Im Gespräch mit Dr. Stefan Brink

Am 03.09.2019 hatte ich ein Interview mit Dr. Stefan Brink dem

Landesbeauftragten für den Datenschutz und die Informationsfreiheit in Baden-Württemberg. Dies ist ein Interview der Reihe „Im Gespräch mit“, deren Ziel es zum einen ist, die verschiedenen Kollegen in den Aufsichtsbehörden vorzustellen und zum anderen aufzuzeigen, dass es sich nicht um gesichtslose Behörden handelt.

89%* der 16- bis 24-jährigen in Deutschland nutzen regelmäßig soziale Netzwerke. Die Anzahl der sogenannten Datenskandale steigt. Da fragt man sich, wie sieht es mit der Eigenverantwortung der Bürger aus? Und vor allem, warum gilt die DSGVO nicht für private Nutzer? Ich habe Dr. Stefan Brink einige Fragen erörtert, die Entscheider von Unternehmen, die wir zum Thema betr. Datenschutz betreuen, regelmäßig stellen.

BW: Gibt es in Baden-Württemberg eine erhöhte Konsultation? Und wenn ja, welche Themenbereiche werden besonders oft angefragt?

Stefan Brink: Die Beratungsanfragen sind extrem weit gestreut. Wir haben seit 2017 eine ganz hohe Steigerung in diesem Bereich und freuen uns auch, dass die Unternehmen hauptsächlich, aber auch die Behörden, uns konsultieren. Das ist eine ganz zentrale Fragestellung und ist mitten im Fokus unserer Arbeit. Wir haben in den letzten 2 Jahren über 4000 Beratungsanfragen gehabt und das ist eine tolle Entwicklung.

BW: Können Sie die Anfragen alle bearbeiten, haben Sie mittlerweile eine entsprechende Personaldecke?

Stefan Brink: Ja, wir sind glücklicherweise ganz gut ausgestattet. Wir haben 2017 mit 35 Mann angefangen und sind jetzt bei knapp 65 gelandet. Wir sind also deutlich gestärkt worden. Man muss allerdings zugeben, dass die Zahl der Anfragen und auch die Zahl der Beschwerden, die wir natürlich dann auch noch zusätzlich haben, überfordern uns zum Teil. Deswegen haben wir Anfang dieses Jahres gesagt, okay, wir müssen stärker in die Kontrolle gehen und haben die Beratung leicht zurückgefahren, was aber nicht heißt, dass wir Beratungsanfragen ablehnen, sondern das wir in bestimmten Bereichen erst ein bisschen später zum Zug kommen, wir die Unternehmen also bitten müssen, sich ein bisschen mehr zu gedulden. Das ist manchmal bitter, gerade wenn es z.B. um Startups geht, die gerade vorm Loslaufen stehen und dann doch mal 2, 4 oder 6 Wochen auf uns warten müssen – aber alles kriegen wir zur Zeit tatsächlich nicht hin.

BW: Wie sehen Sie unser Datenschutzniveau in 5 Jahren? Kann der Datenschutz sich bis dahin zu einen echten Qualitätsmerkmal entwickelt haben?

Stefan Brink: Davon gehe ich aus. Das ist auch genau das positive Potenzial, dass in der Grundverordnung drinsteckt. Es wird auch in Zukunft, in 5 Jahren, in 10 Jahren, ein gespaltenes Feld geben.

Es wird Unternehmen geben, die das sehr schön machen und sich auch sehr intensiv um Datenschutz kümmern und es auch tatsächlich offensiv, als Teil ihres Angebots und als Qualitätsmerkmal sehen und es wird andere geben, die das so mehr oder weniger en passant mit betreiben und es ganz ordentlich machen und natürlich wird es auch in 5 oder 10 Jahren immer noch einzelne Unternehmen geben, die auf Lücke setzen und dementsprechend ein gewisses Risiko eingehen.

BW: In unserer täglichen Praxis wird leider auch immer noch gefragt „wie hoch ist das Bußgeld?

Stefan Brink: Genau, das ist ein enormer Treiber. Die Grundverordnung ist zwar in manchen Bereichen sehr formal und auch aufwändig, aber was die Bußgelder angeht, hat sie eine ganz klare Sprache, mit Ansagen von Bußgeldern bis zu 20.000.000 EUR. Unternehmen reagieren auf das Risiko Datenschutzverletzung und verhalten sich in vielen Bereichen positiv und richtig, indem sie sich Knowhow einkaufen oder Mitarbeiter qualifizieren, um das Thema besser in den Griff zu bekommen.

BW: Art 2. DSGVO / sachlicher Anwendungsbereich schließt natürliche Personen zur Ausübung ausschl. persönlicher oder familiärer Tätigkeiten aus. Wieviel Sinn macht die DSGVO, wenn ein Großteil der Nutzer personenbezogene Daten über entsprechende Dienste in die ganze Welt verteilt?

Stefan Brink: Da ist eine gewisse Unwucht in der DSGVO. Auf der einen Seite ist es völlig nachvollziehbar und richtig, dass wir nicht private, oder persönliche Verhältnisse, mit staatlichen Auflagen aus dem Datenschutz überziehen. Andererseits – Sie haben vollkommen Recht – findet tatsächlich eine große Menge der Datenverarbeitung durch Private statt. Auf dem eigenen Smartphone, oder auf dem privaten Rechner und dabei werden natürlich auch viele technische Tools eingesetzt, die ein erhebliches Datenschutz-Potenzial haben, also ein erhebliches Risiko darstellen. Wenn ich z.B. meine gesamten Bilddaten in die Clouds hochlade oder wenn ich über WhatsAPP kommuniziere, da beeinträchtige ich möglicherweise andere Privatleute ganz erheblich. Das ist in weiten Bereichen in der Grundverordnung ausgenommen, was nichts anderes heißt, als, dass der einzelne private Betroffene darauf angewiesen ist, dann auch auf dem privaten Klageweg sein Recht zu verteidigen. Das ist natürlich sehr beschwerlich und den Weg gehen wirklich die Wenigsten.

BW: Meine Daten werden von den Menschen, die meine Kontaktdaten auf ihrem Handy haben und gleichzeitig einen Datencrawler wie z.B. WhatsAPP, google & Co. nutzen, in alle Welt verteilt. Dagegen kann ich gar nichts tun, ich weiß es nicht einmal. Jede Firma, die auch meine Daten hat, müsste in diesem Fall ihren Informationspflichten nachkommen, weil es sich um eine Datenweitergabe handelt. Dies ist für viele Verantwortliche, die von mir betreut werden, schwer zu verstehen, was kann man diesen Entscheidern sagen?

Stefan Brink: Man muss schlicht und ergreifend an das Verantwortungsbewusstsein der Menschen appellieren. Wenn wir die Situation haben, dass in persönlich/familiären Verhältnissen keine DSGVO gilt und wenn wir die Situation haben, dass auch privater Rechtschutz nicht in Anspruch genommen wird, bleibt es eigentlich mehr oder weniger dem Verantwortungsbewusstsein jedes Einzelnen überlassen, wie er mit den Daten umgeht. Da kann man in weiten Bereichen leider nur appellieren.

Man kann auf der anderen Seite sehen, dass auch gerade durch die DSGVO seit Mai 2018 das Datenschutz-Bewusstsein wesentlich größer geworden ist und  auch viel stärker Teil des öffentlichen Diskurses ist und das hat natürlich auch Wirkung auf das Verhalten einzelner Privater. Aber in dem Bereich ist Hoffen angesagt.

BW: In meiner beruflichen Praxis nehme ich eine Art Sorglosigkeit wahr. Wenn jemand an der Haustür klingelt, sind die Menschen misstrauisch, wenn eine APP auf alle Daten ihres Handys zugreifen möchte, aber nicht. Viele speichern Zugangsdaten auf Ihren Handys, benutzen elektronische Portemonnaies und ähnliches, sie geben bereitwillig alle Daten her. An der Haustür würden sie das wohl nicht tun. Haben Sie Ideen dazu, wie man dieses Wahrnehmungsproblem lösen könnte?

Stefan Brink: Ja, das Wahrnehmungsproblem gibt es ganz eindeutig. Das ist eine gespaltene Wahrnehmung – Wir nehmen auf der einen Seite alles, was im virtuellen Raum stattfindet, entweder überhaupt nicht ernst, oder betrachten das als nach wie vor unregulierten Raum der Freiheit, oder eigentlich sogar der Willkür. Auf der anderen Seite sind wir mittendrin in einem Lernprozess, dass das eben einfach nicht stimmt, dass man via Internet genauso Rechte anderer verletzten kann, als wenn man es persönlich und Face to Face macht.

Also, es ist ein Lernprozess.

Auf der anderen Seite muss man sagen, alles was mit netzgestützter Kommunikation zu tun hat, ist natürlich ein Lernprozess für den Menschen an sich. Wir haben das Internet seit Mitte der 90-er Jahre. Ich glaube, wir brauchen tatsächlich mindestens eine weitere Generation, um richtig zu kapieren, was es eigentlich bedeutet, auf diese Art und Weise zu kommunizieren. Die Maßstäbe, die wir im analogen Leben über Jahrtausende aufgebaut haben und immer weiter verfeinert haben, müssen wir dann auch im virtuellen Raum umsetzen. Ich bin deswegen nicht besonders bange. Das ist ein Lernprozess, schlicht und ergreifend und man kann schon sehen, dass die digital natives, also die jüngere Generation, sagen wir mal ganz grob die unter 20-jährigen, die also wirklich von vorne herein mit dem Internet aufgewachsen sind, in vielen Bereichen anders agieren, auch sehr differenziert agieren und dass dieser Lernprozess durchaus stattfindet. Perfekt ist das allerdings noch nicht. Wir müssen als Spezies Mensch lernen, mit diesen neuen Medienprodukten umzugehen und noch können wir das eigentlich in ganz wenigen Bereichen gut.

BW: Wie könnte man generell die Eigenverantwortung von Privatpersonen wieder mehr ins Spiel bringen? Gerade das Internet scheint ein Spielball der Eitelkeiten zu werden, wer bin ich, wer bist Du? Ich kann machen, was ich will. Und so wird lustig drauflos gepostet, auch Bilder von anderen, die gar nicht wissen, dass sie auf einem Photo im Internet veröffentlicht wurden. Hier wird jetzt versucht, die Betreiber der Portale in die Pflicht zu nehmen, aber gepostet hat es doch jemand anders. Wie passt das zusammen? Wird damit nicht die Verantwortung des Einzelnen auf einen Dienstebetreiber übertragen, der letztendlich nur eine Software zur Verfügung stellt und das so vielleicht gar nicht leisten kann?

Stefan Brink: Ja, und vor allem gar nicht leisten will. Die Diensteanbieter, die wir in diesem Bereich haben, sind ja nicht die netten Helferlein für überforderte Private, sondern die verfolgen ja ganz eigene, knallharte Geschäftsinteressen. Da wird sich immer das Interesse, schonend und rücksichtsvoll mit den Daten Betroffener, auch gerade Dritter, umzugehen beißen mit den gewerblichen Interessen des Anbieters. Das müssen wir also schon selbst als Privatperson lernen, in dem Bereich sorgsam, vertrauensvoll und schonend mit den Informationen und auch mit den Rechten Anderer umzugehen. Das ist unsere eigene Aufgabe, da müssen wir dran arbeiten, indem wir in die Schulen gehen mit dem Thema Digitalisierung und Datenschutz. Wir gehen sogar schon in die Kindergärten! Indem wir ganz früh die Kinder im Sozialisationsprozess auf diese Ebene führen und ihnen dort vorführen, was man alles an Schaden anrichten kann und wie man sich gefälligst nicht verhält. Wir brauchen eine „Netiquette“, heute sagt man digitale Ethik. Wir brauchen Regeln, soziale Regeln, Normen, die auch fürs Netz gelten und die müssen schlicht und ergreifend erlernt werden. Die müssen Teil unseres Alltags werden. Dabei auf besondere Unterstützung durch irgendwelche Plattformen zu hoffen, wäre ein Irrweg.

BW: Wie ist es mit der Verantwortung für die Sicherheit auf dem eigenen Endgerät? Hier sind immer mal wieder die Hersteller im Gespräch, man möchte sie zu lebenslangen Sicherheitsupdates zu verpflichten. technisch bestimmt nicht verkehrt, nur beim Nutzer sieht es zu weilen wie folgt aus: Das Gerät kann ruhig € 1000,- und mehr kosten, aber für eine MessengerApp € 3,- zu zahlen, die DSGVO ernst nimmt, weil sie sich eben über den Preis und nicht über die Daten finanziert, ist nicht drin. Wieso nicht auch den Nutzer verpflichten, ein bestimmtes Sicherheitsniveau einzuhalten? Dies könnte z.B. vom BSI bürgernah festgelegt werden?

Stefan Brink: Ja, wobei da die öffentliche Debatte im Netz in eine ganz andere Richtung geht. Ich merke immer wieder, wenn wir als Datenschützer an die Eigenverantwortung der Menschen appellieren, dass wir sofort relativ aggressiv damit konfrontiert werden, dass sei jetzt victim blaming. Da würden wir uns an die Opfer wenden und dem Opfer neue Pflichten auferlegen, dabei seien die Täter die großen Anbieter der Plattformen, die reguliert werden müssen. Ich denke, man muss auf beide Seiten schauen. Auf der einen Seite, dass wir eine Breitenwirkung darüber erzielen, dass wir die großen Anbieter im Netz gut regulieren und auch tatsächlich klar machen, dass die Grundverordnung gilt und wir auch Bußgelder verhängen. Das wir Anordnungen erlassen und schlicht und ergreifend die großen Anbieter datenschutzkonform hinbekommen, das nimmt uns keiner ab, das muss ohne jede Einschränkung geschehen. Darüber hinaus stimme ich Ihnen aber zu, wird das Ganze nur dann rund, wenn wir auch die einzelnen Nutzer in den Blick nehmen und zunächst mal an ihren eigenen Vorteil, an ihren eigenen Nutzen appellieren und sagen: pass mal auf, wenn du dich im Netz auf diese Art und Weise bewegst, schadest du deinen eigenen Interessen.

Aber dann muss noch ein dritter Aspekt dazukommen, dass man dem Einzelnen klar macht, du bist auch in vielen Bereichen Treuhänder. Wenn du nämlich Informationen von Dritten hast, wenn Du Fotos von anderen hast, wenn du Chatverläufe hast u. ä. dann bist du auch verantwortlich dafür, dass diese Daten nicht in die Hände Dritter kommen und dass sie nicht gewerblich von irgendeinem Anbieter benutzt werden können.

Da müssen wir auch noch ganz intensiv aufklären. Ich glaube, diese Punkte gehören alle zusammen und diese Aspekte dürfen nicht gegeneinander ausgespielt werden. In erster Linie würde ich sagen, dass ist auch eine unserer Aufgaben als Aufsichtsbehörde. Wir müssen an die Anbieter ran, aber wir dürfen dabei die betroffenen Bürgerinnen und Bürger nicht vergessen. Da muss ein Lernprozess stattfinden und da gibt es auch eine Verantwortung.

BW: Wie ist das hier mit den Informationspflichten? Das könnten Privatpersonen natürlich nicht leisten, aber sie könnten schon verpflichtet werden, Daten anderer nicht ohne deren Wissen weiterzugeben? Wie sehen die Datenschutzbehörden das?

Stefan Brink: Sehe ich nicht, ehrlich gesagt. Von der gesetzgeberischen Seite her sind wir in einem Evaluierungsprozess, der ist in der Grundverordnung drin. Bis Mai 2022 muss die EU-Kommission klar machen, wo sie die Grundverordnung ändern will. Dass an diesem sogenannten Haushaltsvorbehalt Artikel 2 gerüttelt werden soll, ist nicht zu sehen, da wird es aller Voraussicht nach keine Veränderung geben. Maßnahmen des Gesetzgebers, national oder europäisch, die in diese Richtung gehen würden, sind mir auch nicht bekannt. Wir bleiben dabei darauf angewiesen, dass unsere Privatrechtverordnung funktioniert und das man nicht über die Herausgabeansprüche der Grundverordnung, sondern über zivilrechtliche Informationsansprüche an den anderen privaten Daten-Verarbeiter rankommt. Das ist sehr unbefriedigend und führt in der Regeln nicht dazu, dass tatsächlich die Datenverarbeitung verbessert würde, weil die meisten den Weg vor Gericht scheuen. Und Sie haben vollkommen Recht, ich glaube in 99% der Fälle, weiß ja der Dritte noch nicht mal, dass seine Daten weiterverbreitet wurden. Da kenne ich auch niemanden, der sich bisher im wissenschaftlichen Bereich oder aus dem juristischen Bereich um das Thema bemühen würde, oder Vorschläge entwickelt hätte, wie man das verbessern könnte.

BW: Ich bedanke mich sehr herzlich bei Dr. Stefan Brink für das freundliche Interview!

Weiterführende Links:

Landesbeauftragter für Datenschutz und Informationsfreiheit in Baden-Württemberg

WhatsApp und Datenschutz

WhatsAPP an Schulen

Die AGBs von WhatsAPP

Die Datenschutzerklärung von google

*Quelle: https://de.statista.com/themen/1842/soziale-netzwerke/ (Abruf: 03.09.2019 19:25)