Skip to main content

“Zur Verbesserung des Datenschutzes müssen viele Akteure zusammenarbeiten und besser ausgestattet werden“

Forum-Privatheit-Sprecher Alexander Roßnagel diskutierte mit Expertinnen und Experten aus Wissenschaft und Praxis über die notwendigen Voraussetzungen einer wirksamen Datenschutz-Grundverordnung.


Die im Mai vergangenen Jahres in Kraft getretene Datenschutz-Grundverordnung (DSGVO) enthält innovative Instrumente, die es im deutschen Datenschutzrecht bislang nicht gab. Die Erwartungen an diese Instrumente sind laut Forum-Privatheit-Sprecher Prof. Dr. Alexander Roßnagel sehr hoch: „Sie sollen zu einem gerechteren, passgenaueren und praktikableren Datenschutz führen.“ Der Rechtswissenschaftler der Universität Kassel hatte daher zum alljährlichen CAST-Workshop „Recht und IT-Sicherheit“ eingeladen, um mit Expertinnen und Experten aus Forschung und Praxis zu klären, inwiefern diese Erwartungen bisher erfüllt wurden – und welche Voraussetzungen möglicherweise noch geschaffen werden müssen, damit die Datenschutz-Grundverordnung in Deutschland wirksam umgesetzt werden kann. Besonders diskutiert wurden diese Innovationen der DSGVO:

Die DSGVO ermöglicht Verbänden, an ihre Branche angepasste Verhaltensregeln für die Datenverarbeitung festzulegen.

„Solche verbindlichen Verhaltensregeln könnten durchaus zu einem effektiveren Datenschutz und zu mehr Rechtssicherheit führen“, meinte dazu Dr. Joachim Rieß, Konzerndatenschutzbeauftragter der Daimler AG. „Allerdings sollten auch bei einer Verbänderegulierung die Wettbewerbsbedingungen beachtet werden.“

Datenschutzverantwortliche haben die Möglichkeit, die DSGVO-Konformität ihrer Datenverarbeitungsvorgänge zertifizieren zu lassen und die Zertifikate als Wettbewerbsvorteil zu nutzen.

Dies wäre unter anderem für Cloud Computing eine große Unterstützung. Henry Krasemann, im ULD (Unabhängiges Landeszentrum für Datenschutz) in Schleswig-Holstein für Zertifizierungen zuständig, verwies jedoch darauf, dass sich dafür erst die entsprechenden Mechanismen bilden müssten. Es seien noch viele Abstimmungen zwischen Aufsichtsbehörden, Akkreditierungsstellen, Datenschutzausschuss und Europäischer Kommission notwendig. „Hier stehen wir immer noch am Anfang“, sagte Krasemann. 

Wer riskante Verarbeitungen durchführt, muss eine Datenschutzfolgenabschätzung durchführen, damit er die Risiken für betroffene Personen reduzieren kann.

„Nur wer die Risiken seiner Datenverarbeitung genau kennt, kann diese im Sinne des ‚Privacy by Design‘ frühzeitig vermeiden“, so Dr. Michael Friedewald vom Fraunhofer Institut für System- und Innovationsforschung ISI und Koordinator des „Forum Privatheit“. Zuvor seien zahlreiche praktische Aspekte zu berücksichtigen: von der Wahl der richtigen Bewertungskriterien bis hin zur Einbeziehung der Betroffenen in den Bewertungsprozess.

Betroffene Personen erhalten durch die DSGVO zusätzliche Beschwerde- und Klagemöglichkeiten und können sich nun auch von Verbänden vertreten lassen.

„Dies erhöht die Durchsetzungskraft der Interessen für mehr Datenschutz“, betonte Heiko Dünkel vom Verbraucherzentrale Bundesverband e.V. „Dieser Punkt ist nicht zu unterschätzen: Denn die Datenschutzerklärung bei Facebook versteht man nach zehnmaligem Lesen auch als Jurist nicht.“ 

Schließlich haben Aufsichtsbehörden jetzt die Möglichkeit, drakonische Sanktionen für Datenschutzverstöße zu verhängen und damit dem Datenschutzrecht Respekt zu verschaffen.

„Die DSGVO ist – entgegen Gerüchten – kein zahnloser Papiertiger, ganz im Gegenteil: Wir haben mit dem Instrument der Sanktionen und hohen Bußgeldstrafen ein scharfes Schwert, das wir bei schweren Verstößen auch nutzen werden“, erklärte Christina Rost, beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit für Sanktionen zuständig.

Das Fazit der Diskussion fasste Rechtsexperte Roßnagel so zusammen: „Die Datenschutz-Grundverordnung hat zwar innovative Instrumente angekündigt, diese aber unzureichend geregelt. Um wirksam zu werden, ist die DSGVO auf die Zusammenarbeit vieler Akteure angewiesen. Dies erfordert viele weitere rechtliche und organisatorische Maßnahmen, entsprechende Ausstattungen und Ressourcen bei Behörden und Unternehmen. Diese Voraussetzungen sind noch lange nicht überall gegeben.“


Im Forum Privatheit setzen sich Expertinnen und Experten aus sieben wissenschaftlichen Institutionen interdisziplinär, kritisch und unabhängig mit Fragestellungen zum Schutz der Privatheit auseinander. Das Projekt wird vom Fraunhofer ISI koordiniert. Weitere Partner sind das Fraunhofer SIT, die Universität Duisburg-Essen, das Wissenschaftliche Zentrum für Informationstechnik-Gestaltung (ITeG) der Universität Kassel, die Eberhard Karls Universität Tübingen, die Ludwig-Maximilians-Universität München sowie das Unabhängige Landes­zentrum für Datenschutz Schleswig-Holstein. Das BMBF fördert das Forum Privatheit, um den öffentlichen Diskurs zu den Themen Privatheit und Datenschutz anzuregen.

Sprecher „Forum Privatheit“: 
Prof. Dr. Alexander Roßnagel
Universität Kassel
Projektgruppe verfassungsverträgliche Technikgestaltung (provet) am Wissenschaftlichen Zentrum für Informationstechnik-Gestaltung (ITeG)
Tel: 0561/804-3130 oder 2874
E-Mail: a.rossnagel@uni-kassel.de

Projektkoordination „Forum Privatheit“:
Dr. Michael Friedewald
Fraunhofer-Institut für System- und Innovationsforschung ISI
Competence Center Neue Technologien
Tel.: 0721 6809-146
E-Mail: Michael.Friedewald@isi.fraunhofer.de 

Presse und Kommunikation „Forum Privatheit“:
Barbara Ferrarese, M.A.
Fraunhofer-Institut für System- und Innovationsforschung ISI
Tel.: 0721 6809-678
E-Mail: presse@forum-privatheit.de

https://www.forum-privatheit.de/forum-privatheit-de/index.php
Twitter: @ForumPrivatheit

Soeben erschienen: Data Protection Impact Assessments

Abstract. This workshop introduced participants to the process of Data Protection Impact Assessment. This new tool of the GDPR is highly relevant for any processing of personal data, as it helps to structure the process, be aware of data protection issues and the relevant legislation and implement proper safe- guards to protect data subjects. For processing operations posing a high risk for data subjects, a DPIA is mandatory from May 2018. The interactive workshop provided a framework for DPIA and guidance on specific questions such as when a high risk is likely to occur or how specific risks can be evaluated, which was assessed by participants in an interactive session with two different scenarios.

Bieker, Felix, Nicholas Martin, Michael Friedewald, and Marit Hansen, “Data Protection Impact Assessment: A Hands-On Tour of the GDPR’s Most Practical Tool”, in Marit Hansen, Eleni Kosta, Igor Nai-Fovino, and Simone Fischer-Hübner (eds.), Privacy and Identity Management. The Smart Revolution. 12th IFIP WG 9.2, 9.5, 9.6/11.7, 11.6/SIG 9.2.2 International Summer School, Ispra, Italy, September 4-8, 2017, Revised Selected Papers, Springer, Cham, 2018, pp. 207-220. https://doi.org/10.1007/978-3-319-92925-5_13

 

Datenschutz-Grundverordnung: Datenschutz-Forscher des Fraunhofer ISI erklärt, was sich ändert

Ab heute gilt die neue EU-Datenschutz-Grundverordnung (DSGVO), die den Datenschutz in der EU stärken soll. Dabei stellt sich die Frage, was sich jetzt konkret ändert und was beachtet werden muss. Dr. Michael Friedewald, der am Fraunhofer ISI zum Thema Datenschutz forscht und dort unter anderem den Forschungsverbund Forum Privatheit koordiniert, beantwortet im Interview die wichtigsten Fragen.


Mit der EU-Datenschutz-Grundverordnung ist bei Datenschützern, Aufsichtsbehörden und Bürgerinnen und Bürgern gleichermaßen die Hoffnung nach einer Stärkung des Datenschutzes in der EU verbunden. Doch ist diese Hoffnung berechtigt? Was müssen Unternehmen zum Inkrafttreten der DSGVO wissen? Und wo liegen die Stärken und Schwächen der neuen Grundverordnung? Im Interview steht Datenschutz-Forscher Dr. Michael Friedewald vom Fraunhofer ISI in 10 Fragen Rede und Antwort.

Frage (1): Ab heute gilt die neue DSGVO. Was sind die wichtigsten Neuerungen?

Dr. Michael Friedewald: Die zentralen Neuerungen sind erweiterte Anweisungs- und Sanktionsbefugnisse der Datenschutz-Aufsichtsbehörden, das »Marktortprinzip« bzw. die Ausweitung des räumlichen Datenschutz-Anwendungsbereichs sowie klarer ausgestaltete Rechte für Betroffene.

Frage (2): Stichwort Sanktionen: Müssen Unternehmen, öffentliche Einrichtungen und Privatpersonen nun mit harten Strafen rechnen, wenn sie Fehler beim Datenschutz machen?

Dr. Michael Friedewald: Wenngleich die Sanktions- und Einspruchsmöglichkeiten deutlich erweitert wurden – Verstöße gegen die Datenschutzvorgaben können mit bis zu 20 Mio. Euro Strafe bzw. 4% des Vorjahresumsatzes eines Unternehmens geahndet werden – ist keine unmittelbare Sanktionswelle zu befürchten. Es geht um die Umsetzung der DSGVO. Finanzielle Strafen sind nur die letzte Sanktionsmöglichkeit, Aufsichtsbehörden geben vielmehr Hilfestellungen, wo und wie Unternehmen und andere Einrichten beim Datenschutz nachbessern können. Die aktuelle Hysterie in dieser Sache ist also völlig übertrieben.

Frage (3): Systembetreiber müssen im Zuge der DSGVO auch Datenschutz-Folgenabschätzen durchführen – was bringen diese?

Dr. Michael Friedewald: Datenschutz-Folgenabschätzungen sind ein wirklich innovatives Element der DSGVO. Sie ermöglichen einerseits eine bessere Einschätzung der Risiken durch bestehende Datenverarbeitungen. Andererseits weisen sie frühzeitig und während des Entwicklungsstadiums auf mögliche negative Konsequenzen für den Datenschutz hin. Bestehende Datenschutz-Mängel lassen sich damit rechtzeitig erkennen und noch während der Technologieentwicklung korrigieren. Der Datenschutz kann damit im Sinne des »Datenschutz durch Technikgestaltung« – einem weiteren innovativen Element des neuen Datenschutzrechts – bei der Einführung neuer Geräte oder Anwendungen von vornherein besser integriert werden.

Frage (4): Und wie laufen Datenschutz-Folgenabschätzungen konkret ab?

Dr. Michael Friedewald: Die Durchführung einer Folgenabschätzung erfolgt in vier Phasen: Zunächst wird die Notwendigkeit einer Folgenabschätzung geprüft. Falls erforderlich, erfolgt dann die Bewertung der Risiken anhand der sechs Schutzziele Nicht-Verkettbarkeit von Daten, Transparenz, Intervenierbarkeit, Verfügbarkeit, Integrität und Vertraulichkeit. Wurden Risiken identifiziert, müssen diese durch geeignete Schutzmaßnahmen beseitigt werden. Und in einer schriftlichen Dokumentation werden alle Schritte festgehalten, damit sich die Aufsichtsbehörden oder auch die Bürgerinnen und Bürger über die Datenschutzanstrengungen eines Unternehmens oder einer Behörde informieren können.

Frage (5): Neu ist auch das »Marktortprinzip« – was hat es damit auf sich?

Dr. Michael Friedewald: Mit der DSGVO ist nicht mehr der Ort der Datenverarbeitung für die Anwendung des Datenschutzrechts entscheidend, sondern die Frage, ob Daten von sich in der EU aufhaltenden Personen verarbeitet werden. Damit gilt die EU-Verordnung für alle Datenverarbeiter – und zwar weltweit. Große Unternehmen haben bereits angekündigt, dass sie den Regeln der DSGVO auch auf anderen Märkten folgen werden.

Frage (6): Werden die Rechte von betroffenen Personen durch die DSGVO insgesamt gestärkt?

Dr. Michael Friedewald: Das kann man grundsätzlich bejahen, wenngleich Vieles beim Alten bleibt. In jedem Falle sind die Rechte klarer ausgestaltet. So kann man sich etwa direkt bei den regionalen Aufsichtsbehörden beschweren, wenn man einen Verstoß gegen das Datenschutzrecht feststellt, was vorher nicht ging.

Frage (7): Verliert Europa durch die DSGVO nicht gegenüber anderen Ländern an Wettbewerbsfähigkeit, in denen die Entwicklung der Datenökonomie nicht durch zu viel Datenschutz behindert wird?

Dr. Michael Friedewald: Natürlich steht der Schutz von Grundrechten im Vordergrund. Aber Beispiele aus anderen Bereichen wie dem Umweltschutz zeigen, dass eine ambitionierte Regulierung auch innovative Lösungen hervorbringt, die sich mittel- bis langfristig zum Wettbewerbsvorteil für Europa entwickelt haben. Daher sehe ich den Datenschutz nicht als Innovationshemmnis, im Gegenteil: Hier kann Europa Vorreiter sein.

Frage (8): Wie geht die DSGVO mit künftigen technischen Entwicklungen um, etwa im Bereich Big Data oder künstliche Intelligenz?

Dr. Michael Friedewald: Bei der Technikneutralität sehe ich ihr größtes Manko, denn sie macht keine Unterschiede beim Risiko einer Verarbeitung. So gibt es keine einzige Regelung zu den großen Herausforderungen moderner Informationstechniken wie Big Data, Internet der Dinge, Cloud Computing, Selbstlernende Systeme, Suchmaschinen und vielen anderen Grundrechtrisiken. Auch beinhaltet die Grundverordnung Transparenzpflichten, die allerdings durch Geschäftsgeheimnisse oder Urheberrechte und sogar durch deutsche Gesetze weitgehend eingeschränkt sind.

Frage (9): Wird mit der EU-weit gültigen Grundverordnung das Ziel der Harmonisierung und Vereinheitlichung des Datenschutzes erreicht?

Dr. Michael Friedewald: Diese Frage muss man leider verneinen. Es gibt insgesamt über 70 Öffnungsklauseln, die bei der Zulässigkeit der Datenverarbeitung – insbesondere im gesamten öffentlichen Bereich –, den Betroffenenrechten, Erlaubnistatbeständen, dem Beschäftigungsdatenschutz oder der Meinungs- und Informationsfreiheit Regelungen an die EU-Mitgliedsstaaten überträgt. Auch bleiben diese Regelungen abstrakt und die Mitgliedsstaaten bzw. sogar nationale Gerichtsbezirke legen sie auf Basis ihrer Rechtstradition aus. Bis die Details durch Prozesse zur Vereinheitlichung der Datenschutzaufsicht und durch Urteile des EuGH geklärt sind, dürften die abstrakten Vorschriften über Jahrzehnte für Rechtsunsicherheit sorgen.

Frage (10): Muss man sich als Privatperson jetzt Sorgen machen, wenn man bei der Nutzung von sozialen Medien oder Blogs unwissentlich gegen die DSGVO verstößt?

Dr. Michael Friedewald: Die DSGVO gibt keinen Anlass zu Bedenken, dass wir als Privatpersonen etwa in Zukunft beim Fotografieren, beim Betrieb eines Blogs oder der Nutzung von sozialen Medien und Messengern wie Whatsapp wegen Datenschutzverstößen belangt werden können. Bei Fotos greift nach Aussage des BMI weiterhin das Kunsturhebergesetz, das als Spezialregelung stets Vorrang vor der DSGVO hat. Der private Blog ist durch die »Haushaltsausnahme« ohnehin von den Regelungen der DSGVO ausgenommen. Und bei den sozialen Medien und Messengern sind gerade die Betreiber in der Pflicht, die Verarbeitungen datenschutzkonform zu gestalten. So ist eine Übermittlung des gesamten Adressbuchs – wie bei der Anmeldung bei WhatsApp bislang üblich – künftig nicht mehr zulässig.


Im Forum Privatheit setzen sich Expertinnen und Experten aus sieben wissenschaftlichen Institutionen interdisziplinär, kritisch und unabhängig mit Fragestellungen zum Schutz der Privatheit auseinander. Das Projekt wird vom Fraunhofer ISI koordiniert. Weitere Partner sind das Fraunhofer SIT, die Universität Duisburg-Essen, das Wissenschaftliche Zentrum für Informationstechnik-Gestaltung (ITeG) der Universität Kassel, die Eberhard Karls Universität Tübingen, die Ludwig-Maximilians-Universität München sowie das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein. Das BMBF fördert das Forum Privatheit, um den öffentlichen Diskurs zu den Themen Privatheit und Datenschutz anzuregen.

Datenschutz-Grundverordnung: Innovative Regelungen, aber keine neue Ära des Datenschutzes

Expertengremium nimmt Stellung zum Geltungsbeginn der Datenschutz-Grundverordnung

Das wissenschaftliche Expertengremium „Forum Privatheit“ analysiert seit Jahren die Entstehung, die Inhalte und die Umsetzung der EU-Datenschutz-Grundverordnung. Zu deren Geltungsbeginn am 25. Mai 2018 fassen die Forscher ihre Erkenntnisse zusammen.


„Der wichtigste Effekt der Datenschutz-Grundverordnung (DSGVO) ist die enorme Aufmerksamkeit, die der Datenschutz derzeit genießt. Jeder Datenverarbeiter, vor allem wenn er den Datenschutz bisher ignoriert hat, nimmt ihn plötzlich zur Kenntnis und fragt entsetzt, was ihn betrifft und was er tun muss“, so „Forum Privatheit“-Sprecher Prof. Dr. Alexander Roßnagel, Rechtswissenschaftler der Universität Kassel. „Dieser DSGVO-Hype ist ein ideales Betätigungsfeld für alle kompetenten und inkompetenten Berater. Auf ihren Rat hin fordern viele große und kleine Datenverarbeiter von ihren Kunden, Mitgliedern und Geschäftspartnern Einwilligungserklärungen – auch wo dies völlig überflüssig und kontraproduktiv ist.“

Diese Aufregung hängt mit dem zusammen, was wirklich neu in der DSGVO ist. „Erstmals erhalten die Aufsichtsbehörden wirksame Aufsichts- und Sanktionsbefugnisse“, erklärt die Datenschutzbeauftragte von Schleswig-Holstein Marit Hansen, Mitglied im „Forum Privatheit“. „Sie können den Datenverarbeitern Anweisungen erteilen, wie sie datenschutzgerecht vorzugehen haben. Dies kann bis zu einem Verbot der Datenverarbeitung gehen. Bei einem Verstoß gegen Datenschutzvorgaben können sie Sanktionen verhängen, die je nach Schwere des Verstoßes bis zu 20 Millionen Euro oder bis zu 4 % des konzernweiten Vorjahresumsatzes reichen können.“

Für den Datenschutz bringt die DSGVO einige innovative Regelungen. Dies begrüßt der Wirtschaftsinformatiker Prof. Dr. Thomas Hess, Ludwig-Maximilians-Universität München und Mitglied im „Forum Privatheit“: „Hierzu gehört die Ausweitung des räumlichen Anwendungsbereichs. Neben EU-Firmen, gilt dieser von nun an auch für alle Datenverarbeiter weltweit, wenn sie – vereinfacht gesagt – personenbezogene Daten von Personen verarbeiten, die sich in der Union aufhalten. Damit wird Wettbewerbsgleichheit vor allem unter den Digitalkonzernen hergestellt, die ihre Dienste auf dem europäischen Markt anbieten.“ Neu sind auch einige Pflichten der Datenverarbeiter wie zur datenschutzgerechten Systemgestaltung und zu datenschutzfreundlichen Voreinstellungen, zur Datenschutz-Folgen­abschätzung sowie zu zusätzlichen Dokumentationen. Diese Pflichten gelten allerdings nur unter einigen Vorbehalten.

Die DSGVO stärkt auch die Rechte der betroffenen Person. „Es bleibt zwar überwiegend bei den bekannten Rechten – doch sind diese nun klarer ausgestaltet. Neu ist das Recht, in Plattformen selbst eingestellte Daten in andere Plattformen übertragen zu können. Neu ist auch das Recht auf Beschwerde bei den Aufsichtsbehörden und die Möglichkeit, die Betroffenenrechte durch einen Verband vertreten zu lassen“, so Prof. Dr. Jörn Lamla, Soziologe an der Universität Kassel und Mitglied im „Forum Privatheit“. „Dagegen ist am viel gepriesenen Recht auf Vergessen im Wesentlichen nur die Überschrift neu.“

Ansonsten enthält die DSGVO nicht viel Neues. Sie führt viele Regelungen der bisherigen Europäischen Datenschutzrichtlinie von 1995 fort. Da das deutsche Datenschutzrecht im Wesentlichen der Richtlinie entsprach, sind viele Regelungen der DSGVO mit den bisherigen Datenschutzrege­lungen vergleichbar. „Wer sich bisher datenschutzkonform verhielt und diese Praxis beibehält, ist gut aufgestellt“, so eine Kernbotschaft der Datenschutzbeauftragten Marit Hansen. „Allerdings wird eingebauter Datenschutz nicht von alleine Realität, wie die Vergangenheit gezeigt hat – wir alle müssen nun Hersteller und Dienstleister zur datenschutzfreundlichen Gestaltung ihrer Angebote drängen.“

Die DSGVO gilt als Verordnung unmittelbar. Sie bewirkt damit, dass sich in der gesamten Union und dem europäischen Wirtschaftsraum alle gleichermaßen an denselben Rechtstext halten müssen. Allerdings sind viele Regelungen so abstrakt, dass sie vielfach nach der jeweiligen Datenschutzkultur ausgelegt werden. Dadurch wird der Text in den einzelnen Mitgliedstaaten und eventuell sogar in verschiedenen Gerichtsbezirken jeweils unterschiedlich interpretiert werden. Bis dies in allen Details durch hochkomplexe Prozesse zur Vereinheitlichung der Datenschutzaufsicht und durch Urteile des EuGH geklärt ist, werden die abstrakten Vorschriften noch Jahre und Jahrzehnte für Rechtsunsicherheit sorgen.

Die DSGVO geht deutschem Recht vor, soweit dieses der Verordnung widerspricht. Allerdings enthält die DSGVO 70 Öffnungsklauseln, nach denen die Mitgliedstaaten eigenes und damit unterschiedliches Recht setzen oder beibehalten dürfen. „Aufgrund dieser Öffnungsklauseln gibt es klare Defizite bei der Vereinheitlichung des Datenschutzrechts in der Union “, erläutert Roßnagel. „Deutschland jedenfalls hat die Öffnungsklauseln bisher dafür benutzt, um das deutsche Datenschutzrecht in vollem Umfang beizubehalten. Änderungen hat es nur vorgenommen, um die Datenverarbeitung zu erleichtern und die Rechte der betroffenen Person gegenüber der DSGVO einzuschränken. Diese Ko-Regulierung des Datenschutzrechts durch die Europäische Union und die Mitgliedstaaten macht das Datenschutzrecht unübersichtlich und kompliziert. Im Ergebnis regelt die DSGVO tatsächlich nur den Bereich der privaten Wirtschaft, während der öffentliche Bereich weiterhin durch das deutsche Datenschutzrecht geprägt wird.“

„Unterentwickelt ist die DSGVO, soweit es um den Grundrechtsschutz gegenüber den neuen und zukünftigen Herausforderungen der technischen Entwicklung – wie etwa Big Data, künstliche Intelligenz, selbstlernende Systeme, Cloud Computing, Suchmaschinen, Netzwerkplattformen, Kontexterfassung, Internet der Dinge – geht. Sie hat keine der absehbaren Herausforderungen risikoadäquat geregelt. Dieses Manko muss baldmöglichst beseitigt werden“, so Dr. Michael Friedewald, Wissenschaftler am Fraunhofer-Institut für System- und Innovationsforschung ISI und „Forum Privatheit“-Koordinator.


Im Forum Privatheit setzen sich Expertinnen und Experten aus sieben wissenschaftlichen Institutionen interdisziplinär, kritisch und unabhängig mit Fragestellungen zum Schutz der Privatheit auseinander. Das Projekt wird vom Fraunhofer ISI koordiniert. Weitere Partner sind das Fraunhofer SIT, die Universität Duisburg-Essen, das Wissenschaftliche Zentrum für Informationstechnik-Gestaltung (ITeG) der Universität Kassel, die Eberhard Karls Universität Tübingen, die Ludwig-Maximilians-Universität München sowie das Unabhängige Landes­zentrum für Datenschutz Schleswig-Holstein. Das BMBF fördert das Forum Privatheit, um den öffentlichen Diskurs zu den Themen Privatheit und Datenschutz anzuregen. 

Sprecher „Forum Privatheit“:
Prof. Dr. Alexander Roßnagel
Universität Kassel
Projektgruppe verfassungsverträgliche Technikgestaltung (provet)
Wissenschaftliches Zentrum für Informationstechnik-Gestaltung (ITeG)
Tel: 0561/804-3130 oder 2874
E-Mail: a.rossnagel@uni-kassel.de

Projektkoordination „Forum Privatheit“:
Dr. Michael Friedewald
Fraunhofer-Institut für System- und Innovationsforschung ISI
Competence Center Neue Technologien
Tel.: 0721 6809-146
E-Mail: Michael.Friedewald@isi.fraunhofer.de 

Presse und Kommunikation „Forum Privatheit“:
Barbara Ferrarese, M.A.
Fraunhofer-Institut für System- und Innovationsforschung ISI
Tel.: 0721 6809-678
E-Mail: presse@forum-privatheit.de

Forum „Privatheit und selbstbestimmtes Leben in der digitalen Welt“
https://www.forum-privatheit.de/forum-privatheit-de/index.php
Twitter: @ForumPrivatheit

Im Omnibus in die neue Datenschutzwelt – Was folgt auf die Datenschutz-Grundverordnung?

Presseinformation Forum Privatheit
16. März 2018

Eine von CAST-Forum und Forum Privatheit organisierte Tagung am 15.3.2018 in Darmstadt mit Vertretern aus Politik, Wirtschaft, Wissenschaft und Aufsichtsbehörden zeigt auf, wohin sich der Datenschutz entwickeln wird, wenn ab 25. Mai 2018 die europäische Datenschutz-Grundverordnung gilt.

„Das künftige Datenschutzrecht wird nicht nur von der Datenschutz-Grundverordnung, sondern durch eine Ko-Regulierung der europäischen und deutschen Gesetzgeber geprägt“ sagt Prof. Dr. Alexander Roßnagel, Jurist an der Universität Kassel und Sprecher des Expertengremiums „Forum Privatheit“. „Die Mitgliedstaaten nutzen die 70 Öffnungsklauseln der DSGVO, um die bisherigen nationalen Datenschutzregelungen beizubehalten und nur sprachlich der DSGVO anzupassen.“ Das derzeit im Bund vorbereitete „Omnibus-Gesetz“, das vermutlich diesen Sommer in den Gesetzgebungsprozess eingebracht wird, sieht in über 140 Gesetzen mit Datenschutzregelungen meist nur formale Anpassungen an den Sprachgebrauch der DSGVO vor. Keines dieser Gesetze wird aber durch die DSGVO überflüssig oder gestrichen. Vielmehr bleiben alle bestehenden nationalen Gesetze erhalten, ohne Innovationsimpulse der DSGVO – wie z.B. Privacy-by-Design und Privacy-by-Default – zu konkretisieren. Zu einem ähnlichen Ergebnis kam auch der Landesbeauftragte für Datenschutz und Informationsfreiheit in Rheinland-Pfalz, Prof. Dr. Dieter Kugelmann, der von den Anpassungsbemühungen auf Länderebene berichtete. Auch dort werden sehr viele Gesetze angepasst, ohne dass ein einziges entfiele. Sein Fazit: Es wird weniger modernisiert, es bleibt eher bei einer Beibehaltung des Alten. Bernd Adams von T-Systems begrüßt grundsätzlich die Zielsetzung der Vereinheitlichung des Datenschutzes. Die Ausgestaltung bereite ihm allerdings Bauchschmerzen. „Haben wir ein EU-weit einheitliches Datenschutzrecht – oder haben wir 27 verschiedenen nationale Auslegungen?

Sein und Sollen

Prof. Dr. Johannes Caspar, der Hamburgische Beauftragte für Datenschutz und Informations­freiheit, sieht „kaum einen Bereich, in dem Sein und Sollen so weit auseinanderliegen wie bei im Datenschutz.“ Daher sieht er die wirkliche Innovation in der DSGVO in den Regelungen zum Vollzug. Erstmals würde die Vollzugsbehörden mit wirksamen Vollzugs- und Sanktionsinstrumenten ausgestattet. So haben die Aufsichtsbehörden nun auch die Möglichkeit, Bußgelder zu verhängen, die weh tun. Lagen sie noch beim BDSG bei max. 300.000 Euro, können nun bis zu 20.000.000 Mio. Euro verhängt werden – oder 4 % des jährlichen Umsatzes eines Unternehmens. „Früher war ein Verstoß gegen Datenschutzauflagen ein Kavaliersdelikt. Das ist künftig anders.“

Die DSGVO bringe für die Aufsichtsbehörden viele neue Aufgaben. Diese entspreche allerdings nicht ihrer personellen Ausstattung. In einem Gutachten zum notwendigen Personalbedarf der Aufsichtsbehörden habe Prof. Roßnagel festgestellt, dass aufgrund dieser neuen Aufgaben im Durchschnitt jede Landesdatenschutzbehörde um 20 Stellen aufgestockt werden müsste. Dies sei in den Ländern allerdings nicht erfolgt. „Die Aufsichtsbehörden sind eigentlich die Garanten des Rechtsvollzugs – werden aber damit allein gelassen.“

Für wichtig hielt Caspar auch die Regelungen, nach denen die Aufsichtsbehörden unionsweit koordiniert würden. Dabei kommt dem Europäischen Datenschutz-Ausschuss eine besondere Rolle zu. Mit ihm sei „Datenschutz keine Sache mehr des einzelnen Behördenleiters, der tapfer allein in die Sonne reitet.“ Die Themen könnten nur auf europäischer Ebene einheitlich entschieden und in der gesamten Union umgesetzt werden. Datenschutz sei nicht nur ein Garant für die Datenschutzrechte der Betroffenen in Europa, sondern auch für einen fairen Wettbewerb von Unternehmen im EU-Binnenmarkt. „Wir brauchen einen fairen Wettbewerb – und den bekommen wir nur über den europäischen Datenschutz-Ausschuss. Denn: Nichts ist so europäisch wie der Datenschutz.

Innovation und Datenschutz sind kein Gegensatz mehr

Einen hoffnungsvollen Ausblick gibt Dr. Michael Friedewald, Projektkoordinator des „Forum Privatheit“ vom Fraunhofer-Institut für System- und Innovationsforschung (ISI): „Wir befinden uns vor einer Zeitenwende. Hier kann der Datenschutz vom Umweltschutz lernen. Es hat hier auch eine Weile gedauert, bis sich gezeigt hat, dass Regulierungen in diesem Bereich nicht nur für die Gesellschaft nützlich sind, sondern, dass sie auch zu Innovationen und wirtschaftlicher Profitabilität führen.“

E-Privacy-Verordnung

Wie so etwas aussehen kann, zeigt die künftige E-Privacy-Verordnung. Sie regelt den Datenschutz für die elektronische Kommunikation nicht abstrakt und technikneutral wie die DSGVO, sondern bereichs- und risikobezogen. Auch wendet sie sich an die richtigen Adressaten, nämlich auch an Hersteller von IT und nicht nur an ihre Anwender. Die E-Privacy-Verordnung sollte ursprünglich mit der DSGVO am 25.5.2018 Geltung erlangen. Rolf Bender, Vertreter des Bundesministeriums für Wirtschaft und Energie, rechnet jedoch damit, dass die E-Privacy-Verordnung „nicht vor Ende 2018“ verabschiedet wird. Ihr Kernanliegen ist der Schutz der Vertraulichkeit der Kommunikation. Doch auch hier gibt es noch viele offene Fragen. Unklar ist zum Beispiel: Wann gilt die DSGVO und wann die E-Privacy-Verordnung? Als Innovations­hemmnis für Unternehmen sollte sich aber für Bender keine ihrer Regelungen erweisen. „Wir wollen ein hohes Datenschutzniveau – aber wir wollen auch, dass innovative Geschäftsmodelle nicht kaputt gemacht werden.“


Im vom BMBF geförderten Forum Privatheit setzen sich Expertinnen und Experten aus sieben wissenschaft­lichen Institutionen interdisziplinär mit Fragestellungen zum Schutz der Privatheit auseinander. Das Projekt wird vom Fraunhofer ISI koordiniert. Weitere Partner sind das Fraunhofer SIT, die Universität Duisburg-Essen, das Wissenschaftliche Zentrum für Informationstechnik-Gestaltung (ITeG) der Universität Kassel, die Eberhard Karls Universität Tübingen, die Ludwig-Maximilians-Universität München sowie das Unabhängige Landes­zentrum für Datenschutz Schleswig-Holstein.

 

Sprecher „Forum Privatheit“:
Prof. Dr. Alexander Roßnagel
Universität Kassel
Projektgruppe verfassungsverträgliche Technikgestaltung (provet) am
Wissenschaftlichen Zentrum für Informationstechnik-Gestaltung (ITeG)
Tel: 0561/804-3130 oder 2874
E-Mail: a.rossnagel@uni-kassel.de

Projektkoordination „Forum Privatheit“:
Dr. Michael Friedewald
Fraunhofer-Institut für System- und Innovationsforschung ISI
Competence Center Neue Technologien
Tel.: 0721 6809-146
E-Mail: Michael.Friedewald@isi.fraunhofer.de

Presse und Kommunikation „Forum Privatheit“:
Barbara Ferrarese, M.A.
Fraunhofer-Institut für System- und Innovationsforschung ISI
Tel.: 0721 6809-678
E-Mail: presse@forum-privatheit.de

Forum „Privatheit und selbstbestimmtes Leben in der digitalen Welt“
https://www.forum-privatheit.de/forum-privatheit-de/index.php
Twitter: @ForumPrivatheit

Rechtsexperten des Forschungsverbunds „Forum Privatheit“ sehen Chance für mehr Datenschutz und Rechtssicherheit

Die Mitgliedstaaten der Europäischen Union haben die Möglichkeit, durch die Nutzung von Öffnungsklauseln Versäumnisse und Schwachstellen der EU-Datenschutz-Grundverordnung auszugleichen. Dadurch können sie das Datenschutzniveau sowie die Rechtssicherheit im eigenen Land erhöhen und stärken. Rechtsexperten des Forschungsverbunds „Forum Privatheit“ diskutieren auf der internationalen Datenschutzkonferenz CPDP in Brüssel, wie dies gelingen kann.

Die Datenschutz-Grundverordnung der Europäischen Union (EU-DSGVO), die ab dem 25. Mai 2018 angewendet werden muss, stellt das Datenschutzrecht innerhalb der Europäischen Union auf eine neue Grundlage. Die Reform verfolgte drei große Ziele: eine unionsweite Vereinheitlichung, eine Wettbewerbsangleichung sowie eine Modernisierung des Datenschutzrechts.

„Doch die Datenschutz-Grundverordnung erreicht ihre selbstgesteckten Ziele nicht“, konstatiert der Rechtswissenschaftler Prof. Dr. Alexander Roßnagel, Sprecher des Forschungsverbunds „Forum Privatheit“. Sie sei „abstrakt und unterkomplex“ ausgefallen, denn sie wolle in nur 51 Artikeln dieselben Probleme lösen, für die in Deutschland bislang tausende bereichsspezifische Vorschriften bestehen. Zurückführen lässt sich dies ist auf den Entstehungsprozess der Verordnung: Die Europäische Kommission wollte mittels Durchführungsakten und delegierter Rechtsakte selbst über die konkretere Ausgestaltung des europäischen Datenschutzes entscheiden. Gegen diese Vorstellung stellten sich das EU-Parlament und die EU-Mitgliedstaaten. Letztere setzten am Ende durch, dass signifikanter Regelungsspielraum auf nationaler Ebene verbleibt. Etabliert wurde damit eine Ko-Regulierung zwischen der Europäischen Union und den Mitgliedstaaten.

Mitgliedstaaten sollten die Risiken moderner Datenverarbeitung konkret regeln

Mit Spannung wird nun erwartet, ob und wie die Mitgliedstaaten die ihnen zur Verfügung stehenden Regelungsspielräume nutzen werden. Deutschland und Österreich haben als erste Staaten bereits Gesetze zur Umsetzung der Verordnung verabschiedet. Die restlichen Mitgliedstaaten müssen bis zum Geltungsbeginn der Datenschutz-Grundverordnung nachziehen. „Wichtig ist dabei, dass die Mitgliedstaaten ihre Spielräume zu einer Erhöhung des Datenschutzniveaus auch nutzen“, empfiehlt der Jurist und „Forum Privatheit“-Mitglied Dr. Christian Geminn. „Hier hat sich Deutschland mit seinem neuen Bundesdatenschutzgesetz nicht gerade vorbildhaft verhalten.“ Zudem sollten Mitgliedstaaten durch klare und konkrete Vorgaben die Rechtssicherheit erhöhen und durch spezifische Regelungen der Abstraktheit der Verordnung entgegenwirken. Diese Regelungen sollten direkt und konkret die Risiken moderner Datenverarbeitung adressieren. „Das ist ganz zentral, um das Datenschutzrecht tatsächlich zukunftsfähig zu machen“, ergänzt Roßnagel. Aber auch die Europäische Kommission solle sich an der Weiterentwicklung des Datenschutzrechts beteiligen, in dem sie bereichs- und technikspezifischen Datenschutz regele, wie etwa in der eCall-Verordnung geschehen und im Entwurf der ePrivacy-Verordnung vorgesehen.

Veranstaltungshinweis: Am Mittwoch, den 24. Januar 2018, 14:15 Uhr, wird die nationale Implementierung der EU-Datenschutz-Grundverordnung Thema eines vom Forschungsverbund „Forum Privatheit“ organisierten Panels im Rahmen der Konferenz Computers, Privacy and Data Protection (CPDP): The Internet of Bodies sein: http://www.cpdpconferences.org

Downloads:

Ansprechpartner/innen:

Prof. Dr. Alexander Roßnagel
Sprecher „Forum Privatheit“
Universität Kassel
Leiter des Fachgebiets Öffentliches Recht mit Schwerpunkt Recht der Technik und des Umweltschutzes
Leiter der Projektgruppe verfassungsverträgliche Technikgestaltung (provet)
Wissenschaftliches Zentrum für Informationstechnik-Gestaltung (ITeG)
E-Mail: a.rossnagel@uni-kassel.de

Dr. Christian L. Geminn, Mag. iur.
Mitglied „Forum Privatheit“
Universität Kassel
Geschäftsführer der Projektgruppe verfassungsverträgliche Technikgestaltung (provet)
Wissenschaftliches Zentrum für Informationstechnik-Gestaltung (ITeG)
E-Mail: c.geminn@uni-kassel.de

Dr. Michael Friedewald
Projektkoordinator „Forum Privatheit“
Geschäftsfeldleiter Informations- und Kommunikationstechniken am Fraunhofer-Institut für System- und Innovationsforschung, Karlsruhe
E-Mail: michael.friedewald@isi.fraunhofer.de

Barbara Ferrarese, M.A.
Mitglied „Forum Privatheit“
Presse und Kommunikation „Forum Privatheit“
E-Mail: presse@forum-privatheit.de
Tel. +49 721 6809 – 678
https://www.forum-privatheit.de/forum-privatheit-de/index.php
Twitter: @ForumPrivatheit

 

Im vom BMBF geförderten Forum Privatheit setzen sich Expertinnen und Experten aus sieben wissenschaftlichen Institutionen interdisziplinär mit Fragestellungen zum Schutz der Privatheit auseinander. Das Projekt wird vom Fraunhofer ISI koordiniert. Weitere Partner sind das Fraunhofer SIT, die Universität Duisburg-Essen, das Wissenschaftliche Zentrum für Informationstechnik-Gestaltung (ITeG) der Universität Kassel, die Eberhard Karls Universität Tübingen, die Ludwig-Maximilians-Universität München sowie das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein.

 

Presseinformation: Neues Verfahren hilft Unternehmen bei Durchführung von Datenschutz-Folgenabschätzungen

Karlsruhe, Kiel 28.09.2017


Im Mai 2018 tritt die europäische Datenschutz-Grundverordnung in Kraft, die Unternehmen und Behörden in bestimmten Fällen Datenschutz-Folgenabschätzungen vorschreibt. Deren Ziel besteht in der Erfassung, Abschätzung und Eindämmung möglicher Risiken, die für Nutzerinnen und Nutzer durch Datenverarbeitung entstehen. Aktuell besteht jedoch eine große Unsicherheit, wie eine Folgenabschätzung konkret erfolgen muss – bei Unterlassung drohen empfindliche Geldstrafen. Ein neues Projekt unter Leitung des Fraunhofer ISI testet in diesem Kontext ein Verfahren, das bei der Durchführung von Folgenabschätzungen hilft und wird deren Ablauf detailliert in einem Handbuch beschreiben.


Die in bestimmten Fällen ab Mai 2018 verpflichtenden Datenschutz-Folgenabschätzungen sollen sicherstellen, dass persönliche Nutzerdaten keinem erhöhten Risiko unterliegen und auch neue Technologien und datenverarbeitende Anwendungen das Recht auf Datenschutz sowie andere Rechte und Freiheiten gewährleisten. Viele Unternehmen und Behörden haben bislang jedoch nur wenig Erfahrung bei der Durchführung einer solchen Risikoabschätzung und benötigen Unterstützung. Da Verstöße gegen die Pflicht zur Folgenabschätzung mit Geldbußen von bis zu 10 Mio. Euro beziehungsweise 2 Prozent des weltweiten Jahresumsatzes geahndet werden können, ist hier ein dringender Handlungsbedarf erforderlich.

Das im September 2017 gestartete, vom BMBF geförderten Projekt “Datenschutz-Folgenabschätzung für den betrieblichen und behördlichen Einsatz” nimmt sich diesem Bedarf an: Gemeinsam mit der Fachhochschule Kiel und dem FIZ Karlsruhe wird das Fraunhofer ISI ein bereits entwickeltes Verfahren zur Durchführung von Datenschutz-Folgenabschätzung testen, das sich sowohl in großen wie auch in kleinen Unternehmen und Behörden einsetzen lässt. Das Verfahren zielt nicht nur auf die Erfüllung der Pflicht einer Folgenabschätzung ab, sondern ermöglicht auch “Datenschutz durch Technikgestaltung”.

Die Durchführung einer Datenschutz-Folgenabschätzung ist laut Dr. Michael Friedewald, Leiter des Projekts am Fraunhofer ISI, in fünf Ablaufphasen gegliedert: “In der Vorbereitungsphase prüft ein Unternehmen oder eine Behörde, ob eine Folgenabschätzung erforderlich ist. Wenn ja, erfolgt in der Bewertungsphase zunächst eine Definition möglicher Risikoquellen und Betroffener. Die Bewertung der Risiken erfolgt dann anhand von sechs Schutzzielen (u.a. Nichtverkettbarkeit von Daten, Intervenierbarkeit, Vertraulichkeit). In einer Maßnahmenphase müssen dann aber auch Schutzmaßnahmen identifiziert, implementiert und ihre Wirksamkeit dokumentiert werden. In der Berichtsphase werden schließlich alle erfolgten Schritte schriftlich fixiert, die für eine unabhängige Überprüfung der Folgenabschätzung und die Information der Öffentlichkeit nötig sind.”

Um die Praxistauglichkeit des Verfahrens sicherzustellen, werden im Projekt ab Anfang 2018 Tests in Kooperation mit Unternehmen und Behörden gestartet. Im Sinne eines maximalen gesellschaftlichen Nutzens soll die Verfahrensmethodik anhand solcher Geräte und Bereiche überprüft werden, in denen mit sensiblen Daten gearbeitet wird, die verfassungsrechtlich problematisch sind oder die im Zuge des technischen Fortschrittes Konfliktpotenzial erwarten lassen. Dazu zählen etwa Wearables, also am Körper getragene Datenendgeräte wie Schrittzähler, die sensible Körperdaten erheben und besonderen Schutz erfordern. Ebenfalls trifft dies für den Bereich Open Public Data, also der freien Verfügbarkeit und Nutzbarkeit von durch öffentliche Stellen erhobenen Daten sowie dem Gesundheitsbereich zu, in dem die Verarbeitung sensibler Patientendaten zum Arbeitsalltag gehört. Ein weiterer Fokus liegt auf der Videoüberwachung, die in den letzten Jahren durch immer intelligentere Technik eine lückenlose Überwachung von Bürgerinnen und Bürgern möglich macht.

Das im Projekt entwickelte Verfahren zur Durchführung von Datenschutz-Folgenabschätzungen baut auf Erkenntnissen aus früheren Forschungsprojekten des Fraunhofer ISI sowie des Forschungsverbunds Forum Privatheit auf, in dessen Rahmen auch das White Paper “Datenschutz-Folgenabschätzung – Ein Werkzeug für einen besseren Datenschutz” entstanden ist. Das neue Verfahren wird ausführlich in einem Handbuch beschrieben, damit Unternehmen und Behörden die Durchführung einer Folgenabschätzung schrittweise selbst vornehmen können.

Weitere Informationen

Kontakt:

Michael Friedewald, Fraunhofer ISI, michael.friedewald@isi.fraunhofer.de, +49.721.6809-146