In der Diskussion um die geplante Datenschutzgrundverordnung wird von Bürgerrechtsgruppen regelmäßig darauf hingewiesen, dass Industrielobbyisten versuchen würden, den Kommissionsentwurf zu verwässern. Grundsätzliche Kritik an der geplanten Datenschutzreform hört man aus der bürgerrechtlichen Ecke demgegenüber kaum. Es wird ganz im Gegenteil der Eindruck erweckt, als sei das vorgestellte Konzept im Sinne der Bürgerrechte zwingend notwendig und sogar noch zu verschärfen. Slogans wie „Unsere Grundrechte auf Privatsphäre und Datenschutz sind in Gefahr!„ schüren Ängste und lenken von der eigentlich notwendigen Diskussion ab.
Es werden insoweit von Bürgerrechtsorganisationen durchaus auch bedenkliche Forderungen aufgestellt, was ich anhand eines konkreten Beispiels einmal näher erläutern möchte. Der Verein Digitale Gesellschaft e.V. hat einen 10-Punkte-Katalog zur Datenschutzgrundverordnung aufgestellt, in dem u.a. folgende Forderung enthalten ist:
Einer der sechs Kriterien für eine rechtmäßige Verarbeitung von Daten ist das sogenannte „berechtigte Interesse“ der Unternehmen. (…) Der Bericht des Europäischen Parlaments lässt viel zu viele Ausnahmen zu. Der Begriff des „berechtigten Interesses“ wird dadurch zu einer Art Trojaner, der eine exzessive Verarbeitung unserer Daten ermöglicht. (…)
Wir fordern daher, dass das „berechtigte Interesse“ als Kriterium für eine rechtmäßige Datenverarbeitung komplett gestrichen wird.
Um zu verstehen, was das bedeutet, muss man etwas weiter ausholen und sich mit der Grundstruktur des Datenschutzrechts auseinandersetzen.
Das Datenschutzrecht ist vom sog. Verbotsprinzip geprägt, das unter einem Erlaubnisvorbehalt steht. Dieses Konzept wird von der Datenschutzgrundverordnung, trotz erheblicher Kritik, beibehalten. Es besagt, dass zunächst jede Erhebung und Verarbeitung personenbezogener Daten verboten ist, solange nicht der Betroffene ausdrücklich in die Datenverarbeitung einwilligt oder ein Gesetz die Datenverarbeitung zulässt.
Der Entwurf der Datenschutzgrundverordnung macht insoweit in seinem Art. 6 zur Rechtmäßigkeit einer Datenverarbeitung folgende Vorgaben:
Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere genau festgelegte Zwecke gegeben.
b) Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich oder zur Durchführung vorvertraglicher Maßnahmen, die auf Antrag der betroffenen Person erfolgen.
c) Die Verarbeitung ist zur Erfüllung einer gesetzlichen Verpflichtung erforderlich, der der für die Verarbeitung Verantwortliche unterliegt.
d) Die Verarbeitung ist nötig, um lebenswichtige Interessen der betroffenen Person zu schützen.
e) Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung hoheitlicher Gewalt erfolgt und die dem für die Verarbeitung Verantwortlichen übertragen wurde.
f) Die Verarbeitung ist zur Wahrung der berechtigten Interessen des für die Verarbeitung Verantwortlichen erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Dieser gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
Was die Digitale Gesellschaft also fordert, ist die komplette Streichung von Art. 6 Abs. 1 Nr. f. Das wird zu unlösbaren praktischen Problemen führen und würde zu Ende gedacht sogar ein Verbot sämtlicher Internetkommunikation bedeuten.
Die Internetkommunikation ist bekanntlich IP-basiert, d.h. es werden laufend IP-Adressen übermittelt und ganz regelmäßig auch gespeichert. IP-Adressen sind aber nach der derzeitigen Einschätzung aller deutschen Datenschutzaufsichtsbehörden stets als personenbezogene Daten anzusehen. Ob das nach der Verordnung auch so sein soll, ist nach der Entwurfsfassung nicht gänzlich klar. Die Änderungsvorschläge des Berichterstatters im EU-Parlament Jan Philipp Albrecht sehen im Änderungsantrag 15 deshalb vor, klarzustellen, dass auch IP-Adressen und Cookies als personenbezogen im Sinne der Verordnung betrachtet werden müssen, es sei denn, es handelt sich um IP-Adressen von Unternehmen. Diese Differenzierung ist schon deshalb problematisch, weil man der IP-Adresse ja nicht ansieht, ob sie von einem Unternehmen oder einer natürlichen Person verwendet wird, weshalb man als sog. verantwortliche Stelle im Zweifel immer alle IP-Adressen als personenbezogen betrachten muss.
Die Übermittlung und Speicherung von IP-Adressen und Cookies wäre damit nach dem geltenden Verbotsprinzip zunächst generell verboten. Das bedeutet eigentlich, dass damit in einem ersten Schritt die gesamte Internetkommunikation datenschutzwidrig ist. Diese Datenverarbreitung kann nun natürlich aber zulässig sein, wenn ein gesetzlicher Erlaubnistatbestand vorliegt. Weil eine Einwilligung ausscheidet und auch ein Vertragsverhältnis im Regelfall nicht gegeben ist, bleibt als einziger Erlaubnistatbestand nach der Datenschutzgrundverordnung die Vorschrift des Art. 6 Abs. 1 Nr. f, nämlich die Wahrung eines berechtigten Interesses. Und genau diese Regelung möchte die Digitale Gesellschaft streichen, mit der Begründung, es handle sich um eine Art Trojaner, der eine exzessive Verarbeitung unserer Daten ermöglicht. Das Dumme ist jetzt nur, dass dieser Trojaner die Internetkommunkation datenschutzrechtlich überhaupt erst erlaubt.
Gerade schwer nachvollziehbare Folgen dieser Art sind der Grund dafür, dass einige ernsthafte Stimmen eine grundlegende Reform des Datenschutzrechts fordern und eine Abkehr vom Verbotsprinzip.
Was in der bürgerrechtlichen Diskussion ebenfalls viel zu kurz kommt, ist das Spannungsverhältnis zwischen Datenschutz einerseits und Kommunikationsgrundrechten (Meinungs- und Informationsfreiheit) andererseits. Das Verbot personenbezogene Daten zu veröffentlichen, schränkt nämlich grundsätzlich auch die Meinungs- und Pressefreiheit ein, denn jedwede Information zu einer bestimmten Person ist gleichzeitig auch immer ein personenbezogenes Datum.
Man geht daher schon seit langem davon aus, dass es ein Berichterstattungsprivileg geben muss, das die Vorgaben des Datenschutzrechts einschränkt. Ein solches hat der BGH beispielsweise in der Spick-Mich-Entscheidung angenommen und ausgeführt, dass die Meinungsfreiheit und das berechtigte Informationsinteresse das Recht auf informationelle Selbstbestimmung des Betroffenen überwiegen können.
Dieses Medien- oder Berichterstattungsprivileg ist bislang praktisch nicht kodifiziert. Es wäre deshalb naheliegend – zumal wir immer von einer Informationsgesellschaft reden – dass sich der europäische Gesetzgeber dieses zentralen Punkts annimmt, um eine möglichst klare und europaweit einheitliche Regelung zu schaffen.
Um es deutlich zu sagen: Ein strenges Datenschutzregime beinhaltet immer auch eine Einschränkung der Kommunikationsfreiheiten. Es besteht also ein latentes Spannungsverhältnis zwischen dem Recht auf informationelle Selbstbestimmung – als Grundlage des Datenschutzes – und der Meinungs- und Informationsfreiheit. Es ist also aus bürgerrechtlicher Sicht etwas kurzsichtig, sich nur auf einen grundrechtlichen Aspekt zu konzentrieren, ohne die Wechselwirkungen zu beachten.
Leider sind wir von einer differenzierten Diskussion noch meilenwert entfernt. Auf der einen Seiten haben wir Unternehmenslobbyisten, die Datenschutz in der Tendenz primär als Hemmnis sehen, während wir auf der Gegenseite vermeintliche Bürgerrechtler stehen haben, die z.T. bedenkliche und nicht durchdachte Positionen einnehmen.
Wir haben es mit einer Diskussion zu tun, in der es um das Spannungsverhältnis verschiedener Grundrechte geht. Demzufolge ist eine ausdifferenzierte Abwägung erforderlich. Das setzt allerdings die Erkenntnis voraus, dass sowohl die Position der Hardcore-Datenschützer wie auch die der Industrielobbyisten in ihrer Absolutheit falsch ist. Wir leben aber leider in einer Gesellschaft die Kampagnen bevorzugt, die von klaren Schwarz-Weiß-Schemata geprägt sind. Und das spürt man auch bei dieser Diskussion mehr als deutlich.
Zur inhaltlichen Kritik an den Reformplänen der EU hier noch ein Überblick über Blogbeiträge zum Thema:
Hebelt die geplante EU-Datenschutzverordnung deutsche Grundrechte aus?
Der Entwurf einer EU-Datenschutzverordnung in der Kritik
Weitere Kritik an der geplanten EU-Datenschutzverordnung
Alternativentwurf einer EU-Datenschutzverordnung
Wie sinnvoll und wie demokratisch ist die geplante EU-Datenschutzgrundverordnung?
Muss unser Datenschutzrecht runderneuert werden?
5 Thesen zur Datenschutz-Verordnung (via Telemedicus)
