Skip to main content

Policy Paper zur EU-Datenschutz-Grundverordnung: Datenschutz bleibt weitgehend Aufgabe der Mitgliedsstaaten

Am 4. Mai 2016 wurde die neue Europäische Datenschutz-Grundverordnung verkündet, die den Datenschutz in der EU stärken soll. Das vom Fraunhofer-Institut für System- und Innovationsforschung ISI koordinierte Forum Privatheit veröffentlicht zu diesem Anlass ein neues Policy Paper, das sich mit der Ausgestaltung der Grundverordnung befasst. Darin geben die Autoren eine Einschätzung ab, ob die zentralen Ziele einer Harmonisierung und Modernisierung des europäischen Datenschutzrechts sowie eine Wettbewerbsangleichung erreicht werden.

Mit der Europäischen Datenschutz-Grundverordnung ist bei Datenschützern, Aufsichtsbehörden und Bürgerinnen und Bürgern gleichermaßen die Hoffnung nach einer Stärkung des Datenschutzes in der EU verbunden. Insbesondere drei große Ziele sind an die Grundverordnung geknüpft: Diese soll zum einen zu einer Harmonisierung bzw. zu einheitlich geltenden Datenschutzregeln in Europa führen. Darüber hinaus soll mit ihr das Datenschutzrecht modernisiert und an neue technologische Entwicklungen angepasst werden. Ein drittes Ziel besteht in einer Wettbewerbsangleichung, also einer Stärkung des EU-Binnenmarkts durch vereinheitliche Datenschutz-Regelungen.

Im neuen Policy Paper “Die neue Datenschutz-Grundverordnung – Ist das Datenschutzrecht nun für heutige Herausforderungen gerüstet?” nehmen die Wissenschaftlerinnen und Wissenschaftler des Forum Privatheit zur Grundverordnung Stellung. In Bezug auf eine Vereinheitlichung der Datenschutz-Regelungen in Europa benennt Prof. Dr. Alexander Roßnagel, Mitautor des Policy Papers und Leiter des Fachgebiets Öffentliches Recht an der Universität Kassel, zwei hierfür hinderliche Aspekte: “Die Datenschutz-Grundverordnung beinhaltet 70 Öffnungsklauseln, die bei der Zulässigkeit der Datenverarbeitung – insbesondere im gesamten öffentlichen Bereich –, den Betroffenenrechten, Erlaubnistatbeständen, dem Beschäftigungsdatenschutz oder der Meinungs- und Informationsfreiheit Regelungen an die EU-Mitgliedsstaaten überträgt. Hinzu kommt, dass diese Regelungen sehr abstrakt bleiben und von den Mitgliedsstaaten auf Basis ihrer eigenen Rechtstradition ausgelegt werden.” Eine Harmonisierung des Datenschutzrechts wird so laut Roßnagel verhindert und stattdessen Rechtsunsicherheit geschaffen.

Ziel einer Wettbewerbsangleichung in Europa wird verfehlt

Ein zweites zentrales Ziel der Verordnung besteht in einer Stärkung des europäischen Binnenmarktes durch vereinheitliche Datenschutz-Regelungen. Das Policy Paper gelangt zu dem Schluss, dass auch dieses Vorhaben nicht erfüllt wird. Der Grund dafür liegt ebenfalls an möglichen unterschiedlichen Interpretationen der abstrakten Datenschutz-Regelungen durch die Mitgliedsstaaten. Allerdings kann ein Datenschutz-Ausschuss auf europäischer Ebene hier künftig eine bestimmte Auslegung der Grundverordnung festlegen – für Gerichte sind diese Beschlüsse aber nicht verbindlich, sondern sie stellen lediglich Empfehlungen dar.

Das dritte Ziel einer Modernisierung des Datenschutzrechts wird von der Grundverordnung teilweise erreicht. Einen zentralen Fortschritt sehen die Autoren des Policy Papers im “Marktortprinzip”: Demnach soll nicht mehr der Ort der Datenverarbeitung für die Anwendung des Datenschutzrechts entscheidend sein, sondern die Frage, ob Daten von sich in der EU aufhaltenden Personen verarbeitet werden. Außerdem sieht die Verordnung empfindliche Sanktionen bei Nichtbeachtung des Datenschutzes vor, die bis zu vier Prozent des globalen Jahresumsatzes von Unternehmen ausmachen können. Dr. Michael Friedewald, der das Forum Privatheit am Fraunhofer ISI koordiniert und ebenfalls am Policy Paper mitgewirkt hat, weist auf weitere Verbesserungen hin: “Zum Beispiel bieten Datenschutz-Folgenabschätzungen künftig die Möglichkeit, die vorwiegend durch datenverarbeitende Technologien entstehenden Risiken für den Datenschutz abzuschätzen und diese gering zu halten.”

Risikoneutralität ist ein Defizit der neuen Grundverordnung

Neben diesen positiven Aspekten weist das Policy Paper auch auf Schwachstellen hin, die einer Modernisierung des Datenschutzrechts im Wege stehen. So dürfen personenbezogene Daten weiterhin über Umwege erhoben werden. Zudem reicht in Zukunft ein berechtigtes Interesse eines Dritten – etwa eines Unternehmens – aus, um persönliche Daten zu verarbeiten. Das größte Manko der Verordnung ist aber ihre Risikoneutralität: Sie enthält keine einzige spezifische Regelung zu den großen Herausforderungen moderner Informationstechniken wie Big Data, Ubiquitous Computing, Cloud Computing oder vielen anderen Grundrechtrisiken. Auch beinhaltet die Grundverordnung Transparenzpflichten, diese sind jedoch durch Grundrechte, Geschäftsgeheimnisse oder Urheberrechte weitgehend eingeschränkt.

Angesichts der vielen Schwachstellen der Datenschutz-Grundverordnung fällt das Fazit im Policy Paper eindeutig aus: Eine Harmonisierung und Wettbewerbsangleichung des EU-Datenschutzrechts wird gar nicht, eine Modernisierung nur teilweise erreicht. Die Datenschutz-Regelungen der Mitgliedsstaaten haben zudem weiter Bestand. Insgesamt wurden damit viele Chancen zur Stärkung des Datenschutzes in der EU verpasst. Dennoch gibt es wie im Falle des “Marktortprinzips” auch Fortschritte. Bevor die Grundverordnung in den kommenden zwei Jahren allerdings in Kraft treten kann, sind die Mitgliedstaaten, Aufsichtsbehörden, Verbände, der Europäische Datenschutz-Ausschuss sowie der europäische Gesetzgeber gefragt, so schnell wie möglich ergänzende rechtssichere und risikoadäquate Regelungen zu treffen.


Im vom BMBF geförderten Forum Privatheit setzen sich nationale und internationale Experten interdisziplinär mit Fragestellungen zum Schutz der Privatheit auseinander. Das Projekt wird vom Fraunhofer ISI koordiniert, Partner sind das Fraunhofer SIT, die Universität Hohenheim, die Universität Kassel, die Eberhard Karls Universität Tübingen, das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein sowie die Ludwig-Maximilians-Universität München. Die Forschungsergebnisse des Forums Privatheit fließen dabei nicht nur in den wissenschaftlichen Diskurs ein, sondern sollen auch Bürgerinnen und Bürger über Fragen des Privatheitsschutzes informieren.

White Paper “Datenschutz-Folgenabschätzung”

Folgenabschätzungen als „Frühwarnsysteme“ für einen verbesserten Datenschutz

Ein neues White Paper des Forum Privatheit, das vom Fraunhofer-Institut für System- und Innovationsforschung ISI koordiniert wird, befasst sich mit der möglichen Ausgestaltung künftiger Datenschutz-Folgenabschätzungen (DSFA) und gibt Hilfestellungen zu deren praktischer Durchführung. Weil diese Instrumente mit Einführung der europäischen Datenschutz-Grundverordnung ab 2018 für Technologieanbieter und Systembetreiber verpflichtend werden, stellt das White Paper „Datenschutz-Folgenabschätzung – Ein Werkzeug für einen verbesserten Datenschutz“ bereits jetzt erste grundlegende Informationen zu dieser Neuerung bereit. Die Folgenabschätzungen sollen Technikanbietern, Datenschutz-Aufsichtsbehörden sowie der Öffentlichkeit helfen, die vorwiegend durch datenverarbeitende Technologien entstehenden Risiken für den Datenschutz wirksam abzuschätzen und diese von vornherein so gering wie möglich zu halten.

Bei der Nutzung vieler Dienste und Angebote im Internet wie etwa beim Online-Shopping, in sozialen Netzwerken oder selbst auf den Webseiten staatlicher Behörden werden häufig personenbezogene Daten gesammelt. Nutzerinnen und Nutzer können sich dieser Praxis bislang nur entziehen, wenn sie bestimmte Angebote ausdrücklich nicht nutzen – oder sich mit der Datensammlung einverstanden zeigen. Die dadurch entstehenden Risiken sind in der Öffentlichkeit bislang nur wenig bekannt, obwohl Medien immer wieder über Datenmissbrauch oder Datenpannen berichten.

Um künftig die Gefahren durch Datenverarbeitungspraktiken besser beurteilen zu können, müssen viele Technikanbieter und Systembetreiber ab 2018 bei ihren Angeboten und Diensten Datenschutz-Folgenabschätzungen vornehmen. Bisher ist jedoch offen, wie und nach welchen Kriterien dies genau erfolgen soll. Das White Paper „Datenschutz-Folgenabschätzung – Ein Werkzeug für einen verbesserten Datenschutz“ des Forum Privatheit setzt hier an und erarbeitet erste Grundzüge zur Ausgestaltung künftiger Datenschutz-Folgenabschätzungen und deren praktischer Durchführung. Die Auseinandersetzung hiermit ist auch deshalb wichtig, da die EU-Mitgliedsstaaten nach der Verabschiedung der Datenschutz-Grundverordnung im Jahr 2016  unmittelbar damit beginnen werden, diese bis 2018 in die Praxis umzusetzen.

Dr. Michael Friedewald, der am Fraunhofer ISI zur Auswirkung von neuen Technologien auf Datenschutz und Privatheit forscht und einer der Mitautoren des White Papers ist, hebt die große Bedeutung der Folgeabschätzungen hervor: “Datenschutz-Folgenabschätzungen ermöglichen nicht nur eine bessere Einschätzung der Risiken durch bestehende datenverarbeitende Technologien, sondern sie weisen auch frühzeitig und während des Entwicklungsstadiums als eine Art ‘Frühwarnsystem’ auf eventuelle negative Konsequenzen für den Datenschutz hin. Bestehende Datenschutz-Mängel lassen sich damit rechtzeitig erkennen und noch während der Technologieentwicklung korrigieren. Der Datenschutz wird damit im Sinne des ‘Privacy by Design’ bei der Einführung neuer Geräte oder Anwendungen von vornherein besser integriert”.

Die künftig gesetzlich vorgeschriebenen Datenschutz-Folgenabschätzungen bringen für ganz unterschiedliche Zielgruppen Vorteile mit sich: So könnten Technikanbieter und Systembetreiber die Technologieentwicklung besser steuern und sich spätere Nachbesserungen beim Datenschutzes sparen. Durch die Vermeidung von Datenpannen erübrigen sich zudem Kosten für deren Behebung, mögliche Schadenersatzansprüche und Imageschäden in der Öffentlichkeit. Davon profitieren auch die Bürgerinnen und Bürger, die in Zukunft auf Basis der Folgenabschätzungen einfacher entscheiden können, welche Online-Angebote sie nutzen wollen oder nicht. Über Zertifikate wäre es zum Beispiel schnell überprüfbar, ob Anbieter oder Betreiber Betroffenenrechte berücksichtigt haben – und die Unternehmen könnten hierdurch ihren Willen zur Achtung dieser Rechte zum Ausdruck bringen.

Neben den Technologieanbietern und Nutzern wären die Datenschutz-Folgeabschätzungen vor allem für Aufsichtsbehörden hilfreich. Die Durchführung standardisierter Folgenabschätzungen hat für Aufsichtsbehörden etwa den Vorteil, dass sie ihre Aufsichtspflicht in Zukunft besser wahrnehmen und mögliche Schwächen beim Datenschutz oder Rechtsverstöße schneller erkennen können. Zudem wären sie für Technologieanbieter und Systembetreiber eine geeignete Anlaufstelle, um Hilfestellungen zur Verbesserung von Produkten oder ihrer gesamten Datenverarbeitungspraxis zu bekommen.

Damit Datenschutz-Folgenabschätzungen in Zukunft ihr Potenzial gänzlich entfalten können, sollten sie mehrfach – und nicht nur einmal, etwa zu Beginn eines Produktlebenszyklus – durchgeführt werden. Damit ließe sich die gängige Sammelpraxis insgesamt verändern und Unternehmen für die stärkere Achtung von Bürgerrechten sensibilisieren, die sie häufig nicht im Detail kennen. “Steuerungsdilemmata” und verspätete Nachbesserungen zur Stärkung des Datenschutzes am Ende der Entwicklungsphase würden damit obsolet, was allen betroffenen Seiten zugutekäme.

Spionage im Wohnzimmer

In der Ausgabe 1/2016 berichtet das Fraunhofer Magazin “weiter.vorn” über das Forum Privatheit und das Whitepaper “Das versteckte Internet“.

My home is my castle: Die eigenen vier Wände sind der Inbegriff von Privatheit und geschütztem Raum.Doch Smart-TVs, »intelligente« Haushaltsgeräte und Wearables sind mit dem Internet verbunden und senden unsere Daten in die Welt — oftmals ohne unser Wissen.

Hier weiterlesen...

“Privatheit und Datenflut in der neuen Arbeitswelt”

Das Forum Privatheit und selbstbestimmtes Leben in der Digitalen Welt veröffentlicht ein White Paper zum Thema “Privatheit und Datenflut in der neuen Arbeitswelt – Chancen und Risiken einer erhöhten Transparenz“.

Trotz bestehender Forschung zum Thema Privatheit wurde der Unternehmenskontext als relevantes Forschungsgebiet bisher weitestgehend vernachlässigt. Bis zum jetzigen Zeitpunkt besteht insgesamt noch wenig Wissen über die konkreten Auswirkungen der Digitalisierung auf die Arbeitswelt – und in diesem Zusammenhang speziell auf den Faktor Privatheit. Daher setzt sich dieses Forschungsprojekt zum Ziel, die Auswirkungen digitaler Technologien auf die Privatheit von Arbeitnehmern greifbarer zu machen sowie die sich daraus ergebenden Chancen und Risiken zu identifizieren und entsprechende Gestaltungsvorschläge zu präsentieren.

Das vorliegende White Paper stellt den Versuch dar, erstmals die gesellschaftliche Kontroverse um Fragen der Privatheit und des Datenschutzes in der neuen Arbeitswelt ausschnittartig widerzugeben. Zu diesem Zweck stellt das Forum Privatheit den an der Kontroverse beteiligten Gruppen eine Plattform zur Verfügung, um verschiedene Argumente und Ansichten zum Themenfeld einzubringen. Es soll jedoch angemerkt sein, dass die Beiträge nicht die Sicht des Forums Privatheit widerspiegeln. Die vorliegende Ausarbeitung kann die Debatte zum Thema Privatheit in der neuen Arbeitswelt nicht final abschließen. Vielmehr soll sie diese eröffnen und einen Einblick in die neu entstehenden wissenschaftlichen Fragestellungen geben. Die Expertenmeinungen eignen sich somit als Grundlage für künftige Forschungsvorhaben.

Smart-TV und Privatheit

Das Forum Privatheit und selbstbestimmtes Leben in der Digitalen Welt veröffentlicht ein Forschungsbericht zum Thema “Smart-TV und Privatheit – Bedrohungspotenziale und Handlungschancen“.

Moderne Fernsehgeräte, so genannte Smart-TVs, können eine Vielzahl von Funktionen bieten, die bisher nur von herkömmlichen Computersystemen bekannt waren. Dies sind zum Beispiel die Nutzung von IP-Telefonie, das Abspielen von Videos oder auch das Surfen im Internet. Diese neuartigen Vernetzungsmöglichkeiten versprechen den Nutzenden zahlreiche Vorteile, bergen zugleich jedoch auch neue Gefahren für den Datenschutz und die Privatheit. Neue, innovative Konzepte und Technologien sind unumgänglich, um Nutzende, Unternehmen, aber auch Dritte, vor Missbrauch, Schadprogrammen und anderen Gefahren im Umgang mit Smart-TV zu schützen. 

Der vorliegende Beitrag richtet sich vor allem an juristische Berater und technische Entwickler. Hierbei wird ein Überblick über die Chancen und wachsenden Möglichkeiten im Bereich Smart-TV gegeben; die damit verbundenen Risiken für die Persönlichkeitsrechte der Nutzenden werden herausgearbeitet. Nach einer Übersicht über den technischen Hintergrund von Smart-TV werden die beteiligten Akteure und Komponenten erläutert. Anschließend werden verschiedene Angreifermodelle und mögliche Angriffsvektoren erörtert. Im Rahmen der grund- und datenschutzrechtlichen Rahmenbedingungen werden Bedrohungsszenarien abgeleitet, die sich für die informationelle Selbstbestimmung der Nutzenden ergeben; außerdem wird die datenschutzrechtliche Zulässigkeit der Datenverarbeitungsvorgänge im Rahmen der Smart-TV-Nutzung geprüft. Anhand des herausgearbeiteten Befundes zeigen die Autorinnen und Autoren schließlich exemplarisch Methoden und Schutzmaßnahmen auf, wie bestehende Smart-TV-Systeme sowohl technisch optimiert als auch rechtlich zulässig gestaltet werden können. Dies erfolgt anhand des „Privacy by Design“-Ansatzes und im Lichte der ausgewählten Datenschutz-Gewährleistungsziele der Nichtverkettbarkeit, der Transparenz und der Intervenierbarkeit.

Vortrag “Datenschutz-Folgenabschätzung” (7/4/2016)

Beim 5. Speyerer Forum zur digitalen Lebenswelt am  7/8. April 2016 in Speyer referiere ich zum Thema Datenschutzfolgenabschätzung (DSFA):

  • Datenschutzfolgenabschätzung und Risikoansatz in der EU-DS-GVO
  • Elemente eines Prozesses für die Datenschutzfolgenabschätzung
  • Datenschutzfolgenabschätzung und Standard-Datenschutzmodell

Zum Thema DSFA wird das Forum Privatheit und selbstbestimmtes Leben in der digitalen Welt in Kürze auch ein White Paper veröffentlichen.

Gibt es in einer digitalen Welt ein Recht auf Offline-Alternativen?

Workshop im Rahmen der CPDP 2016, Computers, Privacy & Data Protection

Zeit: Donnerstag, 28. Januar 2016, 14.00 Uhr

Ort: Brüssel, Belgien

Ob Auto, Kühlschrank oder Fernseher – wir leben in einer zunehmend digitalisierten und vernetzten Welt, die das Sammeln personenbezogener Daten mit sich bringt. Gibt es oder sollte es ein Recht darauf geben, offline zu bleiben?

Im Rahmen der neunten internationalen CPDP-Konferenz in Brüssel, vom 27. Januar bis 29. Januar, organisiert Forum Privatheit, unterstützt durch das Fraunhofer-Institut für System- und Innovationsforschung ISI, einen Workshop zu Fragen nach dem Recht auf Offline-Alternativen in einer digitalen Welt. Diskutiert werden Vorteile und Problemen eines solchen Rechts sowie mögliche technologische Probleme und Lösungen.

Unter Vorsitz von Brent Mittelstadt, Oxford Internet Institute (UK) und Moderation von Tobias Matzner, University of Tübingen (DE), diskutieren Ero Balsa, KU Leuven (BE), Katleen Gabriels, VUB (BE), Hille Koskela, University of Turku (FI), Carsten Ochs, University of Kassel (DE).

Alle Informationen zum Programm und zur Anmeldung finden Sie unter http://www.cpdpconferences.org/28012016/cave.html.

Vortrag: Datenschutz-Folgenabschätzung (25/1/2016)

Beim GDD-Winter-Workshop im Januar 2016 in Garmisch-Partenkirchen referiere ich zum Thema Datenschutzfolgenabschätzung (DSFA):

  • Datenschutzfolgenabschätzung und Risikoansatz in der EU-DS-GVO
  • Elemente eines Prozesses für die Datenschutzfolgenabschätzung
  • Datenschutzfolgenabschätzung und Standard-Datenschutzmodell

Zum Thema DSFA wird das Forum Privatheit und selbstbestimmtes Leben in der digitalen Welt in Kürze auch ein White Paper veröffentlichen.