Tumblelog by Soup.io
Newer posts are loading.
You are at the newest post.
Click here to check if anything new just came in.

Datenschutz-Kompromisse öffnen Einfallstor für Profiling und Zustimmungsaushebelung

eudatap_amsAm Montag ist es endlich soweit: Der Innenausschuss des Europaparlaments wird über die neuen Datenschutzregeln abstimmen. Dem Berichterstatter Jan Philipp Albrecht (Grüne) und den Schattenberichterstattern der anderen Fraktionen ist es gelungen, mehrere tausend Änderungsanträge für den Kommissionsentwurf einzudämpfen auf 105 Komprommissanträge, die European Digital Rights (EDRi) veröffentlicht hat. Diese werden von allen Fraktionen getragen, womit die Abstimmung zur Formsache werden dürfte.

Der Haken an der Sache

In die Medien schaffen es im Moment vor allem positive Aspekte wie die Erhöhung der möglichen Sanktionen bei Verstoß gegen die Datenschutzregeln oder die Aufnahme des früheren Artikels 42, mit dem ein Transfer von Daten in unsichere Drittstaaten (sprich auf die NSA-Server) erschwert werden soll (was dafür aber bei weitem nicht ausreicht). Das große Problem: Einzelne Schlupflöcher können die komplette Regelung zu einem Einfallstor machen und zur weiteren Erosion von Grundrechten beitragen. Und leider ist der Text nicht frei davon. Besonders fatal, da er zur Grundlage für Verhandlungen mit den Nationalstaaten dient, die mit der deutschen Regierung an der Spitze bisher nicht gerade durch flammenden Einsatz für den Schutz unserer Rechte aufgefallen sind, um es mal vorsichtig auszudrücken.

Interesse von Unternehmen schlägt Zustimmung der Person

Das größte dieser Tore: Die hochgradig gefährliche Formulierung “berechtigtes Interesse” hat es in den Kompromiss geschafft – ohne genauere Definition, stattdessen wird sie sogar noch auf Dritte ausgeweitet. Dabei handelt es sich um eine der in Artikel 6 festgelegten Bedingungen, die es Unternehmen ermöglichen sollen, persönliche Daten auch ohne Zustimmung zu verarbeiten. Diese wurde nicht wirksam eingeschränkt auf bestimmte Fälle. Damit bleibt es im Zweifelsfall dem Datenverarbeiter oder später den Juristen überlassen zu entscheiden, wo nun ein “berechtigtes Interesse” besteht.

Auf die Probleme dieser undefinierten Berechtigung zur Datenverarbeitung wurde von vielen Seiten mehrmals und wiederholt hingewiesen, ausführlich beispielsweise von Bits of Freedom. Leider ohne Erfolg.

Gestrichen wurde die Verhinderung von erzwungener Zustimmung bei einem bestehenden starken Machtverhältnis (etwa zwischen Arbeitgeber und Arbeitnehmer). Hier hieß es ursprünglich in Artikel 7:

Consent shall not provide a legal basis for the processing, where there is a significant, imbalance between the position of the data subject and the controller

Lobbyismus-Artefakte der unschönen Art

Nach wie vor finden sich ausserdem Regelungen, die an die Bedürfnisse amerikanischer Konzerne angepasst sind. Die relativ willkürlich wirkende Altersgrenze von 13 Jahren, ab der ein Kind ohne Zustimmung der Eltern in die Verarbeitung seiner Daten einwilligen kann, ist beispielsweise ein solches Lobbyismus-Artefakt. Eine in Europa üblichere Definition findet sich noch in den Definitionen von Artikel 4:

(18) ‘child’ means any person below the age of 18 years

Artikel 8 ignoriert diese Definition einfach.

Profiling – what could possibly go wrong?

Und so verwundert es schließlich auch nicht mehr, dass die Regelung für Profiling (Artikel 20) nun statt eines Opt-ins ein Opt-out vorsehen. Über pseudonyme Daten heisst es in Erwägungsgrund 58a ausserdem:

Profiling based solely on the processing of pseudonymous data should be presumed not to significantly affect the interests, rights or freedoms of the data subject.

Damit werden pseudonyme Daten unter schwächeren Schutz gestellt, womit Einschränkungen wie die aus Artikel 20 (2) nicht für sie gelten dürften. Anschließend heisst es, dass in dem Moment, in dem durch Zusammenführen mit anderen Daten oder Anfallen von genügend Daten die “pseudonymen Daten” einer Person zuzuordnen sind, diese Daten nicht mehr pseudonym seien (tata!). Damit sind sie solange nicht wirklich geschützt, bis es eh zu spät ist. In den Datenbanken der Nachrichtendienste wird aber sicherlich darauf geachtet, die von Privatunternehmen abgeschöpften Daten da klar zu trennen und im Fall der Fälle umgehend zu löschen. Oder auch nicht.

Die genauere Analyse des Kompromisses wird noch ein wenig dauern. Der benötigte große Wurf, der als starke Verhandlungsbasis mit den Nationalstaaten dient, scheint er aber nicht zu sein.

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

Don't be the product, buy the product!

Schweinderl