Die Datenschutz-Grundverordnung ist von diversen Datenschutzgrundsätzen geprägt. Diese spielen bei der Auslegung oder Anwendung der Vorschriften der DSGVO eine wichtige Rolle. In diesem Artikel wollen wir den Grundsatz der Transparenz näher beleuchten und Sie insbesondere auf dessen praktische Implikationen hinweisen.
Der Inhalt im Überblick
Definition: Was bedeutet Transparenz im Datenschutz?
Vorausgesetzt bzw. gefordert wird der Grundsatz der Transparenz neben dem Grundsatz der Rechtmäßigkeit und der Verarbeitung nach Treu und Glauben in Art. 5 Abs. 1 lit. a DSGVO. Auch wenn das Gesetz eine Definition schuldig bleibt, bedeutet der Grundsatz im Wesentlichen, dass die betroffenen Personen wissen sollen, welche Datenverarbeitung stattfindet. Transparenz bedeutet also, dass die betroffenen Personen über die „W-Fragen“ aufgeklärt werden (Wer? Was? Wofür? Wohin? Wie lange?).
Primärrechtliche Verankerung des Grundsatzes
Eine primärrechtliche Verankerung des Grundsatzes der Transparenz der Datenverarbeitung beinhaltet der Art. 8 Abs. 2 GRCh. Ausdrücklich behandelt er zwar lediglich einen Teilaspekt der Transparenz, nämlich den Auskunftsanspruch Betroffener. Es ist allerdings allgemein anerkannt, dass sich die Verankerung auf die übrigen Bestandteile des Grundsatzes bezieht und damit alle zur Prüfung der Rechtmäßigkeit der Datenverarbeitung erforderlichen Informationen und Informationsmaßnahmen umfasst.
Bedeutung des Grundsatzes
Transparenz bildet die Grundlage für die Selbstbestimmung der betroffenen Person, denn nur wer weiß, was mit seinen Daten passiert, kann entscheiden, ob er mit der Datenverarbeitung einverstanden ist und kann, wenn er will, seine Betroffenenrechte wahrnehmen.
So findet die Transparenz ihren Niederschlag in vielen anderen Bestimmung der DSGVO, wie z.B. der Pflicht zu Datenschutzklärungen (Informationspflichten), den Betroffenenrechten wie dem Auskunftsrecht oder der Pflicht zu Information betroffener Personen bei gravierenden Datenschutzvorfällen. Ohne Transparenz würde Datenschutz ins Leere gehen, weil wir uns dann in einem dunklen Raum bewegen würden, ohne zu sehen, wer dort ist und was dort passiert.
Welche Pflichten ergeben sich aus dem Grundsatz für Verantwortliche?
Im Einzelnen wird der Transparenzgrundsatz durch entsprechende Pflichten in diversen Vorschriften und Erwägungsgründen der DSGVO konkretisiert.
Erwägungsgrund 39 fordert beispielsweise, dass Transparenz dahingehend besteht, dass personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden. Diese Informationen haben dabei leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst zu sein. Nach Erwägungsgrund 58 S. 2 können diese Informationen wiederum in elektronischer Form bereitgestellt werden, beispielsweise auf einer Website, wenn sie für die Öffentlichkeit bestimmt ist. Auch Erwägungsgrund 78, der sich primär mit technischen und organisatorischen Maßnahmen beschäftigt, fordert Transparenz der Datenverarbeitung. Weiterhin sollen Verantwortliche nach Erwägungsgrund 60 der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Insbesondere soll etwaiges Profiling den Betroffenen mitgeteilt werden.
Die Art. 13 und 14 DSGVO regeln dabei die Informationspflichten gegenüber Betroffenen, wenn die Erhebung der Daten entweder bei ihnen selbst (Art. 13) oder bei Dritten (Art. 14) erfolgte. Die Vorschriften konkretisieren die Vorgaben aus den vorgenannten Erwägungsgründen und geben den Verantwortlichen einen Katalog an mitteilungspflichtigen Informationen an die Hand. Anhand dieser Angaben kann dafür Sorge getragen werden, dass Betroffene über alle relevanten Informationen verfügen, um die Verarbeitung ihrer Daten zu beurteilen.
Leicht und verständliche Form der Information
Auch gemäß Erwägungsgrund 58 soll die Information in leichter und verständlicher Form zur Verfügung gestellt werden. Sie sollen zudem leicht zugänglich sein. Was dies im Einzelnen bedeutet ist nicht immer eindeutig zu beurteilen. Fest steht jedenfalls, dass sich die Informationen inhaltlich an Laien richten sollen. Noch einfacher sind sie zu formulieren, wenn es sich bei den Adressaten um Kinder handelt.
Praktische Probleme mit dem Grundsatz der Transparenz
Angesichts der Komplexität vieler moderner Verarbeitungsvorgänge sowie der oft sehr einzelfallabhängigen Beurteilungsgrundlage, sind praktische Probleme bei der Umsetzung des Grundsatzes der Transparenz so gut wie vorprogrammiert. Wir möchten daher an dieser Stelle einige der Problemfelder umreißen.
Transparenz bei Big Data, KI und automatischen Entscheidungsfindungen
Insbesondere in Zusammenhang mit Big Data, Machine Learning und automatischen Entscheidungsfindungen befinden sich Verantwortliche bezüglich der erforderlichen Informationspflichten in einer heiklen Situation. Die schiere Menge an zu verarbeitenden Daten allein stellt ein Problem für sich dar. Erschwerend kommt die jeweils hohe Komplexität der Datenverarbeitung hinzu.
Die Artikel 13 und 14 DSGVO schreiben beispielsweise in den Absätzen 2 lit. f und g vor, dass bei automatischen Entscheidungsfindungen aussagekräftige Informationen über die involvierte Logik anzugeben sind. Nun wäre allenfalls einigen wenigen, sehr begabten Informatikfachleuten mit allzu genauen Angaben zur „involvierten Logik“ gedient. Alle anderen wären bestenfalls mit diesen Informationen überfordert. In diesen Konstellationen ist Sorge zu tragen, dass eben nicht zu viele und detaillierte Informationen den Betroffenen zur Verfügung gestellt werden.
Zugleich ist zu bedenken, dass in der zunehmenden Automatisierung des Alltags die oft im Hintergrund stattfindenden Verarbeitungsvorgänge das Interesse der Betroffenen nicht zwingend wecken werden. Die Attraktivität dieser Prozesse liegt per design gerade in ihrer „Unsichtbarkeit“. Eine Überflutung der NutzerInnen mit überflüssigen, unverständlichen Informationen kann schnell auch auf Betroffenenseite zum Datenschutzüberdruss führen.
Information Overload: Gibt es zu viel Transparenz?
Gerade die oben umrissene Problematik der potenziellen Informationsüberflutung beschäftigt die Wissenschaft. Beschrieben wird dabei das Phänomen, dass ein Zuviel an Daten, die Entscheidungsfähigkeit verschlechtern und sogar nachteilige gesundheitliche Auswirkungen nach sich ziehen kann. Ein Überangebot an Informationen senkt dabei das Interesse, an der Ausübung der eigenen Betroffenenrechte. Entsprechende Hinweise werden dann oft einfach „weggeklickt“.
Diese Erkenntnisse dürfen allerdings nicht dazu führen, dass Informationspflichten nicht mehr oder in nur geringerem Maße nachgegangen wird. Die Bedeutung des Grundsatzes der Transparenz ist für die Ausübung der Betroffenenrechte von derart zentraler Bedeutung, dass sie nicht beschränkt werden darf. Unabhängig davon, wie oft Betroffene selbst auf die Kenntnisnahme durch „Wegklicken“ verzichten. Vielmehr muss an der Qualität der Hinweise angesetzt werden. Es muss Sorge getragen werden, dass die Betroffenen qualifiziert und verständlich und ihrem Empfängerhorizont entsprechend informiert werden.
Einbindung von intransparenten Drittanbietern
Die hohe Komplexität und Menge der Datenverarbeitungsvorgänge ziehen aber auch ein weiteres Problem nach sich. Oftmals scheitert die rechtmäßige Information der Betroffenen nicht an der mangelhaften Wissensvermittlung durch die Verantwortlichen. Vielmehr verstehen Unternehmen selbst nicht mehr genau, wie ihre Programme und Dienste die Daten der Nutzer verarbeiten. Zunehmend wird versucht, diesen Umstand bewusst durch übermäßig komplizierte Hinweise zu kaschieren. Wenn diese Programme und Dienste aufgrund ihrer marktbedeutenden Stellung dann von Verantwortlichen eingesetzt werden, können diese aufgrund der verschiedenen Verantwortungskonstellationen der DSGVO für die Intransparenz mitverantwortlich sein.
Deutlich wird das Problem mit der Transparenz beim sog. Real-Time-Biding. Hier scheitern rechtskonforme Nutzerinformationen nach Ansicht der Aufsichtsbehörden oft schon an der Anzahl beteiligter Parteien. Die im Hintergrund augenblicklich stattfindenden Prozesse verhindern die ordnungsgemäße Transparenz zusätzlich.
DSGVO-Bußgelder bei Verstößen gegen die Transparenz
Die zentrale Bedeutung des Grundsatzes der Transparenz wird durch die Tendenz der Aufsichtsbehörden die entsprechenden Verstöße mit hohen Bußgeldern zu ahnden zusätzlich verdeutlicht. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit verhängte gegen eine Bank ein Bußgeld in Höhe von 300.000 Euro, weil diese bei einer automatisierten Kreditentscheidung nicht ausreichend informiert hatte. Die französische Aufsicht bestrafte Google mit einer rekordartigen Summe von 50 Mio. Euro. Auch hier kam das Unternehmen seiner Informationspflicht nicht ausreichend nach.
Ein Grundpfeiler des Datenschutzes
Ohne einen konsequent durchgesetzten Transparenzgrundsatz ist ein effektiver Rechtsschutz im Datenschutz schlicht nicht vorstellbar. Die im Einzelnen bestehenden Schwierigkeiten bei der bisweilen herausfordernden Aufgabe, die Betroffenen in leichter und verständlicher Form zu informieren, dürfen von der Bedeutung des Grundsatzes nicht ablenken. Gleichermaßen muss dem Problem des Information Overload konstruktiv begegnet werden. Ausweichlösungen wie die Einbindung intransparenter Drittanbieter gilt es unbedingt zu vermeiden.
