Datenhoheit und Datenschutz aus Nutzer-, Verbraucher- und Patientenperspektive

03/2023

1 Einleitung

Die Frage der Hoheit über Datenbestände entwickelt sich in vielen Technologiezweigen zum Schlüsselthema. Besonders deutlich wird dies am Beispiel des automatisierten und autonomen Fahrens. Bereits teilautomatisierte Fahrzeuge generieren Daten in Größenordnungen von 10–25 Gigabyte pro Stunde. Die anfallenden Daten bergen ein enormes Wertschöpfungspotenzial und wecken Begehrlichkeiten bei Fahrzeugherstellern, Zulieferern oder Mobilitätsdienstleistern. In der Folge stellt sich die Frage, wer „Herrin oder Herr“ dieser Daten ist und wer über ihre Nutzung und Weitergabe entscheiden darf. Nach Aussage des Vorstandsvorsitzenden eines großen deutschen Automobilherstellers gehörten Daten in Europa zunächst den Kundinnen und Kunden – diese sollten entscheiden, was mit ihnen passiere. Auch wenn diese Einschätzung einer rechtlichen Überprüfung nicht unbedingt standhält, wirft sie dennoch ein Schlaglicht auf die Frage, ob und in welchem Umfang natürliche Personen Einfluss auf das Schicksal „ihren Daten“ nehmen können. Der folgende Beitrag nähert sich daher dem Thema Datenhoheit aus der Perspektive von Nutzenden, Verbraucherinnen und Verbrauchern sowie Patientinnen und Patienten. In diesem Zusammenhang werden die rechtlichen Rahmenbedingungen – insbesondere im Bereich des Datenschutzrechts – dargestellt. Darüber hinaus werden aber auch sektorspezifische Regelungen beleuchtet, die natürlichen Personen Einfluss- und Kontrollmöglichkeiten auf die Verarbeitung der sie betreffenden Daten gewähren.

2 Zuordnung von Daten

Der Begriff der Datenhoheit ist ein in der rechtspolitischen Diskussion häufig verwendetes Schlagwort. Bislang wird die Terminologie vor allem im Zusammenhang mit einer zivilrechtlichen Zuordnung von Daten zu einem Datensubjekt verwendet. Die Forderung nach einem Dateneigentum wurde intensiv diskutiert. Eine Anerkennung durch den Gesetzgeber erfolgte jedoch bislang nicht. De lege lata gibt es kein Eigentum oder ein anderes vergleichbares absolutes Recht an Daten. Die Zuordnung von Daten erfolgt daher in der Praxis häufig rein faktisch. Derjenige, der die physische Verfügungsgewalt hat, kann die Weitergabe und Nutzung durch Technikgestaltung steuern. Einschränkungen bestehen jedoch dort, wo die Nutzung von Daten in Rechte Dritter eingreift oder der Umgang mit bestimmten Datenarten oder Informationsinhalten gesetzlichen Regelungen unterworfen ist. Der vorliegende Beitrag verwendet den Begriff der Datenhoheit vor allem unter dem Aspekt von gesetzlich normierten Einfluss- und Kontrollmöglichkeiten durch bestimmte Akteursgruppen.

3 Datenschutzrecht

Eine zentrale Säule des souveränen und selbstbestimmten Umgangs mit persönlichen Daten stellt das Datenschutzrecht dar. Das Recht auf Datenschutz wird auf primärrechtlicher Ebene durch Art. 8 Grundrechtecharta (GrCh) gewährleistet. Auf nationaler Ebene sind personenbezogene Daten zudem durch das verfassungsgerichtlich geprägte Recht auf informationelle Selbstbestimmung abgesichert. Den Anspruch eines selbstbestimmten Umgangs mit (personenbezogenen) Daten verfolgt auch die EU-Datenschutzgrundverordnung (DSGVO). Mit der seit dem Jahr 2018 geltenden Verordnung hat der Stellenwert des Datenschutzrechts erheblich an Bedeutung gewonnen. Die Vorgaben der DSGVO sind bei jeder Verarbeitung von personenbezogenen Daten zu beachten. Umfasst sind damit alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO). Als identifizierbar gilt eine Person bereits dann, wenn anhand der Information eine indirekte Zuordnung möglich ist. Das kann beispielsweise der Fall sein, wenn Daten einer Person mit Zusatzinformationen eines Dritten verknüpft werden und erst hierdurch eine Identifikation ermöglicht wird. Gelangen die Vorschriften der DSGVO zur Anwendung, hat dies weitreichende Konsequenzen für die Datennutzung. Wer über die Zwecke und Mittel der Datenverarbeitung entscheidet, unterliegt als Verantwortlicher einem dichten Regelungsgefüge. Der Verantwortliche muss die datenschutzrechtlichen Vorgaben nicht nur gewährleisten, sondern deren Einhaltung auch nachweisen können (sogenanntes Rechenschaftsprinzip). Zudem gewährt die DSGVO der von der Datenverarbeitung betroffenen Person weitreichende Instrumente, um die Rechtmäßigkeit der Datenverarbeitung zu kontrollieren, wie etwa das Recht auf Auskunft oder Löschung. Die Kontrollmöglichkeiten der betroffenen Person können jedoch nur dann wirksam ausgeübt werden, wenn sie Kenntnis von der Datenverarbeitung hat. Dies setzt ein hohes Maß an Transparenz voraus. Mit der Einführung der DSGVO wurde der Grundsatz der Transparenz der Datenverarbeitung zu einem wesentlichen Strukturprinzip erhoben.

3.1 Transparenz der Datenverarbeitung

Der Grundsatz der Transparenz der Datenverarbeitung ist in Art. 5 DSGVO normiert und gibt vor, dass personenbezogene Daten in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen. Voraussetzung hierfür ist, dass alle Informationen und Mitteilungen zur Verarbeitung von personenbezogenen Daten leicht zugänglich, verständlich und in klarer und einfacher Sprache abgefasst sind (ErwGr 39 S. 3 DSGVO). Umfasst sind damit alle Informationen und Informationsmaßnahmen, die notwendig sind, um die Rechtmäßigkeit der Datenverarbeitung zu überprüfen. Aus dem Grundsatz der Transparenz folgen eine Reihe von konkret umzusetzenden Pflichten, die darauf abzielen die betroffene Person über die beabsichtigte Datenverarbeitung zu informieren und sie über die ihr zustehenden Rechte aufzuklären. Sinn und Zweck der Informationsbereitstellung ist es, dass die betroffene Person selbst entscheiden kann, ob sie mit der Datenerhebung einverstanden ist bzw. ob sie bereit ist, Angaben zu machen. Zu informieren ist unter anderem über die Identität des Verantwortlichen, über die Zwecke und Risiken der Datenverarbeitung, aber auch über mögliche Datenempfänger oder die Speicherdauer (vgl. im Einzelnen Art. 13 f. DSGVO). In welcher Form diese Informationen beizubringen sind, wird nicht festgelegt. Es empfiehlt sich jedoch, die Informationen dort bereitzustellen, wo die betroffene Person von den mitgeteilten Informationen am besten Kenntnis erlangen kann. Das kann beispielsweise bei der Anmeldung, Registrierung oder der ersten Nutzung eines Dienstes durch Verweis auf die Datenschutzerklärung geschehen. Werden die Daten unmittelbar bei der betroffenen Person erfasst, müssen die Pflichtinformationen bereits zum Zeitpunkt der Datenerhebung bereitgestellt werden. Ein nachträgliches Informieren ist unzulässig. Die nicht unerhebliche Bußgeldandrohung bei Verstößen gegen die Informationspflichten (20 Millionen Euro oder 4 Prozent des gesamten weltweit erzielten Jahresumsatzes) hat dazu geführt, dass viele Datenschutzerklärungen lang und sprachlich überkomplex abgefasst werden. Die Analyse der Datenschutzerklärung eines verbreiteten Messenger-Dienstes ergab beispielweise eine höhere sprachliche Komplexität als Thomas Manns Werks „Der Tod in Venedig“. Die vom Verordnungsgeber intendierte Transparenz der Datenverarbeitung wird in vielen Fällen damit nicht erreicht oder führt sogar dazu, dass die Autonomie der betroffenen Person durch überlange Datenschutztexte geschwächt und in der Folge die Wahrnehmung der Betroffenenrechte vereitelt wird.

3.2 Betroffenenrechte

Die in den Art. 15 ff. DSGVO geregelten Betroffenenrechte sind ein wichtiges datenschutzrechtliches Instrument, mit dem der betroffenen Person eine effektive Kontrolle über die sie betreffenden Daten ermöglicht werden soll. Hierzu gehören unter anderem das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie das Recht auf Datenübertragbarkeit. Die betroffene Person kann durch die Wahrnehmung dieser Rechte in dem gesetzlich vorgesehenen Rahmen Einfluss auf die Verarbeitung der sie betreffenden Daten nehmen.

Auskunftsrecht

Das Recht auf Auskunft ist bereits primärrechtlich in Art. 8 Abs. 2 GrCh enthalten und stellt ein zentrales Instrument des Selbstdatenschutzes dar. Durch das Auskunftsrecht soll eine wirksame Kontrolle der datenverarbeitenden Stelle ermöglicht werden. Es gewährleistet zudem die Überprüfung der Rechtmäßigkeit der Datenverarbeitung und ist zugleich Hilfsmittel, um weitergehenden Rechte wie zum Beispiel das Recht auf Löschung, Berichtigung oder Einschränkung der Verarbeitung auszuüben. Das Auskunftsrecht ist in Art. 15 DSGVO folgendermaßen ausgestaltet: die betroffene Person kann auf einer ersten Stufe eine Bestätigung darüber verlangen, ob ihre personenbezogenen Daten verarbeitet wurden. Auf einer zweiten Stufe kann Auskunft über die personenbezogenen Daten sowie weitere Informationen verlangt werden. Für die Ausübung des Auskunftsrechts muss die betroffene Person einen entsprechenden (formlosen) Antrag stellen. Der Verantwortliche muss dem Antrag unverzüglich, spätestens jedoch innerhalb eines Monats, nachkommen (Art. 12 Abs. 3 DSGVO). Zudem ist er verpflichtet die betroffene Person auf das Bestehen des Auskunftsrechts hinzuweisen (vgl. Art. 13 Abs. 2 lit. b, 14 Abs. 2 lit. c DSGVO).

Berichtigungsrecht

Das Recht auf Berichtigung ist ebenfalls auf Ebene der Grundrechtecharta (Art. 8 Abs. 2 GrCh) verankert und findet in dem Grundsatz der Richtigkeit der Datenverarbeitung in Art. 5 Abs. 1 lit. d (i. V. m. Art. 16 DSGVO) sein sekundärrechtliches Pendant. Es verfügt über zwei Bestandteile: Zum einen kann die betroffene Person die Korrektur unrichtiger Daten verlangen. Zum anderen kann die Vervollständigung oder Ergänzung unvollständiger Daten erwirkt werden. Das Recht auf Berichtigung ist gerade für Verbraucherinnen und Verbraucher von hoher Relevanz, denn die Verarbeitung von unrichtigen Daten kann mitunter nachteilige Konsequenzen nach sich ziehen, etwa wenn die Bewilligung eines Darlehens aufgrund fehlerhafter Einträge in einer Auskunftei abgelehnt wird. Erweisen sich die von der betroffenen Person beanstandeten Daten als unrichtig, ist der Verantwortliche zur unverzüglichen Berichtigung verpflichtet.

Löschungsrecht und Recht auf Vergessenwerden

Der Verantwortliche einer Datenverarbeitung muss personenbezogene Daten selbstständig löschen, wenn es keinen Anlass mehr für deren Speicherung gibt oder wenn sich die Daten als unrichtig erweisen. Das gebietet der Grundsatz der Richtigkeit der Datenverarbeitung wie er in Art. 5 Abs. 1 lit. d DSGVO festgeschrieben ist. Dennoch können Situationen auftreten, in denen die betroffene Person aktiv auf eine Löschung ihrer personenbezogenen Daten hinwirken will. Einen entsprechenden Durchsetzungsmechanismus bietet das in Art. 17 DSGVO normierte Löschungsrecht. Es sieht für eine Reihe von Konstellationen eine Löschpflicht vor, beispielsweise wenn die betroffene Person ihre Einwilligung widerruft oder die Datenverarbeitung sich als unrechtmäßig erweist. Wurden personenbezogene Daten an Dritte weitergegeben, so müssen diese über das Löschbegehren informiert werden. Die in Art. 17 Abs. 2 DSGVO festgelegte Pflicht beinhaltet jedoch nicht, dass der Verantwortliche die Löschung von personenbezogenen Daten bei Dritten tatsächlich herbeiführen muss. Er muss lediglich das Löschbegehren weiterleiten. Geschuldet sind somit lediglich „best efforts“. Damit umfasst der in Art. 17 DSGVO verwendete Begriff des „Rechts auf Vergessenwerden“ lediglich das Bemühen des Verantwortlichen, eine Löschung zu befördern. Eine Verpflichtung, die vom Löschbegehren adressierten Daten endgültig „aus der Welt zu schaffen“ kann nicht verlangt werden. Art. 17 DSGVO kann somit nicht verhindern, dass über das Internet verbreitete Daten weiterhin abrufbar sind. Damit unterscheidet sich der in der DSGVO verwendete Begriff des „Rechts auf Vergessenwerden“ mit dem Entscheidungsgehalt des EuGH-Urteils Google Spain welches ein „Recht auf Delisting“ gegenüber Suchmaschinenbetreibern beinhaltet.

Einschränkung der Verarbeitung

Das Recht auf Einschränkung der Verarbeitung ist ein weiteres wichtiges Eingriffs- und Steuerungsinstrument der betroffenen Person. Nach Art. 18 DSGVO kann die Einschränkung der Verarbeitung verlangt werden, wenn einer der dort genannten Einschränkungsgründe gegeben ist. Hierzu gehört etwa der Fall, wenn die Richtigkeit der Daten bestritten wird (lit. a) oder ein Widerspruch gegen die Verarbeitung erhoben wird (lit. d). Das Recht auf Einschränkung der Verarbeitung ermöglicht die vorrübergehende Aussetzung der Verarbeitung in Fällen, in denen eine Löschung oder sofortige Berichtigung nicht sachgerecht erscheint. Die Vorschrift stellt damit eine Vorstufe für die Durchsetzung eines späteren Löschungs- oder Berichtigungsanspruchs dar und vermittelt einen effektiven Rechtsschutz bis zur abschließenden Klärung der Rechtslage.

Datenportabilitätsrecht

Mit dem Recht auf Datenübertragbarkeit hat der europäische Gesetzgeber ein völlig neues Instrument zur Stärkung der informationellen Steuerungsmöglichkeiten der betroffenen Person geschaffen. Nutzerinnen und Nutzer sowie Verbraucherinnen und Verbraucher können auf Grundlage dieses Rechts ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format herausverlangen. Daneben kann auch die Übermittlung von personenbezogenen Daten zu einem anderen Verantwortlichen (beispielsweise einem anderen Dienstleister) verlangt werden. Bei dem Recht auf Datenportabilität handelt es sich genaugenommen nicht um eine Bestimmung des Datenschutzrechts im engeren Sinne. Die Regelung ist vielmehr als eine Verbraucherschutz- bzw. Marktregulierungsvorschrift anzusehen. Durch sie soll sichergestellt werden, dass Daten leichter zwischen verschiedenen Anbietern ausgetauscht werden können. Hierdurch soll die Autonomie der Nutzenden gestärkt und Lock-in-Effekte verringert werden. Gleichzeitig sollen die Transaktionskosten („switching costs“) reduziert werden. Der Gedanke der „Mitnahme“ von Daten zu einem anderen Anbieter hat sich auch in anderen gesetzgeberischen Aktivitäten niedergeschlagen. So sieht beispielsweise Art. 16 Abs. 4 der Digital-Inhalte-Richtlinie (EU 2019/770) vor, dass der Verbraucher bei Beendigung des Vertragsverhältnisses einen Anspruch auf Bereitstellung derjenigen Daten hat, welche durch den Verbraucher bereitgestellt oder erstellt wurden.

4 Rechtmäßigkeit der Datenverarbeitung

Durch die Ausübung der Betroffenenrechte soll die betroffene Person in die Lage versetzt werden, die Rechtmäßigkeit der Datenverarbeitung zu überprüfen. Der Eingriff in das Grundrecht auf Datenschutz (Art. 8 Abs. 1 GrCh) ist nur dann rechtmäßig, wenn er auf einer gesetzlichen Grundlage erfolgt (Art. 52 Abs. 1 GRCh). Die Verarbeitung von personenbezogenen Daten steht damit unter einem Erlaubnisvorbehalt. Das bedeutet, dass die Verarbeitung nur dann zulässig ist, wenn eine entsprechende Rechtsgrundlage diese gestattet. Verarbeitungstätigkeiten ohne eine legitimierende Rechtsgrundlage sind rechtswidrig und sanktionsbewehrt. Art. 6 Abs. 1 DSGVO enthält einen Katalog von insgesamt sechs Erlaubnistatbeständen. Vor jeder Verarbeitung von personenbezogenen Daten ist zu prüfen, ob (mindestens) einer der dort aufgeführten Erlaubnistatbestände erfüllt ist.

4.1 Einwilligung

Die Verarbeitung von personenbezogenen Daten ist nach Art. 6 Abs. 1 lit. a DSGVO zulässig, wenn die betroffene Person ihre Einwilligung erteilt hat. Dem Erlaubnistatbestand der Einwilligung kommt im Regelungsgefüge der DSGVO eine zentrale Rolle zu. Sie ist ein wichtiges Instrument des Datenschutzrechts und Ausdruck informationeller Selbstbestimmung. Die Einwilligung soll der betroffenen Person ermöglichen, selbst über das „Ob“ und „Wie“ der Datenverarbeitung zu entscheiden. Die Voraussetzung für eine wirksame Einwilligung sind hoch. Dies wird bereits in der Definition in Art. 4 Nr. 11 DSGVO deutlich. Eine Einwilligung ist demnach „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung“. Betrachtet man die Einwilligung als Instrument zur Ausübung der informationellen Selbstbestimmung, nimmt das Merkmal der Freiwilligkeit eine besondere Rolle ein. Freiwilligkeit beinhaltet, dass die Betroffenen „ohne Zwang“ einwilligen. Die betroffene Person muss also eine echte Wahl haben, ob sie der Datenverarbeitung zustimmt oder nicht. Ein Mangel an Freiwilligkeit kann in Abhängigkeitslagen angenommen werden, etwa wenn ein Arbeitgeber die Einwilligung in die Verarbeitung von personenbezogene Daten eines Beschäftigten verlangt und sich dieser gegebenenfalls zur Erteilung der Einwilligung verpflichtet fühlt. Daneben können auch Einwilligungen zu beanstanden sein, bei denen „der Betroffene durch übermäßige Anreize finanzieller oder sonstiger Natur“ zur Preisgabe seiner Daten verleitet wird (vgl. BGH, Urteil vom 16.07.2008 – VIII ZR 348/06, BGHZ S. 253). Aus Sicht der betroffenen Person sind zudem Konstellationen relevant, in denen eine Dienstleistung von der Erteilung der Einwilligung abhängig gemacht wird und die Leistung gewissermaßen mit Daten „bezahlt“ wird (zum Beispiel beim kostenlosen Nutzen eines E-Mail-Kontos gegen Zustimmung zur Datennutzung). In derartigen Konstellationen ist Art. 7 Abs. 4 DSGVO zu beachten. Nach dieser Vorschrift muss bei der Beurteilung der Freiwilligkeit berücksichtigt werden, ob unter anderem die Erfüllung eines Vertrags von der Einwilligung zur Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich ist. Die Norm nimmt damit Einwilligungserklärungen zu Datenverarbeitungsvorgängen in den Blick, die für die Erfüllung eines Vertrags nicht notwendig sind. Dabei ist ein ähnlicher Bezugspunkt wie bei Art. 6 Abs. 1 lit. b DSGVO erkennbar, wonach all jene Datenverarbeitungsvorgänge für rechtmäßig erklärt werden, die zur Erfüllung eines Vertrags erforderlich sind. Art. 7 Abs. 4 DSGVO untersagt damit lediglich überschießende, für den vertraglichen Zweck nicht erforderliche Einwilligungserklärungen. Im Lichte von Art. 7 Abs. 4 DSGVO sind daher vor allem kostenlose (werbefinanzierte) Inhalte angreifbar. Anbieter von solchen Diensten sollten aus diesem Grund dahingehend argumentieren, dass die Erteilung der Einwilligung und die damit verbundene Möglichkeit der Datennutzung wirtschaftlich gesehen für die Erbringung der Dienstleistung zwingend notwendig ist. Zudem sollte darauf hingewiesen werden, dass die vertraglich geschuldete Leistung nur dann erbracht werden kann, wenn Nutzende ihre Einwilligung erteilen. Wird die Abhängigkeit zwischen Einwilligung und Gegenleistung klar herausgestellt, kann von einer zulässigen Kopplung ausgegangen werden.

4.2 Verarbeitung zur Wahrung berechtigter Interessen

Die Einwilligung ist nicht das einzige Mittel, um eine Datenverarbeitung zu legitimieren. Art. 6 Abs. 1 DSGVO nennt fünf weitere Erlaubnistatbestände. Beispielsweise ist die Verarbeitung von personenbezogenen Daten zulässig, wenn sie der Durchführung eines Vertragsverhältnisses (lit. b 1. Alt.) oder zur Erfüllung einer Rechtspflicht (lit. c) dient. Zudem ist aus Sicht der Nutzenden die Verarbeitung auf Grundlage der sogenannten Interessensabwägung (lit. f) von Bedeutung. Sie gestattet die Datenverarbeitung, wenn sie zur Wahrung eines berechtigten Interesses des Verantwortlichen oder eines Dritten erforderlich ist und die Interessen, Grundrechte oder Grundfreiheiten der betroffenen Person nicht überwiegen. Der Begriff des berechtigten Interesses ist weit zu verstehen und umfasst jedes wirtschaftliche und ideelle Interesse.

Die Abwägung der widerstreitenden Interessen obliegt dem Verantwortlichen. Bei der Abwägung sind die „vernünftigen Erwartungen des Betroffenen“ zu berücksichtigen (ErwGr 47). Daraus folgt, dass überraschende, für den Betroffenen nicht vorhersehbare, Verarbeitungssituationen regelmäßig dazu führen, dass die Interessensabwägung zugunsten des Betroffenen ausfällt. Der Verantwortliche kann dem vorbeugen, indem er seinerseits Maßnahmen zur Transparenz und Nachvollziehbarkeit ergreift und damit Einfluss auf die Erwartungshaltung des Betroffenen nimmt. Datenverarbeitungen auf Grundlage der Interessensabwägung gehen damit häufig mit einer gesteigerten Transparenzverpflichtung einher.

Die Anwendung von Art. 6 Abs. 1 lit. f DSGVO ist häufig mit einer gewissen Rechtsunsicherheit verbunden. Bei dem Begriff des berechtigten Interesses handelt es sich um ein auslegungsbedürftiges Tatbestandsmerkmal. Die Interpretation von Verarbeitungssituationen und die durchzuführenden Interessensabwägungen entziehen sich häufig einer schematischen Prüfung. Naturgemäß können die Auffassungen des Verantwortlichen auf der einen Seite und der Aufsichtsbehörde auf der anderen Seite über das Vorliegen der tatbestandlichen Voraussetzungen voneinander abweichen.

Beruft sich der Verantwortliche auf Art. 6 Abs. 1 lit. f DSGVO kann die betroffene Person jederzeit Widerspruch gegen die Verarbeitung einlegen (Art. 21 Abs. 1 DSGVO). Der Verantwortliche darf die personenbezogenen Daten fortan nicht mehr verarbeiten, es sei denn, er kann besonders gewichtige Gründe für eine Weiterverarbeitung nachweisen. Die betroffene Person kann mit dem Instrument des Widerspruchs Einfluss auf das weitere Schicksal der Datenverarbeitung nehmen. Gleichzeitig wird das Widerspruchsrecht in der Praxis selten ausgeübt. Der Grund hierfür liegt häufig in der fehlenden Kenntnis der betroffenen Person. Diese muss zwar im Rahmen der Informationspflichten auf ihr Widerspruchsrecht hingewiesen werden. Jedoch bedarf es einer aktiven Ausübung des Rechts, was umfasst, dass die betroffene Person Gründe, „die sich aus der besonderen Situation des Betroffenen ergeben“ vorträgt, die eine Verarbeitung ausschließen.

5 Regelungen zu Datenhoheit und Datenschutz in verschiedenen Anwendungsbereichen

Abseits des Datenschutzrechts gibt es eine Reihe von gesetzlichen Regelungen, die bestimmten Akteursgruppen datenhoheitsrechtliche Befugnisse zugestehen und damit die Autonomie und Kontrollmöglichkeiten von Nutzerinnen und Nutzer, Verbraucherinnen und Verbraucher sowie Patientinnen und Patienten stärken.

5.1 Rechte an digitalen Inhalten

Mit der Digitale-Inhalte-Richtlinie hat der europäische Gesetzgeber neue Rahmenbedingungen für die Bereitstellung digitaler Inhalte oder Dienstleistungen geschaffen. Durch die Vereinheitlichung bestimmter Kernbereiche des Vertragsrechts soll insbesondere das Vertrauen der Verbraucherinnen und Verbraucher beim Erwerb digitaler Produkte gestärkt werden. Die Richtlinie will damit einen Beitrag dazu leisten, ein hohes Verbraucherschutzniveau zu erreichen. Neben der Festlegung von Leistungs- und Gewährleistungspflichten enthält die Richtlinie auch Vorgaben, wie mit digitalen Inhalten nach Vertragsbeendigung zu verfahren ist. Hierdurch ergeben sich hinsichtlich einer Weiternutzung von digitalen Inhalten und Daten neue Kontroll- und Verfügungsmechanismen für Verbraucherinnen und Verbraucher. Die Richtlinie wurde bereits in nationales Recht umgesetzt. Hierzu wurden die Vorschriften des allgemeinen Schuldrechts des BGB um den Titel 2a (Verträge über digitale Produkte) erweitert. Die Änderungen traten am 1. Januar 2022 in Kraft. Die Vorschriften sind auf Verbraucherverträge anzuwenden, welche die Bereitstellung digitaler Inhalte oder digitaler Dienstleistungen (digitale Produkte) zum Gegenstand haben. Digitale Inhalte werden dabei definiert als Daten, die in digitaler Form erstellt und bereitstellt werden (§ 327 Abs. 2 BGB).

§ 327p BGB enthält Vorgaben, wie mit digitalen Inhalten nach Vertragsbeendigung umzugehen ist. Dabei wird unter anderem festgelegt, dass der Unternehmer Inhalte, die der Verbraucher bei der Nutzung des digitalen Produkts bereitgestellt oder erstellt hat, nach Vertragsbeendigung nicht weiter nutzen darf (Abs. 2). Solche Inhalte können beispielsweise digitale Bilder, Video- und Audiodateien sein (vgl. ErwGr 69 Richtlinie (EU) 2019/770). Die Vorschrift gilt explizit nicht für personenbezogene Daten. Die Verpflichtung zur Löschung von personenbezogenen Daten sowie die datenschutzrechtlichen Betroffenenrechte ergeben sich ausschließlich aus den Vorschriften der DSGVO. Unter bestimmten Umständen darf der Unternehmer Inhalte des Verbrauchers auch nach Vertragsbeendigung weiternutzen, etwa wenn die Inhalte in keiner anderen Art und Weise sinnvoll genutzt werden können als in dem vom Unternehmer bereitgestellten Umfeld (§ 327p Abs. 2 S. 2 Nr. 1 BGB). Als Beispiel hierfür kann ein vom Unternehmer vorgegebenes und vom Verbraucher lediglich ausgewähltes Profilbild für den Charakter eines Computerspiels dienen. Daneben darf der Unternehmer auch Inhalte weiternutzen, die vom Verbraucher gemeinsam mit anderen erzeugt wurden, sofern andere Verbraucher die Inhalte weiterhin nutzen können (§ 327p Abs. 2 S. 2 Nr. 4 BGB).

Neben dem Weiternutzungsverbot enthält § 327p Abs. 3 BGB auch einen Anspruch des Verbrauchers auf Wiedererlangung von bereitgestellten Inhalten. Die Regelung orientiert sich dabei an der Formulierung von Art. 20 der DSGVO, welcher das Recht auf Datenportabilität in Bezug auf personenbezogene Daten normiert. Die Inhalte sind dem Verbraucher unentgeltlich, ohne Behinderung durch den Unternehmer, innerhalb einer angemessenen Frist und in einem gängigen und maschinenlesbaren Format zu übermitteln. Vereitelt der Unternehmer die Durchsetzung des Anspruchs auf Wiedererlangung, etwa indem er Inhalte vorzeitig löscht, kann dies einen Schadensersatzanspruch des Verbrauchers begründen.

Mit den Regelungen zum Weiterverwendungsverbot und dem Anspruch auf Wiedererlangung von bereitgestellten Inhalten gewinnen Verbraucherinnen und Verbraucher damit im Ergebnis einen über das Datenschutzrecht hinausgehenden Mehrwert. Sie erhalten künftig mehr Selbstbestimmungsmöglichkeiten im Hinblick auf nicht-personenbezogene Daten.

5.2 Datenhoheit über Verbrauchsdaten bei Smart Meter

Der Einsatz von intelligenten Stromzählern (Smart Meter) führt zu einer nicht unerheblichen Anhäufung von Daten. Diese lassen mitunter Rückschlüsse über Umfang, Art und Zeitraum des Energieverbrauchs sowie die Art der genutzten stromverbrauchenden Geräte zu. Auch lassen sich unter Umständen Informationen über die Alltagsgewohnheiten der Nutzenden ableiten. Kommt es zur Verarbeitung von personenbezogenen Daten, müssen die Vorgaben des Datenschutzrechts beachtet werden. Die einschlägigen Vorschriften hierzu finden sich jedoch nicht in der DSGVO, sondern im Gesetz über den Messstellenbetrieb und die Datenkommunikation in intelligenten Energienetzen (MsbG). Dort wird geregelt, welcher Akteur welche Daten zu welchem Zweck erhalten darf. Daneben enthält das MsbG auch konkrete Anforderungen, wann Daten gelöscht werden müssen. Daneben sichert § 53 MsbG dem Anschlussinhaber ein umfangreiches Auskunftsrecht gegenüber dem Messstellenbetreiber zu. Dieser muss auf Verlangen des Anschlussinhabers Einsicht in die im elektronischen Speicher- und Verarbeitungsmedium gespeicherten auslesbaren Daten gewähren, soweit diese Daten nicht personenbezogen sind. Das Einsichtsrecht gilt unabhängig davon, ob die Daten im Messsystem selbst oder in einer externen Servereinheit beim Messstellenbetreiber oder seinem Dienstleister gespeichert und verarbeitet werden. Dabei geht die Vorschrift in ihrer Reichweite über das allgemeine Auskunftsrecht nach Art. 15 DSGVO und das Datenportabilitätsrecht nach Art. 20 DSGVO hinaus. Es bezieht sich auf alle im elektronischen Speicher- und Verarbeitungsmedium hinterlegten (nicht-personenbezogenen) Daten. Die Vorschrift sichert dem Anschlussinhaber damit ein umfassendes Auskunftsrecht zu, welches im Falle eines Lieferantenwechsels genutzt werden kann. Darüber hinaus können die herausverlangten Daten aber bei Auseinandersetzungen vor der Verbraucherschlichtungsstelle verwendet werden.

5.3 Einsichts- und Kontrollmöglichkeiten von Patientinnen und Patienten bei der Verarbeitung von Gesundheitsdaten

Bei der Verarbeitung von besonders sensiblen Gesundheitsdaten besteht grundsätzlich ein hohes Bedürfnis nach Transparenz und Kontrollmöglichkeiten. Die Ärzteschaft ist berufsrechtlich und zivilrechtlich verpflichtet, auf Verlangen der Patientinnen und Patienten Einsicht in sie betreffende Krankenunterlagen zu gewähren. Dies betrifft sowohl Patientenakten in Papierform als auch elektronisch geführte Patientenakten. Unabhängig davon besteht das datenschutzrechtliche Auskunftsrecht sowie das Recht auf Überlassung einer Datenkopie.

Mit dem Gesetz zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (PDSG) erhalten Patientinnen und Patienten weitere Instrumente, um auf die Verarbeitung ihrer Daten Einfluss zu nehmen. Eine zentrale Rolle nimmt dabei die elektronische Patientenakte (ePA) ein. Mit der ePA sollen Informationen, insbesondere zu Befunden, Diagnosen, durchgeführten und geplanten Therapiemaßnahmen sowie zu Behandlungsberichten, für eine einrichtungs-, fach- und sektorenübergreifende Nutzung für Zwecke der Gesundheitsversorgung barrierefrei elektronisch bereitgestellt werden (vgl. § 341 Abs. 1 S. 2 SGB V). Die ePA wird auf Verlangen der Versicherten durch die gesetzlichen Krankenkassen (GKV) eingerichtet. Die Nutzung der ePA ist freiwillig. Versicherte der GKV können von Leistungserbringern (also niedergelassenen Ärztinnen und Ärzten, Krankenhäusern, Apotheken usw.) die Übertragung von Behandlungsdaten in die ePA verlangen. Gleiches gilt seit dem 1. Januar 2022 auch für die Übertragung von Abrechnungsdaten, welche durch die gesetzliche Krankenkasse gespeichert werden.

Der Personenkreis, der Zugriff auf die Informationen der ePA hat, ist auf bestimmte zugriffsberechtigte Leistungserbringer beschränkt und nur nach vorheriger Einwilligung des Versicherten möglich. Zur Erteilung der Einwilligung bedarf es einer eindeutigen bestätigenden Handlung durch technische Zugriffsfreigabe (§ 339 Abs. 1 S. 2 SGB V). Es ist nachprüfbar elektronisch zu protokollieren, wer auf welche Daten zugegriffen hat. Die Protokollierungspflicht gewährleistet, dass Versicherte ihre Rechte im Rahmen der Patientensouveränität auch wahrnehmen und kontrollieren können.

5.4 Schutz von Kommunikationsdaten

Neben den Regelungen zum Schutz von personenbezogenen Daten steht auch der Schutz von Kommunikationsdaten zunehmend im Fokus von gesetzgeberischen Aktivitäten. Der Grund hierfür liegt darin, dass anhand von Kommunikationsdaten, einschließlich der Kommunikationsmetadaten, eine sehr detaillierte Nachverfolgung von Nutzerinnen und Nutzern möglich ist. Der Rechtsrahmen zum Schutz der Vertraulichkeit der elektronischen Kommunikation wurde zuletzt grundlegend durch die E-Privacy-Richtlinie vorgegeben. Mit der E-Privacy-Verordnung wollte die Europäische Kommission die Nutzung von elektronischen Kommunikationsdiensten eigentlich bereits im Jahr 2018 vollständig neu regeln. Ein harmonisierter Verordnungsentwurf lässt jedoch weiter auf sich warten. Der Datenschutz im Telekommunikations- und Telemedienbereich wurde in Umsetzung der E-Privacy-Richtlinie zuletzt im Telekommunikationsgesetz und Telemediengesetz geregelt. Mit Inkrafttreten des Gesetzes zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG) gilt seit dem 1. Dezember 2021 ein vereinheitlichter Rechtsrahmen. Darin enthalten, ist mit § 25 TTDSG nunmehr auch eine Regelung, die die Voraussetzungen für das Speichern und Auslesen von Informationen auf Endeinrichtungen, insbesondere Cookies, regeln soll. Nach dieser Vorschrift ist die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Von der Einwilligung kann lediglich in Ausnahmefällen abgesehen werden, etwa bei technisch zwingend notwendigen Cookies oder Cookies, die ausschließlich der Übertragung von Nachrichten über ein öffentliches Telekommunikationsnetz dienen. Gerade bei sogenannten funktionalen Cookies kommt es jedoch mitunter zu Abgrenzungsproblemen, weswegen häufig auch dann eine Einwilligung eingeholt wird, obwohl dies genaugenommen nicht notwendig ist. Dieser Umstand wird zunehmend zu einer Belastung für Nutzende, die die erscheinenden Cookie-Banner in der Regel einfach wegklicken. Die eigentliche Intention, den Gestaltungsspielraum von Nutzenden zu erweitern und deren Souveränität zu stärken, wird damit ins Gegenteil umgekehrt. Zu einer Auflösung dieser Situation könnten Dienste zur Einwilligungsverwaltung beitragen. Ziel dieser sogenannten PIMS (Personal Information Management Services) ist die Befähigung des Einzelnen zur Kontrolle über seine personenbezogenen Daten sowie die Entlastung des Einzelnen von Entscheidungen, die ihn überfordern. § 26 TTDSG enthält in diesem Zusammenhang Vorgaben, unter welchen Voraussetzungen PIMS anerkannt werden können. Gefordert ist, dass

nutzerfreundliche und wettbewerbskonforme Verfahren und technische Anwendungen zur Einholung und Verwaltung der Einwilligung eingesetzt werden,
kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung und an den verwalteten Daten besteht und die Unabhängigkeit von Unternehmen gewährleistet ist, die ein solches Interesse haben können,
die personenbezogenen Daten und die Informationen über die Einwilligungsentscheidungen für keine anderen Zwecke als die Einwilligungsverwaltung verarbeiten werden,
ein Sicherheitskonzept vorliegt, das eine Bewertung der Qualität und Zuverlässigkeit des Dienstes und der technischen Anwendungen ermöglicht und aus dem sich ergibt, dass der Dienst sowohl technisch als auch organisatorisch die rechtlichen Anforderungen der DSGVO erfüllt.

Liegen die genannten Voraussetzungen vor, können PIMS von einer unabhängigen Stelle anerkannt werden. Die Anerkennung von PIMS könnte für Nutzende perspektivisch eine Erleichterung bedeuten, da die Verwaltung von Einwilligungen an eine vertrauenswürdige Entität delegiert werden kann. Durch die neuen Regelungen im TTDSG werden einerseits die europarechtlichen Vorgaben hinsichtlich des Einwilligungserfordernis bei Cookies umgesetzt. Dies kann zur Überwindung der derzeit bestehenden Rechtsunsicherheiten beitragen. Zum anderen wird mit den Regelungen zur Einwilligungsverwaltung der im Abstimmungsprozess befindlichen ePrivacy-Verordnung vorgegriffen.

5.5 Datenschutz in der journalistischen und medialen Berichterstattung

Alltäglich werden personenbezogenen Daten von Presse- und Medienunternehmen verarbeitet. Gleichzeitig finden die datenschutzrechtlichen Regelungen im Bereich der medialen Berichterstattung nur teilweise Anwendung. Grund hierfür ist die Regelung des Art. 85 Abs. 2 DSGVO, der vorsieht, dass die Mitgliedsstaaten für die Verarbeitung zu journalistischen Zwecken Abweichungen oder Ausnahmen von den datenschutzrechtlichen Vorgaben machen können. Diese datenschutzrechtliche Medienprivilegierung ist auf nationaler Ebene im Rundfunkstaatsvertrag (RStV) normiert. Insbesondere die Betroffenenrechte werden dort abweichend von den Vorschriften der DSGVO geregelt. Das betrifft etwa das Recht auf Auskunft (§ 9c Abs. 3 S. 1 RStV) oder das Recht auf Berichtigung bzw. Hinzufügung einer Darstellung (§ 9c Abs. 3 S. 4 RStV). Von besonderer Bedeutung für die Persönlichkeitsrechte von Nutzerinnen und Nutzer ist aber die Frage, inwieweit die Berichterstattung über bereits Jahre zurückliegende Ereignisse über eine Person in Online-Archiven auffindbar sein darf. Die entsprechenden Regelungen finden sich in §§ 9c, 57 RStV. Danach sind Online-Archive umfassend privilegiert. Insbesondere das Recht auf Löschung findet dabei keine Berücksichtigung. Das bedeutet, dass Nutzerinnen und Nutzer gegen negative Berichterstattung in Online-Archiven zumindest nicht auf Grundlage des Datenschutzrechts vorgehen können. Möglich ist aber das Vorgehen gegen Suchmaschinenbetreiber, die Verlinkungen auf Artikel in Online-Archiven bereitstellen. Hier greift nach der Rechtsprechung des EuGH das datenschutzrechtliche Medienprivileg nicht. Insofern kann der Betroffene zwar nicht gegen den Archiv-Betreiber selbst vorgehen, wohl aber gegen den zwischengeschalteten Intermediär.

6 Zusammenfassung

Auch wenn es an einem einheitlich kodifizierten Datenrecht fehlt, steht Nutzenden, Verbraucherinnen und Verbrauchern sowie Patientinnen und Patienten eine Reihe von Instrumenten zur Verfügung, um Einfluss auf das Schicksal ihrer Daten zu nehmen. Besonders die Regelungen des Datenschutzrechts bieten der betroffenen Person Steuerungsmöglichkeiten. Hierdurch wird zwar kein Dateneigentum begründet, allerdings erhöht der Datenschutz insgesamt die Autonomie und die Handlungsmöglichkeiten der Betroffenen. Eine Ausübung der datenschutzrechtlichen Betroffenenrechte ist allerdings nur dann möglich, wenn die notwendige Verarbeitungstransparenz gegeben ist und alle datenbezogenen Prozesse erkennbar und nachvollziehbar sind. Abseits des Datenschutzrechts gibt es eine Reihe von gesetzlichen Regelungen, die bestimmten Akteursgruppen Hoheits- und Kontrollrechte an nicht-personenbezogenen Daten gewähren. Insgesamt ist die gesetzgeberische Tendenz erkennbar, die Autonomie und Selbstbestimmung von natürlichen Personen zu stärken. Diese Entwicklung kann durchaus als Gegenmodell zu dem international zu beobachtenden Trend gesehen werden, der dadurch geprägt ist, dass einige marktmächtige Akteure allein über die Art und den Umfang der Datennutzung entscheiden können.

Straub, S. (2022). Datenhoheit und Datenschutz aus Nutzer-, Verbraucher- und Patientenperspektive. In: Rohde, M., Bürger, M., Peneva, K., Mock, J. (eds) Datenwirtschaft und Datentechnologie. Springer Vieweg, Berlin, Heidelberg. https://doi.org/10.1007/978-3-662-65232-9_13

https://doi.org/10.1007/978-3-662-65232-9_10

http://creativecommons.org/licenses/by/4.0/deed.de

Zur einfacheren Lesbarkeit wurden die Quell- und Literaturverweise entfernt.

Kategorie: Datenschutz

Beitrag teilen:

Nothing personal? Der Personenbezug von Daten in der DSGVO im Licht von künstlicher Intelligenz und Big Data

03/2023

1 Einleitung

Der Beitrag unterstreicht einen kritischen juristischen Blick auf die geltende datenschutzrechtliche Personenbezugsdogmatik anhand eines Beispielszenarios über die Entwicklung intelligent vernetzter Verkehrsinfrastrukturen. Dieses Beispiel leitet hin zu einer politikwissenschaftlich informierten Auseinandersetzung mit dem Bedarf und den Potentialen einer partizipativen Technologieentwicklung hinsichtlich des Ziels einer demokratischen Einbettung der Digitalisierung in städtische Infrastrukturen. Zunächst wird das geltende, stark auf individuelle Datensubjekte ausgerichtete EU-Datenschutzrecht knapp vorgestellt (2.). Anschließend wird diese Zentrierung auf das Individuum aus rechts- und sozialwissenschaftlichen Perspektiven kritisch beleuchtet (3.). Die Kritik wird daraufhin am Anwendungsbeispiel der intelligent vernetzten Infrastruktur von Smart Cities illustriert, um den Bedarf einer demokratischen, über individuenzentrierte Datenschutzmodelle hinausgehenden Technologieentwicklung hervorzuheben (4.). Dadurch verlagert sich der Fokus des Textes vom Thema der regulatorischen Gestaltung effektiven Rechtsschutzes hin zu einem praktisch-politischen Lösungsansatz des Problems auf der Handlungsebene. Zuletzt werden die Erkenntnisse zusammenfasst und ein Ausblick auf zukünftige Herausforderungen gegeben (5.).

2 Personenbezogene Daten im Sinne der DSGVO

Der Schutz der DSGVO ist in seiner Grundkonzeption auf das Individuum als Rechtssubjekt bezogen. Dementsprechend sind dem Verordnungstext zufolge alle Informationen geschützt, „die sich auf eine identifizierte oder identifizierbare natürliche Person […] beziehen.“ (Art. 4 Nr. 1 DSGVO) Identifizierbar in diesem Sinne ist eine natürliche Person, „die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.“ (Ebd.).

Im Rückschluss greift das Datenschutzrecht dementsprechend bei einigen Datengruppen nicht ein. Dazu gehören zunächst anonymisierte Daten, „die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann.“ (Erwägungsgrund 26, S. 5 DSGVO) Auch sachbezogene Daten sind nicht geschützt. Dieser Begriff wird in der Verordnung selbst allerdings nicht definiert, sondern lediglich als Gegenbegriff zu dem der personenbezogenen Daten verstanden. Einen Grenzfall stellen pseudonymisierte Daten dar. Das sind gem. Art. 4 Nr. 5 DSGVO Daten, „die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten.“ Bei pseudonymisierten Daten ist der Personenbezug unter Einbeziehung aller objektiven Faktoren zu ermitteln. Das meint im Wesentlichen das Verhältnis zwischen dem aktuellen Stand der Technik im jeweiligen Zeitpunkt und dem monetären sowie zeitlichen Aufwand, den eine Entschlüsselung in diesem Lichte erfordert.

Daran zeigt sich, dass die Beziehbarkeit eines Datums auf eine natürliche Person entweder aus der Aussage eines genuin als persönlich verstandenem Charakters der abgebildeten Information heraus entstehen kann, oder aber sich aus dem Bezug der Daten zueinander ergibt. Je nach Kontext und den über die Gruppenmitglieder verfügbaren Informationen kann sich die Identifizierbarkeit Einzelner situativ stark unterscheiden.

Die Offenheit des Personenbezugsmerkmals schlägt sich im Wortlaut der DSGVO nieder und ist maßgeblich auf ihren Ansatz der Technologieneutralität zurückzuführen. Dieser dient dem Zweck, eine Umgehung der Schutzvorschriften zu vermeiden, indem der Gesetzestext keine technikspezifischen Regelungen vorsieht, sondern das Schutzgut an sich versucht zu konkretisieren, um auf diesem Weg sowohl analoge als auch digitale Datenverarbeitungen unterschiedlichster Art zu umfassen. Mit dem Wortlaut „Für einen Personenbezug müssen Daten einer […] Person zuzuordnen sein“ (Art. 4 Nr. 1 DSGVO) bietet der Gesetzestext allerdings eher eine zirkuläre Aussage als eine tatsächlich konkretisierende Definitionshilfe. Auch der Weg über Gegenbeispiele verspricht keine wirkliche Hilfe, da der Begriff der sachbezogenen Daten lediglich negativ zu dem der personenbezogenen definiert wird. Auch für die Gruppe der anonymisierten Daten wird pauschal ein nicht mehr vorhandener Personenbezug unterstellt. Daran zeigt sich, dass jeweils davon ausgegangen wird, dass die Personenbeziehbarkeit von Daten ein eindeutig festzustellendes Merkmal sei. Auf diese Weise wird eine eindeutige Abgrenzbarkeit suggeriert, die sich in der Anwendung oftmals als zirkelschlüssig herausstellt.

Selbst bei Daten, die ausschließlich Bezüge zu Gegenständen aufweisen oder anonymisiert sind und damit die Kehrseite eines personenbezogenen Datums darstellen, kann im Wege der Kombination mit anderen Datensätzen oder durch die Identifikation einzelner Datenpunkte oftmals doch mit relativ hoher Genauigkeit ein spezifisches Mitglied einer Gruppe ausgesondert werden. Zahlreiche Studien zur Re-Identifizierbarkeit von Datensätzen einer gewissen Größe legen nahe, dass eine vollständige Anonymisierung in hinreichend großen Datensätzen nahezu unmöglich ist. Statt auf diese verarbeitungsspezifischen Risikolagen genauer einzugehen, fokussiert der Verordnungstext selbst, wie oben dargestellt, auf die Frage, was natürliche Personen identifizierbar macht. Diese interpretatorische Lücke wird in der Praxis durch die Heranziehung verfassungsrechtlicher Grundsätze und Rechtsprechung gefüllt. Doch gerade diese Marker ändern sich häufig je nach Datenlage und Situation, sodass stets ein nicht unwesentliches Risiko der Rechtsverletzung bleibt.

3 Kritik der individualistischen Ausrichtung des Datenrechts

Im Folgenden wird die oben dargestellten Ausrichtung des Datenschutzrechts auf individuelle Personen einer kritischen Prüfung unterzogen. Die Kritik bezieht sich im Wesentlichen darauf, dass eine auf sprachlicher Ebene zunächst offensichtlich scheinende Abgrenzbarkeit personenbezogener zu nicht personenbezogenen Daten nur unzureichende Antworten auf bestimmte kontextabhängige Auslegungsprobleme bietet.

3.1 Herausforderungen von KI und Big Data

Die bereits im Rechtstext angelegten Abgrenzungsprobleme verschärfen sich in Fällen der Datenverarbeitung durch Machine Learning- und Big Data-Techniken. Die Zunahme sogenannter smarter Umgebungen, d.h. datenintensiver Großsysteme, die auf algorithmischer Datenverarbeitung basieren und so eine Echtzeit-Interaktion mit ihrer Umgebung ermöglichen, werden nicht nur in privaten Kontexten (z.B. im Fall von Smart Homes), sondern auch in der Unterhaltungsindustrie sowie dem produzierenden Sektor (z.B. mit Smart Wearables) eingesetzt. Der Einsatz am Körper oder einem konkreten Objekt dient meist dem Tracking und damit dem Zweck der Optimierung bestimmter Angebote oder Abläufe. Der Einsatz von KI-basierten Techniken in der Öffentlichkeit kann sich außerdem regulierend auf das Verhalten von Bürger:innen im öffentlichen Raum auswirken und auch gegen den individuellen Willen eingesetzt werden (z.B. im Fall des Predictive Policing). Dieser Beitrag konzentriert sich nicht auf prädiktivePolizeiarbeit im engeren Sinne, richtet sein Augenmerk jedoch auf Problemlagen des Einsatzes intelligenter Technologie in öffentlichen Räumen hinsichtlich des Schutzes von Privatheit und Demokratie.

Zunächst aber sollen die beiden zentralen Begriffe Big Data und Künstliche Intelligenz für den Zweck dieses Beitrags konkretisiert werden. Big Data kann mit einer gängigen Definition als ein Modus der Informationsbearbeitung verstanden werden, die von einer Zunahme der Datenmenge (Volume) im Vergleich zu vorangehenden Medien, geprägt ist. Dieses Wachstum bildet sich im gesamten Lebenszyklus digitaler Daten ab, d.h. von der Erhebung über ihre Verarbeitung und Analyse bis hin zu ihrer Visualisierung. Darüber hinaus wird seit geraumer Zeit seitens marktbeherrschender Technologieunternehmen versucht, zusätzlich die Zunahme von Wert (Value) und Wahrhaftigkeit (Veracity) von Daten in die Definition des Begriffs aufzunehmen. Das Merkmal der Wahrhaftigkeit wird allerdings dabei auf die innere Schlüssigkeit eines Datensatzes bezogen und nicht auf eine Übereinstimmung bestimmter Daten mit dem Gegenstand ihrer Abbildung. Künstliche Intelligenz hingegen beschreibt auf maschinellem Lernen und neuronalen Netzen basierte Anwendungen, die in datenintensiven Umgebungen eingesetzt werden, um darin Muster und Kategorien zu ermitteln. Ein politisches Verständnis dieser Technologien, soweit eine Generalisierung dessen angesichts ihrer jeweils spezifischen Funktionsweisen überhaupt leistbar bzw. sinnvoll ist, konzeptualisiert datenverarbeitende Systeme in öffentlichen Kontexten als Infrastrukturen.

Ein hervorzuhebender Effekt des oben beschriebenen (jedenfalls quantitativen) Zuwachses von datengestützten Infrastrukturen im öffentlichen Raum ist unter anderem die dadurch deutlich vereinfachte Möglichkeit der kleinteiligen Erfassung von Bewegungs- und Verhaltensmustern einzelner Personen. Durch die Kopplung dieser Methode mit wirtschaftlichen Anreizen entstehen die für den digitalen Kapitalismus typischen datenbasierten Geschäftsmodelle. Aus der Digitalisierung der Lebenswelten (Kommunikation, Handel, Verkehr, Dienstleistungen, Gesundheit) ergeben sich immer engmaschigere Aggregate individueller Handlungsweisen, deren Auswertung durchaus Potentiale für die Lösung gesellschaftlicher Probleme (z.B. im Gesundheitswesen) verspricht. Dennoch sind statistische Vorhersagen dieser Art aber auch vorurteilsbelastet und häufig ungenau, was hauptsächlich auf die zugrundeliegenden Trainingsdatensets zurückzuführen ist. Die immer weiter automatisierte Datenverarbeitung ist nicht nur aufgrund ihrer Masse (3V’s) unübersichtlich, sondern auch durch die programmierte Architektur und den Schutz als Geschäftsgeheimnis meist intransparent für Außenstehende. Die Funktionsweise unüberwacht selbstlernender algorithmischer Systeme beschreibt Luciana Parisi folgendermaßen: „Undeterminiertheit ist hier als ein aktives Element zu einem Teil der Berechnung geworden, indem sie ausstellt, wie das logische Denken funktioniert, und wie die Bedeutung von Konzepten geformt werden kann. Hier überschneidet sich die Überprüfung von Hypothesen mit der Generierung hypothetischer Bedeutung, indem Unbestimmtheit jenseits wissensbasierter Automatisierung als ein Weg genutzt wird, um Vorhersagen zu strukturieren.“ Damit wird die strukturelle Intransparenz algorithmischer Datenverarbeitungstechniken als sog. Black Box noch durch die innere Opazität ihrer Funktionsweise verstärkt.

3.2 Auslegungs- und Übersetzungsprobleme

In Bezug auf das Datenschutzrecht weist Nadezdha Purtova in einer umfassenden Studie darauf hin, dass die technischen Entwicklungen in naher Zukunft eine perfekte Identifizierbarkeit ermöglichen werden. Dadurch werde die oben dargestellte, in der DSGVO angelegte Abwägung zwischen Deanonymisierungsaufwand und Schutzinteresse mittelfristig obsolet. Die Autorin geht davon aus, dass durch die Digitalisierung der Lebenswelt ein konzeptuelles Verschwimmen von vier bis dato getrennten Sphären zu erwarten sei, die eine von ihr als Onlife bezeichnete Situation hervorbrächten: Die davon betroffenen, bisher als klar abgrenzbar codierten Sphären sind Realität/Virtualität, Mensch/Maschine/Natur, Informationsknappheit/ Informationsüberfluss sowie eine von selbstständigen, statischen Entitäten und binären Beziehungen geprägten Weltsicht hin zu einem Fokus auf Interaktionen, Prozesse und Netzwerke.

Purtova zufolge hat diese Transformation der Lebenswelt zweierlei Auswirkungen auf das Recht: Mit der zunehmenden Datafizierung gehe einerseits ein gesteigertes Schutzbedürfnis für Einzelne einher, wodurch die Relevanz eines robusten Datenschutzrechts zunächst unterstrichen wird. Anderseits deutet Vieles darauf hin, dass die derzeitige Ausgestaltung des Datenschutzrechts für ein derart weitgreifendes Schutzbedürfnis nicht gewappnet sei und daher auf absehbare Zeit zu kollabieren drohe („system overload“). Einen der zentralen Gründe dafür sieht Purtova in der weiten Definition der Personenbeziehbarkeit von Daten. Im Zusammenspiel mit den erweiterten technischen Möglichkeiten werde sich das Datenschutzrecht auf lange Sicht funktional von einem lex specialis zu einem lex generalis des Persönlichkeitsschutzes entwickeln. DieVollzugskraft der DSGVO, vornehmlich in den darin festgeschriebenen Zuständigkeiten und Prüfkompetenzen manifestiert, sei für Grenzfälle und hochkomplexe Technologien wie bspw. automatisierte Gesichtserkennung nur unzureichend geeignet.

3.3 Ausweitung der Bezugsgruppe (Group Privacy)

Eine weitere Kritik an der geltenden Zentrierung des Datenschutzrechts auf den Schutz von Einzelsubjekten ergibt sich aus der Annahme, dass in Prozessen algorithmischer Datenverarbeitung meist Bezugsgruppen anhand emergenter Kategorisierungen gebildet werden. Diese fortlaufende Kategorisierung ermöglicht eine Steuerung in Echtzeit, indem sie temporäre Merkmale wahrscheinlichkeitsbasiert gerinnen lässt und auf diese Weise den sozialen Raum entlang der kalkulierten Vorhersagen strukturiert. Die im Rahmen dieses Prozesses entstehenden Bezugsgruppen sind in ihrer Datenförmigkeit zugleich sowohl deskriptiver als auch prädiktiver Natur. Die fortlaufende Re-Konfiguration wirkt sich wiederum modulierend auf die zugrundeliegenden Datensätze aus. Unter diesen Umständen ist es für Einzelpersonen sehr unrealistisch, effektive Kontrolle über die jeweils über sich selbst im Umlauf befindlichen Daten und Informationen zu erlangen. Der Umfang der im Einzelfall verarbeiteten Daten und die Komplexität der angewandten Methoden rechtfertigen der Ansicht des Autors nach ein kollektives Recht auf Privatheit für ad hoc von Algorithmen gebildete Personengruppen. Mit diesem Ansatz wird die subjektzentrierte Ausrichtung des Datenschutzrechts um eine wertvolle Perspektive der Gruppenorientierung ergänzt, welche bis dato hauptsächlich im Antidiskriminierungsrecht verankert war und damit anderen rechtlichen Voraussetzungen unterlag.

Mit einer ähnlichen Stoßrichtung heben auch Mann und Matzner die Vorteile einer Erweiterung des Datenschutzrechts um gruppenbezogenen Privatheitsschutz in Fällen von KI-basierten, strukturell diskriminierend wirkenden Anwendungen hervor. In dem von ihnen als emergente Diskriminierung bezeichneten Prozess werden durch die Heranziehung komplexer und nichtrepräsentativer Kategorien strukturelle Nachteile für bestimmte Nutzer:innengruppen im Zuge von Profilbildung systemisch verstärkt. Da diese Profilbildung oftmals nicht gezielt erfolgt, sondern an implizite Merkmale anonymisierter Datensätze anknüpft, wird sie häufig nicht vom klassischen Antidiskriminierungsrecht erfasst. Die Verbindung beider Rechtsregime in Form eines kollektivistisch informierten Datenschutzrechts erscheint angesichts der gruppenbezogenen Funktionsweisen von KI-basierten Systemen durchaus vielversprechend.

3.4 Ausweitung des Zeithorizonts

Ein weiterer Vorschlag zur Ergänzung des Datenschutzes personenbezogener Daten im konkreten Zeitpunkt ihrer Erfassung und Verarbeitung ist das Konzept der Predictive Privacy. Mühlhoff erläutert die inhärent diskriminierenden Funktionsweisen prädiktiver Algorithmen und zeigt die ethischen und politischen Probleme auf, die aus diesen Vorhersagen erwachsen: Nicht nur negiert eine wahrscheinlichkeitsbasierte Gleichbehandlung die Autonomie und Entscheidungsfreiheit der einzelnen Gruppenmitglieder, sondern sie wirkt auch langfristig in Form performativer Effekte auf die Entscheidungsfindung Einzelner zurück. Das hat dem Autor zufolge die Wirkung, dass „Predictive systems produce and stabilize precisely the kinds of social differences and inequalities that they claim to merely detect in the world.” Diese Verzerrung, die bei der Überbrückung der Prediction Gap – also der Lücke zwischen einer auf Trainingsdaten basierten Wahrscheinlichkeit zu einer auf ein konkretes Individuum gerichteten Vorhersage – entsteht, verschärft noch einmal das zuvor im Anschluss an Parisi dargestellte Problem der verzerrenden Eigendynamik algorithmischer Systeme. Die weit überwiegende Anzahl der Machine Learning-Algorithmen basiert auf prädiktiver Analytik und erfüllt somit regelmäßig nicht die Voraussetzungen einer privatheitsschonenden und autonomiefördernden Datenverarbeitung. Daher schlägt er eine Erweiterung des Datenschutzrechts auf solche Daten vor, die aus prädiktiver Analytik hervorgehen und als Grundlage für weitere Analysen dienen. Somit wäre für die Verwendung und Verarbeitung prädiktiver Modelle ebenso eine Rechtsgrundlage oder ausdrückliche Zustimmung der von dieser Methode betroffenen Individuen erforderlich, wie es derzeit für die Verarbeitung personenbezogener Daten in allen anderen Fällen bereits notwendig ist.

Das Konzept prädiktiver Privatheit stellt gewissermaßen eine Vorstufe der in Art. 22 DSGVO behandelten automatisierten Entscheidungsfindung sowie des Profilings dar. Diese Norm schützt Rechtssubjekte davor, einer ausschließlich auf automatisierter Datenverarbeitung basierten Entscheidung unterworfen zu werden. Sie unterliegt jedoch engen Anforderungen, die, um den Wirkungsbereich der prädiktiven Analytik zu umfassen, erweitert werden müssten. Dafür spricht, dass aus Nutzer:innenperspektive – insbesondere im Internet – häufig nicht klar ersichtlich ist, welche Daten im aktuellen Zeitpunkt oder in der Zukunft verarbeitet werden, und ob dieser Prozess rechtliche Auswirkungen im Verordnungssinne hat. Außerdem sind die individuellen Reaktions- und Informationsmöglichkeiten häufig überkomplex formuliert und für ein Laienpublikum kaum vermittelbar. Daran wird deutlich, dass über das Art. 22 DSGVO regulierte Endresultat ‚Entscheidung‘ hinausgehend bereits die im Vorfeld des Ergebnisses stattfindenden prädiktiven Datenanalysen für einen effektiven Individualrechtsschutz in den Blick genommen werden sollten.

3.5 Zwischenfazit

Die vorangehenden Ausführungen verdeutlichen aktuelle Herausforderungen, denen sich das subjektzentrierte Datenschutzregime der DSGVO durch die zunehmende Dominanz von datengetriebenen Geschäftsmodellen und KI-basierten Technologien ausgesetzt sieht. Bereits die herrschende Rechtslage weist Definitions- und Auslegungsprobleme auf, die auf den Ansatz der Technologieneutralität zurückgeführt werden können und durch Zweifelsregeln sowie die pauschale Erweiterung des Anwendungsbereichs kompensiert werden. Dadurch entsteht allerdings nicht die wünschenswerte Rechtssicherheit, sondern vielmehr ein recht instabiles Gleichgewicht, das zeitnah in eine Überforderung des Datenschutzregimes oder zumindest ein Leerlaufen des Rechtsschutzes aufgrund einer unübersichtlichen, schwer zu durchdringenden Rechtslage zu kippen droht. Darüber hinaus erscheint im Lichte der Einwilligungsregeln, die meist für Laien nur schwer bis nicht verständlich sind sowie der hochkomplexen Verarbeitungskonstellationen eine vollständige Verlagerung der Zustimmungsverantwortung auf individuelle Nutzer:innen nicht besonders effektiv zu sein, was einmal mehr den Mehrwert einer Erweiterung des Datenschutzrechts mit gruppenbezogenen Rechten betont. Einen ersten praktischen Schritt in diese Richtung stellt die Möglichkeit für Verbraucher:innen dar, im Rahmen der EU-Verbandsklagerichtlinie (EU 2020/1828) auch für DSGVO-Verstöße niedrigschwellig entschädigt zu werden. Ebenso sinnvoll wäre eine Ausweitung des Datenschutzrechts auf die Verarbeitungsschritte, die auf die erste Datenerfassung und -verarbeitung folgen, um effektiven Schutz beim Einsatz prädiktiver Modelle zu gewährleisten. Diese Aspekte zeigen Problemfelder auf, die spezifisch für datenbasierte, selbstlernende KI-Systeme sind. Sie unterstreichen den Bedarf für technologiespezifische Datenschutzregelungen und ein kontextsensibles Privatheitsverständnis.

4 Anwendungsbeispiel: Partizipative Technologieentwicklung in ‚Smart Cities 3.0‘

Der folgende Abschnitt konkretisiert die theoretischen Ausführungen des vorangegangenen Teils exemplarisch anhand der Entwicklung einer digitalen städtischen Infrastruktur und schlägt vor, die identifizierten Probleme des Datenschutzrechts in ein Modell demokratischer Technologieentwicklung einzubetten. Diese Einbettung dient dem Zweck, die Legitimität konkreter technischer Lösungen zu erhöhen und die gesellschaftliche Sensibilität für das inhärent Politische an technologischen Infrastrukturen zu schärfen. Nach einer einführenden Illustration des Themenkomplexes anhand des Szenarios eines Planungsprozesses einer Smart City wird der Ansatz der partizipativen Technologieentwicklung aus demokratietheoretischer Perspektive eingehender beleuchtet.

Die bisherige Entwicklung sogenannter Smart Cities lässt sich in mehrere Generationen einteilen. Die erste Generation teilweise streng kritisierter Konzepte zur Digitalisierung urbaner Räume basierte auf einem technikzentrierten, kommerziell motivierten Stadtentwicklungsmodell, das sich beispielsweise in Gestalt vermeintlich intelligenter Mülleimer manifestiert hat, deren Einbettung in Abfallmanagement-Systeme eher aufgrund ihrer umfassenden Überwachungssysteme Schlagzeilen produzierte als wegen ihrer positiven Auswirkungen auf die Nachhaltigkeit. Ähnlich fragwürdig sind die am Reißbrett geplanten und durch umfassende Public-Private-Partnerships querfinanzierten Smart Cities der zweiten Generation, wie sie das Beispiel der Megastadt Songdo inSüdkorea veranschaulicht. Die in diesem Zuge entstandenen umfassenden Datensätze, auf die nur begrenzte Personenkreise innerhalb der Betreiberfirmen oder Stadtverwaltungen zugreifen können, haben dazu geführt, dass die datenintensive, KI-gestützte technische Einbettung von städtischen Infrastrukturen in Verruf geraten ist. Neue Modelle der Smart City 3.0 versuchen diesem Schicksal entgegenzuwirken, indem sie auf offene Daten und partizipative Modelle der ko-kreativen, bürger:innennahen Technikentwicklung setzen.

Beispiele für die dritte Generation digital souveräner Städte sind u.a. Wien und Barcelona, die als Inspiration für die derzeit in Deutschland geförderten Entwicklungs- und Strategieprozesse dienen. Intelligente Städte sind also nicht nur paradigmatisch für die negativen Auswirkungen von KI und Big Data, sondern können auch als ein Ermöglichungsraum für die kooperationsfördernden, demokratischen Potentiale dieser Techniken verstanden werden. Was zunächst als planerisch-politische Herausforderung ohne rechtlichen Bezug erscheinen mag, steht tatsächlich insofern eng in Zusammenhang mit den oben beschriebenen Problemen des Datenschutzrechts, als dass die dort thematisierten Anpassungsbedarfe erst entdeckt werden können, wenn die Wirkweisen von im öffentlichen Raum verwendeten Technologien überhaupt mit betroffenen Personengruppen besprochen und reflektiert werden: Im Rahmen einer ihrem Namen gerecht werdenden intelligenten Stadtentwicklung muss also zwangsläufig auch auf einen passenden Rechtsrahmen und Konzepte der Datengovernance eingegangen werden, die Freiheiten einzelner Datensubjekte schützen und ausweiten.

4.1 Szenario: Entscheidungsprobleme und Risiken intelligenter Infrastrukturen

Die Ermöglichung dieser Potentiale erfordert eine Auseinandersetzung mit zahlreichen Entscheidungen, die im Rahmen der digitalen Infrastrukturentwicklung in urbanen Räumen zu treffen sind. Beispielhaft soll das anhand eines Gedankenexperiments – dem Bau einer intelligenten Brücke als Bestandteil einer vernetzten städtischen Infrastruktur – illustriert wer den. Ein partizipativer Beteiligungsprozess könnte dafür die Perspektiven der durch Los bestimmten Mitglieder eines Bürger:innengremiums in die Planung und Umsetzung der Brücke einbeziehen.

Eine erste Illustration der Politizität digitaler Technologien bietet bereits die Frage, welche Funktion die Brücke erfüllen soll. Während das auf den ersten Blick offensichtlich scheint – Brücken dienen dem sicheren Überqueren von Flüssen – könnten zusätzlich aber auch die Strömungsbewegungen des Gewässers sensorisch aufgezeichnet und ggf. automatisierte Warnsysteme implementiert werden, die den Verkehr bei drohender Gefahr, z. B. durch einen ansteigenden Wasserspiegel, in Echtzeit umleiten.

Die technischen Möglichkeiten sind auch für die Einbindung der Brücke in die Sicherheitsarchitektur der Stadt relevant. Nicht nur die Steuerung des Straßenverkehrs liegt hier als Bezugspunkt nahe, sondern auch der Einsatz KI-basierter Techniken zur Überwachung des öffentlichen Raums sowie zahlreiche Herausforderungen des automatisierten Fahrens. Die damit einhergehenden Fragen und Probleme sollten vor einer Implementierung steuernder Systeme breit angelegten Beteiligungsprozessen zugeführt werden.

Im Bereich der Nachhaltigkeit könnte eine intelligente Brücke beispielsweise durch Predictive Maintenance, d.h. automatisierte Wartungsprozesse, Vorteile für Umwelt und Stadtgesellschaft bewirken. Ebenso könnte ein intelligentes Nachhaltigkeitsmanagement eine Verschaltung der Brückennutzung mit anderen Ressourcen bedeuten, was den Erhalt und Betrieb wiederum in Abhängigkeit zu anderen Finanzierungsposten des Systems bringen würde. Darüber hinaus könnte eine solche Brücke auch die Wasserqualität des Flusses messen, die verarbeiteten Daten auswerten und aufbereiten und ggf. sogar den Sauerstoffgehalt des Wassers in Reaktion auf die Befunde beeinflussen.

Die Vielfalt dieser Struktur- und Funktionsentscheidungen hängt eng mit Entscheidungen über die Gestaltung der Datenarchitektur bzw. der Datengovernance zusammen. Dabei geht es um die Frage, welche Daten auf welche Weise und an welchem Ort gespeichert und verarbeitet werden sollen, die Bestimmung der gewünschten Verarbeitungsweise sowie die Bemessung angemessener Löschfristen. Zur Vermeidung von Datensilos, d.h. isolierten, nur eingeschränkt interoperablen Datensätzen in privater oder öffentlicher Hand, sind mehrere Model le denkbar und mittlerweile im städtischen Kontext auch gut erprobt. Das Datenmanagement in sog. Datenpools, Datenkooperativen oder Treuhändermodellen ist zentraler Gegenstand des aktuellen Entwurfs der EU-Kommission zum Data Governance Act (2020/767 final). In der Suche nach einem passenden Modell sollten alle beteiligten Stakeholder und Akteure einbezogen werden – nicht zuletzt, um einen angemessenen Privatheitsschutz zu gewährleisten. Diese Einbeziehung von Betroffenen ergänzt die Durchführung einer Datenschutz-Folgeabschätzung durch Expert:innen und öffnet nicht nur den Raum für eine kritische Auseinandersetzung, sondern fördert im Fall einer erfolgreichen Umsetzung auch die Akzeptanz in der Bevölkerung.

Diese beispielhafte Darstellung ließe sich noch fortführen, insbesondere hinsichtlich der Einbettung einzelner Bausteine in komplexere digitale Infrastrukturen eines ganzen urbanen Systems. Für alle hier angedeuteten Felder sind datengestützte und KI-basierte technische Verfahren essentiell, damit sie einen funktionalen Mehrwert generieren und das jeweils erwünschte Wissen produzieren können. Ob die im Einzelnen adaptierten Lösungen tatsächlich das Prädikat der Intelligenz verdienen, lässt sich allerdings nicht allein anhand der Anzahl digitalisierter Prozesse oder der Menge der erhobenen Daten bestimmen. Vielmehr ist ihr gesellschaftlicher Mehrwert im Einzelnen abhängig von einer sinnvollen und robusten Einbettung in bestehende Systeme, wozu auch die bereits vorhandenen menschlichen Ressourcen zu zählen sind. Ein für soziale und politische Strukturen und Arbeitsprozesse blinder Solutionismus droht, die negativen Auswirkungen intelligenter Infrastrukturen auf den Schutz von Privatheit und individueller Autonomie zu verstärken.

Privatheitsrisiken im Bereich der Planung, Entwicklung und Umsetzung intelligenter Städte entstehen zunächst, wenn sie maßgeblich der Privatwirtschaft überlassen werden. Öffentliche Träger allein verfügen aber bislang nur selten über die finanziellen Mittel oder die Expertise, technologische Innovationen in einem mit dem privaten Sektor vergleichbaren Tempo und Ausmaß zu entwickeln. Die Auswirkungen der derzeit in der Umsetzung befindlichen EU-Gesetzgebung zum digitalen Binnenmarkt könnten, sofern der Balanceakt zwischen Innovationsförderung und Rechtsicherheit gelingt, durchaus positive Schwerpunkte für eine gemeinwohlorientierte Datenwirtschaft setzen.

Ein zweifelhafter Rückschluss aus dem Privatisierungsdilemma könnte hingegen darin liegen, dass der Staat sich am besten selbst um die im Rahmen der Smart City-Infrastrukturen erfassten Daten kümmern solle. Aber auch diese Forderung bietet Anlass zu Bedenken: Immer umfangreichere Überwachungspraktiken werden unter den Schutzzweck der öffentlichen Sicherheit subsumiert und in der bereits angesprochenen prädiktiven Polizeiarbeit umgesetzt. Das allseitige Risiko einer Überwachung von unternehmerischer und staatlicher Seite sowie durch Bürger:innen untereinander in datafizierten Gesellschaften bietet Anlass zu der beunruhigenden Frage, wer eigentlich vor wem zu beschützen ist.

An dieser Stelle lohnt ein Rückblick an die zuvor ausgeführte Kritik der Zentrierung des geltenden Datenschutzrechts auf personenbezogene Daten. Für nahezu alle Daten, die von der im obigen Szenario beschriebenen intelligenten Brücke erfasst und verarbeitet werden, ließen sich bereits aus der Verbindung weniger Datenpunkte maßgeschneiderte Profile und Vorhersagen erstellen. Hinzu kommt, dass auch eine Anonymisierung die Möglichkeit der Profilbildung und Aussonderung Einzelner nie vollständig eliminiert. Gleichzeitig ist eine wirksame Einwilligung in derart umfassende Datenerfassung und -verarbeitung in öffentlichen Räumen nur schwer konstruierbar. Technische Lösungen, die für die beschriebenen Probleme bereits entwickelt sind und eingesetzt werden, sind Privacy En hancing Technologies oder dezentrale Speicherungs- und Verschlüsselungslösungen auf der Ebene der Datengovernance.

Art. 25 DSGVO (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen) verankert ihre Implementierung im Verordnungstext. Eine verpflichtende Umsetzung dieser beiden Standards könnte das Datenschutzniveau deutlich erhöhen. Eine aktive Auseinandersetzung mit den Schutzgehalten und Risiken der technischen Lösungen im Einzelnen findet auf der Ebene der auftraggebenden Stelle mit der verpflichteten Durchführung einer Datenschutz-Folgeabschätzung (Art. 35 DSGVO) bereits häufig statt. Diese Auseinandersetzung könnte aber im Rahmen einer demokratischen Technologieentwicklung weitergeführt werden, indem die Frage danach, welcher Schutz im jeweiligen Kontext überhaupt gebraucht bzw. gewünscht wird, an den weiteren Betroffenenkreis gestellt wird. In dieser Auseinandersetzung kreuzen sich die beiden hier eingenommenen Perspektiven: Partizipative Gestaltungsformate stellen oftmals einen geeigneten Raum dar, um zivilgesellschaftlichen Einschätzungen über Risikolagen, den da raus entstehenden Konstellationen zu schützender Rechtsträger:innen sowie der Dauer der jeweiligen Datenschutzvorkehrungen in die Entwicklung einzubeziehen.

Eine Antwort auf die Frage, wer vor wem zu schützen ist, verbirgt sich im Kontext der Datenverarbeitung und den spezifischen Eigenschaften der jeweils angewandten Technologien. Zugrunde liegt dem immer der Gedanke, dass die subjektiven Entscheidungsmöglichkeiten Einzelner möglichst umfassend erhalten werden sollten, damit nicht vorrangig vermeintlich objektive, datengestützte und auf korrelativen Modellen beruhende Analysen als Grundlage für die Gestaltung öffentlicher Räume und die darin implementierten Steuerungslogiken herangezogen werden. Dieser Ansatz ist auch an die von der EU-Kommission jüngst vorgeschlagene risikobasierte KI-Regulierung anschlussfähig.

4.2 Demokratische Technologieentwicklung für intelligente Städte

Die im vorigen Teilabschnitt verdeutlichten politischen und gesellschaftlichen Effekte digitaler Infrastrukturen intensivieren also den politischen Entscheidungsdruck nicht erst im Zeitpunkt ihres Einsatzes, sondern bereits während ihrer Planung und Entwicklung. Dadurch wächst der Bedarf einer demokratischen Auseinandersetzung mit dem Design intelligenter Technologien, um ihren normativen Wirkungen im Rahmen eines integrativen und gemeinwohlorientierten Digitalisierungsprozesses Rechnung zu tragen.

Demokratische Technologieentwicklung beschreibt eine öffentliche Auseinandersetzung mit den regelnden und steuernden Wirkungsweisen der eingesetzten Technik auf individuelle und kollektive Handlungs- und Autonomieräume. Das muss nicht bedeuten, dass im Sinne umfassender Transparenzanforderungen jedes einzelne technische Detail eines Systems für die Gesamtbevölkerung erklärbar gemacht werden muss. Vielmehr ist eine Sensibilisierung dafür, wann und auf welche Weise individuelle Entscheidungen von algorithmischen Systemen überschrieben bzw. eingeschränkt werden, erforderlich, um überhaupt ausmachen zu können, inwiefern die konstitutionelle Ordnung durch sie unter Druck gerät und wie damit umzugehen ist.

Modelle der kooperativen Stadtentwicklung finden sich in planungsrechtlichen Beteiligungsverfahren, die durch Methoden des in der Technologieentwicklung seit den 70er Jahren etablierten Participatory Design ergänzt werden können. Dabei wird das Wissen der Akteure, die von einer konkreten Technologie betroffen sind, für den Technikentwicklungsprozess fruchtbar gemacht. Praktisch bedeutet das die gemeinsame Auseinandersetzung von Nutzer:innen und Entwickler:innen mit den zu lösenden Problemen, verfügbaren Ressourcen und technischen Möglichkeiten. Im Kontext einer Smart City kann das z.B. in Stadtlaboren und anhand von modellhaften Prototypen geschehen. So fällt die Ermittlung konkreter Potentiale und Risiken von Technologien für das Gemeinwesen leichter (Williams 2020) und ergänzt die Einschätzungen von Expert:innen, beispielsweise in der Form von Datenschutz-Folgeabschätzungen, um wertvolles Wissen. Auf das Datenschutzrecht bezogen bedeutet es, dass die oben illustrierten individuellen und kollektiven Interessen bezüglich bestimmter Datenverarbeitungsvorgänge besser verstanden, eingeordnet und bewertet werden können. Statt die Abwägung einzelner Belange in den vermeintlich objektiven Raum einer algorithmischen Black Box zu verlegen, deren Funktion in erster Linie auf die proprietären Gewinninteressen großer Technologieunternehmen zugeschnitten ist, kann im Rahmen von Beteiligungsverfahren erforscht und herausgearbeitet werden, an welchen Stellen der Einsatz von Künstlicher Intelligenz überhaupt gesellschaftlich erwünscht ist, und wo eine manuelle bzw. menschlich gesteuerte Verarbeitung vorzuziehen ist. So wird überhaupt auch erst ein Design for all, also eine inklusive Technologie- und Stadtentwicklung möglich. Die Funktionen von Systemen wie der datengestützten Brücke müssen also von iterativen, diskursiven Prozessen begleitet werden. Das ist ohne offene Daten, wirksamen Persönlichkeitsschutz und freie Software nicht möglich, die damit einen zentralen Bestandteil jedes demokratischen Datenmodells bilden sollten.

5. Fazit und Ausblick

Die hier skizzierten theoretischen Gedanken und methodischen Ansätze lassen sich mit deliberativen und experimentellen Ansätzen der Demokratietheorie verbinden. Viele der aktuell in der Umsetzung befindlichen Smart City-Strategien greifen auf gemeinwohlorientierte Methoden zurückund haben sich damit bereits in der praktischen Umsetzung positiv bewährt. Eine demokratische Nutzung von KI erfordert im Kontext öffentlicher Infrastrukturen also sowohl eine Kollektivierung von (Privatheits-)Risiken als auch eine diskursive Verankerung im Gemeinwesen. Die Bedeutung des ersten Aspekts für die Nutzung von Künstlicher Intelligenz ist nicht zu unterschätzen, um eine mit Privatheitsinteressen verträgliche Innovation zu gewährleisten. Partizipative Methoden an sich werden noch nicht die im ersten Teil des Beitrags herausgearbeiteten strukturellen Probleme des Datenschutzrechts zu lösen vermögen. Dennoch ist eine gemeinwohlorientierte, inklusive Auseinandersetzung mit den Schutzmöglichkeiten und -modalitäten des Datenrechts eine essentielle Komponente der Einbettung digitaler Infrastrukturen in demokratische Gemeinwesen. Während eine Monopolisierung von Daten in privater oder öffentlicher Hand nicht in der Lage ist, das erwünschte Maß an gesellschaftlichem Vertrauen in datafizierte öffentliche Räume hervorzubringen, bieten die hier vorgestellten Ansätze dafür essentielle Experimentierräume und Einflussmöglichkeiten.

Rita Jordan in: Künstliche Intelligenz, Demokratie und Privatheit; Nomos Verlagsgesellschaft mbH & Co. KG, Baden-Baden

DOI: https://doi.org/10.5771/9783748913344

https://creativecommons.org/licenses/by/4.0/deed.de

Zur einfacheren Lesbarkeit wurden die Quell- und Literaturverweise entfernt.

Kategorie: Datenschutz | Künstliche Intelligenz

Beitrag teilen: