Datenschutz und Biometrie: Von internationalen Hilfsorganisationen durchleuchtet

Humanitäre Hilfsorganisationen haben sich in den vergangenen Jahren digitalisiert. NGOs und UN-Organisationen sammeln und verarbeiten heute große Mengen an Daten der Menschen, denen sie Hilfe leisten und mit denen sie interagieren. Dabei handelt es sich oft um sehr persönliche Daten zur Gesundheit und Bildung, Familienbeziehungen, religiöse und politische Überzeugungen. Diese Datensätze identifizieren eine Person anhand von Name, Adresse, Foto sowie immer öfter auch anhand von biometrischen Merkmalen.

„Vertrauen ist der Treibstoff unserer Gesellschaften“, sagt der Historiker und Philosoph Yuval Harari. Es stellt sich also die Frage, ob zivilgesellschaftliche und gemeinnützige Organisationen einer öffentlichen Kontrolle standhalten und unser Vertrauen verdienen? Können wir tatsächlich davon ausgehen, dass NGOs personenbezogene Daten von den betroffenen Personen auf der Basis von Freiwilligkeit erheben und dass diese Zweck, Nutzen und Risiken verstehen, wenn sie der Erhebung, Speicherung und Verarbeitung sensibler persönlicher Daten durch Hilfsorganisationen zustimmen?

Datenschutz und Souveränität im globalen Süden

Im Allgemeinen kann man sagen, dass Hilfsorganisationen unter das Rechtssystem des Landes fallen, in dem sie tätig sind. Das mag die Öffentlichkeit in den Ländern des Nordens beruhigen, in denen der Datenschutz gesetzlich geregelt ist und auch durchgesetzt wird. Da jedoch weltweit immer mehr Regierungen Datenschutzgesetze erlassen, befinden wir uns in der paradoxen Situation, dass NGOs häufig mit neuen Verpflichtungen zur Offenlegung personenbezogener Daten konfrontiert werden, um Anforderungen nationaler Souveränität und Sicherheit nachzukommen. Länder wie die Türkei und Ruanda haben ihre Datenschutzgesetze nach dem Vorbild der EU-Datenschutzgrundverordnung gestaltet, verlangen jedoch darüber hinaus, dass personenbezogene Daten ihrer Einwohner ausschließlich auf Servern in ihrem Hoheitsgebiet gespeichert werden – sogenannte Datenlokalisierungsbestimmungen.

NGOs geben unter Umständen auch Daten an institutionelle oder individuelle Geldgeber weiter, um Finanzmittel zu erhalten. Bei jeder vertraglichen Vereinbarung zwischen NGOs und kommerziellen Dienstleistern, sei es bei ausgelagerten IT-Diensten wie der Speicherung und Analyse von Daten oder bei einfachen Bank- und Mobilfunküberweisungen, werden Identität und personenbezogene Informationen über Hilfsempfänger ebenfalls offengelegt.

Diejenigen, die die personenbezogenen Daten verwalten, die leitenden NGO-Manager und Datenschutzbeauftragten, sind sich dieser Problematik bewusst. Auf Anfrage werden sie auf die noblen Ziele und die Gemeinnützigkeit ihrer Organisation hinweisen. Sie werden unterstreichen, dass sie über interne Datenschutzgrundsätze und -vorschriften verfügen. Vor allem die internationalen NGOs, die in der Regel vom globalen Norden aus geleitet und finanziert werden, nehmen für sich in Anspruch, dass sie sogar außerhalb Europas die Datenschutzgrundverordnung (DSGVO) befolgen, die als internationaler Goldstandard im Datenschutz gilt.

Und es ist sicherlich richtig, dass die Daten ihrer institutionellen und individuellen Spender, einschließlich derjenigen, die in den Fußgängerzonen angeworben wurden, um jeden Monat zehn Euro oder ähnliche Beträge zu spenden, DSGVO-konform gespeichert und verarbeitet werden. Die NGOs wissen, dass sie das Vertrauen dieses wichtigen Teils der Öffentlichkeit gewinnen und erhalten müssen, da ihr finanzielles Überleben und ihr guter Ruf auf dem Spiel stehen.

Offene Fragen bei Betroffenenrechten

Doch was ist mit den Menschen am Rande der Gesellschaft, den Betroffenen im globalen Süden, die ihre Daten preisgeben, weil sie angesichts von Kriegen, Naturkatastrophen oder Armut auf Schutz und Hilfe angewiesen sind? In solchen Fällen müssen spezifische Fragen gestellt und beantwortet werden, wie zum Beispiel:

• Werden die Betroffenen, soweit es sich um Pflichtdatenfelder handelt, in transparenter und verständlicher Weise über die (tatsächliche und mögliche) Datennutzung informiert ?
• Wurden die Personen, die um eine informierte Einwilligung gebeten werden, aufgeklärt und über den spezifischen Kontext informiert, so dass sie diese Entscheidung sinnvoll treffen können? Welche Alternativen werden ihnen angeboten, wenn sie sich entscheiden, beispielsweise ihre (biometrischen) Daten nicht bei einer NGO registrieren zu lassen?
• Sind die Regeln und Verfahren der Einwilligung einfach und praktikabel, kann die Einwilligung widerrufen werden?
• Haben die Betroffenen Zugang zu ihren Daten, können sie diese abfragen und Korrekturen verlangen, und welcher Rechtsweg steht ihnen offen sollten sie mit der Datenerhebung und -verarbeitung nicht einverstanden sein? Ist die Löschung von Daten überhaupt möglich und gibt es ein Recht vergessen zu werden?
• Werden die Betroffenen über Datenpannen und Datenweitergabe, insbesondere an staatliche Stellen, informiert?

Leider dürften die zu erwartenden Antworten auf diese und andere Fragen in den meisten Fällen nicht den Mindeststandards des Datenschutzes genügen. Bevor Entscheidungen über die Erhebung, Speicherung und Verarbeitung personenbezogener Daten getroffen werden, mangelt es in der Organisationskultur und -praxis vieler NGOs an der nötigen Aufmerksamkeit und Mitteln, um situationsspezifische Folgen- und Risikobewertungen durchzuführen. Während regelmäßige Finanzkontrollen üblich sind, bleiben Prüfungen zur Datenverarbeitung die Ausnahme. Betriebliche Sicherheitsprozesse und Strategien zum Schutz kritischer Daten sind innerhalb von Organisationen selten und auf organisationsübergreifender Ebene gar nicht vorhanden. Selbstkontrolle ist die Norm, anstatt sich einer unabhängigen Aufsicht durch Dritte zu unterwerfen.

Verträge mit Palantir sorgen für Aufsehen

Einer besonderen Erwähnung bedürfen die großen Spezialorganisationen der Vereinten Nationen – die Internationale Organisation für Migration, das UN-Welternährungsprogramm (WFP) und das Flüchtlingshilfswerk UNHCR. Diese Organisationen haben, wie keine andere nichtstaatliche Bürokratie, persönliche Datensätze von dutzenden Millionen Menschen rund um den Globus angehäuft. Die Betroffenen müssen sich biometrisch ausweisen (in der Regel mit Finger- und/oder Iris-Abdrücken), um ein Stück Seife, einen Sack Reis oder eine Geldüberweisung zu erhalten, aber auch für eine Aufenthaltsgenehmigung oder die Möglichkeit, in ein anderes Land umgesiedelt zu werden. Doch leider bleiben ihre Strategien zum Schutz solch sensibler biometrischer Daten und vor allem die Maßnahmen zur Umsetzung des Datenschutzes weitgehend undurchsichtig.

Nehmen wir das Beispiel des Abkommens über die gemeinsame Nutzung von Daten, welches UNHCR mit der Regierung von Bangladesch geschlossen hat. Human Rights Watch meldet in einem Bericht, dass sensible biometrische und andere persönliche Daten von vor dem Genozid in Myanmar geflüchteten Rohingya, die UNHCR und Behörden in Bangladesch sammelten, ausgerechnet an die Behörden Myanmars übermittelt wurden. Oder das Welternährungsprogramm der UN, das ausgerechnet mit der umstrittenen Firma Palantir zusammenarbeitet. Palantir ist ein auf Datenanalyse spezialisiertes Unternehmen, das als fester Bestandteil des militärisch-industriellen Datenkomplexes in den Vereinigten Staaten gilt. Genau jenes Palantir wurde kürzlich von Amnesty International dafür kritisiert, dass es bei seinen Verträgen keine menschenrechtliche Sorgfaltsprüfung durchführt.

Diese und andere datenbezogenen Abkommen, Verträge und Praktiken von UN-Organisationen entziehen sich der öffentlichen Kontrolle und können aufgrund der diplomatischen Immunität dieser Organisationen vor keinem nationalen Gericht angefochten werden. Dennoch führen verschiedene UN-Organisationen in vielen Ländern routinemäßig groß angelegte Datenerhebungsprogramme durch – ohne angemessene Aufsichtsgremien und Rechtsmittelverfahren für die betroffenen Personen zu gewährleisten.

Als westliche militärische und zivile Organisationen vor zwei Monaten ihr Personal aus Afghanistan evakuierten, blieben große Mengen an biometrischen und anderen sensiblen Daten zurück. Die Zukunft wird zeigen, ob diese Daten angemessen geschützt sind und nicht missbraucht werden können. Hierzulande erhielt das Deutsche Rote Kreuz im Jahre 2018 den „Big Brother Award“ von Digitalcourage e.V. für sein digitales System zur Verwaltung von Asylunterkünften. Die Software des Roten Kreuzes ermöglicht eine humanitäre Überwachung und totale Kontrolle der Asylbewerber und Flüchtlinge. Deren Bewegungen zur und innerhalb der Unterkunft werden verfolgt, und detaillierte Profile werden ermöglicht, die sich auf gespeicherten Daten von medizinischen Untersuchungen, Nahrungsaufnahme, persönlichen Beziehungen, religiösen und ethnischen Zugehörigkeiten usw. gründen. Die Frage ist nicht, ob es ähnliche Systeme in anderen Einrichtungen und an anderen Orten weltweit gibt, sondern wie viele davon.

Rotes Kreuz und Oxfam arbeiten an Biometrie-Leitlinien

Wenn wir in die Zukunft blicken, erkennen wir verschiedene Trends: Einige NGO nehmen die Risiken im Zusammenhang mit der Verwendung personenbezogener Daten ernst. Sie plädieren für eine intensive Diskussion über neue Ansätze zur verantwortungsvollen Nutzung personenbezogener und insbesondere biometrischer Daten. In der Tat haben neuerdings das Internationale Komitee vom Roten Kreuz und Oxfam damit begonnen, rote Linien zur Nutzung der Biometrie zu definieren und besprechen ihre Datenpolitik und -praktiken mit den Menschen, die sie schützen und unterstützen.

Auf der anderen Seite hält der Trend zur Überwachung und zum biometrischen Overkill an. Das beunruhigendste Beispiel ist die Verwendung von DNA-Abstrichen durch die US-Einwanderungsbehörde ICE. Hier wird ein Präzedenzfall geschaffen, bei dem biologische Merkmale nicht nur zur eindeutigen Identifizierung einer einzelnen Person, sondern auch der biologischen Verwandtschaft zwischen mehreren Personen verwendet werden. Derweil untersuchen UNICEF und die Gates-Stiftung Möglichkeiten für den Einsatz biometrischer Daten für die Gesundheitsversorgung von Säuglingen und Kindern in Afrika. Neue Startups bieten an, den Schulbesuch biometrisch zu kontrollieren.

Doch es gibt auch Widerstand. Politische Organisationen in Lagern von geflüchteten Rohingya in Bangladesch fordern ihre Mitgeflüchteten auf, die Registrierung durch die Vereinten Nationen und die Behörden zu verweigern, damit ihre Daten nicht an die Militärdiktatur in Myanmar weitergeleitet werden können. Während der Covid-19-Pandemie im Nahen Osten scheiterte das UN-Palästinahilfswerk (UNRWA) bei der Einführung biometrischer Rations- und Geldkarten: Die palästinensischen Flüchtlinge wollten nichts davon wissen und weigerten sich schlichtweg zu kooperieren.

Biometrische Kontrolle im Bürgerkriegsgebiet

Und so ist es nicht verwunderlich, dass personenbezogene Daten auch zur Waffe werden können. Ein Beispiel dafür ist der Jemen, wo zwei konkurrierende Regierungen in einem Bürgerkrieg um die Kontrolle des Landes kämpfen. Seit 2019 lehnte das UN-Welternährungsprogramm (WFP) die von der Regierung in der Hauptstadt Sanaa erstellten Listen der Begünstigten ab. Stattdessen forderte es, selbst die Berechtigten für den Erhalt von Nahrungsmittelhilfe biometrisch zu registrieren. Die konkurrierende Regierung, die von den USA und Saudi-Arabien unterstützt wird, erlaubte dem WFP, die Empfänger von Nahrungsmittelhilfe in den von ihr kontrollierten Gebieten biometrisch zu registrieren.

Infolgedessen geht der Großteil der Nahrungsmittelhilfe in die Gebiete, in denen WFP die Bevölkerung registriert hat. Es wird von entscheidender Bedeutung sein, die derzeitigen Debatten auszuweiten und ein breites Spektrum von Interessengruppen einzubeziehen. Wenn es um Daten und Vertrauen geht, sind wohltätige Absichten, fortschrittliche Mandate und Gemeinnützigkeit zwar ehrenwerte Ausgangspunkte, aber leider wenig aussagekräftig.

Entscheidend ist, was mit den persönlichen Daten der Betroffenen geschieht. Seit Jahren diskutieren NGOs über Konzepte wie „do no harm“ und Rechenschaftspflichten. Viele nehmen von sich in Anspruch, dass sie gegenüber den Menschen, denen sie helfen, die sie schützen und denen sie Empowerment versprechen, rechenschaftspflichtig sind und nicht etwa gegenüber ihren Geldgebern. Jetzt ist die Gelegenheit da, eine sinnvolle Rechenschaftspflicht umzusetzen: Gebt den Betroffenen, die am Rande der Gesellschaft stehen und auf Schutz und Hilfe angewiesen sind, die ihnen zustehenden digitalen Rechte.

Karl Steinacker hat Politische Wissenschaft an der FU Berlin und Völkerrecht an der Universität Cambridge studiert. Danach hat er drei Jahrzehnte für die Vereinten Nationen (UNDP, UNRWA, DPKO, UNHCR) in den Bereichen Entwicklung, Friedenserhaltung und Flüchtlingsschutz gearbeitet. Beim UN-Flüchtlingshilfswerk hatte er Positionen in Sudan, Tansania, Mali, Sierra Leone, Mazedonien, DR Kongo, und Niger inne. In der UNHCR-Zentrale war er mehrere Jahre Abteilungsleiter für Registrierung, Statistik, und Datenmanagement und außerdem für den Bereich Camp Coordination/Camp Management zuständig. Seit 2019 ist er selbständiger Publizist und Digital Advisor für das International Civil Society Centre in Berlin.

Katja Lindskov Jacobsen hat an der Universität Lancaster in Internationalen Beziehungen promoviert und arbeitet als Senior Researcher am Zentrum für Militärstudien des Instituts für Politikwissenschaften an der Universität Kopenhagen. Der Fokus ihrer Forschungsarbeit liegt auf Sicherheitspolitik und Interventionen.