Im Gespräch mit Dr. Imke Sommer
Am 12. April 2018 hatte ich ein Interview mit unserer Landesbeauftragten für den Datenschutz Dr. Imke Sommer in Bremen. Mit DSGVO, werden die Rechte der Bürger in Bezug auf den Schutz der eigenen Daten nochmal gestärkt. Mir ist in dieser Interviewreihe sehr wichtig, darzustellen, dass die Datenschutzbehörden nicht gesichtslos sind, sondern, dass dort Menschen arbeiten, die sich um unsere Persönlichkeitsrechte kümmern. Man kann sich dort beraten lassen, wenn man das Gefühl hat, dass irgendjemand die eigenen Daten für andere Zwecke nutzt als die Gedachten. Viel Spaß beim Lesen!
BW: Ich habe mit Interesse Ihren Datenschutzbericht gelesen. Dort ist die Rede von einer Bürgerberatung. Würden Sie sagen, dass die Nachfrage von Privatpersonen zum Thema Datenschutz steigt?
Imke Sommer: Insgesamt sehe ich das schon so. Im Beschäftigtenbereich ist viel gekommen, die Menschen beginnen, eine Opposition zu entwickeln, die auch richtig ist. Sie wollen sich nicht mehr alles gefallen lassen und das finde ich gut. Das liegt auch daran, dass Marc Zuckerberg, nun im Sakko, vor dem Kongress erscheinen und Rede und Antwort stehen muss.
BW: Welche Anliegen haben die Bürger von Bremen an die bremische Datenschutzbeauftragte?
Imke Sommer: Viele haben tatsächlich Fragen, aber die meisten haben einen konkreten Fall im Kopf und fragen schon sehr genau, ob das Thema richtig gehandhabt wird oder ggf. gegen ihr Recht auf informationelle Selbstbestimmung verstößt. In den meisten Fällen ist das Gefühl der Bürger an dieser Stelle völlig richtig. Vor allem ist hier das Gefühl richtig, dass das ein Eingriff in den privaten Schutzbereich ist, wir sind ja im Grundrechtsbereich. Das heißt nicht zwangsläufig, dass es sich immer um eine Rechtsverletzung handelt, aber ganz oft ist es so, dass es sich sehr nah an der Grenze zur Verletzung befindet oder dass die Grenze sogar überschritten wurde. Ich möchte gerne alle motivieren, sich zu melden, denn sobald sich ein Bürger meldet, bin ich die betroffene Behörde und wir kümmern uns. Meistens ist das richtig und wenn nicht, so hat man zumindest ein gutes Gefühl nachgefragt zu haben.
BW: Gibt es eine Häufung von speziellen Themen?
Imke Sommer: Wir merken, dass der Bereich des Beschäftigten Datenschutzes das Thema Videoüberwachung überrundet hat. Dazu muss man sagen, dass wir Videoüberwachung auf dem Arbeitsplatz zum Beschäftigtendatenschutz rechnen. Es könnte aber sein, dass diese Fälle in anderen Behörden dann zur Videoüberwachung zählen, weil sie den Fokus dort sehen.
BW: Sie sprechen von einem bremischen Datenschutzniveau, was genau meinen Sie damit? Oder anders gefragt, gibt es einen bremischen Datenschutzstil?
Imke Sommer: Das weiß ich nicht, ich beziehe mich natürlich auf den Datenschutz im Land Bremen. Ich hatte mir ja letztes Mal gewünscht, ein bremisches Profil der informationellen Selbstbestimmung zu haben. Es sieht so aus, als ob, das bremische Datenschutzgrundverordnungsausführungsgesetz rechtzeitig verabschiedet wird. Ich finde es ist gut geglückt, weil das Gesetz sehr schlank geworden ist. Ihre Frage zielt ja eigentlich auf etwas anderes. Ich glaube, dass die kurzen Wege in Bremen ganz viel dazu beitragen, dass das Gefühl, die ist so weit weg und nicht greifbar, dass das hier nicht passiert. Ich fahre mit der Straßenbahn von einem Termin zum nächsten, das geht schnell hier. Dadurch kann ich ganz viel machen. Der Bürger möchte einschätzen können, was wir machen.
Wir stellen Verstöße sehr schnell fest und haben nun keinen Ermessungsspielraum mehr, keine Bußgelder zu erheben. Wir können nicht mehr nur die Verwarnung machen. Wenn wir einen Verstoß feststellen lönnen wir keine Massnahmen alleine, ohne Bißgeld mehr verhängen. Ich bitte alle, das auch sportlich zu nehmen, alle sind nun auf dem Weg die DSGVO umzusetzen und mit den Bußgeldern für Falschparken, das nimmt man auch in Kauf. Man muss ein sportliches und entspanntes Verhältnis zu diesen Bußgeldern entwickeln. Und vor allem muss man wissen, dass sie bei Wiederholung höher sein werden. Das sollten nun alle zum Ansporn nehmen, die Verarbeiter sollten das Liegengebliebene aufarbeiten. Sie sind ja nun aufgeregt, weil sie es vorher nicht gemacht haben. Nun hat man einen Grund das zu ändern. Dann müssen eben auch die betroffenen Firmen damit rechnen, dass wir Beschwerden bekommen. Wir reagieren meistens auf Beschwerden, dass wir selbst tätig werden, ist relativ selten. Das schaffen wir auch gar nicht so viel. Die Motivation ist, dass Firmen sich mit den Menschen, deren Daten sie verarbeiten, gut stellen, damit die keinen Grund haben, sich bei uns zu beschweren. Das haben viele verstanden.
BW: Durch die neuen Bußgelder, kann man sich nicht mehr freikaufen.
In der Wirtschaft ist der Umgang anders als im öffentlichen Bereich. Im öffentlichen Bereich wird oft die Lage rechtlich anders gesehen, in der Wirtschaft wird eher gefragt, was es kostet, aber keiner stellt in Frage, dass man sich an die Gesetzte halten muss. Die Akzeptanz wird nun durch die neuen Bußgeldhöhen unterstützt. Es gibt Firmen, die anrufen und fragen, was kostet denn das? Das ist die Logik der Wirtschaft und das wird nun etwas stärker motiviert.
BW: Glauben Sie, dass DSGVO in den Köpfen der Bürger angekommen ist?
Imke Sommer: Ich meine mehr und mehr. Wir versuchen als Landesbehörden seit Inkrafttreten im Mai 2016, dieses Bewusstsein zu schärfen. Es ist natürlich schwer ohne die Journalistinnen und Journalisten aus der Szene, in der sich alles bewegt. Die IT-Branche ist gut informiert, die Menschen selber eher nicht so, aber das wird auch mehr. Es liest ja nicht jeder in Bremen Weser-Kurier, aber Ende 2017 gab es eine Info, was gibt es im neuen Jahr und seitdem steigert sich das Bewußtsein. Und eben auch die Information, dass die Betroffenenrechte gestärkt werden. Und dass es eben für solche wie Facebook besonders schwer werden wird diese Transparenz umzusetzen. Das glaube ich, ist angekommen und darüber freuen sich ja auch alle, weil das ja auch im öffentlichen Bereich, dass das was sie als bürokratische Formulierung nicht verstehen, dass das aufhören muss. Das ist im Moment eine tolle Situation.
BW: Was bedeutet DSGVO für Privatpersonen?
Imke Sommer: Der Artikel 12 der DSGVO, diese Anforderung transparent und in einfacher Sprache, das ist wirklich die Hauptgeschichte. Ansonsten ist Datenschutz inzwischen IT. Eigentlich kann man so viel richtig machen, wenn man von Anfang an IT-Kräfte auf das schauen läßt, was man macht an Datenverarbeitung. Die haben so viele Ideen, wie man Daten erst gar nicht entstehen lassen kann und dann auch noch den Zugriff beschränkt. Das ist eigentlich jetzt das Gebot der Stunde, sich mit Menschen, die sich mit IT auskennen zu unterhalten und Ideen zu entwickeln. Und das ist auch Qualitätssicherung. Die Fragen, die wir dann am Ende auch stellen, die würde ein Berater auch stellen, in einem solchen DS-Aufnahmeprozess. Wer braucht was, wie sind die Wege, wie wechseln sich die einzelnen Stellen ab bei der Verarbeitung, was brauchen sie dafür und was nicht. Wenn man diese Fragen geklärt hat, die man sowieso klären muss, um eine Verzeichnis der Verarbeitung zu erstellen, dann hat man im gleichen Zuge, seine Prozesse optimiert.
Das könnte dann auch für das Unternehmen eine Win-Win Situation sein, dass sie eventuell merken, sie brauchen irgendwelche Cloudspeicher doch gar nicht, weil sie feststellen, wir brauchen gar nicht so viele Daten. Und natürlich werden die Prozesse auch insofern optimiert, dass festgestellt wird, wer Daten braucht und für wen sie gar nicht notwendig sind.
BW: Datenschutz gewinnt an Relevanz. Glauben Sie, dass sich durch Datenskandale wie jetzt z.B. bei Facebook, Anfragen von Bürgern an die Aufsichtsbehörden häufen werden?
Imke Sommer: Das weiß ich nicht. Sie reden jetzt von den großen Playern, ich glaube, da ist soviel in der Debatte, das guckt man sich an und darauf reagiert man. Wenn irgendwie bei 10% der Leute schon daraufhin ihren Account abmelden, dann würde ich sagen, dass ist soziologisch gesehen eine Riesengröße. Da ist man ja völlig beeindruckt. Leute wie Facebook ändern ja auch schon ihre Geschäftsmodelle, die werden gar nicht mehr, das was wir so kennen, so lange machen können. Auch weil die jungen Leute da gar nicht mehr sind, auch ohne diesen Skandal, das hat gar nichts damit zu tun, spielt nicht mehr so eine Rolle. Gerade in Europa sind wir bei den sozialen Netzwerken in einer Dezentralisierung, die Jugendlichen haben eh alles möglich nebeneinander geöffnet und posten das eine auf Snapchat, das andere auf Instagram etc., in Europa werden sich die Rollen verändern.
Aber ich glaube, bei der Veröffentlichung von Daten im Internet, verändert sich etwas, die Sensibilitätr nimmt zu. Sie machen ja einen Blog, das sieht man schon, das ist journalistisch aufbereitet, aber wir haben eben auch ganz viel in einem Grenzbereich. Wo man vlt. auch sagen würde, das gehört zum Journalismus, weil das auch sowas wie einen Sendeplan hat, fällt es auch unter das Landesmediengesetz. Man sollte jetzt in Europa nicht an der Pressefreiheit rumzudoktern, das fände ich ganz gefährlich, das fände ich falsch. Es gibt auch viele Sachen, wo es eben definitiv keine Presse ist, und wo sich, personenbezogene Fakenews tummeln und auch in diesem Grenzbereich, da steigen die Eingaben bei uns.
Deshalb habe ich jetzt versucht beim Landesmediengesetz zu sagen, die fallen mit drunter, weil man es weit fassen sollte, sollte man auch hier die DSGVO mit ziehen lassen. Seriöse Presse, in Bremen z.B. der Weser-Kurier haben nichts zu befürchten, die machen das sowieso über den Pressecodex. Die sind da sensibel.
Aber es gibt eben auch solche, die machen das eben nicht, die fallen aber trotzdem unter den Pressebegriff. Hier entwickelt sich aus der gesellschaftlichen Sensibilität für die Fakenewsdebatte und die Folgen, die das für Menschen haben kann, wenn da etwas falsches im Internet über sie steht, da entwickelt sich eben auch was und das sehen wir auch an den Eingaben. Der Eingabeprozess für solche Beschwerden kann sich gut entwickeln, gerade auch für Vorfälle z.B. bei Facebook und das trägt dann weiter zur Sensibilisierung bei. Da bin ich sehr gespannt drauf und freue mich auch auf den Koordinationsprozess mit den anderen europäischen Aufsichtsbehörden. Das wird ganz spannend, es wird sich insgesamt eine Kultur entwickeln.
Ich hatte bei einer Handelskammerveranstaltung einen CO- Referenten und der sagte mir, selbst in Japan aber auch in den USA merkt er die Rückwirkung der DSGVO, weil die überlegen sich an dem nun bestehenden Standard zu orientieren. Wenn das passiert, dann brauchen wir bald gar nicht mehr zu überlegen, in welche Weltregionen schicken wir die Daten. Und wenn selbst Zuckerberg jetzt sagt, er sieht das auch, dass es da jetzt Regelungen geben wird, zur Selbstverpflichtung und das das bisherige nicht ausreicht. Wenn er das jetzt sogar sagt, das ist dann super vorgelegt. Ich fand das interessant, dass die Wahrnehmung bereits vor der Geltung eintritt. Und er hat auch gesagt, dass er sieht, dass das eine jetzt auch die Bußgelder sind, die eine Verhaltensänderung bewirken und das andere ist, dass die großen Firmen, die schon seit 2 Jahren in der Umsetzung sind, natürlich von Ihren Partnern bei der Auftragsvergabe dasselbe Niveau verlangen werden. Das ist natürlich auch eine disziplinierende und viel teurere Motivation.
Das fand ich interessant zu hören.
Es scheint auch eine Art Goldgräberstimmung in der Branche zu geben, uich sage denen, das ist Quatsch, die wollen alle nur Geld verdienen. Ich vertrete eher die Ansicht, man kann mit den Hilfen, die wir zur Verfügung stellen, das ganz gut mit einem vertretbaren Aufwand schaffen. Für kleinere Unternehmen hat es einen großen Vorteil einen internen Datenschutzbeauftragten zu haben, weil der die Prozesse kennt.
BW: Ich stelle fest, dass interne DSB oftmals den zeitlichen Rahmen gar nicht haben
Das muss schon gegeben sein, die müssen ja einen Rollentausch vornehmen und müssen die Ergebnisse auch sagen dürfen. Es müssen auch gar keine Juristen sein, meist ist es so, die die tief in den Paragraphen drin stecken, das sind meist die Nichtjuristen. Die Juristen sind ja auch meist die Chefs.
BW: Ist unsere bremische Behörde dafür personell gewappnet?
Imke Sommer: Wir machen, was wir können. Wir sind personell ganz gut aufgestellt. Es wird sich zeigen, ob wir mit unseren Ressourcen hinkommen. Es steht fest, dass wir nicht alles schaffen werden. Wir brauchen auf jeden Fall mehr Personal, wie viele kann ich noch nicht abschätzen. Es wäre schön, wenn unser Bereich eine Aufwertung erfahren würde. In der DSGVO steht ja drin, wir sollen alle gut ausgestattet werden, schwierig, das hängt von den Prioritäten ab. Wir fangen jetzt erstmal an.
Wir haben in Bremen schon lange eine sehr gute Quote an Bußgeldverhängungen. Wir sind da schon geübt, wir haben also die Praxis und müssen sie jetzt in die Quantität bringen. Es kommt leider nicht alles im Haushalt an, weil es vielfach durch Einsprüche bei den Gerichten landet.
BW: DSGVO schön und gut, der Gesetzgeber tut schon viel, wo sehen Sie aber die Eigenverantwortung des Bürgers?
Imke Sommer: Die Eigenverantwortung ist eine für sich selbst. Grundrecht auf informationelle Selbstbestimmung ist ein kommunikatives Grundrecht. Ich steuere meine Kommunikation. Die Steuerungskomponente ist hier wichtig. Aber wenn mir rechtswidrigerweise vorgegaukelt wird, ich könne es bestimmen, aber ich kann es nicht, dann sind diejenigen in der Pflicht. Dann sind es die Plattformen, die sich rechtswidrig verhalten und nicht die Leute, die sie nutzen. Die Leute sind dann nicht selbst Schuld, weil sie ein völlig legitimes Kommunikationsbedürfnis haben, sondern diejenigen, die die Bestimmungen nicht einhalten. Es gab früher die VZ-Netzwerke, die waren mit meinem damaligen Kollegen aus Berlin abgestimmt. Das waren legitime Kommunikationsplattformen. Es ist also nicht so, dass das nicht geht und das man unbedingt Datenschutzrechte verletzen muss, man kann das auch richtig machen, und das ist auch nicht der Grund, warum die VZ-Netzwerke gestorben sind, sondern das liegt daran, dass die anderen eben attraktiver geworden sind.
Man ist also nicht schuld daran, dass die Sachen irgendwo landen, trotzdem muss man wissen, dass sie irgendwo landen, wo man vlt. nicht möchte.
Bei den amerikanischen Playern war es immer so, dass die einfach gesagt haben, es interessiert sie nicht, was unser recht ist. Wir sind jetzt erst damit bei EuGH und da kommt das jetzt mit der doppelten Verantwortung und ich hoffe mal, dass der Generalanwalt unserer Argumentation da folgt. So lange dauert das eben, das muss man wissen. Jetzt geben die Betreiber ja sogar selber zu, dass das so nicht in Ordnung war und nun sind auch die Menschen in Verantwortung, die nun wissen, das ist rechtswidrig, was die da machen. Da ist jeder in der verantwortung zu entscheiden, mache ich das nun trotzdem oder nicht? Da ist es aber auch wichtig nun die, die das noch nicht verstehen, weil sie eben zu jung sind zu schützen, das ist auch ein wichtiges Anliegen der DSGVO.
Hier ist die Entzauberung auch wichtig, gerade bei Kindern, es ist eben nichts umsonst. Das ist leider nicht so, keiner gibt Euch was. Die dürfen ja auch nicht bei jemandem im Auto mitfahren. Das ist eine wichtige Arbeit.
Information der Menschen ist wichtig, die Menschen müssen darüber informiert werden, wie sie sich selber schützen können.
B.W. Bei manchen Sachen hat man ja auch eine Entscheidung. WhatsAPP ist immer mein Lieblingsbeispiel. WhatsAPP informiert mich bei der Anmeldung darüber, dass es die Daten auf meinem Handy weitergibt. Also die Daten von anderen Personen verschenke ich an WhatsAPP, aber ich konnte mich ja entscheiden. Was ist mit der Sensibilität beim Umgang mit Daten anderer Personen?
Die kommt wieder, da bin ich ganz zuversichtlich. Innerhalb der ganzen Debatten, die da jetzt auftauchen, werden die Menschen auch mehr über ihre eigene Verantwortung im Umgang mit Daten anderer Personen nachdenken. Das muss auch klar sein, dass ich auch eine Verantwortung habe für die Daten anderer, die ich da einfach weitergebe.
Interessant ist in diesem Zuge der Umgang mit der Gesichtserkennungssoftware von Facebook. Hier gab es viele Eingaben, auch der verschiedenen Aufsichtsbehörden, die dazu geführt haben, dass Facebook diesen Dienst für ganz Europa ausgeschaltet hat. Da haben sie gemerkt, es gibt Sachen, hier z.B. das Recht am eigenen Bild, das wird hier anderes gesehen. Auch google Streetview, das wurde auch anders gesehen, google war überrascht.
Diese Vorkommnisse sind relevant für die Sensibilität. Die Leute kommen an den Punkt, hier ist Schluss, ich will nicht, dass jeder sieht, dass ich nicht aufgeräumt habe. Sowas bringt die Leute dazu, bestimmte Dinge auch mal anders zu sehen.
Zurück zum Beispiel WhatsAPP, das sehe ich auch so, diese Verantwortung müssen die Menschen tragen. Da ist dann nicht mehr WhatsAPP Schuld, man hat sich selber entschieden. Andere Messenger werden mehr und mehr genutzt, die kosten dann zwar was, aber die Daten werden anders behandelt.
BW: Was können Bürger tun, um ihre Daten besser zu schützen
Imke Sommer: Man muss sich schon auf die Suche machen, man muss bei der Installation einer APP schon lesen, was will die alles haben. Gutes Beispiel die google Taschenlampe, nur für die Funktion, dass das Blitzlicht als Lampe genutzt werden kann, dafür wollen die dann aber auch das Telefonbuch auslesen. Lesen muss man schon. Man kann nicht immer sagen, das ist mir alles zu kompliziert. Die Chance mit der DSGVO ist, dass man auch versteht, was man da liest. Wenn Menschen doch etwas finden, was sie nicht verstehen, dann sollen sie sich an die Aufsichtsbehörde wenden. Da haben wir dann einen Anknüpfungspunkt und wir kümmern uns drum.
Sich selbst beobachten und dabei sehen, was passiert mit meinen Daten und mit denen meiner Freunde? Und auch in der analogen Welt mal gucken. Alle, die in ihrem Beschäftigungsverhältnis etwas finden, ermutigen, sich bei uns zu melden. Die Beschwerden werden anonym gehandhabt. Es werden nur geschwärzte Akten weitergegeben, wenn die Menschen nicht möchten, dass ihr Name bekannt wird. Wir dürfen unsere Whistleblower schützen und das tun wir auch, weil sie eben auch etwas zu verlieren haben. Wir brauchen den Namen auch nicht, es geht um die Sache nicht um die Personen.
BW: Welche Projekte haben Sie sich als Landesbeauftragte für den Datenschutz für 2017/2018 vorgenommen?
Imke Sommer: Uns so optimal aufzustellen, dass wir möglichst viele unserer Aufgaben schaffen. Wir sind ganz gespannt, was da jetzt ankommt. Auch was aus den anderen Mitgliedsstaaten kommt. Wie wir DSGV gemeinsam auf den Weg bringen. Wir stellen uns besonders auf für Bußgelder.
Wir bedanken uns bei Frau Dr. Imke Sommer für das zugewandte Interview und die hilfreichen Informationen. Das Interview wurde geführt und bearbeitet von Britta Wellmann
Weiterführende Links:
DSGVO
Youngdata, Datenschutzinfos für Kids