Grundprinzipien des Datenschutzes

Datenschutz für ganz Europa

Interview mit Dr. Michael Friedewald, Leiter des Geschäftsfelds Informations- und Kommunikationstechnik beim Fraunhofer-Institut für System- und Innovationsforschung (ISI), über wichtige Grundprinzipien des Datenschutzes und wie die neue „Datenschutz-Grundverordnung (DSGV)“ der EU diese gewährleisten will

Dr. Michael Friedewald, Fraunhofer-Institut

Dr. Michael Friedewald, Leiter des Geschäftsfelds Informations- und Kommunikationstechnik beim Fraunhofer-Institut für System- und Innovationsforschung (ISI)

IT-DIRECTOR: Herr Friedewald, welche Maßnahmen sehen die Verhandlungen rund um das neue EU-Datenschutzgesetz (EU General Data Protection Regulation, GDPR) zur Sicherung der Privatsphäre der Bürger vor?
M. Friedewald:
Die genaue Bezeichnung lautet „Datenschutz-Grundverordnung (DSGV)“. In den aktuell verhandelten Gesetzesentwürfen der EU-Kommission und des EU-Parlaments sind verschiedene Datenschutzprinzipien verankert: Etwa Data Protection by Design, Data Protection by Default, die Einführung von Zertifizierungsverfahren und Gütesiegeln sowie Strafmaßnahmen bei Verstößen und Berichtigungs- sowie Löschungsansprüche. Wie dann letztlich die konkrete Umsetzung aussieht, wird sich zeigen.

IT-DIRECTOR: Welche geplanten Gesetzesinhalte sind in diesem Zusammenhang lobenswert? Welche Inhalte sind stark verbesserungswürdig?
M. Friedewald:
Lobenswert ist sicherlich die Tatsache, dass es mit der DSGV erstmals eine einheitliche gesetzliche Regelung des Datenschutzes für ganz Europa gibt. Damit, so die Hoffnung, werden die von internationalen Konzernen genutzten Ungleichgewichte des Datenschutzniveaus beseitigt. Für die Unternehmen soll zudem künftig ein sogenanntes “One shop stop”-Prinzip gelten, d.h. Unternehmen haben in Europa nur noch einen statt bislang 28 Ansprechpartner bei den Datenschutzbehörden. Datenschutzverstöße könnten erstmals echte Konsequenzen und Sanktionen nach sich ziehen und würden nicht länger als Kavaliersdelikte wahrgenommen.

Auch die geplante, stärkere Stellung der Datenschutz- und Aufsichtsbehörden ist zu begrüßen. Zudem soll „Data protection by design“ eine stärkere Rolle spielen – dies bedeutet, dass sich Risiken minimieren lassen, wenn Datenschutzmaßnahmen schon bei der Technikgestaltung mitgedacht und implementiert werden. Ein europäisches Datenschutzsiegel könnte den Bürgern bei der Identifikation datenschutzfreudlicher Technologien helfen.

Verbesserungswürdig wäre ein Gesetz dann, wenn etablierte und wirkungsvolle Datenschutzprinzipien verwässert oder abgeschafft würden – dies wäre ein schwerer Rückschlag für den Datenschutz. Die Einführung des „Risikoprinzips“ wird manchmal als solch eine „Verwässerung“ bezeichnet. Dies wäre der Fall, wenn es in Zukunft nur noch darauf ankäme, möglichst viele anstatt aller Bürger zu schützen. Das Risikoprinzip eröffnet allerdings auch Möglichkeiten für eine frühzeitige und prospektive Bewertung von möglicherweise risikoreichen Verarbeitungen personenbezogener Daten. Verbesserungswürdig ist zudem die Definition des „Personenbezugs“. Bereits heute können anonymisierte Daten durch Datenkombination re-personalisiert werden. Andere potentiell problematische Datentypen sind überhaupt nicht geschützt.

IT-DIRECTOR: Welche Sanktionen sind für Verstöße von Unternehmen gegen das neue Datenschutzgesetz vorgesehen? Welche Höchststrafen könnte es geben?
M. Friedewald:
Im ersten Entwurf der Kommission (2012) waren Strafen von bis zu einer Million Euro oder im Falle von Unternehmen mit mehr als 250 Mitarbeitern von bis zu zwei Prozent ihres Jahresumsatzes vorgesehen. Der konsolidierte Entwurf des Parlaments (2014) hat diese Werte auf 100 Mio. Euro bzw. fünf Prozent des weltweiten Jahresumsatzes erhöht. Der Entwurf des Ministerrates (2015) folgt dem Entwurf der Europäischen Kommission (zwei Prozent bzw. 1 Mio. Euro). Seit dem 24. Juni 2015 finden die abschließenden Verhandlungen der drei Institutionen (sogenannter Trialog) statt, in dem die endgültigen Werte festgelegt werden.

Die Strafen fallen damit insgesamt deutlich höher aus als bisher. In jedem Fall ergibt sich ein signifikantes finanzielles Risiko, der Entwurf des Parlaments wäre demnach mit Kartellrechtsverstößen vergleichbar. Jenseits der gesetzlich vorgesehenen Strafen ist aber auch die Praxis der Aufsichtsbehörden relevant, bei denen es aufgrund fehlender Personalressourcen ein Durchsetzungsproblem gibt.

IT-DIRECTOR: In den Diskussionen um das neue EU-Datenschutzgesetz geht es u.a. um die sogenannte Datensparsamkeit? Was genau ist damit gemeint?
M. Friedewald:
Datensparsamkeit bedeutet, dass nur so viele personenbezogene Daten gesammelt werden, wie für die jeweilige Anwendung notwendig sind. Nach Beendigung der Anwendung sollten die Daten wieder gelöscht werden. Im aktuellen BDSG wird das wie folgt formuliert: „§3a BDSG: Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen sind an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere sind personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert.“ Diese Vorschrift war bereits bisher "schwammig", da nicht klar ist, was "notwendig" und was ein "verhältnismäßiger Aufwand" zur Anonymisierung ist.

Eine Grundüberlegung der EU-Kommission war, die Grundprinzipien des Datenschutzes (wie die Datensparsamkeit bzw. -vermeidung) beizubehalten. Im Entwurf des Ministerrates wurde die Passage "this requires in particular ensuring that the data collected are not excessive" gestrichen. Im Satz "The data should be adequate and relevant and limited to the minimum necessary for the purposes for which the data are processed" wurde "and limited to the minimum necessary" gestrichen. Das heißt, der Ministerrat schlägt momentan vor, das Prinzip der Datensparsamkeit aufzugeben.

IT-DIRECTOR: Nicht wenige Kritiker behaupten, dass Datensparsamkeit im Zeitalter von Digitalisierung und „Big Data“ als überholte Methode gilt. Wie schätzen Sie dieses Argument ein?
M. Friedewald:
Richtig ist, dass viele neuere Entwicklungen (Industrie 4.0, Internet der Dinge, Big Data) darauf basieren, dass Daten in möglichst großer Zahl und zeitlich unbegrenzt zur Verfügung stehen. Dies steht im Widerspruch zum Prinzip der Datensparsamkeit und auch zum Prinzip der Zweckbindung, wonach Daten nur zu Zwecken genutzt werden sollen, für die sie ursprünglich gesammelt wurden. Insofern ist klar, dass Befürworter dieser Entwicklungen das Prinzip abschaffen möchten, und sie haben damit im Ministerrat ja offensichtlich bereits ein offenes Ohr gefunden.

Dennoch sollte man diesen wichtigen Grundsatz des Datenschutzes nicht ohne weiteres aufgeben. Kursieren personenbezogene Daten erst einmal im Netz, sind sie kaum mehr zu kontrollieren. Auch Jahre oder Jahrzehnte später können sie für die betreffenden Personen teilweise unangenehme Folgen haben.

Das Problem betrifft aber auch die derzeitige Konzeption „persönlicher Daten“, für die das Prinzip der Datensparsamkeit angewendet wird. Demnach sind anonymisierte Daten nicht Gegenstand des Datenschutzes. Auch bestimmte Sensordaten (z.B. von Fitnessarmbändern) werden heute nicht als persönliche Daten anerkannt, obwohl sie mitunter sehr sensible Informationen über Personen erzeugen können. Moderne Verfahren erlauben es, durch Kombination von Datenbeständen anonymisierte Daten zu re-personaliseren. Andere Verfahren wie Scoring identifizieren zwar nicht Personen selbst, können sie aber einer bestimmten Gruppe zuordnen. Eine solche Gruppe (etwa Diabetiker, Einwohner eines bestimmten Stadtviertels oder Kunden eines bestimmten Ladens) genießt dann keinen Datenschutz.

Kurzum: Es ist eine Herausforderung, eine moderne Version des Datensparsamkeitsprinzips zu entwerfen, der Big Data und dem Internet der Dinge erlaubt, aber grundlegende Rechte der Bürger berücksichtigt.

IT-DIRECTOR: Auf welche Weise kann man im Internet of Things (IoT) überhaupt den Schutz personenbezogener Daten garantieren?
M. Friedewald: Dies ist etwa durch „Privacy by design“ möglich, also die proaktive Berücksichtigung und Implementierung von Datenschutzmaßnahmen bei der Technikgestaltung. Geschieht dies, wird ein angemessenes Datenschutzniveau garantiert und Datenschutzrisiken lassen sich verringern oder ganz vermeiden. Aber auch die Nutzer sind gefragt, künftig bewusster mit IoT-Endgeräten und ihren persönlichen Daten sowie den damit verbundenen Risiken umzugehen.

©2020Alle Rechte bei MEDIENHAUS Verlag GmbH

Unsere Website verwendet Cookies, um Ihnen den bestmöglichen Service zu bieten. Durch die weitere Nutzung der Seite stimmen Sie der Verwendung zu. Weitere Infos finden Sie in unserer Datenschutzerklärung.

ok