Inhaltsverzeichnis
Datenschutz bezeichnet hier den Schutz personenbezogener Daten in Computersystemen; die Einschränkung auf „in Computersystemen“ resultiert aus der gegenüber physisch gebundenen Daten um Größenordnungen höheren Gefahr der Reproduktion und Verknüpfung. Nicht personenbezogene Daten auf der anderen Seite verdienen aus unserer Sicht keinen wesentlichen Schutz; im Gegenteil, möglichst weitgehender Zugang zu derartigen Daten ist normalerweise hilfreich für Freiheit, Gleichheit und Solidarität. Einzuräumen ist aber, dass eine Grauzone zunehmend personenbeziehbarer Daten besteht.
Mehr zum Datenschutz-Verständnis der Betreiber dieses Wikis findet sich in get connected 3/14.
Auf europäischer Ebene wird der deutsche Datenschutz in der Gesetzgebung zu „data protection“, jenseits von Brüssel wird eher von „privacy“ (Schutz der Privatsphäre), „data privacy“ oder „information privacy“ gesprochen.
Grundlegende Urteile
Das Datenschutzrecht in der BRD ist noch nicht alt. Anfang der 70er Jahre führten erste Länder Datenschutzgesetze ein, doch so richtig los ging es eigentlich erst 1983 mit dem Volkzählungsurteil des Bundesverfassungsgerichts, das im Groben feststellte, dass ein Staat, dessen Bürger_innen nicht zu jederzeit wissen, was wer über sie speichert, keine funktionierende Demokratie mehr sein kann. Der_die Bürger_in hat dann nämlich keine Möglichkeit mehr, die Konsequenzen einer Handlung oder Äußerung zu übersehen und wird daher Handlungen und Äußerungen nach vorauseilenden Opportunitätskriterien organisieren.
Das Bundesverfassungsgericht leitet direkt aus der hochrangingen Menschenwürde (Art. 1 GG) das Grundrecht auf informationelle Selbstbestimmung („Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen“) ab. Wie in alle Grundrechte darf natürlich auch in dieses auf Grundlage eines Gesetzes eingegegriffen werden.
Während die informationelle Selbstbestimmung über Daten redet, die dritte über Bürger_innen verarbeiten, hat das Bundesverfassungsgericht 2008 eine Erweiterung auf Daten, die Menschen über sich selbst speichern, vorgenommen: Das „Grundrecht auf digitale Intimsphäre“ aus BVerfGE 120, 274. Das Urteil erging im Rahmen einer Klage gegen ein staatliches Einbruchsrecht in die EDV ihrer Untertanen („Bundestrojaner“) und schränkt dieses immerhin milde ein.
Dass der Datenschutz seine Richtungen von Gerichten bekommt, ist sehr typisch. Die Gesetzgebung im Datenschutzbereich ist normalerweise schreinrestriktiv, d.h., Normen haben fast immer die Form „X ist verboten, außer jemand hat einen guten Grund, es doch zu tun“ bzw. „Die Betroffenen haben Rechte X, Y und Z, außer die speichernde Instanz hat gute Gründe, sie ihnen zu versagen“. Die Einordnung, was die guten Gründe sind, wird fast durchweg von Gerichten vorgenommen, und so ist Datenschutz ein Gebiet, in dem „Richterrecht“ für deutsche Verhältnisse stark dominiert (die Rede ist auch oft von „Case Law“ oder „Kasuistik“).
Prinzipien
Wegen der Schwäche der Datenschutzgesetze leiten sich die Prinzipien des Datenschutzes recht direkt aus den grundlegenden Urteilen bzw. den Grundrechten ab. Diese lassen sich in vielerlei Weisen definieren, die folgenden Konzepte tauchen jedoch eigentlich immer auf und folgen im Wesentlichen aus Grundrechts- und Verhältnismäßigkeitserwägungen:
- Datensparsamkeit
Daten dürfen nur dann erhoben und gespeichert werden, wenn sie zur Erfüllung einer bestimmten Aufgabe (des "Zwecks") notwendig, geeignet, und angemssen sind. Beispiel: Zweck dieser Webseite ist die Aufklärung über staatliche Eingriffe in informationelle Grundrechte. Um diesen Zweck zu erfüllen, müssen wir nach Bearbeitung der Anfrage nicht die IP-Adressen derer speichern, die diese Seiten lesen (und dürfen es also auch nicht). Vielleicht könnten wir wissen wollen, was für Betriebssysteme die Leute haben, wenn wir dann die Aufklärungsarbeit danach ausrichten; dann wäre eine Speicherung entsprechender Daten in Ordnung, zumal der Eingriff in die informationelle Selbstbestimmung durch die nur schwach personalisierbaren Daten und einfach zu treffende Gegenmaßnahmen auch gering ist.
- Zweckbindung
- Wenn Daten für einen Zweck erhoben wurden, dürfen sie auch nur für diesen Zweck genutzt werden und müssen gelöscht werden, wenn dieser Zweck erfüllt ist. Aus dieser Forderung ergeben sich insbesondere auch Speicherfristen, nach denen in jedem Fall gelöscht werden muss. Beispiel: Während der Bearbeitung einer Anfrage hat unsere Server-Software natürlich zeitweise eure IP-Adresse, denn sonst könnte sie nicht die Antworten an euer Endgerät schicken; Speicherzweck ist also die Zustellung von Datenpaketen. Diese IP-Adresse darf aber nicht verwendet werden, um etwa einen Portscan auf eurer IP durchzuführen oder auch je nach IP angepasste Werbung einzublenden – beides hat nichts mit der Zustellung der Datenpakete zu tun.
- Transparenz
- Wer personenbezogene Daten speichert, muss die Gespeicherten davon in Kenntnis setzen (was natürlich implizit geschehen kann; wer eine Webseite aufruft, weiß (na ja, sollte wissen), dass der Server dann die IP-Adresse und allerlei Browser-Kennungen, Cookies und ähnliches sieht). Die Gespeicherten müssen erfahren können, was gespeichert wird, was mit ihren Daten passiert, wann sie gelöscht werden, und sie haben unter großzügigen Voraussetzungen Anspruch auf Löschung oder Berichtigung.
Nochmal: Dies sind Prinzipien, von denen dank allerlei Gesetzen abgewichen werden kann und permanent wird wird. Was jedoch bleibt, sind die Kriterien der Verhältnismäßigkeit aus der Datensparsamkeit: Die Verarbeitung muss für den erklärten Zweck notwendig, geeignet, angemessen sein. Entsprechend ist sie das wesentliche Werkzeug, um konkrete Datenverarbeitung anzugreifen. Am Beispiel von Löschverlangen in Polizeidatenbanken sind diese in get connected 1/17 diskutiert.