Gehört die DSGVO ins ***?

Ein Gedanke zu „Gehört die DSGVO ins ***?“

1. Der Beitrag zeugt m.E. zum einen von einer gewissen Unkenntnis der Sachlage, zum anderen bleibt die Frage, was der Autor die letzten zwei Jahre so getan hat. Die DSGVO ist seit 2016 (!) bekannt – warum wacht er jetzt auf? Er hatte zwei Jahre Zeit sich darauf einzustellen, wie die Mehrheit der Unternehmen dies bereits getan hat. Kurz zu den Thesen:

   1. Ob Daten nun als Gegenstand definiert werden oder nicht. Rechtsgegenstände bleiben sie, an denen Eigentums- und insofern auch (Schutz-)rechte hängen. Das Argument geht an der DSGVO vorbei und wäre eher grundsätzlich zu diskutieren. Es bleibt offen, wie Schutzrechte des Betroffenen anders durchgesetzt werden sollen – wenn der Autor das denn tatsächlich auch impliziert. Andernfalls jedoch bleibt offen, wie das Grundrecht auf informationelle Selbstbestimmung gewährleistet werden soll.

   2. Daten = Informationen nach Datenschutzrecht, die Diskussion des Autors erscheint müßig wie praxisfern

   3. Der Schutz bezieht sich auf die Daten (des betroffenen Menschen), daher Datenschutz. Und ja, ein Unternehmen mit wirksamem Datenschutz hat tatsächlich noch einen Überblick seiner Regelungen und Maßnahmen – das nennt sich Datenschutz-Management-System s. DSGVO.

   4. Es gilt der Schutz des Betroffenen hinsichtlich der Verarbeitung seiner pbD, galt übrigens auch im BDSG. Die ePrivacy schützt die DSGVO übrigens nur bedingt, hierfür wird gerade die ePrivacy-Verordnung erarbeitet.

   5. Die Privatsphäre im Sinne der Persönlichkeitsrechte und Schutz des Betroffenen existiert im deutschen Recht sehr wohl. die DSGVO greift mit der Erweiterung der Rechte des Betroffenen so u.a. Recht auf Datenübermittlung und Verschärfung der Löschrechte das auch auf.

   6. Es wird niemand unter Generalverdacht gestellt – im Gegenteil. Nur für die Verarbeitung von pbD und damit ein Eingriff in die Rechte des Betroffenen benötigt es eine Rechtsgrundlage und Dokumentation – um genau etwaigen Missbrauch zumindest einzuschränken, aber vor allem nachweisen zu können. Mit den verschärften Strafzahlungen (4 % des Jahresumsatzes oder 20 Mio €, je nachdem welcher Betrag höher ist) kann dies auch wirksam durchgesetzt werden. Der risikobasierte Ansatz zielt vor allem auf die zu wählenden TOM und hat sich bereits in ISO 27001 bewährt – auch in KRITIS-relevanten Umgebungen. Daneben: Der Präventionsansatz ist typisch fürs europ. Recht – im Gegensatz zum US-amerikanischen, wo Datenschutz faktisch nicht existiert.

   7. Das radikalnetzpolitische Argument wird zwar gern wiederholt, macht es jedoch deswegen nicht wahrer. Hier hilft ein Blick in Urheberrecht und Datenschutz. Ohne Dateneignerschaft kein Datenowner, keine Verantwortung für den Datenschutz. Also genau das was der Autor in 11) kritisiert, möchte er mit 7) erzeugen.

   8. Die Aussage trifft auch die DSGVO nicht. Pbd können verarbeitet werden – im gesetzlichen Rahmen. Autofahren ist auch nicht radioaktiv, trotzdem gelten Verkehrsregeln…

   9. Genau deswegen kennt der Datenschutz einer Prüfung von Kumulierungen ergo Daten können dem Datenschutz unterliegen, wenn durch Kumulierung ein schützenswerter Personenbezug entsteht.

   10. Sonstige schützenswerte Daten werden über Betriebs- und Geschäftsgeheimnisse oder fachspezifische Regelungen z.B. IT-Sicherheitsgesetz etc. aufgefangen. Die technisch-org. Maßnahmen definiert BSI Grundschutz und ISO-27001 ff. Es bleibt unklar wo genau das Problem des Autors liegt, außer ggf. einer Grundablehnung von Datenschutz.

   11. Die Auftrags-DV gab es bereits im BDSG und hat sich bewährt. Auch in einer vernetzten Welt, lässt sich feststellen und festlegen wo die Daten gespeichert werden: EU oder USA bspw. und dies auch vertraglich definiert. Warum verlagern sonst Microsoft & Co. ihre Rechenzentren in die EU? Das angeführte Beispiel wirft eher die Frage auf? Wer ist Datenowner? Liegt eine Auftrags-DV vor – sprich ist eher der Betreiber des sozialen Netzwerks verantwortlich, was die Regel sein dürfte.

   12. Die DSGVO bezieht sich nur auf pbD – im Vergleich zum Straßenverkehr wäre dies bspw. Güterverkehr und für diesen gelten erheblich höhere Dokumentationsanforderungen als das private Kfz.

   13. Zum einen benötigen gerade KI und BigData, wenn sie effizient funktionieren sollen, nicht zwingend eine riesige möglichst redundante Datenmenge. Forschung und Praxis zielen ja gerade darauf, mit möglichst wenig Aufwand die entspr. Ergebnisse zu erzielen, allein um die Kosten zu begrenzen. Kein Datenschutz schließt KI und BigData aus, es werden nur die Regeln definiert, um genau den “gläsernen Bürger” und Datenmissbrauch zu verhindern. In Forschung und Praxis wird die DSVO hier weniger als Risiko gesehen, im Gegenteil, zumal die wirklich spannenden Informationen i.d.R. keine pbD sind.
   Bzgl. Register etc. beschreibt der Autor ein eher forschungsnahes Szenario, wonach das Ausgangsmaterial noch weiterverarbeitet wird und erst danach ein Schluss auf wiss. Korrektheit möglich ist. Nun ja, die DSGVO beinhaltet explizit Öffnungen für die wiss. Forschung (Art. 5, 17, 89 DSGVO etc.). Abgesehen davon ist es, allein aufgrund der wiss. Korrektheit notwendig, auch beim Ausgangsmaterial sicher zu sein, dass die pbD korrekt sind – wie soll sonst ein korrektes wiss. Ergebnis erzielt werden? Messdaten dagegen in klinischen Studien sind nicht personenbezogenen, resp. ist die konkrete Person für die wiss. Erkenntnis nicht direkt interessant. Der Autor vergisst vor allem die Möglichkeit einer Anonymisierung und Pseudonymisierung wie sie in Forschung und Praxis seit Jahren üblich und gute Praxis ist. Kein öffentliches Register wird wegen der GDPR abgeschaltet, ein anständiges Berechtigungssystem, Anonymisierung/Pseudonymisierung sowie IAM und Maßnahmen zur Informationssicherheit sind gelebte Praxis. Hier erscheint der Autor doch etwas weit von der Praxis entfernt zu sein.

   14. Meinungs- und Informationsfreiheit werden in der DSGVO s. Art 85 NICHT eingeschränkt.

   15. Wenn ein Grundrecht Utopie ist, sollten wir uns grundsätzlich Gedanken zur Verfassung und Rechtsstaatlichkeit machen.

   16. Selbstbestimmtes Handeln wird durch die Pflicht zur Einwilligung des Betroffenen und dessen Recht auf Widerruf gerade unterstützt. Nicht der Datenverarbeiter entscheidet, sondern der Datenowner (insofern braucht es gerade eine Dateneignerschaft)!

   17. Genau aus dem Grund, dass ein einzelner Bürger gegenüber einem global agierenden Unternehmen grundsätzlich im Nachteil bei Verarbeitung seiner Daten oder Durchsetzung seiner Rechte ist, schützt die DSGVO den Betroffenen. Eine Aufklärung hierüber durch BfDI & Co ist allerdings deutlich optimierungsfähig.

   18 und 19: Grundsätzlich wäre eine Unterscheidung sicher sinnvoll und empfehlenswert. Hier sollte angesetzt werden. Allerdings wäre erstmal die Praxis abzuwarten, es ist auch zu beachten, dass der Bäckermeister auch deutlich weniger Prozesse und Verfahren besitzt in denen pbD verarbeitet werden, die Dokumentationsanforderungen sind, im Gegensatz zu Google auch deutlich begrenzt. Aufklärung und Handlungshilfen durch BfDI wären allerdings dringend notwendig.

   20. Das Gemeinwohl oder besser hier eher die Forschung und neue Erkenntnis ist über Art 5, 89 etc. bereits in der DSGVO berücksichtigt.

   21. Die DSGVO folgt hier dem Fakt, dass Datenschutz bislang eher schwierig durchsetzbar war. Die Handlungen von Google, Facebook & Co. taten ihr Übriges, die Anforderungen nach oben zu fahren. Angesichts der möglichen Strafzahlungen wird eine leichtere Durchsetzbarkeit der DSGVO jedoch erwartet, vor allem da sie sich über die hohen wie detaillierten Dokumentationsanforderungen auch leichter kontrollieren lässt.

   Kurz und gut, die DSGVO ist sicher nicht der Weisheit letzter Schluss, aber das Beste, in Sachen Datenschutz der letzten 20 Jahre. Viel spannender für die Netzwelt wird die ePrivacy-Verordnung – hier sollten die berührten Personen dann eher aufwachen als wenige Tage vor Inkrafttreten.

   Antworten

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.