•  

Digitale Souveränität - Oder: Warum Privatheit der Anfang aller Freiheit ist

Mit dem Begriff der „Digitalen Souveränität“ wird die Möglichkeit eines Menschen bezeichnet, digitale Medien souverän, also selbstbestimmt zu nutzen. Die insbesondere politische Diskussion über die Bedingungen Digitaler Souveränität findet allerdings häufig verkürzt statt: Entweder fokussiert sie im Kontext der „digitalen Bildung“ auf die Fähigkeiten der Nutzer im Umgang mit digitalen Medien – die Kompetenz bei der Bedienung, die Kenntnis der Gefahren insbesondere bei der Nutzung sozialer Netzwerke und Foren oder die generelle Medienkompetenz – oder erhebt Forderungen beispielsweise hinsichtlich der wachsenden Dominanz internationaler Anbieter (Ruf nach „europäischen Champions“) oder der Frage der Priorisierung des Transports bestimmter Daten im Netz. Tatsächlich wird dabei allerdings ein zentraler Themenbereich entweder ausgespart oder nur am Rande berührt. Im Zusammenhang mit der Nutzung digitaler Medien fallen immer mehr personenbezogene und (vermeintlich) anonyme Nutzungsdaten an, durch die die Souveränität der Nutzer sukzessive untergraben wird. Die folgenden Überlegungen versuchen daher eine Definition der Voraussetzungen digitaler Souveränität aus der Perspektive des Datenschutzes – und formulieren zehn Anforderungen an digitale Dienste, die als Vorbedingung jeder digitalen Souveränität verstanden werden können.

Post Privacy Area

Die Äußerungen von Eric Schmidt als CEO von Google im Jahr 2009 – „If you are doing something you don‘t want other people to know, maybe you shouldn‘t be doing it in the first place.” – und Mark Zuckerberg, CEO von Facebook, im darauffolgenden Jahr – „Privacy is no longer a social norm“ – stießen in Deutschland eine zum Teil heftig geführte (Fach-) Diskussion über die Frage an, ob wir uns angesichts der immer umfassenderen Datenverarbeitung im Internet und der zunehmenden Digitalisierung nicht bereits in einer „Post Privacy Area“ befinden: Ist Datenschutz noch zeit-gemäß – oder eher ein Konzept von vorgestern?

Julia Schramm, damals im Vorstand der Piratenpartei, brachte diese Position 2011 auf den Punkt: „Privatsphäre ist so etwas von Eighties. Keine Macht den Datenschützern. Wir leben in einer vernetzten Welt, wo Privatsphäre durch das Internet nicht mehr möglich ist.“

Damit öffnete sie auch den politischen Diskurs – auf einmal war der Datenschutz keine heilige Kuh mehr, sondern durfte, wenn auch gegen Kritik aus einschlägigen Kreisen, aber doch mit nur noch wenig verhohlener Zustimmung beanstandet werden. Politiker fast aller Parteien gingen anschließend zur öffentlichen Datenschutz-Schelte über. So äußerte sich Dieter Wiefelspütz, damals innenpolitischer Sprecher der SPD, kurz darauf sehr unzweideutig: „Wir müssen schon aufpassen, dass die Menschen nicht aus Furcht vor Überwachung beginnen, sich anders zu verhalten. Aber die Gesetzgebung kann sich nicht ausschließlich an Neurotikern oder Paranoiden ausrichten.“

Und auch Kanzlerin Angela Merkel betonte bereits wiederholt (erstmalig 2015), dass dem Datenschutz klare Grenzen gesetzt werden müssen: „Datenschutz darf nicht die Oberhand über die wirtschaftliche Verarbeitung gewinnen.“

Ein Satz, der vielen IT-Unternehmen süß in den Ohren geklungen haben dürfte. Denn nun trauten sich auch Unternehmer mit Datenschutz-Kritik in die Öffentlichkeit – allen voran im Jahr 2015 Thorsten Dirks, CEO von Telefonica und damals im Vorstand des Bitkom, mit einer Äußerung, die seitdem Mantraartig von Politikern und Wirtschaftsvertretern vielfach aufgegriffen wurde: „In Zeiten, in denen nahezu alle Bereiche von Wirtschaft und Gesellschaft digitalisiert werden, muss das Konzept der Datensparsamkeit überdacht werden.“

Schließlich initiierte, als Reaktion auf die Veröffentlichungen Edward Snowdens, das Europäische Parlament den Beschluss einer europaweit gültigen Datenschutz-Grundverordnung – die am 25.05.2018 in Kraft trat, zwei Jahre nach Beschlussfassung und offenbar für viele Unternehmen völlig überraschend. Seitdem wird der Datenschutz als „bürokratische Bürde“ gegeißelt und dient, ermutigt durch die mediale Berichterstattung im vergangenen Jahr, gelegentlich auch als Vorwand für wirtschaftliche Probleme einzelner Unternehmen.
Ist der Datenschutz nun aber tatsächlich ein verstaubt-bürokratisches Konzept aus der Vergangenheit, das den Anforderungen der heutigen Informationstechnik schon längst nicht mehr gerecht wird? Und ist vielleicht sogar die Idee der Privatheit ein längst überholtes Verständnis?

Ein Blick zurück

Im Jahr 1977 wurde das Bundesdatenschutzgesetz verabschiedet. Es war das erste Datenschutz-gesetz weltweit, auch wenn die Idee der Privatheit viel älter ist (aber dazu später). Das deutsche Datenschutzrecht ist eine legislative Errungenschaft, auf die man zu Recht stolz sein darf. Das gilt sicher nicht für jede Leistung des Gesetzgebers – Deutschland ist auch für sein Steuerrecht bekannt, angeblich so umfangreich wie das der restlichen EU-Länder zusammen. Das Datenschutzrecht von 1977 war jedoch geradezu seherisch: Im Jahr des ersten programmierbaren Taschenrechners und vier Jahre vor dem IBM-PC, zu einer Zeit also, in der die „elektronische“ Datenverarbeitung bei weitem die Ausnahme und nicht die Regel war.

Relevant (und bundesweit bekannt) wurde der Datenschutz im Jahr 1983. Im Zusammenhang mit der Verabschiedung des Volkszählungsgesetzes „schwappte“ eine in der Bundesrepublik bis dahin einzigartige Protestwelle über Deutschland – gegen eine anonyme Haushaltsbefragung, in der u. a. die Zahl der Haushaltsmitglieder und Zimmer, genutzte Verkehrsmittel und Beruf abgefragt wurden. Hunderttausende zogen gegen die Volkszählung auf die Straße – und das Gesetz landete zur Prüfung vor dem Verfassungsgericht in Karlsruhe. Denn es hatte einen Konstruktionsfehler: Vor dem nummerierte Befragungsbogen gab es einen abtrennbaren „Mantelbogen“, auf dem (zur Vollständigkeitsprüfung) die Daten des Befragten Haushaltsmitglieds erhoben wurden. Bei der Auszählung war dieser Bogen abzulösen – allerdings trug er dieselbe Nummer wie die Befragungsbögen, sodass auch nach der Abtrennung des Mangelbogens über diese Nummer eine eindeutige Identifikation der Befragten möglich war.

Am 15.12.1983 erklärte das Bundesverfassungsgericht das Gesetz im so genannten „Volkszählungsurteil“ daher für verfassungswidrig – und postulierte, das war die eigentliche Sensation, die „Informationelle Selbstbestimmung“ als Grundrecht. Das Recht des Einzelnen, grundsätzlich selbst über die Verwendung seiner Daten zu bestimmen, leitete das Gericht aus dem allgemeinen Persönlichkeitsrecht (Art. 2 Grundgesetz) ab – dem Recht auf die freie Entfaltung der Persönlichkeit. Denn, so argumentiert das Gericht, „wer nicht mit hinreichender Sicherheit überschauen kann, welche ihn betreffende Informationen in bestimmten Bereichen seiner sozialen Umwelt bekannt sind, und wer das Wissen möglicher Kommunikationspartner nicht einigermaßen abzuschätzen vermag, kann in seiner Freiheit wesentlich gehemmt werden, aus eigener Selbstbestimmung zu planen oder zu entscheiden.“

Inzwischen hat der Datenschutz in der 2009 ratifizierten EU-Charta der Grundrechte sogar expliziten Grundrechtsstatus erhalten. In Artikel 8 sind die Kernprinzipien des Datenschutzes festgeschrieben:

(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.
(2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten.

Damit wird deutlich: Es geht überhaupt nicht um „Datenschutz“ – sondern um den Schutz der Persönlichkeit, des Grundrechts auf freie Entfaltung. Geschützt werden daher auch nicht Daten, sondern jede Information über persönliche Verhältnisse vor unberechtigter Nutzung, vulgo: Missbrauch. Tatsächlich leidet der Datenschutz seit seiner Begründung in Deutschland unter dieser Fehlbezeichnung. Immer wieder wurden (und werden immer noch) Datenschutz und Informationssicherheit in einen Topf geworfen. Zwar ist zur Erreichung von Datenschutz auch der Schutz von personenbezogenen Informationen vor Verfälschung und unberechtigter Kenntnisnahme erforderlich – das ist aber nur ein sehr kleiner Teil der Anforderungen, die das Datenschutzrecht an die Verarbeitung personenbezogener Informationen stellt.

Besonders delikat ist, dass dieses Grundverständnis des Datenschutzes eigentlich aus den USA stammt: Samuel Warren und Luis Brandeis begründeten bereits im Jahr 1890 in einem wegweisenden Aufsatz in den Harvard Law Review ein Recht auf Privatheit: „The right to be let alone, the right to privacy, is indeed the beginning of all freedom“ [1] – Privatheit als der Anfang aller Freiheit.

Die fünf Phasen des Internet

Die Verarbeitung personenbezogener Daten – „Erheben“, „Speichern“, „Nutzen“ – erfolgte bis in die 2000er Jahre selten ohne Papiereinsatz: Mindestens bei der Erhebung der Daten (so auch bei der Volkszählung 1983/1987) kamen Formulare zum Einsatz. Die Fehlerrate durch die Medienbrüche war hoch – aus dieser Erfahrung entstammt auch der gesetzliche Anspruch der Betroffenen auf „Korrektur“ fehlerhafter Daten. Zugleich aber waren die Medienbrüche und die dabei anfallende „Handarbeit“ operative Hemmnisse, die der Massenverarbeitung von Daten Grenzen setzten.

Das ist heute – in erster Linie Dank der Verbreitung des Internet – fundamental anders. Personenbezogene Daten werden meist gar nicht mehr „erhoben“, sondern fallen einfach an. Sie werden über automatisierte Prozesse verarbeitet, erzeugen dabei weitere personenbezogene Daten (wie z. B. Log-Einträge) und landen schließlich in Datenbanken, in denen sie wiederum automatisiert ausgewertet werden (können).

Aber der Reihe nach. Die Entwicklung von der „erhebenden Verarbeitung“ zum „automatisierten Verarbeitungsprozess“ lässt sich schön an der Entwicklung des Internet veranschaulichen. Tatsächlich können wir nämlich fünf Phasen unterscheiden, in denen die Verarbeitung personenbezogener Daten jeweils eine neue Dimension hinzugewonnen hat.

Phase 1: Das „Schaufenster“

Das Internet – genauer: das World Wide Web – war von seinem Schöpfer Tim Berners-Lee als Infrastruktur für die Publikation und den Austausch von strukturiertem, d. h. über „Links“ verknüpftem Wissen („Hypertext“) gedacht. In den frühen 90er Jahren fielen personenbezogene Daten daher auch praktisch nur in den Log-Files der Webserver an: IP-Adresse, genauer Zeitpunkt des Aufrufs, verwendetes Betriebssystem und genutzter Browser, besuchte Webseite und ggf. verweisende Seite waren alle Informationen, die (dezentral) vom Browser an den Server eines Seitenanbieters übermittelt wurden. Darüber entbrannte eine Diskussion der Datenschützer, ob es sich bei der IP-Adresse (und damit dem gesamten Log-Eintrag) um ein personenbezogenes Datum handelt (Stichwort „objektive“ bzw. „subjektive“ Beziehbarkeit: Genügt es, dass die IP-Adresse grundsätzlich eindeutig einer bestimmten natürlichen Person zugeordnet werden kann, oder muss das auch dem Webserverbetreiber möglich sein?), die schließlich höchstgerichtlich entschieden wurde: Sie ist ein personenbezogenes Datum.

Dennoch waren die Risiken für einen Betroffenen auch bei Missachtung der Löschpflichten durch den Betreiber in der Regel gering: Schlimmstenfalls stand zu befürchten, dass im Rahmen einer polizeilichen Ermittlung im Kontext eines Straftatbestands das Logfile eines Anbieters einen Hinweis auf den Nutzer des (rechtswidrigen) Angebots liefern würde.

Phase 2: Das Netz der Dienste

Dann entdeckten immer mehr Unternehmen, dass sich über das Internet auch „virtuelle Shops“ realisieren lassen. Anders als in „realen“ Geschäften ist hier allerdings ein anonymer Kauf in der Regel nicht möglich: Damit die Ware zugesandt werden kann, müssen Name und Anschrift angegeben werden. Und auch der Bezahlvorgang erfordert die Nutzung eines „digitalen“ Zahlungsmittels – der Kreditkartennummer, der Bankverbindung oder der Daten eines anderen Online-Zahlverfahrens.

Damit erhält der Anbieter (für ihn) höchst interessante Informationen: Er gewinnt nicht nur die gesamte Kaufhistorie, sondern kann diese Daten mit Besuchsdaten der Seite (welche Produkte hat sich der Käufer noch angesehen?) korrelieren und daraus Käuferprofile erstellen – und ihn sogar abhängig von seinem Kaufverhalten (reagiert der Kunde auf Rabattierungen?) z. B. über die Präsentation des Angebots (Produkte, die ihn auch interessieren könnten; Rabatte, die ihn zum Kauf bewegen) zu steuern versuchen.

Noch brisanter wurde es durch die Verwendung von Diensten wie Google Analytics, die von Webseitenanbietern zur Auswertung der Seitenzugriffe (Zahl der Zugriffe, Verweildauer, Ausstiegsseiten etc.) eingebunden wurden. Mit einem Marktanteil von zeitweise über 90% wurden via Google Analytics die Seitenzugriffe fast aller Webseiten (rechtswidrig) an einen Anbieter in einem Land ohne vergleichbares Datenschutzniveau übermittelt – der zudem den Suchmaschinenmarkt dominierte und daher wusste, wer wann nach welchen Stichworten sucht und auf welche Suchergebnisse klickt. Dass dadurch auch die National Security Agency der USA (NSA) vollen Zugriff auf nahezu die gesamte Internet-Nutzung erhielt, wissen wir spätestens seit den Veröffentlichungen von Edward Snowden.

Aber auch andere (Cloud-) Dienste – wie E-Mail-, Messenger-, Telefonie- oder Web-Meeting-Services – werden von ihren Nutzern mit personenbezogenen Informationen versorgt: Kontaktdaten, Verbindungsdaten der Kommunikation (wer, wann mit wem), manchmal auch Kommunikationsinhalte (E-Mail), die ebenfalls ausgewertet und für eine Profilbildung genutzt werden können.

Phase 3: Die „soziale“ Vernetzung

Mit MySpace begann um das Jahr 2003 die „soziale“ Vernetzung im Internet. StudiVZ und SchülerVZ, Google+, Xing, Facebook und andere folgten. Diese Dienste gehen noch deutlich über die Verarbeitung der für die Diensterbringung erforderlichen und bei der Diensterbringung verarbeiteten Daten hinaus: Sie motivieren die Teilnehmer, private Informationen (Lebenslauf, Fotos, Meinungen etc.) einzuspeichern und anderen Teilnehmern des Netzwerks zugänglich zu machen.

Zwar ist offensichtlich, dass die in das Netzwerk eingespeisten Daten auch dem Anbieter zugänglich sind. Weniger offensichtlich ist, dass vor allem die Netzwerkinformationen von hohem Wert sind: Wer ist mit wem vernetzt? Wer ist ein „Influencer“, wer ein „Follower“? Welches Gewicht hat die Meinung oder das „Verhalten“ eines bestimmten Teilnehmers auf andere Teilnehmer des Netzwerks? Damit gewinnt der Netzwerkbetreiber personenbezogene Informationen, die nicht einmal dem Betroffenen selbst bekannt sind (wie z.B. seine Position im „Influencer-Ranking“ des Anbieters).

Dass die in diesen Netzwerken veröffentlichten, vermeintlich harmlosen Informationen in der Kombination möglicherweise brisant werden können, zeigten die drei Amsterdamer Datenschutz-Aktivisten Boy Van Amstel, Frank Groeneveld und Barry Borsboom Anfang 2010 mit „pleaserobme.com“: Mittels einer automatisierten Auswertung von Twitter- und Foursquare-Nachrichten, in denen Benutzer ihre Abwesenheit von zu Hause dokumentieren, erzeugten sie eine automatische Liste der „all those empty homes out there“ (siehe auch das Youtube-Video von Loren Feldman: https://www.youtube.com/watch?v=zfZROP2ky4I ). Damit versahen sie zwei Social Networks ohne funktionierendes Geschäftsmodell mit einem äußerst lukrativen (auf öffentlichen Protest nahmen sie den Dienst wenig später vom Netz; aber natürlich funktioniert diese Art der Nutzung sozialer Netze auch weiterhin…).

Phase 4: Das Netz der Sensoren

Mit der Verbreitung von Smartphones und Tablets seit Mitte der 2000er Jahre wurde nicht nur die Nutzung des Internet mobil, sondern kam eine neue Kategorie von personenbezogenen Daten ins Spiel: Sensordaten. Jedes Smartphone ist mit einer Vielzahl von Sensoren ausgestattet. Datenschutzseitig kommt vor allem dem GPS-Sensor eine große Bedeutung zu, denn mit ihm kann ein Smartphone seine Position auf wenige cm bis m genau feststellen. So werden bei der Nutzung von Navigations-Apps neben der Position auch die Bewegungsgeschwindigkeit übertragen, um daraus Informationen beispielsweise über zähflüssigen Verkehr oder Staus abzuleiten. Den Gerätehersteller TomTom haben diese Daten vor einigen Jahren dazu verleitet, Stadtverwaltungen anzubieten, solche Straßenabschnitte zu melden, in denen besonders viele Geschwindigkeitsüberschreitungen stattfinden – um dort mobile Geschwindigkeitskontrollen zu installieren.

Aber auch die Bestimmung der Geräteneigung, der Beschleunigung (Sturz des Geräts), der Umgebungshelligkeit oder des Luftdrucks liefern Nutzerbezogene Daten – und vor allem natürlich die Kamera und das Mikrofon. Viele Apps, die auf diese Daten zu unterschiedlichen Zwecken zugreifen, übermitteln die Messwerte, Tonaufzeichnungen (z. B. bei Spracheingaben) und Bilder an zentrale Server, da die Hardware der Geräte meist nicht ausreicht, um z. B. rechenaufwändige Auswertungen wie eine Spracherkennung selbst durchzuführen. Häufig werden die Daten dabei anbieterseitig längerfristig gespeichert – wie bei der Spracherkennung z. B. komplette Sprachsequenzen, um ggf. durch nachträgliche (manuelle) Auswertung die Qualität des Dienstes zu verbessern. Steuerungsdienste wie Alexa, Siri oder Google Assistant werden damit (ungewollt?) zur Raumüberwachung – die Unverletzlichkeit der Wohnung (Art. 13 Grundgesetz) lässt grüßen.

Wer sein Smartphone darüber hinaus für die Protokollierung sportlicher Aktivitäten nutzt oder mit einer Sportuhr via Bluetooth koppelt, gibt dem App-Anbieter weitere Informationen preis – neben einem detaillierten Bewegungsprofil und der sportlichen Belastbarkeit ggf. sogar Gesundheitsdaten (Herzfrequenz).

Phase 5: „Alles drin“

Derweil bewegen wir uns auf Phase 5 des Internet zu. Mit der Einführung und Verbreitung von IPv6 stehen nun rund 10hoch38 IP-Adressen zur Verfügung – das reicht nicht nur für die knapp 10hoch9 Menschen, die auf der Erde leben, und alle ihre Geräte, sondern vermutlich auch, um jedem Sandkorn eine eigene Adresse zuzuweisen (aus etwa 10hoch50 Atomen besteht die Erde).

Zukünftig werden immer mehr Einzelgeräte und Objekte – Heizkörper, HiFi-Anlagen, Kopfhörer, Töpfe, Kaffeetassen, …) über eigene IP-Adressen verfügen und das Netz zum „Internet der Dinge“ machen. Der Begriff verschleiert allerdings, dass es sich hierbei überwiegend um Objekte mit eindeutig zugeordneten Besitzern oder Benutzern handelt – und deren Positions-, Bewegungs-, Status- und Sensordaten sich auf eine natürliche Person beziehen lassen; sie sind daher ebenfalls in der Regel personenbezogene Daten.

Und auch daraus lassen sich abgeleitete Informationen gewinnen: Dem „Smartmeter“ verrät der Stromverbrauch nicht nur, ob die Bewohner zu Hause sind, sondern auch, in welchen Räumen sie sich aufhalten, ob sie Kaffee kochen oder Essen zubereiten, von wann bis wann sie schlafen und wie oft sie in der Nacht die Toilette benutzen (Inkontinenz?). Das „SmartHome“ weiß noch mehr: Es kennt die Heizpräferenzen, weiß zumindest im Winter, wann die Bewohner planen, nach Hause kommen, erfährt, welche Jalousien wann geschlossen sind und welches Programm im Fernsehgerät oder Radio läuft.

Ähnliches gilt für die IT im Fahrzeug. Denken wir uns eine kurze Autofahrt mit dem Familienauto: Beim Einsteigen stellt die Auto-App die richtige Sitz- und Spiegelposition ein, wählt ein Stück aus der Lieblings-Playlist und startet die Audio-Anlage in der voreingestellten Lautstärke. Klimaanlage und Ventilator werden aktiviert, und die Bordelektronik weiß, in welchem Gang und mit welcher Geschwindigkeit wir starten (Blinker korrekt gesetzt?). Die Navigation weiß, zu welchem Zeitpunkt wir die nächste Ampel passieren (war sie noch gelb?), der Bordcomputer wann wir bremsen, hupen oder beschleunigen – und das Smartphone, was wir während der Fahrt erledigen (SMS geschickt? WhatsApp-Eingang gecheckt?), während die Sportuhr den plötzlichen Pulsanstieg registriert, wenn wir vom Smartphone aufblicken und die Fahrtrichtung ruckartig anpassen müssen.

Verknüpft liefern diese Daten ein vollumfängliches Bild unseres Lebens. Schon heute kann man mittels Big Data-Analysen „Anomalien“ im Käuferverhalten in Online-Shops identifi-zieren, wie z. B. Veränderungen der Preissensibilität von Kunden unmittelbar vor Weihnachten oder Ostern oder die Mindesthöhe von Rabattangeboten, mit denen Käufer zum Kauf animiert werden können – und eine dazu passende Preisgestaltung vornehmen.

Denken wir uns nun alle im Internet der Dinge anfallenden verhaltensbezogenen Daten in einer zentralen Datenbank, dann ließen sich auch hier problemlos Anomalien feststellen – und daraus möglicherweise ebenfalls (Wahrscheinlichkeits-)Aussagen über zukünftiges Verhalten ableiten. Wie weit sind wir da noch von einer Welt wie der im Film „Minority Report“ geschilderten entfernt?

Was tun?

Alle oben beschriebenen Datenerhebungen durch Apps oder die Internet-Nutzung erfolgen – jedenfalls in überwiegender Zahl – rechtskonform, meist auf der Grundlage einer Einwilligung, dem „Königsweg“ der vom Bundesverfassungsgericht 1983 postulierten Informationellen Selbstbestimmung. Aber wie viel Selbstbestimmung (oder Souveränität) ist da noch übrig, wenn sich ein durchschnittlicher Smartphone-Nutzer nicht nur kaum noch erinnern kann, wie viele Einwilligungserklärungen er in den vergangenen zwei Monaten abgegeben hat – geschweige denn dazu jedes Mal vorher die zugehörige Datenschutzerklärung gelesen hat?

Faktisch ist die Einwilligung daher und durch die Vielzahl an Verarbeitungen inzwischen zum „Datenschutz-Feigenblatt“ verkommen; sie rechtfertigt praktisch fast jede Verarbeitung, solange sie das Verfahren einigermaßen zutreffend beschreibt. Oft geraten Einwilligungen jedoch zu lang (ein Schelm, wer Böses dabei denkt) oder zu oberflächlich – letzteres zweifellos auch, weil die Verfasser keine Techniker sind und daher die konkrete Verarbeitung selbst nicht genau kennen oder verstehen. Aber selbst wenn Datenschutzerklärungen kurz, prägnant, verständlich, vollständig und korrekt sind – wenn sie nicht gelesen werden (und wer wäre bereit, wöchentlich eine Stunde oder mehr mit der skrupulösen Prüfung von Einwilligungserklärungen zu verbringen?), verhelfen sie dem Betroffenen nicht zu einer informierten und somit souveränen Entscheidung, ob er die Verarbeitung wünscht oder nicht.

Daher bleibt, gewissermaßen als „letzte Bastion“ des Datenschutzes, der Software-Entwickler. Denn schon in der Konzeption einer Lösung entscheidet sich oft, ob sie datenschutzfreundlich oder –feindlich gerät. Zehn Prinzipien sollten deshalb bei der Entwicklung von Anwendungen, die personenbezogene Daten verarbeiten, handlungsleitend sein. Davon sind die ersten fünf bereits – direkt oder indirekt – Teil der gesetzlichen Datenschutzanforderungen der DSGVO:

  • Privacy by Design: Datenschutzfragen sollten bereits bei der Konzeption eine zentrale Rolle spielen – so wenig personenbezogene Daten wie möglich, Verwendung von Pseudonymen und möglichst frühzeitige Löschung der Daten sind einige der Anforderungen, die von Anfang an berücksichtigt werden sollten.
  • Privacy by Default: Ist eine Anwendung hinsichtlich der Verarbeitung personenbezogener Daten konfigurierbar, sollte die Voreinstellung immer so datenschutzfreundlich wie möglich gewählt werden.
  • Zweckbegrenzung: Die Zulässigkeit der Verarbeitung personenbezogener Daten ist immer an einen konkreten Verarbeitungszweck gebunden. Die Anwendung sollte eine zweckfremde Nutzung der Daten nach Möglichkeit bereits ausschließen (frühe Löschung, Verschlüsselung, begrenzter Zugriff, …).
  • Transparenz: Die Betroffenen sind vor der Erhebung in einer Datenschutzerklärung über Art, Umfang und Zweck der Verarbeitung zu informieren. Diese Datenschutzerklärung sollte daher unter Beteiligung von Entwicklern oder Softwarearchitekten erstellt werden. Auch sollte für die Beantwortung von Auskunftsersuchen eine Funktion vorgesehen sein, die den Export oder Ausdruck der zu einer bestimmten natürlichen Person verarbeiteten Daten quasi „auf Knopfdruck“ ermöglicht.
  • Anonymität: Wo immer möglich sollte die Verarbeitung von personenbezogenen Daten durch die anonymer Daten ersetzt werden.
  • Sichere Software: Sicherheitsrelevante Fehler in Software sind das Einfallstor für Viren und Hacker – viele der in den vergangenen Jahren aufgedeckten Fehler ließen sich durch
  • Robustheit
  • Keine Hintertüren: Software und Hardware müssen frei von „Hintertüren“ für Dritte (Nachrichtendienste, Hersteller) sein – die Erfahrung zeigt, dass sie früher oder später entdeckt und missbraucht werden.
  • Löschung: Eine der großen praktischen Herausforderungen ist das Löschen von personenbezogenen Daten, wenn der Zweck der Verarbeitung erfüllt ist. Ist das nicht von Anfang an in einer Anwendung vorgesehen, kann das schwierig werden – funktioniert die Anwendung noch, wenn ausgewählte Daten gelöscht werden? Sind die Löschfristen konfigurierbar?
  • Dezentralität: Jede zentrale Verarbeitung personenbezogener Daten schafft einen besonders sensiblen Angriffspunkt. Daher sollten personenbezogene Daten, wo immer möglich, dezentral in den Endgeräten verarbeitet werden. Die Leistungsfähigkeit von Smartphones – Speicherumfang und Rechenleistung – wird weiter zunehmen; damit werden dezentrale Lösungen zukünftig auch einfacher zu realisieren sein.

Digitale Souveränität wird nur mit datenschutzfreundlichen Technologien zu erreichen sein. Wenn wir freie Entfaltung in einer immer „digitaleren“ Welt erhalten oder ermöglichen wollen, müssen wir Softwareentwickler in die Verantwortung nehmen. Denn Privatheit ist in der Tat der Anfang aller Freiheit.

Autor: Dirk Fox, Secorvo Security Consulting GmbH

https://www.secorvo.de/

Quelle: GAI Netconsult / Security Journal

https://www.gai-netconsult.de/index.php?id=securityjournal


Literatur
[1]    Samuel D. Warren, Luis D. Brandeis: The Right to Privacy. Harvard Law Review, Vol. IV (December 1890), No. 5.


Autor: Dirk Fox

Diesen Artikel empfehlen