Datenschutzbaustellen: Behörden legen To-Do-Liste für den neuen Gesetzgeber vor

Die Große Koalition war aus Sicht des Datenschutzes alles andere als erfolgreich. Zum Start der neuen Legislaturperiode haben die Datenschutzbehörden des Bundes und der Länder den Bundestagsfraktionen nun einen Katalog mit elf Grundforderungen für eine Weiterentwicklung des Datenschutzes vorgelegt. Unsere Grundrechte dürften weder in der Kommunikation noch durch Überwachung des öffentlichen Raums abgebaut werden, so die Datenschützer. Der Schutz von Persönlichkeitsrechten solle zudem nicht gegen wirtschaftliche Interessen ausgespielt werden. Außerdem müsse die künftige Bundesregierung datenschutzfreundliche Projekte künftig stärker fördern, um so den Weg zu standardmäßigem Datenschutz „by Design“ und „by Default“ zu ebnen.

Verbotsprinzip nicht aufweichen

Die niedersächsische Landesdatenschutzbeauftragte und derzeitige Vorsitzende der Datenschutzkonferenz, Barbara Thiel, erklärt dazu:

Ein wirksamer Datenschutz ist Grundrechtsschutz und darf nicht als Hindernis für die Digitalisierung betrachtet werden. Er muss vielmehr als integraler und förderlicher Bestandteil politischer, wirtschaftlicher und gesellschaftlicher Fortentwicklung verstanden und gelebt werden.

Die Konferenz der Datenschutzbehörden (DSK) fordert deshalb, dass der von der Digitalindustrie und Bundeskanzlerin Angela Merkel in Stellung gebrachte Ansatz der Datensouveränität nicht das datenschutzrechtliche Verbotsprinzip aufweichen darf, das mit der Datenschutzgrundverordnung ab Mai 2018n EU-weit gültig ist. Es besagt, dass Datenverarbeitungen grundsätzlich untersagt und nur dann erlaubt sind, wenn Betroffene ihre Einwilligung erteilt haben oder es andere gesetzliche Ausnahmen gibt.

Die DSK plädiert dafür, in Zukunft Projekte zu fördern, die auf die Nutzung personenbezogener Daten verzichten und Datenminimierung zu ihrem Grundprinzip machen. Es müsse das Ziel der Politik sein, technologische Projekte zu ermöglichen, die Datenminimierung innovativ und intelligent umsetzen und dadurch „smarte“ Lösungen im Zusammenhang mit Big-Data-Anwendungen schaffen. Den Grundsatz dafür bilden Datenschutz „by Design“ und „by Default“.

Zudem müssten Regeln für Entwicklung, Prüfung und Verwendung von algorithmischen Entscheidungsverfahren geschaffen werden. Ansonsten bestünden Gefahren „von Diskriminierungen und Stigmatisierungen, eingeschränkten Auswahlmöglichkeiten bis hin zu Fehlentscheidungen. Menschen dürfen algorithmischen Entscheidungen nicht bedingungslos ausgeliefert werden.“

Datenschutz kein Widerspruch zu Sicherheit

Bürgerliche Freiheiten werden im Zuge des „Kampfes gegen Terrorismus“ durch unterschiedliche Maßnahmen mehr und mehr eingeschränkt und mit einem Zugewinn an Sicherheit begründet. Beispiele dafür sind die umstrittene Wiedereinführung der Vorratsdatenspeicherung, die Erprobung vernetzter Videoüberwachung mit automatischer Gesichtserkennung am Berliner Südkreuz oder die massive Ausweitung der Einsatzmöglichkeiten von Staatstrojanern.

Die Datenschutzbeauftragten machen jedoch deutlich, dass man auch zur Bekämpfung von Terrorismus und Kriminalität nicht das Vertrauen unbescholtener Menschen in vertrauliche Kommunikation und Privatheit untergraben dürfe. Auch das Verhalten von Personen im öffentlichen Raum dürfe nicht beobachtet, aufgezeichnet und automatisch ausgewertet werden:

Datenschutz steht nicht im Widerspruch zu Sicherheit. Datenschutz schafft Sicherheit, denn das Grundrecht auf Schutz personenbezogener Daten verlangt klare gesetzliche Regelungen, die transparent für den Einzelnen die Leitplanken für die Ausübung seiner Rechte und deren Grenzen festlegen. Datenschutz bringt Rechtsklarheit und Rechtsklarheit trägt zur Steigerung des Gefühls der Sicherheit bei. Nur Sicherheit in Freiheit ist wirkliche Sicherheit für alle.

Konkret müssten außerdem Nachbesserungen beim Bundesdatenschutzgesetz erfolgen. Die Datenschützer fordern die Fraktionen dazu auf, die Beschränkung von Aufsichtsbefugnissen sowie Betroffenenrechten zurückzunehmen sowie eine europarechtskonforme Regelung zur Videoüberwachung zu finden.

Strenge Regeln für Big Data im Gesundheitswesen

Die Forderungen des Gremiums erstrecken sich im Weiteren auch auf datenschutzrechtliche Standards im Gesundheits- und Versicherungswesen. Der Einsatz von Big Data und E-Health dürfe nur unter Einhaltung strenger Regeln stattfinden. So sollen zum Beispiel verschiedene Datenbestände, die Gesundheitsdaten enthalten, nur auf Grundlage spezieller Rechtsgrundlagen mit einander verknüpft werden dürfen.

Außerdem sollten die Re-Identifizierung von pseudonymisierten Daten, das Anlegen von individuellen Datenprofilen sowie der Handel mit Gesundheitsdaten verboten und unter Strafe gestellt werden. Gesetzliche Regelungen bedürfe es auch, um sicherzustellen, dass in Big-Data-Anwendungen ausschließlich mit anonymisierten oder hinreichend pseudonymisierten Daten gearbeitet wird. In welchen Ausnahmefällen möglicherweise wirksame Einwilligungen von Patienten zur Verarbeitung ihrer Gesundheitsdaten eingeholt werden könnten, müsse ebenfalls gesetzlich geregelt werden. Zusätzlich sollten Big-Data-Anwendungen hinsichtlich ihrer Analysemethoden und Verarbeitungszwecke nachvollziehbar sein.

Mit Blick auf Fitness-Apps und Wearables will die Datenschutzkonferenz verhindern, dass daraus gewonnene Gesundheitsdaten zur Bemessung von Versicherungstarifen verwendet werden.

Auch beim eGovernment dürfe Datenschutz nicht unter den Tisch fallen. Bei der geplanten Einführung zentraler Nutzerkonten für die Inanspruchnahme digitaler Verwaltungsleistungen müssten Datenschutz „by Design“ und „by Default“ sowie sichere Ende-zu-Ende-Verschlüsselung umgesetzt werden. Für den Datenschutz von Arbeitsnehmern gegenüber ihren Arbeitgebern brauche es dringend ein eigenes Gesetz, das der neuen, digital geprägten Arbeitswelt gerecht wird.