Rechtlicher Schutz der Privatsphäre einer Person im Hinblick auf automatisierte und computerisierte Zugriffe auf die eigenen personenbezogenen Daten durch unbefugte Dritte. Die Grundlage für den Datenschutz in Deutschland bildet die europäische Datenschutz-Grundverordnung (DSGVO).

Dieser Artikel verweist auf folgende weitere Beiträge:

Echokammer (Medienwissenschaft), Filterblase (Medienwissenschaft), Homophilie (Medienwissenschaft), Informationelle Selbstbestimmung (Rechtswissenschaft), Netzwerk (Medienwissenschaft), Personenbezogene Daten (Rechtswissenschaft)

Was bezeichnet dieser Begriff?

Datenschutz ist eigentlich ein irreführender Begriff. Anders als beispielsweise beim Strahlenschutz soll der Mensch nicht vor Daten geschützt werden, sondern die Daten selbst sollen vor dem Zugriff durch andere Menschen, Unternehmen oder dem Staat abgeschirmt werden. Dabei ist dieser Schutz kein Selbstzweck, vielmehr soll die Privatsphäre des Menschen im Hinblick auf eine zunehmend automatisierte und computerisierte Welt vor unberechtigten Zugriffen von außen geschützt werden.^[1]

In Gesetzen wird der Begriff 'Datenschutz' nicht definiert. Die Idee eines rechtlichen Schutzes vor dem Zugriff auf personenbezogene Daten fußt auf mehreren Grundlagen: Die Verfassung schützt das Recht auf informationelle Selbstbestimmung, wonach jeder Mensch das Recht hat, über die Preisgabe und Verwendung der seine Person betreffenden Daten zu bestimmen.^[2] Das Recht auf informationelle Selbstbestimmung wird dabei aus dem verfassungsrechtlich garantierten Allgemeinen Persönlichkeitsrecht gem. Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG abgeleitet, welches wiederum die Privat- und Intimsphäre schützt.^[3] Auf europäischer Ebene sieht die EU-Grundrechte-Charta in Art. 8^[4] dagegen ein Recht auf den Schutz personenbezogener Daten vor.

Der Begriff Daten, beziehungsweise Datum in der Einzahl, hat im juristischen Kontext eine eigene Bedeutung. Die juristische Verwendung unterscheidet sich dabei auch deutlich von dem Verständnis in der Informatik, wo unter dem Begriff 'Daten' ein repräsentatives Zeichen oder ein Signal verstanden wird.^[5] Der juristische Datenbegriff ist sehr weit zu verstehen. Er beschränkt sich nicht nur auf Angaben wie Telefonnummer, Anschrift oder die IP-Adresse, die man ohne weiteres mit Datenschutz in Verbindung bringt. Ein Datum ist jede Information, jedes Wissen über einen bestimmten personenbezogenen Sachverhalt, sei diese Information auch für sich genommen belanglos.^[6]

Datenschutz betrifft insofern den rechtlichen Schutz von personenbezogenen Informationen. Die diesen Schutz bezweckenden Gesetze richten sich nach der Art der Information/der Daten, die sie schützen sollen. Personenbezogene Daten, das heißt Informationen über eine Person, müssen anders geschützt werden als beispielsweise Daten von Behörden. Wenn im Alltagsverständnis von Datenschutz gesprochen wird, ist jedoch meist der Schutz personenbezogener Daten gemeint.

Woher kommt der Begriff?

Datenschutz ist ein recht junges Phänomen: Erst 1970 wurde in Hessen das erste Datenschutzgesetz der Welt erlassen, welches auch den 'Datenschutz'-Begriff prägte.^[7] In diesem Gesetz verstand man Datenschutz noch als bloße Datensicherung.^[8] Es ging darum, dass die bei den hessischen Behörden erfassten Daten technisch so gespeichert werden sollten, dass sie nicht von Unbefugten eingesehen, verändert, abgerufen oder vernichtet werden können (§ 2 HDSG).^[9] Die Regelungen beschränkten sich auf den Schutz der Daten vor Missbrauch, den die hessischen Behörden durch technisch-organisatorische Maßnahmen einhalten sollten^[10], was die irreführende Verwendung des Begriffs 'Datenschutz' erklärt.

Dieses Verständnis änderte sich spätestens mit dem Volkszählungsurteil des Bundesverfassungsgerichts (BVerfG) aus dem Jahr 1983, welches das oben erwähnte verfassungsrechtliche Recht auf informationelle Selbstbestimmung erstmals formte.^[11] Bemerkenswert daran war, dass das BVerfG sich zwar mit der Frage auseinandersetzen musste, ob das damalige Volkszählungsgesetz rechtmäßig war, aber sich darüber hinaus umfassend und allgemein mit der Verfassungsmäßigkeit der Verarbeitung personenbezogener Daten auseinandersetzte.^[12] Grund dafür war, dass aufgrund der zunehmenden Automatisierung eine Furcht vor übermäßiger Überwachung in der Bevölkerung herrschte, sodass das Volkszählungsgesetz letztlich nur Auslöser für Proteste war.^[13] Nach dem Urteil des BVerfG lag der Fokus beim Datenschutz nun darauf, Daten zu schützen, damit die einzelne Person Kontrolle über die Darstellung der eigenen Persönlichkeit erhält und sie aufgrund dieser Kontrolle ihre Persönlichkeit frei entfalten kann.^[14] Mit dem Urteil legte das BVerfG den Grundstein für den rechtlichen Schutz von Daten in Deutschland. Es führte dazu, dass die zwischenzeitlich erlassenen Landesdatenschutzgesetze und das Bundesdatenschutzgesetz (BDSG) reformiert werden mussten.^[15]

Besondere öffentliche Aufmerksamkeit erlangte das Thema Datenschutz, als 2018 die europäische Datenschutzgrundverordnung (DSGVO) Wirkung entfaltete. Durch die mediale Berichterstattung und im Hinblick auf die Möglichkeit, erhebliche Bußgelder bei Verstößen zu erheben, führte die DSGVO zu einer großen Verunsicherung bei kleineren Unternehmen und Vereinen, die befürchteten, die Schutzstandards der DSGVO nicht erfüllen zu können.^[16] Nichtsdestotrotz ist es der EU damit gelungen, einen einheitlichen europäischen Rechtsrahmen für den Datenschutz abzustecken. Dieser entfaltet sogar faktisch weltweite Wirkung, da selbst nichteuropäische Unternehmen sich an die DSGVO halten müssen, sobald sie Daten europäischer Bürger_innen verarbeiten.^[17] Aufgrund dessen hatte die DSGVO auch Einfluss auf die Datenschutzgesetze anderer Länder.^[18]

Die DSGVO ist in der EU die wichtigste und umfangreichste Regelung, die den Datenschutz für personenbezogene Daten in den Fokus stellt.^[19] Art. 5 DSGVO legt dabei die wichtigsten Grundsätze der Datenverarbeitung fest: So sollen solche Daten auf rechtmäßige und transparente Weise verarbeitet werden. Was rechtmäßig ist und was nicht, legt die DSGVO wiederum selbst fest.^[20] Daten sollen auch zu einem vor der Erhebung der Daten festgelegten Zweck erhoben werden ('Zweckbindung'). Außerdem ergibt sich aus der DSGVO ein Löschungs- bzw. Korrekturanspruch bei inhaltlich falscher Speicherung von Daten. Zudem sollen so wenig Daten wie möglich erhoben werden ('Datenminimierung') und sie sollen auch nur solange gespeichert werden, wie zur konkreten Zweckerreichung nötig. Überdies sollen die Daten technisch geschützt werden, also zum Beispiel vor Hackerangriffen oder vor versehentlicher Löschung bewahrt werden.

Wonach muss ich fragen?

• In welchen Bereichen möchte ich keinesfalls Informationen mit anderen Personen/Unternehmen teilen?
• Welche Unternehmen oder öffentlichen Stellen haben Daten über mich gespeichert?
• Wie umfangreich ist das Bild von mir, wenn all diese Unternehmen und öffentlichen Stellen ihre erhobenen Daten miteinander kombinieren?
• Welche Dienste oder Geräte, die ich im Alltag nutze, erheben meine Daten?
• Könnten die bei Dritten gespeicherten Daten gegen mich verwendet werden?
• Kann ich alternative Einstellungen verwenden, um weniger Daten zu generieren bzw. zu übertragen?
• Gibt es alternative Dienste oder Geräte, bei denen weniger Daten erhoben werden?
• Wie schaffe ich es, meine Daten bei anderen löschen zu lassen?
• Wie erreiche ich, dass bereits bei der Registrierung bei einem neuen Dienst möglichst wenig Daten erhoben werden?
• Welche Behörde ist für mein Datenschutzanliegen zuständig, falls ich in Bezug auf meine Daten Probleme mit einem Unternehmen bekomme?

Wann ist das wichtig?

In den letzten Jahrzehnten hat sich der Digitalisierungsprozess rasant entwickelt. Immer mehr Bereiche werden digital erfasst, wodurch immer mehr Daten über einzelne Personen entstehen. Auch im privaten Bereich werden immer mehr Geräte 'smart': Wir telefonieren, chatten und spielen tagtäglich mit dem Smartphone.^[21] In immer mehr Wohnungen finden sich Smart-TVs und Smartspeaker, die rund um die Uhr mithören, um abrufbereit zu sein, wenn die Nutzer_innen „OK, Google“ oder nach „Alexa“ rufen und ihre Einkaufsliste diktieren oder den Fernsehsender wechseln lassen.^[22] Selbst das Dating geschieht heutzutage immer mehr über Apps.^[23] Dabei hinterlassen wir Daten über unsere Freund_innennetzwerke, Surfgewohnheiten, Orte, an denen wir uns gewöhnlich aufhalten, durch Suchbegriffe auch Dinge, die uns aktuell beschäftigen, gegebenenfalls auch Daten über sexuelle Vorlieben oder einen kritischen Gesundheits- oder psychischen Zustand.

Diese Entwicklung weckt bei verschiedenen Akteur_innen Begehrlichkeiten: Wirtschaftliche Unternehmen möchten so viel wie möglich über die Interessen ihrer Kund_innen herausfinden, um ihnen passgenaue Werbung oder Angebote ausspielen zu können, indem sie insbesondere über Werbeanzeigen im Internet das Verhalten der Surfenden überwachen (sog. Tracking).^[24] Kriminelle nutzen diese Daten, um einzelne Personen oder Unternehmen zu erpressen.^[25] Der Staat hat unter dem Eindruck terroristischer Gefahren ein Interesse daran, Straftaten zu verhindern. Deshalb fordert die Politik immer wieder umfassende Überwachungsmöglichkeiten, zum Beispiel in Form einer Vorratsdatenspeicherung^[26] oder eines Verschlüsselungsverbots^[27]. Kombiniert man die immer größer werdenden Datenmassen mit gleichzeitiger Verfügbarkeit dieser Daten, kann dies eine_n 'gläserne_n Bürger_in' erzeugen. Welche Ausmaße dies annehmen kann, hat Edward Snowden durch die Aufdeckung der weltweiten Überwachungsprogramme der US-amerikanischen und britischen Geheimdienste vorgeführt.^[28]

Relativiert werden Datenschutzsorgen oft mit dem Argument, dass man nichts zu verbergen habe.^[29] Allerdings zeigen Beispiele aus der Vergangenheit, dass Datenpannen auch brisante Informationen zu Tage fördern können: 2019 waren die Daten nahezu aller Einwohner_innen Ecuadors online abrufbar, darunter auch Familienverhältnisse, Verwandtschaftsbeziehungen, Finanzdaten und berufliche Daten.^[30] Wem diese Daten noch nicht sensibel genug sind, sei auf ein Datenleck vom 24.05.2020 hingewiesen, bei dem 20 Millionen Dateien diverser Dating-Apps abhandengekommen sind, darunter auch die persönlichen Daten der Benutzer_innen der Dating-App „Herpes Dating“, bei denen Menschen mit Geschlechtskrankheiten Partner_innen finden können.^[31] Selbst wenn man bei staatlichen Stellen weniger Bedenken hat und ihnen ein größeres Vertrauen dahingehend entgegenbringt, dass sie die Daten nicht missbrauchen und sie in der Lage sind, die Daten umfassend vor anderen zu schützen, bleibt unklar, ob der Staat vertrauenswürdig bleibt. Keine Garantie gibt es auch dafür, dass demokratische Kontrollfunktionen erhalten bleiben, wenn eine wenig datensensible Partei in die Regierungsverantwortung gelangt. Einen weniger auf die individuellen Schutzinteressen abzielenden Datengebrauch offenbart das chinesische Sozialkredit-System, das Bürger_innen und Unternehmen in einheitlichen Datenbanken umfassend überwachen soll, um ihr Verhalten anhand eines Wohlverhalten belohnenden und Fehlverhalten durch Entzug von Handlungsmöglichkeiten sanktionierenden Scorings zu bewerten.^[32]

Datenschutz kann schließlich auch eine zentrale Rolle spielen, um gegenüber Unternehmen Selbstbestimmung zu behaupten beziehungsweise wiederzuerlangen. Ein Beispiel sind soziale Netzwerke. Die Daten, die Personen in diesen Netzwerken freiwillig hinterlassen, werden zum Gegenstand von Algorithmen, die so konzipiert sind, dass sie Nutzer_innen möglichst lange auf einer Plattform binden. Ihnen werden dafür überwiegend Inhalte angezeigt, die auf der Grundlage der gesammelten Daten vermeintlich für sie interessant sind.^[33] Je mehr Daten ein Unternehmen zur Verfügung hat, desto stärker kann die Sogwirkung sein, die eine Person zur Aktivität auf einer Plattform anhält. Das kann auch die Gefahr erzeugen, dass sich das 'digitale Sichtfeld' verengt und bestimmte Inhalte nicht mehr zu einem Nutzer durchdringen. Hier setzen Begriffe wie Echokammer, Filterblase und das Konzept der Homophilie an.

Neben sozialen Netzwerken kann die Datennutzung durch das Versicherungs- und Bankenwesen zu für die Kund_innen nachteiligen vertraglichen Konditionen verleiten. Auch die Auswertung von Daten aus Suchmaschinen durch Arbeitgeber_innen vor einem Bewerbungsgespräch kann dazu führen, dass Arbeitnehmer_innen schon vor dem Gespräch auch in den Bereichen gläsern werden, die mit ihren späteren Arbeitsaufgaben in keinem Zusammenhang stehen.^[34] Datenschutz erhöht insoweit auch die Chance zur Selbstbestimmung gegenüber privaten Akteuren.

In der Umsetzung der DSGVO zeigen sich bei global agierenden Konzernen jedoch noch Schwächen: Trotz einheitlicher Regeln gibt es keine einheitliche europäische Aufsicht, sondern zahlreiche Aufsichtsbehörden der einzelnen EU-Mitgliedsstaaten. Das führt dazu, dass große Konzerne für ihre Niederlassungen gezielt Mitgliedstaaten aussuchen können, die schwache Kapazitäten aufweisen (bisher galt Irland als ein solcher Standort), um die Verfolgung und Ahndung von Datenschutzverstößen zu begrenzen.^[35] Das ändert nichts an der Wichtigkeit des Themas Datenschutz an sich, sondern zeigt, dass selbst nach Inkrafttreten der DSGVO weiterhin große Anstrengungen nötig sind, damit der Datenschutz und mit ihm die Selbstbestimmung der einzelnen Nutzer_innen durchgesetzt werden kann.

Wie wird der Begriff erfasst/festgestellt?

Welche Daten auf welche Weise geschützt werden, legt der europäische oder nationale Gesetzgeber in den entsprechenden Gesetzen fest. Dabei richten sich Datenschutzregeln zum einen an die Akteur_innen, die Daten verarbeiten, wie private Unternehmen oder der Staat. Sie müssen prüfen, welche Grenzen bei der Nutzung von Daten bestehen und ihre Prozesse so ausrichten, dass rechtliche Grenzen eingehalten werden. Zum anderen richten sich Datenschutzregeln aber auch an die Personen, deren Daten verarbeitet werden. Sie müssen gegebenenfalls prüfen, ob sie in eine Nutzung ihrer Daten einwilligen oder ob sie Informations- oder Löschungsansprüche gegenüber den Datennutzer_innen geltend machen wollen.

Maßstab für die Feststellung einer Datenschutzverletzung ist im Wesentlichen die DSGVO. Sobald die zuständige Datenschutzbehörde (Art. 55 ff. DSGVO) von einem potenziellen Verstoß gegen die DSGVO erfährt, kann sie im Rahmen ihrer Befugnisse nach Art. 58 DSGVO einschreiten (zum Beispiel Untersuchungen durchführen, Hinweise erteilen, beraten, im äußersten Fall auch sanktionieren, beispielsweise ein Bußgeld verhängen). Falls es zu Streitigkeiten um die Rechtmäßigkeit einer Datenverarbeitung oder ähnlichem kommt, entscheiden gegebenenfalls Gerichte, ob das Vorgehen der Behörde rechtmäßig war. Je mehr Urteile gesprochen werden, desto eher zeichnet sich für bestimmte Fragen eine Tendenz in der Rechtsprechung ab, an der man sich in der Praxis für andere, ähnliche Sachverhalte orientieren kann und genauer einschätzen kann, was zulässig ist und was nicht.

Neben gerichtlichen Entscheidungen darf und soll auch der Europäische Datenschutzausschuss (EDSA) regelmäßig Leitlinien herausgeben (Art. 70 DSGVO), damit die DSGVO innerhalb Europas einheitlich ausgelegt wird und Unternehmen und Vereine Orientierungshilfen erhalten.^[36]

Welche Bildungsprojekte gibt es dazu?

• Das Datenschutz-Wiki der Ruhr-Universität Bochum und des Berufsverbands der Datenschutzbeauftragten Deutschlands e.V. stellt wichtige Informationen zum Thema Datenschutz und Informationsfreiheit im Wiki-Format zur Verfügung: https://www.datenschutz-wiki.de/.
• Die Verbraucherzentrale NRW gibt auf ihren Seiten im kompakter Form Tipps zum Thema Datenschutz und Datensicherheit: https://www.verbraucherzentrale.nrw/wissen/digitale-welt/datenschutz/datenschutz-und-datensicherheit-tipps-im-ueberblick-11910.
• Auf der Website PrivacyTools.io werden zahlreiche Alternativen zu bekannten Diensten dargestellt und erklärt, wieso bestimmte Dienste datenschutztechnisch bedenklich sind. Die Empfehlungen reichen von Browsern, E-Mail-Anbietern über Software bis hin zu Betriebssystemen: https://www.privacytools.io/.
• Mike Kuketz informiert in seinem Blog regelmäßig aus IT-Sicht, wie man seine Geräte im Sinne des Datenschutzes anpassen kann. Dazu gibt es auch eine Einstiegshilfe. Die Tipps richten sich sowohl an Anfänger als auch an Fortgeschrittene: https://www.kuketz-blog.de/einstiegshilfe/.

Weiterführende Literatur

• Kühling, Jürgen et al. 2018. Datenschutzrecht. Heidelberg: C.F. Müller.
• Schmidt, Jan-Hinrik und Thilo Weichert. 2012. Datenschutz. Grundlagen, Entwicklungen und Kontroversen. Bonn: Bundeszentrale für politische Bildung. https://www.bpb.de/shop/buecher/schriftenreihe/143502/datenschutz.

Quellenverzeichnis

Die erste Version dieses Beitrags wurde von Patrik Kassel, Karl-Nikolaus Peifer und Florian Priemel im Rahmen des Projekts "Digitale Souveränität" am Institut für Medienrecht und Kommunikationsrecht und am Institut für Medienkultur und Theater der Universität zu Köln erstellt.

Zitiervorschlag: Glossar Digitale Souveränität. 2021. „Datenschutz (Rechtswissenschaft).“ https://www.bigdataliteracy.net/glossar/. Zugegriffen am tt.mm.jjjj.