Landesbeauftragten für den Datenschutz und die Informationsfreiheit in Baden-Württemberg. Dies ist ein Interview der Reihe „Im Gespräch mit“, deren Ziel es zum einen ist, die verschiedenen Kollegen in den Aufsichtsbehörden vorzustellen und zum anderen aufzuzeigen, dass es sich nicht um gesichtslose Behörden handelt.
89%* der 16- bis 24-jährigen in Deutschland nutzen regelmäßig soziale Netzwerke. Die Anzahl der sogenannten Datenskandale steigt. Da fragt man sich, wie sieht es mit der Eigenverantwortung der Bürger aus? Und vor allem, warum gilt die DSGVO nicht für private Nutzer? Ich habe Dr. Stefan Brink einige Fragen erörtert, die Entscheider von Unternehmen, die wir zum Thema betr. Datenschutz betreuen, regelmäßig stellen.
BW: Gibt es in Baden-Württemberg eine erhöhte Konsultation? Und wenn ja, welche Themenbereiche werden besonders oft angefragt?
Stefan Brink: Die Beratungsanfragen sind extrem weit gestreut. Wir haben seit 2017 eine ganz hohe Steigerung in diesem Bereich und freuen uns auch, dass die Unternehmen hauptsächlich, aber auch die Behörden, uns konsultieren. Das ist eine ganz zentrale Fragestellung und ist mitten im Fokus unserer Arbeit. Wir haben in den letzten 2 Jahren über 4000 Beratungsanfragen gehabt und das ist eine tolle Entwicklung.
BW: Können Sie die Anfragen alle bearbeiten, haben Sie mittlerweile eine entsprechende Personaldecke?
Stefan Brink: Ja, wir sind glücklicherweise ganz gut ausgestattet. Wir haben 2017 mit 35 Mann angefangen und sind jetzt bei knapp 65 gelandet. Wir sind also deutlich gestärkt worden. Man muss allerdings zugeben, dass die Zahl der Anfragen und auch die Zahl der Beschwerden, die wir natürlich dann auch noch zusätzlich haben, überfordern uns zum Teil. Deswegen haben wir Anfang dieses Jahres gesagt, okay, wir müssen stärker in die Kontrolle gehen und haben die Beratung leicht zurückgefahren, was aber nicht heißt, dass wir Beratungsanfragen ablehnen, sondern das wir in bestimmten Bereichen erst ein bisschen später zum Zug kommen, wir die Unternehmen also bitten müssen, sich ein bisschen mehr zu gedulden. Das ist manchmal bitter, gerade wenn es z.B. um Startups geht, die gerade vorm Loslaufen stehen und dann doch mal 2, 4 oder 6 Wochen auf uns warten müssen – aber alles kriegen wir zur Zeit tatsächlich nicht hin.
BW: Wie sehen Sie unser Datenschutzniveau in 5 Jahren? Kann der Datenschutz sich bis dahin zu einen echten Qualitätsmerkmal entwickelt haben?
Stefan Brink: Davon gehe ich aus. Das ist auch genau das positive Potenzial, dass in der Grundverordnung drinsteckt. Es wird auch in Zukunft, in 5 Jahren, in 10 Jahren, ein gespaltenes Feld geben.
Es wird Unternehmen geben, die das sehr schön machen und sich auch sehr intensiv um Datenschutz kümmern und es auch tatsächlich offensiv, als Teil ihres Angebots und als Qualitätsmerkmal sehen und es wird andere geben, die das so mehr oder weniger en passant mit betreiben und es ganz ordentlich machen und natürlich wird es auch in 5 oder 10 Jahren immer noch einzelne Unternehmen geben, die auf Lücke setzen und dementsprechend ein gewisses Risiko eingehen.
BW: In unserer täglichen Praxis wird leider auch immer noch gefragt „wie hoch ist das Bußgeld?
Stefan Brink: Genau, das ist ein enormer Treiber. Die Grundverordnung ist zwar in manchen Bereichen sehr formal und auch aufwändig, aber was die Bußgelder angeht, hat sie eine ganz klare Sprache, mit Ansagen von Bußgeldern bis zu 20.000.000 EUR. Unternehmen reagieren auf das Risiko Datenschutzverletzung und verhalten sich in vielen Bereichen positiv und richtig, indem sie sich Knowhow einkaufen oder Mitarbeiter qualifizieren, um das Thema besser in den Griff zu bekommen.
BW: Art 2. DSGVO / sachlicher Anwendungsbereich schließt natürliche Personen zur Ausübung ausschl. persönlicher oder familiärer Tätigkeiten aus. Wieviel Sinn macht die DSGVO, wenn ein Großteil der Nutzer personenbezogene Daten über entsprechende Dienste in die ganze Welt verteilt?
Stefan Brink: Da ist eine gewisse Unwucht in der DSGVO. Auf der einen Seite ist es völlig nachvollziehbar und richtig, dass wir nicht private, oder persönliche Verhältnisse, mit staatlichen Auflagen aus dem Datenschutz überziehen. Andererseits – Sie haben vollkommen Recht – findet tatsächlich eine große Menge der Datenverarbeitung durch Private statt. Auf dem eigenen Smartphone, oder auf dem privaten Rechner und dabei werden natürlich auch viele technische Tools eingesetzt, die ein erhebliches Datenschutz-Potenzial haben, also ein erhebliches Risiko darstellen. Wenn ich z.B. meine gesamten Bilddaten in die Clouds hochlade oder wenn ich über WhatsAPP kommuniziere, da beeinträchtige ich möglicherweise andere Privatleute ganz erheblich. Das ist in weiten Bereichen in der Grundverordnung ausgenommen, was nichts anderes heißt, als, dass der einzelne private Betroffene darauf angewiesen ist, dann auch auf dem privaten Klageweg sein Recht zu verteidigen. Das ist natürlich sehr beschwerlich und den Weg gehen wirklich die Wenigsten.
BW: Meine Daten werden von den Menschen, die meine Kontaktdaten auf ihrem Handy haben und gleichzeitig einen Datencrawler wie z.B. WhatsAPP, google & Co. nutzen, in alle Welt verteilt. Dagegen kann ich gar nichts tun, ich weiß es nicht einmal. Jede Firma, die auch meine Daten hat, müsste in diesem Fall ihren Informationspflichten nachkommen, weil es sich um eine Datenweitergabe handelt. Dies ist für viele Verantwortliche, die von mir betreut werden, schwer zu verstehen, was kann man diesen Entscheidern sagen?
Stefan Brink: Man muss schlicht und ergreifend an das Verantwortungsbewusstsein der Menschen appellieren. Wenn wir die Situation haben, dass in persönlich/familiären Verhältnissen keine DSGVO gilt und wenn wir die Situation haben, dass auch privater Rechtschutz nicht in Anspruch genommen wird, bleibt es eigentlich mehr oder weniger dem Verantwortungsbewusstsein jedes Einzelnen überlassen, wie er mit den Daten umgeht. Da kann man in weiten Bereichen leider nur appellieren.
Man kann auf der anderen Seite sehen, dass auch gerade durch die DSGVO seit Mai 2018 das Datenschutz-Bewusstsein wesentlich größer geworden ist und auch viel stärker Teil des öffentlichen Diskurses ist und das hat natürlich auch Wirkung auf das Verhalten einzelner Privater. Aber in dem Bereich ist Hoffen angesagt.
BW: In meiner beruflichen Praxis nehme ich eine Art Sorglosigkeit wahr. Wenn jemand an der Haustür klingelt, sind die Menschen misstrauisch, wenn eine APP auf alle Daten ihres Handys zugreifen möchte, aber nicht. Viele speichern Zugangsdaten auf Ihren Handys, benutzen elektronische Portemonnaies und ähnliches, sie geben bereitwillig alle Daten her. An der Haustür würden sie das wohl nicht tun. Haben Sie Ideen dazu, wie man dieses Wahrnehmungsproblem lösen könnte?
Stefan Brink: Ja, das Wahrnehmungsproblem gibt es ganz eindeutig. Das ist eine gespaltene Wahrnehmung – Wir nehmen auf der einen Seite alles, was im virtuellen Raum stattfindet, entweder überhaupt nicht ernst, oder betrachten das als nach wie vor unregulierten Raum der Freiheit, oder eigentlich sogar der Willkür. Auf der anderen Seite sind wir mittendrin in einem Lernprozess, dass das eben einfach nicht stimmt, dass man via Internet genauso Rechte anderer verletzten kann, als wenn man es persönlich und Face to Face macht.
Also, es ist ein Lernprozess.
Auf der anderen Seite muss man sagen, alles was mit netzgestützter Kommunikation zu tun hat, ist natürlich ein Lernprozess für den Menschen an sich. Wir haben das Internet seit Mitte der 90-er Jahre. Ich glaube, wir brauchen tatsächlich mindestens eine weitere Generation, um richtig zu kapieren, was es eigentlich bedeutet, auf diese Art und Weise zu kommunizieren. Die Maßstäbe, die wir im analogen Leben über Jahrtausende aufgebaut haben und immer weiter verfeinert haben, müssen wir dann auch im virtuellen Raum umsetzen. Ich bin deswegen nicht besonders bange. Das ist ein Lernprozess, schlicht und ergreifend und man kann schon sehen, dass die digital natives, also die jüngere Generation, sagen wir mal ganz grob die unter 20-jährigen, die also wirklich von vorne herein mit dem Internet aufgewachsen sind, in vielen Bereichen anders agieren, auch sehr differenziert agieren und dass dieser Lernprozess durchaus stattfindet. Perfekt ist das allerdings noch nicht. Wir müssen als Spezies Mensch lernen, mit diesen neuen Medienprodukten umzugehen und noch können wir das eigentlich in ganz wenigen Bereichen gut.
BW: Wie könnte man generell die Eigenverantwortung von Privatpersonen wieder mehr ins Spiel bringen? Gerade das Internet scheint ein Spielball der Eitelkeiten zu werden, wer bin ich, wer bist Du? Ich kann machen, was ich will. Und so wird lustig drauflos gepostet, auch Bilder von anderen, die gar nicht wissen, dass sie auf einem Photo im Internet veröffentlicht wurden. Hier wird jetzt versucht, die Betreiber der Portale in die Pflicht zu nehmen, aber gepostet hat es doch jemand anders. Wie passt das zusammen? Wird damit nicht die Verantwortung des Einzelnen auf einen Dienstebetreiber übertragen, der letztendlich nur eine Software zur Verfügung stellt und das so vielleicht gar nicht leisten kann?
Stefan Brink: Ja, und vor allem gar nicht leisten will. Die Diensteanbieter, die wir in diesem Bereich haben, sind ja nicht die netten Helferlein für überforderte Private, sondern die verfolgen ja ganz eigene, knallharte Geschäftsinteressen. Da wird sich immer das Interesse, schonend und rücksichtsvoll mit den Daten Betroffener, auch gerade Dritter, umzugehen beißen mit den gewerblichen Interessen des Anbieters. Das müssen wir also schon selbst als Privatperson lernen, in dem Bereich sorgsam, vertrauensvoll und schonend mit den Informationen und auch mit den Rechten Anderer umzugehen. Das ist unsere eigene Aufgabe, da müssen wir dran arbeiten, indem wir in die Schulen gehen mit dem Thema Digitalisierung und Datenschutz. Wir gehen sogar schon in die Kindergärten! Indem wir ganz früh die Kinder im Sozialisationsprozess auf diese Ebene führen und ihnen dort vorführen, was man alles an Schaden anrichten kann und wie man sich gefälligst nicht verhält. Wir brauchen eine „Netiquette“, heute sagt man digitale Ethik. Wir brauchen Regeln, soziale Regeln, Normen, die auch fürs Netz gelten und die müssen schlicht und ergreifend erlernt werden. Die müssen Teil unseres Alltags werden. Dabei auf besondere Unterstützung durch irgendwelche Plattformen zu hoffen, wäre ein Irrweg.
BW: Wie ist es mit der Verantwortung für die Sicherheit auf dem eigenen Endgerät? Hier sind immer mal wieder die Hersteller im Gespräch, man möchte sie zu lebenslangen Sicherheitsupdates zu verpflichten. technisch bestimmt nicht verkehrt, nur beim Nutzer sieht es zu weilen wie folgt aus: Das Gerät kann ruhig € 1000,- und mehr kosten, aber für eine MessengerApp € 3,- zu zahlen, die DSGVO ernst nimmt, weil sie sich eben über den Preis und nicht über die Daten finanziert, ist nicht drin. Wieso nicht auch den Nutzer verpflichten, ein bestimmtes Sicherheitsniveau einzuhalten? Dies könnte z.B. vom BSI bürgernah festgelegt werden?
Stefan Brink: Ja, wobei da die öffentliche Debatte im Netz in eine ganz andere Richtung geht. Ich merke immer wieder, wenn wir als Datenschützer an die Eigenverantwortung der Menschen appellieren, dass wir sofort relativ aggressiv damit konfrontiert werden, dass sei jetzt victim blaming. Da würden wir uns an die Opfer wenden und dem Opfer neue Pflichten auferlegen, dabei seien die Täter die großen Anbieter der Plattformen, die reguliert werden müssen. Ich denke, man muss auf beide Seiten schauen. Auf der einen Seite, dass wir eine Breitenwirkung darüber erzielen, dass wir die großen Anbieter im Netz gut regulieren und auch tatsächlich klar machen, dass die Grundverordnung gilt und wir auch Bußgelder verhängen. Das wir Anordnungen erlassen und schlicht und ergreifend die großen Anbieter datenschutzkonform hinbekommen, das nimmt uns keiner ab, das muss ohne jede Einschränkung geschehen. Darüber hinaus stimme ich Ihnen aber zu, wird das Ganze nur dann rund, wenn wir auch die einzelnen Nutzer in den Blick nehmen und zunächst mal an ihren eigenen Vorteil, an ihren eigenen Nutzen appellieren und sagen: pass mal auf, wenn du dich im Netz auf diese Art und Weise bewegst, schadest du deinen eigenen Interessen.
Aber dann muss noch ein dritter Aspekt dazukommen, dass man dem Einzelnen klar macht, du bist auch in vielen Bereichen Treuhänder. Wenn du nämlich Informationen von Dritten hast, wenn Du Fotos von anderen hast, wenn du Chatverläufe hast u. ä. dann bist du auch verantwortlich dafür, dass diese Daten nicht in die Hände Dritter kommen und dass sie nicht gewerblich von irgendeinem Anbieter benutzt werden können.
Da müssen wir auch noch ganz intensiv aufklären. Ich glaube, diese Punkte gehören alle zusammen und diese Aspekte dürfen nicht gegeneinander ausgespielt werden. In erster Linie würde ich sagen, dass ist auch eine unserer Aufgaben als Aufsichtsbehörde. Wir müssen an die Anbieter ran, aber wir dürfen dabei die betroffenen Bürgerinnen und Bürger nicht vergessen. Da muss ein Lernprozess stattfinden und da gibt es auch eine Verantwortung.
BW: Wie ist das hier mit den Informationspflichten? Das könnten Privatpersonen natürlich nicht leisten, aber sie könnten schon verpflichtet werden, Daten anderer nicht ohne deren Wissen weiterzugeben? Wie sehen die Datenschutzbehörden das?
Stefan Brink: Sehe ich nicht, ehrlich gesagt. Von der gesetzgeberischen Seite her sind wir in einem Evaluierungsprozess, der ist in der Grundverordnung drin. Bis Mai 2022 muss die EU-Kommission klar machen, wo sie die Grundverordnung ändern will. Dass an diesem sogenannten Haushaltsvorbehalt Artikel 2 gerüttelt werden soll, ist nicht zu sehen, da wird es aller Voraussicht nach keine Veränderung geben. Maßnahmen des Gesetzgebers, national oder europäisch, die in diese Richtung gehen würden, sind mir auch nicht bekannt. Wir bleiben dabei darauf angewiesen, dass unsere Privatrechtverordnung funktioniert und das man nicht über die Herausgabeansprüche der Grundverordnung, sondern über zivilrechtliche Informationsansprüche an den anderen privaten Daten-Verarbeiter rankommt. Das ist sehr unbefriedigend und führt in der Regeln nicht dazu, dass tatsächlich die Datenverarbeitung verbessert würde, weil die meisten den Weg vor Gericht scheuen. Und Sie haben vollkommen Recht, ich glaube in 99% der Fälle, weiß ja der Dritte noch nicht mal, dass seine Daten weiterverbreitet wurden. Da kenne ich auch niemanden, der sich bisher im wissenschaftlichen Bereich oder aus dem juristischen Bereich um das Thema bemühen würde, oder Vorschläge entwickelt hätte, wie man das verbessern könnte.
BW: Ich bedanke mich sehr herzlich bei Dr. Stefan Brink für das freundliche Interview!
Hier mein Interview für den URV zum Thema Datenschutz. Es ist eine Art lastminute Empfehlung geworden, denn wer die DSGVO jetzt immer noch nicht umgesetzt hat, der hat es wohl auch immer noch nicht verstanden.
Im Rahmen meiner Tätigkeit schaue ich mir auch immer wieder einmal Webseiten an, erstaunlich wie wenige verstanden haben, was zu tun ist. Auch gerade Agenturen sind oftmals sehr schlecht aufgestellt, man kann sich also nicht unbedingt darauf verlassen, dass der Dienstleister es schon richtig machen wird. Verantwortlicher im Sinne des Gesetzes ist eben der Geschäftführer, der auch verantwortlich für die Inhalte der Seite ist. Er steht deshalb auch im Impressum.
Eigentlich ist es einfach, es steht alles in der DSGVO. Wenn man einmal meine anderen Interviews liest, kann man auch sehen, dass die Behörden davon ausgehen, dass dieses Gesetz so gemacht ist, dass gerade auch Nicht-Juristen damit arbeiten können. Datenschutzbeauftragte sind in den seltensten Fällen Juristen und diese Konstellation ist europäisch so gewollt. Datenschutz ist Grundrechtsschutz, jeder kann die Inhalte verstehen.
Auch die Landesbehörden geben viele Hilfestellungen, hier z.B. Niedersachsen.
Hier das fertige Interview für die URV-Mitgliederzeitschrift, Seite 10.
Am 12. April 2018 hatte ich ein Interview mit unserer Landesbeauftragten für den Datenschutz Dr. Imke Sommer in Bremen. Mit DSGVO, werden die Rechte der Bürger in Bezug auf den Schutz der eigenen Daten nochmal gestärkt. Mir ist in dieser Interviewreihe sehr wichtig, darzustellen, dass die Datenschutzbehörden nicht gesichtslos sind, sondern, dass dort Menschen arbeiten, die sich um unsere Persönlichkeitsrechte kümmern. Man kann sich dort beraten lassen, wenn man das Gefühl hat, dass irgendjemand die eigenen Daten für andere Zwecke nutzt als die Gedachten. Viel Spaß beim Lesen!
BW: Ich habe mit Interesse Ihren Datenschutzbericht gelesen. Dort ist die Rede von einer Bürgerberatung. Würden Sie sagen, dass die Nachfrage von Privatpersonen zum Thema Datenschutz steigt?
Imke Sommer: Insgesamt sehe ich das schon so. Im Beschäftigtenbereich ist viel gekommen, die Menschen beginnen, eine Opposition zu entwickeln, die auch richtig ist. Sie wollen sich nicht mehr alles gefallen lassen und das finde ich gut. Das liegt auch daran, dass Marc Zuckerberg, nun im Sakko, vor dem Kongress erscheinen und Rede und Antwort stehen muss.
BW: Welche Anliegen haben die Bürger von Bremen an die bremische Datenschutzbeauftragte?
Imke Sommer: Viele haben tatsächlich Fragen, aber die meisten haben einen konkreten Fall im Kopf und fragen schon sehr genau, ob das Thema richtig gehandhabt wird oder ggf. gegen ihr Recht auf informationelle Selbstbestimmung verstößt. In den meisten Fällen ist das Gefühl der Bürger an dieser Stelle völlig richtig. Vor allem ist hier das Gefühl richtig, dass das ein Eingriff in den privaten Schutzbereich ist, wir sind ja im Grundrechtsbereich. Das heißt nicht zwangsläufig, dass es sich immer um eine Rechtsverletzung handelt, aber ganz oft ist es so, dass es sich sehr nah an der Grenze zur Verletzung befindet oder dass die Grenze sogar überschritten wurde. Ich möchte gerne alle motivieren, sich zu melden, denn sobald sich ein Bürger meldet, bin ich die betroffene Behörde und wir kümmern uns. Meistens ist das richtig und wenn nicht, so hat man zumindest ein gutes Gefühl nachgefragt zu haben.
BW: Gibt es eine Häufung von speziellen Themen?
Imke Sommer: Wir merken, dass der Bereich des Beschäftigten Datenschutzes das Thema Videoüberwachung überrundet hat. Dazu muss man sagen, dass wir Videoüberwachung auf dem Arbeitsplatz zum Beschäftigtendatenschutz rechnen. Es könnte aber sein, dass diese Fälle in anderen Behörden dann zur Videoüberwachung zählen, weil sie den Fokus dort sehen.
BW: Sie sprechen von einem bremischen Datenschutzniveau, was genau meinen Sie damit? Oder anders gefragt, gibt es einen bremischen Datenschutzstil?
Imke Sommer: Das weiß ich nicht, ich beziehe mich natürlich auf den Datenschutz im Land Bremen. Ich hatte mir ja letztes Mal gewünscht, ein bremisches Profil der informationellen Selbstbestimmung zu haben. Es sieht so aus, als ob, das bremische Datenschutzgrundverordnungsausführungsgesetz rechtzeitig verabschiedet wird. Ich finde es ist gut geglückt, weil das Gesetz sehr schlank geworden ist. Ihre Frage zielt ja eigentlich auf etwas anderes. Ich glaube, dass die kurzen Wege in Bremen ganz viel dazu beitragen, dass das Gefühl, die ist so weit weg und nicht greifbar, dass das hier nicht passiert. Ich fahre mit der Straßenbahn von einem Termin zum nächsten, das geht schnell hier. Dadurch kann ich ganz viel machen. Der Bürger möchte einschätzen können, was wir machen.
Wir stellen Verstöße sehr schnell fest und haben nun keinen Ermessungsspielraum mehr, keine Bußgelder zu erheben. Wir können nicht mehr nur die Verwarnung machen. Wenn wir einen Verstoß feststellen lönnen wir keine Massnahmen alleine, ohne Bißgeld mehr verhängen. Ich bitte alle, das auch sportlich zu nehmen, alle sind nun auf dem Weg die DSGVO umzusetzen und mit den Bußgeldern für Falschparken, das nimmt man auch in Kauf. Man muss ein sportliches und entspanntes Verhältnis zu diesen Bußgeldern entwickeln. Und vor allem muss man wissen, dass sie bei Wiederholung höher sein werden. Das sollten nun alle zum Ansporn nehmen, die Verarbeiter sollten das Liegengebliebene aufarbeiten. Sie sind ja nun aufgeregt, weil sie es vorher nicht gemacht haben. Nun hat man einen Grund das zu ändern. Dann müssen eben auch die betroffenen Firmen damit rechnen, dass wir Beschwerden bekommen. Wir reagieren meistens auf Beschwerden, dass wir selbst tätig werden, ist relativ selten. Das schaffen wir auch gar nicht so viel. Die Motivation ist, dass Firmen sich mit den Menschen, deren Daten sie verarbeiten, gut stellen, damit die keinen Grund haben, sich bei uns zu beschweren. Das haben viele verstanden.
BW: Durch die neuen Bußgelder, kann man sich nicht mehr freikaufen.
In der Wirtschaft ist der Umgang anders als im öffentlichen Bereich. Im öffentlichen Bereich wird oft die Lage rechtlich anders gesehen, in der Wirtschaft wird eher gefragt, was es kostet, aber keiner stellt in Frage, dass man sich an die Gesetzte halten muss. Die Akzeptanz wird nun durch die neuen Bußgeldhöhen unterstützt. Es gibt Firmen, die anrufen und fragen, was kostet denn das? Das ist die Logik der Wirtschaft und das wird nun etwas stärker motiviert.
BW: Glauben Sie, dass DSGVO in den Köpfen der Bürger angekommen ist?
Imke Sommer: Ich meine mehr und mehr. Wir versuchen als Landesbehörden seit Inkrafttreten im Mai 2016, dieses Bewusstsein zu schärfen. Es ist natürlich schwer ohne die Journalistinnen und Journalisten aus der Szene, in der sich alles bewegt. Die IT-Branche ist gut informiert, die Menschen selber eher nicht so, aber das wird auch mehr. Es liest ja nicht jeder in Bremen Weser-Kurier, aber Ende 2017 gab es eine Info, was gibt es im neuen Jahr und seitdem steigert sich das Bewußtsein. Und eben auch die Information, dass die Betroffenenrechte gestärkt werden. Und dass es eben für solche wie Facebook besonders schwer werden wird diese Transparenz umzusetzen. Das glaube ich, ist angekommen und darüber freuen sich ja auch alle, weil das ja auch im öffentlichen Bereich, dass das was sie als bürokratische Formulierung nicht verstehen, dass das aufhören muss. Das ist im Moment eine tolle Situation.
BW: Was bedeutet DSGVO für Privatpersonen?
Imke Sommer: Der Artikel 12 der DSGVO, diese Anforderung transparent und in einfacher Sprache, das ist wirklich die Hauptgeschichte. Ansonsten ist Datenschutz inzwischen IT. Eigentlich kann man so viel richtig machen, wenn man von Anfang an IT-Kräfte auf das schauen läßt, was man macht an Datenverarbeitung. Die haben so viele Ideen, wie man Daten erst gar nicht entstehen lassen kann und dann auch noch den Zugriff beschränkt. Das ist eigentlich jetzt das Gebot der Stunde, sich mit Menschen, die sich mit IT auskennen zu unterhalten und Ideen zu entwickeln. Und das ist auch Qualitätssicherung. Die Fragen, die wir dann am Ende auch stellen, die würde ein Berater auch stellen, in einem solchen DS-Aufnahmeprozess. Wer braucht was, wie sind die Wege, wie wechseln sich die einzelnen Stellen ab bei der Verarbeitung, was brauchen sie dafür und was nicht. Wenn man diese Fragen geklärt hat, die man sowieso klären muss, um eine Verzeichnis der Verarbeitung zu erstellen, dann hat man im gleichen Zuge, seine Prozesse optimiert.
Das könnte dann auch für das Unternehmen eine Win-Win Situation sein, dass sie eventuell merken, sie brauchen irgendwelche Cloudspeicher doch gar nicht, weil sie feststellen, wir brauchen gar nicht so viele Daten. Und natürlich werden die Prozesse auch insofern optimiert, dass festgestellt wird, wer Daten braucht und für wen sie gar nicht notwendig sind.
BW: Datenschutz gewinnt an Relevanz. Glauben Sie, dass sich durch Datenskandale wie jetzt z.B. bei Facebook, Anfragen von Bürgern an die Aufsichtsbehörden häufen werden?
Imke Sommer: Das weiß ich nicht. Sie reden jetzt von den großen Playern, ich glaube, da ist soviel in der Debatte, das guckt man sich an und darauf reagiert man. Wenn irgendwie bei 10% der Leute schon daraufhin ihren Account abmelden, dann würde ich sagen, dass ist soziologisch gesehen eine Riesengröße. Da ist man ja völlig beeindruckt. Leute wie Facebook ändern ja auch schon ihre Geschäftsmodelle, die werden gar nicht mehr, das was wir so kennen, so lange machen können. Auch weil die jungen Leute da gar nicht mehr sind, auch ohne diesen Skandal, das hat gar nichts damit zu tun, spielt nicht mehr so eine Rolle. Gerade in Europa sind wir bei den sozialen Netzwerken in einer Dezentralisierung, die Jugendlichen haben eh alles möglich nebeneinander geöffnet und posten das eine auf Snapchat, das andere auf Instagram etc., in Europa werden sich die Rollen verändern.
Aber ich glaube, bei der Veröffentlichung von Daten im Internet, verändert sich etwas, die Sensibilitätr nimmt zu. Sie machen ja einen Blog, das sieht man schon, das ist journalistisch aufbereitet, aber wir haben eben auch ganz viel in einem Grenzbereich. Wo man vlt. auch sagen würde, das gehört zum Journalismus, weil das auch sowas wie einen Sendeplan hat, fällt es auch unter das Landesmediengesetz. Man sollte jetzt in Europa nicht an der Pressefreiheit rumzudoktern, das fände ich ganz gefährlich, das fände ich falsch. Es gibt auch viele Sachen, wo es eben definitiv keine Presse ist, und wo sich, personenbezogene Fakenews tummeln und auch in diesem Grenzbereich, da steigen die Eingaben bei uns.
Deshalb habe ich jetzt versucht beim Landesmediengesetz zu sagen, die fallen mit drunter, weil man es weit fassen sollte, sollte man auch hier die DSGVO mit ziehen lassen. Seriöse Presse, in Bremen z.B. der Weser-Kurier haben nichts zu befürchten, die machen das sowieso über den Pressecodex. Die sind da sensibel.
Aber es gibt eben auch solche, die machen das eben nicht, die fallen aber trotzdem unter den Pressebegriff. Hier entwickelt sich aus der gesellschaftlichen Sensibilität für die Fakenewsdebatte und die Folgen, die das für Menschen haben kann, wenn da etwas falsches im Internet über sie steht, da entwickelt sich eben auch was und das sehen wir auch an den Eingaben. Der Eingabeprozess für solche Beschwerden kann sich gut entwickeln, gerade auch für Vorfälle z.B. bei Facebook und das trägt dann weiter zur Sensibilisierung bei. Da bin ich sehr gespannt drauf und freue mich auch auf den Koordinationsprozess mit den anderen europäischen Aufsichtsbehörden. Das wird ganz spannend, es wird sich insgesamt eine Kultur entwickeln.
Ich hatte bei einer Handelskammerveranstaltung einen CO- Referenten und der sagte mir, selbst in Japan aber auch in den USA merkt er die Rückwirkung der DSGVO, weil die überlegen sich an dem nun bestehenden Standard zu orientieren. Wenn das passiert, dann brauchen wir bald gar nicht mehr zu überlegen, in welche Weltregionen schicken wir die Daten. Und wenn selbst Zuckerberg jetzt sagt, er sieht das auch, dass es da jetzt Regelungen geben wird, zur Selbstverpflichtung und das das bisherige nicht ausreicht. Wenn er das jetzt sogar sagt, das ist dann super vorgelegt. Ich fand das interessant, dass die Wahrnehmung bereits vor der Geltung eintritt. Und er hat auch gesagt, dass er sieht, dass das eine jetzt auch die Bußgelder sind, die eine Verhaltensänderung bewirken und das andere ist, dass die großen Firmen, die schon seit 2 Jahren in der Umsetzung sind, natürlich von Ihren Partnern bei der Auftragsvergabe dasselbe Niveau verlangen werden. Das ist natürlich auch eine disziplinierende und viel teurere Motivation.
Das fand ich interessant zu hören.
Es scheint auch eine Art Goldgräberstimmung in der Branche zu geben, uich sage denen, das ist Quatsch, die wollen alle nur Geld verdienen. Ich vertrete eher die Ansicht, man kann mit den Hilfen, die wir zur Verfügung stellen, das ganz gut mit einem vertretbaren Aufwand schaffen. Für kleinere Unternehmen hat es einen großen Vorteil einen internen Datenschutzbeauftragten zu haben, weil der die Prozesse kennt.
BW: Ich stelle fest, dass interne DSB oftmals den zeitlichen Rahmen gar nicht haben
Das muss schon gegeben sein, die müssen ja einen Rollentausch vornehmen und müssen die Ergebnisse auch sagen dürfen. Es müssen auch gar keine Juristen sein, meist ist es so, die die tief in den Paragraphen drin stecken, das sind meist die Nichtjuristen. Die Juristen sind ja auch meist die Chefs.
BW: Ist unsere bremische Behörde dafür personell gewappnet?
Imke Sommer: Wir machen, was wir können. Wir sind personell ganz gut aufgestellt. Es wird sich zeigen, ob wir mit unseren Ressourcen hinkommen. Es steht fest, dass wir nicht alles schaffen werden. Wir brauchen auf jeden Fall mehr Personal, wie viele kann ich noch nicht abschätzen. Es wäre schön, wenn unser Bereich eine Aufwertung erfahren würde. In der DSGVO steht ja drin, wir sollen alle gut ausgestattet werden, schwierig, das hängt von den Prioritäten ab. Wir fangen jetzt erstmal an.
Wir haben in Bremen schon lange eine sehr gute Quote an Bußgeldverhängungen. Wir sind da schon geübt, wir haben also die Praxis und müssen sie jetzt in die Quantität bringen. Es kommt leider nicht alles im Haushalt an, weil es vielfach durch Einsprüche bei den Gerichten landet.
BW: DSGVO schön und gut, der Gesetzgeber tut schon viel, wo sehen Sie aber die Eigenverantwortung des Bürgers?
Imke Sommer: Die Eigenverantwortung ist eine für sich selbst. Grundrecht auf informationelle Selbstbestimmung ist ein kommunikatives Grundrecht. Ich steuere meine Kommunikation. Die Steuerungskomponente ist hier wichtig. Aber wenn mir rechtswidrigerweise vorgegaukelt wird, ich könne es bestimmen, aber ich kann es nicht, dann sind diejenigen in der Pflicht. Dann sind es die Plattformen, die sich rechtswidrig verhalten und nicht die Leute, die sie nutzen. Die Leute sind dann nicht selbst Schuld, weil sie ein völlig legitimes Kommunikationsbedürfnis haben, sondern diejenigen, die die Bestimmungen nicht einhalten. Es gab früher die VZ-Netzwerke, die waren mit meinem damaligen Kollegen aus Berlin abgestimmt. Das waren legitime Kommunikationsplattformen. Es ist also nicht so, dass das nicht geht und das man unbedingt Datenschutzrechte verletzen muss, man kann das auch richtig machen, und das ist auch nicht der Grund, warum die VZ-Netzwerke gestorben sind, sondern das liegt daran, dass die anderen eben attraktiver geworden sind.
Man ist also nicht schuld daran, dass die Sachen irgendwo landen, trotzdem muss man wissen, dass sie irgendwo landen, wo man vlt. nicht möchte.
Bei den amerikanischen Playern war es immer so, dass die einfach gesagt haben, es interessiert sie nicht, was unser recht ist. Wir sind jetzt erst damit bei EuGH und da kommt das jetzt mit der doppelten Verantwortung und ich hoffe mal, dass der Generalanwalt unserer Argumentation da folgt. So lange dauert das eben, das muss man wissen. Jetzt geben die Betreiber ja sogar selber zu, dass das so nicht in Ordnung war und nun sind auch die Menschen in Verantwortung, die nun wissen, das ist rechtswidrig, was die da machen. Da ist jeder in der verantwortung zu entscheiden, mache ich das nun trotzdem oder nicht? Da ist es aber auch wichtig nun die, die das noch nicht verstehen, weil sie eben zu jung sind zu schützen, das ist auch ein wichtiges Anliegen der DSGVO.
Hier ist die Entzauberung auch wichtig, gerade bei Kindern, es ist eben nichts umsonst. Das ist leider nicht so, keiner gibt Euch was. Die dürfen ja auch nicht bei jemandem im Auto mitfahren. Das ist eine wichtige Arbeit.
Information der Menschen ist wichtig, die Menschen müssen darüber informiert werden, wie sie sich selber schützen können.
B.W. Bei manchen Sachen hat man ja auch eine Entscheidung. WhatsAPP ist immer mein Lieblingsbeispiel. WhatsAPP informiert mich bei der Anmeldung darüber, dass es die Daten auf meinem Handy weitergibt. Also die Daten von anderen Personen verschenke ich an WhatsAPP, aber ich konnte mich ja entscheiden. Was ist mit der Sensibilität beim Umgang mit Daten anderer Personen?
Die kommt wieder, da bin ich ganz zuversichtlich. Innerhalb der ganzen Debatten, die da jetzt auftauchen, werden die Menschen auch mehr über ihre eigene Verantwortung im Umgang mit Daten anderer Personen nachdenken. Das muss auch klar sein, dass ich auch eine Verantwortung habe für die Daten anderer, die ich da einfach weitergebe.
Interessant ist in diesem Zuge der Umgang mit der Gesichtserkennungssoftware von Facebook. Hier gab es viele Eingaben, auch der verschiedenen Aufsichtsbehörden, die dazu geführt haben, dass Facebook diesen Dienst für ganz Europa ausgeschaltet hat. Da haben sie gemerkt, es gibt Sachen, hier z.B. das Recht am eigenen Bild, das wird hier anderes gesehen. Auch google Streetview, das wurde auch anders gesehen, google war überrascht.
Diese Vorkommnisse sind relevant für die Sensibilität. Die Leute kommen an den Punkt, hier ist Schluss, ich will nicht, dass jeder sieht, dass ich nicht aufgeräumt habe. Sowas bringt die Leute dazu, bestimmte Dinge auch mal anders zu sehen.
Zurück zum Beispiel WhatsAPP, das sehe ich auch so, diese Verantwortung müssen die Menschen tragen. Da ist dann nicht mehr WhatsAPP Schuld, man hat sich selber entschieden. Andere Messenger werden mehr und mehr genutzt, die kosten dann zwar was, aber die Daten werden anders behandelt.
BW: Was können Bürger tun, um ihre Daten besser zu schützen
Imke Sommer: Man muss sich schon auf die Suche machen, man muss bei der Installation einer APP schon lesen, was will die alles haben. Gutes Beispiel die google Taschenlampe, nur für die Funktion, dass das Blitzlicht als Lampe genutzt werden kann, dafür wollen die dann aber auch das Telefonbuch auslesen. Lesen muss man schon. Man kann nicht immer sagen, das ist mir alles zu kompliziert. Die Chance mit der DSGVO ist, dass man auch versteht, was man da liest. Wenn Menschen doch etwas finden, was sie nicht verstehen, dann sollen sie sich an die Aufsichtsbehörde wenden. Da haben wir dann einen Anknüpfungspunkt und wir kümmern uns drum.
Sich selbst beobachten und dabei sehen, was passiert mit meinen Daten und mit denen meiner Freunde? Und auch in der analogen Welt mal gucken. Alle, die in ihrem Beschäftigungsverhältnis etwas finden, ermutigen, sich bei uns zu melden. Die Beschwerden werden anonym gehandhabt. Es werden nur geschwärzte Akten weitergegeben, wenn die Menschen nicht möchten, dass ihr Name bekannt wird. Wir dürfen unsere Whistleblower schützen und das tun wir auch, weil sie eben auch etwas zu verlieren haben. Wir brauchen den Namen auch nicht, es geht um die Sache nicht um die Personen.
BW: Welche Projekte haben Sie sich als Landesbeauftragte für den Datenschutz für 2017/2018 vorgenommen?
Imke Sommer: Uns so optimal aufzustellen, dass wir möglichst viele unserer Aufgaben schaffen. Wir sind ganz gespannt, was da jetzt ankommt. Auch was aus den anderen Mitgliedsstaaten kommt. Wie wir DSGV gemeinsam auf den Weg bringen. Wir stellen uns besonders auf für Bußgelder.
Wir bedanken uns bei Frau Dr. Imke Sommer für das zugewandte Interview und die hilfreichen Informationen. Das Interview wurde geführt und bearbeitet von Britta Wellmann
Im Gespräch mit Barbara Thiel, eine Zusammenfassung.
Quelle: www.lfd.niedersachsen.de
Am 3. November 2017 hatte ich ein sehr zugewandtes Gespräch mit Barbara Thiel unserer Landesdatenschutzbeauftragten in Niedersachsen. Das Gespräch fand in den Räumen der Aufsichtsbehörde in Hannover statt. Wir sprachen viel länger als vereinbart und Frau Thiel gab sehr wertvolle Anregungen zum Thema DSGVO und BDSGneu. Besonders gefallen hat mir, die freundliche, sehr persönliche Schilderung ihrer Sichtweise. Weil das Interview nun sehr lang geworden ist, und wir hätten sicher noch Stunden weiter sprechen können, habe ich es etwas gekürzt, damit es lesbar ist. Es entspricht somit nicht zu 100% dem original geführten Interview.
BW: Das Ende der Übergangsfrist für die Einführung der DSGVO steht vor der Tür. Welches sind aus Ihrer Sicht die wichtigsten Neuerungen?
Ich finde sehr gut, dass wir in Zukunft eine Rechtsgrundlage in ganz Europa haben werden. Die DSGVO gilt europaweit und unmittelbar in allen Mitgliedsstaaten. Das ist sicherlich die wichtigste Erkenntnis, eine Rechtsgrundlage, eine Harmonisierung des europ. Datenschutzes.
Ich meine, dass das Marktortprinzip eine ganz wesentliche Neuerung ist. Wenn Unternehmen aus Drittstaaten, sich in Europa wirtschaftlich betätigen möchten, dann haben Sie sich an die Datenschutzgrundverordnung zu halten. Bisher haben wir wenig Handhabe gegenüber Google, gegenüber Facebook und das ändert sich mit dem Marktortprinzip ganz entscheidend.
Ich glaube, man kann auch insgesamt sagen, dass die DSGVO gut ist für die Unternehmen, eben nicht schlecht sondern gut, weil sie diese Harmonisierung schafft und weil sie dadurch einen besseren Vollzug ermöglicht.
Genau diese Punkte: Verordnung, unmittelbare Geltung, Marktortprinzip das sind die Punkte, die sich für die Unternehmen zunächst einmal als positiv darstellen. Und wenn Sie dann noch genauer in die DSGVO reinschauen, gibt es natürlich einige Regelungen, die in der DSGVO einfach einmal genauer festgehalten wurden, z.B. privacy by design, privacy by default, Datenschutz durch Technik, Datenschutz durch Voreinstellungen, durch eingebauten Datenschutz von Anfang an. Ganz wichtig, die DSGVO gibt zwar keine weitergehenden Erläuterungen, aber ich finde es wichtig, dass diese Dinge schriftlich verankert sind.
Was ich auch sehr gut finde, ist die Möglichkeit der Zertifizierung für Unternehmen, es ist doch eine tolle Sache, wenn man durch die Zertifizierung ein Qualitätsmerkmal deutlich herausstellen und sich als datenschutzfreundliches Unternehmen präsentieren kann. Das befreit natürlich nicht davon, auch künftig alle Dinge zu erfüllen, die in der DSGVO angelegt sind,
Ich könnte noch viele Punkte mehr nennen, aber ich denke, das sind die Wichtigsten.
Eins fällt mir noch ein, was sicherlich auch eine Herausforderung für Unternehmen und Aufsichtsbehörden darstellen wird, ist der Punkt der Datenschutzfolgenabschätzung. Die Frage, was ist ein Risiko, welche Verarbeitungsvorgänge sind als besonders riskant zu betrachten und mit welcher Methode führen wir dann eine solche Datenschutzfolgenabschätzung durch?
Da erwarten die Unternehmen dann von uns auch klare Aussagen, das weiß ich. Sie erwarten von uns die sogenannte Blacklist, die Liste der besonders riskanten Verarbeitungsvorgänge. Und sie erwarten von uns auch Hilfestellung bei der Frage der Methodik. Beides liegt noch nicht vor und an der Stelle kann ich verstehen, dass die Unternehmen etwas angespannt sind.
Da müssen wir jetzt auch wirklich bis Ende des Jahres liefern, aus meiner Sicht.
Für uns als Aufsichtsbehörden kommt als weitere Herausforderung hinzu, dass die Unternehmen künftig einen Anspruch auf Konsultation haben. Und da müssen wir innerhalb von 8 Wochen antworten. Und das ist, glaube ich, eine Form der Bearbeitung, die den Aufsichtsbehörden bisher so nicht bekannt ist.
BW: Aber das ist ja nicht schlecht, dann hat man im Hinterkopf „Ich weiß es nicht so genau, ich frage mal“ und dann sind Sie dran, dann ist der schwarze Peter bei Ihnen
Na, ja dieses „ich frag mal“ ist vielleicht ein bisschen zu wenig. Es geht um einen konkreten Sachverhalt und diesen konkreten Sachverhalt haben wir zu bewerten. Ich würde das schon in diesem Sinne interpretieren, wie es auch im Steuerrecht Usus ist, da gibt es ja auch diese verbindliche Auskunft und da gibt es dann natürlich nur Verbindlichkeit auf diesen konkreten Sachverhalt bezogen. Es ist eine Frage des Gebens und des Nehmens, so würde ich das sehen.
Welche Punkte werden selbst für diejenigen Unternehmen eine Herausforderung darstellen, die bereits funktionierende betr. Datenschutzkonzepte haben?
Wir sagen immer, für die Unternehmen, die bisher ihre Hausaufgaben gemacht haben und eben schon ein betrieblich gut funktionierendes Datenschutzsystem aufgebaut haben, ändert sich im Prinzip nicht viel.
Was sich ändert ist, dass die Unternehmen in Zukunft mehr dokumentieren und mehr nachweisen müssen. Stichwort: Accountability und daraus folgen nun einmal mehr Dokumentations- und Nachweispflichten. Das sehe ich aber nicht negativ, es wird in der Öffentlichkeit immer so dargestellt, die DSGVO bringt mehr Bürokratie. Aber es ist doch gut, wenn ich deutlich machen kann, was ich in meinem Unternehmen getan habe, um Datenschutz auch tatsächlich zur Geltung zu bringen. Also an der Stelle würde ich sagen, verändert sich auch etwas für die Unternehmen, die schon bisher gut gearbeitet haben. Und ich glaube, es gibt zwei Bereiche, in denen die Unternehmen künftig genauer hinschauen müssen. Sie müssen einerseits wirklich deutlicher trennen zwischen der Verantwortung der Unternehmensleitung auf der einen Seite und der Position des Datenschutzbeauftragten auf der anderen Seite. Da hat es in der Vergangenheit und gibt ja auch heute in der Gegenwart Mischverhältnisse, die die beiden Funktionen eben nicht sauber voneinander trennen.
Sie müssen sicherlich auch genauer hinschauen, wen sie als Auftragsverarbeiter einsetzen. Da muss man sich auch die Verträge nochmal genauer anschauen, wie die abgefasst sind. Es wird in Zukunft darum gehen, das betrifft aber weniger die Unternehmen, sondern mehr die Auftragsverarbeiter, das sie auch haften. Das heißt, wir werden in Zukunft nicht nur die Unternehmen als Verantwortliche prüfen, sondern wir werden sicherlich auch den Auftragsverarbeiter prüfen.
Ich glaube, es wird sich auch etwas ändern bei der Einwilligung. Da muss man nochmal sehr genau hinschauen, ob die bisher erteilten Einwilligungen tatsächlich den Anforderungen entsprechen, die jetzt durch die DSGVO gestellt werden. Einfach mal so konkludente Einwilligungen zu formulieren, das wird nicht mehr möglich sein, es muss schon mehr Ausdrücklichkeit vorhanden sein.
Das würde ich sagen, das sind Herausforderungen sicherlich.
Ein Punkt fällt mir noch ein. Selbst da, wo funktionierende Systeme vorhanden sind, muss man sich nochmal die Geschäftsprozesse anschauen, weil ich schon an der ein oder anderen Stelle gehört habe, dass nicht alle Geschäftsprozesse, in denen personenbezogene Daten verarbeitet werden, tatsächlich aufgenommen waren. Man muss nochmal sehr genau schauen und eine vollständige Bestandsaufnahme machen. Es gibt Prozesse in denen die Verarbeitung personenbezogener Daten nicht so offensichtlich zu Tage tritt. Hier nochmal mehr Sensibilität in den Unternehmen schaffen und genauer hinschauen, wo werden personenbezogene Daten in den Unternehmen verarbeitet.
BW: Alle sprechen von DSGVO aber fast niemand über das BDSG neu, ist die Anpassung des BDSG an das DSGVO Ihrer Meinung nach gelungen?
Das BDSGneu war notwendig und ich sehe auch zunächst einmal das Positive an der Stelle, nämlich dass Deutschland voran gegangen ist, gegenüber vielen anderen europäischen Staaten. Es gibt jetzt weitere Länder, dazu gehört Österreich, Frankreich und einige der osteuropäischen Länder. Deutschland war aber eines der ersten Länder, wenn nicht sogar das erste Land.
Es ist jedenfalls positiv, dass man dort schon mal Zeichen gesetzt hat. Sie wissen ja vielleicht auch, dass wir uns als Datenschutzkonferenz sehr intensiv bei der Entwicklung des BDSGneu eingebracht haben, wir hatten eine Kontaktgruppe gebildet mit dem Bundesinnenministerium und wir hatten die Möglichkeit in dieser Kontaktgruppe wirklich sehr konstruktiv zusammenzuarbeiten und wir haben an der Stelle auch einiges erreichen können.
Wir sind nicht komplett durchgedrungen mit unseren Vorstellungen und das hat dann dazu geführt, dass wir als das BDSGneu dann als Entwurf auf dem Tisch lag, einiges an Kritik äußern mussten. Bezogen auf das Thema Nutzung der Öffnungsklauseln, bezogen darauf, dass wir in einigen Bereichen der Ansicht waren, dass die Öffnungsklauseln überdehnt wurden. Und auch in anderen Bereichen möglicherweise Regelungen getroffen wurden, für die gar keine Öffnungsklauseln vorhanden sind. Das haben wir sehr deutlich gemacht, es hat dann auch nochmal gewisse Nachbesserungen gegeben, nach wie vor gibt es aber gewisse Zweifel, ob das BDSGneu wirklich in allen Teilen europarechtskonform ausgestaltet ist.
Trotzdem muss man immer sagen, Europa ist auch froh, dass Deutschland da entsprechende Zeichen gesetzt hat. Ich würde das nicht nur mit Kritik belegen. Fakt ist aber, dass das deutsche BDSGneu sehr komplex, und in Teilen auch unübersichtlich ist. Es gibt die Begriffsbestimmungen, die schon sehr umfangreich sind, dann haben wir einen Teil in Bezug auf die Öffnungsklauseln des DSGVO und dann haben wir einen dritten Teil, der bringt Regelungen zur JI-Richtlinie. Ob man das nicht hätte trennen sollen? Wenn einerseits eine Verordnung und andererseits eine Richtlinie umgesetzt wird, dann sind das aus meiner Sicht zwei unterschiedliche Paar Schuhe. Und das bedeutet eben eine gewisse Unübersichtlichkeit, eine hohe Komplexität. Wir haben jetzt eine Verordnung und ein nationales Gesetz. Bisher hatten wir nur ein nationales Gesetz, durch das BDSGneu, das eben sehr differenziert und sehr detailliert ist, wird diese hohe Komplexität nochmal erhöht. So würde ich das schon sehen. Und das hat z.B Österreich ganz anders gemacht, das hat ein ganz schlankes Umsetzungsgesetz und im Ergebnis halte ich das für vorteilhafter.
Was mir auch noch einfällt im Hinblick auf das BDSGneu, ich habe ja über das Thema Öffnungsklauseln gesprochen. Ihre Frage war ja, wie beurteilen Sie das BDSGneu. Ich denke, es ist sehr komplex und an manchen Stellen hilft es auch in der Anwendung der vielen unbestimmten Rechtsbegriffe nicht weiter. Ich würde aber das Ergebnis positiv sehen wollen, weil die DSGVO den Aufsichtsbehörden definitiv mehr Macht gibt, als wir das in der Vergangenheit hatten. Wir sind jetzt diejenigen, die diese Vielzahl von unbestimmten Rechtsbegriffen, mit Leben zu erfüllen haben. Wir werden jetzt in den nächsten 3-5 Jahren wirklich sehr stark in dieser Rechtsanwendung gefordert sein. Aber das ist ja auch positiv, dass man ein Datenschutzrecht an der Stelle weiter entwickelt. Und es ist ja ausdrücklich so gewollt, dass genau das durch die Aufsichtsbehörden geschehen soll. Und letzten Endes wird es dann Entscheidungen durch den europ. Datenschutzausschuß geben und damit einheitliche Entscheidungen für ganz Europa und es wird natürlich auch den einen oder anderen Fall geben, der an den EuGH herangetragen wird, dann bekommen wir in den nächsten Jahren auch viel Klärung durch die Rechtsprechung.
Also, wir sind an vielen Stellen in einer unsicheren Phase, aber wir Aufsichtsbehörden sind auch bereit, diese Herausforderung anzunehmen, uns dieser Aufgabe zu stellen das Recht zu entwickeln. Es kommt eins hinzu, das Thema Öffnungsklauseln, BDSGneu und die Frage der Konformität, europarechtswidrig oder nicht europarechtswidrig. Da ist es so, dass man sich auch nochmal mit dem Thema Anwendungsvorrang beschäftigen muss. Wir werden uns im konkreten Einzelfall wirklich bemühen DSGVO und BDSG in Einklang zu bringen und die Regelungen des BDSG in diesem Sinne auszulegen. Und wenn wir an irgendeiner Stelle wirklich nicht mehr weiterkommen, dann werden wir auf den Anwendungsvorrang zurückgreifen müssen. Und das werden dann auch die Fälle sein, in denen wir wirklich auch auf die Entscheidung des EuGH zurückgreifen müssen.
Ich finde das total spannend, das ist doch eine reizvolle Aufgabe. Es ist interessant an der Weiterentwicklung mitwirken zu können. Und dann schauen wir mal, wo wir in 5 Jahren stehen.
BW: Dies deckt sich mit meinen Eindrücken aus meinen Vortrags- und Schulungsveranstaltungen, ich glaube sogar, dass der Anteil in Wirklichkeit noch höher ist.
Es gibt auch die BITCom-Umfrage und die deckt sich, mit dem was Sie jetzt eben gesagt haben. Ganz allgemein kann man sagen, dass sie sich gut auf den Weg gemacht haben, die großen Unternehmen und dass die kleinen und mittleren Unternehmen diejenigen sind, die möglicherweise gar nicht aktiv geworden sind. Aus den unterschiedlichsten Gründen, wir wollen jetzt hier keine Ursachenforschung betreiben. Es ist jedenfalls so, dass sie noch nicht begonnen haben, sich mit der DSGVO intensiver auseinanderzusetzen. Das ist uns bekannt, es hat schon im Sommer dieses Jahres eine Initiative des Bundesinnenministeriums gegeben, da mehr zu sensibilisieren. Dies setzt sich auch weiter fort, durch weitere Termine und wir haben jetzt ein Kurzpapier herausgegeben „Maßnahmenplan DSGVO für Unternehmen“ .
Das ist das, was wir diesen Unternehmen raten, jetzt sofort anzufangen, weil die Zeit ist nun wirklich nicht mehr lang. Es ist schon 5 nach 12, man hätte schon viel früher beginnen müssen, aber es hilft ja jetzt nichts. Wenn man es bisher nicht getan hat, dann bitte jetzt! DSGVO ernst nehmen, sich unser Kurzpapier anschauen und nach der dort genannten Reihenfolge vorgehen.
Da sind verschiedene Punkte genannt:
Anpassung der betroffenen Strukturen und Prozesse. Das setzt natürlich voraus, dass ich mir erstmal klar darüber bin, welche Prozesse gibt es?
Man muss eine vernünftige Bestandsaufnahme machen
Die Verträge mit den Auftragsverarbeitern anschauen
Das Thema Einwilligungen betrachten, ob eine Rechtsgrundlage angegeben wurde
Ein Verfahrensverzeichnis wird benötigt. Wenn ich mir die Prozesse anschaue, resultiert daraus ein Verfahrensverzeichnis.
Dann schauen, welche Verarbeitungsvorgänge sind besonders riskant, welche brauchen eine Datenschutzfolgenabschätzung.
Das sind, glaube ich, die ersten Arbeiten, die man in diesem Zusammenhang macht.
Ich rate den Unternehmen, sich unsere Hilfen, unsere Kurzpapiere anzuschauen und dann kommt hinzu, dass Niedersachsen gemeinsam mit einigen anderen Bundesländern jetzt ein weiteres Papier herausgeben wird, das sich nochmal speziell an die KMUs richtet.
In diesem Papier werden wir nochmal darauf eingehen, was muss jetzt in diesen 6 Monaten unbedingt geschehen und was müssen auch KMUs beachten.
Es gibt ja die irrige Auffassung, wenn Unternehmen nur 9 Beschäftigte haben, dann brauchen sie Datenschutz nicht anzuwenden. Da werden 2 Prinzipien miteinander vermengt.
Nein, so ist es nicht, das betrifft nur den betr. Datenschutzbeauftragten, aber nicht um die Frage, ob Datenschutz überhaupt Anwendung findet.
In diesem Papier stellen wir Fragen in Bezug auf die DSGVO. Diese Fragen sollten sich die Unternehmen selber stellen und sich anhand dieser Fragen dann mit dem Thema DSGVO auseinander setzen.
Und dem anderen Teil, denjenigen Unternehmen, die immer noch denken, betr. Datenschutz sei unwichtig und verursache unnütze Kosten?
Das ist eine sehr gute Frage. Ich glaube nämlich auch, dass es sehr vielen Unternehmen darum geht, Geld zu sparen. Datenschutz ist natürlich kostenaufwändig in dem ein oder anderen Bereich, da mache ich mir auch nichts vor. Aber Datenschutz ist nicht einfach nur nice to have, sondern Datenschutz ist Grundrechtsschutz. Man muss sich dabei auch klar machen, dass ich als Unternehmen auch immer den Wunsch haben sollte, Vertrauen bei den Bürgerinnen und Bürgern zu schaffen, wenn es denn noch nicht vorhanden ist, bzw. das Vertrauen auch nicht zu zerstören. Das sollte man sich im Kern immer bewusst machen.
Ja, und wenn das nicht hilft, den Unternehmen immer noch nicht klar ist, worum es beim Datenschutz geht und was Datenschutz bewirken kann und bewirken wird, dann werden sie es irgendwann tatsächlich zu spüren bekommen. Wir Aufsichtsbehörden sind entschlossen ab dem 25. Mai 2018 zu prüfen. Wir überlegen uns momentan, in welcher Art und Weise wir dann unsere Prüfungen gestalten wollen, ich gehe davon aus, dass wir hier auch Checklisten entwickeln werden, anhand derer wir dann in die Unternehmen gehen.
Man sollte sich dabei immer klar machen, und das ist vielleicht auch ein ganz wichtiger Hinweis, das, was wir jetzt mit unserem Kurzpapier oder auch mit unserem Fragebogen nach draußen geben, das wird auch die Grundlage für unsere Checklisten sein, mit denen wir dann in die Unternehmen zur Prüfung gehen.
Also beachtet man das, hat man nichts zu befürchten. Beachtet man das nicht, dann werden wir irgendwelche Defizite feststellen, das ist so sicher wie das Amen in der Kirche, und dann werden wir uns irgendwann mit Sanktionen beschäftigen müssen.
Bis dahin sind wir dann auch so weit, das wir wissen, in welcher Art und Weise wir Bußgelder festsetzen werden. Momentan ist es noch ein völlig neues Gebiet und auch für uns als Aufsichtsbehörden eine riesige Herausforderung. Ein 66-fach erhöhter Bußgeldrahmen, das sind wir auch nicht gewohnt und wir müssen uns einfach an der Stelle überlegen, wie wir mit diesen neuen Anforderungen umgehen wollen.
Aber ich bin mir ziemlich sicher, dass wir in den nächsten Monaten Hilfestellungen von der Artikel-29-Datenschutzgruppe bekommen werden. Ein erstes Papier gibt es bereits auf europäischer Ebene, und dass wir hier auch auf der nationalen Ebene weiter entwickeln werden. Unsere Vorstellungen werden dann im Mai 2018 konkreter sein.
Ja, und dann sind wir wirklich entschlossen, auch Bußgelder festzusetzen.
Das muss ich mir als Unternehmen auch vergegenwärtigen, klar kostet Datenschutz Geld, aber wenn ein Bußgeld dann 66-fach erhöht ist, dann tut es richtig weh. An der Stelle ist es dann wirklich besser Datenschutz zu beachten, als ihn nicht zu beachten.
Bisher hatten wir eine andere Ausgangssituation. Da konnte jedes Unternehmen sagen, dieses kleine Bußgeld, das da festgesetzt wird, das nehme ich doch in Kauf und erspare mir dadurch Kosten an anderer Stelle.
Das wird sich in Zukunft ändern. Es wird alles bußgeldbewährt sein, was an Pflichten in der DSGVO angelegt ist. Es gibt keine Schlupflöcher mehr!
Die Tatsache, dass Bußgelder wirklich weh tun sollen, das ist ja auch ein Ziel der DSGVO, dies wird dann auch dazu führen, dass Unternehmen eine höhere Sensibilität gegenüber Datenschutz aufbringen.
Und dann kommt noch eins hinzu, es ist ja auch eine Frage der Reputation. Welches Unternehmen will sich das eigentlich in Zukunft leisten, in der Öffentlichkeit auf diese Art und Weise stigmatisiert zu werden.
BW: Betr. Datenschutzbeauftragte sind im allgemeinen keine Juristen. Ist die Umsetzung für nicht Juristen mit der für BDSB erforderlichen Sachkunde rechtssicher machbar?
Das kann man lernen, dafür muss man nicht Jurist sein. Zunächst einmal muss sich jeder vergegenwärtigen, die Accountability liegt bei der Unternehmensleitung und nicht beim Datenschutzbeauftragten. Der Datenschutzbeauftragte hat eine sog. Überwachungs- und Beratungsfunktion. Das muss man schon sehr sauber voneinander trennen, und Überwachungsfunktion, das ist der deutsche Ausdruck im englischen Text steht Controlling. Controlling ist eigentlich auch ein bisschen was anderes als eine reine Überwachungsfunktion.
Ein Datenschutzbeauftragter sollte aus meiner Sicht auch einen gewissen technischen Sachverstand mitbringen, um diese Verarbeitungsvorgänge dann technisch auch zu verstehen. Und im Übrigen, was die Datenschutzgrundverordnung und das BDSG angeht, kann man das lernen. Also wir z.B. hier bei uns in der Behörde führen Kurse für behördliche Datenschutzbeauftragte durch. Wir machen das aber nur im behördl. Bereich, weil wir nicht wirtschaftlich tätig sind. Aber genauso gibt es natürlich solche Kurse auch im betrieblichen Bereich und da hat man die Möglichkeit, sich entsprechend ausbilden zu lassen und das reicht.
BW: Welche Hilfestellungen können die Behörden einem betr. Datenschutzbeauftragten an die Hand geben? Diese Frage haben Sie teilweise schon zuvor beantwortet, es wurde die Möglichkeit der Konsultation genannt und es wurden Ihre vielfältigen Kurzpapiere erwähnt, die auch bereits auf diesem Blog an diversen Stellen verlinkt sind.
Die Kurzpapiere werden auch dankbar angenommen, dieses Feedback habe ich aus vielen Richtungen bekommen. Man ist sehr froh, dass es diese Kurzpapiere gibt und darauf wird zahlreich zurückgegriffen.
Aber wir stehen natürlich auch ansonsten zur Verfügung. Wir versuchen mit den Kurzpapieren eine Vielzahl von Unternehmen anzusprechen, aber wer jetzt konkrete Anliegen hat, der kann natürlich auch zu uns kommen. Diese Beratungsfunktion haben wir auch schon heute, und darüber hinaus, sage ich bei keiner Vortragsanfrage nein, wenn ich sie denn zeitlich in meinen Kalender einbauen kann. Wenn ich das selber nicht erledigen kann, dann macht es mein Vertreter und es gibt inzwischen auch einige Referatsleitungen, die unterwegs sind, und zu bestimmten Themen referieren und Vorträge halten.
Das machen wir also auch. Das ist auch eine Form von Sensibilisierung. Zwar eher allgemeiner Natur, nicht bezogen auf konkrete Sachverhalte, aber mit diesen Vorträgen machen wir auch deutlich, was wir als Aufsichtsbehörde erwarten.
Wir haben auch die Guidelines der Artikel-29-Datenschutzgruppe veröffentlicht, das sind zwar im Moment noch Workingpapers. Da aber die Artikel-29-Datenschutzgruppe übergehen wird in den europ. Datenschutzausschuß, kann man davon ausgehen, dass diese Papiere, die jetzt veröffentlicht werden, dann eben auch Guidelines sind und demzufolge nicht nur einen unverbindlichen Charakter haben.
BW: Die Kurzpapiere, z.B. das zum Thema Auftragsverarbeitung. Sie sind in einer einfachen und verständlichen Sprache geschrieben, oftmals gibt es Punkte, die man mit Ja oder Nein bewerten kann. Ich nutze sie selber in meiner beruflichen Praxis und finde sie sehr hilfreich.
BW: Wie beurteilen Sie bei internen DSB die unabhängige Beraterfunktion vs. Abhängigkeit vom Arbeitgeber. Ich stelle oftmals fest, dass die Abhängigkeit zum Wohl des Unternehmens sehr hoch angesiedelt ist.
Na, ja schwierig ist das schon mal dann, wenn der DSB nicht nur Datenschutzbeauftragter ist, sondern gleichzeitig auch noch irgendeinen operativen Bereich bearbeiten muss. Dann ist er sozusagen Diener zweier Herren und das ist schon schwierig. Da muss man dann sehr genau gucken, dass es keine Interessenkollisionen gibt. Wir haben schon Fälle in der Praxis erlebt, in denen diese Interessenkollisionen tatsächlich vorhanden waren. Das Modell des betr. Datenschutzbeauftragten ist theoretisch gut angelegt, in der Praxis ist es oftmals schwierig.
Ich glaube, dass die DSB in kleineren Unternehmen hier schon so ihre Schwierigkeiten haben. Und wenn sie dann auf ihre Unabhängigkeit pochen und ihre Weisungsungebundenheit, das dürfte in der Praxis nicht immer so einfach umzusetzen sein.
Dann kommt hinzu, dass die DSGVO ja dieses Thema Kündigungsschutz nicht explizit erwähnt. Wir sind aber der Auffassung, dass es nachwievor hier einen Kündigungsschutz geben muss.
BW: Steht der Kündigungsschutz im Moment nicht mehr explizit drin?
In der DSGVO ist er nicht erwähnt. Ich werde aber nochmal im BDSGneu nachsehen, ob dort etwas ausdrücklich gesagt worden ist. Das Thema Kündigungsschutz ist problematisch, wenn man die DSGVO mit den Regelungen, die bisher bestehen, vergleicht.
BW: Da habe ich oft Rückfragen. Wenn ich einen internen DSB nehme, sagte mir ein Unternehmer, dann hat der MA ja einen speziellen Kündigungsschutz, ähnlich wie der Betriebsrat…
Hat er auch momentan! Wir gehen davon aus, dass das bestehen bleibt, aber die rechtliche Konstruktion ist nicht ganz so einfach. Das müssen wir uns nochmal angucken. Das ist auch so ein Thema, mit dem ich mich nochmal beschäftigen wollte, weil das immer wieder mal erwähnt wird.
BW: Ein Datenschutzbeauftragter, der seinen Job ernst nimmt, ist ja zuweilen sehr unbequem, gerade, wenn er Rückgrat zeigt.
Das muss er auch! Da haben es die behördl. DSB wesentlich einfacher, die sind auch unbequem, ich habe aus meiner früheren Tätigkeit da auch entsprechende Erfahrungen gesammelt. Die Erfahrung, dass es zwar einen DSB gibt, der aber tatsächlich gar nicht aktiv wird, weil er so viel mit fachlichen Aufgaben zu tun hat, dass er sich gar nicht um das Thema Datenschutz kümmern kann und es auch gar nicht als so bedeutsam einschätzt. Ich habe aber auch die Erfahrung gemacht, dass wenn jemand sich wirklich nur ausschließlich um Datenschutz kümmert, der lästig ist, man ihn als unangenehm empfindet, der dann eben aber auch in vollem Umfang seiner Beratungsfunktion nachkommt. Aber er ist auf jeden Fall im öffentlichen Dienst geschützter, als das in der freien Wirtschaft der Fall ist.
BW: Spätestens, wenn man sich die Bußgelder so anschaut, kann man erkennen, dass dem Datenschutz eine hohe Wichtigkeit zugeschrieben wird. Haben Sie eine Idee, wie man dieses Thema noch besser transportieren kann, so dass es für Betriebe zur Selbstverständlichkeit wird?
Tja, was kann man da tun? Es gibt ja jetzt Aktivitäten, die in die Richtung gehen, Unternehmen auszuzeichnen. Ich habe schon einleitend gesagt, es muss gelingen, das ist jetzt der Anspruch. Es muss gelingen, Datenschutz zum Qualitätsmerkmal zu entwickeln, um daraus dann Wettbewerbsvorteile zu entwickeln, das ist das Ziel.
Unser ehem. Bundespräsident hat mal gesagt, „Datenschutz ist der Umweltschutz des 21. Jhd. “ Umweltschutz ist heute auch selbstverständlich.bEs gibt immer irgendwelche schwarzen Schafe, aber in der Regel ist das selbstverständlich. Jetzt würde ich zunächst einmal darauf setzen, dass der Wille, an dieser Stelle Gutes zu bewirken, mit Blick darauf, dass es um Grundrechtsschutz geht, und mit Blick auf das Vertrauen der Bürgerinnen und Bürger, dass der Wille grundsätzlich vorhanden ist.
Über den Weg der Zertifizierung kann dies auch nach außen getragen werden. Oder eben auch über den Weg der Selbstverpflichtung, Stichwort: corporate rules, code of conduct, das sind auch Elemente, die jetzt in der DSGVO angelegt sind. Dass vielleicht gute Beispiele andere Unternehmen dazu bringen, sich diesen guten Beispielen anzuschließen. Erstmal vertraue ich auf diesen Selbstreinigungsprozeß und wenn das nicht ausreichend sein sollte, dann werden wir mit Sanktionen, also Bußgeldern arbeiten müssen.
Und das wird auch einen großen Schritt in Richtung „Datenschutz ist Grundrechtsschutz“ bewirken, aus meiner Sicht. Also mehr Ideen hätte ich im Moment nicht.
Man kann freiwillige Preise vergeben, das geschieht auch schon, dass Preise ausgerufen werden, für besonders datenschutzfreundliches Verhalten. Wir haben vorhin über Reputation gesprochen, dann können Unternehmen auch damit werben, ich halte das nicht für so ganz unwichtig. Das wären flankierende Maßnahmen vielleicht. Vielleicht noch, besonders datenschutzfreundliche Produkte, da habe ich jetzt schon mal gehört, die Unternehmen sind bereit, besonders datenschutzfreundliche Produkte anzubieten, aber es muss sich auch rechnen. Und an der Stelle habe ich jetzt auch noch keine Lösung, da habe ich noch keinen Königsweg, es ist beim Umweltschutz genau das gleiche gewesen, dass man da am Anfang auch gesagt hat, es sei alles viel zu teuer.
Man könnte vielleicht vonseiten des Staates damit arbeiten, dass man solche Dinge fördert, dass man Förderprogramme ausruft. Gerade wenn es um privacy by design und privacy by default geht, das muss staatlicherseits aus meiner Sicht dann auch unterstützt werden. Man kann nicht nur auf den Willen der Unternehmen setzen.Ich bin mal Europadezernentin gewesen in der Region Hannover, und habe mich in der Zeit mit der neuen Förderperiode beschäftigt, wir haben die EFRE Programme im Wirtschaftsbereich, ELA-Programme, im landwirtschaftlichen Bereich, dann haben wir den ESF, der ist im sozialen Bereich unterwegs. Die EU hat in dieser laufenden Förderperiode das erste Mal deutlich Ziele gesetzt für die Fördermaßnahmen und für die Umsetzung in den einzelnen Staaten. Wie wäre es denn, wenn dieser Impuls dann auch mal von der EU ausginge, um der eigenen DSGVO dann eine entsprechende Kraft auch zu geben, Ziele zu setzen, mit denen Förderprogramme in den eigenen Staaten entwickelt werden können. Aus meiner Sicht könnte das für die nächste Förderperiode ein guter Weg sein.
BW: Gute Ideen, positive Verstärkung wirkt ja bekanntermaßen besser als negative
Ja, ich denke schon, dass wir staatliche Unterstützung brauchen. Gut, das könnte schon von der EU an die Staaten herangeführt werden, und die Staaten ihrerseits entwickeln dann eben entsprechende Programme.
BW: Fühlt sich Ihre Behörde auf die erweiterten Anforderungen genügend vorbereitet?
Nicht komplett, nein. Diese Behörde hat sich vergrößert, im Haushalt 2017/18 hat der niedersächsische Landtag aus meiner Sicht schon mal sehr deutlich gemacht, dass er gewillt ist, uns an dieser Stelle auch zu unterstützen. Insgesamt 10 Stellen sind uns bewilligt worden, und wenn man überlegt, dass wir von 40 Stellen kommen, und dann Ende 2018 50 Stellen haben werden, das ist ja immerhin eine Aufstockung um 25%. Die 10 Stellen sind aber nicht genug, ich habe mich mit dem Landtag so verständigt, allerdings noch mit der letzten Landesregierung, dass ich für den nächsten Haushalt Zahlen, Daten, Fakten nenne und dass dann nochmal aufgestockt werden muss, in welcher Höhe auch immer.
Diese Zahlen, Daten, Fakten werden wir für den nächsten Haushalt zusammentragen und dann werde ich mich bemühen auch nochmal etwas durchzusetzen, wir werden sehen.
Wir bedanken uns bei Barbara Thiel für das zugewandte Interview und die hilfreichen Informationen. Das Interview wurde geführt und bearbeitet von Britta Wellmann
