Interviewzusammenfassung Sebastian Schulz

Mit dem Projekt 360°-Sicht Datenschutz-Grundverordnung trägt die Ohu Digitale Privatheit und Öffentlichkeit dazu bei, dass die möglichen Auswirkungen dieses sehr komplexen Gesetzentwurfes vereinfacht dargestellt und somit besser verstanden werden können. Dafür wurden Interviews mit Experten aus allen Stakeholder-Gruppen durchgeführt und die Ergebnisse auf einer gesonderten Projektwebseite aufbereitet. Zur Vorstellung der Ergebnisse wurde außerdem Abendveranstaltung durchgeführt und eine Podcast-Reihe veröffentlicht.

Einwilligung der Nutzer

Welche Bedeutung sollte die Einwilligung der Nutzer zukünftig haben? In welchen Bereichen sollte sie wie angewendet werden?

Die Einwilligung ist seit jeher ein zentrales Instrument zur Ausübung der informationellen Selbstbestimmung. Es ist wichtig genau zu prüfen, ob zukünftig Daten tatsächlich nur noch auf Grundlage einer ausdrücklichen Einwilligung verarbeitet werden dürfen oder ob auch weiterhin die Möglichkeit bestehen soll, Daten ohne ausdrücklich betätigte Einwilligung verarbeiten zu können. Im Entwurf ist daneben vorgesehen, dass die Einwilligung in Fällen eines erheblichen Ungleichgewichtes zwischen Betroffenen und Unternehmen nicht mehr möglich sein soll. Unklar ist allerdings, ab wann dieses Ungleichgewicht gegeben ist und wie hier randscharf unterschieden werden soll. Bei strenger Auslegung würde das bedeuten, dass sowohl große Unternehmen als auch Unternehmen mit einem Alleinstellungsmerkmal am Markt nicht mehr personenbezogene Daten auf Grundlage der Einwilligung der Betroffenen verarbeiten dürfen. Die Pflicht zur proaktiven Information über sämtliche Umstände der Datenverwendung jedes einzelnen Datums würde dazu führen, dass die Verbraucher nach der Hälfte der Informationen aussteigen würden. Das Ziel einer informierten Entscheidung wäre damit eben nicht erreicht. Der Umgang mit dieser Menge an detaillierten Informationen ist schlicht nicht praktikabel.

Rolle der Aufsichtsbehörden

Welche Rolle sollten die Aufsichtsbehörden zukünftig spielen?

Zunächst möchte ich sagen, dass es meiner Meinung nach nicht die Aufgabe der Datenschutzbehörden ist, einzelne Branchen oder gar einzelne Unternehmen an den Pranger zu stellen. Infolge der Komplexität des Datenschutzrechts müssten die Datenschutzbehörden deutlich stärker ihre beratene Funktion wahrnehmen. Es sollte zu einem kooperativen Miteinander mit der Privatwirtschaft kommen. Außerdem ist es wichtig, dass das Letztentscheidungsrecht bei den Datenschutzbehörden bleibt und nicht von der Europäischen Kommission wahrgenommen wird.

Recht auf Vergessenwerden

Wie kann ein Recht auf Vergessenwerden ausgestaltet sein? Auf welche Bereiche sollte es angewendet werden?

Mit diesem Konzept gibt es zwei Hauptprobleme. Zum einen suggeriert der Begriff, dass man zukünftig ein Entscheidungsrecht darauf haben sollte, was andere über einen denken und wissen. Das Recht jene Informationen zu entfernen zu lassen, die gegen den Willen der betroffenen Person veröffentlicht wurden, existiert schon heute. Ich halte es für kritisch, wenn man zukünftig das Recht bekommt, das eigene “mediale Vermächtnis” rückwirkend so zu gestalten, wie man es möchte. Außerdem frage ich mich, wie ein Recht auf Vergessenwerden in nicht-kooperativen Szenarien ausgestaltet sein soll. Ich nehme an, dass ein solches Recht in diesen Fällen schlicht nicht umsetzbar ist.

Übermittlung in Drittländer

Was sollte bei der Übermittlung von Daten in Drittländer geregelt werden?

Zunächst sollte der Bundesgesetzgeber die seit 1995 bestehenden europäischen Vorgaben umsetzen. Aufgrund des derzeitig sehr bürokratischen Verfahrens ist die Liste der sicheren Drittstaaten zudem sehr übersichtlich. Es ist wichtig sicherzustellen, dass das Verfahren, über das Staaten zu sicheren Drittstaaten erklärt werden, deutlich entbürokratisiert wird.

Öffentliche-/ nich-öffentliche Stellen

Worin sehen Sie die Unterschiede zwischen Datenschutz in öffentlichen und nicht-öffentlichen Stellen?

Meiner Meinung nach gibt es gewichtige Unterschiede zwischen diesen beiden Bereichen. Entsprechend halte ich eine Trennung für ausgesprochen wichtig. Im öffentlichen Bereich gibt es immer ein Über-/ Unterverhältnis in dem der Staat, unter Einhaltung grundrechtlicher Vorgaben, bestimmte Datenverarbeitungen einseitig für zulässig erklären kann.

Bei der privaten Datenverarbeitung stehen sich hingegen zwei Grundrechtsträger gegenüber. Gegebenenfalls widerstreitende Interessen müssen angemessen ausgeglichen werden. Der risikobasierte Ansatz bietet sich an, um unterschiedlichen Schutzbedürfnissen auch unterschiedlich gerecht zu werden, beispielsweise dann, wenn ein starkes Ungleichgewicht zwischen einem marktbeherrschenden Unternehmen und einem einzelnen Verbraucher besteht.

Datenportabilität

Welche Bedeutung messen Sie dem Recht auf Datenportabilität bei?

Auch hier ist es schwierig zu erkennen, was genau mit diesem Recht gemeint sein soll. Auch die datenschutzrechtliche Relevanz ist mir nicht klar. Wenn damit ein Recht auf Auskunft gemeint ist, dann ist das bereits geregelt und somit überflüssig. Wenn damit allerdings ein Mitnahmerecht auch von internen Daten der Unternehmen gemeint sein soll, würde darüber der Schutz von Betriebs- und Geschäftsgeheimnisse unverhältnismäßig verletzt.

Profiling

Wie und wofür sollte Profiling reguliert werden? Wenn es nicht reguliert werden sollte, warum nicht?

Der Begriff der Profilbildung ist regelmäßig negativ konnotiert, obwohl Profilbildung dem Verbraucher in den meisten Fällen dienlich ist. Ein Beispiel hierfür ist der in Deutschland häufig genutzte Kauf auf Rechnung. Diese Bezahlmethode stellt einen Vertrauensvorschuss des Verkäufers gegenüber dem Käufer dar. Man kann es hier dem Unternehmen sicher nicht verübeln, wenn es sich weigert diese Bezahlmethode weiterhin anzubieten, nachdem ein Kunde wiederholt die Rechnungen nicht bezahlt hat. Außerdem besteht im Entwurf der Datenschutz-Grundverordnung Nachbesserungsbedarf für den Bereich der Profilbildung zur zielgerichteten werblichen Ansprache. Wenn hier nicht nachgebessert wird, fallen wir zurück in eine Zeit in der Werbung nach dem Gießkannen-Prinzip verteilt wurde.

Informations- und Meinungsbildung

Welches Auswirkungen hat aus Ihrer Sicht die zukünftige Datenschutzgrundverordnung auf die Informations- und Meinungsbildungsprozesse?

Ich habe das Gefühl, dass das Privileg für das Informations- und Meinungsbildungsrecht im Entwurf zu eng definiert ist. Bei restriktiver Auslegung der Verordnung würde jede Meinungsäußerung im Internet unter das Datenschutzrecht fallen. Ich habe erhebliche Probleme mir vorzustellen, wie dieses höchste grundrechtliche Gut durch die einfachen Reglungen des Datenschutzrechts vollumfänglich reguliert werden soll. Natürlich bedeutet das nicht, dass es keine Schnittstelle zwischen diesen Rechten geben soll. Auch hier gilt es, kollidierende Rechte angemessen auszugleichen.

Weitere Punkte

Welche oben nicht angesprochenen Themenbereiche sind Ihnen bezüglich der zukünftigen Datenschutzgrundverordnung noch wichtig mitzuteilen?

Ich finde, dass der risikobasierte Ansatz auch außerhalb der Einwilligung durchaus brauchbare Lösungen bietet. Etwas irritiert bin ich von dem weiten Anwendungsbereich der Verordnung und ich sehe die Gefahr, dass es zu einer Überwölbung sämtlicher Lebenssachverhalte durch das Datenschutzrecht kommt. Das könnte sich innovationshemmend auswirken oder zu einem Abwandern von Innovatoren führen. Nichtsdestotrotz ist es zu begrüßen, dass mit diesem Entwurf versucht wird, innerhalb der europäischen Union für gleiche Spielregeln zu sorgen. Die Debatte hierüber sollte sachlich und frei von Emotionen geführt werden.