WEBVTT 00:00:00.120 --> 00:00:05.020 Hallo und herzlich willkommen zu OffOn, dem Podcast von Netzpolitik.org. 00:00:05.400 --> 00:00:16.720 Heute, nach etwas längerer Zeit, mal wieder eine Ausgabe On The Record, bei der wir in loser Reihe interessante Menschen für ein Interview vor das Mikrofon holen und mit ihnen ein wichtiges netzpolitisches Thema besprechen. 00:00:17.440 --> 00:00:25.220 Mein Name ist Ingo Dachwitz, ich bin Journalist und Redakteur bei Netzpolitik.org und als solcher habe ich ziemlich häufig Werbung in meinem Postfach. 00:00:25.700 --> 00:00:28.800 Irgendwelche PR-Agenturen, die mir irgendwelchen Scheiß andrehen wollen. 00:00:28.900 --> 00:00:30.660 Wäre das nicht interessant für Ihre Leserinnen? 00:00:31.260 --> 00:00:32.660 Nein, ganz sicher nicht. 00:00:32.800 --> 00:00:33.720 Ab in den Papierkorb. 00:00:33.820 --> 00:00:37.080 Diese Mails sind in der Regel schneller gelöscht als Cookie-Banner weggeklickt. 00:00:37.460 --> 00:00:40.900 Neulich aber, da hatte ich eine E-Mail mit einer ganz ähnlichen Frage in meinem Postfach. 00:00:41.260 --> 00:00:45.520 Die kam nicht von einer PE-Agentur, sondern von jemandem, dessen Namen ich schon öfter mal gelesen hatte. 00:00:46.300 --> 00:00:47.940 Maximilian von Grafenstein. 00:00:48.240 --> 00:00:56.420 Jurist, Historiker und Professor für digitale Selbstbestimmung an der Universität der Künste Berlin und Teil des Einstein Center for Digital Future. 00:00:56.920 --> 00:01:04.040 Er hat nämlich mit einem Team nach mehreren Jahren Forschung ein Tool entwickelt, schrieb er mir, das das Cookie-Problem für uns lösen soll. 00:01:04.220 --> 00:01:11.320 Consenter heißt es, eine Browser-Erweiterung, mit der NutzerInnen im Netz einfach und übersichtlich Einwilligung erteilen und entziehen können. 00:01:12.040 --> 00:01:16.960 Und Maximilian von Grafenstein hat mal eine E-Mail geschrieben und gefragt, ob er mir dieses Werkzeug mal zeigen dürfte. 00:01:17.360 --> 00:01:19.380 Natürlich mit dem Ziel, dass ich dann auch darüber berichte. 00:01:20.060 --> 00:01:21.880 Könnte ja interessant sein für meine LeserInnen. 00:01:22.360 --> 00:01:37.160 Ich habe geantwortet, dass wir bei Netzpolitik.org keine Werbung machen und ich persönlich auch nicht daran glaube, dass Einwilligungsmanager als Lösung für unsere Probleme mit dem Datenschutz helfen können, aber dass er gerne versuchen darf, mich vom Gegenteil zu überzeugen. 00:01:37.460 --> 00:01:39.880 Und hier sind wir nun. Hallo Herr von Grafenstein. 00:01:40.080 --> 00:01:40.240 Hi. 00:01:40.979 --> 00:01:44.680 Beziehungsweise Max, wir haben im Vorgespräch entschieden uns zu duzen. Freue mich sehr, dass du da bist. 00:01:44.880 --> 00:01:45.740 Vielen Dank für die Einladung. 00:01:46.060 --> 00:01:55.600 Und du hast ja, glaube ich, ein paar mehr Menschen angeschrieben, nicht nur mich, sondern vielleicht auch ein paar andere Medien oder Organisationen, um dieses Tool bekannter zu machen. Wie läuft es denn so? 00:01:55.640 --> 00:02:16.120 Ja, also gar nicht so leicht, weil wir werden tatsächlich, also einige Reaktionen, die sind sehr nett und offen und das freut mich natürlich, aber ich war tatsächlich überrascht, dass wir da tatsächlich plötzlich so, als wollten wir da irgendein Produkt vermarkten, so rüberkommen und dann entsprechend auch behandelt werden. 00:02:16.220 --> 00:02:21.620 Und das fand ich natürlich schwierig, weil da forscht und tüftelt man zehn Jahre. 00:02:21.900 --> 00:02:27.800 Und wenn man in der Wissenschaft ist, dann weiß man, da geht sehr, sehr viel Zeit und Schweiß rein. 00:02:29.200 --> 00:02:36.280 Und dann dachte ich schon in dem Augenblick, wo wir überzeugt waren, hey, das ist jetzt endlich die Lösung. 00:02:36.520 --> 00:02:38.360 Jetzt haben wir es endlich rausgefunden, wie es funktioniert. 00:02:38.620 --> 00:02:39.100 Heureka. 00:02:39.620 --> 00:02:41.260 Und jetzt gehen wir damit raus. 00:02:41.580 --> 00:02:46.020 Und Standing Ovations, so war es erst mal nicht, sondern eigentlich Skeptizismus. 00:02:47.039 --> 00:02:49.460 und Desinteresse zu weiten Teilen. 00:02:49.700 --> 00:02:52.700 Dabei habt ihr auch gar kein Marketingbudget, wie du mir geschrieben hast. 00:02:52.800 --> 00:02:53.460 Ja, 0,0. 00:02:53.480 --> 00:02:54.620 Also da steht jetzt auch keine Firma dahinter. 00:02:54.800 --> 00:02:54.900 Nee. 00:02:55.840 --> 00:02:58.700 Okay, gute Voraussetzung auf jeden Fall, um hier aber darüber zu sprechen. 00:02:59.300 --> 00:03:02.260 Lass uns erst mal kurz ein bisschen über dich sprechen und was über dich lernen. 00:03:03.000 --> 00:03:05.400 Du siehst auf den ersten Blick gar nicht so aus wie ein Datenschützer. 00:03:06.080 --> 00:03:06.680 Wie kommt das? 00:03:08.160 --> 00:03:09.160 Wie sehe ich denn aus? 00:03:09.260 --> 00:03:10.540 Wie sieht ein Datenschützer aus? 00:03:10.920 --> 00:03:12.500 Da will ich jetzt nicht ins Detail gehen. 00:03:14.480 --> 00:03:16.040 Ich nehme es mal als Kompliment. 00:03:19.540 --> 00:03:36.520 Also tatsächlich komme ich mehr, also ursprünglich ja aus den kreativen Berufen. Ich habe mal Film studiert auch und bin dann eher durch Zufall zur Juristerei gekommen, habe dann gemerkt, dass ich das wahnsinnig spannend finde, fast kreativer als Trübücher schreiben. 00:03:38.940 --> 00:03:55.360 Und dann bin ich aber natürlich trotzdem, habe ich irgendwie beide Welten verbunden, habe damals so viel im Filmrecht gemacht und so, habe dann vormittags als Anwalt gearbeitet und in der Zeit, das war ja vor 15 Jahren ungefähr, kam immer mehr, wurde immer präsenter der Datenschutz. 00:03:55.560 --> 00:04:11.760 Und als ich da zum ersten Mal drüber gestolpert bin, dachte ich einfach nur, oh Gott, das ist das allergrässlichste Rechtsgebiet, was ich je gesehen habe, weil ich damals immer versucht habe, halt Gesetze natürlich nicht auswendig zu lernen, sondern irgendwie den Sinn und Zweck zu verstehen. Und der Sinn und Zweck im Datenschutzrecht hat sich bei mir auf den ersten Blick überhaupt nicht erschlossen. 00:04:12.760 --> 00:04:16.540 Gleichzeitig habe ich mitgekriegt, dass alle stöhnen und sagen, das ist so innovationsfeindlich. 00:04:17.299 --> 00:04:22.620 Und dann bin ich damals über ein Forschungsinstitut gestolpert, das Alexander von Humboldt-Institut für Internet und Gesellschaft. 00:04:22.800 --> 00:04:25.640 Da bin ich heute auch immer noch quasi in Nebentätigkeit. 00:04:26.400 --> 00:04:34.740 Und da sollte ich eine Startup-Law-Klinik aufbauen, um Forschung zu den Wirkungen von Regulierung auf Innovationsprozesse zu machen. 00:04:34.800 --> 00:04:37.680 Und zu beweisen, dass es sehr wohl zusammengeht. 00:04:37.760 --> 00:04:46.240 Ja, genau. Und dann habe ich mir natürlich ein Rechtsproblem geschnappt, wo das besonders dramatisch diskutiert wird. 00:04:46.340 --> 00:04:48.760 Und das ist das Zweckbindungsprinzip im Datenschutzrecht. 00:04:49.500 --> 00:04:58.780 Und konnte tatsächlich kontraintuitiv oder überraschenderweise auf dem Reißbrett beweisen, dass der Datenschutz tatsächlich ein Wettbewerbsvorteil sein kann. 00:04:58.790 --> 00:05:01.780 So wie es Jan-Film-Albrecht und Neli Größ ja damals auch versprochen hatten. 00:05:01.940 --> 00:05:07.380 Die beiden EU-PolitikerInnen, die die Datenschutz-Grundverordnung massiv vorangetrieben haben. 00:05:07.620 --> 00:05:12.100 Ganz genau. Man konnte eben beweisen, dass das sogar also in Theorie stimmt. 00:05:13.150 --> 00:05:18.840 Aber in der Praxis hat es einfach keiner so aufgegriffen und umgesetzt. 00:05:18.870 --> 00:05:27.420 Und so bin ich halt immer, immer tiefer in diesen Kaninchenbau geschlittert, wo ich immer eben selber dann beweisen musste, hey, das kann funktionieren. 00:05:27.640 --> 00:05:37.080 Und diese Genese zeigt vielleicht, dass ich eben nicht so dieser typische Datenschützer bin, der eben von Anfang an das einfach total schön findet. 00:05:37.280 --> 00:05:40.500 andere Leute mit Paragrafen, also Paragrafen auf die zu werfen. 00:05:40.620 --> 00:05:42.560 Ich komme halt aus der anderen Richtung eigentlich. 00:05:42.930 --> 00:05:43.800 Ich fand das aber immer spannend. 00:05:44.480 --> 00:05:47.100 Was macht denn ein Professor für digitale Selbstbestimmung? 00:05:47.800 --> 00:05:50.200 Also das ist eine interdisziplinäre Professur. 00:05:50.460 --> 00:06:05.760 Das war dann das große Glück eben nach der DISS, dass ich dann, da habe ich gesehen, okay, jetzt konnte ich es für mich rechtswissenschaftlich lösen, was eigentlich Ziel und Zweck im Datenschutzrecht und wie man das eigentlich innovationsoffen und gleichzeitig risikoschützend auslegen kann. 00:06:06.820 --> 00:06:16.200 Und habe dann beim Einstein Center Digital Future diese Professur ausgeschrieben gesehen für digitale Selbstbestimmung an der Universität der Künste. 00:06:17.060 --> 00:06:23.500 Und dachte mir, das ist genial, weil ich stand genau da, dass ich wusste, jetzt müssen wir eigentlich in die Implementierung gehen. 00:06:24.100 --> 00:06:30.900 Und ganz viele Vorschriften aus dem Datenschutzrecht, deren wirksame Umsetzung hängt eigentlich von ihrer Usability ab. 00:06:31.500 --> 00:06:36.020 Und jetzt gibt es an der Universität der Künste natürlich relativ viel Wissen zu designen. 00:06:36.600 --> 00:06:41.800 Und deswegen habe ich mich dann auf diese interdisziplinäre Professur beworben und habe die dann tatsächlich bekommen. 00:06:42.260 --> 00:06:51.040 Und wichtig, witzigerweise, diese Überzeugungsarbeit, weil die haben sich natürlich auch gefragt, was will jetzt ein Jurist da unter uns Künstlern, war wiederum, dass ich Film studiert hatte. 00:06:51.480 --> 00:06:54.500 Also war jetzt nicht das ausschlaggebendste, aber war vertrauensfördernd. 00:06:54.540 --> 00:07:02.880 Okay, dann ist es auch irgendwie logisch, dass dann aus deiner und eurer Arbeit am Ende ein Produkt rauskommt wie ConSenter, über das wir heute sprechen wollen. 00:07:03.040 --> 00:07:03.440 Ganz genau. 00:07:04.380 --> 00:07:11.680 Okay, vielleicht nochmal, ich habe irgendwo gelesen, du seist Serial Entrepreneur, also Mehrfachunternehmer. Was hast du so gegründet? 00:07:11.720 --> 00:07:19.140 Das klingt so hochtrabend, aber es ging halt los, nachdem ich eben Jura dann das zweite Staatsexamen gemacht hatte. 00:07:19.240 --> 00:07:25.000 Und dann hatte ich ja noch diese Zusatzausbildung in europäischer Filmproduktion und kam dann endlich aus Paris nach Berlin zurück. 00:07:25.440 --> 00:07:28.380 Habe vormittags eben als Filmrechtsanwalt gearbeitet, um Geld zu verdienen. 00:07:28.380 --> 00:07:31.440 Und nachmittags habe ich meine eigenen interaktiven Filmkonzepte geschrieben. 00:07:31.630 --> 00:07:38.300 Und da habe ich dann irgendwann eine Förderung des Medienboards Berlin-Brandenburg bekommen, womit ich mein erstes Filmstartup gegründet hatte. 00:07:38.300 --> 00:07:40.040 Das ist die Mauerschau, die gibt es übrigens immer noch. 00:07:40.500 --> 00:07:44.280 Da sind wir dieses Jahr neu rausgekommen mit dem kompletten neuen Design. 00:07:44.870 --> 00:07:47.660 Also jeder, der sich das runterladen, will ich herzlich eingeladen. 00:07:48.080 --> 00:07:49.400 Aber so ging das Ganze los. 00:07:49.470 --> 00:07:50.920 Okay, was macht die Mauer, Schau? 00:07:51.620 --> 00:07:54.200 Das ist eine Augmented Reality App. 00:07:55.090 --> 00:08:02.840 Da haben wir mehr in der historischen Bildung sozusagen, haben wir viele Zeitzeugeninterviews gemacht zum Bauunfall der Mauer, aber an Ort und Stelle. 00:08:03.270 --> 00:08:12.060 Und diese Zeitzeugen führen dich halt dann in Berlin an die Orte, wo sie dann auf dem Moskau-Paris-Express aufgesprungen sind, um zu flüchten und so weiter. 00:08:12.200 --> 00:08:24.100 Und dadurch entwickeln wir so einen spannenden Augmented Reality-Effekt, dass man heute, wenn man durch die Straßen läuft und man sieht ja gar nicht mehr, wo eigentlich historisch was passiert ist, legen wir so eine digitale Schicht drüber, um das quasi wieder erlebbar zu machen. 00:08:24.460 --> 00:08:25.220 Klingt spannend, okay. 00:08:26.340 --> 00:08:28.220 Heute soll es aber um etwas anderes gehen. 00:08:28.440 --> 00:08:50.500 Heute geht es um eines der riesengroßen Probleme des Datenschutzes, eines der Kernprobleme, würde ich mal sagen, der Datenschutz-Grundverordnung, Die Einwilligung und wie sie ein bisschen, das jedenfalls ist meine Erfahrung nach mehreren Recherchen, nach zahlreichen Recherchen, die wir gemacht haben zu dem Thema, wie sie ein bisschen zum Feigenblatt verkommen ist des Datenschutzes. 00:08:51.940 --> 00:09:03.680 Die Data Broker Files haben wir hier im Podcast schon oft besprochen, ist nur unsere letzte Recherche, die gezeigt hat, okay, Einwilligungen werden eingesammelt in der App. 00:09:04.780 --> 00:09:08.520 Sie müssten eigentlich freiwillig und informiert sein, laut Datenschutz-Grundverordnung. 00:09:08.870 --> 00:09:10.860 Oft sind sie weder das eine noch das andere. 00:09:11.080 --> 00:09:15.600 Sie sind nicht freiwillig, weil man oft keine Wahl oder immer wieder keine Wahl hat. 00:09:17.200 --> 00:09:18.780 Außer man möchte die App nicht benutzen. 00:09:19.380 --> 00:09:22.180 Man ist immer noch Friss- oder Stirbssituationen. 00:09:22.180 --> 00:09:23.460 Und sie ist auch nicht informiert. 00:09:23.460 --> 00:09:26.680 Das jedenfalls haben wir mit den Data-Broker-Files gezeigt. 00:09:26.680 --> 00:09:47.600 Weil sie, wenn Daten bei DatenhändlerInnen landen, obwohl man einfach nur bei einer App, eine Spiele-App oder eine Wetter-App, die man installiert hat, einmal irgendwann Ja gesagt hat und dann nicht nur bei Datenhändlern, sondern auch bei JournalistInnen landen, bei vollkommen unbekannten Personen und die damit was auch immer machen können, dann kann die Einwilligung auch nicht informiert sein. 00:09:48.080 --> 00:09:49.600 So würde ich das Problem erst mal beschreiben. 00:09:50.000 --> 00:09:53.300 Ja, und spitzt doch mal deine Kritik noch weiter zu. 00:09:54.180 --> 00:09:57.000 Also da kann ich nämlich noch schöner drauf antworten. 00:09:57.020 --> 00:09:57.780 Spitz du sie gerne zu. 00:09:58.200 --> 00:10:12.660 Weil also gehörst du zu den Leuten, die eben sagen, hey, die Einwilligung ist an sich schon das falsche Rechtsinstitut, Instrument, das müssten wir eigentlich durch andere gesetzliche Regelungen ersetzen oder wie weit würdest du gehen? Ich habe wirklich lange 00:10:13.260 --> 00:10:16.560 gedacht, dass die Einwilligung eigentlich der richtige 00:10:16.880 --> 00:10:18.660 Weg ist, dass es funktionieren kann. 00:10:19.560 --> 00:10:26.420 Ich habe auch als Journalist die Verhandlungen um die E-Privacy-Verordnung eng 00:10:26.940 --> 00:10:28.740 begleitet, dass er der Versuch war 00:10:28.740 --> 00:10:33.340 der Europäischen Union, der Einwilligung mehr zu ihrem Recht zu verhelfen, würde ich jetzt mal sagen. 00:10:34.660 --> 00:10:41.200 Jedenfalls nach dem Willen des EU-Parlaments NutzerInnen die Möglichkeit haben, im Browser zum Beispiel auch pauschal zu sagen, ich will nicht oder ich will. 00:10:43.200 --> 00:10:45.600 Und das hätte ich für einen gangbaren Weg gehalten. 00:10:46.360 --> 00:10:50.680 Ich habe aber die Erfahrung sozusagen gemacht, okay, das will die Industrie nicht. 00:10:50.720 --> 00:10:54.960 Die hat sich mit allen Mitteln gewährt dagegen, dass solche Regeln eingeführt werden. 00:10:55.260 --> 00:10:58.960 Technische Standards, Do Not Track ist jetzt auch irgendwie 10, 15 Jahre alt. 00:10:59.000 --> 00:11:23.760 Also der Versuch, über einen technischen Standard im Web Browser, dass NutzerInnen einfach das Signal senden können an Websites, ich möchte nicht getrackt werden, war mal sozusagen in Hoffnungsschimmer, ich weiß gar nicht, vor 15 Jahren oder so, ist komplett zu Tode ignoriert worden, muss man einfach sagen, von den großen Website-Betreibern, aber dann auch von den Browser-Betreibern irgendwann. Deshalb glaube ich nicht mehr so richtig an die Einwilligung. 00:11:23.880 --> 00:11:52.800 Ja, das Spannende an der Einwilligung ist natürlich, dass das so komplex ist. Also wenn man jetzt erstmal sagt, der Datenschutz ist wichtig und der ist extrem wichtig, das habe ich dann eben nach meiner Diss auch gecheckt, da geht es ja im Prinzip darum, also im Datenschutzrecht, dass quasi die Daten nicht auf eine Art und Weise verarbeitet werden, nämlich hinter deinem Rücken, ohne dass du irgendwelche Interventionsmöglichkeiten hast, dass es irgendwelche Datenqualitätsstandards gibt. 00:11:53.600 --> 00:12:06.220 sodass dann diese Datenverwendung zu einem Missbrauch führen und du eigentlich deine grundlich verbürgten Freiheiten und Gleichheitsansprüche und so weiter, Partizipationsansprüche nicht mehr wahrnehmen kannst. 00:12:06.260 --> 00:12:28.820 Ganz einfaches Beispiel. In meiner Startup Law Clinic hatte ich damals ein Startup. Die hatten eine geniale Idee und zwar, dass sie für die Human Resources Abteilungen in großen Unternehmen von verschiedenen sozialen Netzwerken und auch Berufsnetzwerken quasi die öffentlich verfügbaren Daten absaugen über einzelne Personen und die zu Profilen verdichten. 00:12:29.420 --> 00:12:49.540 Und dann konnten sie erstmal in dem ersten Schritt einfach drei Parameter über jeden von uns quasi angeben, nämlich also die Wahrscheinlichkeit, dass diese Person ihren jetzigen Beruf wechseln will, die Wahrscheinlichkeit, dass diese Person auch den Ort wechseln würde. Das sind ja beides zwei Angaben, die für Human Resources Abteilungen, die neu suchen, Recruiten quasi sehr wichtig sind. 00:12:49.860 --> 00:12:57.440 Und das dritte, und jetzt wird es spannend, sagen können, wie hoch ist deine Expertise in einem Gebiet im Prozent? 00:12:58.080 --> 00:12:58.320 Okay. 00:12:58.920 --> 00:13:00.240 Und das fand ich interessant. 00:13:00.460 --> 00:13:05.580 Verstehe ich aus Human Resources Perspektive, aus HR Perspektive, warum man das wollen würde. 00:13:05.740 --> 00:13:05.940 Genau. 00:13:06.700 --> 00:13:08.820 Ob ich jetzt als Arbeitnehmer das wollen würde, weiß ich nicht. 00:13:09.240 --> 00:13:12.660 Also ich habe dann gefragt, du, ist ja spannend, zeig mir mal mein Profil. 00:13:12.780 --> 00:13:14.340 Und tatsächlich hatten sie ein Profil von mir. 00:13:15.160 --> 00:13:21.720 Und bei der Expertise im Prozent kam dann raus im Datenschutzrecht 25 oder 25 Prozent. 00:13:22.430 --> 00:13:27.100 Und das, nachdem ich schon fünf Jahre als Anwalt, also ein paar Jahre als Anwalt gearbeitet hatte. 00:13:27.290 --> 00:13:29.700 Ich habe da schon mein LLM im Datenschutzrecht gemacht. 00:13:30.880 --> 00:13:33.900 Ich habe die Doktorarbeit dazu geschrieben und habe gefragt, wie kann denn das jetzt sein? 00:13:33.900 --> 00:13:38.460 Und die waren auch überrascht, weil gerade haben sie mich ja noch ernst genommen in meiner datenschutzrechtlichen Beratung quasi. 00:13:39.300 --> 00:13:48.760 Und dann haben sie so überlegt und dann, ja stimmt, wir haben das Modell so gebaut, dass wenn man in Ausbildung ist, kommt man automatisch nicht über 25% Expertise. 00:13:49.240 --> 00:13:54.100 Und weil du gerade eine Doktorarbeit schritt bist, bist du in Ausbildung und damit bist du halt jetzt nur 25%. 00:13:54.140 --> 00:13:59.840 Okay, da haben wir natürlich ein grundlegendes Problem, das nicht ein Datenschutzproblem ist, sondern das ein Designproblem dann ist sozusagen. 00:14:00.260 --> 00:14:02.660 Ich denke, das ist das perfekte Datenschutzproblem. 00:14:02.660 --> 00:14:03.860 Das ist das perfekte Beispiel. 00:14:04.280 --> 00:14:18.860 Genau das versucht der Datenschutz quasi zu verhindern, dass du eigentlich technisch gut gedachte, gut gemeinte Ideen quasi so ausgestaltet, Die können ja quasi die, solche statistischen Modelle können ja die Realität nie komplett abbilden. 00:14:18.960 --> 00:14:24.040 Es sind immer nur Modelle, es sind Ausschnitte der Wirklichkeit und die verzerren eben die Wirklichkeit. 00:14:24.080 --> 00:14:33.320 Und es kann eben passieren, dass, wenn es hinter meinem Rücken gemacht wird und da gibt es keine Datenqualitätsstandard und da gibt es keine Interventionsmöglichkeiten durch mich, dass dann sowas rauskommt. 00:14:33.560 --> 00:14:35.260 Und genau das will der Datenschutz verhindern. 00:14:36.320 --> 00:15:01.420 Also der sagt eben, ey, wir brauchen Datenqualitätsstandard, wir brauchen, wir müssen das transparent machen Und wir müssen dem Maximilian quasi Interventionsrechte geben, damit der, bevor diese Daten da weitergegeben werden und er überhaupt nie mehr eingeladen wird zu irgendeinem Vorstellungsgespräch, die Möglichkeit geben, das zu korrigieren oder seine Partizipationsmöglichkeiten wieder zu verbessern. Und genau das will der Datenschutz. 00:15:01.580 --> 00:15:12.480 Aber wie sähe das in diesem konkreten Modell dann aus? Weil die können ja nicht alle Leute, also die fragen ja nicht alle Leute, bevor sie diese Profile von ihnen erstellen. Oder wäre das die Lösung sozusagen? 00:15:12.740 --> 00:15:16.840 Jetzt kommt natürlich als ein Instrument die Einwilligung ins Spiel. 00:15:18.120 --> 00:15:24.420 Und jetzt ist eben die Frage, also wenn wir überhaupt mal verstanden haben, okay, interessant, also ich habe verstanden, worum es eigentlich geht. 00:15:24.600 --> 00:15:31.200 Ich verstehe, dass es jetzt verschiedene Rechtsinstrumente gibt, um diese Transparenz und die Datenqualität und die Inventionsmöglichkeiten herzustellen. 00:15:31.200 --> 00:15:34.820 Und die Einwilligung ist eben eine davon, aber natürlich nicht die einzige. 00:15:35.280 --> 00:15:38.040 Und mit der Einwilligung kannst du auch nicht diese ganzen Probleme erschlagen. 00:15:38.180 --> 00:15:41.820 Die Einwilligung ist immer eine wichtige Komponente unter mehreren. 00:15:43.120 --> 00:16:02.280 Und jetzt ist eben die Frage, ob die Einwilligung überhaupt taugt. Weil wir sehen natürlich, wir werden im Internet bombardiert mit Einwilligungsabfragen, nicht nur im Internet. Bei jedem Arztbesuch werden mir irgendwelche dreiseitigen Schriftsätze vorgelegt, es interessiert mich nicht die Bohne. Ja, ich hake das einfach ab, entweder ja oder nein. 00:16:02.480 --> 00:16:19.020 Und oft genug, eben das haben wir auch gezeigt, mit Recherchen wird man auch über den Tisch gezogen. Ich habe das mal für Handyshops gezeigt, wo mir Mitarbeitende berichtet haben, wie sie dann einfach alles ankreuzen quasi und die Leute unterzeichnen nur auf dem Bildschirm und dann haben sie einfach für sie alle Datenschutz. 00:16:19.300 --> 00:16:31.720 Und das ging damals um O2 sozusagen, die haben das encouraged, weil sie Kartequoten vorgegeben haben. Du kriegst deine Boni nicht, wenn du nicht 90% Einwilligung von den Leuten holst. Und wie bekommst du 90% Einwilligung, indem du die Leute nicht fragst? 00:16:31.740 --> 00:16:39.180 Und das ist wirklich, also die Einwilligung, wie sie heute umgesetzt ist, ist die totale Farce, die behauptet digitale Selbstbestimmung. 00:16:39.720 --> 00:16:53.060 Aber in Wirklichkeit sagen die Leute natürlich alle nur, wenn es jetzt wenigstens selbst nach Best-Practice-Regeln ausgestaltete Cookie-Banner, da hast du ja wenigstens jetzt quasi diese granularen Einstellungen meistens auf der ersten Ebene. 00:16:54.460 --> 00:17:00.080 Dann hast du Accept-All und Deny-All und kannst du noch granulare Einstellungen machen und auf Save klicken. 00:17:00.660 --> 00:17:15.120 Und selbst wenn du es so machst, das konnten wir in einer quantitativen empirischen Studie nachweisen, niemand versteht, was da alle drücken, entweder auf Accept All oder Deny All, aber eigentlich hat keiner verstanden, was da wirklich passiert ist. Und das ist natürlich total tragisch aus mehreren Gründen. 00:17:16.160 --> 00:17:34.920 Erstens, also wenn du jetzt zu der einen Hälfte, das ist so einigermaßen 50-50, wenn du jetzt zu der Hälfte gehörst, die so sich keine Sorgen machen, dann sagen die, hey, ich will den kompletten Funktionsumfang im Internet erreichen oder helfen, den mitzufördern, indem ich die Einwilligung halt gebe und man kann die Daten verarbeiten, aber ich verliere eigentlich komplett die Kontrolle. 00:17:35.360 --> 00:17:41.900 Entweder du gehörst zu dem Lager oder du gehörst zu dem vorsichtigen Lager und sagst, ey, ich will auf keinen Fall, dass da irgendwas passiert. 00:17:42.210 --> 00:17:49.300 Dann drückst du auf Deny All und dann kannst du aber eigentlich quasi das Innovationspotenzial nicht nutzen oder fördern. 00:17:49.980 --> 00:17:57.960 Und das ist natürlich tragisch, weil eigentlich hat doch die DSGVO versprochen, jetzt den Datenschutz fit fürs digitale Zeitalter zu machen. 00:17:58.520 --> 00:18:02.780 Jetzt quasi endlich digitale Innovation auf einer nachhaltigen Basis quasi zu ermöglichen. 00:18:03.060 --> 00:18:08.980 Aber was bei uns ankommt, bei den Verbrauchern, genauso wie bei den Wirtschaftsunternehmen, ist diese Farce. 00:18:09.840 --> 00:18:11.160 Dass es einfach nicht funktioniert. 00:18:11.400 --> 00:18:18.540 Und das führt natürlich, ehrlich gesagt auch, um das ein bisschen zuzuspitzen, zu einer Erosion des Vertrauens in einen effizienten Rechtsstaat. 00:18:19.300 --> 00:18:21.200 Und deswegen muss man dieses Problem lösen. 00:18:21.640 --> 00:18:22.880 Ja, okay, jetzt bin ich gespannt. 00:18:23.880 --> 00:18:28.460 Wir können am Ende, würde ich mal sagen, nochmal ein bisschen über das Big Picture sprechen quasi. 00:18:29.480 --> 00:18:34.100 Lass uns über deinen konkreten oder über euren konkreten Lösungsvorschlag sprechen. 00:18:35.419 --> 00:18:36.520 Wie löst man es? 00:18:36.600 --> 00:18:40.020 Also bevor du es mir zeigst, beschreib mal, was ist eure Lösung? 00:18:40.760 --> 00:18:45.220 Okay, also wenn man eine Lösung baut, dann überlegt man natürlich erstmal, was ist das Problem? 00:18:46.560 --> 00:18:57.700 Und das Problem, das haben wir natürlich dann auch, gibt es ja schon sehr viele empirische Nutzerstudien, dann haben wir aber nochmal eigene gemacht, weil wir das Problem noch weiter fest präzisieren wollten. 00:18:58.940 --> 00:19:02.980 Und das Problem ist ja letzten Endes dreierlei oder vor allem zweierlei. 00:19:02.980 --> 00:19:09.920 Und zwar erstens sind diese Einwilligungsbanner so ausgestaltet, dass sie einfach nicht informieren. 00:19:10.200 --> 00:19:11.040 Und woran liegt das? 00:19:11.320 --> 00:19:16.420 Das liegt jetzt einmal, dass die Einwilligung zum allerungünstigsten Augenblick abgefragt wird. 00:19:16.910 --> 00:19:25.500 Man landet als Verbraucher auf einer Webseite und dann will man genau was anderes machen, als jetzt irgendwie juristisches Klein-Klein durchzulesen, sondern man will sich die Webseite angucken. 00:19:25.600 --> 00:19:32.220 Dann legt man dann ja auf den grün dick blinkenden farblich hinterlegten Button, alles akzeptieren, weil man schnell auf die Webseite möchte. 00:19:32.260 --> 00:19:35.940 Ganz genau. Und dann ist das Banner auch noch extrem klein. 00:19:36.600 --> 00:19:39.740 Das heißt, wir haben wenig Aufmerksamkeit und wenig Platz. 00:19:40.800 --> 00:19:42.680 Und jetzt ist die Frage, okay, wie macht man das? 00:19:43.600 --> 00:19:45.420 Also das sind die ersten zwei Probleme. 00:19:45.540 --> 00:20:00.820 Und das dritte Problem ist, dass selbst wenn man das jetzt noch irgendwie lösen könnte, sich mehr Platz zu verschaffen, sich mehr Aufmerksamkeit zu verschaffen, dass diese Einwilligungen ja so oft abgefragt werden, dass man wegen dieser sogenannten Einwilligungsmüdigkeit schon wieder wegdämmert und einfach so sagt, ey, ich packe es nicht. 00:20:01.280 --> 00:20:04.180 Dieses monotone ständig wegklicken, ich gucke es mir allein deswegen nicht an. 00:20:05.200 --> 00:20:07.640 Und jetzt weiß man also, okay, also was muss man machen? 00:20:08.460 --> 00:20:16.980 Ein wichtiger erster konzeptionelles Startpunkt ist natürlich, dass du die Einwilligung als Prozess verstehst. 00:20:17.860 --> 00:20:26.440 Dass du quasi bestimmte Elemente, quasi prozedural zeitlich verteilst auf verschiedene Touchpoints, wenn wir jetzt mal in dieser 00:20:26.580 --> 00:20:28.800 Usability-Sprache sind. Und das Wichtigste 00:20:28.920 --> 00:20:56.480 ist, dass du es in einem ersten Schritt mal vor die Klammer ziehst. Das heißt, wir haben jetzt einen Agenten aktuell, ist das ein Browser-Plugin, das kannst du aber auch überall, das kannst du später in die EU-DI- Wallets einbauen, Browser könnten das eigentlich einbinden, wenn sie wollten und so weiter. Da kannst du jetzt einmal vorab quasi auf einer typisierten Ebene dir angucken, für welche Zwecke werden eigentlich deine Daten typischerweise angefragt, wenn du irgendwelche Dienste nutzt? 00:20:56.540 --> 00:21:02.660 Also sowas wie Werbung, Einbindung von Drittdiensten, also Videos zum Beispiel eingebunden haben, Statistik. 00:21:03.020 --> 00:21:03.860 Richtig, genau. 00:21:03.990 --> 00:21:07.440 Also es ist immer Statistiken zur Verbesserung der Webseite. 00:21:07.800 --> 00:21:11.140 Es ist immer das Einbinden von Drittdiensten wie Videos. 00:21:11.820 --> 00:21:15.140 Es ist sehr häufig die Personalisierung des Dienstes. 00:21:15.580 --> 00:21:23.980 Und es ist dann auch noch häufig, auch wenn ich längst nicht bei allen Webseiten, Online-Werbung zur Finanzierung des Mediendienstes. 00:21:24.580 --> 00:21:35.140 So, und jetzt, indem wir das quasi vorab, also vor die Klammer ziehen, hat man erst mal schon mal mehr Zeit und mehr Platz und mehr Aufmerksamkeit, um sich das einmal durchzulegen. 00:21:35.140 --> 00:21:38.180 Man stellt also einmal sozusagen sein Default ein erst mal, 00:21:38.280 --> 00:21:40.120 wenn man gerade einen Moment Ruhe hat und sagt, 00:21:40.400 --> 00:21:44.100 Werbung will ich grundsätzlich nicht, Statistiken zur Website-Entwicklung ja. 00:21:44.720 --> 00:21:44.960 Genau. 00:21:45.700 --> 00:21:55.420 Und wir erklären dir halt, das haben wir auch in einer eigenen empirischen Nutzerstudie rausgefunden, da haben wir die Leute gefragt, ey, was ist eigentlich die Information, die für dich am relevantesten ist? 00:21:56.560 --> 00:22:04.260 Weil du könntest ihnen natürlich jetzt das technische System im Klein-Klein erklären, aber das beruht ja wieder auf der Annahme, dass das das ist, was Verbraucher brauchen. 00:22:04.980 --> 00:22:07.080 Und deswegen haben wir gefragt, hey, was brauchst du eigentlich? 00:22:07.140 --> 00:22:23.140 Und interessanterweise, und das liegt eigentlich nahe, sagen die meisten, ey, was ich wissen will in allererster Linie, was hat jetzt das für Auswirkungen auf mich persönlich, wenn ich meine Einwilligung gebe und meine Daten für den einen oder anderen Zweck verarbeitet werden. 00:22:24.140 --> 00:22:27.660 Sprich, die Risiken und die Vorteile. 00:22:27.730 --> 00:22:32.480 Und wir klären also jetzt für jeden Zweck, was sind deine Risiken, was sind deine Vorteile. 00:22:32.670 --> 00:22:38.440 Und das Interessante ist, das ist natürlich pro Zweck unterschiedlich und entsprechend dessen entscheiden sich die Leute auch. 00:22:39.620 --> 00:22:41.120 Das zeigen Studien quasi. 00:22:41.380 --> 00:22:41.620 Genau. 00:22:42.700 --> 00:22:47.300 Ja, dann zeig du mir doch mal das Tool, wie das so ausschaut, diese unterschiedlichen Zwecke. 00:22:47.770 --> 00:22:49.720 Also ich zeige dir jetzt hier einfach mal unseren... 00:22:49.770 --> 00:22:52.880 Also Maximilian schiebt mir jetzt, liebe HörerInnen, ihr seht das ja nicht. 00:22:52.930 --> 00:22:59.160 Es ist ein kleines Experiment hier, dass ich etwas gezeigt bekomme und ich versuche es euch zu übersetzen. 00:23:00.580 --> 00:23:05.760 Maximilian von Grafenstein schiebt sein Laptop rüber und hat jetzt eine Webseite geöffnet. 00:23:06.640 --> 00:23:11.140 Perfekt. Und du siehst jetzt hier quasi dieses kleine Browser-Plugin. 00:23:11.880 --> 00:23:20.700 Das ist jetzt für einen Chrome-Browser, das wird aber dann natürlich auch für einige weitere wichtige Browser quasi verfügbar sein, auch für mobil. 00:23:21.060 --> 00:23:25.540 Also oben neben der Adressleiste ist so ein kleiner Button, da steht Concentre, da kann man dann draufklicken. 00:23:25.860 --> 00:23:32.460 Ganz genau. Und wenn du da draufklickst, dann öffnet sich quasi das Concentre. Das ist quasi unser Wortspiel. 00:23:32.560 --> 00:23:37.220 Und jetzt erklären wir dir hier visualisiert, was diese typischen Zwecke sind. 00:23:37.540 --> 00:23:49.160 Also erster Zweck Statistiken zur Verbesserung der Webseite, zweiter Zweck auf Englisch Enable Edition Website Features, dritter Zweck Customize the Website for You, vierter Zweck Customize Online Ads. 00:23:50.040 --> 00:24:01.660 Und bei jedem Zweck sehen wir jetzt eben so ein Motion Design, also eine Visualisierung, die eben zeigt, wie sich jetzt die Webseite verändert, wenn man den Zweck jetzt erlaubt oder nicht. 00:24:02.540 --> 00:24:11.120 Also bei konkrete Zusatzdienste sozusagen ermöglichen, da sieht man dann ein Icon von einer Webseite mit einer Karte, die dann eingeblendet ist. 00:24:11.620 --> 00:24:17.700 Ganz genau. Und was wichtig ist, wir zeigen immer für jeden Zweck ein eigenes Privacy-Icons. 00:24:17.860 --> 00:24:26.180 Das war wieder ein eigenes Forschungsprojekt, wo wir jahrelang diese Icons entwickelt und getestet haben, weil das so eine Art Verkehrszeichensystem ist. 00:24:26.400 --> 00:24:31.860 Also am Anfang muss man die natürlich lernen. Dann sagt man immer, was meint man mit diesem Icon? 00:24:32.320 --> 00:24:35.760 Aber je länger wir das benutzen, desto mehr erinnern wir uns daran. 00:24:35.960 --> 00:24:44.180 Und das hat den großen Vorteil, dass visuelle Sprache schneller erfasst wird als Buchstaben und sie brauchen weniger Platz. 00:24:44.580 --> 00:24:47.840 Das ist ja eigentlich eine Möglichkeit, die die Datenschutz-Grundverordnung auch schon vorgesehen hat sozusagen. 00:24:48.140 --> 00:24:49.760 Irgendwie Privacy-Icons. Ich habe mich aber gewundert. 00:24:49.920 --> 00:24:53.280 Also ich höre immer mal wieder Forschungsprojekte dazu, aber in der Praxis sehe ich das nie. 00:24:54.200 --> 00:25:02.380 Und erst recht keine Initiative der EU-Kommission, die standardisiert irgendwie an den Start zu bringen, um NutzerInnen leichter zu signalisieren. 00:25:02.440 --> 00:25:12.180 Ja, Gott sei Dank, würde ich mittlerweile sagen, weil wir herausgefunden haben, also es ist einfach extrem schwierig, diese Icons richtig zu bauen. 00:25:13.560 --> 00:25:20.500 Und zwar wegen, das ist ja ein Grundkonflikt, also als Jurist versuchst du ja alles so präzise und kleinteilig wie möglich zu erklären. 00:25:20.680 --> 00:25:22.580 Und mit einem Icon machst du ja eigentlich das Gegenteil. 00:25:23.340 --> 00:25:24.900 Verdichten, pauschalisieren und so weiter. 00:25:25.220 --> 00:25:28.860 Und jetzt musst du quasi immer diesen Sweet Spot in der Mitte finden. 00:25:29.580 --> 00:25:36.700 Und das Wissen musst du dir mühselig über ein paar Jahre aufbauen, also bis du rausfindest, was funktioniert denn jetzt wie eigentlich? 00:25:36.780 --> 00:25:37.880 Und wir sind ja immer noch nicht am Ende. 00:25:38.220 --> 00:25:47.480 Aber deswegen ist es eigentlich ganz gut, dass die EU-Kommission das nicht selber gemacht hat, weil ich jetzt nicht sehe, dass sie quasi die Ressourcen aufbauen könnte, sowas selber zu entwickeln. 00:25:47.780 --> 00:25:47.920 Okay. 00:25:48.920 --> 00:25:57.240 Also bei zusätzliche Website-Features ermöglichen, Da ist das Privacy-Icon, das ist ein Schloss, darum ist ein Kreis. 00:25:57.270 --> 00:26:02.000 Der ist zu drei Vierteln blau und zu einem Viertel etwa rot, orange. 00:26:02.320 --> 00:26:06.260 Was das heißt, ist es nicht ganz so gefährlich, vermute ich jetzt mal. 00:26:06.340 --> 00:26:07.580 Versuche ich mir intuitiv zu erschließen. 00:26:07.740 --> 00:26:13.160 Ja, ganz genau. Das ist unsere sogenannte Risk-Benefit-Ratio. 00:26:13.960 --> 00:26:27.280 Also was wir machen ist, dass wir bei jedem Zweck da jetzt quasi ermittelt haben, welche Risiken und welche Vorteile bringt der jetzt für die VerbraucherInnen. 00:26:28.240 --> 00:26:34.320 Und die setzen wir in ein Verhältnis und damit hast du dann quasi diese Kreissegmente. 00:26:34.320 --> 00:26:38.480 So setzen wir das dann visuell um. Rot für Risiko und blau für Vorteile. 00:26:38.480 --> 00:26:42.480 Und die stehen dann da für die jeweiligen Zwecke dann auch noch daneben in diesem Fall? 00:26:43.500 --> 00:26:43.720 Genau. 00:26:44.190 --> 00:26:45.940 Jetzt hast du draufgeklickt, dann sind sie noch größer. 00:26:46.420 --> 00:26:50.500 Genau, zweite Ebene. Dann kannst du dir das im Detail angucken. 00:26:50.860 --> 00:26:54.720 dann erklären wir eben jeden einzelnen Vorteil, jedes einzelne Risiko. 00:26:54.840 --> 00:26:58.840 Ja, was steht da jetzt für die Ermöglichung von Zusatzdiensten, wie etwa Karten? 00:26:59.160 --> 00:27:05.280 Ja, also das geht einher mit einer besseren Nutzererfahrung eben auf der Webseite. 00:27:06.260 --> 00:27:12.460 Es ist auch eine gewisse Zeitersparnis, weil man die Karte halt direkt auf der Webseite angezeigt bekommt und man muss nicht einen neuen Tab öffnen. 00:27:13.080 --> 00:27:16.880 Und dem stehen dann quasi hier zwei Risiken entgegen. 00:27:17.740 --> 00:27:26.780 Und zwar einmal, dass damit natürlich so mittlere Einsichten in die Art und Weise, wie du diesen Dienst nutzt, entstehen. 00:27:26.840 --> 00:27:34.500 Ja, weil man kann das da grundsätzlich beobachten, wie du jetzt die Karte quasi aufschlägst und so weiter und so fort. 00:27:35.760 --> 00:27:48.140 Und wir gehen jetzt hier mal typisiert davon aus, wie gesagt, das ist immer typisiert jetzt zu diesem Augenblick noch, dabei ein Dienst benutzt wird, der seinen Sitz nicht in Europa hat, sondern außerhalb der EU. 00:27:48.680 --> 00:28:02.420 Und damit findet ein Datentransfer außerhalb der EU statt, was mit einem oftmals nur angemessenen Datenschutzniveau einhergeht und nicht mit dem gleich hohen Niveau notwendigerweise wie mit der EU. 00:28:02.470 --> 00:28:06.120 Und deswegen ist das auch ein kleines Risiko. Und das erklären wir halt. 00:28:06.220 --> 00:28:16.960 Okay. Und in der Abwägung kommt ihr dann bei dieser Funktion zu dem Schluss, dass das Risiko geringer ist auf jeden Fall als der Nutzen. 00:28:17.180 --> 00:28:17.860 Ganz genau. 00:28:19.730 --> 00:28:33.320 Da können natürlich aber NutzerInnen dann auch zu einer anderen Abwägung kommen. Das ist jetzt eine Handreichung, eine Empfehlung. NutzerInnen könnten aber trotzdem sagen, nee, ich will auf keinen Fall Datentransfer in Dritt starten. Das heißt, ich schalte dann das Enablen von Additional Features grundsätzlich erstmal aus. 00:28:33.500 --> 00:29:11.200 Ganz genau. Und deswegen ist die Einwilligung eigentlich nach wie vor das richtige Instrument, weil wir haben eben eine, also jetzt mehrere quantitative Studien gemacht und in dem Augenblick, wo die Leute besser verstehen, was diese Zwecke eigentlich heißen und vor allem die Risiken und die Vorteile verstehen, plötzlich merkt man, dass dieses pauschale Accept-All und Deny-All komplett aufbricht, sondern dass die Leute sich wirklich ganz unterschiedlich entscheiden, also wirklich granulare Entscheidungen treffen. 00:29:11.820 --> 00:29:19.600 Und die höchsten Einwilligungsraten entstehen dann da, wo das Risk-Benefit-Verhältnis am besten ist, also am wenigsten Risiken, am meisten Vorteile. 00:29:20.160 --> 00:29:27.540 Und je mehr Risiken es sind im Vergleich zu den Vorteilen, also je schlechter dieses Verhältnis wird, desto mehr geht die Einwilligungsrate nach unten. 00:29:28.340 --> 00:29:33.060 Und jetzt könnte man, ich meine, Was wäre jetzt die Alternative zur Einwilligung? 00:29:33.640 --> 00:29:36.260 Entweder, dass es halt der Gesetzgeber regelt. 00:29:36.340 --> 00:29:43.700 Und jetzt könnte der sagen, also diese unterschiedlichen Zwecke, die erlaube ich jetzt einfach unter bestimmten Bedingungen oder ich verbiete sie einfach. 00:29:44.500 --> 00:29:54.780 Und der Witz ist aber, dass wir immer mindestens 25 Prozent noch haben, die entweder alles erlauben oder gar nichts wollen. 00:29:56.060 --> 00:29:59.300 Und das führt dazu, dass du diese Leute eigentlich paternalisieren würdest. 00:30:00.360 --> 00:30:08.260 Sprich, mit der Einwilligung hast du eigentlich das optimale Instrument, um jedem quasi alles nach seiner Fasson zu ermöglichen. 00:30:08.260 --> 00:30:12.340 Wir sprechen gleich nochmal darüber, sozusagen über diese Grundsatzfrage, würde ich sagen. 00:30:12.340 --> 00:30:16.640 Da schieben wir nochmal ein bisschen ans Ende diese Diskussion. Lass uns nochmal beim Tool bleiben. 00:30:17.900 --> 00:30:25.180 Das sieht sehr übersichtlich aus, also in den Farben so rot bzw. orange und blau und weiß gestaltet. 00:30:25.520 --> 00:30:35.580 ist wirklich, auf jeden Fall, wenn ich mir diese Icons erst einmal erschlossen habe, sehe ich auf den ersten Blick, was die von euch vorgeschlagene Risikoeinschätzung ist. 00:30:35.600 --> 00:30:43.780 Und vor allen Dingen habe ich relativ übersichtlich daneben stehen, sozusagen die Vorteile und die Nachteile. 00:30:44.320 --> 00:30:46.340 Und wenn man runterscrollt, dann kommt man zum nächsten Zweck. 00:30:46.620 --> 00:30:50.660 Achso, oder man kann dann für den einen Zweck, kann man hier den Haken setzen oder nicht. 00:30:51.180 --> 00:30:53.220 Genau, du kannst dich jetzt dafür oder dagegen entscheiden. 00:30:53.500 --> 00:30:55.520 Und ich mache jetzt einfach mal den ersten Zweck Ja. 00:30:55.720 --> 00:30:58.000 Was passiert dann? Okay, dann geht er zum nächsten Zweck. 00:30:58.090 --> 00:31:02.520 Genau, du swipest dich da quasi durch wie auf Tinder, sagen wir jetzt mal. 00:31:04.100 --> 00:31:10.780 Und kannst halt dann jetzt, mache ich die ersten zwei auf Ja und die Nummer drei und Nummer vier auf Nein. 00:31:11.140 --> 00:31:12.700 Ja, Werbepersonalisierung wollen wir nicht. 00:31:12.990 --> 00:31:14.480 Genau, jetzt speichere ich das. 00:31:15.380 --> 00:31:21.660 Und jetzt könnten wir, jetzt zeige ich euch den Forschungsdemonstrator, den wir gebaut haben, um das Ganze mal in einer großen Feldstudie zu testen. 00:31:22.340 --> 00:31:28.000 Das wird natürlich dann in real so funktionieren tatsächlich unter bestimmten Bedingungen, wenn wir live gehen. 00:31:28.170 --> 00:31:29.880 Aber nur damit du dich nicht wunderst. 00:31:30.570 --> 00:31:40.440 Wenn wir jetzt auf Netzpolitik.org gehen, dann wirst du nämlich jetzt natürlich nicht euer echtes Cookie-Banner sehen, weil das mussten wir für diese Studie. 00:31:40.440 --> 00:31:41.600 Wir haben gar keinen Cookie-Banner. 00:31:42.700 --> 00:31:45.480 Jetzt, dann wundert es sich noch mehr. Plötzlich erscheint nämlich eins. 00:31:46.160 --> 00:31:50.120 Weil wir keine Cookies für nicht notwendige Zwecke einsetzen. 00:31:50.380 --> 00:31:55.000 Ja, interessant. Also ihr trackt noch nicht mal Statistiken. Aber guckt mal, was auf jeden Fall passiert. 00:31:55.620 --> 00:31:55.740 So. 00:31:56.420 --> 00:32:03.560 Jetzt ist die Startseite von Netzpolitik.org und auf der linken Seite unten wird ein kleines Feld eingeblendet, in dem ich Zwecke sehe. 00:32:04.100 --> 00:32:10.280 Und da sind jetzt blau hinterlegt die Zwecke, für die ich grundsätzlich zugestimmt habe und weiß hinterlegt die Zwecke, für die ich nicht zugestimmt habe. 00:32:10.420 --> 00:32:10.960 Grundsätzlich wahrscheinlich. 00:32:11.380 --> 00:32:11.840 Ganz genau. 00:32:12.000 --> 00:32:16.760 Und ich kann jetzt spontan entscheiden. Da läuft eine kleine sozusagen Uhr runter. 00:32:17.180 --> 00:32:17.400 Genau. 00:32:17.760 --> 00:32:21.620 kann spontan entscheiden, ob ich mehr oder weniger Zwecke zustimmen möchte. 00:32:21.920 --> 00:32:25.860 Genau. Also könntest du jetzt zum Beispiel sagen, also Netzpolitik finde ich so super, den vertraue ich so. 00:32:26.380 --> 00:32:28.620 Die sollen doch bitte ihre Inhalte auf mich personalisieren. 00:32:29.020 --> 00:32:30.520 Dann könnte ich jetzt den Zweck noch an. 00:32:30.700 --> 00:32:33.340 Und ehrlich gesagt, ich weiß, die machen doch journalistische Inhalte. 00:32:33.720 --> 00:32:35.260 Die fragen mich immer nach Spenden. 00:32:36.060 --> 00:32:37.440 Wieso machen sie eigentlich keine Werbung? 00:32:37.560 --> 00:32:38.760 Den Werbezweck kriegen sie jetzt auch noch. 00:32:38.810 --> 00:32:39.560 Die sind doch sauber. 00:32:40.780 --> 00:32:41.780 Ich provoziere nicht mehr. 00:32:43.120 --> 00:32:44.500 Und dann gehe ich wieder runter. 00:32:45.240 --> 00:32:46.780 Eigentlich müsste ich gar nichts klicken. 00:32:47.100 --> 00:32:49.080 Wenn ich nichts klicke, läuft diese Uhr einfach ab. 00:32:49.170 --> 00:32:50.500 Wie lange ist das? Wie lange läuft diese Uhr ab? 00:32:50.640 --> 00:32:51.520 Habe ich eine Minute oder so? 00:32:51.920 --> 00:32:57.800 Ja, am Anfang hast du ein bisschen mehr Zeit, weil das System eben neu ist und die Leute müssen erstmal lernen, so huch, was ist das? 00:32:58.620 --> 00:33:02.060 Aber je länger du das nutzt, desto schneller läuft es ab und desto kleiner wird es. 00:33:02.730 --> 00:33:06.080 Also das passt sich quasi an. 00:33:07.820 --> 00:33:17.700 Und wenn diese Uhr eben abläuft und selbst wenn du eben gar nichts klickst, du wirst also nicht gezwungen, dann verschwindet diese sogenannte Hand-Over-Notice und jetzt wird eben diese Einwilligung übergeben. 00:33:18.070 --> 00:33:24.860 Die Voreinstellungen, die du getroffen hattest in deinem Agenten, wird jetzt quasi als konkrete Einwilligung an diese konkrete Webseite übergeben. 00:33:25.820 --> 00:33:28.940 Und du siehst es jetzt, wenn du quasi euer Fake-Cookie-Banner öffnest. 00:33:29.440 --> 00:33:45.860 Zack, jetzt sind plötzlich alle Einwilligungen bei dir gespeichert und ich könnte jetzt auch bei mir im Agenten, das ist besonders wichtig, den auch nochmal öffnen und da gibt es eine eigene Section, Your Constant History und da findest du jetzt endlich sämtliche Einwilligungen an einem Ort, die du in den letzten drei Jahren 00:33:46.900 --> 00:33:49.380 100.000 Unternehmen abgegeben haben solltest. 00:33:49.460 --> 00:33:49.920 Ganz genau. 00:33:50.260 --> 00:33:54.480 Wir wechseln jetzt mal die Perspektive auf die sozusagen Website-Betreiber. 00:33:54.760 --> 00:33:54.900 Genau. 00:33:55.500 --> 00:33:57.240 Und wir stellen uns so einen Friseurladen vor. 00:33:57.400 --> 00:33:59.760 Also für die muss es einfach möglichst einfach sein. 00:33:59.860 --> 00:34:00.920 Das ist einfach nur ein Pain. 00:34:01.360 --> 00:34:07.040 Und die sollen jetzt da möglichst einfach durchgeführt werden und auch ein bisschen weit verstehen, wie funktioniert das Internet eigentlich. 00:34:08.100 --> 00:34:11.440 Es hat ja irgendwie auch was leicht Aufschlauendes. 00:34:12.379 --> 00:34:21.280 Und da gibst du jetzt quasi einfach deine Credentials ein sozusagen, kannst du dich einloggen und dann kommst du da rein jetzt hoffentlich. 00:34:21.760 --> 00:34:25.820 Darüber steht Consentermanager, das ist dann quasi das Backend für die Website. 00:34:25.899 --> 00:34:33.600 Genau, da loggst du dich ein, dann sagt dir die erste Seite, hey, du hast ja noch gar keine Webseite hier angelegt, okay. 00:34:34.310 --> 00:34:41.240 Dann legst du jetzt einfach deine Domain hier an, da sage ich jetzt mal www.mauerschau.berlin, das ist ja mein Startup. 00:34:42.000 --> 00:34:45.200 Da ärgere ich mich schon immer, dass ich kein schönes Cookie-Banner habe. 00:34:46.080 --> 00:34:48.460 Gebe das jetzt ein und jetzt geht es schon weiter. 00:34:49.649 --> 00:34:52.419 Und jetzt sind wir sofort in diesem Prozess drin. 00:34:52.600 --> 00:34:58.180 Jetzt kannst du die Zwecke aussuchen, für die du die Daten deiner Webseitenbesucher verarbeiten willst. 00:34:58.820 --> 00:35:08.780 Also hier sind es vor allem erstmal nur zwei, nämlich Verbesserung der Webseite und Enabling Additional Website Features, weil das unsere Hauptzielgruppe erstmal ist. 00:35:09.580 --> 00:35:19.880 Okay, und jetzt wählst du den Dienst aus und jetzt siehst du, bam, sofort kommt dieser Kreis wieder mit dieser Risk-Benefit-Ratio. 00:35:20.220 --> 00:35:27.960 Also er hat jetzt geklickt auf Improve the Website, also die Statistiken, um die Website-Performance zu verbessern, genau. 00:35:28.340 --> 00:35:30.760 Genau, und jetzt siehst du erst mal nur Vorteile. 00:35:31.280 --> 00:35:45.000 Also es gibt noch kein Risiko, aber jetzt geht ein zweites Fenster auf daneben, wo du jetzt quasi sagen musst, welchen Dienstanbieter benutzt du eigentlich, also Drittanbieter, um jetzt diese Website-Statistik quasi durchzuführen. 00:35:45.200 --> 00:35:46.100 Google Analytics zum Beispiel. 00:35:46.140 --> 00:35:50.580 Google Analytics oder Matomo. Es gibt ja, ich glaube, allein 100 Anbieter. 00:35:51.220 --> 00:35:59.900 So, und jetzt wird es spannend, weil je nachdem, welchen Anbieter du wählst, sind die natürlich unterschiedlich konfiguriert. 00:36:00.080 --> 00:36:01.900 Du kannst sie unterschiedlich konfigurieren. 00:36:02.240 --> 00:36:05.880 Die erheben in unterschiedlicher Art und Weise Daten und verarbeiten sie. 00:36:05.940 --> 00:36:07.280 Okay, das ist natürlich echt granular dann. 00:36:07.660 --> 00:36:08.100 Ganz genau. 00:36:08.420 --> 00:36:10.820 Und das hat Auswirkungen auf die Risiken. 00:36:11.700 --> 00:36:16.180 Jetzt siehst du sofort, wenn du hier zum Beispiel einen anklickst, geht sofort das erste Risikofeld auf. 00:36:16.360 --> 00:36:19.720 Jetzt haben wir schon ein erstes orangenes Segment in unserem Kreis. 00:36:20.480 --> 00:36:23.520 Und wenn du jetzt sagst, ja, jetzt geht der nächste Kasten schon auf. 00:36:23.800 --> 00:36:25.520 Welche Daten verarbeitet dir denn? 00:36:25.560 --> 00:36:27.200 Ja, zum Beispiel die IP-Adresse. 00:36:27.820 --> 00:36:29.200 Und dann kannst du hier weiter eingeben. 00:36:29.300 --> 00:36:32.460 ja, wie lange denn zum Beispiel bis zur Zweckerfüllung? 00:36:33.100 --> 00:36:35.900 Und dann bestätigst du das dann auf den Verarbeitungsort. 00:36:36.000 --> 00:36:44.980 Und jetzt kannst du hier zum Beispiel eingeben, hey, das ist ja nicht Deutschland, sondern das sind die amerikanischen Jungferninseln. 00:36:45.880 --> 00:36:46.960 Wo der Dienst sitzt, oder? 00:36:47.180 --> 00:36:48.140 Wo der Dienst sitzt, genau. 00:36:48.140 --> 00:36:49.720 Okay, aber woher weiß ich das als Friseur? 00:36:50.100 --> 00:36:59.320 Also das müsstest du theoretisch, sagt das Gesetz, das musst du selber rausfinden und dann deine Webseitenbesuche darüber informieren. 00:36:59.860 --> 00:37:02.880 Und wir versuchen das natürlich alles voreinzustellen. 00:37:03.000 --> 00:37:04.060 Okay, so automatisiert. 00:37:04.280 --> 00:37:11.040 Genau, indem wir diese Dienste eben auch einer Risikoprüfung unterziehen aufgrund der Daten, die öffentlich verfügbar sind. 00:37:11.120 --> 00:37:14.400 Und dann können wir das quasi alles schon voreinstellen, damit die sich da wirklich nur durchklicken müssen. 00:37:14.460 --> 00:37:14.560 Okay. 00:37:15.900 --> 00:37:26.100 Und jetzt siehst du schon, dass hier plötzlich das zweite Risikosegment in unserer Risk-Benefit-Ratio quasi auftaucht, Nämlich der Datentransfer außerhalb der EU. 00:37:27.480 --> 00:37:36.020 Okay, das kann natürlich insofern auch ganz cool sein, wenn man dann einen Datenschutz, also vielleicht, du hast ja gesagt, ein erzieherisches Moment auch haben oder ein lernendes Moment haben. 00:37:36.040 --> 00:37:48.920 Wenn ich dann einen Dienstleister einbinde, wo ich sehe, der ist datenschutzfreundlich, dann sehe ich direkt, aha, die Risk-Benefit-Ratio ist positiver und wird vielleicht dann also mehr Menschen dazu bringen, ihm zuzustimmen. 00:37:49.220 --> 00:38:12.540 Ganz genau. Und damit lösen wir ein zentrales Problem im Datenschutz, meines Erachtens, nämlich, dass aktuell wird es eben nicht positiv belohnt. Und das führt dazu, das ist volkswirtschaftlich mit dem sogenannten Market of Lemons bewiesen aus den 80er Jahren, im Gebrauchtwagenmarkt, haben die das schon festgestellt, wenn du sehr komplexe Produkte hast mit einer hohen Intransparenz, dann werden eigentlich die Schlingel belohnt. 00:38:12.780 --> 00:38:35.600 Also diejenigen, die halt sagen, hey, das ist ein super Niveau, ist es aber gar nicht. Die Verbraucher kaufen das trotzdem. Und die Wettbewerber, die sich Mühe geben, die jetzt hier viel Ressourcen in ihre Webseite reinstecken, in ihre digitalen Dienste, um die möglichst datenschutzkonform zu machen, die haben da eigentlich das Nachsehen, weil die stecken da viel Ressourcen rein, ohne das irgendwie marktwirtschaftlich quasi belohnt zu bekommen. 00:38:35.940 --> 00:38:53.520 Kann man natürlich jetzt aus einer reinen Aufsichtsperspektive sagen, ja ist doch egal, hier geht es einfach jetzt nur darum, das Gesetz einzuhalten, aber damit verlierst du das Riesenpotenzial des Wettbewerbs und Jan Philipp Albrecht und Neli Größ hatten es doch damals auch versprochen. 00:38:54.180 --> 00:39:09.020 In dem Augenblick, wo wir das jetzt endlich transparent machen, können wir, also für den Webseitenbetreiber, für den Hairdresser und das transportieren wir jetzt wiederum über das Cookie-Banner an die Besucher dieser Webseite. 00:39:09.040 --> 00:39:30.900 Und wir haben in der letzten Studie nachgewiesen, dass die Besucher tatsächlich positiv darauf reagieren, wenn wir jetzt sagen, hey, dieser Hairdresser hat ein besseres Datenschutzniveau als der Durchschnitt. Und wieso? Weil tatsächlich die Verbraucher dann darin mehr Vertrauen entwickeln und unter Umständen sogar zu einer höheren Einwilligungsrate führen. 00:39:30.960 --> 00:39:36.180 Das mögen natürlich jetzt die Privacy-Schützer nicht hören, aber so funktioniert es. 00:39:36.700 --> 00:39:46.980 Und damit belohnen wir den Hairdresser und jetzt entsteht auch endlich ein positiver Anreiz bei den Drittanbietern, weil jetzt fangen die bei Tomos und die Googler und so weiter, fangen jetzt auch an. 00:39:47.200 --> 00:40:09.420 Ja okay, jetzt wo es sich endlich lohnt, weil der Hairdresser meinen Dienst bevorzugt, wenn ich ein höheres Datenschutzniveau habe und damit könnte endlich quasi der marktwirtschaftliche Race to the Top, also der Wettbewerb um die immer besseren privacyfreundlichen Technologien beginnen, der damals von Nilly Größe und Jan Philipp Reibrecht versprochen wurde, meines Erachtens. 00:40:09.820 --> 00:40:18.860 Also mehr Transparenz, mehr Vertrauen, mehr Einwilligung und dann auch mehr Möglichkeiten, mit Daten was zu machen, aber eben auf Basis von einer echten informierten Einwilligung. 00:40:19.090 --> 00:40:24.160 Genau. Und dass es informierter ist, können wir eben auch empirisch messen und nachweisen. 00:40:24.720 --> 00:40:27.860 Das ist ganz wichtig, dass man da den Leuten kein X für den Ufer macht. 00:40:28.060 --> 00:40:38.940 Man müsste jetzt erstmal davon ausgehen, dass es auch eine gewisse Bereitschaft gibt, sich dann damit auseinanderzusetzen und ein paar Klicks zu machen, weil es ja darum geht, das Recht einzuhalten, wenn man eine Website betreibt, oder? 00:40:39.360 --> 00:40:48.340 Wir denken, wenn wir es mit anderen so klassischen Content Management Anbietern vergleichen, ist es schon sehr nutzerfreundlich gestaltet. 00:40:48.500 --> 00:41:13.240 Also auch das Backend für die Website-BetreiberInnen ist im gleichen Design gehalten, relativ viel blau und weiß. Man sieht auch hier diesen Ring mit der Risikoabwägung und man kann dort auch als Website-Betreiber also sehen, okay, welchen Effekt hat das auf diesen Kreis, wenn ich jetzt bestimmte Dienste einbinde und andere Dienste nicht einbinde. 00:41:13.700 --> 00:41:30.400 Okay, und dann kann ich jetzt hier Additional Website Features einbinden, also weitere sozusagen Zusatzdienste. Kann zum Beispiel sagen, hier, ich möchte Google Maps einbinden und muss dann wohl zugeben, dass sowohl die IP-Adresse als die Location weitergegeben werden. 00:41:30.840 --> 00:41:39.840 Kannst, du kannst. Also die Location, das hängt natürlich wirklich von den Diensten ab, die du nutzt und den Konfigurationsmöglichkeiten. Also das ist nicht zwingend. 00:41:39.980 --> 00:41:45.320 Okay, das ist jetzt alles auf Englisch, ne? Für den deutschen Markt müsstet ihr es wahrscheinlich auf Deutsch machen dann, oder? 00:41:45.700 --> 00:41:51.480 Genau, das war nur unser Forschungsdemonstrator und da haben wir eben eine europaweite Studie durchgeführt und die war halt auf Englisch. 00:41:51.560 --> 00:42:06.740 Okay, gut, das ist natürlich relativ schnell gemacht als NutzerInnen. Was passiert, wenn eine Webseite Zwecke sammelt, die ihr nicht auf dem Schirm habt, wenn die eigene Zwecke erfindet? 00:42:07.260 --> 00:42:20.220 Also dann kann sie im Cookie-Banner das natürlich anzeigen, weil wir die aber noch nicht im System erfasst haben, gibt es da quasi keine Benefit- und Risk-Zuordnung und das wird dann entsprechend markiert. 00:42:20.680 --> 00:42:43.120