Jahresberichte

2018 wird es zu einer Neuausrichtung des Datenschutzrechts in Europa kommen: Ab dem 25. Mai wird die Datenschutz-Grundverordnung (DSGVO) in allen Mitgliedstaaten der Europäischen Union unmittelbar anwendbar sein. Mit ihr wird damit erstmals ein komplettes Rechtsgebiet für alle europäischen Mitgliedstaaten verbindlich und im Detail geregelt. Die Datenschutz-Grundverordnung will ein europaweit einheitliches hohes Datenschutzniveau schaffen und dieses auch durchsetzen. Dem bisherigen Datenschutzflickenteppich soll ein Ende bereitet werden. Wahrlich ein bahnbrechender Schritt, der uns da bevorsteht, und zugleich eine riesige Herausforderung. Denn mit der Datenschutz-Grundverordnung ändern sich die Stellung, Aufgaben und Befugnisse dieser Behörde grundlegend. Das Jahr 2017 stand dementsprechend auch deutlich im Zeichen dieser bevorstehenden Änderungen.

Die Vielfalt der Themen zeigt erneut, dass die Nutzung personenbezogener Daten inzwischen alle Bereiche unseres Lebens erfasst. Die schnell weiter voranschreitende Digitalisierung unseres Alltags sorgt für immer neue Fragestellungen und Herausforderungen sowohl im Datenschutz als auch in der Informationsfreiheit. Die Verarbeitung von Informationen ist zunehmend allgegenwärtig, weil diese inzwischen jederzeit und überall verfügbar sind. Fast alle Abläufe des täglichen Lebens können durch Digitalisierung unserer Alltagsumgebung, z. B. durch selbstfahrende Autos und Smart Home-Lösungen, komfortabler gestaltet werden. Allerdings kann doch nur ein Haus, das die Privatsphäre seiner Bewohner achtet und damit die Wahrung eines zentralen Grundrechts berücksichtigt, wirklich als smart bezeichnet werden.

2015 war ein Jahr der extremen Gegensätze für den Datenschutz wie für die Informationsfreiheit. Nach den Terroranschlägen im Januar in Paris entbrannte auch in Deutschland eine Diskussion darüber, ob die bestehenden Gesetze zur Bekämpfung des Terrorismus ausreichen. Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder sah sich genötigt, erneut darauf hinzuweisen, dass es in unserem Land "zu keiner Verschiebung zugunsten staatlicher Überwachung und zulasten freier und unbeobachteter Aktionen, Bewegung und Kommunikation der Bürgerinnen und Bürger kommen" darf.

Datenschutz ist weit mehr als Datensicherheit. Datenschutz soll dem einzelnen Menschen existenzielle Freiheitsräume sichern. Daran muss anderthalb Jahre nach dem Beginn der von Edward Snowden ausgelösten Veröffentlichungen über exzessive Überwachungspraktiken der Geheimdienste demokratischer Staaten erinnert werden. Einer der Schwerpunkte unserer Tätigkeit auch im vergangenen Jahr war die Frage, welche Konsequenzen aus dem anhaltenden NSA-Skandal gezogen werden müssen. Ein Teil dieser notwendigen Konsequenzen sind Maßnahmen der Datensicherheit.

Im November 2006 fand die Internationale Konferenz der Datenschutzbeauftragten in London unter dem Motto "Überwachungsgesellschaften" statt. Der britische Informationsbeauftragte Richard Thomas beschrieb aus diesem Anlass die Gefahr, dass nicht nur seine Landsleute sich "schlafwandelnd" auf dem Weg in eine Überwachungsgesellschaft befänden. Wie zutreffend diese Prognose war, ist spätestens mit den von Edward Snowden im Juni veranlassten Veröffentlichungen über die exzessiven Überwachungspraktiken der US-amerikanischen und britischen Geheimdienste offenkundig geworden.

Wer beim größten Internetbuchhändler Amazon das Angebot durchsucht oder Bücher bestellt, dessen Interessen werden dafür genutzt, um dem Käufer Vorschläge zu machen, was ihn noch interessieren könnte. Der eine mag das nützlich finden, während andere dies als aufdringlich ansehen. In den USA hat der kalifornische Gesetzgeber bereits im Sommer 2011 hierauf reagiert und ein Gesetz zum Schutz der Privatsphäre des Lesers (Reader Privacy Act) verabschiedet. Im Gegensatz zu den Vereinigten Staaten haben die Gesetzgeber in Deutschland und Europa seit jeher nicht versucht, auf technische Bedrohungen der informationellen Selbstbestimmung des Einzelnen punktuell mit speziellen Gesetzen zu reagieren, sondern sie haben in allgemeinen Datenschutzgesetzen der Verarbeitung personenbezogener Daten Grenzen gesetzt.

Jede Datenverarbeitung ist riskant. Dass die Risiken gerade bei der Verarbeitung personenbezogener Daten dramatisch zunehmen, wurde im zurückliegenden Jahr deutlicher als je zuvor. Wer das Internet nutzt, kann bequem Bücher bestellen, Reisen buchen und sich neuerdings auch zunehmend Behördengänge ersparen, wenn entsprechende E-Government-Dienste angeboten werden. In einer Zeit, in der große US-Unternehmen wie Google, Facebook, Apple und Amazon immer größere Sammlungen von Nutzerdaten anlegen, ohne bisher das europäische und deutsche Datenschutzrecht ausreichend zu berücksichtigen, steht der Datenschutz vor einer besonderen Herausforderung.

Datenschutz und Informationsfreiheit waren im zurückliegenden Jahr so häufig Gegenstand der öffentlichen Debatte wie seit der Volkszählung 1987 in der alten Bundesrepublik nicht mehr. Das war gut so und hatte mehrere Gründe, die sich mit den Stichworten Google Street View, Vorratsdatenspeicherung, unabhängige Datenschutzkontrolle und Wikileaks umschreiben lassen. Diese Diskussionen hatten naturgemäß auch Auswirkungen auf die Tätigkeit des Beauftragten für Datenschutz und Informationsfreiheit in Berlin. Die Debatte über den Online-Panoramadienst Google Street View setzte in der Bundeshauptstadt erst ein, lange nachdem die Fahrzeuge des US-Unternehmens ihre Aufnahmen gemacht hatten. Als Google auf Druck der zuständigen Hamburger Aufsichtsbehörde allen Menschen in Deutschland ein Recht zum Vorabwiderspruch gegen die Veröffentlichung ihrer Häuser und Wohnungen eingeräumt hatte, machten allein in den ersten zwanzig deutschen Städten, die man bundesweit virtuell besuchen konnte (darunter auch Berlin), rund 255.000 Personen von dieser Möglichkeit Gebrauch. Damit wurde erstmals ein Grundsatz zum Umgang mit Gebäudebild-Datenbanken praktisch umgesetzt, den die Internationale Arbeitsgruppe für Datenschutz in der Telekommunikation ("Berlin-Group") bereits 1999 formuliert hatte. Teilweise wurde die – europaweit geführte – Debatte über Google Street View als verfehlt bezeichnet. Das ist nur insofern zutreffend, als es bei Street View nicht um einen Eingriff in die Privatsphäre der Menschen geht. Datenschutz reicht aber über den Schutz der Privatsphäre hinaus. Er betrifft – in einer unglücklich verknappten Formulierung – den Schutz der Menschen bei der automatischen Verarbeitung personenbezogener Daten. Gerade darum geht es auch bei Google Street View: Ein Unternehmen wollte personenbezogene Daten in eine weltweit verfügbare Datenbank einstellen, ohne die Betroffenen in irgendeiner Weise zu beteiligen. Hinzu kam, dass Google erst auf Nachfrage der Aufsichtsbehörde einräumte, es seien von den Kamerawagen auch die Daten von privaten WLAN-Zugängen und – wie das Unternehmen angab – unabsichtlich auch Inhaltsdaten wie E-Mails oder Passwörter erfasst worden. Auch die bildliche Darstellung von Häusern und Mietwohnungen gibt Auskunft über die Verhältnisse ihrer Bewohner. Dabei handelt es sich zwar bisher nur um Standbilder, die schnell veralten. Aber schon jetzt können Häuser, Hinterhöfe und Gärten aus der Vogelperspektive ("bird’s view") und aus dem Weltall betrachtet werden, und bei Standbildern wird es nicht bleiben: Es ist nur eine Frage der Zeit, dass Live-Aufnahmen gemacht und veröffentlicht werden.

2009 hat der Datenschutz erheblich an Bedeutung gewonnen. Nachdem das ganze Ausmaß der massiven unzulässigen Überwachung von Beschäftigten und Außenstehenden bei der Deutschen Bahn bekannt geworden war, trat der Vorstandsvorsitzende des Unternehmens zurück. Nach Abschluss unserer Überprüfung dieser Vorgänge haben wir ein Bußgeld in Höhe von 1.123.503,50 Euro gegen das Unternehmen verhängt. Dies ist das höchste Bußgeld, das eine deutsche Aufsichtsbehörde für den Datenschutz bisher festgesetzt hat. Der neue Unternehmensvorstand hat nicht nur die Geldbuße akzeptiert und bezahlt, sondern darüber hinaus den Datenschutz zu einer seiner obersten Prioritäten erklärt. Der Datenschutz ist jetzt auf höchster Ebene in einem eigenen Vorstandsressort angesiedelt. Das Unternehmen hat sich zum Ziel gesetzt, nicht nur die vorgeschriebenen Maßnahmen gegen künftige datenschutzrechtliche Verstöße zu treffen, sondern darüber hinaus in Sachen Datenschutz eine Modellfunktion zu übernehmen. Wenn die Deutsche Bahn als wohl größter privater Arbeitgeber in Deutschland die Ankündigung wahrmacht, beim Schutz der Beschäftigtendaten neue, positive Maßstäbe zu setzen, so hätte dies Auswirkungen auf die gesamte Berliner und darüber hinaus auf die Wirtschaft und Verwaltung in ganz Deutschland. Diese Änderung der Unternehmenskultur ist die richtige Konsequenz aus einer beschämenden Praxis der Überwachung von Beschäftigten und Dritten in der Vergangenheit. Die Zahlung der hohen Geldbuße tritt daneben in den Hintergrund, ist aber ein wichtiges Signal. In Zukunft kann sich kein Unternehmensvorstand mehr leisten, den Datenschutz zu unterschätzen.

2008 bleibt als Jahr der Datenskandale in Erinnerung. Erstmals haben deutsche Aufsichtsbehörden Bußgelder in Rekordhöhe gegen Unternehmen verhängt, die ihre Arbeitnehmer exzessiv – teilweise mit nachrichtendienstlichen Methoden – überwacht haben. Gegen eine auch in Berlin vertretene Lebensmittelkette wurden Bußgelder in Höhe von insgesamt 1,3 Millionen Euro verhängt. Andere Formen der rechtswidrigen Ausspähung von Beschäftigten, Aufsichtsrats- und Betriebsratsmitgliedern, Gewerkschaftern und Journalisten harren noch der Aufklärung. Die unverhältnismäßigen Überwachungspraktiken bei der Deutschen Bahn AG wurden gegen Ende des Berichtszeitraums in Ansätzen bereits bekannt, werden aber noch von uns aufgearbeitet. Dieser Bericht enthält insoweit nur eine Zwischenbilanz.

Der spätere Friedensnobelpreisträger Al Gore hat 2006 den mit einem Oscar ausgezeichneten Film "An Inconvenient Truth" (Eine unbequeme Wahrheit) gedreht, der sich mit der globalen Erwärmung beschäftigt. Genauso wichtig wie unsere physikalische Umwelt ist mittlerweile unsere informationelle Umwelt, also all das, was wir an digitalen Spuren in Telekommunikationsnetzen, insbesondere im Internet, aber auch an biometrischen Spuren, z. B. bei Reisen, hinterlassen. Auch hier müssen wir uns mit unbequemen Wahrheiten auseinandersetzen: Gerade im zurückliegenden Jahr sind Entscheidungen getroffen worden, die dazu führen, dass massenhaft personenbezogene Daten von staatlichen und privaten Stellen verdachtsunabhängig gespeichert werden.