Datenschutzalltag

Das verspricht ein Schnell-Check bei redmark, auf den ich durch twitter gestoßen bin:
Also fix runtergeladen (kostenlos – aber für den Account musste ich (m)eine Adresse herausrücken) und nachgeschaut. Donnerwetter, in 18 Fragen zum Datenschutzglück, kaum anderthalb A4-Seiten.

Kann man machen, wenn man sich auf solche Tipps beschränkt wi:

• “Prüfungskriterium: Die Programme zur Verarbeitung personenbezogener Daten enthalten die Funktionen, um die Einwilligung richtig zu verwalten. Reaktion bei nein: keine Verarbeitung, neue Software beschaffen.”
  OK, welches CRM kaufe ich denn heute ein? Oder

• “Prüfungskriterium: Werden die Daten (für die Erfüllung der Aufgaben) benötigt, ist die Speicherung auf die Inhalte begrenzt, die zur Erfüllung der Aufgaben notwendig sind (Datensparsamkeit). Reaktion bei Nein: Datenbestand und Abläufe prüfen” – und was mache ich am Nachmittag?

Richtig böse werde ich als Datenschutzbeauftragter bei den Fragen 14 und 16:

• Frage 14 “Prüfungskriterium: Das Unternehmen hat keinen betrieblichen Datenschutzbeauftragten (DSB). Reaktion bei Ja: weiter bei Frage 17″
  Eine Reaktion bei Nein ist auf der Liste nicht zu finden

Und der Hammer:

• Frage 16 “Prüfungskriterium: Der verschärfte Kündigungsschutz des betrieblichen DSB stellt ein Problem dar. Reaktion bei Ja: neuen DSB benennen.”

Da wird der alte Datenschutzbeauftragte mal eben weggecheckt. Hätte er sich doch nur ruhig verhalten…

Das Schlimme: Die Checkliste wird sicher tausendfach runtergeladen (kostenlos!) und hier und da zum Einsatz kommen. Grund genug, sich wieder einmal über die zunehmende Checklistengläubigkeit aufzuregen, auch unter Datenschutzverantwortlichen und Datenschutzumsetzern.

Verwende keine Checkliste, die Du nicht selbst erstellt oder geprüft hast.

Interview mit dem Ober-Piraten Jens Seipenbusch in der gut gestalteten Datenschutz-Rubrik der ZEIT.

Zitate:

• Der Staat, Unternehmen und jeder Einzelne werden sich daran gewöhnen müssen, mit Daten anders umzugehen, als zu der Zeit, in der man alles in einem Leitz-Ordner abgeheftet hat.
• Bei Google tauchen manchmal Informationen wieder auf, die man schon lange vernichtet zu haben glaubt – weil sie an mehreren Orten zugleich gespeichert wurden.
• Frage: Was sagen Sie als Techniker – wäre, was der Telekom passiert ist, überhaupt zu verhindern? Seipenbusch: Natürlich kann man das. Es kostet nur etwas Geld. Man könnte mit einer Handvoll Leuten ein System erzeugen, in dem die Daten sicher verschlüsselt sind. [Anmerkung Datenschutzalltag: Weit aus dem Fenster gelehnt] Hinzu kommt, dass Sicherheit meist am Ende einer Entwicklung drangeklatscht wird. [Anmerkung Datenschutzalltag: Volle Zustimmung!]
• ..in gewisser Hinsicht ist tatsächlich Medienkompetenz das größte Problem bei dieser Sache. Die Menschen müssen auch die technische Kompetenz haben, um zumindest ansatzweise zu überblicken, wozu was sie da zustimmen.
• Frage: …Nennen Sie doch einmal zwei bis drei Punkte, die der Gesetzgeber künftig sicherstellen müsste. Seipenbusch: Das Wichtigste ist, dass es keine Weitergabe an Dritte ohne das Einverständnis oder die Information des Kunden gibt. [Anmerkung Datenschutzalltag: Ich erinnere an das Geschacher um das Listenprivileg. Am Ende weichgespült] Zweitens muss viel zahlen, wer dagegen verstößt. Es muss Handlungsdruck auf Unternehmen entstehen, zunächst ein wirtschaftlicher Druck und im Fall der Fahrlässigkeit im großen Stil auch ein strafrechtlicher. [Anmerkung Datenschutzalltag: Volle Zustimmung!] Drittens möchte ich mehr als Stichproben bei den Unternehmen. Ich möchte gerne, dass jemand von der Datenschutzbehörde jeden Tag bei der Telekom steht und in die Datenbanken schaut, um beispielsweise zu prüfen, ob der Text aller SMS gesetzeswidrig gespeichert wird oder nicht. Wenn das keiner macht, dann wird es immer wieder Probleme und Skandale geben.

Genau das “mehr Kontrollen durch Aufsichtsbehörden” will offensichtlich trotz anderslautender Versprechungen niemand; kaum eine Aufsichtsbehörde wurde in den vergangenen Monaten personell deutlich verstärkt.

Mindestens so wichtig: Betriebliche und behördliche Datenschutzbeauftragte in die Lage zu versetzen, dass sie u.a. diese Kontrollfunktion wahrnehmen können. Also Ausbildung, Ausstattung usw.

Eine Pressemitteilung des Berufsverbands der Datenschutzschutzbeauftragten Deutschlands (BvD) e.V.:

Datendiebstahl bei SchülerVZ: Vorbeugung statt nur Empörung

Schülerdaten gelangen erneut ins Visier von Datendieben. Aus diesem Anlass weist der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. auf Defizite bei der Medienerziehung hin.

„So sinnvoll und hilfreich das Web 2.0 auch ist, es birgt etliche Gefahren, deren sich unsere Kinder nicht mal ansatzweise bewusst sind. Leider sind auch Eltern und Lehrer damit sehr häufig überfordert.“, meint Thomas Floß, Leiter des Arbeitskreises „Datenschutz geht zur Schule“ beim BvD.

Seit Ende 2008 gibt es diese Initiative des BvD, in der mittlerweile knapp 20 Datenschutzberater aus dem ganzen Bundesgebiet mitarbeiten. Erstes Arbeitsergebnis ist ein Unterrichtskonzept für die Sekundarstufe I. Themen wie SchülerVZ und StudiVZ, Video- und Musikdownloads, Gefahren in Chatrooms etc. stehen hier im Mittelpunkt.

Das neue Konzept soll nach den Herbstferien in NRW, Bayern und Baden-Württemberg in eine erste vierteljährliche Probephase gehen. Danach werden die BvD-Datenschutzexperten ehrenamtlich an den Schulen unterrichten und dabei klare und einfache Verhaltensregeln aufzeigen, um die Schüler, sowie auf Wunsch auch die Eltern und die Lehrer, bezüglich dieser Gefahren deutlich sensibilisieren.

„Die Daten unserer Kinder sind inzwischen ein unschätzbares Wirtschaftsgut. Das zeigt erneut der aktuelle Datendiebstahl bei SchülerVZ.“, so Thomas Floß weiter. „Natürlich müssen auch die Plattformanbieter ihren Beitrag zu mehr Sicherheit leisten. Aber das Hauptproblem liegt unserer Meinung nach im leichtfertigen Umgang mit den eigenen Daten. Hier setzen unsere Sensibilisierungsveranstaltungen an.“

Für Rückfragen von interessierten Schulen und Elternvertretern steht Thomas Floß unter der E-Mailadresse thomas.floss@bvdnet.de zur Verfügung.

[Update 26.10.2009] Koalitionsvertrag liegt vor. Anmerkungen von mir hier.

Die Koalitionsverhandlungen haben begonnen und mit Recht werden die unterschiedlichen Standpunkte in Fragen der Bürgerrechte und des Datenschutzes als mögliches Spannungsfeld dargestellt, so auch in diesem Blog.

Die grundsätzlichen Differenzen in zentralen Fragen sollen aber nicht über bestehende Gemeinsamkeiten hinwegtäuschen. Ja, es gibt sie, man muss sie nur finden . Legt man die Wahlprogramme beider Parteien nebeneinander, so ergeben sich einige Ansatzpunkte.

Quellen siehe hier: Regierungsprogramm von CDU/CSU – siehe da Deutschlandprogramm der FDP für alle folgenden Zitate.

Rechtsvereinfachung
„Der Bürger muss das Recht verstehen können, wenn er es befolgen soll. Wir fordern ein übersichtlicheres und verständlicheres Recht. CDU und CSU wollen, dass Gesetze und Bescheide der Verwaltung in einer für den Bürger verständlichen Sprache verfasst werden.“ Die Datenschutzgesetzgebung und besonders das Bundesdatenschutzgesetz sind (leider) prägnante Beispiele für unübersichtliche Schwerverständlichkeit. „Die FDP setzt sich für ein modernes, leicht verständliches, übersichtliches und effektives Datenschutzrecht ein. Sie strebt die Verankerung allgemeiner Datenschutzgrundsätze in nur einem Gesetz an. An die Stelle von hunderten von speziellen Gesetzen soll ein neues Bundesdatenschutzgesetzbuch treten.“
Darf man also hoffen? Beide Standpunkte deuten nebenbei an, dass es für ein separates Arbeitnehmerdatenschutz schwer wird, so wichtig klärende Regelungen in diesem Bereich sind und bleiben – und von der FDP konkret gefordert werden.

Datenschutzkontrolle

Die FDP will beide Säulen stärken – Aufsichtsbehörden und Datenschutzbeauftragte. „Die FDP setzt sich dafür ein, die Zersplitterung der datenschutzrechtlichen Aufsichtslandschaft zu beenden und die Unabhängigkeit der Kontrollstellen zu stärken. Auf Bundesebene strebt die FDP an, dem Bundesbeauftragten für den Datenschutz und Informationsfreiheit den Status einer obersten Bundesbehörde zu verleihen. […] Um das Datenschutzniveau in der Wirtschaft zu stärken und Betriebsabläufe datenschutzfreundlich zu gestalten, soll die Stellung der betrieblichen Datenschutzbeauftragten institutionell gestärkt werden. Ein einheitliches Berufsbild „betrieblicher Datenschutzbeauftragter“ wird angestrebt.“

Die CDU/CSU formuliert es „weicher“: „Der Bürger muss darauf vertrauen können, dass seine Daten vor Missbrauch geschützt sind. […] Kriminellen Datenhandel werden wir ahnden.[…] Wir wollen einen umfassenden Datenschutz garantieren. [!!] Wir wollen keine unnötigen Datenmengen speichern und kämpfen gegen den „Gläsernen Bürger“. Das Gebot der Verhältnismäßigkeit muss stets gewahrt bleiben.“
„Wahrer“ und „Missbrauchsschützer“ sind nun einmal die betrieblichen und behördlichen Kontrollstellen. Ich vermute allerdings bei der CDU/CSU eine Tendenz zur Stärkung der behördlichen Aufsicht: Nach dem Selbstverständnis des Innenministers kann der Staat besser mit den Daten der Bürger umgehen als die Wirtschaft.

Datenschutzbewusstsein
Wie bringt man seine Bürger dazu, besser auf ihre eigenen Daten zu achten? „Hierzu muss auch jeder Einzelne seinen Beitrag leisten, indem er sparsam und verantwortungsvoll mit seinen personenbezogenen Daten umgeht. Der Staat hat ihn hierbei durch Regelungen zu unterstützen, die Selbstdatenschutz ermöglichen“, meint die FDP. „Kinder sollten bereits früh Medienkompetenz erwerben, um Medienangebote ihrem Alter gemäß kritisch nutzen zu können.“ Die CDU/CSU verspricht: „Gleichzeitig werden wir die Bürger, insbesondere die Jugendlichen, verstärkt für einen verantwortlichen Umgang mit persönlichen Daten sensibilisieren.“
Der Nachholbedarf auf diesem Gebiet ist generationsübergreifend enorm. Über die Schulen könnten Kinder und ihre Eltern erreicht werden; in den Behörden und Unternehmen gibt es mit dem Datenschutzbeauftragten eine Person, zu dessen Aufgaben es ausdrücklich gehört, die „bei der Verarbeitung personenbezogener Daten tätigen Personen durch geeignete Maßnahmen mit den Vorschriften dieses Gesetzes sowie anderen Vorschriften über den Datenschutz und mit den jeweiligen besonderen Erfordernissen des Datenschutzes vertraut zu machen.“ (BDSG § 4g). Die Datenschutzbeauftragten müssen dazu Wissen und Möglichkeiten, Ausbildung und Ausstattung bekommen – das wiederhole ich gern gebetsmühlenartig.

Finden sich noch weitere Übereinstimmungen? Ganz nebenbei: Vor vier Jahren war dieser Vergleich noch gar nicht möglich, denn im CDU/CSU-Wahlprogramm von 2005 kam der Begriff „Datenschutz“ überhaupt nicht vor – im Gegensatz zu 13 Treffern für „Terror“. Inzwischen steht es nur noch 5:8, eine deutliche Akzentverschiebung

„Datenschutz gehört ins Grundgesetz“, dem kann sich die Union bis jetzt nicht anschließen. Allerdings schmerzt eine solche Adelung des Grundrechtes auch nicht wirklich und könnte bei passender Gelegenheit medienwirksam verkauft werden. Dem CDU/CSU-Versprechen „Wir wollen einen umfassenden Datenschutz garantieren“ stünde ein Grundrecht auf Datenschutz nicht schlecht zu Gesicht.

Neben dem bekannten Dissenz bei Online-Durchsuchung, Vorratsdatenspeicherung und Internetzensur gibt es also einige Gestaltungsmöglichkeiten für die neue Koalition. Bleibt zu hoffen, dass die Verhandlungspartner im Streit um die Problemzonen nicht das Kind mit dem Bade ausschütten.

Der Morgen nach der Bundestagswahl. Die Wechsel ist gelungen, die Mehrheit ist fast komfortabel.

Aus Datenschutzsicht ist von einer schwarz-gelben Regierung mehr zu erwarten als von der halbherzig reagierenden Großen Koalition. Dafür sprechen nicht nur die Wahlprogramme – man vergleiche die Menge und die Qualität der Aussagen zum Datenschutz bei FDP und SPD. Die FDP verfügt auch über mehrere erfahrene Fachpolitiker im Parlament. Die Frage wird sein, inwieweit sich die Grund- und Bürgerrechtsbewegten im Regierungsalltag gegenüber dem Wirtschaftsflügel durchsetzen können.

Ich bin auf den Koalitionsvertrag gespannt, auch wenn mich die Erfahrung mit dem 11 Jahre versprochenen Arbeitnehmerdatenschutzgesetz skeptisch gegenüber diesen Wunschfahrplänen gemacht hat.
In den Verhandlungen werden die in vielen Fragen unterschiedlich geladenen Forderungswolken aufeinander prallen. Es wird krachen zwischen den Partnern – am Ende aber hoffentlich einen belebenden Regen geben. Und wenn die eine oder andere Rechtsvorschrift der letzten Jahre vom Blitz getroffen wird, ist das auch nicht schlecht.