Datenschutzalltag

…  Louis D. Brandeis, Samuel D. Warren, Postgeheimnis, Fernmeldegeheinnis,  BDSG, BfDI, OECD, Electronic Communications Privacy Act, Employee Polygraph Protection Act, Peter Swire, Nuala O’Connor Kelly, “National Do Not Call Registry”, Genetic Information Nondiscrimination Act.

Was haben alle diese Dinge gemeinsam?

Sie werden in der sehenswerten Fotoserie zum Artikel “Wie retten wir die Privatsphäre?” von Lew McCreary” als “Hüter des Datenschutzes” in den letzten 12.000 Jahren dargestellt.

Gefällt mir – trotz amerikanischer Brille – sehr gut und verdeutlicht einmal mehr, daß “Datenschutz” keine Erfindung unserer Zeit ist.

Anschauen (Hier) – Lesen – Nachdenken – und beim letzten Foto  an die notwendige Weiterentwicklung der Datenschutzgesetzgebung in Deutschland erinnert werden.

Extra3 erklärt uns in knapp 3 Minuten alles über das Abhören und löst nebenbei (zu spät) das Rätsel um die Massenvernichtungswaffen im Irak: Gute Unterhaltung!
Diese Information erreicht mich über Twitter an dem Tag, an dem über 20.000 Anfragen zur Vorratsdatenspeicherung berichtet wird. Indirektes Abhören sozusagen…

Dank an @aktionfsa.

Als in der heißen Startphase der Koalitionsverhandlungen erst einmal die Kanonen in Stellung gebracht wurden, habe ich am 6.10. in diesem Blog auf Gemeinsamkeiten der Wahlprogramme beim Datenschutz hingewiesen und dabei die Themen Rechtsvereinfachung, Datenschutzkontrolle und Datenschutzbewusstsein genannt. Ein Blick in den vorliegenden Koalitionsvertrag zeigt, dass ich mit allen drei Prognosen richtig lag

Rechtsvereinfachung: “Hierzu werden wir das Bundesdatenschutzgesetz unter Berücksichtigung der europäischen Rechtsentwicklung lesbarer und verständlicher machen sowie zukunftsfest und technikneutral ausgestalten.” In diesem Zusammenhang hat sich auch meine Vermutung bestätigt, dass es kein separates Arbeitnehmerdatenschutzgesetz geben wird: “Hierzu werden wir den Arbeitnehmerdatenschutz in einem eigenen Kapitel im Bundesdatenschutzgesetz ausgestalten.”
Die Aussagen versprechen nichts weniger als den großen Wurf: eine komplette Überarbeitung des Bundesdatenschutzgesetzes in Richtung eines Datenschutzgesetzbuches. Mutig, mutig – und überfällig. Hier sollte die Koalition nicht zu spät starten – der Weg wird lang genug. Nach der neuen Regierungs-Gemengelage dürfte ein Entwurf dazu eher aus dem Justizministerium als aus dem Innenministerium zu erwarten sein.
Schade, dass seit dem Gutachten von Roßnagel, Pfitzmann und Garstka (“Modernisierung des Datenschutzrechts”) schon wieder 8 Jahre vergangen sind.

Datenschutzkontrolle: Der Koalitionsvertrag verspricht: “Wir werden beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit die personelle und sächliche Ausstattung verbessern. Die Unabhängigkeit
der Datenschutzaufsicht steht für uns dabei im Mittelpunkt.” Die Bundesregierung kann selbst nur für den BfDI reden (und hoffentlich auch handeln) – dennoch ist das ein Signal auch an die Landesfürsten. Hier können schnell Ergebnisse erzielt werden.
Ein dicker Wermutstropfen ist der fehlende Bezug zur Stärkung der betrieblichen und behördlichen Datenschutzbeauftragten, wie auch Jens Ferner seufzend feststellt:

[...] anmerken möchte ich aber, dass es schade ist, dass man erneut die Gelegenheit verschlafen wird, die Position “Datenschutzbeauftragter” allgemeinverbindlich zu normieren bzw. ein Gütesiegel zu schaffen – evt. wird die genannte Stiftung diese Lücke mal ausfüllen, doch wird das sicherlich Zeit kosten.

Aussagen zum Datenschutzbewusstsein finden sich gleich an mehreren Stellen, so soll die “Stiftung Datenschutz” die “Bildung im Bereich des Datenschutzes” stärken und “den Selbstdatenschutz durch Aufklärung verbessern”. Damit dürfte auch klar sein, wer aus Sicht der Bundesregierung folgende Aufgabe übernimmt: “Wir wollen deshalb die Sensibilität und Selbstverantwortung der Bürgerinnen und Bürger für ihre eigenen Daten stärken.” Eine “Stiftung Datenschutz” macht Sinn, wenn sie nicht nur Stempelchen für Internetseiten verteilt, dazu in Kürze mehr auf diesem Blog.

Gleichlautend sind einige Aussagen im Abschnitt “Informations- und Mediengesellschaft” des Koalitionsvertrages: “Wir werden dabei insbesondere unser Augenmerk auf Aufklärung legen. Die Sensibilität für den Schutz der eigenen Daten muss gestärkt, der Selbstdatenschutz erleichtert werden, um Datenmissbrauch vorzubeugen. Wir werden deshalb prüfen, wie durch die Anpassung des Datenschutzrechts der Schutz personenbezogener Daten im Internet verbessert werden kann, erwarten dabei aber auch von jedem Einzelnen einen verantwortungsvollen Umgang mit seinen persönlichen Daten im Internet.” Dabei gefällt mir besonders die Aussage, dass der Selbstdatenschutz nicht nur “gestärkt”, sondern “erleichtert” werden soll. Das bedeutet in der Praxis zum Beispiel ein Umdenken bei Programm- und Leistungsanbietern in Richtung datenschutzfreundlicher Produkte und Dienstleistungen (Stichworte Datensparsamkeit, Pseudo- und Anonymisierung); aber auch allgemein mehr Transparenz, ohne die keine – ebenfalls verstärkt geforderten – informierten und freiwilligen Einwilligungen möglich sind.
Deutlich wird hierbei: Datenbesitzer und Datenverarbeiter, verantwortliche Stelle und Betroffener – beide Seiten müssen ihren Beitrag leisten.

Reflexartig wiederhole ich meine Ansicht, dass ein wesentlicher Beitrag für ein stärkeres Datenschutzbewusstsein von den betrieblichen und behördlichen Datenschutzbeauftragten vor Ort geleistet werden kann (sofern sie dazu in der Lage sind bzw. in die Lage versetzt werden).

Kleiner Exkurs: Zur Verantwortung der Anbieter findet sich an anderer Stelle eine interessante Bemerkung: “Wir werden die Haftung von System- und Diensteanbietern für die IT-Sicherheit ihrer Angebote anpassen, um einer unbilligen Abwälzung von Risiken auf die Endanwender vorzubeugen.” Gleiches sollte für die Verpflichtung zu datenschutzfreundlichen Angeboten gelten; ich erinnere hier an die jüngsten Aussagen der 78. Konferenz der Datenschutzbeauftragten zum Datenschutz bei Krankenhausinformationssystemen.

Fazit: Insgesamt finden sich einige Lichtblicke für den Datenschutzalltag. Halten wir als Datenschutzpraktiker und datenschutzsensibilisierte Netzgemeinde die Augen offen, aber nutzen wir auch die Ansatzpunkte für eine konstruktive Zusammenarbeit.

Nachdem der BigBrotherAward 2009 in der Kategorie Wirtschaft an deutsche Firmen vergeben wurde , die Überwachungstechnik für Internet und Telefon anbieten (dazu kurz hier in diesem Blog), bringt telepolis das Thema für mich erneut auf den Schirm und berichtet über ICM, eine Ermittlungssoftware von SAP, mit der “Informationsquellen aller Art” für “Ermittlungsbehörden aller Art” nutzbar gemacht werden können. SAP: “Wir haben bereits ausländische Nachrichtendienste als Kunden”.

Aus dem Interview mit  Stephan Heinrich, Politikwissenschaftler und Autor von “Innere Sicherheit und neue Informations- und Kommunikationstechnologien”  ein paar Zitate (Quelle):

• “Je mehr Heu du hast, desto schwerer ist es, die Nadel zu finden!” James Carafano
• Stephan Heinrich: “ Einerseits bekommen wir immer Daten, andererseits bekommen wir auch immer bessere Werkzeuge, um mit der Datenflut umzugehen. Dieses Wettrennen ist meines Erachtens derzeit noch unentschieden.“
• Stephan Heinrich: “Die bisherigen Erfahrungen zeigen, dass die gezielte Auswertung des Datenbergs die große Herausforderung ist, nicht die Schaffung des Datenbergs. Natürlich kann man jede Information speichern, weil sie irgendwann später einmal wichtig sein könnte. Aber das nutzt wenig, weil man mit noch so großen Datenmengen das Kriminalitätsverhalten – zumindest derzeit – nicht vorhersehen kann. “
• Frage: “… Kommt es zu einer permanenten digitalen Schleierfahndung, bei der alle Bürger untersucht werden, ob sie sich nun verdächtig gemacht haben oder nicht?“  Stephan Heinrich: “Das glaube ich nicht, schon weil die Polizei personell dazu gar nicht in der Lage ist. Ihre Ressourcen sind beschränkt, und die Beamten fragen sich natürlich, ob sich der technische Aufwand bei dem jeweiligen Tatbestand lohnt. Theoretisch könnte die Polizei natürlich sagen: “Wir lassen das System jeden Morgen einmal durchlaufen und schauen, was es uns Interessantes ausspuckt!” Aber praktisch käme sie gar nicht damit hinterher, all diese neuen Ansätze zu prüfen.”

Neidvoll dürfte manches werbetreibende Unternehmen auf diese Datenbankfülle blicken. Da bin ich doch ganz froh, das uns (Unternehmen, Vereine, Parteien) das Bundesdatenschutzgesetzes auf die Grundsätze von Datensparsamkeit, Erforderlichkeit und Zweckbindung festnagelt. Im Zeitalter der allgegenwärtigen Informationsverarbeitung (Ich kann mir den Begriff  “Ubiquitous Computing” einfach nicht merken) fragt sich, wie lange das noch durchhaltbar ist, siehe u.a. TAUCIS-Studie oder FES-Gutachten.  Aber das ist eine andere Geschichte.

Auf der it-sa habe ich nicht nur klugen Vorträgen gelauscht und nette Menschen kennengelernt, sondern auch einen Packen Zeitschriften aus Fachbereichen am Tellerrand meines Beraterhorizonts eingesackt. In der WiK (Zeitschrift für die Sicherheit der Wirtschaft) Nr.5, Oktober 2009 las ich Erstaunliches:

Mehr als eine Million Kameras sind in Großbritannien installiert – doch pro 1.000 Kameras wird nur eine Straftat aufgeklärt, [...] Dazu kommentiert David Davis MP, ehemaliger Schatteninnenminister: “Es wird Zeit darüber nachzudenken, wofür das Budget für Kriminalitätsprävention ausgegeben wird. CCTV führt zu massiven Ausgaben mit einer minimalen Effektivität.”

Der zitierte Report nennt eine weitere Zahl:

Each case helped by the use of CCTV effectively costs £20,000 to detect, Met figures showed.

Das sind knapp 22.000 Euro. Dazu fallen mir eine Menge bissiger Kommentare ein…

Die Auftraggeber der Studie sind dennoch zufrieden, denn:

The Home Office defended the use of CCTV, with a spokesman saying cameras could “help communities feel safer”.

Gefühlte Sicherheit. Dazu fällt mir wiederum gar nichts ein.

Wolfgang Schäuble hat bei denBigBrotherawrds 2009 den Preis für sein Lebenswerk und den Publikumspreis bekommen. In der Laudatio geht Dr. Rolf Gössner auf das Attentat gegen Schäuble ein:

Viele Menschen stellen sich die Frage, ob der auffällige Sicherheitsfanatismus des Herrn Schäuble und seine zwanghafte Angst vor einem Kontrollverlust möglicherweise mit dem Attentat zu tun haben könnten, das er 1990 schwer verletzt und mit tragischen Langzeitfolgen überlebte. Die durchaus interessante Frage, ob er nicht nur an den körperlichen Folgen leidet, sondern auch an einer traumatisierten Psyche, die seine Wahrnehmung trübt, ist Thema vieler Diskussionen. Zwar ist bekannt, dass sich eine Posttraumatische Belastungsstörung auf die Fähigkeit auswirken kann, Gefahrensituationen richtig einzuschätzen und angemessen auf sie zu reagieren. Dennoch halten wir eine Psychologisierung der Sicherheitspolitik des Preisträgers für eher problematisch und spekulativ.

Ob traumatisierte Psyche oder nicht – über seinem Leben liegt eine tiefe Tragik. Gerade weil er zu den klügsten politischen Köpfen gehört, äußert sich seine Verbitterung, seine persönliche Betroffenheit nicht plump, sondern subtil und ausdauernd. So gesehen hätte das Vorbeben des 12. Oktober 1990 mit seinen seismischen Langzeitwirkungen den Erdrutsch der Freiheitsrechte nach dem 11. September 2001 begünstigt.

Ich stelle immer wieder fest, dass auch und gerade Politiker persönliche Betroffenheiten thematisieren. Kompetenz durch Betroffenheit? Authentizität durch Betroffenheit? Wer keinen Kredit erhält, interessiert sich plötzlich für Scoring und die SCHUFA. Wer eine Rechnung von den Schmidtleins bekommt, surft sorgfältiger und fordert mehr Transparenz. Wer permanent am Telefon beschwatzt wird, engagiert sich gegen Cold Calls und Rufnummernunterdrückung. Wer nach einem Gesetzesvorstoss gegen unlauteren Adresshandel und ungewollte Werbepost plötzlich übervolle Briefkästen mit Lobbyistenschreiben in seinem Wahlkreisbüro bemerkt, der sollte eigentlich konsequent bleiben – nein, das ist ein schlechtes Beispiel.

Wer von hinten mit dem Revolver angeschossen und schwer getroffen wird, der verdient höchsten Respekt für seine Rückkehr, aber der bleibt nicht nur gezeichnet, sondern auch befangen. Warum muss es ausgerechnet die innere Sicherheit sein, Herr Schäuble?

Heute wurde in Bielefeld 10 Jahre BBA “gefeiert”. 10 Jahre, die einen Rückblick wert sind.

Ein Blick auf die Webseite zeigt: Geehrt wurden 2009 vor allem die üblichen Verdächtigen.

Erwähnenswert, weil überraschend, ist Utimaco, die in der Kategorie “Wirtschaft” für ihre Data Retention Suite mit-”ausgezeichnet” wurden. Unter Datenschützern geniesst das Unternehmen ansonsten einen ganz guten Ruf wegen seiner Produkte zur Verschlüsselung und Datensicherheit sowie für die eingängigen Webinare und Seminare. Das verträgt sich einfach nicht mit einer “kosteneffizienten und performanten Lösung für Telekommunikationsanbieter zur Umsetzung der Vorratsdatenspeicherung” , oder bin ich da zu idealistisch? Erwarte ich zuviel? Hätte man hier nicht NEIN sagen können?

Nebenbei: Utimaco ist schon länger ein typischer Vertreter des “Ich meine Datensicherheit und nenne es Datenschutz”-Phänomens.

Vielleicht kommt der BBA für Sophos-Utimaco zur richtigen Zeit, um das Selbstverständnis und die eigene Produktpalette zu überdenken.

[Update 22.10.2009] Leider hat sich Sophos/Utimaco bis heute noch nicht zu einer Stellungnahme auf der Webseite durchringen können:  http://tinyurl.com/yle5yxe

[Update 26.10.2009] Koalitionsvertrag liegt vor. Anmerkungen von mir hier.

Die Koalitionsverhandlungen haben begonnen und mit Recht werden die unterschiedlichen Standpunkte in Fragen der Bürgerrechte und des Datenschutzes als mögliches Spannungsfeld dargestellt, so auch in diesem Blog.

Die grundsätzlichen Differenzen in zentralen Fragen sollen aber nicht über bestehende Gemeinsamkeiten hinwegtäuschen. Ja, es gibt sie, man muss sie nur finden . Legt man die Wahlprogramme beider Parteien nebeneinander, so ergeben sich einige Ansatzpunkte.

Quellen siehe hier: Regierungsprogramm von CDU/CSU – siehe da Deutschlandprogramm der FDP für alle folgenden Zitate.

Rechtsvereinfachung
„Der Bürger muss das Recht verstehen können, wenn er es befolgen soll. Wir fordern ein übersichtlicheres und verständlicheres Recht. CDU und CSU wollen, dass Gesetze und Bescheide der Verwaltung in einer für den Bürger verständlichen Sprache verfasst werden.“ Die Datenschutzgesetzgebung und besonders das Bundesdatenschutzgesetz sind (leider) prägnante Beispiele für unübersichtliche Schwerverständlichkeit. „Die FDP setzt sich für ein modernes, leicht verständliches, übersichtliches und effektives Datenschutzrecht ein. Sie strebt die Verankerung allgemeiner Datenschutzgrundsätze in nur einem Gesetz an. An die Stelle von hunderten von speziellen Gesetzen soll ein neues Bundesdatenschutzgesetzbuch treten.“
Darf man also hoffen? Beide Standpunkte deuten nebenbei an, dass es für ein separates Arbeitnehmerdatenschutz schwer wird, so wichtig klärende Regelungen in diesem Bereich sind und bleiben – und von der FDP konkret gefordert werden.

Datenschutzkontrolle

Die FDP will beide Säulen stärken – Aufsichtsbehörden und Datenschutzbeauftragte. „Die FDP setzt sich dafür ein, die Zersplitterung der datenschutzrechtlichen Aufsichtslandschaft zu beenden und die Unabhängigkeit der Kontrollstellen zu stärken. Auf Bundesebene strebt die FDP an, dem Bundesbeauftragten für den Datenschutz und Informationsfreiheit den Status einer obersten Bundesbehörde zu verleihen. […] Um das Datenschutzniveau in der Wirtschaft zu stärken und Betriebsabläufe datenschutzfreundlich zu gestalten, soll die Stellung der betrieblichen Datenschutzbeauftragten institutionell gestärkt werden. Ein einheitliches Berufsbild „betrieblicher Datenschutzbeauftragter“ wird angestrebt.“

Die CDU/CSU formuliert es „weicher“: „Der Bürger muss darauf vertrauen können, dass seine Daten vor Missbrauch geschützt sind. […] Kriminellen Datenhandel werden wir ahnden.[…] Wir wollen einen umfassenden Datenschutz garantieren. [!!] Wir wollen keine unnötigen Datenmengen speichern und kämpfen gegen den „Gläsernen Bürger“. Das Gebot der Verhältnismäßigkeit muss stets gewahrt bleiben.“
„Wahrer“ und „Missbrauchsschützer“ sind nun einmal die betrieblichen und behördlichen Kontrollstellen. Ich vermute allerdings bei der CDU/CSU eine Tendenz zur Stärkung der behördlichen Aufsicht: Nach dem Selbstverständnis des Innenministers kann der Staat besser mit den Daten der Bürger umgehen als die Wirtschaft.

Datenschutzbewusstsein
Wie bringt man seine Bürger dazu, besser auf ihre eigenen Daten zu achten? „Hierzu muss auch jeder Einzelne seinen Beitrag leisten, indem er sparsam und verantwortungsvoll mit seinen personenbezogenen Daten umgeht. Der Staat hat ihn hierbei durch Regelungen zu unterstützen, die Selbstdatenschutz ermöglichen“, meint die FDP. „Kinder sollten bereits früh Medienkompetenz erwerben, um Medienangebote ihrem Alter gemäß kritisch nutzen zu können.“ Die CDU/CSU verspricht: „Gleichzeitig werden wir die Bürger, insbesondere die Jugendlichen, verstärkt für einen verantwortlichen Umgang mit persönlichen Daten sensibilisieren.“
Der Nachholbedarf auf diesem Gebiet ist generationsübergreifend enorm. Über die Schulen könnten Kinder und ihre Eltern erreicht werden; in den Behörden und Unternehmen gibt es mit dem Datenschutzbeauftragten eine Person, zu dessen Aufgaben es ausdrücklich gehört, die „bei der Verarbeitung personenbezogener Daten tätigen Personen durch geeignete Maßnahmen mit den Vorschriften dieses Gesetzes sowie anderen Vorschriften über den Datenschutz und mit den jeweiligen besonderen Erfordernissen des Datenschutzes vertraut zu machen.“ (BDSG § 4g). Die Datenschutzbeauftragten müssen dazu Wissen und Möglichkeiten, Ausbildung und Ausstattung bekommen – das wiederhole ich gern gebetsmühlenartig.

Finden sich noch weitere Übereinstimmungen? Ganz nebenbei: Vor vier Jahren war dieser Vergleich noch gar nicht möglich, denn im CDU/CSU-Wahlprogramm von 2005 kam der Begriff „Datenschutz“ überhaupt nicht vor – im Gegensatz zu 13 Treffern für „Terror“. Inzwischen steht es nur noch 5:8, eine deutliche Akzentverschiebung

„Datenschutz gehört ins Grundgesetz“, dem kann sich die Union bis jetzt nicht anschließen. Allerdings schmerzt eine solche Adelung des Grundrechtes auch nicht wirklich und könnte bei passender Gelegenheit medienwirksam verkauft werden. Dem CDU/CSU-Versprechen „Wir wollen einen umfassenden Datenschutz garantieren“ stünde ein Grundrecht auf Datenschutz nicht schlecht zu Gesicht.

Neben dem bekannten Dissenz bei Online-Durchsuchung, Vorratsdatenspeicherung und Internetzensur gibt es also einige Gestaltungsmöglichkeiten für die neue Koalition. Bleibt zu hoffen, dass die Verhandlungspartner im Streit um die Problemzonen nicht das Kind mit dem Bade ausschütten.

Nach dem Ausgang der Bundestagswahl steht der CDU vermutlich ein Posten in der EU-Kommission zu. Der Gedanke, den FDP-inkompatiblen und älter gewordenen Innenminister wegzuloben, klingt verlockend.

Am 16. September 2009 wählte das Europäische Parlament mit klarer Mehrheit Jose Manuel Barroso für eine zweite Amtszeit als Präsident der Europäischen Kommission von fünf Jahren wieder.

Während seiner Kampagne legte Barroso seine Vorschläge auf Kommissarsbesetzungen vor. Bei einem Treffen mit politischen Gruppen im Parlament am 9. September versprach der Kommissar die Ernennung des Posten eines Menschenrechtskommissar, womit ein separates Portfolio für Grundrechte und Bürgerrechte geschaffen würde.

Die Europäische Kommission hat nun einen Kommissar für Justiz, Freiheit und Sicherheit, Kritiker weisen allerdings darauf hin, dass das Gebiet zu weitläufig sei, und Themen wie Datenschutz, Einwanderung und die Rechte von Einwanderern in den Mitgliedstaaten nicht genügend Aufmerksamkeit bekämen.

Barroso verpflichtete sich außerdem, einen zweiten Posten für innere Sicherheit zu schaffen, und einen dritten für einen einzigen finanziellen Beauftragten. Er versprach auch, in drei Jahren eine Überprüfung der Wirtschaftskrise vorzulegen.

Quelle: Ein Menschenrechtskommissar für die Europäische Kommission? | unwatched.org.

Schäuble als Menschenrechtskommissar? Nein, Spaß beiseite: Er würde sich auf den Posten für innere Sicherheit stürzen.  Kein schöner Gedanke.

Der Morgen nach der Bundestagswahl. Die Wechsel ist gelungen, die Mehrheit ist fast komfortabel.

Aus Datenschutzsicht ist von einer schwarz-gelben Regierung mehr zu erwarten als von der halbherzig reagierenden Großen Koalition. Dafür sprechen nicht nur die Wahlprogramme – man vergleiche die Menge und die Qualität der Aussagen zum Datenschutz bei FDP und SPD. Die FDP verfügt auch über mehrere erfahrene Fachpolitiker im Parlament. Die Frage wird sein, inwieweit sich die Grund- und Bürgerrechtsbewegten im Regierungsalltag gegenüber dem Wirtschaftsflügel durchsetzen können.

Ich bin auf den Koalitionsvertrag gespannt, auch wenn mich die Erfahrung mit dem 11 Jahre versprochenen Arbeitnehmerdatenschutzgesetz skeptisch gegenüber diesen Wunschfahrplänen gemacht hat.
In den Verhandlungen werden die in vielen Fragen unterschiedlich geladenen Forderungswolken aufeinander prallen. Es wird krachen zwischen den Partnern – am Ende aber hoffentlich einen belebenden Regen geben. Und wenn die eine oder andere Rechtsvorschrift der letzten Jahre vom Blitz getroffen wird, ist das auch nicht schlecht.