Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit Thomas Fuchs veröffentlichte seinen 31. Tätigkeitsbericht Datenschutz 2022. Darin beschäftigt sich Fuchs unter anderem mit der zukünftigen Digitalstrategie der EU, den damit verbundenen und verabschiedeten Rechtsakten und wie diese den Datenschutz veränderten bzw. in Zukunft noch verändern werden. Er spricht von einem digitalpolitischen Paradigmenwechsel, der die Realität großer Datenoligopole sowohl (an)erkennt als auch regulieren möchte. Eingeleitet wird der Tätigkeitsbericht mit den Worten: „Das Ende der Datensparsamkeit? Wie die Digitalstrategie der EU den Datenschutz verändern wird.“
Der Inhalt im Überblick
Datenstrategie – Was ist geplant?
Die EU-Kommission stellte bereits im Jahre 2020 ihre Datenstrategie vor, mit der ein europäischer Datenbinnenmarkt geschaffen werden soll, der die EU global wettbewerbsfähiger machen und innovative Produkte und Dienstleistungen ermöglichen soll. Dabei soll auch der Zugang zu Daten für die Gesellschaft vereinfacht werden. Bereits im letzten Jahre sind zahlreiche Rechtsakte verabschiedet worden, die, zumindest in Teilen, dieses Jahr an Wirksamkeit gewinnen. Durch „Big Data“- Anwendungen soll ferner ein Rechtsraum geschaffen werden, in welchem der Ausbau der Datenverarbeitungen im Gemeinwohlinteresse voranschreitet.
Zu den bereits in diesem Jahr anwendbaren Regularien gehört zum einen der Digital Markets Act (DMA) und der Digital Service Act (DSA). Wir berichteten bereits in der Vergangenheit zu beiden Rechtsakten. Mit den Rechtsakten soll dafür gesorgt werden, dass zum einen die Verantwortung der Unternehmen wie Amazon, Meta und Co. für die von ihnen vorgehaltenen Inhalte Dritter erhöht wird und zum anderen sollen die relativen Marktchancen anderer Anbieter verbessert werden.
Die zwei Gesetze werden ergänzt werden, zum einen mit dem Digital Governace Act (DGA) und dem geplanten Data Act (DA), der wohl die weitreichendsten Änderungen mit sich bringen wird.
Hinzu kommen neue digitale Räume auf EU-Ebene, in denen Daten zu besonderen Sektoren wie bspw. Mobilität und Gesundheit EU-weit verfügbar gemacht werden sollen. Der European Health Data Space (EHDS), ein europäischer Gesundheitsdatenraum, ist hierbei schon am weitesten skizziert. Aber was soll damit erreicht werden? Alle Inhaber von Gesundheitsdaten, wie bspw. Krankenhäuser, sind verpflichtet, ihre Daten im europäischen Gesundheitsraum bereit zu stellen. Hier werden sie dann von einer Behörde aggregiert, anonymisiert und zu Forschungszwecken Dritten zur Verfügung gestellt.
Spannungsverhältnis Datenminimierung und -gewinnung
Aber was bedeutet nun die Entwicklung für das Verständnis von Datenschutz? Fuchs hat hierzu eine klare Meinung. Er spricht von einem unvermeidbaren Spannungsverhältnis von Datenminimierung und Datengewinnung. Der Grundsatz der Datenminimierung besagt, dass die Daten auf für das Erreichen eines benannten Zwecks notwendige Maß beschränkt sein müssen. Datenminimierung wird oft als Datensparsamkeit ausgelegt oder gar als Synonym verwendet. Fuchs ist der Ansicht, dass dies nicht mehr zu halten sein wird.
„Eine auf Datengewinnung, Datenteilung und Datennutzung orientierte Gesellschaft kann nicht sparsam sein. Im Gegenteil, sie sucht den Datenreichtum (nicht die Datenverschwendung).“
Der Datenschutz wird vor neue Herausforderungen gestellt werden.
Neue Herausforderungen
Eine der Herausforderungen wird es sein, die grundrechtlichen Verankerungen nicht außer Acht zu lassen. Jeder soll selbst darüber entscheiden können, welche personenbezogene Daten er von sich preisgeben möchte und wer sie verwenden darf. Bei dem Recht auf informationelle Selbstbestimmung handelt es sich doch noch um eine relativ junge Ausprägung des Allgemeinen Persönlichkeitsrechts, das jedoch eigenständige Bedeutung hat. Erst 1983 hatte es das Bundesverfassungsgericht in seinem Volkszählungs-Urteil herausgearbeitet. Dieses individuelle Recht bleibt unverändert gültig. Auch darf die Souveränität der Bürger über ihre Daten nicht in Frage gestellt werden.
Noch mehr als vorher gilt:
„Die Datenschützer müssen so früh wie möglich. Am besten im Planungsstadium, einbezogen werden, um die datenschutzrechtlichen Garantien von Anfang an mitdenken zu können. Nur dann wird es gelingen, Daten im Gemeinwohlinteresse zu nutzen und zugleich Betroffenenrechte zu schützen.“
Auch die Bürgschaftspräsidentin Carola Veit hat eine Meinung hierzu und betont bei der Übergabe des Berichtes die Bedeutung von Datenschutz und Cybersicherheit durch die zunehmende Digitalisierung im Alltag der Menschen.
„Auch staatliche Dienstleistungen werden immer digitaler. Für die Bürger ist es ein gutes Signal, dass gerade dieser Digitalisierungsprozess in Hamburg kritisch und konstruktiv begleitet wird.“
Es bleibt abzuwarten…
Klar ist, dass die politisch gewollte Massenerhebung von Daten nicht auf Basis von Einzel-Zustimmungen funktionieren kann. Laut Fuchs geht der Trend zu rechtlich ausgestalteten Opt-out-Modellen anstelle von Opt-in-Ansätzen. Ferner wird die Transparenz noch stärker in den Mittelpunkt des Datenschutzes rücken müssen, damit Betroffene informiert ihre Rechte wahrnehmen können.
„Nur wenn ich über die Weiterverarbeitung meiner Daten informiert bin, kann ich Betroffenenrechte wahrnehmen. Nur dann kann es legitim sein, meine Daten zu verarbeiten, ohne mich vorher zu fragen.“
Bei den Datenschutzbehörden wird sich der Schwerpunkt von einzelnen Beschwerdeverfahren zur Kontrolle von Nutzungsszenarien verlagern.
Bei all den Plänen der Digitalisierung gilt: Es muss dafür gesorgt werden, dass die Datenschutzbehörden frühzeitig mit einbezogen werden damit ggf. eingelenkt werden kann. Kritik und konstruktive Mitarbeit sind von enormer Bedeutung.
Der HmbBfDI schrieb: „Der Datenminimierung wird oft als Datensparsamkeit ausgelegt oder synonym verwendet. Dies wird nicht mehr zu halten sein.“ (Seite 12). Das ist ein Bezug, dass „Datensparsamkeit und Datenvermeidung“ (siehe § 3a BDSG aF) nicht gleich Datenminimierung ist. Schon die Gesetzesziele in Art. 1 DSGVO kennen nicht nur den Schutz natürlicher Personen, sondern auch den freien Datenverkehr in der EU. Im Gegensatz zum BDSG aF. Die Datenminimierung ist doch im Kontext der Erforderlichkeit und des Zwecks einer Datenverarbeitung zu sehen. Und nicht ob man diese (Datenverarbeitung) vermeiden kann. Also sind die Begriffe sicherlich artverwandt, aber nicht gleich bedeutend. Ist das jetzt wirklich ein Paradigmenwechsel?
Wenn man es richtigerweise so sieht (wie wir es auch neulich in unserem Beitrag zu Datenminimierung und Datensparsamkeit dargestellt hatten), dann gibt es keinen Paradigmenwechsel. Aber gerade in Deutschland werden die Begriffe zumindest gerne synonym verwendet, wenn nicht sogar inhaltlich gleichgesetzt. Winfried Veil, der auf Seiten der Bundesregierung die DSGVO verhandelt hat, hatte viele Beispiele dafür mal in einem langen Twitterthread gesammelt. Es gibt also durchaus Personen, bei denen noch ein Umdenken stattfinden muss.