BigData und Datenschutz - Heute und in Zukunft Vortrag zum Data Mining Anwendertag des SAS Institute Heidelberg am 12. Juni 2013 in Heidelberg Referent: Rechtsanwalt Thilo Märtin für die Märtin & Nitsch Gruppe 1
Zur Person: Thilo Märtin Rechtsanwalt und Geschäftsführer der Märtin & Nitsch Gruppe, Nürnberg. Seit neun Jahren tätig als Datenschutzberater für mittelständische Unternehmen und Konzerne. Als behördlich bestellter Datenschutz-Sachverständiger bereitet er IT-Produkte auf das Datenschutzgütesiegel des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein vor. Tätig u.a. als Autor für die Verlage Haufe und Datenschutzberater: datenschutzrechtliche Lösungen für Personalabteilungen im Haufe Personal Office und allgemein für Lexware. 2
Überblick 1. Daten und Ihre Schützer Groupthink? Groupthink? Worauf es dem Datenschützer ankommt 2. Herausforderung für den Datenschutz: BIG DATA BIG DATA aus Sicht des heutigen Datenschutzes Ausblick: Wie kann ein Datenschutz der Zukunft aussehen? 3
Daten und ihre Schützer Groupthink? Zu Beginn möchte ich einen Gedanken aufgreifen von Jyn Schultze-Melling, dem CPO der Allianz Group, den er in der ZD in 2012 veröffentlicht hat: Schultze-Melling kommentiert einen Blog-Eintrag von Peter Fleischer. Die Kurzform seiner Ausführungen: Viele Veranstaltungen zum Datenschutz seien inhaltlich mittlerweile so langweilig geworden wie Debatten zwischen amerikanischen Waffenlobbyisten zu den sozialen Vorteilen eines liberalen Waffenbesitzrechts. Den Grund dafür sieht er darin, dass sich eine gewisse Betriebsblindheit in die Datenschutzgemeinschaft eingeschlichen habe. groupthink bezeichnet ein psychologisches Phänomen, das vereinfacht dargestellt eine Situation beschreibt, in der sich eine Gruppe von Menschen so harmonisch einig ist in der Betrachtung eines Themas, dass der Einzelne es vollkommen versäumt, sich noch Gedanken über sinnvolle Alternativen oder den Realitätsbezug des eigenen Tuns zu machen. 4
Worauf es dem Datenschützer ankommt Datenschützer befassen sich mit personenbezogenen Daten. Sie fragen danach, ob ich die Daten einer bestimmten Person zuordnen kann und sie fragen: wie und wozu werden diese Daten verarbeitet? Zu welchem Zweck? Grund für das Festhalten am Personenbezug ist dessen Verankerung im Grundgesetz. Der Personenbezug prägt die Denkweise des Datenschutzes, er ist entwickelt worden aus dem Volkszählungsurteil des BVerfG 1984: Um sich zu schützen, muss man wissen, wer gerade was mit den eigenen Daten anstellt. Und man muss es kontrollieren können. 5
Worauf es dem Datenschützer ankommt Der rechtliche Rahmen, der hierzu entwickelt wurde, beinhaltet Bedingungen wie den Erlaubnisvorbehalt (alles was nicht erlaubt ist, ist verboten), die Einwilligung und klar geregelte Verantwortlichkeiten für die Daten jedes Einzelnen, denn hierbei ganz wichtig jeder ist Eigentümer seiner Daten. Dieser Rechte-Rahmen entstand in den vergangenen 80er und 90er Jahren, eine Anwendung auf heutige Sachverhalte ist oftmals nur sehr verbogen möglich. Bestes Beispiel für die Veränderung der gesellschaftlichen Werte durch die Omnipräsenz der Daten ist der Grund für das Zustandekommen des Volkszählungsurteils 1984 im Vergleich zum Verhalten der Menschen zum aktuell laufenden Microzensus. 6
Worauf es dem Datenschützer ankommt Wie so häufig scheint es aber ein Problem der Gesetzgebung und des Gesetzes zu sein, welches den technischen Entwicklungen hinterherhinkt: Allerdings: Die Zunahme der Bedeutung von elektronischen Daten für jeden Einzelnen von uns und eine Entwicklung, die in diesem noch anhaltendem Ausmaß und in dieser Geschwindigkeit ist kaum vorhersehbar gewesen. Ein Ansatz aus 70er Jahren will bereits mithilfe kriminalgeografischer und zugleich individualisierten informationstechnischen Auswertungen von Kriminalitätsdaten und sozialökonomischen Daten vor dem Straftäter am Tatort sein, um das geplante Verbrechen zu verhindern (Horst Herold, BKA). Das Neue ist die Verknüpfung von Daten aus unterschiedlichsten Lebensbereichen und Datenquellen miteinander um daraus Prognosen, Dienstleistungen, Verbrechen oder unrechtmäßiges Verhalten aufzudecken oder zu entwickeln oder vorherzusagen. Und immer werden die Daten damit einem Zweck zu geführt, für den sie ursprünglich nicht vorgesehen waren 7
Herausforderung für den Datenschutz: BIG DATA Big Data: Big Data aus Sicht des heutigen Datenschutzes das ist die Sequenzierung eines menschlichen Genoms innerhalb nur weniger Tage, das ist die Vorhersage von Grippewellen und deren geografischen Verlaufs, das ist die Vorhersage über das Entstehen von Revolutionen oder Revolten oder das ist: zu wissen, wann ein Paar ein Kind bekommt, bevor es das selbst weiß. 8
Herausforderung für den Datenschutz: BIG DATA Big Data meint: Big Data aus Sicht des heutigen Datenschutzes Ungeheure Datenmassen, die in Echtzeit entstehen und von Computern in Echtzeit ausgewertet werden können. Such mir, lieber Google-Algorithmus, aus deinen Milliarden Webseiten jene zehn raus, von denen du glaubst, sie passten am besten zu meinen drei Suchworten. Diese Algorithmen durchsuchen auch Berge völlig neuartiger Daten: Nie haben Menschen so viele, so genaue und so aktuelle Spuren hinterlassen. Sie bilden ein globales Nervensystem, das von uns unbemerkt sehr viel über uns verrät: Vorlieben, Verhalten, Pläne. Die Sprache ist hierbei bereits vom Öl des 21. Jahrhunderts. 9
Herausforderung für den Datenschutz: BIG DATA Nach deutschem Datenschutzrecht dürfen Daten nur für jenen Zweck gebraucht werden, für den sie erhoben wurden. Ein Grundsatz, der mit BigData jedoch kaum zu vereinbaren ist. BigData wird interessant, wenn mehrere, zunächst unabhängige Datensätze miteinander kombiniert werden: die Kaufhistorie von Online-Shops, Daten aus sozialen Netzwerken, Bewegungsprofile von Fluggesellschaften und Mobilfunkanbietern aus Mustern der Vergangenheit errechnen Maschinen die wahrscheinliche Zukunft. Im deutschen Datenschutzrecht wird die Auswertung von Datenmengen bisher unter dem Begriff Data-Mining diskutiert. 10
28 - DIE Rechtsgrundlage im BDSG. Abwägungen im Datenschutz 28 Datenerhebung und -speicherung für eigene Geschäftszwecke (1) 1Das Erheben, Speichern, Verändern oder Übermitteln personenbezogener Daten oder ihre Nutzung als Mittel für die Erfüllung eigener Geschäftszwecke ist zulässig, 1. wenn es für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist, 2. soweit es zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt. 11
28 - DIE Rechtsgrundlage im BDSG. Abwägungen im Datenschutz Anwendungsbeispiele für 28 Abs. 1 Nr. 2 BDSG: Bsp. Factoring/Abtretung: Zwischen Schuldner und Forderungsempfänger (Zessionar) gibt es keinen Vertrag (Nr. 1) dennoch ist das Abtreten von Forderungen mit notwendigen Daten zulässig. Das Interesse des Empfängers an der Vollstreckbarkeit überwiegt das Interesse des Schuldners an der Nicht-Weitergabe der Daten (BGH). Bsp. Lieferantendaten in Konzernen: Lieferanten haben Vertrag mit 1 Konzerngesellschaft, aber alle Konzerngesellschaften haben ein berechtigtes Interesse (Lieferkapazitäten, Synergien) diese Daten zu erhalten, das Konzern-Interesse überwiegt das Interesse des Lieferanten an der Nicht-Weitergabe dieser Daten. 28 Abs. 1 Nr. 2 BDSG: Das Erheben, Speichern, Verändern oder Übermitteln personenbezogener Daten oder ihre Nutzung als Mittel für die Erfüllung eigener Geschäftszwecke ist zulässig, [ ] soweit es zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt. Bsp. konzerninterne Adressbücher: Bekanntgabe und damit Übermittlung innerhalb des Konzerns zur internen Kommunikation zulässig. Interesse des Unternehmens überwiegt das Interesse des MA. 12
Herausforderung für den Datenschutz: BIG DATA Eine mit der konkreten Zweckbestimmung der Vertragsabwicklung gespeicherten Daten der Kunden in einem Data Warehouse per sog. Data Mining nach den verschiedensten, erst aus der Gesamtheit der Daten erkennbaren Kundenprofilen und Verbraucherverhalten zu durchforsten zum Zweck der Werbung und des Vertriebs ist eindeutig aus 28 Abs. 1 Satz Nr. 1 nicht legitimiert und kann auch regelmäßig nicht unter Heranziehung der Alternative Nr. 2 gerechtfertigt werden. (Gola/Schomerus) Ein denkbares, überwiegendes Interesse eines Unternehmens, das die Zweckbindung der ursprünglich erhobenen Daten durchbrechen könnte, ist hier nicht ersichtlich. Voraussetzung wäre damit also eine Aggregierung der Daten oder eine echte Anonymisierung. 13
Herausforderung für den Datenschutz: BIG DATA Andere Anwendungsfälle für eine Auswertung großer Datenmengen sind jedoch denkbar: das Interesse einer Versicherung daran, Betrugsfälle aufzudecken oder das Interesse eines Konzerns Korruption zu vermeiden sind sicherlich denkbare Interessen, die im Rahmen einer Abwägung des 28 Abs. 1 Nr. 2 BDSG zu einem berechtigten Unternehmens-Interesse führen können, das das Interesse der Betroffenen gegen diese Auswertung überwiegt. Beste Beispiel: Der Datenschutzskandal der Deutschen Bahn. Das bedeutet jedoch auch: Die Auswertung großer Datenmengen zu anderen Zwecken als diese ursprünglich vorgesehen waren, ist schwer zu beurteilen. Er bedarf immer einer Einzelfallbetrachtung. 14
Ausblick: Datenschutz der Zukunft Derzeit gibt es verschiedene Versuche, bei verschiedenen Gesetzgebern, den Datenschutz zu modernisieren: Entwurf zum Beschäftigtendatenschutzgesetz 2010 und drei kleineren vorangegangenen Novellen Entwurf einer europäischen DS-GVO mit bereits über 3300 Änderungsanträgen Alle diese Versuche sind in der Vergangenheit nicht zuletzt an den vielschichtigen Interessen gescheitert, die mit dieser Regelungsmaterie unter einen Hut zu bringen versucht wurden. Auf Seiten der Legislative und der Exekutive wurden Institutionen wie die Artikel-29-Gruppe und einen EU-DSB installiert und der EuGH hat durchgesetzt, dass die deutschen Aufsichtsbehörden mehr Unabhängigkeit von ihren übergeordneten Regierungen und Ministerien erhielten. 15
Ausblick: Datenschutz der Zukunft Problem bisheriger Modernisierungsversuche war das Festhalten an den maßgeblichen, bereits existierenden Grundlagen und Zielen. Diese Ziele waren vor allem, präzisere und engere Verarbeitungsgrenzen zu definieren. Aber: Die Glaubwürdigkeit bei diesen Novellierungs-Versuchen schwindet in dem Maße, in dem der einst so selbstverständliche Schutz der Privatheit verblasst. Wohlgemerkt: der Schutz, nicht das Interesse an der Privatheit! Es wäre ein fataler Fehler, davon auszugehen, dass die Menschen heute ihre Privatsphäre unwissentlich oder ignoranterweise aufgegeben haben und sie folglich von uns Datenschützern vor sich selbst und den Datenkraken dieser Welt beschützt werden müssten. Vielmehr soll Privatsphäre eigenverantwortlich gestaltet werden können und von Dritten angemessen respektiert und vom Staat geschützt werden. 16
Ausblick: Datenschutz der Zukunft Die eigentlich zu Grunde liegende Frage lautet damit: Welche Konsequenzen kann eine Verarbeitung von Informationen generell für individuelle Persönlichkeitsrechte haben? Deren Bewertung erscheint zweitrangig. Informationelle Selbstbestimmung bezöge sich in diesem Kontext nicht mehr primär auf die Ermöglichung der Einflussnahme auf technische Abläufe oder auf die Frage, wer wem wie welche Daten übermittelt und ob diese nun mittelbar oder unmittelbar personenbezogen sind. 17
Ausblick: Datenschutz der Zukunft Aspekte einer Diskussion über ein künftiges Datenschutzrecht: Es ginge beim Datenschutz der Zukunft um die Ermöglichung der freien, aber selbst-kontrollierten Entfaltung der Persönlichkeit auch im Digitalen Umfeld. Das Datenschutzrecht müsste dafür aber so ausgestaltet sein, dass diesem Interesse soweit der Staat das kann und tun sollte angemessen Rechnung getragen wird z.b. durch eine griffigere Definition des Persönlichkeitsrechts, mit genügend Raum für eine individuelle Bewertung des Umfangs und der Reichweite dieses Rechts, weg von einer sperrigen und komplexen Auslegung des Begriffes personenbezogener Daten. 18
Ausblick: Datenschutz der Zukunft Weiter Aspekte einer Diskussion über ein zukünftiges Datenschutzrecht: Wie kann das Persönlichkeitsrecht durch eine elektronische Verarbeitung von Informationen beeinträchtigt werden kann? In welchem Verhältnis steht dieses neue Persönlichkeitsrecht zu anderen relevanten Rechtspositionen wie zum Beispiel den Anbietern kostenloser Dienste im Internet? Nicht zuletzt erforderte dieses Denken schließlich auch neue Ansätze für einen effektiven Schutz und neue Methoden zur effizienten Durchsetzung dieses Rechts seitens des Gesetzgebers Ein zwingendendes Verarbeitungsverbot unter Erlaubnisvorbehalt oder die in der Praxis so schwierig zu handhabende Vorstellung eines Personenbezugs, sowie die monopolisierte Eigentümerstellung des Betroffenen hinsichtlich seiner Daten sind hierfür erkennbar keine adäquaten Mittel. 19
Ausblick: Datenschutz der Zukunft Neue Ansätze des World Economic Forums (WEF): Das WEF zeigt Mittel und Wege auf, wie Daten frei und wertschöpfend fließen können, ohne dass dabei die Interessen der verschiedenen beteiligten Akteure vernachlässigt werden. Dabei bleibt der Betroffene im Mittelpunkt der Betrachtung, muss aber seine Interessen gegen solche Aspekte wie die Sozialbindung seiner Daten, den Innovationsschutz und im Zuge der Weiterverarbeitung personenbezogener Daten an diesen entstehenden Rechte Dritter abwägen lassen. Kontrolliert und global durchgesetzt soll dieses Modell mit Instrumenten aus einer verbindlichen Selbstverpflichtung staatlichen Aufsicht und kryptobasierten, technischen Gesamtlösung 20
Ausblick: Datenschutz der Zukunft Bei der Diskussion um ein neues Datenschutzrecht sollten offene Denkansätze respektiert und ernsthaft durchdacht werden. Das Datenschutzrecht könnte sich z.b. stärker auf eine klare Definition und realistische Möglichkeit der Durchsetzung der Rechte der verschiedenen Akteure konzentrieren, statt sich in juristischen Bewertungen hochkomplexer technischer Vorgänge zu verheddern und der technologischen Entwicklung hinterherzueilen. Ein (aus Datenschutzgründen ungenannter) Datenschützer sagte neulich zu mir: Die Herausforderung besteht nicht darin, neue Datenverarbeitungen mit dem alten Recht zu verbieten, sondern den Einzelnen vor den Konsequenzen mit einem neuen Recht zu schützen. 21
VIELEN DANK FÜR DIE AUFMERKSAMKEIT! NOCH FRAGEN? Thilo Märtin RECHTSANWALT Kleestr. 21-23 90461 Nürnberg Tel.: +49 911 2398-5401 Fax: +49 911 2398-5419 TM@MAERTIN-NITSCH.COM DATEN-SCHUETZEN.COM 22