen: »Ich mach mich beim CCC schlau...«

[197] Andrea Knaut: Oder bei Mathematikern, die an den Universitäten sitzen...

[198] Kai von Lewinski: ...oder bei Mathematikern. Eine rein fachliche Legitimation als Voraussetzung für einen Eingriff in Freiheitsrechte von Unternehmen und Privaten wie auch für die Gestaltung des Staates – also wie ich Datenverarbeitung im öffentlichen Sektor ausgestalte – ist höchst problematisch.

[199] Marit Hansen: Wie sieht dann ein praktisches Beispiel aus? Es gilt ja weiterhin das Datenschutzrecht, und jetzt war eher die Frage, ob Sie dem CCC trauen...

[200] Kai von Lewinski: Nein, wie weit ich die Vorgaben, die sich im CCC ausgedacht werden, als eine verbindliche Vorgabe – jetzt unabhängig davon ob für die Verwaltung oder für private Unternehmen – nehmen kann. Also: Woher kommt die Legitimation des CCC?

[201] Andrea Knaut: Sie sind datenschutzfreundlicher. Also, denen würde ich eher trauen als dem BSI.

[202] Kai von Lewinski: Oder was ist Datenschutzfreundlichkeit? Wer kann das beurteilen? Woher nimmt der CCC – bei, natürlich, großer fachlicher Reputation – die Legitimation, das verbindlich zu beurteilen? Wir alle haben irgendwo fachliche Reputation. In einem repräsentativ-demokratisch verfassten System, wie wir es haben, entscheidet nicht der Schlaue, sondern die Mehrheit. Und das muss sich in diesen Konzepten abbilden. Sonst müssen wir Demokratie über den Haufen werfen.

[203] Marit Hansen: Demnach dürften wir also den ePass nicht einsetzen, weil das Sicherheitskonzept für den ePass schlecht ist?

[204] Kai von Lewinski: Nein, die Frage ist, wie man diese Entscheidung legitimiert, dass das ein gutes System ist.

[205] Marit Hansen: Ist es nicht! Das ist ein schlechtes System und es ist nicht legitimiert. Beides.

[206] Kai von Lewinski: Oder die Frage, ob etwas gut oder schlecht ist, ob etwas eingesetzt wird, kann nicht nur nach fachlichen Kriterien entschieden werden, sondern muss, wenn es Staat gestaltet oder Freiheit beschränkt, noch zusätzlich legitimiert sein. Natürlich will man das fachlich Beste, aber es reicht in der Demokratie nicht aus, dass etwa bloß fachlich gut ist. Wer soll das entscheiden? Wenn es hier um eine hoheitliche, staatliche Vorgabe geht, ist nicht das Fachliche das Entscheidende, sondern es muss ein Legitimationsverfahren geben. Noch kurz eine zweite Anmerkung dazu: Man kann alles durch einen parlamentarischen Prozess bringen oder durch ein anderes Rechtssetzungsverfahren. Das führt aber strukturell zu einem zeitlichen Nachlauf. Die Juristen sind ja nicht umsonst die Nachhut des Fortschritts, einfach weil der Normsetzungsprozess seine Zeit braucht. Also, man kann herkömmlich demokratisch legitimierte Sicherheitsanforderungen nicht mit der Geschwindigkeit fortschreiben, wie der technische Fortschritt das nötig machen würde.

[207] Jörg Pohle: Damit sind wir, glaube ich, auch wieder bei dem ursprünglichen Punkt der Trennung zwischen Datenschutz und Privacy. Der Datenschutz und die Organisationen, die damit befasst sind, können nicht anderen Behörden nicht vertrauen. Sie müssen ihnen vertrauen. Das ist eine notwendige Folge des Rechtsstaatsprinzips. Und jetzt ist die Folge davon, dass wenn man denen nämlich nicht vertraut oder wenn man denen nicht vertrauen will, dass man sich dann eben nicht auf Datenschutz stützen kann. Das kann man also nur mit Hilfe von legitimierten Systemen und deren Produkten begründen.

[208] Marit Hansen: Das BSI hat den Landesdatenschutzbeauftragten juristisch legitimiert gar nichts zu sagen. Das BSI ist eine Bundesbehörde und nur für den Bund zuständig. Es gibt aber keine Parallelbehörde in Schleswig-Holstein. Das, was da in Betracht käme... über Innenministerium, Finanzsteuerung oder irgendwas..., das kommt alles nicht in Frage – aus sehr vielen Gründen. Natürlich geht es schon darum, dass ganz viel standardisiert wird. Das Wort »Standard« muss wahrscheinlich in diesem Zusammenhang sowieso jetzt noch einmal kommen. Standardisierung auf welcher Ebene? Sind wir bei ISO oder europäisch oder auf Bundesebene? Auf einmal müssen Datenverarbeiter und Aufsichtsbehörden kompatibel sein zu EU-Vorgaben oder zu deutschen Vorgaben, und es ist sinnvoll, wenn es dafür eine Hilfestellung gibt. Als Landesbehörde ist das ULD frei, sich solche Hilfen aus vielen Bereichen zu suchen. Aber das BSI hat dem ULD juristisch legitimiert auf Landesebene nichts zu sagen.

[209] Kai von Lewinski: Nein, auf den Punkt wollte ich auch nicht hinaus, sondern auf die Frage der Vorgaben. Wenn man jetzt sagt: »Wir müssen uns nach ISO richten.«, muss auch die Frage gestellt werden: »Wo kommt diese ISO-Vorgabe her?« Und da ist nicht nur ein fachlicher Blick darauf zu richten, sondern eben auch ein auf die Legitimation der gesetzten Regel: Wer setzt sie? Darf er sie setzen? Ist das alles mit richtigen Dingen zugegangen? Und das gilt eben auch für technische Normen. Bei diesen – auch wenn man sie irgendwie aus seinem eigenen fachlichen Hintergrund bewerten kann – reicht es nicht zu sagen: »Das ist eine gute Regel.« Soweit sie irgendwie hoheitlich wirkt, braucht es eben noch eine zusätzliche formelle, verfahrensmäßige Legitimation, die eben einen demokratischen Verfahrensaspekt hat.

[210] Seda Gürses: I wanna play the devil‘s advocate. So, I‘m going to speak against Privacy by Design because I‘m going to argue that if you say: »A certain technology is inherently better for privacy«, you‘re making a normative judgement that it will be better. And I‘m going to argue that no technology is going to undo all the power problems we have. If anything, it‘s going to reconfigure power and the Machtgefälle. And therefore any technology we recommend is at the moment it is installed no longer Privacy by Design but a system towards which we need new Privacy by Design. It‘s almost a Trotzkyiste approach to Privacy by Design. Let me give you an example. We talked about identity management, and within that suggestion was pseudonymity. I would call that »conditional anonymity« to be a bit negative on the concept because »pseudonymity« sounds kind of nice, »conditional anonymity« on the other hand is very problematic from the users‘ perspective because what you‘re saying is: »You‘re anonymous, although not always« And this is a false perception on anonymity because it means, everything is tracked. It‘s just when we will start looking at it. So, maybe, this actually creates a new power relationship—there is a new organization that decides when you will tracked but you‘re actually always tracked. So, there is a huge complexity in there which empowers an organization—be it the court or maybe the ministry of justice who holds the keys—that create a new power relationship. And data protection should always speak towards a new power relationship instead of saying: »If we use this technology, it undoes the power relationship.« So, that‘s one.

[211] The other one is »sticky policies«. Another way of »sticky policies« is calling it »global DRM« which means that you will now introduce a new entity that has all receipts over all transactions. And I know one company—called Microsoft— who would love to do this for years... They started with Passport, and now they even say they‘ll do it in a privacy preserving way. So, we now again introduce a new power structure which has immense amounts of information. This is where we need to start again. And the last one, Günter Müller—I know it‘s laughable—he says: »Anonymity is going to cause problems for business.« Business loves anonymity! You anonymize the data, you do whatever you want with it. They love it! I know it‘s a different anonymity as »anonymous communications« but... »Please let us anonymize databases and get out of data protection because that‘s the only way we can do business.« This is what they are saying. So, anonymity can even reinforce power structures. So, using this I go against myself and say: »Let‘s be against Privacy by Design and normative judgements about technology.«

[212] Marit Hansen: Wir haben einen Begriff genommen für die Credentials in dem einen Projekt, das wir haben, »Privacy-ABCs«, weil wir nur die Attribute-Based Credentials – ABCs – betrachten wollen, die jedenfalls das nahelegen, dass man es datenschutzfreundlich macht. Im realen Leben – wir haben mehrere Tests jetzt in Griechenland und Schweden gemacht – haben wir also eine Garantie, ein Verfahren ohne Aufdeckbarkeit, also ohne conditional anynomity, sondern echte Anonymität, aber in dem Verfahren geht es um Professoren-Bewertung. Die Anwender haben gemeint: »OK, es dürfen Studierende bewerten, die an so und so vielen Veranstaltungen teilgenommen haben.« Also, das ist nicht voll anonym, das heißt, ich habe also irgendwie einen Nachweis, dass derjenige bei bestimmten Veranstaltungen war, vermutlich mit Timestamp. Und dazu kommt noch, dass sie sagten: »Wenn der jetzt eine schlechte Note in der Abschlussklausur geschrieben hat, dann muss ich das eigentlich auch wissen bei der Bewertung, nämlich dann ist er ja böse auf mich als Professor, und dann kann ich das nicht so richtig ernst nehmen.« Also, auf einmal wurden diese ganzen Ideen der Unverkettbarkeit angelagert mit ganz vielen Informationen. Das heißt, selbst wo wir gesagt haben: »Keine Aufdeckung! Aber das, was nötig ist, an Informationen mitführen, damit nachher klar ist: Das sind die, die berechtigt sind und die anderen nicht, also wer nur drei Mal in der Vorlesung war, darf nicht bewerten.« Selbst das hat schon nicht geklappt. Das heißt, da hätten wir, – von mir aus – Privacy-ABCs eigentlich, die durch die Applikation oder das Anwendungskonfigurieren kaputt gemacht werden. Und wenn wir eine Aufdeckungsfunktion haben... – wir haben eine reference crew, die hat gleich gesagt: »Das ist eine Backdoor!« Ich denke, wenn man das als Zugriffsverfahren genau definiert und natürlich auch technisch enforced – da gibt es auch ein paar Probleme –, dann sollte das nicht als »Backdoor« verstanden werden, sondern eben als »conditional access« oder so, dass man aber das Bewusstsein darüber hat. Das heißt auch, dass Leute wissen – Schüler sind es in dem Fall –, sie befinden sich gerade in einem Raum, da kann nichts aufgedeckt werden – also sie führen eine Kommunikation mit der Schulsozialarbeiterin oder so. Wenn sie jetzt sagen: »Achtung, ich will mich jetzt gleich umbringen«, dann kann die ihnen nicht helfen. Sie können das nicht aufdecken. Also geht es darum, dass man Bewusstsein dafür hat. Während in anderen Bereichen – jetzt die politische Diskussion: Der eine mobbt den anderen – das klar ist, unter Umständen wird aufgedeckt, aber dann gibt es auch diesen automatisierten Informationsfluss und so: Wer informiert darüber?! Das heißt also, es gibt ganz viele Bedingungen. Das heißt, nur zu sagen: »Hier ist das Konzept. Macht einfach. Ihr müsst hier juristisch alles aufräumen.« Das ist eine nette Forderung – funktioniert überhaupt gar nicht. Das sind so viele Bedingungen, und nicht nur, weil man die Krypto nicht versteht... oder weil das mental model nicht ganz klar ist, also die Anwender das auch wieder aufladen mit zu vielen Informationen. Das heißt also, man hat auch nicht mal irgendeine Garantie. Und die anderen Beispiele sind ganz ähnlich. Auch die DRMs, natürlich wird das dauernd diskutiert, pro Datenschutz, und das hat so viele Probleme wiederum. Wir werden in vielen Bereichen immer wieder sehen, dass eine Technik gleich ganz viele Seiteneffekte hat. Und kann man das dann eigentlich noch als PETs behandeln oder nicht? Oder muss man auf eine ganz andere Ebene kommen? Zum Beispiel die Anonymisierung jetzt mit Mixen: Wenn die nicht alle kooperieren, kann sie eigentlich nicht gebrochen werden. Wenn wir weitere versteckte Identifier durchführen, natürlich, dann ist das die Backdoor, dann kann man das machen. Oder wenn wir dazu verpflichten, dass alle kooperieren. Oder wenn es eine Fusion gibt. Das heißt, wenn mein Anonymisierer... also wenn meine eigentlich getrennten Akteure jetzt durch irgendwelchen rechtlichen Bindungen doch wieder kooperieren müssen oder wollen oder in eine Entität rutschen. Alle assumptions sind auf einmal weg, sind void. Wann merken wir das? Das ist total schwierig. Die Diskussion wird auch durch solche PETs jetzt gerade viel komplexer. Und ich weiß nicht, wer es eigentlich dann noch beherrscht. Der User? Dem man immer sagt: »Du bist anonym. Du hast gestern ein anonymes Verfahren genutzt. Das funktioniert genauso heute. Nur, dass juristisch gerade zwei Partner jetzt zu einer Entität geworden sind oder eine Fusion haben.« Also, wie kriegt man das denn eigentlich mit? Da können wir dann auch wieder PETs als Informationsservice nehmen – das haben wir auch schon mal vorgeschlagen. Man hat also ein Abo: Bei solchen Dingen, die juristisch passieren, die ökonomisch passieren, das man dann merkt, das ist ein neues Risiko. Aber wie kann man jetzt damit umgehen? Das ist total schwierig, jetzt wiederum juristisch zu sagen: »Ihr seid verpflichtet, dass Ihr genau nicht kooperiert.« Also, Aussageverweigerung oder sonst etwas kann man einführen, aber... Das ist auch wieder schwierig. Also sagen wir: Zwei von den verschiedenen Firma heiraten jetzt – ist das jetzt auf einmal etwas, das ich monitoren muss? Hat das jetzt also auf einmal eine Auswirkung, weil die jetzt doch den Nutzer aufdecken könnten, oder nicht? Und in was für Teufel‘s Küche kommen wir dann? Das wird also auch diskutiert für Auditoren von Banken. Was muss ich eigentlich über die Privatpersonen auf einmal herausfinden, um auszuschließen, dass die noch irgendwelche anderen – über ihre Ehepartner oder sonst wie – Informationskanäle haben? Also, wenn wir in diesen Bereich gehen – das ist unlösbar und natürlich auch sehr kritisch, wenn man das probiert. Das heißt also, da müssen wir uns auch verabschieden von der perfekten Lösung.

[213] Alexander Dix: Jetzt habe ich aber eine Gegenfrage an Sie, Seda Gürses. Habe ich Sie richtig verstanden: Sollten wir uns von Privacy by Design völlig verabschieden? Oder was ist die Konsequenz aus Ihrem Argument?

[214] Marit Hansen: [scherzend] Keine Fördermittel mehr!?

[Sehr großes Gelächter.]

[215] Seda Gürses: [lacht] We all have an interest in what we‘re saying... No, I think my proposal is that instead of—I don‘t know if it‘s a catalogue approach but I think like the Schutzziele... they‘re interesting but I think what we need is more—I don‘t know if this is reasonable under law, data protection law, data protection framework—methods to propose technologies but to understand where they reinforce or where go around power relationships. Going back to the encryption thing: What if I cannot use encryption when I use social networks? This is a reason to say: encryption can be used as a privacy-preserving tool and we support that. But it doesn‘t automatically mean that using encryption will always help me with that power relationship. So, I think that analysis of which goals are appropriate should always take into account the power relationship it reinforces or reconfigures. And we need a method to basically discover technologies that will allow us to reconfigure power relationships, and then to look at them to see if they really do reconfigure them or if they actually cause new problems. So, it‘s a process rather than making the suggestion that some technologies are inherently good for privacy because I‘m not sure if this is the way we want to go.

[216] Michael Plöse: Also, wir haben ja gerade gehört, es gibt immer ein Restrisiko. Auch beim Datenschutz bleibt das Restrisiko. Und die Frage, die auch Kai von Lewinski angesprochen hat, ist: Wie verständigt man sich in legitimer Weise über das, was als Restrisiko bestehen kann? Das ist natürlich jetzt keine Neuigkeit, die plötzlich mit dem Datenschutz geboren wurde. Das kennen wir vielmehr auch aus anderen (Rechts-)Bereichen, wo Technik in irgendeiner Weise in gesellschaftliche Verhältnisse hineinwirkt und für diese auch als Gefährdung besteht. Und was Ihnen in der Behörde als eine juristische Tätigkeit erscheint, ist aus unserer Sicht als Juristinnen und Juristen natürlich eigentlich die Hoffnung darauf, eine feste Aussage von nicht-juristischen Expertinnen darüber zu bekommen, was sozusagen der Standard ist. Also, auf beiden Seiten besteht sozusagen die Unsicherheit, mit der Unsicherheit umzugehen. Und jeder hat so seine Methode, sich einem Standard anzunähern, der irgendwie als legitim gilt, einfach durch seine jeweilige Methode. Ein bisschen ist das ein prozedurales Element, was irgendwie mit einem Rechtsstaat bzw. technologisch entwickelten Staat verbunden ist, der die Verhandlungen über den Umgang mit den Chancen und Risiken des Fortschritts irgendwie als Prozess legitimierbar machen muss. Insofern finde ich, das wirklich Spannende bei der Frage ist doch, worauf darf die Behörde bei einer Freiheitsbeschränkung abstellen, wenn sie sich als Voraussetzung für Grundrechtseingriffe auf solche Öffnungsklauseln berufen kann wie »Stand von Wissenschaft und Technik«. Hier ist das, was aus verschiedensten Motivationen heraus etwa eine Bundesbehörde verlautbaren lässt oder eben gerade nicht – sei es nun, weil sie aus bestimmten Sicherheitserwägungen heraus über bestehende Risiken nicht informiert und diese daher auch nicht in ein Handbuch aufnimmt, oder die Behörde einfach nicht über genug Mittel oder Personal verfügt, die eine angemessene Beurteilung gewährleisten könnten – für die Gerichte verbindlich ist. Hier ist also der gerichtliche Überprüfungsspielraum erheblich eingeschränkt und findet keine effektive Kontrolle über die Voraussetzungen einer Entscheidung statt. Der für eine wissenschaftliche Bewertung erforderliche Aufwand ist aber für eine Behörde nicht immer plan- und voraussehbar und insofern würde ich argumentieren, kann sie natürlich auch auf Expertisen abstellen, die z. B. der Chaos Computer Club bringt. Und dann muss man gerichtlich klären, ob dieses Vorgehen eine legitime staatliche Beurteilung darstellt. Und was würde das Gericht machen? Es kann natürlich da überhaupt nicht selbst entscheiden – es würde wieder Sachverständige holen, die divergierende Aussagen machen, und dann würde man irgendwie versuchen, juristisch damit umzugehen, ob sich die Behörde im Rahmen ihres Beurteilungsspielraums bewegt, d. h. der von ihr betriebene Aufwand eine legitimierbare Entscheidungsgrundlage bietet. Die Freiheitsbeschränkung darf also nur nicht willkürlich erscheinen. Das ist natürlich eine spezielle Form der öffentlichen Auseinandersetzung, die der repräsentative Rechtsstaat so mit sich bringt. Und hier komme ich zu meinem eigentlichen Punkt: Ich finde schon, dass den Konzeptionen von Datenschutz und Privacy die ganzen „Krankheiten“ oder besser Probleme immanent sind, die auch sonst Ausdruck unserer gesellschaftspolitischen Problemlage sind; z. B. dass wir in einer repräsentativen Demokratie leben, die über bestimmte Repräsentationsverhältnisse und Legitimationsketten funktioniert, welche in rechtlicher Weise zu steuern und zu wirken versuchen. Die haben eben auch die beschriebenen Effekte, dass Leute sich nicht dafür interessieren müssen, was ihre Rechte sind oder wie sie ihre Freiheiten gestalten wollen bzw. sollten, weil sie darauf vertrauen können, dass da irgendwelche Behörden existieren, die für sie Rechte behaupten oder die den Sicherheitsstandard irgendwie umsetzen. Insofern ist es meine Beobachtung, dass in dem Maße, wie in der repräsentativen Demokratie nicht darauf vertrauen werden kann, dass die selbstbestimmte Bürgerin oder der aktive Bürger ihr Recht selbst in Anspruch nehmen, das Rechtssystem sich öffnet für völlig absurd divergierende Fachmeinungen. Noch vor zwanzig, dreißig Jahren wäre es schlicht nicht denkbar gewesen, dass der Chaos Computer Club beim Bundesverfassungsgericht als Fachgutachter auftritt. Auch die Humanistische Union wäre vielleicht nicht angehört worden. Also, so ein bisschen habe ich das Gefühl, öffnen sich die Gerichte in dem Maße, wie sie im Rahmen der repräsentativen Demokratie und des Rechtsstaatsprinzips ihre Entscheidung legitimieren müssen, und nehmen auch Meinungen herein, die vorher nicht als allgemeine bzw. repräsentativ verallgemeinerbare Meinungen wahrgenommen wurden, sondern eher als Bedrohung oder sonst irgend etwas. Da löst sich dann vielleicht auch so ein bisschen das Problem des Datenschutzes, wenn sich gesellschaftliche Verhältnisse in der Auseinandersetzung so verändern, dass über Fragen wie Privacy offen und betroffenen- bzw aktivist_innenbezogen verhandelt wird. Das ist jedenfalls so eine Hoffnung.

[217] Marit Hansen: Vielleicht noch einmal das BSI in den Topf geworfen. Das BSI hat natürlich auch eigene Interessen bzw. darf bestimmte Sachen gar nicht machen. Also, sie sind ja dem Bundesinnenministerium unterstellt und deswegen dürften sie zum Beispiel vor etwas, das sie da mitentwickelt haben – den nPA – nicht warnen. Es sei denn, es wäre so schwerwiegend, dass eine Rückrufaktion notwendig wäre. Also, wenn Leib und Leben von deutschen Reisenden in Europa gefährdet wäre, dann gehe ich davon aus, dass das klappt. Also, deswegen findet man oft solche Aussagen nicht beim BSI. Interessanterweise haben die so eine Schwachstellen-Warn-Webseite inzwischen, wo auch manchmal vor Browser-Einsatz gewarnt wird oder vor dem Java-Problem neulich. Dass da tatsächlich etwas – »Schwachstellen-Ampel« heißt es – auf »Rot« gestellt ist, da wagt sich das BSI schon ziemlich weit vor. Zu den Kritikpunkten beim nPA, wo der Chaos Computer Club ja pressewirksam gleich – und die haben natürlich ein anderes Interesse, die wollen schnell in die Presse und können damit auch wieder Bekanntheit haben und so –, wo sie eigentlich unfaire Angriffe gefahren haben. Also, es gibt reale Angriffe. Aber das, womit sie in der Presse waren, war eigentlich wissenschaftlich... also das war irgendwie klar. Und das BSI hatte sich eigentlich sogar abgesichert – es war trotzdem nicht geschickt für das BSI oder das Innenministerium, das so zu machen, aber – da steht nämlich drin in den Unterlagen vom BSI: »Ihr müsst doch einen Klasse-III-Leser einsetzen. Der ist nämlich sicherer.« Und damit wäre dieser Angriff nicht möglich gewesen. Damit war allerdings gleichzeitig diese ganze »Wir müssen diese Leser ausrollen«-Kampagne obsolet – das war doch bei Computer-Bild beigelegt und so, und das war natürlich kein Klasse-III-Leser, der wäre nämlich zu teuer gewesen. Es gab Fördermittel, man konnte sich darum bewerben, wer es mit vielleicht noch eigener Software, Bürger-Client oder sonst etwas, diese Leser ausrollten – das waren eben keine Klasse-III-Leser, das sind die besseren, sondern wahrscheinlich Klasse I. Und dafür gab es die Fördermittel. Das heißt, gleichzeitig schreibt das BSI: »Unsere ganzen Annahmen und worüber wir das jetzt gemacht haben, basieren natürlich darauf, dass alle Klasse-III-Leser einsetzen und diese Software hier.« Und jetzt wird andere Software vielleicht eingesetzt, vor allen Dingen aber auch ein schwächerer Leser. Das heißt, das BSI hat sich abgesichert. Wenn man lesen kann, merkt man, die finden das nicht gut, wie das jetzt gerade so ist, also wissenschaftlich belegbar. Sie haben auch diese Mitlese... wie weit ist es auslesbar und so, haben da eine Menge gemacht und auch die Werte, die am Innenministerium vorgegeben waren, ausgeweitet, also da haben sie noch... also, sie waren eigentlich recht offen und haben versucht, wissenschaftlich korrekt zu arbeiten – so interpretiere ich das. Aber sie bewerben das nicht. Also, das heißt, die Dokumente sind auf der Webseite – wer es lesen kann, der kann solche Folgerungen machen, und das tun wir. Wir werden auch gerne darauf gestoßen, also wer so etwas entdeckt, gerne. Aber das BSI darf sich nicht hinstellen und sagen: »Das liegt nur daran... Wie wir geschrieben haben... Das ist falsch.« Das wäre als Angriff auf das Innenministerium zu werten. Ich weiß nicht, ob das BSI politisch zu nett ist, aber das werden die nicht tun. Also, da sind sie in einer anderen Rolle. Und das muss man halt wissen. Und das muss man auch wissen, wenn sie was nicht offenlegen für bestimmte Bereiche, in anderen Bereichen eben doch. Und deswegen sagen wir auch nicht, wir folgen allem vom BSI, aber vor zehn, fünfzehn Jahren hätte man das vom BSI als Datenschützer vielleicht gar nicht angefasst. Da hat sich inzwischen doch einiges geändert.

[218] Alexander Dix: Ich wollte noch mal einen Aspekt einbringen. Wenn der Staat auch ein Kompetenz- oder Know-How-Defizit ausgleichen will, indem er privates Know-How einkauft – Stichwort: Staatstrojaner –, dann entstehen natürlich massive Kontrolldefizite. Wie jetzt geschehen, dass das Bundeskriminalamt sagt, der Staat sagt, auch die Landespolizeien sagen, wir müssen in der Lage sein, unter bestimmten Umständen, Beweiscomputer zu infiltrieren, wir wissen aber selber nicht genau, wie es geht, also kaufen wir FinnSpy – oder wie sie alle heißen – ein, und der Datenschutzbeauftragte kommt in Person des bayerischen Kollegen und des Bundeskollegen, will das prüfen, dem wird entgegengehalten: »Erstens, den Quellcode dürft Ihr nicht sehen – Betriebs- und Geschäftsgeheimnis – oder Ihr zahlt mal heftig Lizenzgebühren, sonst geht gar nichts.« Also, Prüfung unmöglich. Es entsteht ein massives Kontrolldefizit. Es kann nicht überprüft werden, ob die Vorgaben des Bundesverfassungsgerichts eingehalten werde. Ich habe selber Zweifel, ob sie überhaupt eingehalten werden können. Konsequenz: Das hat inzwischen auch das Bundeskriminalamt erkannt. Aus welchen Gründen auch immer, wir müssen uns diese Kompetenz selber zulegen – in Zukunft ist der Staatstrojaner nicht mehr nur halbstaatlich wie im Moment, sondern er wird zum vollständigen Staatstrojaner. Das Bundeskriminalamt will selber in Zukunft die Software basteln. Das dauert noch drei Jahre, aber dann stellt sich die interessante Frage: Ist es denn dann wenigstens voll kontrollierbar?

[219] Michael Plöse: Bei den Anti-Terrordateien auch, das ist eigentlich das gleiche Problem, oder? Bei diesen gemeinsamen Verbunddateien von Geheimdiensten und der Polizei – das ist ja auch eingekaufte Software. Es gibt die gleiche Problemlage. Liegt es jetzt nur an der Behörde bei der Kontrolle oder liegt es auch daran, dass es private Software ist?

[220] Alexander Dix: Das ist mir nicht bekannt, dass es da schon Probleme bei der Überprüfbarkeit gegeben hat. Aber das ist unter Umständen an mir vorbeigegangen. Es gibt systematische, infrastrukturelle Probleme bei den Verbunddateien,10 aber es gibt keine Barriere gegen Kontrollversuche. Das wäre mir neu.

[221] Marit Hansen: Aber beim BKA wird doch noch weiter an der standardisierenden Leistungsbeschreibung für eine Ausschreibung gebastelt, oder? Ist das jetzt vom Tisch?

[222] Alexander Dix: Da bin ich vielleicht nicht auf dem neuesten Stand. Mein letzter Stand war, dass sie selber sich – das dauere noch zwei, drei Jahre – selber sich in die Lage versetzen wollen...

[223] Marit Hansen: Ach so. Dass sie das parallel machen...

[224] Alexander Dix: Das könnte sein, dass sie erst einmal für eine Übergangszeit dann doch noch ausschreiben. Das könnte sein.

[225] Jörg Pohle: Na gut, und dass das BSI selbst auch in einer prekären Position ist, das war ja schon diskutiert worden, als es darum ging: Soll das BSI den Bürgerinnen und Bürgern erklären, wie man den eigenen Computer sicher macht, wenn gleichzeitig das Bundesinnenministerium von außen auf die Computer zugreifen will? Oder sollte das BSI dann nicht lieber sagen: »Das brauchen Sie alles gar nicht. Seien Sie ganz ruhig und machen Sie da lieber nichts. Da passiert schon nichts.«, nur damit das BMI darauf zugreifen kann? Andererseits: In jedem komplexen System ist so ein Gegeneinander ja auch machtbeschränkend. Das ist ja letztendlich der Grund, warum große Systeme aufgeteilt werden in kleinere, die sich gegenseitig kontrollieren und gegenseitig beschränken. Es gab schon immer diese Diskussion über datenschutzfreundliche Organisationsgestaltung...

[226] Alexander Dix: Informationelle Gewaltenteilung.

[227] Jörg Pohle: Informationelle Gewaltenteilung, genau. Das ist meistens auf Staatsebene diskutiert worden, aber letztendlich gilt das doch bis hinunter zum einzelnen Datenverarbeiter. Aber durchsetzbar ist das bisher nicht. Also, Datenverarbeitern wie Facebook zu sagen: »Egal, was Ihr macht, Ihr könnt gar nicht anders Datenschutz sicherstellen, als wenn Ihr Euch aufteilt, also wenn Ihr Euch organisatorisch trennt und zum Beispiel den Teil mit der Identifizierbarkeit der Nutzerinnen und Nutzer auslagert, und zwar sowohl organisatorisch als auch technisch auslagert.«

[228] Alexander Dix: Das ist richtig. Es gibt – da kommen wir wieder auf die kartellrechtliche Dimension – es gibt keine Pflicht zur Entflechtung aus datenschutzrechtlichen Gründen, die man einem privaten Datenverarbeiter auferlegen könnte. Bisher gibt es sie nicht. Im staatlichen System der Bundesrepublik jedenfalls kann man immer argumentieren, die Tatsache, dass die Polizei – jedenfalls pro forma – immer noch Ländersache ist – es gibt inzwischen längst eine Bundespolizei –, aber das nicht alle polizeilichen Dateien in einen großen zentralen Topf geworfen werden, hat auch eine freiheitssichernde Funktion. Informationelle Gewaltenteilung ist im Bundesstaat da angelegt. Im Bereich der Privatwirtschaft gibt es eine entsprechende Vorgabe nicht. Das ist ein Manko. Das sehe ich auch so.

[229] Marit Hansen: Wahrscheinlich, weil man überlegt hat, dass die Firmen eigentlich das Kleine sind im Vergleich zum Staat. Das stimmt aber nicht mehr unbedingt, z. B. bei Facebook – übertragen auf die Sicht eines Bürgers, wäre Facebook ein Riesenstaat. Vielleicht hat man sich auf das Kartellrecht verlassen. Die Nichtverkettbarkeitsanforderung ist sehr stark, und wenn wir dort den Datensparsamkeitsaspekt nehmen, kommen wir in Bereiche, die jetzt schon im Gesetz stehen (§ 3a BDSG), aber faktisch spielen sie heute keine Rolle. Und wenn Nichtverkettbarkeit durchgesetzt werden sollte, müssten wir die Bedingungen genauer festlegen: Ab wie vielen Datensätzen? 1.000? Oder wäre es in Ordnung, wenn die Namen weggelassen werden, aber der Betreiber die vollständigen Kommunikationen und das Geflecht der Pseudonyme untereinander sehen kann? Das wäre Augenwischerei.

[230] Alexander Dix: Umgekehrt muss man aber wieder sagen – gestern hat Kirsten Bock etwas Kritisches zu Binding Corporate Rules gesagt, das ist auch richtig. Andererseits könnten große, international agierende Unternehmen, indem sie Binding Corporate Rules zum Beispiel auch in Indien oder in Afrika einsetzen, dafür sorgen, dass in ihren Tätigkeiten gewisse datenschutzrechtliche Mindeststandards beachtet werden, obwohl es in dem Staat, in dem sie agieren, solche Gesetze überhaupt nicht gibt. Das hat auch diesen eher positiven Aspekt. Bei aller Vorsicht, die man da walten lassen muss.

[231] Marit Hansen: Wobei wir oft auch mit kulturellen Problemen zu kämpfen haben, d. h. wenn dieselben Regeln gelten, aber unterschiedlich verstanden werden.

[232] Alexander Dix: Wenn Google sagt, bestimmte Sachen machen wir in China nicht, weil die Regierung das in China nicht möchte, dann haben wir wieder das Gegenteil.

[233] Marit Hansen: Natürlich haben auch die Administrationen aus den jeweiligen Ländern Zugriff auf die Daten... das ist ja nicht ganz getrennt. Bei den staatlichen Möglichkeiten des Zugriffs müssen wir, denke ich, nicht nur abschichten, was passiert in China, Indien, USA usw., sondern dasselbe auch für die verschiedenen EU-Länder machen. Über die Datenschutz-Grundverordnung könnte es klappen, dass sich die EU auf einheitliche europäische Regeln einigt. Das heißt, nicht nur harmonisiert à la Datenschutz-Richtlinie, sondern weitergehend. Eine europäische Vereinheitlichung des Steuerrechts ist dagegen noch lange nicht in Sicht. Und der Bereich der Inneren Sicherheit ist ebenfalls stark tangiert, dort fängt eine Harmonisierung vielleicht gerade an, über den Richtlinienentwurf...

[234] Alexander Dix: Kommt aber nicht. Das wird nichts. Das kann ich sicher vorhersagen.

[235] Marit Hansen: Das heißt also: Wie viel haben wir gewonnen, wenn wir bei so etwas wie Steuerrecht das Incentive für die Firmen haben, doch in ein Land zu gehen, wo Datenschutzanforderungen weniger umgesetzt werden, und wenn der Kohärenzmechanismus, wie er gerade vorgestellt ist, zahnlos bleibt oder eine Einigung nur mit unberechenbarem Ausgang über die Kommission läuft? Und was ist mit den staatlichen, jeweils nationalstaatlichen Zugriffsbefugnissen? Wie gehen wir damit um?

[236] Diese Diskussion ist zu wenig ausgeprägt auf europäischer Ebene. Es war erhellend, als dieses Thema auf der CPDP-Konferenz 2013 diskutiert wurde. Der EDPS-Vertreter war überrascht, dass so viele staatliche Zugriffe möglich sein sollen, denn dies müsse man dann noch einmal erörtern, aber war dann beruhigt, als der Herr von der Kommission sagte: »Nein, nein. Wir sind hier noch in Verhandlungen. Das ist alles gut.« Die anwesenden Parlamentarier sahen das nicht so, und der EDPS-Vertreter meinte dann: »We negotiate hardly.« Da war dann nicht mehr ganz klar, was er eigentlich meinte.

[237] Meines Erachtens wird das Thema nicht richtig angegangen, und es ist auch kaum lösbar. Müssen die Aufsichtsbehörden staatliche Zugriffe aus anderen (auch europäischen) Staaten als Blackbox betrachten und sich nicht darum kümmern, oder sollen sie ein Warnsystem aufsetzen? Wäre es nicht so etwas wie eine Reisewarnung, so dass das Auswärtige Amt auch in Sachen Informationen zu Risiken beim Datentransfer verpflichtet werden könnte? Juristen, denkt darüber nach!

[238] Michael Plöse: Da brauchen wir nicht mehr nachdenken. Das ist ja schon so...

[239] Marit Hansen: Was? Das Auswärtige Amt warnt davor, Daten ins Ausland zu transferieren?

[240] Michael Plöse: Ja, das kann es machen. Also, es gelten die gleichen Standards wie sonst auch im informatorischen Staatshandeln. Dieses ganze Informationshandeln von Regierungsseite oder der Administration ist natürlich genauso zu bewerten wie etwa Warnungen vor Produkten, die gefährlich sind. Dazu gibt es inzwischen eine eingeübte Rechtsprechung, die vielleicht auch absurd erscheinen mag, aber die versucht, diesem Phänomen einen rechtlichen Rahmen zu geben.

[241] Marit Hansen: Bei Pferdefleisch und Brustimplantaten kriegen wir das schon ein bisschen hin...

[242] Michael Plöse: Das gleiche wäre es bei datenschutzrechtlichen Standards. Wenn ich also vor einer Software warne, weil sie eben dem Bundesdatenschutzgesetz nicht entspricht, dann wäre die Frage: Wo ist jetzt die Grundrechtsbeschränkung? Es sei denn, die Warnung erweist sich als falsch. Und dann bleibt natürlich ein Graubereich, der darin besteht, dass ich vor etwas warne, was gesetzlich nicht verboten ist, gleichzeitig aber eine Gefährdung darstellt, und ich mir nicht ganz sicher sein kann, ob diese Gefährdung wirklich konkret besteht. Und das ist genau der Bereich, wo man politisch entscheiden muss: »Wir machen das jetzt einfach mal. Und dann lassen wir uns verklagen.«

[243] Marit Hansen: Wie wahrscheinlich ist das?

[244] Michael Plöse: Wahrscheinlich werden große Unternehmen dann auch tatsächlich klagen. Dann wird sich irgendwann das Bundesverfassungsgericht dazu verhalten müssen und die Richterinnen und Richter werden dann sicherlich einem Phänomenbereich begegnen, den sie so noch nicht beurteilt haben. Und deswegen ist völlig unvorhersehbar, was am Ende herauskommt.

[245] Jörg Pohle: In gewisser Weise machen die Aufsichtsbehörden das doch schon, nicht unbedingt bei Software, aber bei Geschäftsmodellen und den Firmen, die diese Geschäftsmodelle verfolgen. Das ULD warnt vor Facebook...

[246] Marit Hansen: Ja, genau. Das ULD kann so etwas machen in bestimmten Bereichen. Das ULD ist nicht scheu, wenn es um eine Konfrontation geht. Es gibt aber keinen etablierten Informationsservice: Vergleicht man dies mit einer Reisewarnung, erwartet man die Informationen dort, wo sich die Nutzer vor einer Reise informieren. Doch natürlich wird jetzt auch nicht jeder, der gerade Daten ins Ausland kommuniziert, wie bei einer Reisewarnung auf bestimmten Webseiten nachschauen. Das ist schon etwas anderes. Für eine Einreise wird ein Betroffener vielleicht bestimmte Informationen einholen, aber während einer Datenverarbeitung merkt er nicht, wo die Daten laufen. Deswegen wäre es nicht das Naheliegende, auf Webseiten nachzusehen. Eine mögliche Lösung wäre aber ein Datenschutz-Informationsservice, der nicht nur die Fusion zwischen Datenverarbeitern meldet, sondern auch solche Warnungen veröffentlicht.

[247] Alexander Dix: Das Hauptproblem ist, glaube ich, Intransparenz. Das, was gestern Seda Gürses gesagt hat, »Privacy by Vicinity«... Das Hauptproblem ist, glaube ich, dass ein Cloud-Anbieter wie Google – den Fall gab es in Dänemark –, der zweitgrößten Stadt in Dänemark (Odense) angeboten hat, die gesamte Verarbeitung der Verwaltungsdaten, also sämtlicher Bürgerdaten, in die Wolke zu übernehmen aus Kostengründen. Daraufhin hat die dänische Datenschutzbehörde gesagt zur Stadt Odense: »Dieses Angebot darf nur angenommen werden, wenn Google zumindest sagt, wo diese Datenverarbeitung stattfindet.« Das hat Google abgelehnt. Daraufhin wurde die Verlagerung in die Cloud unterbunden. Es geht nicht nur so sehr darum zu wissen, die Daten bleiben in Europa. Erst einmal will man wissen, wo werden sie verarbeitet. Und wenn sie in einem außereuropäischen Land verarbeitet werden sollen, dann müssen entsprechende Sicherungen eingezogen werden. Und das läuft dem Geschäftsmodell von Google diametral zuwider. Die wollen eben ihre Serverkapazitäten weltweit 24/7 optimal auslasten und wollen sich nicht festlegen lassen, wo die Daten an irgendeinem bestimmten Moment sind, oder welchen Weg nehmen Daten, wenn ich eine Webseite aufrufe – das bleibt meistens im Dunklen.

[248] Joris van Hoboken: This is just a short remark. This is about cloud computing. There are all sorts of risks that come with like giving your data away to someone else that is going to have this ICT infrastructure for you. One of the things that is very interesting is that data protection law has an attachment to regulating what is really happening with data, and where it is, for instance, and like the export rules that try to prevent circumvention of the rules for data that is leaving the European Union. The thinking about jurisdiction over information flows is very much tied to the physical use of data. In law, this is quite an uncommon thing in law to do it like that. Even more, the laws that give government access to data, for instance in the United States, they‘re not attached to where the data actually is. From U.S. law enforcement or national security perspective it just matters whether they have jurisdiction over the company, and this they have very easily. I did a study with my colleagues at the University of Amsterdam about this question and the question about the impact of the so-called Patriot Act, which is something that causes worries at the Board level of bigger organizations. They heard about this, but they don‘t really know what happens, so we did a study for the educational sector to explain what are these risks of having data accessible in foreign territories, specifically about the U.S. And these risks are really present, and they are also really hard to manage. And it is not whether the company is a U.S. company or a European company. That‘s not the issue. And it‘s not where the data are stored. It‘s whether you use a cloud provider that has substantial economic activities in the U.S., which is for any reasonable service provider in the clouds markets the case. These are global markets that they are operating on. But now, we‘re getting a lot of e-mails from people that are either worried about these things, or like now, I just got an e-mail from a U.S. company that is losing customers. And then it starts to have real impact on the market. But it‘s not that clear how to come up with solutions. So the idea of data protection to kind of try to have data that is not leaving Europe, you run into the same issue like with the private litigation. The U.S. law is not gonna asking the question »Where is the data?«, it is just asking the question »Can we tell the company to hand over the data?«, like »I don‘t care where the data is. Just hand it over to me or the party that has the right to get them.« And the NSA or the FBI, they have similar ideas about that. We‘re still working on what kind of solutions could be there. It‘s a hard question.

[249] Andrea Knaut: Das könnte man eigentlich wieder als Abschlussstatement stehen lassen.

[250] Seda Gürses: Killer argument.

[251] Jörg Pohle: Letztendlich ist das aber doch auch wieder eine der Grenzen, die aus dem Rechtsstaatsprinzip folgen. Ein Rechtsstaat würde nicht über andere regeln... Es gibt da also die Idee, dass man die Sachen regelt, die einen selbst betreffen – und das ist dann eben auch die Grenze. Und dann muss man verhindern, dass jemand Flucht – zum Beispiel Flucht aus dem Datenschutz – betreibt. Da war dann die Idee, dass die öffentlichen Stellen sich nicht einfach als private ausgeben, und dass Stellen Flucht aus dem Land betreiben... Einer der ersten Fälle war: Die schwedische Datenschutzbeauftragte beschwert sich auf einer Konferenz in der Bundesrepublik darüber, dass Volvo die Verarbeitung der schwedischen Mitarbeiterdaten in Hamburg betreibt11 – das ist Mitte der siebziger Jahre, Flucht aus dem harten schwedischen Datenschutzrecht in das schwache deutsche... Das kann man sich heute vielleicht gar nicht mehr vorstellen.

[252] Joris van Hoboken: And this we see at the European level.

[253] Jörg Pohle: Genau. Und die Frage ist halt, ob das nicht einfach nur Stufen sind, Entwicklungsstufen. Erst war es die nationale Ebene, jetzt ist es die Diskussion auf der europäischen Ebene, und dann wird sie wahrscheinlich irgendwann global geführt werden und geführt werden müssen. Ähnliches gilt auch für die Frage der Auswirkung der Technik auf die Machtstruktur – also etwa »Privacy by Design«, das dann aber eben selbst zur neuen Machtstruktur wird. Die Revolutionäre von gestern sind die Konservativen von morgen. Und das ist eben auch bei der Technik der Fall.

[Überleitung zum Abschluss]

[254] Jörg Pohle: Zuallererst möchte ich mich ganz herzlich bei Ihnen allen bedanken, nicht nur dafür, dass Sie an diesem Workshop teilgenommen haben, sondern vor allem für die tolle Diskussion, für die produktive Debatte, die wir hier geführt haben. Ich hoffe, dass wir alle ein bisschen begriffliche Klarheit gewonnen haben, auch in der Abgrenzung zwischen den einzelnen Konzepten, auch in den Möglichkeiten und Grenzen der jeweiligen Ansätze, aber eben vielleicht auch in den sich ergänzenden Eigenschaften der jeweiligen Ansätze. Vielen herzlichen Dank.

Fußnoten

1 Abrufbar unter http://www.dataprotectioneu.eu/index_de.html (gesehen am 10.4.2013); der Aufruf wird mittlerweile von mehr als 100 Wissenschaftlern unterstützt. Vgl. auch den Artikel „Auch anonyme Daten brauchen Schutz“, http://www.zeit.de/digital/datenschutz/2013-02/stellungnahme-datenschutz-professoren (gesehen am 10.4.2013).

2 David J. Phillips (2004), Privacy policy and PETs, The influence of policy regimes on the development and social implications of privacy enhancing technologies. In: new media & society 6.6, S. 691–706.

3 Genauer: das Datenschutzrecht. Die gesetzliche Umsetzung des Datenschutzes im Datenschutzrecht ist nicht gleichzusetzen mit dem Datenschutz als solchem, weder in der Breite der Abdeckung noch in der Tiefe.

4 Standarddeutsch: »Ich muss wissen, wann die Kleidung brennt, die ich über der Unterwäsche trage«, also, ab wann ich meine Gesellschaftsfähigkeit riskiere.

5 Spindler, Gerald: Persönlichkeitsschutz im Internet – Anforderungen und Grenzen einer Regulierung. Gutachten F zum 69. Deutschen Juristentag, 2012.

6 Pamela Jones-Harbour, ehem. FTC-Mitglied.

7 So steht sie auch noch in den Protokollen des Innenausschusses des BT 1976: als Datenschutzregelung. Erst Hans Peter Bull als Bundesdatenschutzbeauftragter hat diese Regelung von einer Datenschutzregelung in eine Datensicherheitsregel umdefiniert, und das schon gleich mit seinem ersten Tätigkeitsbericht.

8 Quiring-Kock, Gisela: Anforderungen an ein Datenschutzmanagementsystem. In: 36 Datenschutz und Datensicherheit 2012, S. 832–836.

9 Die obskuren/geheimen Verschlüsselungsalgorithmen des BSI heißen »Chiasmus« und »Libelle«.

10 So ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit von den Sicherheitsbehörden daran gehindert worden, die Antiterrordatei elektronisch zu überprüfen; dazu wird sich das Bundesverfassungsgericht in Kürze äußern.

11Anér, Kerstin: Datengesetz und Datenschutz in Schweden. In: Hoffmann, Gerd E.; Tietze, Barbara; Podlech, Adalbert: Numerierte Bürger. Wuppertal: Peter Hammer Verlag, 1975, S. 44–48.

Hrsg.: Jörg Pohle, Andrea Knaut

Moderation: Andrea Knaut, Jörg Pohle

E-Book-Version: 1.0, Mai 2014

Die Texte der E-Book-Version sind – inklusive aller Fehler – identisch mit dem gedruckten Exemplar: ISBN 978-3-95645-184-3, erschienen im MV-Verlag. Das Buch wurde allerdings neu gesetzt.

Lizenz für die E-Book-Ausgabe: CC-BY