Inhaltsverzeichnis
Datenschutz bezeichnet hier den Schutz personenbezogener Daten in Computersystemen; die Einschränkung auf „in Computersysmten“ resultiert aus der gegenüber physisch gebundenen Daten um Größenordnungen höheren Gefahr der Reproduktion und Verknüpfung. Nicht personenbezogene Daten auf der anderen Seite verdienen aus unserer Sicht keinen wesentlichen Schutz; im Gegenteil, möglichst weitgehender Zugang zu derartigen Daten ist normalerweise hilfreich für Freiheit, Gleichheit und Solidarität. Einzuräumen ist aber, dass eine Grauzone zunehmend personenbeziehbarer Daten besteht.
Mehr zum Datenschutz-Verständnis der Betreiber dieses Wikis findet sich in get connected 3/14.
Auf europäischer Ebene wird der deutsche Datenschutz in der Gesetzgebungzu „data protection” verwendet, darüber hinaus wird eher „privacy“ (Schutz der Privatsphäre), „data privacy“ oder „information privacy“ gesprochen.
Grundlegende Urteile
Das Datenschutzrecht in der BRD ist noch nicht alt. Anfang der 70er Jahre führten erste Länder Datenschutzgesetze ein, doch so richtig los ging es eigentlich erst 1983 mit dem Volkzählungsurteil des Bundesverfassungsgerichts, das im Groben feststellte, dass ein Staat, dessen BürgerInnen nicht zu jederzeit wüssten, was wer über sie speichert, keine funktionierende Demokratie mehr sein kann, weil der/die BürgerIn keine Möglichkeit mehr hat, die Konsequenzen einer Handlung oder Äußerung zu übersehen und daher Handlungen und Äußerungen nach vorauseilenden Opportunitätskriterien organisieren wird.
Das Bundesverfassungsgericht leitet direkt aus der hochrangingen Menschenwürde (Art. 1 GG) das Grundrecht auf informationelle Selbstbestimmung („Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen“) ab. Wie in alle Grundrechte darf natürlich auch in dieses auf Grundlage eines Gesetzes eingegegriffen werden.
Eine verwandte Erweiterung hat das Bundesverfassungsgericht 2008 in BVerfGE 120, 274 vorgenommen: Das „Grundrecht auf digitale Intimsphäre”, das im Groben besagt, dass den Staat zunächst auch nichts angeht, was Menschen über sich selbst speichern; das Urteil erging im Rahmen einer Klage gegen ein staatliches Einbruchsrecht in die EDV ihrer Untertanen („Bundestrojaner“) und schränkt dieses immerhin milde ein.
Dass der Datenschutz seine Richtungen von Gerichten bekommt, ist sehr typisch. Die Gesetzgebung im Datenschutzbereich ist normalerweise schreinrestriktiv, d.h., Normen haben fast immer die Form „X ist verboten, außer jemand hat einen guten Grund, es doch zu tun“ bzw. „Die Betroffenen haben Rechte X, Y und Z, außer die speichernde Instanz hat gute Gründe, sie ihnen zu versagen”. Die Einordnung, was die guten Gründe sind, wird fast durchweg von Gerichten vorgenommen, und so ist Datenschutz ein Gebiet, in dem „Richterrecht“ für deutsche Verhältnisse stark dominiert (und das ist, was „Case Law“ oder „Kasuistik“ meint).
Prinzipien
Wegen der Schwäche der Datenschutzgesetze leiten sich die Prinzipien des Datenschutzes recht direkt aus den grundlegenden Urteilen bzw. den Grundrechtne ab. Diese lassen sich in vielerlei Weisen definieren, die folgenden Konzepte tauchen jedoch eigentlich immer auf und folgen im Wesentlichen aus der Feststellung eines Grundrechts in Verbindung mit Verhältnismäßigkeitserwägungen:
- Datensparsamkeit
Daten dürfen nur dann erhoben und gespeichert werden, wenn sie zur Erfüllung einer bestimmten Aufgabe (des "Zwecks") notwendig, geeignet, und angemssen sind. Beispiel: Zweck dieser Webseite ist die Aufklärung über staatliche Eingriffe in informationelle Grundrechte. Um diesen Zweck zu erfüllen, müssen wir nach Bearbeitung der Anfrage nicht die IP-Adressen derer speichern, die diese Seiten lesen (und dürfen es also auch nicht). Vielleicht könnten wir wissen wollen, was für Betriebssysteme die Leute haben, wenn wir dann die Aufklärungsarbeit danach ausrichten; dann wäre eine Speicherung entsprechender Daten in Ordnung, zumal der Eingriff in die informationelle Selbstbestimmung durch die nur schwach personalisierbaren Daten und einfach zu treffende Gegenmaßnahmen auch gering ist.
- Zweckbindung
- Wenn Daten für einen Zweck erhoben wurden, dürfen sie auch nur für diesen Zweck genutzt werden und müssen gelöscht werden, wenn dieser Zweck erfüllt ist. Aus dieser Forderung ergeben sich insbesondere auch Speicherfristen, nach denen in jedem Fall gelöscht werden muss. Beispiel: Während der Bearbeitung einer Anfrage hat unsere Server-Software natürlich zeitweise eure IP-Adresse, denn sonst könnte sie nicht die Antworten an euer Endgerät schicken. Diese IP-Adresse darf aber nicht verwendet werden, um etwa einen Portscan auf eurer IP durchzuführen oder beispielsweise je nach IP angepasste Werbung einzublenden.
- Transparenz
- Wer personenbezogene Daten speichert, muss die Gespeicherten davon in Kenntnis setzen (was natürlich implizit geschehen kann; wer eine Webseite aufruft, weiß (na ja, sollte wissen), dass der Server dann die IP-Adresse und allerlei Browser-Kennungen, Cookies und ähnliches sieht). Die Gespeicherten müssen erfahren können, was gespeichert wird, was mit ihren Daten passiert, wann sie gelöscht werden, und sie haben unter großzügigen Voraussetzungen Anspruch auf Löschung oder Berichtigung.
Die Kriterien der Verhältnismäßigkeit (notwendig, geeignet, angemessen) sind die wesentlichen Werkzeuge, um konkrete Datenverarbeitung anzugreifen. Am Beispiel von Löschverlangen in Polizeidatenbanken sind diese in <<Rellink(/gc/html/loeschen.html,get connected 1/17)>> diskutiert.